株式会社ヘンリーでVP of Technologyをしております、戸田（id:eller）です。
2026年7月10日に成立した改正個人情報保護法では「統計作成等」にのみ利用される場合について、本人の同意なしに個人データを第三者へ提供できる特例が盛り込まれました。一定のAI開発についても、この特例の対象になり得るとされています。
改正法は7月17日に公布され、原則として公布から2年以内に施行される予定です。具体的な対象範囲や公表事項などは、今後、個人情報保護委員会規則やガイドラインで定められます。したがって、本稿執筆時点では、まだこの特例を利用してデータ提供を開始できる段階ではありません。
この改正は、医療情報システムをSaaSとして提供する弊社のような事業者にとっても、患者本人の同意なしに患者データから統計情報やAIモデルを作成し、利用できるようになるということなのでしょうか？
結論から言えば、改正後も、SaaS事業者が預かった患者データを自由に統計作成やAI学習へ利用できるようになるわけではありません。
今回はこの問題を題材に、個人情報保護法上の「委託」と「第三者提供」の違いや、サービス利用規約、DPA、プライバシーポリシーといった文書が、なぜサービスによる機能提供で重要なのかを考えてみます。多くのバーティカル SaaS では似たような課題を持つかと思いますので「医療機関」「患者情報」などの表現をご自身のドメインの用語に置き換えてみてください。
なお、本稿は法改正の概要と実務上の論点を技術者向けに整理したものであり、個別案件についての法的助言ではありません。
今回の改正で何が変わるのか
現行の個人情報保護法では、病歴などの要配慮個人情報の取得や、個人データの第三者提供には、原則として本人の同意が必要です。
一方、複数の事業者が保有するデータを横断的に分析し、特定の個人との対応関係が排斥された統計情報やAIモデルを作りたいというニーズは高まっています。たとえば、複数の医療機関がそれぞれ保有する患者情報をSaaS事業者に提供し、SaaS事業者がそれらを横断的に分析して、特定の患者との対応関係を持たない統計情報や、統計作成等に当たるAIモデルを作成する場合です。
最終的に作成されるものが個人に関する情報ではないとしても、その作成過程では個人データを別の事業者へ渡す必要があり、ここで本人同意が必要になることがデータ利用上のハードルになっていました。
今回の改正では、個人データが「統計作成等」にのみ利用されることが担保されている場合、本人の同意なしに第三者へ提供できる特例が新設されました。
4月7日の法案閣議決定時点における個人情報保護委員会の説明では、次のような規律が想定されています：
- 提供元、提供先や、作成しようとする統計情報等の内容を公表する
- 統計作成等のみを目的とする提供であることについて、提供元と提供先が書面で合意する
- 提供を受けた事業者による目的外利用を禁止する
- 提供を受けた個人データのさらなる第三者提供を制限する
また、「統計作成等であると整理できるAI開発等」も対象になり得るとされています。
ただし、AIという名前が付けば何でも対象になるわけではありません。たとえば、多数の症例から集団の傾向を学習し、特定の患者との対応関係を持たない予測モデルを作る場合は、特例の対象となる可能性があると考えられます。一方、患者単位の記録を検索するRAGのデータベース、患者ごとの埋め込みベクトル、学習データを再現できるモデルなどは、単純に「統計作成等」とは整理できない可能性があると考えられます。具体的な対象範囲は、今後の規則・ガイドラインを待つ必要があります。
重要なのは、機械学習という技術を使ったかどうかではなく、何を作るために個人データを扱い、完成物や中間生成物に特定の個人との対応関係が残るかです。
患者情報を扱う主体とそれぞれの役割
今回の特例が医療情報システムSaaSにどのように関係するかを考えるために、まず患者情報を誰が、どのような立場で取り扱っているのかを整理します。
医療情報システムSaaSでは、少なくとも次のような主体が関係します。
- データによって識別される患者
- 診療のために患者情報を取得する医療機関
- 医療機関からデータの保存や処理を受託するSaaS事業者
- SaaSの実行基盤を提供するクラウドサービス事業者
患者は、個人情報保護法上の「本人」です。医療機関が保有する保有個人データについて、開示、訂正、利用停止等を求めることができます。
医療機関は、診療という自らの業務を行うために利用目的を定め、患者情報を取得・利用し、その取扱いに責任を負う個人情報取扱事業者です。
医療機関は、患者から直接個人情報を取得する場合、その利用目的を院内掲示等によって明らかにします。また、患者への医療提供に通常必要な範囲の利用については、院内掲示等で利用目的を示し、患者から明確な反対や留保がなければ、黙示の同意が得られているものとして扱われる場合があります。
ただし、院内掲示によって、あらゆる利用について包括的な同意が得られるわけではありません。黙示の同意が認められる範囲は、患者への医療サービスの提供に通常必要であり、医療機関が示した利用目的の範囲に限られます。
医療機関が電子カルテSaaSに患者情報の保存、検索、集計などを行わせる場合、SaaS事業者は、通常、医療機関から個人データの取扱いを委託される立場になります。
SaaS事業者が患者本人から直接データ管理を任されているわけではありません。
SaaS事業者が患者情報を取り扱える範囲は、患者との直接契約の有無ではなく、医療機関から委託された業務と、その業務のために必要な範囲によって決まります。そのため、患者情報を受け取ったことだけを理由に、SaaS事業者が独自の事業目的で利用できるようになるわけではありません。
なお、クラウドサービス事業者の位置付けは、契約と技術構成によって異なります。
クラウドサービス事業者が個人データの内容を閲覧、加工、分析するなどの取扱いを行う構成であれば、再委託先などとして整理する必要があります。一方、クラウドサービス事業者にはサーバーやストレージ等の情報処理基盤だけを提供させ、契約上も技術上も保存された個人データを取り扱わない構成であれば、個人情報保護法上の「提供」や「個人データの取扱いの委託」には当たらない場合があります。この場合でも、SaaS事業者は自らの安全管理措置として、クラウドサービスの安全性を適切に評価・管理する必要があります。
このように、医療機関、SaaS事業者、クラウドサービス事業者は、それぞれ同じ患者情報に関係していても、個人情報保護法上の立場と、許される取扱いの範囲が異なります。特に重要なのが、医療機関からSaaS事業者へのデータ提供が、「委託」なのか「第三者提供」なのかという違いです。
委託と第三者提供の違い
医療機関がSaaS事業者に患者情報を渡す場合、一般には「第三者提供」ではなく「委託」として整理されます。
形式的に見れば、医療機関とは別の法人であるSaaS事業者にデータを渡しているため、SaaS事業者は第三者です。しかし、医療機関の利用目的を達成するために必要な範囲でデータ処理を委託する場合、個人情報保護法上、その委託先は第三者提供規制における「第三者」に該当しないものとして扱われます。
これは、委託先が本人との関係では委託元と一体のものとして扱われることに合理性があるためです。具体的には経済産業省の出しているフローチャートなどをご確認ください。
flowchart TD
A[患者]
B[医療機関]
C[SaaS事業者]
A -->|個人情報の提供| B
B -->|利用目的の達成に必要な範囲での委託| C
委託であれば、医療機関からSaaS事業者へのデータ提供について、第三者提供として患者本人の同意を取得する必要はありません。
その代わり、SaaS事業者がデータを取り扱える範囲は、委託された業務の範囲に限定されます。個人情報保護委員会のガイドラインも、委託先は委託された業務以外に個人データを取り扱えないとしています。
一方、SaaS事業者が医療機関から受け取ったデータを、医療機関の利用目的とは別の自社目的で利用する場合は、単純な委託とはいえません。
個人情報保護委員会は、委託先がデータを統計情報へ加工すること自体は、委託業務に含まれていれば可能としています。しかし、委託業務の範囲外で統計情報を作成し、それを委託先自身のために利用することはできないとも説明しています。
例えば、A病院から委託を受け、A病院の病床稼働率を集計してA病院に返す処理は、比較的素直に委託として整理できます。
これに対して、A病院から受け取った患者データを、SaaS事業者が独自に開発する別製品や、顧客以外にも提供する分析サービスへ利用する場合は、通常の委託から外れる可能性が高くなります。
経済産業省のAIの利用・開発に関する契約チェックリストでも、AIサービスの提供者へ個人データを渡す際には、まずデータが実際に提供されるか、提供が委託などの第三者提供の例外に当たるか、国内外のどの事業者が取り扱うかという順序で確認する必要があると整理されています。
したがって、医療機関との契約に患者データの利用を認める条項を置いただけで、SaaS事業者が委託データを自由に二次利用できるわけではありません。契約は必要ですが、契約だけで適法になるわけではなく、医療機関側の利用目的や、個人情報保護法上の提供根拠と整合している必要があります。
3つの利用方法を考える
具体的な利用方法を、次の3つに分けて考えてみます。
1. 特定の医療機関のデータから統計を作成し、その医療機関に返す
例えば、ある医療機関のデータから、次のような情報を作成する場合です。
- 診療科別の患者数
- 病床稼働率
- 平均在院日数
- 算定漏れの傾向
- 時間帯別の受付件数
- 医療機関内の業務量の予測
これらが医療機関へ提供するサービスの一部として定められていれば、従来から委託業務として実施できる可能性があります。今回の改正によって、初めて可能になったわけではありません。
ただし、ある条件に該当する患者が1人しかいない場合など、統計から患者を推測できることがあります。医療機関内では患者の背景情報を知っている人も多いため、少数セルの抑制など、出力結果に応じた対策が必要になるかもしれません。
2. 全医療機関のデータから統計やモデルを作成し、製品機能に活用する
例えば、複数の医療機関から提供を受けた患者データを用いて、次のような統計やモデルを作成する場合です。
- レセプトチェックの精度向上
- 疾患や診療行為の一般的な傾向分析
- 病床需要の予測モデル
- 医療機関間のベンチマーク
- 文書分類や入力補助のための機械学習モデル
これは、従来から常に不可能だったわけではありません。
個人情報保護委員会は、委託元の利用目的の達成に必要な範囲内であれば、委託先が自社の分析技術を改善するために委託データを利用できる場合があるとしています。
例えば、医療機関から委託されたレセプトチェックを適切に行うため、その分析技術を改善することが委託業務の一環として明確に位置付けられていれば、委託として整理できる余地があります。
一方で、全テナントの患者データを用いて共通の統計やモデルを作成し、その完成物を将来の顧客や別の製品にも活用する場合、各医療機関の利用目的の達成に必要な範囲を超え、SaaS事業者独自の目的が含まれる可能性があります。
その場合、改正後は、通常の委託とは別に、今回新設される「統計作成等」の特例に基づく第三者提供として構成できる可能性があります。
この構成では、医療機関とSaaS事業者との間で「統計作成等」だけを目的とすることを書面で合意し、提供元、提供先、作成内容等を公表し、目的外利用を防止する必要があります。
ただし、この特例によって利用できるのは、統計作成等に必要な範囲の患者データです。
患者データそのものや、その複製・加工物を、製品提供や別の事業目的に自由に利用できるようになるわけではありません。
製品機能に活用できるのは、特例の要件を満たして作成された統計やモデルです。
つまり、製品の機械学習機能だから委託であり、利用規約に記載すれば使えるという単純な話ではありません。
3. 全医療機関のデータから統計を作成し、政策提言や製品外の活動に活用する
例えば、複数の医療機関から提供を受けた患者データを用いて、地域医療の提供体制、医療従事者の業務負荷、診療報酬制度上の課題に関する統計を作成し、その統計を政策提言や業界活動に活用する場合です。
これは通常、個々の医療機関に対する電子カルテサービスの提供という委託目的からは離れます。
現行法でも、医療機関から明示的にその分析業務を委託されている場合や、適法に匿名加工情報を作成して提供する場合など、実現方法が全く存在しなかったわけではありません。しかし、SaaS事業者が通常のサービス提供の過程で預かった患者データを、自らの判断で政策利用へ転用することはできません。
改正後は、政策提言や業界活動に用いる統計を作成するために、「統計作成等」の特例を利用できる可能性があります。
ただし、この特例は、政策提言そのものを目的として患者データを利用することを許すものではありません。
患者データを扱えるのは、あらかじめ公表・合意した統計作成等に必要な範囲です。
政策提言や業界活動には、その過程で作成された統計を用います。
ただし、患者が特定できないことだけでは十分ではありません。特定の医療機関の経営状態、診療傾向、事故率などが推測できる場合には、個人情報保護法とは別に、契約上の秘密保持や医療機関の信用、適切な比較表示などが問題になります。
したがって、この用途では、法令上の最低限の公表や合意に加え、次のようなガバナンスも必要になるでしょう。
- 参加する医療機関を明示的に募る
- 利用するデータ項目と分析目的を具体的に説明する
- 医療機関や地域を推定できる情報を抑制する
- 公開前に分析方法や表現をレビューする
- 分析の限界やデータの偏りを明示する
- 当初説明した目的から変更する場合は、改めて合意する
本人同意が不要になっても、患者への説明や公表が不要になるわけではない
今回の改正で不要になるのは、一定の条件を満たす場合の「患者本人からの個別の同意」です。
本人への説明、利用目的の明確化、医療機関とSaaS事業者との合意が不要になるわけではありません。
むしろ今回の特例では「統計作成等」だけに利用されることを担保するために、提供元と提供先の名称、作成する統計情報等の内容などを公表し、提供元と提供先が書面で合意することが求められます。
また、医療・介護分野のガイダンスは、患者にとって利用目的が明らかである場合についても、患者に利用目的を分かりやすく示す観点から、院内掲示等によって公表することを求めています。
そのため、医療機関が新しい特例を使ってSaaS事業者へデータを提供する場合には、法令上の公表事項だけではなく、患者向けの院内掲示やプライバシー通知についても見直すことが望ましいでしょう。
少なくとも患者から見て、
- どのようなデータが利用されるのか
- 誰に提供されるのか
- 何を作るために利用されるのか
- 作成された統計やモデルがどのように使われるのか
- 個人を特定したり、個人に働きかけたりするためには使われないのか
が理解できる説明が必要です。
本人同意を取得しない制度だからこそ、透明性の重要性はむしろ高くなります。
利用規約、DPA、プライバシーポリシーはそれぞれ役割が異なる
ではこうした個人情報の取扱いについては、SaaSの利用規約やSaaS事業者のプライバシーポリシーに何か書いて良いのでしょうか？
こうした文書は、異なる相手に対して異なる事項を説明・合意するものなので、その違いをまず踏まえる必要があります：
| 文書 |
主な役割 |
| 医療機関の院内掲示・患者向けプライバシー通知 |
患者に利用目的や提供先、利用方法を説明する |
| サービス利用契約・利用規約 |
医療機関とSaaS事業者のサービス上の権利義務を定める |
| DPA・個人データ取扱特約 |
委託する処理、目的、安全管理、再委託、削除、監査等を定める |
| SaaS事業者のプライバシーポリシー |
SaaS事業者自身が取得・利用する個人情報の取扱いを公表する |
特に注意が必要なのは、SaaS事業者のプライバシーポリシーに、
個人を特定できない統計情報を作成し、利用することがあります
と記載するだけでは、医療機関から委託された患者データを全テナント横断で利用できるようにはならないということです。
プライバシーポリシーは、医療機関の利用目的を変更するものでも、医療機関とSaaS事業者との委託契約の範囲を拡張するものでもありません。
まず、何のために、どのデータを使い、どのような統計やモデルを作りたいのかを具体化する必要があります。
そのうえで、
- 医療機関の利用目的と委託範囲内の処理なのか
- 改正法の特例に基づく第三者提供として扱うのか
- 患者、医療機関、SaaS事業者にどのように説明するのか
- 元データ、中間生成物、完成したモデルをいつまで保存するのか
- 目的外利用や再識別をどのように防止するのか
を整理し、実際の処理内容と契約文書を一致させる必要があります。機能を実装してから法務文書を整えるのでは順序が逆だということです。
サービス仕様を決めること、データフローを設計すること、契約を整備することは、本来、ひとつのプロダクト設計として並行して行われるべきものです。
まとめ
今回の個人情報保護法の改正は、医療情報システムをSaaSとして提供する事業者が、患者の同意なしに、預かった患者データを自由に統計作成やAI学習へ転用できるようにするものではありません。
医療機関は、患者から情報の管理を委託されているだけの存在ではなく、自ら利用目的を定めて患者情報を取り扱い、その取扱いに責任を負っています。
SaaS事業者が医療機関から受け取った患者データを取り扱えるのは、原則として、医療機関の利用目的の達成に必要な委託業務の範囲内です。そのため、
- 特定の医療機関向けに統計を作成して返す
- 全医療機関のデータから共通の製品機能やAIモデルを作る
- 全医療機関のデータから政策・研究用の統計を作る
という3つの利用方法は、それぞれ異なる法的・契約上の整理を必要とします。
改正後は、委託範囲外となる統計作成や一定のAI開発についても、本人同意なしの第三者提供という新しい経路を利用できる可能性があります。
しかし、そのためには「統計作成等」だけに利用することを明確にし、医療機関とSaaS事業者との間で合意し、作成内容を公表し、目的外利用を防ぐ必要があります。
本人同意が不要になることと、データ利用について誰にも説明しなくてよくなることは、全く異なります。
統計情報やAIモデルをサービスへ活用したいと考えたとき、最初に必要なのはモデルの選定や実装ではありません。
何のために、どのような情報を作りたいのか。そのために患者情報をどのように取り扱い、患者や医療機関にどう説明するのかを決めることです。
サービス利用規約やDPA、プライバシーポリシーといった文書は、サービスがデータをどのように扱うのかを、顧客や患者との関係の中で定義する、プロダクトそのものの一部なのだと考えます。
id:nabeop
