行政書士 一般知識 問33｜個人情報の利用目的変更・目的外利用の制限

正答はアです。利用目的を変更する場合は、変更前の目的と「関連性を有すると合理的に認められる範囲」を超えることはできず（17条2項）、変更後の目的を本人に通知または公表しなければなりません（21条3項）。イ（誤）：生命・身体・財産の保護のために必要で、本人の同意を得ることが困難である場合は目的外利用が認められます（18条3項2号）。「不可能でないとき」という誇大な要件ではなく「困難」で足ります。ウ（誤）：学術研究機関への提供であっても、無条件に提供できるわけではなく、提供先の学術研究機関等が学術研究目的で取り扱う必要があり、かつ個人の権利利益を不当に侵害するおそれがない場合に限られます（目的外利用の点は18条3項6号、第三者提供の点は27条1項7号）。エ（誤）：「個人情報を取得した目的のために利用します」という包括的な表現は、利用目的を「できる限り特定」する義務（17条1項）を果たしておらず、そのような包括的目的記載は無効です。オ（誤）：目的外利用に個人情報保護委員会への届出は不要です。本人同意があれば足ります。

アが正答です。17条2項は「個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない」と定め、21条3項は「利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない」と規定しています。「関連性」の判断は、変更前後の目的の間に合理的な継続性・親和性があるかどうかで判断します（例：商品購入者への関連商品案内は関連性あり、全く別業種の勧誘は関連性なし）。イ（誤）：18条3項は、法令に基づく場合のほか、①生命・身体・財産の保護のために必要で同意取得が困難、②公衆衛生の向上または児童の健全育成のために特に必要で同意取得が困難、③国の機関等が法令の定める事務を遂行することに協力する必要があり、同意取得により支障を及ぼすおそれがある場合等を目的外利用の例外として認めています。①は「困難」で足り、「不可能」までは要求されません。ウ（誤）：学術研究機関等への提供の例外（目的外利用は18条3項6号、第三者提供は27条1項7号）は、提供先が学術研究目的で取り扱う必要があり、かつ個人の権利利益を不当に侵害するおそれがある場合を除くという要件付きであり、「常に」提供できるわけではありません。エ（誤）：17条1項は「利用目的をできる限り特定しなければならない」と規定し、包括的・抽象的な目的記載は「特定」の要件を満たしません。オ（誤）：目的外利用には原則として本人同意が必要ですが（18条1項の反対解釈）、委員会届出は要件とされていません。

【利用目的の特定義務の趣旨と「できる限り特定」の意味】

17条1項の「できる限り特定しなければならない」という規定の趣旨は、本人が自己情報の利用態様を予測・理解できるようにすることで、本人の自己情報コントロール権を実質的に保障することにあります。この趣旨からすれば、「サービスの提供のため」「マーケティングのため」といった抽象的な記載では足りず、どのような事業の用に供され、どのような目的で利用されるのかを本人が想定できる程度に具体的に示すことが求められます。エのような「個人情報を取得した目的のために利用します」という表現は、利用目的の特定義務を全く果たさない無効な記載です。

【利用目的変更の「関連性」基準の詳細】

17条2項の「変更前の利用目的と関連性を有すると合理的に認められる範囲」という基準は、実務上重要な判断基準です。具体的には①変更前後の目的の性質・内容の親和性、②本人が変更前の目的から変更後の目的での利用を予測できるか、という二つの観点から判断します。OECDプライバシーガイドライン（1980年）の目的明確化原則（Purpose Specification Principle）と利用制限原則（Use Limitation Principle）が日本法の解釈基準の背景にあります。変更例として認められやすいもの：同一サービス内での別機能提供（購入履歴を使った推薦機能追加）。認められにくいもの：A社が収集した顧客データをB社（グループ外）の全く別目的に流用すること。

【18条3項の例外類型の詳細】

利用目的外の利用・第三者提供が許容される例外（18条3項・27条1項）には以下の類型があります。①法令に基づく場合（捜査機関への照会等）、②人の生命・身体・財産の保護のために必要で本人同意が困難な場合、③公衆衛生の向上・児童の健全育成のために特に必要で本人同意が困難な場合、④国の機関・地方公共団体等が法令の定める事務を遂行することへの協力が必要で、本人同意により支障を及ぼすおそれがある場合、⑤学術研究機関等に関する場合（事業者自身が学術研究機関等である場合：18条3項5号・27条1項5号・6号、提供先が学術研究機関等である場合：18条3項6号・27条1項7号。いずれも個人の権利利益を不当に侵害するおそれがある場合を除く）。これらの例外は限定列挙であり、拡張解釈は許されません。行政書士実務では特に①（行政機関からの照会への対応）と④（地方公共団体業務への協力）が問題になる場面があります。

【上位資格・実務への接続】

個人情報の利用目的規律は、プライバシー・ポリシーの法的有効性判断に直結します。利用目的が適切に特定・公表されているか、変更の際に法定手続が踏まれているかは、企業のコンプライアンス体制監査の核心事項です。行政書士は企業向けプライバシーポリシーのレビュー・作成支援業務において、17条・18条・21条の要件充足の確認が実務上の核心スキルとなります。また、EU GDPRの目的制限原則（Article 5(1)(b)）との対比では、日本法の「関連性」基準はGDPRの「compatible purposes」判断と類似した構造を持つ点も押さえておくと国際業務に応用できます。

【根拠条文】

個人情報の保護に関する法律 第17条第1項（利用目的の特定）・第17条第2項（利用目的変更の範囲）・第18条第1項（目的外利用の禁止）・第18条第3項（例外事由）・第21条第3項（変更時の通知・公表）・第27条第1項第7号（学術研究機関等への第三者提供）

※条番号は現行条文に基づく。

【補足】

変更は「関連性を有すると合理的に認められる範囲」内でのみ可（17条2項。条文に「相当の」の語はない）＋変更後の通知・公表義務（21条3項）。例外は18条3項の限定列挙。「できる限り特定」は包括記載では不十分。