登録フォームが受信トレイの迷惑メールにつながる仕組み

登録フォームに入力したメールアドレスはどう使われるのか

登録フォームにメールアドレスを入力すると、サイトがそれを利用できるようになるだけでなく、明示された共有、売却や譲渡、情報漏えい、公開された投稿からの収集を通じて、そのアドレスが広まる可能性もあります。CAN-SPAMに基づくオプトアウトは、その送信者から今後送られる対象マーケティングメールを停止し、オプトアウトしたアドレスをその送信者が後に譲渡することを制限します。ただし、すでに開示、売却、漏えい、収集されたアドレスのコピーを回収するものではありません。

フォームが受け取るのは、単なる文字列ではありません。実際に使えるメールアドレスに加え、何に関心を持っていたか、どのページからアクセスしたか、いつアクセスしたかという情報も受け取ります。この組み合わせによってアドレスには他者へ渡す価値が生まれ、それこそが以下のような経路が存在する理由です。

そもそも特定のフォームにどのメールアドレスを入力するか決める際には、そのフォームのために使い捨てアドレスを作成しますを利用して、普段使いの受信トレイを切り離しておくことができます。ただし、そのようなアドレスに付けられた名称だけでは、実際にどう機能するかは判断できません。その違いを使い捨て、使い捨て、使い捨てメールの違いで整理しています。以下では、メールアドレスを送信した後に何が起こるかを説明します。

この記事全体には一つの限界があります。ここで説明するのは、適用される規則や公表されたポリシーから判断して起こり得る経路です。特定のサイトがあなたのメールアドレスを実際にどう扱っているかを把握していると主張するものではありません。

自社によるフォローアップと第三者への拡散

米国のCAN-SPAMでは、配信停止の申し出は、対象となる商業メールの送信者に対して適用されます。その送信者が最初に登録したサイトであっても、その後アドレスを入手した企業であっても同じです。ただし、アドレスを保有するすべての者に一括して配信停止を命じるものではありません。

受信者の立場から確認できる状況は2つあり、法的な区分ではなく説明上の区分にすぎませんが、それぞれを区別しておくと分かりやすくなります。一つは、アドレスを入力したサイトから届くニュースレター、キャンペーン情報、製品のお知らせなどのメールです。もう一つは、あなたが何も提供していない企業から届くメールです。

重要なのは、そこから何が導かれるかです。その後アドレスを入手した企業が、米国のCAN-SPAMの対象となる商業メールの送信者であれば、その企業自身がオプトアウトに対応する義務を負います。法的な境界となるのは対象メールの送信者であり、その送信者が自社利用によってアドレスを得たのか、その後の拡散によって得たのかではありません。この法律は、アドレスを保有するすべての者に一括して配信停止を命じるものではありません。

情報共有、リストの売却、情報漏えい、スクレイピングはそれぞれ異なる経路

メールアドレスがサイトのシステムに登録されると、サイトは自社のメール配信にそれを利用できます。それとは別に、アドレスが広まる経路は4つあり、経路ごとに取れる対策が異なります。

明示された情報共有。サイトのプライバシーポリシーに、パートナーや関連会社とデータを共有すると記載されており、実際に共有される場合です。共有について読める形でどこかに明記されているため、送信前に確認できる経路です。

売却または譲渡。メールアドレスが資産として別の企業に移される場合です。ここには知っておくべき重要な制約があります。米国のCAN-SPAM規則では、オプトアウト後、送信者はメーリングリストの一部としての場合も含め、あなたのアドレスを売却または譲渡できません。明記されている唯一の例外は、その送信者による法令遵守を支援するために委託された企業への譲渡です。この制約が適用されるのは送信者のその後の行為であり、オプトアウト前に譲渡されたアドレスのコピーまで遡って回収するものではありません。

情報漏えい。サイトが意図しない形で、メールアドレスがサイトの管理下から流出する場合です。

公開された投稿からの収集。メールアドレスがどこかで公開されると、そこから収集される可能性があります。この経路は、アドレスが先に公開されることを前提としているため、すべての登録に当てはまるわけではありません。

配信停止の申し出によって実際に変わること

ここで扱うのは米国のCAN-SPAM規則であり、企業が送信するあらゆるメッセージではなく、対象となる商業目的のマーケティングメールに適用されます。

その範囲では、オプトアウトへの対応は単なる厚意ではなく、期限の定められた義務です。送信者は10営業日以内に申し出に対応しなければなりません。また、提供するオプトアウトの仕組みは、メールの送信後少なくとも30日間、申し出を処理できる状態でなければなりません。これはその仕組みを利用可能な状態に保つ期間についての要件であり、申し出への対応を完了する期限ではありません。

規則はさらに、申し出に応じる条件として送信者が要求できる事項も制限しています。料金を請求することはできません。メールアドレス以外の個人識別情報を要求することもできません。また、返信メールの送信または一つのウェブページへのアクセス以外の手続きを要求することもできません。

オプトアウト後は、前述の売却および譲渡に関する制限がその送信者に適用されます。これらの規則に違反するメールには1通ごとに罰則が科されるため、この義務は単なる勧告ではなく、実効性を伴います。

配信停止を申し出てもメールアドレスを回収できない理由

CAN-SPAMは、対象となる商業メールの送信者に明確な義務を課しています。これとは別に、EU GDPRまたは英国GDPRが適用され、有効な消去権が認められる場合、管理者は対象データを消去しなければなりません。ただし、第17条第2項および第19条が定める提供先に関する義務には、合理的な措置や実行不可能性に関する限定的な条件があります。いずれの法制度にも、データを技術的に回収する仕組みはありません。

先に進む前に、重要な区別があります。マーケティングを停止するための配信停止の申し出が、自動的に第17条に基づく消去請求になるわけではありません。この2つは、異なる規則に基づいて行われ、適用範囲も異なる別々の請求です。EU GDPR第17条第1項では、列挙された根拠のいずれかに該当する場合に消去が求められます。たとえば、データが不要になった場合、ほかに法的根拠がない状態で同意が撤回された場合、ダイレクトマーケティングに異議を申し立てた場合、処理が違法だった場合、または法律上消去が義務付けられている場合です。第17条第3項では、表現および情報の自由、法的義務の履行または公益上の任務、公衆衛生、所定の要件を満たすアーカイブ、研究もしくは統計目的、ならびに法的請求に必要な処理が認められています。ICOは、これに相当する英国GDPR上の権利について、絶対的なものではなく条件付きであると説明しています。

有効な消去義務が存在する場合、その限界は提供先に関する義務に表れます。第19条は、管理者に対し、データの開示先である各受領者へ消去を通知するよう義務付けています。ただし、それが不可能であるか、過大な労力を要する場合は除きます。また、本人から求められた場合には、それらの受領者を明らかにすることも義務付けています。第17条第2項は、その管理者がデータを公開しており、かつ消去義務を負う場合に適用されます。その場合、利用可能な技術と実施費用を考慮した合理的な措置を講じ、リンク、コピー、または複製に関する本人の消去請求をほかの管理者へ通知しなければなりません。

英国の監督機関の指針ではさらに、この権利は請求後に作成されたデータではなく、請求を受けた時点で保有されているデータに適用されるとされています。

これらを併せて読むと、見出しの質問への答えが分かります。どちらの枠組みも企業に対応を義務付けることができます。しかし、他社のシステムにあるコピーまで削除できる手段を与えるものではありません。だからこそ、重要なのは送信後ではなく、送信前なのです。

登録フォームを送信する前の確認方法

ボタンを押す前に確認できることは4つあり、それぞれから具体的な情報が得られます。

同意に関する文言。 チェックボックスがあらかじめオンになっていないかを確認し、自分が実際に何に同意するのかを読みましょう。企業からメールを受け取ることへの同意と、その企業があなたの情報をパートナーと共有することへの同意は別物です。

プライバシーポリシーの情報共有に関する項目。 ここには、開示されている情報共有について記載されているか、何も記載されていません。単にデータを第三者と共有する場合があるとするポリシーよりも、共有先の種類を明記したポリシーのほうが多くの情報を得られます。

送信者の身元。 実際に誰がメールを送るのか確認してください。入力しているフォームの運営企業ではなく、パートナーやプラットフォームからメールが届くのであれば、まだ選択できるうちに知っておく価値があります。

明記された配信頻度。 何をどのくらいの頻度で送るかが示されているフォームなら、その内容が約束となり、後から届くメッセージと照らし合わせることができます。何も示していないフォームには、そのような約束はありません。

よくある質問

配信停止によって、メールアドレスが有効だと確認されることはありますか?

心当たりのある送信者なら、その配信停止手続きを利用してください。予期しないメッセージや不審なメッセージの場合は、リンクをクリックせず、スパムまたは迷惑メールとしてマークし、必要に応じてフィッシングとして報告してください。質問に文字どおり答えると、固有のリンクから誰かがメッセージを操作したことが分かる場合がありますが、そもそもメッセージが届いた時点で、送信者にはそのメールアドレスが有効であることが分かっています。

送信者が別の会社から私のメールアドレスを入手したかどうかは、どうすれば分かりますか?

メッセージだけでは、その会社がどこからメールアドレスを入手したのか特定できない場合があります。メールアドレスを伝えたことのない会社からメールが届いたなら、別の経路で取得された証拠にはなりますが、それが開示済みの情報共有、譲渡、情報漏えい、公開された投稿からの収集のどれによるものかまでは分かりません。

受信トレイを変更すると、サイトがすでに保有しているデータは削除されますか?

いいえ。別の受信トレイに移ることで変わるのは、新しいメールの受信先です。企業がすでに保存している情報は変わらず、以前に与えた同意も撤回されません。特定の企業が保有するデータを削除するには、適用される規則でその権利が認められている場合、その企業に対して権利を行使する必要があります。どの種類の受信トレイに移るかは、それ自体が別の判断であり、別名と別受信箱の選択その選択によって、今後のメールの受信先が決まります。