利用目的

定義

利用目的とは、個人情報取扱事業者が個人情報を取り扱うときの、その利用の目的です。個人情報とは、おおまかには生存する個人に関する情報で、特定の個人を識別できるものを指します。

個人情報保護法第17条第1項は、次のように定めています。

> 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下、利用目的という。）をできる限り特定しなければならない。

この条文から読み取れるのは次の3点です。

• 義務を負うのは個人情報取扱事業者です
• 義務がかかるのは、個人情報を取り扱うときです
• 義務の中身は、利用目的をできる限り特定することです

利用目的という語は、この条文の中で定義されています。次の節で見る第17条第2項、第18条、第21条は、どれもここで特定した利用目的を基準にしています。どの程度まで具体的に書けばできる限り特定したことになるかは、この条文だけでは決まりません。本ページで扱う条文の範囲では、その基準は示されていません。

制度の要点

利用目的を特定したあとは、その利用目的を基準に次の3つの規律がかかります。

1. 利用目的を変更できる範囲の制限(第17条第2項)

> 個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

利用目的の変更そのものは禁じられていません。ただし、変更できるのは、変更前の利用目的と関連性があると合理的に認められる範囲までです。一度特定した目的を、関係のない目的へ自由に書き換えることはできません。

2. 特定した利用目的の範囲を超える取扱いの制限(第18条)

第18条第1項は、次のように定めています。

> 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱うことは、原則としてできません。取り扱えるのは、あらかじめ本人の同意を得た場合です。第18条第2項は、事業の承継に伴って取得した個人情報にも同じ考え方を当てはめています。その個人情報は、承継前の利用目的の達成に必要な範囲を超えて取り扱ってはなりません。

この条文には、同意が無くても範囲を超えて取り扱える場合を定めた項もあります。本ページはその項を根拠資料に含めていないため、扱いません。

3. 取得したときの通知または公表(第21条第1項)

> 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

個人情報を取得したら、速やかに利用目的を本人に通知するか、公表しなければなりません。取得の前に利用目的を公表していた場合は、この義務から外れます。

3つの規律の整理

流れで見ると、まず目的を特定し(第17条第1項)、取得したときに本人へ知らせるか公表し(第21条第1項)、その目的の範囲で取り扱います(第18条)。目的を変える場合は、関連性のある範囲に限られます(第17条第2項)。

AIとの関わり

AIの開発では、すでに持っているデータを機械学習の学習データに使うことを検討する場面があります。そのデータに個人情報が含まれている場合、利用目的の規律との関係が論点になりえます。一般的には、次の点を確かめることになると考えられます。

• 取得したときに特定し、通知または公表した利用目的に、AIの学習への利用が含まれているか
• 含まれていない場合、利用目的の変更で対応できる範囲か。第17条第2項の、変更前の利用目的と関連性があると合理的に認められる範囲に収まるか
• その範囲を超える場合、第18条第1項にある本人の同意が要るか
• 新しく学習用にデータを取得する場合、第21条第1項の通知または公表をどう行うか

どの利用がどの規律に当たるかは、データの中身、取得の経緯、特定した利用目的の書き方によって変わりえます。個々の事例の判断には、本ページで扱っていない条文や公的な解説も確かめる必要があります。