病歴、位置情報、指紋や顔の認証データ。名前を並べただけで「そりゃ漏らしちゃいかんでしょう」と分かる情報です。ところが政府が検討しているのは、漏えい後の報告を増やす話だけではありません。第三者へ渡す、解析を頼む、外部のクラウドへ預ける。その前に国が安全保障の目で見る仕組みです。
いや、ここがミソなんですよ。個人情報保護の話に見えて、中心にある問いが少し違う。本人のプライバシーを守れているかに加え、大量の機微データを、誰が、どこで、どんな契約の下で扱えるのかを国の安全という単位で確かめようとしているんです。
政府は、企業や団体に対し、病歴や指紋、位置情報といった機微な個人データを第三者に提供することについて、国への事前報告を義務付ける方向で調整に入った。大量のデータを保有する事業者を対象とし、病院や銀行など数百程度を見込む。情報の提供に加え、
今回の登場人物
- 機微な個人データ：今回の政策議論で使われる呼び方。政府の有識者会議は、ゲノム、医療、金融、位置、生体認証などを例に挙げる。対象の正式な定義や量の基準は、まだ決まっていない。
- 要配慮個人情報：個人情報保護法にある法律用語。病歴、障害、健診結果、診療情報など、差別や不利益が生じないよう特に配慮を要する情報を指す。今回の「機微な個人データ」と同じ箱ではない。
- 個人情報保護委員会（PPC）：個人情報保護法を所管し、事業者を監督する独立性の高い行政機関。外国への個人データ提供やクラウド利用の考え方をガイドラインで示す。
- 外国にある第三者への提供：日本の事業者が、外国にある別法人などへ個人データを渡すこと。原則として本人の同意や、その判断に必要な情報の提供が求められる。
- 経済安全保障：物資、技術、インフラ、データなどを通じて国の安全や経済活動が脅かされるリスクへ備える考え方。今回の案では、個人一人の不利益だけでなく、データの集積が国全体に及ぼす危険を見る。
何が起きたか
熊本日日新聞が掲載した共同通信の記事は10月4日、政府が、病歴、指紋、位置情報などの機微な個人データを第三者へ提供する際、国への事前報告を企業や団体に義務付ける方向で調整に入ったと報じた。大量のデータを持つ病院や銀行など、数百程度の事業者を想定し、外部のクラウドやデータセンターへの保管も含める方針だという。
報道によれば、国が提供の可否を審査する仕組みを検討し、2027年の通常国会への経済安全保障推進法改正案の提出を目指す。有識者会議では、報告を免れようとする行為への罰則や、クラウド・データセンター事業者への規律も議論する見通しだ。
ここで赤線を引きます。これは成立した制度ではない。2026年1月の政府有識者会議の提言は、機微な個人データとクラウド上の大量データを守る措置が必要だとしたが、6月に成立した経済安全保障推進法の改正にはデータセキュリティ措置が入らなかった。担当相も6月12日、関係省庁と必要な措置を検討すると説明していた。今回の報道は、その先の制度案が具体化してきたという段階です。
ここが本題
では、なぜ、すでに個人情報保護法があるのに、もう一つ事前審査を考えるのか。「今ある法律で見ればいいのでは」と思いますよね。
短く言えば、二つの制度は同じデータを見ても、守ろうとする単位が違うからです。
| 見るポイント | 個人情報保護法の中心 | 今回報じられた経済安保の案 |
|---|---|---|
| 守るもの | 本人の権利利益 | 国家・国民の安全への影響 |
| 主な問い | 本人同意、利用目的、安全管理は適切か | 誰がどこで扱い、外部から利用される余地があるか |
| 時間軸 | 提供時のルールと継続的な管理、漏えい時の対応 | 危険な提供・保管を実行前に止められるか |
もちろん、二つの範囲が定規で線を引いたように、きれいに分かれるわけではない。個人情報保護法にも安全管理措置があり、外国での取扱いも見ます。ただ、法律の主眼はあくまで個人の権利利益だ。一方、経済安保は、データが集まったときに国の意思決定や重要技術へ影響力を行使する材料にならないか、というもう一段大きな絵を見るわけです。
現行法は「海外に置いたら即アウト」ではない
さて、まずは今あるルールからです。個人情報保護法28条では、個人データを外国にある第三者へ提供する場合、原則として、外国への提供を認める本人の同意が必要になる。同意を得る前には、その国の個人情報保護制度や、提供先が講じる保護措置など、本人の判断材料を示さなければならない。
ただし、日本と同等水準の制度があると認められた国にいる相手や、日本の事業者に求められる措置に相当する保護措置を継続して講じる体制を整えた相手などには、別の扱いがある。つまり「国境を越えたら全部禁止」という踏切ではありません。
クラウドの扱いは、さらに丁寧に見る必要がある。ここは「サーバーは海外、はいアウト」と一行で片づかないところです。個人情報保護委員会のQ&Aでは、外国事業者の外国サーバーへ保存しても、契約上その事業者がデータを取り扱わず、適切なアクセス制御がある場合は、「外国にある第三者への提供」には当たらない。ただし外国でデータを扱う以上、その国の制度を把握し、必要な安全管理措置を講じる必要は残る。
反対に、サーバーが日本国内にあっても、外国事業者が保存データを取り扱うなら、外国にある第三者への提供に当たり得る。地図に丸を付けて終わりではないんです。サーバーの住所、事業者の法人格、実際の取扱い、契約、アクセス権を一枚ずつめくらないと分からない。
「機微」は一つの法律用語ではない
もう一つ、ここで言葉の交通整理をしておきましょう。似た名前が同じ交差点へ入ってくるので、先に道を分けます。「機微な個人データ」と「要配慮個人情報」は、同じ意味ではありません。
病歴や診療情報は、個人情報保護法の要配慮個人情報に入る。一方、顔や指紋を本人認証用に変換したデータは個人識別符号となり得るが、位置情報や金融情報も含め、今回の政策案が例示するもの全部が、そのまま要配慮個人情報というわけではない。
政府の経済安保提言が使う「機微」は、差別や不利益を防ぐための法律上の分類より広い。例えば位置の履歴が、重要な意思決定に関わる人や重要技術を持つ人への働きかけに使われるリスクを考える。情報一件ごとの不利益だけでなく、集めて分析したときの使われ方を見るんです。レシート一枚なら買い物の記録でも、何年分も束ねれば生活の地図になる。データは、束になると顔つきが変わります。
なお、7月に公布された別の個人情報保護法改正には、生体情報の透明性や利用停止請求に関する新しい規律などが盛り込まれたが、一部を除いて施行はこれからだ。これも個人の権利利益を守る制度で、今回報じられた経済安保の事前報告案とは別物である。
なぜ「渡す」だけでなく「預ける」も見るのか
第三者への売却や共有なら、データが外へ出る感じが分かりやすい。では、保管を頼むだけのクラウドまでなぜ見るのか。
理由は、データの中身を使う契約でなくても、保存と処理の基盤には運用者、機器の供給業者、保守担当、再委託先が関わるからだ。政府の提言も、第三者への提供に加え、情報システムの導入契約やゲノム解析の依頼を、外部への漏えいなどにつながり得る行為として挙げている。データセンターとクラウドについては、供給網のリスク対策や、国内の設置状況など事業実態を把握する措置も検討課題にした。
金庫でたとえるなら、「誰に中身を渡したか」だけでなく、「金庫の鍵を誰が管理し、部品を誰が交換し、停電時に誰が復旧するか」まで確認する話です。クラウドが危険だ、と決めつける話ではない。むしろ医療も金融も、クラウドの処理能力や復旧力を使う必要がある。だからこそ、便利か危険かの二択ではなく、どのアクセスと依存を許すかを契約前に見ようとしている。
未決の線こそ、制度の中身になる
では、病院がクラウドを使うたび国へ申請し、許可が出るまで待つのか。国内事業者なら対象外なのか。暗号化してあればよいのか。気になる質問が三つ並びましたが、現時点では、どれも決まったとは言えない。
政府提言は、対象データの内容・性質・機微度に応じた範囲や量の基準を検討する必要があるとする。対象を広くすれば穴は減るが、病院、銀行、システム会社の日常業務が報告書の山に埋まる。狭くすれば負担は軽いが、本当に守るべき取引が外れる。規制という網は、細かければよいわけでも、大きければよいわけでもありません。
報道にある「数百程度」も、確定した事業者一覧ではない。審査の期間、判断基準、緊急時の例外、再委託や契約変更の扱い、既存契約をどうするか、個人情報保護委員会と安全保障当局の役割分担も、これからの設計事項だ。さらに、国内保管を一律に義務付ける制度になるとも、外国企業を一律に排除する制度になるとも決まっていない。
ここを飛ばして「政府が個人情報の海外移転を禁止する」と読むと、だいぶ先走ります。靴を履く前に玄関を飛び出すくらい早い。いま確認できるのは、事前報告と審査を含む制度を政府が検討し、対象に外部保管も含める方向だと報じられたことまでです。
それで何が変わるのか
制度が具体化すれば、大量の医療・金融・位置・生体データを扱う組織は、価格や機能だけで委託先を選びにくくなる。データの所在、運用拠点、管理者のアクセス、再委託、設備の供給網、相手国の法制度を、契約前に説明できる形へそろえる必要が出てくるかもしれない。
私たち利用者にとっては、同意画面が一枚増えるかどうかより、「預け先を組織がどこまで把握しているか」が大事になる。病院や銀行がクラウドを使うこと自体を怖がる必要はない。見るべきは、どこの事業者が何を扱えるのか、問題が起きたとき誰が止められるのか、説明と責任の線がつながっているかです。
次の注目点は、有識者会議で対象と基準がどこまで絞られるかだ。安全保障という大きな言葉だけで広い規制を正当化せず、守るデータと想定する危険を具体化できるか。同時に、個人情報保護法の手続をなぞるだけでなく、集積データ特有の国レベルの危険へ本当に効く仕組みにできるか。制度の評価は、この二つを両方見て決める必要があります。
まとめ
機微な個人データの事前報告案が外部保管まで見るのは、データを「渡したか」だけでなく、誰がどこで処理・保存し、どんな外部アクセスや依存が生まれるかを安全保障上のリスクとして捉えるためだ。
現行の個人情報保護法は、外国への第三者提供について本人同意、情報提供、安全管理などを求める。ただし、クラウド保管が常に第三者提供になるわけではなく、法律の中心は本人の権利利益にある。今回の案はそこへ、集積したデータが国家・国民の安全に及ぼす影響という別のレンズを重ねようとしている。
ただし、これはまだ制度案だ。対象者、データの定義、量の基準、審査方法、例外、罰則は未決で、国内保管や外国企業排除が決まったわけでもない。いま大切なのは「個人情報保護が安全保障に変わった」と混ぜることではなく、二つの目的と、これから引かれる線を分けて読むことです。