「AIに営業リストを作らせたい」という相談をよく受けます。そのとき最初に確認するのは、どのツールを使うかではなく、どこまでが自分で判断していい範囲かのほうです。ここを決めずに動くと、あとから止めるのが難しくなります。
本記事は法令の解説ではありません。個人情報保護委員会が公表しているガイドライン（通則編）とそのQ&A、オプトアウト届出の案内に書かれている内容を、営業リストを作る場面に置き直して整理したものです。実際の運用の可否は個別の事情で変わります。最終的な判断は、自社の法務部門や専門家にご確認ください。内容は公式に公開されている記載にもとづきます。
結論：線は「公開されているか」ではなく「写したか」
先に結論を置きます。多くの人は「ネットで公開されている情報だから自由に使える」と考えます。でも、公表されている資料を読むと、判断の分かれ目はそこではありませんでした。公開されているかどうかではなく、それを手元に写したかどうかで扱いが変わります。この一点を先に押さえておくと、あとの判断が驚くほど楽になります。
公開されていても、個人情報は個人情報
個人情報保護委員会のQ&Aに、はっきりした一問があります。登記簿等を閲覧して個人情報を取得する場合も利用目的の特定が必要か、という質問です。回答はこうです。登記簿等により公開されているものでも個人情報であることに変わりはなく、それを取得する場合には利用目的の特定が必要。つまり「公開されているから自由」という理屈は、公式の文書では採られていません。誰でも見られる状態にあることと、集めて使ってよいことは別の話として整理されています。営業リストを作る場面では、ここが出発点になります。公開されているかどうかは、判断の材料のひとつではありますが、それだけで結論は出ません。
分かれ目は「転記したか」にある
では何が分かれ目なのか。ガイドライン（通則編）の適正取得の節に、小さいけれど決定的な注記があります。個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されないというものです。裏を返せば、転記した時点で「取得」になるということです。画面を見ている間は取得ではなく、スプレッドシートに貼り付けた瞬間に取得になる。AIに営業リストを作らせるという作業は、まさにこの「転記」を大量にやる作業です。だから、リストの形になった時点で、取得した事業者としての義務が発生します。
判断の線は、この順番で引く
公開されているかどうかは、1番目の判断ですらない。
どこからが個人情報になるのか
順番に見ていきます。最初の分かれ目は、集めている情報が法人のものか、個人のものかです。ここを混ぜて考えている人が多いのですが、公表されている資料では明確に区別されていて、片方にはそもそも個人情報保護法の義務がかかりません。営業リストの列の設計は、実はここで決まります。
法人そのものの情報は、個人情報ではない
ガイドライン（通則編）の注記に、はっきり書かれています。法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない。会社名、所在地、代表電話番号、事業内容、設立年。こうした項目は、法人そのものに関する情報です。ここだけで構成されたリストであれば、個人情報保護法の個人情報としての義務は生じません。AIに「この業種で、この地域の企業を、公開されている情報から一覧にして」と頼むとき、集めているのがこの範囲にとどまっているなら、判断はかなり単純になります。まず、法人の情報だけでリストが成立しないかを考える。これが実務としていちばん安全で、しかも十分に使えることが多い進め方です。
ただし、役員・従業員の情報は個人情報
同じ注記には続きがあります。ただし、役員、従業員等に関する情報は個人情報に該当する。つまり、代表者名、担当者名、部署付きの氏名、個人宛のメールアドレス。これらを列に加えた瞬間、そのリストは個人情報を含むものになります。営業リストは、この線をまたぎやすい作りをしています。会社の一覧を作っているつもりでも、担当者の名前を1列足せば性質が変わる。しかも、その1列は営業の現場ではいちばん欲しい情報です。だからこそ、列を足すときに「これは法人の情報か、個人の情報か」を都度確認する運用にしておくと、事故が起きにくくなります。あとから列を抜くより、足すときに決めるほうが簡単です。
「公開されている個人情報」という状態はある
紛らわしいのが、個人情報でありながら誰でも見られる状態にあるものです。登記簿に載っている代表者名、官報に載る情報、職員録、企業サイトの役員紹介ページ。これらは公開されていますが、個人情報であることは変わりません。先ほどのQ&Aが扱っているのはまさにこの状態で、公開されているものでも個人情報であることに変わりはなく、取得する場合には利用目的の特定が必要とされています。営業リストの材料として、この種の情報はとても使いやすい。使いやすいがゆえに、「公開されているから大丈夫」で止まりがちです。止まらずに、次の節の線まで見てください。
見るだけなら取得ではない、という一文
ここが本記事でいちばん実務に効く部分です。公開されている情報を扱うとき、どこから義務が発生するのか。その境目が、ガイドラインの注記に一行だけ書かれています。知っているかどうかで、社内で決められることの範囲が変わります。
閲覧するにすぎない場合は、取得ではない
もう一度引きます。個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない。これは適正取得の義務を説明する部分に置かれた注記です。読み方としては、公開されているページを見ること自体を、個人情報の取得として扱わない、ということになります。営業の現場に当てはめると、訪問前に相手企業のサイトを開いて、誰が担当役員かを確認する。この行為は転記を伴わないので、取得には当たらないと読めます。調べること自体が規制されているわけではない、というのはここから分かります。
写した瞬間に、義務が発生する側に移る
問題は、その先です。見た内容をスプレッドシートに書き写す、CSVに吐き出す、AIに読み込ませて一覧の形にする。いずれも転記にあたります。注記が「転記等を行わない場合は」と条件を付けている以上、転記を行った場合は取得していると読むのが自然です。そしてAIに営業リストを作らせるという作業は、この転記を人の手より速く、大量に行うものです。手作業なら1日に数十件だったものが、数百件、数千件になる。行為の性質は同じでも、規模が変わると影響の大きさが変わります。ツールを入れる前に、社内でどこまでを取得として扱うかを決めておいたほうが、あとの判断が揺れません。
「調べる」と「貯める」を分けて設計する
この線が分かると、業務の設計も変えられます。たとえば、日々の商談準備で相手企業を調べるのは、画面で見るだけにとどめる。一方、継続的に使うリストとして残すものは、取得したものとして扱い、あとの節で説明する手続きの対象にする。「調べる」と「貯める」を分けておくという設計です。実務では、この2つが混ざったまま同じスプレッドシートに溜まっていくことがよくあります。あとから「これはいつ、どこから来たのか」を追えなくなると、確認が必要になったときに手が止まります。列に「取得日」と「取得元」を持たせるだけでも、追えるようになります。
公開情報から集めたら、利用目的を公表する
ここから先は、転記した場合、つまり取得した場合に生じる話です。見落とされやすいのですが、公開情報から集めたリストにも、はっきりした手続きが用意されています。しかも、その手続きの例として挙げられているのが、まさに営業リストの作り方そのものです。
ガイドラインが挙げている事例が、そのまま当てはまる
ガイドライン（通則編）は、個人情報を取得した場合について、あらかじめ利用目的を公表している場合を除き、速やかに、その利用目的を本人に通知し、又は公表しなければならないとしています。そして、本人への通知または公表が必要な事例として、次の2つが挙げられています。事例1、インターネット上で本人が自発的に公にしている個人情報を取得した場合（単に閲覧しただけの場合を除く）。事例2、インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く）。どちらも、営業リストを作る場面そのものです。「公開情報を集めた」という行為に対して、公式が明示的に手続きを示している、ということになります。
「公表」は、通知より現実的な選択肢になりやすい
条文の建て付けは、本人に通知するか、公表するか、のどちらかです。公開情報から数百件を集めた場合、全員に個別に通知するのは現実的ではありません。そこで実務では公表を選ぶことになります。多くの企業が自社サイトに置いているプライバシーポリシーが、この役割を担うことが想定されています。ここで確認したいのは、そのプライバシーポリシーに、公開情報から取得する場合の利用目的が書かれているかです。顧客から直接いただいた情報の話しか書かれていないなら、実態と合っていません。営業リストの運用を始めるなら、先に自社の公表内容を読み直す。順番としてはこちらが先です。
利用目的は「特定」してから集める
もうひとつ、前の段階の話もしておきます。先に引いたQ&Aは、登記簿等から取得する場合について利用目的の特定が必要としていました。特定は、取得したあとに考えるものではなく、先に決めておくものです。営業リストの文脈では、何に使うのかをあいまいなまま集め始めると、あとで使い道が広がったときに説明がつかなくなります。「自社サービスの案内のため」なのか、「市場調査のため」なのか、「第三者に提供するため」なのか。この3つは、その後にかかってくる義務がまったく違います。集める前に決めて、公表する内容と一致させておく。これが手戻りのない順番です。
リストを買うと、増える義務がある
自分で集めるのではなく、出来合いのリストを買うという選択もあります。こちらについても、公式のQ&Aに正面から答えている項目がありました。結論を言うと、買うこと自体は止められていません。ただし、買うときにやるべきことが明確に決まっています。
購入自体は禁止されていない
Q&Aの問いは、名簿業者から個人の名簿を購入することは禁止されているか、というものです。回答は、名簿業者から個人の名簿を購入すること自体は禁止されていないとしたうえで、続けてこう書かれています。その購入に際しては、適正取得（法第20条第1項）や第三者提供を受ける際の確認・記録義務（法第30条）が適用される点に留意する必要がある。つまり、買ってはいけないのではなく、買うときの手続きが決まっている、という構造です。ここを「グレーだからやめておく」で片づけてしまうと、使える選択肢をひとつ失います。手続きを踏めば使える、と理解するほうが実務的です。
取得の経緯を、確認して記録する
では何をするのか。Q&Aは具体的に書いています。名簿の購入の際、相手方が個人データを取得した経緯などを確認・記録する必要があり、その結果、相手方が不正の手段により個人データを取得したことを知り又は容易に知ることができたにもかかわらず当該個人データを取得する場合、法第20条第1項に違反するおそれがある。ポイントは「容易に知ることができた」という部分です。調べれば分かったはずのことを調べなかった、という状態が問題になり得ます。営業の現場では、リストの出どころを聞くのは失礼だ、という空気があることがあります。でも、この記載を読む限り、聞かないほうがリスクです。見積もりを取る段階で、取得の経緯を書面でもらう運用にしておくのが無難です。
届出の有無は、委員会のサイトで確認できる
もうひとつ、確認先まで指定されています。Q&Aには、平成27年改正の施行（平成29年5月30日）以降は、一般的に名簿業者はオプトアウト規定による届出が必要となったため、個人情報保護委員会のホームページ上で、当該名簿業者が届出をしていることを確認する必要があると解されると書かれています。オプトアウト届出の案内ページを見ると、届出をした事業者は、氏名・名称、住所、代表者の氏名、第三者に提供される個人データの取得の方法、提供の停止の方法などを届け出ることになっています。取得の方法が届出事項に入っているのは重要で、購入前に、どうやって集めたリストなのかを公開情報から確かめられるということでもあります。
再提供されたデータは、そこで止まる
届出の案内には、令和4年4月1日からの変更点も書かれていました。ひとつは、偽りその他不正の手段により取得された個人データは、オプトアウト提供できる個人データの対象外になったこと。もうひとつが実務に効く内容で、他の個人情報取扱事業者からオプトアウト提供された個人データについては、当該事業者においてオプトアウト提供することができなくなったとされています。つまり、オプトアウトで受け取ったデータを、さらにオプトアウトで人に渡すことはできない。リストが何段も転売されていく構図に歯止めがかかっています。買う側としては、何段目のリストを買おうとしているのかを意識する材料になります。
AIで情報を足すと、扱いが変わる
ここはAIを使う人にとって、いちばん見落としやすい部分です。市販の名簿には特別な扱いが用意されているのですが、その扱いには条件が付いています。そして、AIで情報を補うという作業は、その条件から外れる側の動きをします。
市販の名簿には、除外の規定がある
Q&Aには、市販の電話帳等を無償で譲り受けた場合について、こう書かれています。当該名簿がいつでも購入することができ、広く一般に市販されているものに変わりはないことから、これに生存する個人に関する他の情報を加えることなくその本来の用途に供しているものである場合、利用方法からみて個人の権利利益を害するおそれが少ないものとして、個人情報データベース等から除外される。別の項では、この扱いが紙に限らないことも確認されています。市販の職員録等の電子データをダウンロードして購入した場合も、当該データは個人情報データベース等から除外される。市販されているものをそのまま使う分には、扱いが軽くなる仕組みがある、ということです。
条件は「他の情報を加えることなく」
ただし、読み飛ばせない条件が入っています。これに生存する個人に関する他の情報を加えることなく、という部分です。加えたらどうなるのか。別の項に、答えに近い記述がありました。カーナビの利用記録についての問いで、記録するだけなら「生存する個人に関する他の情報を加えた」ことには該当しないとしたうえで、こう続きます。ただし、当該ユーザーにおいて、新たに個人情報等を加えてデータベースの内容を変更した場合は、個人情報データベース等に該当し得る。つまり、情報を足すという行為が、除外されていた状態を外す方向に働きます。
AIによる補完は、まさに「加える」作業
ここでAIの話に戻ります。買ったリストや市販の名簿に対して、AIで何をしたくなるか。空欄の担当者名を調べて埋める。役職を最新のものに更新する。公開情報から部署を補う。どれも便利で、どれも情報を加える作業です。先の記述に照らすと、こうした補完を行った時点で、扱いが変わり得ると読めます。「市販のものだから軽い扱いでいい」という前提は、AIで手を入れた瞬間に前提でなくなる可能性があるということです。ここは断定できる部分ではないので、補完を業務に組み込む前に、自社の法務部門に具体的な作業内容を示して確認することをおすすめします。作業の中身を説明できる状態にしておくこと自体が、確認を早くします。
使い方のほうで線を越えることもある
ここまでは集め方の話でした。最後に、集めたあとの使い方についても触れておきます。集め方が適正でも、使い方のほうで問題になる規定が別に用意されていて、こちらは営業の現場でも起こり得る内容です。集めるところだけ整えて安心しないための節だと思ってください。
不適正利用の禁止という規定がある
ガイドライン（通則編）には、不適正利用の禁止という節があります。条文は、個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならないというものです。「違法又は不当な行為」については注記があり、法その他の法令に違反する行為、及び直ちに違法とはいえないものの、法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為と説明されています。直ちに違法とはいえないものも含む、と書かれている点が特徴です。適法かどうかだけで判断していると、この規定は見えません。
挙げられている事例は、集約と公開の話
事例のひとつが、営業リストを作る人にとって示唆的です。裁判所による公告等により散在的に公開されている個人情報（例：官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合。ここで問題とされているのは、ひとつひとつの情報ではなく、散在していたものを集約したことと、それを公開したことです。AIを使うと、散在した情報を集約する作業が一気に軽くなります。だからこそ、集めたあとに何をするのかまで含めて設計しておく必要があります。
持ち出しには刑事罰の規定もある
最後に、社内の管理にも関わる話を置いておきます。ガイドライン（通則編）の注記に、次の記載があります。個人情報取扱事業者若しくはその従業者又はこれらであった者が、その業務に関して取り扱った個人情報データベース等を自己若しくは第三者の不正な利益を図る目的で提供し、又は盗用したときは、法第179条により1年以下の拘禁刑又は50万円以下の罰金が科され得る。「これらであった者」と書かれているとおり、退職後も対象に含まれます。営業リストは、人が動くときに持ち出されやすい資産です。作る話と同じくらい、置き場所とアクセス権を決める話が要ります。リストを作る前に、どこに置いて誰が見られるかを決めておいてください。
まとめ
AIで営業リストを作るとき、判断の線は「公開されているか」ではありませんでした。ガイドライン（通則編）の注記は、単に閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されないとしています。裏を返せば、転記した時点で取得になる。AIによるリスト作成は、この転記を大量に行う作業です。まず、法人そのものの情報だけでリストが成立しないかを考える。法人等の団体そのものに関する情報は個人情報に該当しない一方で、役員、従業員等に関する情報は個人情報に該当するとされています。
転記したなら、手続きがあります。ガイドラインは、インターネット、官報、職員録等から個人情報を取得した場合（単に閲覧しただけの場合を除く）を、本人への通知または公表が必要な事例として挙げています。数百件を集めたなら、現実的な選択肢は公表です。自社のプライバシーポリシーが、公開情報から取得する場合まで想定した書き方になっているかを先に確認してください。利用目的は、集める前に特定しておきます。
買う場合は、購入自体は禁止されていないものの、相手方が個人データを取得した経緯などを確認・記録する必要があり、個人情報保護委員会のホームページ上で届出を確認する必要があると解されるとされています。そして、市販の名簿に用意された除外の扱いには「他の情報を加えることなく」という条件が付いており、新たに個人情報等を加えてデータベースの内容を変更した場合は、個人情報データベース等に該当し得るとされています。AIで空欄を埋める作業は、まさに「加える」作業です。集める前に、どこまでやるかを決める。それがいちばん確実な順番です。
よくある質問（FAQ）
この記事の内容だけで、自社の運用を決めてよいですか
いいえ。本記事は法令の解説ではなく、個人情報保護委員会が公表している文書の記載を、営業リストを作る場面に置き直して整理したものです。実際の可否は取り扱う情報の内容や使い方によって変わります。最終的な判断は、自社の法務部門や専門家にご確認ください。
企業サイトを見て回るだけでも、何か手続きが要りますか
ガイドライン（通則編）の注記は、個人情報を含む情報がインターネット等により公にされている場合であって、単にこれを閲覧するにすぎず、転記等を行わない場合は、個人情報を取得しているとは解されない、としています。転記を伴わない閲覧と、転記を伴う作業では、扱いが変わると読めます。
会社名と代表電話だけのリストなら、個人情報にはなりませんか
ガイドライン（通則編）の注記は、法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない、としています。ただし同じ注記に、役員、従業員等に関する情報は個人情報に該当する、と続きます。担当者名などの列を加えると、性質が変わります。
公開情報から集めた場合、相手全員に連絡しなければなりませんか
ガイドライン（通則編）は、取得した場合はあらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知し、又は公表しなければならない、としています。通知か公表のどちらかであり、件数が多い場合は自社サイトでの公表が現実的な選択肢になります。
名簿業者からリストを買うのは違法ですか
Q&Aは、名簿業者から個人の名簿を購入すること自体は禁止されていない、としています。ただし適正取得と、第三者提供を受ける際の確認・記録義務が適用され、取得の経緯を確認・記録する必要があり、個人情報保護委員会のホームページ上で届出を確認する必要があると解される、とされています。
買ったリストの空欄をAIで埋めるのは問題ありますか
Q&Aは、市販の名簿等について、生存する個人に関する他の情報を加えることなく本来の用途に供している場合に個人情報データベース等から除外される、としています。別の項では、新たに個人情報等を加えてデータベースの内容を変更した場合は個人情報データベース等に該当し得る、とされています。作業内容を示して法務部門に確認することをおすすめします。
原典で確認する
本記事は解説であり、判断の根拠は原典にあります。個人情報の保護に関する法律についてのガイドライン（通則編）｜個人情報保護委員会で記載をご確認ください。