個人情報保護法は個人情報取扱事業者の義務を定めています。その中の利用目的の特定について取り上げます。

利用目的の特定

個人情報保護法15条

1 個人情報取扱事業者は,個人情報を取り扱うに当たっては,その利用の目的(以下「利用目的」という。)をできる限り特定しなければならない。

2 個人情報取扱事業者は,利用目的を変更する場合には,変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

 利用目的の特定義務は,個人データではなく,個人情報全体に及びます。個人情報の取扱いには,個人情報の取得段階を含んでいるためです。

 利用目的の特定は,個人情報の適正な取得の基礎になります。利用目的による制限,取得に際しての利用目的の通知,データ内容の正確性確保,利用目的の公表,利用停止等が適切に行われるためにも,利用目的は具体的に特定されている必要があります。

利用の目的

 ここでいう利用目的とは,個人情報の個別の処理ごとの利用目的ではなく,究極的な利用目的のことを意味しています。

 個人情報取扱事業者が自ら利用する場合はもちろん,名簿業者のような第三者に販売する場合も含みます。

できる限り特定

 どの程度具体的に特定しなければならないのかは,個人情報の種類・性質,個人情報取扱事業者の種類・性質などによって異なり,一律に決めることは困難です。

 個人情報取扱事業者が,個人情報をどのような目的で利用するかについて明確な認識を持つことができ,本人にとっても,自己の個人情報がどのような事業の用に供され,どのような目的で利用されるのかが,一般的かつ合理的に想定できる程度に特定されなければならないと解されています。

 「事業活動のため」や「顧客サービス向上のため」といった程度では,できるだけ特定したことにはなりません。なお,行政機関個人情報保護法に基づく個人ファイル保有目的は公表されているので,民間の個人情報取扱事業者も参考になると考えられます。

変更前の利用目的と関連性を有する

 利用目的の変更を無制限に認めると,利用目的を特定する意味がなくなるので,変更前の利用目的と関連性を有する範囲に限って,変更を認めることとしています。

合理的に認められる範囲を超えて

 社会通念に照らして客観的に合理的と認められることを意味します。

 変更前の利用目的と関連性を有すると合理的に認められる範囲を超えた変更は,利用目的の変更と認められません。この場合は,目的外利用となり,本人の同意を得る必要があります。