個人情報保護法 改正 2026 医療機関 施行と課徴金

個人情報保護法 改正 2026 医療機関 施行と課徴金

個人情報保護法 改正 2026 施行日 2028年7月までの猶予期間

ただし、罰則に関する規定については2027年1月17日に先行施行されるため、医療機関でも刑事罰の引き上げや不正取得罪の新設には早期の対応が求められます。 「まだ先の話」と考えて準備を後回しにすると、いざ施行が近づいたときに社内体制の整備が間に合わないおそれがあります。

参考）令和8年改正個人情報保護法の成立

医療機関が特に注意すべきは、施行日前であっても改正法の趣旨を踏まえたデータガバナンスの整備を進める必要がある点です。統計作成等の特例や課徴金制度は、企業のデータ活用そのものに関わる内容を含んでいるため、早めの全体像把握と準備が肝心です。

参考）2026年 個人情報保護法改正のポイントを弁護士が解説【企業…

個人情報保護法 改正 2026 統計作成等の特例 医療AI開発への影響

今回の改正で最も注目されるのが、「統計作成等の特例」の新設です。統計情報等の作成（統計作成等であると整理できるAI開発等を含む）にのみ利用されることが担保されている場合に限り、第三者提供や公開されている要配慮個人情報の取得について本人同意を不要とします。

参考）個人情報保護法2026年改正の要点と企業の備え

「統計作成等」とは、統計の作成その他の大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除く）を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるものをいいます。

参考）【弁護士解説】統計作成等の特例と同意規律の見直し～令和8年個…

医療AI開発における具体的な適用例は以下の通りです。

参考）医療AI開発の壁を打ち破る：2026年個人情報保護法改正がも…

特例のルート	適用されるシチュエーションの例	主な特徴と要件
① 公開されている要配慮個人情報の「取得」	学会の公開抄録やウェブサイト上で合法的に公表されている要配慮個人情報を収集し、AIに学習させる場合	すでにある程度公にされている情報を「統計作成等」の目的で取得する場合に、同意取得を不要とする
② 医療機関等から開発企業への「第三者提供」	病院のサーバー内に保存されている非公開の医療データを、AI開発企業へ提供して学習用データセットとして用いる場合	提供先における利用目的の全部が「統計作成等」であること。公表義務や書面合意など、厳格なプロセスが必須

個人情報保護委員会も、この特例の対象となるのはAI開発一般ではなく、「統計作成等に整理できるAI開発」であると明言しています。 医療機関がAI開発企業と連携する際には、提供先での利用目的が統計作成等に限定されていること、提供元・提供先の両社が社名や実施する統計作成等の内容を事前に公表していることなどの要件を満たす必要があります。

個人情報保護法 改正 2026 学術研究機関等 医療機関の定義拡大

現行法では、個人データを第三者に提供する場合や要配慮個人情報を取得する場合は、原則として本人の同意が必要です。しかし、学術研究目的の例外規定である「学術研究機関等」の対象範囲に、病院・診療所等の医療の提供を目的とする機関または団体が含まれることも法令上明確化されました。

参考）【2026年最新】個人情報保護法の改正はいつ？どうなる？見直…

改正法では、「学術研究機関等」の定義に、病院その他の医療の提供を目的とする機関若しくは団体又はそれらに属する者が含まれることが明確にされました。 これにより、市中病院も学術研究機関等に含まれる方向となり、研究に関する法的構成は大学病院と実質的に統一される見込みです。

この改正により、医療機関が学術研究の一環として患者データを利用する際の法的整理が簡素化されます。ただし、個別の研究ごとに学術研究例外か否かは判断が必要であり、漫然とすべてのデータ利用が例外扱いになるわけではありません。 医療機関では、研究目的のデータ利用について、従来以上の文書化管理と目的限定の徹底が求められます。

参考）【動画公開】個人情報保護法2026改正における学術研究機関等…

個人情報保護法 改正 2026 課徴金制度 違反利益の没収と対象行為

課徴金は刑事罰としての罰金とは異なり、違反によって得た経済的な利益を保持させないための行政上の措置です。 課徴金の額は、個人情報取扱事業者が、課徴金対象行為またはその行為をやめることの対価として得た金銭その他の財産上の利益に相当する額です。

参考）個人情報漏えいで最大1億円？2026年改正の罰則と課徴金を整…

課徴金納付命令の対象となる違反行為は、次の4類型に限定されています。

参考）【令和8年改正】個人情報保護法で課徴金導入｜自社への影響と施…

• 不適正な利用の禁止（法第19条）違反：違法行為等を行うことが想定される第三者への提供・利用
• 適正な取得（法第20条第1項）違反：偽りその他不正の手段による取得
• 第三者提供の制限（法第27条第1項）違反：本人同意なき第三者提供
• 要配慮個人情報の取得（法21条1項）違反：本人同意なき要配慮個人情報の取得

そのうえで、課徴金納付命令の対象となるには、次の条件を満たす必要があります。

• 事業者が対象行為を防止するための相当の注意を怠っていた場合であること（主観的要素）
• 対象行為に係る本人の数が1,000人を超える大規模事案であること

単なる手続きミスが直ちに課徴金の対象になるわけではない、という点は押さえておくべきです。 しかし、医療機関でも患者情報を不正に第三者提供したり、不正な手段で取得したりした場合には、課徴金の対象となる可能性があります。

参考）個人情報保護法2026年改正｜課徴金導入と中小企業の準備 -…

個人情報保護法 改正 2026 医療機関の独自視点 次世代医療基盤法との関係

医療従事者が特に注意すべき点が、2026年改正個人情報保護法と次世代医療基盤法の関係です。病歴やカルテの情報を、本人の同意なく研究や産業のために使われるようになるのではないかという懸念は、令和8年（2026年）の個人情報保護法改正をめぐる国会審議で繰り返し取り上げられた論点でした。

参考）医療情報は同意なく使われるようになるのか——次世代医療基盤法…

この懸念を整理すると、実際には性質の異なる3つの層が重なっています。

第1の層は、2018年から既に施行されている医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律（次世代医療基盤法）が、本人の個別同意ではなく通知とオプトアウト（本人の求めがあれば提供を停止する仕組み）によって医療情報の第三者提供を認めている現行制度です。

第2の層は、2026年7月10日に成立し同月17日に公布された改正個人情報保護法（令和8年法律第56号）が新設する「統計作成等の特例」であり、これは要配慮個人情報（病歴等）を含む個人データについて、統計作成等の目的に限定されることを条件に、本人同意なく第三者提供や取得を可能にする制度です。

第3の層は、内閣府「医療等情報の利活用の推進に関する検討会」が現在検討している制度です。 医療機関では、これら3つの制度を混同せず、それぞれの手続き要件を正確に理解したうえでデータ利活用を進める必要があります。

個人情報保護委員会 公式サイト
令和8年法律第56号（改正個人情報保護法）の条文
厚生労働省 次世代医療基盤法 関連ページ

【指定第2類医薬品】イブクイック頭痛薬DX 60錠