個人情報取扱事業者は、法令に基づく場合であっても、あらかじめ本人の同意を得なければ、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱うことは一切できない。

目的外利用の制限（個人情報保護法18条）には例外があり、法令に基づく場合、人の生命・身体・財産の保護のために必要で本人の同意を得ることが困難な場合などは、本人の同意がなくても目的外取扱いができる（同条3項）。「一切できない」とする点が誤り。