BPOでCRM運用を委託する判断軸｜個人情報保護法の監督義務と注意点

BPOでCRM運用を委託するとは、顧客リストの整備、メール配信、問い合わせ対応、レポート作成といったCRM(顧客関係管理)にまつわる業務を、BPO事業者に任せることです。CRMには氏名や連絡先、購買履歴などの個人データが集まっているため、運用を委託すると個人情報保護法上の「個人データの取扱いの委託」にあたり、委託元には委託先を監督する義務が生じます。この記事では、委託する範囲の決め方から、個人データ委託の基本、再委託の管理、運用中のモニタリング、漏えい時の責任の所在、委託の具体例、委託先選定で確認したい認証までを順に整理します。

目次

開く

閉じる

1. CRM運用をBPOに任せる範囲｜委託の前に決めておくこと
2. BPOにおける個人データ委託の基本｜CRM運用委託は監督義務の対象
3. 再委託・再々委託の管理｜データの流れを見失わない
4. 運用フェーズでのモニタリング・監査
5. 漏えい時の対応責任の所在
6. CRM運用委託の具体例(配信リスト・レポート作成)
7. 委託先選定時に確認すべき認証(ISMS・Pマーク)
8. よくある質問(FAQ)
9. まとめ
10. 参考文献

CRM運用をBPOに任せる範囲｜委託の前に決めておくこと

CRMは、顧客の属性や購入履歴、問い合わせ内容を一元的に管理し、顧客との関係を深めていく考え方や仕組みのことです。BPOは、業務プロセスそのものを外部の事業者へ委託することを指します。CRM運用をBPOに任せる場合は、どの業務を任せ、どの判断を社内に残すかによって、委託先に渡す個人データの範囲と監督の重さが決まります。

業務区分	任せやすい作業	社内に残したい判断
顧客データの整備	入力、名寄せ、重複の削除	どの項目を持つかの方針、利用目的の範囲
配信・キャンペーン	配信リストの抽出、配信作業、結果の集計	配信の企画、セグメントの考え方
問い合わせ対応	一次対応、対応履歴の入力	例外対応、解約や返金の判断
分析・レポート	定型レポートの作成	結果の評価、次の施策の判断

委託の前に整えておきたいのが、社内にある顧客データそのものです。名刺や名簿が担当者ごとに別々に保管されていると、委託先へ渡す範囲を決めることが難しくなり、誰がどこまで見られるのかも把握しにくくなります。社内で顧客情報を一か所にまとめ、閲覧できる範囲を管理できる状態にしておくと、委託の範囲と監督のポイントを具体的に決められます。

顧客情報の入口となる名刺・取引先情報を社内で一元管理する場合の一例が、Ｓｋｙ株式会社が提供する名刺管理SKYPCEです。名刺をAI-OCRとオペレーターの確認でデータ化し、PCやスマートフォンから検索できるほか、登録した名刺情報へのメール配信(開封率・URLクリック率の計測つき)、連携用APIによるSalesforceなど他社サービスとのデータ連携、許可したネットワークからのみアクセスを許可する設定に対応しています。一方で、名刺・取引先情報の管理が中心のサービスのため、問い合わせ履歴や通話録音の管理まで一つで完結するわけではなく、CRM運用そのものを代行するサービスでもありません。料金はプランによって異なるため、資料や公式サイトで確認してください。

Ｓｋｙ株式会社の自社活用事例では、大量の名刺をタグでグループ分けして一斉にメールを配信したところ、はがきより返信が多く、商談につながったケースもあったと紹介されています。 出典: 名刺管理SKYPCE 活用事例

委託先のCRM運用環境とセキュリティを確認する

委託先を比べるときは、価格や対応時間だけでなく、委託先がどのような環境で顧客データを扱うかも確認します。見ておきたい観点は、(1)自社のCRMを使うのか、委託先の環境にデータを移すのか、(2)アクセス権限の分け方とログの残し方、(3)項目や運用ルールをどこまで自社用に調整できるか、(4)電話・メール・チャットなど顧客対応のチャネルとCRMがつながっているか、(5)契約終了時にデータを返却・削除してもらえるか、の5点です。

BPOにおける個人データ委託の基本｜CRM運用委託は監督義務の対象

CRM運用をBPO事業者に任せると、委託元は個人情報保護法第25条にもとづき、委託先に対して「必要かつ適切な監督」を行う義務を負います。個人情報保護委員会の個人情報保護法ガイドライン(通則編)では、この監督の内容として、適切な委託先の選定、委託契約の締結、委託先における個人データ取扱状況の把握の3つが示されています。

監督の要素	求められる内容	CRM運用委託での具体例
適切な委託先の選定	委託先の安全管理措置が、委託元に求められる水準と同等以上であることを確認する	顧客データの保管場所、アクセス権限の管理、担当者の教育体制を事前に確認する
委託契約の締結	安全管理措置、再委託の条件、報告の内容などを契約に盛り込む	配信リストの目的外利用の禁止、契約終了時のデータ返却・削除を明記する
取扱状況の把握	定期的な報告や監査で、契約どおりに取り扱われているかを確認する	月次レポートにアクセスログや作業実績を含め、年1回程度の監査を行う

委託は第三者提供にあたらないが、責任は残る

個人データの取扱いを委託する場合、委託先への個人データの提供は、本人の同意が必要な「第三者提供」にはあたらないとされています(法第27条第5項第1号)。ただしこれは、委託した業務の範囲内で個人データを扱う場合に限られます。委託先が預かったCRMデータを自社の営業に使うなど、委託の範囲を超えて利用することは認められません。同意が不要だからといって委託元の責任がなくなるわけではなく、監督義務を果たしているかどうかが問われる点が重要です。

「監督の程度」はデータの量と性質で変わる

ガイドラインでは、委託する個人データの漏えい等が本人に与える影響、事業の規模や性質、取り扱うデータの量や性質に応じて、監督の程度を判断するとされています。数百件の問い合わせ履歴の整理と、数十万件の会員データを使った配信運用とでは、求められる確認の深さが異なります。すべての委託に一律で重い監査を課すのではなく、リスクに応じてメリハリをつけることが、実務で監督を続けるためのコツです。

再委託・再々委託の管理｜データの流れを見失わない

CRM運用のBPOでは、委託先がさらに別の事業者へ業務の一部を任せる「再委託」がよく発生します。たとえば、配信作業はメール配信専門の事業者へ、夜間の問い合わせ対応は別のコールセンターへ、というように分業されるケースです。ガイドラインでは、委託先が再委託を行う場合、委託元は委託先が再委託先を適切に監督しているかを監督することが求められています。

再委託は事前承認制にする

もっとも基本的な対策は、再委託を行う場合に委託元の事前承認を必要とする条項を契約に入れることです。承認の際には、再委託先の名称、委託する業務の範囲、取り扱う個人データの項目、再委託先の安全管理措置を報告してもらいます。再々委託以降も同じ条件が連鎖するよう、「委託先は再委託先に対して本契約と同等の義務を課す」と定めておくと、末端までのデータの流れを追いやすくなります。

再委託先の一覧を定期的に更新する

契約時に承認した再委託先が、運用の途中で変わることは珍しくありません。四半期ごとなど一定の間隔で再委託先の一覧を提出してもらい、承認していない事業者が加わっていないかを確認します。CRM運用では、配信ツールやデータ分析ツールなどのクラウドサービスが使われることも多いため、どのサービスに顧客データが置かれているかもあわせて一覧化しておくと、漏えい時の影響範囲の把握にも役立ちます。

管理項目	確認する内容	確認のタイミング
再委託の可否	事前承認の手続き、承認なしの再委託の禁止	契約締結時
再委託先の一覧	事業者名、業務範囲、扱うデータ項目、所在地	四半期ごとなど定期的に
義務の連鎖	再委託先にも同等の安全管理措置と報告義務を課しているか	再委託の承認時
利用クラウドサービス	顧客データを保存・処理するサービス名とデータの保存場所	導入・変更のたび

外国にある事業者へ委託・再委託する場合は、外国の制度に関する情報提供など追加の検討が必要になることがあります。海外拠点を使うBPOを検討する際は、個人情報保護委員会の資料で最新の考え方を確認してください。

運用フェーズでのモニタリング・監査

委託先の選定と契約締結が終わっても、監督義務はそこで終わりません。運用が始まってからの「取扱状況の把握」こそが、監督の実効性を左右します。CRM運用委託では、次のような仕組みで状況を把握するのが一般的です。

• 定期報告：月次で作業実績、配信件数、問い合わせ件数、アクセス権限の付与・削除の状況、インシデントの有無を報告してもらう
• 定期監査：年1回程度、チェックリストへの回答や現地・リモートでの確認を行う
• 臨時監査：事故やヒヤリハットが発生したとき、原因と再発防止策を確認する
• 第三者の評価の活用：委託先が取得している認証の審査結果や、外部監査の報告書を確認する

CRMの権限管理とログを報告項目に入れる

CRM運用ならではのポイントは、CRMツール上のアカウントと権限の管理です。委託先の担当者が異動・退職したのにアカウントが残っている、全件エクスポートの権限が必要以上の担当者に付与されている、といった状態は漏えいの温床になります。月次報告に「アカウント一覧と権限」「データのエクスポート履歴」を含めてもらうと、書類上の確認だけでなく実際の運用に近い形で状況を把握できます。

顧客対応まで含めて委託範囲を整理する

モニタリングを続けていると、「配信は委託先、問い合わせは社内」のように委託範囲が分かれていることで、顧客情報の更新が遅れたり、対応履歴が二か所に分散したりする課題が見えてくることがあります。こうした場合に問い合わせ対応まで含めて委託範囲を見直すときは、対応履歴をCRMに戻す運用(誰が、どの項目を、いつまでに入力するか)を契約と運用ルールに明記しておくと、監督すべきデータの流れもシンプルになります。

漏えい時の対応責任の所在

委託先でCRMデータの漏えい等が起きた場合でも、委託元が責任を免れるわけではありません。委託先の監督が不十分だったと判断されれば、委託元は法第25条違反を問われる可能性があります。また、一定の要件に当てはまる漏えい等が発生した場合は、個人情報保護委員会への報告と本人への通知が義務づけられています(法第26条)。

報告と通知の期限

個人情報保護委員会の「漏えい等の対応とお役立ち資料」によると、報告対象となる事態を知った場合、速報は発覚日からおおむね3日から5日以内、確報は発覚日から30日以内(不正な目的で行われたおそれがある場合は60日以内)に提出するとされています。報告対象となるのは、要配慮個人情報が含まれる場合、財産的被害が生じるおそれがある場合、不正な目的によるおそれがある場合、本人の数が1,000人を超える場合などです。会員データを数多く扱うCRMでは、1,000人という基準は容易に超えるため、報告を前提にした体制づくりが欠かせません。

委託先から委託元への報告ルートを決めておく

委託先で事故が起きた場合、委託先が委託元に速やかに通知すれば、原則として委託元が委員会への報告を行う整理になります。期限が短いため、委託契約では「事故を把握した時点から何時間以内に委託元へ第一報を入れるか」「誰に、どの手段で連絡するか」を具体的に決めておくことが重要です。再委託先で起きた事故が委託先を経由して委託元に届くまでの時間も考慮し、連絡網を末端まで整えておきましょう。

場面	委託元の主な役割	委託先の主な役割
事故の発見直後	影響範囲の確認指示、社内の意思決定	被害拡大の防止、委託元への第一報
報告・通知	個人情報保護委員会への報告、本人への通知	事実関係の調査結果、ログなどの提出
再発防止	対策の妥当性の確認、監督方法の見直し	原因分析、手順・権限の見直し

損害賠償の負担割合や費用の分担は、法律で一律に決まるものではなく、委託契約の定めによって大きく変わります。契約書の条文や交渉の進め方は、BPO契約の実務｜RFP・主要条文・個人情報の委託まで「失敗しないチェックポイント」で詳しく整理しています。

CRM運用委託の具体例(配信リスト・レポート作成)

CRM運用の委託といっても、任せる業務によって扱う個人データの範囲やリスクは異なります。代表的な業務と、それぞれで押さえたい注意点を整理します。

委託する業務	扱う主なデータ	注意点
配信リストの作成・管理	氏名、メールアドレス、配信許諾の有無、属性	配信停止の申し出を確実に反映する。特定電子メール法のオプトイン規制にも注意する
メール・メッセージ配信	送信先アドレス、配信内容、開封・クリック履歴	誤送信防止のダブルチェック、テスト配信の宛先管理
レポート作成・分析	購買履歴、行動履歴、セグメント情報	集計に不要な個人を特定できる項目を渡さない。分析用データの保管期間を決める
顧客データの入力・クレンジング	申込書、名寄せ前の顧客情報	紙やファイルの受け渡し方法、作業後のデータ削除
問い合わせ対応	通話録音、対応履歴、本人確認情報	本人確認の手順、録音データの保存期間と閲覧権限

扱う個人データの性質は業種によっても変わります。たとえば歯科医院のように、予約・受付・レセプトといった診療に関わる情報を扱う業種では、委託できる範囲や注意点が異なります。業種ごとの考え方は、歯科医院のBPOとは？受付・レセプト・予約管理を委託する考え方と注意点で整理しています。

渡すデータを「業務に必要な最小限」に絞る

委託の実務でもっとも効果が大きいのは、委託先に渡すデータそのものを減らすことです。レポート作成なら会員IDだけで集計できるように加工してから渡す、配信だけを任せるなら購買履歴は渡さない、といった工夫で、万一の漏えい時の影響も、監督すべき範囲も小さくできます。CRMツールの権限設定で閲覧できる項目を制限できる場合は、委託先の担当者用に専用の権限を作ることも有効です。

利用目的の範囲に収まっているかを確認する

委託先が扱えるのは、委託元が本人に示した利用目的の範囲内に限られます。たとえば、サービスの案内のために取得したメールアドレスを、委託先の判断で別の商材の広告配信に使うことはできません。新たな分析や施策を委託する前に、プライバシーポリシーの利用目的でカバーされているかを確認しておきましょう。

社内に残す役割と、見落としやすいコストを決めておく

CRM運用を委託するかどうかを判断するときは、法的な注意点だけでなく、委託した後の社内の体制も考えておく必要があります。よく挙げられるのが、運用を丸ごと任せた結果、セグメントの作り方や配信結果の読み解き方といったノウハウが社内に残らなくなるという課題です。委託先を変更したくなったときや契約を終了したときに、社内で運用を引き継げない状態になると、委託先への依存が強まり、監督の目も届きにくくなります。配信の企画や施策の判断、委託先から届くレポートの評価は社内の担当者が持ち続け、作業部分を委託するという線引きをしておくと、ノウハウの空洞化を防ぎやすくなります。

費用面では、毎月の委託料だけで比較すると判断を誤りやすくなります。業務の引き継ぎやマニュアル作成にかかる初期の準備、CRMデータの移行や委託先向けの権限設定、定期報告の確認や監査にかかる社内の工数も、委託にともなうコストに含まれます。とくに個人データを扱うCRM運用では、ここまで見てきた監督のための作業が継続的に発生するため、その工数も見込んだうえで、社内で運用する場合と費用対効果を比べることが大切です。

委託先選定時に確認すべき認証(ISMS・Pマーク)

委託先の安全管理措置を確認する際、第三者による認証は判断材料の1つになります。CRM運用のBPOでよく確認されるのが、ISMS認証とプライバシーマーク(Pマーク)です。

認証	対象と基準	確認するときの観点
ISMS認証	情報セキュリティ全般のマネジメントシステム。国際規格ISO/IEC 27001(JIS Q 27001)にもとづく	認証の適用範囲に、委託するCRM運用の部門・拠点が含まれているか
プライバシーマーク	個人情報保護のマネジメントシステム。JIS Q 15001にもとづき、一般財団法人日本情報経済社会推進協会(JIPDEC)が運営	事業者単位の付与のため、実際に作業する拠点や再委託先の運用まで確認する

認証を取得していることは、一定の管理体制が整っていることの目安になりますが、それだけで監督義務を果たしたことにはなりません。認証の有効期限や適用範囲を確認したうえで、自社の委託業務に即したチェックリストでの確認を組み合わせることが大切です。認証の有無や適用範囲は、JIPDECのプライバシーマーク制度やISMS-ACのWebサイトで検索できます。

顧客対応品質もセットで見直す

委託先選定では、セキュリティの確認に目が向きがちですが、CRM運用の成果は顧客対応の品質にも左右されます。問い合わせ時に過去の配信内容や購買履歴をすぐ参照できるか、対応結果がCRMに正しく戻ってくるかは、顧客満足度にも、データの正確性にも直結します。認証の確認とあわせて、委託先が使うCRMやコールセンターシステムの権限管理とログの取り方、対応結果がCRMに戻る運用を確認し、対応品質とデータ管理の両面から委託先を比較しましょう。

委託先を選ぶ段階では、委託先に渡す顧客データが社内のどこにあり、誰が管理しているのかを自社側も把握しておく必要があります。名刺や取引先情報が分散したままだと、委託範囲の説明も、委託後の監督も曖昧になりがちです。委託を決める前に、社内の顧客情報の管理方法を見直す選択肢として、資料で機能を確認しておくとよいでしょう。

※本記事は一般的な情報提供を目的としたものであり、法的助言ではありません。個別の委託契約や漏えい時の対応については、個人情報保護委員会の資料を確認のうえ、弁護士など専門家にご相談ください。

よくある質問(FAQ)

Q1. BPOとCRMとは何ですか？CRM運用を委託すると、個人情報保護法上どのような扱いになりますか？

A. CRMは顧客の属性や購入履歴、問い合わせ内容を一元管理して関係を深める考え方や仕組みで、BPOは業務プロセスを外部へ委託することです。CRM運用をBPO事業者に任せると、顧客の個人データの取扱いを外部に任せることになるため、個人情報保護法上の「委託」にあたります。委託元には、委託先の選定、委託契約の締結、取扱状況の把握を通じて、委託先を必要かつ適切に監督する義務が生じます。

Q2. CRMデータを委託先に渡すときに本人の同意は必要ですか？

A. 利用目的の達成に必要な範囲で取扱いを委託する場合、第三者提供にはあたらないとされ、本人の同意は原則として不要です。ただし、委託先が委託の範囲を超えてデータを利用することは認められず、委託元の監督義務も残ります。

Q3. 委託先が再委託する場合、委託元は何をすればよいですか？

A. 再委託には事前承認を必要とする条項を契約に入れ、再委託先の名称・業務範囲・扱うデータ・安全管理措置を報告してもらいます。そのうえで、委託先が再委託先を適切に監督しているかを確認し、再委託先の一覧を定期的に更新してもらうことが大切です。

Q4. 委託先でCRMデータが漏えいした場合、責任は誰にありますか？

A. 委託先で起きた事故であっても、委託元は監督義務を果たしていたかを問われます。報告対象となる漏えい等では、個人情報保護委員会への報告と本人への通知が必要で、委託先から通知を受けた委託元が報告を行うのが原則です。損害の負担割合は委託契約の定めによって変わります。

Q5. ISMSやPマークを取得している委託先なら安心ですか？

A. 認証は一定の管理体制がある目安になりますが、それだけで監督義務を果たしたことにはなりません。認証の有効期限や適用範囲に委託業務の部門・拠点が含まれるかを確認し、自社の業務に即したチェックリストでの確認や定期報告と組み合わせることが大切です。

Q6. CRM運用のどこまでをBPOに委託できますか？

A. 顧客データの入力・名寄せ、配信リストの抽出と配信作業、問い合わせの一次対応、定型レポートの作成などが委託されやすい業務です。一方、どの項目を持つかの方針、配信の企画、例外対応の判断などは社内に残すと、ノウハウの空洞化や委託先への依存を防ぎやすくなります。委託範囲が広がるほど監督すべきデータの流れも増えるため、範囲は段階的に広げる進め方が現実的です。

まとめ

BPOでCRM運用を委託することは、個人データの取扱いの委託にあたり、委託元には委託先を監督する義務が生じます。次の4点を押さえると、委託の判断と管理を進めやすくなります。

1. 委託する業務と渡すデータを最小限に絞り、選定・契約・取扱状況の把握という監督の3要素を契約と運用に落とし込む。
2. 再委託は事前承認制にし、再委託先とクラウドサービスの一覧を定期的に更新して、漏えい時の報告ルートを末端まで決めておく。
3. ISMSやPマークの適用範囲を確認するとともに、問い合わせ対応まで含めた委託範囲と、委託先のCRM運用・権限管理の仕組みを確認して委託先を選ぶ。
4. 委託の前に社内の顧客データの管理状況を点検し、名刺や取引先情報の一元管理が必要なら、名刺管理サービスの資料で機能と運用を比較検討する。

参考文献

• 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」 https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/
• 個人情報保護委員会「漏えい等の対応とお役立ち資料」 https://www.ppc.go.jp/personalinfo/legal/leakAction/
• 一般財団法人日本情報経済社会推進協会「プライバシーマーク制度」 https://privacymark.jp/
• 一般社団法人情報マネジメントシステム認定センター「ISMS-AC」 https://isms.jp/
• 名刺管理SKYPCE「活用事例」 https://www.skypce.net/case/