改正個人情報保護法で何が変わる？病歴・信条を本人同意なしで提供できる条件を解説

2026年7月10日、改正個人情報保護法が成立したと報じられました。「病歴や信条まで、本人の同意なしで企業に渡されるのでは」と不安に感じた人もいるでしょう。

今回の改正は、個人情報を自由に売買できるようにするものではありません。統計の作成など特定の目的と安全措置を前提に、同意を不要とする例外を整備する一方、違法利用への課徴金や生体情報への保護も強化する内容です。

改正個人情報保護法はなぜ成立した？

AI時代にデータ利用と保護を両立するため

個人情報保護委員会は、デジタル技術の進展によってデータ活用への需要が高まる一方、違法な取り扱いによる被害も深刻になっていると説明しています。医療研究、公共政策、AI開発などでは大量のデータが必要ですが、利用範囲を広げるだけではプライバシー侵害につながります。

そこで今回の改正は、個人を特定する必要がない統計や研究の成果を作る場面ではデータを使いやすくし、本人に直接影響する利用や違法な取得には厳しく対応するという考え方を採っています。規制緩和と規制強化が同時に含まれている点が重要です。

「病歴や信条も同意不要」という見出しだけでは誤解しやすい

ニュースの見出しでは、病歴や信条も本人の同意なしで提供可能になる点が強調されました。ただし、病気の情報を保険営業に使ったり、信条を採用判断に使ったりすることが認められたわけではありません。

対象となるのは、本人との対応関係を持たない統計情報などを作る第三者への提供が中心です。利用目的、提供先、安全管理、成果物から個人を識別できないことなど、複数の条件を満たす必要があります。

病歴や信条を本人同意なしで提供できる条件は？

成果物から個人を識別しないことが前提

医療機関が持つ診療データを例にすると、個々の患者の氏名や病歴を第三者が閲覧し、その人に連絡するような利用は今回の例外とは異なります。想定されるのは、地域別の病気の発生傾向や治療法の有効性など、集団としての傾向を調べる用途です。

最終的な成果が統計であっても、処理の途中では元データを扱います。そのため、提供先が目的外利用をしないこと、必要な安全管理措置を取ること、個人を識別する行為をしないことなどが求められます。

通常の第三者提供ルールが消えるわけではない

個人情報保護法では、個人データを第三者に提供する場合、原則として本人同意が必要です。今回の改正は、その原則をなくすのではなく、公共性や社会的意義があり、個人への影響を抑えた限定的な場面に例外を設けるものです。

自分の情報が広告、勧誘、与信、人事評価などに直接利用される場合は、従来どおり利用目的や第三者提供の適法性が問われます。「統計目的と書けば何でも利用できる」という制度ではありません。

個人情報の保護はどこが強化された？

違法利用で利益を得た企業への課徴金

従来は、個人情報保護委員会による勧告や命令、刑事罰などが中心でした。改正法では、違法な個人情報の取り扱いによって財産上の利益を得た場合に、課徴金を命じる制度が設けられます。

課徴金は、違反によって得られる利益を上回る不利益を与え、違反を抑止する仕組みです。個人情報を不正に集めて収益化するビジネスに、金銭面から直接対応しやすくなることが期待されます。

病歴など要配慮個人情報の本人同意なき利活用をめぐり、医療関係団体からも懸念が示されています。

— X投稿 投稿を見る

顔・指紋など生体情報の利用停止請求

顔認証データ、指紋、虹彩などは、パスワードのように簡単に変更できません。漏えいや目的外利用が起きた場合の影響が長く続くため、身体の特徴に関する情報は特に慎重な扱いが必要です。

改正法では、一定の生体情報について、違法な取り扱いが確認されていない段階でも利用停止などを請求できる仕組みが盛り込まれました。被害が起きてからでは遅い情報に対し、予防的な権利行使を認める方向です。

私たちの生活にはどのような影響がある？

医療や行政の分析が進みやすくなる可能性

安全に加工・管理されたデータを統計作成に使いやすくなれば、病気の傾向、薬の副作用、災害時の支援需要などをより詳しく分析できる可能性があります。希少疾患のように一つの医療機関だけでは十分な件数を集めにくい分野では、データ連携の意義が大きくなります。

ただし、制度への信頼がなければ必要なデータも集まりません。利用目的を明確にし、誰がどのデータを扱ったのかを記録し、問題が起きたときに検証できることが制度運用の前提になります。

サービスのプライバシーポリシーを読む重要性が増す

法律が変わっても、利用者が確認する基本は変わりません。アプリや会員サービスを利用する際には、取得する情報、利用目的、外部提供、保存期間、削除や利用停止の窓口を確認することが大切です。

特に健康情報、位置情報、顔写真、音声などは、組み合わせると個人を詳しく推測できます。必要以上の権限を許可しない、使わなくなったサービスの連携を解除するといった日常的な管理も有効です。

今後の注目点

企業の説明が具体的になるか

今後の焦点は、事業者が「統計目的」という言葉だけで説明を終えず、どのデータを誰へ渡し、どのような成果を作るのかを具体的に示すかです。利用者が理解できない説明では、制度への不信が強まります。

第三者機関による監査、提供記録の保存、事故時の通知などが実務でどこまで徹底されるかも重要です。法律の条文だけでなく、ガイドラインと実際の運用事例を継続して確認する必要があります。

医療研究と患者の信頼を両立できるか

医療データの分析は新薬や治療法の開発に役立つ一方、自分の病歴が知らない場所で使われることへの抵抗もあります。研究の利益だけを強調せず、患者が疑問を尋ねられる窓口を整えることが欠かせません。

利用を拒否できる場面、拒否したことで不利益を受けない仕組み、研究成果の還元方法まで説明されれば、データ提供への納得感は高まります。透明性が制度の成否を左右します。

施行までに確認したいポイント

成立日と施行日は同じではない

法律は国会で成立した直後にすべての規定が始まるとは限りません。公布後に政令や規則、ガイドラインが整備され、規定ごとに施行日が定められる場合があります。

企業や医療機関が実際にどのような説明や安全管理を求められるかは、今後公表される個人情報保護委員会の資料を確認する必要があります。2026年7月10日時点では、成立した法律の骨格と今後の運用を分けて理解することが大切です。

不安がある場合は利用停止や相談窓口を確認する

サービスに登録した個人情報について疑問がある場合は、まず事業者の問い合わせ窓口で、利用目的、第三者提供、開示・訂正・利用停止の手続きを確認します。説明が不十分な場合は、個人情報保護委員会の相談窓口や消費生活センターも選択肢になります。

今回の改正を「個人情報が自由に使われる」とだけ捉える必要はありません。一方で、統計目的の範囲や安全管理が形骸化しないかを社会全体で確認する必要があります。

データ活用の便利さと、本人が安心できる透明性を両立できるかが今後の焦点です。

よくある質問

自分の病歴が本人に知らせず企業へ渡るのですか？

改正法の例外は、個人との対応関係を持たない統計作成などを中心とした限定的なものです。病歴を特定の人への広告、勧誘、採用、保険審査などへ自由に使える制度ではありません。

提供元と提供先には目的の限定、安全管理、個人を識別しないための措置が求められます。心配なサービスでは、プライバシーポリシーの第三者提供と問い合わせ窓口を確認してください。

匿名加工情報と同じですか？

完全に同じではありません。匿名加工情報は、特定の個人を識別できず、元の個人情報へ戻せないよう加工した情報として、法律上のルールが設けられています。

今回の統計作成に関する仕組みでは、処理の過程で元データを扱う可能性があるため、提供先の義務や目的外利用の禁止が重要になります。成果物が個人を識別するものにならないことも前提です。

会社はすぐに新しいルールで利用を始められますか？

成立と施行は別です。公布、政令・規則、ガイドラインの整備を経て、規定ごとに施行日が決められるため、成立当日からすべての取り扱いが変わるとは限りません。

事業者は自社の利用目的、契約、社内規程、安全管理措置を見直す必要があります。利用者向けの説明が更新された場合は、変更点を確認しましょう。

顔写真も今回の改正に関係しますか？

顔の特徴量など、生体認証に使われる情報は関係します。生体情報は漏えいしても交換しにくいため、一定の場合に利用停止を求めやすくする方向が示されています。

単なる写真と、認証のため抽出した特徴量では扱いが異なる場合があります。サービスが何を保存し、本人確認以外へ使うかを確認することが大切です。

個人情報の使われ方に納得できない場合は？

まず事業者へ開示、訂正、利用停止、第三者提供停止の手続きを問い合わせます。回答や説明に疑問が残る場合は、個人情報保護委員会の相談窓口や消費生活センターへ相談できます。

やり取りの日時、利用したサービス、問題の画面、メールなどを保存しておくと説明しやすくなります。緊急性の高いなりすましや金銭被害は警察にも相談してください。

まとめ

改正個人情報保護法は、統計作成など限定された目的で本人同意を不要とする仕組みを整える一方、違法利用への課徴金や生体情報の保護を強化します。病歴や信条が広告や営業に自由利用できるようになる制度ではありません。

今後は政令、規則、ガイドラインによって具体的な運用が示されます。見出しだけで判断せず、目的、提供先、個人を識別しない措置、利用停止の方法まで確認することが重要です。

参考にした主な情報

• 個人情報保護委員会「改正法案の閣議決定」
• 個人情報保護法 いわゆる3年ごと見直し
• 個人情報保護委員会 公式サイト

あわせて読みたい

• 小中学校の情報教育は何が変わる？
• プライバシーポリシー