個人情報保護法改正案が閣議決定——AIデータ利用・越境移転・要配慮情報の新規定を盛り込む

概要

※本記事は公開情報をもとに編集部が再構成したサマリです。一次情報は出典欄をご参照ください。

政府は2026年4月7日、個人情報保護法（個情法）の改正案を閣議決定した。今回の改正は2022年施行の前回改正に続くもので、生成AIの急速な普及を受けた対応が中心的な課題となっている。AIシステムの学習データとして個人情報を利用する際の規律明確化、越境移転に関する条件の強化、従来より拡大された要配慮個人情報の定義が主な柱。国会で審議された後、成立・施行となる見込み。

事実のポイント

• AI学習データに関する規律の整備: 大規模言語モデル等の生成AIを学習させる目的での個人情報の取得・利用について、利用目的の通知・公表や本人の権利行使への対応を定める条項が設けられる見込み
• 越境データ移転の条件強化: 個人情報を外国（とくにEU・中国）に移転する際の条件が厳格化。移転先国の法的水準を評価し、不十分な場合は標準的な契約条項（SCC相当）の締結等を求める方向
• 要配慮個人情報の拡大: 従来の人種・病歴等に加え、位置情報・購買・オンライン行動履歴など「個人に対する差別的扱いにつながりうる情報」の類型拡大が検討されている
• 本人の権利強化: 自動的な意思決定（AIによるスコアリング・ターゲティング等）に対し、本人が説明・異議申し立てを求める権利を付与する方向が示されている
• 個人情報保護委員会の権限拡充: 外国当局との連携・情報共有や、違反に対するエンフォースメント（課徴金含む）の強化が盛り込まれる可能性がある

用語・背景の補足

• 要配慮個人情報: 本人に対して不当な差別・偏見が生じるおそれがある情報として、取得に際して原則として本人同意が必要な情報の類型。現行法では病歴・犯罪歴・障害・人種等が対象
• 越境データ移転: 個人データを日本国外のサーバや事業者に提供・移転すること。クラウドサービスの利用やグローバル企業でのシステム連携で日常的に発生する。移転先国の法的保護の水準が不十分な場合のリスク管理が課題
• 個人情報保護委員会（PPC）: 個人情報保護法の所管機関。法令解釈の公表、事業者への指導・命令、外国当局との協力を担う独立行政委員会

注意点

• 閣議決定は改正法案の政府提出を意味し、国会審議・成立・公布・施行のプロセスが残っている。具体的な施行日・経過措置の詳細は法案成立後に確定する
• AI学習データの利用規律については、改正法の成立後に個人情報保護委員会がガイドラインで詳細を示す予定とされており、実務上の対応基準は引き続き確認が必要
• 要配慮個人情報の拡大範囲・越境移転の具体的条件は国会審議の過程で修正される可能性がある

編集部見解

（追記予定）