ネットショップを運営していると、手元には想像より多くの個人情報が集まります。注文のたびに氏名と住所と電話番号が入り、注文後の問い合わせと返品の相談を受ければ、そこに事情が書き足されます。贈り先の住所、置き配の指示、留守にしている時間帯、返品したい理由。これらは売るために必要だから集めているのであって、集めたくて集めているわけではありません。
困るのは、集まったものが一か所に収まらないことです。注文管理の画面、メールの受信箱、モールの管理画面、表計算の台帳、共有フォルダ、そして誰かのスマートフォン。同じ人の情報が五か所に分かれて置かれている状態は、規模の小さな店ほど普通に起きます。
この記事では、ネットショップが受付で集めた情報について、どこに置いて、誰が見られる状態にして、いつ消すのかを決めるための順番を並べます。法律の解釈そのものを断定することはしません。判断に迷う場面が出てくるので、所管の窓口や専門家に確かめてください。ここで扱うのは、受付を回す側が先に決めておける部分です。
ネットショップが持っている情報は、注文の名簿だけではない
届けるために、住所と電話番号を必ず持つ
実店舗との決定的な違いは、届けるために住所が要ることです。店頭であれば、名前も住所も知らないまま売買が終わります。ネットショップでは、氏名、住所、電話番号、メールアドレスが最低限そろわないと発送できません。
しかも一件につき住所が二つになることがあります。注文した人の住所と、贈り先の住所です。贈答の多い店では、贈り先の情報が注文者の情報より多く溜まります。贈り先の人は、その店で買った覚えがありません。にもかかわらず、店の手元には氏名と住所が残っています。
この構造は、扱いを一段慎重にする理由になります。本人が把握していない情報を持っているからです。贈り先の情報をいつまで残すのかは、注文者の情報とは分けて考える価値があります。
返品の相談には、生活の事情が書かれてくる
注文後の問い合わせと返品の相談を受けていると、注文の記録だけでは出てこない情報が入ってきます。届いたときに家にいなかった理由、贈る予定だった行事、体格や体調に関する記述、家族構成。返品の理由を説明しようとして、相手が自分から書いてきます。
「入院中の家族に贈るつもりだったが日程が変わった」「サイズが合わなかった」「子どもが使う予定だったが年齢に合わなかった」。こうした文章は、返品の可否を判断するために必要な情報であると同時に、その人の生活が分かる情報でもあります。
法律は、扱う目的について次のように定めています。
個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り特定しなければならない。 出典: 個人情報保護委員会
できる限り特定するという言葉が具体的に何を求めているかは、扱う中身によって変わります。ただ、返品の相談で書かれた事情を、後から販売の分析や広告の配信に流用してよいかというと、そこは慎重に見るべき場所です。集めた目的の外に持ち出すときは、判断を止めて確かめる場面だと考えておくと安全です。
決済と配送の記録が積み上がる
注文の一件には、支払いの記録と配送の記録がぶら下がります。いつ、いくら、どの方法で払ったか。どこへ、いつ届いたか。これが注文の数だけ積み上がります。
支払いのカード情報そのものは、決済の代行会社が持ち、店の手元には残らない作りになっていることが多い。ただし、二重請求や返金の相談を受けたときに、相手が明細の画面を撮って送ってくることがあります。そうすると、店の手元に写しが残ります。仕組みとして持たない設計にしていても、問い合わせの経路から入ってくるということです。
だからこそ、問い合わせの受け皿の作りが、そのまま個人情報の持ち方を決めます。フォームや受信箱の設計を後回しにして保管のルールだけを作っても、抜け道はここから開きます。
いまの持ち方でそのまま足りる場合
先に、変えなくてよい場合を置いておきます。運用を変えるのは手間なので、必要が無いのに動くと手間だけが残ります。
注文のほとんどがモールを経由していて、自社サイトを持たず、問い合わせもモールのメッセージ欄だけで受けているなら、情報の置き場はモールの管理画面に集まっています。この状態は、置き場が一つという点ではむしろ整っています。手を入れるべきなのは、そこからダウンロードした一覧をパソコンに置きっぱなしにしていないか、という一点です。
受付が経営者ひとりで、他に誰も画面を見ないなら、見られる人を絞る作業は要りません。この場合に効くのは、端末の紛失に備えることと、その人が動けなくなったときに誰が引き継ぐのかを決めておくことです。
年間の注文が少なく、返品の相談も年に数件なら、消す作業を仕組みにする必要もありません。年に一度、手で見て消せば足ります。問題になるのは、件数が増えて手で見きれなくなったときです。そのときに困らないよう、置き場だけは分散させないようにしておきます。
情報がいまどこに置かれているかを書き出す
守り方を決める前に、どこに何があるのかを書き出します。この作業を飛ばすと、いちばん危ない場所が対策から漏れます。
注文管理の画面
自社サイトを持っているなら、ここが本体です。氏名、住所、電話番号、メールアドレス、注文の履歴が入っています。ログインできる人が誰なのかを確認します。同じアカウントを複数人で使い回していないかも見ます。使い回していると、誰が見たのかが分からなくなります。
メールの受信箱
注文の控え、問い合わせ、返品の相談、運送会社とのやり取りが溜まっています。受信箱は検索できてしまうので、実質的に名簿として機能します。共有のアドレスを複数人で見ている場合、そのアドレスを見られる人の一覧を書き出します。
モールの管理画面
モールごとにアカウントがあり、購入者の情報が入っています。モールによって、表示される情報の範囲や、ダウンロードできる期間が違います。いま使っているモールのヘルプで確かめてください。ここで見落としやすいのは、過去にダウンロードした一覧のファイルです。パソコンの中に何年分も残っていることがあります。
表計算の台帳と共有フォルダ
問い合わせの一覧、返品の管理表、贈答用の宛名リスト。手で作った表は、複製が増えやすい。ファイル名に日付が付いた似た表が並んでいたら、その全部に個人情報が入っています。
個人のスマートフォンとチャット
発送の連絡や在庫の確認を、スタッフ同士のチャットでやり取りしていると、そこに宛名や住所が流れます。写真で伝票を撮って送る形になっていれば、画像として端末に残ります。ここは把握が難しい場所なので、書き出す段階で必ず確認します。
紙の伝票と同梱の控え
印刷した納品書の控え、発送前の伝票の束、返送されてきた商品に付いていた申請書。紙は場所を取るので棚に積まれ、そのまま忘れられます。溶解や裁断の段取りが決まっているかを見ます。
最初に決めるのは、保管場所ではなく見られる人の範囲
全員が全部を見られる状態は、自然にできあがる
規模の小さな店では、権限を分ける発想がそもそも無いまま始まります。人が二人しかいないときに権限を分ける意味はほとんど無いからです。ところが三人、五人と増えても、最初の形がそのまま残ります。
分けるべき線は、業務の種類で引くと決めやすい。注文後の問い合わせと返品の相談を見るのは、受付と発送の担当。求人の応募を見るのは、店長と経営者。売上の集計を見るのは、経営者と経理。この三つを混ぜないだけで、状態はかなり良くなります。
分けた結果を紙に書いて残しておきます。人が入れ替わったときに、書いたものが無いと元に戻ります。
倉庫や発送の委託先に渡すとき
在庫と発送を外に委託していると、宛名の情報を渡すことになります。ここは判断が必要な場所です。法律は、第三者への提供について次のように定めています。
個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。 出典: 個人情報保護委員会
発送のための委託がこの規定との関係でどう整理されるかは、渡し方や契約の中身によって変わります。断定できないので、契約を結ぶ前に所管の窓口や専門家に確かめてください。
受付の側で先に決められるのは、渡す範囲です。発送に必要なのは、その出荷ぶんの宛名です。過去の全注文が見える権限を渡す理由はありません。渡し方も決めます。表計算のファイルをメールに添付して送る形は、宛先の打ち間違いで別の相手に届きます。
繁忙期の短期スタッフ
セールや年末に人を増やす店では、短期のスタッフが管理画面に触ります。ここで起きやすいのが、期間が終わってもアカウントが残ることです。次の繁忙期まで使わないアカウントが、権限を持ったまま眠ります。
対策は、作るときに終わりの日を一緒に決めておくことです。作った日と、止める予定の日を同じ表に書きます。止める作業を思い出せる形にしておかないと、誰も止めません。
辞めた人のアカウントと端末
退職のときに、メールのアカウント、管理画面のログイン、チャットの参加、共有フォルダの権限を止めます。四つのうち一つでも残ると、そこから見えます。
見落としやすいのは、私物の端末に入ったままの状態です。店の管理画面にログインしたまま、店の共有フォルダを同期したまま、店のチャットに入ったまま。退職の手続きの中に、端末側から抜いてもらう項目を入れておきます。
問い合わせフォームの作りで、すでに決まってしまっていること
通知メールに中身を全部載せない
フォームで受けると、届いたことを知らせる通知メールが飛びます。この通知の本文に、入力された内容を全部載せる作りが多い。便利ですが、これをやると、通知の届く受信箱すべてが個人情報の保管場所になります。
通知は、届いたことと、どこを開けば読めるかだけにする形が安全です。中身は管理の画面で読む。こうしておけば、見られる人を絞る話が実際に機能します。通知に全部載っていると、権限を分けても意味がありません。
届いた添付ファイルの置き場所
返品の相談では、商品の写真や伝票の写真が届きます。これがどこに保存されるのかを確認します。フォームの管理画面の中にとどまるのか、外のストレージに置かれるのか、通知メールに添付されて飛ぶのか。
いちばん避けたいのは、ファイルの置き場所が誰でも開けるリンクになっている形です。リンクを知っていれば見られる状態だと、転送された先で誰が見ているのかを追えません。
送信の途中と保存先
送信の経路が暗号化されているか、保存される場所がどこの国にあるのか。この二つは、使う道具を選ぶ段階でしか決められません。あとから変えるのは大変なので、選ぶときに確認します。公開されている資料で確かめられるものだけを判断材料にして、資料に記載が見当たらないものは、問い合わせて回答をもらってから決めます。
何のために集めるのかを先に決めて、書いておく
集めた情報を何に使うのかは、集める前に決めて、集める画面に書きます。ネットショップの場合、使いみちは複数あります。発送、問い合わせへの回答、返品と返金の処理、運送会社への確認、メーカーへの取り次ぎ、そして案内メールの配信。
このうち、案内メールの配信は性格が違います。注文のために必要な処理ではなく、店の都合で送るものです。ここを注文の処理と一緒くたにして書いておくと、後で線が引けなくなります。分けて書き、受け取るかどうかを選べるようにしておくほうが、結果として運用が楽になります。
書く場所は、フォームの送信ボタンの近くと、取り扱いを説明するページの二か所です。片方だけだと、読まれないか、探されないかのどちらかになります。長い文章にする必要はありません。何に使い、誰に渡す可能性があり、どれくらい置いておくのか。この三つが書いてあれば足ります。
集めすぎない
最初の一回で聞くものを絞る
いちばん効く守りは、そもそも持たないことです。持っていない情報は、漏れません。
問い合わせのフォームに欄を並べるとき、あると便利だからという理由で足すと、必ず増えます。生年月日、性別、職業、購入のきっかけ。返品の相談に答えるために、これらは要りません。判断の基準は「その欄が無いと返信できないか」です。返信できるなら、要りません。
注文後の問い合わせなら、注文番号か注文時の氏名、返信先の連絡先、相談の種類、状況の説明。この四つで、最初の返信は書けます。返送先の住所が必要になるのは、返品を受けると決めたあとです。決めてから聞けば、受けない場合に住所を持たずに済みます。
使わない項目を、年に一度は見直す
一度作った欄は、使われなくなっても残ります。集計に使っていたが今は見ていない項目、キャンペーンのために足した項目、前の担当が入れた項目。
年に一度、欄の一覧を出して、その欄の入力内容を直近で誰かが使ったかを確認します。使っていない欄は消します。消すのに勇気が要るなら、任意に変えるだけでも構いません。任意にすると入力率が下がり、本当に必要かどうかが分かります。
モールと自社サイトでは、持ち方が変わる
同じ店でも、注文がどこから入ったかで情報の持ち方が変わります。ここを一緒くたにすると、対策が噛み合いません。
モール経由の注文では、購入者の情報はモールの管理画面にあります。店の手元にダウンロードしない限り、店のパソコンには増えません。見られる範囲や保存の期間もモールの仕組みに従います。表示される情報の範囲はモールごとに違い、変更されることもあるので、いま使っているモールのヘルプで確かめてください。
自社サイト経由の注文では、店が全部を持ちます。持つ代わりに、扱いも全部が店の責任範囲に入ります。ここで起きやすいのが、モールの感覚のまま自社サイトを始めてしまう形です。モールでは考えなくてよかったことが、自社サイトでは全部こちらに来ます。
厄介なのは、両方を並行して運営している場合です。同じ人が両方から買っていて、片方には最新の住所があり、もう片方には古い住所がある。問い合わせが自社サイトのフォームに来て、対象の注文はモールのほうだった。この行き違いは日常的に起きます。
対処は、統合しようとしないことです。注文の情報は、それぞれの場所に置いたままでよい。統一するのは、問い合わせの受け皿だけにします。問い合わせの一件に「どこの注文か」を書く欄を一つ足しておけば、受付の側は迷いません。全部を一つのデータベースにまとめようとすると、作業が大きくなりすぎて途中で止まります。
案内メールと、注文の処理を分ける
集めた連絡先の使いみちで、いちばん線が引きにくいのが案内メールです。新商品の案内、再入荷の通知、季節のセール。売上に直結するので、送りたくなります。
ここで注意したいのは、注文のために取得した連絡先を、そのまま案内の配信に回してよいかという点です。法律は、目的の外で扱うことについて次のように定めています。
個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。 出典: 個人情報保護委員会
どこまでが必要な範囲かは、あらかじめ何を目的として示していたかによって変わります。広告の送信そのものについては別の法律の定めもあります。断定はできないので、配信を始める前に所管の窓口や専門家に確かめてください。
受付の側で先にできるのは、注文の処理と案内の配信を、集める段階で分けておくことです。注文の画面に、案内を受け取るかどうかの選択を一つ置く。返品の相談のフォームには、案内の項目を置かない。困っている相手に案内の同意を求める形は、それ自体が印象を悪くします。
分けておくと、止める依頼が来たときも簡単です。案内だけを止めて、注文の処理に関する連絡は続けられます。混ざっていると、止めた結果として発送の連絡まで届かなくなり、別の苦情になります。
いつ消すかを決める
保管の話で最後まで残るのが、消す側です。ネットショップの場合、消してよいものと、残す必要があるものが混ざります。
取引の記録は、帳簿や書類として一定の期間の保存を求められる場合があります。求められる範囲や期間は、事業の形や取り扱いによって変わるので、所管の窓口や専門家に確かめてください。ここで言えるのは、保存が必要な範囲と、受付の都合で持っているだけの範囲は別物だということです。
受付の都合で持っているものは、期間を決めて消せます。返品の相談で送られてきた写真、やり取りの本文、電話のメモ。これらは、返金や交換が終わって一定の期間が過ぎれば、判断のために見返す機会がほとんどありません。期間を一つ置いて、月に一度の作業として組み込みます。
贈り先の情報は、別に扱う価値があります。贈られた本人は、その店に自分の住所があることを知りません。次の注文で再利用する見込みが無いなら、注文の処理が終わった時点で消す判断もあり得ます。
決め方に正解はありません。決めていない状態だけを避けます。決めていないと、事実上は永久保存になります。
表計算の台帳で持ち続けるかどうか
多くの店で、問い合わせと返品の管理は表計算の台帳から始まります。始めやすく、誰でも触れて、費用がかかりません。ここを否定する必要はありません。件数が少ないうちは、台帳のほうが速い場面もあります。
問題が出るのは、件数と人が増えたときです。表計算のファイルは、複製が自然に増えます。開いている人がいると編集できないので、名前を変えて保存する人が出ます。持ち帰って作業するために、自分の端末にコピーする人が出ます。こうしてできた複製の全部に、氏名と住所が入っています。
もう一つの弱点が、誰がいつ見たかも、誰がいつ直したかも残らないことです。行が一つ消えていても、いつ消えたのか分かりません。返品の相談は金銭のやり取りを伴うので、記録が消えたときの影響が大きい。
見る人を絞れないことも効きます。ファイルを渡した時点で、全行が見えます。一件だけを見せたいときにも、全部が見えます。ここを気にし始めたら、台帳のままで延ばすのは難しくなります。
台帳から移るかどうかの判断は、件数だけでは決まりません。触る人の数、複製がいくつあるか、外に渡す機会があるか。この三つのどれかが増えていたら、移る検討の時期です。
買った人に説明できる状態にしておく
問い合わせの中には、自分の情報についての依頼が混ざります。登録した住所を消してほしい、案内メールを止めてほしい、どんな情報を持っているのか教えてほしい。件数は多くありませんが、来たときに答えられないと、そこから話が大きくなります。
答えるためには、二つが必要です。第一に、その人の情報がどこに何件あるのかを、探せる状態にしておくこと。注文管理の画面だけでなく、受信箱の中や台帳の中にも同じ人の記録があります。散らばっていると、答えるのに何時間もかかります。第二に、依頼を受け付ける窓口をどこにするかを決めて、公開しておくこと。
こうした請求への具体的な対応の範囲や手順は、法律と規則で細かく決まっています。ここで断定はしません。実際に依頼が来たときに慌てないよう、平時のうちに所管の窓口の案内を読んでおいてください。
受付の側で先にできるのは、依頼が来たときの流れを一枚の紙にしておくことです。誰が受けて、誰が確認して、いつまでに返すのか。これが決まっていれば、当日の判断は少なくて済みます。
相談する側が身構える場所を知っておく
ネットショップの相談は、店の窓口だけで完結しません。返信が来ない、話がかみ合わないと感じた人は、別の場所へ向かいます。レビュー欄、モールの運営、決済の会社、そして消費生活の相談窓口。
ここで効いてくるのが、記録が残っているかどうかです。相談の経緯を外から聞かれたときに、いつ何を受けて、いつ何を返したのかを順番に出せるかどうか。受信箱に散らばった状態では、この作業に何日もかかります。件としてまとまっていれば、その一件を開けば済みます。
記録は、店を守るためだけのものではありません。相手の言い分と店の説明が食い違ったときに、事実で確かめられる材料になります。どちらが正しいかを感情で争わずに済むという意味で、双方にとって役に立ちます。
そして記録を残すことと、個人情報を長く持ち続けることは同じではありません。残すのは経緯です。写真や住所のような重い情報は、必要が無くなった時点で落とせます。何を残して何を落とすかを、件の単位で分けて考えると、両立できます。
万一のときにどう動くかを、先に決めておく
法律は、漏えいなどが起きた場合について次のように定めています。
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたときは、個人情報保護委員会規則で定めるところにより、当該事態が生じた旨を個人情報保護委員会に報告しなければならない。 出典: 個人情報保護委員会
どの事態が報告の対象になるのか、いつまでに何をするのかは、規則で細かく決まっています。ここで断定はしません。起きたときに調べ始めるのでは遅いので、平時のうちに所管の窓口の案内を読み、連絡先を控えておいてください。
受付の側で先に決めておけるのは三つです。誰が最初に気づいたときに、誰へ連絡するのか。誰が外への説明を書くのか。どの記録を見れば、何が出たのかを特定できるのか。三つ目が、そのまま置き場を一か所にまとめる理由になります。散らばっていると、何が出たのかを確かめる作業に何日もかかります。
一年に一度、点検する項目
点検の項目を、短く並べておきます。多いと続かないので、7項目にとどめます。
第一に、管理画面にログインできる人の一覧を出し、辞めた人や短期のスタッフが残っていないかを見ます。第二に、共有のメールアドレスを見られる人を確認します。第三に、パソコンの中の一覧ファイルを検索して、古いダウンロードを消します。第四に、フォームの欄を見直し、使っていない項目を削ります。第五に、通知メールに中身が全部載っていないかを見ます。第六に、消すと決めた期間を過ぎた記録が残っていないかを見ます。第七に、外部に渡している範囲が広がっていないかを確かめます。
年に一度と決めておくと、繁忙期を避けて計画できます。思い出したときにやる形だと、繁忙期の直前に思い出して、そのまま流れます。
受付の形と、守りやすさは同じ話になっている
ここまで並べたことの多くは、置き場所が一つにまとまっていれば自動的に楽になります。逆に、受信箱と表計算とフォルダと個人の端末に散らばったままでは、どれだけルールを書いても守れません。
守りやすい形かどうかを判断するときの軸は三つです。第一に、届いたものが一件としてまとまるか。第二に、見られる人を役割ごとに分けられるか。第三に、消す作業を仕組みとして組み込めるか。無料で使える定番の道具と、送信されたあとの扱いがどう違うのかは、Googleフォームとの比較に、回答が表に溜まったあとで何が起きるかという観点から整理されています。
すでに自社サイトにフォームを置いている店であれば、Contact Form 7との比較に、送信の通知だけが飛ぶ状態と、送信後の管理まで持つ状態の違いがまとめられています。通知に中身を全部載せない形が取れるかどうかは、ここで分かれます。
どんな道具を選ぶにしても、実際に届いたあとの画面を先に見ておくと判断が早い。動くところを見るで、送信されたあとに何が並ぶのかを確かめられます。フォームを作る画面ではなく、届いたあとの画面のほうを長く見てください。送信されたあとの道具がそろっているかどうかは、作る画面からは分かりません。
同じ構造は、ネットショップ以外の受付でも繰り返し出てきます。届いたものに個人の事情が書かれてきて、その置き場と見られる人が決まっていないと詰まる。どの場面でどう詰まるのかは、問い合わせの受付に、受け取ってから返すまでの流れとして整理されています。会員向けの案内を別に持っている店なら、会員の入会申し込みのほうも合わせて見ておくと、注文の情報と会員の情報を混ぜないための線が見えます。
最後に順番をもう一度だけ書きます。個人情報の話は、保管の方法から入ると必ず止まります。決めるのは、どこに置くかより先に、誰が見られるかです。見られる人が決まれば、置き場所の候補は絞られます。置き場所が絞られれば、いつ消すかも一か所について決めればよくなります。散らばったまま安全を確保しようとするから、終わらないだけです。
Q1. ネットショップの個人情報対策で、最初に手を付けるべきなのはどこですか？
保管場所の選び直しではなく、いまどこに何があるかの洗い出しです。注文管理の画面、メールの受信箱、モールの管理画面、表計算の台帳、個人の端末、紙の伝票。この六か所を書き出すと、対策から漏れていた場所が必ず出てきます。そのうえで、業務の種類ごとに見られる人を分けるのが次の一手です。
Q2. 発送を外の倉庫に委託しています。宛名の情報を渡すときに気を付けることは？
渡す範囲を、その出荷ぶんに限ることです。過去の全注文が見える権限を渡す理由はありません。渡し方も決めます。表計算のファイルをメールに添付する形は、宛先の打ち間違いで別の相手に届きます。委託と法律上の整理は契約の中身で変わるため、結ぶ前に所管の窓口や専門家に確かめてください。
Q3. 問い合わせの通知メールに、入力内容を全部載せてもよいのですか？
便利ですが、通知が届く受信箱すべてが個人情報の保管場所になります。見られる人を分けても、通知に全部載っていれば意味がありません。通知は届いたことと、どこを開けば読めるかだけにして、中身は管理の画面で読む形にすると、権限を分ける工夫が実際に機能します。
Q4. 返品の相談の記録は、いつまで残せばよいですか？
取引の記録として保存が必要な範囲は、事業の形によって変わるため所管の窓口や専門家に確かめてください。それとは別に、受付の都合で持っている写真ややり取りの本文は、返金や交換が終わって一定の期間が過ぎれば見返す機会がほとんどありません。期間を一つ決めて、月に一度の作業として消すのが現実的です。
Q5. フォームの項目は減らしたほうがよいのですか？
持っていない情報は漏れません。判断の基準は「その欄が無いと返信できないか」です。注文後の問い合わせなら、注文番号か注文時の氏名、返信先の連絡先、相談の種類、状況の説明の四つで最初の返信は書けます。返送先の住所は、返品を受けると決めてから聞けば、受けない場合に持たずに済みます。