このページの要点
- 利用目的はキャンペーンの手続に即して特定し、入力の前に画面で明示する（個人情報保護法17条・21条）。
- 事務局・配送業者への委託は第三者提供ではないが、委託先の監督が必要（27条5項1号・25条）。
- 共催者への提供は、同意または共同利用の通知が必要（27条1項・5項3号）。当選者の氏名の公表も同意を取る。
- 利用する必要がなくなった個人データは遅滞なく消去する（22条）。保存期間は情報の種類ごとに決める。
結論：個人情報は「集める前に目的を決め、渡す前に同意と契約を整える」
キャンペーンでは、応募者の氏名、住所、電話番号、メールアドレス、SNSのアカウント名、年齢、場合によっては写真や購入の証明といった情報を集めます。これらは、当選者への賞品の発送、通知、不正応募の確認、当選者の発表などのために使われます。個人情報保護法（個人情報の保護に関する法律）の対象となる情報で、集め方、使い方、渡し方のそれぞれに規律があります。
キャンペーンの個人情報で、特に押さえておきたい論点は次の五つです。
- 利用目的：何のために集めるのかを、できる限り特定し、応募者に分かる形で示す（17条・21条）。
- 目的外の利用：特定した目的の範囲を超えて使うには、本人の同意が必要（18条）。キャンペーンで集めた情報を、後日の販促メールに使えるかどうかが典型例。
- 委託：発送や事務局業務を外部に任せるとき、委託先を監督する（25条）。委託は第三者提供には当たらない（27条5項1号）。
- 第三者提供：共催者などに渡すには、原則として本人の同意が必要（27条1項）。
- 保存と消去：利用する必要がなくなった個人データは、遅滞なく消去するよう努める（22条）。
このページでは、キャンペーンの流れに沿って、情報が集まり、使われ、渡され、消えるまでを描きます。一般的なプライバシーポリシーの作り方ではなく、キャンペーン専用の個人情報の取扱い表示をどう設計するかに絞っています。応募規約の全体は応募規約の書き方のページ、共催や事務局の契約は共催・事務局委託のページ、当選後の連絡は当選者の決定・通知・辞退のページで扱います。
集める情報の棚卸し：何を、いつ、何のために集めるか
個人情報の設計は、まず「どの情報を、どの場面で、何のために集めるか」を一覧にするところから始まります。応募の段階で全員から集める情報と、当選が決まってから当選者にだけ集める情報を分けると、集める情報の量が減り、漏えいの影響も小さくなります。
キャンペーンで集める情報の棚卸しの例
| 情報 | 集める場面 | 使う目的の例 | 見直しの視点 |
|---|---|---|---|
| 氏名・メールアドレス・SNSアカウント名 | 応募時 | 応募の受付、抽選、当選の通知 | 応募時に必要な最小限の項目か |
| 住所・電話番号 | 当選者のみ、当選の確定後 | 賞品の発送、配送業者との連絡 | 応募者全員から集める必要はないのが通常 |
| 年齢・生年月日 | 応募時または当選後 | 応募資格の確認、未成年者の同意の確認 | 年齢の区分だけでよいか。生年月日までは不要なことが多い |
| 購入の証明（レシート・シリアル番号） | 応募時（購入が条件の企画） | 応募資格の確認、不正の確認 | 購入した商品以外の情報（氏名、カード番号の下位桁など）が写り込んでいないか |
| 応募作品・写真 | 応募時 | 審査、選定、宣伝への利用 | 写り込んだ第三者の情報、位置情報などの取扱い |
| 保護者の同意の記録 | 未成年の当選者に対して | 同意の確認 | 同意の記録の保存期間と、記録をどこまで集めるか |
| アクセスログ・端末情報 | 応募のたびに自動的に | 不正応募の検知、システムの維持 | 利用目的を明示しているか。外部サービスへ送信されていないか |
集める項目を決める際に重要なのは、不要な情報を集めないことです。たとえば、抽選の段階では、氏名とメールアドレスだけで足りることが多く、住所や電話番号は当選者に限って集めれば足ります。要配慮個人情報（人種、信条、病歴など）に当たる情報を取得するには、あらかじめ本人の同意が必要です（20条2項）。アンケートに病歴や信条を問う項目を安易に入れると、この規律の対象になり得るため、キャンペーンの応募条件とは切り離します。
利用目的の特定・通知・明示
個人情報取扱事業者は、個人情報を取り扱うにあたり、その利用の目的をできる限り特定しなければなりません（17条1項）。また、個人情報を取得した場合は、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知し、または公表しなければなりません（21条1項）。さらに、契約書その他の書面（電磁的記録を含みます）に記載された本人の個人情報を取得する場合その他、本人から直接書面に記載された個人情報を取得する場合は、あらかじめ、本人に対してその利用目的を明示しなければなりません（21条2項）。応募フォームに入力してもらう方法は、この「書面（電磁的記録を含む）で本人から直接取得する」場合に当たると考えられ、入力の前に、利用目的を画面上に表示しておく必要があります。
利用目的は、「サービスの向上のため」といった抽象的な書き方では、特定したことにならないと受け取られやすくなります。キャンペーンの個人情報の利用目的は、たとえば次のように分けて書きます。
書き方の例（一般的な例） 利用目的の書き方
応募の受付と抽選
理由事業活動一般では特定したことにならない。キャンペーンの手続に即して書く
賞品の発送
理由通知と発送を分けて書くと、各場面の利用が目的の範囲内か判断できる
将来の販促
理由応募の手続と販促の連絡は別の目的。後者は別の同意欄として独立させ、選べるようにする
最後の例は、実務でよく問題になる箇所です。個人情報取扱事業者は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはなりません（18条1項）。応募の受付と抽選のために集めた情報を、後日、別のキャンペーンの案内や、自社の他の商品の広告のために使うには、その目的を特定して示し、同意を得ておく必要があります。応募の条件として販促の受信への同意を求める設計は、応募者の選択を実質的に奪うものとして、望ましくない場面があります。
事務局・発送業者への委託：第三者提供ではないが、監督が必要
キャンペーンの運営は、主催者が自社だけで行うとは限りません。応募の受付システムの提供会社、抽選を行う事務局、賞品を発送する配送会社、問合せに対応するコールセンターなど、多くの事業者が関わります。これらの事業者に個人データの取扱いを任せることを委託といいます。
個人情報保護法は、利用目的の達成に必要な範囲内で個人データの取扱いの全部または一部を委託することに伴って個人データが提供される場合、その提供を受ける者は第三者に該当しないと定めています（27条5項1号）。したがって、委託先に応募者の個人データを渡す場合は、本人の同意を新たに得る必要はありません。ただし、その代わりに、委託元には、委託先に対する必要かつ適切な監督の義務があります（25条）。さらに、自らも安全管理のために必要かつ適切な措置を講じる必要があります（23条）。
委託先を選び、契約するときに確認しておくこと
- 委託する業務の範囲（受付、抽選、問合せ対応、発送など）と、取り扱わせる個人データの範囲を、契約書で特定している。
- 委託先が、委託された目的の範囲を超えて個人データを使わないことを、契約で定めている。
- 安全管理措置（アクセス制限、保管場所、持ち出しの禁止など）の内容を、契約または別紙で定めている。
- 再委託を行う場合は、事前の承諾を要するなどの条件を定め、再委託先にも同等の義務を課している。
- 漏えい等が起きたときの報告の手順、報告までの期限を定めている。
- キャンペーンの終了後、個人データを返却または消去する手順を定めている。
- 委託先の取扱いを確認する手段（報告の請求、監査の受入れ）を定めている。
漏えい等のうち、個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定める事態が生じたときは、個人情報保護委員会への報告が必要です（26条）。委託先で事故が起きた場合に、委託元がどのように事実を把握し、報告の主体となるのかは、委託契約で決めておく必要があります。委託の契約全体の組み立ては共催・事務局委託のページで整理しています。
共催者への提供・共同利用と、当選者の氏名の公表
共催のキャンペーンでは、応募者の個人データを共催者にも渡したいという場面があります。この場合は、事務局に任せる委託とは性質が異なり、第三者提供に当たるかどうかを検討します。
個人情報取扱事業者は、法令に基づく場合などを除き、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはなりません（27条1項）。共催者に個人データを渡すには、原則として、応募者の同意が必要です。同意を取る場面では、誰に、どの情報を、何の目的で渡すのかを、応募者が理解できる形で示します。
共催者に個人データを渡す三つの設計
同意を得て第三者提供
応募時に、共催者に提供する旨と、提供する情報、共催者の利用目的を示して同意を得る
- 提供先ごとに同意を得る必要がある
- 提供先が変更・追加されたときは、あらためて同意が必要
- 同意欄を応募の条件にしてしまうと、応募者の自由な選択が損なわれる
共同利用
特定の者との間で共同して利用する個人データを提供する場合に、法定の事項をあらかじめ本人に通知し、または本人が容易に知り得る状態に置く（27条5項3号）
- 共同して利用する個人データの項目、共同して利用する者の範囲、利用目的、管理責任者の氏名または名称などを示す
- 共同利用の範囲は、利用目的との関係で合理的でなければならない
- 共催者が増えるたびに、範囲を見直す
提供せず、主催者が一元管理
共催者には、個人データを渡さず、抽選結果や統計情報のみを共有する
- 共催者の関与が薄くなる
- 当選者の発送は、主催者または委託先が行う
- 個人情報の漏えいのリスクと管理の負担が最も小さい
共催者が応募者に直接連絡する必要がある場合を除き、個人データを渡さない設計を、まず検討します。
当選者の氏名の公表も、第三者への出し方の一つです。当選者の氏名やアカウント名を公表することは、抽選の透明性を示す一方で、個人情報の公表に当たります。個人データを公表することは、不特定多数への提供であり、第三者提供の規律との関係でも慎重に扱います。
- 公表する項目：氏名全体か、一部を伏せた形（姓のみ、イニシャル）か、SNSのアカウント名か、応募時の登録名か。
- 公表の方法：特設ページ、公式SNS、広告、店頭の掲示など。ウェブ上の公表は、長期間にわたり検索で出てくることがある。
- 公表の期間：一定期間の掲載のあと削除するのか、継続するのか。
- 同意の取得：当選者の同意を得たうえで、氏名の一部（またはアカウント名）を掲載する。応募時の規約には掲載することがある旨を示し、同意は当選の通知の際に確認する。
- 未成年者の場合：保護者の同意を得るか、公表をしない設計にするか。
実務では、応募時の規約で公表の可能性を示し、当選の通知の際に公表の可否を確認し、同意を得た当選者についてだけ掲載する運用が見られます。公表を希望しない場合の選択肢（匿名の発表、当選番号のみの発表）を用意しておくと、当選者の納得を得やすくなります。
保存期間と消去：キャンペーンの終了後にどう扱うか
個人情報取扱事業者は、利用目的の達成に必要な範囲内で、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければなりません（22条）。これは努力義務ですが、キャンペーンの終了後も応募者の個人データを残し続けることは、漏えいのリスクを高めるだけでなく、特定した利用目的の範囲を超えることにもなりかねません。
情報の種類ごとの保存期間の考え方
| 情報 | 保存を続ける理由 | 消去の時期の考え方 |
|---|---|---|
| 落選者の氏名・メールアドレス | 抽選の記録の確認、問合せ対応 | 抽選結果の発表と、問合せの受付期間が終わった後 |
| 当選者の氏名・住所・電話番号 | 賞品の発送、受領後の不具合対応 | 賞品の受領後、不具合の申出を受け付ける期間が終わった後 |
| 不正応募と判断した記録 | 再発防止、不正の調査 | 再発防止のために必要な期間。ただし、無期限に保存しない |
| 応募作品 | 宣伝への利用 | 許諾の期間に合わせる（応募作品のページ参照） |
| 同意の記録 | 同意があったことの説明 | 同意の効力が続く間。個人情報の消去とは別に扱う |
保存期間は、法律が一律に定めているわけではなく、利用目的との関係で、必要な期間を主催者が決めるものです。決めた期間は、プライバシーポリシーか規約に書いておくと、応募者の不安を和らげます。保存期間を「一定期間」とだけ書く例もありますが、可能な限り、判断の目安（「抽選結果の発表から○か月」など）を示す方が、特定したと言いやすくなります。
外部サービスへの送信と、応募者からの開示等の請求
キャンペーンの応募フォームやアンケートに、外部の事業者が提供するサービス（フォーム作成ツール、メール配信サービス、アクセス解析、広告の効果測定タグなど）を使っていることがあります。応募者が入力した情報が、これらのサービスの事業者に送信され、保存されている場合があります。
- フォーム作成ツールやメール配信サービスに、応募者の氏名・メールアドレスを保存させる場合は、委託として整理できるのか、サービス側が自らの目的で利用することがあるのかを確認する。
- サービスの事業者が外国にある場合は、外国にある第三者への提供（28条）の規律が関わり得るため、サービスの規約と提供先の国を確認する。
- アクセス解析や広告のタグが、応募者の閲覧の情報を外部に送信している場合は、その旨を利用目的や取扱いの表示に書く。
- サービスの事業者が、取得した情報を自らの事業のために使えると定めている場合は、キャンペーンの個人データを入力させない設計にするか、利用を認めない契約に切り替える。
応募者からの開示・訂正・利用停止などの請求に応じる窓口も、あらかじめ決めておきます。キャンペーンの終了後に、「自分の応募情報を消してほしい」という申出が来る場面もあります。応募者の個人データを一元的に把握していないと、請求に迅速に対応できません。委託先に分散した情報がある場合は、委託先から情報を集める手順も、委託契約で決めておきます。
規約の例キャンペーンの個人情報の取扱いに関する条項の例
- 当社は、応募者の個人情報を、次の目的のために利用します。(1) 応募の受付、応募資格の確認、抽選・審査。(2) 当選者への通知、賞品の発送、および発送に関する連絡。(3) 不正な応募の確認。(4) 本キャンペーンに関する問合せへの対応。
- 当社は、前項の目的のために必要な範囲で、個人情報の取扱いの一部を、事務局および配送業者に委託することがあります。この場合、当社は、委託先に対して必要かつ適切な監督を行います。
- 当社は、あらかじめ応募者の同意を得た場合および法令に基づく場合を除き、応募者の個人情報を第三者に提供しません。
- 当社は、当選者の同意を得たうえで、当選者の氏名の一部（またはアカウント名）を、特設ページに掲載することがあります。同意は、当選の通知の際に確認します。
- 当社は、応募者の個人情報を、本キャンペーンの終了後、一定の期間が経過したときに消去します。ただし、法令に基づき保存する必要がある場合を除きます。
- 応募者は、自己の個人情報について、開示、訂正、利用停止等を求めることができます。請求は、当社の連絡窓口に対して行ってください。
共催者に提供する場合、外部サービスを使う場合は、上の条項に加えて、提供先・サービスの名称、提供する情報の項目などを個別に記載します。
確認の問いと、起きがちなこと
確認の問いと理由個人情報の取扱いを整えるときに確かめたい点
応募時に全員から集める項目と、当選者にだけ集める項目を分けているか。
集める情報を減らすと、漏えいの影響も、管理の負担も小さくなる
利用目的が、キャンペーンの手続に即して特定されているか。
「事業活動のため」では特定したといえず、目的外の利用との境界も曖昧になる
販促の連絡への同意が、応募の条件と切り離されているか。
応募の手続と販促は別の目的。同意欄を分けると、応募者の選択が保たれる
事務局・配送業者との契約に、監督と安全管理の条項があるか。
委託は第三者提供ではないが、委託元の監督義務が残る
共催者に渡す場合の同意または共同利用の通知が整っているか。
提供先ごとの同意か、共同利用の法定事項の通知が必要
保存期間と消去の手順を決めているか。
キャンペーンの終了後も情報が残ると、漏えいと目的外利用のリスクが続く
個人情報の取扱いで起きがちなこと
- 応募フォームに利用目的を表示せず、後日、応募者から「何に使われるのか」と尋ねられる。
- 応募の受付のために集めたメールアドレスに、キャンペーンと無関係な広告メールを送ってしまう。
- 事務局が、キャンペーンの終了後も応募者の名簿を保管し続け、次の企画の宣伝に使ってしまう。
- 共催者に、応募者全員の名簿をそのまま渡してしまい、同意がなかったと指摘される。
- 当選者の氏名を、承諾なしにSNSの投稿へ掲載し、当選者から削除を求められる。
- 外部のフォームツールの設定で、入力された個人情報がツール側の事業者の利用に供される状態になっている。
よくあるご質問
キャンペーンの応募者のメールアドレスを、後日、別の販促の案内に使えますか。
応募の受付や抽選のために取得した個人情報を、別の目的である販促の案内に使うには、その目的を特定したうえで、本人の同意を得ておく必要があります（個人情報保護法18条1項）。応募の手続とは別に、販促メールの受信の同意欄を設け、応募の条件にはしない設計が望ましいです。販促のメールは、特定電子メールの送信の適正化等に関する法律3条1項により、あらかじめ送信に同意した相手などにだけ送ることができます（事前の同意）。同意を得ていない応募者には、キャンペーンに関する連絡のみを送ります。
発送を配送業者に任せるとき、応募者の同意は必要ですか。
利用目的の達成に必要な範囲内で個人データの取扱いを委託する場合、委託先は第三者に該当しないため（個人情報保護法27条5項1号）、新たに応募者の同意を得る必要はありません。その代わり、委託先に対する必要かつ適切な監督が必要です（同法25条）。委託の事実と利用目的は、規約またはプライバシーポリシーに記載しておくとよいです。
共催者に当選者の住所を渡してよいですか。
共催者は、通常、第三者に当たります。個人データを提供するには、原則として本人の同意が必要です（個人情報保護法27条1項）。共催者との間で共同して利用する場合は、共同して利用する旨、項目、範囲、利用目的、管理責任者を、あらかじめ本人に通知し、または本人が容易に知り得る状態に置くことで、第三者提供の規律の適用を受けない整理もあり得ます（同条5項3号）。ただし、利用目的の範囲内でなければなりません。
当選者の氏名を公表するには、どうしたらよいですか。
当選者の同意を得たうえで、氏名の一部（またはアカウント名）を掲載します。応募時の規約で掲載することがある旨を示し、同意は当選の通知の際に確認します。公表を望まない場合の選択肢（当選番号のみの発表、イニシャルでの発表）を用意し、公表の範囲と期間を決めておきます。未成年者の場合は、保護者の同意を得るか、公表をしない設計にします。
応募者の個人データは、いつまで保存してよいですか。
個人情報保護法22条は、利用する必要がなくなったときは遅滞なく消去するよう努めると定めています。保存期間の具体的な日数は法律で一律には決まっておらず、利用目的に照らして必要な期間を主催者が定めます。抽選結果の発表と問合せの受付期間が終わった後に落選者の情報を消す、賞品の受領後の不具合の申出期間が終わった後に当選者の住所を消す、というように、情報の種類ごとに決めておくのが現実的です。
あわせて読みたいページ
本ページは一般的な情報提供です。個別の企画への当てはめは、景品類の提供の仕組みや表示の内容によって異なることがあります。書き方の例として紹介している内容は、一般に見られる書き方を整理した例で、特定の事業者や企画を示すものではありません。条文は e-Gov法令検索で確認できます。景品規制の告示や運用基準の数値は、消費者庁の公表資料の原文で確認してください。参考: e-Gov法令検索 / 消費者庁 / 個人情報保護委員会
