利用目的とは

利用目的は、データベースに入っていない個人情報にもかかる、個人情報保護法の基本的なルールです。何のために使うかを先に決めて示し、その範囲で扱うことで、本人が自分の情報の使われ方を予測できるようにします。

できる限り特定する

事業者は、利用目的をできる限り特定しなければなりません（17条1項）。ガイドライン（通則編）は、本人が一般的かつ合理的に想定できる程度に具体的に特定することが望ましいとしています。「事業活動に用いるため」のような抽象的な書き方では、特定したことになりません。購買履歴などから趣味・嗜好を分析して広告に使うなら、その分析をすることが本人にわかるように書きます。

変更と目的外利用

利用目的は、変更前の目的と関連性を有すると合理的に認められる範囲でしか変更できません（17条2項）。変更したら、本人に通知するか公表します（21条3項）。特定した目的の達成に必要な範囲を超えて扱うには、あらかじめ本人の同意が必要です（18条1項）。法令に基づく場合や、人の生命・身体・財産の保護に必要で同意を得るのが難しい場合などは例外です（18条3項）。

取得したときの手続

• 取得したら、あらかじめ公表している場合を除き、速やかに本人に通知するか公表します（21条1項）。
• 契約書やWebの入力フォームなどで本人から直接取得する場合は、あらかじめ本人に明示します（21条2項）。
• 取得の状況からみて利用目的が明らかな場合などは、通知や公表は要りません（21条4項）。

AIとの関係

個人情報保護委員会は2023年6月、生成AIサービスに個人情報を含むプロンプトを入力する場合は、利用目的の達成に必要な範囲内かを十分に確認するよう注意を促しました。

2026年の改正（未施行）

2026年7月17日に公布された改正法は、取得の状況からみて本人の意思に反しないため、本人の権利利益を害しないことが明らかな場合を、目的外利用に本人の同意が要らない場合に加えました。2026年10月31日時点では施行されていません。