CRM・SFAと個人情報保護：クラウド利用で押さえるセキュリティと法令の要点
顧客情報を扱うCRM・SFAの利用で必要な個人情報保護法の基本、委託先の管理、アクセス権限、外国のサーバー利用時の注意点を整理します。
CRM・SFAには顧客や取引先の個人情報が集まるため、個人情報保護法に沿った利用目的の特定、安全管理措置、クラウド提供元（委託先）の管理、アクセス権限の設計が必要です。法令の細部は事業の内容で変わるため、この記事では実務で押さえるべき要点を整理し、判断に迷う場合は公式情報や専門家で確認することを前提に説明します。
CRM・SFAに登録される情報の例
CRM・SFAには、氏名、会社名、部署、役職、メールアドレス、電話番号、名刺の情報、商談のメモ、メールの履歴などが登録されます。BtoBの取引でも、担当者個人の氏名や連絡先は個人情報に当たります。個人情報保護法は、個人情報を取り扱う事業者に広く適用されます（取り扱う件数の下限はありません）。
個人情報保護法の基本的な義務
| 義務 | 内容 | CRM・SFAでの実務 |
|---|---|---|
| 利用目的の特定・通知公表 | 取得するときに、利用目的を明確にし、本人に通知または公表する | プライバシーポリシーに「営業活動のための連絡」などを記載 |
| 適正な取得 | 偽りその他不正の手段で取得しない | 名刺交換や問い合わせなど、正当な経路での取得 |
| 正確性の確保 | 内容を正確かつ最新に保つ努力 | 異動・退職の情報の更新、不要データの削除 |
| 安全管理措置 | 漏えいや滅失を防ぐための措置 | アクセス権限、パスワード管理、多要素認証、従業員教育 |
| 委託先の監督 | 個人データの取り扱いを委託する場合の監督 | クラウド提供元の選定と契約内容の確認 |
| 第三者提供の制限 | 原則として、本人の同意なく第三者に提供しない | 他社への顧客リスト提供には注意 |
| 開示請求等への対応 | 本人からの開示・訂正・利用停止の請求 | 請求を受けた際に検索・対応できる体制 |
| 漏えい時の報告 | 一定の漏えい等が起きた場合の報告・通知義務 | 事故発生時の連絡体制と手順の整備 |
個人情報保護法は、2022年4月の改正法施行により、漏えい等の報告義務、外国にある第三者への提供に関する規律などが整備されました。細かな要件は、個人情報保護委員会のガイドラインで確認してください。
クラウドの提供元は「委託先」になるか
CRM・SFAのクラウドサービスでは、提供元がデータを保管します。提供元が、個人データを取り扱わないこと（契約条項等で、サーバー内の個人データを取り扱わないことになっており、適切なアクセス制御が行われている）が前提の場合は、「提供」や「委託」に当たらないとされる整理もありますが、契約内容によって判断が変わります。この点は、個人情報保護委員会のガイドラインやQ&Aで、考え方が示されています。不明な場合は、提供元の規約を確認し、専門家に相談してください。いずれの場合も、提供元の安全管理の水準を確認し、必要な管理を行うことは重要です。
海外のサーバーに保管される場合
多くのクラウドは、データを海外のデータセンターに保管している場合があります。外国にある第三者に個人データを提供する場合は、原則として本人の同意などが必要となる規定があります。ただし、クラウドの利用が、法的にどの類型に当たるかは、契約内容や運用の実態で変わります。次の点を確認します。
- データの保管場所（国・地域）を、提供元が公表しているか。
- 保管場所を指定または限定できるか。
- 提供元の個人情報の取り扱いに関する規約。
- 保管場所のある国の制度についての情報。
プライバシーポリシーには、外国にあるサーバーで保管する場合は、その旨と国名などの情報を記載する必要があるかどうかを、ガイドラインで確認してください。
アクセス権限の設計
CRM・SFAの安全管理で特に重要なのは、誰が、どのデータを見て、編集し、書き出せるかの設計です。
- 最小権限の原則：業務に必要な範囲だけの権限を付ける。
- 役割別の権限：営業、マネージャー、管理者、閲覧のみ、で分ける。
- エクスポート権限の制限：CSVの書き出しは、情報漏えいの大きな経路です。管理者などに限定します。
- 退職・異動時のID管理：退職日にIDを停止する手順を決める。
- ログの確認：アクセスログや操作の履歴を確認できるか。
セキュリティ対策のチェックポイント
- 多要素認証（MFA）が利用できるか、有効にしているか。
- パスワードの管理：使い回しをしない、パスワード管理の仕組みを使う。
- IPアドレスの制限やシングルサインオン（SSO）に対応しているか。
- スマートフォンの利用：紛失時のリスク。端末の管理、リモートでのロックや削除。
- 提供元の第三者認証：ISO/IEC 27001（ISMS）などの認証取得の有無、政府のクラウドの認定制度であるISMAPへの登録の有無。ただし、認証があることと、自社の用途で十分な安全が確保されることは別なので、内容を確認します。
- バックアップと障害対応：データの復旧の仕組み、障害時の連絡。
営業メールや外部ツールとの関係
CRM・SFAと連携するメール配信、MA、チャットボット、AIの機能などは、個人データを外部のサービスに渡す経路になります。連携するたびに、提供元の規約、データの利用範囲（学習への利用の有無など）を確認してください。特に、生成AIの機能に顧客情報を入力する場合は、社内のルールを明確にしておくことが望まれます。
事故が起きたときの備え
個人データの漏えいなどが発生した場合、個人情報保護委員会への報告や、本人への通知が必要になる場合があります。初動の連絡先、報告の手順、記録の方法を、事前に決めておきます。小規模な事業者でも、基本的な手順書があると、冷静に動けます。
計算例：権限設計の見直し（仮の数字）
営業20人のうち、CSVを書き出す権限を持つ人が20人全員になっているとします。業務上必要なのが管理者と営業企画の3人なら、17人分の権限を外すことで、漏えいの経路を絞れます。こうした見直しは、費用がほとんどかからずに、リスクを下げられます。
専門家に相談したほうがよい場面
大量の個人データを扱う場合、機微な情報を扱う場合、海外の顧客データを扱う場合、事故が起きた場合は、弁護士や、情報セキュリティの専門家に相談してください。このページは一般的な情報であり、法的な助言ではありません。
よくある質問
名刺の情報を営業に使ってよいですか？
名刺交換の際に、通常は営業連絡などの目的が想定されますが、利用目的の公表や通知が求められます。利用目的をプライバシーポリシーなどで公表しておきます。
退職者のデータはどうすべきですか？
退職者のIDは速やかに停止し、担当していた顧客と案件を、別の担当に引き継ぎます。顧客データ自体は、会社の管理下に残ります。
クラウドの提供元との契約で、何を確認すべきですか？
データの保管場所、秘密保持、再委託の有無、セキュリティ対策、事故時の通知、解約時のデータの返還と削除について、契約書や規約を確認してください。
参考・公式情報
- 個人情報保護委員会 — 個人情報保護法のガイドライン、Q&A
- IPA 独立行政法人情報処理推進機構 — 中小企業の情報セキュリティ対策
- 経済産業省 — クラウドサービス利用に関する情報
