夫のひきだし

夫が調べて、AI妻・嫁子が斬る

【第27回】集めた個人情報をどう扱うか｜個人情報保護法とCookie（嫁子が教えるマーケ講座）

学ぶ

今回のゴール

法律の回の最後です。第18回で顧客の記録を整えた話を、法律の面から見ます。全体の流れは講座の目次へ。

この回の内容は2026年9月時点のものです。 個人情報の扱いは会社の規定と業種によっても変わります。実際の運用は必ず自社の法務・管理部門に確認してください。

嫁子: 今日のは、買う側としては一番よく分からないまま同意ボタンを押してるやつだね。

私、あの表示が出たらとりあえず押して消してるもん。何に同意したかは、正直よく分かってないよ。

1. まず線を3つ引く

法律の言葉が出てくるので、先に整理します。

呼び方 中身
個人情報 特定の個人が分かるもの（氏名、住所、連絡先など）
個人データ 個人情報を検索できる形に整理したもの（顧客名簿など）
個人関連情報 個人情報にも仮名加工情報にも匿名加工情報にも当たらない、個人に関する情報

3番目が今回の中心です。属性情報、ウェブサイトの閲覧履歴、位置情報などがここに入ります。

（個人情報保護委員会「個人関連情報とは何か」・2026年9月時点）

第18回で整えた顧客名簿は、2番目の個人データです。名前と住所と作業履歴が並んでいるので、当然そうなります。

Cookieや端末識別子は、それ単体では誰か分かりません。

個人情報保護委員会の考え方では、個人情報に該当しない場合、Cookie等の端末識別子は通常個人関連情報に該当するとされています。

（個人情報保護委員会「Cookie等の端末識別子は個人関連情報に該当しますか」・2026年9月時点）

ここで大事なことを1つ書きます。

「Cookieを使うと必ず本人の同意が要る」わけではありません。

よくある誤解ですが、法律の条文はそうなっていません。次の節で条件を見ます。

3. 同意の確認が必要になる条件

個人情報保護法第31条第1項は、個人関連情報の第三者提供すべてに適用されるものではありません。

適用されるのは、提供先の第三者が、その個人関連情報を「個人データとして取得することが想定される」場合です。そのとき、提供する側は本人の同意が得られていることを確認する必要があります。

（個人情報保護委員会「個人関連情報を第三者に提供する場合には、常に本人の同意が得られていること等を確認しなければならないですか」・2026年9月時点）

マーケティングの現場に置き換えると、判断のポイントはこうなります。

場面 考えるべきこと
自社サイトのアクセス解析を見る 自社の中で使っている
広告配信のために外部へデータを渡す 提供先で個人データになるか
他社の顧客リストと突き合わせる 同上

外に出すときに問題になる、というのが骨格です。

⚠️ ただし、ここは条文と実務の距離があるところです。「うちのこの運用は該当するのか」を自分で結論づけないでください。広告の配信設定を1つ変えるだけで、渡っているデータの性質が変わることがあります。

実務的にやることは3つです。

  1. 何を、どこに渡しているかを一覧にする（広告媒体、解析ツール、外部の配信サービス）
  2. その一覧を法務か管理部門に見せる
  3. プライバシーポリシーの記載と実際の運用が合っているかを確認する

3番目が抜けている会社は多いところです。書いてあることと、やっていることが違うのが一番まずい状態です。

4. 集めるときに気をつけること

第18回でメールを送る話をしました。そのために集めるところの話です。

嫁子: 2番目、本当にそう思う。

見積もりを取るだけなのに生年月日とか聞かれると、そこでやめるもん。要らないでしょ、それ。

必要な理由が分からない項目があると、それだけで警戒するよ。

5. AIに顧客データを渡す前に

第18回で一度書きましたが、ここが今回で一番実害の出やすいところです。

名前・住所・電話番号・メールアドレスが入った表を、そのままAIに貼らないでください。

確認することが3つあります。

会社が許可しているか。 業務でどのAIサービスを使ってよいかは、会社が決めていることがあります。個人の判断で始めないでください。

入力したデータがどう扱われるか。 サービスによって扱いが違い、設定でも変わります。会社として契約しているものなら、管理部門が条件を把握しているはずです。

そもそも渡す必要があるか。 ここが一番効くところで、第18回で書いた通り、渡すのは条件だけで足りることがほとんどです。

✕ 顧客名簿をそのまま貼って「1年前の人を抽出して」 ○ 「前回エアコン・1年経過の人向けの案内文を作って」

後者なら個人情報は1件も渡っていません。それで同じ成果物が出ます。

AIに渡す前に、渡さずに済む方法を1回考えてください。たいていあります。

6. 何かあったときのために

万一に備えて、2つ決めておいてください。

気づいた人が誰に言うか。 漏れたかもしれないと思ったとき、報告先が分からないと、隠される方向に動きます。

記録を残す習慣。 どのデータを、いつ、どこに渡したか。1行でいいので残しておくと、何かあったときに範囲を特定できます。

これは第29回で扱う引き継ぎとも重なります。記録があること自体が守りになります。

つまずきポイント

「同意ボタンを置けば全部解決」ではありません。 何に同意してもらうかが書かれていなければ、意味がありません。

プライバシーポリシーを他社からコピーしないでください。自社の運用と合っていなければ、書いてあることが違反の証拠になります。

退職者のパソコンや、古い共有フォルダを確認してください。 名簿はだいたいそこに残っています。

今回のまとめ

次にやること

法律の回はここまでです。次回は営業部を敵に回さないで、社内での動き方を扱います。営業から来た人が一番有利な回になります。

今回の宿題：自社が顧客データをどこに渡しているかを一覧にしてみてください。広告媒体、解析ツール、メール配信。3つ書き出せば、それが法務に相談する材料になります。

嫁子: 最後に、買う側から1つだけ。

データを使われること自体が嫌なわけじゃないの。欲しいものが出てくるのは便利だからね。

いやなのは、何に使われてるか分からないことだよ。書いてあれば読むかは別として、隠されてないという安心はあるから。