私たちの通院歴や診断名が、同意もなくAI開発に使われる？【気になるメンタルヘルスニュース・特別編】

こんばんは。

自分の診断名や通院歴は、だれにも知られたくないなって思ったことはありませんか？

私にはあります。

毎月最終土曜日は、TALESの分析をお届けしているのですが、今月はちょっと気になったので、「個人的に気になるメンタルヘルスニュース」の枠組みで、個人情報保護法改正について取り上げてみたいと思います。

休職していた時期があること、精神科に通っていること。それらがいつか、今の仕事や居場所を失うきっかけになるかもしれない。実際に起こるかどうかはさておき、想像すると、怖いです。

仮に不利益が無かったとしても、私のセンシティブな情報を、私の知らないところでやりとりされるのは心外です。

それを提供するかどうかは、私たち一人ひとりの判断じゃないんでしょうか。

そんな私たちの一番センシティブな情報が、本人の同意なく、氏名も住所もそのままの状態で、ある組織から別の組織へ渡る。

そんな制度が、2026年7月10日に法律として成立しました。

「個人情報の保護に関する法律等の一部を改正する法律」、通称「改正個人情報保護法」です。

https://www.ppc.go.jp/news/press/2026/260717/

この記事では、その中でも特に議論を呼んだ「統計特例（AI特例）」と呼ばれる制度について、法律に詳しくない方にも分かるように整理していきます。

何が変わるのか、なぜそうなったのか、そして私たちがこれから何を見ておくべきなのかを、一緒に考えていきましょう。

何が変わったのか

2026年7月10日に参議院本会議で可決・成立し、同月17日に公布されたこの改正法。

どうやら、「現在のAI技術の発展に伴って、個人情報の有用性に配慮しつつ、その一層の保護を図るため」に制定された法律らしいです。
2028年7月頃までに全面施行される見込みです。

この改正は大きく四つの柱で構成されています。

・統計作成（AI開発を含む）等を目的とするデータ利活用の促進（緩和）。
・同意不要の例外の一部拡大（緩和）
・新しいリスクへの規律強化（強化）。顔の特徴データの新設、16歳未満の保護など
・執行の実効性強化（強化）。課徴金制度の新設、罰則の引き上げなど

その中で、この記事で扱うのは一つ目のいわゆる「統計特例」です。

この統計特例は、病歴・犯罪歴・思想信条といった「要配慮個人情報」を、本人の同意なしに、氏名や住所を加工しないまま事業者間で提供することを認める制度です。

データの取得先によって二つのルートがあります。

・ルート1
　インターネット上に現に公開されている要配慮個人情報を、統計作成等の目的なら本人の同意なく取得できる。
　想定されるのは、ネット上に公開されている犯罪歴や信条、支持政党などの情報を自動収集して社会の傾向を分析するケースです。

・ルート2
　事業者が持っている個人情報（要配慮個人情報を含む）を、統計作成等が目的の第三者に本人の同意なく提供できる。
　想定されるのは、病院が患者の診断結果をAI開発事業者に提供するケースです。

ルート2は、つまり、私たちの許可なく、名前も住所も病歴も何もかも含んだ個人情報が、そのままどこかの統計作成（AI開発事業者）用に渡る、ということ。しかも、それが「統計等の作成」として整理できるなら、本人の同意はいらない。

足りない「私たちを守るルール」

それでも、十分、慎重に進めてくれるなら……という私たちの希望を打ち砕く事実。

現在の立て付けでは、差止請求制度も、被害回復制度も、十分な課徴金制度も、盛り込まれていません。

どういうことか。

差止請求制度とは、消費者団体等が、違法な個人情報の取扱いを「やめさせる」ことを求められる権利。

被害回復制度とは、個人情報保護法違反で被害を受けた人たちが、まとめて被害回復（賠償等）を求められる集団的な制度。

課徴金は、制度自体は新設されましたが、対象範囲が限定的（4類型のみ、情報漏洩は対象外）で、「額が低く対象も狭い」という批判が出ています。

つまり、一度流出した個人情報の取り扱いをやめさせることもできないし、被害を受けても集団訴訟はできないし、万一情報漏洩があっても、事業者側は大した損害（課徴金）を受けない。

ましてやうっかりミスや、ハッキングによる情報漏洩では金銭的な制裁、無し。

東京弁護士会は、2026年7月3日に会長声明を出し、こう述べています。

なぜ「生データ」が必要とされたのか

「高度な医療情報を扱うような国産AIを作るために、どうしても名前付きの病歴データが必要だ」という部分に納得できたとしても、そもそも「匿名」のデータであれば、これまでも流通していたんです。

それなのに、なぜ、新しく「もっと緩い」法律が必要になったのか。

実は、データを渡す側で照合できる状態であれば、受け取った側で個人を識別できなくても「個人データ」として扱われます。

氏名や住所を消して渡しても、IDや日時の組み合わせで元データと照合できる場合が多く、法的には「個人データの第三者提供」の問題が残るのです。そして個人データであれば、活用するために事業者間で受け渡すことはできなかった。

こうした隙間を埋めるために設計されたのが統計特例です。

一例として、生成AIサービスを使うために事業者が個人データを渡す方法は「委託」しかなかった。すると、委託先が自社のモデル学習に利用できないという問題があった。

でも、目的外のことに個人情報を使えないのは当たり前じゃないでしょうか。

「このルールを守っているとAI開発企業が学習に使えなくて困るから、ルールの方を緩めよう」というのが推進側のロジックなら、あんまりな気がします。

「最低限、名前は消してデータ提供する形でも良かったのでは」

個人情報をガッチガチに守っていると、AI学習のためのデータ整理が煩雑になって、開発が遅れる。

そのロジックは分かりました。

でも、最低限、名前を消すぐらいのことを義務づけても良かったのでは？　完璧じゃなかったとしても、無いよりマシでしょう。

推進派のロジックは、

「でも、氏名・住所を削除しても、患者ID・診療日時・生年月日などの組み合わせが残っていれば、提供元の病院側は「このデータが誰のものか」を照合できてしまうから、完ぺきにはできない。意味ないよ」

というもの。

この点については、法案審議の過程でも議論がありました。

2026年5月21日、衆議院の質疑で尾花瑛仁委員（自民党）が、個人情報保護委員会事務局長に「なぜ氏名の仮名化・削除すら義務付けないのか」という趣旨で追及しています。

回答は、要約すると、「AI開発では項目ごとの整理が困難な場合があり、提供元が不要な項目を判断することが容易ではないため」。

救いとしては、個人情報を提供する場合にも「必要がある場合」という要件があり、氏名等が明らかに不要で容易に削除できるのに漫然と提供すれば、この要件を満たさず違法になりうる。

今後、委員会規則・ガイドラインでPETs（プライバシー強化技術）・仮名化処理を具体化する。

という意向を政府は繰り返し表明しています。

参議院では要配慮個人情報を統計特例の対象から除く修正案が提出されました。提出したのは立憲民主党・公明党・沖縄の風の三会派ですが、少数で否決されています。

でも、名前や住所がなければ識別が困難になるのは事実なんだから、そこだけは最後の砦として残せばよかったのに。そうであれば、こんなに問題視されることもなかったじゃないか、と思うのは私だけでしょうか。

もう一つの大きな論点が、「統計作成等」ってどこまでよ？　という定義の話。曖昧ですよね。

極端な話、私が記事に使うために統計を作りたいのでデータくださいと言ったら許されるんですか。

「統計作成等」の定義は「個人情報保護委員会規則で定めるもの」となっており、具体的な適用範囲は今後の規則とガイドライン次第で決まるそうです。今は曖昧なんですね。

反対意見もあったけれど

参議院の参考人質疑（2026年6月19日）では、京都大学医学部附属病院の黒田知宏教授が、統計特例を導入しても利点はなく、情報漏えいへの安全管理義務もないため制度の安全性が下がると述べました。病院として患者データの提供は「怖くてできない」とのことです。

日本弁護士連合会も2026年4月16日の意見書で、統計情報等がプロファイリングに利用され、個人の権利利益の侵害を招くおそれがあると指摘し、統計作成等の範囲を法律で厳格に定めるべきだとしています。

例えば、何かの審査。就職。そういう時に病歴などのデータが、裏でプロファイリングに使われるのではないか。

そして私たちが「再出発」したいと頑張っている時に、足を引っ張ることになるのではないか。

私はそれが本当に怖いです。

AI開発の推進は、人権の穴を正当化するのか

個人情報保護法の目的は「個人情報の有用性に配慮しつつ、個人の権利利益を保護すること」であり、利活用と保護のバランスが前提にあります。

2022年末のChatGPT登場以降、AI開発の国際競争が加速し、統計作成やAI開発に必要なデータ利活用が政策課題になりました。

「対応の遅れはAI開発に大きな障害を生む」。

だから、個人情報保護の緩和が必要だ、と言うのです。

一方で、参議院の参考人質疑では、大門実紀史議員が課徴金や差し止め請求、被害回復が実現しない理由を問いました。

これに対し全国消費者団体連絡会の郷野智砂子事務局長は「経済優先の構造があるからだ」と答えています。

つまり、経済を優先するために、個人情報の保護や、人権への配慮は後回している、という批判に聞こえます。

他の国はどうしているの？

では、諸外国はどうなのでしょうか。

EU
もともと個人情報の管理に厳格で、GDPR（EU一般データ保護規則）を布いているEU。

要配慮個人情報にあたる「特別カテゴリー」のデータは原則として処理が禁止されています。

EUは2025年、AI関連規制を「AI Omnibus」と「DataOmnibus」の2つの法案に分けて提出し、AI Omnibusは2026年6月29日にEU理事会が正式採択しています。

ただし、AI事業者に「正当な利益」に基づくAI学習を明示的に認める条文は、最終的に本文から削除され、法的拘束力のない前文にのみ言及が残る形になりました。

法律専門家からは「法的確実性の確保に失敗した」と評されています。要配慮データの例外を含むData Omnibus（GDPR本体の改正）は交渉が停滞しており、最終採択は2026年末以降の見通しです。

2026年7月7日には欧州データ保護委員会（EDPB）が、生成AI目的のウェブスクレイピングに関するガイドラインの草案を公表しました。データ最小化措置等を求める内容ですが、意見公募中の段階で最終版ではありません。

つまり、EUでもAI開発のための個人情報保護緩和に向けて動いてはいるけれど、難航している、ということです。

韓国
2026年2月に国会で可決され、3月10日に公布されたPIPA（韓国の個人情報保護法）は、2026年9月11日に施行されます。

仮名加工したデータを統計作成・科学研究・公益目的のアーカイブの目的で本人の同意なく処理できる規定は、実は今回の改正より前からある既存の制度で、AI学習も「科学研究」のルートで法的根拠を得るという解釈が定着しています。

今回新設されたのは、主に企業側のガバナンス責任の強化です。

行政制裁金の上限は基本は総売上高の3パーセントですが、3年以内の繰り返し違反や1000万人超に影響する重大な違反などの加重要件に該当する場合は10パーセントまで引き上げられます。

なお、原形のまま（仮名加工をしない）個人データをAI学習に使うための特例は、改正PIPAには含まれておらず、別の法案として国会審議中（未成立）です。この点が日本の統計特例との決定的な違いです。

このように、EUも韓国も、AI開発のためにデータをもっと使えるようにしようとはしています。

ただ、病歴や思想信条のような特にセンシティブな情報については、両国とも踏み込みきれずに止まっています。

日本の統計特例は、その追加の保護措置を置かなかった点で、国際的に見てもかなり踏み込んだ選択になっていると言えるでしょう。

ただし、無制限ではない

ただし、この特例は無制限に使えるわけではありません。

利用は「統計作成等」の範囲に厳しく限定されており、目的外利用は禁止、第三者への再提供も原則禁止、違反した場合は一部では課徴金の対象になります。

特定の個人の病気の有無の判定や、採用・人事評価への利用、個人を識別できる形での分析結果の作成などは認められません。

まぁ、どこまで守られるかは分かりませんけどね。

一方で、個人情報保護委員会の規則で定める範囲はまだ決まっていません。
だからこの「規則」がどのように策定されるかによって、実際にどの程度きちんと取り締まられるかは変わってきます。

施行は2028年。私たちの情報は、私たちで守る

ここまで読んで、不安になった方もいるかもしれません。

要は、

・AI開発の推進は国策として重要だ。日本は遅れている（←分かる）
・国内の法律も整備しよう（←分かる）
・開発スピードを上げるため、個人の思想信条・犯罪歴・病歴などを含めた個人情報を、無同意・実名のままAI開発に使えるようにしよう（←？？？）

こういう状態を、私は疑問視しています。

ただ、施行はまだ先です。

「統計作成等」の具体的な範囲は、これから個人情報保護委員会の規則とガイドラインで決まっていきます。

病歴・犯罪歴・思想信条。

これらの情報は、人が挫折や失敗から立ち直って生きていこうとするときに、後から足を引っ張る力を持っています。

「もう大丈夫」と思えた頃に、過去の情報が第三者に渡り、今ある仕事や人間関係を失うかもしれない。

「失敗や挫折を許さない社会」に向かっているようで、一当事者として怖いです。

もちろん、実際に施行されてみて、「なんだ、大丈夫だったね」となる可能性だってあります。

でも漏洩する可能性が上がるだけで怖いですし、その怖さや、失われる私たちの人権や、被りうる被害に、AI開発の推進効果が見合っているか、というのも疑問です。

個人情報の保護をしない状態のデータを渡せるようにしたからって、本当にそんなに大きな推進効果があるでしょうか？　そしてそれがもたらす富は、この法律が捨て去ったものと同じ重さなのでしょうか。

十分な説明も検証もなく、このように個人情報保護法に風穴を開けるような法律が可決されたことが、残念でなりません。

そして私は、システムを作る側にいる人間として、一度外部に渡ったデータの行き先を後から追いかけるのがどれほど難しいかを知っています。他人事だと思えません。

だからこそ、この件を知ることが、自分を守る第一歩です。

施行までに何が決まるのか、どんな議論が行われるのか。

個人情報保護委員会の動きを注視し、必要なら声をあげる選択肢を持つこと。それこそが、私たち自身で私たちの権利を守る道なのだと思います。

決まっていない部分は、たくさんあります。
私たちの個人情報は、私たちで守る。
そんな気持ちを、一緒に持てたら嬉しいです。

最後まで読んでくださり、ありがとうございます。

関連記事

#YeKu
#個人情報保護法
#メンタルヘルスニュース
#プライバシー
#AI開発
#要配慮個人情報
#社会がすき
#最近の学び