個人情報保護法2026年改正で新設されたAI統計特例では、病歴等の要配慮個人情報を氏名・住所付きで提供したりAI学習してよいのか否か、同意・拒否権の不在が国会（第２２１回国会）で大きく取り上げられている。筆者は、AI統計特例によって新たな大穴が開くとは評価してはいない。本記事では、既に存在していた公衆衛生例外・共同利用・学術研究例外の整理と比較しつつ、しかしながら、運用が緩むことで実質的なリスクが増大する点について解説する。
動画解説
AI統計特例と既存適法化根拠の関係
公衆衛生例外・共同利用・学術研究例外
従来から、同意なく、また拒否権の保障なく、氏名・住所付きの要配慮個人情報や個人データをAI等に利用したり第三者提供できる枠組みは存在していた。
- 公衆衛生例外
- 共同利用
- 学術研究例外
これらは、個人情報保護法上は同意不要であり、かつ拒否権の保障がない。もっとも、倫理指針が合わせて適用される場合は、倫理指針上、インフォームド・コンセントや適切な同意、拒否機会の保障がなされる場合もある。しかしながら、倫理指針上も同意や拒否権の保障が絶対ではなく、ケース（というか、倫理指針のどの類型に当てはまるか）による。
（利用目的による制限）
第十八条 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。
３ 前二項の規定は、次に掲げる場合については、適用しない。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。（適正な取得）
第二十条 ２ 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
七 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
八 その他前各号に掲げる場合に準ずるものとして政令で定める場合
→この中に共同利用あり（第三者提供の制限）
第二十七条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。
三 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
五 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データの提供が学術研究の成果の公表又は教授のためやむを得ないとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六 当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人データを学術研究目的で提供する必要があるとき（当該個人データを提供する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該第三者が共同して学術研究を行う場合に限る。）。
七 当該第三者が学術研究機関等である場合であって、当該第三者が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
５ 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。
三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
AIを利用したプログラム医療機器等
AI統計特例ができる前から、すでに個人データをAIが学習して開発されたAIを用いたプログラム医療機器等が存在する。例えば、画像診断支援、手術支援など。
私たちの健康維持向上に役立つ可能性がある。
AI統計特例の評価
AI統計特例で初めて、氏名・住所付きでAI学習できるようになるわけではない。
もっとも、AI統計特例にリスクがないとは言い切れず、「AIだからAI統計特例で簡単にできる」という雑な理解、安直な考え方はリスクに直結する。
氏名・住所が絶対悪なわけではない
氏名・住所付きで許容される場合も
以下のような経過を分析・学習しなければ適切な分析・AI開発ができない場合もある。
- A病院（かかりつけに定期通院）
- B健保（健診で再検査）
- A病院（かかりつけに相談しC総合病院を紹介される）
- C総合病院（治療。治癒）
- A病院（かかりつけに定期通院）
被保険者番号で名寄せ・突合できればよいが、被保険者番号がない場合（上記例だと被保険者番号がほぼあると思われるが、上記例とは異なるケースでは被保険者番号がない場合も多々ある）には、氏名・住所のハッシュ値で名寄せ・突合されることがある。
このような場合に、氏名・住所を含むことが絶対に悪とは言い切れない。
また、氏名・住所のハッシュ値からは、人間の目では氏名・住所を読み取ることができないので、この点プライバシーリスクが低減できているとの評価も可能。
ハッシュ化によるリスクも
ハッシュ化により人間の目による直接の識別は困難となる。
他方で、ハッシュで過剰に名寄せ・突合され、かえってプライバシーリスクがあがるというリスクはある。
ハッシュならどのような場合も安全とは言えない。
実務対応：守るべき設計原則
必要最小限原則
取得・提供するデータ項目は目的に照らして厳格に限定する必要がある。
国際的原則でもある、データ最小化原則を踏まえる。
説明責任
外部に対し合理的説明ができないデータ取得提供は行うべきではない。
契約と安全管理措置
提供元・提供先双方で合意内容を明確化すべきある。
Q&A
Q. AI統計特例があれば自由に使えるのか
A. そのような理解は誤りであり、個人情報保護法の適法性判断は引き続き必要である。付言すると、AI統計特例は委員会規則に委ねられている部分も多く、委員会規則の解釈が必須である。
Q. 氏名住所は原則不要か
A. 原則として不要であるが、データ連結など特定の目的では必要となる場合がある。
AI統計特例関係動画
Part1：原理原則についてのポジティブ解説
Part2：担保とまでいえるかなどのネガティブ解説
Part3:国会論戦を踏まえた企業・医療機関等の取るべき対応
まとめ
企業・医療機関等はデータ最小化原則と説明責任を基軸に、社会的信頼を損なわない設計を行う必要がある。
執筆者プロフィール
弁護士 水町雅子（第二東京弁護士会、宮内・水町IT法律事務所所属）
SE（ITシステム開発）、コンサルティング等をシンクタンクにて行った後、弁護士登録。内閣官房・特定個人情報保護委員会にてマイナンバーの制度設計、ガイドライン作成、PIA制度化等を行う。
個人情報・ITに関して、首相官邸パーソナルデータに関する検討会参考人、内閣府「マイナンバーの利活用拡大のための検討タスクフォース」委員、こども家庭庁「こどもデータ連携の取組に関する検討会」委員、厚生労働省ITシステム等技術審査委員、東京都東京デジタルサービス会議構成員、東京都足立区情報公開・個人情報保護審議会委員、つくば市プライバシー影響評価制度検討懇話会委員、総務省・経産省・AMED実証事業等の支援等、実績豊富。
マイナンバー、個人情報、AI、医療情報、IT法務、企業法務、行政法務等に対応。書籍・論文執筆・講演のほか、日本経済新聞、朝日新聞、読売新聞、雑誌、TV等メディアコメント多数。
