← 概念解説に戻る

Concept Fable

目的制限

先に結論:目的制限はプライバシー保護における原則である。個人データは明確かつ具体的な目的のために収集されるべきであり、その後、根拠なく相容れない新たな用途に転用してはならない。

目的制限・プライバシー

まず物語を読む。ここでは急いで定義を示さず、まず問題そのものを立ち上がらせる。

寓話

橋を修理するためだけに残された名簿

河鎮が橋を架けるとき、住民の氏名、住所、通行の必要性を登録した。目的がはっきりしていた——仮設渡し船の手配と工事のお知らせ——ので、皆は喜んで記入した。数年後、町で市が開かれ、商会はこの名簿で屋台の広告を配信しようとした。文書助手は資料は揃っていると言い、名簿の整理は茶一杯の時間で済むと述べた。住民はそれを見て怒った。彼らは市に反対しているのではない。当時資料を出したのは橋を架けるためであり、呼び売りの声を家の門口まで追いかけるためではなかった。

町長はまず公告の末尾に「資料は他の事務に使用される可能性があります」と付け加えた。これは問題を解決せず、かえってその後の登録をすべて信頼できないものにした。

町は改めて定めた。資料を収集する際は具体的な目的を明記し、その後の利用では相容れるか必ず確認する。相容れなければ新しい根拠、新しい同意、または再収集が必要である。

文書冊にも目的ラベルが付けられる。橋の修理資料は、施工通知、通行案内、法定保存にのみ使え、勝手にマーケティング、プロファイリング、新人研修に回してはならない。

後に商会は住民に連絡する必要が生じ、自発的な申込表に切り替えた。申込は少なくなったが、信頼は守られた。

商会は諦めず、広告を一度だけ出すことを提案した。町長はそれでも同意しなかった。彼は商会に、市の消息を受け取りたい人を改めて募集を掲示させ、旧名簿は橋の修理の後始末だけを残した。その後、応募者はやや減ったが、渡し船の通知に売り込みが紛れ込むことを疑う者はいなくなった。

後に町ではまた用水路が整備され、登記表の最初の行に用途と期限が書かれた。住民は古い名簿が売りさばきに使われていないのを見て、かえって新しい表に記入するようになった。信頼は広範な告示の一言で得られるものではなく、毎回の利用で当初約束した境界を守ることで得られる。 町長はまた、文書係に期限切れの名簿を定期的に整理させた。橋の修繕が終わり、後処理が完了すれば、削除できるものは削除し、保存が必要なものは理由を明記した。住民は資料に行き先があり、終わりもあると見て、初めて公共事務に協力を続ける気になった。 この境界は後に、河鎮の登記事務の第一条の規則となった。

鎮長は理解した。資料は手に入れたら永遠に自分のものではない。用途の境界は資料に沿って動かなければならない。使えるからといって、使うべきとは限らない。

明らかにする

この物語が語るのは:目的制限

目的制限はプライバシー保護における原則である。個人データは明確かつ具体的な目的のために収集されるべきであり、その後、根拠なく相容れない新たな用途に転用してはならない。

例えば橋修理のために登録された名簿は、新たな適法な根拠、有効な同意、または互換性評価を経ない限り、気軽にマーケティング、モデル訓練、第三者への再利用に回してはならない。

メタファーのマッピング

  • 古い帳簿、倉庫、カウンター:企業に蓄積された顧客、従業員、契約、作業指示のデータ
  • 銅の鳥、木偶、助手または書童:業務データに接続する企業Agent / RAGシステム
  • 素朴な修正:氏名を削るだけ、スローガンを貼る、秘密保持誓約に署名する、あるいはツールを単純に無効化する
  • 失敗の瞬間:データがログ、訓練、検索、外注、越境、ツール呼び出しの中で拡散し続ける
  • 構造的解決策:目的制限を中心に、分類、権限、最小化、監査、保持、技術的制御を確立する
  • 最終的な洞察:プライバシーガバナンスはデータの流れと用途に沿って進むべきであり、一つの入口を守るだけでは不十分

Andy(任旭)判断

この概念の実戦的価値は、「賢く見えるAI機能」を納品可能、検収可能、ガバナンス可能な作業単位に分解する手助けをすることです。

適法性の根拠同意data minimizationプライバシー通知

関連する識別

この概念は隣接概念と混用されやすいので、対比ページを続けて見ることをおすすめする。

京ICP备2026014272号