令和8年改正個人情報保護法の衆議院・参議院の附帯決議（各14項目）の全文と比較分析

　令和8年4月7日に閣議決定・国会提出された「個人情報の保護に関する法律等の一部を改正する法律案」¹（以下「改正法」といいます）は、衆議院の「地域活性化・こども政策・デジタル社会形成に関する特別委員会」および参議院の「デジタル社会の形成及び人工知能の活用等に関する特別委員会」における審議を経て、令和8年7月10日、参議院本会議において可決され、成立しました。改正法は、同月17日に公布されました（令和8年法律第56号）。

　改正法は、いわゆる3年ごと見直しを踏まえ、個人情報保護法のほか番号法・次世代医療基盤法にも及ぶ大型改正であり、AI開発・統計作成等を含むデータ利活用の促進と権利利益保護の両立をめぐって、多岐にわたる論点を含むものとなりました。

　本稿では、両院審議の主な論点と政府答弁を、①統計作成等特例、②要配慮個人情報の削除・仮名化・PETs化、③医療情報、④AI学習・再識別リスクと課徴金制度・団体訴訟、⑤特定生体個人情報・こどもの個人情報の観点から整理したうえで、衆議院・参議院それぞれで付された附帯決議（各14項目）の全文を網羅的に掲載し、両院決議の比較と分析を行います。
　今後整備される個人情報保護委員会規則・ガイドラインの内容を強く方向づける「予告」として、実務対応の一助となれば幸いです ²。

令和8年改正の全体像と主な内容

改正法の審議経過と採決

　衆議院では、令和8年5月12日の政府質疑で統計作成等特例の射程（公開されていない氏名入り病歴等の要配慮個人情報を本人同意なく取得・提供できるか）が正面から問われ、政府がこれを認める答弁を行いました。同月14日の参考人質疑を経て、同月21日に討論・採決が行われ、両案は多数で可決され、個人情報保護法案に対し附帯決議（14項目）が付されました。同月26日、衆議院本会議で可決されました。

　参議院では、統計作成等特例・課徴金・次世代医療基盤法との関係・プロファイリング等が集中的に審議され、令和8年7月8日にデジタル社会の形成及び人工知能の活用等に関する特別委員会で採決が行われました。要配慮個人情報を統計特例の対象から除く修正案（立憲民主・公明・沖縄の風提出）は少数で否決され、政府原案が多数で可決されたうえで、7会派共同提案による附帯決議（14項目）が議決されました。令和8年7月10日、参議院本会議において多数（押しボタン式）で可決され、改正法は成立しました。

　なお、改正法は令和8年7月17日に公布され（令和8年法律第56号）、施行日は一部を除き公布日から2年以内の政令指定日とされています。

改正法の主な内容

　改正法の主な内容は、以下のとおりです。

　データ利活用の促進と権利利益保護の両立を図る一方、本人同意原則の後退や要配慮個人情報の取扱いをめぐり、両院審議で活発な議論が行われました。

両院審議の主な論点と政府答弁

　以下では、両院審議の主な論点と政府答弁を、①統計作成等特例、②要配慮個人情報の削除・仮名化・PETs化、③医療情報、④AI学習・再識別リスクと課徴金制度・団体訴訟、⑤特定生体個人情報・こどもの個人情報、課徴金制度の観点から整理します。

統計作成等特例（2条13項、30条の2、31条の3）

　審議の最大の焦点は、統計作成等（2条13項）を目的とする場合に、本人同意なく――氏名・住所を含む病歴等の要配慮個人情報までも――取得・第三者提供を可能とする特例（30条の2、31条の3等）の是非でした。政府は、統計作成等の目的での利用に限り、要配慮個人情報であっても本人同意なく取得・第三者提供の対象となり得ること、行政機関への提供も対象となることを認めました。

　もっとも政府は、特例が適用されるのは特定の個人との対応関係が排斥された統計情報等の作成にのみ利用される場合に限られ、個人ごとのスコアリングや個人向け広告・営業への転用は定義上「統計作成等」に含まれない（2条13項括弧書）と説明しました。名称が「統計」「AI学習」であっても、出力が個人に戻る処理は特例の枠外となる、との整理です。特例は、目的限定に加え、提供元・提供先の名称等の公表、目的外利用の禁止、再提供の制限、書面合意等を要件とし、これらを欠く運用は特例の効果を享受できず27条1項違反となり得ます。規律の緩和ではなく、高透明・高拘束型の利活用ルートの追加として理解すべきです。

要配慮個人情報の削除・仮名化・PETs化の方向性

　政府は、統計作成等特例に基づき要配慮個人情報を取り扱う場合について、一律の事前削除・仮名化を法律上の要件とはしないとしつつ、委員会規則・ガイドラインのレベルでは、提供・学習の前に削除・仮名化・匿名化その他のプライバシー強化技術（PETs）による処理を行う方向で運用を具体化する意向を繰り返し示しました。すなわち、統計作成等の内容に照らして氏名等が明らかに不要で容易に削除できるにもかかわらず漫然と提供する場合は、提供先が「AI開発等の目的で取り扱う必要がある場合」に限って提供できるという要件（31条の3関係）を満たさず違法となるとされ、明らかに不要な項目を提供前に削除すべきことが「必要がある場合」要件の解釈として求められます。

　PETsとは、個人情報をそのまま保持・開示することなくデータの分析・学習・統計処理を可能とする技術の総称であり、差分プライバシー、秘密計算（秘匿計算）、連合学習（フェデレーテッド・ラーニング）、合成データ、AIによるマスキング・フィルタリング、アンラーニング等を含む。これらを①提供前（削除・匿名加工・仮名化）、②学習時（差分プライバシー・秘密計算・連合学習）、③出力時（フィルタリング）、④事後対応（アンラーニング・再識別検証）の各段階で重畳的に組み合わせることが、安全管理措置および「復元されることを防止するために必要かつ適切な措置」の中核となります。
　この方向性は、個人情報保護委員会が令和5年6月2日に公表したOpenAIに対する注意喚起 ³（学習用データセットに加工する前に要配慮個人情報を削除しまたは非識別化する措置を求めたもの）とも軌を一にします。統計作成等特例を要配慮個人情報に用いる企業は、生データのまま取り扱わない設計を前提に準備することが望ましいでしょう。

医療情報――次世代医療基盤法との関係と医師の守秘義務

　慎重な立場の委員からは、次世代医療基盤法では認定事業者に限って医療データの取扱いが認められるのに対し、本特例では非認定の一般事業者でも要配慮個人情報を取得しAI開発に利用できることとなり、特別法より一般法の方が緩やかになる「逆転現象」ではないかとの批判が示されました。政府は、個人情報保護法は分野横断の一般法であり、本特例は統計作成等に限った同意不要の特例である点で次世代医療基盤法とは目的が異なると説明しました。
　医師の守秘義務との関係について、厚生労働省は、統計特例に基づく第三者提供であっても直ちに守秘義務違反の違法性が阻却されるわけではなく、行為の相当性等を総合考慮して判断されると答弁しました。本法が定める各要件（公表、目的外利用・第三者提供の禁止、安全管理措置、書面合意等）に従った提供であることは相当性を肯定する一要素となりますが、医療機関からの提供はなお個別に相当性の判断を要します。後述のとおり、参議院附帯決議第4項は、病歴等を含む要配慮個人情報の第三者提供につき、医療分野ガイドラインの改正、医師等の守秘義務や生命科学・医学系研究倫理指針との関係の明確化を明記しており、医療・ヘルスケア・研究機関にとって今後のガイドライン改正が最重要となります。

AI学習・再識別リスクと課徴金制度・団体訴訟

　参考人質疑では、「基盤モデルの学習は匿名化のプロセスではない」との指摘がなされ、学習用データが個人情報であれば基盤モデルからの復元やメンバーシップ推論攻撃のリスクが残ることが論じられました。これに対し政府は、統計作成等特例では大量の個人情報を「個人に関する情報に当たらない状態」まで加工することが求められ、再識別・漏えいリスクは極めて低いと答弁しましたが、学習前の段階でこそPETs・削除・非識別化による対処が必要であるとの指摘は、後述の参議院附帯決議第3項（AIモデル等による特定個人の識別又は要配慮個人情報の推知リスクの勘案）に結実しています。

　個人情報保護法で初めて導入される課徴金制度（148条の3以下）については、両院で「額が低く対象も狭い」との批判が示されました。政府は、初めての導入ゆえ「スモールスタート」にならざるを得ないとし、附則第14条の3年ごと見直しを通じて水準・対象要件を検証するとしました。対象は不適正利用・不正取得・違法な第三者提供・統計作成等特例の目的外利用等に絞られ、安全管理措置義務違反（23条）が対象に含まれていない点には特に強い不満が示されました。団体による差止請求・被害回復制度は今回は見送られました。
　後述のとおり、衆参双方の附帯決議が課徴金の透明性・実効性の確保（参院は将来の課徴金額・対象要件の継続的検討を明記）と、団体訴訟制度の導入検討の継続を求めています。

特定生体個人情報（顔特徴データ）とこども（16歳未満）の個人情報

　顔特徴データについて、改正法は一定事項の周知義務、違法行為の有無を問わない利用停止等請求（35条7項・8項）、オプトアウトによる第三者提供の適用除外（27条2項）を導入し、カメラ設置施設の入口等への掲示を委員会規則で求める方針が示されました。

　16歳未満の者については、利用停止等請求の要件緩和、法定代理人への読替え（40条の2）、最善の利益を優先する責務規定（58条の3）が設けられます。
　審議では、親の所得と学業成績等を結び付けるプロファイリングによる差別的利用や、DV・虐待事案で加害親が法定代理人として同意し得る問題が論じられました。これらの論点は、後述の附帯決議（特定生体個人情報：機器周辺・検知対象者が認識できる場所への掲示、こども：最善の利益の最優先と発達段階の勘案）に反映されています。

衆参附帯決議の全文と両院決議の比較・分析

衆議院の附帯決議（全14項目）

　令和8年5月21日、衆議院地域活性化・こども政策・デジタル社会形成に関する特別委員会において付された附帯決議は、次の14項目です ⁴。

参議院の附帯決議（全14項目）

　令和8年7月8日、参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会において、政府原案可決後に付された附帯決議は、次の14項目です ⁵。

衆参附帯決議の比較と分析

　衆参の附帯決議はいずれも14項目であり、項目の配列・骨格は共通します。
　もっとも、参議院附帯決議は衆議院附帯決議を単に踏襲したものではなく、参議院審議で強く問題となった事項を踏まえて、いくつかの項目を具体化・強化しています。二院目・審議終盤ほど論点が積み上がる典型であり、実務上は参議院決議が「宿題リスト」の完成形として、下位法令（委員会規則・ガイドライン）の内容を予告する機能を担います。
　主な差分は次のとおりです。

※表中では、個人情報保護委員会を「個情委」と記します。

　分析上、特に重要なのは次の3点です。

（1）AIモデルによる推知リスクの明文化（参院第3項）

　「基盤モデルの学習は匿名化ではない」という参考人の指摘を受け、統計作成等特例における非識別化を、出力・推論段階のモデル反転・属性推定リスクまで視野に入れて評価すべきことが、立法府の要請として明確化されました。
　事業者は、入力データの削除・仮名化にとどまらず、モデル出力からの再識別・推知可能性の検証を安全管理措置の一部として位置付ける必要があります。

（2）要配慮個人情報の「重点監督」化と医療分野の別扱い（参院第4項）

　要配慮個人情報を統計特例で扱う場面は個人情報保護委員会の重点監督の対象とされ、特に病歴等については医療分野ガイドラインの改正・守秘義務・研究倫理指針との関係整理が明記されました。
　これは、修正案（要配慮情報を統計特例から除外）が否決された一方で、法文で落とした歯止めを決議＋規則・ガイドラインに委ねる立法技術であり、医療・ヘルスケア・研究機関にとって今後のガイドライン改正が最重要の実務論点となることを意味します。

（3）見送られた制度の将来検討の明記

　プロファイリング規制（両院第5項）、課徴金の対象・水準（参院第12項）、団体差止・被害回復制度（両院第13項）は、いずれも今回の改正で見送られまたは限定されましたが、附則第14条の3年ごと見直しに向けた継続検討課題として決議に明記されました。これらは次期改正の主要論点として残り、中期的な制度動向として注視を要します。

実務への示唆

　以上を踏まえ、個人情報保護委員会規則（以下「委員会規則」といいます）やガイドライン整備を見据えた実務対応の要点は、次のとおりです。

統計作成等特例の利用可否

　統計作成等特例の利用可否は、出力が「個人に戻るか否か」で線引きされます。
　名称が「統計」「AI学習」であっても、個人向け営業・与信・選別への転用は特例の枠外であり、課徴金の対象となり得る点には注意が必要です。

要配慮個人情報の取扱い

　要配慮個人情報を統計作成等特例に用いる場合は、生データのまま取り扱わず、提供・学習の前に削除・仮名化またはPETsによる処理を行う設計を前提とすべきです。これはガイドライン・委員会規則で整備が見込まれる方向であり、令和5年のOpenAI注意喚起以来の委員会の一貫した姿勢とも整合します。
　特に病歴等の医療情報については、参議院附帯決議第4項を踏まえた医療分野ガイドラインの改正動向を注視し、次世代医療基盤法・守秘義務・研究倫理指針との関係を整理しておくことが望ましいでしょう。

内部統制・記録・委託先監督の体制整備

　課徴金の導入により、個人情報の取扱いは経営リスクとして管理する必要があり、違反時に「相当の注意」を尽くしたことを示せる内部統制・記録・委託先監督の体制整備が鍵となります。
　あわせて、AIモデルからの再識別・要配慮情報の推知リスクの検証、特定生体個人情報の周知・利用停止請求対応、こどもの個人情報の発達段階に応じた保護措置、オプトアウト届出事業者の監督強化について、附帯決議の要請を先取りした準備が求められます。

委員会規則・ガイドラインの整備状況を先取りした準備

　施行は段階的（一部を除き公布日から2年以内）であるため、委員会規則・ガイドラインの整備状況を先取りした準備が実務対応の要となります。附帯決議が委員会規則・ガイドラインに反映される過程を注視し、パブリックコメントの機会を活用することが重要です。