個人データの統計特例とは？｜同意なしで使える範囲

「顧客の購買履歴を生成AIの学習に使いたいと開発の部門から言われましたが、同意を取り直す必要があるのかが分からず、半年止まっています」「グループ会社からデータを持ち寄って分析の基盤を作る話が、法務の一言で止まりました」。——データを持っている会社ほど、この2つはほとんど同じ時期に起きます。誰かが違法だと言い切ったわけではありません。判断する材料がないまま、止めておくほうが安全だという結論に落ち着いているだけです。ずれているのは慎重さではなく、前提のほうです。本当は、この問いが止まっていたのは、法律の側に受け皿が無かったからでした。その受け皿が、2026年7月17日に公布された改正個人情報保護法で1つ増えます。統計作成等に関する特例です。この記事では、この特例で何ができるようになり、何は変わらないのか、いつから使えるのか、そして施行までに社内で決めておくことは何かを整理します。

「この顧客データ、AIの学習に使ってよいのか」で半年止まる

止まり方には型があります。開発の部門が、蓄えてきた購買履歴や問い合わせの記録を学習に使いたいと言う。法務や情報システムの部門は、本人の同意をどう扱うのかと聞き返す。取得したときの利用目的を読み直すと、そこには当時の事業の言葉しか書かれていない。誰も違法だとは言っていないのに、誰も先に進めないという状態が、そこから半年ほど続きます。

この構図は、データを持っている会社ほど起きます。手元にある件数が多いほど、使ったときの効果も、外したときの影響も大きく見えるからです。しかも判断を下す仕事が誰の担当にもなっていません。法務は聞かれた範囲にしか答えませんし、開発は法律の言葉で説明を組み立てられません。止める人がいないのに動かない、という形で時間だけが過ぎます。

もう1つ、進まない理由があります。同意を取り直すという選択肢が、実務では思ったほど使えないことです。何年も前に取得した連絡先は届かない割合が高く、届いても返信が来ない。一部だけ同意が取れると、同意が取れた人と取れなかった人でデータの性質が偏り、解析の結果そのものが歪みます。取り直せば解決するという前提が、最初から成り立たない場面があるということです。

2026年7月17日に公布された改正で、動いた一点

事実から確認します。個人情報の保護に関する法律等の一部を改正する法律は、2026年4月7日に閣議決定されて国会に提出され、2026年7月10日に成立、同月17日に公布されました。個人情報保護委員会が公表している法律の概要では、改正の柱が4つに分けられており、その1つめの先頭に置かれているのが今回扱う内容です。

その概要には、こう書かれています。個人データ等の第三者提供及び公開されている要配慮個人情報の取得について、統計情報等の作成にのみ利用される場合は本人同意を不要とする。そして括弧書きで、統計作成等であると整理できるAI開発等を含むと明記されています。条文でいえば第30条の2と第31条の3です。AI開発という言葉が概要の本文に出てくること自体が、この改正の狙いを示しています。

施行の時期は、附則の1条で「公布の日から起算して二年を超えない範囲内において政令で定める日」とされています。つまり2028年7月17日までのどこかで、政令が具体的な日を決めるということです。書き方から分かるとおり、今日の時点では日付が決まっていません。公示送達や罰則の一部など、ごく一部の規定だけは公布から6か月を経過した日に施行されますが、統計作成等の特例はそこには含まれていません。

• この改正には、こどもの個人情報の扱い、顔の特徴のデータの規律、連絡が可能な情報の不適正な利用の禁止、そして課徴金の制度など、ほかにも大きな項目が並んでいます。この記事は統計作成等の特例の1点だけを扱います。改正全体の見取り図が必要な場合は、改正の総覧を扱った記事のほうを参照してください

止めていたのは、同意を求める2つの規定だった

なぜ特例という形が必要だったのかを、先に押さえておきます。いまの法律では、信仰や病歴や犯罪歴といった差別につながり得る情報、いわゆる要配慮個人情報の取得には、原則として本人の同意が必要です。第20条2項です。また、個人データを第三者に提供するときも、例外に当たる場合を除いて本人の同意が必要とされています。第27条1項です。

実務で話が止まるのは、たいていこの2つのどちらかに触れる瞬間です。データが自社の外に出るときと、外から機微な情報を集めてくるとき。社内で分析の企画を書いているあいだは誰も止めませんが、提供先の名前が入った資料になったとたんに法務の欄が埋まらなくなります。止まる場所が決まっているので、逆にいえば、その2か所に道を作れば流れは変わります。

特例が置かれた場所も、まさにこの2か所です。第30条の2は、統計作成等を行う目的であれば、第18条と第27条1項にかかわらず本人の同意を得ないで第三者に提供できるという構えになっています。同じ条の1項は、現に公開されている要配慮個人情報を本人の同意を得ないで取得できるという構えです。新しい種類のデータが使えるようになったのではなく、止まっていた2か所の扉に条件付きの鍵が付いた、と読むのが正確です。

新しく定義された「統計作成等」という言葉の中身

この特例は、統計作成等という言葉に全部ぶら下がっています。言葉の定義は改正後の第2条13項に置かれました。条文は長いのですが、分解すると3つのことしか言っていません。1つめ、大量の情報が入口にあること。2つめ、そこから要素に係る情報を抜き出して分類や比較その他の解析を行うこと。3つめ、作り出すのがその大量の情報の傾向または性質に係る情報であること。

そして3つめには括弧が付いています。「個人に関する情報であるものを除く」。さらに定義の末尾には、そのうち個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの、という絞りが入っています。つまり入口が大量であることと、出口が個人に戻らないことの両方を満たして、はじめて統計作成等と呼ばれます。片方だけでは足りません。

AI開発がここに入るのかどうかは、資料の側で明示されています。委員会の概要資料には、統計作成等であると整理できるAI開発等を含む、と書かれています。政府の方針の側でも、2025年12月23日に閣議決定された人工知能基本計画に、統計作成等であると整理できるAI開発等の円滑化に資する本人同意の在り方を検討する、という趣旨の項目が置かれていました。AI開発という言葉が入っているから全てのAI開発が入る、という読み方だけは外します。入るのは、統計作成等であると整理できるものに限られるからです。

出口が個人に戻るなら、この道には乗らない

実務で最初に効いてくるのが、定義の括弧、つまり「個人に関する情報であるものを除く」の部分です。ここは条件というより入場の条件に近く、ここを満たさない企画は、他の条件をどれだけ整えても乗りません。判断の順番としても、いちばん先に置いたほうが無駄がありません。

線の引き方は、作ろうとしているものが誰に向かって出るのかで見ます。解約が起きやすい条件の傾向を出す、問い合わせの内容がどの型に分かれるかを出す、ある製品の利用の仕方が業種によってどう違うかを出す。これらは傾向や性質の側です。一方、この顧客は解約しそうだという点数を1件ずつ付けて営業の一覧に戻す、この応募者は採用の基準に合うかどうかを判定する。出口が個人に向かって戻ってくるものは、この特例の外側にあります。

やりたいこと	この特例に乗るか	理由
解約が起きやすい条件の傾向を出す	乗り得る	出てくるのが集団の傾向で、個人に戻らない
問い合わせの文面を型に分けて件数を数える	乗り得る	分類と集計の結果で、特定の個人の情報ではない
顧客ごとの解約の確率を出して営業に渡す	乗らない	作るものが個人に関する情報そのものになる
取引先の担当者ごとの反応を採点して一覧にする	乗らない	個人に対する評価を出す取扱いにあたる
数十件の記録から気づきを言葉にまとめる	乗りにくい	大量の情報を入口とする解析とは言いにくい

表のうち、いちばん危ないのは最終行ではなく3行目と4行目です。企画書の段階では、この2つは傾向を出すという言葉で書かれていることが多いからです。傾向を出して、それを1件ずつに当てはめて戻す。この後半が付いた瞬間に出口が変わります。企画を読むときは、成果物が最後にどの画面のどの欄に入るのかまで聞いてください。欄が個人の行の中にあるなら、出口は個人です。

変わること1：統計作成等の目的なら、同意なしで提供できる

1つめの道が、第30条の2第5項です。第三者が個人情報を統計作成等の目的で取り扱う必要がある場合で、しかも取り扱う目的の全部が統計作成等目的である場合に、第18条と第27条1項にかかわらず、本人の同意を得ないでその第三者に提供できるという規定です。目的の全部、と書かれている点が実務では効きます。統計作成等に使い、ついでに営業の名簿にも使う、という構えでは条件を満たしません。

条件は2つ並んでいます。1つめは、提供する側と受け取る側の双方が、インターネットの利用その他の委員会規則で定める方法により、双方の氏名または名称と、行おうとする統計作成等の内容その他の規則で定める事項を公表していること。2つめは、その第三者との間の書面による合意で、この提供がこの規定によるものである旨が明確に定められていることです。書面には電磁的記録も含まれます。

そして5項にはただし書があります。その個人情報が、他の事業者からこの規定によって提供されたものである場合は、この限りでない。つまり受け取ったデータを、さらに別の会社へ回すことはできません。複製したものや加工したものも同じ扱いです。3社で持ち寄る構想は、1社が集めて2社に配るのではなく、それぞれの提供の関係を個別に組む必要があるということになります。

なお、個人情報ではない個人関連情報についても、同じ構えの特例が第31条の3として置かれています。こちらは提供を受ける側が個人データとして取得することが想定される場合の確認を、一定の条件で省けるという形です。公表と書面の合意という2つの条件は、第30条の2第5項と同じ並びになっています。

変わること2：公開されている要配慮の情報を取れる

2つめの道が、第30条の2第1項です。統計作成等を行う目的、または5項による提供を行う目的で、現に公開されている要配慮個人情報を取り扱う必要がある場合に、第20条2項にかかわらず本人の同意を得ないで取得できるという規定です。ここでも、取り扱う目的の全部がそのどちらかである場合に限られます。

条件は公表です。事業者の氏名または名称、取得した要配慮個人情報を用いて行おうとする統計作成等の内容、または提供を行う目的でその要配慮個人情報を取り扱う旨、その他の規則で定める事項を、あらかじめ公表していること。委員会の資料では、この場面の例としてインターネット上に公開されている情報を機械的に集めてくる取得の仕方が図に挙げられています。

押さえどころは「現に公開されている」の5文字です。公開されていない情報は対象に入りません。また、いったん公開されていたものが公開をやめられた場合にどう扱うのかは、条文の文言だけでは読み切れません。いま公開されているかどうかを、取得の時点で確かめられる仕組みが要るということです。法人向けの事業では、この道を使う場面はそれほど多くありませんが、外部の公開情報を集めて市場の傾向を出す取り組みでは関係してきます。

変わらないこと：自社の中だけの学習は、この特例の外にある

ここがこの記事のいちばんの芯です。第30条の2が外しているのは、第三者への提供についての第18条と第27条1項、そして公開されている要配慮個人情報の取得についての第20条2項です。自社が自社のデータを自社の中だけで学習に使う行為を、正面から許す条文ではありません。冒頭の相談、つまり自社の購買履歴を自社の生成AIの学習に使ってよいかという問いは、この特例では片付きません。

自社の中の扱いは、いままでどおり、取得したときに特定した利用目的の範囲に入るかどうかで決まります。範囲の外に出るなら、利用目的の変更の手続を踏むか、本人の同意を得るか、別の例外に当たるかを見ていくことになります。手順そのものは改正の前と変わりません。同じ改正で、社外に出す話だけが先に動いたと理解しておくと、社内の説明がぶれません。

• 特例ができたので、社内のデータをAIの学習に使うことに同意が要らなくなった、と説明してしまう。外れたのは提供と取得の場面の同意であって、自社内の利用目的の話ではない
• 統計作成等という言葉を、大量のデータを解析すること全般の意味で使ってしまう。定義には出口が個人に戻らないことと、規則で定める範囲に入ることの2つの絞りがある
• 提供の相手と口頭で合意し、契約書には従来どおりの秘密保持の条項しか入れない。書面でこの規定によるものである旨を明確に定めることが条件になっている
• 公表を1度だけ出して終わりにする。取り扱っている期間は継続して公表することが求められている
• 特例で受け取ったデータを、同じグループの別会社にも回す。再提供は禁じられている

同じ改正には、自社の中の扱いに関わる別の入口も入っています。第18条3項に号が追加され、本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として規則で定める場合には、目的外の利用について同意が要らないという形になりました。ただしこれは統計作成等の特例とは別の条文であり、どこまでがそこに入るのかは規則が決まるまで分かりません。2つを混ぜて説明すると、社内の判断が必ずずれます。

乗ると決めたら背負う、3つの続く義務

この特例は、1度条件を満たせば終わりという作りになっていません。使っているあいだ、ずっと続く義務が付いています。企画の段階で見落とすと、後から運用の担当が困る部分なので、先に確認しておきます。

1つめは公表の継続です。提供を受けた側は、そのデータやそれを複製し加工したものを取り扱っている期間、公表すべき事項を継続して公表しなければならないとされています。第6項です。変更するときは、双方があらかじめ変更する旨と内容を公表する場合に限って変更できます。第7項です。公表は出したら終わりの掲示ではなく、取り扱っている期間ずっと最新でなければならないという構えになっています。

2つめは目的外の取扱いの禁止です。第9項は、公表している内容の統計作成等を行うために必要な範囲を超えて取り扱ってはならないと定めています。3つめは第三者提供の禁止で、第10項と第11項が、法令に基づく場合等を除いて第三者に提供してはならないと定めています。公表した内容が、そのまま自分を縛る範囲になるということです。だから公表の文面を広く書きすぎると説明の負担が増え、狭く書きすぎると後で身動きが取れなくなります。

なお、この特例に関わる違反のうちいくつかは、同じ改正で新しく入る課徴金の対象行為として条文に列挙されています。制度の仕組みそのものはこの記事の範囲を超えるので立ち入りませんが、条件を満たさないまま使うことが、注意や指導で済む話として設計されていないことだけは押さえておいてください。

外国の会社に渡すなら、もう一段の条件が付く

提供先が外国にある事業者の場合、第30条の2第5項の括弧の中で条件が足されています。個人情報等の取扱いについて、国内の事業者が講ずべきこととされている措置に相当する措置を継続的に講ずるために必要なものとして規則で定める基準に適合する体制、いわゆる基準適合体制を整備している者に限る、という形です。

さらに第13項があります。基準適合体制を整備している外国の第三者に提供した事業者は、規則で定めるところにより、その第三者による相当な措置の継続的な実施を確保するために必要な措置を講じ、その必要な措置に関する情報を公表しなければなりません。この場合、第28条3項は適用されないとも書かれています。相手の体制を確かめる作業と、確かめ続ける作業と、確かめている旨を公表する作業の3つが増えます。

実務への影響ははっきりしています。海外のモデル開発の会社や、海外にある同じグループの会社にデータを渡して解析する構想は、国内の相手に渡すのと同じ手間では進みません。企画の初期に提供先の所在を確定させておかないと、後で体制の確認から始めることになり、想定していた期間を超えます。提供先が国内の会社でも、その先で海外の基盤を使っているなら、そこも含めて見ておく必要があります。

いつから使えるのか、まだ決まっていないのは何か

使える日は、まだ決まっていません。附則の書き方は、公布の日から起算して2年を超えない範囲内において政令で定める日から施行する、というものです。2026年7月17日の公布から数えるので、いちばん遅くて2028年7月17日ということになります。前倒しされる可能性もありますが、本稿の執筆時点では政令が出ていません。

決まっていないのは日付だけではありません。委員会が2026年8月26日に決定した、政令や規則等で定める事項の全体像という資料を見ると、統計作成等の特例については政令の欄が空で、委員会規則の欄に2つ並んでいます。1つは、統計作成やAI開発等のうち個人の権利利益を害するおそれが少ないものの範囲。もう1つは、特例に関する公表の内容と方法、基準適合体制の内容などです。指針と想定問答の側では、基本的な考え方と具体的な事例を示すこととされ、特に取り扱う必要がある場合の考え方を含むと書かれています。

検討の進み方も公表されています。2026年9月9日付けの事務局の資料では、9月中旬にこどもや顔の特徴のデータなどの基本的な考え方を議論し、9月下旬から10月上旬に統計作成等と委託先と漏えい等を扱う、10月中旬にさらに別のまとまりを扱う、という日程が示されています。その後、条文の案を提示して意見公募の手続に入る流れです。つまり、統計作成等の具体的な中身が委員会の場で議論されるのは、これからということになります。

この状況での実務の構えは1つです。いま決められるのは、条文に書いてあることだけを前提にした準備で、規則の中身を先読みして設計まで作り込むのは早すぎます。どこまでが条文で、どこからが今後決まる部分なのかを、社内の資料の中で線を引いて分けておいてください。この線を引いておかないと、規則が出たときに何を直せばよいのかが分からなくなります。

先に決めておくこと1：公表する文面と、利用目的の書き方

施行を待つあいだにできることのうち、いちばん効くのが公表の文面です。条件として求められているのは、氏名または名称と、行おうとする統計作成等の内容。この2つめが曲者で、いまの利用目的の書き方のままでは、そのまま流用できない会社がほとんどです。サービスの向上のため、という一行からは、何を作るのかが1文字も読み取れないからです。

書くときの順番を決めておくと、部門をまたいでも同じ粒度になります。何のデータを入口にするのか。そこから何を作るのか。作ったものがどこに出ていくのか。出ていった先で、個人に戻る使い方をしないと言えるのはなぜか。この4つが埋まれば、公表の文面の骨格はできます。埋まらない欄があるなら、それは文章の問題ではなく、企画がまだ決まっていないという合図です。

もう1つ、公表の文面には期限の感覚を入れておいてください。取り扱いをやめたときに公表を下ろす担当が決まっていないと、使っていない取り組みの説明だけが何年も残ります。載せる仕組みと下ろす仕組みを同時に作るのが、いちばん手戻りの少ない進め方です。

先に決めておくこと2：記録をどこに、どの形で残すか

この特例は、書面による合意を条件に組み込んでいます。しかも求められているのは、合意が存在することだけではありません。その提供がこの規定によるものである旨が明確に定められていることです。従来の秘密保持の条項や、データの取扱いに関する一般的な条項では、この要件を満たしているとは言いにくくなります。

契約の文面をどう組むかは、規則とガイドラインが出てから詰めることになりますが、いま決めておけることはあります。どの契約書に書くのか。既存の取引基本契約の中に足すのか、別の覚書にするのか。誰が保管し、どこに置くのか。そして、公表した文面のその時点の写しを、契約書と同じ場所に残しておくかどうか。条件を満たしていたことを後から示せる形にしておく、というのが記録の目的です。

• どのデータを、どの範囲で提供するのか。項目の名前まで特定できているか
• 提供先が取り扱う目的の全部が統計作成等目的であることを、書面の上で確認できるか
• その提供がこの規定によるものである旨が、書面に明確に書かれているか
• 提供する側と受け取る側の双方が、公表を出しているか。出した日付が分かるか
• 公表した文面の写しを、いつ時点のものとして保管しているか
• 提供先が外国にある場合、体制の確認をいつ誰が行ったかを残しているか
• 取り扱いを終えたときに、公表を下ろす担当と期限が決まっているか

記録の置き場所は、法務の書棚よりも、そのデータを扱っている部門の近くにあるほうが機能します。実際に困るのは、契約を結んだ人ではなく、2年後にそのデータを別のことに使おうとする人だからです。データの目録の側から契約と公表にたどり着ける形にしておくと、目的外の取扱いはかなり減ります。

先に決めておくこと3：委託と、この特例による提供を分ける

社内で混ざりやすいのが、委託とこの特例による提供の区別です。分析の会社にデータを渡す、という1つの言い方の中に、性質の違う2つが入っています。委託は、自社の業務の一部を任せる形で、受け取った側は自社のためにそのデータを扱います。この特例による提供は、相手が相手の目的で統計作成等を行う形です。どちらなのかを決めないと、公表も書面の合意も書きようがありません。

同じ改正では、委託を受けた側の義務も新しく条文になりました。第30条の3です。他の事業者や行政機関等から個人情報の取扱いの委託を受けた事業者は、法令に基づく場合等を除いて、委託された業務の遂行に必要な範囲を超えて取り扱ってはならないとされています。2段階以上にわたる委託も含むと書かれているので、再委託の先まで届きます。

実務でやることは単純です。いま外部に出しているデータの流れを一覧にして、それぞれが委託なのか提供なのかを1件ずつ決める。決められないものは、決められない理由を書いて残す。この一覧があると、施行までに手を入れる対象がその場で絞れます。全部の契約を見直すのではなく、性質が変わるものだけを見直すという進め方ができるからです。

• データを分析に使える形にする手段は、この特例だけではありません。加工して個人を特定できないようにしてから扱う方法や、本物を使わずに作ったデータで検証する方法もあります。どれを選ぶかは、作りたいものと、社内の体制と、費用で決まる別の判断です。この記事では手法そのものには立ち入りません

AIに任せてよい工程と、人が決める工程を作業名で分ける

この準備は、読む資料の量に対して判断の量が少ない仕事です。条文、委員会の資料、自社のデータの目録、既存の契約書。だからAIに任せられる部分はあります。ただし最終的には人が確認する、という言い方では運用に落ちないので、作業の名前で分けます。

作業	AIに渡すか	理由と条件
条文と委員会の資料から、該当箇所を抜き出して並べる	渡せる	文字の抽出。どの資料のどのページから取ったかを必ず添えさせる
自社が外部に出しているデータの流れを一覧に整える	渡せる	転記の作業。分からない欄は空欄のまま残させる
公表する文面の下書きを作る	渡せる	入口と出口を人が決めたうえでの清書。文言の確定は人が行う
社内向けの説明資料の下書きを作る	渡せる	言い回しの下書き。条文の番号と日付は人が突き合わせる
この取扱いが統計作成等に当たるかの判断	渡さない	定義の当てはめ。外すと条件を満たさないまま動き出す
成果物が個人に戻らないかの確認	渡さない	企画の中身を読む作業。書面の言葉だけでは分からない
契約の条項と公表の文面の確定	渡さない	相手に対する意思表示になる。誤りがそのまま条件になる

渡すときの条件は3つです。1つめは、どの資料のどこを見てそう言ったのかを必ず添えさせること。委員会の資料は日付が入った形で公表されているので、日付と資料名があれば人の確認は短く済みます。2つめは、空欄を空欄のまま残させること。一覧を作らせると、契約書が見当たらない取引先の欄が必ず空きます。ここを他の行から類推して埋められると、一覧としては見栄えが良くなり、判断の材料としては最も危ない形になります。

3つめが、この時期に特有の条件です。まだ施行されていない条文と、今後決まる規則と、いま生きている規定を、必ず分けて書かせること。混ぜて書かれると、すでに使える制度だと読める文章ができあがります。日付を必ず入れさせ、施行日が未定である旨を消させないようにしてください。AIに判断させない範囲を先に決めておくと、出てきた文章を読む時間も短くなります。

よくある質問

施行前のいま、この特例を使ってよいですか

使えません。施行日は政令で定められることになっており、本稿の執筆時点では決まっていません。いまできるのは、施行されたときに動けるように、対象になりそうな取り組みを洗い出し、公表の文面と契約の形を検討しておくことまでです。先に始めて後から条件を整える、という順番は成り立ちません。

自社の顧客データを自社の生成AIの学習に使うことは、これでできるようになりますか

この特例では片付きません。外れたのは、第三者に提供するときと、公開されている要配慮個人情報を取得するときの本人の同意です。自社の中だけで使う話は、取得したときに特定した利用目的の範囲に入るかどうかという、従来からの筋道で判断することになります。

成果物が顧客ごとの点数になる場合はどうなりますか

統計作成等の定義から外れます。定義は、作り出すのが大量の情報の傾向または性質に係る情報であって、個人に関する情報であるものを除く、という形になっているからです。傾向を出す工程までは定義に入っても、それを1件ずつに当てはめて戻す工程が付くと、全体としての目的が変わります。

この特例で受け取ったデータを、別のグループ会社にも渡せますか

渡せません。第30条の2第5項のただし書は、この規定によって提供されたものを対象から外しています。複製したものや加工したものも同じ扱いです。複数の会社で持ち寄る場合は、それぞれの提供の関係を個別に組む必要があります。

公表はどこに、どのように出せばよいですか

条文では、インターネットの利用その他の個人情報保護委員会規則で定める方法とされています。具体的にどの形が認められるのかは規則で決まるため、いまの段階では自社サイトの中に置くことを前提に文面だけ準備しておくのが現実的です。

同意を取る道はなくなるのですか

なくなりません。この特例は、条件を満たす場合に同意なしで進める道が1本増えたという話です。同意を取れるならそのほうが説明は簡単ですし、特例の条件、つまり目的の全部が統計作成等であることや再提供の禁止に縛られずに済みます。どちらが自社の取り組みに合うかを比べたうえで選ぶ、という位置づけになります。

まとめ

2026年7月10日に成立し、同月17日に公布された改正個人情報保護法に、統計作成等に関する特例が入りました。内容は1つで、統計情報等の作成にのみ利用される場合に限って、個人データ等の第三者提供と、公開されている要配慮個人情報の取得について本人の同意を不要とするというものです。委員会の概要資料には、統計作成等であると整理できるAI開発等を含む、と明記されています。条件は出口にあります。定義は、大量の情報から要素を抜き出して解析し、その大量の情報の傾向または性質に係る情報を作る行為であって、個人に関する情報であるものを除く、という形です。個人ごとの評価や判定を出す取扱いは、ここに乗りません。使うときには、提供する側と受け取る側の双方が氏名と行おうとする統計作成等の内容等を公表し、書面の合意でこの規定によるものである旨を明確に定める必要があります。取り扱っている期間は公表を続け、公表した内容の範囲を超えて扱わず、受け取ったデータをさらに第三者へ回すことはできません。提供先が外国にある場合は、基準適合体制の確認と、継続的な実施を確保する措置と、その情報の公表が加わります。そして最も大事なのは、自社の中だけで自社のデータを学習に使う話が、この特例の外にあるという点です。そこは従来どおり、取得したときに特定した利用目的の範囲に入るかどうかで決まります。

施行は、原則として公布の日から起算して2年を超えない範囲内で政令が定める日とされており、本稿の執筆時点では日付が決まっていません。対象になる範囲、公表の内容と方法、基準適合体制の中身は、いずれも個人情報保護委員会の規則にゆだねられています。委員会が2026年9月9日に示した進め方では、統計作成等の基本的な考え方が議論されるのは9月下旬から10月上旬とされ、その後に条文の案を示して意見公募の手続に入る流れになっています。ですから、いま作り込むべきなのは設計ではなく、動けるようにしておく準備のほうです。外部にデータを出している流れを一覧にして、委託なのか提供なのかを1件ずつ決める。公表の文面を、入口のデータ、作るもの、出口が個人に戻らない理由の3点で書けるところまで書いておく。契約のどこに何を書くかと、記録をどこに残すかを決めておく。そして、条文で決まっている部分と、これから規則で決まる部分を、社内の資料の上で線を引いて分けておく。AIには資料の抜き出しと一覧の整理と下書きまでを任せ、統計作成等に当たるかの判断と、成果物が個人に戻らないかの確認と、公表と契約の確定は人が持ってください。まずは、いま止まっている企画が、出口の側から見てどちらに入るのかを確かめるところから始めるのが早道です。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。