海外のクラウド事業者や海外の関連会社へ個人データを渡している事業者向けの整理です。外国にある第三者への提供には、本人の同意が必要です（法第28条第1項）。この規定が令和8年改正で変わるのかを、委員会が公表した新旧対照表で確かめました。結論は、第28条の中身は変わらず、まわりの規定が変わる、です。
1. 第28条そのものは変わるか
第28条第1項は、個人情報取扱事業者が外国にある第三者へ個人データを提供するとき、前条（第27条）第1項各号の場合を除き、あらかじめ「外国にある第三者への提供を認める旨の本人の同意」を得るよう求めています。次の2つは、この規定の対象から外れます。
- 個人の権利利益を保護する上で日本と同等の水準にあると認められる制度を持つ国として、個人情報保護委員会規則で定める外国
- 日本の事業者が講ずべき措置に相当する措置（相当措置）を続けるために必要な体制を整えている第三者（規則で定める基準に適合する体制を整備している者）
新旧対照表で第28条第1項の改正前（現行）と改正後を並べると、この要件の書き方は同じで、変わるのは「以下同じ」と定義の効く範囲を示す言葉（3か所）だけです。
| 場所 | 現行 | 改正後 |
|---|---|---|
| 「外国」の定義 | 以下この条及び第三十一条第一項第二号において同じ | 以下同じ |
| 同等水準国を除いた「外国」の定義 | 以下この条及び同号において同じ | 以下この節において同じ |
| 相当措置の体制を整えた第三者を除く括弧書き | 以下この項及び次項並びに同号において同じ | 以下この項及び次項並びに第三十一条第一項第二号において同じ |
第28条第2項と第3項は、対照表上どちらも「（略）」で、改正の対象になっていません。第2項は、同意を得ようとするときに、外国の制度や提供先の措置など、本人の参考になる情報をあらかじめ提供する規定です（現行法の条文で確認）。第3項は、相当措置の体制を整えた外国の第三者へ提供した場合に、相当措置を続けるための措置を講じ、本人の求めに応じてその措置の情報を提供する規定です（同）。どちらも今回の改正では書き換えられませんが、次の2・3で見るように、適用のされ方は変わります。
2. 16歳未満の個人データを外国へ渡すとき
新設される第40条の2は、16歳未満の者の個人情報を取り扱う場合に、同意などの相手を「本人」から「本人の法定代理人」に読み替える規定です。本人の同意を求める第28条（外国にある第三者への提供）も、この読み替えの対象です。
- 第28条第1項と第2項: 外国にある第三者への提供を認める同意と、同意を得るときの参考情報の提供先は、本人の法定代理人になります。
- 第28条第3項: 提供後の措置に関する情報の提供は、「本人」が「本人又はその法定代理人」に読み替えられます。第3項だけ別の読替えになっています。
次の3つの場合は、読み替えは行われません。1つ目は、事業者が、その個人情報が16歳未満の者のものであることを知らないことに正当な理由がある場合。2つ目は、法定代理人が本人の営業を許可していて、その営業に関して個人情報を取得した場合。3つ目は、本人に法定代理人がない場合、または、ないと信ずるに足りる相当な理由がある場合です。読み替える条文の全体は16歳未満の読替表にまとめています。
3. 統計作成等の特例で外国の相手に渡すとき
統計作成等の特例（新設の第30条の2）では、同意なしで個人情報を第三者へ提供できる場合があります。その提供先が外国にある第三者のとき、条文は相当措置を続ける体制を整えた第三者（条文上の呼び名は「基準適合体制を整備している」者）に限っています。
- 第30条の2第13項: 基準適合体制を整備している外国の第三者へ提供した事業者は、規則に従って相当措置の継続を確保するために必要な措置を講じ、その措置に関する情報を公表しなければなりません。この場合、第28条第3項は適用されません。
- 第30条の2第10項: 統計作成等用要配慮個人情報等または提供統計作成等用個人情報等である個人データは、第27条第1項・第2項と第28条第1項にかかわらず、決められた場合を除いて第三者に提供してはなりません。
4. 仮名加工情報の第三者提供との関係
仮名加工情報の第41条第6項は、仮名加工情報である個人データを、法令に基づく場合を除いて、第三者に提供してはならないと定めています。この禁止は、第27条第1項・第2項や第28条第1項の例外規定があっても適用されます。禁止の本文は現行と改正後で同じです（後段の読替えの書き方は変わります）。詳しくは仮名加工情報の令和8年改正で整理しています。
5. いつから
改正法の施行期日は、原則として公布の日から起算して2年を超えない範囲内と、概要資料に書かれています。実際の日付は政令で指定されます。16歳未満の読替え（第40条の2）と統計作成等の特例（第30条の2）に個別の施行日があるかは、概要資料からは確認できていません。決まり次第、決定タイムラインに追記します。
6. 自社が該当するかを考える順序
- 個人データを渡している相手のうち、外国にある第三者（海外のクラウド、海外の関連会社、海外の委託先など）を洗い出す。
- それぞれの提供について、現在どの方法（本人の同意、日本と同等水準の国、相当措置の体制）で第28条を満たしているかを確認する。この確認は今回の改正前から必要で、改正後も変わりません。
- 16歳未満の本人の個人データを外国へ渡している場合は、同意を得る相手が法定代理人になるかを、第40条の2の例外とあわせて確認する。
- 統計作成等の目的で外国の相手へ提供する予定がある場合は、規則で基準適合体制の中身が示されてから見直す。
洗い出した相手を、利用の形ごとに「どの条文を見るか」「社内で何を見るか」「顧問弁護士や委員会に聞く点」へ分けると、次のようになります。いずれも現行法の整理で、今回の改正で書き換えられた部分ではありません。
| 場面 | 確認する条文・資料 | 社内で見るもの | 顧問弁護士・委員会に聞く点 |
|---|---|---|---|
| 海外のクラウドにデータを置いている | 第28条第1項。委員会のQ&A（Q12-3）は、外国の事業者が運営するサーバでも、その事業者が保存された個人データを取り扱わないこととなっている場合は、外国にある第三者への提供に当たらないとしています。取り扱わないこととなっている場合の例として、契約条項で取り扱わない旨が定められ、適切にアクセス制御を行っている場合等が挙げられています（Q7-53参照） | クラウド事業者との契約条項に、保存データを取り扱わない旨があるか。アクセス制御の設定 | 自社の契約とアクセス制御が「取り扱わないこととなっている場合」に当たるか。当たらない場合に、どの方法（同意・同等水準国・相当措置の体制）で第28条を満たすか |
| 海外の関連会社・外国支店へ従業員や顧客の情報を渡している | 第28条第1項。委員会のQ&A（Q12-9）は、他の日本法人の外国支店へ直接提供する場合、外国にある第三者への提供に該当し得ると述べています（個別の事案ごとに判断） | 渡している情報の種類、提供先の法人格と所在国、グループ内の規程や契約 | 提供先が第28条の「外国にある第三者」に当たるか。同意を得るなら、第28条第2項で求められる参考情報（外国の制度など）の出し方 |
| 海外の事業者に取扱いを委託している | 第28条第1項。委員会のQ&A（Q12-1）は、外国にある第三者に取扱いを委託する場合も、本人の同意、同等水準国、相当措置の体制のいずれかに当たらなければ、同意が必要と述べています | 委託契約の内容、委託先の所在国、再委託の有無 | 委託先が相当措置の体制の基準に適合しているといえるか。同意を得る場合の方法 |
表は確認の順序を示すもので、自社がどれに当たるかや、同意が要るかどうかの結論は示していません。個別の判断は、顧問弁護士または個人情報保護委員会にご確認ください。
7. よくある質問
Q1. 令和8年改正で、海外への提供の同意は不要になりますか。
第28条第1項の同意の要件は、新旧対照表を見る限り変わっていません。対照表で変わっているのは、定義の効く範囲を示す言葉だけです。
Q2. 外国にある第三者への提供の規定は、今回の改正で厳しくなりますか。
第28条の本文は変わりません。厳しくなりうるのは、16歳未満の本人が絡む場合の同意の相手（法定代理人）と、統計作成等の特例で外国へ渡す場合に加わる条件です。どちらも対象の場面は限られます。
Q3. 自社の海外提供が第28条の規制に当たるか、このページで判断できますか。
できません。ここに書いたのは条文の新旧の整理です。個別の提供が規制に当たるかは、顧問弁護士または個人情報保護委員会にご確認ください。
Q4. 16歳未満の本人の個人データを外国にある第三者へ渡す場合、同意は誰から取りますか。
新設される第40条の2により、第28条第1項と第2項の同意などの相手は、本人の法定代理人になります。第3項の提供後の措置に関する情報の提供は、「本人又はその法定代理人」に読み替えられます。ただし、その個人情報が16歳未満の者のものであることを知らないことに正当な理由がある場合など、読み替えが行われない場合があります。（この記事の2・16歳未満の読替表）
Q5. 外国にある第三者への提供に関する改正は、いつから適用されますか。
改正法の施行期日は、原則として公布の日から起算して2年を超えない範囲内で、実際の日付は政令で指定されます。16歳未満の読替え（第40条の2）と統計作成等の特例（第30条の2）に個別の施行日があるかは、概要資料からは確認できておらず、未確定として扱っています。（この記事の5・決定タイムライン）
出典
- S-61個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律 新旧対照条文」（PDF・2026年7月17日） 第28条・第30条の2・第40条の2・第41条（確認日 2026-10-09）
- S-123個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A Q12-1・Q12-3・Q12-9（確認日 2026-10-19）。条文は e-Gov法令検索 現行の第28条（確認日 2026-10-19）
- S-20個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF）（確認日 2026-09-05）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）