2026年改正個人情報保護法でアウトバウンドセールスは何が変わる？営業リスト・AI活用・外注の実務対応
2026年7月17日、「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）が公布されました。アウトバウンドセールスでは、Webで見つけた担当者情報、購入した営業リスト、CRM、AIによる優先順位付け、営業代行への委託、メールや電話での接触が一つのデータフローとしてつながっています。改正内容を法務部門だけの論点として切り離すと、現場でどの情報を使えるのか判断できません。
結論として、改正法はアウトバウンドセールスやBDRを一律に禁止するものではありません。ただし、公開情報だから自由に使える、AIで処理すれば統計利用になる、営業代行へ渡せば自社の責任から外れる、という整理はできません。連絡先の取得元、具体的な利用目的、接触停止の状態、第三者提供または委託の区分をCRMと契約書に残し、問い合わせを受けたときに説明できる運用を整えることが重要です。
本記事のポイント
- 改正法はアウトバウンドセールスを一律に禁止するものではありません。実務では、連絡先の取得元・利用目的・共有先を説明できる状態にしておくことが重要です。
- 統計作成等の特例は、条件を満たす一定の第三者提供等について本人同意を不要にする制度であり、個人別の営業スコアリングや接触判断を包括的に免除するものではありません。
- 営業リスト、CRM、配信停止、営業代行の証跡を一つのデータフローとして管理すると、施行前の対応を進めやすくなります。
2026年改正でアウトバウンドセールスに関係するポイント
個人情報保護委員会の公布資料によると、改正法の主要部分は、公布日から2年以内で政令が定める日に施行されます。一部の罰則関係は公布から6か月後の2027年1月17日に施行されますが、営業データの取扱いに関する具体的な対象範囲や公表方法は、今後の政令、委員会規則、ガイドラインで固まります。
営業部門に関係する改正は、規制強化だけではありません。統計情報等の作成だけに利用されることが担保された一定のAI開発などでは、条件付きで本人同意なしの第三者提供や、公開されている要配慮個人情報の取得を可能にする特例が設けられます。一方で、連絡先として使える個人関連情報、オプトアウト提供、委託先の独自利用、違反への命令・罰則・課徴金は強化されます。全体像は個人情報保護委員会の改正法の公式解説資料で確認できます。
| 改正項目 | アウトバウンドセールスで関係する場面 | 実務上の見方 |
|---|---|---|
| 連絡可能個人関連情報 | メールアドレス、電話番号、所在地、Cookie IDなどを使った接触 | 個人情報に該当しない場合でも、不正取得・不適正利用の禁止対象になり得る |
| オプトアウト提供先の確認 | 名簿・営業データの販売、購入、再提供 | オプトアウト制度で個人データを提供する事業者には、提供先の身元と利用目的の事前確認義務が加わる |
| 委託先の義務 | 営業代行、BDR支援、データクレンジング、架電・メール送信の委託 | 委託業務に必要な範囲を超えた独自利用を禁止する規定が明文化される |
| 統計作成等の特例 | AIモデル開発、集計、傾向分析 | 個人を対象にした営業判断ではなく、個人との対応関係を排した成果物に限定して考える |
| 命令・罰則・課徴金 | 大量データの悪質な取得・利用・提供 | 重大・悪質な違反では、是正命令や財産的利益等に応じた課徴金の対象になり得る |
課徴金は、対象行為に係る本人が1,000人以上の大規模事案など、法定要件を満たす場合に限られます。日常的な営業データの取扱いで誤りが一つあれば直ちに課徴金が発生する制度ではありませんが、重大な違反を予防するためにも、取得・利用・提供の記録を平時から整えます。
ここで重要なのは、「営業してよいか」を一つの条文だけで判断しないことです。個人情報保護法はデータの取得・利用・提供を規律し、広告宣伝メールの送信には別途、特定電子メール法が適用されます。Webサイトの利用規約、営業連絡を拒否する表示、業界固有のルール、契約上の秘密保持も重ねて確認します。
公開情報と購入リストは取得元・目的・接触可否を分けて判断する
企業サイトやSNSで公開されている情報でも、担当者の氏名、役職、個人を識別できる業務用メールアドレスは個人情報になり得ます。公開された時点で個人情報ではなくなるわけではありません。一方、会社の代表電話、部署共通の問い合わせ窓口、法人番号など、特定の個人に結び付かない法人情報は通常、個人情報とは別に整理されます。メールアドレスについては、個人を識別できない場合でも、アカウント利用者に関する情報として個人関連情報に該当し得ることを個人情報保護委員会がFAQで示しています。
公開情報を営業リストとしてCRMへ取り込む場合は、取得したURL、取得日、情報の種類、利用目的を記録します。個人情報保護委員会の通則ガイドラインは、インターネット上の公開情報を取得した場合でも、あらかじめ利用目的を公表していなければ、取得後速やかに本人への通知または公表が必要になる例を示しています。「事業活動のため」「マーケティング活動のため」だけではなく、「当社サービスの案内、商談の提案、問い合わせ対応のため」など、本人が利用場面を予測できる粒度で特定します。
営業リストを自作・購入・ツールで作成する方法を比較するときは、件数や更新頻度だけでなく、個人データの取得経路と提供根拠も選定条件に入れます。第三者から個人データの提供を受ける場合、原則として、提供者の氏名・名称や取得経緯を確認し、記録を作成する義務があります。実際の確認範囲は第三者提供時の確認・記録義務ガイドラインで確認できます。
購入リストで最低限確認する項目
- 販売会社の正式名称、住所、代表者、問い合わせ窓口
- 本人から取得したのか、公開情報から取得したのか、別事業者から受けたのか
- 含まれる項目、取得時期、更新頻度、削除・訂正の反映方法
- 本人同意による提供か、法令上の例外か、オプトアウト提供か
- オプトアウト提供の場合、個人情報保護委員会への届出と公表内容
- 利用できる目的、再提供の可否、契約終了後の削除条件
個人情報保護委員会はオプトアウト届出書を公表しています。ただし、届出が見つかることだけでリストの全項目・取得方法・利用目的が適法だと保証されるわけではありません。契約書、サンプルデータ、取得経緯、更新・停止手続きを合わせて確認します。
改正後の「連絡可能個人関連情報」は、個人情報に該当しない電話番号、メールアドレス、Cookie IDなどであっても、特定の個人へ働きかけられる情報を対象に、不正取得と不適正利用を禁じます。正当なBtoB営業が直ちに禁止される規定ではありませんが、漏えい名簿、出所を説明できないデータ、詐欺や不当な勧誘を助ける用途への歯止めが強くなります。
AIの統計利用特例は個人別の営業判断とは分ける
改正法では、統計情報等の作成だけに利用されることが担保される場合に、一定の個人データの第三者提供や、公開されている要配慮個人情報の取得について、本人同意を不要とする仕組みが導入されます。「統計作成等」には、一定のAI開発が含まれ得ます。ただし、公布された法律は、作成される情報が個人に関する情報ではなく、個人の権利利益を害するおそれが少ないものとして委員会規則で定めることを前提にしています。
アウトバウンドセールスで行う「担当者Aは反応確率が高い」「経営企画部のBさんへ今週連絡する」といった個人単位のスコアリングや接触判断は、個人との対応関係を残します。そのため、AIを使ったという理由だけで統計作成等の特例に該当するとはいえません。企業単位の市場傾向分析と、個人単位のターゲティングを同じ処理として扱わず、入力データ、出力、利用者、次のアクションを分けて設計します。
| AI活用例 | 個人との対応関係 | 確認すべき点 |
|---|---|---|
| 業界全体の商談化率を集計する | 集計結果から個人を識別しない | 統計作成等の対象範囲、公表、目的外利用防止を確認する |
| 匿名化された文章群で一般的な分類器を評価する | 出力を個人への接触に使わない | 匿名化・再識別防止、入力データの取得根拠を確認する |
| 担当者ごとに返信確率を算出する | 個人別のスコアを保持する | 利用目的、データ項目、説明可能性、停止・訂正の扱いを確認する |
| SNS投稿から連絡候補者を自動抽出する | 個人を特定して接触する | 公開範囲、取得元、利用目的、規約、連絡方法を確認する |
従来型とAI型のリードスコアリングを比較する際も、精度だけでなく、どのデータを使い、個人にどのような影響を与え、誤った評価をどう訂正するかを要件に入れます。健康状態、信条、犯罪歴などの要配慮個人情報は、原則として取得に本人同意が必要で、オプトアウトによる第三者提供もできません。改正後の統計作成等の特例は、所定の条件を満たす場合に限られます。
CRMにはスコアだけを保存せず、スコアの生成日、モデル・ルールの版、入力項目、利用目的、人が確認したか、接触判断に使ったかを残します。AIが優先順位を提示し、営業担当者が文脈と誤りを確認してから接触する設計にすると、判断根拠を後から検証しやすくなります。
営業代行・CRM・メール送信は委託と第三者提供を混同しない
営業代行会社、BDR支援会社、リストクレンジング会社、コールシステム、CRMや配信SaaSへデータを渡す場合、まず「委託」か「第三者提供」かを整理します。自社が特定した利用目的の達成に必要な範囲で処理を委託し、自社が委託先を適切に監督する場合は、通常、本人同意を要する第三者提供とは別に扱われます。一方、委託先が自社の商品販売、別顧客のデータベース構築、独自モデルの学習などに使うなら、単純な委託とは整理できません。
改正法は、委託先に対して、委託業務の遂行に必要な範囲を超えて個人データ等を取り扱わない義務を明文化します。委託元による監督だけに依存せず、委託先自身の義務が明確になる点が重要です。営業代理店とAI CRMの情報共有を設計する場合も、閲覧権限だけでなく、独自利用、再委託、学習利用、返却・削除まで契約に入れます。
委託契約と運用で確認する項目
- 委託する業務、利用目的、対象データ、接触チャネル
- 委託先による独自利用、他案件への流用、モデル学習の禁止または条件
- 再委託先、国外での取扱い、アクセスできる担当者と権限
- 接触停止、訂正、削除の依頼を委託元へ反映する期限
- 漏えい等を知った場合の報告期限、調査協力、本人対応の分担
- 契約終了時の返却・削除、バックアップ、削除証明
広告宣伝メールには、個人情報保護法とは別に特定電子メール法が適用されます。原則は事前同意ですが、社会通念上、明示の拒否がなければ広告宣伝メールを許容すると認められる取引関係にある相手、書面でメールアドレスを通知した相手、法人や営業を営む個人がインターネットで公開しているアドレスなどには一定の例外があります。公開アドレスと一緒に広告宣伝メールを拒否する表示がある場合は例外になりません。また、送信者情報、受信拒否方法を表示し、拒否後に再送信しないことが必要です。実務の全体像は特定電子メール法とBtoBのオプトイン運用で確認できます。
したがって、「個人情報保護法上、連絡先を保有できる」ことと、「広告宣伝メールを送れる」ことは同じではありません。CRMでは、個人情報の利用停止と、メール配信停止、架電停止、特定キャンペーンだけの停止を分けて管理し、営業代行や配信ツールにも同じ停止状態を同期します。
施行までに営業データを6ステップで整える
政令・委員会規則・ガイドラインが確定する前でも、取得元と利用目的の棚卸し、委託契約、停止管理は進められます。細かな法解釈を先に決め切るのではなく、現在のデータフローを可視化し、追加ルールが出たときに修正できる状態を作ります。
- 営業データの入口を一覧化する。Web公開情報、名刺、問い合わせ、展示会、紹介、購入リスト、データベースサービス、SNS、既存顧客からの紹介を洗い出します。
- CRMへ取得根拠を残す。取得元URL・会社、取得日、本人同意・公開情報・既存取引などの区分、利用目的、証跡の保存場所を持たせます。設計方法はCRMのリードソース設計も参考になります。
- 個人情報と法人情報を分ける。会社単位の属性と、担当者の氏名・連絡先・行動データを別項目として管理し、個人データだけを必要以上に複製しないようにします。
- AI処理の目的と出力を分類する。市場集計、企業分析、個人別スコアリング、文章生成、連絡候補抽出を分け、個人を対象にした判断へ使う処理には人の確認と履歴を付けます。
- 委託先とSaaSの契約・設定を確認する。独自利用、学習利用、再委託、国外取扱い、漏えい報告、返却・削除、アクセス権をチェックし、実際の管理画面設定と一致させます。
- 停止希望を全チャネルへ反映する。メール、電話、営業代行、CRM、MA、スプレッドシートに散在する停止情報を統合し、新しいリストを取り込んだときも除外できる抑止リストを運用します。
| CRMで持つ項目 | 記録例 | 使う場面 |
|---|---|---|
| 取得元 | 本人、企業サイト、名刺、紹介、販売会社、イベント | 問い合わせ、削除依頼、監査時の確認 |
| 取得日時・証跡 | 日時、URL、フォーム版、契約・届出の保存先 | 取得時の表示と利用根拠の再現 |
| 利用目的 | 個別提案、既存取引対応、イベント案内、分析 | 目的外利用の防止と権限設計 |
| 接触状態 | 連絡可、メール停止、架電停止、全接触停止 | 営業担当・外注先・配信ツールの除外 |
| 共有・委託先 | 会社名、業務、提供日、返却・削除日 | データの所在と契約終了時の回収 |
| AI処理履歴 | 目的、入力項目、出力、版、人の確認 | スコア・接触判断の説明と見直し |
法改正への対応を「プライバシーポリシーの文言変更」だけで終えると、現場のスプレッドシート、営業代行、AIツールに同じルールが届きません。営業責任者、法務・管理、情報システム、マーケティング、委託先が同じデータフローを見て、誰が取得・判断・接触・削除を担うかを決めることが実効性につながります。
よくある質問
2026年改正でコールド営業は禁止されますか？
一律には禁止されません。ただし、担当者情報の取得元と利用目的、接触停止の状態、購入リストの提供根拠、外注先への共有方法を説明できる必要があります。メール送信には個人情報保護法とは別に特定電子メール法も適用されます。
企業サイトに公開された担当者メールへ営業メールを送れますか？
公開アドレスへの送信には特定電子メール法上の例外があり得ますが、公開主体、アドレスの性質、営業メールを拒否する表示、送信内容を個別に確認します。個人情報保護法上は利用目的の通知・公表等を確認し、実務上は取得元を記録します。特定電子メール法上の受信拒否通知を受けた後は、その意思に反して再送できません。
営業リスト販売会社がオプトアウト届出済みなら購入して問題ありませんか？
届出の確認だけでは不十分です。対象となるデータ項目、取得方法、本人への通知・公表、更新・停止手続き、契約上の利用範囲を確認し、提供者と取得経緯の確認記録を残します。届出内容と実際に納品されるデータが一致しているかも確認します。
企業単位のAIスコアリングなら個人情報保護法は関係ありませんか？
企業属性だけで完結する分析は個人情報に当たらない場合がありますが、担当者の氏名、メール、役職、閲覧・返信履歴などを入力または出力に使えば個人情報・個人関連情報の論点が生じます。「企業スコア」という名称ではなく、実際の入力と利用方法で判断します。
営業代行会社に渡したデータの責任は誰が負いますか？
委託として取り扱う場合、委託元には委託先を必要かつ適切に監督する義務があります。改正後は委託先にも、委託業務に必要な範囲を超えて取り扱わない義務が明文化されます。委託元・委託先のどちらか一方だけが対応すればよいわけではありません。
今すぐプライバシーポリシーを変更すべきですか？
まず現行の記載と実際の営業運用が一致しているか確認します。改正法の具体的な対象範囲や公表事項は今後の政令・委員会規則・ガイドラインで明確になるため、確定前に条文を先取りして断定的に書くより、取得元・利用目的・第三者提供・委託・停止窓口の実態を整え、正式なルールに合わせて更新できるようにします。
まとめ
2026年改正個人情報保護法は、アウトバウンドセールスを止める制度ではなく、データ利活用を広げる場面と、不正な取得・利用・提供を抑止する場面を組み合わせた改正です。通常の営業活動では、公開情報、購入リスト、CRM、AI、外注、メール送信を別々に見るのではなく、取得から削除まで一続きのデータフローとして管理する必要があります。
まず取得元、具体的な利用目的、接触停止、共有・委託先、AI処理履歴をCRMで追えるようにします。そのうえで、販売会社の届出・取得経緯、営業代行との契約、特定電子メール法上の送信条件を確認すれば、政令・委員会規則・ガイドラインが公表されたときも、必要な差分を特定しやすくなります。個別案件の適法性や契約条項は、取扱うデータと接触方法を示したうえで弁護士などの専門家に確認してください。
