要点個人情報保護法 18 条は、事業者が本人の同意なく、特定した利用目的の範囲を超えて個人情報を使うことを禁じる。合併・買収でも承継前の目的に縛られる。
Q · 通販で入力した住所やメールを、会社が別の広告に勝手に使ってもいいの？
原則ダメ。同意した目的の範囲外は違反になりうる
個人情報保護法 18 条により、事業者は本人の同意なく、最初に特定した利用目的の達成に必要な範囲を超えて個人情報を使えません。プライバシーポリシーに「商品発送のため」としか書いていなければ、案内メールや広告配信への流用は目的外利用にあたります。合併・買収でデータを承継しても、旧会社が掲げた目的が新会社を縛り続けます（18 条 2 項）。ただし法令に基づく場合、人命・財産の保護、公衆衛生・児童育成、行政協力、学術研究の五つは例外です（18 条 3 項）。
通販サイトで買い物したときに入力した住所とメールアドレス。あなたは「商品を届けるため」に渡したつもりだ。ところが同じデータをその会社が別サービスの広告配信に流用したら、それは 18 条違反になりうる。個人情報保護法 18 条は、事業者が最初に特定した利用目的の範囲を超えて、あなたの同意なく個人情報を使うことを禁じる。ポイントは二つ。第一に、目的を後から広げるには原則あなたの同意が要る。第二に、会社が合併・買収されても、旧会社が掲げていた利用目的が新会社を縛り続ける。買収した側は勝手に用途を広げられない。ただし例外がある。法令に基づく場合、人命・身体・財産の保護、公衆衛生や児童の育成、行政への協力、学術研究。この五つの穴を知らないと、「同意してないのに使われた」と怒っても空振りする。
個人情報保護法 18 条は利用目的による制限を定める規定であり、個人情報取扱事業者は本人の同意を得ずに、17 条により特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないとする。事業承継により取得した個人情報も承継前の利用目的に拘束され、法令に基づく場合等の五類型のみが例外として除外される。
事業者が最初に特定した利用目的の達成に必要な範囲を超えて個人情報を使うことです（18 条 1 項）。本人の同意なく行えば原則として違反になります。
変更後の目的が変更前と関連性を有すると合理的に認められる範囲（17 条 2 項）なら通知・公表で足ります。その範囲を超えるなら本人の同意が必要です。
できます。個人情報保護委員会に申告でき、委員会は事業者に対し指導・勧告・命令を行えます。命令違反には罰則（179 条）が及びます。
本人は 35 条に基づき利用停止等を書面で請求できます。事業者が応じない場合は個人情報保護委員会への申告を検討します。
18 条違反はまず委員会の指導・勧告・命令で是正されます。命令に従わない場合に初めて罰則（179 条）が科されます。違反即罰則ではありません。
実際の利用実態と一致するよう具体的に特定します。過度に広い包括表現は無効とされる余地があり、逆に狭すぎると必要な利用ができなくなります。
第三者提供は 27 条が別途規律します。目的の範囲内でも本人同意やオプトアウト手続が必要で、18 条と 27 条の両方を満たす必要があります。
法令に基づく場合、人の生命・身体・財産の保護、公衆衛生・児童育成、行政協力、学術研究機関等の学術研究目的の五類型です（18 条 3 項）。
当初の利用目的に含まれていなければ、原則として本人の同意が必要です（18 条 1 項）。ただし変更後の目的が変更前と関連性を有すると合理的に認められる範囲（17 条 2 項）なら、同意なしで通知・公表により変更できます。業界裏話ヒント：多くの企業がプライバシーポリシーの利用目的を意図的に広く書くのはこのため。当社サービスの提供・改善・関連するご案内のような包括表現にしておけば後から使える範囲が広がる。あなたが同意する側なら、この包括表現こそ要注意
使われません。18 条 2 項が承継前の利用目的を超えた利用を明確に禁じています。買収した側は旧会社が掲げていた目的の範囲でしか使えず、用途を広げるにはあなたの同意が要ります。業界裏話ヒント：M&A の実務では、この 2 項が買った顧客リストを使えるかの分かれ目になる。デューデリジェンスで対象企業の利用目的が狭く書かれていると、買収後にデータが塩漬けになる。だから玄人はデータの利用目的の広さも企業価値の一部として査定する
いいえ。18 条 3 項 1 号の法令に基づく場合は、法令上の具体的根拠がある照会に限られます。警察の捜査関係事項照会（刑事訴訟法 197 条 2 項）は任意協力であり、事業者に応じる義務まではなく、範囲も必要最小限が原則です。業界裏話ヒント：照会が来ても、どの法令のどの条文に基づくかを確認せず反射的に全部出す事業者は多い。本来は照会の範囲と根拠を精査すべきで、過剰な提供は逆に本人へのプライバシー侵害責任を生む
条件付きで本当です。18 条 3 項 5 号・6 号で、学術研究機関等が学術研究目的で取り扱う必要がある場合は例外です。ただし個人の権利利益を不当に侵害するおそれがある場合は除かれます。業界裏話ヒント：この学術研究例外は令和 3 年改正で大きく整理された部分。かつては国公立と私立の研究機関で適用ルールが違ったが、今は一本化された。研究目的を掲げれば無制限ではなく、あくまで研究に必要な範囲かつ権利侵害のおそれなしが前提（最新の改正状況をご確認ください）
| dimension | thisArticle | alternatives |
|---|---|---|
| 規律の対象 | 18 条：特定した利用目的の範囲を超える利用（目的外利用）の禁止 | — |
| 本人同意の要否 | 範囲を超える利用には原則同意が必要（例外は 3 項の五類型） | — |
| 本人の主な救済 | 35 条による利用停止等請求、委員会への申告 | — |
ログインすると、他の読者と一緒にこの条文へメモを残せます。
ログインして共同ノートを始める以下は各文が単独で意味の通る客観的事実です。引用は e-Gov法令検索を基準としてください。