このページの要点
- 利用目的はできる限り特定する（17条1項）。特定した範囲を超えて使うには、あらかじめ本人の同意が必要（18条1項）。
- 基本の目的を先に書き、広告・掲載・分析など本人が想定しにくい目的は別立てにして、取得の場面で説明しやすくする。
- 写真・体験談の掲載は、利用目的に書き、取得の場面で掲載先と顔の写り方を示して同意を確認する二段構えにする。
- 目的の変更は、変更前と関連性を有すると合理的に認められる範囲内で行い（17条2項）、変更後は通知または公表する（21条3項）。
結論：利用目的は広く書くほど安全、ではありません
個人情報保護法は、個人情報を取り扱うにあたって、その利用の目的（利用目的）を「できる限り特定しなければならない」としています（17条1項）。そして、特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱うには、あらかじめ本人の同意が必要です（18条1項）。この二つが組み合わさると、利用目的を広く書いておけば何にでも使える、という発想は成り立たないことが分かります。
「サービス向上のため」「事業活動に必要な範囲で」「その他当社が必要と認める目的」といった書き方は、何に使うのかが読み取れません。目的の特定として足りないおそれがあるだけでなく、後で実際に広告への掲載や、分析、新しいサービスの開発に使いたくなったとき、書いていない目的になってしまい、同意の取得が必要になります。反対に、具体的に書いておけば、その範囲で堂々と使えます。つまり、広く書くことは安全策ではなく、将来の自由を狭める書き方です。
このページでは、(1)特定の程度の考え方、(2)業種・サービスの区分ごとの並べ方、(3)広告・写真・事例紹介に使う場合の位置づけ、(4)統計・分析と加工情報の用語の使い分け、(5)目的を追加・変更するときの手順、の順に整理します。取得の入口ごとに何を取っているかは情報の棚卸しで先に洗い出しておくと、利用目的の書き分けが進めやすくなります。
「できる限り特定」の程度：本人が想定できる具体さで書く
17条1項は、利用目的の「特定」の程度を細かく定めてはいません。個人情報保護委員会のガイドライン（通則編）は、本人が、自分の個人情報がどのような事業の用に、どのような目的で利用されるのかを、一般的かつ合理的に想定できる程度に具体的に特定することを求める趣旨で説明しています。細かな例示は、原文で確認が必要です。ここでは、考え方として次の三つの目安を持っておくと、判断がしやすくなります。
- 用途が読み取れるか：「サービスの提供」「予約の確認」「商品の発送」のように、読んだ人が「それなら分かる」と思える動詞と目的語が入っているか。
- 事業の種類が読み取れるか：「当社の事業」とだけ書かれるのでなく、どのような事業のための利用かが分かるか。
- 将来の使い道を丸ごと含めていないか：「今後開始するサービスのため」のように、未確定の用途を一括りにしていないか。
特に問題になりやすいのは、次の二つの書き方です。どちらも、読んだ人が「何に使われるのか」を想像できないため、特定として足りるかが疑わしく、かつ、追加の目的を書く場合に、実際の運用と文言の間にずれが生じやすくなります。
書き方の例（一般的な例） 利用目的の書き方
抽象的な目的
理由何を材料にして、何のために使うかが分かる程度まで具体化する必要があるため（17条1項）
包括的な末尾の目的
理由「その他必要な目的」は、範囲が読み取れず、特定の趣旨に合わないため。末尾に置くなら、法令対応のように範囲が確定するものに限る
付随する目的
理由「付随」の範囲が本人にとって想像できる範囲を超えないようにするため。何が付随するのかを一言添える
「前各号に付随する目的」は、広く使われる言い回しですが、この一文だけで追加の目的をまかなうことはできません。付随する目的として本人が一般的に想定できる範囲の目的に限られ、新しい用途は、別の項として書くことになります。
区分ごとの並べ方：先に書く目的と、別立てにする目的を分ける
利用目的の書き方は、業種によって並べる順序が変わります。共通する考え方は、(1)サービスを提供するために欠かせない目的（基本の目的）を先に書き、(2)本人が当然とは考えにくい目的（広告への利用、分析、掲載など）は別立てにして、取得の場面で説明しやすくする、というものです。次の表は、六つの区分での並べ方の目安です。
区分別の利用目的の並べ方
| 区分 | 基本の目的（先に書く） | 別立てにする目的 | 取得の場面で別に確認しやすいもの |
|---|---|---|---|
| 店舗・教室・スタジオ | 予約の受付と確認、当日の連絡、施術・指導の提供、記録の管理 | 来店後のご案内、アンケートの実施 | 写真・動画・口コミの広告掲載 |
| 健康・心身の相談 | 相談への対応、助言の提供、継続の案内 | 相談内容の記録と次回以降の参考 | 事例としての紹介、外部への情報共有 |
| 通販・予約販売 | 注文の受付、決済、発送、返品や問い合わせへの対応 | メルマガ・DMの送付、購入履歴に基づく案内 | レビューの掲載、広告配信への利用 |
| SNS・会員制コミュニティ | 会員の登録と本人確認、サービスの提供、通報への対応 | 利用状況の分析、おすすめの表示 | 投稿の宣伝への利用 |
| オンライン講座・相談 | 申込みの受付、受講の管理、連絡、教材の提供 | 受講状況の分析、修了後のご案内 | 受講者の声の掲載 |
| 施設の貸出・利用 | 利用予約の受付、利用者の確認、利用中の事故への対応 | 利用後のご案内 | 利用の様子の撮影物の掲載 |
この表で「別立てにする目的」と「別に確認しやすいもの」を分けているのは、法律上の扱いが異なるからです。別立てにする目的は、同じ書面の中で並べて書いても、取得の前後に通知・公表できる範囲のものです。これに対して、写真や口コミの広告掲載のように、本人の顔や言葉が外部に出る目的は、利用目的に書くだけでなく、掲載の可否を別に尋ねて同意を得る運用が、後のトラブルを防ぎます（次の章で扱います）。
もう一つ、並べ方で意識したいのは、同じ情報が複数の目的に使われる場合の書き方です。たとえば、予約の際に取得した連絡先は、予約の確認だけでなく、日程変更の連絡や、キャンセル待ちの案内、来店後のお礼の連絡にも使われます。これらを「ご連絡のため」と一括りにするか、個別に書くかは、本人の想定のしやすさで決めます。通常は、予約に直接関わる連絡と、サービスの案内（宣伝を含む）とは分けて書き、後者に別の同意や配信停止の手段を用意すると、本人にとっても分かりやすくなります。
広告・体験談・写真・事例紹介に使うときの位置づけ
利用目的の追加で最も多い相談は、お客様の写真や体験談を、ホームページやSNSで紹介したい、というものです。ここには、法律上の問題が二つ重なります。一つは、利用目的に「広告・宣伝のための掲載」が入っているかという問題（17条、18条）です。もう一つは、掲載が不特定多数への提供にあたり、個人データの第三者提供（27条）として本人の同意が必要になる場面があり得る、という問題です。掲載する内容が個人データに当たるか、第三者提供に当たるかは、情報の中身や掲載の仕方によって判断が分かれます。一般的な運用としては、次の二段構えが、いずれの問題にも対応しやすくなります。
写真・体験談を掲載したいときの二段構え
- 利用目的に書くポリシーの利用目的に「当店の案内・広報のための、写真・コメントの掲載」を、基本の目的とは別の項として書く
- 取得の場面で尋ねる撮影の前、または口コミを依頼する前に、掲載先（ホームページ、SNSなど）と、顔が写るかどうかを示して、同意を確認する
- 同意の記録を残す同意を得た日、範囲（掲載先、期間）を記録する
- 撤回の窓口を示す掲載の取りやめを求められたときの連絡先と対応の流れを決めておく
「基本的にご同意いただいたものとみなします」という書き方は、取得の場面で明示的に尋ねていない点で、同意の取り方として弱くなります。利用目的に書く段階と、同意を取る段階を分けるほうが、整合します。
利用目的の項に別立てで書く場合の例
当店は、お預かりした個人情報のうち、お客様が掲載に同意された写真・コメントを、当店の案内・広報のために、当店のホームページおよびSNSアカウントに掲載することがあります。
掲載の可否は、撮影または口コミのご依頼の際に、掲載先と顔が写るかどうかをお示ししたうえでお尋ねします。掲載後の取りやめのご希望は、受付窓口までお申し出ください。
基本の目的（予約の確認、施術・指導の提供など）とは別の項に置きます。同意を取る段階と、書面に載せる段階を分けています。
利用目的に広告への利用を載せていないまま、写真や体験談を掲載してしまうと、特定した利用目的の範囲を超えた取扱いになるおそれがあります（18条1項）。この場合は、掲載の前に、本人の同意を得るのが原則です。同意を得ずに行った掲載を事後的に取りやめる場面でも、本人からの利用停止等の請求（35条）が問題になることがあります。掲載を想定している事業は、最初から利用目的に載せ、取得の場面で同意を取る運用にしておくのが、後の手間を減らします。
統計・分析・新サービス開発と、匿名加工情報・仮名加工情報の言葉の使い分け
ポリシーに「統計データを作成します」「個人を特定できない形に加工して分析します」といった文言がしばしば登場します。ここでの言葉の選び方に、注意が必要です。個人情報保護法には、「匿名加工情報」と「仮名加工情報」という、特別な意味を持つ用語があるからです。
加工に関する用語の違い
| 用語 | 条文での位置づけ | 主な義務 | 「統計処理」との関係 |
|---|---|---|---|
| 統計的な集計（一般的な意味） | 法に特別な定義はない。特定の個人が分からない形の集計結果は、通常は個人情報に当たらない | 集計の元データ（個人情報）の利用目的の特定と範囲の遵守 | 集計に使う元データが、利用目的の範囲内にあることを確かめる |
| 匿名加工情報（2条6項） | 特定の個人を識別できないように加工し、元の個人情報を復元できないようにしたもの | 規則の基準に従った加工、項目の公表、提供時の公表と明示（43条） | 「匿名加工情報」と書くなら、これらの義務を果たす前提になる |
| 仮名加工情報（2条5項） | 他の情報と照合しない限り特定の個人を識別できないように加工したもの | 利用目的の公表、目的の範囲を超えた取扱いの制限、第三者提供の禁止など（41条） | 「仮名加工情報」と書いて作成・利用するなら、41条の規律の対象になる |
一般的な「統計処理」の意味で「匿名加工情報」と書くと、法の定める作成基準・公表義務を満たしていないにもかかわらず、満たしているかのように読めます。逆に、法の用語を使わずに「個人を特定できない形で集計して利用します」と書くのであれば、集計の元データの利用目的が特定されているかを確かめれば足ります。個人情報から統計データを作成する作業を、利用目的として書いておくかどうかは、個人情報保護委員会のガイドラインとQ&Aの説明を原文で確認して決めます。
新サービスの開発や商品企画への利用も、同じ観点で書き分けます。「新サービスの開発のため」とだけ書くのでなく、どのような情報を、何の目的で利用するのかを一言添えます。たとえば、「ご利用状況の集計に基づく、メニューや営業日の見直しのため」のように書くと、本人の想定の範囲が見えやすくなります。AIの学習への利用など、情報の外部利用が絡む場合は、別の論点（外部サービスの区分や外国への提供）が加わります。外部サービスのページで整理しています。
利用目的を追加・変更するときの手順
事業が進めば、当初の利用目的では足りなくなります。この場面の条文は三つです。17条2項は、利用目的を変更する場合は、変更前の利用目的と「関連性を有すると合理的に認められる範囲」を超えてはならない、としています。18条1項は、特定した利用目的の達成に必要な範囲を超えて個人情報を取り扱うには、あらかじめ本人の同意を得なければならない、としています。21条3項は、利用目的を変更した場合は、変更後の利用目的を本人に通知し、または公表しなければならない、としています。
目的を追加・変更するときの手順
- 追加したい用途を特定する何の情報を、何のために、誰の情報に対して使うかを書き出す
- 変更前との関連性を確かめる変更前の目的と、関連性を有すると合理的に認められる範囲に収まるか。収まるなら、次の通知・公表へ
- 範囲を超える場合は同意を得る範囲を超えるなら、新しい目的での取扱いについて、あらかじめ本人の同意を得る（18条1項）
- 変更後の目的を通知または公表するホームページへの掲載や本人宛ての通知など、変更後の目的を示す（21条3項）
- 旧版と変更日を記録する変更前後の文言と変更日を保管し、いつの時点の目的で取得した情報かを辿れるようにする
関連性の判断は、本人の側から見て予測できる範囲かどうかが中心になります。個別の当てはめは、ガイドライン（通則編）の説明を原文で確認します。
追加する目的が、既存の情報の利用に関わるのか、これから取得する情報にだけ関わるのかも、整理しておきます。これから取得する情報にだけ新しい目的を使う場合は、取得の時点で新しい目的を通知・公表（書面で直接取る場合は明示）すれば足ります。既に取得している情報に新しい目的を当てはめる場合は、上記の関連性の確認と、範囲を超える場合の同意が必要です。この二つを混同して、全員に同じ通知をするだけで済ませると、同意が必要な場面を見落とします。変更に伴うポリシーの改定の手続や、「利用を続けたら同意したものとみなす」という書き方の限界は、改定・同意のページで扱います。
確認の問い目的を書き足す前に確認する問い
追加する用途は、変更前の目的と関連性がありますか。本人にとって予測できる範囲ですか。
理由17条2項の範囲を超える変更はできず、その場合は新たに同意を得て取り扱うことになるためです。
この用途に使うのは、既に取得した情報ですか。これから取得する情報だけですか。
理由既に取得した情報に当てはめる場合の確認が必要になるためです。
本人の顔・声・言葉が外部に出る用途ではありませんか。
理由利用目的の問題に加え、掲載が第三者提供に当たり得るため、取得の場面で別に同意を確認する運用が向きます。
追加後の目的は、ホームページ、申込書面、掲示のどこに反映しますか。
理由変更後の目的の通知または公表（21条3項）を、実際に本人の目に触れる場所で行うためです。
利用目的の見せ方：フォーム上の短い表示と、ポリシー上の全体の一覧をそろえる
利用目的は、一か所だけに書かれるわけではありません。予約フォームの入力欄の近く、紙の申込書の冒頭、ホームページのプライバシーポリシー、店頭の掲示と、複数の場所に現れます。このとき、場所ごとに書き方が食い違うことが、実務でよく起きる不備です。フォーム上には「予約の確認のため」としか書かれていないのに、ポリシーには広告への利用まで載っている、あるいは反対に、ポリシーに載っていない目的が、申込書にだけ書かれている、といった食い違いです。
保有個人データについては、「全ての保有個人データの利用目的」を本人の知り得る状態に置くことが求められています（32条1項2号）。したがって、ポリシー上の一覧は、実際に行っている全ての目的を網羅するものでなければなりません。他方で、取得の場面（入力欄の近くや申込書の冒頭）では、その場面で取る情報に関係する目的を、短く読みやすく示すのが現実的です。両者の関係は、「場面ごとの短い表示は、ポリシー上の一覧の一部であり、矛盾しない」と整理すると、運用しやすくなります。
目的の表示が食い違いやすい場面
入力画面と全文
起きがちなこと入力欄の近くには基本の目的だけを書き、全文のポリシーには広告・分析まで載せている。入力時点では、後者に気づけない
整え方入力欄の近くに「主な目的」を示し、「その他の目的は全文をご覧ください」と全文へのリンクを添える
紙の申込書とホームページ
起きがちなこと申込書は古い版のまま。ホームページのポリシーだけを更新している
整え方改定のたびに、申込書・問診票・掲示物の文言も差し替え、版の管理をそろえる
メールやLINEの配信
起きがちなこと予約の確認のために取得した連絡先を、広告の配信にも使っているが、配信の目的はどこにも書かれていない
整え方配信を別の目的として書き、配信停止の窓口を示す
問い合わせへの返信
起きがちなこと問い合わせの返信にだけ使うつもりで取得したメールアドレスを、メルマガに登録している
整え方問い合わせへの対応に限って使い、配信を始めるなら別の同意を得る
それぞれの場面で示す表示は、文言をそろえるのでなく、内容が矛盾しないことをそろえます。短い表示に載せる目的と、全体の一覧の目的の対応表を、手元に作っておくと管理しやすくなります。
この対応表は、新しい目的を追加するときにも役立ちます。追加する目的が、どの場面の表示に関わるのかが一覧で分かるため、ホームページのポリシーだけを書き換えて、紙の申込書や掲示物を更新し忘れる、という食い違いを防げます。利用目的の変更を行った場合の手順（17条2項、18条1項、21条3項）は、前の章に整理したとおりです。
起きがちなこと：利用目的の記載と実態のずれ
起きがちなこと
- 「サービス向上のため」「その他必要な目的」だけで、何に使うのかが読み取れない。
- 広告・SNSへの掲載を想定しているのに、利用目的に載せていない。または、載せていても取得の場面で説明していない。
- 写真・体験談の掲載を「基本的に同意したものとみなします」と書き、取得の場面での確認を省いている。
- 「匿名加工情報」の語を、一般的な統計処理の意味で使い、法の作成基準や公表義務を果たしているかのように読める。
- 基本の目的と、本人が想定しにくい目的を同じ項に混ぜて並べ、どれを断ることができるのかが分からない。
- 目的を追加したのに、旧版との関連性の確認をせず、ホームページの文言だけを書き換えている。
利用目的の書き方は、取得の経路ごとに示す場所が変わります。来店型の事業では店舗・教室型のページ、健康や心身の相談では健康相談のページ、通販は通販・会員のページで、それぞれの取得場面に合わせた書き方を整理しています。全体を点検する順番は不備の点検・FAQにまとめました。
よくあるご質問
利用目的は、何個くらいに分けて書くのがよいですか。
個数に決まりはありません。目安は、本人が「それぞれ何に使われるのか」を読み取れる程度に分けることです。基本の目的（予約の受付、サービスの提供、問い合わせ対応など）と、本人が想定しにくい目的（広告への掲載、分析、新サービスの開発、配信など）は、別の項に分けると、取得の場面での説明も、後の追加も、しやすくなります。一つの項にいくつも目的を詰め込むと、どの目的について同意や配信停止の手段が用意されているのかが分からなくなります。
「その他、当社が必要と認める目的」と書き添えておくのは、問題ですか。
利用目的は、できる限り特定しなければなりません（17条1項）。「その他、当社が必要と認める目的」は、範囲が読み取れないため、特定として足りないおそれがあります。それに、こう書いておいたからといって、実際に新しい用途で使うときに本人の同意を省略できるわけでもありません。特定した範囲を超えて使うには、あらかじめ本人の同意が必要です（18条1項）。末尾に置くなら、法令に基づく対応のように、範囲が確定する内容に限るのが安全です。
お客様の写真をSNSに載せるには、利用目的に書くだけで足りますか。
利用目的に書くことは必要ですが、それだけで足りるとは限りません。顔の写った写真を掲載することは、不特定多数への提供にあたり、個人データの第三者提供（27条）として本人の同意が問題になり得る場面があります。実務では、撮影や口コミの依頼の際に、掲載先と顔が写るかどうかを示したうえで、掲載の可否を別に尋ねて同意を記録する運用が、利用目的の問題と提供の問題の両方に対応しやすい方法です。
目的を追加したいとき、ホームページの文言を書き換えるだけでよいですか。
それだけでは足りない場合があります。利用目的の変更は、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えてはならず（17条2項）、変更後の目的は本人に通知または公表します（21条3項）。範囲を超える用途で既に取得した情報を使うには、あらかじめ本人の同意が必要です（18条1項）。書き換えが関連性の範囲にとどまるのか、同意が必要なのかを、先に確かめてください。
「統計的に処理して利用する」と書くと、匿名加工情報の義務が生じますか。
一般的な意味で「統計的な集計をする」と書くことと、法の「匿名加工情報」を作成して取り扱うこととは、別の話です。法の匿名加工情報（2条6項）は、規則の基準に従って加工し、作成時に項目を公表するなどの義務を伴います（43条）。法の用語を使わず、単に集計するだけであれば、匿名加工情報の義務は生じませんが、集計の元になる個人情報の利用目的が特定され、その範囲内で使っているかは確かめる必要があります。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の事業への当てはめは、取り扱う情報の種類やサービスの仕組みによって異なることがあります。条文は e-Gov 法令検索（法令API）で確認した現行のものに基づき、まだ施行されていない改正は現行の内容として扱っていません。参考: e-Gov法令検索 / 個人情報保護委員会 / 総務省
