2025/06/16

個人情報保護法～個人情報取扱事業者の個人情報に関する義務について

　個人情報保護法の対象となる事業者（個人情報取扱事業者）は、個人情報の漏えい事故などが起こらないよう、個人情報を適切に取り扱わなければなりません。個人情報保護法では、17条から21条までで、個人情報取扱事業者の義務のうち、個人情報に関する義務について規定しています。

　本コラムでは、個人情報取扱事業者の個人情報に関する義務について解説いたします。

目次 [close]

1 個人情報の利用に関する義務
2 個人情報の取得に関する義務
- 2.1 適切な取得（個人情報保護法20条）
- 2.2 利用目的の通知・公表等（個人情報保護法21条）

個人情報の利用に関する義務

利用目的の特定（個人情報保護法17条）

個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。

２　個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはならない。

　個人情報を取り扱うに当たっては、利用目的をできる限り特定しなければなりません。どの程度の特定が必要かについては、個人情報取扱事業者の事業目的に照らして、利用目的達成に必要かどうかを判断できる程度には特定しておく必要があると考えられます。

　利用目的の変更は可能ですが、変更前の利用目的と合理的関連性を有する範囲内に限られます。「合理的に認められる範囲」と限定されているので、社会通念上、本人が想定することが困難でない範囲内でのみ、変更が許容されると解釈できます。なお、変更された利用目的は、本人に通知するか、又は公表しなければなりません。

目的外利用の禁止（個人情報保護法18条）

個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。

２　個人情報取扱事業者は、合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはならない。

３　前二項の規定は、次に掲げる場合については、適用しない。
一　法令（条例を含む。以下この章において同じ。）に基づく場合
二　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五　当該個人情報取扱事業者が学術研究機関等である場合であって、当該個人情報を学術研究の用に供する目的（以下この章において「学術研究目的」という。）で取り扱う必要があるとき（当該個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六　学術研究機関等に個人データを提供する場合であって、当該学術研究機関等が当該個人データを学術研究目的で取り扱う必要があるとき（当該個人データを取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。

　本人による事前の同意がない個人情報の目的外利用は、原則として禁止されます。この場合、「本人の同意」は、合理的かつ適切な方法によらなければならず、できる限り明確な明示の同意を得るのが望ましいです。本人が未成年の場合は、法定代理人の同意を得る必要があります。

　本条の義務に違反した場合、個人情報保護法148条により、個人情報保護委員会の勧告・命令の対象となります。個人情報保護委員会からの命令にも違反した場合は、1年以下の懲役又は100万円以下の罰金に処せられます（個人情報保護法178条）。

不適切な利用の禁止（個人情報保護法19条）

個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

　違法または不当な行為を助長し、または誘発するおそれがある方法によって個人情報を利用してはなりません。「違法又は不当な行為」とは、個人情報保護法その他の法令に違反する行為及び個人情報保護法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいいます。「違法又は不当な行為」に該当するか否かは個別の事案ごとに判断されます。

個人情報の取得に関する義務

適切な取得（個人情報保護法20条）

個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。

２　個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。
一　法令に基づく場合
二　人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
三　公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
四　国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
五　当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
六　学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
七　当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第五十七条第一項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合
八　その他前各号に掲げる場合に準ずるものとして政令で定める場合

　偽りその他不正の手段によって個人情報を取得してはなりません。「不正の手段」とは、犯罪行為と同視できるような違法行為、例えば、窃取、詐欺、脅迫等が含まれます。また、十分な判断能力を有していない子どもや障がい者から、取得状況から考えて関係のない家族の収入事情などの家族の個人情報を、家族の同意なく取得する場合もこれにあたります。また、「取得」とは、単に閲覧するにすぎない場合には該当せず、当該情報を転記の上検索可能な状態にしている場合や、当該情報が含まれるファイルをダウンロードしてデータベース化する場合が該当します。

　「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報」とされている要配慮個人情報を取得する際には、事業者は所定の例外事由（法令、同意困難、支障等）を除き、原則として本人の事前同意が必要となります。

要配慮個人情報については、こちらのコラムをご覧ください。

利用目的の通知・公表等（個人情報保護法21条）

個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。

２　個人情報取扱事業者は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（電磁的記録を含む。以下この項において同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

３　個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

４　前三項の規定は、次に掲げる場合については、適用しない。
一　利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合
二　利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合
三　国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
四　取得の状況からみて利用目的が明らかであると認められる場合

　個人情報を取得した場合、あるいは利用目的を変更した場合、あらかじめ利用目的を公表している場合を除き、利用目的を速やかに本人へ通知し、または公表しなければなりません。通知の方法としては、具体的に以下が挙げられます。