「匿名加工情報にしてしまえば、もう個人情報ではない。だから使い道は自由なはずだ」

——データ利活用の現場で、これに近い理解を耳にすることがあります。しかし行政のデータが元になっている場合、この理解は通用しません。

2026年8月19日、個人情報保護委員会が「レセプトデータ等の保有個人情報の利活用に関する注意喚起（行政機関等匿名加工情報の利用・提供について）」を公表しました。自治体の医療データが製薬企業や保険会社に渡り、データ利用契約上、市場分析やマーケティング戦略、保険の引受査定の高度化にも使えることになっていた——そういう事案です。

そして注意喚起は、最後にこう書いています。「本注意喚起の内容が十分に踏まえられていない事案が確認された場合、権限行使を含め対応を検討します」。

この記事では、次の順序で整理します。

• 何が起きたのか（事案の構造を図解で）
• 行政機関等匿名加工情報とは何か（2つの提供ルート）
• なぜ「匿名加工したから自由」が通らないのか（第109条第2項第2号の読み方）
• なぜフィードバックが必須とされたのか
• 民間事業者の「2つの立場」（第19条は誰に向けられているのか）
• 2024年12月の注意喚起との違い
• 立場別・いま点検すべきこと

本記事は2026年8月20日時点の情報に基づく解説です。個人情報保護委員会の公表資料および個人情報保護法の条文（e-Gov法令検索）により確認しています。未確認の論点は記事末尾に明記しました。

この記事の要点(30秒まとめ)

• ①匿名加工しても、提供元の利用目的の縛りは外れません。第109条第2項第2号のルートは「元の保有個人情報を提供できる場合」が前提だからです。加工は制限を消す魔法ではありません。
• ②レセプトデータの利用目的は「保険給付・保健事業の運営等」です。市場分析、マーケティング戦略、保険の新商品開発、引受査定の高度化——これらがその範囲に入るかは、目的の一つ一つについて個別具体的に判断せよとされました。
• ③フィードバックがなければ、そもそも説明が立ちません。利用成果が自治体に戻り、自治体が検証できる体制がなければ「利用目的の範囲内」と説明することは困難、と明記されています。
• ④民間事業者の立場は2つに分かれます。行政機関等匿名加工情報を利用する側（製薬企業・保険会社等）に求められたのは説明とフィードバック。他方、自治体から保有個人情報そのものの提供を受けて加工・提供する側には、第19条（不適正な利用の禁止）の文言を明らかに踏まえた注意が向けられています。
• ⑤次は権限行使がありえます。注意喚起は2回目です。今回は明確に踏み込みが予告されています。

第1章　何が起きたのか

まず、事案の構造を押さえます。登場人物は3者です。

ここで注目すべきは、覚書に書かれた目的と、実際のデータ利用契約に書かれた目的のズレです。

	記載されていた利用目的
覚書 （自治体B ⇄ 事業者A）	①創薬その他の医歯薬学分野での研究開発 ②医薬情報提供その他公衆衛生に資する活動 ③教育 ④保険数理その他の官民保険の設計及び提供（保険関係に付随して提供される健康増進に係る施策の実施を含む。） ⑤公共サービス等の提供 ⑥上記①〜⑤を支援する事業
データ利用契約 （事業者A ⇄ 製薬企業等）	市販後の医薬品の安全性確認のためのデータ研究、医薬情報提供、製品開発、市場分析、マーケティング戦略等
データ利用契約 （事業者A ⇄ 保険会社）	保険数理、保険新商品開発、引受査定の高度化等

そして覚書にもデータ利用契約にも、活用状況や成果を自治体Bにフィードバックする規定がありませんでした。

第2章　行政機関等匿名加工情報とは何か

行政機関等匿名加工情報とは、行政機関等が保有する個人情報ファイルを構成する保有個人情報を加工して得られる匿名加工情報をいいます（個人情報保護法第60条第3項）。作成の権限は第109条第1項に置かれています。民間企業が作る「匿名加工情報」とは、法律上の位置づけが別です。

ここで見落とされやすいのが、元になる個人情報ファイルが限定されている点です。第60条第3項は、次のいずれにも該当する個人情報ファイルを構成するものに限っています。

号	要件
第1号	個人情報ファイル簿に掲載されないものでないこと。第75条第2項各号（国の安全に関するもの、犯罪の捜査に関するもの等）に該当するファイル、および同条第3項により掲載しないこととされたファイルは、対象外です
第2号	そのファイルを構成する保有個人情報について開示請求があったとしたならば、全部または一部を開示する旨の決定をすることとなるもの（または第三者に意見書提出の機会を与えることとなるもの）であること
第3号	行政機関等の事務・事業の適正かつ円滑な運営に支障のない範囲内で、第116条第1項の基準に従って加工できるものであること

提供できる場合は2つだけ

第109条第2項は、次のいずれかに該当する場合を除き、提供してはならないと定めています。原則禁止で、例外が2つ、という構造です。

ルート	条文	内容	手続
第1号 （本記事では便宜上「提案募集ルート」と呼びます。厳密には他の法令に基づく提供も含みます）	第109条2項1号	法令に基づく場合 （この節の規定に従う場合を含む）	重い。提案の募集 → 提案 → 欠格事由の確認 → 審査 → 利用契約の締結 → 手数料（第111条〜第119条）
第2号 （利用目的ルート）	第109条2項2号	保有個人情報を利用目的のために第三者に提供できる場合に、それを加工したものを当該第三者に提供するとき	軽い。提案・審査の手続なし

ここが、この制度を理解する上での急所です。第1号ルートは、公募と審査という重い手続を課す代わりに、産業創出などの幅広い目的での利用を認めます。他方、第2号ルートは手続が軽い代わりに、「元の保有個人情報を提供できる場合であること」という条件が前提になっています。

つまり第2号は、手続の簡便さと引き換えに、目的の自由度を差し出しているわけです。両方を得ることはできません。

第1号ルート（提案募集）はどれだけ重いのか

比較のために、正規ルートの流れを見ておきます。法は次のような段取りを定めています。

条文	手続
第110条	提案の募集に関する事項を、個人情報ファイル簿に記載する
第111条 施行規則53条1項	提案の募集（施行規則で毎年度1回以上、募集開始日から30日以上の期間を定めて行うとされています）
第112条	事業者から、その情報を用いて行う事業に関する提案を受ける
第113条	欠格事由の確認
第114条	提案の審査（新たな産業の創出等に資するか等を審査し、結果を通知）
第115条	利用に関する契約の締結
第116条	行政機関等匿名加工情報の作成
第119条	手数料の納付

ご覧のとおり、第1号ルートは公募と審査を経るぶん、事業目的での利用に道が開かれています。逆に言えば、そうした審査を経ずに提供する第2号ルートで、事業目的の利用まで賄おうとしたのが今回の事案の構図だといえます。

なお識別行為の禁止は、立場によって根拠条文が分かれます。ここを取り違えると、社内規程の根拠が食い違います。

立場	根拠条文
行政機関の長等（自治体） およびその委託を受けた者	第121条（第3項で委託先に準用。二以上の段階にわたる委託を含むため再委託先にも及ぶ）
提供を受けた民間事業者 （製薬企業・保険会社など）	第45条（匿名加工情報取扱事業者としての識別行為の禁止）

民間の「匿名加工情報」とは別物です

ここも混同されやすい点です。民間企業が自社の個人情報から作る匿名加工情報（第2条第6項、第43条以下）と、行政機関等匿名加工情報は、名前は似ていますが規律が異なります。

	匿名加工情報（民間）	行政機関等匿名加工情報
作成できる者	個人情報取扱事業者	行政機関の長等
第三者提供	本人同意なしで可能（項目等の公表と、匿名加工情報である旨の明示が必要）	原則禁止。第109条2項の2つの例外に該当する場合のみ
目的の制限	提供後の利用目的に、法律上の一般的な制限はない	第2号ルートでは、元の保有個人情報の利用目的の範囲内
手続	公表等の手続のみ	第1号ルートでは公募・審査・契約・手数料

民間の感覚をそのまま行政データに持ち込むと、ここで足をすくわれます。今回の事案も、突き詰めればこの取り違えに行き着くように見えます。

第3章　なぜ「匿名加工したから自由」が通らないのか

第109条第2項第2号の条文を、区切って読んでみます。

前半の「利用目的のために第三者に提供することができる場合において」が条件です。加工前の生データを、その相手に、その目的で渡せる場合——それが出発点になっています。

したがって、こう整理できます。

よくある理解	実際
匿名加工すれば個人情報ではなくなるので、利用目的の制限は外れる	外れません。第2号は「元データを提供できる場合」を条件にしているため、加工後も同じ枠内です
自治体が契約書で認めてくれたのだから適法	契約は根拠になりません。自治体が利用目的の範囲を超えて認めることはできないためです
提供先が誰であっても、目的が合っていればよい	条文は「当該第三者に」と限定しています。提供できる相手も枠内です

レセプトデータの利用目的は何か

ではレセプトデータの利用目的は何かというと、地方公共団体が国民健康保険制度の保険者として、保険給付の実施や保健事業の運営等を目的として保有している情報です。実務では「保健事業のため」「国民健康保険事業運営のため」と特定されている例が多いとされています。

この枠に、市場分析やマーケティング戦略、保険の引受査定の高度化が入るのか。個人情報保護委員会は「利用目的の一つ一つについてその利用成果を検証した上で、個別具体的に判断することが求められる」としました。

包括的に「④保険数理その他の官民保険の設計及び提供」と書いておけば足りる、という運用は否定されたと読むべきでしょう。

第4章　なぜフィードバックが必須とされたのか

今回の注意喚起でとりわけ実務に響くのが、この点です。

理屈はこうです。レセプトデータの利用目的は「保健事業の運営等」——つまり住民の健康につながる活動です。データが外に出て行ったきり、何に使われ、何が分かったのかが自治体に戻ってこないのであれば、それは自治体の保健事業とは言えない。単なるデータの譲渡です。

そして自治体は、住民に対して「自らが定めた利用目的の範囲内に含まれること等の適法性についての説明責任」を負い、さらに「提供後の利用状況を含めた提供行為全体について責任を負う」とされました。渡して終わりにはできない、ということです。

実務的に言えば、フィードバック条項のない契約は、その一点だけで説明が立たなくなる可能性があるということになります。

第5章　民間事業者の立場は「2つ」ある

ここで立場を分けて考える必要があります。注意喚起自身が、民間事業者を2つに書き分けているためです。

立場	受け取るもの	注意喚起での位置
① 利用する側 （製薬企業・保険会社など）	行政機関等匿名加工情報のみ	「3 行政機関等匿名加工情報を利用する民間事業者における留意点」
② 加工して提供する側 （自治体から委託を受けている事業者）	保有個人情報そのもの	「4 おわりに」の中で名指し

① 利用する側に求められること

注意喚起は、行政機関等匿名加工情報を利用する民間事業者に対して、次の2点を求めています。

つまり、受け取って終わりにはできません。自治体が「これは利用目的の範囲内だ」と判断できるだけの材料を出し、そして成果を返す。この2つを果たさなければ、提供そのものの適法性が崩れます。

② 加工して提供する側は、さらに重い

「うちは自治体から適法に提供されたものを加工しているだけだ」——そう考えたくなるところですが、注意喚起の末尾には、この立場を名指しした一文があります。

宛先が「保有個人情報の提供を受ける民間事業者」である点に注意してください。加工前の生データを預かっている事業者——つまり②の立場です。

そして「助長し、又は誘発するおそれがある方法」という表現。これは個人情報保護法第19条（不適正な利用の禁止）の文言を明らかに踏まえた表現です。

実際、注意喚起の参考条文には第19条が真っ先に掲げられています。第19条は「個人情報を利用してはならない」という規律ですから、加工前の保有個人情報を現に取り扱っている②の立場に、直接及びます。

さらに、2024年12月の注意喚起では第20条第1項（適正な取得）にも触れられていました。委託契約の変更や覚書によって当初の委託業務を超える利用・提供の権限を与えられた場合、その権限付与を受けたこと自体が「取得」に該当しうるとされ、その際に自治体を誤信させるような説明をしていれば「偽りその他不正の手段」による取得に該当しうると指摘されています。

第6章　2024年12月の注意喚起との違い

今回は2回目です。1回目は2024年12月25日、「地方公共団体向け」と「個人情報取扱事業者向け」の2本が同時に公表されました。

	2024年12月25日	2026年8月19日（今回）
切り口	レセプトデータ等（保有個人情報そのもの）の取扱い	行政機関等匿名加工情報の利用・提供
事案の構造	委託契約でデータ提供 → 別途「覚書」で委託業務外の利用・提供権限を付与 → 匿名加工情報を作成し製薬企業等へ提供	委託で行政機関等匿名加工情報を作成・納品 → 覚書で事業者に提供 → 製薬企業・保険会社へ提供
主な条文	第61条1項（利用目的の特定） 第69条1項（利用・提供の制限） 第20条1項（適正な取得）	第109条2項2号 第61条1項 第19条（不適正な利用の禁止）
指摘された不備	利用目的を特定していない自治体があった／覚書に提供先とフィードバックの定めがなかった／説明を受けた証跡がなかった	利用目的の範囲を超える利用が行われていた／フィードバック規定がなかった
踏み込み	周知・注意喚起	権限行使を含め対応を検討

読み取るべきは、1回目で指摘された「フィードバックの欠如」が、2回目でも同じように指摘されている点です。1年8か月弱を経て、同じ不備が確認された。だからこそ今回、権限行使への言及が加わったと考えるのが自然です。

第7章　立場別・いま点検すべきこと

ここからが実務です。自社がどの立場かによって、見るべき箇所が違います。

A. 行政機関等匿名加工情報を「利用する」事業者（製薬企業・保険会社など）

受け取っているのは加工後の情報だけという立場です。注意喚起がこの立場に求めているのは、説明とフィードバックです。

B. 自治体から保有個人情報の提供を受け、加工・提供している事業者

加工前の個人情報を現に取り扱っている立場です。Aに求められることに加えて、第19条・第20条という自らの義務が正面から問題になります。

C. これから行政データの利活用を検討している事業者

今週やるなら、この順で

順序	やること	目安
1日目	自治体由来のデータを使っている案件・契約を一覧化する	1〜2時間
2日目	各案件について、実際の利用用途を担当部門にヒアリングする	半日
3日目	契約書のフィードバック条項の有無を確認する	1時間
4〜5日目	市場分析・マーケティング・引受査定に類する用途があれば、利用の一時停止も含めて検討する	要判断

本稿執筆時点で未確認の論点

• 対象となった地方公共団体名・事業者名は、公表資料では匿名（A・B）とされており、確認できていません。
• 是正措置の有無や、その後の対応状況も公表されていません。
• 実際の利用実態——市場分析やマーケティング戦略、引受査定の高度化に現に使われていたのかは、公表資料からは確認できていません。公表されているのは「データ利用契約にそれらの目的が記載されていた」という事実と、「多様な目的の下で提供されている」という指摘です。もっとも、契約に書いてある以上その利用が可能な状態にあったことは動きません。
• 個人情報保護委員会がいつ、どのような形で権限を行使するかは明らかにされていません。
• 覚書に記載された6つの利用目的のうち、どこまでが範囲内でどこからが範囲外かについて、委員会は個別具体的な判断を求めるにとどめており、明確な線引きは示されていません。

おわりに

誤解のないように申し添えると、個人情報保護委員会は、レセプトデータの利活用そのものを否定していません。注意喚起にも「利用・提供すること自体を否定するものではありません」と明記されています。医療データの分析は、住民の健康増進や疾病予防に資する公益的な取組でもあります。

問題は、その公益性が、契約書の中で立証できる形になっているかどうかです。

今回の事案で決定的だったのは、技術的な加工の不備ではありません。覚書に書かれた抽象的な目的と、実際の使われ方との距離。そして、成果が返ってこない構造。いずれも契約設計の問題です。

データ利活用の案件では、技術面の検討に時間をかけ、契約はテンプレートで済ませてしまうことが少なくありません。しかしこの分野で事故が起きるのは、たいてい契約書の文言と実際の運用がずれているところです。そして今回のように、そのずれは下流の契約に現れます。

当事務所は、事業スキームから法的リスクを洗い出すことを方針としています。「この契約書に問題はないか」ではなく、「このスキーム全体が、誰にどう説明できるか」という視点で拝見します。行政データの利活用、医療データの取扱い、契約の見直しについて、お気軽にご相談ください。

一次情報

• 個人情報保護委員会「レセプトデータ等の保有個人情報の利活用に関する注意喚起（行政機関等匿名加工情報の利用・提供について）」（令和8年8月19日）
  https://www.ppc.go.jp/news/press/2026/260819_02_houdou/
• 同 報道発表資料PDF
  https://www.ppc.go.jp/files/pdf/260819_02_houdou.pdf
• 個人情報保護委員会「レセプトデータ等の保有個人情報の利活用に関する注意喚起（地方公共団体向け）」（令和6年12月25日）
  https://www.ppc.go.jp/files/pdf/241225_alert_receipt_lg.pdf
• 個人情報保護委員会「レセプトデータ等の保有個人情報の利活用に関する注意喚起（個人情報取扱事業者向け）」（令和6年12月25日）
  https://www.ppc.go.jp/files/pdf/241225_alert_receipt_bhpi.pdf
• e-Gov法令検索「個人情報の保護に関する法律」（平成15年法律第57号）
  https://laws.e-gov.go.jp/law/415AC0000000057
• 個人情報保護委員会「行政機関等匿名加工情報に関する提案の募集について」
  https://www.ppc.go.jp/application/gyouseikikantoutokumeikakoujouhou_teianboshu/

本記事は一次情報および公表資料の整理であり、個別の事案に対する法的助言ではありません。具体的な対応については、必ず専門家にご確認ください。