令和8年個人情報保護法改正がライフサイエンス・ヘルスケア分野に及ぼす影響と実務上の留意点

　令和8年個人情報保護法改正は、ライフサイエンス・ヘルスケア分野における個人情報の取扱いに多面的な影響をもたらします。

　具体的には、統計作成やAI開発のために病歴等の要配慮個人情報（センシティブ情報）を本人の同意なく第三者に提供できるようにする「統計作成等特例」の導入により、医療データの利活用が制度的に円滑化される一方で、患者の権利利益保護とのバランスに関する懸念も示されています。病院等の「学術研究機関等」該当性の明文化や、公衆衛生向上例外の同意要件の緩和は、医療現場の実態に即した改正といえますが、具体的な運用は下位法令やガイドラインの整備を待つ部分が多く残されています。このほか、特定生体個人情報（顔特徴データ等）や16歳未満の子どもの個人情報に関する規律、課徴金制度の導入も、医療機関や製薬企業等の実務に関わります。

　本記事では、ライフサイエンス・ヘルスケア分野に関連する改正内容を中心に、現行法・改正法のルール、今後の下位法令（政令、個人情報保護委員会規則）やガイドラインで明確化を待つ必要がある点、実務対応のポイントなどについて解説します。

　本記事の情報は2026年10月19日時点のものであり、今後の施行準備の進展に伴い内容が変わり得る点にご留意ください。

※本記事中の「法」とは個人情報保護法を指し、また、「改正法」とある場合は、同法の改正後の条文を示すものとします。

ライフサイエンス・ヘルスケア分野における令和8年改正対応の重要性

　2026年（令和8年）7月10日、「個人情報の保護に関する法律等の一部を改正する法律」が国会で成立し、同月17日に公布されました（令和8年法律第56号）。施行日は、公布から2年以内（最長で2028年7月17日まで）の政令で定める日とされています。

　今回の令和8年改正は、個人情報保護法に設けられた「3年ごと見直し」規定に基づくもので、2023年11月の検討開始以来、約2年半にわたる議論を経て実現しました。背景には、AI技術の急速な普及やデータ利活用の拡大という社会的要請がある一方で、個人情報の不正取得・漏えいリスクの高まりに対応する「保護と利活用のバランス」の再構築が求められたことがあります。

　ライフサイエンス・ヘルスケア分野では、とりわけ医療データの利活用をめぐる議論が国会審議でも大きな焦点となりました。
　統計作成やAI開発のために、病歴等の要配慮個人情報（センシティブ情報）を本人の同意なく第三者に提供できるようにする「統計作成等特例」の導入や、病院等を学術研究機関として明文化する改正は、医療機関、製薬企業、研究機関、ヘルスケア事業者のすべてに影響を及ぼします。

　個人情報保護委員会は、2026年8月26日に「政令・規則等で定める事項の全体像」を決定し、2026年9月9日には「政令・規則・ガイドライン等の整備に関する今後の進め方について」を公表した上で、今後2年以内の施行に向けて政令・委員会規則・ガイドラインの整備が順次進められています。2026年9月16日以降は、「政令・規則の整備に向けた基本的な考え方について」を改正項目ごとに順次公表しています ¹。

　医療機関、製薬企業や医療機器メーカー、ヘルスケア関連事業を扱う企業の法務・コンプライアンスの担当者は、これらの動向を継続的にフォローしながら、社内規程・業務フロー・データガバナンス体制の見直し等を実施することが重要になります。

統計作成等特例の導入：本人同意なき要配慮個人情報の第三者提供が可能に

改正の概要

（1）現行法のルールのおさらい

　現行法では、個人データを第三者に提供するには原則として本人の同意が必要です（法27条1項）。特に病歴・犯罪歴・信条などの「要配慮個人情報」は、取得にも原則として本人の同意が求められ（法20条2項）、同意なしに第三者提供できる場面は厳しく限定されています。
　統計作成やAI開発のために医療データを外部に提供したい場合でも、1人ひとりの患者から同意を取得するか、匿名加工情報に加工した上で提供する等の必要があります。

（2）改正法のルール

　改正法は、新たに「統計作成等特例」（改正法30条の2）を設けました。
　これは、統計情報等の作成（AI開発のための学習用データとしての利用を含むと説明されています）にのみ利用される場合に、一定の条件の下で要配慮個人情報を含む個人データを本人の同意なく第三者に提供し、また公開されている要配慮個人情報を本人同意なく取得することを可能にするものです。

　提供を受ける側の事業者（「特例個人情報受領者」等と呼ばれます）には、受け取った個人情報の目的外利用禁止・第三者提供禁止の義務が課されます。つまり、統計情報やAIモデルの学習にのみ利用し、それ以外の目的（個々の患者へのアプローチ等）に流用することは禁止されます。

統計作成等特例の概要

ライフサイエンス・ヘルスケア分野への影響

　この統計作成等特例は、医療データを含む要配慮個人情報にも適用されるため、医療機関や製薬企業にとって影響が大きいといえます。国会審議では、氏名入りの病歴情報が本人の同意なく提供され得るのかという点が繰り返し議論され、政府はこれを肯定する答弁を行いました ²。

　一方、国会審議や有識者検討会の場では、氏名付きの病歴情報が加工されないまま提供される制度設計への懸念が医療関係者や法律専門家から繰り返し表明されました。安全管理措置の十分性、次世代医療基盤法のような認定制との整合性、提供先でのデータ漏えいリスクなどが指摘されており、医療現場からは統計作成等特例を利用した患者データの第三者提供に対する慎重論が根強い状況です ³。

実務対応のポイント

（1）ガイドライン等での明確化を要する点

　最も重要な点は、そもそも何が「統計作成等」に当たるかの具体的な範囲が未確定であることです。
　法律上の定義では、「統計の作成その他の大量の情報から...傾向又は性質に係る情報...を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの」とされており、核心部分が委員会規則に委ねられています。
　AI開発のための学習用データとしての利用や過去の診療データ等を統計処理して製薬企業等が行う研究開発等がどの範囲で「統計作成等」に含まれるのか、個人ごとの疾病リスクスコアの算出といった行為が対象外となるのか等は、今後の個人情報保護委員会規則やガイドラインを待たなければ確定しない状況です。

　また、参議院附帯決議（第4項）⁴ は、病歴等を含む要配慮個人情報が統計作成等特例の対象となることを踏まえ、医療分野ガイドラインの改正、医師の守秘義務（刑法134条）や生命科学・医学系研究倫理指針との関係の明確化を求めています。
　個人情報保護法上は適法であっても、医師の刑法上の守秘義務との関係がどう整理されるかは現時点で未解決であり、今後のガイドラインで具体的な手当てがなされることが期待されます。

（2）実務対応のポイント

　医療機関としては、自院が保有する医療データが統計作成等特例に基づく第三者提供の対象となる場面を洗い出し、提供先の事業者が法の要件を満たすかの確認プロセスを整備しておくことが重要です。
　製薬企業やAI開発事業者にとっては、データ提供を受ける側としての義務（目的外利用禁止・第三者提供禁止等）への対応体制を構築する必要があります。今後公表されるガイドライン等で示される具体的な安全管理措置の内容を注視し、施行までに社内規程やデータフローの見直しを進めることが推奨されます。

病院等の「学術研究機関等」該当性の明文化

改正の概要

（1）現行法のルールのおさらい

　現行法では、学術研究機関等（大学等）が学術研究目的で個人情報を取り扱う場合に、目的外利用・要配慮個人情報の取得・第三者提供について本人同意を不要とする例外（いわゆる「学術研究例外」）が設けられています。しかし、市中の病院やクリニックなど「医療の提供を目的とする機関」は学術研究機関には該当しないとされており、臨床症例の分析や研究活動において学術研究例外に依拠できないという実務上の課題がありました。
　実務では、公衆衛生の向上のための例外規定（法18条3項3号等）に関するガイドラインQ&A ⁵ 等を手がかりに対応してきた面がありますが、適用範囲は明確とは言い難く、現場の判断に委ねられる部分が大きい状況でした。

（2）改正法のルール

　改正法は、「学術研究機関等」の定義（改正法16条9項）に、病院その他の医療の提供を目的とする機関または団体が含まれることを明示しました。
　これにより、市中病院や診療所であっても、学術研究目的で個人情報を取り扱う場合には学術研究例外を利用できるようになります。

ライフサイエンス・ヘルスケア分野への影響

　医学・生命科学の研究において、臨床症例の分析は不可欠です。これまで国立研究開発法人である病院や大学の附属病院等以外の医療機関が研究目的で個人データを利用・提供する場合には、原則として1人ひとりの患者から同意を取得する必要がありました。
　改正後は、学術研究目的であれば同意取得の負担が軽減されます。ただし、学術研究例外の適用は「学術研究の用に供する目的」に限定されており、商業目的の利用には依然として本人同意が必要です。

実務対応のポイント

（1）ガイドライン等での明確化を要する点

　「学術研究の用に供する目的」と「診療目的」の境界線がどこに引かれるかは、今後のガイドラインで明確化が必要です。たとえば、病院がAI診断支援ツールの開発に臨床データを利用する場合が「学術研究目的」に当たるのかどうかは、現時点では明確ではありません。

（2）実務対応のポイント

　医療機関は、自院の研究活動のうちどの範囲が「学術研究目的」に該当するかを整理しておく必要があります。研究倫理委員会（IRB）の審査プロセスとの整合性を確保し、学術研究例外を利用する場合であっても、個人の権利利益を不当に侵害しないための内部管理体制を維持することが求められます。

公衆衛生向上等のための同意取得困難性要件の緩和

改正の概要

（1）現行法のルールのおさらい

　現行法では、公衆衛生の向上等のために特に必要がある場合（感染症の蔓延防止のために患者情報を保健当局に提供する場合や有効な治療方法や薬剤が十分にない疾病等に関する新たな治療方法の研究に使用する場合等）において個人情報を取り扱う場合に本人同意を不要とするには、「本人の同意を得ることが困難であるとき」という要件を満たす必要があります（法18条3項3号、20条2項3号等）。

（2）改正法のルール

　改正法では、この「同意を得ることが困難」という要件が「相当の理由がある」場合に緩和されます（改正法18条3項3号、20条2項3号、27条1項3号等）。
　「本人の同意を得ないことについて相当の理由がある」といえる具体例については、本人のプライバシー等の侵害を防止するために必要かつ適切な措置（氏名等の削除、提供先との守秘義務契約の締結等）が講じられているため、当該本人の権利利益が不当に侵害されるおそれがない場合等が想定されています ⁶

ライフサイエンス・ヘルスケア分野への影響と実務対応のポイント

　この緩和により、たとえば大規模感染症の発生時に医療機関が患者データを迅速に共有する場面や、医療安全のためのインシデント分析にデータを活用する場面で、同意取得の困難性を逐一立証する必要がなくなると考えられます。

　「相当の理由」の具体的な判断基準は、個人情報保護委員会規則やガイドライン等で示される見込みです。この点、日弁連は2026年4月の意見書 ⁷ で、「利益衡量の考慮要素を法文上より明確にすべき」と指摘しています。
　医療機関としては、今後公表される判断基準を踏まえた社内フローの整備を進めることが重要です。

特定生体個人情報（顔特徴データ等）に関する規律の創設

改正の概要

　改正法は、顔認証技術で用いられる顔特徴データ等を「特定生体個人情報」として新たに定義し（改正法16条5項）、その取扱いに関する3つの規律を導入しました。具体的には、利用目的等の事前周知義務、オプトアウト（本人通知＋届出による同意なし第三者提供）の禁止、および違法行為の有無を問わない利用停止等請求権の付与です。

ライフサイエンス・ヘルスケア分野への影響と実務対応のポイント

　医療機関では、顔認証による患者本人確認システムや入退管理システムを導入しているケースがあり、これらが規律の対象となる可能性があります。
　医療分野で顔認証システムを運用している事業者は、カメラ設置箇所での掲示対応を含む周知体制の整備を早期に検討しておくことが望まれます。

　一方、ゲノムデータ（DNA配列情報等）は、「特別の技術又は多額の費用を要しない方法により取得できること」および「本人が取得されていることを容易に認識できないこと」という特定生体個人情報の定義要件を満たさないと考えられるため、この規律の対象外となる可能性が高いと考えられます。

　一定のゲノムデータ（塩基配列を文字列で表記したもの）は「個人識別符号」として個人情報に該当しますが、それ自体は直ちに「要配慮個人情報」には当たりません。ただし、ゲノムデータに疾患リスクや病歴に関する医学的解釈を付与した「ゲノム情報」は、病歴等に該当し要配慮個人情報となり得ると整理されています ⁸。

　また、CT・MRI等の医用画像データについては、通常、患者の同意・認識の下で撮影・取得されるものであり、「本人が容易に認識できない方法で取得される」という特定生体個人情報の定義要件を満たさないため、一般的にはこの規律の対象外となる可能性が高いと考えられます。

　このほか、「特定生体個人情報」に該当する生体データの具体的な範囲は今後の政令で定められます。顔特徴データ以外（指紋・虹彩等）がどこまで含まれるかは現時点では不透明であり、医療機関で用いられる生体認証技術への影響は政令の内容によります。

16歳未満の子どもの個人情報に関する規律の創設

改正の概要

　改正法は、16歳未満の子どもの個人情報を取り扱う場合に、法定代理人（保護者等）の関与を法律上義務付けました（改正法40条の2）。利用目的の通知、同意取得、漏えい時の通知といった場面で、本人ではなく法定代理人を相手方とすることが求められます。さらに、16歳未満の者については、事業者に違法行為がなくても利用停止等を請求できる権利が認められました。

ライフサイエンス・ヘルスケア分野への影響と実務対応のポイント

　小児科・小児病院における患者データの取扱い、子ども向けヘルスケアアプリやPHR（パーソナル・ヘルス・レコード）サービスの提供、小児を対象とする治験・臨床研究における同意手続に直接影響します。

　従来から小児の治験ではGCP（医薬品の臨床試験の実施基準）等に基づき法定代理人からの同意取得が実務上行われてきましたが、今回の改正で個人情報保護法上も法定化された点が重要です。
　医療機関は通常、患者の年齢を把握しているため、「16歳未満であることを知らないことについて正当な理由がある場合」の例外が適用される場面は限定的であり、法定代理人への通知・同意取得フローの整備が必要になります。

課徴金制度の導入

改正の概要

　改正法は、個人情報保護法違反に対する行政上の制裁として、課徴金制度を新設しました（改正法148条の3〜148条の17）。
　対象となる違反行為は、不適正利用（法19条）のうち具体的に明記された類型、不正取得（法20条1項）、違法な第三者提供（法27条1項）、および統計作成等特例に係る義務違反に限定されています。
　課徴金額は、違反行為の対価として得た財産上の利益（不当利得）に連動するものとされています。

ライフサイエンス・ヘルスケア分野への影響と実務対応のポイント

　医療機関の通常の診療業務において直ちに課徴金の対象となるリスクは限定的ですが、医療機関は病歴等の要配慮個人情報を大量に取り扱う事業者であるため、職員による不正な個人データの持ち出しや、統計作成等特例に基づく提供義務への違反が発生した場合には、課徴金の賦課対象となり得ます。

　また、統計作成等特例に基づいて医療データの提供を受けた事業者（AI開発事業者等）が目的外利用や不正な第三者提供を行った場合にも課徴金の対象となります。

　課徴金の具体的な算定基準は下位法令等で、適用場面はガイドライン等で明確化される予定です。

　医療機関、製薬企業、ヘルスケア事業者は、コンプライアンス体制を再点検し、特に統計作成等特例を利用する場合の義務遵守体制を整備しておくことが推奨されます。

他の関連法令・規制への波及と今後の動向

次世代医療基盤法との関係

　次世代医療基盤法 ⁹ は、国の認定を受けた事業者のみが医療機関等から医療情報を収集し、匿名加工または仮名加工を行った上で研究機関等に提供できる仕組みを定めた特別法です。
　今回の個人情報保護法改正で導入された統計作成等特例は、このような認定制を前提とせず、個人情報取扱事業者一般に適用される一般法上の特例です。そのため、次世代医療基盤法の認定を受けていない事業者であっても、統計作成等特例の要件を満たせば医療データを含む要配慮個人情報の提供を受けることが可能となり得ます。
　両制度の保護水準の違いや使い分けが、今後の実務上の重要な論点となります。

医療等データ利活用の特別法をめぐる動向

　個人情報保護法改正とは別の文脈で、医療等データの利活用に特化した包括的な特別法の制定をめぐる議論が進行しています。
　たとえば、内閣府の「規制改革推進会議」は2026年6月29日の答申において、個人の権利利益の保護と医療データの利活用の両立に向け、特別法の制定を含めた実効的な措置を検討し、2027年通常国会への法案提出を目指すべきとしました ¹⁰。
　この特別法は、公的データベースのみならず民間事業者・医療機関・学会等が保有するデータを含む医療等データの二次利用に関する基本理念や包括的な制度枠組みを定めるものとして構想されており、次世代医療基盤法の発展的な見直しや、個人情報保護法の統計作成等特例との関係整理も含めた検討が行われる見通しです。
　内閣府の健康・医療戦略推進事務局が運営する「医療等情報の利活用の推進に関する検討会」は、2026年10月9日に「医療等情報の利活用の推進に関する検討会とりまとめ ～医療等情報の利活用に関するグランドデザイン・制度枠組み～」を公表しており、今後、医療等情報の利活用を推進するための取組みを進めるとともに、令和９年通常国会への法案提出を目指すとされていることを踏まえて、法制上の観点を含めた調整・検討を進めるべきとしています。

生命科学・医学系研究倫理指針の動向

　「人を対象とする生命科学・医学系研究に関する倫理指針」は、2026年8月27日付で一部改正が告示され、同年12月1日から施行されます。ただし、今回の改正は主に多機関共同研究における倫理審査の一括化等に関するものであり、令和8年個人情報保護法改正（統計作成等特例の創設、病院の学術研究機関該当性の明確化等）を踏まえた対応は含まれていません。
　今後、文部科学省・厚生労働省・経済産業省の3省合同で運営される「生命科学・医学系研究等における個人情報の取扱い等に関する合同会議」において、個人情報保護法改正を踏まえた同倫理指針のさらなる改正が検討されることになると考えられます。

　医療データを用いた研究を行う機関は、個人情報保護法改正と倫理指針の今後の改正の両方を一体的に注視する必要があります。

医療・介護等の個人情報の取扱い・安全管理に関する各種ガイドラインの動向

　個人情報保護委員会および厚生労働省が共同で公表する「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」は、既に2026年4月に一部改正されていますが、改正法の施行に向けたさらなる改正が見込まれます。
　とりわけ、統計作成等特例の医療データへの適用、病院等の学術研究機関への包含、同意取得困難性要件の緩和という3つの柱について、医療機関が具体的にどう対応すべきかが同ガイダンスで明確化されることが期待されます。

　このほか、ライフサイエンス・ヘルスケア分野で個人情報保護法と密接に関連するガイドラインとして、以下のようなものがあります。

　これらのガイドラインについても、今回の個人情報保護法改正を踏まえた整合的な改定が行われる可能性があり、今後の動向を注視することが望ましいと考えられます。