展示会で受け取った名刺、そのままマーケティングに使ってもいいのか — GDPRリードキャプチャガイド

展示会が終わると、世界中のマーケティング部門で同じことが起こります。名刺の束とスキャンしたバッジデータが、そのままニュースレターの配信リストにアップロードされるのです。先に結論をお伝えすると — 名刺を受け取ったことは、マーケティングへの同意を得たことと同じではありません。 名刺は「商談した件について連絡してよい」というシグナルであって、「あらゆるキャンペーンの配信先に加えてよい」という意味ではありません。GDPRの下では、名刺に記載された連絡先も個人データであり、その利用の一つひとつに適法な根拠(lawful basis)が必要です。この記事では、ブースでリードを収集した瞬間から、その記録を削除する日まで、出展社とイベント主催者が実務で何を押さえるべきかを整理します。

この記事は一般的な情報提供を目的としたものであり、法的助言ではありません。個別の判断については、データ保護の専門家または監督機関にご確認ください。

渡された名刺を、なぜ自由に使ってはいけないのか

名刺には氏名、勤務先、役職、電話番号、メールアドレスが記載されています。B2Bの文脈であっても、これらはすべて個人データです。GDPRの基本ロジックはシンプルです — 個人データは、特定した目的の範囲内で、適法な根拠に基づいてのみ処理でき、本人には何をしているのかを知らせなければなりません。

文脈が重要です。来場者がブースでの商談中に名刺を渡すとき、合理的に期待されているのはその商談に関するフォローアップ — 約束した見積書、日程調整に合意したミーティング — です。この種のフォローアップは、適切に利益衡量を行い、その評価を文書化していれば、正当な利益(legitimate interest)を根拠にできる場合が多くあります。一方、継続的なマーケティングメールは別の話です。ニュースレターやプロモーションキャンペーンについて、より安全で広く推奨される根拠は同意(consent)です — 自由に与えられ、特定され、十分な情報に基づき、記録されたものであること。そしてどの根拠に依拠するにせよ、多くの法域の電子マーケティング規制が、GDPRの上にさらに独自のオプトイン・オプトアウト要件を課しています。

展示会場で繰り返し見られる危険なパターンは3つあります。

1. 名刺を包括的な同意とみなすこと。 GDPRにおける同意は、特定的かつ立証可能でなければなりません。ガラス鉢に入れられた名刺は、そのどちらも満たしません。
2. 同意は取ったが記録していないこと。 ブーススタッフが「メールをお送りしてもよろしいですか?」と尋ねて来場者が「はい」と答えても、誰が、いつ、何に同意したのかが書き残されていなければ、後から立証できません。記録のない同意は、実質的に同意がないのと同じです。
3. リードリストを永久に保管すること。 3回前のイベントのスプレッドシートが、共有ドライブに無期限で残っています。保存期間の制限(storage limitation)は中核的な原則です。目的が達成されたか保存期間が終了したら、データは消去されるべきです。

展示会リードのデータには、どんな原則を適用すべきか

規則を暗記する必要はありません。次の5つの習慣を、イベントのワークフローに組み込むことが大切です。

第一に、収集の時点で透明性を確保します。 何を収集するのか(連絡先、商談のメモ)、なぜ収集するのか(フォローアップ、マーケティング — 別々に明示)、どのくらいの期間保管するのかを来場者に伝えます。ブースや入力フォームに短いプライバシー通知を置けば十分です。マーケティングの同意がほしい場合は、商談のフォローアップとは別に、明示的に尋ねます — デフォルトでチェックの入っていないチェックボックス1つと、記録に添えるタイムスタンプがあれば足ります。

第二に、明示した目的の範囲内にとどまります。 「お問い合わせへのフォローアップ」のために収集したリードを、こっそり全社キャンペーンのデータベースに統合することはできません。目的を広げるには、あらためて同意を得るか、新しい適法な根拠を確立し — そしてそれを文書化する必要があります。

第三に、保存期間を定め、実際に削除します。 「いつか使うかもしれない」は保存ポリシーではありません。イベントリードの保存期間を — たとえば自社の営業サイクルに紐づけて — 定義し、それを伝え、期限が来たら復元不可能な形で削除します。CRMのレコード、エクスポートしたスプレッドシート、スキャンした名刺画像まで含めてです。

第四に、第三者への提供と、自社のための処理委託を区別します。 リードリストを、別の会社が自らの目的で使うために渡すのは第三者提供であり、独自の根拠と透明性が必要です。一方、自社の指示のみに基づいてリードを処理するSaaSツールを使うのは処理者(processor)への委託 — データ処理契約(DPA)を軸とする、義務の異なる別の関係です。

第五に、処理者を管理します。 来場者データに触れるすべてのツール — リードキャプチャアプリ、メール配信プラットフォーム、クラウドドライブ — は処理者です。それぞれとDPAを締結し、アクセス制御、監査ログ、データ分離といったセキュリティ体制を確認すべきです。処理者がリードを漏洩させても、説明責任はあなたに残ります。

段階別に何を確認すべきか

ライフサイクルをチェックリストとして整理しました。イベント前の準備会議の議題として、そのまま使えます。

段階	確認すべきこと
収集時	ブースにプライバシー通知を用意 / マーケティング同意をフォローアップと分けて取得 / リードごとに同意状況とタイムスタンプを記録
保管中	アクセスを必要な担当者に限定 / 名刺画像・リードファイルは個人のスマホではなく管理された保管場所に / 誰がいつ何を閲覧したかのログを維持
利用時	送信前に目的と適法根拠を確認 / マーケティングメールには機能する配信停止手段を明示 / 第三者提供には独自の根拠を確保
削除時	保存期間を点検 / 原本・エクスポート・スキャン画像を復元不可能な形で消去 / 削除の事実そのものを文書化

チームが最も見落としがちな項目は「記録」です。記録のない同意は立証できず、ログのないアクセスは説明できず、文書化されていない削除は証明できません。アカウンタビリティ(説明責任) — コンプライアンスを達成するだけでなく、示せなければならないというGDPRの原則 — は、記録の上に成り立っています。

イベント主催者の責任は何か

ブースではなくイベントを運営する立場なら、視野はより広くなければなりません。主催者は、イベント全体のデータ構造 — 誰が何を収集し、どこに保管され、誰が管理するのか — を設計し、説明できる位置にいる当事者だからです。

主催者のリストに載せるべきことは3つです。役割をマッピングすること。 事前登録データ、バッジスキャン、出展社がブースで記録する商談記録は、それぞれ管理者(controller)が異なる場合があります。誰が何に責任を持つのかを文書化しておけば、来場者に「私のデータはどこへ行くのか」と聞かれたとき、一文で答えられます。出展社向けの最低基準を設定すること。 出展社マニュアルにデータ保護の最低限の期待事項 — プライバシー通知の提示、マーケティング同意とフォローアップの分離、必要最小限の収集 — を盛り込みます。主催者自身を含め、イベント全体のリスクが下がります。契約を整えること。 登録プラットフォームやリードキャプチャツールは処理者です。DPAを締結し、所有権を契約書で明確にします — イベントで収集された来場者データは、ベンダーではなく、出展社と主催者に帰属すべきです。

原則を守るには、記録が残るツールが必要です

チェックリストを見返すと、1つのテーマが繰り返されています。証明です。同意の証明、誰がレコードにアクセスしたかの証明、削除の証明。名刺ファイルとスプレッドシートからは、そのどれも生まれません。

TagBoothは、QR・NFCタグベースの展示会商談記録SaaSで、まさにこの記録の問題を中心に設計されています。すべての商談記録にはタイムスタンプ付きの同意状況フィールドがあり、ブースで取得した同意がそのままデータとして残ります。名刺画像は非公開ストレージに保管され — 公開URLには決して置かれず — 検証済みの正当なリクエストに対してのみ、時間制限付きの閲覧リンクが発行されます。出展社間のデータは完全に分離され、ログインはパスワード不要のメール認証コード方式のため、漏洩するパスワードそのものが存在しません。最も特徴的なのは、すべてのデータアクセスが監査ログに書き込まれ、毎日ハッシュチェーンで封印されてビットコイン(OpenTimestamps)に刻印されることです — つまり、「誰がいつどの記録を閲覧したか」を、事後に改ざんできない形で立証できます。企業向けのアクセス履歴閲覧画面、スマホ紛失時のセッション遠隔失効、DPAの提供まで — データの所有権は出展社と主催者にあり、TagBoothは処理者としての役割に徹します。念のため付け加えると、法的義務をツールが代わりに履行してくれるわけではありません。しかし適切なツールは、その義務を果たすために不可欠な記録を自動的に生成してくれます。デモではインストール不要でそのまま体験でき、全体の流れはご利用方法で確認できます。

FAQ

ブースで来場者から渡された名刺は、マーケティングへの有効な同意になりますか?

なりません。名刺交換は通常、商談に関するフォローアップへの誘いと解釈されるものであり、マーケティングキャンペーンに対する特定的で十分な情報に基づく同意とはみなせません。ニュースレターやプロモーションには、別途明示的に尋ね、曖昧さがなく、タイムスタンプ付きで記録された同意を取得してください。

展示会リードについて、同意の代わりに正当な利益(legitimate interest)に依拠できますか?

正当な利益は、状況によっては関連性のあるB2Bフォローアップの根拠になりえますが、文書化された利益衡量の評価が必要であり、電子マーケティング規制はGDPR上の根拠にかかわらずオプトイン同意を求めることが少なくありません。多くの組織が継続的なマーケティングに同意を用いるのは、まさに立証がクリーンだからです。迷ったら尋ねましょう — ブースのチェックボックス1つにコストはかかりません。

収集したリードはいつまで保管できますか?

GDPRは固定の期間を定めておらず、保存期間が明示した目的に見合っていることを求めています。フォローアップと営業サイクルに紐づけた期間を定義し、プライバシー通知で伝え、期限が過ぎたら — エクスポートやスキャンした名刺画像を含む — すべてのコピーを削除し、削除したことを文書化してください。

リードキャプチャSaaSの利用は、第三者へのデータ提供に当たりますか?

一般的には当たりません — 自社の指示のみに基づいてリードを処理するSaaSは処理者であって第三者の受領者ではないため、別途の提供同意は不要です。必要なのはデータ処理契約(DPA)とデューデリジェンスです。来場者データを預ける前に、そのベンダーがアクセス制御、監査ログ、顧客間のデータ分離を備えているかを確認してください。