個人データを取り扱うすべての事業者に関係します。契約の履行のために当然必要な範囲での目的外利用・要配慮個人情報取得・第三者提供について、これまで形式的に必要とされてきた本人同意が不要になる可能性がある改正です。対象は限定的である点も含めて書きます。
1. 現行制度との違い
現行規定では、個人情報の当初の目的外の利用（法第18条第3項）、要配慮個人情報の取得（法第20条第2項）、個人データの第三者提供（法第27条第1項）は、例外規定に該当する場合を除き、本人の同意が必要です。
一次資料は、この一律の同意要件が実務上の負担になっている想定事例を2件挙げています。
- ホテル予約: 予約サイトA（個人情報取扱事業者）が、予約者との利用契約に基づき、予約者の氏名等をホテルB（第三者）へ提供する。
- 海外送金: 送金元金融機関C（個人情報取扱事業者）が、送金先金融機関D（第三者）への支払いの委託に基づき、送金者の情報をDへ提供する。
一次資料は、これらの第三者提供は「契約の履行のために不可欠なものであり、本人の意思に反しないため本人の権利利益を害しないことが明らかといえると考えられる」としつつ、「現行規定では、本人から同意を取得する必要がある」というギャップを指摘しています。
2. 規律の内容
改正では、個人データの第三者提供等（当初の目的外利用、要配慮個人情報の取得を含む）が、当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合について、本人の同意を不要とします。
対象は、目的外利用（法第18条第3項第7号）、要配慮個人情報の取得（法第20条第2項第7号）、第三者提供（法第27条第1項第8号）のそれぞれに新設される例外です。
まだ決まっていないこと「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合」の具体的な対象範囲は、委員会規則等で定めるとされています。一次資料が挙げるホテル予約・海外送金はあくまで想定事例で、それ以外にどこまでの取扱いがこの例外に含まれるかは規則が出るまで確定しません。ガイドライン・Q&Aでも基本的な考え方・事例が示される見込みです。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。上限は2028年7月16日で、実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
個別の判断はできませんが、確認の順序は示せます。
- 自社の業務で、契約の履行に伴い個人データを第三者へ提供している場面（委託ではなく独立した第三者への提供）があるかを洗い出す。一次資料の想定事例（ホテル予約・海外送金）に近い構造かどうかを確認する。
- 現在、この種の提供のためにどのような同意取得を行っているかを整理する。既に個別同意を取得している場合は、この改正で直ちに運用を変える必要はない。
- 要配慮個人情報の取得や目的外利用についても、契約履行に不可欠で本人の予測の範囲内といえる場面があるかを点検する。
- 委員会規則で対象範囲の細目が示された段階で、自社の同意取得プロセスを簡略化できる場面があるかを再点検する。
この記事の位置づけここに書いたのは、個人情報保護委員会が公表した資料の整理であり、個別の事案についての法的な助言ではありません。自社の取扱いが規律の対象に当たるかの最終的な判断は、顧問弁護士または個人情報保護委員会にご確認ください。委員会規則が公布されるまで、上の「まだ決まっていないこと」は確定しません。
出典
- S-23個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第1の2(1)「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱い」（確認日 2026-09-05）
- S-23個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF）（確認日 2026-09-05）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）