個人情報保護法改正案とAI特例｜医療機関が患者データを守るために必要な対応

Yuki
7月8日
読了時間: 10分

患者データはAI時代にどう守るべきか

個人情報保護法改正案と「統計特例」から考える医療機関のデータガバナンス

医療DX、生成AI、電子カルテ情報共有サービス、PHR、マイナポータル、オンライン資格確認。医療機関を取り巻くデジタル化は、急速に進んでいます。

一方で、忘れてはならないことがあります。医療機関が扱う情報は、単なる「データ」ではありません。

それは、患者さんの病歴、服薬、検査結果、診療内容、家族背景、生活習慣、支払情報、時には心理的・社会的な事情まで含む、極めてセンシティブな情報です。いわゆる個人情報保護法上の「要配慮個人情報」に該当し得る情報も多く、医療機関は一般企業以上に慎重な取扱いが求められます。

そのような中、2026年4月7日、政府は「個人情報の保護に関する法律等の一部を改正する法律案」を閣議決定し、第221回特別国会に提出しました。個人情報保護委員会は、デジタル技術の急速な進展により個人情報を含むデータ利活用の需要が高まる一方、違法な取扱いによる権利利益侵害リスクも高まっているとして、保護と利活用の両面から改正案を説明しています。

今回の改正案で、医療機関が特に注目すべき論点の一つが、いわゆる「統計作成等目的」に関する特例です。

一般的には「統計特例」や「AI特例」と呼ばれることもあり、統計情報等の作成にのみ利用される場合には、一定の条件のもとで、本人同意なしに個人データ等を第三者提供できる方向性が示されています。法律実務の解説では、個人情報保護委員会が、統計作成等と整理できるAI開発等もこの文脈に含まれ得ると説明している点が注目されています。

これは、AI時代の医療機関にとって非常に重要な転換点です。

「同意なしでAI学習に使われる」という不安をどう捉えるか

今回の改正案をめぐっては、「本人の同意なしで個人情報がAI学習に使われるのではないか」という不安が広がっています。この不安は、決して過剰反応とは言い切れません。

なぜなら、医療機関の患者情報は、AI開発にとって非常に価値の高いデータだからです。疾患、検査値、処方、治療経過、年齢、地域、受診行動などのデータは、医療AI、予測モデル、業務効率化ツール、保険者分析、地域医療政策、創薬、ヘルスケアサービスの開発に活用される可能性があります。

もちろん、統計情報やAI開発が社会に利益をもたらす場面は多くあります。

疾患の早期発見
重症化リスクの予測
医療資源の最適配置
医療費分析
地域医療構想
診療支援AI
患者説明の効率化

これらは、医療の質向上や地域医療の維持に役立つ可能性があります。

しかし、問題は「誰が、どのデータを、どの目的で、どの範囲まで利用し、患者さんにどう説明するのか」です。

AI開発や統計利用という目的が掲げられたとしても、患者さんから見れば、「自分の診療情報がどこまで利用されるのか分からない」「どの企業に提供されるのか分からない」「後から追跡できない」という状況は大きな不安につながります。医療機関は、この不安を軽視してはいけません。

統計特例のポイント：医療機関は「使える」より先に「説明できるか」を考えるべき

改正案では、統計作成等目的による本人同意取得義務の免除が大きな改正項目として位置づけられています。令和8年改正案には、統計作成等目的による同意取得義務の免除、子どもの個人情報の規制明確化、顔特徴データ等の規律、委託を受けた事業者の規律整備、課徴金制度の導入など、複数の改正項目が含まれています。

このうち、医療機関が最も注意すべきなのは、「法的に可能になるかもしれない」ことと、「患者・地域・行政に説明できる運用である」ことは別だという点です。

医療機関は、一般企業とは異なります。患者さんは、医療機関に対して、病気や身体の状態、生活の悩み、家族の情報を預けています。そこには、強い信頼関係があります。

そのため、仮に法令上、一定の条件下で本人同意なしの提供や利用が認められる場面が広がったとしても、医療機関としては、単に「法律上できるから使う」という姿勢では不十分です。むしろ、次のような観点が必要です。

患者情報の利用目的は明確か
統計作成等目的の範囲を超えていないか
提供先は誰か
再提供や二次利用は制限されているか
委託先・共同利用先との契約は整備されているか
患者に説明できる文書はあるか
院内で承認された運用か
証憑として残せるか
万一の問い合わせや苦情に対応できるか

AI時代の医療機関に必要なのは、「データを使う力」だけではありません。それ以上に、「データ利用を説明し、管理し、記録する力」です。

医療機関にとって最も危険なのは「ベンダー任せ」のAI活用

今後、医療機関にはさまざまなAIサービスが提案されるはずです。

現場に導入され得る主なAIサービス例診療録の要約AI / 問診AI予約最適化AI / レセプトチェックAI施設基準チェックAI / 患者説明文作成AI医療経営分析AI / 画像診断支援AI / 問い合わせ対応AI

これらのサービス自体は、医療現場の負担軽減に大きく貢献する可能性があります。しかし、ここで危険なのが「ベンダーが大丈夫と言っているから大丈夫」という判断です。

医療機関が確認すべきなのは、AIサービスの便利さだけではありません。以下の項目を厳格にチェックする必要があります。

入力した情報がAIの学習に使われるのか
患者情報を外部サーバーに送信するのか
国内保管か、国外保管か
再委託先はあるのか
ログは残るのか
削除依頼は可能か
学習利用を拒否できるのか
匿名化・仮名化の方法は何か
要配慮個人情報の取扱いはどう整理されているか
医療情報システム安全管理ガイドラインとの整合性はあるか

これらを確認しないままAIを使うことは、患者情報を外部に渡しているにもかかわらず、医療機関側が実態を把握していない状態になりかねません。

特に中小病院、クリニック、歯科医院、薬局、訪問看護ステーションでは、情報システム部門や法務部門がないことも多く、院長や事務長がサービス説明だけで判断してしまうリスクがあります。AI活用が進むほど、医療機関には「委託先管理」「契約管理」「責任分界点の整理」が求められます。

「統計なら安全」とは限らない

「統計情報」という言葉には、安全で匿名化されているような印象があります。しかし、現代のデータ分析では、単純に氏名や住所を削除すれば安全というわけではありません。

年齢、性別、地域、疾患、受診日、検査値、処方内容、希少疾患、診療科、紹介元、時系列データなどが組み合わされると、個人が推測されるリスクは残ります。特に医療データは、希少性が高い情報を含みます。

「ある地域で、特定の年齢層で、特定の疾患を持ち、特定の薬を使っている患者」という条件だけで、関係者には誰かが推測できることもあります。

したがって、医療機関が統計利用やAI開発にデータを提供する場合には、単に「統計目的だから問題ない」と考えるのではなく、再識別リスク、少数集団への影響、差別的利用、保険・雇用・信用判断への転用リスクまで含めて検討する必要があります。

医療機関にとって、患者情報は「資産」である前に「信頼の預かり物」です。

365メディカルが考える、医療機関が今準備すべき5つの対応

今回の個人情報保護法改正案は、まだ審議・運用設計の過程にあります。今後、成立時期、施行時期、個人情報保護委員会規則、ガイドライン、Q&Aによって実務の詳細が定まっていくことになります。

しかし、医療機関は今から準備できます。365メディカルでは、少なくとも次の5つの対応が重要だと考えます。

対応ステップ	具体的な実施内容
1. 患者情報の棚卸し	電子カルテ、レセコン、予約・問診システム、画像管理、クラウドストレージ、AIツールなど、情報の所在を整理する。
2. 利用目的と第三者提供の整理	患者情報の利用目的を整理し、院内掲示・WEB掲載・同意書・プライバシーポリシーとの整合性を確認する。
3. AIサービス利用時のチェックリスト化	入力可能な情報、学習利用や外部送信の有無、保存期間、削除方法、契約条項を確認する仕組みを作る。
4. 委託先管理と責任分界点の明確化	各種ベンダー、クラウド事業者、外部コンサルなど、医療情報に触れる事業者との責任分界点を整理する。
5. 証憑管理	契約書、仕様書、セキュリティチェックシート、同意書、院内規程、WEB掲載内容の更新履歴などを後から説明できる形で保管する。

これらは、単なる個人情報保護対応ではありません。医療DX時代の経営管理そのものです。

365RegistryとWEB掲示サポートが支援できる領域

365メディカルでは、医療機関の施設基準管理、WEB掲示、証憑管理、医療情報システム安全管理を支援する仕組みとして、「365Registry」および「医療機関WEB掲示サポート」を提供しています。

今回の個人情報保護法改正案を踏まえると、医療機関には今後、次のような管理がますます求められます。

個人情報の利用目的の整理
患者向け説明文の整備
プライバシーポリシーの更新
AIサービス利用時の確認記録
委託先管理台帳
医療情報システム安全管理に関する証憑
施設基準・WEB掲示項目との整合性
厚生局・行政・患者からの問い合わせに対する説明資料

これらを紙やExcel、担当者の記憶だけで管理することは、今後ますます難しくなります。

医療DXが進むほど、データの流れは複雑になります。AI活用が進むほど、患者情報の利用範囲は広がります。制度改正が進むほど、説明責任は重くなります。

だからこそ、医療機関には「使うDX」だけでなく、「守るDX」が必要です。365メディカルは、医療機関が安心してDXを進めるために、施設基準、WEB掲示、証憑管理、委託先管理、医療情報システム安全管理を一体的に支援してまいります。

まとめ：AI時代の医療機関に必要なのは、データを守る経営体制である

個人情報保護法の改正案は、AI開発や統計利用を進めるための制度的な転換点です。社会全体として医療データの利活用が進めば、医療の質向上や業務効率化に大きな恩恵が生まれる可能性があります。

しかし、その前提にあるのは、患者さんからの信頼です。患者さんは、自分の情報がどのように使われているのか分からない医療機関よりも、何を管理し、何を説明し、どのように守っているのかを明確に示せる医療機関を信頼します。

AI時代の医療機関に必要なのは、単に新しいツールを導入することではありません。

患者情報の所在を把握する
利用目的を整理する
委託先を管理する
AI利用のルールを作る
WEB上で必要な情報を説明する
証憑を残す
問い合わせに答えられる体制を作る

これこそが、これからの医療機関に求められるデータガバナンスです。

365メディカルは、医療機関の「攻めの医療DX」と「守りの情報管理」を両立させるため、365Registry、医療機関WEB掲示サポート、医療情報システム安全管理MSOサービスを通じて、持続可能な医療機関経営を支援してまいります。

引用・参照

個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律案』の閣議決定について」（令和8年4月7日）
個人情報保護委員会「個人情報保護法等の一部を改正する法律案について」
長島・大野・常松法律事務所「速報令和8年改正個人情報保護法改正法案第2回 AI特例（統計作成等の特例）」
BUSINESS LAWYERS「令和8年改正個人情報保護法はどうなる？改正案を弁護士が解説」
個人情報保護委員会「個人情報保護法いわゆる3年ごと見直しの制度改正方針」

用語集

個人情報保護法：個人情報の適正な取扱いを定める法律。個人の権利利益の保護と、個人情報の有用性とのバランスを図ることを目的とする。
要配慮個人情報：病歴、診療情報、障害、健康診断結果など、不当な差別や偏見につながるおそれがあるため、特に慎重な取扱いが求められる個人情報。
統計作成等目的：大量の情報を解析し、傾向や性質に関する情報を作成する目的。改正案では、統計作成等と整理できるAI開発等との関係が注目されている。
AI特例・統計特例：統計作成等目的にのみ利用されること等を条件に、本人同意なしでの一定の個人データ等の第三者提供などを認める方向で議論されている特例的な仕組み。
データガバナンス：データの取得、利用、保存、提供、削除、委託、説明責任を組織的に管理する考え方。医療機関では、患者情報の信頼性と安全性を守る経営課題である。
委託先管理：医療機関が外部事業者に業務やシステム運用を委託する際、契約、責任分界点、セキュリティ、再委託、事故対応などを管理すること。

免責事項

本記事は、2026年7月時点で公表されている資料および関連情報をもとに、医療機関経営・医療DX・情報管理の観点から一般的な解説を行うものです。個人情報保護法改正案の内容、成立時期、施行時期、政省令、個人情報保護委員会規則、ガイドライン、Q&A等は今後変更・追加される可能性があります。個別の法的判断、患者同意、第三者提供、AI利用、委託先管理、医療情報システム安全管理については、必ず最新の法令・通知・ガイドラインを確認し、必要に応じて弁護士、個人情報保護・医療情報安全管理の専門家にご相談ください。