個人情報の目的外利用はどこまで許される？例外規定と社長が知るべき判断基準

「この情報、別の目的で使っていいのかな」と迷ったことはないでしょうか。顧客リストをイベント案内に流用した、採用応募者にサービスのメルマガを送った、社員の住所を別の案件で参照した……。そのひとつひとつの判断が、実は相当なリスクをはらんでいます。でも「たぶん大丈夫だろう」と思ってしまうのは、社長のせいではありません。個人情報の目的外利用のルールは、正直なところ分かりにくい。例外があるのも事実で、「どこまでが許されるのか」の線引きが見えにくい。だからこそ、何度も「これ、いいのかな」と迷いながら判断してきた方も多いはずです。

この記事では、個人情報の目的外利用が許される例外のしくみと、実際に違反になってしまうケースの構造を整理します。法律の条文をなぞるだけでなく、「うちの会社ではどう考えればいいのか」に答えることを目的に書いています。

「目的内か目的外か」——そもそも何が問題なのか

個人情報保護法は、個人情報を取得するとき、その利用目的をあらかじめ特定して本人に知らせることを事業者に求めています。そして特定した目的の範囲内でしか、その情報を使ってはいけないというのが大原則です。

たとえば、「お問い合わせへの回答」という目的で受け取ったメールアドレスを、後日メールマガジンの配信リストに追加した場合、これは目的外利用にあたります。「どうせメールを持っているんだから」という感覚で動いてしまいがちですが、本人が想定していない使い方をしている点で、法的には問題が生じます。

ではなぜ社長がこの判断を誤りやすいのか。それは「情報を持っていること」と「使っていいこと」が、感覚的に混同されやすいからです。一度手に入れた情報は「自分のもの」のように感じてしまう。でも個人情報は、あくまで特定の目的のために預かっているものです。その意識の転換が、この問題を理解する第一歩です。

目的外利用が例外的に許される場面——法律が定める6つの例外

個人情報保護法（第18条3項）は、一定の場合に限り、利用目的の範囲を超えた利用を認めています。ただし、例外とはあくまで「例外」であり、広く使えるものではありません。以下の6つが法定の例外です。

• 法令に基づく場合：税務調査や捜査機関からの照会など、法律上の義務として求められる場合。
• 人の生命・身体・財産の保護のために必要で、本人の同意を得ることが困難な場合：緊急時の連絡や救命対応など。
• 公衆衛生の向上または児童の健全な育成のために必要で、本人の同意を得ることが困難な場合：感染症対策など公的目的での情報共有。
• 国の機関・地方公共団体・その委託を受けた者が法令の定める事務を遂行することに協力する必要があり、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがある場合。
• 学術研究機関等が学術研究目的で扱う場合（一定要件のもと）。
• 個人情報保護委員会規則で定める場合。

一見すると「緊急時や公的機関の要請なら使えるんだな」と分かります。しかし現実のビジネスで問題になるのは、これらのどれにも当てはまらないのに「この使い方は合理的だから大丈夫だろう」と判断してしまうケースです。例外規定は、事業者の都合のよい解釈で広げることはできません。

また「本人の同意があれば目的外利用もOK」という点も重要です。ただしこの「同意」は、事後的に追認をとることや、お知らせメールの末尾に小さく書くだけでは足りず、明確に・事前に・自由意思に基づいて取得されたものである必要があります。

問題が起きる前にできること——プライバシーポリシーの「目的の書き方」が勝負

目的外利用のリスクを減らすうえで、もっとも効果が大きい予防策は「利用目的の書き方を適切に設計すること」です。

多くの会社のプライバシーポリシーには、「サービスの提供のため」「お問い合わせへの対応のため」といった記載があります。これ自体は正しいのですが、目的が狭く書きすぎていると、少し別の使い方をしただけで「目的外」になってしまいます。逆に広すぎると、今度は「特定」の要件を満たせず、それ自体が違反になります。

ポイントは「自社がこの情報を使う可能性のある場面を、本人が合理的に予測できる範囲で書く」ということです。たとえば、顧客への請求対応と合わせて、関連サービスのご案内をする可能性があるなら、その旨も明記しておく。採用応募者の情報を、採用活動に限らず、選考後の勧誘連絡にも使いたいなら、最初に明示する。このひと手間が、後々のトラブルを防ぎます。

また、社内の運用ルールとしても、「この情報を使っていいのは何のためか」を担当者が迷わず判断できる基準を作っておくことが重要です。現場が「なんとなく」で判断している状態は、リスクが高い。個人情報の取り扱いに関する社内規程や、従業員向けの研修体制を整えることが、実質的な予防になります。

問題発生時の対応フロー——「やってしまった」と気づいたときに取るべき手順

目的外利用が起きてしまった場合、あるいはそのおそれがあると気づいた場合、何をすべきかを順番に整理します。

1. 事実の確認と記録：いつ、誰が、どの情報を、何の目的に使ったか。メール送信ログ、アクセス履歴、社内のやり取りなど、証拠になりうる情報を確保します。この段階で削除や上書きをしてしまうと、後で自社を守る証拠がなくなります。
2. 影響範囲の把握：何件の個人情報が対象か、どこまで情報が流通したかを確認します。
3. 個人情報保護委員会への報告義務の確認：2022年の法改正により、一定規模以上の漏えいや不正利用が発生した場合は、個人情報保護委員会への報告と本人への通知が法的義務になっています。対象になるかどうかを早期に判断することが重要です。
4. 本人への対応方針の決定：謝罪・説明・情報の削除など、本人からの申出にどう対応するかを事前に整理します。
5. 再発防止策の立案：同じことが繰り返されないよう、運用のどこに問題があったかを検証し、改善します。

特に重要なのは、「気づいた時点ですぐに証拠を保全すること」です。証拠は紛争になってから急に作れるものではありません。インシデント発生直後の初動対応が、その後の交渉・訴訟対応を大きく左右します。

失敗事例の構造——なぜ相談が遅れ、なぜ証拠がなかったのか

実際のご相談の中で、目的外利用に関するトラブルが深刻化した事例を振り返ると、いくつかの共通した構造が見えてきます。

相談が遅れた理由①：「うちは大丈夫」という思い込み
「小さな会社だし、そんな大きな問題になるはずがない」という感覚で、指摘されるまで動かなかったケースが多くあります。個人情報保護法の違反は、規模にかかわらず問題になります。むしろ体制が整っていない小規模事業者ほど、発覚したときのダメージが大きい。

相談が遅れた理由②：担当者レベルで止まっていた
現場の担当者が「これは問題だ」と気づいていても、「社長に報告したら怒られる」「自分の判断ミスだから黙っておこう」と抱え込んでしまう。その間に問題が拡大し、発覚したときには手遅れになっているケースがあります。情報が上がってくる仕組みを作っておくことが不可欠です。

証拠がなかった理由：「いつ・何のために使ったか」の記録がなかった
情報を使った経緯が、担当者の記憶だけに残っている状態では、後から「目的の範囲内だった」と主張しようにも裏付けがありません。送信ログ、業務日報、承認フローなど、実際の利用が記録として残っているかどうかが、紛争になったときの明暗を分けます。

また、エンターテイメント関連の企業で、契約関係にあった人物の個人情報を誤ってウェブサイト上で公開してしまい、損害賠償請求を受けた事案もありました。「相手が悪い」という言い分があっても、情報を公開した事実が残っている以上、法的には不利な状況に置かれます。公開の背景にどんな経緯があったかを適切に証拠化し、法的に整理した主張を組み立てることが、損害額を抑えるうえで重要でした。

うちの会社ではどう考えればいいのか——判断の軸を持つ

法律の例外規定を覚えることも大切ですが、社長に持っていただきたい判断の軸はシンプルです。

「この使い方を、情報を提供した本人が見たとき、納得できるか」

これが一番の基準です。法律的に許されるかどうかと、社会的に許容されるかどうかは、必ずしも一致しません。法的にセーフであっても、本人が「そんな使い方をされるとは思っていなかった」と感じれば、信頼を失い、クレームになり、ときに炎上します。

もうひとつの軸は「プライバシーポリシーに書いてあるかどうか」です。書いてあれば、少なくとも本人への事前告知がある。書いていなければ、目的外利用として問題になるリスクが高い。何かを迷ったときはプライバシーポリシーに戻って確認する習慣を、社内に根づかせましょう。

次の一手として、今すぐできることを挙げます。

• 自社のプライバシーポリシーの「利用目的」の記載を確認する（古いまま放置されていないか）。
• 現場の担当者が個人情報の使い方を判断するとき、どんなルールで動いているかを確認する。
• 過去1年間に、取得目的と異なる使い方をしたことがないかを振り返る。
• 上記を確認したうえで、懸念があれば専門家に相談する。

再発防止策——「その都度の判断」から「仕組みで守る」体制へ

目的外利用のリスクを継続的に管理するには、担当者個人の注意に頼るのではなく、仕組みとして機能させることが必要です。

具体的には以下の体制を整えることをお勧めします。

• 個人情報管理規程の整備：どんな情報を、誰が、何の目的で使えるかを文書化する。担当者が変わっても運用が維持される。
• 利用目的の変更手続きの明文化：新しい目的で情報を使いたい場合、誰が承認するかのフローを決める。現場の独断で目的が拡大されないようにする。
• 定期的な従業員研修の実施：年1回でも、個人情報の取り扱いについての研修を実施する。「知らなかった」という状態をなくす。
• プライバシーポリシーの定期的な見直し：事業内容が変わったら、利用目的も見直す。新サービス開始時には必ず確認する習慣をつける。
• インシデント発生時の報告フローの確立：問題に気づいた担当者が、すぐに上長・法務担当者に報告できるルートと文化を作る。

個人情報の目的外利用は、一度問題が起きてから対応するよりも、起きないように体制を整える方が、コスト・信頼・時間のすべてにおいて圧倒的に有利です。

個人情報の目的外利用は、単発の案件として対処するよりも、社内規程・プライバシーポリシー・従業員研修・報告フローをセットで整えることで、はじめてリスクを継続的に管理できます。これは一度整備すれば終わりではなく、事業の変化に合わせてアップデートし続けることが必要です。顧問弁護士がいれば、新しいサービスを始めるとき・従業員が増えるとき・プライバシーポリシーを見直すときなど、節目ごとに法的な確認を重ねながら体制を強化できます。弁護士法人ブライトでは、顧問先142社の実名を公開し、企業法務部の弁護士歴平均14年以上のチームが、「みんなの法務部」として日々の法務判断を継続的にサポートしています。揉めてから弁護士を使うのではなく、揉めないように弁護士を使う体制を、一緒に作りましょう。

よくある質問（Q&A）

Q. 採用応募者のメールアドレスで、採用後にサービスのお知らせを送っても大丈夫ですか？

A. 採用目的で取得した情報を、サービス告知に使うことは目的外利用にあたります。採用応募時に「採用後のサービス案内にも使用する」旨を明示し、同意を得ていれば問題ありませんが、そうでない場合は改めて同意を取得するか、使用を控えることが安全です。裁判例でも、採用選考目的で取得した情報を合否通知後もメール配信に使い続けた行為が不法行為と認定された事例があります。

Q. 「統計情報として加工すれば使っていい」と聞いたのですが、本当ですか？

A. 特定の個人を識別できないように加工した「匿名加工情報」にすれば、元の利用目的と異なる形での利用や第三者提供が可能になります。ただし、加工の要件（個人情報保護委員会規則に基づく基準）を満たしていなければなりません。「個人名を消しただけ」では匿名加工情報にはなりません。仮名加工情報とは要件が異なる点にも注意が必要です。

Q. 業務委託先に個人情報を渡す場合、目的外利用になりますか？

A. 委託先に渡すこと自体は「第三者提供」に当たらない扱いとされており、適切な委託契約（監督義務の履行）があれば、目的外利用の問題とは別に整理されます。ただし、委託先が委託の範囲を超えて情報を使った場合は問題になります。委託契約書に「委託業務以外の目的での利用禁止」を明記し、監督する体制を整えることが必要です。

Q. 目的外利用が発覚した場合、どんなペナルティがありますか？

A. 個人情報保護委員会から指導・勧告・命令を受ける可能性があり、命令違反の場合は刑事罰（1年以下の懲役または100万円以下の罰金）の対象になります。また、被害を受けた本人からの損害賠償請求（民事訴訟）のリスクもあります。加えて、レピュテーションリスク（企業イメージの毀損）は金銭的損害以上の影響を及ぼすこともあります。

この記事の監修者

和氣 良浩（わけ よしひろ）

弁護士法人ブライト｜代表弁護士／パートナー弁護士

大阪弁護士会／大阪大学法学部卒

専門：顧問弁護士・企業法務・M&A・経営権紛争・事業再生

個人情報の目的外利用・プライバシーポリシーの整備・個人情報漏えいインシデント対応など、経営上の課題を継続的に相談できる顧問弁護士をお探しの方は、弁護士法人ブライト「みんなの法務部」にお問い合わせください。顧問先142社の実名を公開しており、企業法務部の弁護士歴平均14年以上の経験豊かな弁護士が対応します。企業法務窓口：06-4965-9590（平日9:00〜18:00）