目的外利用とは何か｜取得した個人情報を別目的で使うリスク

第4話で「利用目的の特定・通知・公表」を、第5話で「取得時の注意点」を学びました。第6話では、取得した個人情報を当初と違う目的で使う場合の考え方に進みます。利用目的の基本を振り返りたい方は第4話：利用目的の特定・通知・公表をご覧ください。

まず結論｜取得した個人情報は「何にでも使える」わけではない

先に結論をお伝えします。個人情報は、原則として、取得時に特定した利用目的の達成に必要な範囲内で利用する必要があります（法第18条第1項）。会社が持っているからといって、何にでも自由に使えるわけではありません。

当初の目的を超える使い方をしたい場合は、本人の同意を得る／利用目的を変更する（関連性のある範囲で）／取得し直す／その利用を行わないといった対応を検討します。まずは、ざっくりとした方向感を表で押さえましょう。

目的外利用とは何か

目的外利用とは、ごく簡単に言えば、取得時に示した利用目的の範囲を超えて個人情報を利用することが問題になる場面のことです。個人情報保護法では、あらかじめ本人の同意を得ないで、特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱うことは、原則としてできないとされています（法第18条第1項）。

たとえば、次のような利用は、当初の利用目的によっては目的外利用が問題になり得ます。

• 問い合わせ回答のために取得したメールアドレスを、別サービスの営業メールに使う
• 採用選考のために取得した履歴書情報を、営業活動や別会社への紹介に使う
• セミナー申込者の情報を、申込時に示していない第三者提供や広告配信に使う
• 従業員情報を、当初説明していない社外公表や別目的の分析に使う

なお、目的外利用は「外部に渡す」第三者提供とは別の問題です。社内で使う場合でも目的外利用は問題になり得ます（外部提供は第7話で扱います）。両者を混同しないようにしましょう。

利用目的の範囲内かどうかを見る視点

目的外利用かどうかを考えるときの軸は、「当初の利用目的から見て、その利用が本人に通常予期し得る範囲か」です。会社にとって便利かどうかではなく、本人の立場から見て想定の範囲かを意識します。次の判断ポイントを確認しましょう。

なお、「本人が通常予期できるか」は重要な判断要素ですが、それだけで自動的に利用目的の変更が認められるわけではありません。法文上は、変更前の利用目的と関連性を有すると合理的に認められる範囲かどうかを、取得場面・情報の性質・新たな利用内容を踏まえて客観的に確認する必要があります。

利用目的の変更ができる場合・できない場合

利用目的そのものを変更したい場合もあります。利用目的は、変更前の利用目的と関連性を有すると合理的に認められる範囲で変更できます（法第17条第2項）。個人情報保護委員会の通則ガイドラインでは、この範囲は、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内と整理されています。そして、変更した場合は、変更後の利用目的を本人に通知し、または公表する必要があります（法第21条第3項）。

ここで大切なのは、「関連性が少しでもあれば自由に変更できる」わけではないということです。本人が通常予期し得る限度を超える変更は、慎重に確認すべきです。

判断に迷う場合は、利用目的の変更で対応するのか、本人同意を取るのか、取得し直すのかを整理します。プライバシーポリシーの改定が必要になる場合は、プライバシーポリシー改定テンプレ、プライバシーポリシー改正対応も参考にしてください。

本人同意が必要になる場面

特定した利用目的の達成に必要な範囲を超えて個人情報を利用する場合は、原則として、あらかじめ本人の同意を得る必要があります（法第18条第1項。なお、法令に基づく場合など、同意が不要となる例外も定められています）。

同意を取る際に重要なのは、本人が「何に同意しているのか」を分かる状態にすることです。形だけの同意では、十分とは言えない場合があります。

社内利用なら目的外利用にならないのか

「社内の別部署で使うだけなら自由では？」という質問はよくあります。しかし、社内の別部署で利用する場合でも、当初特定した利用目的の達成に必要な範囲を超えるなら、目的外利用の問題が生じ得ます。「社内だから自由」ではありません。

たとえば、次のようなケースは注意が必要です。

• カスタマーサポートが取得した問い合わせ情報を、営業部が別商材の営業に使う
• 採用部門が取得した応募者情報を、営業部門が見込み顧客リストに使う
• 人事部門が取得した従業員の健康情報を、無関係な部署が閲覧・利用する

場面別｜目的外利用になりやすい例

実務で相談されやすい場面を整理します。自社の状況に当てはめて確認してみてください。

「匿名化すれば常に問題が解消する」とは限りません。匿名加工情報・仮名加工情報には固有の加工要件やルールがあり、単に氏名を消すだけでは要件を満たさないことが多いためです（用語整理は第2話を参照）。

目的外利用を避けるための事前設計

目的外利用の問題は、多くの場合、取得時の利用目的設計が曖昧だったことに起因します。つまり、入口で整理しておけば、後から悩む場面を減らせます。第4話・第5話の内容に立ち返り、取得前に次の点を整理しておきましょう。

• 利用目的を具体的に書く（抽象的な表現にしない）
• 将来的に予定している利用があれば、取得時に整理しておく
• 取得項目を利用目的に合わせて絞る
• フォーム・プライバシーポリシー・社内台帳を整合させる
• メール配信や広告利用の有無を明確にする
• 委託・共同利用・第三者提供の有無を確認する

目的外利用が疑われるときの対応ステップ

事業部門から「この情報を別用途に使えるか」と相談を受けたら、次の順番で確認すると、論点の抜けを防げます。

1. 当初の取得場面を確認する（いつ、どこで取得したか）
2. 当初の利用目的の表示内容を確認する（何と示したか）
3. 新しい利用目的を具体化する（何に使いたいか）
4. 当初目的との関連性を確認する
5. 本人が通常予期できるかを確認する
6. 本人同意の要否を確認する
7. 通知・公表・ポリシー見直しの要否を確認する
8. 社内承認・判断記録を残す
9. 必要に応じて利用を止める・取得し直す

企業法務担当者が事業部門に確認すべき質問

相談を受けたときに使える質問を整理します。これらを順に聞くだけで、判断に必要な材料が一通り揃います。

よくある誤解と正しい理解

目的外利用をめぐる代表的な誤解を整理します。

判断記録を残す重要性

目的外利用の判断は、後から「なぜその利用が問題ないと判断したのか」を説明する必要が生じることがあります。だからこそ、判断のプロセスを記録に残しておくことが実務上重要です。法務相談メモ、個人情報取扱台帳、利用目的変更記録、同意取得記録、事業部門への回答メモなどが、後から自社を守る材料になります。

こうした記録は、社内管理ルールや個人情報取扱台帳と一体で運用すると効率的です。詳しくは第9話：個人情報の社内管理ルールで扱います。

このシリーズでの次の学び方

目的外利用の考え方を押さえたら、次は個人データを外部に渡す場合の論点に進みます。第7話では、第三者提供・委託・共同利用の違いを扱います。第8話・第9話では、取得後の安全管理措置と社内管理ルールを、第13話では営業リスト・名刺情報・メール配信を詳しく扱います。

まとめ｜「当初目的・予測可能性・同意・記録」で整理する

目的外利用は、取得後に個人情報を別目的で使いたいときに問題になりやすい論点です。しかし、過度に身構える必要はありません。当初の利用目的・新しい利用目的・本人の予測可能性・同意の要否・通知公表の要否を順に確認すれば、多くは整理できます。