LASSIC Media らしくメディア
MAの外注で社内規程に照らして確かめること
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- MAの外注で社内規程に照らすのは、名簿・配信の承認・アカウント・利用目的・配信停止・終了時の消去の6項目です。
- 顧客の名簿を委託先に預ける以上、外注は営業部門だけで決める話ではなく、契約の前に条件を付ける話です。
- 稟議には、規程に書かれていない項目を、決めることを1文ずつにした条件として書き添えて戻します。
※ 本記事は2026年11月時点の公式情報（省庁・公的機関、および製品やサービスを提供する事業者が公開している資料）に基づきます。
営業部門から、MAの運用を外注する稟議が回ってきた。社内規程に照らして何を見ればよいのか、規程にはMAのことが書かれていない。答えを先に示すと、照らすのは名簿の利用範囲、配信の承認、委託先のアカウントと権限、取得した情報の利用目的、配信停止の扱い、委託終了時の返還と消去の6項目です。
照らす時期は、委託の契約と最初の配信の前までです。6項目を今のクラウドの利用規程、委託先の管理、個人情報の取扱いの規程に照らし、書かれていない項目は稟議に条件として付けて戻します。本記事では、6項目の中身、規程と契約への書き分け、条文が定めること、規程の見本と足す手順を整理します。
目次
規程を確かめずに配信が始まると何が起きるか
MA（マーケティングオートメーション。見込み客へのメール配信などを自動で回す仕組み）の運用を外注すると、委託先の担当者がMAにログインし、顧客の名簿を選んで配信を組み立てます。社内規程で決めていない事柄は、その場で委託先が判断することになり、会社として説明できない配信や情報の扱いが生まれます。
悩みごとに、先に読むとよい章を次の表にまとめました。
| 悩み | 読む章 |
|---|---|
| 稟議のどこに条件を付ければよいか分からない | 契約と規程で確かめること |
| 規程にMAのことが書かれていない | 規程に足す手順 |
| 名刺の名簿や配信停止の扱いが気になる | 名刺の名簿と配信停止で条文が定めること |
規程で決めておく項目は6つあり、決める時期で分けると次の図のようになります。
| 決めていない項目 | 起きること |
|---|---|
| 名簿の利用範囲 | 展示会や名刺で集めた名簿が、目的の違う配信にまとめて使われる |
| 配信の承認 | 文面と宛先を社内の誰も見ないまま、委託先の判断で配信される |
| 委託先のアカウントと権限 | 委託先の担当者が1つのアカウントを共有し、誰が名簿を書き出したか追えない |
| 取得した情報の利用目的 | 名刺や問い合わせで得た情報が、伝えた目的の外で使われる |
| 配信停止の扱い | 営業の担当者や委託先が受けた停止の申し出が名簿に反映されず、配信が続く |
| 委託終了時の返還と消去 | 契約が終わった後も、委託先の手元に名簿とアカウントが残る |
どれも会社の側の問題として返ってきます。特定電子メール法（広告や宣伝のメールの送信を定めた法律）は、送信の方法の改善を求める措置命令の対象に送信者を挙げ、送信を委託した側が同意の受け取りなど業務の一部を行い、その責めに帰すべき事由があるときは委託した側も含めると定めています。*1
個人情報保護法も、個人データの取扱いを委託する場合は、委託を受けた者に対する「必要かつ適切な監督を行わなければならない」*2と定めています。作業を委託先に預けても、名簿の扱いを決める立場は会社に残ると考えて、規程を照らします。
規程はあっても営業の道具が対象に入っていない
多くの会社には、情報セキュリティの規程や個人情報の取扱いの規程があります。ところが営業部門が契約したMAは、クラウドのサービスの一覧にも委託先の一覧にも載っていないことがあります。規程の文面が足りないのではなく、規程の対象からMAが漏れている状態です。
IPA（情報処理推進機構）の規程のサンプルは、取引先やクラウドのサービスの提供者など社外の組織が提供し、自社の情報資産が利用している情報システムについて「一覧を作成し、適切に管理する」*3としています。MAはまさにこの一覧に載せるべきシステムで、載っていなければ、アカウントの管理や委託先の評価の規定がMAに届きません。
自社の状態は、次の問いで測れます。
- MAが、社外のサービスや情報システムの一覧に載っているか
- MAで使う名簿ごとに、使ってよい人と配信の目的が書かれているか
- MAの運用会社が、委託先の一覧に載っているか
- 委託先の担当者のアカウントを、誰が発行し、いつ消すかが決まっているか
答えに詰まる問いがあれば、その項目は規程の外にあります。外注で何を任せ、何を社内に残すかの全体は、MA（マーケティングオートメーション）の外注で何が変わるかで取り上げています。本記事は、規程に照らす項目に絞ります。
後半では、6つの項目を規程と契約のどちらに書くか、名刺の名簿と配信停止で条文が定めること、規程の見本、規程に足す手順、営業部門との分担を順に確かめられます。
外注の稟議を照らす6つの規程の項目
MAの外注の稟議は、次の6つの項目で照らします。規程に書かれている項目は「MAにも当てはめる」と確かめるだけで足り、書かれていない項目が稟議に付ける条件の候補になります。
| 項目 | 規程で決めておくこと |
|---|---|
| 名簿の利用範囲 | どの名簿（展示会・問い合わせ・名刺など）を、誰が、どの配信に使ってよいか |
| 配信の承認 | 配信の前に文面と宛先を承認する人と、委託先だけで送ってよい配信があるか |
| 委託先のアカウントと権限 | 委託先の担当者ごとのアカウント、名簿の書き出しや設定の変更の権限、多要素の認証 |
| 取得した情報の利用目的 | 名刺や問い合わせで得た情報を配信に使うことが、伝えている利用目的に入っているか |
| 配信停止の扱い | 停止の申し出をどこで受け、いつまでに名簿に反映するか |
| 委託終了時の返還と消去 | 名簿と配信の記録を返すか消すか、アカウントの削除、終えたことの報告 |
6つのうち、外注で新しく生まれるのは委託先のアカウントと委託終了時の扱いです。残りの4つは社内で配信していても要る項目ですが、委託先が加わると、決めていない所を誰が判断したのかが見えにくくなります。
運用会社との契約の稟議が回ってきた場面
営業部門から、MAの運用会社と契約する稟議が回ってきたとします。規程を見る立場の担当者が、6つの項目で稟議を照らす判断の流れの一例です。
| 順番 | 見ること | 判断 |
|---|---|---|
| 1 | 稟議に、委託先が触る名簿と作業が書かれているか | 名簿の名前と作業の範囲が無ければ、書き足してもらう |
| 2 | 6つの項目が今の規程のどこに書かれているか | 書かれている項目は、MAにも当てはまると稟議に記す |
| 3 | 規程に無い項目はどれか | 多くは委託先のアカウントと委託終了時の扱いが残る |
| 4 | 規程に無い項目を誰が決めるか | 配信の承認者と名簿の持ち主を、営業部門の役職で書いてもらう |
| 5 | 稟議に条件を付けて戻す | 「委託先の担当者ごとにアカウントを発行し、契約終了の日に削除する」のように、決めることを1文ずつ書く |
この流れで止めるのは、稟議そのものではありません。規程に無い項目を条件として付けて戻すと、営業部門は契約の前にその項目を委託先と詰められます。
契約と規程で確かめること
6つの項目のうち、社内の使い方は社内規程に、委託先に守ってもらうことは委託契約に書き、両方に同じ言葉で載せます。規程にだけ書いても委託先は従う根拠を持たず、契約にだけ書くと社内の担当者が変わったときに引き継がれません。
| 項目 | 社内規程に書くこと | 委託契約に書くこと |
|---|---|---|
| 名簿の利用範囲 | 名簿ごとの持ち主と、使ってよい配信の種類 | 委託先が使ってよい名簿と、それ以外に使わないこと |
| 配信の承認 | 承認する人と、承認の記録の残し方 | 承認の無い配信をしないこと |
| 委託先のアカウントと権限 | 社外の人にアカウントを発行するときの承認と、削除の期限 | 担当者ごとのアカウント、共有の禁止、権限の範囲 |
| 取得した情報の利用目的 | 名簿の出どころごとの利用目的 | 利用目的の範囲の外で使わないこと |
| 配信停止の扱い | 申し出の受け口と、名簿に反映するまでの期限 | 委託先が受けた申し出を知らせる手順と期限 |
| 委託終了時の返還と消去 | 終了の日に行う作業の一覧 | 返還か消去か、その方法、終えたことの報告 |
IPAの規程のサンプルは、委託契約書に明記する事項に、再委託についての事項や、委託業務の終了時に提供した情報資産と個人情報の「返却又は廃棄、消去についての事項」*3を挙げています。MAの外注では、ここに名簿と配信の記録が入ります。
個人情報保護委員会のガイドラインは、委託先の監督として、適切な委託先の選定、委託契約の締結、委託先における個人データの取扱状況の把握の3つを挙げています。再委託については、委託先から相手方や業務内容などの事前報告を受けるか、承認を行うことが望ましいとしています。*4
- 選ぶ前：委託先の情報の扱いを、6つの項目に沿って聞いておく
- 契約するとき：規程と同じ言葉で、6つの項目を契約に書く
- 契約の後：配信の承認の記録とアカウントの一覧を、決めた頻度で見る
- 再委託：配信の作業や効果の分析を別の会社に回すときは、事前の報告か承認を条件にする
名簿をCRM（顧客の情報を管理する仕組み）とつないで営業に渡す運用なら、つなぐ先の名簿も利用範囲に含めて書きます。つなぎ方の考え方はMA（マーケティングオートメーション）とCRMの連携の考え方にまとめています。
名刺の名簿と配信停止で条文が定めること
名刺で集めた名簿と配信停止の扱いは、条文の言葉を規程に写しておくと、委託先とのすり合わせが早くなります。ここでは条文に書かれていることだけを並べ、自社の名簿が当てはまるかの判断は個別に行う前提で読みます。
| 項目 | 条文に書かれていること |
|---|---|
| 送ってよい相手 | 特定電子メール法第3条第1項は、送信を求めるか同意を通知した者のほか、「自己の電子メールアドレスを送信者又は送信委託者に対し通知した者」などを挙げている*1 |
| アドレスの通知の方法 | 同法の施行規則第2条は、その通知の方法を「書面により通知する方法」としている*5 |
| 配信停止 | 同法第3条第3項は、送信をしないよう求める通知を受けたとき（送信委託者が受けたときを含む）は、その意思に反して送信してはならないとしている |
| 停止の申し出の方法 | 施行規則第5条は、停止を求めるアドレスを明らかにして、電子メールの送信その他の任意の方法で行うとしている |
| 利用目的 | 個人情報保護法第17条は利用目的をできる限り特定することを、第21条は取得したときに利用目的を通知または公表することを求めている*2 |
名刺について、個人情報保護委員会のガイドラインは、名刺の情報を業務用のパソコンの表計算ソフトなどで入力・整理している場合を、個人情報データベース等に当たる事例に挙げています。*4 MAに取り込んだ名刺の名簿も、ほかの顧客の名簿と同じ規程の対象として扱うのが自然です。
同じガイドラインは、名刺の交換で取得した情報を今後の連絡や「所属する会社の広告宣伝のための冊子や電子メールを送付する」*4目的で使うような場合を、取得の状況から利用目的が明らかな例に挙げています。自社の配信がこの範囲に入るかは、名簿の出どころごとに規程で書き分けておくと迷いません。
配信停止の受け口は、メールの停止の窓口だけではありません。施行規則が任意の方法を認めているため*5、営業の担当者への電話や、委託先への返信で届くこともあります。規程には、どこで受けた申し出も同じ名簿に集める流れと、反映までの期限を書きます。
- 名刺の名簿：取り込む前に、出どころと利用目的を名簿に記す
- 停止の申し出：営業・委託先・問い合わせ窓口のどこで受けても、1つの停止の一覧に集める
- 反映の期限：申し出から名簿に反映するまでの日数を、規程と契約の両方に書く
規程の雛形はどこにあるか
IPAの「中小企業の情報セキュリティ対策ガイドライン」の付録5に、関連規程のサンプルがあります。同ガイドラインは2026年3月27日に第4.0版が公開され*6、サンプルはWordの形で配布されているため、自社の役職名に書き換えて使えます。
MAの外注で特に使えるのは、アカウントの管理と委託管理の章です。6つの項目に当てはまる規定を抜き出すと、次のようになります。*3
| 項目 | サンプルの章 | 書かれていること |
|---|---|---|
| 名簿の利用範囲 | 6.1 アクセス制御方針 | 業務・職務に応じた必要最低限のアクセス権を付与し、発行・変更・削除は申請・許可制とする |
| 委託先のアカウントと権限 | 6.2.1 認証に関する基本方針 | アカウントは利用者1名につき1つを発行し、共有するアカウントの発行を禁止する |
| 委託先のアカウントと権限 | 6.6 従業員以外の者に対する利用者アカウントの発行 | 従業員以外の者にアカウントを発行する場合は、承認を得たうえで秘密保持契約を締結する |
| 委託終了時の返還と消去 | 6.4 利用者アカウントの管理 | 不要と判断したアカウントは、不要になった日の翌日までに削除又は無効化する |
| 委託終了時の返還と消去 | 8.3 委託契約の締結 | 委託業務の終了時の情報資産と個人情報の返却又は廃棄、消去を契約書に明記する |
| 配信の承認・再委託 | 8.5 再委託 | 再委託する場合は、事前に書面による報告を委託先に求める |
サンプルには、配信の承認や配信停止のような、メール配信に特有の規定はありません。この2つは、上の条文の表を手がかりに、自社で書き足す項目になります。
規程に足す手順
MAを社内のクラウドの利用規程の対象に加え、運用会社を委託先の一覧に載せ、配信の承認と配信停止の扱いを書き足します。新しい規程を一から作るより、今ある規程の対象を広げる方が、ほかの規定との食い違いが起きにくくなります。
| 順番 | やること | 書く場所の例 |
|---|---|---|
| 1 | MAを、社外のサービスや情報システムの一覧に加える | クラウドの利用規程、外部の情報システムの一覧 |
| 2 | 運用会社を委託先の一覧に加え、評価の頻度を決める | 委託管理の規程、取引先の一覧 |
| 3 | 名簿ごとに持ち主・出どころ・利用目的を書く | 個人情報の取扱いの規程、名簿の台帳 |
| 4 | 委託先の担当者のアカウントの発行と削除の手続きを書く | アクセス制御とアカウント管理の規定 |
| 5 | 配信の承認と配信停止の扱いを書き足す | MAの運用の手順書（規程から参照する） |
| 6 | 委託終了の日に行う作業の一覧を作る | 委託管理の規程、契約の付属の書面 |
手順の5は、規程の本文に細かく書くより、運用の手順書に書いて規程から参照する形が扱いやすくなります。配信の頻度や承認の担当は運用の中で変わりやすく、規程を改めるたびに承認の手続きが要るのを避けられるためです。
委託先の評価は、IPAのサンプルでは委託を始めた後に「年1回以上の頻度で評価する」*3形になっています。MAの外注では、アカウントの一覧と配信の承認の記録を評価の材料にすると、規程が守られているかを具体的に見られます。
営業部門と規程を見る側の分担
名簿の持ち主と配信の承認は営業部門、規程との照合は規程を見る側、アカウントの棚卸しは両者で受け持ちます。営業部門は配信の目的と相手を知っており、規程を見る側はほかの部門のシステムとの整合を見ているためです。
| 項目 | 営業部門 | 規程を見る側 |
|---|---|---|
| 名簿の利用範囲 | 名簿の持ち主として、使ってよい配信を決める | 名簿の台帳に、持ち主と利用目的が書かれているかを見る |
| 配信の承認 | 文面と宛先を承認し、記録を残す | 承認の記録が残る仕組みになっているかを見る |
| 委託先のアカウントと権限 | 委託先の担当者の入れ替わりを知らせる | アカウントの一覧を、決めた頻度で棚卸しする |
| 取得した情報の利用目的 | 名刺や問い合わせの名簿を取り込むときに、出どころを記す | 利用目的の公表の文面と名簿の使い方が合っているかを見る |
| 配信停止の扱い | 営業の担当者が受けた申し出を、停止の一覧に送る | 反映の期限が守られているかを見る |
| 委託終了時の返還と消去 | 終了の日を決め、委託先に作業を依頼する | 消去の報告とアカウントの削除を受け取る |
分担を決めるときは、表の左の列を営業部門の役職名で埋めてもらうと、稟議の条件がそのまま運用の担当に変わります。「営業部」のような部門名ではなく、承認する役職まで書いておくと、人が替わっても引き継げます。
まとめ：規程に無い項目を稟議の条件にする
MAの外注で社内規程に照らすのは、名簿の利用範囲、配信の承認、委託先のアカウントと権限、取得した情報の利用目的、配信停止の扱い、委託終了時の返還と消去の6項目です。多くは今ある規程の対象にMAを加えれば足り、配信の承認と配信停止は運用の手順書で書き足します。今日からは、6項目のうち規程に書かれていないものを、決めることを1文ずつにした条件として稟議に書き添えて戻してください。
よくある質問
MAの外注に特別な規程が要りますか
多くは既存のクラウドと委託先の規程に、MAを対象として加えれば足ります。MAを社外のサービスの一覧に、運用会社を委託先の一覧に載せると、アカウントの管理や委託先の評価の規定がそのまま届きます。配信の承認と配信停止の扱いは、運用の手順書に書き足します。
名刺で集めた名簿をMAの配信に使ってよいですか
名簿の出どころと利用目的を確かめ、配信に使う条件を規程に書いてから使います。特定電子メール法と施行規則は、アドレスを書面で通知した者などを送ってよい相手に挙げています。自社の名簿が当てはまるかは個別に判断し、取り込む前に出どころを名簿に記しておきます。
再委託はどう確かめますか
利用規約と契約で、再委託先の有無と監督の方法を確かめます。IPAの規程のサンプルは、再委託する場合に事前の書面による報告を委託先に求める形にしています。配信の作業や効果の分析を別の会社に回すことがあるかも聞いておきます。
委託先が配信停止の申し出を受けたらどうしますか
委託先から社内へ知らせる手順と期限を、契約に書いておきます。特定電子メール法は、送信委託者が停止の通知を受けたときも含めて、その意思に反した送信を禁じています。どこで受けた申し出も1つの停止の一覧に集める流れにします。
委託が終わるとき、名簿はどうしますか
返すか消すかと、その方法、終えたことの報告の形を、契約の前に決めておきます。委託先の担当者のアカウントも、終了の日に合わせて削除します。個人情報保護法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを定めています。
情報の扱いと運用の体制の相談
今のクラウドの利用規程と委託先の一覧、配信の同意を得ている画面と記録の場所をお手元にご用意いただければ、規程の見直しとMAの運用の体制をご相談いただけます。
Remoguとリラシクなら、リモートワークで働く社員の候補者も、業務委託で開発に加わる専門人材も探せます。
Remoguは、リモート前提で全国から即戦力のITプロ人材を調達するサービスです。リラシクは、扱う求人がすべてリモートワークのITエンジニア専門転職エージェントです。どちらもLASSICが運営しています。
出典
- *1 参考：特定電子メールの送信の適正化等に関する法律（e-Gov法令検索）（https://laws.e-gov.go.jp/law/414AC0100000026）。出典：第3条（特定電子メールの送信の制限）、第7条（措置命令）を参照。e-Gov法令APIで条文を取得（確認日2026年11月6日）（2026年11月確認）
- *2 参考：個人情報の保護に関する法律（e-Gov法令検索）（https://laws.e-gov.go.jp/law/415AC0000000057）。出典：第17条（利用目的の特定）、第21条（取得に際しての利用目的の通知等）、第22条（データ内容の正確性の確保等）、第25条（委託先の監督）を参照。e-Gov法令APIで条文を取得（確認日2026年11月6日）（2026年11月確認）
- *3 参考：IPA「中小企業の情報セキュリティ対策ガイドライン 第4.0版 付録5 情報セキュリティ関連規程（サンプル）」（https://www.ipa.go.jp/security/guide/sme/ug65p90000019cbk-att/sme_guideline_v4.0_app_5.docx）。出典：5.7 外部情報システムの管理、6.1 アクセス制御方針、6.2.1 認証に関する基本方針、6.4 利用者アカウントの管理、6.6 従業員以外の者に対する利用者アカウントの発行、8.3 委託契約の締結、8.4 委託先の評価、8.5 再委託を参照（確認日2026年11月6日）（2026年11月確認）
- *4 参考：個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/）。出典：2-4 個人情報データベース等の事例3、3-3-5 利用目的の通知等をしなくてよい場合の事例2、3-4-4 委託先の監督を参照（確認日2026年11月6日）（2026年11月確認）
- *5 参考：特定電子メールの送信の適正化等に関する法律施行規則（e-Gov法令検索）（https://laws.e-gov.go.jp/law/414M60000008066）。出典：第2条（自己の電子メールアドレスの通知の方法）、第5条（送信をしないように求める旨の通知の方法）を参照。e-Gov法令APIで条文を取得（確認日2026年11月6日）（2026年11月確認）
- *6 参考：IPA「中小企業の情報セキュリティ対策ガイドライン」（https://www.ipa.go.jp/security/guide/sme/about.html）。出典：第4.0版の公開日と付録5の配布形式を参照（確認日2026年11月6日）（2026年11月確認）
