行政機関等匿名加工情報とは、行政機関等が保有個人情報を加工して作る情報のことです。

自治体のデータを預かって加工し、第三者に渡すスキームに、行政から待ったに近い指摘が出ました。この記事では、2026年8月19日に公表された注意喚起で何が問題とされたのか、医療やヘルスケア分野の顧問先を持つ事務所がどこを確認するのかを整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。注意喚起の内容は個人情報保護委員会の公表資料の原文で、法令の条文はe-Gov法令検索の原文で確認しています。

何が指摘されたのか、事案の骨格から追う

結論から書くと、問題とされたのは加工の技術ではなく、目的の設定と成果の戻し方です。データを匿名化したかどうかではなく、そもそも何のために渡したのかが説明できるか、という点に指摘が向いています。

公表資料が示す事案の骨格はこうです。個人情報取扱事業者Aが地方公共団体Bから委託を受け、レセプトデータや調剤データを加工して行政機関等匿名加工情報を作成し、Bに納品しました。BはAと覚書を締結して当該情報をAに提供し、Aは製薬企業や保険会社とデータ利用契約を結んで、その情報を提供していました。覚書に記載された利用目的には、創薬その他の医歯薬学分野での研究開発、医薬情報提供その他公衆衛生に資する活動、教育、保険数理その他の官民保険の設計及び提供などが並んでいたとされています（出典: 個人情報保護委員会 注意喚起）。

一方、実際のデータ利用契約には、市販後の医薬品の安全性確認のためのデータ研究に加え、製品開発、市場分析、マーケティング戦略等に利用できる旨が記載されていました。保険会社との契約には、保険数理、保険新商品開発、引受査定の高度化等が挙げられていたとされています。そして、覚書にもデータ利用契約にも、活用状況や成果を地方公共団体Bへ戻す規定が置かれていませんでした。

委員会が拠り所にしたのは条文です。個人情報保護法第109条第2項第2号は、保有個人情報を利用目的のために第三者に提供することができる場合において、当該保有個人情報を加工して作成した行政機関等匿名加工情報を当該第三者に提供するときを、提供できる場合の一つとして掲げています。つまり、加工後の情報の提供目的が、加工前の保有個人情報の利用目的の範囲内かどうかが問われる構造です。

加えて同法第61条第1項は、行政機関等が個人情報を保有するに当たり、その利用目的をできる限り特定しなければならないと定めています。レセプトデータ等は、地方公共団体が国民健康保険制度の保険者として、保険給付の実施や保健事業の運営等を目的に保有する情報である、と公表資料は整理しています。この出発点から見て、市場分析やマーケティング戦略が範囲内と言えるのかが論点になったわけです。

公表資料は、利用成果が地方公共団体にフィードバックされ、当該団体がそれを検証できる体制の下で実施されることが必要であり、フィードバックを受けることなく提供するのみでは、利用目的の範囲内に含まれると説明することが困難であると考えられる、としています。委員会は、注意喚起の内容が十分に踏まえられていない事案が確認された場合、権限行使を含め対応を検討する旨も明記しています。

顧問先と確認する7つの論点

結論を先に置きます。事務所が確認するのは、契約書に何が書いてあるかではなく、契約書に書かれた目的と、現場で実際に行われている利用が一致しているかです。今回の事案は、書面同士のずれから生じています。

第一の論点は、出発点の利用目的です。提供元である行政機関等が、そのデータをどの目的で保有しているのか。ここが特定されていなければ、範囲内かどうかの判断そのものが成り立ちません。顧問先が受け手側の事業者であっても、この出発点の確認は避けて通れません。

第二の論点は、覚書と利用契約の記載の突き合わせです。今回の事案では、覚書に並んだ目的と、実際のデータ利用契約に書かれた用途に開きがありました。事務所としては、二つの書面を並べて読み、後段の契約が前段の目的の枠に収まっているかを確認します。契約書へのAI利用条項の入れ方については、業務委託契約書のAI利用条項で顧問先と決める7項目にも整理しています。

第三の論点は、フィードバックの有無です。公表資料は、利用成果が提供元に戻され、提供元が検証できる体制の下で実施されることが必要であるとしています。契約書にフィードバックの規定があるか、規定があるとして実際に運用されているか。この二段で確認します。

第四の論点は、目的ごとの検証です。公表資料は、多様な目的の下で提供が行われている場合、利用目的の一つ一つについてその利用成果を検証した上で、範囲内に該当するかを個別具体的に判断することが求められるとしています。目的を列挙して包括的に許諾を得る書き方は、この観点から見直しの対象になります。

第五の論点は、説明資料の具体性です。公表資料は、行政機関等匿名加工情報を利用する民間事業者について、自らが予定する利用計画や想定される成果等を、可能な限り具体的かつ丁寧に提供元へ説明する必要があるとしています。顧問先が受け手側なら、説明資料の作成と、説明した記録の保存が実務になります。

第六の論点は、不適正利用の禁止との関係です。同法第19条は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならないと定めています。公表資料も、提供を受ける民間事業者に対し、提供元が第109条第2項の規定に違反することを助長し、又は誘発するおそれがある方法で個人情報を利用することがないよう注意を促しています。

第七の論点は、AI開発との接続です。加工済みデータを機械学習の学習素材に使う計画がある場合、その用途が出発点の利用目的の範囲に収まるかは、別途の検討事項になります。令和8年改正で統計情報等の作成に関する特例が設けられた点との関係も含め、事案ごとに整理する論点になります。改正法の全体像は個人情報保護法が2026年7月に公布された際の7論点にまとめています。

以下は、顧問先から預かった契約スキームの説明資料をもとに、確認すべき点を洗い出させるプロンプト例です。実際の契約書そのものではなく、事務所側で作った概要メモを渡す前提にしています。

あなたは士業事務所の実務担当者を補助するアシスタントです。
以下のデータ提供スキームの概要メモを読み、確認が必要な点を
洗い出してください。

出力形式:
1. 提供元の利用目的について確認すべき事項
2. 契約書間で記載が食い違う可能性のある箇所
3. 成果の還元（フィードバック）に関する確認事項
4. メモからは判断できないため追加資料が必要な点

制約:
- 適法・違法の結論を書かないこと（有資格者が判断します）
- 条番号を出力しないこと（当方で一次資料と照合します）
- メモに書かれていない事実を補わないこと

スキームの概要メモ:
{ここに事務所で作成した概要メモを貼る}

次は、顧問先への説明資料のたたき台を作らせるプロンプト例です。公表資料の記載を渡し、AIには構成と文体だけを任せます。

あなたは士業事務所の事務担当者です。
行政の注意喚起の内容を、顧問先向けの説明資料の形に整えてください。

出力形式:
1. 何が公表されたか（3文以内）
2. 指摘された点（箇条書き、各1文、資料の記載に基づくもののみ）
3. 自社で確認すべき事項（チェック形式）
4. 事務所への相談窓口の一文

制約:
- 提供資料に書かれていない事実を補わないこと
- 個別の事案について適否の結論を書かないこと
- 日付・機関名は資料の表記どおりに書くこと
- 全体で1,200字以内

行政の公表資料:
{ここに公表資料から写した記載を貼る}

洗い出した論点は、有資格者が一次資料と突き合わせて確定させます。AIの出力をそのまま顧問先に渡す運用は取りません。

事務所側の情報管理と守秘義務の論点

この種の案件で事務所が扱うのは、顧問先の契約書と、その背後にある行政のデータに関する情報です。データそのものを預かるわけではなくても、スキームの構造が分かる資料は機微な内容を含みます。

士業の守秘義務は各法に定めがあります。弁護士については弁護士法第23条が、その職務上知り得た秘密を保持する権利を有し、義務を負うと定めています。税理士については税理士法第38条が、正当な理由がなくて税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならないと定めています。中小企業診断士やコンサルティング部門を持つ事務所では、契約上の秘密保持条項が根拠になります。条文の当てはめは有資格者の領域ですので、ここでは条文の存在と文言の確認に留めます。

生成AIを使う場合の線引きは、この案件でははっきりしています。契約書の本文や、当事者名を含む資料をそのまま外部のAIに入力しない。事務所側で当事者名を伏せた概要メモを作り、それを入力する。この一手間で、扱う情報の範囲が大きく変わります。入力前の運用ルールは、プロンプトに個人情報を入れる前に決める運用ルール7項目に整理したものが使えます。

顧問先への説明の型も決めておきます。今回の注意喚起は、匿名加工そのものを否定していません。公表資料は、地方公共団体が行政機関等匿名加工情報を利用・提供すること自体を否定するものではないと明記しています。ここを取り違えると、顧問先に過剰な萎縮を招きます。伝えるべきは、目的の特定と成果の還元という二つの手順が要る、という点です。

事務所規程に落とすなら、扱う資料の保管場所、AIに入力してよい形式、説明記録の保存期間、そして案件終了後の破棄手順を書きます。行政の注意喚起は継続的に出るものですので、一次情報の巡回先として個人情報保護委員会の報道発表を業務カレンダーに組み込む運用も合わせて決めておくと、次の公表に対応しやすくなります。

もう一点、事務所が押さえておくと役立つのが、当事者が三者以上にまたがる構造です。提供元の行政機関等、加工と再提供を担う事業者、そして最終的な利用者である製薬企業や保険会社。この三層のどこかで目的がずれると、末端の利用が出発点の目的から離れていきます。顧問先が三層のどの位置にいるのかを最初に確定させると、確認すべき書面と相手方がはっきりします。

顧問先が最終利用者の立場にある場合も、確認は要ります。自社が受け取ったデータがどのような経路と目的で提供されたものかを把握していなければ、自社の利用計画を提供元へ説明する材料が作れないためです。取引の入口で経路を確認しておく運用が、後の説明責任を軽くします。

つまずきやすい3つの型

一つ目は、匿名加工したから大丈夫と考える型です。今回の指摘は加工の程度ではなく、提供目的が出発点の利用目的の範囲内かどうかに向いています。加工の技術的な水準をいくら上げても、この論点は解消しません。回避策は、契約の検討を目的の確認から始めることです。

二つ目は、目的を広く書いて備える型です。将来の用途を漏らさないよう目的を列挙する書き方は、一見すると安全に見えます。ところが公表資料は、目的の一つ一つについて利用成果を検証した上で判断することが求められるとしています。列挙が増えるほど、検証の負担も増える構造です。回避策は、実際に行う用途に絞って書き、必要が生じたら追加する運用に切り替えることです。

三つ目は、成果の還元を口約束で済ませる型です。フィードバックの規定が契約書に無ければ、実際に報告していたとしても、後から説明する材料が残りません。回避策は、還元の内容と頻度、形式を契約書に書き込み、実施の記録を残すことです。記録は、行政から問われたときに事実を示す唯一の材料になります。

対応にかかる工数と体制

工数の中心は、書面の突き合わせです。覚書、業務委託契約、データ利用契約と、関係する書面が三層になっていることが多く、それぞれの目的条項を並べて読む作業が要ります。書面の数と当事者の数で作業量が決まりますので、案件着手前に関係書面の一覧を作るところから始めると見積もりが立ちます。

AIで削れるのは、確認項目の洗い出しと説明資料の下書きです。突き合わせの判断そのものは人が行います。削減効果を測るなら、下書き作成にかかっていた時間を記録し、導入前後で比較する形が実務的です（根拠: 本記事で示した運用は編集部の整理であり、効果は事務所ごとに異なります）。

体制は、契約を読む担当と、顧問先に説明する担当を分けると回りやすくなります。読む側は条文と公表資料に当たり、説明する側は顧問先の理解度に合わせて言い換える。役割が分かれていると、正確さと分かりやすさの両方を落とさずに済みます。

行政データ利活用の次の論点

医療データの利活用は、制度側が広げる方向で動いています。令和8年改正では統計情報等の作成に関する特例が設けられ、AI開発を含む用途が視野に入りました。一方で今回の注意喚起は、既存の枠組みの運用に釘を刺しています。広げる動きと締める動きが同時に進んでいるのが現在地です。

事務所にとっての含意は、制度の方向性だけを見て助言を組み立てられない、ということです。改正で何ができるようになったかと、行政が実際にどこを問題視しているかは、別々に追う必要があります。

中期的には、データを扱う契約のレビューが、士業の実務として定着していく可能性が論点になります。目的の特定、成果の還元、記録の保存という三点は、分野を問わず共通する型です。医療分野で確立した型は、他の行政データの利活用にも応用が効きます。

よくある質問

今回の注意喚起はどこが問題とされたのですか

提供目的が、加工前の保有個人情報の利用目的の範囲内といえるか、そして利用成果が提供元に還元され検証できる体制にあるか、の二点です。公表資料は、フィードバックを受けることなく提供するのみでは、利用目的の範囲内に含まれると説明することが困難であると考えられるとしています（出典: 個人情報保護委員会 注意喚起）。

匿名加工すれば自由に使えるのではないのですか

公表資料は、行政機関等匿名加工情報の提供について、個人情報保護法第109条第2項の各号に該当する場合を除き提供してはならないとする条文を挙げ、第2号に基づく提供では加工前の利用目的の範囲内であることが求められると整理しています。加工の有無だけで判断される構造にはなっていません。

民間事業者の側は何を求められていますか

提供元が判断を適切に行えるよう、自らが予定する利用計画や想定される成果等について、可能な限り具体的かつ丁寧に説明することとされています。あわせて、利用成果を提供元へ還元し検証できる体制の下で実施することが必要とされています。

この注意喚起は初めてですか

同種の注意喚起は以前にも出ています。公表資料は、令和6年12月25日付けの同名の注意喚起にも十分留意するよう求めており、今回はその続きに位置づけられます。

違反すると何が起きますか

公表資料は、注意喚起の内容が十分に踏まえられていない事案が確認された場合、地方公共団体および提供を受ける民間事業者に対し、権限行使を含め対応を検討すると記載しています。個別の事案でどうなるかは、事実関係によって変わります。

顧問先にどう伝えればよいですか

匿名加工の取り組み自体が否定されたわけではない、という点から入るのが実務的です。公表資料も、利用・提供すること自体を否定するものではないと明記しています。そのうえで、目的の特定と成果の還元という二つの手順を確認する流れが伝わりやすい形です。

契約書のレビューに生成AIを使ってよいですか

当事者名や具体的な条項をそのまま入力しない設計にしたうえで、確認項目の洗い出しに使う事務所があります。判断そのものは有資格者が行い、AIの出力は下書きとして扱う運用が前提になります。

参考文献

• 個人情報保護委員会 レセプトデータ等の保有個人情報の利活用に関する注意喚起（令和8年8月19日）
• 個人情報保護委員会 注意喚起 本文（PDF）
• e-Gov法令検索 個人情報の保護に関する法律
• e-Gov法令検索 弁護士法
• e-Gov法令検索 税理士法
• 個人情報保護委員会 令和8年 改正個人情報保護法について

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/