📊 事実
法改正の経緯と内容
- 令和2年改正個人情報保護法では、罰則規定の強化、漏えい等報告・本人通知の義務化、外国にある第三者への個人情報提供に関する規定の改正、保有個人データの開示方法の改正、利用停止・消去等の請求規定の改正、不適正利用の禁止、仮名加工情報に関する規定が導入されたソース6。
- 2026年7月10日、改正個人情報保護法が参院本会議で可決・成立したソース7 ソース8。
- 改正法では、AI開発や統計作成の目的で、本人の同意なしに要配慮個人情報（病歴、犯罪歴、人種、信条など）を収集し、第三者に提供できる特例が設けられたソース3 ソース7 ソース8。
- 改正法成立により、企業は人工知能（AI）開発や統計作成の用途に限り、本人の同意なしに病歴や犯罪歴などの要配慮個人情報を収集できるようになるソース7。
- 改正法では、データ内の氏名を削除することも義務づけられていないソース8。
- 改正案には、違反した企業に対する課徴金制度が導入されるが、その対象は「千人分を超える大規模な個人情報を不正に取得、利用した場合にデータ活用で得た利益の相当額の納付を命じる」とされ、大幅に限定されているソース3 ソース7。
- 団体訴訟制度は改正案から完全に削除されたソース3 ソース5。
- 2026年4月1日に個人情報保護法施行規則の一部が改正される予定であり、Webスキミング等による情報流出を報告対象に追加することが含まれているソース4。
- 日本法では、同意が求められるのは利用目的の変更、要配慮個人情報の取得、第三者提供の3場面のみであり、法令の規定や公共事務、学術研究目的が同意例外として含まれるソース5。
EU（GDPR）との国際比較と課題
- 一般データ保護規則（GDPR）は、個人情報の処理に同意、契約履行、法的義務の遵守、正当な利益などの法的根拠を要求し、あらゆる取扱いの場面で6つの適法化事由を求めるソース1 ソース5。
- 欧州企業は、GDPRと日本の個人情報保護法（APPI）の定義や法的根拠の違いに苦労しており、特に個人情報の第三者への移転に関する法的根拠が異なるため、プライバシーポリシーの修正や同意の取得に伴うコスト増大に直面しているソース1。
- APPIは、欧州企業が日本のデータ主体から個人情報を収集する場合に域外適用されるが、GDPRでは法的根拠が必要であり、利用目的の通知だけでは不十分とされているソース1。
- EUのGDPRでは、重大な違反に対して最大で全世界の売り上げの4%または2千万ユーロの制裁金が科されるが、日本の改正案はそれに比べて制裁が弱いソース3。
- GDPRに基づく個人情報の定義の違いが、日本の個人情報保護法における課題として指摘されているソース4。
- 2023年に実施された調査では、対象企業113社のうち約26.5%がEUから日本、さらに米国への個人データの越境移転を実施しており、EUから日本へ移転された個人データを米国に再移転する場合には、本人同意の取得や契約による体制整備が求められているソース9。
日本国内企業の対応と中小企業の課題
- 日本商工会議所は、個人情報保護法改正に関する解説動画の公開、全国515の商工会議所を対象としたコンプライアンス体制強化会議の実施、2022年4月施行の改正に合わせたモデル規定の提供を通じて、周知活動と体制強化を進めているソース2。
- 調査結果によると、中小企業の約80%が個人情報保護法上の漏えい報告義務を知らないソース2。
💡 分析・洞察
- AI開発や統計作成のための要配慮個人情報の同意なき利用特例は、日本がデジタル先進国としての競争力を強化し、新たな産業創出を加速する潜在的利益を持つ。これは、データ駆動型経済における国際的地位向上に直結する。
- しかし、日本の改正法における限定的な課徴金制度と団体訴訟制度の削除は、GDPRと比較して企業に対する法的責任が相対的に弱く、これが国際的なデータ連携における信頼性と互換性を損なう懸念がある。特に、多くの企業がEUからのデータ越境移転を実施している現状ソース9において、法的整合性の欠如は欧州企業の対日投資のインセンティブを減退させ、日本の国際ビジネス環境に悪影響を及ぼす可能性がある。
- 中小企業の約80%が漏えい報告義務を知らない事実は、改正法の国内企業への浸透度不足を浮き彫りにし、潜在的な法令違反とそれに伴う事業継続への影響（罰則、信用失墜）リスクを増大させる。これは、不測の事態における事業活動の停滞を通じて、日本経済の安定性に間接的な負の影響を与える。
- 本人の同意なしに要配慮個人情報を利用可能とし、氏名削除も義務付けないという改正は、将来的なデータ漏洩時の国民の不利益を増大させる。これは、個人のプライバシー侵害だけでなく、悪用（プロファイリング、差別）による社会的不信と治安悪化のリスクを高める。
⚠️ 課題・リスク
- 中小企業における改正個人情報保護法への理解不足と対応の遅れ（約80%が漏えい報告義務を知らない）は、結果的にサイバー攻撃や内部不正による情報漏洩リスクを増大させる。これは、違反企業への法的責任追及だけでなく、信用失墜による事業継続の困難化を招き、広範な国民経済に連鎖的な悪影響を及ぼす具体的な脅威である。
- AI開発や統計作成目的での要配慮個人情報の同意なき利用特例は、氏名削除が義務付けられていない現状と相まって、データ再識別化のリスクを高め、個人の病歴や犯罪歴などの機微情報が悪意ある第三者によって悪用される可能性を内包する。これにより、個人の不当なプロファイリング、差別、名誉毀損が発生し、社会の秩序と治安を直接的に脅かす深刻な懸念がある。
- EUのGDPRと比較して日本の改正法が限定的な課徴金制度に留まり、団体訴訟制度が完全に削除されたことは、企業が個人情報の安全管理措置を怠る動機を生み出す可能性がある。この法的枠組みの弱さは、大規模な情報漏洩事件に対する企業の責任感を希薄化させ、国民のプライバシー保護に対する不安を増大させる。
- 欧州企業が日本の個人情報保護法とGDPRの法的根拠の違いに起因するコスト増大に直面している事実は、今後、日本企業が国際市場で事業展開する際に、同様の法務コストや規制対応の負担を負う可能性を示唆する。これは、日本企業の国際競争力を阻害し、最終的に国民全体の経済的負担増加に繋がる制度的リスクである。
主な情報源: 産経新聞 / 朝日新聞 / 個人情報保護委員会 / 日本経済新聞
コメント