新しい商材の取り扱いを始めるとき、多くの会社がまず考えるのは「どう売るか」ではないでしょうか。ターゲットを決め、リストを集め、アポイントを取る。売上をつくるうえで、これはもちろん正しい順序です。
ただ、その過程で必ず手元に集まってくるものがあります。顧客の名前、会社名、電話番号、メールアドレス、担当者の役職といった「個人情報」です。展示会で交換した名刺、問い合わせフォームから届いた申込内容、メーカーから共有された見込み客リスト。代理店・販売パートナーとして活動する以上、個人情報から完全に離れて営業することはまずできません。
ところが、この個人情報の扱いについて「なんとなく気をつけている」程度で止まっている会社は少なくありません。個人情報保護法は2022年の改正で罰則が大幅に強化され、しかも取り扱う件数にかかわらず、ほぼすべての事業者が対象になっています。知らなかったでは済まされない領域になったのです。今回は、代理店ビジネスの現場目線で、この法律の基本と実務対応を整理してみます。
＜目次＞
- 個人情報保護法とは？事業者が守るべき基本ルールを理解する
- 「個人情報」「個人データ」「保有個人データ」の違い
- 代理店ビジネスで個人情報が発生する5つの場面
- 事業者に課される5つの基本義務
- 見落としやすいポイント①：第三者提供と「共同利用」
- 見落としやすいポイント②：委託先の監督責任
- 漏えいが起きたときに何が求められるのか
- 今日から始められる実務チェックリスト
- まとめ：個人情報への向き合い方は、そのまま信頼につながる
個人情報保護法とは？事業者が守るべき基本ルールを理解する
個人情報保護法（正式名称：個人情報の保護に関する法律）は、事業者が個人情報を扱うときのルールを定めた法律です。目的は大きく二つあり、一つは個人の権利や利益を守ること、もう一つは個人情報を適正に活用してビジネスや社会の発展につなげることです。「使ってはいけない」ための法律ではなく、「安心して使えるようにする」ための法律だと捉えるとイメージしやすいかもしれません。
かつては「取り扱う個人情報が5,000人分以下の事業者は対象外」という基準がありました。しかし2017年の改正でこの例外は撤廃され、現在は個人情報をひとつでも事業で取り扱っていれば、法人・個人事業主を問わず「個人情報取扱事業者」に該当します。名刺を数十枚管理しているだけの一人会社も、法律上は対象です。
さらに2022年4月施行の改正では、漏えい時の報告義務が新設され、罰則も引き上げられました。法人に対する罰金は最大1億円。個人情報保護委員会の命令に違反した場合などが対象ですが、金額の重さが法律の本気度を物語っています。
「個人情報」「個人データ」「保有個人データ」の違い
実務で混乱しやすいのが、似た三つの用語です。ここを押さえておくと、後の義務の話が整理しやすくなります。
- 個人情報：生存する個人を特定できる情報。氏名、生年月日、顔写真、メールアドレス（氏名が推測できる形式のもの）などが該当します。単体では特定できなくても、他の情報と照合すれば特定できるものも含まれます。
- 個人データ：個人情報をデータベースや名簿として検索できる形に整理したもの。エクセルの顧客リスト、CRMに登録した見込み客、五十音順に並べた名刺ファイルなどです。
- 保有個人データ：個人データのうち、開示・訂正・削除などの権限を自社が持っているもの。本人から「私の情報を見せてください」と言われたときに応じる義務が生じる範囲です。
ポイントは、名刺を1枚もらっただけなら「個人情報」ですが、それをエクセルに入力して営業リストにした瞬間に「個人データ」になるということ。安全管理措置や第三者提供の制限といった重い義務は、この「個人データ」に対してかかってきます。営業活動でリスト化するのは日常業務ですから、多くの代理店はすでに個人データを扱っている状態だといえます。
代理店ビジネスで個人情報が発生する5つの場面
自社が個人情報とどう関わっているのか、まずは棚卸ししてみましょう。代理店・販売パートナーの現場では、おおむね次のような場面で発生します。
- リード獲得時：問い合わせフォーム、資料請求、展示会での名刺交換、セミナー申込。
- 商談・提案時：担当者の連絡先、決裁者の氏名や役職、ヒアリングメモに書かれた個人の事情。
- 契約・申込手続き時：申込書に記載された氏名・住所・電話番号、本人確認書類、口座情報。BtoCの商材では特に情報量が多くなります。
- メーカー・本部との情報共有時：取次いだ顧客情報を本部へ渡す、逆に本部から見込み客リストを受け取る。
- 外部委託時：テレアポ会社、DM発送業者、クラウドの顧客管理ツールなどに情報を預ける。
特に4番目と5番目は、代理店ビジネス特有の論点です。自社の中だけで完結しない情報の流れがあるからこそ、後述する「第三者提供」と「委託先監督」が重要になります。
事業者に課される5つの基本義務
個人情報保護法が事業者に求めていることは、細かく見れば多岐にわたりますが、大枠は次の5つに整理できます。
- ①利用目的の特定と通知・公表：何のために使うのかをあらかじめ決め、本人に伝えること。「弊社サービスのご案内のため」といった形で、プライバシーポリシーに明記するのが一般的です。特定した目的の範囲を超えて使うには、原則として本人の同意が必要になります。
- ②適正な取得：偽ったり隠したりして情報を集めないこと。「アンケートです」と言いながら実際は営業リスト作成が目的、といった取得は認められません。
- ③安全管理措置：漏えい・滅失・毀損を防ぐ体制を整えること。組織的・人的・物理的・技術的の4つの側面から対策が求められます。
- ④第三者提供の制限：本人の同意なく、他社へ個人データを渡さないこと。例外もありますが、原則は同意が必要です。
- ⑤本人からの請求への対応：開示、訂正、利用停止、削除といった請求に応じる窓口を用意すること。
このうち、代理店の現場で判断を誤りやすいのが③④です。順に見ていきます。
見落としやすいポイント①：第三者提供と「共同利用」
代理店が獲得した顧客情報をメーカー本部に渡す。これは法律上、明確に「第三者提供」に当たります。グループ会社であっても、法人格が別なら第三者です。原則として、あらかじめ本人の同意を得ておく必要があります。
ここで実務的によく使われるのが、取得時点での同意取得です。申込フォームやヒアリングシートに「お客様の情報は、サービス提供のため株式会社○○（サービス提供元）に提供いたします」と明記し、チェックボックスで同意をもらっておく。これが最もシンプルで確実な方法です。
もう一つの選択肢が「共同利用」というスキームです。あらかじめ次の項目を本人に通知または公表しておけば、第三者提供の同意なしに情報を共有できます。
- 共同利用する旨
- 共同利用される個人データの項目
- 共同利用する者の範囲
- 利用する者の利用目的
- 個人データの管理について責任を有する者の氏名または名称
継続的に本部と情報をやり取りする代理店モデルでは、この共同利用の枠組みを本部側が用意しているケースもあります。契約を結ぶ段階で「顧客情報の取り扱いはどういう建て付けになっていますか」と本部に確認しておくと、後から慌てずに済みます。
見落としやすいポイント②：委託先の監督責任
もう一つ、意外と知られていないのが委託のルールです。テレアポ代行、DM発送、名刺管理サービス、クラウドCRM。これらに個人データを預けることは「委託」に当たり、委託であれば本人同意は不要です。ここまでは多くの方がご存じかもしれません。
ただし条件があります。委託元には委託先を監督する義務が課されるのです。具体的には次のような対応が求められます。
- 適切な委託先を選定する（セキュリティ体制の確認）
- 委託契約に安全管理措置に関する条項を盛り込む
- 委託先の取り扱い状況を定期的に把握する
もし委託先から情報が漏れた場合、委託元である自社も責任を問われます。「業者がやったことなので」という言い訳は通りません。無料のツールや個人の外注先に安易にリストを渡していないか、一度確認してみる価値はあるでしょう。
なお、海外のクラウドサービスを使う場合には、外国にある第三者への提供として、さらに追加の説明義務が生じることがあります。ここは業種や規模によって判断が分かれる部分ですので、不安があれば専門家に相談するのが安全です。
漏えいが起きたときに何が求められるのか
2022年の改正で新設されたのが、漏えい等が発生した場合の報告・通知義務です。一定の事態に該当する場合、個人情報保護委員会への報告と、本人への通知が義務づけられました。対象となるのは主に次のケースです。
- 要配慮個人情報（健康情報、犯罪歴など）が含まれる漏えい
- 財産的被害が生じるおそれのある漏えい（クレジットカード番号など）
- 不正な目的による漏えい（外部からの攻撃、内部不正など）
- 1,000人を超える個人データの漏えい
報告は、速報を概ね3〜5日以内、確報を原則30日以内（不正目的の場合は60日以内）に行う必要があります。件数が1人でも、原因が不正アクセスなら報告対象になる点は押さえておきたいところです。
この短い期限で動くには、事前の備えが欠かせません。誰が何を判断し、誰に連絡するのか。社内の連絡フローを一枚の紙にまとめておくだけでも、いざというときの初動は大きく変わります。
今日から始められる実務チェックリスト
ここまで読んで「やることが多そうだ」と感じた方もいるかもしれません。ただ、小規模な事業者であれば、まずは次の項目を押さえるところから始めれば十分に前進します。
- プライバシーポリシーを自社サイトに掲載しているか：利用目的、第三者提供の有無、問い合わせ窓口を明記する。
- 取得時に利用目的を伝えているか：フォームや申込書に一文を添える、あるいはプライバシーポリシーへのリンクを設置する。
- 顧客リストの保管場所を把握しているか：個人のPCデスクトップ、私物スマホ、共有フォルダ。どこに何があるか棚卸しする。
- アクセス権限を絞っているか：全社員が全顧客リストを見られる状態になっていないか。
- 持ち出しルールがあるか：USBメモリ、紙の名簿、ノートPCの社外持ち出しについて取り決めておく。
- 委託先と契約書を交わしているか：安全管理措置の条項が入っているかを確認する。
- 退職時の対応を決めているか：営業担当が退職する際、顧客データの返却・削除を明確にする。
- 漏えい時の連絡フローを作っているか：一次窓口と報告経路を紙一枚にまとめる。
完璧を目指すより、「今どうなっているか」を可視化することが最初の一歩です。棚卸しをすると、思いのほか情報が分散していることに気づくケースが多いものです。
まとめ：個人情報への向き合い方は、そのまま信頼につながる
個人情報保護法への対応は、正直なところ、売上に直結する取り組みではありません。だからこそ後回しになりがちです。しかし見方を変えると、この対応そのものが、取引先や顧客からの信頼を測る指標になっているという側面があります。
実際、メーカーや本部が代理店を選ぶとき、情報管理の体制を確認するケースは年々増えています。大手企業の商材や、金融・医療・人材といった機微な情報を扱う分野では特に顕著です。きちんとした管理体制があること自体が、扱える商材の幅を広げるとも言えるのです。
逆に一度でも漏えい事故を起こせば、失うのは罰金だけではありません。積み上げてきた顧客との関係、本部からの信用、そして商圏そのものが揺らぐ可能性があります。守りの投資でありながら、事業の継続性に直結する取り組みだと考えてよいでしょう。
まずは自社の顧客リストがどこに、どんな形で存在しているのかを確認するところから。そのうえで、新しい商材を検討する際には「この商材ではどんな個人情報が発生するか」「本部との情報の受け渡しはどうなるか」という視点も加えてみてください。安心して長く取り組める商材選びにつながるはずです。
※本記事は一般的な情報提供を目的としたものであり、個別の法的助言ではありません。具体的な対応については、弁護士等の専門家にご相談ください。