SMSで使う電話番号と個人情報保護法

公開日：2026/11/05

氏名などとひも付けて（会員IDから氏名を引ける形も含めて）管理している携帯電話番号は、個人情報保護法の「個人情報」です。SMSを送るために預かるなら、督促・予約・認証・販促のように何のために送るかを示し、その範囲で使います。配信会社に番号を渡して送ってもらうのは、一般には「委託」にあたると考えられ、その場合は第三者提供の本人の同意は要りませんが、自社が委託先を監督します。使わなくなった番号は消すよう努め、報告の対象になる漏えいが起きたら、個人情報保護委員会などへの報告と本人への通知を行います。

法律の話は、個人情報保護委員会のガイドラインとQ&Aをもとにした一般論です。2026年7月に改正個人情報保護法が公布され、施行に向けて規則やガイドラインが検討されています。自社に当てはまるかは、個人情報保護委員会の案内を確かめるか、弁護士などの専門家に相談してください。

携帯電話番号は、どんなときに個人情報にあたるか

個人情報保護委員会の[「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ](https://www.ppc.go.jp/personalinfo/faq/APPI_QA/)（令和8年10月30日版）のQ1-25は、携帯電話番号を個人識別符号（それだけで個人が分かる符号）にはしていません。同じ回答で、氏名などと容易に照合でき、特定の個人が分かる場合は個人情報にあたるとしています。

SMSを送る会社では、番号は顧客や会員のデータベースに、氏名などと並んで入っていることが多いと思います。その場合は個人情報で、データベースの一部なら「個人データ」として扱います。

利用目的は、SMSで何を送るかが分かる形で示す

個人情報の保護に関する法律についてのガイドライン（通則編）](https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/)（令和8年6月一部改正）は、利用目的をできる限り具体的に決めるよう定めています（法第17条第1項）。入力画面に番号を打ち込んでもらうときは、あらかじめ本人に利用目的をはっきり示します（法第21条第2項）。目的を超えて使うときや目的を変えるときの決まり（法第17条第2項・第18条第1項）は、[SMSの販促と特定電子メール法で、認証の番号を販促に使う例に当てはめています。下の表は、SMSの用途ごとの書き方を私が当てはめた例で、ガイドラインの文例ではありません。

配信会社に番号を渡すのは「委託」にあたるか

通則編の3-6-3は、利用目的の達成に必要な範囲で個人データの取扱いを委託し、それに伴って渡す場合、渡した先は第三者にあたらないとしています（法第27条第5項第1号）。Q&AのQ7-35は、外部事業者を使って相手の氏名・住所あてに荷物などを送る行為を一般に委託と解する一方、中身に関知しない通信事業者の通信手段を使うだけなら、通信の中身の個人データは委託にあたらないとしています。

SMSの配信会社は、預かった番号を配信会社のシステムに取り込み、送信の記録として残して扱うので、一般には委託にあたると考えられます。契約の中身で結論が変わることもあるため、迷ったら専門家に確かめてください。

委託にあたると、自社には委託先を監督する義務がかかります（法第25条）。監督のやり方として、通則編の3-4-4は次の3つを挙げています。

1. 委託先を選ぶ：委託先の安全管理措置が、法律とガイドラインが委託元に課す水準と同等であることを、あらかじめ確かめる

2. 委託契約を結ぶ：安全管理の内容と、委託元が取扱いの状況を把握できることを盛り込む（盛り込む中身は「望ましい」とされている）

3. 取扱いの状況を把握する：定期的に確かめ、再委託があるなら、その相手と扱い方も確かめる

委託する業務に必要のない個人データを渡さないことも、通則編は当然としています。名前を差し込まないSMSなら、配信会社に渡すのは番号と、結果をひも付ける会員IDで足ります。

SMSの送信で番号が通る場所と、安全管理措置

法第23条は、個人データの漏えいなどを防ぐ措置（安全管理措置）を義務にしています。通則編の別添は、技術的な措置として、アクセス制御、アクセスする人の識別と認証、外部からの不正アクセスの防止などを挙げています。

SMSの送信では、番号は自社のデータベース、書き出した宛先のCSV、配信会社の管理画面やAPIを通ります。データベースは担当者ごとにアカウントを分ける、CSVを担当者のパソコンに残さない、管理画面に入れる人を絞る、といった決めごとを場所ごとに作ります。

保存期間と消し方は、用途ごとの区切りで決める

法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることとしています。消去には、削除のほか、特定の個人が分からないようにすることも含まれます。法令で保存期間が決まっている記録は、その期間に従います。

予約リマインドなら来店や予約の取り消しのあと、認証なら退会のあとが、見直しの区切りになります。消す時期は用途ごとに自社で決め、社内の決めごとに書いておきます。

私の考え：保存期間は、配信会社の送信の記録も一覧に入れて決める

私は、SMSで使う番号の保存期間を決めるとき、自社のデータベースのほかに、配信会社に残る送信の記録まで一覧に入れておくべきだと考えています。退会した会員の番号を自社で消しても、配信会社の送信の記録には宛先や本文が残っていることがあります。問い合わせで送信の記録を確かめる場面もあるため、残す期間と消し方を両方で決めておくと、説明がぶれません。

ULTIQUE SMSで送信の記録を確かめる場合

ULTIQUE SMSでは、送信の記録を管理画面とAPIで2年以上さかのぼって検索できます。退会した会員の送信の記録が残っているかも、この検索で確かめられます。APIでは送信ごとに管理IDと自由項目3つを付けられ、名前を差し込まないなら、宛先のCSVの氏名の列は空けたまま送れます。

番号が漏えいしたときの報告と、本人への通知

通則編の3-5-1-2は、個人データを含むメールの誤送信を、漏えいの例に挙げています。Q&AのQ6-11は、住所・電話番号・メールアドレスのみの漏えいは、直ちに財産的被害のおそれがある漏えいにはあたらないとしています。報告が義務になるのは施行規則第7条の4つの事態で、通則編3-5-3-1の例は次のとおりです。

番号のみの漏えいでも、不正アクセスによるものや、1,000人を超えるものは報告の対象です。速報は概ね3〜5日以内、確報は30日以内（不正の目的のおそれがある事態は60日以内）で、どちらも社内のどこかの部署が知った時点から数えます。報告は原則として個人情報保護委員会の[漏えい等の対応とお役立ち資料](https://www.ppc.go.jp/personalinfo/legal/leakAction/)にある報告フォームから行い（業種によっては権限を委任された省庁へ）、本人へも状況に応じて速やかに通知します。

委託している場合は、原則として委託元と委託先の両方に報告の義務があります。委託先が知った後速やかに（概ね3〜5日以内に）委託元へ知らせれば、委託先の報告と本人への通知の義務はなくなります（法第26条第1項ただし書・第2項、施行規則第9条）。配信会社との契約では、漏えいが起きたときの連絡先と連絡の期限を決めておきます。

ULTIQUE SMSに配信を任せる場合

委託先を選ぶ材料として、ULTIQUE SMSの体制を表にまとめました。お申し込みのときには審査があります。

料金がかかるのは送信先に届いたSMSだけで、配信がない月も最低利用料金1,000円（100通分込み・税抜）がかかります。送信元番号の登録までは最短1週間〜10日です。契約期間の縛りや解約金はなく、ご連絡いただいた月の末で契約が終わります。

次に確かめること

• 番号を預かる画面とプライバシーポリシーに、SMSで送る用途ごとの利用目的が書かれているか
• 配信会社との契約に、安全管理、再委託、漏えい時の連絡、送信の記録の保存と削除が入っているか
• 自社のデータベースと宛先のCSVに残る番号の、用途ごとの保存期間を決めているか

情報の確認日：2026-11-05