課題Ⅰ 第３編① 利用目的の特定・変更と利用目的による制限、不適正な利用の禁止
個人情報保護法第17条第1項は、個人情報取扱事業者に対し、個人情報を取り扱うにあたって、その利用目的を「できる限り特定」しなければならないと定めています。ここで重要なのは、「できる限り」とは努力義務ではなく、法的義務であるという点です。本人が、自分の個人情報がどのように利用されるかを合理的に予想・予測できる程度に具体的でなければなりません。通則編ガイドライン3-1-1では、利用目的を単に抽象的・一般的に特定するのではなく、個人情報が最終的にどのような事業にどのような目的で用いられるかが、本人にとって一般的かつ合理的に想定できる程度に特定することを求めています。
Article 17, Paragraph 1 of the Act on the Protection of Personal Information stipulates that business operators handling personal information must "specify as much as possible" the purpose of use when handling personal information. Crucially, "as much as possible" is not a best-effort obligation but a legal duty. The purpose must be specific enough that the individual can reasonably predict and foresee how their personal information will be used. The General Rules Guidelines (Section 3-1-1) require that the purpose of use not be specified merely in abstract or general terms, but to the degree that the individual can generally and reasonably envision what business and for what purpose their information will ultimately be used.
不十分な利用目的の例（悪い例）
不十分な利用目的の例として、「事業活動に用いるため」「お客様サービスの向上のため」「営業活動に活用するため」といった記述は、あまりにも漠然としており、本人が自己の情報の利用態様を予測できないため、特定として不十分と判断されます。これらは試験でも頻出する「悪い例」です。
Examples of insufficient purpose specifications include statements like "for use in business activities," "for improvement of customer service," or "for utilization in sales activities." These are too vague for the individual to predict how their information will be used, and are therefore judged as insufficient specification. These are "bad examples" that frequently appear on the exam.
適切な利用目的の例（良い例）
適切な利用目的の例としては、「商品の発送のため」「アフターサービスの実施のため」「新商品・新サービスに関するご案内のため」「採用選考の連絡・管理のため」などが挙げられます。ポイントは、本人が「ああ、この会社は自分の情報をこう使うのだな」と具体的に理解できる水準であることです。また、複数の利用目的がある場合は、それぞれを個別に列挙する必要があります。
Examples of appropriate purpose specifications include "for shipping of products," "for implementation of after-sales service," "for notification regarding new products and services," and "for communication and management of recruitment selection." The key point is that the level of specificity must be enough for the individual to concretely understand "Ah, so this company will use my information in this way." Additionally, when there are multiple purposes of use, each must be enumerated individually.
ガイドラインの解釈（通則編3-1-1）
通則編ガイドライン（3-1-1）では、特定の程度についてさらに詳細な基準を示しています。例えば、自社の所定の事業目的のみを列挙した場合、それだけでは「特定した」とは言えない可能性があります。事業の内容と利用目的を合わせて記載し、どの事業でどのように利用するのかを明確にする必要があります。また、個人情報を第三者に提供することが利用目的に含まれる場合は、その旨も利用目的として特定しなければなりません。
The General Rules Guidelines (3-1-1) provide further detailed standards regarding the degree of specification. For example, merely listing the company's prescribed business purposes alone may not constitute sufficient "specification." It is necessary to describe the business content together with the purpose of use, clearly indicating how information will be used in which business. Furthermore, if the purpose of use includes providing personal information to third parties, this must also be specified as part of the purpose of use.
利用目的の変更（法17条第2項）
利用目的を変更する場合、法17条第2項により、「変更前の利用目的と関連性を有すると合理的に認められる範囲」内でのみ変更できます。この規定は2015年改正で緩和されました。改正前は「相当の関連性」という、より厳格な要件でしたが、現行法では「関連性を有すると合理的に認められる」という表現に変わり、変更可能な範囲がやや広がりました。
When changing the purpose of use, under Article 17, Paragraph 2, the change can only be made within "a scope that is reasonably recognized as related to the original purpose of use." This provision was relaxed by the 2015 amendment. Before the amendment, the stricter requirement was "considerable relevance" (相当の関連性), but the current law uses the expression "reasonably recognized as related," slightly expanding the permissible scope of change.
具体例で考えると、「商品の発送」という利用目的を「商品の発送および関連商品のご案内」に変更することは、合理的に関連性が認められると考えられます。しかし、「商品の発送」を「第三者への個人データの販売」に変更することは、全く異なる性質の利用であり、認められません。試験では、変更前と変更後の利用目的を比較させて、合理的な範囲か否かを判断させる問題が出題されます。
To illustrate with a concrete example, changing "shipping of products" to "shipping of products and notification of related products" can be considered reasonably related. However, changing "shipping of products" to "sale of personal data to third parties" is a completely different nature of use and is not permitted. On the exam, questions are posed that compare the before and after purposes of use and require you to judge whether the change is within a reasonable scope.
利用目的を変更した場合は、法21条第3項により、変更された利用目的について本人に通知するか、または公表しなければなりません。注意すべきは、変更にあたって本人の同意は不要であるという点です。合理的関連性の範囲内であれば、通知・公表のみで足り、同意取得の手続きは必要ありません。ただし、合理的関連性を超える変更をしたい場合は、改めて本人の同意を得る必要があります。
When the purpose of use is changed, under Article 21, Paragraph 3, the changed purpose must be notified to the individual or publicly announced. An important point to note is that consent of the individual is NOT required for the change. As long as the change is within the scope of reasonable relevance, notification or public announcement alone suffices, and consent-obtaining procedures are unnecessary. However, if you wish to make a change that exceeds reasonable relevance, you must obtain the individual's consent anew.
利用目的による制限（法18条）
法18条は、個人情報取扱事業者が、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないと規定しています。これがいわゆる「目的外利用の制限」です。重要なのは「あらかじめ」という文言で、事前に同意を得ておかなければならず、事後の同意では原則として足りません。
Article 18 provides that a business operator handling personal information must not handle personal information beyond the scope necessary to achieve the specified purpose of use without obtaining the prior consent of the individual. This is the so-called "restriction on use outside the purpose." Importantly, the wording "in advance" (あらかじめ) means consent must be obtained beforehand — consent obtained after the fact is, in principle, insufficient.
同意の定義と要件
ここで「同意」の意味を正確に理解する必要があります。同意とは、本人の個人情報が取扱事業者によって示された取扱い方法で取り扱われることを承諾する旨の本人の意思表示です。書面・口頭・電子的方法（メール・ウェブフォーム等）のいずれでもよいとされています。ただし、単なる沈黙や不作為は同意とは認められません。例えば、「同意しない場合は○日までにご連絡ください」として返答がなかった場合に同意とみなすことは認められません。
Here it is necessary to precisely understand the meaning of "consent." Consent is an indication of the individual's will accepting that their personal information will be handled in the manner indicated by the business operator. It can be given in writing, orally, or electronically (email, web form, etc.). However, mere silence or inaction is NOT recognized as consent. For example, sending a notice saying "Please contact us by X date if you do not consent" and deeming no reply as consent is not permitted.
法18条の例外事由（第1・第2）
法18条第3項は、本人の同意なく目的外利用ができる例外事由を列挙しています。第1に、法令に基づく場合です。例えば、所得税法に基づく源泉徴収票の作成、裁判所の令状による捜査機関への情報提供、弁護士会からの照会（弁護士法23条の2）への回答などが該当します。
Article 18, Paragraph 3 enumerates exceptions where use beyond the purpose is permitted without consent. First, when based on laws and regulations. For example, creating withholding tax slips based on the Income Tax Act, providing information to investigative authorities under a court warrant, or responding to inquiries from bar associations (Article 23-2 of the Attorneys Act).
第2の例外は、人の生命、身体または財産の保護に必要があり、かつ本人の同意を得ることが困難な場合です。典型例は、災害時の安否確認のために従業員の緊急連絡先を家族に伝えるケースです。第3の例外は、公衆衛生の向上または児童の健全な育成の推進に特に必要がある場合で、かつ本人の同意を得ることが困難な場合です。感染症の疫学調査や、児童虐待の防止のための関係機関間の情報共有が例として挙げられます。
The second exception is when necessary for the protection of a person's life, body, or property, and obtaining consent is difficult. A typical example is sharing an employee's emergency contact information with their family for safety confirmation during a disaster. The third exception is when especially necessary for improving public health or promoting the sound upbringing of children, and obtaining consent is difficult. Examples include epidemiological investigations of infectious diseases, and information sharing between relevant institutions for the prevention of child abuse.
第4の例外は、国の機関もしくは地方公共団体またはその委託を受けた者が法令の定める事務を遂行するのに協力する必要がある場合で、かつ本人の同意を得ることでその事務の遂行に支障を及ぼすおそれがある場合です。例えば、税務調査への協力や、統計調査への回答などが該当します。注意すべきは、この例外には「同意を得ることで事務の遂行に支障を及ぼすおそれ」という追加要件がある点です。
The fourth exception is when cooperation is necessary for a national institution, local public body, or their entrusted party to carry out duties prescribed by law, and obtaining consent would risk impeding the execution of those duties. Examples include cooperating with tax investigations and responding to statistical surveys. Note that this exception has the additional requirement that "obtaining consent would risk impeding the execution of duties."
2020年改正（2022年4月施行）により、第5の例外として学術研究に関する例外が追加されました。具体的には、学術研究機関等が学術研究の用に供する目的で個人情報を取り扱う必要がある場合です。この改正は、従来学術研究機関等が個人情報保護法の適用を一部除外されていたものを見直し、個別の義務規定ごとに例外を設ける形に整理したものです。
The 2020 amendment (enforced April 2022) added a fifth exception related to academic research. Specifically, this applies when academic research institutions and similar entities need to handle personal information for the purpose of academic research. This amendment revised the previous arrangement where academic research institutions were partially exempt from the Act, reorganizing it so that exceptions are established for each individual obligation provision.
事業承継と利用目的の制限
事業承継（合併・分社化・事業譲渡等）に伴い個人情報が提供される場合、承継先の事業者は、承継前の利用目的の範囲内でのみ個人情報を利用しなければなりません。つまり、A社がB社を吸収合併した場合、A社はB社が設定していた利用目的に拘束されます。A社独自の目的で利用したい場合は、改めて本人の同意を得る必要があります。
When personal information is transferred through business succession (merger, company split, business transfer, etc.), the successor business operator must use the personal information only within the scope of the purpose of use established before the succession. In other words, if Company A absorbs Company B through a merger, Company A is bound by the purpose of use that Company B had established. If Company A wishes to use the data for its own purposes, it must obtain the individual's consent anew.
不適正な利用の禁止（法19条）— 2020年改正新設
法19条は、2020年改正（2022年4月施行）で新設された条文です。改正前の法律にはこの規定は存在しませんでした。内容は、個人情報取扱事業者は、違法または不当な行為を助長し、または誘発するおそれがある方法により個人情報を利用してはならない、というものです。新設の背景には、技術の発展により個人情報の不正な利用態様が多様化したことがあります。
Article 19 is a provision newly established by the 2020 amendment (enforced April 2022). This provision did NOT exist in the law prior to the amendment. Its content is that business operators handling personal information must not use personal information in a manner likely to promote or induce illegal or unjust acts. The background for this new provision is that advances in technology have diversified the modes of fraudulent use of personal information.
法19条の最大の特徴は、利用目的の範囲内の利用であっても適用されるという点です。法18条が目的外利用を制限するのに対し、法19条は目的内であっても違法・不当な行為につながる利用を禁止します。つまり、法18条と法19条は相互補完の関係にあり、「目的内だから何でも許される」というわけではないことを明確にした規定です。
The most significant feature of Article 19 is that it applies even to use that is within the scope of the stated purpose. While Article 18 restricts use outside the purpose, Article 19 prohibits use that leads to illegal or unjust acts even when within the purpose. In other words, Articles 18 and 19 are complementary, and this provision clarifies that "just because use is within the purpose does not mean anything goes."
不適正な利用の具体例（ガイドライン）
ガイドラインが示す不適正な利用の具体例は以下の通りです。差別的な取扱いを行う団体・個人に対して個人情報を提供する行為。破産者の情報を集約してブラックリストを作成し、差別的な貸付判断に利用する行為。ストーカー行為を助長するために対象者の所在情報を提供する行為。暴力団の活動を助長する目的で個人情報を提供する行為。裁判所による公表命令の対象となった破産者の情報をインターネット上で公開して嫌がらせに利用する行為。
The specific examples of improper use indicated by the guidelines are as follows. Providing personal information to organizations or individuals who engage in discriminatory treatment. Creating blacklists by consolidating bankrupt persons' information and using them for discriminatory lending decisions. Providing the whereabouts information of a target person to facilitate stalking. Providing personal information for the purpose of promoting the activities of organized crime groups. Publishing information about bankrupts subject to a court publication order on the internet to use for harassment.
実務上のポイント
実務上、利用目的の特定・管理は個人情報保護の基盤です。プライバシーポリシーに利用目的を具体的に明記し、取得時に本人へ通知・公表することが求められます。社内研修を通じて従業員に目的外利用の禁止と不適正な利用の禁止を周知し、定期的に利用状況を監査する体制を構築することが不可欠です。
In practice, specifying and managing the purpose of use is the foundation of personal information protection. The purpose of use must be specifically stated in the privacy policy, and the individual must be notified or it must be publicly announced at the time of acquisition. It is indispensable to disseminate the prohibition of use outside the purpose and the prohibition of improper use to employees through internal training, and to establish a framework for regularly auditing usage.