個人情報取扱事業者は、「個人情報」について、次の義務を負います。
(以下、個人情報保護法を「法」といいます)

利用目的の特定

・個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければなりません(法15条1項)。

・利用目的を変更する場合には、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて行ってはなりません(法15条2項)。
の範囲を超えて利用目的を変更するには、本人の同意が必要となります。

利用目的による制限

・あらかじめ本人の同意を得ないで、利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはなりません(法16条1項)。

・合併その他の事由により他の個人情報取扱事業者から事業を承継することに伴って個人情報を取得した場合は、あらかじめ本人の同意を得ないで、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱ってはなりません(法16条2項)。

※上記2つの制限は、次の①から④に掲げる場合については、適用されません(法16条3項)。
① 法令に基づく場合(1号)
② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(2号)
③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(3号)
④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき(4号)

適正な取得

・偽りその他不正の手段により個人情報を取得してはなりません(法17条1項)。

取得に際しての利用目的の通知等

・個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければなりません(法18条1項)。

・本人との間で契約を締結することに伴って契約書その他の書面(電磁的記録を含みます)に記載された当該本人の個人情報を取得する場合、その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければなりません(ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りではありません)。(法18条2項)

・利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければなりません(法18条3項)。

※上記3つの制限は、次の①から④に掲げる場合については、適用されません(法18条4項)。
① 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合(1号)
② 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合(2号)
③ 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき(3号)
④ 取得の状況からみて利用目的が明らかであると認められる場合(4号)