第１ この記事が扱う対象と時点
１ 「同意なく使われる」という問いが指す３つの層
病歴やカルテの情報を，本人の同意なく研究や産業のために使われるようになるのではないかという懸念は，令和8年（2026年）の個人情報保護法改正をめぐる国会審議で繰り返し取り上げられた論点である。この懸念を整理すると，実際には性質の異なる３つの層が重なっている。第１の層は，2018年から既に施行されている医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律（以下「次世代医療基盤法」という。）が，本人の個別同意ではなく通知とオプトアウト（本人の求めがあれば提供を停止する仕組み）によって医療情報の第三者提供を認めている現行制度である。第２の層は，2026年7月10日に成立し同月17日に公布された改正個人情報保護法（令和8年法律第56号）が新設する「統計作成等の特例」であり，これは要配慮個人情報（病歴等）を含む個人データについて，統計作成等の目的に限定されることを条件に，本人同意なく第三者提供や取得を可能にする制度である。第３の層は，内閣府「医療等情報の利活用の推進に関する検討会」が現在検討している，医療情報の収集時に本人同意を得るという発想（入口規制）から，利活用の段階で適切性を審査する発想（出口規制）へ転換するという，より根本的な制度改革の構想であり，こちらはまだ法案の形になっていない。
本記事は，この３つの層を区別した上で，現行法が既に認めている仕組み，改正法が新たに認める仕組み，そして検討中の将来の制度を，それぞれの一次資料に基づいて整理するものである。国会審議において，次世代医療基盤法の立案担当者は，同意ではなくオプトアウトを採用した理由について，患者への通知による拒否機会の保障，認定を受けた事業者に対する主務大臣の監督，そして匿名加工又は仮名加工された情報のみが利用されることという３点を一貫して説明してきた。他方で，この説明に対しては，国会審議の当初から，本人同意という個人情報保護法の原則を後退させるものであるという反対論が示されており，令和8年改正個人情報保護法の審議では，医師法上の守秘義務との関係という新たな論点も浮上した。本記事では，これらの経緯と現在の到達点を，条文，国会会議録及び裁判例に基づいて整理する。
２ 対象範囲と検討の時点
本記事が対象とする時点は，2026年8月時点である。改正個人情報保護法は成立・公布済みであるが未施行であり，施行日は公布の日から起算して２年を超えない範囲内で政令によって定められる。統計作成等の特例の正確な条文番号は，改正法の要綱（個人情報保護委員会が公表した法律案要綱）の記載によるものであり，e-Gov法令検索には未施行のため収録されておらず，施行後に条文が確定した段階で改めて確認を要する。内閣府検討会は2025年9月の設置以来2026年7月8日の第14回まで開催されており，同年夏を目途に議論の整理を行い，法改正を要する場合は2027年（令和9年）通常国会への法案提出を目指すとされているが，本記事の対象範囲は第14回までに公表された資料及び議事録にとどまる。また，本記事が扱うのは生存する患者の医療情報に限られる。患者の死亡後における医療情報の取扱いは，個人情報保護法上「個人情報」が生存する個人に関する情報に限定される結果，本記事とは異なる規律に服する問題であり，死者の医療情報の二次利用―個人情報保護法の対象外と最高裁令和８年２月２０日判決で扱う。
第２ 現行法がすでに認めている同意によらない医療情報の利用
１ 個人情報保護法上の要配慮個人情報と学術研究目的の例外
個人情報保護法は，病歴を含む要配慮個人情報について，本人の同意を得ない取得及び第三者提供を原則として禁止している。もっとも，同法20条2項5号及び6号は，個人情報取扱事業者が学術研究機関等である場合に，要配慮個人情報を学術研究目的で取り扱う必要があるとき（個人の権利利益を不当に侵害するおそれがある場合を除く。）は，本人の同意なく取得できると定めている。同様に，同法27条1項5号から7号までも，学術研究機関等が学術研究の成果の公表又は教授のために個人データを提供する場合や，提供先が学術研究機関等であって学術研究目的で取り扱う必要がある場合について，第三者提供の同意を不要とする例外を設けている。ここでいう「学術研究機関等」は，同法16条8項において「大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者」と定義されており，現行の条文上は医療機関という文言を明示していない。もっとも，大学附属病院その他の学術研究を実質的に行う医療機関がこの定義に該当し得ることは条文上排除されておらず，後述する令和8年改正は，この点を条文上明確にするものである。
２ 次世代医療基盤法のオプトアウトの仕組み
次世代医療基盤法（平成29年法律第28号）は，個人情報保護法の特別法として，主務大臣の認定を受けた事業者（認定匿名加工医療情報作成事業者又は認定仮名加工医療情報作成事業者）に対する場合に限り，医療機関等（同法上「医療情報取扱事業者」という。）が，本人の個別同意ではなく通知とオプトアウトによって医療情報を提供できる制度を設けている。同法52条は，医療情報取扱事業者が，本人又はその遺族（死亡した本人の子，孫その他政令で定める者）からの求めがあれば提供を停止することとした上で，提供の目的，提供される医療情報の項目及び取得方法，提供停止の求めを受け付ける方法等の事項について，あらかじめ本人に通知するとともに主務大臣に届け出たときは，認定匿名加工医療情報作成事業者に医療情報を提供できると定める。2023年改正で新設された仮名加工医療情報についても，同法57条が同様の通知・オプトアウトの仕組みを設けている。「匿名加工医療情報」は，特定の個人を識別できないように加工し，かつ復元することができないようにしたものであるのに対し，「仮名加工医療情報」は，他の情報と照合しない限り識別できないように加工したものであって，匿名加工と異なり復元不能であることまでは要求されない（同法2条3項及び4項）。仮名加工の方が加工基準が緩やかである分，識別行為を禁止する規定（同法30条及び42条）による手当てが重い意味を持つ。なお，同法2条1項が定義する「医療情報」は，個人情報保護法2条1項の「生存する個人に関する情報」とは異なり「生存する」という限定を付しておらず，死者の医療情報も対象に含まれる。前記の提供停止の求めの主体に遺族が含まれるのはこの定義を前提とするものであり，死者の医療情報の取扱いについては死者の医療情報の二次利用―個人情報保護法の対象外と最高裁令和８年２月２０日判決で詳述する。
このオプトアウトの仕組みの正当化根拠について，次世代医療基盤法の制定時（2017年）から，政府は一貫して同じ論法を用いている。制定当時の担当大臣であった石原伸晃国務大臣は，参議院内閣委員会（2017年4月25日）において，個別の医療機関単位での匿名加工では研究に必要な大量データが得られないため，医療機関横断的にデータを収集・加工する認定事業者という枠組みを設けたと説明し，「ｎの数をある程度確保しないことにはなかなか利用する利点がない」と述べた。2023年改正時にも，西辻浩政府参考人（内閣府健康・医療戦略推進事務局長，参議院内閣委員会2023年5月16日）が，同意ではなくオプトアウト手続を採用する理由として，患者への通知による拒否機会の保障，認定事業者への主務大臣の監督，匿名加工・仮名加工された情報のみの利用という同じ３点を説明している。もっとも，柴田巧議員（日本維新の会）の質問に対する政府答弁によれば，実際のオプトアウトの行使率はおおむね1％未満にとどまり，削除実績についての報告は受けていないとされており，通知を受けた本人のうち提供を拒否する者は少数にとどまっているのが実情である。
３ 2022年の約9万5千人分の通知漏れ事案
このオプトアウトの仕組みが，実際の運用において必ずしも制度設計どおりに機能していないことを示す事案が国会審議で具体的に指摘されている。塩川鉄也議員（日本共産党）は，2023年の次世代医療基盤法改正案に対する反対討論（衆議院内閣委員会2023年4月12日）において，2022年に，認定事業者であるライフデータイニシアティブ及びNTTデータが，本人への通知を行わないまま95,195人分の医療情報を提供していた問題を取り上げ，本人同意も得ずに個人情報を外部提供することは許されないと批判した。この事案について，認定事業者であるライフデータイニシアティブの理事を務める黒田知宏・京都大学医学部附属病院医療情報企画部教授も，2026年の令和8年改正個人情報保護法をめぐる参考人質疑（後記第4の3）において，抽出プログラムのバグにより約10万人分のデータを誤って抽出する事故を自ら経験したと述べており，オプトアウト制度の正当化根拠である「患者への丁寧な通知による拒否機会の保障」が，プログラムの誤りその他の運用上の理由によって現実に欠落し得ることを示す実例として位置付けられる。2023年改正時の参議院内閣委員会附帯決議が，仮名加工医療情報の安全管理措置に係る厳格な基準の策定及び本人通知の丁寧化・不適切事案の再発防止を求めた背景にも，この種の事案があったと解される。この事案は，認定事業者自身も令和4年9月20日付けで公表しており，通知の相手方が本人の死亡後は遺族となる場合を含めたオプトアウトの実効性という課題については，死者の医療情報の二次利用―個人情報保護法の対象外と最高裁令和８年２月２０日判決第５の３で扱っている。
第３ 次世代医療基盤法の制定・改正時に何が争われたか
１ 2017年制定時の国会論戦
次世代医療基盤法の制定時，最も明確な反対論を示したのは日本共産党である。田村智子議員（参議院内閣委員会2017年4月25日）は，改正個人情報保護法の施行を目前に控えた時期に，あえて医療情報について本人同意という個人情報保護法の大原則を外す法案を提出する理由を問い，「日本医師会や日本医学会の見解さえ顧みずに，本人同意原則に背を向ける」と批判した。これに対し，大島一博政府参考人（内閣官房内閣審議官）は，次世代医療基盤法が対象とするのは既に行われている医療において生じたデータを事後的に解析しようとするものであり，日本医師会・日本医学会の倫理指針が想定する学術研究とは性質が異なるという整理で反論した。この対立軸――医療情報の二次利用を，通常の学術研究と同列に扱い本人同意（オプトイン）を要求するか，医療の実施に伴って既に生じたデータの事後的解析として位置付け通知とオプトアウトで足りるとするか――は，その後の改正論議においても繰り返し現れる基本的な争点となっている。
制定時の参議院内閣委員会附帯決議（2017年4月25日，全8項目）は，法案自体は可決した上で，医療情報取扱事業者に対して本人・遺族による提供停止の求めを容易にする手続の整備，制度周知の徹底（障害者・高齢者への配慮），提供停止を求めた患者が受診等において不利益を被らないようにすることなどを政府に求めている。附帯決議が「提供停止を求めた患者の不利益防止」を明記していること自体が，オプトアウトの実効性――拒否した患者が現実に不利益を受けないかという懸念――が，制度発足の当初から国会で意識されていたことを示している。
２ 2023年改正時の国会論戦と附帯決議
2023年の次世代医療基盤法改正（仮名加工医療情報制度の新設及びNDB等公的データベースとの連結の仕組みの追加）をめぐる国会審議でも，同種の対立が再現された。塩川鉄也議員は，衆議院内閣委員会（2023年4月12日）の審議で，改正が医療機関による患者情報の第三者提供を本人への通知のみで可能にするものであり，「本人同意も得ずに個人の情報を外部提供することは許されず」，前記の通知漏れ事案に照らしてもプライバシー侵害の危険性が高まると述べて，改正案に反対する討論を行った。高市早苗国務大臣は，2017年の制定時と同旨の三点セット（通知による拒否機会，認定事業者への監督，匿名加工・仮名加工の実施）を，同委員会での質疑において説明している。
参議院内閣委員会の附帯決議（2023年5月16日，全8項目）は，政府の司令塔機能の明確化，仮名加工医療情報の安全管理措置に係る厳格な基準の策定，本人通知の丁寧化・不適切事案の再発防止，医療情報取扱事業者への提供強制の禁止の周知徹底を求めている。仮名加工医療情報について「厳格な基準」を特に求めているのは，仮名加工が匿名加工と異なり復元不能要件を伴わず，他の情報との照合によって再識別されるリスクが理論上残ることに対する国会側の警戒を反映したものと解される。
第４ 令和8年改正個人情報保護法が医療分野にもたらすもの
１ 統計作成等の特例という新しい同意不要類型
改正個人情報保護法（令和8年法律第56号）の主要な柱の一つが，統計作成等の特例である。個人情報保護委員会が公表した法律案要綱によれば，統計作成等にのみ利用されることが担保される場合に，要配慮個人情報を含む個人データを本人同意なく第三者提供し，又は公開されている要配慮個人情報を本人同意なく取得することを可能にする制度が新設される。参議院の議案要旨は，この特例の要件を「統計等の作成を行う第三者に個人情報を提供する場合等について，統計等の作成の内容等の公表等をしているときは，本人の同意を不要とする」と説明しており，事業者による対外的な公表を条件とする建付けであることが分かる。次世代医療基盤法のオプトアウト構造が医療分野に固有の特別法であるのに対し，統計作成等の特例は個人情報保護法本体の一般規定であり，医療分野に限らず，統計作成等の目的で要配慮個人情報を扱おうとするあらゆる事業者に適用され得る点で射程が広い。この特例の条文番号について，改正法は未施行でe-Gov法令検索には収録されていないが，参議院の参考人質疑（後記第4の3）において黒田知宏参考人が「三十条の二第五項」（第三者提供の特例）であると明言しており，施行後に確定した条文で改めて確認する前提で，本記事もこの条番号を用いる。改正個人情報保護法が課徴金制度や特定生体個人情報の規律強化を含めて民間企業の個人情報保護規程に求める対応事項の全体像については，令和８年改正個人情報保護法に基づき，民間企業の個人情報保護規程で対応が必要な事項で整理しており，本記事は医療分野に固有の論点に絞って扱う。
２ 医療機関を学術研究機関等に明記する意味
改正個人情報保護法の法律案要綱及び関係法律の改正事項によれば，同法は，参議院議案要旨が示すとおり，次世代医療基盤法についても16歳未満の者に関する規定の整備等の改正を行っており，医療分野を横断的に対象とする改正であることがうかがえる。前記のとおり，現行の個人情報保護法16条8項が定義する「学術研究機関等」は，大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者をいい，医療機関という文言を明示していない。改正個人情報保護法の各種解説記事によれば，改正後は学術研究機関等の定義に病院等の医療機関を明示的に含める方向とされており，これが実現すれば，医療機関が20条2項5号・6号及び27条1項5号から7号までの学術研究例外を適用する際の解釈上の疑義が条文上解消されることになる。もっとも，この点も未施行の改正条文に関する事項であるため，施行後の条文で確認を要する。
３ 専門家が指摘する制度上の欠落
改正個人情報保護法の医療分野への影響については，法案審議の過程で専門家からも具体的な懸念が示されている。内閣府検討会の構成員でもあり，認定匿名加工医療情報作成事業者であるライフデータイニシアティブの理事も務める黒田知宏・京都大学医学部附属病院医療情報企画部教授は，参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会の参考人質疑（2026年6月19日）において，統計作成等の特例（改正法30条の2第5項）と次世代医療基盤法とを比較し，複数医療機関のデータを名寄せして仮名化しAIの学習データとして用いるという流れにおいて「できることは全く同じ」であるにもかかわらず，統計特例で個人情報を受け取る事業者（特定個人情報受領者）には，次世代医療基盤法の認定事業者に課されているような安全管理措置が法律上義務付けられていないと指摘した。同参考人は，EUの一般データ保護規則（GDPR）第89条2項が，統計目的等の処理について加盟国がオプトアウトを認めない法律を制定できる条件として，データの最小化原則――仮名化を含み得る（may include）という水準――の尊重を明文で要求しているのに対し，改正後の統計作成等の特例にはこれに相当するデータ最小化の要件がなく，GDPR第89条との間で「全く平仄が取られておりません」と評価した上で，「統計例外を導入することによって初めて実現できることというのは実は何にもないんです。全く何もありません。」と述べて，制度の必要性自体に疑問を呈した。同参考人は，自らが理事を務める認定事業者において，抽出プログラムのバグにより約10万人分のデータを誤って抽出する事故を経験したことにも触れ，厚生労働省が運用するナショナルデータベース（NDB）が2020年に目的外利用をした研究者名を公表し情報提供を無期限停止する措置を取った例を挙げて，違反者からデータへのアクセス権を剥奪するという抑止力の高い仕組みこそが，同意に代わる実効的な安全装置になり得ると論じた。全国消費者団体連絡会の郷野智砂子事務局長も同じ質疑において，本人の知らないところでセンシティブ情報が扱われる危険が高まるという懸念を表明している。これらは，統計作成等の特例が要件として要求するのは対外的な公表であって，取り扱う情報の範囲を必要最小限に限定する法律上の歯止めではない，という制度設計上の指摘である。
４ 医師の守秘義務との緊張関係
改正個人情報保護法の審議過程で新たに明確化した論点として，統計作成等の特例による同意不要化と，医師法及び刑法上の守秘義務との関係がある。公明党の川村雄大議員は，参議院決算委員会（2026年6月1日）及び参議院厚生労働委員会（同年6月9日）の双方で，診療録が医師法24条に基づき作成・保存される医療記録であり，医師には刑法134条に規定された守秘義務が課されていることを指摘した上で，個人情報保護法上の統計特例に該当するからといって，医師の守秘義務や職業倫理が当然に消えるわけではないという理解を示した。同議員によれば，厚生労働省は，医師の守秘義務違反について一律に違法性が阻却されるわけではないという趣旨の答弁をしており，この点をガイドラインで整理していく方針であるとされている。衆議院厚生労働委員会（2026年5月27日）で早稲田ゆき議員も同種の質問を行い，医療機関が刑法違反を恐れて病歴情報の第三者提供に踏み切れなくなるのではないかという懸念を示した。
この論点の実務上の意味は，個人情報保護法上は本人同意なく第三者提供が適法とされる場面であっても，個別の医師が診療上知り得た患者の秘密を提供する行為が，刑法134条の守秘義務違反として別途違法性を問われる可能性が理論的には残るという点にある。個人情報保護法（行政的規律を中心とする法律）と刑法上の守秘義務（刑事罰を伴う職業倫理規範）は，適用要件も保護法益も異なる別個の規範であり，一方の適法要件を満たすことが他方の違法性を当然に阻却するとは限らない。この関係の整理は，本記事の対象時点においてなお，個人情報保護委員会及び厚生労働省によるガイドライン整備を待つ状態にあり，医療機関が改正法の施行に向けてどのような実務対応を取るべきかは，現時点では確定していない。
第５ 内閣府検討会が構想する「入口規制から出口規制」への転換
１ 中間まとめが示した基本理念
内閣府「医療等情報の利活用の推進に関する検討会」は，2025年9月3日に設置され，森田朗・東京大学名誉教授を座長として，EUのEuropean Health Data Space（EHDS）規則を参考にしつつ，医療データ利活用の包括的な制度枠組みを検討している。2026年1月23日に公表された中間まとめは，医療データの一次利用（医療の質向上）と二次利用（研究開発・創薬・医療提供体制構築）を一体的に捉えるという基本理念を示した上で，最大の制度転換の方向性として，データ収集時に本人同意を取得することを前提とする現行の発想（入口規制）から，データ利活用の段階で適切性を審査する仕組み（出口規制）への転換を掲げている。同意に代替する仕組みとしては，相応の非識別化，法制度による承認，社会的承認（情報公開），本人関与（オプトアウト等）の組み合わせが論点として示されている。
２ 情報連携基盤の在り方をめぐる各案
中間まとめは，医療情報を収集・審査・加工・提供する情報連携基盤の組織形態について，４つの案を示していた。案①は国・公的機関が収集からオプトアウト管理，審査，加工，解析環境の提供までを一元的に実施する案であり，案②-1及び②-2は国・公的機関と民間の認定事業者が役割を分担する案（②-2は審査の一元化色がより強い），案③は収集・加工・オプトアウト管理を国が担い審査・解析環境は民間認定事業者が担う案，案④は民間認定事業者が一元的に実施する案である。2026年6月18日開催の第13回検討会に提出された内閣府資料は，「案②-1・案②-2をベースにしながら検討を進める」と明記しており，既存の次世代医療基盤法及び公的データベースの積み上げを活かせる案②系統への収斂が進んでいることがうかがえる。案①・③・④については，現行制度の根本的な転換を伴いリスクが大きいという評価が示されている。
もっとも，情報連携基盤という組織形態の収斂と，本人同意に代替する仕組みをどこまで徹底するかという別の論点は，区別して理解する必要がある。第12回検討会（2026年5月20日）の議事録によれば，事務局が示した案1から案5まで（本人同意必須の案から本人の関与を実質的に不要とする案までの段階的な選択肢）について，構成員の意見は一致していない。日本製薬工業協会の安中良輔構成員は「案５が望ましい」と述べ，大江和彦構成員は「案４を支持」すると述べ，経団連の代理として出席した松崎参考人も案５を推す発言をしており，本人関与を実質的に不要とする方向を支持する意見が複数示されている一方，これに慎重な意見も出されており，同意代替の徹底度については単一の案への収斂は確認できない。
３ 残された論点――患者識別子と費用負担
複数の医療データベースを横断的に解析するためには，個人を特定できる共通識別子が必要になる。第10回検討会資料は，マイナンバーを活用する案，既存の被保険者番号を活用する案，新規に識別子を創設する案の３案を示しており，マイナンバー案については，分野横断的な解析を可能にする利点がある一方で，悪用された場合に一括漏えいを招くリスクや，マイナンバー法が本来想定する行政効率化等の目的からの逸脱への懸念が両論として示されている。第11回検討会の議事録でも構成員の意見は一本化しておらず，この論点は本記事の対象時点においてなお未確定である。
費用負担についても，基盤の構築コストは政府の補助により賄い，個別の利活用に要するコストは利活用者が負担するという役割分担の原則案が示されている。2026年7月8日開催の第14回検討会に提出された全国医学部長病院長会議の調査結果（大学病院71校中48校が回答）によれば，費用負担は大学病院にとって医療データ利活用の最大の懸念事項として挙げられており，制度の実効性は，理念的な枠組みの設計だけでなく，現場の医療機関が実際に負担可能なコスト構造を伴うかどうかにかかっている。
４ 特別法制定に向けたスケジュール
規制改革推進会議の答申（2026年6月29日）は，個人の権利利益の保護と医療データの利活用の両立に向けて，特別法の制定を含めた実効的な措置を検討し，2026年夏を目途に結論を得た上で，2027年（令和9年）通常国会への法案提出を目指すことを含め速やかに措置するべきであるとしている。同答申は，本人同意を不要とする対象データの類型（14類型）や利用目的の分類（6分類）も具体的に列挙しているが，これは検討会に提出された答申の抜粋であり，答申全体の内容は本記事の対象時点では確認できていない。第13回・第14回検討会の議事録（構成員個々の発言内容）も，本記事の対象時点では内閣府ホームページに未掲載であり，令和8年夏の議論整理がどのような形で取りまとめられるかは，今後の公表資料を継続して確認する必要がある。
第６ オンライン資格確認義務化を適法とした東京地裁令和6年判決
医療情報の同意なき利用そのものを正面から争った公表裁判例は，本記事の対象時点において，裁判所ウェブサイトの裁判例検索でも判例秘書プラス（LLI/DB）でも見当たらない。もっとも，マイナンバーカードを通じた医療情報連携基盤の周辺領域を扱った直近の裁判例として，東京地方裁判所令和6年11月28日判決（令和5年（行ウ）第81号，第162号，第372号，オンライン資格確認義務不存在確認等請求事件，判例タイムズ1534号132頁）がある。
原告らである保険医療機関は，保険医療機関及び保険医療養担当規則（令和5年厚生労働省令第147号による改正前のもの。以下「療担規則」という。）3条2項及び4項――患者から電子資格確認（オンライン資格確認）による受給資格の確認を求められた場合に，保険医療機関がこれに応じる義務及びそのための体制を整備する義務を定めた規定――が，健康保険法70条1項の委任の範囲を逸脱する違法な規定であると主張し，同義務を負わないことの確認と，慰謝料各10万円の支払を求めた。東京地方裁判所は，請求をいずれも棄却した。裁判所は，委任命令の適法性を判断する枠組みとして，授権規定である健康保険法70条1項の文言，同規定が療担規則に委任した趣旨，同規定の趣旨目的及び仕組みとの整合性，委任に基づく規定によって制限される権利利益等に照らして検討すべきであるとした上で，同項の「療養の給付を担当しなければならない」という文言は，療養サービスの提供そのものに限らず，保険医療機関が療養の給付を担当するに当たって遵守すべき事項――受給資格の確認方法を含む――を厚生労働省令に委任する趣旨であると解した。その上で，令和元年の健康保険法改正によって新設された同法63条3項が，電子資格確認を原則的な資格確認方法として位置付けたことを踏まえれば，オンライン資格確認を原則として義務付けた療担規則の規定が，同改正の趣旨に適合しないとはいえないと判示した。
この判決は，医療情報の第三者提供に本人同意を要するかという論点そのものを扱ったものではなく，オンライン資格確認という手続を保険医療機関に義務付けることの適法性を，健康保険法上の委任の範囲という行政法上の枠組みで判断したものである。もっとも，マイナ保険証を通じた医療情報連携基盤の義務化に対して保険医療機関側から正面から法的異議が申し立てられ，裁判所がこれを退けたという事実自体が，医療情報のデジタル化・共有化をめぐる紛争が既に顕在化していることを示しており，次世代医療基盤法や改正個人情報保護法が想定する情報連携基盤の適法性が将来争われる可能性を考える上での参考になる。
第７ 海外の経験と実証研究が示す論点
１ EU EHDS規則のオプトアウト権
内閣府検討会が参考にするEUのEuropean Health Data Space規則（Regulation (EU) 2025/327）は，2025年2月に採択され同年3月に公布された。同規則は，二次利用の適法化根拠として，本人同意ではなく，Health Data Access Bodyと呼ばれる機関による審査とデータアクセス許可（Data Permit）の発行という行政審査の仕組みを採用している（同規則第4章）。もっとも，個人の統制手段が完全に失われるわけではなく，同規則第71条は，自然人がいつでも理由を示すことなく，二次利用のための個人の電子健康データの処理から離脱する権利（オプトアウト権）を有すると定めており，この権利の行使は将来効のみを有し，既に発行された許可には遡及しないとされている。同規則の二次利用に関する第4章の適用開始は，原則として2029年3月26日とされ，段階的な適用が予定されている。日本の内閣府検討会が構想するマイナポータルを通じた一元的なオプトアウト管理は，同意でなく行政審査を適法化の中核に据えた上で事後的なオプトアウト権を個人に付与するというEHDSの制度設計と，構造的に類似する方向性を持っている。
２ 英国の信頼喪失の教訓
出口規制型の制度設計が公衆の信頼を得られるかどうかを考える上で参考になるのが，英国における2つの先行事例である。care.dataは，一般開業医（GP）の診療データを国が中央収集する計画として2013年に始まったが，2014年に，過去に保険会社へ患者データが販売されていた実績（2005年から2013年までの間に588件のデータパッケージが販売されていたこと）が明らかになったことを契機に信頼を失い，2016年7月に正式に中止された。中止発表の時点で，既に約150万人がオプトアウトを行っていた。2021年に導入されたGeneral Practice Data for Planning and Research（GPDPR）も，診療所への書面提出によるオプトアウトとオンラインでの全国的なオプトアウト設定という二層構造が分かりにくいという批判を受け，100万人を超えるオプトアウトの申請を受けて開始日を繰り返し延期した。その後のNHS Federated Data Platform（NHS FDP）は，National Data Guardian（NDG）が掲げる「no surprises」原則――データの利用のされ方について本人が予期しない事態が起きないようにするという原則（Caldicott Principle 8）――等，care.dataの教訓を理念上は反映しているとされるが，同プラットフォームでも新たな信頼の動揺が生じている。2026年6月3日，NDGのニコラ・バーン博士は，「Not With My NHS Data」キャンペーンを通じて多数の市民から寄せられた懸念を受けて声明を発表し，NHS FDPの一部門であるNational Data Integration Tenant（NDIT）について，NDGが事前に確認した個人情報保護影響評価（DPIA）では識別可能な患者情報へのアクセスをNHS職員に限定するとされていたにもかかわらず，外部委託業者（報道によればPalantir社の職員を含む）にも実際にはアクセスが認められていたという食い違いが判明したことを明らかにした。同年7月28日の更新版声明で，NHS Englandは，このアクセスが技術的に必要なものであると説明する一方，当初のDPIAが実際の運用実態を正確に反映していなかったことを誤りと認めて謝罪し，訂正を約束したことが確認されている。NDG自身は，NHS FDPの運用主体ではなく調査権限も持たない独立の助言機関であるため，この説明の当否を独自に検証する立場にはないとしつつ，本件が「no surprises」原則を欠くといかに急速に信頼が損なわれるかを示したと総括している。これらの経験は，制度の理念設計だけでなく，運用段階における透明性の確保が信頼を左右することを示している。
３ 同意モデルと匿名化をめぐる実証研究
医療データの二次利用における同意方式の設計については，医学分野の実証研究からいくつかの知見が得られている。オプトインとオプトアウトの参加率を比較した系統的レビューによれば，オプトインの同意率は平均で全体の8割強にとどまるのに対し，オプトアウトは9割台後半に達し，オプトイン方式では高学歴・高所得層に同意が偏り，健康状態の悪い患者が相対的に過小に代表される傾向が指摘されている。ある小児肥満の実態調査では，オプトインとオプトアウトの参加率の差（36％台と84％台）によって，有病率の推定値そのものが最大8.5ポイントも過小評価されるという結果が示された。これらの知見は，オプトアウト方式がデータの代表性という点で優位であることを示すものであるが，これはデータの質という論点であって，個人の権利保護という論点とは別次元の問題である点に注意を要する。
匿名化・仮名化の技術的な安全性についても，学術的には固定的な保証があるわけではない。再識別攻撃に関する体系的レビューによれば，一般の健康データ全体では再識別の成功率が約3割強に達する一方，米国のHIPAA Safe Harborなど確立された基準に適切に従って匿名化されたデータへの攻撃成功率は0.013％にとどまるとされている。他方で，従来の再識別リスク評価指標では捕捉できない再識別可能性を新たに定式化した近年の研究も報告されており，匿名化・仮名化の安全性は，評価手法の進歩とともに相対的に変動し得るものであって，一度確立した加工基準が永続的に安全であることを意味しない。
医療データ利活用に対する公衆の信頼をめぐる実証研究では，患者や市民は健康研究へのデータ共有について広範だが条件付きの支持を示す一方，その支持は，データがどのような価値のために，どれだけ透明に，誰によって使われるかという条件が満たされることを前提とした「社会的許諾」に依存するという知見が示されている。近年の横断調査は，公衆の信頼が，同意方式そのもの（入口の設計）よりも，利用目的の正当性や運用の透明性（出口の設計）によって強く規定されることを実証しており，この知見は，内閣府検討会が掲げる入口規制から出口規制への転換という方向性の理論的な支柱となり得る一方で，英国の経験が示すとおり，出口側の設計が実際に透明であることが伴わなければ，制度は容易に信頼を失いかねないことも同時に示している。
第８ 出典・参考資料
１ 法令
①個人情報の保護に関する法律（平成15年法律第57号）16条・20条・27条（e-Gov法令検索）
②医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律（平成29年法律第28号）1条・2条・30条・42条・52条・53条・57条（e-Gov法令検索）
③個人情報の保護に関する法律等の一部を改正する法律（令和8年法律第56号，令和8年7月17日公布，未施行）
２ 裁判例
①東京地方裁判所令和6年11月28日判決（令和5年（行ウ）第81号，第162号，第372号，オンライン資格確認義務不存在確認等請求事件，判例タイムズ1534号132頁，裁判所ウェブサイト）
３ 公文書・公的資料
①内閣府「医療等情報の利活用の推進に関する検討会」中間まとめ（令和8年1月23日）及び第1回から第14回までの会議資料（内閣府）
②個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律』の公布について」（令和8年7月17日，個人情報保護委員会）
③個人情報保護委員会「『個人情報の保護に関する法律等の一部を改正する法律案』の閣議決定について」（令和8年4月7日，個人情報保護委員会）
④参議院「個人情報の保護に関する法律等の一部を改正する法律案」議案情報（法律番号・公布年月日・議案要旨，参議院）
⑤規制改革実施計画（令和7年6月13日閣議決定，内閣府）
⑥National Data Guardian, “National Data Guardian statement on NHS Federated Data Platform data access, in response to the Not With My NHS Data campaign“（Published 3 June 2026，Updated 28 July 2026，GOV.UK）
⑦一般社団法人ライフデータイニシアティブ・株式会社エヌ・ティ・ティ・データ「次世代医療基盤法に基づく認定事業における不適切な情報の取得に関して」（令和4年9月20日，エヌ・ティ・ティ・データ）
４ 国会会議録
①第193回国会参議院内閣委員会第7号（平成29年4月25日，国立国会図書館国会会議録検索システム。田村智子議員・石原伸晃国務大臣・大島一博政府参考人の発言を含む）
②第211回国会衆議院内閣委員会第12号（令和5年4月12日，国立国会図書館国会会議録検索システム。塩川鉄也議員の反対討論を含む）
③第221回国会参議院デジタル社会の形成及び人工知能の活用等に関する特別委員会第6号（令和8年6月19日，国立国会図書館国会会議録検索システム。黒田知宏参考人・郷野智砂子参考人の発言を含む）
④第221回国会参議院厚生労働委員会第11号（令和8年6月9日，国立国会図書館国会会議録検索システム。川村雄大議員の発言を含む）
⑤第221回国会衆議院厚生労働委員会第12号（令和8年5月27日，国立国会図書館国会会議録検索システム。早稲田ゆき議員の発言を含む）
５ 文献
①團野浩編著『詳説次世代医療基盤法第2版――医療情報の利活用に関する4つの認定制度』（ドーモ，2025年8月）
６ 医学文献・海外規則（ウェブ資料）
①de Man ほか，医療データ二次利用における同意取得方式（opt-in／opt-out）の参加率に関する系統的レビュー，JMIR（2023年），PMC10015347
②Strugnell ほか，小児肥満実態調査における同意方式別参加率の比較，International Journal of Environmental Research and Public Health（2018年），PMC5923789
③El Emam ほか，健康データの再識別リスクに関する系統的レビュー，PLoS One（2011年），PMC3229505
④Sondeck and Laurent，再識別可能性の新たな定式化に関する研究，Scientific Reports（2025年），PMC12222771
⑤Kerasidou，医療データ利活用における公衆の信頼に関する分析，BMC Medical Ethics（2023年），PMC10349411
⑥Kalkman ほか，健康研究へのデータ共有と社会的許諾に関する叙述的レビュー，Journal of Medical Ethics（2022年），PMC8717474
⑦Goodman ほか，医療データ利活用への信頼と文脈依存性に関する横断調査，JMIR（2025年），PMC12670328
⑧Regulation (EU) 2025/327 of the European Parliament and of the Council（European Health Data Space），EUR-Lex