【用語集】個人情報の利用目的とは何ですか？

みなさま、こんにちは。今回の「分かりやすいセキュリティ用語集」は「個人情報の利用目的」です。

どんな情報が「個人情報」になるの？

個人情報保護法において「個人情報」とは、生存する個人に関する情報で、氏名、生年月日、住所、顔写真などにより特定の個人を識別できる情報をいいます。多くの情報は単独では個人を特定できませんが、他の情報と組み合わせることで特定の誰かを識別できる可能性が高まります。このため、個人情報保護法では、個人を識別できる情報を広く保護することが求められます。

厳密には個人情報保護法第2条に記載があり

❝第2条
この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。

一当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（❝電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。第十八条第二項において同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）

二個人識別符号が含まれるもの
個人情報の保護に関する法律より

詳しくはこちらの記事で解説しています。

個人情報の利用目的

個人情報保護法では、個人情報の利用目的について、次のように規定しています。

「個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的をできる限り特定しなければならない」（第15条）

個人情報取扱事業者にとってみれば、取得した個人情報をできるだけ幅広く使いたいというのが本音でしょう。しかし個人情報保護法では、「その利用の目的をできる限り特定しなければならない」と明言しています。

例えば、取得した個人情報の使い道に幅を持たせるため、利用目的を「事業活動に用いるため」、「お客様のサービス向上のため」、「マーケティング活動に用いるため」など漠然と指定していたとすると、取得された個人情報が実際にどのように使われるのかが明確ではありません。アフターサービスに使ってくれるかもしれないし、新商品情報のお知らせが送られてくる可能性もあります。

また、名簿として販売されるケースもあるかもしれません。その結果として、本人の意思に反して個人情報が使われてしまうこともあり得ます。これでは、個人情報が保護されている状況とは言い難いですね。このような事態を避けるために、個人情報保護法では「その利用の目的をできる限り特定しなければならない」と明言しているのです。

それでは、どうすれば個人情報の利用目的を「できる限り特定」できるのでしょうか。これについては、取得した個人情報を「何の事業」で、「何に使うのか」を具体的に説明していくしかないでしょう。例えば、「○○事業における商品の発送、新商品情報のお知らせ、関連するアフターサービスのために利用します」や「ご記入いただいた氏名、住所、電話番号は、名簿として販売することがあります」のように、誰が見ても誤解がないように具体的な説明をすればいいのです。

なお、個人情報の利用目的を変更する場合は、個人情報保護法では再度変更された利用目的を通知して同意を取ることが必要とされています。ただし「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲」であれば変更できるとなっています。

例えば「当社の行う○○事業における商品・サービス情報のお知らせ」という利用目的に対して、「当社の新商品・新サービスに関する情報のお知らせ」を追加するというようなケースでは、本人の同意を得ることなく個人情報の利用目的を変更することができます。

ポイント
・個人情報の利用目的は具体的に
・個人情報の利用目的の変更は、関連性がある場合に限られる

監修：中康二（オプティマ・ソリューションズ株式会社）

個人情報の目的外利用とは

個人情報は、あらかじめ定められた目的の範囲内でのみ利用が認められており、当初の利用目的とは異なる目的で使用することは原則として禁止されています。
本人が情報を提供する前に公表または通知された利用目的に沿った範囲であれば利用は可能ですが、それを超える目的で使用する場合には法律上の制限がかかります。

個人情報保護法第16条では、「個人情報取扱事業者は、利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合、事前に本人の同意を得なければならない」と規定されています。つまり、目的外の利用を行う場合には、明確な形で本人から同意を得る必要があるということです。なお、利用目的そのものを変更することも可能ですが、変更が無制限に認められているわけではありません。変更前の目的と合理的に関連性がある範囲内でなければならず、大きく逸脱した変更は許されていません。
また、利用目的を変更した場合には、個人情報を提供した本人に対して、その旨を通知するか、もしくは公表する義務があります。