目的外利用とは何か｜取得した個人情報を別目的で使うリスク

最終更新：2026年9月14日

【現行法上必要】 2026年9月14日時点の判断は、現行の個人情報保護法17条・18条・21条等と、個人情報保護委員会（PPC）の「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）に基づいて行います。

【令和8年改正法・未施行】 統計作成等のためのデータ利活用特例や、取得状況からみて本人の意思に反せず権利利益を害しないことが明らかな取扱いに関する新たな例外などは、成立・公布済みですが、現時点の通常業務の根拠として用いることはできません。

【企業の推奨運用】 現在公開しているプライバシーポリシーだけでなく、対象となる個人情報を取得した当時、本人にどの利用目的を示していたのかまで遡って確認できる管理体制を整えることが重要です。

第4話では「利用目的の特定・通知・公表」を、第5話では「取得時の注意点」を扱いました。本記事はその続きとして、取得した個人情報を当初とは異なる目的で利用したい場合の判断方法を整理します。利用目的の基本を先に確認したい方は、第4話：利用目的の特定・通知・公表をご覧ください。

まず結論｜個人情報は「取得した会社の自由」に使えるわけではない

個人情報取扱事業者は、個人情報を取り扱うに当たり、その利用目的をできる限り特定しなければなりません（個人情報保護法17条1項）。そして、原則として、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことはできません（同法18条1項）。

当初の個人情報の利用目的とは異なる使い方を検討するときは、いきなり「本人同意を取ればよい」「プライバシーポリシーを変更すればよい」と考えるのではなく、次の順序で整理します。

目的外利用とは何か｜個人情報保護法17条・18条の関係

「目的外利用」という言葉は、実務上、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことを指して使われます。個人情報保護法18条1項は、このような取扱いについて、原則として「あらかじめ本人の同意」を要求しています。

典型例として、次のような場面があります。

• 「問い合わせへの回答」のために取得したメールアドレスを、新商品・サービスの営業メールに使う
• 「採用選考」のために取得した応募者情報を、営業見込み客のリストとして利用する
• 「セミナー運営」のために取得した参加者情報を、継続的なメールマガジン配信に使う
• 「キャンペーン応募受付」のために取得した情報を、別サービスの広告配信に利用する
• 「アンケート調査」のために取得した連絡先を、後日営業部門が利用する

ただし、これらが直ちに違法になるわけではありません。取得当時の利用目的がどこまで具体的に特定されていたかによっては、もともと目的内である場合もあります。また、当初目的との関連性によっては、法17条2項の範囲で利用目的を変更できる場合があります。

個人情報の利用目的はどこまで具体的に書く必要があるか

【現行法上必要】 個人情報保護法17条1項は、利用目的を「できる限り特定」するよう求めています。

PPCの令和8年6月一部改正後の通則ガイドラインは、この点について、単に抽象的・一般的な目的を掲げれば足りるとはしていません。利用目的を特定する趣旨は、個人情報がどのような事業の用に供され、どのような目的で利用されるのかを明確にし、個人情報が取り扱われる範囲を確定するとともに、本人が取扱いを予測できるようにすることにあります。

本人が、自分の個人情報がどのように取り扱われることになるのかを、利用目的から合理的に予測・想定できないのであれば、「できる限り特定した」とはいえません。

利用目的の範囲内かどうかを見る視点

事業部門から新しい利用方法を提示された場合、最初に確認するのは「その利用が、取得当時に特定されていた目的の範囲内に収まるか」です。ここでは、現在のプライバシーポリシーではなく、対象データを取得した時点の利用目的を確認することが重要です。

利用目的の変更｜「関連性を有すると合理的に認められる範囲」とは

【現行法上必要】 個人情報保護法17条2項は、利用目的を変更する場合、「変更前の利用目的と関連性を有すると合理的に認められる範囲」を超えて変更してはならないと定めています。

PPC通則ガイドラインは、この範囲を、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内と説明しています。

ここでいう「本人が通常予期し得る限度」は、特定の本人の主観や、事業者が「この程度なら問題ないだろう」と考える主観ではありません。一般人の判断において、当初目的と変更後の目的を比較し、両者の関連性を総合的に考慮して客観的に判断します。

利用目的の変更が認められ得る例

PPC FAQでは、個別事情によることを前提に、例えば次のような変更が認められ得るとされています。

PPC FAQは、具体例として、フィットネスクラブが既存会員に新たな栄養指導サービスを案内する場合、防犯サービスの既存顧客に新たな高齢者見守りサービスを案内する場合、住宅用太陽光発電システムの顧客に提携先電力会社の関連サービスを紹介する場合などを挙げています。

利用目的の変更として認められにくい例

利用目的を変更したら法21条3項の通知・公表が必要

【現行法上必要】 17条2項の範囲内で適法に利用目的を変更したとしても、それで手続が終了するわけではありません。個人情報保護法21条3項により、変更された利用目的を本人に通知し、又は公表する必要があります。

プライバシーポリシーの見直しについては、プライバシーポリシー作成・改定の実務、プライバシーポリシー改正対応も参考にしてください。

目的外利用と本人同意｜個人情報保護法18条1項

【現行法上必要】 法17条により特定された利用目的（17条2項の範囲で適法に変更された目的を含みます）の達成に必要な範囲を超えて個人情報を取り扱う場合、法18条1項により、原則としてあらかじめ本人の同意を得る必要があります。

したがって、適切な順序は次のとおりです。

1. 当初目的の範囲内なら、その範囲で利用する
2. 範囲外でも17条2項の関連性のある範囲なら、利用目的を変更し、21条3項の通知・公表を行う
3. 17条2項による変更可能範囲も超えるなら、18条1項に基づく本人同意を検討する
4. 18条3項の例外に該当する特殊事情がある場合は、その要件を個別に確認する

本人同意は「何への同意か」が分かる必要がある

PPCガイドライン上、「本人の同意」は、本人が個人情報の取扱方法について承諾する意思表示を行うことを意味します。本人が同意の判断を行うために必要と考えられる合理的かつ適切な方法による必要があります。

書面に限られるわけではなく、事案に応じて口頭、電子メール、確認欄へのチェック、ウェブ上のボタン操作等も考えられますが、企業実務では誰が・いつ・どの目的について同意したかを後から確認できる状態にしておくことが重要です。

個人情報保護法18条3項の例外｜通常の営業・マーケティング目的には安易に使えない

現行法18条3項は、一定の場合について18条1項・2項を適用しないとしています。ただし、これは限定された例外です。「営業上便利だから」「マーケティング上必要だから」「本人に同意を取りに行くのが手間だから」といった事情だけで利用できる規定ではありません。

したがって、「本人同意を取得するのが難しいため18条3項を使う」という発想ではなく、各号が要求する公益性・必要性・同意取得困難性その他の要件を満たすかを条文どおり確認する必要があります。

本人同意を取得するためのメール・電話は目的外利用になるのか

実務で重要な例外的整理があります。PPC通則ガイドラインは、法18条1項の本人同意を得るために個人情報を利用すること、具体的にはメールを送信したり、電話をかけたりすること自体は、当初の利用目的に記載されていなくても目的外利用には該当しないと明示しています。

名刺交換後の営業メール｜「名刺なら自由に広告できる」わけではない

名刺情報は、営業実務で特に誤解が生じやすい分野です。

PPC FAQ Q4-16は、個人情報取扱事業者の従業者であることを明らかにした上で一般的な名刺交換をした場合、相手には、その従業者が所属する会社から広告宣伝の冊子や電子メールが送られてくることについて一定の予測可能性があるとしています。

そのため、その名刺の連絡先に対し自社業務の広告宣伝の冊子や電子メールを送ることは、法21条4項4号の「取得の状況からみて利用目的が明らかであると認められる場合」に該当するとPPCは説明しています。業務時間外・事業場外の名刺交換でも、従業者であることを明らかにして交換した場合は同様とされています。

【企業の推奨運用】 名刺データを大規模なマーケティング基盤へ投入する場合は、少なくとも、取得状況、名刺交換時の双方の立場、利用する会社、案内する商品・事業との関係、取得後の経過期間などを確認し、通常の人的フォローアップの範囲を大きく超えていないかを検討する運用が安全です。

なお、PPC自身もFAQ Q4-16で、広告宣伝メールについては個人情報保護法だけでなく、特定電子メール法や、通信販売等に該当する場合の特定商取引法など、他の法令の遵守も必要と注意喚起しています。詳しくは第13話：営業リスト・名刺情報・メール配信も参照してください。

個人情報保護法上「目的内」でも営業メールを自由に送れるわけではない

個人情報保護法は、主として「その個人情報を何の目的で取り扱うか」を規律します。一方、営業目的の電子メールの送信には、特定電子メールの送信の適正化等に関する法律（特定電子メール法）が別途関係し得ます。

したがって、個人情報保護法上、「新商品・サービスの案内」が利用目的に含まれているとしても、それだけで全ての営業メール送信が適法になるわけではありません。特定電子メール法上の送信制限、法定の例外、表示事項、受信拒否後の取扱いなどを別レイヤーで確認します。

社内利用なら目的外利用にならないのか

「外部に渡さず、社内の別部署で使うだけなら自由ではないか」という質問も多くあります。しかし、個人情報保護法18条の問題は第三者提供に限られません。

社内利用でも、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱えば、目的外利用の問題が生じます。

• カスタマーサポートが問い合わせ対応のために取得した情報を、営業部が無関係な新商材の見込み客リストにする
• 採用部門が採用選考のため取得した応募者情報を、営業部門が利用する
• 人事部門が取得した健康情報を、当初目的と関係のない社内施策に利用する

一方で、「社内の別部署に情報を渡した」という事実だけで法27条の「第三者提供」になるわけでもありません。同一法人内部の利用と、別法人への提供とは区別する必要があります。目的外利用と第三者提供は別々の論点として整理してください。

ケース別｜問い合わせ・名刺・セミナー・採用・既存顧客はどう判断するか

以下は、典型的な取得目的を仮定した整理です。実際の結論は、取得時に明示・通知・公表されていた利用目的の具体的な文言と取得状況によって変わります。

問い合わせフォーム、アンケート、キャンペーンのウェブ入力画面等で本人から直接書面・電磁的記録により個人情報を取得する場合は、法21条2項により、原則として取得前に利用目的を本人へ明示する必要があります。したがって、これらのケースでは「当時フォームに何が書かれていたか」が特に重要です。

その他、目的外利用で注意したい場面

また、「氏名を削除すれば個人情報保護法の問題が全てなくなる」とも限りません。匿名加工情報・仮名加工情報にはそれぞれ法定の要件・規律があります。用語の整理は第2話：個人情報・個人データ・保有個人データの違いを参照してください。

令和8年改正個人情報保護法｜2026年9月14日時点では主要規定は未施行

したがって、現時点の企業実務で「改正法では同意不要になるから」と未施行の規定を先取りして、現行法18条1項が要求する同意を省略することはできません。

改正法で目的外利用に関係する主な変更

「統計作成等」の特例は営業・広告の自由化ではない

令和8年改正法では、データ利活用を促進するため、一定の「統計作成等」に関する特例が設けられます。

改正法上の「統計作成等」は、大量の情報から要素を抽出・分類・比較その他の解析を行い、その大量情報の傾向・性質に係る情報を作成する行為のうち、作成される情報が「個人に関する情報」ではなく、かつ個人の権利利益を害するおそれが少ないものとしてPPC規則で定めるものを対象とする仕組みです。

PPCの改正法説明資料では、統計作成等に整理できるAI開発等を含み得るとし、統計作成等だけに利用されることを担保することを条件として、一定の本人同意なき第三者提供等を可能とする制度が示されています。その一方、提供元・提供先間の書面による合意、公表、目的外利用・再提供の制限などの規律も設けられます。

政令・規則・ガイドラインはまだ整備過程

【令和8年改正法・未施行】 2026年8月26日の第366回個人情報保護委員会では、改正法について政令・PPC規則・ガイドライン・Q&A等で整備すべき事項の全体像が示されました。

例えば、統計作成等については、対象となる統計作成・AI開発等の範囲、公表事項・方法、基準適合体制等をPPC規則で定め、ガイドライン・Q&Aで基本的な考え方や具体例を示す予定とされています。また、「取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかな場合」の具体的対象範囲も、PPC規則で定める予定です。

さらに、2026年9月9日の第368回個人情報保護委員会では、政令・規則・ガイドライン等の具体化に当たり、個人・事業者その他の多様な主体との意見交換や事務局ヒアリングを行いながら検討する方針が示されました。

同日公表されたスケジュールでは、「統計作成等」等に関する基本的な考え方の検討は9月下旬、「連絡可能個人関連情報」等は10月中旬、その後も委員会で検討を続け、パブリックコメントは2027年1月以降を予定するイメージが示されています。したがって、2026年9月14日時点では詳細ルールはなお検討過程にあり、未確定事項を確定したルールとして扱うべきではありません。

目的外利用を減らすには「取得時」の設計が重要

目的外利用の相談が頻発する企業では、取得時の利用目的設計やデータ管理が十分でないことがあります。しかし、「将来使うかもしれないから利用目的を最大限広く書く」という対応も適切ではありません。

【現行法上必要】 利用目的は、法17条1項に従ってできる限り具体的に特定する必要があります。

【企業の推奨運用】 そのうえで、取得時点で合理的に予定している利用を整理し、フォーム、契約書、プライバシーポリシー、CRM等の設計を一致させておくと、後から目的外利用の問題が生じにくくなります。

• 利用目的を具体的に記載する
• 実際に予定している営業・広告利用があるなら取得時に整理する
• 分析を行う場合は、分析する情報と利用結果が予測できる記載にする
• 取得フォーム上の利用目的とプライバシーポリシーを整合させる
• メールマガジン等への登録とサービス提供上必要な連絡を区別する
• 第三者提供・委託・共同利用の有無を整理する
• データの取得元・取得日・利用目的のバージョンを追跡できるようにする

目的外利用が疑われるときの実務フロー｜9ステップ

「この顧客情報を別用途に使いたい」と相談された場合は、次の順番で確認すると判断が安定します。

1. 取得経路を確認する：問い合わせフォーム、契約、名刺、イベント、採用、第三者取得など、どこから入ったデータか
2. 取得時期を確認する：いつ取得した情報かを特定する
3. 取得当時の利用目的を確認する：当時のフォーム、規約、プライバシーポリシー、通知メール等を確認する
4. 新しい利用目的を具体化する：「マーケティング」ではなく、誰に対し何をどの方法で行うのかまで明らかにする
5. 当初目的内か確認する：当初特定された目的の達成に必要な範囲に含まれるか
6. 利用目的変更の範囲内か確認する：法17条2項の関連性を有すると合理的に認められる範囲か
7. 本人同意の要否を確認する：変更可能範囲を超えるなら法18条1項の事前同意が必要か、18条3項の例外があるか
8. 第三者提供・委託等の別論点を確認する：法27条以下、委託、共同利用、外国第三者提供等を確認する
9. 判断記録を残す：前提事実、適用条文、判断理由、条件、承認者等を記録する

企業法務担当者が事業部門に確認すべき質問

社内統制チェックリスト｜法定義務と推奨運用を分ける

個人情報の目的外利用を防ぐには、法定義務そのものと、企業が事故防止のために構築する管理措置を区別して整理すると分かりやすくなります。

目的外利用でよくある誤解

判断記録を残す｜「なぜ使えると判断したか」を再現できるようにする

目的外利用の適否は、当初の利用目的、新しい利用方法、取得状況、関連性などを踏まえて個別に判断する場面が少なくありません。そのため、後日問い合わせ・監査・内部調査等があった場合に、当時どの事実を前提に、なぜその結論に至ったかを説明できるようにしておくことが重要です。

これらの記録は、個人情報取扱台帳や法務相談管理と一体化すると運用しやすくなります。社内管理については第9話：個人情報の社内管理ルールも参照してください。

このシリーズでの次の学び方

目的外利用の考え方を押さえたら、次は「外部に渡す場合」の第三者提供・委託・共同利用に進みます。また、営業リスト・名刺・メール配信を実務で扱う場合は第13話もあわせて確認すると整理しやすくなります。

まとめ｜「取得当時の目的」から順番に確認する

個人情報の目的外利用を判断するとき、最も危険なのは、現在のプライバシーポリシーだけを見て「今は営業目的と書いてあるから使える」と判断することです。

実務では、①取得経路、②取得時期、③取得当時の利用目的、④新しい利用目的、⑤当初目的内か、⑥17条2項の変更可能範囲か、⑦18条の本人同意が必要か、⑧第三者提供・委託等の別論点、⑨判断記録の順で確認してください。

特に営業メールでは、「個人情報保護法上そのメールアドレスを営業に利用できるか」と「そのメールを特定電子メール法等に照らして送信できるか」は別問題です。目的外利用の確認だけで送信可否の検討を終えないようにしてください。