欧州の企業に事前の許可なく連絡してよいのか。この問いには標準的な答えが2つあり、どちらも間違っています。1つ目は、2018年にGDPRが新規開拓を禁じたというもの。2つ目は、BtoB営業は適用除外だから好きに送ってよいというものです。本当の位置はその中間にあり、法令を正しい順序で読めば見えてきますし、その蝶番になっているのが正当な利益です。以下は私たちの現時点での理解であり、製品の判断をこの上に載せているので文章として残しています。
01BtoB営業でGDPRが規律するもの、しないもの
GDPRが規律するのは個人データ、つまり識別された、または識別可能な生存する個人に関する情報です。前文第14項がそう明言し、法人に関するデータを除外しています。企業は自然人ではなく、存在しているというだけでGDPRに保護されるわけではありません。
ですから、一般的な企業宛の連絡先は、氏名の付いた業務用アドレスより個人データとしての性質が弱くなります。2つを比べてみます。
- 宛名のない問い合わせフォーム、あるいは従業員100人の企業の info@ や sales@ といった役割アドレスは、組織と機能を識別します。向こう側に特定の個人はおらず、いたとしても固定されていないことが多い。
- [email protected] は個人データです。1人の個人を識別し、その人のものであり、業務で使っていることは何も変えません。ICOもEDPBも、識別可能な個人の業務上の連絡先を対象内として扱っています。
弱いことは、ないことではありません。ここで人は踏み込みすぎます。役割アドレスでも個人を識別しうるからです。2人のコンサルティング会社の info@ は名前のある1人の人間であり、複数の監督機関がそのように分析しています。さらに、誰かを調べたり、その人に関する何かで内容を個別化したりしたなら、宛先が一般的であっても、メッセージを作るために個人データを処理したことになります。分析を決めるのは封筒ではなく、処理のほうです。
公開されていることも効きますが、期待されているほどではありません。問い合わせページを公開している企業は、その経路での連絡を招いています。これは後述の合理的な予期のテストに実際に効いてくる材料です。ただし同意ではありませんし、同意として扱うことがここでの最も多い誤りです。私たちの語彙では、窓口とは公開された連絡経路のことで、宛名のないフォームを優先します。命名規則から個人の業務用アドレスを推測することはしません。よくある実務ですが、保留ではなく除外しています。
02正当な利益は適法根拠であり、標語ではありません
第6条1項(f)は正当な利益を適法根拠とし、前文第47項はダイレクトマーケティングが正当な利益のために行われるとみなしうると述べています。この前文は絶えず引用され、ほぼ常に読み違えられます。書いてあるのは「みなしうる」です。テストを行う許可であって、その結果ではありません。BtoB営業における正当な利益は実在し、かつ条件付きです。その条件は、主張ではなく、文書化された評価です。
構成は3つで、3つとも成り立つ必要があります。
- 目的。実在し、具体的で、現在の利益があるか。「事業を成長させる」は失格です。企業が行うあらゆることを指してしまうからです。「開発者向けの問い合わせページを公開し、すでにスクレイピング基盤を運用している企業に、スクレイピング製品について連絡する」は、議論の対象になりうるほど具体的で、だからこそ目的として成立します。
- 必要性。その目的のために、この処理は本当に必要か。もっと侵害の少ない方法で同じ場所に到達できないか。公開ディレクトリ、既存の関係、インバウンドのチャネルで用が足りるなら、衡量では救えません。必要性は本物の制約であり、確認項目ではありません。
- 衡量。自分たちの利益を、受け手の権利、自由、そして合理的な予期と比べます。ここでは関連性がほとんどの重みを担います。受け手が公に書いている問題について、受け手が公開した経路に届くメッセージと、いくつか当たればよいという発想で1万件のアドレスに送られた同じ文章とでは、置かれる位置がまるで違います。
効いている言葉は「文書化された」です。施策の前に評価を書き、その版を保存し、対象条件が変わったときに何が変わったかを記録してください。監督機関や受け手に問われたとき、その文書が証拠になります。苦情が届いてから作ったものは評価ではなく弁明であり、読めばそう分かります。
ここには飛ばされがちな義務も伴います。第14条は本人以外から取得したデータを対象とし、何を保有し、なぜ保有し、どこから来たのかを、遅くとも最初の連絡の時点で伝えるよう求めています。つまり最初のメッセージに、その情報の入手元を書く必要があります。新規開拓のメッセージで、これをしているものはほとんどありません。
03実際に効いてくるのはeプライバシーです
ここが飛ばされる部分であり、執行を生んでいる部分です。GDPRはデータを処理するための適法根拠を与えます。eプライバシー指令は電子的なマーケティング行為そのものを規律する別の法令で、要件も別です。ですから第6条1項(f)を完全に満たしていても、なお送信を禁じられることがあります。
第13条は、自然人への未承諾の電子的マーケティングをオプトイン方式としています。そのうえで第13条5項が、法人についての扱いを加盟国に委ね、その利益が十分に保護されることだけを求めています。この1つの委任があるために、欧州の答えは存在せず、27通りの国内の答えしかありません。しかも指令は直接適用ではなく国内法化されるため、実装は恒久的に分岐しました。
現時点での私たちの読み方は次のとおりです。この地図は前提として置くのではなく、見直しの対象にしています。
- ドイツは、UWG第7条により電子メールによる広告に事前の明示的な同意を求め、企業向けの適用除外はありません。ドイツの裁判所の判断は一貫しています。企業の受信箱に届いた未承諾の広告メールは不当な迷惑行為であり、受け手が企業であることは助けになりません。
- イタリアは、個人情報保護法典（Codice Privacy）第130条により電子的マーケティングに事前同意を求め、Garante はこれを企業の受け手にも適用してきました。
- オーストリアも電気通信法で同じ立場を取ります。まず同意であり、企業であることは結論を変えません。
- フランスはBtoBを明示的に区別します。CNIL の立場は、業務上の連絡先にいる専門家に、その職務に関する内容で連絡する場合、取得時に情報提供がなされ、異議を述べられるのであれば事前同意は不要というものです。
- アイルランドをはじめEUの多くの国は、法人契約者をオプトアウト方式で扱います。異議が来るまでは送ってよく、上記のGDPR上の義務は引き続き課されます。
ですから問うべきは「これはGDPRに適合しているか」ではありません。それ単独ではほとんど意味を持ちません。問うべきは「この受け手にはどの国内実装が適用されるか」であり、それを決めるのは受け手の所在であって、自分の所在ではありません。ダブリン宛では適法でミュンヘン宛では違法な施策は、例外ではなく通常の姿です。
Knockwire は事前同意が必要な法域を既定で除外します。ドイツ、オーストリア、イタリアからの読み取りは法域ゲートで見送られ、その理由は判断した瞬間に文章で書かれ、誰でも数えられる見送り台帳に現れます。運用者は国を有効に戻せます。そこが要点です。有効化は名前の付いた人物による意図的な行為であり、その人自身が受けた法的助言に基づいて行われます。既定になることはなく、静かに起きることもありません。
適用範囲について、正直に1点だけ書いておきます。企業自身の公開された問い合わせフォームからの送信は、電子メールと自動音声通話を対象とする典型的な第13条の事案ではなく、通常はGDPRと各国の不正競争法のもとで分析されます。私たちがその経路で配信している理由の一部はここにあります。抜け道ではありませんし、大量に使えば持ちません。メール送信は未実装で、2026年第4四半期の予定です。ですから上記の第13条とUWG第7条の読み方は、必要になる前に規則を整理しているものであって、今日の運用を説明したものではありません。
04英国の立場。PECRと法人契約者
英国はEU離脱後もPECRを維持しており、PECRはGDPRが引かない線を引いています。個人契約者と法人契約者の区別です。未承諾のマーケティングメールに同意を求めるPECR第22条は、個人契約者に適用されます。株式有限責任会社、LLP、スコットランド法上のパートナーシップ、公的機関は法人契約者であり、第22条は届きません。有限責任会社の受信箱へのマーケティングメールに、PECR上の同意は要りません。適用除外の物語のうち、ここまでは本当です。
本当ではない半分が、制裁金を生んでいる半分です。そのメッセージの中や背後にある個人データには英国GDPRが引き続き適用されるので、適法根拠が必要で、第14条の通知義務があり、異議権も残ります。PECR第23条は契約者の種別を問わず適用されます。送信者を隠さないこと、そしてオプトアウト用の有効な連絡先を示すことです。「BtoBは適用除外」は、1つの規則についての主張を、すべての規則を覆うかのように読んだものです。
区分そのものにも落とし穴があります。個人事業主は、そしてイングランド、ウェールズ、北アイルランドでは法人格のないパートナーシップも、PECR上は個人契約者です。しかも外から見れば小さな会社とまったく同じに見えます。ウェブサイトがあり、ブランドがあり、チームのページがあり、法人格がない。これを決めるのは Companies House であってウェブサイトではありません。私たちはこの分類を自動では試みません。法人であると確信をもって位置付けられない英国の読み取りは、推測せずに見送り、記録された理由には欠けている証拠の名前を書きます。
05異議、配信除外、そして「直ちに」の意味
第21条はダイレクトマーケティングに対する絶対的な異議権を与えており、絶対という言葉が正しい表現です。衡量の作業も、評価も、正当な利益も、これには生き残れません。誰かが止めろと言えば、こちらは恒久的に止めます。唯一残すのは異議があったという事実です。それを守り続けるために必要だからです。それが配信除外リストであり、「もう連絡するなと言われたので、あなたの情報を残しました」が言い訳ではなく正解になる唯一の場所です。
多くの実装は「直ちに」は満たし、「恒久的に」で失敗します。実務で持ちこたえる配信除外リストには、書き出しておく価値のある性質があります。
- キャンペーン単位ではなく、テナント全体に効くこと。1つのキャンペーンへの異議は異議であって、そのキャンペーンへの感想ではありません。
- アドレスだけでなくドメインにも紐付いていること。そうすれば、異議を述べた人が退職しても、後任が拒否されたはずのメッセージを受け取ることはありません。
- ノックの前ではなく、下書きを書く前に照合すること。そうすれば、法的に送れないメッセージの承認を人に求めることが一度も起きません。
- 恒久的であること。有効期限も、再開の猶予期間もなく、その後の沈黙が立場の変化を意味するという前提も置かないこと。
- 再発見に耐えること。前の四半期にその企業を出してきた取得元は、また出してきます。台帳には毎回同じ見送り理由が並ぶべきです。
最後の1つは、評価するツールで必ず試してください。私たちのものも含めてです。除外した企業が、少し違う名前で新しい候補として再び入ってこられるなら、その配信除外は送信に対するフィルターであって、工程に対するフィルターではありません。