個人情報の目的外利用とは？企業が押さえるべきリスクと対策を解説

「個人情報の目的外利用とは、どのようなことなのだろうか」
「個人情報の目的外利用と判定されるのは、どのようなケースなのだろうか」
と気になりませんか。
企業が日常的に取り扱う「個人情報」は、適切に管理しなければ大きな法的リスクにつながります。
とくに注意が必要なのが「目的外利用」です。
目的外利用は、意図せず行ってしまうケースもあり、企業側が気づかないうちに違反してしまうことがあります。
本記事では、個人情報の基本的な考え方から、目的外利用の具体例、企業が負うリスク、実務上の対策までをわかりやすく解説します。

そもそも「個人情報」とは何を指すのか

弁護士
野俣 智裕

ここでは、法律上の「個人情報」がどこまで含まれるのかを整理します。

法律上の「個人情報」はどこまで含まれるのか

個人情報とは、「生きている個人に関する情報で、特定の個人を識別できるもの」を指します。
氏名や住所、電話番号といった典型的な情報だけでなく、メールアドレス、社員番号、顔写真、IPアドレスなども、状況によっては個人情報に該当します。
また、単体では個人を特定できなくても、他の情報と照合することで特定できる場合も個人情報に含まれます。企業が扱う情報の多くが、実は個人情報に該当する可能性がある点は見落とされがちです。

企業が見落としがちな個人情報の具体例

実務上、特に見落とされやすいのが以下のような情報です。

• 問い合わせフォームの入力内容
• 名刺管理ソフトに登録された連絡先
• 従業員の評価データや勤怠情報
• 顧客とのメール履歴
• 防犯カメラの映像

これらは「業務上当然に扱っている情報」と思われがちですが、該当する可能性があります。

「個人情報だと思っていなかった」では通用しない理由

「知らなかった」「意識していなかった」という理由は免責になりません。企業として個人情報を取り扱う以上、法令を理解したうえで適切に管理する義務があると考えられています。

目的外利用とは何か

弁護士
野俣 智裕

ここでは、目的外利用の基本的な考え方と、なぜ問題になるのかを解説します。

目的外利用の基本的な考え方

個人情報を手に入れた際に説明・公表した目的とは異なる目的で、その情報を利用することをいいます。
たとえば、

• 資料請求のために取得した情報を営業メールに利用する
• 採用応募者の情報を別部署で利用する
• 取引先から預かった情報を別案件で流用する

といったケースが該当します。
原則として、個人情報は「取得時に特定した利用目的の範囲内」でしか利用できません。

なぜ目的外利用が問題になるのか

目的外利用が問題視される理由は、本人の予測や期待を裏切る行為だからです。
個人は「この目的のために使われる」と理解したうえで情報を提供しています。それにもかかわらず、別の用途で使われれば、プライバシー侵害につながります。
また、目的外利用は個人情報保護法に明確に違反する行為であり、指導や勧告、命令の対象となる可能性があります。

目的外利用が企業に与えるリスク

弁護士
野俣 智裕

ここでは、実際に企業が負うことになるリスクについて整理します。

行政からのペナルティが発生する可能性がある

目的外利用が発覚した場合、個人情報保護委員会からの行政指導や、場合によっては刑事罰の対象になる可能性があります。

損害賠償やクレーム対応に発展するケース

個人情報が不適切に利用された結果、本人に損害が生じた場合、損害賠償請求を受ける可能性があります。
また、金銭的な損害が発生していなくても、クレーム対応や説明対応に多くの時間とコストを取られることになります。

取引先・顧客からの信用低下につながるおそれがある

個人情報トラブルは、企業の信頼を大きく損ないます。
一度でも「情報管理が甘い会社」という評価がつくと、取引停止や契約解除につながることも珍しくありません。
特にBtoB取引では、情報管理体制は重要な評価項目です。

情報流出によって利用者が経済的損失を被る可能性

情報が外部に流出した場合、なりすまし被害や詐欺被害につながることもあります。こうした被害が発生すると、企業の社会的責任は非常に重くなります。

実際に問題になりやすい目的外利用の例

弁護士
野俣 智裕

ここでは、実務で特に起こりやすいケースを紹介します。

取得目的と異なる社内利用をしてしまうケース

採用目的で取得した履歴書を、別部署で人員配置の参考資料として利用するなど、社内利用であっても目的が異なれば目的外利用となります。

委託先・外注先への安易な情報共有

業務委託の際に、必要以上の個人情報を共有してしまうケースもあります。委託契約を結んでいても、目的外利用が許されるわけではありません。

営業・マーケティング目的での流用

問合せ対応のために取得した情報を、本人の同意なく営業活動に使うケースは典型的な違反例です。特にメールマーケティングでは注意が必要です。

個人情報保護法との関係（企業が押さえるべきポイント）

弁護士
野俣 智裕

ここでは、実務上とくに重要な法律上のポイントを整理します。

利用目的の特定と目的外利用の禁止

個人情報を取り扱う際には、あらかじめ利用する目的をはっきりさせ、その範囲を超えて使わないことが求められます。
目的をあいまいにしたまま情報を取得・利用することは、法令上認められていません。

本人同意が必要になる場面を知る

利用目的を変更する場合や、第三者に提供する場合、原則、本人の同意が必要です。同意の取得方法や記録の残し方も重要なポイントになります。

企業が最低限やるべき実務対応

弁護士
野俣 智裕

ここでは、企業が実務上、押さえておくべき対応を解説します。

利用目的を明確にし、社内で共有する

まず重要なのは、「その個人情報を何の目的で使うのか」を明確にすることです。
問合せ対応、契約管理、採用業務など、取得目的ごとに利用範囲を整理し、社内で共有しておく必要があります。
目的が曖昧なまま情報を使い回してしまうと、意図せず目的外利用に該当するおそれがあります。利用目的は文書化し、誰が見てもわかる状態にしておくことが重要です。

アクセス権限・管理体制を見直す

個人情報は「誰でも見られる状態」にしてはいけません。
業務上必要な人だけがアクセスできるよう、権限を限定することが基本です。
特に注意したいのが、

• 退職者のアカウントが残っている
• 委託先に必要以上の情報を渡している

といったケースです。
定期的にアクセス権限を見直すだけでも、リスクは大きく下げられます。

従業員への教育とルール整備

個人情報トラブルの多くは、悪意ではなく「知らなかった」「うっかり」が原因です。
そのため、個人情報の基本ルールや注意点を、社内で定期的に共有することが重要になります。
特に、顧客対応や採用に関わる部署には、

• どこまで使ってよいのか
• やってはいけないことは何か

を明確に伝えておく必要があります。

定期的な見直しとリスク点検

業務内容や使用するツールは年々変化します。
それに伴い、個人情報の扱い方も変わっていくため、定期的な見直しが欠かせません。
「今の運用は目的外利用に当たらないか」
「情報を持ちすぎていないか」
といった視点でチェックすることで、トラブルを未然に防ぐことができます。

まとめ

業務で扱う情報は、使い方を誤ると法的な問題や信用低下につながるおそれがあります。
特に、取得時の目的を超えて利用してしまうケースは、企業側が気づかないうちにリスクを抱えがちです。
日頃から利用目的や管理体制を見直し、社内での扱い方を明確にしておくことが重要です。
情報の取扱いに不安がある場合は、早めに専門家へ相談することをおすすめします。
お困りの際は、当事務所までお気軽にご相談ください。

記事の監修者

代表弁護士野俣智裕

弁護士法人 ダーウィン法律事務所 代表弁護士

経歴や実績などはこちら

■東京弁護士会
■日弁連信託センター