顧客データを広告媒体にアップロードしても大丈夫？｜カスタマーマッチ・Cookie・個人情報の実務

2026.11.13

今回の相談では何が起きていたのでしょうか？

あるオンラインサービス会社では、既存顧客のメールアドレスや電話番号を広告媒体へアップロードし、既存顧客への広告配信や、既存顧客に似たユーザーへの広告配信を行っていました。

広告効果は非常に高く、通常広告の顧客獲得単価が約18,000円であるのに対し、顧客データを利用した広告では約11,500円。

新規顧客獲得の約28％が、この仕組みに依存しています。

ところが管理部が確認すると、対象データには、

• 現在の有料顧客
• 無料体験だけで契約しなかった人
• 3年以上前の退会者
• 法人顧客の担当者
• 利用頻度やLTVなどの属性情報

まで含まれていました。

さらに、広告代理店へ渡したCSVには、顧客管理番号や会社名、受講コース名まで含まれていた時期がありました。

社内では、誰もデータの流れ全体を把握していません。

私は、この問題の本質は「広告媒体を使ってよいか」ではないと考えます。

データ活用のスピードに、会社のデータ管理が追いついていないこと。

ここが本当の問題です。

「広告媒体でハッシュ化されるから大丈夫」なのでしょうか？

私は、その説明だけでは判断しません。

マーケティングの現場では、

「メールアドレスはハッシュ化されるので、個人情報そのものを広告会社へ渡しているわけではない」

という説明を受けることがあります。

しかし重要なのは、技術上どのような文字列に変換されるかだけではありません。

誰の情報を、何のために利用し、広告媒体側で何と照合し、最終的にどのような広告配信に使うのか。

この一連の処理を見る必要があります。

「ハッシュ化」という言葉を、法的な安全証明として扱わないことが重要です。

広告代理店への「委託」と考えれば問題ないのでしょうか？

ここも今回の重要なポイントです。

例えば、会社から預かった顧客情報を、広告代理店が会社の指示どおり処理するだけであれば、委託として整理できる場面があります。

しかし、広告媒体側が自社で持っているユーザー情報と顧客メールアドレスを突合し、一致したユーザーへ広告を出す場合は、単純な「委託」という言葉だけでは整理できません。

個人情報保護委員会も、既存顧客のメールアドレスをSNS事業者へ渡し、SNS事業者側のメールアドレスと突合して広告を表示するケースについて、単純な委託として扱えない例を示しています。

私はそのため、

自社 → 広告代理店 → 広告媒体

というデータの流れを図にします。

そのうえで、それぞれの会社が何をしているのかを確認します。

最初に作るべき「データマップ」とは何ですか？

私は、次の項目を一覧にします。

これを作るだけで、かなりの問題が見えてきます。

3年前に退会した顧客を広告に使い続けてもよいのでしょうか？

私は、長期退会者については優先的に見直します。

個人情報だから何年で必ず削除しなければならない、という単純な年数だけの問題ではありません。

重要なのは、

「なぜ今もこの情報を持っているのか」

「なぜ今も広告に利用する必要があるのか」

を説明できるかです。

退会から何年も経過した顧客から、

「なぜまだ私の情報を広告に使っているのですか」

と聞かれて説明できないのであれば、広告効率だけを理由に利用を続けるのは慎重になるべきです。

Cookieを使った広告なら個人情報の問題はありませんか？

Cookieについても「氏名がないから自由」とは考えません。

Cookie等の端末識別子を通じて収集された閲覧履歴や、購買・サービス利用履歴などは、個人情報保護法上「個人関連情報」として問題になる場合があります。

さらに、それを受け取る側で個人データと結び付けることが想定される場合には、別の確認が必要になることがあります。

つまり、

Cookieか個人情報かという名前だけではなく、提供先でどう利用されるかまで見る必要があります。

プライバシーポリシーを書き換えれば解決するのでしょうか？

私は、最初にプライバシーポリシーだけを書き換えることは勧めません。

先に実態を確認する必要があります。

実際に何のデータを送っているのか分からない状態で、

「広告サービスに利用する場合があります」

という文章だけ追加しても、会社自身がデータ利用を管理できるようにはなりません。

順番は、

実態把握 → 法的整理 → 運用変更 → 表示・通知の整備

です。

広告をすべて即日停止するべきでしょうか？

私は、必ずしもそうは考えません。

今回、顧客データ広告をすべて止めれば、年間6,000万～8,000万円程度広告費が増える可能性があります。

経営への影響は小さくありません。

だからといって、成果が高いから全部継続するのも危険です。

私は、データ利用を次のように分類します。

全部止めるのでも、全部残すのでもありません。

説明できない利用から止めます。

年間数千万円の広告効果があるなら、多少のリスクは取るべきですか？

ここは法律だけでは決まりません。

確かに、通常広告よりCPAが大きく改善するのであれば経営上は魅力的です。

しかし一方で、大手法人顧客との年間7,000万円の契約審査で、

「取得した個人情報を外部広告サービスへ提供していますか」

と聞かれています。

ここで実態を把握しないまま、

「提供していません」

と回答してしまう方が危険です。

広告費を年間数千万円下げることと、大手顧客から情報管理を信用されること。

両方を含めて経営判断する必要があります。

広告代理店に責任を負わせれば解決するのでしょうか？

代理店への確認は必要です。

今回であれば、過去に渡したCSVについて、

どこへ保存したのか。

誰がアクセスしたのか。

どの項目を媒体へ送ったのか。

現在も残っているのか。

削除したのか。

を確認します。

しかし、

「広告代理店が大丈夫と言った」

だけで終わらせません。

顧客データを取得したのは自社であり、マーケティング目的を決めているのも自社だからです。

なぜマーケティング部と管理部が対立するのでしょうか？

マーケティング部には、

「この施策でCPAを下げた」

という実績があります。

一方、管理部から見ると、

「どこへ何を送っているのか分からない」

という怖さがあります。

ここで、

「マーケティングは危険」

「法務は売上を止める」

という対立にすると会社は弱くなります。

私は、

データ活用をやめるのではなく、説明できるデータ活用に変える

という方向で整理します。

私ならどの順番で立て直しますか？

広告設定・CSV・契約・ログを保存する
↓
データフローを可視化する
↓
取得時の利用目的を確認する
↓
広告媒体・代理店との役割を整理する
↓
長期退会者など高リスク利用を止める
↓
不要な属性データの送信を止める
↓
Cookie等の広告利用も棚卸しする
↓
プライバシーポリシー等を整備する
↓
広告利用停止要求に対応できる仕組みを作る
↓
説明できる広告施策だけを残す

経営者が最後に確認すべき質問は何ですか？

私は、このような顧客データ広告について、最後にこう聞きます。

「その顧客本人から、『なぜ私のデータをその広告会社へ渡したのですか』と聞かれたとき、分かりやすく説明できますか？」

この質問に答えられないのであれば、広告のCPAがどれだけ良くても、一度立ち止まった方がよいと考えます。

よくある質問（FAQ）

Q1．メールアドレスをハッシュ化すれば個人情報ではなくなりますか？

ハッシュ化という技術処理だけで一律に安全と判断することはできません。送信前後の情報の性質、広告媒体側での突合方法、利用実態まで確認する必要があります。

Q2．広告代理店への委託なら本人同意は不要ですか？

単純な委託として整理できる場合と、広告媒体側の独自データとの突合などにより別の整理が必要になる場合があります。「委託契約がある」という事実だけでは判断できません。

Q3．退会者の情報は何年で削除しなければなりませんか？

一律の年数だけで判断する問題ではありません。保存・利用する必要性、利用目的、顧客への説明、社内の保存期間ルールなどを確認します。

Q4．Cookie広告も個人情報保護法と関係しますか？

Cookie等を通じた閲覧履歴などは個人関連情報に該当する場合があります。提供先で個人データとして取得されることが想定される場合などには、追加の確認が必要になります。

Q5．プライバシーポリシーに「広告利用」と追加すれば十分ですか？

文章の修正だけでは十分とは限りません。先に実際のデータフローと利用実態を把握し、それに合わせて利用目的、通知・同意、契約、保存期間等を設計する必要があります。

Q6．広告効率が良くても停止すべきですか？

すべて一律停止する必要があるとは限りません。根拠を説明できない利用や、必要性の低いデータから停止し、適切に設計できる広告は残すという方法があります。

Q7．法人担当者のメールアドレスなら自由に使えますか？

法人の担当者であっても、特定の個人を識別できる情報であれば個人情報の問題が生じます。法人営業で取得した情報を広告媒体へ送ることまで当然に含まれるとは限りません。

まとめ｜顧客データ広告の問題は「使えるか、使えないか」の二択ではありません

顧客データを使った広告は、非常に高い成果を出すことがあります。

だからこそ会社は、利用範囲を少しずつ広げがちです。

現役顧客から無料体験者へ。

無料体験者から退会者へ。

メールアドレスから利用履歴やLTVへ。

その結果、ある日、誰も全体を説明できなくなります。

私は、問題が起きたときに広告を全部止めることから始めません。

まずデータを地図にします。

そして、説明できない利用から止めます。

そのうえで、適切に使えるデータ活用は残します。

重要なのは、データを使えるかではありません。

「なぜこのデータを、この目的で、この会社へ渡しているのか」を顧客本人に説明できるかです。

私は、それがデータドリブンマーケティングを長く続けるための基本だと考えます。

※本記事は、顧客データを利用した広告配信、カスタマーマッチ、Cookie、類似オーディエンス、広告代理店へのデータ提供等について、一般的な経営判断の考え方を整理したものです。個別の取扱いについては、データの内容、取得時の利用目的、提供先での処理、契約関係、本人への通知・同意等によって評価が異なります。