【2026年7月 最新】個人情報保護法 改正案が衆院通過｜同意なしで健康・犯罪歴・思想が集められる？罰則の抜け穴を検証

2026年5月26日、「個人情報の保護に関する法律等の一部を改正する法律案」が衆議院本会議で可決され、衆院を通過しました。本人の同意なしに病気・犯罪歴・人種・信条といった「要配慮個人情報」を企業が収集できるようにする一方、悪質業者への課徴金制度を新設する内容です。「AI開発の後押し」という看板の裏で、私たちのプライバシーはどう変わるのか。オフィシャル資料をもとに、忖度なしで検証します。

そもそも何が可決されたのか（オフィシャル検証）

🟢 個人情報保護委員会の公式発表によれば、この法案は2026年4月7日に閣議決定され、第221回特別国会に提出されました。委員会は改正の狙いを、身体的特徴を含む個人情報について違法な取扱いがなくても本人が利用停止を請求できるようにすること、違法な取扱いで利益を得た事業者に課徴金の納付を命じること、そして統計等の作成を行う第三者へ個人情報を提供する場合に本人同意を不要とすること、と説明しています。

🔵 表向きは「保護の強化」と「利活用の促進」を両立させる調和モデルですが、実質的な主眼は国産AI開発のためのデータ規制緩和にあります。2026年2月の総選挙後に発足した高市政権が掲げる「AI基本計画」（5年間で1兆円規模の投資）と歩調を合わせた法整備、というのが実像です。

改正8項目をわかりやすく整理

🟢 改正の柱は大きく8つ。緩和（企業に有利）と強化（消費者保護）が混在しています。

最大の懸念①：健康・犯罪歴・思想が同意なしで集められる

🟢 現行法では、病気・犯罪歴・人種・信条などは「要配慮個人情報」として、取得に本人同意が原則必要です。改正案の統計作成等特例は、統計作成やAI開発という「個人が特定されない用途」に限って、この同意を不要にします。SNSなどで公開されている情報の収集や、企業が持つ情報の他社提供も、同意なしで可能になります。

🟡 法案には歯止めも用意されています。提供元企業名・目的・概要をウェブ等で事前公表すること、提供側と受領側で「統計・AI学習目的のみに使う」旨の書面契約を結ぶことが義務化され、目的外に流用すれば課徴金の対象になります。ただし日弁連は「特例が適用される統計情報の範囲を法律自体で厳格に定義すべき」「本人の意思に反して取得された情報には利用停止請求権を認めるべき」と、現状の歯止めでは不十分だと主張しています。

最大の懸念②：罰則（課徴金）は緩すぎるのか

🟢 これまでの日本の個人情報保護法は「やり得」を許す構造でした。悪質な事業者でも、委員会の是正命令に従って違反をやめれば、過去に得た不当利益は手元に残せたのです。課徴金制度は、この抜け穴を塞ぐために新設されます。ここまでは前進です。

🟡 しかし「緩すぎるのでは」という批判には理由があります。適用条件と除外範囲に、無視できない限界があるためです。

🔵 まとめると、課徴金は「悪意ある大規模なデータビジネス」には効く一方、「杜撰な管理で個人情報を漏らした企業」には効かない片手落ちの設計です。抑止力としては限定的、というのが率直な評価です。

最大の懸念③：米国パランティア等での利用はあり得るか

🟢 ここは冷静なファクトチェックが必要です。改正案には、パランティア（Palantir）や特定の米国企業を名指しして日本人のデータを渡す条文は存在しません。また、外国の第三者への個人データ移転（域外移転規制）は改正後も維持され、十分性認定国であるか、または相当措置を担保する契約（SCC=標準契約条項に相当）が必要です。「法律ができたら即、米企業に丸ごと流れる」という理解は正確ではありません。

日本以外にも同じような法案はあるのか（国際比較）

🟢 各国はAI時代のデータ保護に取り組んでいますが、思想は大きく3極に分かれます。日本の改正は、EUの厳格な権利保護に足並みを揃えつつ、AI開発支援では米国的な柔軟さを取り込んだ「折衷モデル」と分析されています。

🔵 表を横に見ると日本の特徴が浮かびます。AI学習の入口はEU・米国のどちらより緩く、出口（プロファイリング規律）はカリフォルニア州のような開示義務がない——この「入口ガバガバ・出口ゆるゆる」の組み合わせが、プライバシー団体が最も警戒するポイントです。米カリフォルニア州では2026年からAI自動意思決定システムに事前通知・オプトアウト・ロジック開示が課されており、対照的です。

今後のスケジュール

🟢 現在（2026年7月時点）、法案は参議院で審議中です。第221回特別国会の会期は2026年7月17日まで。前回2020年改正のスケジュールを踏まえると、成立後は以下の流れが想定されます。

🟡 施行までの猶予は約2年。ただしデータ資産の棚卸し、プライバシーポリシー改定、委託先管理の見直しは時間がかかるため、専門家は「2026年中に着手すべき」と助言しています。

まとめ：私たちが注視すべきこと

🔵 今回の改正は「AI立国」という国家戦略のために、私たちの要配慮個人情報の同意ハードルを大きく下げるものです。前進もあります——「やり得」を断つ課徴金、生体情報の規律、子どもの保護、悪意ある情報流出への処罰強化。しかし、①同意なしで集めた統計がプロファイリングに逆用される歯止めの弱さ、②漏えい事故を除外した課徴金の片手落ち、③団体訴訟制度の見送り、という3点は、消費者保護の観点から明確な課題です。パランティア問題も、企業名の有無ではなく「入口が緩く出口の規律が努力義務どまり」という制度設計そのものを注視すべきです。参議院審議と、今後公表される政省令・ガイドラインで、これらの穴がどこまで塞がれるか——ここが最大の焦点になります。