名刺を営業リストに入れていいのか｜施行規則が「書面」と定めている条文と、個人情報保護法の別の壁

名刺は個人情報にあたる

展示会や訪問で集めた名刺を、そのまま営業リストに取り込んでよいか。この問いには、2つの法律が別々に答えます。

まず前提を確認します。名刺には氏名が記載されています。氏名は特定の個人を識別できる情報なので、名刺は個人情報保護法上の個人情報です。ここに議論の余地はありません。

判断は2つに分かれる

この2つは混ざりやすいところです。メールを送れる相手だからリストに入れて何でもできる、という関係にはなっていません。逆に、リストに入れてよい相手でも、メールを送ってよいとは限りません。

会社の情報と個人の情報の境目

名刺に載っている項目のうち、会社名、住所、代表電話は法人の情報です。これは個人情報ではありません。

一方、氏名、部署、役職、直通番号、個人のメールアドレスは、氏名と結びつくので個人情報として扱われます。

ここが実務上の分かれ目です。名刺から会社名と代表電話だけを抜き出して法人リストを作るなら、個人情報を保有しないという選択が取れます。この選択の効果は大きいので、後の章で列設計として書きます。

確認する7項目

7項目それぞれに根拠条文がある。判断に迷ったら、どの条文の話かを先に決める。

名刺交換した相手にメールを送ってよいか

ここから条文に入ります。まず、メール送信の可否です。

原則は同意が必要

特定電子メール法第3条第1項は、次に掲げる者以外に広告メールを送ってはならないと定めています。例外は4つです。

1. 第1号。あらかじめ送信を求める、または同意する旨を通知した者
2. 第2号。総務省令・内閣府令で定めるところにより、自己のメールアドレスを送信者に通知した者
3. 第3号。その広告に係る営業を営む者と取引関係にある者
4. 第4号。総務省令・内閣府令で定めるところにより、自己のメールアドレスを公表している団体または個人（個人は営業を営む者に限る）

名刺交換が関係するのは、第2号です。

施行規則が「書面により通知する方法」と定めている

第2号の「総務省令・内閣府令で定めるところにより」の中身は、同法施行規則第2条第1項にあります。

そこにはこう書かれています。「法第三条第一項第二号の規定による送信者又は送信委託者に対する自己の電子メールアドレスの通知の方法は、書面により通知する方法とする。」

名刺は書面です。相手が自分のメールアドレスが印刷された紙を、こちらに手渡している。これは書面による通知にあたると読めます。

つまり名刺交換によってメールアドレスを受け取った相手には、第3条第1項第2号により広告メールを送れます。別途オプトインを取り直す必要はありません。

ここが混乱しやすい名刺交換は「同意を取った」わけではありません。第1号の同意とは別の、第2号という独立した例外に当たるという構造です。だから第3条第2項の同意記録の保存義務も、第1号のものなので名刺には及びません。

名刺に断りの記載があれば別

同規則第2条第2項に、重要な例外があります。

アドレスの通知が「法第三条第三項本文の規定による特定電子メールの送信をしないように求める旨の通知に該当する場合は、当該通知は法第三条第一項第二号の規定による自己の電子メールアドレスの通知に該当しないものとする」とあります。

名刺に「営業目的のメールはお断りします」と印刷されていれば、その名刺は第2号の通知にあたりません。名刺の裏面まで見る必要があるということです。

そして一度でも送信拒否の意思を示されたら、以後は送れません。この扱いは営業メールの再送で書いた第3条第3項と同じです。返信本文での意思表示も通知にあたります。

利用目的の範囲という別の壁

メールを送れることが分かっても、それで終わりではありません。個人情報保護法の側に、別の条件があります。

取得したら利用目的を通知または公表する

個人情報保護法第21条第1項は、個人情報を取得した場合、あらかじめ利用目的を公表している場合を除き、速やかに利用目的を本人に通知または公表しなければならないと定めています。

実務では「あらかじめ公表している」を選ぶのが現実的です。自社サイトのプライバシーポリシーに利用目的を書いておけば、名刺を受け取るたびに通知する必要はありません。

第21条第2項と第4項第4号

第21条第2項は、本人から直接書面に記載された個人情報を取得する場合、あらかじめ利用目的を明示しなければならないと定めています。名刺がこれに当たるかは、条文の文言だけでは一義に決まりません。

一方、第21条第4項第4号は「取得の状況からみて利用目的が明らかであると認められる場合」に第1項から第3項を適用しないとしています。

商談の場での名刺交換は、その後の連絡に使われることが状況から明らかだと考えられます。ただし「明らか」な範囲は、通常の連絡までです。別事業の一斉メール配信まで明らかとは言えません。

だから結論はこうなります。プライバシーポリシーに利用目的を書いて公表しておく。これをやっておけば、第21条第2項と第4項第4号のどちらの読み方でも問題が起きません。

第18条。示した目的の範囲を超えない

第18条第1項は、あらかじめ本人の同意を得ないで、特定された利用目的の達成に必要な範囲を超えて個人情報を取り扱ってはならないと定めています。

ここが名刺で最も問題になるところです。例を挙げます。

右列を避ける方法は2つあります。プライバシーポリシーの利用目的を、事業をまたぐ範囲で書いておくこと。あるいは、取得の場面ごとに使う範囲を分けて管理することです。

前者は書き方だけで済みますが、広く書きすぎると本人の予測可能性を欠くという指摘を受け得ます。自社が実際にやることの範囲で書くのが原則です。

取得の場面で気をつけること

取得の仕方そのものに条文があります。ここを外すと、後の運用をどう整えても戻せません。

第20条第1項。偽りその他不正の手段

第20条第1項は「個人情報取扱事業者は、偽りその他不正の手段により個人情報を取得してはならない」と定めています。

名刺の取得でこれに触れるのは、目的を偽った場合です。抽選会やアンケートの体裁で名刺を集めて、実際は営業リストに使う。この形は、不正の手段と評価される余地があります。

抽選会やアンケートで集める場合

やってはいけないわけではありません。営業の連絡に使うことを、その場で分かる形にしておけば済みます。

具体的には、応募用紙やブースの掲示に1行入れる形です。「お預かりした名刺は、弊社サービスのご案内に利用いたします」と書いておく。これで目的を伏せていない状態になります。

この1行は、第21条の明示も兼ねます。同じ1行が2つの条文に効くので、書かない理由がありません。

展示会のバーコードスキャン

来場者証をスキャンして情報を受け取る仕組みがあります。これは名刺交換とは構造が違います。

本人から直接受け取っているのではなく、主催者から情報の提供を受けている形になる場合があります。その場合は第三者提供を受ける側の義務が発生します。

そしてメール送信の側も変わります。施行規則第2条第1項は「書面により通知する方法」なので、スキャンで得たアドレスが第3条第1項第2号にあたるとは言いにくい。主催者が本人から同意を取っているかを確認する必要があります。

他社から受け取った名刺

展示会の主催者からのリスト、提携先からの紹介、社内の別部署から回ってきた名刺。これらは第三者提供を受ける場面です。

第30条。確認と記録の義務

第30条第1項は、第三者から個人データの提供を受けるに際して、2つの事項の確認を行わなければならないと定めています。

1. 第1号。当該第三者の氏名または名称および住所、法人ならその代表者の氏名
2. 第2号。当該第三者による当該個人データの取得の経緯

そして第30条第3項は、確認を行ったときに記録を作成しなければならないとしています。第4項で保存義務もあります。

重要なのは2つ目の「取得の経緯」です。相手がどうやってその情報を集めたのかを確認する義務が、受け取る側にあります。

確認しないまま受け取ると何が起きるか

提供元が不正に集めた情報だった場合、受け取った側も義務違反を問われる構造になっています。

だから「リストをもらえるから使う」という判断はできません。もらう前に、どこからどう集めたかを聞く。答えられない相手からは受け取らない。

記録の作り方

第三者提供の受領記録

  受領年月日
  提供元の名称 / 住所 / 代表者名
  取得の経緯（提供元がどう集めたか）
  件数
  含まれる項目（氏名・部署・メール・電話）
  本人同意の有無と、その確認方法

6項目。取得の経緯は要約せず、提供元の説明をそのまま残す。

取得の経緯を要約すると、後から検証できません。提供元が書面で説明したなら、その書面を保存してください。

名刺管理サービスを使うとき

名刺をスキャンしてデータ化するサービスを使う場合、これは個人データの取扱いの委託にあたります。

第25条。委託先の監督

第25条は、個人データの取扱いを委託する場合、委託先に対する必要かつ適切な監督を行わなければならないと定めています。

委託なので、第27条の第三者提供の制限は適用されません。本人の同意を取り直す必要はない。その代わりに、監督の義務が来ます。

確認する3点

1. 安全管理措置の内容。暗号化、アクセス権限、ログの保存期間
2. 再委託の有無と、再委託先の管理方法
3. 保管場所の国。国外なら、どの国か

3つ目は重要です。国外の第三者に提供する場合は第28条の別の枠組みになりますが、委託先が国外のサーバーに保管する場合の扱いは契約の内容で変わります。

この論点は営業電話の録音は同意なしでいいのかで通話データについて整理したものと同じ構造です。データの置き場所を先に確認してください。

個人のアカウントで取り込まない

実務でよく起きるのが、担当者が自分の個人アカウントでスキャンアプリを使うことです。

これは会社として委託先を選定していない状態です。監督もできません。そして担当者が退職したときに、会社が回収できないデータが残ります。

使うサービスを会社で1つに決めて、それ以外を禁止する。これが最も単純な対処です。

リストの列設計をどう変えるか

条文を踏まえると、リストの持ち方が変わります。ここが実務の結論です。

名刺由来の行に印をつける

取得元の列が無いと、どの行にどの条文が効くのか分からなくなります。公開情報から作った行と名刺由来の行を混ぜると、全体を厳しい側の基準で扱うことになります。

個人の列と会社の列を分ける

前に書いた「会社名と代表電話だけなら個人情報を保有しない」という選択を、列で実装します。

会社の表（個人情報を含まない）
  会社ID / 法人番号 / 社名 / 住所 / 代表電話 / サイトURL

担当者の表（個人情報を含む）
  担当者ID / 会社ID / 氏名 / 部署 / 役職 / 直通 / メール
  取得元 / 取得日 / 取得の場面 / 連絡可否

2つに分けると、担当者の表だけを厳しく管理できる。会社の表は制約が少ない。

この分け方の利点は3つあります。アクセス権限を担当者の表だけに絞れること。削除請求が来たときに、会社の情報を残したまま個人の行だけ消せること。そして担当者の表を持たない運用も選べることです。

リストの鮮度の観点からも、この分離は効きます。詳しくは営業リストの鮮度で書きました。担当者名と部署名は異動のたびに変わる、寿命の短い項目です。

削除依頼が来たときの手順

本人から連絡が来たら、次の順で処理してください。

1. 担当者の表から該当行を特定する。氏名とメールアドレスで照合する
2. 連絡可否を「不可」に変えて、送信対象の抽出から外す
3. 削除を求められている場合は、氏名・部署・役職・直通・メールを消す
4. 会社の表は残す。法人の情報なので、消す理由がない
5. 対応した日と内容を記録に残す

2番目を先にやるのが要点です。削除の作業中に配信が動くと、対応したのに送ってしまう事故が起きます。まず止めて、それから消す。

運用に落とす

最後に、日々の運用で決めておくことを整理します。

プライバシーポリシーに書く3行

名刺をリスト化するなら、プライバシーポリシーに最低3つ書いてください。

1. 取得する情報。氏名、会社名、部署、役職、連絡先
2. 利用目的。自社サービスの案内、商談の連絡、関連する情報の提供
3. 問い合わせ窓口。削除や開示の依頼を受け付ける連絡先

3つ目を書かないと、本人が依頼する先が分かりません。書いていない状態で依頼が来ると、対応の記録も残りません。

展示会の前に決めること

展示会は名刺が一度に集まる場面です。始まる前に3つ決めてください。

1つ目、ブースに掲示する1行。名刺の利用目的を書いたものです。

2つ目、名刺を誰が管理するか。当日の担当者がそれぞれ持ち帰る形だと、会社として把握できません。

3つ目、来場者証のスキャンを使うかどうか。使うなら、主催者に取得の経緯を確認します。展示会が終わってから聞くのでは遅い。

第22条。不要になったら消す

第22条は、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならないと定めています。努力義務ですが、運用に入れておくと後が楽になります。

基準を決めてください。最終接触から3年、といった形です。そして消すのは担当者の表だけで、会社の表は残します。

この運用があると、削除請求への対応も速くなります。消す手順が普段から動いていれば、依頼が来たときに新しく作らなくて済みます。

まとめ

• 名刺には氏名が載っているので個人情報にあたる。ここに議論の余地はない
• 判断は2つに分かれる。メールを送れるかは特定電子メール法、リストで使えるかは個人情報保護法
• 特定電子メール法第3条第1項第2号の通知方法は、同法施行規則第2条第1項で「書面により通知する方法」と定められている
• 名刺は書面なので、名刺交換した相手には第2号により広告メールを送れる。オプトインを取り直す必要はない
• ただし同規則第2条第2項。名刺に「営業メールお断り」の記載があれば第2号にあたらない
• 第21条第1項。プライバシーポリシーに利用目的を公表しておけば、受け取るたびの通知は不要
• 第21条第4項第4号の「利用目的が明らかな場合」に当たるのは、通常の連絡まで。別事業の一斉配信は含まれない
• 第18条第1項。展示会で集めた名刺を、展示していない事業の営業に使うのは範囲を超え得る
• 第20条第1項。抽選会やアンケートで目的を伏せて集めると不正の手段と評価される余地がある。掲示に1行入れる
• 来場者証のスキャンは名刺交換と構造が違う。主催者からの提供にあたる場合がある
• 第30条第1項。他社から受け取るときは、提供元の情報と「取得の経緯」を確認して記録する
• 第25条。名刺管理サービスは委託。同意の取り直しは不要だが監督義務が来る
• 担当者が個人アカウントでスキャンアプリを使う状態をやめる。使うサービスを会社で1つに決める
• リストに取得元・取得日・取得の場面・個人情報の有無の4列を持つ
• 会社の表と担当者の表を分ける。担当者の表だけを厳しく管理し、持たない選択も取れる
• 削除依頼は、先に連絡可否を「不可」にしてから消す。作業中に配信が動く事故を防ぐ

名刺の扱いは、条文を1つずつ当てれば線が引けます。迷ったときは、メール送信の話なのか、リスト利用の話なのかを先に切り分けてください。この2つを混ぜたまま考えると、答えが出ません。

なお本稿は条文の原文から線を引いたものです。個別の事案については、条文と各ガイドラインを確認してください。

よくある質問