GDPRガイドライン1/2026における「PETs」の位置づけと個人情報保護法への接点

公開日：2026.07.24

Yushi Takasaki リーガル / 弁護士

コンサル、パブリックアフェアーズ（政策提言や官公庁との連携）を担当

はじめに

2026年7月10日、「個人情報の保護に関する法律等の一部を改正する法律案」が参議院本会議で可決され、改正個人情報保護法が成立しました。今後は、施行に向けて、政令・個人情報保護委員会規則・ガイドライン等の整備が本格化していきます。
この改正の国会審議では、プライバシー強化技術（Privacy Enhancing Technologies、以下「PETs」といいます。）への言及がありました。衆議院では、PETsの活用に当たっての適切なインセンティブの在り方の検討を政府に求める附帯決議が付されています（詳細は後述します）。
EUでも今年、PETsに関連する動きがありました。欧州データ保護会議（European Data Protection Board、以下「EDPB」といいます。）が採択したEU一般データ保護規則（General Data Protection Regulation、以下「GDPR」といいます。）の新しいガイドライン草案において、「適切な保護措置」の具体例としてPETsが明文で挙げられたのです。
本稿では、この草案を取り上げ、PETsがどのように書かれたのかを確認したうえで、日本の個人情報保護法との接点を整理します。
株式会社Acompanyは、PETsの一つとされるコンフィデンシャルコンピューティング（Confidential Computing）を用いて、個人データや機密データを安全に活用するためのプロダクト・サービスを提供しており、その前提となる国内外の法制度・政策動向を継続的に調査し、発信しています。本稿もその一環です。

GDPRの新ガイドライン（草案）に「PETs」を明記

2026年4月15日、EDPBは「科学研究目的のための個人データの取扱いに関するガイドライン1/2026」（Guidelines 1/2026 on processing of personal data for scientific research purposes、以下「本ガイドライン」といいます。）を採択しました（※1）。
もっとも、本稿作成時においてはパブリックコンサルテーション（意見公募）の募集が終了し、寄せられた意見を踏まえて修正されうる段階にあります。本稿では、この状態を指して「草案段階」と表記します。それにもかかわらず本稿で取り上げたのは、日本の改正個人情報保護法との関係で注目すべき点が含まれているためです。具体的には、本ガイドラインにおいて、GDPR第89条(1)の「適切な保護措置（appropriate safeguards）」の具体例として、PETsが明文で挙げられたことです。
本ガイドラインが草案段階とはいえ、GDPRのガイドラインにおいてPETsが明記されたという事実は、冒頭で述べた日本の制度整備においても参考になると考えられます。
そこで本稿では、まず本ガイドラインの概要を紹介したうえで、PETsに関する記述を確認し、日本の個人情報保護法との接点を整理します。

本ガイドラインの構成（Guidelines 1/2026）

本ガイドラインは、GDPRが科学研究目的の個人データの取扱いについて設けている一連の特則——目的適合性の推定（第5条(1)(b)）、保存期間の特例（第5条(1)(e)）、消去権の例外（第17条(3)(d)）、異議権の制限（第21条(6)）、そして第89条(1)の適切な保護措置等——の解釈について包括的に示した文書です。各章の主な記載内容は以下のとおりです。

第2章（「科学研究」の範囲）：GDPR上の「科学研究」該当性を判断するための六つの指標が示されています。また、営利企業による研究や商業目的を伴う研究も「科学研究」に該当しうることが明確化されています。
第3章（データ保護原則）：当初の収集目的とは別に後から科学研究目的でデータを取り扱う場合（further processing）の目的適合性の推定（第5条(1)(b)）と保存期間の特例（第5条(1)(e)）の解釈等が示されています。
第4章（適法性）：研究目的が確定する前の段階で一定の研究領域を単位として取得する同意（broad consent）や個別の研究プロジェクトごとに都度取得する同意（dynamic consent）の要件、公共の利益・正当な利益を根拠とする処理（第6条(1)(e)(f)）、特別カテゴリデータ（第9条）の取扱い等が示されています。
第5・6章（情報提供義務・データ主体の権利）：長期の研究における透明性確保の方法（第12条〜第14条）や消去権（第17条）・異議権（第21条）の例外の適用範囲等が示されています。
第7章（責任の分配）：研究コンソーシアム・官民連携等における管理者・処理者・共同管理者（第26条・第28条）の整理が示されています。
第8章（適切な保護措置）：リスク分析等を起点とする保護措置の選定、匿名化・仮名化その他の保護措置の例示が示されています（第89条(1)）。

本稿では、GDPRにおけるPETsの位置づけの確認という観点から、第8章を取り上げて検討します。

「適切な保護措置」

3-1. GDPR第89条(1)の概要

GDPR第89条(1)は次のとおり規定しています。

「公共の利益における保管の目的、科学調査若しくは歴史調査の目的又は統計の目的のための取扱いは、本規則に従い、データ主体の権利及び自由のための適切な保護措置に服する。それらの保護措置は、とりわけ、データの最小化の原則に対する尊重を確保するため、技術的及び組織的な措置を設けることを確保する。それらの措置は、それらの目的がそのような態様で充足されうる限り、仮名化を含むことができる。データ主体の識別を許容しない又は許容することのない別の目的による取扱いによってそれらの目的が充足されうる場合、それらの目的は、その態様によって充足される。」（個人情報保護委員会の仮日本語訳）（※2）

条文上、直接言及している技術的措置は仮名化（pseudonymisation）のみです。準同型暗号、コンフィデンシャルコンピューティング（Confidential Computing）、合成データ等の「PETs」は、GDPRの条文上は登場せず、「適切な保護措置」という技術中立的・機能的な要求にとどまっています。

「適切な保護措置」の内容は、本ガイドラインの第8章で具体的に記述されています。

3-2. 本ガイドラインによる「適切な保護措置」の具体化

本ガイドラインは、適切な保護措置の検討プロセスを次のように整理しています。まず、保護措置の検討はリスク分析または（必要な場合）データ保護影響評価（Data Protection Impact Assessment）を起点とします。データ最小化の原則の観点からは、匿名化されたデータで研究目的が達成できるのであれば匿名化データを用いること、それが不可能な場合には仮名化して取り扱うべきこと、そして直接識別可能な個人データの取扱いは研究目的の達成に厳密に必要かつ比例的な場合にのみ行われるべきことが明示されています。また、研究の性質や方法によってリスクは異なることから、取扱いの種類に応じて「匿名化・仮名化を超えた（beyond anonymisation or pseudonymisation）」他の種類の保護措置を採用することが必要となりうるとして、その例が列挙されています。

例示列挙には様々な保護措置が並んでいますが、そのうちの一項目として、PETsが登場します。

3-3. 「適切な保護措置」としてのPETs

本稿が注目する項目は次のものです（拙訳・抜粋）。

Privacy enhancing technologies (PETs), such as homomorphic encryption or use of synthetic data;
「プライバシー強化技術（PETs）。準同型暗号（homomorphic encryption）や合成データ（synthetic data）の利用など」

PETsが本ガイドラインに記述されたことについて、二つのポイントがあります。

第一に、PETsが「準同型暗号」「合成データ」という具体的技術名を伴って、GDPRのガイドライン（草案）に書き込まれた点です。条文が「仮名化」までしか言及していなかったところから、一段踏み込んだ具体例がガイドラインという形で示されました。なお、「〜など（such as）」と記載されていることから、PETsとして挙げられる技術が準同型暗号と合成データの二つに限定されているわけではありません。本ガイドライン自体はPETsの定義や範囲を定めていませんが、たとえば英国の監督機関ICO（Information Commissioner's Office）がUK GDPRの下で公表している「Privacy-enhancing technologies (PETs)」（※3）では、TEE（Trusted Execution Environment）がPETsの一類型として明記されており、OECDの「Emerging privacy-enhancing technologies: Current regulatory and policy approaches」（※4）においてもTEEはPETsの一つとして整理されています。こうした国際的な整理を踏まえると、TEEを活用したコンフィデンシャルコンピューティングもリスクに応じて選択されうる保護措置としてのPETsに含まれうると筆者は考えます。

第二に、PETsは義務的な措置ではなく、リスクに応じて管理者が選択する例示の一つとして位置づけられている点です。保護措置の選定はリスク分析を起点とし、研究の性質や方法に応じて必要な措置を採用するという建付けであり、特定技術の採用が一律に求められているわけではありません。

日本の個人情報保護法との接点

本稿の冒頭でも記述したとおり、日本では、先日、改正個人情報保護法案が可決・成立しました。

注目すべきは、衆議院の審議において付された附帯決議です。附帯決議第六項では以下のようにPETsが明記されています（※5）。

「六プライバシー強化技術（ＰＥＴｓ）の活用に当たっては、我が国の産業競争力の向上にも資する観点から、適切なインセンティブの在り方について検討すること。」

附帯決議に法的拘束力はありませんが、衆議院の委員会が政府に対し、PETsの活用に当たっての適切なインセンティブの在り方を検討するよう求めたものです。当該内容を踏まえ、今後、政府の対応に注目が集まります。

EUでは、科学研究目的の保護措置（GDPR第89条(1)）という特定の条文の解釈としてPETsが位置づけられたのに対し、日本では、附帯決議でPETsの活用への言及はあるものの個人情報保護法のどの条文との関係でPETsが位置づけられるのかは、現時点では明らかになっていません。もっとも、個人データ保護の一般法（GDPR・個人情報保護法）の下で、個人の権利利益を守るための保護措置としてPETsが注目されているという点では共通しています。そのため、PETsを明記した本ガイドラインは、日本の個人情報保護法におけるPETsの位置づけを検討するにあたり、参照されうる素材の一つと考えます。

おわりに

本稿では、EDPBが採択した「科学研究目的のための個人データの取扱いに関するガイドライン1/2026」（草案）を取り上げ、GDPR第89条(1)の「適切な保護措置」の具体例としてPETsが明記された点についてご紹介しました。

現時点で草案とはいえ、GDPRの条文上は「仮名化」までしか言及されていなかった保護措置に「準同型暗号」や「合成データ」といった具体的な技術名を伴って「PETs」という言葉がガイドラインで書き込まれたことは、PETsがデータ保護の実務において果たす役割をEDPBが認めたことの表れといえます。

日本においても、附帯決議においてPETsの活用に向けたインセンティブの検討が求められており、EUと日本の双方で、個人の権利利益を守りながらデータの利活用を進めるための手段としてPETsへの注目が高まっています。

株式会社Acompanyでは、コンフィデンシャルコンピューティングをはじめとした機密データや個人データを安全に守りながらAI活用・データ利活用を進めるためのプロダクト・サービスを提供しています。「PETsを活用してデータ利活用を進めたい」「機密データ等を安全にAI活用に繋げたい」といった課題をお持ちの方は、ぜひお気軽にご相談ください。