2 機構は、利用目的を変更する場合には、変更前の利用目的と相当の関連性を有すると合理的に認められる範囲を超えて行ってはならない。

2 機構は、合併その他の事由により他の機構等から事業を承継することに伴って個人情報を取得した場合は、承継前における当該個人情報の利用目的の達成に必要な範囲を超えて、当該個人情報を取り扱わない。

3 前２項の規定は、次に掲げる場合については、適用しない。

（１）あらかじめ本人の同意を得た場合。

（２）法令に基づく場合

（３）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

（４）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

（５）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

4 機構が、ＥＵ又は英国域内から十分性認定に基づき個人データの提供を受けた場合及びＥＵ又は英国域内から十分性認定に基づき移転された個人データの提供を受けた他の個人情報取扱事業者から当該個人データの提供を受けた場合は、記録した当該個人データを当初又はその後提供を受ける際に特定された利用目的の範囲内で利用目的を特定し、その範囲内で当該個人データを利用する。

（１）個人情報管理者

（２）個人情報の利用目的

（３）個人データを第三者に提供する予定がある場合には、その目的、当該個人データの受領者、提供するデータの項目及び提供方法

（４）当該本人が識別される保有個人データの開示を求める権利、当該保有個人データが事実でない場合に訂正、追加又は削除を求める権利、及び当該保有個人データの利用の停止若しくは消去又は第三者への提供の停止を求める権利、並びにそれらの権利を行使する方法

2 機構は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、要配慮個人情報を取得しない。

（１）法令に基づく場合

（２）人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。

（３）公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。

（４）国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（５）当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、個人情報保護法第５７条第１項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合

（６）その他前各号に掲げる場合に準ずるものとして個人情報護法施行令で定める場合

2 機構は、前項の規定にかかわらず、本人との間で契約を締結することに伴って契約書その他の書面（インターネット等、電子的又は磁気的方式によるものを含む。以下同じ。）に記載された当該本人の個人情報を取得する場合その他本人から直接書面に記載された当該本人の個人情報を取得する場合は、あらかじめ、本人に対し、その利用目的を明示しなければならない。ただし、人の生命、身体又は財産の保護のために緊急に必要がある場合は、この限りでない。

3 機構は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。

4 前３項の規定は、次に掲げる場合については、適用しない。

（１）利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合

（２）利用目的を本人に通知し、又は公表することにより機構の権利又は正当な利益を害するおそれがある場合

（３）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。

（４）取得の状況からみて利用目的が明らかであると認められる場合

2 情報システムに関する安全管理措置については、情報システムセキュリティ規程の定めるところによる。

・ポイント利用可能な施設の特典やサービスの通知

・アプリの機能向上およびユーザーエクスペリエンスの向上