個人情報保護法は、個人情報取扱事業者の義務を定めています。その中の利用目的の特定を取り上げます。

利用目的の特定

（利用目的の特定）

第十七条　個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

２　個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

　利用目的の特定義務は、個人データではなく、個人情報全体に及びます。個人データとなるものでも、取得の段階では個人情報であるためです。

　利用目的の特定は、個人情報の適正な取得の基礎になります（個人情報の取得参照）。利用目的による制限、取得に際しての利用目的の通知、データ内容の正確性確保、利用目的の公表、利用停止等が適切に行われるためには、利用目的が具体的に特定されている必要があります。

利用の目的

　利用目的は、個人情報の個々の取扱いプロセスごとの利用目的ではなく、個人情報取扱事業者が、一連の取扱いで最終的に達成しようとする目的のことを意味します。

　個人情報取扱事業者が自ら利用する場合はもちろん、名簿業者のような第三者に販売する場合も含みます。

できる限り特定

　どの程度具体的に特定しなければならないのか？は、個人情報の種類・性質、個人情報取扱事業者の種類・性質などによって異なり、一律に決めることは困難です。

　個人情報取扱事業者が、個人情報をどのような目的で利用するかについて明確な認識を持つことができ、本人にとっても、自分の個人情報がどのような事業の用に供され、どのような目的で利用されるのかが、一般的かつ合理的に想定できる程度に特定されなければならないと解されています。

　「事業活動のため」や「顧客サービス向上のため」といった程度では、できるだけ特定したことにはなりません。なお、行政機関個人情報保護法に基づく個人ファイル保有目的は公表されているので、民間の個人情報取扱事業者も参考になると考えられます。

変更前の利用目的と関連性を有する

　利用目的の変更を無制限に認めると、利用目的を特定する意味がなくなるので、変更前の利用目的と関連性を有する範囲に限って、変更を認めることとしています。

合理的に認められる範囲を超えて

　社会通念に照らして客観的に合理的と認められることを意味します。

　変更前の利用目的と関連性を有すると合理的に認められる範囲を超えた変更は，利用目的の変更と認められません。この場合は，目的外利用となり，本人の同意を得る必要があります。