個人情報の保護に関する法律 第21条（取得に際しての利用目的の通知等）

個人情報を取得した事業者に、利用目的の通知・公表・明示を義務づける規定です。取得後は速やかに通知か公表、書面での直接取得時は取得前の明示が必要です。

取得後「速やかに」です。明確な日数はありませんが、取得から遅滞なく行う必要があります。書面で直接取得する場合は取得より前の明示が求められます。

公表はサイト掲載など不特定多数が知り得る状態にすること、明示は本人が実際に認識できる形で示すことです。書面での直接取得では明示が求められます。

対象になります。2017年改正で5000件要件が撤廃され、事業として個人情報を扱えば件数を問わず個人情報取扱事業者となり、21条の義務を負います。

21条4号の4類型のみです。本人・第三者の権利利益を害する、事業者の正当な利益を害する、公的事務への協力に支障、取得状況から目的が明らかな場合です。

変更した場合は変更後の利用目的を本人に通知または公表する必要があります（21条3項）。ただし変更の範囲は18条の制限を受けます。

取得状況から目的が明らかなら4号で免除される余地がありますが、名刺を顧客管理やDMに転用する場合は目的が自明とは限らず、通知義務が残ることがあります。

直ちに刑罰ではなく、まず個人情報保護委員会の指導・勧告・命令（148条）を経ます。命令違反で初めて罰則（178条）が科されます。

サイトでの公表は21条1項の「あらかじめ公表」に当たり得ますが、契約書や申込書で本人から直接個人情報を書かせる場合は、2項でより厳しい「明示」が求められます。取得の前に本人が利用目的を認識できる形が必要です。業界裏話ヒント：規約の末尾にリンクを一つ置くだけでは「明示」として弱いと見られることがある。直接取得の場面では、入力欄のすぐ近くに利用目的を書くのが、後の争いで一番効く

1項の通知・公表は口頭でも理論上は可能ですが、後で「言った・言わない」の争いになれば、記録のない口頭説明は事業者に不利に働きます。2項の書面での直接取得では、書面等による明示が実務上の前提です。業界裏話ヒント：委員会の調査で問われるのは「どう伝えたか」ではなく「伝えた記録が残っているか」。口頭運用の会社は、違反していなくても立証で崩れる。記録に残す設計そのものがリスク管理になる

21条違反が直ちに刑罰になるわけではありません。まず個人情報保護委員会の指導・勧告・命令（148条）という段階を踏み、その命令に従わなかった場合に初めて罰則（178条）が科されます。業界裏話ヒント：実務で怖いのは刑罰そのものより、委員会の公表と報道による信用毀損。命令や行政指導の事実が公になった時点で、取引先離れや採用への打撃のほうが、金額換算では大きいことが多い