メールクリーニングサービスは「第三者提供」あるいは「委託」に該当するの？
事業を行うものにとって、個人情報は非常に重要な資産です。特に、個人情報を外部に出す際の法的な要件を理解してないと、コンプライアンス違反をおこす危険があります。
特に混乱が発生する「第三者提供」と「委託」の違いを正確に理解することは、個人情報を適切に管理し、お客さまの信頼を守るために欠かせません。
そもそもメールアドレス単体では個人情報に該当しないという解釈もございますが、メールアドレスを個人情報とした前提で「第三者提供」と「委託」の定義を明確にし、メールクリーニングサービスの利用にあたってはどう整理すればいいのか解説いたします。
第三者提供の定義について
第三者提供とは、個人情報を他社に渡し、その受け取った事業者が自らの目的でその情報を利用するケースを指します。第三者がどのようなものかについては、個人情報保護委員会のQ＆A（Q7-1）で紹介されています。
例えば、あるECサイト運営会社が、お客さまの購買データを広告代理店に渡し、その広告代理店が独自の広告キャンペーンを展開する場合です。この場合、データは提供元の管理を離れ、提供先の裁量で利用されることになります。
法律上、日本の個人情報保護法では、第三者提供を行う際には以下が求められます。
- 本人の同意： 提供元はユーザーに対して情報を提供する目的や提供先を明示し、同意を得る必要があります。
- 例外的なケース： 緊急事態（人命保護など）や法令に基づく場合を除き、同意なしでの提供は原則として認められません。
ホームページを訪れたさいに、サイトの閲覧履歴などの情報が含まれるCookieに関する同意ボタンが表示されのがわかりやすい事例かと思います。Cookie情報は第三者に提供される可能性があるからです。
第三者委託の定義について
第三者委託とは、事業者が自社の業務の一部を外部に委託し、その委託先が業務の遂行に必要な範囲内で個人情報を利用するケースを指します。
例えば、ECサイトが配送業務を外部の配送会社に委託し、お客さまの住所や連絡先を渡す場合です。この場合、配送会社は委託元の目的に従い、情報を利用します。
第三者委託には以下の特徴があります。
- 目的の限定性： 委託先は、委託元の指示の範囲内でのみ個人情報を利用できます。
- 監督義務:：個人情報保護法に基づき、委託元は委託先に対して適切な監督を行う責任があります。これには、契約締結や委託先の管理状況の確認が含まれます。
アマゾン社が商品を宅配業者を管理する義務があるのがわかりやすい事例かと思います。
さて、ではこの第三者提供と第三者委託に該当しない例というのはあるのでしょうか!?
個人データを含む電子データを取り扱う情報システム（機器を含む。）の保守の全部又は一部に外部の事業者を活用している場合に関する事例が、個人情報保護委員会のFAQ（Q7-55）に記載されています。
外部事業者が個人データを取り扱わないことが契約で明確化されている場合や、適切なアクセス制御が行われており、個人データの取得を防止する措置が講じられている場合は、「第三者提供」や「委託」に該当しないと判断できるとのことです。
例えば、保守サービス事業者がシステム修正パッチやマルウェア対策のためのデータを配布・適用する場合や、不具合の生じた機器を交換・廃棄する際に機器内の個人データを取り扱わないことが契約で明確化されている場合は該当しないと解釈されます。
メールクリーニングサービスは第三者提供・委託？実はこう判断される
日本国内でメールクリーニングサービスが「第三者提供」や「委託」と判断されていない理由をご紹介いたします。
メールクリーニングサービスは独立したツールとして機能しており、サービス自体が個人情報を保存したり、独自の利用目的を持つことはなく、データが一時的に処理されるものです。
また、サービス利用者からの指示がない限りメールアドレスを参照することもありません。
サービス時にメールアドレスは次のような処理が行われます。
メールアドレスの確認方法
メールアドレスが正しいかどうかを確認する際に、”DNS参照”や”SMTP接続”と呼ばれる方法が使われます。ただし、これらの方法ではデータを一時的に利用するだけで、内容を保存したり保持したりすることはありません。
DNS参照とは？
これは、メールアドレスの「@」の後ろの部分（例：@example.com）が存在しているかどうかを確認する作業です。たとえば、example.comというドメインが有効なメールサーバーを持っているかどうかを調べます。
郵便物を送るときに、相手の住所が地図に載っているか確認する作業と同じようなものです。
SMTP接続とは？
次に、DNS参照で「住所」が見つかったら、その住所が本当に手紙を受け取れるかどうかを確認する作業です。具体的には、username@example.comというメールアドレスに対して「この宛先は存在しますか？」と問い合わせをします。
実際に郵便配達員が玄関まで行き、「この家に〇〇さんは住んでいますか？」と確認するような作業と同じようなものです。
メールクリーニング後、メールアドレスに対してステータス情報が付加されますが、これらのデータ管理権限は利用者に残り、データは即時削除も可能です。またサービス利用から30日後には強制的にデータが削除されます。
各情報の管理権限が提供元のから離れることはありません。
メールクリーニングサービスは、ツールや機能の提供に近い性質を持ちます。システムに個人情報が一時的に取り込まれるものの、サービス提供者がその個人情報を保持したり、独自に利用したりすることはありません。
このデータ処理の流れは、インターネット通信の中継点であるルータを通過するデータのように、単なる通過点として機能するものと理解ください。
最後に
「第三者提供」と「委託」は、個人情報を外部に渡す際の基本的な概念ですが、多くの事業者においてメールクリーニングサービスはこれらに該当しないと判断可能です。
これは、サービスにおいてデータ内容を閲覧することがなく、また、独自目的で利用しないことが技術的および利用規約で保証されているためです。ご利用希望者さまがこれらの違いを正確に理解し、適切にサービスを選択することで、法的リスクの回避だけでなく、お客さまの信頼を守ることにもつながります。
関連商品
-
Mailchimp
Mailchimpの詳細を見る
Mailchimpは、直感的な操作性と強力な機能を兼ね備えたメールマーケティングサービスです。受信者の行動を分析し、最適な時間に自動配信する送信時間最適化機能（STO）を搭載。また、権限管理機能により、セキュリティを確保しながら外部の事業者に業務を効率的に委託できます。 -
DMARC導入コンサルティング
DMARC導入コンサルティングの詳細を見る
なりすましメール対策として、DMARCポリシーを「none」から「quarantine」「reject」へ安全に段階的引き上げ。BrandKeeperが設計・分析・運用まで一貫支援し、ブランドと信頼を守ります。 -
ワイメール
ワイメールの詳細を見る
ワイメールは、高い到達率を誇るメール配信システムです。ユーザーごとに専用サーバーを立ち上げることで、迷惑メールと判定されるリスクを低減。月額定額で配信数などが無制限のため、大量配信も安心です。シンプルな操作性と手厚いサポートで、メールマーケティングを強力に支援します。 -
ベアメール – DMARCレポート分析機能
ベアメール – DMARCレポート分析機能の詳細を見る
ベアメールの「迷惑メールスコアリング」は、メールの到達率を改善するサービスです。DMARCレポートを自動分析し可視化することで、専門知識がなくても自社のセキュリティ状況を簡単に把握できます。送信元IPやエラー傾向の分析、なりすまし検知など、多様な機能で運用をサポートします。 -
kreisel（クライゼル）
kreisel（クライゼル）の詳細を見る
官公庁も採用する高セキュリティなCRMプラットフォーム「Kreisel（クライゼル）」。メール配信・フォーム作成・顧客管理を統合し、強固な基盤で情報を守ります。月間数億通の実績を持つ高速エンジンで「確実に届く」メール配信を実現。API連携にも強く、企業のDX推進に最適です。 -
オートビズ（AutoBiz）
オートビズ（AutoBiz）の詳細を見る
オートビズは、日本を代表するメール配信システムです。ステップメールやメルマガ一斉配信、LINE連携など多彩な機能を備え、専門知識不要でメールマーケティングを効率化します。20年以上の実績による高い到達率と、電話対応を含む手厚いサポートが特長です。月額1,980円から利用でき、低価格ながら高機能です。