顧客情報管理システムの要件｜個人情報保護法の安全管理措置・保存期間・削除を設計に落とす【2026年版】

顧客情報管理システムは、名刺や問い合わせ履歴を1か所に集めた時点で、個人情報保護法の安全管理措置の中心になります。この記事では、顧客情報を扱うシステムに求められる要件を、アクセス制御と操作ログ、保存期間と削除、漏えい時の報告という3つの場面に分けて整理しました。個人情報保護委員会のガイドラインとCRMの監査機能の公式資料をもとに、閲覧やエクスポートが変更履歴に残らない盲点や、2026年7月公布の改正法で変わる委託先の義務まで示し、標準機能で足りる条件と設計を入れるべき条件を言い切ります。

まとめ：顧客情報管理システムは保管・アクセス制御・削除の3要件を先に決める

顧客情報管理システムの選定で先に決めるべきなのは、機能一覧ではなく「誰がどの項目を見られるか」「操作の記録を何年残すか」「不要になった顧客情報をどう消すか」の3点です。個人情報保護法は製品名を指定しませんが、安全管理措置・消去の努力義務・利用停止等の請求への対応を事業者に課しており、その実行手段がシステムの設定になります。

見落としやすいのはログの範囲です。多くのCRMは更新と削除を記録しても、画面での閲覧やファイル出力は別の仕組みでしか残りません。漏えいを疑ったときに「誰が持ち出したか」を答えられる設定かどうかを、契約前に確かめてください。

SaaS型CRMの標準機能で大半は満たせます。設計や開発を入れるべきなのは、委託先に一部の項目だけ見せる、連携先やバックアップまで含めて削除を証明する、のどちらかが要る場合です。

顧客情報管理システムと顧客管理システムの違い、法令の義務から見た役割

顧客管理システムとCRMの基本機能、Excelとの違いは顧客管理システムの機能とExcelとの違い・脱Excelの判断基準で解説しています。ここでは同じシステムを、個人情報を安全に持つための器として見直します。

顧客情報管理システムが扱う個人データの範囲と、名刺や対応履歴が含まれる理由

法人営業だけのCRMなら個人情報は少ない、という理解は誤りです。取引先の会社名は個人情報ではありませんが、担当者の氏名・部署・メールアドレス・携帯番号は特定の個人を識別できる情報で、検索できる形で登録した時点で個人情報データベース等を構成する個人データになります。

問い合わせ履歴や商談メモも同じ扱いです。「〇〇様、体調不良で来月に延期」と書いたメモは、記載の内容によっては病歴に近い情報を含みます。顧客情報管理システムの要件定義では、項目一覧に加えて、自由記述欄に何を書かせないかまで決めておくと、後の削除や開示請求の手間が減ります。

個人情報保護法の22条から35条を顧客情報管理システムの要件に変換した対応表

システム要件に直結する条文は次の5つです。条番号は個人情報保護委員会のガイドライン（通則編・令和8年6月一部改正）の記載に合わせています。

32条により、23条で講じた安全管理措置の内容は、支障がない範囲で本人の知り得る状態に置く必要があります。プライバシーポリシーに書ける水準の設定を、システム側で実際に持っているかが問われます。

顧客情報のアクセス制御と操作ログの要件｜技術的安全管理措置をCRM設定に落とす

安全管理措置の中でも、システムの設定で決まるのが技術的安全管理措置です。ガイドラインの別添は、基本方針・規律の整備・組織的・人的・物理的・技術的・外的環境の把握の7項目で構成されています。

ガイドライン別添10-6の技術的4項目とCRMの権限・認証・暗号化設定の対応

通則編の技術的安全管理措置は、アクセス制御、アクセス者の識別と認証、外部からの不正アクセス等の防止、情報システムの使用に伴う漏えい等の防止の4項目です。CRMの設定に置き換えると、次の対応になります。

• アクセス制御：ロールごとに閲覧できるレコードと項目を限定する。退職者と異動者のアカウントは当日中に停止する
• 識別と認証：共有IDを廃止し、多要素認証とシングルサインオンで個人を特定する
• 不正アクセスの防止：ログイン元IPの制限、ログの定期確認、連携用APIキーの権限を最小にする
• 漏えい等の防止：通信と保存データの暗号化、一括エクスポート権限を管理者だけに絞る

実務でまず手を付けるのは、共有IDの廃止とエクスポート権限の制限です。この2つが残っていると、他の設定を整えても「誰がやったか」を後から特定できません。部署の階層に合わせた権限の組み方は、大企業の顧客管理システムの権限設計とデータ量・海外拠点の要件で詳しく扱っています。

閲覧とエクスポートは変更履歴に残らない、CRM監査ログの範囲の落とし穴

CRMの「監査ログ」が何を記録するかは、製品ごとに記録対象を確かめることが必要です。Microsoft LearnのDataverse監査の解説（2026年10月7日更新）によると、Dynamics 365の基盤であるDataverseの監査は、レコードの作成・更新・削除、共有の変更、セキュリティロールの変更を記録します。一方で取得操作とエクスポート操作は監査の対象外で、記録するには別のアクティビティログを有効にする必要があると明記されています。

顧客情報の持ち出しは、多くの場合「閲覧」か「エクスポート」で起きます。更新履歴だけを残す設定では、漏えいを疑ったときに対象者と件数を絞り込めません。ガイドラインも取扱記録の例として、個人情報データベース等の利用・出力状況と、ログイン実績やアクセスログを挙げています。Dynamics 365でのログ設計はMicrosoft Dynamics 365の導入支援サービスでも相談を受けています。

委託先やコールセンターに渡す顧客情報の項目を絞る設計と委託先の監督

コールセンターや発送代行に顧客情報管理システムを触らせる場合、委託元には25条の監督義務があります。ガイドラインが示す監督の中身は、適切な委託先の選定、委託契約の締結、委託先での取扱状況の把握です。システム側では、委託先専用のロールを作り、対応に必要な項目だけを見せる設定にします。

委託先の画面から一括出力ができない状態にしておくことも大事な要件です。委託先のシステムに顧客情報の写しを残さない設計の具体例は、大和証券の不正アクセス事案から学ぶ問い合わせ管理の委託先設計で取り上げています。

顧客情報の保存期間と削除の要件｜利用停止・消去請求に応える仕組みづくり

顧客情報管理システムは、放っておくと情報が増え続けます。消す仕組みを最初に持たせないと、22条の消去の努力義務にも、35条の請求にも応えられません。

監査ログの保持期間は既定で永久、保存期間を決めないと顧客情報は消えない

先のMicrosoft Learnの解説では、Dataverse監査の保持期間の既定値は「永久」で、カスタム設定の最大は24,855日です。保持期間を変えても既存の監査レコードには反映されず、変更後に作成されたレコードから新しい期間が適用されます。導入時に決めずに運用を始めると、後から短くしても過去分は残り続けます。

保存期間は、顧客レコード本体と監査ログで分けて決めてください。本体は「最終取引から〇年」、ログは「漏えい調査と内部監査に必要な〇年」という形です。税務上の帳簿書類のように法令で保存年限が決まる情報は、その年限を下回らないよう経理部門と照合します。

22条の消去努力義務と35条5項の利用停止・消去請求に応える削除手順

35条5項は、事業者が利用する必要がなくなった場合、漏えい等の報告対象事態が生じた場合、本人の権利や正当な利益が害されるおそれがある場合に、本人が利用停止や消去を請求できると定めています。請求を受けてから探し回らずに済むよう、次の手順を運用として決めておきます。

1. 本人を氏名・メールアドレス・電話番号の複数キーで検索し、重複レコードも含めて特定する
2. 利用停止で足りるか消去が必要かを判断し、停止なら配信停止フラグを立てる
3. 消去する場合は、関連する商談・活動履歴・添付ファイルまで対象に含める
4. 削除日・対応者・請求の受付番号を記録し、責任者が完了を確認する

手順4の確認は、ガイドラインが中小規模事業者向けに示す「削除・廃棄したことを責任ある立場の者が確認する」手法と同じ考え方です。

削除したはずの顧客情報が残る3か所：監査履歴・バックアップ・連携先

本体のレコードを消しても、顧客情報は別の場所に残ります。1つ目は監査履歴です。Dataverseには単一レコードの監査履歴をまとめて消す機能があり、公式資料はこれを顧客からの削除要求に対応する場面向けと説明しています。専用の特権が必要なため、誰に付与するかを決めておきます。

2つ目はバックアップ、3つ目はMAツールや基幹システムなどの連携先です。連携先の削除は自動では伝わらない構成が多く、削除イベントを連携先へ送る処理を作るか、連携先ごとの削除手順を台帳に載せる必要があります。連携の方式ごとの設計は顧客管理システムの開発方式と要件の見極め方でも触れています。

漏えい時の報告と令和8年改正に備える顧客情報管理システムのログ設計

顧客情報の漏えいは、起きた後の報告期限が短いのが特徴です。期限内に影響範囲を答えられるかは、事前のログ設計で決まります。

漏えい等報告の4類型と、速報3〜5日・確報30日に間に合わせるログの持ち方

委員会への報告が必要になるのは、要配慮個人情報を含む場合、財産的被害のおそれがある場合、不正の目的によるおそれがある場合、本人の数が1,000人を超える場合の4類型です。ガイドラインは速報を知った時点から概ね3〜5日以内とし、確報は30日以内、不正アクセスのような不正の目的によるものは60日以内と定めています。

確報では、漏えいした項目と本人の数を示す必要があります。「どのアカウントが、いつ、何件を出力したか」がログから抽出できれば、本人の数が1,000人を超えるかどうかについて、数日での判定が可能です。逆にログが更新履歴だけなら、全顧客を対象に報告と通知を行う判断に傾きます。ここに、閲覧とエクスポートのログを残す実利があります。

2026年7月公布の改正法で変わる委託先の義務と本人通知の緩和

2026年7月10日に成立し、7月17日に公布された個人情報保護法の改正（個人情報保護委員会の案内ページ）は、原則として公布から2年以内に施行されます。2026年10月時点では未施行で、細目は委員会規則などで今後定められます。

委員会の概要資料のうち、顧客情報管理システムに関係するのは3点です。委託先が業務の遂行に必要な範囲を超えて個人データを取り扱うことの禁止が明文化されます。本人への通知義務の緩和の対象となるのは、社内IDのように単体では意味を持たない情報だけが漏えいした場合などです。違法な第三者提供も報告対象に加わります。いずれも、委託先の利用範囲と漏えいした項目をログで示せる事業者ほど対応が軽くなる方向の改正です。

顧客情報管理システムを標準機能で済ませる条件と、設計・開発を入れる条件

ここまでの要件を踏まえて判断を示します。多くの企業は、SaaS型CRMの標準機能と設定で法令上の要件を満たせます。

SaaS型CRMの標準機能と設定で顧客情報管理の要件を満たせる条件

次の3つがそろうなら、製品の設定だけで構築して構いません。利用者が自社の従業員だけで、委託先にアカウントを発行しない。連携先が1〜2本で、削除を手作業で反映できる件数に収まる。監査ログとアクティビティログを、追加費用の範囲内で必要な期間保持できる。

従業員100人以下の中小規模事業者には、ガイドラインで簡便な手法も示されています。ただし過去6か月以内に扱う個人の数が5,000を超える事業者や、委託を受けて個人データを扱う事業者は除かれます。顧客数が多い通販やBtoCのサービスでは、規模が小さくても通常の手法で考えてください。クラウド型の選び方は顧客管理をクラウドで始めるときの選定要件と比較にまとめています。

Excelと共有フォルダでの顧客情報管理を続けるべきでない場面と開発を入れる条件

Excelのファイルを共有フォルダに置く運用は、利用者が数名で、顧客数が数百件までなら成り立ちます。続けるべきでないのは、ファイルをメールに添付して社外とやり取りしている場合と、消去請求を受けたときに写しがどこにあるか答えられない場合です。この状態では、閲覧の記録も削除の証明もできません。

設計や開発を入れるべきなのは、委託先に項目単位で見せる、連携先まで削除を伝える、出力件数の上限で持ち出しを止める、といった標準機能の外側の要件がある場合です。一創では、こうした要件をSalesforceの設定と開発に切り分けるところから支援しており、Salesforce導入支援とApex開発のサービスで、既存の組織設定を活かした権限とログの見直しにも対応します。

顧客情報管理システムでよくある質問｜Excel・保存期間・クラウド・中小企業

顧客情報の管理方法を見直す担当者から寄せられることの多い質問に答えます。

顧客情報管理システムと顧客管理システムは何が違うのですか？

製品としては同じものを指すことがほとんどで、どちらもCRMと呼ばれます。違いは見る角度です。顧客管理システムは営業や販促に使う道具として語られることが多く、顧客情報管理システムと呼ぶときは、個人情報を安全に保管し、必要な人だけに見せ、不要になれば消すという管理の側面に重心があります。選定では両方の観点を要件に入れてください。

Excelで顧客情報を管理しても個人情報保護法上の問題はありませんか？

Excelの使用そのものは禁止されていません。法が求めるのは安全管理措置で、ファイルへのパスワード設定、保存場所のアクセス権限、持ち出しのルールなどを講じていれば違反にはなりません。問題は運用の実態です。写しが複数の場所に散らばると、消去請求や漏えい時に対象を特定できなくなります。利用者が増えた段階でシステムへの移行を検討してください。

顧客情報はいつまで保存してよいのですか？

個人情報保護法に一律の保存年限はありません。22条は、利用する必要がなくなったときに遅滞なく消去するよう努めることを求めています。そのため、自社で「最終取引から〇年」といった保存期間を決め、規程に書くのが基本です。契約書や請求に関わる情報のように税法などで保存年限が決まっているものは、その年限を下回らないように設定します。

クラウドの顧客情報管理システムに個人情報を預けても大丈夫ですか？

クラウドを使うこと自体は問題ありません。確認すべきは、サービス事業者が個人データを取り扱わない契約になっているか、自社側で権限・認証・ログを設定できるかです。外国にある事業者のサービスを使う場合は、データの保存場所と、32条に基づき公表する安全管理措置の中で外国の制度を把握している旨を示す必要がある点にも注意してください。

中小企業でも顧客情報の安全管理措置は必要ですか？

必要です。個人情報保護法は事業規模にかかわらず適用されます。ただしガイドラインでは、従業員100人以下の中小規模事業者向けに、責任者が取扱状況を確認するなどの簡便な手法が示されています。過去6か月以内に扱う個人の数が5,000を超える場合や、委託を受けて個人データを扱う場合はこの特例の対象外です。

関連記事

• CRMとは？顧客関係管理の機能・SFA/MAとの違いと導入メリット：CRMの全体像とSFA・MAとの役割の違いを整理したピラー記事です。
• 顧客管理システムの費用相場：ログの保持やエクスポート制御を含めたライセンス費の考え方をまとめています。
• 顧客管理システムの比較｜CRM・SFA・エクセルの違いと選び方：タイプ別・規模別に製品を比べる評価軸を解説しています。
• 顧客管理システムのおすすめ：規模・業種別の推奨タイプと代表製品の公式価格を比較しています。
• CRM連携とは？MA・SFA・基幹をつなぐAPI連携の設計：削除や更新を連携先へ伝える設計の前提になる連携方式を解説しています。