実務ガイド
「CRMにメールがあるから、すぐ配信してよい」は国によって成り立ちません。米国のCAN-SPAMは商業メールに事前同意を必須とせず、オプトアウトと表示義務が中心です。英国のPECRやEUのePrivacyは、個人向け電子メール販促を原則として同意前提にし、例外（ソフトオプトイン）の条件が狭いです。本記事では、制度の違い、ブローカー由来リストで実際に科された制裁、越境ECが最低限そろえる同意記録をわかりやすく解説します。
| 軸 | 米国（CAN-SPAM） | 英国（PECR）／EU（ePrivacy） |
|---|---|---|
| 個人向け販促メールの原則 | 事前同意は必須ではない（商業メールの表示・オプトアウト等が必要） | 原則は同意。既存顧客向けのソフトオプトインは条件付き例外 |
| 買った名簿 | 法の義務は依然として送信側に残る。オプトアウト等は省略できない | ソフトオプトインの対象外。同意の証明が取れないなら配信できない |
| オプトアウト | 受信後10営業日以内に反映。仕組みは送信後30日以上使えること | 収集時と各通で、無料・簡易な拒否手段が必要 |
| 罰則の例（公式） | 違反1通あたり最大53,088ドル（FTCが2024年1月に物価調整を反映） | 国の監督当局が行政制裁。同意の証明不能は制裁理由になる |
※表は「個人向け電子メール販促」の実務比較です。法人宛ての扱い、Cookie、電話は別ルールです。日本の特定電子メール法を海外にそのまま当てはめないでください。
連邦取引委員会（FTC）のCAN-SPAM解説は、商業メールを「商品・サービスの広告・販促を主目的とする電子メール」と定義し、B2Bにも例外を置いていません。主な義務は次です。差出人情報を偽らない。件名を欺かない。広告であることと物理的な郵送先住所を示す。受信者が将来の販促メールを止める方法を明示する。オプトアウト依頼は送信後少なくとも30日間受け付け、依頼から10営業日以内に反映する。代理店に送らせても、自社の責任は消えません。
ここでの誤解は「同意不要＝何でも送ってよい」です。同意が必須ではない代わりに、オプトアウトと表示の欠陥がそのまま違反になります。違反は1通ごとに制裁金の上限が付き、金額は物価調整で改定されます。FTCのガイドは2024年1月時点で上限53,088ドルと注記しています。
例えば、展示会で名刺を集めたリストに、件名だけ「ご注文確認」と書いて販促本文を置くと、主目的が商業と判定されやすくなります。取引メールと販促メールを混ぜるときは、件名と冒頭のどちらが主かを先に決めてください。会員向けでも、購読そのものが販促オプトアウトを消すわけではない、とFTCは書いています。取引・関係メールの5類型に入らないなら、オプトアウト手段を残してください。
英国情報コミッショナー事務局（ICO）のPECR解説は、個人購読者への電子メール販促を、原則として特定の同意がある場合に限ると書いています。同意の水準はUK GDPRに合わせ、自由・特定・情報提供済み・明確な肯定的行為が必要です。あらかじめチェックの入った同意欄、沈黙、無反応は同意になりません。
例外がソフトオプトインです。ICOは、自社の類似商品・サービスの販促に限り、次をすべて満たす場合に同意なし配信を認めます。連絡先を本人から直接得た。自社商品・サービスの販売またはその交渉の過程で得た。収集時に無料で簡単に拒否できる手段を示した。以後の各通でも同じ拒否手段を示す。買った名簿、交渉のない見込み客、第三者商品の紹介には使えません。
EUでは、ePrivacy指令（2002/58/EC）第13条が電子ダイレクトマーケティングの枠です。原則は事前同意。第13条2項が、販売の文脈で得た連絡先を、自社の類似商品・サービスに使い、収集時と各通で拒否できる場合の例外です。CJEU（欧州連合司法裁判所）は2025年11月13日のC-654/23（Inteligo Media）で、無料アカウント登録が「販売の文脈」に当たり得る場合があること、および当該例外が満たされるときは、その送信についてGDPR第6条の別根拠を重ねなくてよいこと（lex specialis）を示しました。例外は狭く読む前提です。無料トライアル一般にそのまま広げないでください。
フランスのデータ保護当局CNILは、2025年5月15日、SOLOCAL MARKETING SERVICESに90万ユーロ、CALOGAに8万ユーロの制裁を公表しました。いずれも電子手段による商業勧誘について、見込み客の有効な同意がない／証明できない点が問題になりました。データブローカー経由の名簿を使う側も、収集フォームが自由で明確な同意になっていたかを確かめる義務があり、契約条項だけでは足りない、とCNILは書いています。ある供給元については同意の証拠を当局へ示せず、GDPR第7条（同意の証明）にも触れた、と英語公表文は説明しています。
到達率が落ちる前に、配信停止や制裁が先に来ることがあります。ESP（配信事業者）の苦情率閾値とは別に、監督当局は同意の記録を見ます。CRMの「購読フラグ＝オン」だけでは、どの画面で、いつ、どの文言に、どの行為で同意したかが残りません。監査のときに「代理店が取得した」と言うだけでは足りず、取得画面のキャプチャや版管理された文言が必要になります。
論点は次の対比です。①米国向けは、オプトアウト履歴・物理住所・広告表示の実装が先。②英国・EU向け個人は、同意またはソフトオプトイン条件の充足記録が先。③ブローカー由来は、どちらの枠でも「自社が証明できるか」がボトルネックです。一つの「マーケ許可」フラグで全世界を回すと、米国では過剰でも、EUでは不足になります。
ソフトオプトインを使うなら、CRMに少なくとも次を残します。取得日時。取得チャネル（自社チェックアウト／見積交渉など）。提示した拒否文言の版。本人が拒否しなかったこと。以後の各通の配信IDと配信日時。類似商品の範囲を社内でどう定義したか。買った名簿をソフトオプトイン扱いにしない、は固定ルールにしてください。
| 項目 | 最低ライン |
|---|---|
| 取得UI | 販促メール用の同意を利用規約と分離。プリチェック禁止（英PECR／UK GDPR水準） |
| 記録 | タイムスタンプ、IPまたはデバイス識別子、同意文言の版番号、取得ページURL |
| 撤回 | 1クリック解除。解除後は販促キューから除外し、取引メールと混線させない |
| 国タグ | 配送先・請求先・同意時の法域を分け、配信ルールを国別に切替 |
| 第三者リスト | 供給元の収集フォーム監査ログ。証拠が返せない供給元は使わない |
チェックアウトでメールを取るとき、「注文確認に必要」と「週次セール案内」を同じチェックにしないでください。前者は取引、後者は販促です。混ざると、CAN-SPAMでも主目的判定が難しくなり、PECRでは同意の特定性が崩れます。画面上は2つの選択を並べ、記録も2列に分けてください。
週次で見るのは次の3点で足りることが多いです。①新規流入のうち、同意記録が空の割合。②国タグなしのまま配信キューに入った件数。③オプトアウト反映が10営業日（米国）や即時（実務上は当日）を超えた件数。苦情率が上がってからリストを洗うと、ESPの制限と当局の照会が同時に来ます。
代理店や現地販売店に配信を委託する場合も、送信責任は自社に残ります。CAN-SPAMは委託先監視を明示し、CNIL事例はブローカー任せの同意確認を否定しています。契約書には「同意証拠の開示期限」「無効同意が判明したときの即時停止」「監査費用の負担」を書いてください。四半期に1回、無作為抽出で同意証拠を取り寄せ、返せない供給元は配信対象から外す運用が現実的です。
先に決めるのは、リストの法域と取得経路です。米国中心ならオプトアウト実装を欠かさない。英国・EUの個人が混ざるなら、同意またはソフトオプトインの条件をCRMの必須項目にする。ブローカー由来は、証拠が揃うまで配信しない。メルマガのクリエイティブより先に、フラグ設計を直す方が、到達率の議論より早くリスクが下がります。
本稿の骨格は、FTCのCAN-SPAM事業向けガイド、ICOのPECR電子メール販促解説、ePrivacy指令とCJEU C-654/23、CNILの2025年5月15日付公表に依拠します。個別案件の適法性は、現地の法令・監督当局の最新ガイダンスで確認してください。公開前に、配信対象国のタグと同意記録の版番号を一度揃えてください。
CAN-SPAMは商業メールに事前同意を必須としていません。ただし差出人・件名・広告表示・物理住所・オプトアウトなど別の義務があり、違反は1通ごとに制裁金の上限が付きます。同意不要を「無制限」と読まないでください。
使えません。ICOは、連絡先を本人から直接得たことなどを条件に挙げ、買った名簿は対象外です。EUの例外も「販売の文脈で得た自社の連絡先」が前提です。
フラグだけでは足りないことが多いです。いつ・どの画面・どの文言・どの操作で同意したか、またはソフトオプトイン条件をどう満たしたかを残してください。CNILは同意の証明不能を制裁理由にしています。
ケースによります。CJEU C-654/23は、一定の無料アカウントが「販売の文脈」に当たり得る例を示しましたが、例外は狭く解釈されます。拒否手段の提示など他条件もすべて必要です。一般化して「無料＝送ってよい」とは書かないでください。