名刺や問い合わせで集めた顧客の情報を、別の目的に使ってよいのか分からない

商品を買ってくれた客の一覧がある。展示会で交換した名刺の束もあるし、ホームページの問い合わせフォームから届いた連絡先も溜まっている。新しい商品を出すことになって、この人たちに案内を送ろうという話になる。グループの別の会社からは、その名簿をこちらでも使わせてほしいと声がかかる。購入の記録をAIで分析して、誰に何を案内するかを決めたいという案も出ている。どれも手元の情報を生かそうという考えから出た話だ。それでも、集めたときと違う使い道に回してよいのかと聞かれると、答えられる人がいない——この辞典が扱うのは、その場面である。

• 新しい事業を始めるにあたって、今までの客の名簿に案内を送ろうという話が出ている。
• 展示会や商談で集めた名刺を一覧にして、まとめて案内のメールを送ったことがある。
• 問い合わせフォームから届いたメールアドレスが、いつのまにか案内メールの送り先の一覧に入っている。
• 取引先やグループの会社から、顧客の一覧を互いに出し合おうと持ちかけられた。
• 購入の記録をAIで分析して、案内を出す相手を絞り込みたいという案がある。
• ホームページのプライバシーポリシーはサイトを作ったときに入れたままで、何と書いてあるのかを言える人が社内にいない。

並んでいるのは漏れた話でも失くした話でもなく、集めた情報を、集めたときとは別の用に回そうとしている話である。

ここで出てくる考えは、おおむね一つにまとまる。「うちが集めた客の情報なのだから、うちの商売に使うのは当然だ」。

そう受け止める事情はある。名刺は自分たちで交換してきたもので、問い合わせも購入も自社に向けて届いたものだ。一覧を作ったのも、入力し続けてきたのも社内の人である。手間をかけて集めたものは、自分たちの持ち物に見える。しかも外に出すわけではなく、自社の中で使い道を一つ足すだけだ。新しい事業を考えるとき、経営者がまず今の客の顔を思い浮かべるのは、商売の発想としてまっとうでもある。

扱っている人数が少ないから関係ない、という受け止め方もある。ただ個人情報保護委員会は、扱う人数の多い少ないにかかわらず、個人情報の一覧を事業に使っていれば決まりの対象になるとしている。以前は5000人分以下しか扱わない事業者を外す扱いがあったが、平成27年の改正（平成29年5月30日施行）で無くなっている。

決まりの側から見ても、この考えには筋の通る所がある。集めた情報を自社の商売に使うこと自体は、決まりの上でも当然に想定されている。使い道を後から足すことも、一定の範囲までは認められている。

個人情報保護法が見ているのは、誰が集めたかより、何のために集めたかのほうである。事業者は個人情報を扱うにあたって、その目的（利用目的）をできるだけ特定しなければならない。そして本人の同意を得ないまま、その目的に要る範囲を超えて扱ってはならない、と定められている。使ってよいかの物差しは、集めたときに自社が決めた目的の側にある。

目的の書き方についても、個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」は例を挙げている。具体的に特定している例は、「「○○事業における商品の発送、関連するアフターサービス、新商品・サービスに関する情報のお知らせのために利用いたします。」等の利用目的を明示している場合」。特定していない例には、「「事業活動に用いるため」」と「「マーケティング活動に用いるため」」が並ぶ。分析に使う場合については、「どのような取扱いが行われているかを本人が予測・想定できる程度に利用目的を特定しなければならない」と書いている。購入の記録をAIで分析して案内の相手を絞るという使い方も、まず目的に分析のことが書いてあるかの話になる。

では、その目的はどこに書いてあるのか。ここで、集めた経路によって答えが分かれる。

名刺には目的が書いていない。同委員会のQ&Aは、従業者であることを明らかにしたうえで名刺を交換した場合について、相手には「広告宣伝のための冊子や電子メールが送られてくることについて、一定の予測可能性がある」としている。そのうえで、名刺の連絡先に自社業務の広告宣伝の冊子やメールを送ることは、「「取得の状況からみて利用目的が明らかであると認められる場合」に該当すると解されます」と答えている。名刺では、交換したという状況が目的の代わりになっている。ただしこの答えが言っているのは、今後の連絡と自社業務の広告宣伝までである。

問い合わせフォームでは事情が変わる。同じQ&Aの別の問いは、ホームページの入力画面を含め、本人が書き込んだものから直接情報を受け取る場合には、原則として利用目的を示す必要があるとしている。申込みの内容の確認や結果の連絡に使う分は目的が明らかとされる一方で、括弧書きでこう添えている。「新たなサービスの案内、提携先への提供等に利用することは自明の利用目的に該当しない場合があるので注意を要します。」

購入のときに受け取った住所や電話番号も、商品を届けるためだけに使うのであれば、取得の状況から目的は明らかとされている。その先の案内に回せるかどうかは、購入の画面や規約に何と書いたかで変わる。

こうして並べると、一つのことが見えてくる。同じ顧客の一覧の中に、使ってよい範囲の違う行が混ざっている。名刺から入った行、フォームから入った行、購入から入った行。一覧の上では同じ形の一行でも、集めたときの約束は別々の場所にあり、中身も違う。それなのに一覧の作り方によっては、名前と連絡先だけが残り、どこで受け取ったかの欄が無い。

なぜそうなるのか。目的を書いた日と、使い道を考える日が離れているからである。フォームの注記やプライバシーポリシーはホームページを作るときに書かれ、そのまま置かれる。新しい事業の案内を考えるのは何年かたってからで、そのとき浮かぶのは客の顔のほうである。使ってよいかの答えは自社の過去の文面の中にあるのに、その文面を読み返す場面が、使おうとする日まで来ない。

目的は後から変えることもできる。ただし変えられる範囲には線がある。ガイドラインは、変更後の目的が変更前からみて「社会通念上、本人が通常予期し得る限度と客観的に認められる範囲内」であれば変更できる、としている。その範囲は「本人の主観や事業者の恣意的な判断によるものではなく」、一般の人が変更の前後を比べて予期できるかで決まる、と注記がある。同委員会のQ&Aが挙げる例は四つあり、どれも関連する商品・サービスのお知らせを足す形だ。会員にレッスンの案内を送っていたフィットネスクラブが、新しく始めた栄養指導のサービスを案内する場合も含まれうる、という例がその一つである。関連の無い別の事業の案内や、ほかの会社への提供は、この四つには入っていない。範囲を超えるなら、本人の同意が要る。

外に出す話は、もう一段違う。ガイドラインは第三者への提供とされる例として、「親子兄弟会社、グループ会社の間で個人データを交換する場合」「同業者間で、特定の個人データを交換する場合」を挙げている。グループの会社や取引先と一覧を出し合うのは、原則として本人の同意が要る側に入る。同じ会社の中の別の部門に渡すのは第三者への提供に当たらないが、目的の縛りはそのまま残る。仕事を外に頼んで情報を渡す形（委託）でも、頼まれた側は「委託された業務以外に当該個人データを取り扱うことはできない」。複数の会社で一緒に使う形（共同利用）にも決まった手続きがあり、すでに集めた情報を後から共同利用に回す場合には、一緒に使う相手の範囲や目的が「本人が通常予期し得ると客観的に認められる範囲内である必要がある」とされている。形の名前を変えれば自由に使える、という作りにはなっていない。

メールで案内を送るなら、もう一つ別の法律がかかわる。広告や宣伝のメールについては特定電子メール法（特定電子メールの送信の適正化等に関する法律）が、あらかじめ同意した相手にだけ送ることを原則にしている。名刺でアドレスを知らせてきた相手のように、同意なしに送れる例外も定められている。それでも、個人情報保護法の上で目的の範囲に入ることと、メールの決まりを満たすことは、別々に確かめる話である。通信販売などをする事業者なら特定商取引法の決まりもある、と先の名刺のQ&Aも書いている。

AIで分析する場合にも、もう一つの問いが重なる。同委員会は2023年に生成AIの利用について注意を出し、個人情報を含む内容を入れる場合には「特定された当該個人情報の利用目的を達成するために必要な範囲内であることを十分に確認すること」を求めている。分析が目的に入っているかに加えて、入れた先のAIサービスがその情報をどう扱うかという、AIに入れる側の線引きの話になる。

（ここまでは2026年11月時点の決まりである。個人情報保護法は2026年7月に改正法が成立した。施行は、原則として公布から2年以内とされている。個人情報保護委員会が公表している改正の資料では、利用目的を特定する・変える・変えたら知らせるという定めは、改正の対象になっていない。一方で、目的の外での利用やほかの会社への提供について、本人の同意が要らない場合を一つ足す改正は入っている。同委員会が想定の例として示しているのは、ホテルの予約サイトから予約先のホテルへ情報を渡すような、契約を果たすのに欠かせない場面である。具体的な範囲は同委員会の規則で定めることになっており、2026年11月時点ではまだ決まっていない。実際に判断する際は、同委員会の最新の案内で確かめる必要がある。）

考える単位を、名簿から一行ずつに移す。問うのは「この名簿を使ってよいか」ではなく、「この行はどこで受け取り、そのとき何と伝えたか」である。

行ごとの約束が分かると、使いたい使い方ごとに行き先がおおよそ三つに分かれる。

• 今の目的の範囲に入りそうな使い方。そのまま使う側に入る。
• 目的を変えれば入りうる使い方。関連する商品・サービスのお知らせを足すような形で、変えたら本人に知らせるか公表する側に入る。
• 変えても届きそうにない使い方。関連の無い別の事業の案内や、グループの会社・取引先との出し合いで、本人の同意を取る側に入る。

どれに当たるかを最後に決めるのは、一般の人がどう予期するかである。同委員会のQ&Aも、個別の事例ごとに判断されると書いたうえで例を挙げている。国の資料に並んでいるのは考え方と例であって、白黒の付いた一覧ではない。

三つ目に入った使い方でも、道が閉じるわけではない。ガイドラインは、同意を得るために個人情報を使うこと（メールの送信や電話をかけること等）は、当初の目的に書いていない場合でも「目的外利用には該当しない」としている。

残るのは、行ごとの経路と、経路ごとの文面を手元にそろえる作業である。フォームの注記、プライバシーポリシー、申込書の文、通販の注文画面。書いた時期も置き場所もばらばらな文面を集めて、使いたい使い方と一つずつ照らす。新しい使い道を思いつくたびにこれをやる時間は、中小企業では取りにくい。だから使い道の話は、決まりを知っていても、照らす手前で止まりやすい。

どの道を取るかは、使いたい使い方が今の目的からどれだけ離れているかで変わる。今の目的の中で使い方を組む道、目的を変える道、本人に同意を取る道がある。

A案：経路ごとの文面と使いたい使い方をAIに渡し、今の目的のまま使える組み合わせを突き合わせさせる

今の目的の範囲で使い方を組むのに、名簿そのものは要らない。要るのは、集めたときに示した文面と、やりたいことの説明である。どちらにも、顧客一人ひとりの情報は入っていない。この二つをAIに渡して、照らし合わせを任せる道がある。

用意するものは三つ。一つ目は、経路ごとの文面である。問い合わせフォームの注記の文、プライバシーポリシーの利用目的の欄、申込書や注文画面の文。名刺のように文面の無い経路は「文面なし。展示会で名刺を交換」のように、受け取った場面を一行で書く。二つ目は、やりたい使い方の一覧である。新しい商品の案内をメールで送る、別の事業の案内を郵便で送る、グループの会社と一覧を共有する、購入の記録から案内の相手を絞る、といった形で書く。三つ目は、個人情報保護委員会の公開しているQ&Aのうち、名刺と入力画面についての問いのページである。そのうえで、こう頼む。

• 「経路と使い方を縦横にした表を作って。それぞれのマスについて、文面の中でその使い方に当たりそうな語句があれば、原文のまま抜き出して。当たる語句が無ければ『文面に記載なし』、文面から読み取れなければ『判断できない』と書いて」
• 「『事業活動に用いるため』のように、何に使うのかが読み取れない書き方の箇所があれば挙げて」
• 「名刺の経路について、渡したQ&Aの答えが触れている使い方と、触れていない使い方を分けて」
• 「どの経路の文面にも当たる語句が無かった使い方を、まとめて挙げて」

出てくる表は、たとえば次のような行になる。

• 「名刺（展示会）×新しい商品の案内：文面なし。Q&Aの答えは、自社業務の広告宣伝の冊子や電子メールに触れています」
• 「名刺（展示会）×グループ会社と共有：Q&Aの答えは、この使い方に触れていません」
• 「問い合わせフォーム×新しい商品の案内：文面は『お問い合わせへの回答のために利用します』です。案内に当たる語句は文面に記載なし」
• 「注文画面×新しい商品の案内：文面に『新商品のご案内』の語句があります。メールで送る場合の同意の決まりについては、この文面からは判断できません」
• 「どの経路にも当たる語句が無かった使い方：グループ会社と共有、購入の記録から案内の相手を絞る」

こうして手元に残るのは、今の文面のままで語句が当たる経路と使い方の組み合わせの一覧である。同じ新しい商品の案内でも、注文画面から入った行と名刺の行には当たる語句があり、問い合わせから入った行には無い、という形で見える。使い方を変えずに送る相手のほうを絞る、という組み方ができるようになる。

• 向く場面：使いたい使い方が今の商売の延長にあり、名簿の行がどの経路から入ったかを分けられる会社。フォーム、ポリシー、申込書と文面がいくつもの場所に散らばっていて、読み比べる人がいない会社。
• 割に合わないこと：語句が当たることと、目的の範囲に入ることは同じではない。範囲は一般の人がどう予期するかで決まり、個別の事例ごとに判断されるとされている。AIは渡された文面の言葉を比べるだけで、その判断はできない。読み違えたり、書かれていない語句を書かれているように答えたりすることもあるので、抜き出された語句は人が原文で確かめることになる。もう一つ、名簿の行に経路が残っていなければ、表ができても行を分けられないので、どの行がどこから来たかを書き足すのは社内の人の仕事として残る。メールで送るなら、特定電子メール法の同意の決まりは別に確かめる話として残る。さらに、この道は今の目的の内側で組むので、使える相手は広がらず、絞られる方向に働く。
• 始める前に要ること：文面を集めること。今のホームページの文だけでなく、書き換えたことがあるなら、いつから何と書いていたかも分かる範囲で添える。AIに渡すのは文面と使い方の説明で、名簿は渡さない。名簿を渡さなくても、この照らし合わせはできる。

※AIにはいろいろな種類・サービスがある。ここでは「特定の製品を入れる」話ではなく、「散らばった自社の文面と使いたい使い方を、AIに一つの表の上で照らし合わせさせる」という使い方を指している。どれが合うかは、会社の状況によって変わる。

B案：利用目的を変えて、本人に知らせるか公表する

今の目的に当たる語句が無くても、使いたい使い方が今の商品やサービスと関連しているなら、目的のほうを変える道がある。変えたら、本人に知らせるか公表する。公表は、ホームページのプライバシーポリシーに載せる形で足りる。

知らせ方について、同委員会のQ&Aは、変更後の目的を知らせることで足りるとしたうえで、「「もともと××であったものを今後○○に変更します」など、当初特定した利用目的のどの点がどのように変わったのかを示すことが望ましい」と書いている。変える前と後を並べて見せる形である。

• 向く場面：使いたい使い方が、今の商品・サービスと関連のある商品・サービスのお知らせにあたる会社。これから先も同じ形の案内を続けていく見込みがある会社。
• 割に合わないこと：変えられるのは、元の目的と関連があると一般の人が予期できる範囲までである。Q&Aの四つの例はどれも関連する商品・サービスのお知らせを足す形で、関連の無い別の事業の案内やほかの会社への提供は、この道の例に入っていない。しかも範囲に入るかどうかは、事業者の判断だけでは決まらないので、ポリシーを書き換えれば何でも足せるという作りとは違う。公表で足りるとはいえ、ポリシーの文面を直し、フォームや注文画面の文とも食い違わないようにそろえる手間がかかる。メールで送るなら、特定電子メール法の決まりはここでも別に残る。
• 始める前に要ること：今の利用目的の文を書き写し、その下に足したい一文を書いて、二つを並べること。並べたときに関連が説明できるかどうかが、この道に入れるかの最初の見当になる。

C案：本人に、同意を取る

目的を変えても届かない使い方のための道である。グループの会社や取引先と一覧を出し合う、関連の無い別の事業の案内を送る、といった使い方がこちらに入る。

先に見たとおり、同意を得るためにメールを送ったり電話をかけたりすることは、目的外利用には当たらないとされている。案内を送ってよいか、ほかの会社に渡してよいかを、本人に聞くところから始められる。

• 向く場面：グループの会社や取引先との共有を考えている会社。新しい事業が今の商売と離れていて、目的の変更では説明がつきにくい会社。連絡する相手の数が、返事を一件ずつ扱える程度に収まる会社。
• 割に合わないこと：返事をしない人の分は、同意の無いまま残り、その使い方には回せない。誰がいつ、何について同意したのかを名簿の行ごとに残す手間も出る。取引先と出し合う場合は、相手から受け取る分の同意は相手の側の話になり、こちらからは確かめにくい。同意を取る連絡の文面に、何についての同意なのかを読み違えられない形で書く必要もある。
• 始める前に要ること：何について同意を取るのかを、一文で書くこと。「新しく始める○○の案内をお送りしてよいか」「グループの△△社と連絡先を共有してよいか」のように、使い方ごとに分ける。あわせて、これから集める分については、集めるときの文面に、その使い方を書いておく道もある。

三つは、名簿ごとに一つを選ぶものではない。同じ新しい商品の案内でも、注文画面から入った行はA案、関連のある商品なら問い合わせから入った行はB案、グループの会社と分け合うならC案、というように、行と使い方の組み合わせごとに道が分かれる。

今日、手元で確かめられることが三つある。

• 顧客の一覧を開き、「どこで受け取ったか」が分かる列があるかを見る。
• 自社のホームページの問い合わせフォームと、プライバシーポリシーを開く。それぞれの利用目的にあたる一文を、紙に書き写す。
• 使いたい使い方を一つだけ選び、書き写した一文の中に、その使い方に当たる言葉があるかを探す。

列が無ければ、名簿の行ごとの約束が今は分からない状態にある。当たる言葉が見つかった経路と、見つからなかった経路に分かれれば、どの行がそのまま使える側に近く、どの行が目的の変更か同意の側に入るかの見当がつく。

この一歩でできるのは、自社の文面に何と書いてあるかを知り、一つの使い方について経路ごとの見当を付けるところまでだ。名簿の行をどう経路で分けるか、目的を変えるのか同意を取るのかは、その先に残る。

「同じ人が名刺もくれたし、問い合わせもしてきた。どちらの約束で考えればよいのか分からない」「昔のプライバシーポリシーに何と書いていたのか、もう残っていない」「グループの会社とは事務所も事務も一緒で、どこからが別の会社なのか線が引けない」——名簿の行は、集めたときの事情を知る人より長く残る。

そういうときは、OSAKA AI-Center の窓口に相談するという選択肢がある。何かを買う必要はなく、こちらから売り込むこともない。「うちの名簿のどの行が、どこで、何と伝えて集めたものか」——その整理を一緒に考えるところまでが、この辞典の役割である。個別の使い方が目的の範囲に入るかどうかの当てはめは、個人情報保護委員会が事業者向けに設けている相談の窓口や、法律の専門家が受け持つところになる。