営業リストの購入は違法？
改正個人情報保護法と正しいリスト活用の完全解説

1 「営業リスト＝違法」は本当か？よくある3つの誤解

インターネット上には「営業リストの購入は違法」「名簿販売は犯罪」といった情報が散見されます。しかし、これらは状況を一律に言い切っている点で、正確とは言えません。まずは、よくある3つの誤解を解消しましょう。

誤解1：「企業の連絡先を売買すること自体が違法」

法人の商号、所在地、代表電話番号といった法人の情報は、登記簿やWebサイトで公開されている情報であり、個人情報保護法の「個人情報」にはあたりません。こうした法人情報の収集・販売・利用は、同法の規制の対象ではありません。ただし、代表者名など個人に関する情報が含まれる場合は、次の項を確認してください。

誤解2：「個人情報保護法が厳しくなって全部ダメになった」

2022年4月に施行された改正個人情報保護法では確かに規制が強化されました。しかし、規制の対象は「個人情報」の取り扱いであり、法人情報そのものは対象外です。ただし、法人の代表者の氏名は個人情報にあたり（個人情報保護委員会のQ&A）、代表者個人の携帯番号や個人のメールアドレスなども個人情報に該当しうるため注意が必要です。

誤解3：「名簿屋から買ったリストを使うと罰せられる」

適法に収集・管理されたデータを、適法な手続きで購入し、適切な目的で使うかぎり、利用者側がただちに責任を問われるわけではありません。問題になりうるのは、不正に取得されたデータだと知りながら（または知りうる状況で）利用した場合です。

2 個人情報 vs 法人情報：法律上の違い

営業リストの合法性を理解するうえで最も重要なのが、「個人情報」と「法人情報」の区別です。個人情報保護法が対象とするのは生存する個人に関する「個人情報」であり、法人そのものの情報は対象外です。

グレーゾーン：「法人に紐づく個人情報」

注意すべきは、法人情報であっても代表者個人の情報が含まれるケースです。例えば「株式会社ABCの代表取締役 山田太郎」という情報は、法人情報と個人情報の両方の性格を持ちます。

個人情報保護委員会のQ&A（Q2-6）では、法人情報のデータベースに代表者の氏名などが含まれる場合、個人の属性に着目して検索できる形で体系的に構成されていれば「個人情報データベース等」にあたり、その氏名等は「個人データ」にあたると考えられる、とされています。法人情報だけを検索できるように構成されていれば、そうならない場合もあります。実際の判断は、データの持ち方・使い方によって変わります。

3 改正個人情報保護法（2022年施行）の要点整理

2022年4月に全面施行された改正個人情報保護法は、営業リストの取り扱いにも影響を与えています。特に重要な改正ポイントを整理します。

改正ポイント1：個人関連情報の新設

Cookie情報や閲覧履歴など、単体では個人を特定できないが、他の情報と組み合わせると個人を特定できる情報が「個人関連情報」として新たに定義されました。第三者提供する際に、提供先で個人情報となる場合は本人同意の確認が義務付けられています。

改正ポイント2：漏洩等の報告義務化

個人データの漏洩が発生した場合、個人情報保護委員会への報告と本人への通知が義務化されました。営業リストに個人情報が含まれる場合、情報管理体制の構築が不可欠です。

改正ポイント3：ペナルティの強化

個人情報保護委員会の命令に違反した場合などについて、法人に科される罰金の上限が最大1億円に引き上げられました（行為者個人の命令違反の罰則は、1年以下の懲役または100万円以下の罰金）。この罰則の引き上げは、改正法の他の規定より早い2020年12月12日に施行されています（出典：個人情報保護委員会「令和2年改正個人情報保護法について」）。

改正ポイント4：オプトアウト規制の厳格化

要配慮個人情報は従来からオプトアウト方式での提供ができません。2022年4月の改正では、これに加えて、不正に取得された個人データや、他の事業者からオプトアウト方式で提供を受けた個人データも、オプトアウト方式で第三者に提供できなくなりました（出典：個人情報保護委員会「オプトアウト規定により第三者に提供できる個人データの限定」）。これにより、名簿業者が取り扱える個人データの範囲が限定されています。

営業リストが法人情報のみで構成されている場合、上記の改正の多くは直接的な影響を受けません。しかし、法的リスクを最小化するためには、自社のリストに個人情報が含まれていないかを常に確認する姿勢が重要です。

4 オプトアウト方式とは？名簿業者が守るべきルール

オプトアウト方式とは、本人の事前同意なしに個人データを第三者に提供できる仕組みです。ただし、以下の厳格な条件を満たす必要があります。

1. 個人情報保護委員会への届出 — 提供するデータの項目、提供方法、本人からの停止請求に応じる方法等を届け出る
2. 本人への通知または公表 — 容易に知りうる状態に置く（Webサイトへの掲載等）
3. 本人からの停止請求への対応 — 請求があった場合は遅滞なく提供を停止する
4. 提供先の記録義務 — 誰にいつどのデータを提供したかを記録・保存する

法人情報のみのリストと、代表者名を含むリスト

法人情報のみで構成された営業リストであれば、個人データの第三者提供に関するオプトアウト届出は問題になりません。ただし、代表者名など個人に関する情報を含む場合は、その部分が個人情報として扱われうるため、提供する事業者・利用する側の双方で個人情報保護法への対応を確認する必要があります。ListGeneのデータ収集ポリシーでも、代表者名などの一部の項目は個人情報にあたる可能性があるとしたうえで、公開情報からの適正な取得、利用目的の明示、削除依頼への迅速な対応を行うと説明しています。

5 リスト業者を確認する5つのチェックポイント

営業リストを外部から購入する場合、提供元が適法に運営されているかを確認することが重要です。以下の5つのチェックポイントを活用してください。

• 1
  データの収集元を明示しているか
  「どこから集めたデータか」を説明できない業者は危険。公開情報（登記簿、Webサイト等）が収集元であることを確認。
• 2
  プライバシーポリシーが整備されているか
  個人情報の取り扱いについて明確なポリシーを公開しているかは、確認の材料になる。
• 3
  個人情報保護委員会への届出は済んでいるか
  個人データを含むリストをオプトアウト方式で第三者に提供する業者は、届出が必要。委員会サイトで確認可能。
• 4
  データの更新頻度とクレンジング体制があるか
  古いデータを放置していると、品質だけでなくデータの管理にも問題が出やすい。定期更新の仕組みを確認。
• 5
  削除・停止請求への対応体制があるか
  企業から「リストから削除してほしい」という請求があった場合に対応できる体制があるか。

6 ListGeneのデータ収集ポリシー

ListGeneは、企業が自社Webサイトなどで公開している情報と、国税庁の法人番号公表サイトなどの公的データをもとに、企業データベースを構成しています。データの取り扱いについては、データ収集ポリシーで次のような方針を示しています。

収集データの範囲

ListGeneが収集しているのは、企業が公開している法人の情報と公的データです。主な項目は次のとおりです（公開されている場合のみ）。

• 法人名（商号）、法人番号
• 本店所在地、代表電話番号、FAX番号
• 代表者名（公開されている場合。個人情報にあたる可能性があるため、削除依頼にも対応します）
• 業種分類、従業員規模、設立年月
• 企業Webサイト URL、問い合わせフォーム URL

AI分析による付加情報

上記の公開情報をもとに、AIが以下の分析情報を付加します。これらは公開情報から推測・分類した法人についての情報で、AIによる推定のため実際と異なる場合があります。

• 企業規模ランク（S〜Dの5段階）
• DX推進度（5段階評価）
• 推奨アプローチチャネル（電話 / フォーム / メール / FAX）
• 課題・ニーズの推測

適法に取得したデータの品質を維持するには、データクレンジングの方法をご覧ください。

法令を遵守した営業リスト作成の全体像は、営業リストの作り方完全ガイドをご覧ください。

7 まとめ：営業リストを使うときに確認したいこと

営業リストの購入・利用は、正しい知識と適切な運用があれば、法令を守って進められます。重要なのは「個人情報」と「法人情報」の区別を正確に理解し、信頼できるデータソースを選ぶことです。