企業がInstagramやXでフォロー&リポスト企画や応募フォーム型のプレゼントキャンペーンを実施すると、参加者の氏名・SNSアカウント名・連絡先・配送先住所などの個人情報を、景品表示法の上限額チェックとは別に、個人情報保護法の観点でも扱うことになる。結論として、SNSキャンペーンの企画担当者がまず押さえるべきは、応募条件ごとにどの個人情報を取得しているかを整理すること、取得時に利用目的を通知または公表すること、当選者以外の個人情報を目的達成後に残さないことの3点である。本記事では、個人情報保護委員会（PPC）の公式ガイドラインとFAQに基づき、SNSキャンペーンを実施する企業が確認すべき個人情報保護法の実務ポイントを整理する。
SNSキャンペーンで個人情報保護法の対応が必要になる場面
SNSキャンペーンにおける個人情報保護法対応とは、企業がフォロー&リポストや応募フォームなどを通じて参加者から取得する氏名・連絡先・配送先情報などの個人データについて、取得方法と利用目的の通知、保管期間の面で法令上の義務を満たすことを指す。
SNSキャンペーンの応募条件は、フォロー&リポストのように参加者のSNSアカウント情報だけで完結する形式もあれば、外部の応募フォームで氏名・メールアドレス・配送先住所まで入力させる形式もある。後者では、企業は参加者本人から直接、氏名や住所という個人情報を取得することになり、これは景品表示法が規制する景品類の上限額とは別の論点になる。景品表示法上の区分や上限額はSNSプレゼントキャンペーンと景品表示法で整理しているとおりだが、上限額の範囲内に収めても、個人情報の取得方法や利用目的の通知が不十分であれば、個人情報保護法上の別の問題が残る。
SNSキャンペーンを企画するマーケティング担当者は、景品表示法のチェックリストは確認するものの、個人情報保護法まで確認する運用は後回しになりやすい。応募フォームを作る段階で「何の個人情報を、何のために取得するか」を先に整理しておけば、キャンペーン終了後に当選者以外の個人情報が社内に残り続けるといった事態を避けられる。
キャンペーン形式別に収集される個人情報の整理
SNSキャンペーンで収集される個人情報の範囲は、フォロー&リポスト型・コメント投稿型・DM応募型・外部フォーム型・友人紹介型という応募形式ごとに異なる。
企画段階で応募形式を決めると、収集される個人情報の範囲もほぼ自動的に決まる。次の表は、実務でよく使われる応募形式ごとに、収集される個人情報と本人への通知手段の考え方を整理したものである。
| 応募形式 | 収集される主な個人情報 | 利用目的の通知手段 |
|---|---|---|
| フォロー&リポストのみ | SNSアカウント名・アイコン画像 | 投稿本文・固定ポストでの公表 |
| コメント投稿型 | SNSアカウント名・コメント本文 | 投稿本文での公表 |
| DM応募型 | SNSアカウント名・DM本文・(当選者のみ)配送先 | 投稿本文で公表、当選連絡DMで個別通知 |
| 外部応募フォーム型 | 氏名・メールアドレス・配送先住所・電話番号 | フォーム内のプライバシーポリシー表示で通知 |
| 友人紹介・タグ付け拡散型 | 紹介者本人の情報に加え、紹介された友人の情報 | 紹介者・被紹介者の双方への通知が必要 |
この5つの形式のうち、外部応募フォーム型と友人紹介型は、企業が直接、参加者本人以外の第三者の情報まで取得する可能性がある点で、他の形式より確認事項が多い。フォロー&リポストのみの形式でも、SNSアカウント名と当選連絡DMの内容を組み合わせれば特定の個人を識別できるようになる場合があり、「アカウント名だけだから個人情報にはあたらない」と一律に判断せず、当選連絡以降の取扱いまで含めて確認しておく必要がある。次の章から、それぞれの形式に共通する法令上の基本ルールを順に確認する。
個人情報保護法が求める「適正取得」とは（法第20条）
適正取得とは、個人情報保護法第20条第1項が定める、個人情報取扱事業者が偽りその他不正の手段により個人情報を取得してはならないという義務を指す。
個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/、2026年9月28日時点で確認）は、法第20条第1項について「個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない。」と定めていることを示している。SNSキャンペーンの応募フォームでこの規定が直接問題になる場面は多くないが、当選確率を実際より高く見せる表示で応募を誘導したり、無関係な提携先への情報提供を隠して個人情報を取得したりすれば、この「不正の手段」に該当するおそれがある。
仮の例として、ある法人向けSNS運用支援会社が自社の顧客企業向けにアンケート付きプレゼントキャンペーンを企画したケースを考える。応募フォームの入力項目を「氏名・メールアドレス・配送先住所」のみと告知していたにもかかわらず、実際には別のマーケティング目的で利用する属性設問を追加していた場合、告知していた取得目的と実際の取得内容が食い違うことになる。この食い違いを避けるには、フォームを公開する前に、入力項目と告知内容を1行ずつ照合する確認作業を、企画担当者以外の第三者が行う体制にしておくことが実務上の対策になる。
利用目的の通知・公表義務（法第21条）とキャンペーン応募フォームの記載
利用目的の通知・公表義務とは、個人情報保護法第21条第1項が定める、個人情報を取得する事業者が、あらかじめ利用目的を公表していない場合に、取得後速やかに本人へ通知または公表しなければならない義務を指す。
前掲のPPCガイドライン（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/、2026年9月28日時点）は、法第21条第1項に基づき、個人情報取扱事業者が個人情報を取得した場合、あらかじめその利用目的を公表している場合を除き、速やかにその利用目的を本人に通知するか公表しなければならないと説明している。SNSキャンペーンの外部応募フォーム型では、フォームの入力画面にプライバシーポリシーへのリンクを設置し、「当選者への商品発送」「当選連絡」といった利用目的を明記することで、この公表義務を満たす運用になる。
フォーム型に比べて見落としやすいのが、DM応募型である。DMでの応募は投稿本文で応募条件を告知するだけで、DM画面上に利用目的を表示する仕組みがないSNSも多い。この場合は、投稿本文またはプロフィール欄に、当選者への配送のために個人情報を利用する旨を明記しておくことで、通知・公表義務を満たす運用にできる。
友人紹介・タグ付け拡散型キャンペーンで注意すべき点
友人紹介型キャンペーンとは、参加者本人が友人を紹介・タグ付けすることで、当該友人の個人情報を企業が本人以外から取得する形式のキャンペーンを指す。
個人情報保護委員会のFAQ（https://www.ppc.go.jp/all_faq_index/faq1-q4-1/、2026年9月28日時点で確認）は、「サービスを利用した本人から友人を紹介してもらい、当該本人を介して、その友人の個人情報を取得する、『友人紹介キャンペーン』による取得」について、事業者が偽ったり騙したりする等により個人情報を不正に取得していなければ、適正取得の規定に違反しないと考えられるとしている。同FAQは続けて、この方法で友人の個人情報を取得する場合には利用目的の通知または公表が必要であり、要配慮個人情報については当該友人のあらかじめの同意なく取得することはできないと明記している。
SNSでの「友人をタグ付けして応募」という企画は、この友人紹介型に該当する。参加者が友人をタグ付けした時点で、企業がタグ付けされた友人のSNSアカウント名を把握する形になるため、企画のルール文に「タグ付けされた方にも本キャンペーンの応募規約が適用されます」といった一文を入れ、タグ付けされた本人にも利用目的が伝わる設計にしておく必要がある。
要配慮個人情報が混入するキャンペーン設計の注意点
要配慮個人情報とは、個人情報保護法が定める、不当な差別や偏見その他の不利益が生じないよう取扱いに特に配慮を要する個人情報であり、病歴や健康診断の結果などが含まれる。
個人情報保護委員会のFAQ（https://www.ppc.go.jp/all_faq_index/faq4-q011/、2026年9月28日時点で確認）は、要配慮個人情報について、取得には原則として本人の同意が必須であり、同意なしの第三者提供は認められず、漏えい等が発生した場合は個人情報保護委員会への報告と本人への通知が必須になると説明している。
SNSキャンペーンのアンケート設問に、健康状態や既往症に関わる質問を含めると、この要配慮個人情報の取得にあたる可能性がある。たとえば美容・健康関連の企業が「肌トラブルの経験」を選択式で回答させるアンケート付きキャンペーンを実施する場合、選択肢に既往症や体質に関わる項目が含まれていれば、通常の応募フォームの同意チェック欄とは別に、要配慮個人情報の取得についてあらかじめの同意を得る設計にしておく必要がある。景品表示法上の上限額チェックだけでは、この要配慮個人情報の論点は確認できないため、アンケート設問を追加する企画では設問内容を個別に確認する工程を挟むことが実務上の対策になる。
景品表示法との違い｜個人情報保護法だけでは終わらない確認事項
SNSキャンペーンの法令確認は、景品類の提供条件を規制する景品表示法と、参加者の個人情報の取扱いを規制する個人情報保護法という、目的の異なる2つの法律を別々に確認する必要がある。
景品表示法は「参加者に提供する景品類の価額」を規制対象にしており、応募形式が一般懸賞・共同懸賞・総付景品・オープン懸賞のいずれに区分されるかによって上限額が変わる。この区分と上限額の考え方はSNSプレゼントキャンペーンと景品表示法で確認できる。一方、個人情報保護法は「参加者から取得する個人情報の取扱い」を規制対象にしており、景品の価額とは無関係に、取得方法・利用目的の通知・保管期間のすべてが確認対象になる。
実務では、景品表示法の上限額チェックだけを完了させて「キャンペーンの法令確認は終わった」と判断してしまう企画担当者が少なくない。この2つの法律はチェックする項目が別であるため、景品表示法のチェックリストに個人情報保護法の確認項目を追加するか、別のチェックリストとして運用するかを、企画テンプレートの段階で決めておくことが望ましい。インフルエンサーに参加してもらう形式のキャンペーンでは、この2つの法律に加えて、PR表記の要否を確認する企業SNSのステマ規制対応も確認対象になる。
当選者データの保管期間と「遅滞なく消去する」の考え方
個人データの保管期間とは、キャンペーンで取得した個人情報について、利用目的の達成に必要な範囲を超えて保管しないよう、事業者が遅滞なく消去する努力義務の対象となる期間を指す。
個人情報保護委員会のFAQ（https://www.ppc.go.jp/all_faq_index/faq1-q5-3/、2026年9月28日時点で確認）は、「遅滞なく」が示す具体的な期間について、個人データの取扱状況等により異なり得るが、業務の遂行上の必要性や引き続き当該個人データを保管した場合の影響等も勘案し、必要以上に長期にわたることのないようにする必要があると解されるとしている。同FAQは、事業者のデータ管理のサイクルなど実務上の都合に配慮することは認められるとも説明している。
SNSキャンペーンでは、当選者への商品発送が完了した時点で、配送先住所や電話番号を保管し続ける利用目的の大部分は達成されたことになる。発送後の返品・未着対応に備えて一定期間保管する必要はあるが、「今後の企画でも使えるかもしれない」という理由で当選者以外の応募者情報を含めて長期保管することは、この考え方に沿わない。キャンペーンの企画テンプレートに、発送完了から一定期間後に応募者データを削除する工程をあらかじめ組み込んでおくことが、実務上の対応になる。
運用代行会社・キャンペーンツールに委託する場合の追加確認事項
キャンペーン運用の委託とは、応募フォームの管理や当選者選定、DM対応などのキャンペーン業務の一部または全部を、外部の運用代行会社やキャンペーンツールに委ねることを指す。
SNSキャンペーンの応募受付や当選者選定を外部の運用代行会社やキャンペーンツールに任せる場合、参加者の個人情報を委託先に取り扱わせることになる。この委託にあたって企業が確認すべき安全管理措置や監督義務の内容は、SNS運用代行と個人情報保護法で整理した委託先監督義務の枠組みがそのまま当てはまる。キャンペーン単発の委託であっても、契約書に個人情報保護条項を盛り込み、委託先の安全管理措置を選定時に確認する必要がある点は変わらない。
また、運用代行を発注する契約自体が下請法(取適法)の対象になるかどうかは、資本金基準や業務内容によって判断が分かれる。この判断基準はSNS運用代行の外注と取適法(旧下請法)で確認できる。運用代行会社を新たに選定する場合は、Instagram運用代行の契約前チェックリストにある業務範囲・指標・解約条件の確認項目に、個人情報の取扱いに関する条項の有無を追加しておくと、キャンペーン単発の委託でも確認漏れを防ぎやすい。
応募データの管理体制｜アカウント権限とタグ・Cookie対応の関係
応募データの管理体制とは、キャンペーンで取得した個人情報に誰がアクセスできるかを定めるアカウント権限管理と、応募フォームやランディングページでの外部送信規律を組み合わせた社内の運用体制を指す。
DM応募型のキャンペーンでは、企業のSNS公式アカウントに届いた応募DMを、誰が確認し、誰が当選者情報を配送担当に共有できるかという権限管理が必要になる。担当者の異動や退職時にDM閲覧権限が放置されると、退職後も個人情報を含むDM履歴にアクセスできる状態が残ってしまう。この権限管理と引き継ぎの手順は企業SNSアカウントの権限管理と引き継ぎ手順で確認できる。
外部応募フォーム型のキャンペーンでは、フォームを設置したランディングページに広告効果測定用のタグを埋め込むケースもある。この場合、フォームで取得する個人情報とは別に、Cookie等を通じた外部送信規律の確認が必要になる。この確認項目は企業SNS広告のタグ・Cookie対応で整理しているとおりで、キャンペーンページを制作する際は、応募フォームの個人情報保護法対応とタグの外部送信規律対応を、それぞれ別の担当者がチェックする体制にしておくと確認漏れを防げる。
キャンペーン実施フェーズ別 実務チェックリスト
実施フェーズ別チェックリストとは、キャンペーンの企画から終了後までを5つの段階に分け、各段階で確認すべき個人情報保護法上の項目を整理したものを指す。
ここまでの内容を、企画から終了後までの5つのフェーズに沿って一覧にすると、次のとおりである。
| フェーズ | 確認事項 | 根拠・関連法令 |
|---|---|---|
| 企画 | 応募形式ごとに収集する個人情報の範囲を確定する | 個人情報保護法第20条(適正取得) |
| 応募受付 | 応募フォーム・投稿本文・DM画面に利用目的を明記する | 個人情報保護法第21条(通知・公表) |
| 応募受付 | 友人紹介・タグ付け型では被紹介者への通知方法を用意する | PPC FAQ「友人紹介キャンペーン」 |
| 当選者選定 | アンケート設問に要配慮個人情報が含まれないか確認する | 個人情報保護法上の要配慮個人情報 |
| 景品発送 | 配送先住所・電話番号の共有範囲を発送担当のみに限定する | アカウント権限管理 |
| 終了後 | 発送完了後、一定期間を経て応募者データを削除する | PPC FAQ「遅滞なく消去する」 |
この6項目は、いずれもキャンペーンの企画テンプレートに1行ずつ確認欄として組み込める内容である。景品表示法の上限額チェックリストと並べて運用することで、2つの法律を別々に確認し忘れる事態を避けられる。
効果測定・フォロワー増加目的との両立で見落としやすい点
効果測定との両立とは、キャンペーンの目的であるフォロワー増加やエンゲージメント向上を測定する作業と、参加者の個人情報保護を確認する作業を、同じ企画プロセスの中で両立させることを指す。
SNSキャンペーンの多くは、フォロワー増加やエンゲージメント向上を主な目的として企画される。フォロワー増加を目的にした企画の考え方は企業のInstagramフォロワーの増やし方で、キャンペーン終了後の効果測定で見るべき指標はSNS運用の効果測定で、それぞれ確認できる。フォロワー数や応募数といった成果指標を追うことに意識が向くと、個人情報の取扱いという確認作業が後回しになりやすいため、企画テンプレートの段階で両方の確認項目を並べておくことが望ましい。キャンペーン前後のアカウント指標の変化を継続的に振り返る方法は企業Instagramアカウント分析と改善のやり方で確認できる。
また、キャンペーンの実施タイミングを社内カレンダーに登録する際は、応募受付開始日だけでなく、景品発送完了日と応募者データの削除予定日もあわせて登録しておくと、削除作業の抜け漏れを防ぎやすい。キャンペーンを含めた投稿スケジュールの管理方法はSNSコンテンツカレンダーの作り方で確認できる。なお、当選者情報の取扱いを誤って外部に流出させてしまった場合は、個人情報保護法上の報告義務に加えて、SNS上での炎上対応も必要になる可能性がある。炎上時の対応手順は企業SNS炎上を防ぐ7つの対策で確認できる。
よくある質問（FAQ）
- Q1. SNSのフォロー&リポストのみで参加できるキャンペーンでも、個人情報保護法の対応は必要ですか
- フォロー&リポストのみで完結する形式では、企業が取得する情報はSNSアカウント名程度にとどまり、氏名や住所などを直接取得しないことが多い。ただし、当選者にDMで連絡し配送先を確認する段階からは、その時点で取得した個人情報について利用目的の通知が必要になる。
- Q2. 応募フォームのプライバシーポリシーへのリンクを設置すれば、利用目的の通知・公表義務は満たせますか
- プライバシーポリシーに、当該キャンペーンで取得する個人情報の利用目的が具体的に記載されていれば、公表による対応として成立する。ただし、既存のプライバシーポリシーがキャンペーンでの利用目的をカバーしていない場合は、フォーム内に個別の利用目的を追記する必要がある。
- Q3. 友人を紹介してもらう形式のキャンペーンで、紹介された友人には何を伝える必要がありますか
- 個人情報保護委員会のFAQによれば、友人紹介キャンペーンで友人の個人情報を取得する場合、その友人への利用目的の通知または公表が必要になる。応募規約に、紹介された側にも規約が適用される旨を明記し、通知の手段を確保しておく必要がある。
- Q4. キャンペーンのアンケートで健康に関する質問を入れても問題ありませんか
- 健康状態や既往症に関わる設問は要配慮個人情報の取得にあたる可能性があり、原則として本人のあらかじめの同意が必要になる。通常の応募フォームの同意チェック欄とは別に、要配慮個人情報の取得について明示的な同意を得る設計にする必要がある。
- Q5. 落選者の応募データはいつまで保管してよいですか
- 明確な保管期間が法令で定められているわけではないが、当選者への発送対応が完了すれば、落選者の個人情報を保管し続ける利用目的はほぼ失われる。発送完了後、返品・未着対応に必要な期間を経たうえで、遅滞なく削除する運用が求められる。
- Q6. キャンペーンの応募データを次回企画のために保管しておくことはできますか
- 次回企画での利用を目的とするなら、その旨をあらかじめ利用目的として通知または公表しておく必要がある。今回の当選者選定のためだけに取得した個人情報を、通知していない目的で保管し続けることは、利用目的の通知・公表義務の趣旨に沿わない。
- Q7. キャンペーン運用を代行会社に委託する場合、個人情報保護法上の同意を都度取り直す必要がありますか
- 委託に伴う個人データの提供は、利用目的の達成に必要な範囲内であれば第三者提供に該当しないため、都度の同意は不要とされている。ただし、委託元企業には委託先を監督する義務が別途生じるため、契約内容の確認は必要になる。
- Q8. 抽選・応募フォームのSaaSツールを使う場合も、これまでの確認事項はすべて当てはまりますか
- SaaSツールを使う場合、応募者の個人情報を最終的に取り扱うのは自社であり、ツール事業者への委託という位置づけになる。ツール側の入力項目設定だけに任せず、利用目的の通知文言をツールの画面に反映できるか、当選者選定後のデータ削除がツール側で可能かを、契約前に確認しておく必要がある。
まとめ
SNSキャンペーンの法令確認は、景品類の上限額を規制する景品表示法だけでは終わらない。参加者から取得する個人情報については、取得方法が適正取得の規定に反していないか、利用目的を通知または公表しているか、目的を達成した個人情報を遅滞なく削除しているかという、個人情報保護法上の別の確認事項が残る。特に友人紹介・タグ付け型のキャンペーンでは本人以外の個人情報を取得すること、アンケート付きキャンペーンでは要配慮個人情報が混入する可能性があることに注意が必要である。企画テンプレートに、景品表示法のチェック項目と個人情報保護法のチェック項目を並べて組み込み、当選者への発送完了後にデータを削除する工程まであらかじめ用意しておくことが、SNSキャンペーンを法令上のリスクを抑えながら実施するための実務上の出発点になる。