改正個人情報保護法で広告データ活用は自由になるのか ── 広告・マーケティング担当者が押さえるべき「統計」と「個人最適化」の境界
※本記事はマーケティング実務者の視点から制度を読み解いたものであり、法的な見解や助言を提供するものではありません。具体的なコンプライアンス判断については、法務部門や弁護士にご相談ください。
2026年7月10日、改正個人情報保護法が成立し、同月17日に令和8年法律第56号として公布されました。
「病歴や信条も同意なく第三者提供可能に」という見出しが並び、広告業界でも「これでデータ活用の制約が緩むのでは」という声を耳にします。しかし条文を読み解くと、話はそう単純ではありません。
何が「統計作成等」として本人同意・確認規律の例外となり、何が引き続き「個人への働きかけ」として別の法的整理を必要とするのか。この境界線を、正確に整理しておきたいと思います。
「統計作成等の特例」とは何か
まず押さえるべきは、この特例が現時点ではまだ使えないという点です。改正法は一部の規定を除き、公布の日から起算して2年以内で政令が定める日から施行されます。統計作成等の特例もこれに含まれるため、現時点では、この特例を根拠に、現行法上必要となる本人同意や確認を省略することはできません。
そのうえで、改正の柱の一つが「統計作成等の特例」です。取得・提供された情報が統計作成等にのみ利用されることが担保され、各類型に応じて公表や書面合意などの要件を満たす場合に、次の取扱いについて、本人同意・確認規律の例外が設けられます。
第一に、現に公開されている要配慮個人情報を、統計作成等または特例に基づく第三者提供のために取得すること（改正後の個人情報保護法第30条の2）。要配慮個人情報とは、病歴・犯罪歴・信条・人種など、不当な差別や偏見が生じかねない情報を指します。
第二に、個人データ等を、統計作成等のみを目的として取り扱う第三者へ提供すること（同第30条の2）。
第三に、個人関連情報が提供先で個人データとして取得されることが想定される場合に、通常必要となる「本人同意が得られていることの確認」を、一定の条件の下で不要とすること（同第31条の3）です。
なお、Cookie IDや広告識別子等にひも付く情報は、他の情報と容易に照合して特定の個人を識別できる場合には個人情報に、それ以外の場合には個人関連情報に該当し得ます。メールアドレスも、それ自体で個人を識別できる場合や、他の情報と容易に照合できる場合には個人情報となります。それ以外であっても、特定の個人への連絡に利用できるものは「連絡可能個人関連情報」に該当し得ます。
鍵となるのが「統計作成等」の定義です。改正後の個人情報保護法第2条第13項によれば、統計作成等とは、要約すると、大量の情報からその構成要素に係る情報を抽出し、分類・比較その他の解析を行うことによって、その大量の情報の傾向または性質に係る情報を作成する行為を指します。ただし、作成される成果物が個人に関する情報を含まないことや、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定められることが前提です。個人情報保護委員会の資料には「統計作成等であると整理できるAI開発等を含む」と明記されていますが、AI開発なら一律に対象となるわけではなく、成果物、利用目的、分析方法等が定義や今後の委員会規則に適合するかが個別に問われます。
これらの例外を認める代わりに、主に次の担保措置が課されます。
※具体的な公表事項や公表方法は、今後、個人情報保護委員会規則等で定められる予定です。
出典：個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律』の公布について」, 2026年7月17日,https://www.ppc.go.jp/news/press/2026/260717/?ref=topnews
広告・マーケティング実務では、どう捉えるべきか
この制度設計を踏まえて私が最初に感じたのは、「見出しと実態のギャップ」です。
鍵になるのは、成果物と利用目的です。改正法上、統計作成等の成果物は「個人に関する情報であるものを除く」と定義されています。したがって、この特例を根拠として、個人別のスコアや購買可能性を成果物として作成し、それを個人への広告配信や営業活動に利用することはできません。
一方、複数の事業者がデータを提供し、個人との対応関係を排した傾向や性質を分析することには、新たな法的ルートが盛り込まれています。つまり今回の改正は、個人への広告配信を直接自由化するものではなく、統計・AIモデル開発のためのデータ共有を、一定の条件下で行いやすくする制度だと理解するのが適切です。施行後、この境界を誤解し、特例の要件を満たさないまま運用すれば、法令適合性に問題が生じる可能性があります。現時点では委員会規則やガイドラインが未確定の部分も多く、具体的な運用は今後の公表を待つ必要があります。
これは、広告の「個人最適化」をどう変えるか
広告・マーケティング関係者の中には、「これでCookieレスやID連携の議論が一気に進むのでは」と期待した方もいるかもしれません。ここは丁寧に整理する必要があります。
特定の個人に広告を配信することや、個人ごとの関心・購買可能性を推定して働きかけることは、通常、個人との対応関係を排した統計作成等とは異なります。したがって、「Cookie等は特例の対象外」というよりも、「Cookie等を使った個人単位の広告配信やトラッキングは、統計作成等の特例によって規制が緩和されるわけではない」と整理するのが正確です。
さらに重要なのは、今回の改正が緩和一辺倒ではないことです。新たに「連絡可能個人関連情報」という区分が設けられます。これは、それ自体は個人情報に該当しない個人関連情報のうち、所在地、電話番号、メールアドレス、Cookie ID等、特定の個人への連絡や情報伝達に利用できる記述等を含むものです。施行後は、こうした情報の不適正利用と不正取得が禁止されます（改正後の個人情報保護法第31条の2）。個人情報保護委員会の資料では、Cookie ID等を用いた投資詐欺広告への誘導も想定事例として挙げられています。つまり今回の改正は、統計作成等を目的とするデータ共有には新しいルートを設ける一方、識別子を使って個人に働きかける場面には新たな規律を加える、緩和と強化の両面を持つものです。
もう一段の論点もあります。統計作成等の特例で作られたモデルを、別途適法に取得・保有する個人データ等に適用する段階は、モデルの作成段階とは分けて整理する必要があります。その際は、適用するデータの種類や利用方法に応じて、利用目的の制限、不適正利用の禁止、安全管理措置、個人関連情報の第三者提供規制などが別途問題になります。また、モデルが学習データに含まれる個人情報を再現したり、特定の個人に関する情報を出力したりする場合には、そもそも「個人に関する情報を含まない」成果物といえるかが問題になります。具体的な線引きは、今後の委員会規則・ガイドラインを確認する必要があります。
複数事業者間のデータ活用についても補足します。これまでも、本人同意、共同利用、匿名加工情報の活用などによって、横断的な分析を行う余地はありました。一方、単なる委託として、複数の委託元から受け取った個人データを突合し、委託先自身のAI開発や横断分析に利用することには制約がありました。今回の特例は、こうした場面に、公表と書面合意を条件とする新たな選択肢を加えるものです。需要予測や傾向分析など、最終的な成果物が個人に関する情報を含まない分析は、その利用目的や分析方法、今後の委員会規則等に照らし、設計次第でこの特例の対象になり得ます。ブランドの「見つけられ方」を直接変える話ではなく、その手前にある「市場をどう読むか」の解像度を上げる話だと、私は位置づけています。
東北企業が今、考えるべきこと
制度がまだ施行されていないため利用実績に基づく判断ではありませんが、必要となる運用体制を踏まえると、統計作成等の特例を当面活用する東北企業は、それほど多くないと私は見ています。
この特例を利用するには、公表や書面合意、目的外利用の防止など、継続的な管理体制が必要です。活用を検討しやすい主体としては、大学や研究機関、交通事業者、大規模小売などが考えられます。
一方、多くの東北企業にとって重要なのは、この特例を使うことではなく、今回の改正を自社のマーケティングやAI活用を見直すきっかけと捉えることです。生成AIや外部サービスに、どのような情報を入力しているか。AIを導入する目的が、業務効率化なのか、顧客理解なのか、情報発信の強化なのか。
制度の詳細を追うだけではなく、自社がAIやデータを何のために使い、どのような顧客価値や事業成果につなげるのかを整理することが、今まさに求められています。
ICHICOが支援できること
ICHICOは、法的判断そのものを行う立場ではありませんが、制度やリスクを踏まえながら、マーケティングコミュニケーションやAI活用をどのように設計するかを支援できます。なお、個別のデータ取得・提供が法令上認められるか、契約や公表内容が十分かといった法的判断については、弁護士等の専門家への確認を前提とします。
具体的には、次のような支援を行います。
- マーケティングや広報、採用活動におけるAI活用テーマの整理
- 生成AIを活用できる業務や、導入効果が期待できる領域の選定
- AI検索最適化（LLMO）を踏まえた、企業・商品・サービスの情報発信設計
- Webサイト、広告、広報、コンテンツを横断したコミュニケーション設計
活用できる情報やデータがあっても、目的や使い方が曖昧であれば、マーケティング成果にはつながりません。一方、AIやデータを使う目的が明確であれば、必ずしも大規模なシステム投資を行わなくても、既存の業務や情報資産から始められる場合があります。
ICHICOは、企業が抱える経営・マーケティング課題を起点に、「どこにAIを使うべきか」「どのような情報を発信すべきか」「誰のどのような意思決定や行動につなげるのか」を整理し、実行まで伴走します。
マーケティングや広報、AI検索最適化（LLMO）、生成AIの導入・活用について整理したい方は、ICHICOのAI・デジタル戦略ページをご覧ください。
▶ ICHICO AI・デジタル戦略：https://www.ichico.co.jp/service/aidigital/
出典
‐ 個人情報保護委員会事務局「令和８年 改正個人情報保護法について」, 2026年7月, https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/#gaiyo
‐ 衆議院「個人情報の保護に関する法律等の一部を改正する法律案に対する附帯決議」, 2026年5月21 日,https://www.shugiin.go.jp/internet/itdb_rchome.nsf/html/rchome/Futai/chikodigi3D0F75975000490249258DFF001CC9F0.htm
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドラインに関するQ&A」Q7-43,https://www.ppc.go.jp/personalinfo/faq/APPI_QA/
‐ 朝日新聞「改正個人情報保護法が成立 病歴や信条も…本人の同意なく提供可能に」, 2026年7月10日, https://news.yahoo.co.jp/articles/1a37d4e0b196844718822f435b1cae2d94d1a171
‐ 弁護士JPニュース「病歴・前科・人種・信条など『同意なし』で取得可に…“AI開発”名目の改正個人情報保護法成立 専門家ら『プライバシー権侵害のリスク』指摘」, 2026年7月15日, https://news.yahoo.co.jp/articles/85c990c446c6e4c27c2602701c5717bd3b8908ce
‐ 関原秀行氏「令和８年改正個人情報保護法①～統計作成等に関する特例～」, 2026年4月10日, https://note.com/hide_sekihara/n/nc406738de242
（注1）本コラムで紹介する各社・各氏の見解は、それぞれの出典に基づくものであり、ICHICOとの提携・推奨関係を示すものではありません。
（注2）本コラムは2026年8月20日時点で成立した法律に基づく整理です。統計作成等の具体的な対象範囲や公表方法は、今後、個人情報保護委員会規則・ガイドラインで明確化される予定であり、運用の詳細は今後の公表によって変わり得ます。
執筆：萩 雄斗（プランナー兼AI推進リーダー）
大手広告会社でテレビCMのバイイングやメディアプランニングに従事。2025年に弊社入社後は、マーケティング戦略・コミュニケーション設計を担当するとともに、社内外におけるAIの導入・活用を推進している。
公開日：2026年8月20日