顧客データの管理ミスが、一瞬で信頼を失わせる。GDPRや個人情報保護法への対応が叫ばれる中、CRMコンプライアンス（CRM compliance）を「IT部門の仕事」と思っているBtoBマーケターは多い。だが、それは大きな誤解だ。マーケターこそが、コンプライアンスの最前線に立つべき存在である。
CRMコンプライアンスとは何か、なぜマーケターが主体になるべきか
CRMコンプライアンスとは、顧客データの収集・保存・活用・削除に関して、法令・社内ポリシー・契約義務を継続的に守り続けるプロセスのことだ。一度の監査で終わるものではなく、日々の運用そのものに組み込まれた仕組みを指す。
「それって法務やITの話でしょ？」と思ったなら、ここが落とし穴だ。
マーケティングチームは、CRMに最もデータを入れ、最もデータを使う部門の一つだ。フォームからリードを取得し、メール配信リストを管理し、広告プラットフォームに連携する。その一つひとつが、コンプライアンスリスクに直結している。
日本では2022年に改正個人情報保護法（改正個情法）が施行され、外国にある第三者への提供規制や、保有個人データの開示請求対応が強化された。さらにグローバルにビジネスを展開する企業であれば、EU一般データ保護規則（GDPR: General Data Protection Regulation）や、米国カリフォルニア州消費者プライバシー法（CCPA: California Consumer Privacy Act）も無視できない。
IBMの調査によれば、データ侵害（data breach）の平均コストは約4.88百万ドル。金銭的損失だけでなく、顧客との信頼関係も同時に失う。日本のBtoB企業においても、取引先からセキュリティ要件を求められるケースが急増しており、SOC 2やISO 27001の認証取得を求める声が商談の場で聞こえるようになってきた。
コンプライアンス違反が生む「見えないリスク」
正直に言うと、コンプライアンス違反の怖さは「罰金額」よりも「信頼の喪失」にある。
CISCOの調査では、消費者の53%がデータプライバシー法を認知しており、36%が自分のデータに対してアクセスや削除の請求を実際に行動に移している。この割合は前年比で大幅に増加している。BtoBの文脈でも同様で、調達担当者や情報システム部門が「あなたの会社のデータ管理体制は？」と聞いてくる場面は珍しくなくなった。
具体的に何が起きるかを考えると、メールマーケティングで同意（consent）を取得していない連絡先に一斉配信したとしよう。GDPRが適用される相手なら、これだけで最大2,000万ユーロまたは全世界年間売上高の4%の制裁金対象になり得る。改正個情法でも、不適切な第三者提供は是正勧告や命令の対象になる。
さらに怖いのは、そのリスクが可視化されにくいことだ。同意フラグが正確に記録されていなければ、何年後かに問題が表面化する。
実践すべき4つのコンプライアンス施策
### 1. データマッピングで「何を持っているか」を把握する
何を守るべきか分からなければ、守れない。まずCRMに蓄積されたデータの棚卸しを行う。収集しているデータの種類、入手経路、流通先、保持期間を文書化する作業、これをデータマッピング（data mapping）と呼ぶ。
GDPRでは「処理活動の記録（ROPA: Record of Processing Activities）」の作成が法的義務だ。日本の改正個情法でも、第三者提供の記録義務があり、実質的に同様の文書が必要になる。
スプレッドシートで始めるチームが多いが、CRMと連携したデータ管理ツールを使えば、ツールの変更に合わせてリアルタイムで更新できる。HubSpotのData Hubであれば、連携ツール間のデータの流れを可視化できる。
### 2. 同意管理と購読設定の仕組みを整備する
メール配信において、同意の取得と記録は最優先事項だ。「メールアドレスを持っているから送っていい」は通用しない。
同意管理（consent management）で押さえるべきポイントは3つある。第一に、いつ・どの経路で同意を取得したかをCRMに記録すること。第二に、オプトアウト（配信停止）は即時に全チャネルで反映されること。第三に、メール・SMS・電話など、チャネルごとに個別に同意を管理すること。一つのチャネルへの同意が他のチャネルをカバーするわけではない。
日本企業でよく見るミスが、名刺交換で得た情報を精査せずCRMに一括登録し、そのままメール配信に使うケースだ。名刺交換は「メールマーケティングへの同意」ではない。
### 3. データ保持期間（リテンションポリシー）を設定し自動化する
「使い終わったら消す」が原則だが、多くの企業でデータは際限なく蓄積され続ける。コンプライアンス上、不要なデータを抱え続けることはリスクでしかない。
カテゴリ別の保持期間を設定し、期限到達時に自動で削除または抑制するワークフローを組む。たとえば成約に至らなかった見込み顧客のデータは、最終エンゲージメントから12〜24ヶ月で削除するというポリシーが現実的だ。ワークフロー自動化ツールを使えば、担当者が毎月手作業で確認する必要がなくなる。
### 4. 外部ツール連携の統制を強化する
CRMと連携している広告プラットフォーム、MAツール、分析ツール、データエンリッチメントサービス。それぞれが顧客データのコピーを受け取っている。IBMの調査では、データ侵害の35%が「把握されていないシャドーデータ」に起因していた。
連携ツールへのデータ共有は「最小限の必要項目のみ」に絞る。たとえば広告配信に必要なのはメールアドレスだけであれば、電話番号や会社規模などの項目は同期しない。また、新しいツールをCRMに接続する際は、IT部門またはRevOpsのレビューを必須とするプロセスを作る。野良アプリが増えるだけで、知らぬ間にコンプライアンスリスクが積み上がる。
まとめ：CRMコンプライアンスはマーケティング戦略の一部だ
CRMコンプライアンスは守りの施策ではなく、顧客との信頼を積み上げるための攻めの戦略だ。同意管理が整備されたチームは、コンプライアンスの審査を短期間でクリアし、より多くの時間をキャンペーン設計に使える。データマッピング、同意の記録、保持期間の自動化、連携ツールの統制、この4つを軸に今日から動き出すことが、最大のリスクヘッジになる。
参考：https://blog.hubspot.com/marketing/crm-compliance
**