利用目的の特定・通知・公表｜プライバシーポリシーの前に押さえる基本

第1話で個人情報保護法の全体像を、第2話で基本用語を、第3話で自社が個人情報取扱事業者に当たるかを確認しました。第4話では、いよいよ個人情報を実際に取得・利用するときの土台となる利用目的の考え方に入ります。全体像を振り返りたい方は第1話：個人情報保護法とは？もご覧ください。

まず結論｜利用目的は「広く書けばよい」ものではない

先に結論をお伝えします。利用目的は、広く書けば書くほど安全、というものではありません。個人情報保護法では、利用目的を「できる限り特定」することが求められています（法第17条第1項）。これは、本人が「自分の情報が何にどう使われるか」を一般的・合理的に予測できる程度に具体化するという意味です。

たとえば「当社業務のため」「サービス向上のため」とだけ書いても、場面によっては不十分とされることがあります。一方で、過度に細かく書きすぎると、運用が追いつかなくなったり、実態とずれたりします。実務では、「具体性」と「運用可能性」のバランスが大切です。

利用目的の特定とは｜「本人が予測できる程度」が基準

個人情報取扱事業者は、個人情報を取り扱うにあたり、その利用目的をできる限り特定しなければなりません（法第17条第1項）。ここでいう「できる限り特定」とは、会社側が何となく分かっている、という意味ではありません。

個人情報保護委員会のQ&Aでは、「できる限り」特定するとは、事業者が利用目的について明確な認識を持つことができ、かつ本人が、自分の個人情報がどのような事業に使われ、どのような目的で利用されるのかを一般的かつ合理的に予測・想定できる程度に特定することと説明されています。たとえば「医療保険事務に関すること」とだけ書くのでは足りない、とも示されています。

どの場面でどんな個人情報を取得するかという入口の論点は、第5話：個人情報を取得するときの注意点で扱います。利用目的の特定は、その取得場面とセットで考えると整理しやすくなります。

利用目的の通知・公表とは｜「通知」と「公表」の違い

個人情報を取得した場合は、あらかじめ利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、または公表する必要があります（法第21条第1項）。ここで初心者がつまずきやすいのが、「通知」と「公表」の違いです。

• 通知：本人に直接知らせること。申込完了メール、書面の交付、個別の案内、採用応募時の案内などが典型例です。
• 公表：広く一般に知らせること。個人情報保護委員会のQ&Aでは、不特定多数の人が知ることができるように発表することと説明されています。プライバシーポリシーの掲載、Webサイト上の掲示、店頭掲示などが典型例です。

つまり、「通知」は特定の本人に向けて、「公表」は広く一般に向けてという違いがあります。どちらか一方で足りる場面もあれば、取得場面に応じて見せ方を工夫すべき場面もあります。

本人から直接書面等で取得する場合の「明示」

申込書、Webフォーム、契約書、アンケート、採用応募フォームなど、本人から直接、書面等によって個人情報を取得する場合には、原則として、あらかじめ利用目的を本人に明示することが求められます（法第21条第2項）。これは、前章の「通知・公表」より一歩進んだ、取得場面での見せ方の問題です。

Webフォームの場合、利用目的やプライバシーポリシーへのリンクを入力画面の近くに配置し、本人が送信前に確認しやすい設計にすることが実務上重要です。フォームの一番下に小さく書いてあるだけ、リンクが見つけにくい、といった状態は望ましくありません。

利用目的の書き方｜悪い例・よい例の比較

実務でよく見かける曖昧な利用目的と、改善した例を比較します。ポイントは、本人が「何に使われるか」を読んでイメージできるかです。

ただし、これらはあくまで一例です。実際の文言は、事業内容・取得経路・実際の利用実態に合わせて調整が必要です。テンプレートをそのまま流用するのではなく、自社が本当にその目的で使っているかを確認してから整えましょう。

利用目的を変更したい場合の注意点

取得時に特定した利用目的と異なる使い方をしたくなる場面は、実務でよくあります。しかし、ここで注意が必要です。あらかじめ本人の同意を得ずに、特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱うことは、原則としてできません（法第18条第1項）。これがいわゆる目的外利用の問題です。

利用目的そのものを変更したい場合も、無制限ではありません。利用目的の変更は、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行うことはできないとされています（法第17条第2項）。そして、変更した場合は、変更後の利用目的を本人に通知し、または公表する必要があります（法第21条第3項）。

目的外利用の詳しい考え方は、第6話：目的外利用とは何かで扱います。本記事では「利用目的を変えるときは慎重な確認が必要」という入口を押さえておけば十分です。

プライバシーポリシーとの関係｜「置けば終わり」ではない

利用目的を公表する代表的な方法が、プライバシーポリシーです。多くの企業は、プライバシーポリシーに利用目的をまとめて掲載することで「公表」を行っています。

ただし、ここで強調したいのは、プライバシーポリシーは「置けば終わり」ではないということです。掲載した利用目的が、実際の取得・利用の実態と一致していなければ意味がありません。記載と運用の乖離は、個人情報管理における代表的なリスクです。新しい施策で利用目的が増えたのにポリシーが古いまま、といった状態にならないよう、定期的な点検が必要です。

プライバシーポリシーの具体的なテンプレートや、改正対応で何を変えるべきかは、本記事では繰り返しません。詳しくはプライバシーポリシー改定テンプレ（ひな形）、および個人情報保護法改正でプライバシーポリシーの何を変える？をご覧ください。

企業法務担当者が事業部門に確認すべき質問

新しいフォーム、キャンペーン、採用施策、営業リスト作成、SaaS導入などの相談を受けたとき、法務がまず確認したいのは「何のために取得し、何に使うのか」です。次のような質問で、利用目的まわりの論点を一通り洗い出せます。

場面別｜利用目的の確認ポイント

利用目的の整理は、取得場面ごとに考えると実務に落とし込みやすくなります。代表的な場面について、利用目的の例・表示方法・注意点を整理します。

生成AIの業務利用については、入力してよい情報の範囲や委託・提供の整理など、別途検討すべき論点があります。詳しくは法務でChatGPTはどこまで使える？をご覧ください。

よくある誤解と正しい理解

利用目的をめぐる代表的な誤解を整理します。いずれも実務で見られるものです。

利用目的整理の社内管理方法｜台帳に落とし込む

利用目的は、プライバシーポリシーに書くだけでなく、社内の情報管理台帳（個人情報取扱台帳）にも反映しておくと管理しやすくなります。台帳にまとめておけば、新しい施策のときに「既存の利用目的に含まれるか」をすぐ確認でき、ポリシーとの整合も取りやすくなります。

こうした台帳づくりや社内管理ルールの整備は、第9話：個人情報の社内管理ルール、および第15話：個人情報保護法対応チェックリストで詳しく扱います。

このシリーズでの次の学び方

利用目的の考え方を押さえたら、次は実際の取得場面に進みます。第5話では、申込フォーム・名刺・問い合わせ対応など、個人情報を取得する場面ごとの注意点を扱います。第6話では、取得した個人情報を別目的で使う場合の目的外利用を掘り下げます。

まとめ｜利用目的の整理は個人情報保護法対応の入口

利用目的の特定・通知・公表は、個人情報保護法対応の入口にあたる論点です。利用目的は「広く書けばよい」ものではなく、本人が一般的・合理的に予測できる程度に具体化することが求められます。そのうえで、取得した場合は通知または公表し、本人から直接書面等で取得する場合は明示する——この流れを押さえることが基本になります。