広告配信の委託を受け、これに伴って提供された氏名・メールアドレス等の個人データを利用して広告配信を行い、当該広告に対する本人の反応等の別の個人データを取得しました。取得した別の個人データを自社のために利用することができますか。
個人データの取扱いの委託を受けた者は、当該個人データのみならず、当該個人データを利用して取得した個人データについても、委託された業務以外に取り扱うことはできません。したがって、当該広告に対する本人の反応等の別の個人データを委託先が自社のために利用することはできません。（令和３年９月追加）
金融分野ガイドライン第５条第１項は、機微（センシティブ）情報を「法第２条第３項に定める要配慮個人情報並びに労働組合への加盟、門地、本籍地、保健医療及び性生活（これらのうち要配慮個人情報に該当するものを除く。）に関する情報（本人、国の機関、地方公共団体、法第 76 条第１項各号若しくは施行規則第６条各号に掲げる者により公開されているもの、又は、本人を目視し、若しくは撮影することにより取得するその外形上明らかなものを除く。）」と規定し、その取得、利用又は第三者提供を原則として禁止していますが、同項各号に掲げる事項に該当する場合に限り、これらの行為を行うことができるものとしています。

金融分野ガイドライン第５条第１項第８号は、当該取得、利用又は第三者提供が、①各種法令や社会通念等に照らして「適切な業務運営」と判断されること、②「本人の同意」があること、③「業務遂行上必要な範囲」内であることを要件としています。

例えば、金融機関が保険金の支払いや借り手の与信判断をするために、被保険者や借り手の健康状態に関する情報を各種法令や社会通念等に照らし適切といえる方法で、かつ保険金の支払いや与信判断のために必要な範囲内で、被保険者や借り手から同意を得て取得することが考えられます。反対に、保険金の支払いや借り手の与信判断のために本籍地等に関する情報を取得することは、｢業務遂行上必要な範囲｣内であるとは認められないことから、原則として、取得等を行うことはできないものと考えられます。ただし、業務遂行上、本籍地の取得等の必要性が認められる場合は、例外として本籍地の取得等が認められることもあり得ます。

また、金融機関においては、機微（センシティブ）情報について、金融分野ガイドラインに加え、銀行法等の各業法の施行規則が適用されることに留意する必要があります。
本人に代わって個人データを第三者提供しているため、記録義務は適用されません。なお、提供を受けた会社においても、確認・記録義務は適用されません。
個別の事案ごとに判断することとなりますが、例えば、契約に基づき個人関連情報を継続的に提供している場合において、提供先の第三者が契約の定めに反して個人関連情報を個人データとして利用したことが明らかになった場合、提供先の第三者は引き続き個人関連情報を個人データとして利用することが窺われるため、その後の個人関連情報の提供については、提供先の第三者における個人関連情報の取扱いを確認した上で、「個人データとして取得する」ことが想定されるかどうかを判断する必要があります。
マイナンバーの提供を受ける都度、本人確認を行う必要があります。例えば、従業員からマイナンバーを記載した扶養控除等申告書を毎年提出してもらう場合、本人確認も毎回行う必要があります。ただし、2回目以降の番号確認は、マイナンバーカード、マイナンバーの記載された住民票の写し、通知カード（※）などの提示を受けることが困難であれば、事業者が初回に本人確認を行って取得したマイナンバーの記録と照合する方法でも構いません。 なお、身元確認については、雇用関係にあることなどから本人に相違ないことが明らかに判断できると個人番号利用事務実施者が認めるときは、身元確認のための書類の提示は必要ありません。 ※「通知カード」は2020年5月25日に廃止されますが、通知カードに記載された氏名、住所等が住民票に記載されている事項と一致している場合に限り、引き続き通知カードを番号確認書類として使用できます。 （2020年5月更新）
① 「個人データ」とは、「個人情報データベース等を構成する個人情報」をいいます（個人情報保護法第16 条第３項）。データベース化されていない個人情報は、たとえ通常データベース管理される性質のもので、かつ、これからデータベース化される予定であったとしても、「個人データ」には当たりません。
② また、記載されている情報がデータベース化され、「個人データ」となったとしても、契約書等の書類そのものは、「個人情報データベース等を構成する」とは言えないため、「個人データ」には該当しません。
もっとも、当該契約書等が、ファイリングされるなどして、それ自体「特定の個人情報を容易に検索することができるよう体系的に構成したものであって、目次、索引、符号等により一般的に容易に検索可能な状態に置かれている」と言える場合には、当該契約書等は「個人情報データベース等を構成する」と言え、「個人データ」に該当します。
③ また、「個人情報データベース等」から紙面に出力されたものやそのコピーは、それ自体が容易に検索可能な形で体系的に整理された一部でなくとも、「個人データ」の「取扱い」の結果であり、個人情報保護法上の様々な規制がかかります。
「個人情報データベース等」から紙にメモするなどして取り出された情報についても、同様に「個人データ」に該当します。

なお、その出力されたものやそのコピーが、委託先や第三者に提供された場合は、当該委託先や第三者にとっては、（その出力されたものやコピーが容易に検索可能な形で体系的に整理されない限り）当該情報は「個人データ」には該当しないと考えられます。ただし、委託元や第三者提供元にとっては、それらを委託・提供する行為は「個人データ」の「取扱い」であり、個人情報保護法上の様々な規制がかかります。
同一人物が複数の事業者を兼ねる場合であっても、個人情報は事業者ごとに取得されたものであり、一方の事業者の個人情報を他方の事業者内で利用することはできません。
申込書等の書面（ホームページ上の入力画面を含む。）に本人が記入し、直接その本人から個人情報を取得する場合は、原則として利用目的の明示が必要です（法第 18 条第２項）。ただし、取得の状況からみて利用目的が明らかな場合は、例外的に利用目的の明示は不要です（同条第４項第４号）。

具体的には、次のような事例が考えられます。

【取得の状況からみて利用目的が明らかであると認められる場合】
○ 申込書の記載により取得したメールアドレス情報等を申込内容の確認、履行の結果通知等の目的で利用する場合（ただし、新たなサービスの案内、提携先への提供等に利用することは自明の利用目的に該当しない場合があるので注意を要します。）
○懸賞付きアンケートによって取得した連絡先を、懸賞商品の抽選や懸賞商品に関する連絡・発送等のみに利用する場合
法は、第三者に個人データを提供する場合には、原則としてあらかじめ本人の同意を得るべきこととしていますが、法令上、提供義務が明記されている場合は、あらかじめ本人の同意を得ずに第三者に提供することを認めています（法第 27 条第１項第１号）。