改正個人情報保護法の問題点｜ネットで公開した「病歴」が、同意なく集められる?

令和8（2026）年7月10日

令和8（2026）年7月10日、個人情報保護法などを改正する法律が参議院本会議で可決され、成立しました。AI（人工知能）開発やデータ活用を進めるための規制緩和が柱です。もっとも、国会では反対も少なくなく、賛否が大きく分かれた末の成立でした。この記事では、その中でも生活者への影響が大きいと考えられる変更──インターネット上に公開されている「要配慮個人情報」を、本人の同意なく集められるようにする特例（改正法第30条の2第1項）を取り上げ、その問題点を中心に解説します。

「要配慮個人情報」とは、病歴・信仰・犯罪歴など、知られると差別や偏見につながりかねない、とりわけ取扱いに配慮が必要な情報のことです。これまでは、こうした情報を集めるには原則として本人の同意が必要でした。今回の改正は、その同意という関門を、一定の条件のもとで外すものです。

この記事のポイント

• 同意という関門が外れる: SNSやブログなどで公開されている病歴・信条といった情報が、「統計作成等」の目的なら、本人の同意なく取得できるようになります(改正法第30条の2第1項)。本人が関与する機会が乏しくなる点に、批判が寄せられています。
• 肝心なルールは「これから」: どこまでの情報が対象か、どう歯止めをかけるかの多くは、国会ではなく今後の個人情報保護委員会の規則に委ねられました。保護が十分かは、その規則の中身を見なければ分かりません。
• 無制限ではないが、課題は残る: 目的の限定や公表義務など一定の歯止めはあります。ただし後述のとおり、提供先の広さや被害者救済の面で不十分との指摘があります。

改正の背景

近年、複数の企業がデータを持ち寄って横断的に分析したいという需要が高まっています。とりわけAIの開発では、大量のデータの解析が欠かせません。政府は、米国や中国に後れを取る国内のAI開発を後押ししたい、と説明しています。

公開された情報を同意なく取得できる例外は、これまでもありました。ただし現行法では、その情報を本人・国・自治体・学術研究機関・報道機関など、法律で定められた者が公開している場合に限られていました(現行法第20条第2項第7号)。素性の確かな公開元に限ることで、濫用を防ぐ趣旨です。

今回の改正は、この「誰が公開したか」という縛りを外し、公開元を問わずに集められるようにしました。その根拠として国が示すのが、「最終的に個人を特定しない『統計』にするのだから、危険は小さい」という説明です。

しかし、この説明には疑問が残ります。「統計にすれば安全」というのは、あくまで出口（完成した統計）の話です。集める段階や、統計にする前に手元で保有している段階では、病歴や信条といった生の情報がそのまま扱われます。危険がないと言えるのは加工が終わった後であって、その手前の段階の危うさは、この論理では説明しきれていません。

改正の主な内容──同意なき取得の特例

改正法第30条の2第1項は、次の条件を満たす場合に、公開されている要配慮個人情報を本人の同意なく取得できるとしています。

第一に、その情報を扱う目的が、まるごと「統計作成等」のためであることです。統計作成等とは、大量の情報から全体の傾向や性質(個人に関する情報を除いたもの)を導く行為で、「個人の権利利益を害するおそれが少ないもの」として委員会規則で定めるものに限られます(改正法第2条第13項)。

第二に、事業者が、氏名や名称、行おうとする統計作成等の内容などを、インターネット等で公表していることです。取得した情報は、公表した目的に必要な範囲を超えて扱えず、原則として第三者への提供も禁じられます(改正法第30条の2第4項・第10項等)。

もっとも、これらの条件の中身──「おそれが少ない」とは何か、何をどこまで公表すべきか──の多くは、法律ではなく、今後定められる委員会規則に委ねられています。保護の実質が規則次第である以上、法律が成立した時点では、その厚みを確かめようがない、という点も見過ごせません。

いつから・誰に適用されるか

改正法は、公布後2年以内に施行されるとされています(改正法の附則)。したがって、いま直ちに適用されるものではありません。施行までに、対象範囲や事業者の義務を定める委員会規則・ガイドラインが順次つくられていく見通しです。

私たちの生活への影響──ここが問題点

生活者の目線で、特に問題が大きいと考えられるのは次の点です。

一つめは、自分の情報が使われても、本人が気づけないという構造です。同意を求められないため、闘病ブログ、SNSで公表した信仰、さらには掲示板に他人が書き込んだ「あの人は◯◯の病気だ」といった情報までもが、本人の知らないうちに解析用データとして集められ得ます。同じ立場の人に届けたい、記録を残したいという思いで発信したものが、まったく別の用途に回る──それを止める手立ても、そもそも気づく手立ても乏しいのです。

二つめは、外部へ渡る場面の保護の薄さです。報道によれば、データを外部提供する際、提供元に氏名の匿名化(名前を伏せること)は求められていません。しかも一定の条件を満たせば、海外企業や個人事業主も提供を受けられるとされます。要配慮情報という最も慎重に扱うべき情報について、渡す相手や渡し方の歯止めが十分なのか、疑問が示されていました。国は今後の規則で不正利用を防ぐとしていますが、その規則はまだ存在しません。

三つめは、被害にあっても救済が届きにくいことです。悪質な事業者から違反で得た利益相当額を徴収する「課徴金」制度は新設されました。しかしこれは国庫に入るもので、被害者本人に返るお金ではありません。さらに、本人に代わって消費者団体が訴訟を起こせる「団体訴訟」の仕組みは、検討はされたものの、今回は見送られました。抑止の仕組みは設けつつ、個人の直接的な救済は手薄なままだ、という指摘が可能です。

こうした指摘は、いずれも制度の設計に対するものであり、あらゆる公開情報がただちに自由に集められるようになる、という意味ではありません。目的の限定や公表義務といった歯止めは置かれています。ただ、その歯止めが実際に機能するかは、これからの規則づくり次第です。私たち一人ひとりが関心を持ち、規則の内容を注視していくことが、これまで以上に重要になります。

まとめ

今回の改正は、AI開発などのデータ活用を強く後押しする一方で、公開された要配慮個人情報について「本人の同意」という長年の関門を外すものです。しかも、その代わりに置かれた歯止めの多くは、国会の審議ではなく、これから作られる規則に委ねられました。データ活用の必要性は理解できるとしても、最も守られるべき機微な情報について、本人の関与を後退させたうえで細部を先送りした点には、慎重な検証が求められます。

制度の全体像は、今後の委員会規則やガイドラインで固まっていきます。ご自身の発信がどう扱われ得るのかを知り、その動きを見守る一助になれば幸いです。

出典・参照資料

• ・個人情報の保護に関する法律等の一部を改正する法律案（第221回国会 閣法第54号）議案本文（衆議院）
• ・同法律案 議案審議経過情報（衆議院）
• ・現行 個人情報の保護に関する法律 第20条第2項第7号（公開されている要配慮個人情報の取得に関する例外）／改正法第2条第13項、第30条の2、第31条の3 ほか（e-Gov法令検索・個人情報の保護に関する法律）
• ・参議院本会議で可決・成立:令和8（2026）年7月10日（報道）
• ・個人情報保護委員会事務局「個人情報の保護に関する法律等の一部を改正する法律案について」（令和8（2026）年4月）