利用目的変更時の
同意取得手続

企業が取得した顧客情報、会員情報、取引先担当者情報、従業員情報、アプリ利用履歴、購買履歴、問い合わせ履歴、位置情報、Cookie等に紐づく識別子、AI分析用データなどは、事業の成長に伴って当初の使い方から広がることがあります。既存顧客への新サービス案内、M&A後のデータ統合、問い合わせ履歴の生成AI利用、従業員データの人的資本分析などでは、まず同意フォームを作る前に、法的な位置付けを確認する必要があります。

次の重要ポイントは、利用目的変更時の同意取得手続で最初に押さえる結論を示しています。読者にとって重要なのは、同意の要否だけでなく、通知・公表、追加規律、システム制御までを一連の手続として読むことです。

実務では、次の7つの問いを順番に確認します。この一覧は、検討の抜け漏れを防ぐために重要であり、上から順に進めることで、同意取得だけに議論が偏らないようにできます。

1. 新しい使い方は、当初特定した利用目的の範囲内かを確認します。
2. 範囲内でない場合でも、変更前の利用目的と関連性を有すると合理的に認められる範囲内かを確認します。
3. 関連性のある範囲内であれば、本人への通知又は公表を適切に行っているかを確認します。
4. 関連性のある範囲を超える場合、目的外利用として事前に本人同意を取得する必要があるかを確認します。
5. 同意が必要な場合、本人が判断できる情報を示し、合理的かつ適切な方法で取得しているかを確認します。
6. 第三者提供、外国にある第三者への提供、要配慮個人情報、個人関連情報、未成年者、委託、共同利用、事業承継などの追加規律を確認します。
7. 同意取得後に、システム上の利用制御、証跡保存、撤回対応、社内監査に耐える運用ができているかを確認します。

次の比較表は、利用目的変更時の同意取得手続を3つの法的カテゴリーと追加規律に分けて整理したものです。列の左から順に、法務上の位置付けと企業が取るべき対応を確認してください。

次の3つの項目は、判断結果ごとの対応を並べたものです。どの項目に当たるかで、通知・公表で足りるのか、事前同意まで必要か、さらに別の手続が重なるのかを読み取れます。

このページは2026年6月7日時点の日本法、個人情報保護委員会のガイドライン及び公的Q&Aを前提とする一般的な解説です。個別案件では、業種規制、契約、消費者法、労働法、医療・金融・電気通信等の特別法、海外法、社内規程、当局対応の状況により結論が変わる可能性があります。

利用目的変更時の同意取得手続では、個人情報保護法の複数の規律を一体で検討します。次の一覧は、どの規律がどの場面に関わるかを示すもので、条文名だけでなく実務上の確認事項も合わせて読むことが重要です。

目的外利用にも例外がありますが、例外は事業上便利だから使えるものではありません。次の項目は、例外や高リスク利用を検討するときに残すべき判断要素を示しています。

利用目的が広すぎると本人にとって予測不能となり、後日の利用目的変更や目的外利用の判断で不利に働きます。一方で狭すぎると、合理的に関連する業務改善や関連サービス案内にも過度な手続負担が生じます。法務、事業、IT、コンプライアンスが協働し、本人の予測可能性と事業運営上の柔軟性のバランスを取ることが必要です。

企業法務、プライバシー担当、事業部門、IT部門、内部監査部門が協働するには、検討順序を時系列で固定することが有効です。次の時系列は、各段階で何を決め、どの証跡を残すかを示しています。

受付段階では、事業部門の要望をそのまま法的結論に結び付けず、施策の実体を確認します。次の表は、最初に集める情報と、それがなぜ判断に必要かを示しています。

目的マッピングでは、データ項目ごとに取得時の目的と新しい目的を並べます。次の表は、同じメールアドレスでも取得時の目的により結論が変わることを示しており、単純なデータ名だけで判断しないために重要です。

同意取得が必要な場合は、判断に必要な情報を本人に示してから同意を取得します。次の判断の流れは、同意画面や書面を作る前に、どの情報を整理するかを示しています。

証跡管理では、同意ログ自体も個人データになり得ます。次の表は、後日、本人、監査、当局、裁判、M&Aデューデリジェンスに説明するために保存する項目を示しています。

同意取得後は、法務判断だけでなくシステム制御まで実装します。未回答者、不同意者、撤回者の混入を防ぐため、同意目的ごとのフラグ、文言版ごとの対象範囲、配信システムや広告基盤への同期、委託先への伝達、本番前テストを整える必要があります。

文言例は、そのまま使えば適法になるものではありません。次の表は、同意を取得する場合に本人へ示す要素を整理したものです。左列の項目ごとに、本人が判断できる程度まで右列の内容を具体化することが重要です。

目的外利用について同意を取得する場合の文言例

当社は、これまでお客様の個人情報を、ご契約内容の確認、商品の発送、返品、交換、修理、保証対応、お問い合わせへの回答、重要なお知らせのご連絡のために利用してきました。今後、お客様に関連性の高い商品・サービス情報をお届けするため、商品・サービスの利用状況、購買履歴、閲覧履歴、お問い合わせ履歴を分析し、お客様の関心に応じた商品・サービス、キャンペーン、イベント、コンテンツを電子メール、アプリ通知、ウェブ画面等でご案内することについて同意をお願いしたいと考えています。

撤回については、マイページ又は配信停止リンクからいつでも同意を撤回できること、撤回後は当該目的での利用を停止すること、撤回前に実施済みの配信や法令・契約上保存が必要な情報の取扱いには影響しない場合があることを説明します。

関連性のある範囲内として通知・公表する場合の文言例

当社は、個人情報の利用目的を変更します。変更前の利用目的は、商品の発送、返品、交換、修理、保証対応、お問い合わせへの回答、重要なお知らせのご連絡です。変更後は、これらに加え、当社が提供する商品・サービスに関連するサポート情報、メンテナンス情報、関連商品・関連サービスのご案内のために利用します。変更日と問い合わせ先を明記し、変更後の目的が本当に関連性のある範囲内かを事前に法務判断し、記録します。

同意取得メールの文言例

件名 ― 個人情報の新たな利用目的に関する同意のお願い。本文では、現在の利用目的、追加したい利用目的、詳細確認ページ、同意する場合の操作、回答がない場合でも同意扱いにしないこと、同意しない場合でも契約管理、商品発送、お問い合わせ対応、重要なお知らせには影響しないことを説明します。

法務判定メモは、後日の問い合わせ、監査、当局対応、M&Aデューデリジェンスに耐えるために重要です。次の表では、メモに最低限入れる項目と確認内容を整理しています。

プライバシーポリシーを改定すれば同意取得になりますか

一般的には、プライバシーポリシーの改定と公表は、関連性のある範囲内の利用目的変更で重要な手続とされています。ただし、関連性の範囲を超える目的外利用では、原則として本人同意が必要となる可能性があります。具体的な対応は、変更前後の目的、取得時説明、対象データ、本人への影響を整理したうえで弁護士等の専門家へ相談する必要があります。

回答がない人を同意したものとして扱えますか

一般的には、回答がないことだけをもって一律に同意したものと扱うことは難しいとされています。本人が判断するために必要な情報を認識し、意思表示を確認できる方法が重要です。未回答者をどう扱うかは、対象サービス、説明内容、本人への影響により変わるため、資料を整理したうえで専門家へ相談する必要があります。

黙示の同意は認められますか

一般的には、黙示の同意が常に否定されるわけではないとされています。ただし、利用目的変更時の同意取得手続では、後日の証明可能性と本人の予測可能性が重要です。実務上は、明示的な同意を標準として設計することが多いですが、具体的には個別事情により判断が変わります。

同意取得のためにメールを送ることは目的外利用になりますか

一般的には、同意取得のために既存の連絡先を用いて本人へ連絡すること自体は、目的外利用とは整理されにくい場合があります。ただし、同意依頼に広告本体や目的外の案内を同封・同載すると、同意前の目的外利用となる可能性があります。メール内容、取得時の利用目的、送信対象を確認する必要があります。

変更前と変更後を対比して示す必要がありますか

一般的には、変更後の利用目的を通知又は公表すれば足りる場合があります。ただし、本人が理解しやすいように、変更前と変更後を対比して示すことは実務上有用です。問い合わせ対応や監査対応でも説明しやすくなるため、対比表の利用を検討する価値があります。

同意取得後に別の類似目的にも使えますか

一般的には、同意文言の範囲により判断されます。同意は包括的・無限定に解釈されるものではなく、新たな利用が同意文言、表示内容、本人の予測可能性を超える場合は、再度の利用目的変更判断又は追加同意が必要となる可能性があります。

同意しない人にサービスを提供しなくてもよいですか

一般的には、新目的がサービス提供に不可欠な場合と、広告・分析・二次利用のような任意目的の場合を区別する必要があります。不同意を理由に主要サービスを停止する設計は、同意の任意性や消費者保護の観点から問題となる可能性があります。本人に不利益がある場合は、事前に明確に説明し、必要性と相当性を検討する必要があります。

急いでいる場合、先に利用を始めて後から同意を取れますか

一般的には、目的外利用に該当する場合、あらかじめ本人同意を得る必要があります。事前同意が必要な案件では、同意取得、システム制御、証跡保存が完了するまで新目的での利用開始を控える設計が基本です。具体的な緊急性や例外該当性は、個別事情により慎重に検討する必要があります。

委託先に分析させるだけなら同意不要ですか

一般的には、委託先が委託元の利用目的の範囲内で処理するだけであれば、第三者提供同意は不要となる場合があります。ただし、委託元の利用目的自体を超える分析であれば、目的外利用の問題が残ります。また、委託先が自社目的でデータを利用する場合は、委託ではなく第三者提供又は別の取扱いになる可能性があります。

統計データにすれば利用目的は問題になりませんか

一般的には、特定の個人を識別できない統計データ自体は個人情報ではないと整理される場合があります。ただし、統計化する過程で個人情報を取り扱う場合、その処理が既存の利用目的の範囲内か、適切な加工・管理がされているかを検討する必要があります。統計化を名目に個人単位の分析や再識別可能な利用をしていないかを確認します。

利用目的変更時の同意取得手続は、法務だけで完結しません。次の表は、関係者ごとの責任を整理したものです。左列で役割を確認し、右列でどの判断や運用を担当するかを読み取ってください。

組織規模により統制の形は変わります。次の一覧は、大企業と中小企業それぞれで整えると効果が高い体制を示しています。自社の規模に応じて、どこまで正式な委員会や台帳にするかを読み取ってください。

利用目的変更時の同意取得手続は、単に同意ボタンを置く手続ではありません。取得時の利用目的と変更後の利用目的を正確に比較し、当初目的の範囲内か、関連性のある範囲内の利用目的変更か、関連性を超える目的外利用かを判定します。

次の重要ポイントは、最終的に実装すべき姿勢をまとめたものです。読者は、本人の予測可能性、後日の説明可能性、未同意者の除外可能性の3点を、すべての案件で確認してください。

同意文言、本人確認、ログ保存、撤回対応、システム制御、内部承認、監査まで実装して初めて、企業のデータ活用と本人の権利利益保護を両立させる基盤になります。個別案件では、事実関係、業種規制、契約、海外法、社内規程により判断が変わる可能性があるため、具体的な対応は資料を整理したうえで弁護士等の専門家へ相談する必要があります。