個人情報を偽りその他不正の手段によって取得してはなりません。これは、改正前後で条文に変更はありません（１７条１項）。
次の２点が改正されました。

第１点は、個人情報取扱事業者に第三者による個人データ取得の経緯を確認する義務（法２６条１項２号）が課せられた関係で、直接本人から個人データを取得するのではなく、第三者から収集するつまり提供を受ける場合、きちんと経緯を確認しないと、「不正の手段」による取得となり得る点です。

第２点は、改正により、要配慮個人情報の取得が原則禁止とする規定が新設されたので（１７条２項）、要配慮個人情報は本人の同意その他一定の条件を満たさない限り、取得ができません。

個人情報取扱事業者があらかじめ個人情報の利用目的を公表していない場合には、取得後速やかに本人に通知または公表しなければなりません。

適正な取得

条文

（適正な取得）

ご存じですか。

不適正な取得は、寄せられる苦情の第１位。

毎年行われている個人情報保護法の施行状況調査では、国民生活センターや地方公共団体に置かれている消費生活センターなどに寄せられた苦情の中で、不適正な取得に関するものが約４２％を占めています（２０１５年度調査、８頁）。第２位は漏えい・紛失、第３位は同意のない提供です。この順位は調査年度での変動はありません。

偽りその他不正な手段による取得

個人情報取扱事業者は、偽りその他不正の手段によって個人情報を取得してはなりません。個人情報が違法または不適正な方法によって取得されるならば、個人の権利利益を損なうおそれが極めて高いからです。この点については、改正により変更はありません。

「偽り」の手段とは、本人を欺く手段をいい、次のような手段があたります。

• テープ・レコーダーなどの機器を使用して本人の知らないうちに個人情報を取得（ＯＥＣＤ「プライバシーと個人データの国際流通についてのガイドライン解説メモランダム」第７条５２頁）
• 個人情報を取得する主体や利用目的等について、意図的に虚偽の情報を示して個人情報を取得（個人情報の保護に関する法律についてのガイドライン（通則編）３－２－１）

「その他不正な手段」とは、偽り以外の適正でない手段といいます。たとえば、次のような手段があたります。

• コンピュータシステムに不正に侵入し、顧客データベースを窃取
• 子供から家族の個人情報を家族の同意なく取得（前掲ガイドライン・通則編）

第三者提供の際の取得の経緯の確認

立法の経緯

個人情報の入手は、本人が直接収集されるだけではなく、第三者から提供を受ける間接収集が多くなっています。

自分の知らないうちに個人情報が転々流通。
本人からすれば不安でたまりません。
しかし現実には、個人情報には経済的な価値があり、売買の対象となっています。

比較的最近の事案として、大手通信教育会社の個人情報の大量漏えいの事件がありました。委託先のシステムエンジニアが約３０００万件の個人情報をスマートフォンに転送し、不正に持ち出し、名簿業者に販売したのです（元エンジニアは、不正競争防止法違反の罪で懲役２年６か月、罰金３００万円の刑の言い渡しを受けています。東京高等裁判所平成２９年３月２１日判決）。

こうした名簿業者への対応は以前から問題となっていました。国会の審議では、上記の事件について個人情報の流通経路を明らかにすることが困難であったほか、漏えいした情報を入手した事業者が提供元の事業者において適法に入手された個人情報か否かの確認が行われていないことが具体的な問題点として挙げられています（第１８９回国会衆議院内閣委員会議録第４号４頁・２０１５年５月８日向井治紀政府参考人答弁）。

そこで、取得の経緯について確認義務を負わせる規定が新設されました。

条文

適正な取得義務の違反

のちに提供を受けた個人情報が実は違法な手段によって取得されたものだった。
そんなことが判明したら、個人情報を違法に取得したという非難がなされ、会社の信用はがた落ちです。
そうした事態にならないように、個人情報取扱事業者は、第三者の個人データの取得の経緯を確認し、偽りその他の不正の手段で取得していないかどうかをチェックしなければなりません。

この取得の経緯との関係で、次のような場合には、個人情報取扱事業者は適正な取得の義務に違反することになります。

• 個人情報取扱事業者が、第三者が偽りその他の不正の手段で個人情報が取得したことを知りながら、第三者から当該個人情報を取得する場合
• 個人情報取扱事業者が、第三者が偽りその他の不正の手段で個人情報が取得したことを容易に知ることができた場合（前掲ガイドライン・通則編）

要配慮個人情報の取得の禁止

人種、信条、社会的身分、病歴など、その取扱いによっては偏見や差別を生じるおそれがある個人情報（要配慮個人情報）の取得は、原則として禁止されます。公益目的など一定の場合には、例外的に取得が許されます。
改正によって新設されました。

条文は次のようになっています。

要配慮個人情報については、以下の記事に詳しく書きましたので、参考にしてください。

取得の際の利用目的の通知・公表

条文

個人情報取扱事業者は、利用目的を特定（１５条）、その目的の達成に必要な限り個人情報を利用できるという制限を負っています（１６条１項）。これを実効あらしめるためには、本人がその利用目的を知っている必要があることから設けられた規定です。

「個人情報の取得」とは、個人情報を入手することをいう。本人からの直接の取得であるか、第三者からの間接的な取得であるかは問いません。

通知・公表が必要な場合

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、本人への通知または公表が必要な事例として、次の３つを挙げています（３－２－３）。

• インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）
• インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）
•  個人情報の第三者提供を受けた場合

通知・公表

利用目的をあらかじめ公表している場合には、本人への通知や公表は不要です。
一方、あらかじめ公表していない場合には、取得後速やかに本人に通知するか、または公表しなければなりません。通知または公表のいずれかでよいとされるのは、それ以後の本人関与といったものが適切になされるための基盤とする観点から、本人が知ろうと思えば知られる状態に確実にしておくことが重要とされ、その必要な範囲で事業者の負担を考慮したことによります（第１５６回国会衆議院個人情報の保護に関する特別委員会議録第３号５頁・藤井昭夫政府参考人答弁）。

通知は本人に知らせることをいい、公表とはおおやけに発表することをいいます。公表とは、1回限りの発表では足りず、継続性のある発表の形式が取られるべきである。そこで、公表には、インターネット上での公表、パンフレットの配布、書面の掲示・備付けなどが含まれます（個人情報保護法制化専門委員会「個人情報保護基本法制に関する大綱」３.個人情報取扱事業者（仮称）の義務等（１）利用目的による制限及び適正な取得参照）。

通知や公表の意味については、詳しく次の記事に書きました。

本人から直接個人情報を取得する場合

個人情報取扱事業者が、相対による契約の締結やアンケート調査等などによって直接情報主体である本人から情報を取得する場合、容易に利用目的を明らかにできることから、原則として取得の際に利用目的を明示する義務が生じます（２項、前掲大綱３.個人情報取扱事業者（仮称）の義務等（１）利用目的による制限及び適正な取得）。
ただし、人の生命、身体又は財産のために緊急の必要がある場合には、取得の際に利用目的を明示する必要はありません（２項但書）。

あらかじめ、本人に対し、その利用目的を明示しなければならない事例として、個人情報保護委員会のガイドラインは、次の３つの事例を挙げています（前掲ガイドライン３－２－４）。

• 本人の個人情報が記載された申込書・契約書等を本人から直接取得する場合
• アンケートに記載された個人情報を直接本人から取得する場合
• 自社が主催するキャンペーンへの参加希望者が、参加申込みのために自社のホームページの入力画面に入力した個人情報を直接本人から取得する場合

「本人に対し、その利用目的を明示」とは、本人に対し、その利用目的を明確に示すことをいい、事業の性質及び個人情報の取扱状況に応じ、内容が本人に認識される合理的かつ適切な方法による必要があります（前掲ガイドライン３－２－４）。

どのような手段を取れば、「利用目的の明示」に該当するかですが、前掲ガイドラインに次の事例が掲載されています。

• 利用目的を明記した契約書その他の書面を相手方である本人に手渡し、又は送付する場合
• ネットワーク上において、利用目的を、本人がアクセスした自社のホームページ上に明示し、又は本人の端末装置上に表示する場合

利用目的の変更時の通知・公表

個人情報取扱事業者は、利用目的を変更した場合は、その利用目的を本人に通知するか、または公表しなければなりません。

利用目的の変更には一定の制限がかかります（１５条２項）。詳しくお知りになりたい方は、次の記事をお読みください。

利用目的の通知または公表の例外

次の４つの場合には、利用目的の通知または公表は不要となります。

①利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

具体的には、次のような事例が考えられます。

• 病院が診療目的で患者の住所等の個人情報を取得した後、その患者が意識不明になり家族に至急連絡を取る必要が生じた場合
• 児童虐待等に対応するために、児童相談所、学校、医療機関等の関係機関において、ネットワークを組んで対応する場合に、加害者である本人に対して当該本人の個人情報の利用目的を通知・公表することにより、虐待を悪化させたり、虐待への対応に支障等が生じたりするおそれがある場合（前掲ガイドライン３－２－４）

②個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合

具体的には、暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合などが挙げられています（前掲ガイドライン３－２－４）。

また、調査会社の業務もこれにあたるのではないかと思われます。調査の対象となっている本人に調査をしていることを通知または公表することは、密行性の求められる調査業務を害するおそれがあるからです。

「個人情報取扱事業者の権利又は正当な利益」には、企業秘密のようなものも含まれます。

「害するおそれ」の「おそれ」の有無の判断は、一次的には、個人情報取扱事業者が行います。もっとも、個人情報取扱事業者の恣意的判断を容認するものではなく、一般的な蓋然性が必要で、客観的な利益衡量が必要とされます。立法時には、実際の運用にあたってガイドラインを活用するなどにより、可能な限り明確化していくことが望ましいとされました（前掲大綱３.個人情報取扱事業者（仮称）の義務等（1）利用目的による制限及び適正な取得）。

③国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合

「利用目的による制限」の場合と同様の規定です。

具体例として、警察が、公開手配を行わないで、被疑者に関する個人情報を、被疑者の立ち回りが予想される個人情報取扱事業者に限って提供した場合において、警察から当該個人情報を受け取った当該個人情報取扱事業者が、利用目的を本人に通知し、又は公表することにより、捜査活動に支障を及ぼすおそれがある場合が挙げられています（前掲ガイドライン３－２－４）。

「当該事務の遂行に支障を及ぼすおそれ」の「おそれ」の有無の判断は、一次的には、個人情報取扱事業者が負っています。

④取得の状況からみて利用目的が明らかであると認められる場合

本人がその利用目的を知っていると認められるので、本人への通知、公表は不要となります。

具体例としては、次のような場合があたります（前掲ガイドライン３－２－４）。

• 商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合
• 一般の慣行として名刺を交換する場合、書面により、直接本人から、氏名・所属・肩書・連絡先等の個人情報を取得することとなるが、その利用目的が今後の連絡のためという利用目的であるような場合（ただし、ダイレクトメール等の目的に名刺を用いることは自明の利用目的に該当しない場合があるので注意を要する。

＊本投稿は、拙著『個人情報保護法　逐条分析と展望』青林書院（２００３年）に、改正部分を加筆し修正したものです。

この 作品 は クリエイティブ・コモンズ 表示 – 非営利 – 改変禁止 4.0 国際 ライセンスの下に提供されています。

個人情報の取扱いは利用目的によって制限されています（１６条）。
利用目的をのちに自由に変更できるのでは、利用目的による制限を設けても意味がなくなりますので、利用目的の変更には限界があります（１５条２項）。この利用目的の変更は、改正で緩やかになりました。

利用目的をめぐる一連の規定

個人情報の適正な取扱いを図る観点から、個人情報取扱事業者は、個人情報を取り扱う場合に、その利用目的をできる限り特定しなければならない義務を負っています（１５条１項）。
個人情報保護法は、このように個人情報の利用目的の特定を求めているほか、取得に際して利用目的の通知等を要求し（１８条）、利用目的以外の取扱いおよび第三者提供を制限する（１６条・２３条）など、利用目的を中心にすえて個人情報の保護を図ろうとしています。
また、利用目的を偽った取得は、「偽りの取得」にもなります（１７条）。

レストランでランチを食べるときに、アラカルトではなくセットメニューを頼むことがありますよね。メイン料理にサラダとデザートとコーヒーがついてきて、とても満ち足りた気持ちになります。

法律の条文も同じです。１条ごとに正確に理解する必要がありますが、関連性のある条文はセットで検討しておくと理解が早まり、分かった感が増します。
今回の記事では、利用目的の特定と利用目的による制限を中心にまとめてみました。

利用目的の特定

条文

この条文は改正前後で変わっていません。

前述したように、利用目的を中心に個人情報の取扱いを図っているので、利用目的を前提とする規定を実効的に働かせるためには、その大前提である利用目的が特定される必要があります。

ここにいう「個人情報の取扱い」とは、個人情報の取得、保有、提供、利用その他個人情報の取扱いに関する一切の行為をいいます。この取扱いのすべての場面で、個人情報取扱事業は、利用目的をできる限り特定しなければなりません。

また、「利用目的」の中には、第三者に提供することも含まれます。

利用目的の具体性の程度

利用目的は、「できる限り」特定しなければなりません。

どの程度特定しなければならないかは、条文には記載がありませんが、個人情報の性質、利用方法、個人情報取扱事業者の事務の実施の必要性等が勘案された上で判断されるべきで、本人が利用の実態をも的確に認識できるよう可能な限り具体的であることが望ましいとされています（個人情報保護法制化専門委員会「個人情報保護基本法制に関する大綱」２基本原則（１）利用目的による制限）。

一般的にいえば、本人の受ける影響を予測できるように、個人情報取扱事業者が、個人情報をどのような業務に利用し、どのような目的に利用するかを、可能な限り具体的、個別的に明確にすることが必要でしょう（旧通産省「個人情報ハンドブック」収集範囲の制限）。たとえば、会社の目的に書かれるような目的では、本人の受ける影響を予測できず、妥当でないと指摘されています（個人情報保護法制化専門委員会第１０回議事録新見委員発言参考）。

たとえ、個人情報取扱事業者の業種の内容から利用目的が予測できる場合であっても、利用目的を具体的に明確にする必要があるでしょう。

なお、「できる限り」とは、利用目的を一般的、抽象的に特定するのではなく、可能な限り具体的、個別的に特定することを求める趣旨に出ており、個人情報取扱事業者の利用目的を特定する義務を緩和する趣旨ではありません（藤原静雄「個人情報保護法案について」季刊行政管理研究９５号（２００１年）９頁）。

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」では、「利用目的を単に抽象的、一般的に特定するのではなく、個人情報が個人情報取扱事業者において、最終的にどのような事業の用に供され、どのような目的で個人情報を利用されるのかが、本人にとって一般的かつ合理的に想定できる程度に具体的に特定することが望ましい。」と書かれています。

そして、ガイドラインは、具体的に利用目的を特定している事例として、事業者が商品の販売に伴い、個人から氏名・住所・メールアドレス等を取得するに当たり、「○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」と明示する例を挙げています（３－１－１）。

一方、具体的に利用目的を特定していない事例として、ガイドラインは、「事業活動に用いるため」、「マーケティング活動に用いるため」、「お客様のサービスの向上のため」を挙げています（３－１－１）。

利用目的の合法性・適正性の判断－届出制の是非

利用目的は、当然合法で適正なものでなければなりません。利用目的の合法性・適正性は、第１次的には個人情報取扱事業者が判断します。

これに対し、利用目的の合法性や適切性について届出制で判断する仕組みを取るという方向性が考えられます。しかし、個人情報保護法はこれを採用しませんでした。なぜなら、民間の全分野を通じて漏れなく登録・届出の義務を課せば、①民間事業者に対して、個人データを利用目的ごとの個人情報データベース等に区分して保有することを求めることとなり、本来自由であるべき事業活動を大幅に制約し、大きな負担を課すことになり、個人情報保護の重要性を考慮したとしてもなお問題が多いことや、②すべての業者について個人データの利用目的を全件登録するならば、新たな機関の設置が必要となり行政コストも大幅に増大するので、日本の現状にかんがみると現実的ではないからです（検討部会中間報告Ⅲ個人情報保護システムの在り方3基本法の意義※2全分野を通じた登録・届出制度について、個人情報保護法制化専門委員会第１０回議事録)。

なお、行政機関個人情報保護法は、法運用の統一性および法適合性を確保する観点から、各行政機関が、総務大臣に対し、保有しようとする個人情報ファイルの名称、利用の組織の名称、利用目的、記録項目、記録範囲、記録情報、提供先等を事前に通知する制度が設けられています（１０条）。これは、民間事業者と異なり、国の行政機関は事前規制が厳格であることを規定したものです（専門委員会第２４回議事録藤井審議官説明）。

利用目的による制限

特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱う場合には、本人の同意を得なければなりません（１６条１項）。この点については後述します。

取得に際しての利用目的の通知等

条文

個人情報の本人が利用目的に注目するのは、取得時です。自分の個人情報がどのように取り扱われるかが不明な会社には個人情報の提供をちゅうちょするのは当然でしょう。

特定された利用目的は、個人情報取扱者の内部において明確化されるだけでなく、個人情報において識別される本人が認識できる状態に置くことが望ましいとされます(前掲大綱2．基本原則(1)利用目的による制限)。

個人情報取扱事業者の正当な利益を害するおそれまたは業務の適正な実施に支障を及ぼすおそれがある場合等を除き、通知、公表等により少なくとも本人が容易に知り得る状態に置かれる必要があります（大綱3. 個人情報取扱事業者(仮称)の義務等(1)利用目的による制限及び適正な取得）。

そこで、個人情報取扱事業者は、個人情報を収集する場合は、あらかじめ利用目的を公表していることが望ましいとされます。公表していない場合には、個人情報取扱事業者は、取得後速やかに、利用目的を本人に通知するか、または公表する義務があります。

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は、本人への通知または公表が必要な事例として、次の３つを挙げています（３－２－３）。

• インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く。）
• インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く。）
• 個人情報の第三者提供を受けた場合

利用目的の変更

さて、利用目的はいったん特定したら、変更はできないのでしょうか。
いいえ、個人情報保護法は、改正前から利用目的の変更を認めています。
改正により、利用目的の変更が以前より緩やかにできるようになりました。

条文

改正前の条文では、利用目的の変更については「相当の関連性を有すると合理的に認められる範囲」という限定がついていました。

これは、個人情報の利用目的の変更を無制限に認めてしまえば、目的によって拘束した意味は減殺されてしまうため、社会通念上、一般的に合理的と考えられる範囲を超えて利用目的を変更してはならないとされたものです（大綱3.個人情報取扱事業者(仮称)の義務等(1)利用目的による制限及び適正な取得）。

「相当の関連性を有すると合理的に認められる範囲」とは、①当初の利用目的との関連性があり全く関係のないものではないこと、かつ、②目的を変更することにより本人に不測かつ不当な権利利益の侵害を生じさせるおそれがないことの２つを考え合わせるべきであるとされていました（第２４回議事録藤井審議官説明）。

改正の趣旨

しかし、この変更の制限は厳しいと理解されており、ビッグデータ時代における個人データの利活用のニーズに合致していないという指摘がなされるようになりました。
そこで、「相当の」という文言を削除し、当初の利用目的と関連性を有すると合理的に認められる範囲において機動的に利用目的の変更をすることを解釈・運用上可能としたものです。国会の審議では次のような説明がありました（第１８９回国会衆議院内閣委員会議録第４号１５頁・２０１５年５月８日山口俊一国務大臣答弁。９頁にも同様の答弁あり）。

○山口国務大臣　委員御指摘のとおりで、現行法上、「利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。」というふうに規定をされておりまして、この「相当の関連性」という文言につきましては、お話しのとおり、大変厳格な解釈、運用がされておるところであります。

一方、さまざまな情報通信技術の発達、あるいはビッグデータの収集、分析が可能になっていく中で、やはり、事業者の中には、取得をした個人情報、これを当初想定できなかった新事業とか新サービスで活用したいというニーズがあるわけでありますが、事業者がこれまでの厳格な解釈、運用を踏まえての利用をちゅうちょしておるものというふうに聞いております。

このため、今回の改正では「相当の」の部分を削除して、事業者が機動的に目的変更することを解釈、運用上、可能とするものでありますけれども、この変更できる利用目的の範囲につきましては、本人が通常予期し得る限度内であるというふうなことも想定をしております。

これによって、例えば電力会社が、顧客に省エネを促す目的で、家庭内の機器ごとの電気使用状況を収集して、その使用量等を分析して顧客に提示をしていた場合、あるいは、同じ情報を用いて家電制御技術の研究開発とか、その顧客の安否確認のサービスを行うということができるようにというふうなことが考えられるわけでございます。

いずれにしても、変更前の利用目的と関連性を有すると合理的に認められる範囲、これにつきましては、その詳細とか具体例につきましては、ガイドライン等で明確化をしていく予定にいたしております。

全く同じ答弁が、第１８９回国会衆議院内閣委員会議録６号１４－１５頁山口俊一国務大臣答弁、同参議院内閣委員会議録９号８頁向井治紀政府参考人答弁にあります。

質問が「相当」を削除した理由を聞くものなので、全く同一の答弁になるのは分かるのですが、これでは具体的にはどうなるのかという議論が深まる余地がありません。国会の審議を条文ごとに精査するように変えられないものでしょうか。

利用目的の変更が可能か否かの判断基準

上記の答弁に出てきたガイドラインを見てみると、

「変更前の利用目的と関連性を有すると合理的に認められる範囲」とは、変更後の利用目的が変更前の利用目的からみて、社会通念上、本人が通常予期し得る限度と客観的に認められる範囲ということだそうです（個人情報の保護に関する法律についてのガイドライン（通則編）３－１－２）。

また、「本人が通常予期し得る限度と客観的に認められる範囲」とは、本人の主観や事業者の恣意的な判断によるものではなく、一般人の判断において、当初の利用目的と変更後の利用目的を比較して予期できる範囲をいい、当初特定した利用目的とどの程度の関連性を有するかを総合的に勘案して判断されるとのことです（同上）。

残念ながら、ガイドラインは、現時点では具体例を挙げていません。

利用目的の変更の通知・公表

条文

改正前と同様に、個人情報取扱事業者は、利用目的を変更した場合には、変更された利用目的について、本人に通知するか、または公表しなければなりません（１８条３項）。通知はメール等、公表はウェブサイトへの掲載などが考えられます。
具体的な方法については、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」に書かれています（２－１－７、２－１－８）。
また、自身が対象事業者となっている認定個人情報保護団体の個人情報保護指針にも注意する必要があります。

たとえ、変更後に特定された利用目的の範囲が１５条２項に照らして適法であったとしても、通知または公表がなされていない場合には、１８条３項違反となりますので、通知または公表を忘れないようにしましょう。

通知・公表については、次の記事も参考にしてください。

利用目的による制限

条文

個人情報取扱事業者は、特定した利用目的の達成に必要な範囲を超えて、個人情報を取り扱うことはできません。利用目的を特定しながら、その特定した利用目的の達成とは別な目的で個人情報を取り扱うならば、利用目的の特定の意味がなくなってしまいます。

利用目的の変更との関係

この「前条の規定により特定された利用目的」とは、変更された利用目的も入りますので、前述したとおり、利用目的の変更が以前よりも緩やかに行うことができるようになったことと対応して、この利用目的による制限も一定程度緩やかになったといえるのではないでしょうか。

それでは、個人情報取扱事業者が利用目的を変更した場合に、それが利用目的による制限に違反する事例とはどのような場合でしょうか。

個人情報保護法の改正の立法担当者によれば、「事業者が「変更前の利用目的と関連性を有すると合理的に認められる範囲」内であるとして当初の利用目的を変更して特定した利用目的で個人情報の取扱いを始めたものの、客観的にみると、変更後の利用目的は変更が許される範囲を超えていた場合」があたるそうです（瓜生和久『一問一答　平成２７年改正個人情報保護法』６５頁）。

取得・利用・保有・提供の各場面に適用

「個人情報を取り扱ってはならない」とありますので、個人情報の取得、保有、利用、提供の各場面に、この条文は適用されると考えられます。

①取得

取得についてですが、利用目的の達成に必要な範囲を超えて個人情報を収集することはできません。すなわち、個人情報の収集は必要最小限であるべきです。

具体例として、レンタルビデオショップの本人確認のための自動車免許証のコピーなどがあります（個人情報保護法制化専門委員会第１０回議事録）。ビデオの貸出目的のためには、本人の氏名、住所を自動車免許証の記載を照合して確認すれば足りるにもかかわらず、自動車免許証のコピーはそれ以外の個人情報である本籍地をも取得することになり、利用目的の必要最小限の取得に違反することになります。

なお、利用目的を偽った取得は、適正な取得（１７条）の「偽り・・・により個人情報を取得してはならない。」との規定に違反します。

②保有

保有については、比較的最近の国会の審議で次のような答弁があります（第１８７回参議院消費者問題に関する特別委員会議録第３号１５頁・２０１４年１１月５日越智隆雄大臣政務官答弁）。

○大臣政務官（越智隆雄君）　議員御指摘のような、自身の個人情報の削除要請など、消費者の声に応えていくことは必要だというふうに考えております。

現行の個人情報保護法の中では、個人情報の保存期限を定める規定はございませんけれども、一方で、将来にわたって利用される見込みもなく漫然と保存する個人情報については、利用目的による制限との関係から、速やかに消去、廃棄すべきものという趣旨の部分がございます。これは第十六条でございますが、「個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。」というふうに書かれております。

また、個人情報の保護に関する基本方針においては、自主的に利用停止などに応じるなど、本人からの求めに一層対応していくことについて事業分野ごとにガイドラインを作って、それを盛り込むということも求めているところでございまして、幾つかの省庁では既にガイドラインが定められているというところでございます。

消費者庁においても、事業者における個人情報の適切な取扱いが図られるように、引き続き必要な取組を行っていきたいというふうに考えております。

今回の改正で、データ内容の正確性の確保等（１９条）の中に、「利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。」との規定が新設されました。この点で、利用目的による制限については、１９条で対応することが多くなるかもしれません。

③利用

利用についてですが、上記ガイドラインは、同意が必要な具体例として、「就職のための履歴書情報をもとに、自社の商品の販売促進のために自社取扱商品のカタログと商品購入申込書を送る場合」を挙げているだけです（２－２－１）。

個人情報保護法が制定される前の旧通産省の「民間部門における電子計算機処理に係る個人情報保護ガイドライン」を解説した「個人情報保護ハンドブック」では、「収集目的の範囲を超えて」について、企業内のある部門が収集した情報を同一企業内の他の部門が利用する場合には、「収集目的」の記載内容にもよるが、一般的に情報主体が想定しないような部門が利用する場合には、たとえ同一企業内であっても収集目的の範囲外として改めて情報主体の事前の了解を得ることが必要であると考えられる。」と書かれていました。

しかし、この記述は、個人情報保護法が制定された後の経済産業省の「個人情報の保護に関する法律についての経済産業分野を対象とするガイドライン」（２００４年１０月）およびその後の一連のガイドラインには載っていません。個人情報保護委員会の上記のガイドラインと同じ記載があるだけです。このため、経済産業省では、同一企業内の他部門の利用については、「個人情報保護ハンドブック」よりも緩やかに解釈していたのではないかと思われます。

前述したように、利用目的の変更がより緩やかにできるようになった関係で、利用目的による制限もより緩やかになると思われます。

④提供

利用による制限については、個人情報取扱事業者内の利用に目が向きがちですが、利用目的に「第三者への提供」を挙げていないにもかかわらず、個人データを第三者に提供すれば、利用目的による制限の違反にあたることに注意が必要です。

事業の承継

条文

個人情報取扱事業者が、合併、分社化、営業譲渡等により他の個人情報取扱事業者から事業の承継をする際に個人情報を取得した場合は、承継前の利用目的の達成に必要な範囲内で取り扱う場合は目的外利用にはなりません。したがって、本人の同意を得る必要はありません。

本人の同意を不要とする場合

条文

利用目的を超えた利用であっても、本人の同意が必要とされない例外的な場合があります。上記の４つの場合です。この規定は改正前と同じですので、実務に変更はありません。

それぞれの具体的な事例については、「個人情報の保護に関する法律についてのガイドライン（通則編）」が分かりやすく充実した事例を挙げています。これに加えて、特定分野のガイドラインでは、事業の内容に即した事例が挙げられていますので併せて確認しておくとよいでしょう。

利用目的の変更・利用目的による制限の違反

個人情報取扱事業者が、利用目的の変更や利用目的による制限に違反した場合、個人情報保護委員会は監督機能を発揮することが期待されています。個人情報保護委員会が、個人情報取扱事業者の個人情報の不適正な取扱いを認知するのは、本人から苦情を受けたり、個人情報取扱事業者の利用目的の公表内容などから問題点を見つけたりすることが考えられます。その場合、任意に事情を聴くほか、必要に応じて報告徴収や立入検査により事実関係を確認します（４０条）。また、必要な限度で、指導および助言をすることができます（４１条）。個人情報の取扱いに問題があれば、是正のための勧告を行い（４２条１項）、それに違反する場合には、一定の場合に勧告の措置をとるよう命令を出すこともできます（４２条２項）。さらに、個人の重大な権利利益を害する事実があるため緊急に措置をとる必要があると認めるときには、違反行為の中止その他違反を是正するために必要な措置をそるべきことを命ずることができます（４２条３項）。

本人による利用の停止・削除請求

個人情報取扱事業者が、本人の同意を得ないで、利用目的の達成に必要な範囲を超えて個人情報を取り扱った場合、本人は当該事業者に対し、その個人情報（個人データ）の利用の停止または消去を請求することができます（３０条）。
＊本投稿は、拙著『個人情報保護法　逐条分析と展望』青林書院（２００３年）に、改正部分を加筆し、関連条文を盛り込み、修正したものです。

この 作品 は クリエイティブ・コモンズ 表示 – 非営利 – 改変禁止 4.0 国際 ライセンスの下に提供されています。

匿名加工情報とは

匿名加工情報は、ざっくりいえば「利活用OK！」情報です。なぜ利活用がOKなのかといえば、特定の個人が識別されないようにし、かつ元の個人情報に復元してはならない情報なので、個人の権利利益の侵害が低いと考えられるからです。

ただし忘れてはならないことがあります。

一つは、個人情報を匿名加工情報にしても、個人に関する情報であることには変わりはないという点です。

個人に関する情報と個人情報とは違うの？と疑問に思われる方がおられるかもしれません。
個人情報は個人に関する情報の中に含まれる概念ですが、個人に関する情報とイコールではありません。

要配慮個人情報も匿名加工情報に加工可

もう一つの注意点は、要配慮個人情報も匿名加工情報に加工できる点です。
要配慮個人情報は、簡単に言ってしまえば「取扱い注意！」情報です。第三者提供には、原則として本人の同意が必要です。

匿名加工情報が規定された背景には、個人情報の保護を図りつつ、新産業、新サービスの創出など、日本の成長戦略を強力に推し進めていく考えがあるわけですが、その利活用の具体例の一つとして、「医療機関が保有する医療情報を活用した創薬や臨床分野を発展させる」ことがあげられていました（第１８９回衆議院内閣委員会議録第４号４頁・平成２７年５月８日山口俊一国務大臣答弁／同参議院内閣委員会議録第１０号２頁・平成２７年５月２８日向井治紀政府参考人答弁）。要配慮個人情報も匿名加工情報に加工できることが前提なのです。
医療分野では以前から特定の個人を識別できないようにした情報を研究に利用することがありましたから、匿名加工情報としての利活用が明確になったともいえるかもしれません。

ところで、医療情報の中には要配慮個人情報である病歴が必然的に入ることが多いと思われますので、適正に匿名加工情報を作成し、それを復元することを禁止しておかなければ、本人の同意なく第三者に提供された後に、識別されて元の個人情報が復元できることになります。要配慮個人情報という類型を作り、他の個人情報より厳しい規制をかけたことが潜脱されてしまわないためにも、匿名加工情報において復元が禁じられていることは大きな意味があると思われます。

まとめ

以上をまとめて図にしてみました。分かりやすくなったでしょうか？

改正個人情報保護法については、様々な解説書が出ているのですが、どれを読んでもピンとこないのが匿名加工情報の説明です。というのは、改正前の個人情報保護法の下でも、特定の個人を識別することができない情報に加工した上で、本人の同意なく第三者に提供することは許されていました。

改正により、匿名加工情報を第三者に提供する際には、個人に関する情報の項目を公表し、匿名加工情報であることを明示することになっています（法３６条４項、３７条）。

それじゃあ、かえって第三者提供で行う規制が厳しくなり、ビッグデータの利活用という改正の背景と矛盾するのではないの？と感じる向きもあるのではないでしょうか。

国会審議での疑問提起

実際、国会の審議では次のような議論がなされています（第１８９回国会衆議院予算委員会第１分科会議録第１号・平成２７年３月１０日）。特に目を引く発言部分に下線を引きました。 続きを読む →

「匿名加工情報取扱事業者」とは、匿名加工情報データベース等を事業の用に供している者をいいます。匿名加工情報に合わせて改正法で定められました。匿名加工情報取扱事業者は、匿名加工情報の提供時の公表・明示義務、識別行為の禁止の義務および安全管理措置等の努力義務を負います

匿名加工情報取扱事業者とは

改正法の条文

改正により、以下の条文が新設されました。

匿名加工情報の取扱いに対する規制

ビッグデータの利活用として、個人情報取扱事業者は作成した匿名加工情報を自ら取り扱うのではなく、第三者に提供し分析等を依頼し、事業に役立てたり、新しいサービスを生み出したりします。さらに匿名加工情報を売却することもあるでしょう。

それでは、こうした匿名加工情報の提供を受けた第三者は何らの義務も負わないのでしょうか。

いいえ、改正個人情報保護法は一定の規制をしています。

匿名加工情報は、特定の個人を識別することができないもので、かつ復元することができない情報ですが、この２つの要件を満たしているかどうかは、あくまで通常人の能力では特定の個人の識別や元の個人情報の復元ができないことを基準としています。つまり、高度な技術を用いれば、特定の個人が識別されたり、復元がなされたりすることもありうる情報なのです。したがって、匿名加工情報の取扱いについても一定の規制をしておかなければ、個人の権利利益の侵害の可能性を払拭できないのです。

すでに数回の記事で分けて書きましたが、その一つが匿名加工情報を作成する場合の個人情報取扱事業者の義務です。もう一つが、匿名加工情報取扱事業者の義務となります。

匿名加工情報取扱事業者とは

さて、「匿名加工情報取扱事業者」とは、匿名加工情報データベース等を事業のために用いる事業者のことです。

匿名加工情報データベース等とは、
①特定の匿名加工情報をコンピュータを用いて検索することができるように体系的に構成したデータベース
②目次や索引などで特定の匿名加工情報を容易に検索することができるように体系的に構成した情報の集合物
をいいます。

匿名加工情報取扱事業者から、国、地方公共団体、独立行政法人等、地方独立行政法人等は除かれます。

匿名加工情報取扱事業者の義務

匿名加工情報取扱事業者は、以下の義務を負います。

第三者提供時の公表・明示義務

改正法の条文

改正法は、匿名加工情報取扱事業者が、他者から提供を受けた匿名加工情報をさらに第三者に提供する場合に、以下のように公表・明示義務を定めています。

匿名加工情報が二次流通する際の規制です。

個人情報取扱事業者から匿名加工情報を受領した匿名加工情報取扱事業者は、さらにその匿名加工情報を第三者に提供するときに、あらかじめ個人に関する情報の項目を公表し、その第三者に匿名加工情報であることを明示しなければなりません。

提供の方法

「提供」とは、匿名加工情報を第三者が利用可能な状態に置くことをいいます。ハードコピーを郵送するなど匿名加工情報が物理的に提供されている場合のほか、サーバにアップロードするなど、ネットワーク等を利用することにより、第三者が匿名加工情報を利用できる状態にあれば、提供にあたります（個人情報の保護に関する法律についてのガイドライン〈匿名加工情報編〉２１頁）。

公表項目

公表義務のある個人に関する情報の項目は、個人情報取扱事業者が負う公表義務の項目と同様です。すべて削除したものは公表する必要はなく、一部削除したり置き換えたりした項目を公表しなければなりません。

公表の方法

公表とは、不特定多数の人々が知ることができるように発表することをいいますので（個人情報の保護に関する法律についてのガイドライン〈通則編〉２３頁）、インターネット上の利用（改正個人情報保護規則２３条１項）、パンフレットの備置き・配布、ポスター等の掲示・備付けなどが含まれます。

明示の方法

明示とは、第三者に対し、提供する情報が匿名加工情報であることを明確に示すことをいいます（個人情報の保護に関する法律についてのガイドライン〈匿名加工情報編〉２２頁）。

明示の方法は、電子メールを送信する方法または書面を交付する方法その他の適切な方法により行います（改正個人情報保護法施行規則２３条２項）。

識別行為の禁止

改正法の条文

改正法は、個人情報取扱事業者と同様に、匿名加工情報取扱事業者にも、匿名加工情報の識別行為を禁止しています。

匿名加工情報は、通常の方法では特定の個人を識別できないようにし復元できないようにすることによって自由な利活用を認める新しい類型の情報です。高度な技術によって特定の個人が識別できる可能性は残されています。
個人情報取扱事業者が提供した先の匿名加工情報取扱事業者が、保有している情報と照合するなどして、元の個人情報を復元すれば、第三者提供について本人の同意を要件とした規定が、いったん匿名加工情報としのちに個人情報に復元することにより、容易に潜脱できてしまうことになります。これでは、個人の権利利益は保護されません。

そこで、改正法は、匿名加工情報取扱事業者の個人情報の復元を禁止して、こうした事態を防止しています。

取得が禁止される情報

匿名加工情報取扱事業者は本人を識別するために、復元することができる可能性の高い以下の情報を取得してはなりません。

①匿名加工情報の元となった個人情報から削除された記述等
②個人識別符号
③加工の方法に関する情報

また、本人を識別するために他の情報と照合してはなりません。他の情報には特に限定はありません。

安全管理措置・苦情処理・その他

改正法の条文

改正法は、以下のように、匿名加工情報取扱事業者に、安全管理措置、苦情処理、その他適正な取扱いを確保するために必要な措置を講じる努力義務を課しました。

安全管理措置

匿名加工情報取扱事業者にも安全管理措置の義務があります。ただし、努力義務にとどまります。これは、匿名加工情報が特定の個人を識別することができず、たとえ漏えいしても個人の権利利益を侵害するおそれが低いためです。ここが個人情報取扱事業者の安全管理措置の義務と違う点です。

とはいえ、匿名加工情報の元となった情報が要配慮個人情報である場合など、匿名加工情報が不正に入手され個人情報が復元された場合には、個人の権利利益の侵害のおそれが高まることは否定できないと思われます。情報の質によっては、安全管理措置を講じておく必要があるでしょう。

苦情処理その他

また、匿名加工情報取扱事業者は、苦情処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、それを公表するよう努める義務があります。

個人情報取扱事業者は、匿名加工情報の安全管理措置を講じるよう努めなければなりません。苦情処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じる努力義務も負っています。そして、これらの措置の内容を公表するよう努めなければなりません。

改正法の条文

改正法で新設された条文は、次のように定めています。

個人情報に関する義務と異なり、努力義務となっています。 続きを読む →

個人情報取扱事業者は、元となった個人情報の本人を識別するために、匿名加工情報と他の情報を照合することが禁じられています。

改正法の条文

改正法で新設された条文は、次のように定めています。

個人情報取扱事業者は、元となった個人情報の本人を識別するために、匿名加工情報と他の情報を照合することが禁じられています。匿名加工情報は、加工によって特定の個人を識別することができないようにし、復元できないようにすることによって、個人情報保護法に定義する「個人情報」から除外した新しい類型の情報です。目的外利用や本人の同意なく第三者提供を許容するなど自由な利活用が認められています。このことが大前提ですから、個人の識別のための照合は認められていません。 続きを読む →

個人情報取扱事業者は、匿名加工情報を第三者に提供するときは、あらかじめ第三者に提供される匿名加工情報に含まれる個人に関する情報の項目および提供の方法を公表し、第三者に対し匿名加工情報であることを明示しなければなりません。

改正法の条文

改正法で新設された条文は、次のように定めています。

公表事項

続きを読む →