2026年改正個人情報保護法は何が変わる？統計目的なら本人同意なしで提供できる仕組みと成立・施行時期を解説

2026年（令和8年）の個人情報保護法改正では、個人データの利活用とプライバシー保護の双方に関わる大きな変更が盛り込まれました。特に注目されているのが、一定の条件を満たした「統計情報等の作成」を目的とする場合に、本人の同意を得ずに個人データを第三者へ提供できる仕組みです。

この制度については「企業が統計目的と言えば、氏名や住所を含む個人情報を自由に渡せるようになる」と理解されることがあります。しかし、改正内容を確認すると、単に企業側が「統計です」と宣言すれば自由に利用・提供できる制度ではありません。統計情報等の作成だけに利用することを担保するための条件や、目的外利用・第三者提供の禁止などが設けられています。

さらに重要なのが国会審議の現在地です。2026年8月時点では法案の段階ではなく、2026年7月10日に国会で可決・成立し、7月17日に公布されています。したがって「参議院で法案を否決して止める」という段階はすでに終了しています。一方、主要部分の施行はこれからであり、政令・個人情報保護委員会規則・ガイドラインなど具体的な運用ルールの整備が進められています。[参照：個人情報保護委員会「令和8年 改正個人情報保護法について」]

2026年の個人情報保護法改正はすでに成立・公布されている

今回の改正は、個人情報保護委員会による「3年ごと見直し」を経て進められたものです。2026年4月7日に「個人情報の保護に関する法律等の一部を改正する法律案」が閣議決定され、第221回国会に提出されました。[参照：個人情報保護委員会・2026年4月7日発表]

その後、国会で審議され、2026年7月10日に可決・成立、7月17日に公布されています。つまり2026年8月現在、「衆議院を通過したので、これから参議院で止められるか」という状況ではありません。

個人情報保護委員会によれば、改正法は一部を除き、公布日から起算して2年以内の政令で定める日から施行されます。法律は成立済みですが、主要な制度が直ちに全面施行されたという意味ではない点も重要です。[参照：個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」の公布について]

そもそも現在の個人情報保護法では第三者提供は原則として本人同意が必要

今回の改正を理解するには、従来の原則を確認しておく必要があります。民間事業者が保有する個人データを第三者へ提供する場合、個人情報保護法では原則としてあらかじめ本人の同意を得ることが求められています。もちろん法令に基づく場合など、従来から例外は存在します。

ここでいう個人情報は氏名だけを指す言葉ではありません。個人情報保護委員会は、生存する個人に関する情報で、氏名、生年月日その他の記述などによって特定の個人を識別できるものなどを「個人情報」と説明しています。氏名、住所、性別、生年月日、顔画像などのほか、他の情報と容易に照合して個人を識別できる情報も問題になります。[参照：個人情報保護委員会「個人情報・個人データ・保有個人データとは」]

したがって「氏名と住所なら個人情報ではない」ということにはなりません。むしろ氏名や住所は、個人を特定するうえで重要性の高い情報です。

改正法で新設された「統計情報等の作成」の例外とは

2026年改正で大きく変わるポイントの一つが、統計情報等を作成するための個人データ利用です。個人情報保護委員会は改正の趣旨について、複数の事業者が持つデータを共有して横断的に解析するニーズが高まっている一方、最終的に特定個人との対応関係が排斥された統計情報等を作成・利用する場合は、個人の権利利益を侵害するおそれが比較的小さいという考え方を示しています。

そこで、統計情報等の作成にのみ利用されることが担保されていることなどを条件として、本人同意なしで個人データを第三者へ提供できる制度が盛り込まれました。また、一定の場合には公開されている要配慮個人情報を取得することについても制度が整備されています。

対象は昔ながらの集計表を作る場合だけとは限りません。個人情報保護委員会の説明資料では、「統計作成等であると整理できるAI開発等」を含むことが示されています。つまりAI・データ分析時代を意識した法改正でもあります。[参照：個人情報保護委員会「3年ごと見直しの経緯」]

「統計と言えば何でも自由に提供できる」という制度ではない

ここは誤解しやすいポイントです。改正によって「企業が統計目的と言いさえすれば、どんな個人データでも好きな相手へ渡し、その相手が営業や勧誘など自由な目的に使える」という制度になったわけではありません。

個人情報保護委員会が示している制度では、統計情報等の作成だけに利用されることを担保するため、一定事項の公表や、提供元と提供先の間で「統計情報等の作成のみを目的とした提供」であることを書面で合意することなどの規律が設けられています。

さらに、提供を受けた側については目的外利用や第三者提供が禁止される仕組みが示されています。したがって、統計作成用として受け取ったデータを、そのまま顧客への広告配信や営業電話、個人別の与信判断など別目的へ自由に転用できるという説明は正確ではありません。

氏名や住所まで提供される可能性はあるのか

「統計なら年齢や性別だけで十分で、氏名や住所はいらないのではないか」という疑問はもっともですが、統計・分析の内容によって必要になる元データは異なります。

例えば複数企業が持っているデータについて「同じ人物のデータか」を正確に突合してから統計処理する場合、年齢と性別だけでは同一人物か判断できません。また、地域ごとの詳細な分析では所在地に関するデータが必要になることもあります。行政分野でも、個人情報保護委員会はEBPMのため、各部署で管理する保有個人情報を本人ごとに突合したうえで統計情報へ加工するケースについて説明しています。[参照：個人情報保護委員会・統計情報作成に関するQ&A]

一方、「統計処理の途中で個人を識別できるデータを扱うこと」と「最終的に氏名・住所付きの名簿を成果物として自由に利用すること」は別問題です。統計情報は、特定の個人との対応関係が排斥された形で利用されることが制度設計の重要な前提になっています。

なぜ最初から匿名化したデータだけを渡さないのか

最初から匿名化すればよいようにも思えますが、複数のデータベースを組み合わせる分析では、匿名化する前の段階で同一人物の情報を突合する必要が生じることがあります。

例えばA社に「購入履歴」、B社に「サービス利用履歴」が存在するとします。両者の関係を統計的に調べる場合、最初から完全に個人との対応を切ってしまえば、A社の利用者とB社の利用者が同一人物なのか分からなくなるケースがあります。

こうしたデータ連携の必要性とプライバシー保護をどう両立させるかが今回の制度の核心です。そのため「統計だから個人情報保護をしなくてよい」という考え方ではなく、利用目的を統計情報等の作成に限定したうえで例外を設ける構造になっています。

氏名や住所を含むデータなら危険性がなくなるわけではない

もちろん、制度上の制限があるから情報漏えいや不正利用のリスクがゼロになるわけではありません。氏名、住所、購買履歴、健康関連情報などが組み合わされたデータは、漏えいや不適切な利用が発生した場合の影響が大きくなり得ます。

そのため、どの範囲を「統計情報等の作成」と認めるのか、提供できる情報や手続をどのように具体化するのか、提供先でどのような安全管理を求めるのかは非常に重要です。

この点について、2026年8月現在も個人情報保護委員会では、施行に必要となる政令、委員会規則、ガイドラインなどの整備が進められています。8月26日には「政令・規則等で定める事項の全体像」も決定されており、今後さらに具体的な運用ルールが明らかになります。[参照：令和8年改正個人情報保護法について]

個人情報保護法は「個人情報を一切使わせない法律」ではない

名称から「本人が同意しない限り個人情報を絶対に利用できない法律」と受け取られることがありますが、個人情報保護法はもともとそのような仕組みではありません。

個人の権利利益を保護すると同時に、個人情報の有用性にも配慮してルールを設ける法律です。そのため従来から、法令に基づく場合など、本人同意なしの第三者提供が認められる例外があります。

今回の改正では、そのバランスをデータ分析やAI利用の時代に合わせて変更する一方、違法な個人情報の取扱いによって財産上の利益を得た事業者に対する課徴金制度など、規制を強化する内容も同時に導入されています。つまり今回の改正は、単純な「規制緩和」だけで構成されているわけではありません。

「参議院で止める」段階はいつ終了したのか

法案が衆議院を通過した段階であれば、その後の参議院審議は重要な立法過程です。しかし今回の改正については、その段階はすでに終了しています。

したがって、2026年8月現在の正確な表現は「参議院で止められる可能性が高いか低いか」ではなく、すでに国会を通過して法律として成立・公布されているため、この改正法案を参議院で否決する段階は終了しているとなります。

成立済みでも今後確認すべきポイントは残っている

法律が成立したからといって、制度に関する議論がすべて終了したわけではありません。法律の条文だけでは決まらず、政令や個人情報保護委員会規則などに委ねられている事項があります。

特に統計情報等の作成に関する制度では、具体的な対象範囲、公表事項、事業者が守るべき手続、安全管理などの詳細な運用が重要になります。個人情報保護委員会は、成立後も政令・規則・ガイドラインの整備を進める方針を公表しています。

そのため制度を評価するときは、SNS上の短い説明だけで「氏名と住所が無条件で企業へ渡される法律」と判断するのも、反対に「統計目的だからプライバシー上まったく問題がない」と判断するのも適切ではありません。成立した法律の条文と、今後整備される公式ルールを確認する必要があります。

まとめ：改正法は成立済みだが「統計と言えば個人情報を自由に使える」わけではない

2026年改正個人情報保護法では、一定の条件を満たす「統計情報等の作成」を目的とした個人データの第三者提供について、本人同意を不要とする新たな仕組みが導入されます。統計作成等として整理できるAI開発なども想定された制度です。

ただし、企業が単に「統計目的です」と言えば個人情報を自由に売買・転用できる制度ではありません。統計情報等の作成だけに利用することを担保するため、提供元と提供先の合意、一定事項の公表、提供先における目的外利用や第三者提供の禁止などの規律が設けられています。

また国会手続については、2026年7月10日に可決・成立し、7月17日に公布済みです。そのため2026年8月現在、参議院でこの法案を否決して成立を阻止する段階はすでに過ぎています。

一方、改正法は一部を除いて公布から2年以内の政令で定める日に施行される予定で、政令・委員会規則・ガイドラインなどの具体化は現在進行中です。今後の制度を正確に把握するには、個人情報保護委員会が公開する最新資料を確認することが重要です。[参照：個人情報保護委員会・令和8年改正個人情報保護法]