日本PPC公布修订法配套规则第二轮草案：AI训练可免同意使用公开敏感信息，但须在可爬取网页逐一公示

日本个人信息保护委员会（PPC）事务局于2026年10月1日发布了一份标注为"草案"的53页文件，就《部分修改个人信息保护法之法律》（2026年第56号法律）授权监管机构制定的政令与委员会规则，提出第二轮"基本思路"。此前PPC第369次委员会（9月16日）已确定"基本思路①"，涉及未满16岁儿童须法定代理人同意、人脸特征数据纳入特定生体信息等；本次为同一系列的第二批，涵盖统计作成例外、受托处理者规则与泄露报告三项议题。

统计作成例外是本轮最受关注的部分，因为它明确延伸至AI开发。根据现行法，取得"要配虑个人信息"（涉及信条、病历、犯罪记录等可能引发歧视的数据）须依第20条第2款取得本人同意；向第三方提供个人数据须依第27条第1款取得同意。修正法新设两条路径：第30-2条第1款允许企业不经同意取得当前已公开的敏感信息，条件是仅用于统计作成；草案中的示意图将信息来源标注为"通过网络爬取等方式取得"。第30-2条第5款与第31-3条第1款则允许企业在同一条件下不经同意向第三方提供数据，不受第18条目的限制与第27条第1款同意要求的约束。

公示机制的设计颇为特殊。草案建议企业在其自身网站上按四项条件发布信息：所有项目位于单一网页、不采取防爬取措施、使用特定关键词以便通过搜索被发现、网页保留足够长时间以供公众注意。草案进一步提出五组公示项目，其中包括双方地址与代表人、数据项目、拟进行的统计作成内容、保存期限、投诉联系方式以及接收方自身页面的URL。这一安排意味着，透明度义务的履行方式不是逐一通知个人，而是"可被搜索发现"。

在例外适用的保障措施方面，草案提出三组要求：防止超出统计作成所需的利用或再提供；防止泄露，包括防止从统计结果或模型中还原（restoration）源数据；以及及时删除不再需要的数据。提供方与接收方须以书面形式约定该转移仅用于统计作成，实质性的公示内容变更只有在双方提前公示后才可进行。草案还特别提出一项拟排除的做法：利用通过例外取得的数据中所含描述去接触相关个人并获取其反应，此种行为将回落到通常的同意规则之下。

关于泄露报告，草案引用的委员会中期审查数据显示，单一个人事件占报告总数的84.0%（10184件），影响1000人及以下的事件占96.0%（11635件）。针对单人事件，若企业的系统与流程经认定的个人信息保护组织检查，可按期间合并提交最终报告，并在一定范围内免于提交初步报告。草案明确排除了全面豁免，原因是部分事件仍需委员会迅速发出警告或决定是否调查。草案还列出统计作成例外相关7个、合同相关3个、泄露报告相关6个共16个待决问题，尚未确定规则生效日期。