LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

MAの運用を外注するときは、外注先に渡す権限と配信の同意の記録の置き場所を、契約の前に決めます。決めるのは、外注先が見られる顧客の情報の範囲、メール配信の同意の記録の持ち方、MAの権限と設定の確かめ方の3つです。

期限は、委託の契約を結び、MAのアカウントを外注先に渡す前です。渡す情報と権限を一覧にし、委託先の監督と同意の扱いを契約と運用の手順に書きます。本記事では、個人情報保護委員会のガイドラインとQ&A、特定電子メール法のガイドラインと措置命令の公表例、総務省とIPAのクラウドの資料を手がかりに、確かめる順を整理します。

顧客の一覧を外注先に預けたまま、誰が何を見られるか分からなくなる

MAの運用を外注すると、配信の作業と一緒に、見込み客の氏名・メールアドレス・会社名と、メールの開封やクリックの記録までが外注先の目に触れます。誰がどこまで見られるかを決めずに預けると、誤った宛先への配信や外注先の側での漏えいが起きても、発注した側では気付くのが遅れます。

悩みごとに先に読む章

悩み	読む章
外注先にどこまで顧客の情報を見せてよいか	確認点：委託契約・個人情報の扱い・社内規程
配信のやり方で処分を受けることはあるのか	同意のない配信で処分を受けた事例から学ぶこと
設定の誤りで情報が漏れないか心配	クラウドの設定の誤りを防ぐ確かめ方

委託先での漏えいは、珍しい出来事ではありません。個人情報保護委員会の年次報告によると、令和7年度に委員会が処理した民間の事業者からの直接の報告13,345件のうち、漏えい等元が委託先だったものは1,292件（9.7％）でした。^*1委託先で起きた分の原因は次の図のとおりです。

• 委託先で起きた分では、誤送付の506件が最も多く、不正アクセスの328件が続きます^*1
• 同委員会のガイドラインは、個人データを含むメールを第三者に誤送信した場合と、システムの設定ミス等でインターネット上で個人データを閲覧できる状態になっていた場合を、漏えいの事例に挙げています^*2
• MAの外注では、配信の宛先の選び方とフォームや一覧の公開の設定が、この2つの事例に直結します

外注するかどうかの答えは、どこまでを外注先に預けるかで分かれます。

• 配信の作業の時間だけが足りないなら：設定と配信を外注し、顧客の一覧の書き出しと同意の記録は社内に残す
• 設定のやり方から分からないなら：設定だけを外注し、配信の実行は社内で行う
• 社内で回し続けたいなら：運用は社内で行い、権限や設定の考え方だけを助言してもらう

危険の元は外注先の腕より、渡す権限の広さと同意の記録の置き場所

外注先の腕が確かでも、管理者の権限をそのまま渡せば、配信の作成だけでなく顧客の一覧の書き出しも設定の変更もできてしまいます。一覧がいつ外注先の手元のファイルに移ったのか、どの設定がいつ変わったのかを、社内の誰も追えなくなります。

同意の記録も同じです。メール配信の同意をいつ・どの画面で取ったかの記録が外注先のアカウントの中にしか無ければ、契約を終えた後に、誰に送ってよいのかを自社で示せません。

自社の状態を、次の3つで数えてみてください。

• 外注先のアカウントに、顧客の一覧を書き出す権限が付いている
• メール配信の同意をいつ・どこで取ったかの記録が、社内に残っていない
• 外注先が別の会社に作業を回していないかを、確かめたことがない

1つでも当てはまれば、外注先を比べる前に、渡す権限と同意の記録の置き場所を決めるほうが先です。外注すると社内で回す場合と何が変わるかの全体は、MA（マーケティングオートメーション）の外注で何が変わるかで整理しています。

後半では、委託の契約と個人情報の確認点、同意のない配信で処分を受けた事例、設定の誤りの防ぎ方、費用対効果、外注先を比べる表を確かめられます。渡す権限の分け方を先に決めたい場合は、次の窓口をご利用ください。

外注先を比べる4つの基準

MAの外注をセキュリティの面で比べるときは、金額や納期とは別に、次の4つの基準で外注先の答えを並べます。どれも外注先の腕前ではなく、発注する側が決めて契約に書ける事柄です。

外注先を比べる4つの基準と目安

基準	目安	MAで見るところ
渡す権限の範囲	配信の作成・顧客の一覧の閲覧・書き出しを分けて渡せるか	外注先の担当者ごとのアカウントに、書き出しの権限を付けずに済むか
同意の記録の管理	同意の取得の日時と方法を社内で持ち続けられるか	同意を取ったフォームの画面と取得の日時を、社内の側で保存できるか
再委託と監督	再委託の有無と、作業の報告・監査の受け入れを契約に書けるか	配信の作業や効果の分析を別の会社に回すことがあるか
設定の確認の手順	公開の範囲や認証の設定を、変更のたびに誰が確かめるか	フォームや一覧の公開の範囲を変えたとき、社内の誰が見て承認するか

4つのうち、外注先によって答えが最も分かれやすいのは「同意の記録の管理」です。同意の取得から配信までを外注先の仕組みの中で完結させる進め方もあり、その場合は記録を社内に引き取る方法と時期を契約で決めておかないと、外注先を替えたときに記録が途切れます。

外注先との最初の打ち合わせの前に、権限を分ける場面

営業とマーケティングの仕組みを整える責任者が、外注先との最初の打ち合わせの前に、渡す権限と同意の記録の扱いを決めていく流れの一例です。

打ち合わせの前に権限を分ける判断の流れ

判断の順	確かめること	決めること
1. 頼む作業を書き出す	シナリオの設定、配信の作成、送信、結果の報告のどれを頼むか	外注先の作業を、配信の作成と結果の報告までに限る
2. 一覧の扱いを決める	外注先に顧客の一覧の書き出しが要るか	書き出しは社内の担当だけに残し、外注先のアカウントは閲覧と配信の作成にする
3. 同意の記録の置き場所を決める	同意をいつ・どの画面で取ったかの記録が今どこにあるか	記録は社内で持ち、外注先には送ってよい宛先の区分だけを示す
4. 承認する人を決める	配信の対象の変更と設定の変更を、誰が承認するか	変更は社内の承認を経てから反映すると、打ち合わせで外注先に伝える

この順で決めておくと、打ち合わせでは外注先に「この範囲で作業できるか」を問う形になり、提案された権限をそのまま受け入れることがなくなります。

確認点：委託契約・個人情報の扱い・社内規程

委託先の監督、再委託の承認、契約の終了時の消去と権限の取り消しを、契約と社内規程で確かめます。MAの外注で特に詰めておくのは、配信の結果として外注先の手元に生まれる記録の扱いです。

個人情報保護委員会のQ&Aは、広告配信の委託を受けた事業者が配信への本人の反応を取得した場面について、「当該個人データのみならず、当該個人データを利用して取得した個人データについても、委託された業務以外に取り扱うことはできません」と答えています。^*3メールの開封やクリックの記録は、渡したメールアドレスを使った配信から生まれる記録です。

同じQ&Aは、委託に当たらない取扱いの例として、複数の事業者から委託を受けている者が、提供された個人データを「区別せずに混ぜて取り扱っている場合」を挙げています。^*4複数の会社の配信を受け持つ外注先には、配信リストと反応の記録を会社ごとに分けて持っているかを聞きます。

MAの外注で契約に書く項目

項目	MAで具体的に決めること
記録の使い道	開封・クリック・サイトの閲覧の記録を、自社への報告のほかに使わない
リストの分け方	配信リストと反応の記録を、他の発注元のものと混ぜずに持つ
再委託	配信の作業や効果の分析を別の会社に回す場合の、事前の報告か承認
計測のタグ	サイトに置く計測のタグとCookie（閲覧の記録を結び付ける小さなデータ）の設定を、誰が置き、誰が外すか
契約の終了	一覧と記録の消去と、その報告、外注先のアカウントの削除

MAの設定によっては、配信のメールのリンクから訪れた人のサイトの閲覧も、その人の記録に結び付けられます。計測のタグを外注先が置くなら、契約を終えるときにタグを外すのか、社内で引き継ぐのかまで決めておくと、記録の集め先が宙に浮きません。

再委託については、同委員会のガイドラインが、契約に再委託の把握を盛り込んでいながら報告を求めず、委託元の知らない再委託が行われて再委託先が漏えいした場合を、監督が足りない事例に挙げています。^*2契約に書くだけでなく、報告を受ける時期まで決めておきます。

社内規程では、顧客の情報のどの区分を外注先に預けてよいか、預けるときに承認する人を誰にするかを決めておきます。委託先の管理全般の考え方は、委託先・サプライチェーンのセキュリティ管理にまとめています。

同意のない配信で処分を受けた事例から学ぶこと

同意の記録や表示が無いまま配信し、措置命令を受けた例が公表されています。総務省と消費者庁は2018年（平成30年）3月13日、自社のウェブサイトの広告メールを送っていた事業者に対し、特定電子メール法（広告や宣伝のメールの送り方を定めた法律）第7条に基づく措置命令を行ったと公表しました。送信の期間は少なくとも平成29年10月8日から平成30年1月24日までで、相談のあったメールは413人から延べ1,326通でした。^*6

公表された違反の内容

違反とされた点	公表の内容	関係する条文
同意	受信者の同意を得ていなかった	第3条第1項
記録	受信者から送信の同意を得た記録を保存していなかった	第3条第2項
表示	送信者の名称や受信拒否ができる旨等を表示していなかった	第4条

同意・記録・表示の3つがそろって欠けていた例ですが、MAの外注で崩れやすいのは2つ目の記録です。同意を取る画面と配信を担う会社が分かれると、記録がどちらの手元にあるのかがあいまいになります。

総務省・消費者庁のガイドラインは、電子メールを発信する操作の主体を「送信者」、送信先や送信事項について一定の指示をしている者を「送信委託者」と位置付け、配信の仕組みを提供しているだけの配信ASP事業者はどちらにも当たらないとしています。^*5外注先が配信を操作し、発注する側が宛先と文面を指示するなら、両方の立場が生じます。

送信委託者にも措置命令が出る場合として、ガイドラインは、同意の通知を受けていないのに受けた者として送信先のメールアドレスを送信者に渡して送信させた場合を例に挙げています。^*5同意を確かめていない一覧を外注先に渡すのは、この例に近い動きです。

保存する記録の中身と期間も、ガイドラインに示されています。^*5

• 中身：同意を取得した際の時期や方法などの状況を示す記録か、宛先を区別できる記録に加えて同意を取った画面などの定型的な部分
• 期間：その記録に係る送信をしないこととなった日から1か月を経過する日まで。措置命令を受けた場合は1年に延びることがある
• 受信拒否：ガイドラインは、簡便なオプトアウト（配信の停止の申し出）の方法を用意することを推奨している

外注先を替えるときや契約を終えるときは、同意の記録と配信を止めた人の一覧の両方を引き取ります。どちらかが外注先の手元に残ったままだと、次の配信で停止を申し出た人に送ってしまうおそれがあります。

クラウドの設定の誤りを防ぐ確かめ方

公開の範囲・認証・使う人の範囲を、総務省とIPAの資料に沿って点検します。クラウドで使うMAでは、申し込みのフォームや一覧の公開の設定を一つ誤るだけで、他の人の情報が見える状態になります。

総務省の「クラウドの設定ミス対策ガイドブック」は、2023年度の事例として、イベントの申し込みフォームの設定を誤って他の参加者の個人情報がインターネット上で閲覧できた例や、ウェビナーへの申込者の個人情報が閲覧できる状態になっていた例を挙げています。^*7どちらも、MAで作ることの多い申し込みのフォームと一覧で起きています。

同じガイドブックは、運用をまかせるサービスについて、「設定ミスのリスクは移転できても、クラウドサービスを利用する責任や委託元としての責任は残ることには注意が必要です」と書いています。^*7設定を外注しても、確かめる段階は発注する側に残ります。

MAの設定の点検表

点検の項目	見るところ	手がかり
公開の範囲	申し込みのフォーム、申込者の一覧、共有のリンクが関係者だけに見える設定か	総務省のガイドブックの事例
権限の区分	管理者と配信を作る人の権限が分かれているか	総務省のガイドブック
認証	ID・パスワードを共有せず、2段階認証を使っているか	IPAの手引き
使う人の範囲	外注先の担当者ごとにアカウントがあり、担当の交代や契約の終了で削除しているか	IPAの手引き・総務省のガイドブック
変更の確認	設定を変えるたびに、変えた人と別の人が確かめているか	総務省のガイドブック

ガイドブックは、担当者のセルフチェックに加えて別の人も確かめる「ダブルチェック」を理想とし、可能なら設定項目を記入したシートを事前にレビューすることも勧めています。^*7MAでは、フォームの公開の範囲や配信の対象を変える前に、変更の内容を一覧にして社内の承認する人が見る形にすると、この事前の確認になります。

使う人の範囲と認証について、IPAの「中小企業のためのクラウドサービス安全利用の手引き」^*8は、利用者の範囲を決める、ID・パスワードの共有はしない、2段階認証を用いる、といった対策の例を挙げています。外注先の担当者が入れ替わったときにアカウントの削除を忘れると、前の担当者が権限を持ったまま残ります。社内の退職者と同じく、外注先の担当の交代も削除のきっかけに入れておきます。

費用対効果：外注の費用と社内に残す手間

外注で減る作業と、社内に残る権限の管理・確認の手間を合わせて比べます。外注の見積もりには、社内に残る手間は入っていません。

外注で減る作業と社内に残る手間

比べる点	外注で減る作業	社内に残る手間
作業	シナリオの設定、配信の作成と送信、結果の集計	権限の付与と取り消し、設定の変更の承認
記録	配信の結果の報告の作成	同意の記録と配信を止めた人の一覧の保管
頻度	配信のたびに	担当の交代、設定の変更、月ごとの報告の確認のたびに
見積もり方	外注先の見積もり	1回の確認にかかる時間に、月の回数を掛ける

社内に残る手間を外注の費用に足して、社内で全部を回す場合の人の時間と並べると、上長に示す比べ方になります。手間を省いた場合に起きうることは、漏えいの報告と本人への通知、配信の方法の見直しなど、起きた後にまとめてかかる対応です。

視点を変えると、社内に残る手間そのものを減らす方法もあります。

• 同意を取るフォームと記録の項目を社内で一度整え、外注先に渡すのを配信の作成だけにする
• 設定の変更の一覧や配信の対象の条件の読み合わせを、AIに下ごしらえさせ、承認する人は結果を確かめる役に回る
• 配信の対象を選ぶ条件を文章に残し、外注先が替わっても同じ条件で配信できるようにする

こうしたやり方を部署で続けるには、手順と確かめ方を共有して見直す仕組みが要ります。社内で回せる形をつくりたい場合は、業務の流れの組み替えから相談するのも一つの方法です。

判断の材料：外注先を比べる表

4つの基準を列にし、契約に書けるかどうかで外注先を比べます。口頭の「できます」ではなく、契約や依頼書に書ける答えだけを表に入れます。

外注先を比べる表（例）

基準	外注先に聞くこと	契約・依頼書に書く形
渡す権限の範囲	書き出しの権限を付けずに作業できるか	外注先のアカウントの権限の一覧を付ける
同意の記録の管理	同意の記録と配信を止めた人の一覧を、社内に渡せるか	引き渡しの形と時期、契約の終了時の引き渡しを書く
再委託と監督	配信や分析を別の会社に回すか	事前の報告か承認と、作業の報告の時期を書く
設定の確認の手順	設定を変えるとき、事前に変更の内容を示せるか	変更の前に社内の承認を得ることを書く

どの進め方を選ぶかによって、外注先に預ける情報の量も変わります。

3つの進め方の比較

進め方	外注先に預ける情報	合う条件
設定も配信も外注する	配信リストと反応の記録	4つの基準をすべて契約に書ける外注先がいる
設定だけ外注し、配信は社内で行う	設定に要る項目（一覧は見せない）	配信の作業の時間は社内で取れる
社内で運用し、助言だけを頼む	なし	社内に設定と配信の担当を置ける

4つの基準のうち契約に書けないものが残る外注先なら、設定だけを頼む進め方に寄せると、預ける情報を減らせます。配信リストを見せずに済む分、外注先の側での誤送信や漏えいが起きたときの影響も小さくなります。

まとめ：渡す情報と権限の一覧から始める

MAの運用を外注するときのセキュリティは、外注先の対策だけでは決まりません。外注先に渡す権限を作業に必要な範囲に分け、配信の同意の記録と配信を止めた人の一覧を社内で持ち、開封やクリックの記録の使い道と再委託、契約の終了時の消去を契約に書きます。今日からできるのは、外注先に渡す情報と権限の一覧を作り、承認する人に回すことです。

よくある質問

外注先に管理者の権限を渡してよいですか。

作業に必要な範囲に分けて渡せるかを先に確かめます。管理者の権限を渡すと、顧客の一覧の書き出しや設定の変更もできてしまいます。配信の作成と結果の報告を頼むだけなら、外注先の担当者ごとのアカウントに、その作業に要る権限だけを付けます。

配信の同意の記録は誰が持ちますか。

取得の日時と方法の記録を社内で持てるようにします。外注先の仕組みの中で同意を取る場合も、記録と配信を止めた人の一覧を社内に引き取る方法と時期を契約に書いておきます。外注先を替えたときに記録が途切れないようにするためです。

同意のない配信で処分された例はありますか。

総務省と消費者庁が措置命令を公表した例があります。2018年の公表例では、同意を得ていなかったこと、同意の記録を保存していなかったこと、送信者の名称などを表示していなかったことが違反とされました。

設定の誤りはどう防ぎますか。

公開の範囲と認証を、変更のたびに決まった人が点検します。申し込みのフォームや申込者の一覧の公開の範囲は、設定を変える前に変更の内容を一覧にし、変えた人と別の人が確かめます。担当が替わったときは、前の担当のアカウントを削除します。

外注先が別の会社に作業を回すことはありますか。

再委託の有無と承認の手順を契約で確かめます。配信の作業や効果の分析を別の会社に回す場合は、事前に報告を受けるか承認する形にし、作業の報告を受ける時期も決めておきます。

出典

1. *1　参考：個人情報保護委員会「令和7年度個人情報保護委員会 年次報告」（https://www.ppc.go.jp/aboutus/report/annual_report_2025/）。出典：第4節1（1）漏えい等事案に関する報告の処理状況等と、付表2（2）⑤漏えい等元及び漏えい等原因を参照（確認日2026年11月5日）（2026年11月確認）
2. *2　参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/）。出典：3-4-4（委託先の監督）と3-5-1-2（「漏えい」の考え方）を参照（確認日2026年11月5日）（2026年11月確認）
3. *3　参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A Q7-40（https://www.ppc.go.jp/all_faq_index/faq1-q7-40/）。出典：Q7-40・A7-40（広告配信の委託で取得した反応等の個人データ、令和3年9月追加）を参照（確認日2026年11月5日）（2026年11月確認）
4. *4　参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン」に関するQ&A Q7-37（https://www.ppc.go.jp/all_faq_index/faq1-q7-37/）。出典：Q7-37・A7-37（委託された業務以外に取り扱う事例、平成30年12月追加）を参照（確認日2026年11月5日）（2026年11月確認）
5. *5　参考：総務省・消費者庁「特定電子メールの送信等に関するガイドライン」（平成23年8月）（https://www.soumu.go.jp/main_sosiki/joho_tsusin/d_syohi/pdf/m_mail_081114_1.pdf）。出典：1②（送信者・送信委託者の位置付け）、2②（同意を証する記録の保存の内容と期間）、4（5）（簡便なオプトアウト方法）、6③（送信委託者に対する措置命令）を参照（確認日2026年11月5日）（2026年11月確認）
6. *6　参考：総務省「特定電子メール法違反に係る措置命令の実施」（報道資料 平成30年3月13日）（https://www.soumu.go.jp/menu_news/s-news/01kiban18_01000036.html）。出典：本件に関する事実関係・違反内容・関係法令を参照（確認日2026年11月5日）（2026年11月確認）
7. *7　参考：総務省「クラウドの設定ミス対策ガイドブック」（2024年4月）（https://www.soumu.go.jp/main_content/000944467.pdf）。出典：第1章の設定ミスの事例（2023年度）、3-6 作業手順面の対策、3-9 その他の対策（マネージドサービス）、コラム「退職者の管理」を参照（確認日2026年11月5日）（2026年11月確認）
8. *8　参考：独立行政法人情報処理推進機構（IPA）「中小企業の情報セキュリティ対策ガイドライン」付録7（PDF）（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_7.pdf）。出典：運用するときのポイント（利用者の範囲を決める・利用者の認証を厳格に行う）を参照（確認日2026年11月5日）（2026年11月確認）