個人情報保護と同意管理：顧客データを安心して使うための基本｜顧客データ活用とCDP 第5回

押さえておきたい主なルール

顧客データの活用に関わる主なルールを、マーケティングの視点で整理すると次のようになります。

1. 個人情報保護法

個人情報保護法は、生存する個人に関する情報で、特定の個人を識別できるもの（氏名、顔写真、メールアドレスで個人が分かるものなど）の取り扱いのルールを定めた法律です。マーケティングで特に関係が深いのは、次のような考え方です。

• 利用目的を具体的に決め、本人に伝える：個人情報を取得するときは、何に使うのかをできるだけ具体的に決め、通知または公表する必要があります。「マーケティングに使います」のような曖昧な書き方ではなく、「メールマガジンの配信や、ご購入履歴に基づく商品のご案内のため」のように、何に使うかが分かる書き方が求められます。
• 決めた目的の範囲で使う：最初に示した目的と違う使い方をする場合は、原則として本人の同意が必要になります。CDPで新しい使い方を始めるときは、プライバシーポリシーの利用目的に含まれているかを確かめましょう。
• 第三者に渡すときのルール：個人データを他社に渡す場合は、原則として本人の同意が必要です。ただし、業務を委託する場合（たとえばメール配信の作業を委託する場合）などは、扱いが異なります。2nd Partyデータとして他社とデータを共有する場合は、特に慎重な確認が必要です。
• 安全に管理する：漏えいや紛失を防ぐための対策（アクセスできる人の制限、パスワードの管理、委託先の監督など）を講じる必要があります。

2. 個人関連情報（Cookieなど）

2022年4月に施行された改正個人情報保護法では、個人関連情報という考え方が加わりました。これは、Cookieの値や閲覧履歴、位置情報のように、それだけでは特定の個人を識別できないものの、個人に関する情報のことです。

ポイントは、こうした情報を他社に渡し、渡した先でほかのデータと組み合わせて個人データとして使うことが想定される場合です。このとき、渡す側は、受け取る側が本人の同意を得ていることを確認する必要があります。たとえば、自社サイトの閲覧データを外部のサービスに渡し、そのサービスが自社の会員情報とひもづけて使う、といった場合が当てはまりうるので、データの流れを整理して確認しておく必要があります。

3. 電気通信事業法の外部送信規律

2023年6月に施行された改正電気通信事業法では、一定のWebサイトやアプリを運営する事業者が、利用者の端末から外部に情報を送らせる場合（広告や分析のためのタグを設置し、閲覧情報が外部の事業者に送られる場合など）に、送られる情報の内容、送り先、利用目的などを利用者に通知・公表することなどが求められるようになりました。これは「外部送信規律」と呼ばれています。対象となる事業者の範囲や、求められる対応の方法は、総務省の公式情報で確認できます。

4. メールなどの配信のルール

広告や宣伝のメールについては、特定電子メール法により、原則としてあらかじめ同意を得た相手に送ること、送信者の情報や配信停止の方法を表示することなどが求められています（MAとナーチャリングの講座の第3回でも触れています）。LINEやアプリのプッシュ通知でも、各サービスの規約や、端末の通知の許可などのルールに沿う必要があります。

同意管理：取る・記録する・守る・変えられる

ルールを守りながらデータを活用するうえで欠かせないのが、同意管理です。同意管理とは、顧客から何について同意を得たのかを管理し、その範囲でデータを使う仕組みのことです。次の5つの流れで考えると整理しやすくなります。

1. 分かりやすく説明する

同意を得る前提として、顧客に「何に使うのか」を分かりやすく伝えます。長い文章のプライバシーポリシーだけでなく、登録画面やCookieの案内の中で、要点を短く、具体的に示すことが大切です。たとえば「ご購入履歴をもとに、おすすめの商品をメールやLINEでご案内します」のように、顧客の目線で書きます。

2. 選べる形で同意を取る

すべてに同意しないとサービスを使えない形ではなく、用途ごとに選べる形にすると、顧客の納得感が高まります。たとえば「メールマガジンを受け取る」「アプリでおすすめ情報を受け取る」「閲覧履歴をもとにおすすめを表示する」を、それぞれ選べるようにする、といった形です。

3. 記録する

誰が、いつ、どの用途に同意したのかを記録します。同意の内容は、プライバシーポリシーの改定などで変わることがあるので、どの版の説明に対して同意したのかも分かるようにしておくと安心です。

4. 施策で守る

記録した同意を、実際の施策に反映させます。たとえば、メールの受け取りに同意していない人にはメールを送らない、閲覧履歴の利用に同意していない人には、閲覧履歴に基づくおすすめを表示しない、といった具合です。CDPで同意の状態を顧客ごとに持ち、セグメントを作るときに同意の条件を必ず入れるようにすると、うっかりミスを防げます。

5. いつでも変えられる

顧客が、同意した内容をいつでも確認し、変更・撤回できるようにします。配信停止のリンク、マイページの設定画面、問い合わせ窓口などを用意し、変更された内容はすぐに施策に反映させます。

Webサイトでは、Cookieの利用について同意を取り、その状態を管理する仕組み（CMP：同意管理プラットフォームと呼ばれるツール）を使う企業も増えています。

社内で決めておく体制

同意管理やルールの確認は、マーケティング担当者だけでは担いきれません。次のように役割を分け、新しいデータの使い方を始めるときには、関係部門で確認する流れを決めておきましょう。

特に、新しいツールを導入するときや、新しい使い方を始めるとき（例：店舗の購入データを広告に使う、提携先とデータを共有する）は、マーケティングだけで決めず、事前に法務と情報システムに相談する手順を決めておくと安心です。

この記事の監修者に相談できます

監修者の田中磨生が代表を務める株式会社Abinで、ご相談をお受けしています。

相談無料ツギノテ編集部に相談する→

法律を守ったうえで「信頼される使い方」を考える

法律を守っていれば、何をしてもよいわけではありません。顧客がどう感じるかという視点も欠かせません。

たとえば、健康や家計、家族の事情など、顧客がデリケートに感じやすい情報に基づく提案は、たとえ同意の範囲内であっても慎重に扱うべきです。「この会社は自分のことを分かってくれている」と感じてもらえるか、「この会社に監視されている」と感じさせてしまうか。その境目を意識することが、長く付き合える顧客を増やす近道です。

よくある誤解：「同意を取れば、何にでも使ってよい」

同意は、説明した内容に対するものです。最初に説明していない使い方を後から加えたり、同意の文章を極端に長く難しくして実質的に何でも使えるようにしたりすることは、顧客の信頼を損ないます。同意は「取れば終わり」ではなく、説明した約束を守り続けることだと考えましょう。

実務ではこう使う：データ活用を始める前のチェックリスト

新しい顧客データの使い方を始める前に、次の項目を関係部門と一緒に確かめましょう。

1. プライバシーポリシーの利用目的に、この使い方が含まれているか
2. 使うデータの種類（個人情報、個人関連情報、Cookieなど）と、データの流れ（どこからどこへ渡るか）を整理したか
3. 他社にデータを渡す場合、第三者提供・委託・個人関連情報のどれにあたるかを確認したか
4. 外部送信（広告や分析のタグなど）について、必要な通知・公表をしているか
5. 用途ごとの同意を取り、記録し、セグメントの条件に入れているか
6. 顧客が同意の確認・変更・撤回を簡単にできるか
7. アクセスできる人の範囲と、データの保存期間を決めているか

CDPを選ぶときは、同意の状態を顧客ごとに管理できるか、アクセス権限を細かく設定できるか、データの保存場所はどこか、といった点も確かめておきましょう（CDPおすすめ比較）。

この回のまとめ

• ルールを守ることは、データ活用を長く続けるための前提。
• 個人情報保護法では、利用目的の特定と通知・公表、目的の範囲内での利用、第三者提供のルール、安全管理が基本。
• Cookieなどの個人関連情報は、渡した先で個人データとして使われる場合に同意の確認が必要。外部送信規律では、外部に送る情報の通知・公表などが求められる。
• 同意管理は、説明する・選べる形で取る・記録する・施策で守る・いつでも変えられる、の流れで考える。
• 法律に加えて、顧客がどう感じるかを考え、信頼される使い方を選ぶ。マーケ・法務・情シスで役割を分ける。

確認テスト

次回予告

最終回の第6回は「CDP導入の進め方とROI」です。目的と最初の用途の選び方、導入のステップ、効果の測り方と投資対効果の考え方、そして運用の体制を学びます。

参考資料

• 個人情報保護委員会「個人情報保護法等」 https://www.ppc.go.jp/personalinfo/legal/ （確認日：2026年11月12日）
• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/ （確認日：2026年11月12日）
• 総務省「外部送信規律について」 https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/gaibusoushin_kiritsu.html （確認日：2026年11月12日）
• 総務省「迷惑メール対策」 https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/m_mail.html （確認日：2026年11月12日）
• ※本回は一般的な考え方の説明であり、法的な助言ではありません。個別の判断は最新の公式情報と専門家への相談にもとづいて行ってください。