個人データを取り扱うすべての事業者に関係します。契約の履行のために当然必要な範囲での目的外利用・要配慮個人情報取得・第三者提供について、これまで形式的に必要とされてきた本人同意が不要になる可能性がある改正です。対象は限定的である点も含めて書きます。
1. 現行制度との違い
現行規定では、個人情報の当初の目的外の利用（法第18条第3項）、要配慮個人情報の取得（法第20条第2項）、個人データの第三者提供（法第27条第1項）は、例外規定に該当する場合を除き、本人の同意が必要です。
一次資料は、この一律の同意要件が実務上の負担になっている想定事例を2件挙げています。
- ホテル予約: 予約サイトA（個人情報取扱事業者）が、予約者との利用契約に基づき、予約者の氏名等をホテルB（第三者）へ提供する。
- 海外送金: 送金元金融機関C（個人情報取扱事業者）が、送金先金融機関D（第三者）への支払いの委託に基づき、送金者の情報をDへ提供する。
一次資料は、これらの第三者提供は「契約の履行のために不可欠なものであり、本人の意思に反しないため本人の権利利益を害しないことが明らかといえると考えられる」としつつ、「現行規定では、本人から同意を取得する必要がある」というギャップを指摘しています。
2. 規律の内容
改正では、個人データの第三者提供等（当初の目的外利用、要配慮個人情報の取得を含む）が、当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合について、本人の同意を不要とします。
対象は、目的外利用（法第18条第3項第7号）、要配慮個人情報の取得（法第20条第2項第7号）、第三者提供（法第27条第1項第8号）のそれぞれに新設される例外です。
今回の改正では、同じ3つの条文について別の方向からも例外が広がります。生命等の保護・学術研究例外は既存の例外の要件（同意取得の困難性）を緩める改正で、統計作成等の特例は統計情報等の作成にのみ使う場合の同意を不要にする改正です。自社の取扱いがどの例外に当たりうるかは、3つを並べて確認する必要があります。
① 法律が直接置いているのは、事業者と本人の間の契約について、その履行のために必要やむを得ないことが明らかな場合だけです。規則でこれに、(ア) 事業者と本人以外の第三者との契約で、状況からみて本人の意思に反しないため権利利益を害しないことが明らかなものの履行に必要やむを得ない場合（資料の例示: 本人の家族がホテル予約サイトで本人分も予約し、予約サイトからホテルへ本人の氏名等が提供される場合）、(イ) 事業者と本人の間の契約の締結に先立って本人の要望に応えるために必要やむを得ない場合（資料の例示: 購入前にカード払いを要望し、3-Dセキュアの枠組みでECサイトからカード会社等へ本人のデバイス情報等が提供される場合）を加えてはどうか。
② 上の2つのほかに、規則で加えるべき場合はあるか。
③ 本人が16歳未満の場合も、①と同様でよいか（16歳未満では読替えにより「本人の意思に反しないため」の部分が外れ、「取得の状況からみて本人の権利利益を害しないことが明らか」となります。読替表の一覧）。
あわせて資料は、規則で定められるのは、本人が同意する意思を有し、または同意すべき立場にあり、不測の権利利益の侵害をもたらさないことが自明な場合に限る、という整理を示しています。法律が置く「必要やむを得ない」についても、令和8年4月21日の衆議院本会議で国務大臣が、必要性があり、かつ他の手段によっては契約の目的を達成できない場合に限定する趣旨であり、その旨は委員会がガイドライン等で明確にしていくものと承知している、と答弁しています。したがって、(ア)(イ)や上のホテル予約・海外送金の想定事例が規則にそのまま入るかどうかは確定していません。ガイドライン・Q&Aの基本的な考え方・事例も、まだ示されていません（資料は、ガイドライン等は今後の委員会で順次検討するとしています）。
| 場面 | 現行 | 改正後 | 状態 |
|---|---|---|---|
| 当初の目的外の利用（第18条第3項） | 例外に当たらなければ本人の同意が必要 | 取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな場合は同意不要（第7号を新設） | 法律で確定 |
| 要配慮個人情報の取得（第20条第2項） | 例外に当たらなければ本人の同意が必要 | 同上（第7号を新設） | 法律で確定 |
| 個人データの第三者提供（第27条第1項） | 例外に当たらなければ本人の同意が必要 | 同上（第8号を新設） | 法律で確定 |
| 「明らか」な場合の具体的な範囲 | — | 委員会規則で定める。規則は公布されていない | 未確定 |
| 2026年9月16日の事務局資料の3論点 | — | 検討段階で、決定ではない | 未確定 |
| 施行日 | — | 公布の日から2年を超えない範囲で政令が定める日 | 未確定 |
条文番号は本文の2のとおりです。確認日は出典欄を参照してください。
取引場面ごとの確認点（3つの例外と委託・共同利用の整理）
次の表は、取引の場面ごとに「委員会の資料に例示があるか」と「確認する点」を並べたものです。どの場面が新設の例外に当たるかは、委員会規則で範囲が決まるまで確定しません。表は適法かどうかの判断ではなく、資料の記載と条文を場面に並べた整理です。
| 取引の場面 | 委員会の資料での扱い | 関係しうる例外 | 確認する点 |
|---|---|---|---|
| 宿泊予約サイトから宿泊施設へ予約者の氏名等を渡す | 改正法の概要にある想定事例（ホテル予約） | 第三者提供（第27条第1項第8号） | 予約者との利用契約の履行のために不可欠か。渡す項目が予約の履行に必要な範囲に収まっているか。 |
| 送金元の金融機関から送金先の金融機関へ送金者の情報を渡す | 改正法の概要にある想定事例（海外送金） | 第三者提供（第27条第1項第8号） | 送金先金融機関への支払いの委託に基づく提供か。提供する項目が送金の履行に必要な範囲か。 |
| 家族が本人の分もまとめて宿泊を予約し、本人の氏名等を施設へ渡す | 2026-09-16の事務局資料の論点(ア)の例示。決定ではない | 第三者提供（同上）。規則で加えるかが論点 | 事業者と本人以外の第三者との契約になる点。本人の意思に反しないことが明らかといえるか。規則の公布を待つ。 |
| 購入前にカード払いを要望され、ECサイトからカード会社等へ本人のデバイス情報等を渡す | 同資料の論点(イ)の例示。決定ではない | 第三者提供（同上）。規則で加えるかが論点 | 契約の締結前の要望に応えるための提供である点。必要やむを得ない場合に当たるか。規則の公布を待つ。 |
| 商品の配送のために配送事業者へ届け先の氏名・住所を渡す | 資料に例示は確認できず（未確定） | 新設の例外より先に、委託（第27条第5項第1号）に当たるかを確認する | 利用目的の達成に必要な範囲で取扱いを委託しているか。委託に当たれば第三者に該当せず、新設の例外は使わない。委託先の監督（第25条）も確認する。 |
| 決済代行事業者へカード情報等を渡す | 資料に例示は確認できず（未確定） | 委託（第27条第5項第1号）か、新設の例外かを切り分ける | 決済代行事業者が自社の委託先として動くのか、独立して取り扱うのか。契約書の定めと実際の流れを突き合わせる。 |
| 保険会社が保険金の支払いのため、医療機関や金融機関へ契約者の情報を渡す | 資料に例示は確認できず（未確定） | 第三者提供（第27条第1項）。要配慮個人情報が含まれる場合は取得（第20条第2項第7号）も関係しうる | 渡す情報に病歴など要配慮個人情報が含まれるか。他の既存の例外（法令に基づく場合など）で足りるか。新設の例外が使えるかは規則次第。 |
| グループ会社と顧客情報を共有する | 資料に例示は確認できず。契約の履行に伴う提供とは別の論点 | 共同利用（第27条第5項第3号）の要件を先に確認する | 共同して利用する旨、項目、利用者の範囲、利用目的、管理責任者を本人に通知するか、本人が容易に知り得る状態に置いているか。 |
配送以降の4行は、資料に例示がない場面を、既存の委託・共同利用の条文と並べたものです。委託・共同利用に当たれば、そもそも第三者提供の同意は問題になりません。当たるかどうかの判断は取引の実態によるため、顧問弁護士または個人情報保護委員会にご確認ください。
3. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
4. 自社が該当するかを考える順序
- 自社の業務で、契約の履行に伴い個人データを第三者へ提供している場面（委託ではなく独立した第三者への提供）があるかを洗い出す。一次資料の想定事例（ホテル予約・海外送金）に近い構造かどうかを確認する。
- 現在、この種の提供のためにどのような同意取得を行っているかを整理する。既に個別同意を取得している場合は、この改正で直ちに運用を変える必要はない。
- 要配慮個人情報の取得や目的外利用についても、契約履行に不可欠で本人の予測の範囲内といえる場面があるかを点検する。
- 委員会規則で対象範囲の細目が示された段階で、自社の同意取得プロセスを簡略化できる場面があるかを再点検する。
5. よくある質問
Q1. 契約の履行に伴う第三者提供には、今後は本人の同意が要らなくなりますか。
改正法は、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな場合に、同意を不要とする例外を新設します。ただし、どこまでが「明らか」な場合に当たるかの具体的な範囲は委員会規則で定められ、規則は2026年9月21日の確認時点では公布されていません。一次資料の想定事例（ホテル予約・海外送金）に近い場面でも、規則が出るまでは同意が不要になると断定できません（確認日 2026-09-21）。
Q2. すでに本人から個別に同意を取っている場合、運用を変える必要はありますか。
この改正は例外を新設するもので、同意を取ること自体を禁じるものではありません。すでに個別同意を取得している場合に、この改正で直ちに運用を変える必要は、この記事の4に書いたとおり、ないと整理しています。規則が示された段階で、同意取得を簡略化できる場面があるかを点検します。
Q3. 目的外利用・要配慮個人情報の取得・第三者提供は、すべて同じ例外になりますか。
対象は3つの条文それぞれに新設される例外です（法第18条第3項第7号、第20条第2項第7号、第27条第1項第8号）。ただし、16歳未満の本人については読替えにより「本人の意思に反しないため」の部分が外れ、「取得の状況からみて本人の権利利益を害しないことが明らか」となります。読替えの一覧は読替表にあります。
出典
- S-23個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第1の2(1)「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱い」（確認日 2026-09-05）
- S-23個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF）（確認日 2026-09-05）
- S-30個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について①」（PDF・2026年9月16日） 1-①「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな取扱い」の論点と方向性（確認日 2026-09-21）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）