EU域内からメールを送信している場合、リスト上のメールアドレスは個人データです。そのアドレスをクリーニングするツールは、自社に代わってそのデータを処理することになります。したがってメールアドレス検証は、到達率の問題であると同時にデータ保護の問題でもあります。なかでも最も大きな変数が、リストが実際に世界のどこで処理されるかです。このガイドでは、GDPRがメールアドレス検証を一般的にどう扱うか、データ所在地（データレジデンシー）がなぜ重要か、そしてファイルをアップロードする前にどのベンダーにも確認しておきたい質問を説明します。
結論から#
メールアドレスは個人を特定し得るため、GDPRでは一般に個人データとして扱われます。リストを検証サービスに送ると、そのサービスが自社に代わって個人データを処理します。管理者（コントローラー）が処理者（プロセッサー）とデータ処理契約（DPA）を結ぶのは、一般にこのためです。処理者がEEA域外でデータを扱う場合、その移動は国際的な移転に当たります。EEA域外への個人データの移転には、標準契約条項（SCC）など、有効な移転の仕組みが一般に必要です。処理をEUまたはEEA域内にとどめれば、移転の問題自体を避けられます。EUの送信者が、現地で処理するプロバイダーを探す大きな理由はここにあります。Qualisendは、アイルランドにあるEUのインフラで検証データを処理するため、EUからアップロードしたリストはEEA域内にとどまります。
GDPRでメールアドレスは個人データか#
通常は、そうです。GDPRは個人データを、識別された、または識別可能な自然人に関する情報として広く定義しています。firstname.lastname@company.comのようなアドレスは、個人をかなり直接的に指します。一見そうでないアドレスでも、保有する他のデータと組み合わせれば、個人を特定できる場合があります。例外的なケースもあり、特定の個人とのつながりがない汎用の役割アドレスは、個人データに当たる根拠が弱くなります。それでも、マーケティングや営業のリストについては、リスト上のアドレスは個人データであると想定して扱うのが安全です。
これが重要なのは、個人データに当たるとなれば、枠組みの残りの部分も適用されるからです。処理には適法性の根拠が必要になり、本人にはそのデータに対する権利があり、自社に代わってデータに触れる者はすべて、連鎖の中の処理者になります。検証によってデータの性質が変わることはありません。データを扱う当事者が1つ増えるだけです。検証が各アドレスに対して実際に何を行うのかという仕組みについては、メールアドレス検証の仕組みのガイドでパイプラインを説明しています。この記事で扱うのは、その上にあるデータ保護の層です。
米国の処理者にリストをアップロードするとどうなるか#
よくある場面を考えてみましょう。EUの送信者がリストをエクスポートし、サーバーが米国にある検証ツールにアップロードします。データ保護の観点では、いくつかのことが同時に起こります。
まず、自社は管理者として行動しています。アドレスをなぜ、どのように処理するかを決めるのは自社です。検証ベンダーは処理者であり、利用者である管理者の指示に基づいてデータを扱います。管理者が処理者ごとにDPAを結ぶのは、一般にこの関係があるためです。DPAは、処理者がデータに対して何をしてよく、何をしてはいけないかを定める契約です。
次に、見落とされやすい点ですが、アドレスが物理的にEEAの外へ出ます。リストはEUから米国のサーバーへ送られ、これは個人データの国際的なデータ移転に当たります。EEA域外の国への移転には、一般に適法な移転の仕組みが必要です。便利だからという理由だけでデータを移動することはできません。つまり、便利なアップロード1つで、最初の問題（処理）に加えて、2つ目のコンプライアンス上の問題（移転）が静かに生じます。
これは、米国の事業者による検証が本質的に不適切だという意味ではありません。適切な保護措置のもと、適法な移転が毎日数多く行われています。要点は、米国の処理者によって1つの問いが2つになり、その両方がベンダーだけでなく、管理者である自社の記録とリスク評価の一部になることです。
SCCとEU域内での処理の違い#
個人データをEEA域外へ適法に移す方法は、いくつか確立されています。最も一般的なのは標準契約条項で、データを保護することを双方が約束するために署名する、あらかじめ承認された契約条項です。移転先や状況に応じて、組織はSCCに加えて、個別の移転についての評価や追加の技術的措置を組み合わせることがよくあります。移転先の国や枠組みについて十分性認定がある場合は、それも移転の根拠になり得ます。どれも実際に使える方法で、多くの企業が利用しています。
ただし、継続的な作業が伴います。仕組みを理解し、文書化し、法的環境の変化に応じて見直し、問われたときに根拠を説明できるようにしておく必要があります。これがトレードオフです。SCCは移転を可能にしますが、移転の問題がなくなるわけではありません。
処理をEUまたはEEA域内にとどめれば、問題はなくなります。リストがEEA内のインフラで検証され、データが外に出なければ、仕組みを探すべき国際移転がありません。その区間のために維持するSCCも、最新に保つ移転評価もありません。問いに答えるのではなく、問い自体をなくせるのです。これがデータ所在地の考え方です。EUの送信者にとっては、EUで運用する処理者を選べば、手続き全体を自分の領域に収められます。
| 検討事項 | 米国での処理 | EU/EEAでの処理 |
|---|---|---|
| データがEEAの外に出るか | はい | いいえ |
| 対応が必要な国際移転があるか | はい | この区間にはなし |
| 移転の仕組み（SCCなど）が必要か | 通常は必要 | 域内にとどめる場合は不要 |
| 処理者とのDPAが必要か | はい | はい |
| 移転の継続的な見直しが必要か | 継続的に必要 | 域内での処理には該当しない |
Qualisendは右の列に当たります。検証データは、アイルランドにあるEUのインフラで処理されます。EU域内からアップロードされたリストはEEA内で扱われるため、移転の列は関係してきません。これは、プログラム全体が法令を満たしているという約束ではありません。それは常に利用者自身の体制次第です。ただし、EUの送信者にとって扱いにくい要素の1つを取り除けます。
DPAのチェックリスト：検証ベンダーに確認したい質問#
義務の一覧というより、デューデリジェンスとして考えてください。リストが相手のサーバーに載る前に、どの検証プロバイダーにも確認しておきたい質問です。回答から、ベンダーがコンプライアンスの全体像をどこまで考えているか、そのうちどこまでが利用者側の負担として残るかが分かります。
- データはどこで処理されますか。 会社の本社所在地ではなく、検証を担うサーバーの実際のリージョンを尋ねてください。データ所在地は、そもそも移転が関係するかどうかを決める問いです。最初に確認してください。
- データ処理契約はありますか。 自社に代わって個人データを扱う処理者は、通常、データに対して行うことの範囲、目的、限度を定めたDPAを提示します。入手方法と対象範囲を確認してください。
- サブプロセッサーはどの事業者ですか。 検証ベンダーは、ホスティング、インフラ、分析など、他のプロバイダーに依存していることがよくあります。そのリスト、それらの事業者が事業を行う場所、変更時の通知方法を確認してください。別のリージョンにあるサブプロセッサーによって、避けたつもりだった移転が再び生じる場合があるためです。
- 保持と削除のポリシーはどうなっていますか。 アップロードしたリストとその結果がどのくらいの期間保管されるか、ジョブを自分で削除できるか、アカウントを閉鎖したときにデータがどうなるかを確認してください。保持が短く、管理できるほど、把握すべき残存データは少なくなります。
- 自社のデータは何かの学習や構築に使われますか。 アップロードしたアドレスが、モデルの改善や共有データベースの構築、あるいは結果を返す以外の目的に使われるかどうかを、はっきり尋ねてください。「いいえ」という明確な回答は、書面で受け取る価値があります。
あるプロバイダーがこれらにどう答えているかの参考として、Qualisendのプライバシーポリシーには、EU拠点であること、アップロードされたリストを処理して、いつでも削除できる結果を返すこと、送信されたリストを販売も共有もしないことが記載されています。DPAの依頼はお問い合わせページから行えます。どのベンダーを評価する場合でも、これらの回答を記録として保管しておけば、後で自社の判断の根拠を示せます。
ここで、リストの衛生管理とデータ保護を分けて考えておくことも大切です。リストの検証は、管轄にかかわらず、到達率と送信者レピュテーションのための良い習慣です。一方、上の質問が扱うのは、その作業の間にベンダーが個人データをどう扱うかです。これは、結果がどれだけ正確かとは別の懸念事項です。
リストの衛生管理という大きな習慣の中での検証#
データ所在地は、判断材料の1つです。リストの衛生管理という通常の取り組みの代わりにはなりません。送信前のアドレス検証は、使われていないメールボックスや入力ミスを見つけるという従来の役割をそのまま果たします。そして、メールリストのクリーニングというより広い日常業務と自然に組み合わさります。許可を得て収集し、配信停止や削除の請求に対応し、必要以上に長くアドレスを保持しないことです。EUの処理者を選べば「データはどこへ行くのか」という問いに対応できます。衛生管理のそれ以外の部分は、「そもそもこの人にまだメールを送るべきか」という問いに対応します。両方が同じ習慣に含まれ、どちらも他方の代わりにはなりません。
リストを預けずに、まず仕組みだけを試したい場合は、無料メールチェッカーがブラウザー内でローカルのチェックを実行します。また、無料プランには完全なチェック用の100クレジットが含まれています。EUでの処理のもとで実際のサンプルを検証し、結果を確認してから判断するには十分な量です。
よくある質問
01GDPRでは、メールアドレスは本当に個人データですか？
一般には、そうです。GDPRは、識別可能な個人に関する情報を個人データとして扱います。メールアドレスは、それだけで、あるいは保有する他の情報と組み合わせることで、個人を直接特定できる場合が多くあります。特定の個人とのつながりがない汎用の役割アドレスは個人データに当たる根拠が弱くなりますが、一般的なマーケティングや営業のリストでは、アドレスは個人データであると想定し、それに応じて扱うのが実務上の前提です。
02米国のメールアドレス検証サービスを使うと、GDPR違反になりますか？
それだけでは違反になりません。リストを米国の処理者に送ることは個人データの国際移転に当たり、そうした移転には、標準契約条項などの有効な仕組みが一般に必要です。多くの組織が、こうした仕組みを問題なく利用しています。実務上の違いは、米国の処理者を使うと、文書化して維持すべき移転の問題が加わることです。EUの処理者であれば、データが域内にとどまり、その区間についてはこの問題がなくなります。
03メールアドレス検証におけるEUデータ所在地とは何ですか？
データ所在地とは、データが処理され保存される物理的な場所を指します。メールアドレス検証におけるEUデータ所在地とは、アップロードしたリストが国外に送られず、EUまたはEEA域内のインフラで扱われることを意味します。データがEEAの外に出ないため、適法な仕組みを探すべき国際移転は生じません。Qualisendは、アイルランドにあるEUのインフラで検証データを処理するため、EUからアップロードされたリストはEEA域内にとどまります。
04検証ベンダーとのデータ処理契約には何を含めるべきですか？
大まかには、DPAは処理者が預かったデータに対して何をしてよいかと、その限度を記述します。処理の目的と範囲、処理が行われる場所、サブプロセッサーは誰か、データをどのくらい保持してどう削除するか、どのような安全管理措置があるかです。上のチェックリスト（データ所在地、サブプロセッサー、保持、データが何かの学習に使われるか）に照らして読めば、ベンダーが全体像をどこまでカバーしているかを把握できます。個々の契約が自社の状況にとってどういう意味を持つかは、自社のDPOまたは弁護士に確認してください。
EUの送信者にとって、検証をシンプルに保つ最もすっきりした方法は、データをEUにとどめることです。Qualisendは、アイルランドにあるEUのインフラで処理します。100クレジット無料で始めて、リストがEEAの外に出ることなく、実際のサンプルを検証できます。
