提供統計作成等用個人データ等とは？定義や具体例、企業に求められる対応など

　本稿は、令和8年改正個人情報保護法の成立・公布後の2026年8月時点で公表されている情報に基づく一般的な解説です。公表方法や「統計作成等」の範囲を含め、提供統計作成等用個人データ等の具体的な取扱いについては、今後、政令 ¹、個人情報の保護に関する法律施行規則（以下「委員会規則」といいます）、ガイドライン等の整備状況により変わり得ます。施行日を含め、最新の情報をご確認ください ²。

　なお、本稿における「法」とは個人情報保護法を指し、また、特に断りのない場合、同法の条文は改正後のものを示します。

提供統計作成等用個人データ等とは

法律上の定義と新設の背景（個人関連情報の統計作成等特例）

（1）前提となる「個人関連情報の統計作成等特例」とは

　提供統計作成等用個人データ等は、個人関連情報の統計作成等特例（法31条の3）の中で新設される概念です。そのため、まずは特例の基本構造を押さえる必要があります。

　ここでいう「統計作成等」とは、法2条13項において次のとおり定義されています。

　出力が「個人に戻らない」ことが本質である点は、個人情報ルート（法30条の2）と同じです（個人情報ルートの詳細は1-2をご参照ください）。個人ごとのスコアリングや個人向け広告・営業への転用は、そもそも「統計作成等」に当たらず、特例の枠外となります。

（2）提供統計作成等用個人データ等の定義

　以上を踏まえて、提供統計作成等用個人データ等は次のように整理できます。

　提供統計作成等用個人データ等は、「提供を受けた側」で発生する概念です。データの流れは、次のように整理できます。

（3）新設された背景

　個人関連情報の統計作成等特例の新設の背景には、「個人データにしなければ自由に流通できる」という理解を封じる狙いがあります。個人データに至らない個人関連情報（Cookie・広告ID等）の段階でも、統計作成等目的の提供には、継続公表・目的外利用禁止・再提供制限という枠組みを及ぼすことで、加工途中・個人関連情報の段階の「抜け穴」を遮断しています。

「提供統計作成等用個人情報等」との違い

　統計作成等特例には、対象とする情報の違いに応じて、以下の2つのルートがあります。両者は規律の構造がほぼ並行していますが、出発点となる情報が異なります。

2つの統計作成等特例ルートの比較

提供統計作成等用個人データ等の具体例

　提供統計作成等用個人データ等に該当するもの／しないものとして、たとえば次のようなものが挙げられます。

提供統計作成等用個人データ等に関する規定

現行法の規定の振り返り

　現行法における個人関連情報の規律は、第三者提供に関する確認義務が中心です（現行法31条）。すなわち、提供先が個人関連情報を「個人データとして取得することが想定される」場合に、提供元は本人の同意が得られていること等をあらかじめ確認しなければならない、という仕組みです。
　もっとも、統計作成等を目的とする包括的な提供の枠組みはなく、また、個人データに至らない個人関連情報の段階や加工途中の情報については、規律が及びにくいという指摘がありました。

改正法の規定（受領者に課される義務）

　改正法は、提供統計作成等用個人データ等を取り扱う受領者（特例個人関連情報受領者）に、個人情報ルートと並行する次の義務を課します（法31条の3第2項〜7項・9項・10項）。

提供統計作成等用個人データ等を取り扱う受領者の主な義務

企業に求められる対応

改正法の施行に向けたタイムライン

　改正法（個人情報の保護に関する法律等の一部を改正する法律）は、2026（令和8）年7月10日に参議院本会議で可決・成立し、同月17日に公布されました。施行日は、一部を除き、公布日から2年以内の政令で定める日とされています。

　統計作成等特例は国会審議で最大の争点となった部分であり、公表方法・要件の細目や「統計作成等」の範囲などが、委員会規則・ガイドラインで具体化される見込みです。事業者としては、これら下位法令の整備状況やパブリックコメントの動向を注視しながら、段階的に準備を進めることが現実的です。

成立から施行までのタイムライン（イメージ）

施行までに求められる実務対応

　改正法が施行されるまでの間に、個人関連情報の統計作成等特例に関して事業者として対応すべき項目としては、次のようなものが挙げられます。

（1）公表体制の整備

　提供元である個人関連情報取扱事業者は、提供元・提供先の名称や統計作成等の内容等を、取扱期間中継続して公表できる仕組みを整えます。変更時の事前公表フローも設計します。

（2）目的の限定管理

　提供統計作成等用個人データ等を取り扱う特例個人関連情報受領者は、提供を受けた情報を、公表した統計作成等の範囲を超えて利用しないよう管理します。特に、個人に戻る処理（送客・ターゲティング等）への転用を技術的・組織的に遮断します。

（3）再提供の遮断・契約の見直し

　特例個人関連情報受領者は、個人データだけでなく、個人データでない段階（個人関連情報）の再提供も原則禁止されます。データ購入・送客・マーケティング委託の契約や連携フローを見直し、原則禁止を前提とした設計に改めます。提供元との書面合意（特例による提供である旨の明記）も整備します。

（4）データフローの棚卸し・安全管理

　特例個人関連情報受領者は、Cookie・広告ID等をめぐるデータフローを棚卸しし、統計作成等特例のルートで受領したものを識別・分別して管理します。安全管理措置（法23条〜25条準用）や越境提供時の措置も整備する必要があります。

その他の留意点

　上述1-1（1）のとおり、個人関連情報の統計作成等特例の利用可否は、出力が「個人に戻るか否か」で線引きされます。取組みの名称や社内での呼称が「統計」「AI学習」であっても、個人向け営業・与信・選別への転用は特例の枠外であり、課徴金の対象ともなり得ます（課徴金制度の詳細は5-2をご参照ください）。
　この特例は、個人データに至らない個人関連情報の段階や加工途中の情報にも規律を及ぼすものです。「個人データにしていないから自由」という整理は成り立たない点に留意が必要です。

衆議院・参議院の附帯決議で示された方向性

　改正法の成立に際し、衆議院・参議院の各特別委員会は、それぞれ附帯決議（各14項目）を付しました。附帯決議は法的拘束力を持つものではありませんが、今後整備される委員会規則・ガイドラインの内容を方向づける「予告」として実務上重要です。
　個人関連情報の統計作成等特例（提供統計作成等用個人データ等）に関係する主な項目は、次のとおりです。

統計作成等特例に関する衆参附帯決議の主な項目

　これらの附帯決議は、統計作成等特例が「規律の緩和」ではなく、再識別防止・課徴金による執行という強い拘束を伴うルートであることを裏づけています。
　とりわけ、Cookie・広告ID等の個人関連情報を用いた高精度プロファイリング（第5項）や、AIモデルによる再識別・推知リスク（第3項）は、今後の規制強化・監督強化が見込まれる論点であり、委員会規則・ガイドラインの整備動向を注視することが重要です。

違反した場合のペナルティ

提供統計作成等用個人データ等の規律に違反した場合

　提供統計作成等用個人データ等に関する規律に違反した場合、個人情報保護委員会による監督の対象となります。

課徴金制度

　さらに、これらの違反のうち一定のものは、改正法で初めて導入される課徴金制度（法148条の3以下）の対象とされている点に注意が必要です。具体的には、目的外利用（法31条の3第5項違反）や、違法な再提供（法31条の3第6項・7項違反）が、課徴金対象行為として明示されています（法148条の3第1項4号・5号）。
　なお、課徴金は、違反行為の対価として金銭等を得た場合等の要件の下で課され、本人の数が一定数を超えない場合等は除かれます。

　この点は、周知義務や利用停止義務が課徴金の直接対象とされていない他の新設類型とは異なり、統計作成等特例の目的外利用・違法再提供は正面から課徴金の対象とされていることを意味します。Cookie・広告ID等を用いた送客・マーケティングのデータフローは、経営リスクとして管理し、公表・目的限定・再提供制限・安全管理の各要件を確実に満たす内部統制を整えることが求められます。