GDPR とメールマーケティング：実務のためのコンプライアンスガイド
GDPR と ePrivacy 指令がメールマーケティングを実際にどう規律するのか。法的根拠、同意、ソフトオプトイン、証明、購読者の権利、そして実装方法を解説します。
GDPR がメールマーケターに実際に求めていること
率直に言えば、一般データ保護規則（規則（EU）2016/679）には「メールを送るには同意が必要」と書かれた条文はありません。GDPR が規律するのは、メール施策の背後にある個人データです。取扱いには適法な根拠が必要で、透明性、正確性、保存期間の制限、安全性、そしてそれらすべての証明が求められます。第 5 条 2 項が 1 行でまとめています。管理者は取扱いの原則について「責任を負い、その遵守を証明できなければならない」。
送信ボタンを押してよいかどうかを決めるルールは、別の法令、つまり ePrivacy 指令にあります。このテーマの記事の多くは 2 つを混同して誤った答えにたどり着きます。両者を切り分けることが、このガイドの目的です。
本記事はマーケター向けの実務的な解説であり、法的助言ではありません。 一次資料を引用しているので確認できますが、データ保護法は各国の規制当局と裁判所によって運用され、国内実装も異なり、個別の事情も影響します。同意フロー、データ保持ルール、国際移転を変更する前に、自国の有資格の専門家に助言を求めてください。
GDPR と ePrivacy：2 つの法令、1 回の送信
ePrivacy 指令が定めていること
指令 2002/58/EC、すなわち ePrivacy 指令（指令 2009/136/EC による改正を含む）が送信のルールを定めています。第 13 条 1 項は、事前の同意を与えた加入者に対してのみ、ダイレクトマーケティング目的の電子メールを認めています。「電子メール」は技術中立的に広く定義されており、第 29 条作業部会の意見 5/2004 は、これがメールマガジンだけでなく SMS や類似の蓄積型メッセージも含むことを確認しました。第 13 条 2 項が既存顧客例外を設け、第 13 条 4 項は、送信者の身元を偽るマーケティングメールや、「受信者が当該通信の停止を求める請求を送ることができる有効なアドレス」を欠くマーケティングメールを禁止しています。
これが実務で重要な理由
同意は ePrivacy 指令の中では定義されていません。その意味は一般データ保護法から取られます。GDPR 第 94 条 2 項は、廃止された指令 95/46/EC への言及は GDPR への言及と読み替えると定めています。つまり、送信という行為に同意がいつ必要かは ePrivacy が決め、何が同意にあたり、どう証明するかは GDPR が決めます。
したがって、コンタクトレコードを保有し分析するための GDPR 上の有効な根拠がありながら、その人にメールを送る権利はない、という状態がありえます。さらに ePrivacy は規則ではなく指令なので、国内法に転換されており、加盟国ごとに細部が異なります。
メールマーケティングの法的根拠を選ぶ
同意
第 6 条 1 項 (a) の同意は、消費者向けメール施策の多くが依拠するものであり、それには理由があります。どのみち ePrivacy が送信について事前の同意を求めるのなら、GDPR 上の根拠も同意にしておけば話が 2 つに分かれません。代償は、第 7 条 3 項によりいつでも撤回できることです。
正当な利益
第 6 条 1 項 (f) は、データ主体の利益や基本的権利によって上回られる場合を除き、管理者の正当な利益のために必要な取扱いを認めます。前文 47 項は「ダイレクトマーケティング目的の個人データの取扱いは、正当な利益のために行われるものとみなされうる」と明記しています。
この一文は、同意は任意だと主張するために絶えず引用されます。よく読んでください。これは取扱いについての GDPR 上の根拠に関するもので、「みなされうる」と書かれており、比較衡量のテストを実施して文書化する義務は残ります。そして送信に関する ePrivacy のルールについては何も述べていません。正当な利益が最も擁護しやすいのは、セグメンテーション、抑止リスト、分析といった施策周辺の取扱いと、企業向け加入者を別扱いする国内ルールがある B2B の連絡先の場合です。EU における消費者向けのコールドメールの土台としては脆弱です。
既存顧客向けのソフトオプトイン
本当の例外は ePrivacy 指令第 13 条 2 項です。「商品またはサービスの販売の過程で」顧客のメール連絡先を取得した者は、その同じ者が「自社の同種の商品またはサービス」の案内にそれを使えます。ただし、取得時とその後のすべてのメッセージの両方で、顧客に「無償かつ簡単な方法で異議を述べる機会が明確かつ明瞭に与えられている」ことが条件です。
第 29 条作業部会は、この例外は「いくつもの点で限定されており、制限的に解釈されなければならない」と述べました。覚えておく価値のある限定は 3 つです。
- 適用されるのは実際の顧客だけです。チェックアウトを途中でやめた人は対象外です。
- 送信できるのは、アドレスを取得したのと同一の法人だけです。子会社や親会社は同じ会社ではありません。
- 同種の商品またはサービスに限られ、送信者の意欲ではなく受信者の合理的な期待から判断されます。
ソフトオプトインは加盟国ごとに異なる
指令は各国で転換されているため、まさにここで同じ助言が市場によって食い違います。
アイルランドでは、S.I. No. 336/2011 の規則 13 条 11 項が例外を再述したうえで、厳格な期間制限を加えています。販売は「当該ダイレクトマーケティング通信の送信より 12 か月以内」に行われていなければならず、または連絡先がその期間内にマーケティングメールに使われている必要があります。
英国では、対応するルールは PECR の規則 22 条であり、ICO はそのような期間制限を示していません。ICO はソフトオプトインを、「過去にあなたから同種の商品やサービスを購入した（または購入交渉をした）」既存顧客を対象とするものと説明し、見込み顧客、購入したリスト、慈善団体の資金調達や政治キャンペーンのような非営利の宣伝には適用されないと述べています。
隣り合う 2 つの市場で、実質的に異なるルールです。自国のバージョンがそのまま通用すると考えないでください。
有効な同意とは実際に何か
第 4 条 11 号は同意を、「自由に与えられ、特定され、説明を受けたうえでの、曖昧さのないデータ主体の意思の表示であって、その者が意思表示または明確な積極的行為によって、自己に関する個人データの取扱いへの同意を示すもの」と定義しています。EDPB は 2020 年 5 月 4 日に採択された同意に関するガイドライン 05/2020 で各要素を詳述しました。
4 つの要素
- 自由に与えられていること。 第 7 条 4 項は、契約の履行に必要でない取扱いへの同意が契約の条件とされているかどうかに「最大限の考慮」を払うと述べています。マーケティングへの同意をチェックアウトの条件にしないでください。
- 特定されていること。 取扱いに複数の目的がある場合、そのすべてについて同意が与えられるべきです（前文 32 項）。目的が異なれば選択肢も分けます。ニュースレターへのオプトインは、SMS への同意でも、パートナーへのデータ提供への同意でもありません。
- 説明を受けていること。 第 7 条 2 項は、より広い宣言に組み込まれた同意の要求について、「他の事項と明確に区別でき、理解しやすく容易にアクセスできる形式で、明確かつ平易な言葉を用いて」示すことを求めています。
- 曖昧さがないこと。 意思表示または明確な積極的行為が必要です。
同意にあたらないもの
前文 32 項は率直です。「したがって、沈黙、事前にチェックされたボックス、または不作為は同意を構成すべきではない」。利用規約の中に埋め込まれたチェックボックスも、メール・SMS・プロファイリング・パートナー提供をまとめて 1 つのチェックで済ませるものも同様です。
撤回
第 7 条 3 項は、いつでも同意を撤回する権利を与え、事前にその権利を伝えることを求め、「同意の撤回は、同意を与えるのと同じくらい容易でなければならない」と定めています。1 クリックで購読できるのに、撤回にはログインと奥まった設定ページが必要だとすれば、この基準を満たしません。撤回に遡及効はありません。撤回前に行われた取扱いは適法なままです。
証明：何を示せなければならないか
第 7 条 1 項は短く、そして重要です。「取扱いが同意に基づく場合、管理者は、データ主体が同意したことを証明できなければならない」。「オプトイン：はい」という列は何も証明しません。同意の瞬間を再構成できる記録が証明になります。
登録時に記録すべきこと
コンタクトごと、目的ごとに次を取得して保存します。
- 同意行為のタイムスタンプ（安定したタイムゾーンで）。
- 取得元と方法：どのフォーム、ページ URL、チャネル、またはオフラインのイベントか。
- 表示された同意文言とプライバシー通知のバージョン。全行に全文を保存するより、アーカイブ済みの文言に解決できるバージョン識別子を持つ方が実用的です。
- 同意された具体的な目的。1 つの真偽値ではなく、目的ごとのフラグとして持ちます。
- ダブルオプトインを使う場合は、確認の証跡とタイムスタンプ。
- リスクに照らして相応であれば IP アドレス。これは一般的な実務で証拠としても有用ですが、法定要件ではなく、それ自体が個人データです。
第 30 条は別途、多くの組織に取扱活動の記録を求めます。目的、データ主体とデータの区分、受領者、移転、保存期間、安全管理措置などです。従業員 250 人未満の組織に対する免除は狭く、権利と自由へのリスクが生じうる場合、取扱いが偶発的でない場合、特別な区分のデータを含む場合には適用されません。顧客データベースへの定期的なマーケティングは偶発的ではありません。
同意の証拠をどれくらい保持するか
GDPR は固定の期間を定めていません。実用的な原則は、同意の証拠はそれが正当化するマーケティングより長く、さらに苦情が現実的に申し立てられうる期間だけ残す、というものです。購読者のレコードを削除しつつ、許諾を証明する最小限のログエントリーを残すのは通常の運用です。
メール施策に直結するデータ主体の権利
メール運用で繰り返し登場する権利は 5 つです。
- アクセス権（第 15 条）。 データを取り扱っているかどうかの確認、その写し、そして目的、データの区分、受領者、保存期間、取得元、自動化された意思決定やプロファイリングを含む情報。メール施策では多くの場合、アドレスだけでなくエンゲージメント履歴やセグメント所属も含みます。
- 訂正権（第 16 条）。 不正確なデータの不当な遅滞のない訂正と、不完全なデータの補完。
- 消去権（第 17 条）。 同意が撤回され他の根拠がない場合の 17 条 1 項 (b)、および第 21 条 2 項に基づく異議があった場合の 17 条 1 項 (c) を含みます。
- ダイレクトマーケティングへの異議権（第 21 条）。 絶対的な権利です。21 条 2 項により、データ主体は関連するプロファイリングを含むダイレクトマーケティングの取扱いに「いつでも異議を述べる権利を有する」。21 条 3 項により、「当該個人データは、その目的のために今後取り扱われてはならない」。適用すべき比較衡量のテストはありません。
- データポータビリティ権（第 20 条）。 取扱いが同意または契約に基づき、自動化されている場合に適用され、本人が提供したデータが対象です。導出されたスコアやセグメントは一般に対象外です。
対応の期限
第 12 条 3 項は、不当な遅滞なく、いかなる場合でも受領から 1 か月以内に対応することを求めています。複雑さや請求件数によりさらに 2 か月延長できますが、最初の 1 か月以内に理由を添えて本人に伝える必要があります。マーケティングへの異議は上限いっぱいの扱いにふさわしくありません。まず即座に配信を止め、事務手続きは法定期間内に処理してください。
実装の実務
登録フォーム
目的ごとに、チェックの入っていない、明確にラベル付けされたチェックボックスを 1 つずつ用意します。送信者名を明示し、何をどのくらいの頻度で送るのかを述べ、プライバシー通知は全文を再掲せずリンクします。マーケティングへの同意を利用規約への同意と抱き合わせたり、購入の条件にしたりしないでください。後から画面表示を証明できるよう、フォームのバージョンを保存します。
ダブルオプトインの正直な法的位置づけ
ダブルオプトインは GDPR にも ePrivacy 指令にも義務づけられていません。それを求める条文は存在しません。ダブルオプトインが生むのは証拠です。当該メールボックスからの確認クリックが、記録された時刻とともに残るというのは、そのアドレスを管理する実在の人物が同意したことについて入手できる最良に近い証明です。第 29 条作業部会は、購読者が登録した後に確認を求める方式について「指令と適合しているように見える」と述べました。
つまり、推奨であり、場合によっては強く推奨され、市場によっては標準です。それでも法律ではありません。実装方法はダブルオプトインガイドで扱っています。
プリファレンスセンターと配信停止の処理
すべてのマーケティングメッセージには、オプトアウト請求のための有効なアドレスが必要であり、既存顧客例外のもとでは、各メッセージに無償で簡単な異議申し立ての経路があることは礼儀ではなく条件です。頻度やトピックを選べるプリファレンスセンターは望ましい運用ですが、単純な 1 ステップの全体配信停止も常に利用できなければなりません。オプトアウトは自動で処理してください。手作業のキューは、異議の後に送ってしまう組織の典型的な原因です。
移行を越えて生き残る抑止リスト
配信停止は恒久的な指示であり、リストごとの設定ではありません。抑止の状態は、ブランドをまたぎ、異議が及ぶチャネルをまたぎ、プラットフォームをまたいでグローバルに保たれる必要があります。危険なのは移行や再インポートの瞬間です。購読者は新しいシステムへ移り、異議のフラグは一緒に来ません。適法だった施策が静かに違法になる、最もよくある経路がこれです。
同じリスクは、店舗と CRM とメールプラットフォームのあいだのあらゆる連携に潜んでいます。同意と抑止の状態が転送中に失われる場所です。Shopify のデータを Brevo に移しているなら、Tajo がそれらのフィールドをシステム間で運ぶ同期レイヤーになります。どのツールを使うにせよ、テストは同じです。移行の後に、抑止されているはずの既知のアドレスがなお抑止されていることを確認してください。
保持と、古いリストの再許諾
保存期間の制限はマーケティングリストにも適用されるので、非アクティブなコンタクトについて文書化された保持ルールを定め、実際に運用してください。何年も使っていないリストがあると、再許諾キャンペーンが提案されがちです。ただし注意が必要です。「今後も受け取りたいかご確認ください」というメールは、多くの解釈でそれ自体がマーケティング通信であり、今日適法にメールを送れる相手にしか送れません。今その根拠を示せないのであれば、正直な答えは削除です。衛生面についてはメールリストクリーニングガイドで扱っています。
ESP は処理者です
メール配信事業者は、あなたの指示に基づいて個人データを取り扱うので、第 28 条が適用されます。取扱いの対象、期間、性質、目的、データの種類、データ主体の区分を定めた契約その他の拘束力ある法的行為が必要です。第 28 条 3 項はさらに、文書化された指示、守秘義務、第 32 条の安全性、再処理者、データ主体の請求への協力と侵害時の義務、サービス終了時のデータの削除または返却、監査権に関する条項を求めます。多くの提供事業者は標準的な DPA を公開しています。再処理者の一覧は必ず読んでください。
国際移転
個人データが EEA を離れる場合は、移転のための仕組みが必要です。第 45 条は、欧州委員会が十分性を認めた国または枠組みへの移転を認めます。それ以外の場合は第 46 条が適切な保護措置を求め、最も一般的なのは委員会の標準契約条項、またはグループ内の拘束的企業準則です。十分性認定はいくつもの法域を対象としており、2023 年 7 月 10 日に採択された EU・米国データプライバシーフレームワークもその 1 つです。ESP の本社所在地ではなく、データの保存場所を確認してください。
この規則は市場ごとに何と呼ばれているか
法令自体は EU 全体で同じです。呼び名は違います。
| 市場 | 現地での名称 | 備考 |
|---|---|---|
| ドイツ、オーストリア | DSGVO | ドイツ連邦当局によれば Datenschutz-Grundverordnung |
| フランス | RGPD | CNIL によれば Reglement general sur la protection des donnees |
| スペイン | RGPD | AEPD によれば Reglamento General de Proteccion de Datos |
| オランダ | AVG | Autoriteit Persoonsgegevens によれば Algemene verordening gegevensbescherming |
| ポーランド | RODO | ポーランドの当局 UODO が用いる略称 |
| イタリア | RGPD または GDPR | Garante は Regolamento (UE) 2016/679 と併せて双方を使用 |
| アイルランド、英語圏の用法 | GDPR | イタリアやオランダのビジネス用法でも一般的 |
EU の外では語彙がさらに変わります。英国には PECR と並んで UK GDPR があります。トルコには Kisisel Verilerin Korunmasi Kanunu、すなわち法律第 6698 号（KVKK）があります。ブラジルには 2018 年 8 月 14 日の法律第 13.709 号、Lei Geral de Protecao de Dados Pessoais（LGPD）があります。インドネシアには Undang-Undang Nomor 27 Tahun 2022 tentang Pelindungan Data Pribadi があります。これらは翻訳ではなく独自のルールを持つ別個の制度であり、GDPR を満たしたからといって自動的に満たされるわけではありません。
制裁と、規制当局が実際に行うこと
第 83 条は 2 段階を定めています。83 条 4 項では最大 1,000 万ユーロまたは全世界年間売上高の 2%、83 条 5 項では最大 2,000 万ユーロまたは 4% で、いずれも高い方が適用されます。上位の段階は、第 5 条・第 6 条・第 7 条・第 9 条の基本原則と同意の要件、第 12 条から第 22 条のデータ主体の権利、第 44 条から第 49 条の移転ルールを対象としているため、同意の不備や異議の無視はここに入ります。国内の ePrivacy ルールは独自の罰則を加えます。アイルランドでは規則 13 条違反は刑事犯罪であり、メッセージ 1 通ごとに別個に数えられます。
中規模の送信者にとって、日常的なリスクは見出しになるような制裁金ではありません。1 件の苦情が規制当局の質問を引き起こすことです。このアドレスについての同意を示してください、という質問です。
コンプライアンスと成果が交わる場所
きちんと行えば、成果も上がります。本物の、具体的な許諾の上に築かれたリストはエンゲージメントが高く苦情が少なく、それこそが配信システムが評価するものです。その仕組みはメール配信到達性ガイドで説明しており、精査に耐える獲得についてはメールリスト構築ガイドで扱っています。