外部CRM・メール配信サービスへのデータ連携

外部APIへ個人情報を送ることは「第三者提供」になりうる。同意または委託の整理が必要

なにが問題になるか

「メール配信のためにSendGridへメールアドレスを渡す」「CRMツールに顧客情報を連携する」といった外部サービス連携は、個人情報保護法上の第三者提供に該当する可能性があります。第27条は、本人の同意なく個人情報を第三者に提供することを原則禁止しています。

対応は2パターンです。

1. 同意取得：プライバシーポリシー等に提供先・目的を明記し、ユーザーの同意を得る
2. 委託の形式：自社業務の委託（例：メール配信業務の委託）として扱う。第三者提供にはならないが、委託先への管理・監督義務が生じる

見落としやすいのは開発の便宜による漏れです。デバッグ情報をログサービスに送る、テストのために本番データを外部ツールに渡す、といったケースで意図せず個人情報が第三者に渡っていることがあります。「このAPIに何を渡しているか」を常に把握しておくことが第一歩です。

海外のSaaS・サーバーにデータを保存・転送する場合は、「外国にある第三者への提供」として移転先の国名などの公表が必要になる点にも注意してください。

確認すべきこと

• 外部サービス（分析ツール・CRM・メール配信）へのデータ連携方針を確認した
• 連携ごとに「同意取得」か「委託」かの整理をした
• 委託の場合、委託先の管理・監督（契約・安全管理の確認）を整備した
• 外部APIへ送信しているデータが個人情報を含む場合、プライバシーポリシーに反映されている
• ユーザーデータを海外サーバーに保存・転送する場合、移転先国名等の公表をした
• ログ・デバッグ・テスト経由で個人情報が外部に出ていないか確認した

こんな仕様が出たらアラート

• 外部の分析ツール・CRM・メール配信サービスへのユーザーデータ連携
• サードパーティSDKの導入（行動データが外部に送られる）
• ユーザーデータの海外サーバーへの保存・転送

あわせて確認

• タグ・SDKの埋め込み自体の義務 → アナリティクスタグ・SDKの埋め込み