【逐条で読む改正個人情報保護法】統計作成等の特例と医療データ
医療AIとプライバシーの綱引きを、条文・次世代医療基盤法・EHDS比較・現場チェックリストで深掘りする
グロッサリー
要配慮個人情報 — 病歴や信条、犯罪歴など、人によっては差別や偏見につながりやすい情報です。ふつうは、集めるときも他社へ渡すときも、本人の同意が必要とされてきました。
本人同意 — 自分の情報をこう使ってよいかどうかを、本人が「はい」と認めることです。
統計作成等の特例 — 統計づくりやAI開発のために使う場合にかぎって、一定の条件のもとで本人同意を要らなくする、今回の改正で新しく入った仕組みです。
統計情報 — たくさんのデータから、傾向や特徴だけを取り出したものです。特定の一人が誰なのかは分からない形になります。
第三者提供 — 自分が持っている個人データを、別の会社や団体へ渡すことです。
オプトアウト — 本人が「使わないでください」と言えば、使うのをやめてもらえる仕組みです。あらかじめ通知され、拒否する機会が与えられます。
匿名加工情報 — 特定の個人を分からないようにし、元に戻せないように加工した情報です。
仮名加工情報 — 他の情報と照らし合わせないかぎり、特定の個人が分からないように加工した情報です。匿名加工より元の形に近く、その分だけ扱いに注意が要ります。
次世代医療基盤法 — 医療データを匿名や仮名に加工してから使いやすくするための、別の法律です。医療ビッグデータ法とも呼ばれます。
EHDS — 欧州保健データスペースの略です。EUが作った、医療データの使い方を定める新しい枠組みです。
個人情報保護委員会 — 個人情報の扱いを見張る国の機関です。細かいルールもここが作ります。この記事ではPPCとも書きます。
この記事は、公開日の時点で確認できた情報にもとづく、一般向けの解説です。特定の対応についての法的な助言ではありません。とくに医師の守秘義務や、個別のデータ提供が適法かどうかは、専門家の判断が必要な領域です。制度の細かいルールは、これから規則やガイドラインで定まります。実務の判断が必要なときは、弁護士や所管の窓口、顧問の専門家にご確認ください。
はじめに：医療AIとプライバシーが、正面からぶつかりました
2026年7月10日、改正された個人情報保護法が参議院の本会議で成立しました。
この改正は、大きく言えば「保護」から「利活用」へと重心を移すものです[13][14]。とりわけ医療の世界では、病歴などの情報が、本人の同意なしにAI開発へ回りうる道が開かれました。これが、いま多くの人の関心を集めています。
この話は、単純な善悪では割り切れません。
医療AIを育てるには、たしかにデータが要ります。しかし、そのデータの入口には、名前入りの病歴という、もっとも慎重に扱うべき情報があります。推進する側にも、反対する側にも、それぞれの筋の通った理屈があります。
この長尺版では、note版よりも一歩踏み込みます。
改正の中身を条文に近いところまで見ていきます。推進側と反対側の論理をそれぞれ分解します。さらに、次世代医療基盤法との違い、EUの制度との比較、医師の守秘義務との関係まで扱います。最後に、患者と医療者が施行までにできることを、チェックリストの形でまとめます。note版と重なる基本の説明は最小限にとどめ、ここでは仕組み、条文、実務に絞ります。
2026年7月10日に成立するまで——時系列で押さえる
まず、どういう経緯でこの法律が成立したのかを、時間の順に見ておきます。ここを押さえると、議論の温度が分かります。
2026年4月7日、政府はこの改正案を閣議決定しました。
専門家からは、AIや統計分析のための利活用を広げる一方で、違反への取り締まりも強める、両面の改正だと解説されました[13][15]。出発点には、個人情報保護委員会がまとめた「3年ごと見直し」の制度改正方針があり[1][16]、医療等情報の利活用については、内閣府の検討会でも議論が重ねられてきました[17]。
6月15日、全国保険医団体連合会、いわゆる保団連が、廃案を求める声明を出しました[3]。7月8日には、参議院のデジタル特別委員会で採決が行われ、保団連はこれに抗議する声明を重ねて出しました[4]。そして7月10日、参議院本会議で可決され、成立に至りました[14]。同じ日、保団連は会見を開いて反対を続け、上野厚生労働大臣は「統計例外の適切な運用が重要だ」と述べています[5]。
施行、つまり実際にルールが動き出すのは、公布から2年以内とされています。だいたい2028年ごろの見込みです[14]。つまり、法律の骨組みは決まりましたが、細かい肉付けはこれからということです。
ミニまとめ
4月7日に閣議決定、7月10日に参議院本会議で成立しました。
保団連は6月・7月と反対声明を重ねました。
上野厚労相は「適切な運用が重要」と述べています。
施行は2028年ごろの見込みで、細かいルールはこれからです。
逐条で読む「統計作成等の特例」——何が同意なしになるのか
改正の中心にある「統計作成等の特例」を、なるべく条文に近いところまで見ていきます。ここが、今回いちばん議論になっている部分です。
まず、「統計作成等」という言葉が新しく定義されました。
大量のデータを分析して、傾向や特徴に関する情報を作ること、そのとき特定の個人に関する情報は取り除くこと、という意味です。そして、この定義には「統計作成にあたるAI開発」も含まれると、はっきり書かれています[2]。つまり、AIの学習も、条件を満たせばこの特例の対象になります。ただし、ここは誤解されやすい点です。すべてのAI開発が当然に含まれるわけではありません。あくまで「統計作成にあたる」と整理できるものにかぎられ、どこまでが該当するかは、PPCの規則で定められます。診療を支えるAIや、製品開発のためのAIが、どこまでこの枠に入るのかは、規則とガイドラインを待つ必要があります。
この特例のもとで、本人同意が要らなくなる行為は、大きく二つあります[2]。
一つは第三者提供です。統計づくりの目的なら、当初に定めた利用目的を超えても、個人データを他社へ渡せます。もう一つは、公開されている要配慮個人情報の取得です。病歴などの情報でも、統計づくりの目的なら、同意なしで集められます。保団連は、この核心部分を「法第30条の2第5項」と読み、最大の問題だと指摘しています[3]。正式な条番号は公布のときに確定しますので、この記事では保団連の読みとして紹介します。
ここで、入口と出口の違いをもう一度確認します。
出口、つまりできあがる統計情報は、特定の一人が誰なのかは分からない形になります。しかし入口、つまり加工が終わるまでの途中では、名前入りの病歴のまま扱われます。ある新聞の取材で、専門家はこう述べました。「処理されるまでは個人情報なわけですから、その取り扱いって結構重要です」[6]。安全そうに見える出口の裏で、生の情報が動いている、ということです。
https://news.yahoo.co.jp/articles/4ba4269b277863732ffb3ca3c67cb2292a789d95
では、歯止めは何もないのでしょうか。
そうではありません。法律の建付けとしては、いくつかの条件が置かれています[2]。渡す相手や統計の内容を継続的に公表すること。統計目的だけに使うことを、提供元と提供先の契約で確かめること。受け取った側が、公表した統計の範囲を超えて使わないこと。受け取った側が、さらに別の相手へ渡すのを原則として制限すること。こうした条件です。
ところが、批判側は、この条件が薄いと見ています[6]。
細かい中身は個人情報保護委員会の規則にゆだねられ、まだ固まっていません。提供元が名前を消してから渡す義務は、はっきりとは課されていません。受け取り手には、海外の企業や個人事業主も含まれうると指摘されています。そして、本人が個別に「使わないで」と言えるオプトアウトの仕組みが、明確には用意されていません。公表を見にいかないかぎり、自分の情報が動いていることに気づけない、というわけです。
推進側は「条件はある」と言い、批判側は「その条件は規則待ちで、いまは薄い」と言う。この評価の差が、議論の中心にあります。
ミニまとめ
「統計作成等」にはAI開発が含まれると明記されました。
同意不要になるのは、第三者提供と、公開された要配慮個人情報の取得です。
出口は匿名でも、加工が終わるまでの入口は名前入りのままです。
公表・契約・再提供制限などの条件はありますが、その厚さの評価が割れています。
医療機関が「学術研究機関」の例外に加わる意味
もう一つ、医療に直接関わる変更があります。
学術研究のための例外に、医療機関が加えられた点です。ここは統計作成の特例とは別の話なので、分けて理解しておくと混乱しません。
これまでも、大学などの学術研究機関には、同意なしで個人情報を扱える例外がありました。研究のためです。今回の改正では、その対象に、病院その他の医療の提供を目的とする機関も加えられます[2]。これにより、大学病院だけでなく、まちの病院も、研究目的でこの例外を使いやすくなります。
これ自体は、医療研究を後押しする、うなずける面のある変更です。臨床の現場が持つデータは、研究にとって貴重だからです。ただし、統計作成の特例と重なると、話は少し複雑になります。医療機関が、研究の名のもとに、どこまで同意なしでデータを扱えるのか。その線引きが、現場にとって新しい宿題になります。
ミニまとめ
学術研究の例外に、大学だけでなく医療機関も加わりました。
医療研究を後押しする面があり、これ自体は理解できる変更です。
統計作成の特例と重なると、線引きが現場の宿題になります。
推進側の論理——医療AIとデータ、そして国際競争
なぜ、これほどの反対がありながら、改正は進んだのでしょうか。
推進側の理屈を、できるだけ素直に並べてみます。片方だけを見ては、公平な判断ができないからです。
第一に、医療AIには大量の学習データが必要です。
料理の腕を上げるには、たくさんの食材で何度も試す必要があります。それと似ています。良い医療AIを作るには、多くの症例に触れさせる必要があります。
第二に、日本の医療データは使いにくい状態にありました。
データはあちこちの病院や制度に分かれています。既存の次世代医療基盤法を使うにも、加工や手続きに手間がかかり、「制度が複雑だ」という声が現場から出ていました[10]。
第三に、経済界の後押しがあります。
経団連やIT業界は、AI開発のためにデータをもっと使いやすくしてほしいと求めてきました。背景には、アメリカや中国とのAI競争があります。海外では、企業が共同研究費を出し、その見返りとしてデータ活用に参加する、といった産学官の協力も進んでいます[10]。厚生労働省も、医療データをAIの研究開発に使うためのガイドラインを示してきました[11]。医療とAIをつなぐ流れは、国全体の方針でもあります。
https://www.keidanren.or.jp/journal/times/2025/1218_13.html
第四に、今回の改正は取り締まりの強化も含みます。
ルールを破って利益を得る「やり得」を防ぐため、違反企業への課徴金という金銭的な制裁が新しく入ります[13]。守りを緩めるかわりに、破ったときの罰を重くする。そういう組み合わせだと説明されています。
こう並べると、推進側の理屈にも一理あります。
データがなければ、日本の医療AIは育ちにくい。これは本当です。問題は、そのデータの集め方が、患者の権利とどう釣り合うのか、という一点に絞られてきます。
ミニまとめ
医療AIには大量の学習データが必要です。
日本のデータは分散し、既存制度は手間がかかると言われてきました。
経済界と国際競争を背景に、利活用の後押しが求められました。
改正は課徴金など取り締まり強化も含む、両面の設計です。
反対側の論理——保団連・日弁連・専門家の懸念を分解する
推進側に理屈があるように、反対側にも具体的な心配があります。
ここを丁寧に分解します。感情論ではなく、それぞれが指している危険を見ていきます。
強く反対したのが保団連です。
開業医などが集まる団体で、成立まで一貫して反対しました[3][4][5]。その懸念を、五つに整理します[3][8]。
https://hodanren.doc-net.or.jp/info/declaration/2026-06-15/
一つ目は、情報が漏れる危険です。
加工が終わるまでは、特定の個人が分かる病歴のまま扱われます。その途中で漏れれば、取り返しがつきません。病歴は、いちど広まると消せない情報です。
二つ目は、責任の所在が分かりにくくなることです。データを渡した病院と、受け取った企業。事故が起きたとき、どちらがどこまで責任を負うのか。そこがはっきりしない、という指摘です。
三つ目は、医師の守秘義務との関係です。
医師には、患者の秘密を守る義務があります。同意なしにデータが外へ出ることが、この義務とぶつからないか。整理がついていない、という心配です。これは次の章でくわしく扱います。
四つ目は、受け取る側の体制です。
データを受け取る企業のなかには、セキュリティ体制が十分でないところもあるかもしれません。報道では、受け取り手に海外の企業や個人事業主も含まれうると指摘されています[6]。渡した先の守りが弱ければ、危険はそのぶん増えます。
五つ目は、本人が止めにくいことです。
この特例では、公表すれば足りるとされ、本人が個別に止めるオプトアウトの仕組みが、はっきりとは用意されていません[6]。これが積み重なると、医師と患者の信頼そのものが揺らぐ、と保団連は述べています[3]。
心配しているのは保団連だけではありません。
日本弁護士連合会も、改正案について意見書を出しました[9]。ある新聞では、医療データにくわしい専門家が「最悪の案」とまで述べたと報じられています[7]。ふだんは静かに進みがちな個人情報の法改正としては、めずらしく強い言葉が並びました。保団連は、本人同意の原則、プロファイリングの制限、忘れられる権利、罰則の強化などを、かわりに法制化すべきだと主張しています[3]。
https://www.nichibenren.or.jp/document/opinion/year/2026/260416_2.html
ミニまとめ
保団連は成立まで一貫して反対しました。
懸念は、漏洩・責任の所在・守秘義務・受け手の体制・止めにくさの五つです。
日弁連も意見書を出し、専門家からも強い批判が出ました。
反対側は、同意原則や忘れられる権利の法制化を求めています。
次世代医療基盤法との関係——匿名加工・仮名加工と何が違うのか
ここで、よく混同される点を整理します。
「医療データを同意なしで使う仕組みは、もともとあったのではないか」という疑問です。たしかに、次世代医療基盤法という別の法律があります。今回の特例と、どこが違うのでしょうか。
次世代医療基盤法は、医療ビッグデータ法とも呼ばれます。
この法律では、国が認定した事業者が、医療機関から集めた情報を匿名加工や仮名加工してから、研究などに使えるようにします。大事なのは、本人にオプトアウトの機会がある点です。あらかじめ通知され、いやなら拒否できます。そのうえで、加工してから使う、という順番です。
今回の統計作成等の特例は、この順番が違います。
加工する前の、名前入りの要配慮個人情報を、統計目的やAI開発なら同意なしで取得・提供できるようにするものです[2]。しかも、次世代医療基盤法のようなオプトアウトが、はっきりとは組み込まれていない、と批判されています[6]。
言いかえると、次世代医療基盤法が「通知して、拒否の機会を与えて、加工してから使う」という道だったのに対し、今回の特例は「公表して、加工前の生に近い情報を、統計目的なら使える」という、より入口の広い道を作った、と見ることができます。ここが、多くの専門家が警戒している点です。もちろん、どちらの制度も統計や研究のためという建前は同じです。しかし、本人の関与のさせ方に、はっきりした差があります。
ミニまとめ
次世代医療基盤法は、通知とオプトアウトの後に、加工してから使います。
今回の特例は、加工前の情報を、統計目的なら同意なしで扱えます。
特例にはオプトアウトが明確に組み込まれていない、と批判されています。
本人の関与のさせ方に、はっきりした差があります。
海外との比較——EUのEHDSは何を組み込んだか
日本だけを見ていると、良し悪しが分かりにくくなります。
医療データの二次利用に先に取り組んだEU（欧州連合）と比べてみます。二次利用とは、診療のために集めた情報を、研究や開発など別の目的にも使うことです。
EUには、GDPRという厳しい個人情報のルールがあります。そのうえで、医療データについては「欧州保健データスペース」、略してEHDSという枠組みを作りました。2025年に成立・発効し、GDPRを補って強める、特別なルールとして働きます。実際の適用は、数年をかけて段階的に進む設計です[12]。
https://note.com/miuraandpartners/n/n00499c7d3303
EHDSも、医療データの二次利用そのものは認めています。ここは日本の方向と同じです。ちがうのは、安全策の組み込み方です。EHDSでは、二次利用にあたって、本人が使わせない選択ができるオプトアウトの権利、匿名化や仮名化の義務、そして「安全な処理環境」の中でしかデータを扱えない仕組みが、はっきり定められています[12]。安全な処理環境とは、データを外に持ち出せない、鍵のかかった作業部屋のようなものだと考えると分かりやすいです。分析はその部屋の中でだけ行い、結果だけを持ち出す、という発想です。
つまりEUは、「使えるようにする」ことと「本人が止められる・持ち出せない」ことを、同時に法律へ書き込みました。日本の今回の改正は、使えるようにする方向は進めました。しかし批判側は、とくにオプトアウトのような本人が止める仕組みと、持ち出しを防ぐ処理環境の義務づけが薄い、と指摘しています[6]。
ただし、ここでも早すぎる結論は禁物です。
日本の特例でも、細かいルールは個人情報保護委員会がこれから規則やガイドラインで定めます[1]。その中身しだいで、安全な処理環境やオプトアウトに近い仕組みが入る可能性も、論理的には残っています。海外との差が縮まるのか、開いたままなのか。それは、これから作られるルールを見ないと分かりません。
ミニまとめ
EUは二次利用を認めつつ、強い安全策を同時に組み込みました。
EHDSにはオプトアウト権、加工義務、安全な処理環境があります。
日本は利活用を進めた一方、止める仕組みと処理環境が薄いと批判されています。
実際の安全策は、これから作られる規則しだいで決まります。
医師の守秘義務との関係——法的にどう整理されるのか
反対側の懸念のなかでも、医療現場にとって重いのが、守秘義務との関係です。ここを少していねいに見ておきます。
医師には、患者の秘密を守る義務があります。
これは古くからの職業倫理であり、法律にも根拠があります。患者は、秘密が守られると信じるからこそ、恥ずかしいことや言いにくいことも医師に話せます。この信頼は、診療の土台です。
現場の痛みは、具体的です。
外来の診察室で、患者から「先生、私のカルテは、勝手にどこかの会社へ渡っていませんか」と聞かれる場面を想像してみます。制度が入り組んでいて、医師がその場ではっきり答えられなければ、患者の不安は残り、信頼にひびが入ります。事務の側にも負担があります。どのデータが対象になるのか、患者にどう説明するのか、問い合わせにどう答えるのか。ただでさえ人手が足りない現場に、新しい仕事が積み上がります。とくに小さな診療所では、専任の担当を置く余裕もありません。制度の是非とは別に、この日々の重さは見落とせません。
ここで問題になるのは、統計作成の特例のもとで、医療機関が同意なしにデータを外へ渡すことが、この守秘義務とどう折り合うのか、という点です。法律が「同意は要らない」と定めたとしても、目の前の患者から見れば、自分の病歴が知らないうちに外へ出ることに変わりはありません。保団連が「医師の守秘義務違反が問われないか」と心配しているのは、まさにここです[3]。
この整理は、現時点でははっきりしていません。
だからこそ、これから作られる規則やガイドラインで、医師や医療機関が何を確認し、どう説明すればよいのかを、明確にする必要があります。上野厚労相が「分野ごとのガイドラインづくりに積極的に加わる」と述べたのも、こうした宿題を意識してのことだと考えられます[5]。医療機関としては、施行までに、提供の可否や範囲、患者への説明のあり方を、院内でどう決めるかを準備しておくことが求められます。
ミニまとめ
医師の守秘義務は、患者との信頼の土台です。
同意なしの提供が守秘義務とどう折り合うかは、まだ整理されていません。
これから作られる規則で、確認事項と説明のあり方を明確にする必要があります。
医療機関は、施行までに院内の方針を準備することが求められます。
患者と医療者のためのチェックリスト——施行までにできること
成立は終わりではなく、むしろ始まりです。
施行までは約2年あり、細かいルールもこれから作られます[14]。この間に、患者と医療者がそれぞれ確認できることを、リストの形でまとめます。
患者の側でできることです。そのままコピーして、チェックに使えます。
かかりつけの医療機関やサービスが、どんなデータを、どの会社へ渡すのかを、公表資料（サイトの「個人情報の取扱い」ページなど）で確認します。
病歴や受診歴のうち、外に出したくない情報がないかを、いちど整理しておきます。
不安があるときは、個人情報保護委員会の相談窓口（電話・ウェブ）に問い合わせます。
本人が止められるオプトアウトの仕組みが、今後のルールに入るかどうかを、PPCの発表で追いかけます。
気になる点があれば、パブリックコメントなどで意見を届けます。制度は、まだ作られる途中にいます。
医療者・医療機関の側でできることです。担当と期限を決めて進めます。
自院が要配慮個人情報を、どこへ、どの目的で提供しうるかを洗い出します（担当を決めて棚卸し）。
提供先との契約に、統計目的にかぎる旨、通信の暗号化、データの保持期間、消去の取り決めが入っているかを確認します。
同意なしの提供と、医師の守秘義務との関係を、顧問弁護士や倫理委員会に相談します。
院内で、誰が提供の可否を判断し、いつ、何を記録に残すのかを決めます（承認者と証跡を明確にします）。
患者から「私のデータは渡っていますか」と聞かれたときの説明を、あらかじめ用意します。
施行までの「いま準備すること」と、施行後の「実際に確認すること」を、分けて管理します。
国の側も、まだ動きます。上野厚生労働大臣は、「統計例外の適切な運用が重要だ」と述べ、規則や分野ごとのガイドラインづくりに積極的に加わって、不安や懸念を解消したい、という考えを示しています[5]。言いかえれば、法律が通ったあとの作り込みで、実際の安全性が決まる、ということです。
https://hodanren.doc-net.or.jp/info/news/2026-07-10/
ミニまとめ
施行まで約2年あり、細かいルールはこれから作られます。
患者は公表を確認でき、PPCの窓口にも相談できます。
医療者は守秘義務の整理、提供先の確認、院内ルールづくりが要ります。
成立後の規則しだいで安全性が決まるため、声を届ける余地は残っています。
よくある誤解を解く
最後に、この話でよく生まれる誤解を、いくつか解いておきます。
「統計にするなら匿名だから、こわくない」
これは半分だけ正しいです。出口の統計は匿名でも、加工が終わるまでの入口では、名前入りの病歴が動きます。危険は、その途中にあります[6]。
「もう決まったから、何をしても無駄だ」
これも正しくありません。成立したのは骨組みで、細かい規則はこれから作られます。オプトアウトが入るのか、処理環境が義務づけられるのか。ここに、まだ議論の余地があります[1]。
「医療AIに反対する人が騒いでいるだけだ」
これも一面的です。反対側の多くは、医療AIそのものに反対しているわけではありません。データの集め方が、患者の権利と釣り合っていないと言っているのです。EUのように、使いながら守る道もあります[12]。論点は、AIの是非ではなく、進め方の設計にあります。
ミニまとめ
匿名は出口の話で、入口では生の情報が動きます。
成立後も規則づくりが残り、議論の余地はあります。
反対の多くはAI否定ではなく、進め方への異議です。
論点は、利活用そのものではなく、その設計にあります。
参考文献
[1] 個人情報保護委員会. 個人情報保護法 いわゆる３年ごと見直しの制度改正方針. 2026年1月9日. https://www.ppc.go.jp/files/pdf/01-1_seidokaiseihousin.pdf
[2] 松田綜合法律事務所. 個人情報保護法改正案（2026）ポイント（中編）｜統計作成等の特例・同意規律の見直し・学術研究機関等. 2026年. https://jmatsuda-law.com/legal-note/2026-4-2
[3] 全国保険医団体連合会.【声明】病歴など要配慮個人情報の本人同意なき利活用に舵を切る 個人情報保護法「改悪法案」の廃案を求めます. 2026年6月15日. https://hodanren.doc-net.or.jp/info/declaration/2026-06-15/
[4] 全国保険医団体連合会.【抗議声明】個人情報保護法「改悪法案」の委員会採決に抗議します. 2026年7月8日. https://hodanren.doc-net.or.jp/info/news/2026-07-08/
[5] 全国保険医団体連合会.【個人情報保護法改正】上野厚労相「適切な運用が重要、法改正後に不安や懸念を解消したい」. 2026年7月10日. https://hodanren.doc-net.or.jp/info/news/2026-07-10/
[6] 朝日新聞デジタル（withnews）. AI開発なら同意不要 病歴も渡りうる個人情報保護法改正案の危うさ. 2026年. https://news.yahoo.co.jp/articles/4ba4269b277863732ffb3ca3c67cb2292a789d95
[7] 朝日新聞. 個人情報保護法の改正は「最悪の案」 医療データ専門家、異例の指摘. 2026年. https://news.yahoo.co.jp/articles/8bc0ccb7a6096f6fdb14836d0a824931e3d74e71
[8] MEDIFAX web（じほう）. 企業への病歴提供、本人同意なしに懸念 個情法改正、保団連「廃案に」. 2026年. https://mf.jiho.jp/article/268404
[9] 日本弁護士連合会. 個人情報保護法いわゆる３年ごと見直しの改正法案についての意見書. 2026年4月16日. https://www.nichibenren.or.jp/document/opinion/year/2026/260416_2.html
[10] 経団連. 医療AI研究開発と共創（週刊 経団連タイムス No.3710）. 2025年12月18日. https://www.keidanren.or.jp/journal/times/2025/1218_13.html
[11] 厚生労働省. 医療デジタルデータのAI研究開発等への利活用に係るガイドライン. 2024年. https://www.mhlw.go.jp/content/001310044.pdf
[12] 三浦法律事務所. Healthcare Legal Update Vol.3：欧州EHDS法における医療データの二次利用. 2025年. https://note.com/miuraandpartners/n/n00499c7d3303
[13] インターネットプライバシー研究所. 個人情報保護法改正案の閣議決定を読む──AI・統計分析のための利活用拡大と、執行強化の両面. 2026年. https://jtrustc.co.jp/knowledge/hogohou-kaisei-2604/
[14] セキュリティ対策Lab. 改正個人情報保護法が成立、病歴など要配慮個人情報も同意なく提供可能に. 2026年. https://rocket-boys.co.jp/security-measures-lab/amended-personal-information-protection-act-2026/
[15] GVA法律事務所. 令和8年個人情報保護法改正とは？全体像を弁護士が解説. 2026年5月. https://gvalaw.jp/blog/i20260515/
[16] TMI総合法律事務所.「個人情報保護法 いわゆる3年ごと見直しの制度改正方針」（令和8年1月9日）の解説. 2026年. https://www.tmi.gr.jp/eyes/blog/2026/17876.html
[17] 内閣府. 個人情報保護法の概要及びいわゆる３年ごと見直しの検討状況（医療等情報の利活用の推進に関する検討会 資料）. 2025年9月3日. https://www8.cao.go.jp/iryou/studygloup/20250903/pdf/s-5.pdf
【まとめ】
今回の改正のむずかしさは、良い悪いをひと言で決めにくいところにあります。医療AIを育てるには、たくさんのデータが要ります。これは本当です。日本のデータは分かれていて使いにくく、経済界も国際競争を理由に利活用を求めてきました。改正は、その求めに応える方向へ、大きく舵を切りました。課徴金の導入など、取り締まりを強める面もあります。
一方で、その入口には、名前入りの病歴という、とても慎重に扱うべき情報があります。出口の統計が匿名でも、途中では生の情報が動きます。だからこそ保団連や日弁連、専門家は、漏洩や責任の所在、守秘義務、本人が止めにくいことを心配しています。次世代医療基盤法が通知とオプトアウトを備えていたのに対し、今回の特例は入口がより広い、という指摘もあります。EUは、使えるようにしつつ、オプトアウトや安全な処理環境という強い安全策を同時に書き込みました。日本がそこに追いつくのかどうかは、これから作られる規則しだいです。
大切なのは、成立でこの話が終わったわけではない、ということです。施行までは約2年あり、細かいルールもこれからです。患者は公表を確認でき、相談窓口もあります。医療者は守秘義務との整理と院内ルールづくりが要ります。論点は、医療AIの是非ではなく、その進め方の設計にあります。制度は、いままさに作られる途中にいます。だからこそ、いま関心を持ち、声を届けることに意味があります。
note では、本テーマを短くまとめた入門版を公開しています。あわせてどうぞ。
note - 【個人情報保護法改正】 同意なしで病歴が動く？ー 統計作成特例の何が問題なのか
FAQ
Q1. 私の病歴が、勝手に企業に渡ってしまうのですか？
必ず渡るわけではありません。今回の特例は、統計づくりやAI開発のために使う場合にかぎって、本人同意なしでの提供を可能にするものです。誰に何を渡すかは公表することになっており、細かい条件は今後の規則で決まります。ただし、公表を見にいかないかぎり気づきにくい、という指摘があるのも事実です。
Q2. 自分のデータを使わせない選択（オプトアウト）はできますか？
現時点でははっきりしていません。批判側は、この特例には本人が個別に止めるオプトアウトの仕組みが、はっきり用意されていないと指摘しています。EUのEHDSにはオプトアウト権があります。次世代医療基盤法にもオプトアウトの機会があります。日本の今回の特例で、どこまで本人の選択が入るのかは、今後の規則やガイドラインの注目点です。
Q3. 次世代医療基盤法があるのに、なぜ新しい特例が要るのですか？
次世代医療基盤法は、通知とオプトアウトを経て、匿名や仮名に加工してから使う仕組みです。手間がかかり、現場から複雑だという声がありました。今回の特例は、加工前の情報を統計目的なら同意なしで使えるようにし、AI開発を後押しする狙いがあります。ただし、その分だけ本人の関与が薄くなる、という批判があります。
Q4. いつから始まるのですか？
施行は公布から2年以内とされ、だいたい2028年ごろの見込みです。それまでに、個人情報保護委員会が規則やガイドラインを作ります。つまり、成立はしましたが、中身が完全に固まるのはこれからです。
#個人情報保護法 #医療AI #要配慮個人情報 #医療データ #プライバシー #個情法改正 #医療DX #保団連 #EHDS #データ利活用
医療AIの発展に必要な「データの利活用」と、極めてデリケートな「病歴の保護」という、簡単には白黒つけられない対立が非常に分かりやすく整理されていて、深く考えさせられました。出口の統計情報が匿名であっても、そこに至るプロセスで生の情報が動くという指摘にはハッとさせられます。法律の骨組みが決まったからこそ、これからの2年間で策定される具体的な規則やガイドラインに、どれだけ実効性のある安全策を盛り込めるかが真の鍵になりますね。