★☆★JNSAメールマガジン　第340号　2026.6.12☆★☆

こんにちは
JNSAメールマガジン　第340号　をお届けします。

メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン　https://www.jnsa.org/aboutus/ml.html#passed

コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。

今回のメールマガジンは
朝日新聞東京本社編集委員
若江　雅子 様にご寄稿いただきました。

【連載リレーコラム】
改正個人情報保護法案の「紛糾」を解剖する

朝日新聞東京本社編集委員
若江　雅子

１．珍しく荒れる個情法改正
個人情報保護法（個情法）改正案が5月26日、衆議院を通過し、参議院での審議
が始まりました。今回の審議は個情法には珍しく（！）荒れている印象です。
衆院では野党から改正への懸念の声が相次ぎ、中道改革連合・無所属、参政党、
日本共産党が反対に回りました。参議院では、法案修正を求める声が一層強まる
可能性もあります。個情法は過去にも何度か大きく改正されてきましたが、これ
まではほぼ無風で成立しています。今回はなぜ、そんなに関心が集まっているの
でしょうか。

ざっくり言ってしまえば、AI開発やビッグデータ利用促進のために、世界にも
例を見ないほどの急進的な規制緩和に踏み切ろうとしているのに、それによって
生じるリスクへの手当て（課徴金や団体訴訟制度など）は経済団体などの反対で
骨抜きにされ、その結果、個人の権利や利益が侵害されるおそれが、誰の目にも
分かるほど高まってしまった――と、いうことでしょう。

以下、細かくみていきます。

２．「同意原則」に穴をあける特例
争点となっているのは、AI開発やビッグデータ活用を目的とした「統計等作成
目的の特例」です。

現行法は、事業者が個人データを第三者に提供するなど一定の取り扱いを行う
場合、原則として本人の同意を取得することを義務づけています。これによって
本人のあずかり知らぬところで、勝手に自分のデータを使われたり、不利益な
取り扱いをされたりすることを防ごうとしてきたのです。これに対し、今回の
改正では、それらの同意を、「統計やそれと同視できるようなAI開発」に利用
すると決まっている場合には不要とする、という特例を設けようとしています。

同意をとるという作業は、事業者にとってはなかなか厄介です。ごまかさずに
説明すれば、拒否する人もいますから、なかなかデータは集まらなくなりますし、
手間もコストもかかります。同意をとらずに済めば、データを容易に大きくする
ことができるでしょう。

特に今回、期待されるのは、ひとりひとりの個人に関する解析度を上げる効果
です。例えば私は、クレジットカード会社A社やキャッシュレス決済のB社、EC
サイトのC社にはAやBやCという消費行動を、道案内アプリ会社D社や鉄道会社
E社にはDやEという移動履歴を、E病院には病歴や健康診断結果を、書店F社には
Fという読書歴、勤務先のG会社には給与や家族や働き方・・・・などという形で
サービスごとに異なる相手に異なる情報を提供していますが、これらのAやBや
CやDやEやFやGなどの情報がX社に提供されれば、X社は、一人の人間の詳細な
内面や行動、現在置かれている環境などに深く迫ることができるようになるわけ
です。

特例の対象には要配慮個人情報の取得や第三者提供も含まれます。要配慮個人
情報とは、病歴や医師の診断結果、犯罪歴、信条、人種、社会的身分などの
機微な個人情報のことです。これらは不当な差別や偏見その他の不利益を生み
やすい情報なので、一般の個人情報より手厚く保護されてきました。

法案が成立すれば、「統計を作成する」「AIモデルを開発する」と表明する
事業者に対し、私たちの意向とは関係なく、これらの情報が顕名のまま提供
されることになります。例えば、遺伝性のある疾患を患っていることや、特定の
宗教の信者であること、あるいは被差別部落の出身といった情報を第三者に提供
されたくないと思う人がいても、同意を求められるどころか、事後的に拒否する
こと（オプトアウト）も認められません。

いわば、これまでの「同意原則」の一角に大きな穴が開けられることになりますが、
個人情報保護委員会（個情委）は「統計処理によって個人を特定できない情報に
するので、個人の権利や利益を侵害するおそれが少ないから大丈夫」と説明します。
AIモデルについても、「個人情報を生成しない場合に限って特例の対象にする」と
いうことです。

ただ、個情委が「大丈夫」と言っているのは、統計処理の「後」の話ですね。危険
性については統計処理が行われる「前」と「後」で分けて考える必要があります。

3．統計処理「前」リスク　外国企業や個人事業主にも生データ
　 悪用を防ぐ手当は薄い
中道改革連合の議員らが主に指摘しているのは個人データが統計情報やAIモデルに
なる「前」の段階の取り扱いの危険です。

個人データの提供を受ける「統計等作成者」になるには、認証や資格の取得など
の制約もなく、基本的に誰でも手を上げることができます。個人事業主でも、
外国の企業でも可能です。外国企業の場合、EUと英国の企業は日本企業と同じ
扱い、それ以外の国や地域の企業は「基準適合体制整備事業者」に限定されますが
（ただし、公開された要配慮個人情報を取得する場合は、その限定もありません）、
現行法の第２８条（外国にある第三者への提供の制限）で規定されている基準適合
体制整備事業者は、基本的に提供元と提供先が「日本の個人情報保護法の義務を
果たします」という契約を結んで、それを守るための継続的措置を講じていれば
適合体制が整備されているとみなされますので、仮にこれと同等のものとなるな
らば、大きな制約にはならないでしょう。

「統計等作成者」になるハードルがかなり低いので、悪質事業者が入り込み、
集めたデータをトクリュウに売り払ったり、十分な安全管理体制を整えていない
事業者がうっかり漏洩したりするおそれも少なくないでしょう。

仮に、自分の利用しているサービスの提供事業者が、怪しげな名前の事業者に
個人データを提供すると知って、自分のデータの提供はやめてほしいとオプト
アウトを申し出ても、事業者にはそれに応じる義務はありません。

万一、悪用や漏洩があっても、被害を最小限に抑えるために、野党は「提供元の
事業者は、生データのままではなく、個人の名前や住所などを匿名化してから
提供するべきだ」と主張しています。しかし、国会では松本尚・内閣府特命担当
大臣が「提供元の事業者の負担が大きくなる」などと答弁しており、現状は
応じるつもりはないようです。

先述のように、統計等特例が目指すことの一つは、あちこちの事業者がもつ
「ある人」に関するデータを大きくすることです。そのためには名寄せができる
ことが重要ですので、名前を削りたくはないのでしょう。ただ、このメルマガの
読者の皆さんには説明不要だと思いますが、あらかじめアルゴリズムとデータの
表記揺れなどを共通化してから名前をハッシュ化すれば、一定の安全性を確保し
つつ名寄せすることは可能です。答弁から見えてくるのは、手間をかければ、
本来の目的を実現し、かつ安全性も確保できるのに、その手間さえ回避しようと
する、事業者優先の姿勢だといえないでしょうか。

４．課徴金は弱く、救済もない　大臣は「性善説で」
それでも、百歩譲って、悪用や漏洩があった場合に事業者に強いペナルティを課す
ことができれば抑止力になるかもしれませんし、救済制度が整っていれば、私たち
の不安も多少は和らぐかもしれません。

例えば、統計を作成すると偽ってデータを横流ししようとしている事業者の気持ち
になってみてください。悪事が発覚した場合、欧米のように天文学的な金額の
制裁金が課されるのだとしたら、「やめようかな」と思うのではないでしょうか
（EUの個人情報保護法にあたるGDPRでは、違反に対する制裁金は最大で
「2,000万ユーロ」または「全世界の年間売上高の4％」のいずれか高い方です）。
でも、今回の改正で導入される予定の日本の課徴金制度の場合、その金額は微々
たるもの。なんと、違反行為によって得られた額の範囲内でしか課徴金の金額を
設定できないのです。つまり、違法行為を見つかって課徴金納付を命じられても、
事業者には少なくとも金銭的には「損」はないのです。

そもそも個情委が違反を検知できるかどうかも怪しいものです。というのは、
今回の特例では、提供元と提供先の事業者は契約を結んで、それぞれのウェブ
サイトで提供元・提供先などの名前や統計情報等の作成内容などを公表するだけで
よく、個情委に届け出る義務はありません。ですから、個情委が統計等作成に
携わる事業者の全貌を把握することは難しいでしょう。

つまり、悪質事業者が「個情委には見つからない可能性が高いし、たとえ見つ
かっても、失う金は儲けた金額以下でおさまるから損にはならない。じゃあ、
やってみようかな」と思っても不思議はありません。

更に言えば、法案が国会に提出される直前に、課徴金の対象行為から安全管理
措置義務違反が外れたため、安全管理が不十分な事業者が漏洩事故を起こしても、
課徴金の対象にはできなくなりました。私たちが大切な個人情報を漏洩される
被害を受けても、事業者側は個情法においては金銭的な負担を心配する必要は
ないのです。

それでも、もし、一定の資格をもつ消費者団体が個人に代わって差し止め請求
や被害回復の損害賠償請求を担える「団体訴訟制度」があれば、ある程度の
抑止力になったでしょう。それも法案が国会に提出される直前に、事業者団体
の反対で法案から消えてしまいました。

衆議院での質疑の中で、大臣は「性善説に立っているといわれたら、そうかも
しれない。性悪説で法制度を作ったら何もできなくなる」と答弁していました。

AI開発やビッグデータ活用が大切なことは理解できますし、データを集めやす
くする枠組みは必要だと思います。でも、入り口の規制を弱めるなら、出口で
悪人をやっつける事後規制を強化しないといけなかったし、事後規制を強化し
ないなら、入り口に頑強な安全対策をほどこさなければいけないのに、どっち
もできていないのです。穴だらけの特例制度に驚いていたのですが、「性善説
に立っている」と聞いて納得しました。規制がなくても事業者は悪いことは
しないはずだと信じるしかないのですね。でもそれでは、国民は怖くなって
サービスの利用を控え、かえって経済発展を阻害するのではないでしょうか。

日本を代表する某メーカーの幹部は「たとえ制度ができても、お客さんとの
信頼関係を考えたら、我が社はとても使えない」と話していました。もしか
すると、まじめな日本企業は使えず、悪徳事業者や、日本の顧客との長期的な
信頼関係を重視しない海外企業だけが使う制度になってしまうかもしれません。

せめて、提供元事業者に対して、データのハッシュ化と、オプトアウトの用意、
個情委への届け出を義務づける方向で法案を修正すべきではないでしょうか。
また、次の改正では課徴金の強化と団体訴訟の導入が必要でしょう。

5．統計等処理の「後」はリスクがないのか？
ここまでは、統計処理をする「前」の話でしたが、統計処理「後」は安全と
いえるのでしょうか。これについても、まだ疑問は払拭されていません。

一つはAIが個人情報を学習することによって、それを記憶し再現してしまう
リスクの問題です。国立情報学研究所の佐藤一郎教授は、「AIモデルの学習は、
データの匿名化処理とは本質的に異なり、出力時に個人情報を漏洩させない
ためには、学習データを仮名化する必要がある」と指摘しています。

統計情報はどうでしょうか。個人情報ではなくても、その使い方によって個人に
及ぼす影響があることは明らかです。

データが大きくなっていけば、一定のグループに対する属性や行動などの解像度
は上がっていきます。そして、統計的推論は、集団に属する個人への判断に容易
に結びつくものといえます。

例えば、「属性ＡとＢとＣを持つ人は98％の確率で浪費家である」「属性ＣとＤ
を持つ人は８０％の確率で短命」といった情報が大量に導き出され、ＡＩに聞い
たらすぐ教えてくれるようになったらどうでしょうか。その属性は「特定ジャンル
の音楽が好き」といったありふれた趣味だったり、背丈やくせ毛などの隠すことの
できない身体的特性だったりするかもしれません。

つまり、統計情報は集団と、そこに属する個人のプロファイリングを精緻化し、
時には差別や不利益な扱いを生むおそれもあります。ところが、日本の個人情報
保護法はプロファイリングの定義すらもたず、不利益プロファイリング・差別的
プロファイリングに対する規制が不十分で、議論も十分に進んでいません。この
ような状況の下では、特例によって作成した統計情報では、推論の個人へのあて
はめを禁止しておくべきではないでしょうか。

6.なぜ穴だらけ
今回の法改正の議論は2023年秋に始まりました。統計等作成の特例は当初の検討
案にはなく、浮上したのは2025年に入ってからです。実は、この直前の2024年の
年末、個情委は2025年の通常国会に予定していた法案提出を断念させられています。
法改正で導入しようとしていた課徴金制度と団体訴訟制度の導入に業界団体が反対
したためです。2026年の国会に改正法案を提出するためには、業界団体の望む
規制緩和策を入れて、その納得を得る必要がありました。そうした状況の中で出て
きたのが、この統計等の特例だったのです。議論の蓄積がないなかで突如、浮上
してきたことと、穴だらけの制度案になったことは無関係とはいえないでしょう。

実は、個情委が統計等特例の考え方を表明した直後の2025年3月、厚生労働省は
個情委に文書で懸念を伝えていました。「個人情報保護法における同意規制の
在り方について（意見）」と題された文書には、厚労省の衝撃と不安が切々と
つづられています。

「本人同意以外に、本人への通知やオプトアウト等の本人関与の在り方や、本特例
の適用可否・適切な保護措置等を審査・監督する機能についても言及がなく、
本人の権利利益の保護が十分にはたかれる仕組みとなっているのか不明である」

「顕名のまま、本人の関与なく不特定多数に提供・取得されること自体について、
国民が不安感・不信感を抱くおそれがあることから、これらの詳細に関する説明が
十分になされない中で制度の見直しに向けた議論が先行していくことに対し非常
に懸念がある」――。

厚労省はさらに、この統計等特例の「考え方」が急に示されたことを指摘し、
「データ利活用の方針・本人関与の在り方を抜本的に見直すことにもつながり
得るもの」として性急な見直しに驚きと憤りをにじませつつ、「広く国民からの
意見を求めるなど、オープンなプロセスで丁寧に議論していただきたい」と締め
くくっていました。

さて、参議院での論戦はどうなるのでしょう。目が離せません。

＃連載リレーコラム、ここまで

＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。

＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
　https://tinyurl.com/mnhbbsat
※googleアンケートフォームを利用しています。

【イベントのお知らせ】
★標準化部会 電子署名WG主催
「「認証＆署名の保証レベルセミナー」～信頼できるサービスの評価～」
　2026年6月17日（水）会場とオンライン（Zoomウェビナー）にてハイブリッド開催！！
　https://www.jnsa.org/seminar/
★【学生・学校関係者限定】教育部会「JNSA セキュリティ カフェ 2026 #1」
2026年7月2日（木）オンライン（Zoomウェビナー）にて開催！！
　https://www.jnsa.org/seminar/seccafe/202607/index.html
★【学生限定】教育部会「JNSAセキュリティチャレンジスクール 2026 夏期講座」
　2026年8月21日（金）ふれあい貸し会議室 梅田No128（大阪府大阪市）にて開催！！
　https://www.jnsa.org/seminar/edu/secuchalle/2026/summer/index.html
【部会・WGからのお知らせ】
★JNSAソリューションガイドサービスより
「IPA 「情報セキュリティ10大脅威 2026」に対応した製品・サービス検索を
　公開しました。
　https://sg.jnsa.org/
★JNSA主催セミナー／イベントの動画・講演資料順次公開中！
　JNSAホームページをご確認ください
　https://www.jnsa.org/
【事務局からのお知らせ】
★JNSA事務局を騙った詐欺事件が発生しています。
　当協会から個人の方へ金銭のご請求を行うことはございません。
　お心当たりのある方は最寄りの警察署に実際に足を運んで御相談下さい！！
★セキュリティにまつわる課題解決を支援！「JNSAソリューションガイド」
　JNSAの会員企業が取り扱うネットワークセキュリティに関する製品やサービス、
　イベント情報などをご紹介しています。是非お役立てください！
　https://sg.jnsa.org/

☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
　sec@jnsa.org

☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡　<https://www.jnsa.org/aboutus/ml.html>

*************************************
JNSAメールマガジン　第340号
発信日：2026年6月12日
発　行：JNSA事務局　sec@jnsa.org
*************************************