Group Privacy: On Japan's Statistical-Creation Exception under the 2026 Amendment to the Act on the Protection of Personal Information

This post examines group privacy in the context of the 2026 amendment to Japan's Act on the Protection of Personal Information (APPI), focusing on the new exception for ‘statistical creation and related activities’. Data protection law has traditionally centred on identifiable individuals. Yet, AI and big-data analytics can construct new groups by extracting patterns from large datasets without directly identifying particular individuals. Such group-level knowledge may then be used for profiling, pricing, employment, advertising, or other decisions affecting individuals inferred to belong to a particular group.

While the GDPR remains primarily individual-centred, the EU AI Act expressly includes ‘groups of persons’ within the scope of certain prohibited AI practices, and its social scoring rules recognise the risk of detrimental treatment of whole groups and their exclusion. It also draws on the CJEU’s SCHUFA judgment to highlight the importance of upstream regulation of scoring and inference where group-derived patterns may shape decisions affecting individuals.

Against this background, the post identifies three issues in Japan's statistical-creation exception: group privacy, identification and inference risks, and the implications of its harm-based approach for EU-Japan adequacy. It argues that the absence of direct identification does not necessarily eliminate effects on individuals. The central question is how the principle of respect for individual person under the APPI should respond when group-based inference and decision-making significantly affect individuals.

「個人」情報保護法

個人情報保護法は、個人を起点とした法制度です。

誰の個人情報であり、どのような本人の権利があり、誰が当該個人のデータを利用できるかを規律しています。では、「個人に関する情報」でなければ、本人同意なしに個人情報を自由に第三者が利用できるのでしょうか。

個人の権利利益の保護は、「集団」を見ずして、「個人」だけに着目すればよいのでしょうか。

AI・ビッグデータの時代には、この個人だけに着目した発想だけでは捉えきれない問題が生じることがあります。特定の個人を一次的に識別しなくても、大量のデータから特定の属性をもつ「傾向又は性質」を抽出することで集団が構成され、その集団への評価や取扱いを通じて個人への不利益や害悪が及ぶ経路があります。

この問題について、2026年7月10日に成立した改正個人情報保護法の統計作成等の特例を取り上げてみることにします。

集団プライバシー（group privacy）

「集団プライバシー」には一義的な定義があるわけではありません。ここでは、個人のプライバシーの総和としてではなく、AIやビッグデータによる規則性の抽出を通じて新たに構成されるクラスター（clusters）に関連するプライバシーの問題として捉えることとします。AIは既存の集団への働きかけのみならず、データの分類と予測を通じて新たなクラスターを構成することができます。

こうしたデータ分析によって構成された集団は、人間が事前に定義した集団類型に縛られていないこと、本人の自覚を必要としないこと、そして個人を直接識別する情報がなくても集団の分類ができることを特徴としています。たとえば、個別化された保険料やローン金利の設定等の価格差別、おすすめの商品が一定の集団にしか提示されない機会の制限、一定の集団に政治広告やニュースがおすすめとして表示される情報の集合的な配信などがあります。統計の市場価値は、顧客のセグメンテーション、リスク評価、スコアリング、購買予測、動的価格設定等を通じて集団にどう働きかけるかという点に見出されます。集団に対する評価や取扱いは、その集団に属すると推論・予測された個人にも波及しやすくなります。個人を直接識別することなく集団を構成し、その集団への評価や意思決定を通じて個人に影響を及ぼすという、AI時代の集団プライバシーの問題があります。

このような統計の隠れた脅威は、1983年ドイツ国勢調査判決にもすでに示唆されていました。特定可能な個人と集団との関連性が問われた国勢調査について、特に「小規模な集団」に関する情報の場合、目的外利用のリスクに対応する措置の必要性が指摘されていました。その後のドイツ憲法裁判所の一連の判例（Rasterfahndung II判決及び自動化データ分析判決）は、集団的属性に基づくプロファイリングやアルゴリズムを用いた人格関連性を有する知識の生成によって、統計的に把握される集団の分類や推論が、結果として個人に対する評価や意思決定に作用する構造が情報自己決定権に影響することを示しています。

Tilburg University Professor Linnet Taylor（当時助教）によるGroup Privacyの発表 (MyData Conference, 1 September 2017, Helsinki）

EUのGDPRとAI法：個人の保護と集団の保護

EUは、個人を中心とするデータ保護法と集団を規制対象に含むAI規則が、それぞれ異なる側面から機能しています。

GDPRは、識別可能な「個人」としての「データ主体」を保護するために設計された枠組みです。その中核的規定である、22条の自動化された意思決定についても、データ主体に関する決定を規律対象とする個人を起点に置いた構造です。

これに対し、AI法5条は、禁止AIシステムの慣行の対象として、「自然人（natural person(s)）」及び「集団（groups of persons）」を明示的に分けて規定することにより、AIによる分類・推論によって構成される集団を含め規制対象に組み込みました。とりわけ、ソーシャルスコアについては、既知、推論又は予測された個人的特徴に基づいて自然人又は集団を評価・分類し、その結果として「一定の自然人又は集団」に不利益な取扱いをもたらすAIシステムが禁止されています。個人のみならず、「集団全体」（AI法前文31項）に対する不利益取扱いが一定の集団の排除につながりうることを示しています。

このように、EUのデジタル法制度は、必ずしも集団プライバシーを承認しているわけではありませんが、既存の個人中心のデータ保護法に加えて、集団を明示的に規制対象に含むAI法を組み合わせることによって、AIによる分類・推論が集団を介して個人に及ぼす不利益に対処しています。

統計作成等の定義に係る論点

以上を踏まえて、日本の統計特例の定義について考えてみます。改正個人情報保護法2条13項は次のように規定しています。

「この法律において『統計作成等』とは、統計の作成その他の大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報（個人に関する情報であるものを除く。）を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるものをいう。」

この定義には、少なくとも三つの論点が含まれています。

第1に、集団プライバシーについてです。定義では、「大量の情報の傾向又は性質に係る情報」の作成を対象としています。まさにAIモデルの開発やAIシステムの利用において新たに生成される集団を構成する要素となる情報です。EUのAI法が「個人又は集団」を規制対象としているのに対し、日本の統計特例は「個人に関する情報を含まない」ことを一つの要件としています。そのため、個人との対応関係が排斥された統計情報から集団が新たに構成され、当該集団への評価や意思決定を通じて個人に影響が及ぶ場合を、どこまで規制の対象として捉えるのかが問題となります。

第2に、（再）識別リスクの論点です。定義は「個人に関する情報」を除外していますが、「個人を識別することができる情報」ではない点が重要です。EDPB匿名化ガイドラインも集計データが一見すると集団についての情報にすぎない場合でも、そこから個人に関する情報を推論でき、その処理によって当該個人が他者と異なる取扱いを受ける具体的可能性がある場合には、その情報が当該個人に関連し得ることを認めています（para17）。したがって、統計特例における「個人に関する情報」の除外を考える際には、個人を直接識別できるかだけでなく、そこからどのような個人に関する推論が可能となるかにも留意する必要があります。

第3に、EUの十分性との関係で重要な「害悪アプローチ（harm-based approach）」の論点です。統計特例は、個人の権利利益へのリスク判定基準とする枠組みではなく、「害するおそれが少ないもの」という「害悪アプローチ」を採用しています。EUは、欧州議会の日本の十分性決定に関する決議において、保有個人データの範囲に関する日本の害悪アプローチがGDPRと整合しないことを指摘し、これを受けて、補完的ルールが創設されたり、その後令和2年改正では短期保存データの保有個人データに関連する害悪アプローチが廃止された経緯があります。統計特例における「害するおそれ」の判定基準に集団的害悪やリスク評価の視点を組み込めないまま運用すれば、十分性決定への影響を含め、国際的整合性の問題が生じうることになりかねません。

個人情報保護法における個人尊重の意味

統計特例が対象とする情報は、「個人に関する情報」ではないものとして定義されています。しかし、それによって個人への影響までなくなるわけではありません。

誰がどの集団に属するか、または当該集団にどのような性質があるかが推論され、その集団に対する価格、保険、雇用、広告、サービス等の取扱いが変われば、その影響は集団に属する個人にも及びうることになります。したがって、「個人に関する情報」でないことと、集団を介して個人に及ぶ影響を排除することは別問題です。

統計作成等では、大量の情報から集団の「傾向又は性質」が抽出されます。AI法5条が自然人のみならず、集団も規律の対象に含めているように、

大量のデータ → 集団の構成・性質の推論 → 個人の集団帰属の推定 → 評価・意思決定 → 個人・集団への影響

という連鎖的な構造を有しています。

統計特例はこの過程の上流に位置しますが、集団プライバシーの核心的問題は、下流の個人の集団帰属の推定や属性の帰属を通じて個人に結び付けられる点にあり、その結果として、個人に対する評価・意思決定が行われ、個人に影響を及ぼす点です（EU司法裁判所SCHUFA判決、参照）。

個人情報保護法における「個人の人格尊重」（個人情報保護法3条、憲法13条、参照）は、個人を集団から切り離された主体としてのみ捉えることを意味しません。データが構成する集団への帰属を媒介にした評価・意思決定が、結果として、「個人の人格尊重」を損なう場合も、その個人の保護に含まれうるのです。

AI時代の統計特例で問われていることは、個人に関しない情報が、集団を介して個人の評価や意思決定に重大な影響を及ぼすとき、いかにそれを「個人の人格尊重」の問題として捉えるかではないでしょうか。

参考資料

・集団プライバシーについては、Linnet Taylor, Luciano Floridi, Bart van der Sloot (eds), Group Privacy (Springer 2016). 本論は、同著の中にあるAlessandro Mantelero, ‘From Group Privacy to Collective Privacy: Towards a New Dimension of Privacy and Data Protection in the Big Data Era’の論文に依拠しています。

・EUのデジタル法における「集団」概念に着目し、集団救済を論じるものとして、Liubomir Nikiforov, ‘EU Collective Redress for Inferred Groups: Standing and Compensation under the GDPR, the Representative Actions Directive and the AI Act’ (2026) European Journal of Risk Regulation、また集団の権利を論じるものとして、Rainer Mühlhoff, ‘Predictive Privacy: Collective Data Protection in the Context of Artificial Intelligence and Big Data’ (2023) 10(1) Big Data &Societyがそれぞれ参考になります。

・GDPRの下で、上流の推論作用自体を規律対象とした事例として、Case C‑634/21, OQ v Land Hessen, ECLI:EU:C:2023:957（SCHUFA判決（石塚壮太郎「ドイツSchufaによるクレジットスコアリングは制限されるか」ジュリスト1595号））があります。同判決は、信用スコアの算出自体が「決定」となりうるため、下流の個別の意思決定と独立して規制対象となり得ることを示しています（なお、同判決は集団プライバシーを承認した判決ではありません）。

・ドイツ憲法裁判所の判例については、国勢調査判決（BVerfGE 65, 1, Rn. 92 und Rn.206（平松毅「自己情報決定権と国勢調査」ドイツ憲法判例研究会編『ドイツの憲法判例（第2版）』）、その後の判例としてRasterfahndung II判決（BVerfGE 115, 320（宮地基「ラスター捜査事件」ドイツ憲法判例研究会編『ドイツの憲法判例Ⅳ』）及び警察自動化データ分析判決（1 BvR 1547/19）（新井貴大「警察による自動化されたデータ分析と情報自己決定権」『自治研究』102号1巻）が参考になります。

・EDPBガイドラインについては、Guidelines 02/2026 on Anonymisation Version 1.0, Adopted on 07 July 2026 (public consultation)、参照。

・基準適合体制（30条の2、5項）に係る「リスク」を念頭に、国会審議において「本特例においては、統計情報等の作成のために提供されるデータについて、一律に個人情報の削除を求めるのではなく、提供元、提供先に漏えい等を生じた場合のリスク等に応じて適切に対応することで個人の権益の保護を図る制度設計としております」（衆・デジタル社会形成特委・令和8年5月21日（松本大臣））という指摘がありました。基準適合体制に係る漏えい等の「リスク」管理によって、集団的推論が個人に帰属されることによる権利利益への「害するおそれ」まで解消されるとは限らない点に注意が必要です。

・国会審議における「個人情報保護法ってかなり複雑にでき上がっている法律で、次から次と建て増しをしているような法律だと思います。 …きれいな形に一回見直してしまうということは、個人的な意見ですけど、私はありだと思っています」（参・デジタル社会形成特委・令和8年6月24日（松本大臣））という指摘は、次回見直し時の教訓とすべきかと思います。

How to cite 宮下紘 (2026). 集団プライバシー—改正個人情報保護法の統計作成等の特例について考える. Zenodo. https://doi.org/10.5281/zenodo.22532111

Miyashita, H. (2026). Group Privacy: On Japan's Statistical-Creation Exception under the 2026 Amendment to the Act on the Protection of Personal Information. Zenodo. https://doi.org/10.5281/zenodo.22532111

Happy birthday to the GDPR on 25 May!
Across the EU's digital legislations — GDPR's right to human intervention (Art. 22(3)), the DSA's human review (Art. 14(1)), and the AI Act's human oversight (Art. 14(2)) — the ’human’ consistently appears as a central figure. In the AI Act, it can be interpreted that the English human oversight frames the human as a supervisor of systems, while the French contrôle humain situates the human as the bearer of responsibility for decisions.
Drawing on Hannah Arendt's The Human Condition, the irreversibility and unpredictability of action are met by forgiveness and promise, both of which presuppose an imputable subject. AI systems structurally lack this capacity.
The tension between the English and French formulations, human oversight vs contrôle humain, invites continued reflection on what kind of 'human' digital constitutionalism is meant to protect.

2012年1月25日GDPR提案が公表された数時間後のCPDP国際会議パネル（Brussels, Belgium）

5月25日は、GDPR（一般データ保護規則）が適用開始された誕生日です。

2016年に成立したGDPRは、2018年5月25日に適用開始されました。同日の直前には、GDPRの適用開始に伴う、プライバシーポリシーの変更の通知が多く届いたことをご記憶の方もいらっしゃると思います。私は当時ドイツに滞在しておりましたが、ドイツ国内でもニュースでGDPR適用開始の報道がされていたことを思い返します。

デジタル立憲主義の潮流

現在の憲法学の一つのトレンドとして「デジタル立憲主義（Digital Constitutionalism）」というテーマがあります。主にプラットフォームがもたらした表現の自由、プライバシー、アルゴリズム差別という国境を越えた課題について規範的に論じるものが多く見られます。「アルゴリズムの支配」に対抗する「法の支配」の意義づけなど注目に値する論稿が多く登場するようになりました。

私の視点は、EU法を外から見て、またアメリカ法との比較の文脈を添える、という少し異なるものです。‘Human Condition in Digital Constitutionalism’というタイトルは、デジタルオムニバス法案が公表された2025年11月19日、フランス大学の先生との合同研究会（一橋大学中西優美子教授主催）において発表したテーマです。こちらは近く国内の研究会で原稿発表し公表予定です。デジタル立憲主義を規範的に論じるものではなく、実証的にEUの立法と判例から、デジタル立憲主義の一つの要素として「人間による制御」という役割を導き出す内容です。

EUのデジタル立法における「人間」の存在

　EUには様々なデジタル関連立法がありますが、「人間」を条文においてしっかりと位置づけていることを確認することができます。

GDPR（2016年成立）には、個人データの自動処理に伴う意思決定システムを規律する観点から「人間介入の権利」（right to obtain human intervention）（22条3項）が規定されています。

DSA（デジタルサービス法、2022年成立）には、「人間による再審査」（human review/ réexamen par un être humain）（14条1項）を含むコンテンツモデレーションの仕組みについて利用規約で明示しておくことが定められています。

AI法（2024年成立）には、ハイリスクAIシステムに対する義務の一つとして、「人間による制御」（human oversight/ contrôle humain）（14条2項）が求められています。

このように、EUのデジタル立法には、「人間介入の権利」、「人間による再審査」及び「人間による制御」という人間中心の原則が現れているとみることができます。

なお、AI法の立法経緯に照らし、前記研究会においてフランスの先生にも英仏の語の違いについて確認を行い、英語のテキストはシステムに対する監視権限のニュアンスが強いのに対し、フランス語のテキストにはシステムに対する人間の責任の意味合いが出されていると解することができます。私自身は、フランス語テキストの方が、人間の責任主体性をより適切に表しているように思われます。

デジタル立憲主義が想定する「人間」

　なぜシステムではなくて、人間でなければならないのか。

　ハンナ・アーレントは『人間の条件』において、人間の活動を労働・仕事・行為に区別した上で、とりわけ「行為」（action）を人間に固有の営みとして位置づけました。行為の結果は複数の主体の相互作用の中で予測不能な連鎖を生み出すことがあります。この条件に対する人間的応答としてアーレントは「赦し」と「約束」を論じました。「赦し」は不可逆性への応答であり、「約束」は予測不能性への応答です。いずれも帰責性ある主体を前提とした仕組みです。

帰責の最終点に「人間」を置くことは、立法上の技術的選択を超えた、「人間の条件」に根ざした要請であると言えます。この観点からすると、AI法の英仏のテキストの差異は単なる翻訳の問題を超えて、システムを監視する道具を用いる主体（human oversight）としての人間像とみるか、あるいは出力過程に責任を負うことを前提にシステムを制御する主体（contrôle humain）としての人間像を想定するか、—すなわちアーレントのいう「工作人」と「行為主体」のいずれに位置づけるか—という選択を迫るものであるように思われます。実際、AI法14条4項d号は、英語版が出力の「上書き（override）」を、フランス語版は「置き換え（remplacer）」をそれぞれ規定しており、ここでも前者は監視権限の延長として、後者は人間による能動的な操作制御として読み取ることができます。

なお、アメリカ憲法の下では、アルゴリズムの実装としてのソースコードやシステムの出力を、人間である開発者の思想や判断の「表現」として捉え、あるいは出力の受け手の権利という観点から、表現の自由との関係から、AI規律における「人間」の役割を論じる議論が存在します。

EUデジタル立法に内在するこの緊張は、デジタル立憲主義において「人間」がいかなる存在として位置づけられるのかという問題を提起しているように思われます。

参考資料

問題意識を共通にするブログとして、Schwemer, Sebastian; Koivisto, Ida: A Warm Body in the Loop: Rethinking Human Control of AI in EU Tech Regulation, VerfBlog, 2025/9/18,が参考になります。また、日本語によるデジタル立憲主義のブログとして、山本健人「デジタル社会は立憲主義の夢を見るか？」Webあかし、参照。拙論「AIとプライバシー：EUのAI規則とGDPRの交錯」白鴎大学法政策研究所編『デジタル社会の政策と法』（勁草書房・2025）105頁以下、において「人間による制御」の意義を論じております。

How to cite　宮下紘（2026）「GDPR誕生日：デジタル立憲主義における『人間の条件』」2026年5月25日、DOI: https://doi.org/10.5281/zenodo.20370557/ Miyashita, H. (2026). Human Condition in Digital Constitutionalism. 25 May 2026. https://doi.org/10.5281/zenodo.20370557