問1利用目的の特定と変更
利用目的に関する次のア・イの記述について、その正誤の組み合わせとして最も適切なものを1つ選びなさい。
- ア．個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない。
- イ．個人情報取扱事業者は、利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて変更してはならない。
- アー正、イー正
- アー正、イー誤
- アー誤、イー正
- アー誤、イー誤
解答・解説を見る
正解：1（アー正、イー正）
利用目的は後から自由に変えられる、と考えると、イで誤ります。
個人情報は『何のために使うか』をあいまいにしたまま扱ってはならない。そこで個人情報取扱事業者は、個人情報を取り扱うに当たって利用目的をできる限り特定しなければならない（個人情報保護法17条1項）。いったん特定した利用目的を変更する場合も、無制限ではなく、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて変更してはならない（同17条2項）。その範囲を超えて使いたいときは、別途あらかじめ本人の同意を得る必要がある。
問2利用目的による制限と例外
利用目的による制限に関する次のア・イの記述について、その正誤の組み合わせとして最も適切なものを1つ選びなさい。
- ア．個人情報取扱事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない。
- イ．法令に基づく場合であっても、本人の同意がない限り、利用目的の達成に必要な範囲を超えて個人情報を取り扱うことは一切認められない。
- アー正、イー正
- アー正、イー誤
- アー誤、イー正
- アー誤、イー誤
解答・解説を見る
正解：2（アー正、イー誤）
「同意がなければ絶対に目的外利用できない」と考えると、イで誤ります。
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならない（個人情報保護法18条1項）。これが利用目的による制限（目的内利用の原則）である。ただし例外があり、(1) 法令に基づく場合、(2) 人の生命・身体・財産の保護に必要で本人同意が困難な場合、(3) 公衆衛生・児童の健全育成に特に必要で同意が困難な場合、(4) 国等への協力が必要な場合など一定の場合には、本人の同意がなくても目的外の取扱いが認められる（同18条3項）。原則と例外をセットで押さえる。
問3不適正な利用の禁止と適正な取得
個人情報の利用・取得に関する次のア・イの記述について、その正誤の組み合わせとして最も適切なものを1つ選びなさい。
- ア．個人情報取扱事業者は、不正の手段によらず取得した個人情報であれば、違法または不当な行為を助長し、または誘発するおそれがある方法で利用してもよい。
- イ．個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。
- アー正、イー正
- アー正、イー誤
- アー誤、イー正
- アー誤、イー誤
解答・解説を見る
正解：3（アー誤、イー正）
「取得が適正なら使い方は自由」と考えると、アで誤ります。
個人情報の取扱いには、取得と利用の両面で適正さが求められる。利用面では、違法または不当な行為を助長し、または誘発するおそれがある方法で個人情報を利用してはならない（不適正利用の禁止。個人情報保護法19条）。これは取得が適正だったかどうかとは別に課される義務である。取得面では、偽りその他不正の手段によって個人情報を取得してはならない（適正な取得。同20条1項）。『正しく集める』だけでなく『正しく使う』ことまで求められる点を押さえる。
問4取得に際しての利用目的の通知・公表
取得に際しての利用目的の取扱いに関する次のア・イの記述について、その正誤の組み合わせとして最も適切なものを1つ選びなさい。
- ア．個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、または公表しなければならない。
- イ．本人から直接書面に記載された個人情報を取得する場合であっても、利用目的の明示はまったく必要ない。
- アー正、イー正
- アー正、イー誤
- アー誤、イー正
- アー誤、イー誤
解答・解説を見る
正解：2（アー正、イー誤）
「書面で集めるなら何も告げなくてよい」と考えると、イで誤ります。
個人情報を取得したときは、あらかじめ利用目的を公表している場合を除き、速やかにその利用目的を本人に通知するか公表しなければならない（個人情報保護法21条1項）。さらに、申込書やアンケートのように本人から直接書面（電磁的記録を含む）で個人情報を取得する場合は、より丁寧な対応として、原則あらかじめ本人に利用目的を明示しなければならない（同21条2項。人の生命・身体・財産の保護のため緊急に必要な場合は例外）。取得の仕方に応じて『通知・公表』と『明示』が求められる。
問5利用目的の変更時の通知と例外
利用目的の通知に関する次のア・イの記述について、その正誤の組み合わせとして最も適切なものを1つ選びなさい。
- ア．利用目的を変更した場合は、変更後の利用目的を本人に通知する必要はなく、社内で記録しておけば足りる。
- イ．取得の状況からみて利用目的が明らかであると認められる場合であっても、利用目的の通知・公表を省略することは認められない。
- アー正、イー正
- アー正、イー誤
- アー誤、イー正
- アー誤、イー誤
解答・解説を見る
正解：4（アー誤、イー誤）
「変更は社内記録で足りる」「例外はない」とどちらも思い込むと、両方で誤ります。
利用目的を変更した場合は、変更後の利用目的について本人に通知するか公表しなければならない（個人情報保護法21条3項）。変更を本人に知らせず使い続けることは許されない。他方で、通知・公表の義務には例外もあり、本人や第三者の権利利益を害するおそれがある場合、事業者の権利・正当な利益を害するおそれがある場合、取得の状況からみて利用目的が明らかであると認められる場合などには、通知・公表の規定が適用されない（同21条4項）。原則（通知・公表が必要）と例外（不要となる場合）を取り違えないことが大切である。
問6利用目的による制限の例外
利用目的による制限の例外に関する次のア・イの記述について、その正誤の組み合わせとして最も適切なものを1つ選びなさい。
- ア．人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるときは、本人の同意なく、利用目的の達成に必要な範囲を超えて個人情報を取り扱うことができる。
- イ．公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるときも、目的外利用が認められる。
- アー正、イー正
- アー正、イー誤
- アー誤、イー正
- アー誤、イー誤
解答・解説を見る
正解：1（アー正、イー正）
目的外利用の例外は『同意が困難なほど公益性が高い』場面です。
利用目的による制限（個人情報保護法18条1項）には、本人同意なく目的外利用が認められる例外がある。(1) 法令に基づく場合、(2) 人の生命・身体・財産の保護に必要で本人同意が困難な場合、(3) 公衆衛生の向上・児童の健全育成に特に必要で本人同意が困難な場合、(4) 国等への協力が必要な場合などである（同条3項）。いずれも『同意取得が困難なほど公益性が高い』場面で、目的の縛りを緩める。
問7取得に際しての通知・公表の例外
取得に際しての利用目的の通知・公表の例外に関する次のア・イの記述について、その正誤の組み合わせとして最も適切なものを1つ選びなさい。
- ア．取得の状況からみて利用目的が明らかであると認められる場合であっても、利用目的の通知・公表を省略することはできない。
- イ．取得の状況からみて利用目的が明らかであると認められる場合は、利用目的の通知・公表の規定は適用されない。
- アー正、イー正
- アー正、イー誤
- アー誤、イー正
- アー誤、イー誤
解答・解説を見る
正解：3（アー誤、イー正）
目的が明らかなら、いちいち通知・公表しなくてよい場合があります。
取得時の利用目的の通知・公表（個人情報保護法21条1項～3項）には例外がある。(1) 本人・第三者の権利利益を害するおそれがある場合、(2) 事業者の権利・正当な利益を害するおそれがある場合、(3) 国等への協力に支障を及ぼすおそれがある場合、(4) 取得の状況からみて利用目的が明らかであると認められる場合には、通知・公表の規定が適用されない（同条4項）。原則と例外をセットで押さえる。
問8事業承継に伴って取得した個人情報の利用
事業承継に伴う個人情報の取扱いに関する次のア・イの記述について、その正誤の組み合わせとして最も適切なものを1つ選びなさい。
- ア．合併その他の事由により他の個人情報取扱事業者から事業を承継して個人情報を取得した場合、あらかじめ本人の同意を得ないで、承継前の利用目的の達成に必要な範囲を超えて取り扱ってはならない。
- イ．事業承継により個人情報を取得した場合、承継後は承継前の利用目的に拘束されず、自由に利用目的を変更して取り扱うことができる。
- アー正、イー正
- アー正、イー誤
- アー誤、イー正
- アー誤、イー誤
解答・解説を見る
正解：2（アー正、イー誤）
事業を引き継いでも、利用目的は引き継いだ範囲に縛られます。
合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて取り扱ってはならない（個人情報保護法18条2項）。事業承継自体は第三者提供に当たらない（27条5項2号）が、取得後の利用は承継前の目的に拘束される。M&A等で取得した個人情報の利用範囲が問題になる重要論点である。