個人情報保護法改正2026——AI開発で「同意なし」が広がる新時代、課徴金制度とプライバシーの行方

2026年7月、日本の個人情報保護法が大きく生まれ変わりました。AI開発のために「本人の同意なし」でデータを活用できる新制度が誕生する一方、悪質な違反には財産利益相当額の課徴金が科されます。データ利活用の促進とプライバシー保護の強化。真逆の2つのベクトルを併せ持つ今回の改正を、やさしく徹底解説します。

私はこの記事を書くにあたり、成立した改正法の条文と専門家の解説を複数読み比べました。難しそうに思える法律の話ですが、私たち一人ひとりのスマホや健康情報に直結する話です。最後までお付き合いください。

なぜ今、変わるのか——「3年ごと見直し」とAIの急拡大

個人情報保護法には、施行後3年ごとに制度を見直す「3年ごと見直し規定」があります。技術の進展や国際的な動向に合わせて、法律を定期的にアップデートする仕組みです。今回の改正は、この規定に基づく2回目の見直しになります。

見直しの背景にあるのは、AI技術の急速な普及です。ChatGPTに代表される生成AIの学習には膨大なデータが必要で、企業は「もっとデータを活用したい」と考えるようになりました。一方で、個人情報の漏えい事件は後を絶たず、保護の強化を求める声も高まっています。2021年にはLINEの個人情報が中国の関連会社から閲覧できる状態だった問題が発覚し、行政指導に至りました。その後も外部送信をめぐる指摘が続き、プライバシー規制の実効性が問われています。

検討は2023年秋に始まり、約2年半をかけて法案化されました。主な経緯は以下のとおりです。

日付	出来事
2023年9月	施行状況の公表、見直し検討が始まる
2024年6月	中間整理を公表、パブリックコメント実施
2025年12月	人工知能基本計画で早期提出を決定
2026年4月7日	改正法案を閣議決定
2026年7月10日	参院本会議で可決、成立
2026年7月17日	公布（施行は政令で定める2年以内）

成立から公布まで1週間というスピード感も、今回の改正の注目度の高さを物語っています。施行日はまだ決まっていませんが、遅くとも2028年7月までには始まる見通しです。企業の準備期間は、実質2年程度になります。

【比較表】改正の4つの柱——促進と保護の両輪

改正内容は大きく4つの柱に整理できます。データ活用を後押しする項目と、リスクに備える項目がセットになっているのが特徴です。

柱	テーマ	主な内容
第1の柱	データ利活用の推進	統計作成やAI開発目的なら同意なしで第三者提供が可能に
第2の柱	リスクへの対応	16歳未満の同意ルール、顔特徴データの新規律
第3の柱	不適正利用の防止	電話番号やCookie IDなどの不正利用を禁止
第4の柱	実効性の確保	課徴金制度の導入、罰則の引き上げ

見ておきたいのは、第1の柱の「同意なし」と第4の柱の「課徴金」が同時に入った点です。門戸を広げる代わりに、違反時のペナルティを重くする。この2つをセットで理解することが、改正の全体像をつかむ近道になります。第3の柱の個人関連情報は、個人情報に一歩手前のデータを対象にした新しい概念です。マーケティングの現場に与える影響が大きく、広告業界では対応が急がれています。

注目の新制度「統計作成等の特例」——AI開発と本人同意の新ルール

今回の改正で最も注目を集めているのが、「統計作成等の特例」です。大量のデータを解析して傾向や性質を調べる行為を「統計作成等」と定義し、その目的に限って本人の同意なしでデータを扱えるようにしました。

何ができるようになるのか

具体的には、AIモデルの事前学習が主な対象になります。これまで企業は、他社から受け取った個人データを自社のAI学習に使う場合、本人の同意を得る必要がありました。改正後は、一定の条件を満たせば同意なしで利用できます。

ポイントは、成果物が「個人に関する情報を含まない」場合に限られる点です。個人を評価したり、個人向けの推論を行ったりする目的には適用されません。いわゆる「AI特例」とは一線を画す、限定的な制度なのです。

「混ぜるな危険」の解消

実務で大きな変化が起きるのが、複数社のデータを突合するケースです。これまで委託先は、異なる委託元から受け取ったデータを本人ごとに突合することが禁じられていました。通称「混ぜるな危険」ルールです。店舗ごとにバラバラだった顧客データを、一人の人物としてつなぎ合わせられるかどうか。マーケティングの精度を左右するこの課題が、法改正によって動き始めます。

この制約が、統計作成等の特例によって緩和されます。例えば来店客の顔特徴データを衣料品チェーンとドラッグストアで突合し、新しいAIモデルを開発するようなサービスも、条件次第で実現可能になります。

企業に課される義務

ただし「同意なしで自由に使える」わけではありません。特例を利用する企業には、利用目的や企業名の公表継続、第三者への再提供禁止といった義務が課されます。違反すれば課徴金の対象になるため、慎重な運用が求められます。

現に公開されている病歴や信条などの要配慮個人情報を、同意なしで取得できる特例も新設されました。これも統計作成等の目的に限られ、一定事項の公表が条件です。統計作成等の具体的な範囲は、個人情報保護委員会の規則で定められます。詳細はこれから詰められるため、施行までの2年間が実務の準備期間になります。

守りを強化——こどもと顔データの新規律

利活用の促進と並行して、保護の強化も進みました。特に手厚く守られることになったのが、こどもの個人情報と顔認証データです。

16歳未満のこどもの保護

16歳未満のこどもの個人情報を扱う際は、原則として親権者などの法定代理人の同意が必要だと明文化されました。教育系アプリやゲーム、SNSなど、こどもが利用するサービスを提供する企業にとっては、大きな対応ポイントになります。

事業者には、こどもの「最善の利益」を優先して考慮する責務も課されます。年齢確認の仕組みや、保護者向けの同意フローを整備する企業が増えそうです。

顔特徴データの新規律

顔特徴データなどの「特定生体個人情報」にも、新しいルールが設けられました。取り扱いに関する一定事項の周知が義務化され、本人からの利用停止請求の要件も緩和されます。

さらに、同意なしで第三者に提供できるオプトアウト制度の利用が、特定生体個人情報では禁止されました。顔認証で入退室管理や決済を行うサービスは、同意の取得方法を見直す必要があります。駅の改札やオフィスの入退室、スマホの顔認証決済など、私たちの日常に顔データはすでに浸透しています。その扱いが法律レベルで厳格化されるのは、時代の変化を象徴しています。

悪質違反には財産利益相当額——課徴金制度と個人関連情報

今回の改正で企業にとって最もインパクトが大きいのが、課徴金制度の導入です。これまで個人情報保護法の違反に対する金銭的な制裁は事実上ありませんでした。ここに、大きな転換点。

課徴金の仕組み

課徴金の対象は、不適正利用の禁止違反、不正取得の禁止違反、第三者提供の制限違反、統計特例違反の4類型です。悪質な違反で利益を得た場合、その財産的利益に相当する額の納付が命じられます。

対象となるのは、1,000人を超える本人のデータを扱った違反に限られます。相当の注意を怠ったことや、金銭的利益を得たことなどの要件もあり、すべての違反が課徴金の対象になるわけではありません。あわせて命令の要件も見直され、違反の事実を本人に通知したり公表したりするよう命じることも可能になりました。是正を求める行政の手段が、大きく広がったと言えます。

「連絡可能個人関連情報」の規律

もう1つ押さえておきたいのが、個人情報に該当しない「個人関連情報」の扱いです。電話番号やメールアドレス、Cookie IDなど、特定の個人に連絡できる情報は「連絡可能個人関連情報」と定義され、不適正な利用と不正取得が禁止されました。

広告配信やマーケティングでCookie IDを活用する企業は、取得経路の見直しが必要になります。オプトアウト制度を利用する際も、提供先の身元確認が義務化されました。罰則も強化され、不正取得の法定刑が引き上げられています。

世界の潮流と比較——EU AI法・GDPR・十分性認定

日本の改正は、世界のデータ規制の流れと並行して進んでいます。主要な規制と比較すると、日本の立ち位置が見えてきます。

制度	地域	特徴	罰則の規模
改正個人情報保護法	日本	統計作成等の特例と課徴金を同時導入	財産利益相当額
GDPR	EU	同意の厳格化、忘れられる権利	売上高の最大4%
EU AI法	EU	AIのリスク分類、2026年8月に本格適用	最大3,500万ユーロ
州ごとのプライバシー法	米国	カリフォルニア州など州単位で規制	州によって異なる

EUは2026年8月からAI法の本格適用が始まります。AIのリスクを4段階に分類し、リスクの高さに応じて義務を変える世界初の枠組みです。高リスク分野の一部適用は延期されましたが、性的な画像を生成するAIの禁止など、明確な規制は先行して始まっています。

日本とEUの間では、GDPRに基づく「十分性認定」が2019年に取得済みです。個人データの移転がスムーズに行えるこの仕組みを維持できるかも、今回の改正の評価ポイントになります。海外のデータ規制と比べても、日本の課徴金の水準はまだ抑えめです。今後の運用実績次第では、水準の見直し議論が始まる可能性もあります。

賛否両論——撤回要求運動と懸念の声

この改正は、SNS上でも大きな議論を呼んでいます。「AI開発のために病歴や信条を同意なしで提供できる」という点に懸念を示す声が相次ぎ、改正の撤回を求めるオンライン署名も始まりました。まさに、賛否両論の渦中。

実際、医療情報を含む要配慮個人情報の扱いは、慎重な議論が必要な領域です。統計作成等の特例にも「個人の権利利益を害するおそれが少ないもの」という要件がありますが、その線引きは今後の政省令やガイドラインに委ねられています。日本経済新聞も「AI開発への個人情報提供、同意不要に」と報じ、成立後も企業の対応が手探り状態であることを伝えています。

私は専門家ではありませんが、この議論を通じて1つ確信したことがあります。法律が変わっても、データを預ける側の私たちが「誰に、何を、なぜ渡すのか」を考える習慣は、これまで以上に大切になるということです。同意の意味が変わる時代だからこそ、一人ひとりのリテラシーが問われます。

FAQ——改正個人情報保護法に関するよくある質問

ここでは、改正に関するよくある質問とその回答をまとめました。

改正法はいつから施行されますか？	公布から2年以内に政令で定める日から施行されます。遅くとも2028年7月までに始まる見通しです。
同意なしでデータ提供されることはあるのですか？	統計作成等の目的に限られ、企業名や利用目的の公表と書面の合意が条件です。すべての提供が同意なしになるわけではありません。
課徴金はどのくらいの金額になりますか？	違反で得た財産的利益に相当する額です。1,000人超のデータを扱う悪質な違反が対象になります。
こどものデータはどう変わりますか？	16歳未満は法定代理人の同意が原則になり、事業者には最善の利益を優先する責務が課されます。
顔認証データの扱いは変わりますか？	特定生体個人情報として周知義務が課され、オプトアウトによる第三者提供が禁止されました。

まとめ——AIとプライバシーの新しいバランス

改正個人情報保護法は、AI時代のデータ利活用とプライバシー保護のバランスを再設計する試みです。同意なしのデータ利用という「ゆるめ」と、課徴金という「引き締め」が同時にやってきた点が、今回の改正の本質と言えます。

施行までにはまだ時間があります。企業は制度の全体像を把握し、自社のデータの扱いを棚卸しする絶好のタイミングです。個人も、自分の情報がどう使われているかに関心を持つきっかけにしてください。

新しいデータ社会のルールづくりは、まだ始まったばかりです。改正の内容は、今後2年間で整備される政省令やガイドラインによって具体化されます。議論の行方を追いかけながら、私たち一人ひとりが「データとどう付き合うか」を考え始めましょう。まずは、自分が使うサービスのプライバシーポリシーを一度確認してください。確認の習慣から、新しいデータ社会の準備を始めましょう。