【用語集】個人情報の利用目的とは何ですか？

みなさま、こんにちは。有限会社マイカのライター「秋葉けんた」です。毎日インターネットに接している子どもたちに、情報セキュリティについてきちんと教えていかなくちゃ…と思っている今日この頃です。

さて今回の「分かりやすいセキュリティ用語集」は「個人情報の利用目的」です。

【個人情報の利用目的】

個人情報保護法では、個人情報の利用目的について、次のように規定しています。

「個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的をできる限り特定しなければならない」（第15条）

個人情報取扱事業者にとってみれば、取得した個人情報をできるだけ幅広く使いたいというのが本音でしょう。しかし個人情報保護法では、「その利用の目的をできる限り特定しなければならない」と明言しています。

例えば、取得した個人情報の使い道に幅を持たせるため、利用目的を「事業活動に用いるため」、「お客様のサービス向上のため」、「マーケティング活動に用いるため」など漠然と指定していたとすると、取得された個人情報が実際にどのように使われるのかが明確ではありません。アフターサービスに使ってくれるかもしれないし、新商品情報のお知らせが送られてくる可能性もあります。

また、名簿として販売されるケースもあるかもしれません。その結果として、本人の意思に反して個人情報が使われてしまうこともあり得ます。これでは、個人情報が保護されている状況とは言い難いですね。このような事態を避けるために、個人情報保護法では「その利用の目的をできる限り特定しなければならない」と明言しているのです。

それでは、どうすれば個人情報の利用目的を「できる限り特定」できるのでしょうか。これについては、取得した個人情報を「何の事業」で、「何に使うのか」を具体的に説明していくしかないでしょう。例えば、「○○事業における商品の発送、新商品情報のお知らせ、関連するアフターサービスのために利用します」や「ご記入いただいた氏名、住所、電話番号は、名簿として販売することがあります」のように、誰が見ても誤解がないように具体的な説明をすればいいのです。

なお、個人情報の利用目的を変更する場合は、個人情報保護法では再度変更された利用目的を通知して同意を取ることが必要とされています。ただし「変更前の利用目的と相当の関連性を有すると合理的に認められる範囲」であれば変更できるとなっています。

例えば「当社の行う○○事業における商品・サービス情報のお知らせ」という利用目的に対して、「当社の新商品・新サービスに関する情報のお知らせ」を追加するというようなケースでは、本人の同意を得ることなく個人情報の利用目的を変更することができます。

ポイント
・個人情報の利用目的は具体的に
・個人情報の利用目的の変更は、関連性がある場合に限られる

著：秋葉けんた（編集プロダクション「マイカ」に所属するIT専門のライター。オプティマ・ソリューションズのコンサルティングを受けて、自社内の個人情報保護体制を構築し、維持運用している。その中で「セキュリティの専門用語」を理解するのに困難を感じ、同じ課題を持つ方々への情報共有をしたいと考えて、この分かりやすい用語集を執筆している）
監修：中康二（オプティマ・ソリューションズ株式会社）

※イラストは「いらすとや」さんから頂きました。