同意なしで病歴や犯罪歴を企業が集められる時代へ。改正個人情報保護法の本当の怖さと採用への影響

2026年5月26日、改正個人情報保護法が衆議院本会議で可決され、衆院を通過しました。今回の改正で大きく話題になっているのが、病気や犯罪歴といった機微な情報を、企業が本人の同意なしに収集できるようになるという規制緩和です。

AI開発を後押しするための制度設計とされていますが、ネット上では『勝手に採用で調べられて落とされるのではないか』という不安の声が広がっています。

改正案で何がどう変わったのか

今回の改正の核心は、本人の同意がなくても要配慮個人情報を取得できるケースが新たに広がった点にあります。共同通信の報道や個人情報保護委員会の資料を突き合わせると、改正の方向性は次のようになります。

項目	現行法	改正案
要配慮個人情報の取得	原則として本人同意が必要	統計作成等（AI開発を含む）に限定して同意不要
SNSなどで公開された情報の収集	要配慮情報は同意が必要	統計作成等の用途に限り同意不要
違反業者への制裁	命令・刑事罰のみ	課徴金制度を新設（1000人超の被害が対象）

ポイントは、緩和の対象が個人が特定されない用途に限られるという条件付きである点です。AI学習用の大規模データ収集や統計分析の場面では、いちいち全員から同意を取るのは現実的に不可能なため、その実態に合わせて法律を整える狙いがあると説明されています。一方で違反した場合には、得た利益の相当額を国庫に納付させる課徴金制度が新設され、抑止力は強化されました。

『統計目的なら同意不要』の落とし穴

ここからが本題です。建前としては『統計やAI開発の用途に限る』という線引きがあるのですが、実務上はいくつかの抜け穴と懸念が指摘されています。

統計とプロファイリングの境界が曖昧になる懸念

日本弁護士連合会は2026年4月16日付の意見書で、改正案に対して強い注文をつけています。特に重視されているのが、統計情報がプロファイリングに利用されると個人の権利利益を侵害するおそれがあるという指摘です。たとえば『30代女性で持病があり、特定の地域に住む層は離職率が高い』といった統計を作ったとしても、その統計を採用や融資の現場で使えば、実質的に個人を不利に扱う材料になります。日弁連はこの点を踏まえ、統計作成等の特例の適用範囲を法律で厳格に定めるべきだと求めています。

公開情報なら何でも集めて良いわけではない

SNSなどに自分で公開した情報は、改正案では同意なしに収集できる対象に含まれます。ただし、これも統計作成等の用途に限定される建前です。問題は、いったん収集されたデータが学習済みモデルの中に組み込まれてしまうと、後から削除や訂正を求めるのが極めて困難になる点です。野党議員からも機微情報の漏えいへの懸念が衆院審議で相次いだと報じられています。

採用シーンで本当に怖いのは間接的な影響

ここで多くの方が気にしている『採用で勝手に病歴や犯罪歴を調べられるのか』という疑問にお答えします。結論から言うと、採用選考そのものに直接適用される話とは違います。職業安定法5条の4や厚生労働省の指針では、採用時に本人の同意なく要配慮個人情報を収集することは現在も認められていません。改正後も採用バックグラウンドチェックの基本ルールは変わらない見通しです。

ただし、ここで安心するのは早計です。本当の問題は、AI採用ツールや与信スコアリングの学習データに、同意不要で集められた機微情報が混ざる可能性にあります。下の表に整理しました。

シーン	改正案による直接の影響	間接的に起こりうる影響
採用面接	従来通り要配慮情報の収集は制限される	AI書類選考ツールが学習データの偏りで特定層を不利に扱う
SNS投稿	公開情報は統計目的なら同意なしで収集可能	投稿が学習データに取り込まれ、属性推定の材料になる
与信・保険	個人を特定する目的なら従来通り規制	統計モデルを通じて間接的に不利な扱いを受ける可能性

つまり『あなたの病歴がそのまま面接官に渡る』という事態は起きにくいのですが、『あなたと似た属性の人を学習したAIが、書類選考で低スコアを付ける』という事態は十分に起こりえます。これはアルゴリズム差別と呼ばれ、海外でも大きな問題になっています。

リクナビ事件が示した日本のHRテックの危うさ

日本でもすでに『AIと採用』を巡る大きな問題が起きています。2019年に発覚したリクナビDMPフォロー事件です。リクナビ運営会社が、就活生のサイト閲覧履歴をAIで分析し、内定辞退率を予測したスコアを大手38社に有償提供していました。学生から十分な同意を得ていなかったとして個人情報保護委員会から是正勧告を受け、サービスは廃止されています。

当時の枠組みでも問題視された行為が、改正案の『統計作成等の特例』を悪用すれば再び正当化される余地が出てくる、という指摘は無視できません。個人を特定しないと言いながら、結果として個人の人生に影響する判断材料を作り出すという構図は、技術的には十分可能だからです。だからこそ日弁連は、統計化前のデータについても利用停止請求を本人が行えるようにすべきだと求めています。

私たちが自分を守るために知っておくべきこと

では一般の生活者として、今回の改正にどう向き合えば良いのでしょうか。実務的に重要なのは次の3点です。

1点目は、SNSへの投稿は事実上の公開情報として扱われるという前提で運用することです。改正案では、公開された要配慮個人情報も統計用途なら同意なく収集できます。病気の悩みや過去の経歴を実名アカウントで詳細に書き続けると、AI学習データに取り込まれる可能性が現実味を帯びます。匿名アカウントの活用や、機微な内容の投稿範囲を限定する習慣が大切です。

2点目は、採用バックグラウンドチェックへの同意書を読み込む習慣です。バックグラウンドチェックを本人の同意なしに実施することは、改正後も明確な違法行為です。同意書には調査範囲が明記されているはずなので、要配慮個人情報まで含まれていないかを確認する権利があります。

3点目は、違和感のある不採用には説明を求めて良いという意識です。応募者には、自分に関する情報がどう扱われたかを問い合わせる余地があります。AIによる自動判定だけで合否を決めることへの規制は、欧州ではGDPRですでに導入されており、日本でも今後の論点になる可能性が高いです。

規制緩和の影に隠れた本当の論点

今回の改正案は『AI開発を促進する規制緩和』として報じられがちですが、本質はもっと複雑です。同意というユーザー保護の入口を緩める代わりに、課徴金という出口で抑止するという思想転換が行われています。経済界はAI開発の自由度を歓迎する一方、消費者団体や日弁連は差別やプロファイリングへの歯止めが弱いと警告しています。

『採用で勝手に病歴を調べられる』という単純な構図とは少し違いますが、AIを介した間接的な不利益が広がる可能性は確かに高まっています。