第１　利用目的の範囲内での利用

取得編（https://www.kp-lo.jp/law-info/--.html）では、個人情報を取り扱うに当たっては、利用目的を特定しなければならないこと、特定した利用目的については、原則として予め公表しておく必要があることを紹介しました。

そして、個人情報の利用については、特定した利用目的の範囲内で利用することも事業者の義務とされており、事業者が特定した利用目的を超えて個人情報を利用するためには、本人の同意を得る必要があります（法第16条第１項）。

本人の同意の取得方法については制限がないので、口頭でも構いませんが、同意の有無が争いとならないように記録化しておくことが推奨されます。

なお、本人の同意を得るために個人情報を利用すること（メールの送信や電話をかけることなど）は、当初特定した利用目的として記載されていない場合でも、目的外利用には該当しないとされています（ガイドライン通則編28頁）。

ここで、取得編（https://www.kp-lo.jp/law-info/--.html）で説明したように、変更後の利用目的が変更前の利用目的と関連性を有すると合理的に認められる場合であれば、利用目的の変更に当たり、本人の同意は不要です（法第15条第２項）。

第２　不適正な利用の禁止

事業者は、「違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。」とされています（改正個人情報保護法第16条の２）。かかる条項は、令和２年改正法で新たに設けられた規定です。

第３　破産者マップ事件

不適正な利用の禁止に該当する一例としては、破産者マップ事件が参考となります。

破産者マップ事件とは、官報公告されている破産者の情報をデータベース化して、同意を得ることのないまま、ウェブサイトに掲載していたという事件です。かかる事件では、利用目的の通知・公表や第三者提供に関する同意を得ることがなかったという点で個人情報保護法違反の問題がありました。個人情報保護委員会は、ウェブサイトに掲載していた事業者に対しウェブサイトの停止等の措置を応じるよう命令を下しています。

改正法下では、このような破産者マップ事件におけるような利用態様については、「違法又は不当な行為を助長し、又は誘発するおそれがある」として、改正個人情報保護法第16条の２にも違反するものであると考えられます。

なお、一般的に公開されている情報であっても、個人情報に該当するので、公開情報に該当するからといって、第三者提供が許されるわけではないことも、この事例で改めて確認しておく必要があります。

第４　まとめ

個人情報は、自社で設定した利用目的を超えて利用しないように注意が必要です。設定した利用目的とは異なる方法で利用する場合には、取得編（https://www.kp-lo.jp/law-info/--.html）で解説した利用目的の変更の手続を踏むことが必要です。

また改正個人情報保護法では不適正な利用が禁止されることとなり、何が不適正な利用にあたるかは今後の事例の集積を待つ必要があるものの、利用方法が「違法」ではないとしても、不適切であるとして個人情報保護法違反に当たるとされる場合があることに注意が必要です。