人工知能（ＡＩ）、ビッグデータ法務　IT企業法務

改正個人情報保護法「統計作成等の特例」で、複数社データを使ったAI開発はどう変わるか

2026/07/15

杉浦健二

2026年7月10日、改正個人情報保護法が参院本会議で可決、成立しました（以下、改正後の個人情報保護法を「改正法」、現行の個人情報保護法を「現行法」または「法」といいます）。
今回の令和８年改正は、課徴金制度の導入、こどもの個人情報に関する規律、顔特徴データ等（特定生体個人情報）に関する規律の新設など多岐にわたりますが、AI開発に対するインパクトが大きいのは「統計作成等の特例」の新設です。
本稿では、AI開発を題材に、「現行法では実現できないが、改正法の施行後はできるようになること」について解説します。
なお本稿は、成立した改正法の条文に基づくものの、詳細は今後定められる下位法令（施行規則、施行令）やガイドラインに委ねられる部分も多いため、本稿の内容はアップデートされる可能性がある点についてご留意ください。

Contents

1 事例：複数社の顔特徴データを突合する来店客分析サービス
2 現行法では委託先における本人ごとの個人データ突合は許されていない
- 2.1 カメラ画像・顔特徴データの法的位置づけ
- 2.2 委託スキームによる整理と、その限界（混ぜるな危険）
3 改正法の「統計作成等の特例」で何が変わるか
4 実務上の留意点
5 本稿のまとめ

事例：複数社の顔特徴データを突合する来店客分析サービス

次のような事例をもとに考えます¹。

あるAI開発企業は、顔識別機能付きカメラシステムを用いた来店客分析サービスを提供しています。具体的には、導入先であるクライアント企業が実店舗に設置したカメラで来店客を撮影し、AIを用いて、性別・年代といった顧客属性や来店履歴を分析するサービスです。

「顔識別機能付きカメラシステム」とは、顔画像を撮影するカメラおよび撮影した顔画像から顔特徴データを抽出して顔識別を行うシステムを指します。①店舗等に設置されたカメラで顔画像を撮影し、②当該カメラ画像から特定個人を識別することができる特徴量データ（顔特徴データ）を取得し、③顔特徴データから性別、年代等の属性情報を推定してマーケティング等に活用するといった商用利用が進んでいます。さらに、顔特徴データを一定期間保持することで、同一人物の再来店を識別し、店舗内動線や購買履歴を連結した分析（リピート分析）も可能となります。²。

このたびAI開発企業は、複数事業者が取得した顔画像データを横断的に解析することで、より精度の高い来店客分析を可能にする新サービスを検討しています。具体的には、まず既存クライアントである衣料品チェーンA社とドラッグストアチェーンB社が取得した顔画像データを、両社承諾のうえで突合し、当該突合データを学習用データとして新たなAIモデルを開発します。さらに、当該突合データを用いて横断的な来店客分析レポートを作成し、A社、B社を含む第三者に提供したいと考えています。なお個々の来店客からの同意取得は想定していません。このような新サービスは、実現できるでしょうか。

現行法では委託先における本人ごとの個人データ突合は許されていない

カメラ画像・顔特徴データの法的位置づけ

まず、カメラ画像が、そこに写る顔等により特定の個人を識別できるものであれば、当該カメラ画像は「個人情報」に該当します（法2条1項）。カメラ画像から抽出した特定個人を識別することができる顔特徴データは「個人識別符号」（法2条2項）に該当し³、「個人情報」に該当します。

顔識別機能付きカメラシステムの仕組みを示す図（カメラ画像利活用ガイドブックver3.0 図表6）

IoT推進コンソーシアム＝総務省＝経済産業省「カメラ画像利活用ガイドブックver3.0」図表6を引用

次に、特定の個人情報を検索することができるように体系的に構成したデータベースは「個人情報データベース等」に該当するところ（法16条1項）、当該データベースを構成する顔特徴データは「個人データ」に該当します（法16条3項）。

カメラ画像・顔特徴データの取扱いの流れを示す図（カメラ画像利活用ガイドブックver3.0 図表7）

IoT推進コンソーシアム＝総務省＝経済産業省「カメラ画像利活用ガイドブックver3.0」図表7を引用

委託スキームによる整理と、その限界（混ぜるな危険）

A社およびB社からAI開発企業への顔特徴データの提供は、個人データの第三者提供（法27条1項）に該当するため、原則として本人の同意を得ることが必要となります。もっとも、個人データの取扱いの委託に伴って提供される場合（法27条5項1号。いわゆる委託スキーム）と整理できれば、本人の同意を得ずに提供することができます。本事例でも、クライアントである委託元から委託を受けて分析等を行い、その結果を当該委託元に戻すだけであれば、委託スキームによって適法に実施できる可能性があります。

しかし、委託スキームには2つの制約があります。1つめは、委託先は、委託された業務の範囲を超えて、委託元の個人データを自社のために利用することができないことです（独自利用の禁止）⁴。AI開発企業が、A社から委託に伴って提供を受けた顔特徴データを、委託を受けた業務の遂行に必要な範囲を超えて、自社のAIモデル開発のための学習用データとして利用することは、この制約に抵触する可能性が生じます⁵。

2つめは、異なる委託元から委託に伴って提供を受けた個人データ同士を本人ごとに突合することは、本人の同意を得ない限り許されないことです（いわゆる「混ぜるな危険」）⁶。本事例のAI開発企業においても、委託元A社のデータと委託元B社のデータを本人ごとに突合することはできず、突合して得られた個人データから統計情報を作成することも許されません。

したがって、本事例の新サービス（複数社から委託に基づき提供を受けた個人データを本人ごとに突合したデータをもとに、AIモデルを開発し、横断的な分析レポートを作成・提供すること）は、来店客本人の同意を得ない限り、現行法のもとでは実現が困難です。そして、店舗のカメラで撮影される不特定多数の来店客から個別に同意を取得することは、現実的には困難であることが予想されます。この関係を図示したものが以下となります。

改正法の「統計作成等の特例」で何が変わるか

「統計作成等」にはAI開発が含まれる

改正法は、「統計作成等」という新しい概念を定義したうえで（改正法2条13項）、統計作成等に関する特例（改正法30条の2）を新設しました。

「統計作成等」とは、大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、当該大量の情報の傾向または性質に係る情報（個人に関する情報であるものを除く）を作成する行為であって、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるものを指します。

ポイントは2つあります。1つは、統計作成等により作成される成果物は「個人に関する情報であるものを除く」とされており、大量の個人データを学習用データとする事前学習は本特例の対象となり得る一方で、個人に対する評価・決定を行うために個人データを取り扱う行為（個人に関する情報を含む推論を得るための行為）については本特例は適用されないと考えられます。個人データをプロンプトとして入力する行為も、通常は「統計作成等」にはあたらないと思われます。「AI関連であれば広く適用されるAI特例」ではない点には留意が必要です。
もう1つは、「個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるもの」のみが統計作成等に該当する点です。「特定の個人との対応関係が排斥された統計情報の作成であれば、すべて統計作成等の特例が適用される」わけではない点にも留意が必要です⁷。

本人の同意なく個人情報を第三者提供できる新ルート

統計作成等の特例の中核となるのが、第三者提供の特例（改正法30条の2第5項）です。
提供先の第三者が個人情報を統計作成等の目的で取り扱う必要がある場合、①提供元・提供先双方の事業者名、統計作成等の内容などの一定事項を公表し、かつ、②当該提供が本特例に基づくものである旨の合意（書面等による合意）をしたときは、法18条（利用目的による制限）および法27条1項（第三者提供の制限）にかかわらず、本人の同意なく当該個人情報を第三者提供することができます。

現行法において、本人の同意なく個人データを第三者に提供できる主なルートは、法27条1項各号（法令に基づく場合等）、オプトアウト（法27条2項）、委託・事業承継・共同利用（法27条5項各号）に限られていました。統計作成等の特例は、これらに並ぶ新たな例外ルートを設けるものであり、今回の改正における眼目のひとつといえます。

なお、提供先は個人情報取扱事業者または行政機関の長等に限られ、かつ、提供元・提供先間の書面等による合意を要することから、学習用データセットをウェブ上で不特定多数に公開するような提供は本特例では認められません。

特例を利用する事業者に課される義務

本特例は「公表と合意さえすれば、あとは自由に使える」というものではありません。特例により提供されたデータ（提供統計作成等用個人情報等）については、以下の義務が課されます。

– 提供先（特例個人情報受領者）は、当該データを取り扱っている期間中、一定事項の公表を継続する義務を負う（改正法30条の2第6項）
– 公表事項を変更するときは、あらかじめ提供元・提供先の双方が変更内容を公表する義務を負う（同条7項）
– 提供先は、公表した統計作成等の目的以外で当該データを利用してはならない（同条9項）
– 当該データの第三者への再提供は原則として禁止される（同条10項・11項。ただし委託・共同利用等（法27条5項各号）に基づく提供は可能）
– 当該データが個人データに該当しない場合（個人データに該当しない個人情報の場合）であっても、安全管理措置、従業者・委託先の監督義務が課される（同条14項）

とりわけ、提供先が、自社名と統計作成等の内容を対外的に公表し続けなければならない点は、現行法における委託スキームにはなかった負担であり、本特例を利用するかどうかの判断にも影響する要素といえます。

公開要配慮個人情報の取得特例

第三者提供の特例とあわせて、公開されている要配慮個人情報の取得に関する特例も設けられました。統計作成等又は統計作成等を行う第三者に提供する目的である場合、一定事項の公表を条件として、現に公開されている要配慮個人情報を本人の同意なく取得することができます（改正法30条の2第1項）。

現行法では、公開情報であっても要配慮個人情報の取得には原則として本人の同意が必要とされているため（法20条2項）、ウェブ上の公開情報を収集してAI開発に利用する場面では、この取得特例が意義を有することになります。

本事例へのあてはめ

改正法の統計作成等の特例を前提とすると、本事例の新サービスは次のように整理できます。

まず、A社・B社からAI開発企業への顔特徴データ（個人データ）の提供は、委託スキームによらずとも、統計作成等目的での第三者提供の特例（改正法30条の2第5項）により、一定事項の公表と書面等による合意を条件として、本人の同意を得ずに行うことができる可能性があります。この特例による提供は委託関係の存在を前提としないため、委託スキームにおける前記の2つの制約（独自利用の禁止と混ぜるな危険）は課されないことになります。

そのうえで、AI開発企業は、提供を受けたA社データとB社データを本人ごとに突合したデータセットを作成し、AIモデル開発のための学習用データとして利用したり、当該データセットを用いて事業者横断的な分析レポートを作成して提供したりすることが、一定の要件のもとで可能になると考えられます（むろん、当該AIモデルや分析レポートが改正法2条13項の「統計作成等」の要件を満たすことが前提です）。
特例が適用される場合の整理を図示したものが以下となります。

ただし、本特例により実施できるのは、あくまで「統計作成等」の範囲、すなわち成果物（作成される情報）が「個人に関する情報であるもの」にあたらないものに限られます。個々の来店客ごとの分析結果をクライアントに提供するようなサービスは、成果物が個人に関する情報にあたり「統計作成等」には該当しないため、従来どおり委託スキーム等による実施を検討することになります。

統計作成等特例違反に対するサンクション（課徴金・利用停止等請求）

統計作成等の特例は、別途新設される実効性確保の仕組みとセットで導入されます。
今回の改正で導入された課徴金制度では、統計作成等特例違反は、不適正利用の禁止違反（法19条）、不正取得の禁止違反（法20条1項）、第三者提供制限違反（法27条1項）と並んで課徴金納付命令の対象行為とされています（改正法148条の3第1項）⁸。また、特例違反の取扱いに対しては、本人による利用停止等請求の対象となります（改正法35条）。

「本人の同意を得ずに取り扱うことができる」特例を利用する以上、その違反には重いサンクションが用意されている、という構造を理解しておく必要があります。

実務上の留意点

顔特徴データには「特定生体個人情報」として新たな規律が設けられる

本事例のような顔特徴データを取り扱うビジネスにとって、統計作成等の特例とあわせて押さえる必要があるのが「特定生体個人情報」に関する規律の新設です。

改正法は、個人識別符号のうち顔特徴データ等の規則で定めるもの（特定生体個人識別符号）を含む個人情報を「特定生体個人情報」（改正法16条5項）と定義したうえで、①事業者名等、特定生体個人情報を取り扱うこと、利用目的、元となった身体的特徴、開示等の請求等に応じる手続等の周知義務（改正法21条の2）、②違法行為の有無等を問わない利用停止等請求（改正法35条7項8項）、③オプトアウトに基づく第三者提供の対象外（改正法27条2項）とする規律を新設しました。顔特徴データは、いったん取得されると本人による関与が困難なまま半永久的に個人を識別する効果が継続しうるという性質を踏まえたものです。

衆議院の附帯決議においても、監視カメラやセンサー等の機器の周辺に分かりやすく掲示する等の方法による周知の徹底が求められており⁹、顔識別カメラシステムを利用する事業者は、店舗等における周知のあり方を含めた対応の見直しが必要になると考えます。

「本人同意が不要になる」からといって「自由に使える」わけではない

前記のとおり、統計作成等の特例には、公表の継続、書面等による合意、目的外利用の禁止、再提供の禁止といった義務が伴います。委託スキームであれば負わなかった義務も含まれており、「規制緩和」というよりは「一定の義務が課される新たなルートの追加」と捉えるのが適切と考えます。したがって、現行法のもとで委託スキームや共同利用等により適法に実施できている業務までを、あえて特例に乗り換える必要はなく、特例の利用は、委託や共同利用では適法化できない第三者提供の場面において検討することになると思われます。

なお委託についても改正があり、個人情報の取扱いの委託を受けた委託先（受託者）は、委託された業務の遂行に必要な範囲を超えて個人情報を取り扱ってはならない義務を、法律上の直接の義務として負うことになりました（改正法30条の3。ただし委託先において個人関連情報となるものを除く）。従来はQ&Aや委託元の監督義務（法25条）を通じて律せられていた内容が、法律上の規律に格上げされた形であり、受託側の事業者はこの点にも留意が必要です。

また、個情法において適法であることと、市民、社会に受容されることは別の問題です。カメラ画像のような生活者の関心が高い情報を取り扱う場合、適法性の確保だけでなく、生活者と事業者間での相互理解や信頼関係を構築するための取組み（プライバシーガバナンス）が別途求められることはいうまでもありません¹⁰。

改正法の施行日まで何をするか

改正法は2028年7月までに施行予定であるところ、施行までは期間があり、統計作成等の定義や特定生体個人識別符号の範囲などの詳細は、今後定められる規則やガイドラインで具体化される予定です。

もっとも、「施行されてから検討を始める」のでは、競合他社に対して大きく出遅れることになります。統計作成等の特例に基づいて実現したいサービスがあるのであれば、規則やガイドラインの動向を注視しつつ、ダミーデータによる開発・検証やサービス設計の検討を施行前から重ねておくことで、施行と同時にサービスをローンチすることも可能になります。「現行法では実現できないが、改正法の施行後には実現できる可能性がある」という整理を早期に行ったうえで、施行を見据えた準備を先行させることが有益でしょう。

本稿のまとめ

・複数社から取扱いの委託を受けた個人データを突合してAIモデルを開発したり、横断的な統計レポートを作成・提供したりすることは、現行法のもとでは本人の同意なく行うことができなかった（独自利用の禁止・混ぜるな危険）
・改正法で新設される統計作成等の特例により、一定事項の公表と書面等による合意を条件として、本人の同意なくこれらを実現できる可能性が生じる
・ただし特例には公表の継続・目的外利用の禁止・再提供の禁止等の義務が伴う。特例違反は課徴金の対象にもなる。「緩和」ではなく「新たなルートの追加」と捉えるべきである
・顔特徴データを取り扱う事業者は、特定生体個人情報の新たな規律（周知義務・利用停止等請求・オプトアウト対象外）への対応もあわせて必要になる
・詳細は今後定められる規則やガイドラインに委ねられており、施行までの準備期間をどう使うかが、施行後の競争力を左右する

（弁護士杉浦健二）

1
本事例は架空の事例です。
2
リピート分析を含む商用利用については、IoT推進コンソーシアム＝総務省＝経済産業省「カメラ画像利活用ガイドブックver3.0」（2022年3月）でユースケースが紹介されています。
3
個人情報保護委員会「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書」（2023年3月）5頁も参照。
4
「個人情報の保護に関する法律についてのガイドライン」に関するQ&A（以下「Q&A」といいます）7-38
5
たとえばA社が利用していないサービスのためのAIモデル開発のための利用は、独自利用として許されないでしょう。なおQ&A7-39も参照。
6
Q&A7-43①
7
Q&A1-17も参照。
8
課徴金納付命令には、対象行為への該当のほか、相当の注意を怠った者であること、金銭その他の財産上の利益を得たこと等の要件があり、対象となる本人の数が1,000人を超えないときも対象から除外されています。課徴金額は原則として対価として得た金銭等に相当する額であり、対象行為を繰り返した事業者への加算（1.5倍）や自主申告による減額（50％）の仕組みも設けられています。
9
個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議九項
10
カメラ画像利活用ガイドブック（前掲注2）のほか、総務省＝経済産業省「DX時代における企業のプライバシーガバナンスガイドブックver1.3」（2023年4月）が参考になる。もっともこれらの資料も、改正法の成立に伴い、改正法を反映した内容に改訂されるものと思われます。