「医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律」（このページでは医療情報法と呼びます）は、令和8年の改正法の第3条で改正されます。変わるのは、16歳未満の者の医療情報の扱い、主務大臣の命令の内容、罰則の上限などです。罰則の引き上げは、個人情報保護法の罰則と同じ2027年1月17日に施行されます。
1. 医療情報法とは：誰が対象か
医療情報法は、病院などが持つ医療情報を、国の認定を受けた事業者が匿名加工医療情報や仮名加工医療情報に加工して、研究開発に使えるようにする仕組みを定めた法律です。登場する主な立場は次のとおりです。
- 医療情報取扱事業者: 医療情報を検索できる形で持っている事業者（病院など）。認定事業者に医療情報を提供する側です。
- 認定匿名加工医療情報作成事業者・認定仮名加工医療情報作成事業者: 国の認定を受けて、医療情報から匿名加工医療情報・仮名加工医療情報を作る事業者。
- 認定医療情報等取扱受託事業者: 認定事業者から医療情報などの取扱いの委託を受ける事業者。
病院などが医療情報を認定匿名加工医療情報作成事業者に提供するときは、現行法の第52条が、本人（または遺族）への通知と主務大臣への届出について定めています。通知を受けた本人から提供の停止を求められたときの書面の交付は、第53条第1項に定められています。
2. 16歳未満の者の医療情報（第56条の2の新設）
個人情報保護法の改正で、16歳未満の者の個人情報については、本人への通知などの相手を法定代理人に読み替える仕組みが入ります（こどもの個人情報（16歳未満）、読替表）。医療情報法にも同じ形の規定が新設されます。
医療情報取扱事業者が16歳未満の者の医療情報を取り扱う場合は、第52条第1項・第2項（本人への通知）と第53条第1項（書面の交付）で、通知などの相手が「本人」から「本人の法定代理人」に読み替えられます。
次の3つの場合は、この読替えの対象外です。
- その医療情報が16歳未満の者のものであることを知らないことに、正当な理由がある場合
- 法定代理人が本人の営業を許可していて、その営業に関して医療情報を取得したとき
- 本人に法定代理人がいない場合、またはいないと信ずるに足りる相当な理由がある場合
この3つの例外は、番号法で新設される16歳未満の規定と同じ形です。
3. 個人情報保護法の新しい規定との関係
個人情報保護法の改正で、顔の特徴などを変換した「特定生体個人情報」について、利用目的などの通知（新設の第21条の2）と、利用停止・第三者提供の停止の請求（第35条第7項〜第10項）が加わります（顔特徴データ等とは）。
改正法の第3条は、医療情報法の3か所（第19条第3項、第35条第5項、第46条）に、上の2つの規定との関係を書き込みます。まず第46条の新しい第3項では、認定医療情報等取扱受託事業者が、その事業に関して管理する医療情報を取り扱う場合には、個人情報保護法の第21条の2と第35条第7項〜第10項を適用しないと明記されます。第19条第3項と第35条第5項には、認定匿名加工医療情報作成事業者・認定仮名加工医療情報作成事業者が管理する医療情報を取り扱う場合について、同じ2つの規定の扱いを定める文言が加わります。どちらの扱いになるかは、現行の条文との重ね合わせが必要なため、このページでは確認していません。
4. 主務大臣の命令（第61条）
第61条は、主務大臣が、医療情報法の規定に違反した事業者に是正のための命令を出せると定めています。現行の見出しは「是正命令」で、命令の内容は「当該違反を是正するため必要な措置」でした。
改正で、見出しは「命令」に変わります。命令の内容には、違反を是正するための措置に加えて、違反に係る事実を本人に通知することや公表すること、その他個人の権利利益を保護するために必要な措置が含まれるようになります（改正法はこれらをまとめて「是正措置等」と呼びます）。個人情報保護法の命令の見直しと同じ方向です（勧告・命令等の実効性確保）。
第61条第8項は、医療情報取扱事業者が第52条・第53条の規定に違反した場合に命令を出せると定めています。改正後は、第56条の2で読み替えて適用される第52条・第53条の違反も、この命令の対象に含まれます。
5. 罰則の引き上げ（第68条・第69条）
| 条 | 対象の行為 | 現行 | 改正後 |
|---|---|---|---|
| 第68条 | 認定匿名加工医療情報作成事業者・認定仮名加工医療情報作成事業者・認定医療情報等取扱受託事業者の役員・従業者（であった者を含む）が、正当な理由なく、業務で取り扱った個人の秘密に属する事項が記録された医療情報データベース等を提供したとき | 2年以下の拘禁刑もしくは100万円以下の罰金（併科あり） | 3年以下の拘禁刑もしくは150万円以下の罰金（改正法の「二年」を「三年」、「百万円」を「百五十万円」に改める規定から） |
| 第69条 | 認定匿名加工医療情報作成事業者の役員・従業者（であった者を含む）が、業務で知り得た匿名加工医療情報等を、自己もしくは第三者の不正な利益を図る目的で提供または盗用したとき | 1年以下の拘禁刑もしくは100万円以下の罰金（併科あり） | 目的に「本人その他の者に損害を加える目的」が加わり、拘禁刑の上限が2年以下に（罰金は100万円以下のまま） |
第68条・第69条の改正規定は、公布の日から6か月を経過した日（2027年1月17日）に施行されます。個人情報保護法の罰則の改正（2027年1月施行の罰則）と同じ日です。
立場別に関係する改正点の早見表
このページの内容を、立場ごとに読み分けるための表です。自社がどの立場にあたるかは、医療情報法の認定を受けているか、医療情報を誰に提供・委託しているかで変わります。
| 立場 | 関係する改正条 | 確認する点 | 施行 |
|---|---|---|---|
| 医療情報取扱事業者（病院など） | 第56条の2（新設）、第52条第1項・第2項、第53条第1項、第61条第8項 | 16歳未満の者の医療情報を認定事業者に提供するとき、本人への通知と書面の交付の相手が法定代理人になるか。3つの例外（この記事の2）にあたるか。第52条・第53条の違反が命令の対象になること | 政令で定める日（未確定） |
| 認定匿名加工医療情報作成事業者・認定仮名加工医療情報作成事業者 | 第19条第3項、第35条第5項、第61条、第68条、第69条（匿名加工のみ） | 管理する医療情報について、個人情報保護法の新しい規定（第21条の2、第35条第7項〜第10項）をどう扱うかの文言が加わること（細部は未確認）。命令の内容の拡大。役員・従業者に対する罰則の引き上げ | 罰則は2027年1月17日、ほかは政令で定める日（未確定） |
| 認定医療情報等取扱受託事業者（委託先） | 第46条第3項（新設）、第68条 | その事業に関して管理する医療情報には、個人情報保護法の第21条の2と第35条第7項〜第10項を適用しないと明記されること。役員・従業者に対する第68条の罰則の引き上げ | 罰則は2027年1月17日、ほかは政令で定める日（未確定） |
この表に書いていない組み合わせ（たとえば、認定事業者が同時に医療情報取扱事業者でもある場合）は、条文の重ね合わせが必要です。個別の判断は、顧問弁護士または個人情報保護委員会にご確認ください。
6. 施行時期
罰則（第68条・第69条）以外の改正は、公布の日から2年を超えない範囲内で政令で定める日に施行されます。施行日はまだ決まっていません。個人情報保護法の施行日とあわせて、決定タイムラインで追います。
7. よくある質問
Q1. 医療情報法の改正は、いつから施行されますか。
罰則（第68条・第69条）の引き上げは、公布の日から6か月を経過した2027年1月17日に施行されます。それ以外の改正は、公布の日から2年を超えない範囲内で政令が定める日に施行され、施行日はまだ決まっていません（確認日 2026-10-03）。
Q2. 16歳未満の者の医療情報は、誰に通知することになりますか。
新設される第56条の2により、第52条第1項・第2項（本人への通知）と第53条第1項（書面の交付）の相手が、本人から本人の法定代理人に読み替えられます。ただし、16歳未満の者の医療情報であることを知らないことに正当な理由がある場合など、3つの例外があります（この記事の2）。
Q3. 主務大臣の命令では、何が求められるようになりますか。
第61条の命令の内容に、違反を是正するための措置のほか、違反に係る事実の本人への通知や公表など、個人の権利利益を保護するために必要な措置が含まれるようになります。個別の事業者に義務が及ぶかどうかの判断は、顧問弁護士または個人情報保護委員会にご確認ください。
出典
- S-45個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」（法律本文・PDF）の第3条（確認日 2026-10-03）
- S-45e-Gov法令検索「医療分野の研究開発に資するための匿名加工医療情報及び仮名加工医療情報に関する法律」の第52条・第53条・第61条・第68条・第69条（確認日 2026-10-03）