コピーしてすぐ使える！OB会・任意団体向け「個人情報・Googleフォーム」安全運用マニュアル 幹事必見！Googleフォーム時代の「正しい」個人情報の集め方・守り方

【デジタル社会における任意団体の個人情報マネジメント〜保護と利活用を両立する実践的指針〜】

1. 報告書の目的と背景 法改正により、OB会や任意団体であっても「個人情報取扱事業者」として法的義務を負うことになりました。本報告書は、イベント開催時にGoogleフォーム等で個人情報を収集する際の法的バックグラウンドを整理し、過剰な反応を避けつつ安全に運用するための具体的なポリシー指針を提示しています。

2. 個人情報保護法の本来の意図と「契約」としての解釈

• 保護と利活用の調和: 個人情報保護法は情報を「集めない」ための法律ではなく、ルールを明確にして安全に「利活用」するためのものです。過剰な防衛反応（名簿作成自体を悪とするなど）は本来の趣旨から外れます。

• 相互の義務と法的責任: イベント参加に伴う個人情報の提供は、民法上の「契約（諾成契約）」とみなされます。参加者は円滑な運営のために情報を提供する義務を負い、主催者はその情報を安全に管理する義務を負います。管理を怠り漏えいさせた場合、主催者は「債務不履行」や「不法行為」による損害賠償責任を問われる可能性があります。

3. 実務運用における重要な留意点

• 利用目的の制限: 取得した個人情報は、あらかじめ定めた目的以外には使えません。特に「非会員」や「ゲスト」の情報を、同意なしに名簿へ永続登録したり、関係のない案内を送ったりすることは法令違反となります。

• Googleフォーム等の設定ミス防止: 情報漏えいの最大の原因はサイバー攻撃ではなく「ヒューマンエラー」です。フォームの「結果の概要を表示する」をオフにし、回答データの共有設定を特定の幹事のみ（制限付き）にするなどの厳格なアクセス管理が不可欠です。

• 写真撮影と肖像権: イベント中の写真（顔写真）は個人情報および肖像権の保護対象です。フォームでの事前同意取得、当日の会場掲示による告知、削除要請（オプトアウト）への迅速な対応体制が必要です。

4. 漏えい時の義務と、今後の法改正（2026年問題）

• 報告義務と罰則: 不正アクセスや一定規模以上の情報漏えいが発生した場合、個人情報保護委員会への報告と本人への通知が義務化されており、違反すると最大1億円の罰金等の重いペナルティが科されます。

• 次期法改正への対応: 2026年の法改正に向け、経済的ペナルティである「課徴金制度」の導入や、ユーザーを誤認させる「ダークパターン（例：同意チェックボックスに最初からチェックを入れておく設計）」の規制が強化される見込みです。今後は参加者自身の能動的なアクションによる同意取得が必須となります。

5. 結論と実践的アプローチ 「個人情報を集めること＝リスク」と捉えるのではなく、「必要最小限の収集」「利用目的の明示・限定」「厳格なアクセス制御」の基本原則を徹底することが重要です。 実務対応として、フォームの送信前に必ず参加者自身でチェックを入れる（デフォルトオフの）同意項目を設け、実情に即した「個人情報取扱ポリシー」を提示・運用することが、安全で持続可能なコミュニティ運営に繋がります。

OB会および任意団体におけるイベント開催時の個人情報取扱と法的契約概念に関する総合研究報告書

1. 序論：本報告書の目的と対象範囲

デジタル技術の発展とクラウドサービスの普及により、OB会、同窓会、あるいは有志による任意団体がイベント（総会、懇親会、特定の集会など）を開催する際、出欠管理や参加者情報の収集にGoogleフォーム等のデジタルツールを利用することが標準的な実務となっている。

こうした情報のデジタル化は運営の効率化に大きく寄与する一方で、収集される参加者の氏名、電話番号、メールアドレス等のデータは、個人情報の保護に関する法律（以下、個人情報保護法）によって保護される「個人情報」に該当する。

平成29年（2017年）に全面施行された改正個人情報保護法により、取り扱う個人情報の数が5,000人分以下の事業者に対する適用除外規定が撤廃され、営利・非営利を問わず、すべての事業者に同法が適用されることとなった。

したがって、法人格を持たない権利能力なき社団（任意団体）やOB会、さらには一時的に組成されたイベント実行委員会であっても、「個人情報取扱事業者」として法的な義務と責任を負う主体となる。   

本報告書では、OB会や任意団体がイベント開催のために個人情報を収集する行為について、個人情報保護法が本来意図する「保護と有用性のバランス」の観点から法的なバックグラウンドを検証する。

さらに、参加者が情報を提供してイベントに参加するという一連のプロセスを民法上の「契約」という概念から法的に整理し、「情報収集に対する過剰反応」を排しつつ、適正かつ安全に情報を取り扱うための具体的なポリシー策定の指針を提示する。

2. 個人情報保護法制定の意図と「有用性」の理念

2.1. 保護と利活用の調和（法第1条の精神）

個人情報の取り扱いにおいて、「情報漏えいが怖いから、なるべく情報を集めないでおこう」という意見が散見されるが、これは個人情報保護法の趣旨を一部誤解したものである。

同法第1条（目的）には、「個人情報の有用性に配慮しつつ、個人の権利利益を保護すること」と明記されている。   

すなわち、同法は単に個人情報を「隠す」「集めない」ことを推奨する法律ではない。

現代の高度情報通信社会において、個人情報は企業活動や団体運営に不可欠な基盤であり、情報を全く取り扱わずに事業や組織運営を営むことは現実的に不可能に近い。

法律が制定された背景には、個人のプライバシーや財産的利益を守る（漏えいや不正利用を防ぐ）という防衛的な側面に加え、取り扱いのルールを明確化することで、社会全体が安心して個人情報を「利活用」できるようにする（有用性の担保）という積極的な意図が存在している。   

2.2. 「過剰反応」の弊害とその是正

個人情報保護法の施行以降、社会の一部では法の規定を形式的に解釈しすぎるあまり、「名簿を作成すること自体が違法である」といった誤った認識、いわゆる「過剰反応」が蔓延した時期があった。

例えば、学校において緊急連絡網の作成や配布が中止されたり、大規模災害や事故等の緊急時における安否確認のための情報提供が拒否されたりする事態が発生した。   

OB会や任意団体がイベントを企画・運営するにあたり、「目的のために個人情報なしには行事はありえないので、当然その情報は求める」という認識は、まさに法律が想定する「情報の有用性」に合致するものである。

参加者の身元を把握し、緊急時の連絡手段を確保することは、イベントを安全かつ円滑に運営する上で不可欠であり、あらかじめ利用目的を明確にし、適切なルールの下で個人情報を取得することは、法律によって完全に正当化されている行為である。   

3. イベント参加に伴う個人情報提供と「契約」の法的性質

「会に参加をするにあたり、個人情報を提供する行為は、書面を交わさなくとも一種の『契約』である」という仮説は、法解釈の観点から極めて精緻かつ正確な視点である。

ここでは、イベント参加における情報の相互提供を、民法上の契約法理に基づき整理する。

3.1. 諾成契約の成立と黙示の意思表示

日本の民法上、契約は当事者双方の意思表示の合致（申込みと承諾）によって成立する「諾成契約（だくせいけいやく）」が原則であり、契約書の作成や押印は必ずしも成立要件ではない。

インターネット上のGoogleフォーム等を通じてイベントに参加を申し込む行為は、主催者からの「イベント開催と参加の誘引」に対する、参加者からの「参加の申込み（承諾）」という意思表示の合致を意味する。   

法的には、明示的な「同意します」というチェックボックスへの押下だけでなく、これまでの双方のやり取りや客観的な状況から判断して合意があったとみなされる「黙示の意思表示（黙示の同意）」も認められ得る。

例えば、参加費を振り込み、自らの連絡先をフォームに入力して送信した時点で、その目的（イベント参加とそれに伴う連絡）のために情報が利用されることについて、社会通念上、黙示の同意があったと構成することが可能である。

ただし、後述する個人情報保護の観点からは、後のトラブルを防ぐためにも明示的な同意を取得することが実務上強く推奨される。   

3.2. 双務的関係における個人情報の位置づけと相互義務

イベント参加という契約（法的には無名契約、あるいは役務提供契約の一種）において、当事者には以下の権利と義務が生じる。

この構造において、個人情報の提供は単なる付随行為ではなく、契約の中核を成す債務の一部として機能する。

この法的整理において、参加者が氏名、電話番号、メールアドレス等を提供することは、主催者が「イベントという役務を安全かつ確実に提供するための前提条件（協力義務）」である。

例えば、災害時の避難連絡、直前の開催中止連絡、あるいはキャンセルポリシーに基づくキャンセル料の請求等を行うためには、確実な連絡先が必要不可欠である。

したがって、「情報を互いに提供し合うという契約概念」は、安全なイベント運営という共通目的を達成するための合理的な相互義務の負担として成立している。   

3.3. 主催者側の法的責任（債務不履行と不法行為）

情報の提供が契約に基づくものである以上、主催者（OB会や実行委員会）には、提供された個人情報を安全に管理する義務が生じる。

万が一、主催者の過失（例えばGoogleフォームの設定ミス等）によって参加者の個人情報が第三者に漏えいした場合、主催者は以下の民事責任を問われる可能性がある。

第一に、「債務不履行責任（民法第415条）」である。

これは、イベント参加という契約に付随する「情報の安全管理義務」に違反したことによる損害賠償責任である。

第二に、「不法行為責任（民法第709条）」である。

これは、参加者のプライバシー権という法的に保護された利益を、故意または過失によって侵害したことによる損害賠償責任である。

過去の裁判例では、企業や団体の過失による情報漏えいに対し、精神的苦痛（慰謝料）として1人あたり数千円から数万円の賠償が命じられたケースが存在する。

任意団体であってもこれらの民事責任は免除されないため、契約の対価として情報を預かる以上、厳格な安全管理措置が求められる。   

4. 団体の性質（会員と非会員）に応じた情報収集の峻別と利用目的

イベントには、名簿に登録されている「正会員」だけでなく、過去に在籍していたが名簿にはない「元会員」、あるいは会員の同伴者や、外部の関心層が集まる「非会員」（例えば台湾集会のようなオープンなイベントの参加者）が含まれるケースがある。

これらの対象を峻別することは、個人情報保護法上の「利用目的の制限」の観点から極めて重要である。

4.1. 利用目的の特定と制限（法第15条・第16条）

個人情報保護法第15条および第16条により、取得した個人情報はあらかじめ特定された利用目的の範囲内でしか取り扱うことができない。   

正会員の場合、入会時や同窓会の基本方針として「会報の送付」「次回総会の案内」「名簿の編纂」といった広範な利用目的について、既に同意が形成されている場合が多い。

しかし、非会員や一時的なゲストがフォームを通じて参加を申し込む場合、彼らは「今回のイベントへの参加手続き（出欠管理、緊急連絡）」のためだけに情報を提供していると解釈されるのが社会通念である。   

したがって、特定のイベントのために非会員から取得した情報を、本人の追加の同意なしに「OB会の正規名簿に永続的に登録する」あるいは「後日、無関係な寄付金の要請や営業案内を送る」といった目的で利用することは、目的外利用として明確な法律違反となる。

フォームを通じて情報を取得する際は、参加者の属性に応じた適切な利用目的を明示し、イベント終了後に不要となった非会員のデータは遅滞なく破棄する等の運用方針を定める必要がある。   

5. デジタルツール（Googleフォーム等）利用時の実務的・法的留意点

OB会がGoogleフォーム等を利用して個人情報を収集することは非常に便利であるが、手軽さゆえに重大なセキュリティ事故（設定ミス等）を引き起こすリスクが潜んでいる。

5.1. ヒューマンエラーによる情報漏えいリスクと設定の要諦

過去の事例において、最も頻発している情報漏えいの原因は、高度なサイバー攻撃ではなく、主催者側の「設定ミス（ヒューマンエラー）」である。安全な運用のために、以下の設定を徹底しなければならない。   

5.2. クラウドサービス利用と「外国にある第三者への提供」

Googleフォームなどの海外事業者が提供するクラウドサービスを利用する場合、データが海外のサーバーに保存されることがある。

個人情報保護法第28条では「外国にある第三者への提供」に対して、移転先の国の法制度等に関する情報を提供した上での厳格な本人同意を求めている。   

しかし、クラウドサービス事業者が「個人データを取り扱わないこととなっている場合」は、法的な「第三者への提供」には該当しないと解釈される。

具体的には、契約条項においてクラウド事業者がサーバーに保存された個人データにアクセスしない（利用しない）旨が定められており、適切にアクセス制御が施されている場合である。

Google Workspace等の一般的な利用においては、この例外に該当すると解されるため、第28条の厳格な同意取得義務は通常免除されるが、利用規約やプライバシーポリシーの確認は継続的に行うべきである。   

6. イベント当日の写真撮影と肖像権・個人情報保護

OB会の懇親会等において、当日の様子を写真に収め、後日Webサイト、SNS、または会報に掲載することは一般的な活動である。

しかし、個人の顔がはっきりと判別できる写真は、個人情報保護法上の「個人情報」に該当するだけでなく、民法上の「肖像権」の保護対象ともなる。   

6.1. 写真の取り扱いに関する法的解釈

個人情報保護委員会の見解等によれば、顔写真単体は個人情報に該当するものの、それに氏名が付随して特定の個人を容易に検索可能な状態でデータベース化されていない限り、原則として「個人データ」には該当しないとされる。

この場合、事前の利用目的の通知・公表があれば、厳密な本人の同意がなくとも（法律上の第三者提供規制には直接抵触せずに）公開自体は可能と解される余地がある。   

しかしながら、インターネット上（SNSや団体HP）に無断で顔写真を公開する行為は、個人の受忍限度を超える場合、プライバシー権および肖像権の侵害（不法行為）を構成するリスクが極めて高い。

特に、SNS等に掲載された写真は第三者によって容易に拡散され、後から完全に削除することが困難（デジタルタトゥー化）になるため、法的な「個人データ」に該当するか否かにかかわらず、慎重な取り扱いが求められる。   

6.2. イベントにおける適切な同意取得プロセス

トラブルを回避するためには、個人情報保護法と肖像権保護の両面から、以下の対策を講じる必要がある。

1. 事前の明示的同意（フォームへの組み込み）： Googleフォーム等での参加申し込み時に、「イベント当日は記録および会報掲載の目的で写真撮影を行うこと」「撮影された写真がWebサイトやSNS等に掲載される可能性があること」を明記し、同意のチェックボックスを設ける。   

2. 当日の掲示による補完（黙示の同意の形成）： 当日飛び込みの参加者や事前の確認が不十分だった場合に備え、受付や会場入り口に「本日は写真撮影を行っております。掲載を希望されない方はスタッフ（または識別できる目印の着用）までお申し出ください」といった告知を掲示する。   

3. オプトアウト（削除対応）体制の構築： 被写体から「この写真は削除してほしい」という要請があった場合は、速やかに削除に応じる体制を整えておくことが不可欠である。   

7. 漏えい事故発生時の報告義務と法的ペナルティ

万が一、設定ミスや盗難、マルウェア感染等により個人情報が漏えいした場合、主催者である任意団体には法的な報告義務とペナルティが課される。

7.1. 報告が義務化される4つの事態

令和4年（2022年）4月の改正個人情報保護法により、一定の要件を満たす情報漏えい事故が発生した場合、個人情報保護委員会への報告（速報および確報）ならびに本人への通知が「義務化」された。

報告対象となるのは以下のいずれかに該当する事態である。   

1. 要配慮個人情報（病歴、障害等）が含まれる漏えい。   

2. 不正アクセス等の不正な目的をもって行われた漏えい（ランサムウェア感染等）。   

3. 財産的被害が生じるおそれがある漏えい（クレジットカード情報等の流出）。   

4. 1,000人を超える個人データの漏えい。   

7.2. 報告期限とペナルティ

上記に該当する事案が発覚した場合、事業者は被害拡大を防ぐため、概ね3～5日以内に個人情報保護委員会へ「速報」を提出し、その後原因究明等を行い原則30日以内に「確報」を提出しなければならない。

また、同時に漏えいの対象となった本人に対する通知（メールや郵送、あるいは困難な場合はWebサイトでの公表）も義務付けられている。   

報告義務を怠った場合や、委員会からの立入検査を拒否した場合、または是正勧告・命令に違反した場合は、法人（任意団体を含む）に対して最大1億円以下の罰金が科される可能性がある。

また、個人の実行為者に対しても拘禁刑や罰金が科される場合があるため、重大なコンプライアンス事案として認識する必要がある。   

8. 次期法改正（2026年問題）の展望

個人情報保護法は、社会情勢や技術動向に対応するため、原則として3年ごとに見直しが行われている。

現在、2026年の次期改正に向けた議論が進んでおり（2026年交付、2028年までに本格施行予定）、OB会や任意団体を含むすべての事業者に影響を与える重要な変更が想定されている。   

8.1. データ利活用の緩和と規制強化の二極化

次期改正の大きな方針は、「適正なデータ利活用の推進」と「リスクに適切に対応した規律の強化」の二極化である。

例えば、AI開発や統計情報作成を目的とする場合、一定の条件下で事前の同意要件が緩和される方針が示されている。   

一方で、リスクの高い領域については大幅な規制強化が見込まれる。

16歳未満の子どもの個人情報を取り扱う場合の法定代理人（親権者等）の同意取得の明文化や、顔特徴データ等の生体データに対する厳格な規律（オプトアウト方式による第三者提供の禁止等）が導入される予定である。   

8.2. 課徴金制度の導入とダークパターン規制

最も注視すべき点は、これまで行政指導や罰金刑にとどまっていた法令違反に対し、直接的な経済的ペナルティを科す「課徴金制度」の導入である。

また、消費者団体による差止・損害賠償請求を可能にする「団体訴訟制度」の導入も検討されている。   

さらに、ユーザーを錯誤に陥らせるUI設計、いわゆる「ダークパターン」に対する規制も強化される見込みである。

これは、Webフォーム等において「同意する」のチェックボックスに最初からチェックを入れた状態（デフォルトオン）にしておいたり、承諾ボタンを目立たせて拒否ボタンを隠すような設計を禁止するものである。

したがって、今後のGoogleフォーム等の運用においては、参加者自身の明示的かつ能動的なアクション（空欄のチェックボックスに自らチェックを入れる行為）による同意取得が、法的リスクを回避するための必須要件となる。   

9. OB会・任意団体向け 個人情報取扱ポリシー（実案）

上述の法的背景、契約法理、および実務的要請を踏まえ、OB会や任意団体がGoogleフォームを用いてイベント参加者を募集する際に適用すべき「個人情報取扱ポリシー（プライバシーポリシー）」の具体案を提示する。

このポリシーは、フォームの冒頭に記載するか、リンクを貼って参加者に一読させた上で、送信ボタンの直前に「同意チェックボックス（必須項目）」を設置する運用を前提とする。   

【実践用フォーマット】〇〇会 イベント参加における個人情報取扱に関するポリシー

〇〇会（以下「当会」）は、当会が主催する各種イベント（総会、懇親会、特別集会等）の開催に伴い、参加予定者および参加者（以下「参加者」）から提供される個人情報の取り扱いについて、個人情報の保護に関する法律（個人情報保護法）を遵守し、以下の通りプライバシーポリシー（以下「本ポリシー」）を定めます。

第1条（取得する個人情報の項目と利用目的） 当会は、イベントの参加申し込み、および当日の運営において取得した個人情報を、以下の目的の達成に必要な範囲内においてのみ利用し、参加者の同意なく目的外の利用は行いません。

1. 氏名、連絡先（電話番号、メールアドレス等）：イベントの出欠管理、参加費用の決済確認、当日の受付、変更・中止時の緊急連絡、および事後のアンケート等のため

2. 属性情報（卒業年、所属、会員・非会員の別等）：座席手配等、円滑なイベント運営のため

3. （当会会員の場合のみ）当会の正規会員名簿の更新、および今後の当会主催行事・会報等のご案内のため

4. 当日撮影される写真・動画（肖像）：当会公式Webサイト、会報誌、または会員向けSNS等の媒体におけるイベント報告としての掲載のため（※掲載を希望されない場合は、事前または当日に申し出ることにより掲載から除外いたします）

第2条（非会員の情報の取り扱い） 本イベントにゲストとして参加される非会員の皆様から取得した個人情報は、本イベントの運営および事後報告に関する連絡のためのみに利用します。当会の正規名簿への永続的な登録や、事前の同意を得ない他のイベント等のご案内には利用いたしません。

第3条（個人情報の第三者提供） 当会は、以下の場合を除き、あらかじめ参加者の同意を得ることなく、第三者に個人情報を提供いたしません。

1. 法令に基づく場合

2. 人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき

3. イベント運営の一部（名札の作成、名簿の印刷、会場施設への提出等）を利用目的の達成に必要な範囲内で外部の事業者に委託する場合（この場合、当会は委託先に対して適切な監督を行います）

第4条（安全管理措置とデジタルツールの利用）

1. 当会は、個人情報の漏えい、滅失、または毀損を防止するため、必要かつ適切な安全管理措置を講じます。

2. 情報の収集にGoogleフォーム等のクラウドサービスを利用する場合、当会は当該データへのアクセス権限を特定の幹事のみに限定し、外部からの不正アクセスや意図しない情報共有を防止するためのシステム設定（「制限付き」アクセス等）を厳格に実施します。

第5条（個人情報の開示・訂正・削除・利用停止） 参加者は、当会が保有する自身の個人情報について、開示、訂正、追加、削除、利用停止等を求めることができます。当会は、本人からの請求であることを確認の上、法令の定めに従い遅滞なく誠実に対応いたします。Webサイト等に掲載された写真の削除要請についても速やかに対応します。

第6条（情報の廃棄） イベントの利用目的が完了し、保管の必要がなくなった非会員等の個人情報については、遅滞なく適切な方法（デジタルデータの完全消去、書類のシュレッダー廃棄等）により廃棄・消去いたします。

第7条（お問い合わせ窓口） 本ポリシーに関するお問い合わせ、または個人情報の開示・削除等に関するご請求は、以下の窓口までご連絡ください。 [OB会名義 / 担当幹事名 / 連絡先メールアドレス・電話番号等]

制定日：202X年X月X日

9.1. フォーム上での同意取得の具体的な実装方法（UI設計）

上記ポリシーの法的有効性を担保し、参加者との「諾成契約」の成立を客観的に証明するためには、Googleフォームの送信ボタン直前に、以下の設定を行うことが不可欠である。   

• 質問文の作成： 「個人情報の取り扱いについて（必須）」

• 回答形式： 「チェックボックス」

• 選択肢の内容： 「上記の個人情報取扱ポリシーを確認し、同意します」

• 必須化と非デフォルト化： このチェックボックスを「必須項目」に設定し、未チェックの状態ではフォームが送信できないようにする。また、あらかじめチェックを入れた状態（デフォルトオン）にすることは、今後の法規制（ダークパターン規制）の観点からも絶対に避けるべきである。   

10. 結論

OB会をはじめとする任意団体がイベントを開催する際、Googleフォーム等を用いて参加者の個人情報を取得することは、イベントという役務を提供する「契約」を安全かつ確実に遂行するために必要不可欠なプロセスである。

昨今の個人情報保護に対する社会的な過敏さから、「個人情報を集めること自体がリスクである」と過剰に防衛する傾向が見られるが、個人情報保護法の真の意図は「有用性に配慮しつつ保護する」ことであり、正当な目的のための適正な情報収集は法によって完全に支持されている。

重要なのは、情報を「集めない」ことではなく、「収集する情報を必要最小限に留め、利用目的を明示・限定し、厳格なアクセス制御の下で管理する」という基本原則を徹底することである。

特に、会員と非会員とで情報の利用目的を明確に峻別し、Googleフォームの権限設定ミスといったヒューマンエラーを防ぐ組織的ルールの構築が急務となる。

本報告書で提示した法的整理とプライバシーポリシーの枠組みを活用し、参加者との明確な合意形成を図ることで、法的リスクや将来的な法規制の強化（ペナルティの厳罰化等）に対応しつつ、コミュニティの活力を維持・発展させる安全なイベント運営が実現可能となる。最終的なポリシーの導入や運用にあたっては、個別の団体の実情に応じた微調整が求められるため、必要に応じて法的専門知識を有する有資格者への相談を推奨する。