日本サッカー協会（JFA）は2026年10月18日、公式アプリ「JFA Passport」に第三者による不正アクセスがあったと発表しました。個人情報を含む利用者情報への影響は、発表の時点で調査中です。協賛企業や取引企業が確かめたいのは、協賛先とやり取りしている個人情報が「委託」「第三者提供」「共同利用」のどれに当たるかと、事故が起きたときの連絡の期限、契約が終わったときの消去が契約に書かれているかの3点です。委託で渡した情報が漏れた場合は、協賛企業の側も個人情報保護委員会への報告と本人への通知の義務を負うことがあります。
朝、協賛しているクラブから「アプリで不正アクセスがあったようです」と電話が入る。去年の共同キャンペーンで集めた応募者の名簿は、いまどこにあって、誰が消すことになっていたのか。契約書を開いても個人情報の条項は1行だけ、という場面は珍しくありません。ここでは公式発表で分かっている事実と、法律とガイドラインで決まっていることを分けて、協賛企業が確かめる点を整理します。
日本サッカー協会の公式アプリへの不正アクセス｜2026年10月18日の発表で分かっていること
日本サッカー協会の発表によると、2026年10月17日の3時25分頃から19時頃まで、公式アプリ「JFA Passport」に第三者による不正アクセスがありました。協会はアプリのサービス提供会社と連携して不正アクセスの経路を遮断するなどの対策をとり、その影響でアプリの一部のサービスが使えない状態になっています。
個人情報を含む利用者情報への影響と被害の範囲は、発表の時点で調査中です。JFAが使うその他のシステムへの影響は、その時点の調査では確認されていないとしています。利用者には、当面アプリからのログアウト、再ログイン、再インストールなどを控えるよう呼びかけています。発表には、登録者数や影響を受けた人数の記載はありません。
調査の途中で原因や被害を推し量っても、判断の材料にはなりません。協賛企業や取引企業がまずするのは、公式サイトの続報を待ちながら、自社のキャンペーンやイベントの申し込みにこのアプリを使っていないか、使っているならどの情報がアプリ側にあるのかを社内で洗い出すことです。
（参考）JFA公式アプリ「JFA Passport」への不正アクセスについて（2026年10月18日） – 公益財団法人日本サッカー協会
Q. 日本サッカー協会のアプリへの不正アクセスで個人情報は漏れたのですか？
2026年10月18日の公式発表の時点では、個人情報を含む利用者情報への影響は調査中とされています。日本サッカー協会は、新たに公表すべき事実が分かれば速やかに知らせるとしており、情報漏えいが確認された場合は関係法令等を踏まえて対応すると説明しています。続報は公式サイトで確かめてください。
スポーツ団体の個人情報の事案｜公式発表で見る情報の置き場所
スポーツ団体やクラブが公表した個人情報の事案を並べると、情報が漏れた、または漏れたおそれがある場所は、団体自身の作業だけでなく、アプリや外部のサービス、委託先にも広がっています。下の表は、各団体の公式発表に書かれた事実だけを並べたものです。
| 公表日 | 団体 | 公式発表に書かれた内容 | 情報を扱っていた場所 |
|---|---|---|---|
| 2026年10月18日 | 日本サッカー協会 | 公式アプリ「JFA Passport」に2026年10月17日3時25分頃から19時頃まで第三者による不正アクセス。個人情報への影響は調査中 | アプリ（サービス提供会社と連携して対応） |
| 2026年4月25日 | 日本サッカー協会 | 利用していたクラウドファンディングサービス「CAMPFIRE」の運営会社のシステムが不正アクセスを受け、同サービスの利用者の個人情報が漏えいした可能性 | 外部のサービス |
| 2024年11月22日 | FC東京 | 年間チケットの自動継続の決済完了メールに、別の会員の購入者情報を記載して送信。影響は142件 | クラブ自身のメール配信作業 |
| 2024年5月17日 | 阪神タイガース | プレゼントキャンペーンの応募データ計8,452件が、クラウドサービスの誤設定で閲覧可能な状態になり、漏えいした可能性 | 委託先（株式会社YTE） |
出典：日本サッカー協会・FC東京・阪神タイガースの公式発表（2026年10月19日に確認）をもとに Human Soar 作成
外部のサービスや委託先で起きた事案は団体の外にある
日本サッカー協会は2026年4月25日、利用していたクラウドファンディングサービス「CAMPFIRE」の運営会社のシステムが不正アクセスを受け、同サービスに登録されている利用者の個人情報が外部に漏えいした可能性があるとして、協会のプロジェクトの支援者に向けておわびを出しました。同年6月12日の追記では、運営会社の調査結果の公表を踏まえ、6月11日から協会主催の案件の募集を再開したとしています。
阪神タイガースは2024年5月17日、管理を委託していた株式会社YTEのクラウドサービスの環境が誤って設定され、データが閲覧可能な状態になっていたと公表しました。対象は球団の動画配信サービスが2019年から2023年に計4回行ったプレゼントキャンペーンの応募者で、メールアドレスや年代など計8,452件です。外部からアクセスできる状態にあった期間は2021年4月1日から2024年5月14日で、名前や住所、クレジットカード番号は保持していなかったと説明しています。
キャンペーンの応募データが委託先の環境に置かれていた、という形は、協賛企業がクラブと組む共同キャンペーンでもそのまま起こりえます。
（参考）JFAクラウドファンディング 個人情報漏えいの可能性に関するお詫びとお知らせ【6/12追記】 – 公益財団法人日本サッカー協会
（参考）お客様のメールアドレス等の漏えい可能性に関するお知らせとお詫びについて（2024年5月17日） – 株式会社阪神タイガース・株式会社YTE
団体の中のメール配信作業でも起きる
FC東京は2024年11月22日、年間チケットの自動継続の決済完了を知らせるメールで、送信先とは別の会員の購入者情報を記載して送ったと公表しました。影響は142件で、氏名や会員番号、購入した席などが含まれ、原因は配信内容の設定での人為的なミスとしています。再発防止策として、配信の担当者とは別に内容を確認する担当者を置くことを挙げています。
協賛企業が会員向けの特典やアンケートの案内をクラブに配信してもらう場合も、同じ作業の中に自社の情報が入ります。
あわせて読みたいプロスポーツクラブのファンクラブ運営｜会費・業務と企業の関わり方›
（参考）メール誤送信による個人情報流出に関するお詫びとお知らせ（2024年11月22日） – FC東京
個人情報が漏えいしたときの報告と本人への通知｜個人情報保護法26条
個人情報保護法26条は、個人データの漏えいなどのうち、個人の権利利益を害するおそれが大きいものが起きたとき、個人情報保護委員会への報告と本人への通知を事業者に義務づけています。漏えいが確定していなくても、漏えいのおそれがあれば対象になります。
（参考）個人情報の保護に関する法律（25条・26条・27条） – e-Gov法令検索
報告の対象は不正アクセスや千人超の漏えいなど
施行規則7条は、報告の対象を4つ定めています。要配慮個人情報が含まれるもの、不正に使われると財産的被害が生じるおそれがあるもの、不正の目的をもって行われたおそれがあるもの、本人の数が千人を超えるものです。不正アクセスは3つ目に当たるため、人数が少なくても報告の対象になります。
個人情報保護委員会の集計では、令和8年度第1四半期に報告として処理した件数は個人情報で6,101件でした。事業者からの報告のうち、不正の目的によるおそれに当たるものは1,450件で26.6%を占め、令和7年度第1四半期の22.7%から上がっています。本人が千人を超えるものは246件（4.5%）でした。
（参考）令和８年度第１四半期における漏えい等報告の処理状況（2026年9月2日） – 個人情報保護委員会
速報と確報の2段階で期限が決まっている
施行規則8条は、事態を知った後速やかに報告し、知った日から30日以内に確報を出すよう定めています。不正の目的によるおそれがある場合の確報は60日以内です。ガイドラインは「速やか」の目安を概ね3〜5日以内とし、法人の場合はいずれかの部署が知った時点を起算点にするとしています。
本人への通知は、施行規則10条により、状況に応じて速やかに行います。伝える中身は、概要、漏えいした項目、原因、二次被害のおそれなどです。
（参考）個人情報の保護に関する法律施行規則（7条・8条・10条） – e-Gov法令検索
（参考）個人情報の保護に関する法律についてのガイドライン（通則編） – 個人情報保護委員会
委託していれば委託元にも報告と通知の義務がある
ガイドラインは、個人データの取扱いを委託している場合、原則として委託元と委託先の双方が報告と本人への通知の義務を負うとしています。法26条1項のただし書により、委託先が委託元に事態を通知すれば、委託先は委員会への報告をしなくてよくなります。委員会の集計資料も、同じ事案について委託元と委託先の双方が報告している場合があると注記しています。
つまり、協賛企業が自社のキャンペーンの応募受付をクラブや代行会社に任せていて、そこで漏えいが起きれば、報告の期限は協賛企業の側でも動き始めます。委託先からの連絡が遅れるほど、自社の速報に使える日数が減ります。
（参考）令和８年度第１四半期における漏えい等報告の処理状況（2026年9月2日） – 個人情報保護委員会
Q. 個人情報の漏えいはどんなときに個人情報保護委員会への報告が必要ですか？
要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正アクセスなど不正の目的によるおそれがある場合、本人の数が千人を超える場合の4つで、漏えいのおそれがあるときも含みます。報告は知った後速やかに行い、ガイドラインでは目安を概ね3〜5日以内としています。そのうえで30日以内、不正の目的によるおそれがある場合は60日以内に確報を出します。
協賛先と個人情報をやり取りするときは委託と第三者提供と共同利用を分ける
協賛先との個人情報のやり取りは、誰の目的のために、誰が使うかで3つに分かれます。どれに当たるかで、本人の同意が要るか、誰が監督の責任を負うかが変わります。
委託｜自社の目的のために作業を任せる
自社のキャンペーンの応募受付、抽選、賞品の発送などを、自社の利用目的の範囲でクラブや代行会社に任せる形です。法27条5項1号により、委託先は第三者に当たらず、本人の同意なく渡せます。その代わり、法25条で委託元には委託先を監督する義務がかかります。
ガイドラインは、監督の中身として、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握を挙げています。委託先は委託された業務以外にその個人データを使えないため、クラブが応募者の情報を自分のファンクラブの案内に使うことはできません。
（参考）個人情報の保護に関する法律（25条・27条） – e-Gov法令検索
第三者提供｜相手が自分の目的で使う
クラブが持つファンクラブ会員の情報を協賛企業が受け取り、自社の営業や商品の案内に使う形です。法27条1項により、原則として本人の同意が要ります。逆向き、つまり協賛企業の顧客名簿をクラブが自分の目的で使う場合も同じです。
交流会で受け取った名刺の情報をほかの協賛企業に回す場面も、この考え方になります。企業同士の出会いの場としての協賛はBtoB企業のスポーツスポンサーの記事で扱っています。
共同利用｜決めた範囲の相手と一緒に使う
共同キャンペーンで集めた応募者の情報を、クラブと協賛企業がそれぞれ使う形です。法27条5項3号により、共同利用する旨、項目、利用する者の範囲、利用目的、管理の責任者の名称・住所・代表者を、あらかじめ本人に通知するか、本人が容易に知り得る状態に置けば、同意なく共有できます。ガイドラインは、共同利用か委託かは取扱いの形で判断するとしており、契約書の呼び方だけでは決まりません。
ガイドラインは、共同利用者の要件の例として「特定のキャンペーン事業の一員であること」を挙げています。応募要項にこの5項目を書いておく必要があるため、景品の上限などと合わせて企画の段階で決めておきます。キャンペーンの企画の進め方はスポーツスポンサーのキャンペーン企画にまとめています。
（参考）個人情報の保護に関する法律についてのガイドライン（通則編）3-4-4・3-6-3 – 個人情報保護委員会
Q. 個人情報の共同利用と委託の違いは何ですか？
委託は自社の利用目的のために取扱いを任せることで、任された側は委託された業務以外にその個人データを使えません。共同利用は特定の相手と一緒に使うことで、共同利用する旨や項目、利用する者の範囲、利用目的、管理の責任者を、あらかじめ本人に通知するか、本人が容易に知り得る状態に置く必要があります。どちらに当たるかは、データの取扱いの形で決まります。
協賛の契約で確かめる個人情報の5つの項目
協賛の契約や、キャンペーンごとの覚書で確かめたい個人情報の項目は次の5つです。ロゴや肖像、解除の条件など契約全体で確かめる項目はスポーツスポンサー契約とはで整理しています。
| 項目 | 確かめる中身 | 根拠 |
|---|---|---|
| 渡し方の区分 | 委託・第三者提供・共同利用のどれに当たるか。応募要項や規約での本人への説明と合っているか | 個人情報保護法27条 |
| 管理の責任者と窓口 | 共同利用なら管理の責任者の名称・住所・代表者。各社の問い合わせの担当と連絡先 | 同法27条5項3号・ガイドライン |
| 再委託と保管の場所 | 再委託するなら相手・業務・取扱い方法を事前に報告するか、承認を得るか | ガイドライン（委託先の監督） |
| 事故のときの連絡 | 漏えいのおそれを知ったときに、いつまでに何を相手に伝えるか | 同法26条・施行規則8条 |
| 終わったときの扱い | キャンペーンや契約が終わった後のデータの返還・消去・廃棄 | ガイドライン（共同利用の取り決め） |
出典：個人情報保護法、同法施行規則、個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」をもとに Human Soar 作成
渡し方の区分を本人への説明とそろえる
契約では委託と書いているのに、実際にはクラブも応募者の情報を自分の案内に使っている、というずれがあると、本人の同意のない第三者提供になるおそれがあります。契約の区分と、応募要項やプライバシーポリシーでの本人への説明が同じになっているかを、キャンペーンの告知の前に確かめます。
管理の責任者と問い合わせの窓口を決める
共同利用では、管理の責任者を本人に示す必要があります。ガイドラインはこの責任者を、共同利用者の中で開示や訂正、苦情の受付を第一に担う者としています。あわせて、各社の取扱いの責任者と問い合わせの担当、連絡先を決めておくことが望ましいとしています。
再委託の相手と保管の場所を事前に知る
クラブがキャンペーンの受付をさらに別のシステム会社に任せることがあります。ガイドラインは、委託先が再委託するときは、相手、業務の内容、取扱いの方法について委託元が事前に報告を受けるか承認することが望ましいとしています。データがどの会社のどのサービスに置かれるかを、契約の前に一覧でもらっておきます。
事故のときの連絡の期限と中身を書く
委員会への速報の目安は、知ってから概ね3〜5日以内です。委託元として報告する立場なら、相手からの第一報がこれより遅ければ間に合いません。共同利用でもガイドラインは、事件や事故が起きたときの報告と連絡を取り決めておくことが望ましいとしています。漏えいのおそれを知った時点で当日中か翌営業日までに連絡する、伝える中身は施行規則8条の項目に合わせる、といった形で書いておくと、自社の報告にそのまま使えます。
終わったときの返還と消去を決める
阪神タイガースの事案では、2024年5月に閲覧可能な状態で見つかったデータに、2019年のキャンペーンの応募分も含まれていました。ガイドラインは共同利用で取り決めておく事項として、利用を終えた後のデータの返還、消去、廃棄を挙げています。キャンペーンが終わったら何日以内に消すか、消したことをどう報告するかまで書いておくと、使い終わった情報が残り続けることを防げます。
（参考）個人情報の保護に関する法律についてのガイドライン（通則編） – 個人情報保護委員会
協賛先で事案が公表されたら協賛企業が確かめる順番
協賛先が不正アクセスや漏えいのおそれを公表したときは、相手の調査を待ちながら、自社の側で確かめられることを先に進めます。順番は次の3つです。
公式発表で分かっていることと調査中のことを分ける
最初に、協賛先の公式発表を読み、確定している事実と調査中の事項を分けます。日本サッカー協会の今回の発表でも、不正アクセスがあった時間帯と対策は書かれている一方、個人情報への影響は調査中です。社内への報告や取引先への説明では、この区別をそのまま保ち、報道や推測で埋めないようにします。
自社の情報が含まれるかを契約と受け渡しの記録で確かめる
次に、そのサービスやシステムに自社が渡した情報、または自社のキャンペーンで集めた情報があるかを確かめます。上の5つの項目を契約に書いていれば、渡し方の区分、保管の場所、再委託の相手がすぐに分かります。分からなければ、協賛先の窓口に該当の有無を問い合わせます。
委託元に当たるなら報告と本人への通知の準備を始める
自社が委託元に当たり、報告の対象になる事態であれば、協賛先の調査結果を待つだけでなく、自社として個人情報保護委員会への速報を準備します。速報は、その時点で分かっている範囲を報告すればよいとされています。委員会のサイトには、漏えいが起きたときの対応と報告の方法がまとめられています。
個人情報以外も含めた協賛先の不祥事への備えは、別の記事で契約の条項と社内の決め事に分けて整理しています。
あわせて読みたいスポンサー契約と不祥事｜スポーツ協賛で企業が決めておくこと›
（参考）漏えい等の対応とお役立ち資料 – 個人情報保護委員会
Q. 協賛先で個人情報が漏えいしたら協賛企業にも報告義務がありますか？
協賛企業がその個人データの取扱いを協賛先に委託していた場合は、原則として協賛企業も個人情報保護委員会への報告と本人への通知の義務を負います。協賛先が自ら集めて自ら使っている情報で、協賛企業が渡しても受け取ってもいないなら、協賛企業の義務にはなりません。どちらに当たるか迷うときは、社内の法務や専門家に確認してください。
スポーツ団体の不正アクセスと協賛企業の確認点のまとめ
日本サッカー協会の公式アプリへの不正アクセスは、2026年10月18日の発表の時点で個人情報への影響が調査中です。協賛企業にとっては、協賛先とのあいだで動く個人情報の扱いを見直すきっかけになります。出典は本文の各セクションに記載しています。協賛を使った販促の全体像はスポーツマーケティングの定義と事例にまとめています。
- 協賛先の事案は、公式発表で確定した事実と調査中の事項を分けて扱う
- スポーツ団体の事案は、団体の作業だけでなく外部のサービスや委託先でも起きている
- 不正アクセスによる漏えいのおそれは人数にかかわらず報告の対象で、速報の目安は概ね3〜5日以内
- 協賛先とのやり取りは委託・第三者提供・共同利用を分け、委託なら協賛企業にも報告と通知の義務がかかる
- 契約には区分、責任者、再委託、事故の連絡の期限、終了後の消去を書く
あわせて読みたいスポーツ団体ガバナンスコードとは｜企業が読む13原則と審査結果›
FREE DOCUMENT
関連する資料を無料でダウンロード
コメント