- 改正で何が「同意不要」になり、何が変わらないか同意が不要になるのは、統計作成等にのみ利用する場合で、公表・書面での合意などの条件を満たした提供に限られる。施行日までは特例を使えない（FIG.01）。
- 自社のデータ活用が特例の対象になり得るか、どこで見分けるか施行時期・目的・公表・書面合意・データの出どころの5つの問いで、特例を使えない場合を先に除く（FIG.02）。最終的な判断は弁護士など専門家に確認する。
- 施行までに、誰が何を準備するかデータ棚卸し → 目的整理 → 体制整備 → 記録の順に進め、法務・情報システム・事業部で確認を分担する（FIG.03・FIG.04）。
改正は「入口の同意を外す」と「出口の縛りと課徴金を強める」がワンセット。対象・条件・使えない場合・留意点を分けて読む
上の帯で全体の構造をつかみ、01 対象 → 02 条件 → 03 使えない場合 → 04 留意点の順に読む（スマートフォンでは上から下へ）
統計作成等の特例 ─ 事前の同意を不要にする代わりに、用途の縛りと違反時の課徴金を置く
施行は公布（2026年7月17日）から2年を超えない範囲で政令で定める日。それまでは特例を使えない
対象
● 個人データ等の第三者提供と、公開されている要配慮個人情報の取得
● 統計の作成等にのみ利用される場合（統計作成等と整理できるAI開発等を含む）
● 「統計作成等」の具体的な範囲は、個人情報保護委員会規則で定められる
条件
● 提供元と提供先の双方が、名称・行おうとする統計作成等の内容などを公表している
● 提供先との書面（電磁的記録を含む）の合意で、この特例による提供であると明確に定めている
● 公表は、データを取り扱う期間中、継続する
特例を使えない場合
● 施行日より前の提供
● 提供先が取り扱う目的の一部でも、統計作成等以外を含む場合
● 他社から特例で受け取ったデータ（複製・加工したものを含む）を、さらに特例で提供する場合
留意点
● 公表した統計作成等に必要な範囲を超える取扱いと、原則としての第三者提供は禁止。違反は課徴金の対象になり得る
● 16歳未満の者の個人情報や顔特徴データ等は、規律が強化される
法律の条文と個人情報保護委員会の公表資料のうち、確認できた要件だけを要約しています。条文上の「一定の場合」を除く規定や、政令・規則・ガイドラインで定まる細部は含めていません。法律の解釈を示すものではなく、個別の案件は弁護士など専門家への確認が必要です。
出典個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」の公布について（2026年7月17日）https://www.ppc.go.jp/news/press/2026/260717/ ／ 改正法の条文 https://www.ppc.go.jp/files/pdf/260717_houritsu.pdf（第30条の2、第31条の3、第148条の3、附則第1条） ／ 法律案の概要 https://www.ppc.go.jp/files/pdf/260407_gaiyou.pdf 確認日 2026-09-25
- 統計の作成等（統計作成等と整理できるAI開発等を含む）にのみ利用する場合、提供元と提供先の双方による公表や書面での合意などの条件を満たせば、個人データの第三者提供に本人同意が不要になる
- 代わりに課徴金制度が新設。特例で入手したデータの目的外利用も対象で、「同意不要＝自由に使える」ではない
- 施行は公布（2026年7月17日）から2年以内に政令で定める日で、それまで特例は使えない。この期間をデータの棚卸しと体制づくりに使えるかが分かれ目
1. 「統計作成等（AI開発等を含む）なら同意不要」という特例ができた
2026年7月10日、改正個人情報保護法が参議院本会議で可決・成立し、7月17日に公布されました。企業や団体が保有する個人データを第三者に提供する場合、これまでは原則として事前に本人の同意が必要でした。改正法は、統計の作成等（統計作成等と整理できるAI開発等を含む）にのみ利用する場合に限り、公表や書面での合意などの条件のもとで、この同意を不要とする特例を新設しています。病歴など特に慎重な扱いが求められる「要配慮個人情報」も、公開されているものであれば、統計作成等の内容などを公表していることを条件に、同意なく取得できる対象に含まれます。
背景にあるのは、米国・中国に後れを取る国内AI開発への危機感です。AIの性能は学習するデータの量に大きく左右されるため、データを集めやすくして開発を後押しする狙いがあります。想定されている使い方の一つがヘルスケア領域で、病院・薬局・ヘルスケアアプリ事業者などからデータ提供を受け、個人ごとに整理したうえで生活習慣と疾患の因果関係を分析する——これまで同意の壁で難しかった分析が可能になります。
一方で、緩和とセットで課徴金制度が新設され、事後の取り締まりは強化されます。「事前規制を緩め、事後規制を強める」という構造への転換が、今回の改正の本質です。施行は公布の日から2年を超えない範囲で政令で定める日とされ、「統計作成等」の範囲や課徴金の算定方法などの細かい運用ルールは、個人情報保護委員会が整備する政令・規則・ガイドラインに委ねられています。
出典個人情報保護委員会「令和８年 改正個人情報保護法について」https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/（2026年7月10日成立、7月17日公布の記載） ／ 改正法附則第1条（施行期日） https://www.ppc.go.jp/files/pdf/260717_houritsu.pdf 確認日 2026-09-25
2. その改正の構造 — 緩和と強化はワンセット
今回の改正でいちばん誤解されやすいのは、「同意不要＝データを自由に使える」という読み方です。実際の構造は逆で、入口の同意を外す代わりに、使い方への縛りと違反時のペナルティを重くしています。
特例で提供を受けたデータは、公表した内容の統計作成等に必要な範囲を超えて取り扱えず、原則として第三者にも提供できません。課徴金は、違反行為の対価として金銭などを得た場合に、それに相当する額（算定方法は政令で定める）の納付を命じる制度です。対象となる本人の数が1,000人を超えない場合などは命じられないとされ、対象行為には、違法・不当な差別的取扱いが想定される第三者への提供や、同意なく違法に行う第三者提供、不正な手段で取得した個人情報の利用などが並びます。そして重要なのは、特例で入手したデータを公表した範囲を超えて取り扱ったり、第三者に提供したりする違反も課徴金の対象に含まれていること。特例を使う企業自身が、新しいリスクを背負う設計です。
では、自社のデータ活用が「同意不要」の側に入るのか。条文で確認できる要件を、特例を使えない場合から順に除いていくと、境界が見えてきます（FIG.02）。
「同意不要」になり得るのは、5つの問いをすべて通過した提供だけ。1つでも当てはまれば、特例は使えない
Q1から順に答える。「はい」なら右（スマートフォンでは下）の結論で止まり、「いいえ」なら次の問いへ進む
- 提供する時点が、改正法の施行日より前かはいの場合特例は使えない。現行法の規律（原則として本人の同意）で判断する
- 提供先が取り扱う目的に、統計作成等以外のものが一部でも含まれるかはいの場合特例の対象外。目的の全部が統計作成等であることが前提になる。統計作成等は、大量の情報から、個人に関する情報ではない傾向や性質の情報を作る行為として定義されている
- 自社と提供先の双方が、名称や行おうとする統計作成等の内容などを公表していないかはいの場合要件を満たさない。公表は取り扱う期間中、継続して行う
- 提供先との書面（電磁的記録を含む）で、この特例による提供であると明確に定めていないかはいの場合要件を満たさない。合意の形で特例による提供を明記する
- 提供しようとするデータは、他社から特例で受け取ったもの（複製・加工したものを含む）かはいの場合特例による再提供はできない。
改正法の条文で確認できた要件だけを問いにしたもので、網羅的な要件一覧ではありません。条文上の「一定の場合」を除く規定、「統計作成等」の具体的な範囲（個人情報保護委員会規則で定める）、他の法令や業界ガイドラインとの関係は含めていません。法律の解釈を示すものではなく、個別の案件は弁護士など専門家への確認が必要です。
出典改正法の条文（第30条の2第5項〜第11項、第148条の3） https://www.ppc.go.jp/files/pdf/260717_houritsu.pdf 確認日 2026-09-25
3. 経営者が判断すべき論点
この改正を「AI業界のニュース」として流すか、自社の2年後の打ち手として扱うか。経営者が決めるべき論点は次の3つです。
- 自社が保有する顧客データ・取引データを、施行後にAI・統計でどう活かすか。構想を持って施行を迎えるか、様子見で迎えるか
- 特例を使う前提となる「目的の管理」——どのデータを・どの根拠で・何に使っているかを追跡できる体制——を、自社でつくれるか
- 法的に許される使い方でも、顧客にそのまま説明できるか。「合法かどうか」と「顧客が納得するか」を分けて判断する基準を持つか
3つ目は軽視されがちですが、国会審議でも要配慮個人情報の取扱いを含む特例の制度詳細が論点となり、衆参両院の附帯決議では、特定の個人を識別できないようにする措置を確実に講じることなどが求められました。ルールが固まるまで様子見に回る企業も出てくるでしょう。法律が許すことと、顧客との信頼が許すことは別物。この線引きを自社で決めておくことが、施行後に迷わないための前提になります。
出典個人情報保護委員会「個人情報の保護に関する法律の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について」（2026年7月31日。国会審議の経過と衆参の附帯決議を収録） https://www.ppc.go.jp/files/pdf/260731_kongonotorikumi.pdf 確認日 2026-09-25
4. 現場で実行するための具体策
施行までの期間は「待ち時間」ではなく準備期間です。指針の公表を待たずに着手できることが4つあります（FIG.03）。特例を含む改正の主要部分が施行されるまでは現行法の規律で判断するため、同意取得の省略を先取りすることはできません。その前提で、土台を整えます。
施行までの準備は、データ棚卸し → 目的整理 → 体制整備 → 記録の順。前の段の結果が次の段の材料になる
左から右へ（スマートフォンでは上から下へ）。政令・規則・ガイドラインが公表されるたびに、02と03を見直す
- データ棚卸しAI・分析に関わるデータの種類・保管場所・管理者と、いまの取得・提供の根拠（本人同意・委託など）を一覧にする。AIツール・委託先の契約も洗い出す（本文01・02）情報システム・事業部
- 目的整理データごとに何に使っているか、施行後に何に使いたいかを書き分ける。統計作成等にのみ使う候補と、それ以外を分ける事業部・経営者
- 体制整備利用目的を追跡できる台帳とルール、公表・書面合意の手順、委託先との取り決めを設計する。政令・規則の公表後に照合する（本文02・03）法務・情報システム
- 記録公表した内容、書面の合意、判断の経緯と専門家への確認結果を社内の記録として残し、四半期ごとに台帳と突き合わせる（本文04）法務・事業部
政令・規則・ガイドラインの公表 → 02 目的整理と03 体制整備を見直す
準備の進め方の一例で、実績を示すものではありません。法令上求められる公表・記録の具体的な範囲は、今後の規則・ガイドラインで確認してください。個別の案件は弁護士など専門家への確認が必要です。
日付の確認状況（2026-09-25時点）─ 2026年7月10日 成立／7月17日 公布／罰則の一部改正は公布の日から6か月を経過した日に施行／特例・課徴金を含むそれ以外の規定は公布の日から2年を超えない範囲で政令で定める日に施行（施行日を定める政令は未確認）。個人情報保護委員会は7月31日に施行までのロードマップを決定し、9月16日に政令・規則の基本的な考え方（第1弾）を公表しています。
出典改正法附則第1条 https://www.ppc.go.jp/files/pdf/260717_houritsu.pdf ／ 個人情報保護委員会「令和８年 改正個人情報保護法について」 https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/ 確認日 2026-09-25
01データと提供根拠の棚卸し
プライバシーポリシーの利用目的・第三者提供の条項を確認し、AI活用に関わるデータの流れが、現在どの根拠（本人同意・委託・匿名加工情報など）に基づいているかを一覧にします。施行後は「新特例」という選択肢が加わるため、いまの根拠を整理しておくことが全ての土台になります。どのデータがどこにあり、誰が管理しているかが曖昧な会社は、まずそこからです。
02AIベンダー・委託先との契約の照合準備
今回の改正では、データ処理の委託を受けた事業者の適正取扱義務も見直されます。AIツールやSaaSの利用規約、業務委託契約のデータ取扱条項を洗い出し、指針が公表されたらすぐ照合できる状態にしておきます。学習データの取得根拠が「同意・委託・新特例」のどれに当たるかを、ベンダー選定時の確認項目に加えておくと、施行後の切り替えがスムーズです。
03「目的の管理」を前提にしたガバナンス設計
特例データの目的外利用は課徴金の対象です。つまり、どのデータが・どの根拠で・何の目的に使われているかを追跡できる管理体制が、特例活用の前提条件になります。データごとに利用目的の異なる管理が求められるため、事務負担は増える方向です。台帳とルールを先に設計しておけば、この負担は仕組みで吸収できます。
04指針・政令のウォッチ体制と記録
「統計作成等」の具体的な範囲、課徴金の算定方法、施行日を定める政令。これらは施行までに政令・規則・ガイドラインとして順次示されます。個人情報保護委員会は2026年7月31日に施行までのロードマップを決め、9月16日には政令・規則の基本的な考え方（第1弾）を公表しています。公表のたびに自社の規程・契約への影響を確認する担当と頻度を決めておきます。四半期に一度、Step 01の棚卸し表と突き合わせるだけでも、施行日に慌てない状態を保てます。確認した日と内容、専門家に確認した結果は、そのつど記録に残します。
4つの準備は、1つの部署では完結しません。誰が何を確認するかを、先に1枚にしておきます（FIG.04）。
法務・情報システム・事業部で確認を分け、特例を使うかどうかと顧客への説明は経営者が決める
行が確認事項、列が担当。●が責任を持つ人、○が関与する人。●は経営として判断する点
| 確認事項 | 法務 | 情報システム | 事業部 | 経営者 |
|---|---|---|---|---|
| 保有データと取得・提供の根拠の一覧 | ○ | ● | ○ | ─ |
| プライバシーポリシーの利用目的・第三者提供の条項 | ● | ─ | ○ | ─ |
| データごとの利用目的（統計作成等にのみ使うか） | ○ | ─ | ● | ○ |
| AIツール・委託先の契約とデータ取扱条項 | ● | ○ | ○ | ─ |
| 利用目的を追跡できる台帳・アクセス管理 | ─ | ● | ○ | ─ |
| 政令・規則・ガイドラインの確認と記録 | ● | ○ | ─ | ─ |
| 特例を使うかどうか、顧客にどう説明するか | ○ | ─ | ○ | ● |
表は横にスクロールできます
分担の一例で、実績を示すものではありません。法務担当がいない会社は、顧問弁護士など外部の専門家と役割を置き換えてください。個別の案件の適法性は、弁護士など専門家への確認が必要です。
5. 失敗しやすい落とし穴
- 施行前に同意取得を省略してしまう。特例が効力を持つのは施行日以降です。「法律が成立したから」と現時点で同意を省くと、現行法の規律に反するおそれがあります。
- 「同意不要＝自由に使える」と読む。特例は統計作成等にのみ利用する場合に限られ、公表した範囲を超える取扱いは課徴金の対象になり得ます。入口が開いた分、使い方の管理はむしろ厳しくなります。
- 指針が出るまで完全に止まる。線引きの詳細は指針待ちですが、棚卸しや契約整理は今日から可能です。様子見のまま2年を過ごすと、施行日から体制づくりを始めることになります。
- 強化された側の規制を見落とす。16歳未満の個人情報や顔特徴データの取り扱いは、今回むしろ規制が強化されます。緩和のニュースだけを見て、自社に関係する強化項目を確認しないのは危険です。
最初に確認する3項目
- AI・分析に使っているデータを、一覧で答えられるかデータの種類・保管場所・管理者・取得や提供の根拠が1枚にあるかを確認します。一覧がなければ、FIG.03の01データ棚卸しから始めます。
- AIツールや委託先の契約で、データの扱いを確認したか利用規約・業務委託契約のデータ取扱条項（学習への利用の有無、再委託など）を洗い出します。
- 政令・規則・ガイドラインを確認する担当と頻度が決まっているか個人情報保護委員会の「令和８年 改正個人情報保護法」のページを、誰がいつ確認するかを決めます。個別の案件の判断は、弁護士など専門家に確認します。
6. eapとしてどう支援するか
eapがAI活用の支援に入るときは、ツールの導入からではなく、事業の構造とデータの棚卸しから始めます。今回の改正への備えも同じで、「どのデータが・どの根拠で・何に使われているか」を見える化し、施行後にどのデータをAI・統計で活かせば事業価値になるかの構想づくりまでを、経営の伴走者として一緒に進めます。
体制づくりの実装段階では、グループ会社のラフノートと連携し、データ台帳の整備や利用目的を追跡できる管理の仕組み化まで巻き取ります。法律の詳細な解釈が必要な場面では、顧問弁護士など専門家との連携を前提に、経営判断に必要な論点を整理してお渡しします。
ルールが固まってから動くのではなく、施行までの2年を準備に使う。多くの企業が様子見に回るからこそ、先に土台を整えた会社に機会が集まります。
参考：個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律案の閣議決定について」（2026年4月7日）、「個人情報の保護に関する法律等の一部を改正する法律の公布について」（2026年7月17日）。改正法は2026年7月10日に参議院本会議で可決・成立し、7月17日に公布。本記事は2026年9月25日に確認した公開情報に基づきます（初出は2026年7月12日時点）。施行日・運用基準は今後公表される政令・規則・ガイドラインをご確認ください。本記事は法律の解釈を示すものではなく、個別の案件は弁護士など専門家への確認が必要です。