GDPRメールマーケティング：同意、適法性の根拠、購読者の権利

EU圏または英国の受信者にマーケティングメールを送る場合、GDPRのメールマーケティング規則は、ほぼすべての工程に関わります。メールアドレスは個人データであり、収集し、保存し、送信ボタンを押した時点で、そのデータを処理していることになるためです。ただし、GDPRは全体像の半分にすぎません。電子マーケティングを直接規制する、より個別的な法令が別にあります。EU全域ではePrivacy指令、英国ではPrivacy and Electronic Communications Regulations（PECR）です。このガイドでは、この2つがどう組み合わさるのかを説明します。送信に必要な適法性の根拠、有効な同意の条件、既存顧客向けの限定的な「ソフトオプトイン」、そして購読者がアドレスを保有されている間ずっと持ち続ける権利を取り上げます。

GDPRメールマーケティングを支える2つの法令#

2つの枠組みは扱う問いが異なり、どちらも満たす必要があります。まずは別々のものとして整理しておくと役立ちます。

GDPRは、一般的なデータ保護の枠組みです。個人データの処理（アドレスの収集、保存、セグメント化、送信など）には適法性の根拠が必要であると定め、そのアドレスの持ち主に一連の権利を与えています。メールアドレスは個人を特定できるため、一般に個人データに当たります。この前提となる問いやデータの所在地については、関連ガイドのGDPRとメールアドレス検証で詳しく扱っています。そのため本記事ではこれを前提とし、マーケティングそのものに焦点を当てます。

ePrivacyは、電子通信に特化した枠組みです。EUではePrivacy指令が各加盟国の国内法に置き換えられており、英国ではPECRがこれに当たります。これらの規則は、メールやSMSなどのチャネルによる一方的なダイレクトマーケティングを正面から扱っています。「マーケティングメールを送るには、原則として同意が必要」という広く知られた考え方の根拠は、実際にはここにあります。GDPRは背景となる土台を定め、ePrivacyはチャネルごとの個別ルールを定めています。

実務では、両方を同時に満たします。ePrivacyは、このチャネルでこの相手にマーケティングメッセージを送ってよいかどうかを定めます。GDPRは、データの取り扱い全体が適法かどうか、そして相手の権利にどう応えるべきかを定めます。どちらか一方でも無視したキャンペーンには、抜けが生じます。

すべての送信に適法性の根拠が必要#

GDPRでは、個人データの処理に6つの適法性の根拠のいずれかが必要です。メールマーケティングで現実的に使えるのは、同意と正当な利益の2つです。ほかの根拠（契約、法的義務、生命に関わる利益、公共の任務）が販促メールに当てはまることはまれです。

同意は最も分かりやすく、個人向けマーケティングではePrivacyの規則上、選ぶことになりやすい根拠でもあります。正当な利益も、特に限定的な企業間取引の場面では、一部のマーケティングの根拠になり得ます。ただし無条件に使えるわけではありません。受信者の利益や合理的な期待が、マーケティングという自社の利益に優先しないことを示せる必要があり、その比較衡量を文書に残さなければなりません。正当な利益でGDPR側の根拠がまかなえても、ePrivacyのチャネル規則は別途そのまま適用されます。そのため、メールでは同意（または後述のソフトオプトイン）が実質的な役割の大半を担います。

GDPRで有効な同意の条件#

同意を根拠にする場合、GDPRは有効な同意の条件を具体的に定めています。同意は自由に与えられ、特定され、十分な情報に基づき、曖昧さがないものでなければならず、明確な肯定的行為によって示される必要があります。内容を分けて見ていきます。

• 自由に与えられるとは、本人に本当の選択肢があり、断っても不利益を受けないことです。購入時に必ず承諾しなければならない規約にマーケティングへの同意を含めたり、無関係なサービスの利用条件にしたりすると、有効性が損なわれます。
• 特定され、十分な情報に基づくとは、誰がデータを収集し、何を受け取ることに同意するのかを本人が把握していることです。自社からの連絡への同意は、名前の示されていない「パートナー」のリストに渡すことへの同意ではありません。
• 曖昧さがなく、肯定的行為によるとは、本人が自分で行うオプトインのことです。規制当局や裁判所は、事前にチェックされたボックス、沈黙、無反応は同意に当たらないと明確にしています。空のボックスにチェックを入れる、確認手順を完了するなど、本人が意図して行う操作が必要です。

日々の運用では、さらに2つの要件が重要です。同意は、与えるときと同じくらい簡単に撤回できる必要があります。すべてのメッセージに機能する配信停止があるべき理由の1つです。また、同意を得ていることを証明できる必要があります。GDPRは、誰が、いつ、何に同意したかを示す記録の保管を求めています。購読者がフォローアップのメールで確認するダブルオプトインは、リストの品質を高めると同時に、この証拠を残す一般的な方法です。トレードオフについては、シングルオプトインとダブルオプトインのガイドで取り上げています。また、同意は永久に有効なわけではありません。何年も前の許可でエンゲージメントがないものは、新しい許可より根拠として弱くなります。多くの送信者が、定期的に同意の更新や再取得を行っているのはこのためです。

ソフトオプトイン：既存顧客向けの限定的な例外#

ePrivacyとPECRには、ソフトオプトインと呼ばれる限定的な例外が1つあります。事業者が、新たに個別の同意を得なくても、既存顧客にマーケティングメールを送れる仕組みです。ただし、特定の条件がすべて満たされる場合に限られ、多くの送信者が思っているより狭い範囲です。大まかには、次のすべてに当てはまる場合に適用されます。

• 連絡先を、その人への商品またはサービスの販売の過程（または販売交渉の過程）で取得した。
• マーケティングの対象が、自社の類似の商品またはサービスである。無関係な商品群や、他社のオファーは対象外。
• 連絡先を収集した時点で簡単で無料のオプトアウト手段を提示し、かつ送信するすべてのメッセージに簡単なオプトアウトを含めている。

つまずきやすいのは、その境界です。「類似の商品」は慎重に解釈されます。「販売の過程」は、一般に、単なる問い合わせではなく、実際の取引または進行中の交渉を指します。ePrivacyは各国で国内法として実施されているため、正確な適用範囲も管轄によって異なることがあります。ソフトオプトインは、実際に使えるものの、厳しく範囲が限られたルートとして扱ってください。メールを送る相手が居住する国で、どのように定められているかも確認する必要があります。国別のメールマーケティング法の概説は出発点となる地図であり、現地の助言の代わりにはなりません。

正当な利益とB2Bメール#

企業間のメールは、状況がより複雑で、踏み越えやすい分野です。ePrivacyの規則は、管轄によっては、個人向けのマーケティングと法人の購読者向けのマーケティングを区別しており、法人の受信者に対する規則が緩やかな場合があります。そのため「B2BメールはGDPRの対象外」という考えが広まっています。しかし、そうではありません。企業の特定の担当者にメールを送る場合でも、firstname@company.comはその個人の個人データです。したがって、適法性の根拠、透明性、後述の権利を含むGDPRは、その取り扱いに引き続き適用されます。

正当な利益は、比較衡量テストを実施して文書化し、受信者が連絡を合理的に予想できる場合に限り、一部のB2Bアプローチで実用的なGDPR上の根拠になり得ます。ただし、ePrivacyが無効になるわけではありません。法人と個人の区別は管轄ごとに異なり、判断を誤りやすい点です。対象市場ごとに弁護士へ確認すべき問いと言えます。

購読者が持ち続ける権利#

リスト上のアドレスは個人データであるため、その持ち主は、データが処理されている間ずっとGDPRの権利を持ちます。そのうち2つは、メールマーケティングに直接関わります。

ダイレクトマーケティングに異議を述べる権利は、事実上絶対的です。本人がマーケティングを受けることに異議を述べた場合、その目的でのデータ処理を止めなければなりません。比較衡量テストはなく、例外もありません。実際には、配信停止はこの権利の行使そのものです。そのため、法令を満たし、手間の少ないオプトアウトの仕組みが非常に重要になります。メールプロバイダーが現在その動作に何を期待しているかは、ワンクリック配信停止のガイドで取り上げています。

消去の権利（「忘れられる権利」）は、一定の状況で個人データの削除を求める権利です。マーケティングリストは、この請求が届きやすい場所の1つです。これに加えて、アクセス（保有するデータの写しを得る権利）、訂正（内容を直す権利）、制限の権利があります。運用上の要点は、購読者リストは自社が所有する固定的な資産ではなく、責任を負う個人データであり、継続的な義務が伴うということです。また、二度とメールを送らないようにアドレスを抑制することと、完全に消去することは別です。オプトアウトを守るために最小限の抑制記録を残す送信者も多くいます。この点は、自社の顧問に確認しておくとよいでしょう。

記録とリストのクリーニングの位置づけ#

ここまでの内容は、どれもリストのクリーニングツールが保証するものではありません。この境界は正確に押さえておく必要があります。メールアドレス検証やリストのクリーニングは、適法性の根拠を作るものでも、同意を取得するものでも、送信を適法にするものでもありません。通常のクリーニングが行うのは、適法に送信しているリストを正確で健全な状態に保つことです。具体的には、存在しないメールボックスや入力ミスを取り除き、配信停止や削除請求に速やかに対応して、オプトアウトした相手へ送り続けないようにします。この取り組みは、メールリストのクリーニングというより広い日常業務と組み合わせて進めます。許可を得て収集し、GDPRが求める同意とオプトアウトの記録を保管し、必要以上に長くアドレスを保持しないことです。

この2つの流れを分けて考えると、整理しやすくなります。適法性の根拠と権利に関する問いは、自社と弁護士が取り組む法的な問いです。「このアドレスはまだ有効か、まだ送り続けてよいか」という問いはクリーニングの領域であり、ここで検証の手順が役立ちます。実際に送信する、許可に基づくリストをクリーンに保てます。

クリーンなリストと確実に守られる配信停止は、許可に基づくあらゆるプログラムの運用面を支えます。Qualisendは、適法に送信しているリスト上のアドレスを検証し、オプトアウトの抑制を維持できるようにします。まずは無料メールチェッカーでサンプルをテストするか、定期的なリストのクリーニングに向けた料金プランをご覧ください。