台湾の顧客情報と日本本社CRM：移転前の確認

台湾の営業部門が集めた担当者名、メールアドレス、商談履歴を日本本社のCRMへ移すと、本社の誰が何のために使うのかが新たに問われます。問い合わせの引継ぎに使うのか、日本本社が別の商品を案内するのか。

会社名だけの一覧と、担当者の氏名・直通番号・面談記録をひも付けた一覧は区別が必要です。台湾の個人資料保護法は、自然人を直接または間接に識別できる情報を対象としています（第2条）。

「本社に送る」の中に、別の会社への提供がある

台湾拠点が日本企業の支店なのか、別法人である台湾子会社なのかを確かめます。台湾の子会社と支店の違いは、会社設立の場面だけの話ではありません。顧客情報を集めた主体と、日本で受け取る主体の関係にも関わります。

同じ法人の支店から本店へ送る場合も、国境を越える処理がなくなるわけではありません。台湾法の「国際伝送」は、国境を越える処理・利用を含みます。台湾子会社から日本の親会社へ送る場合には、別法人が何のために利用するかも確認します。グループ共通のCRMという名称だけでは、その関係を説明できません（同法第2条・第4条）。

日本本社が台湾子会社の指示で保管や保守だけを担当する場合と、日本本社の判断で営業に使う場合では、同じ「委託契約」を結んでいても検討する内容が変わります。契約名と実際の権限が一致しているかを見る必要があります。

確認用の資料は、システム構成図より先に、一枚の利用一覧でも作れます。

実際の利用	確認する相手・事項
台湾の営業担当者が商談を登録する	情報を集めた法人、情報の入手先、入力する項目
日本本社が問い合わせを引き継ぐ	閲覧する部門、引継ぎの目的、閲覧・ダウンロード権限
日本本社が別商品の営業に使う	その利用の根拠、顧客への説明、営業を断られた場合の処理
CRM事業者が保守や障害対応をする	契約先法人、担当拠点、再委託先、実データへアクセスする範囲

データベースを台湾に残し、日本から画面を開く設計でも、海外での閲覧・検索・利用をこの一覧から落とさないようにします。台湾法の処理・利用の定義に照らして、実際に誰が何をしているかを検討するためです。保存先の国だけで国際伝送の検討を終えることはできません。

当初の目的と、移行後の使い方を照らし合わせる

民間事業者による通常の個人情報の収集・処理には、特定の目的と、法が列挙する根拠のいずれかが必要です。同意はその一つですが、唯一の根拠ではありません。契約または契約に準ずる関係を根拠とする場合にも、適切な安全措置を伴うなどの条件があります。利用については、原則として収集目的に必要な範囲内で行い、その外で利用するなら法定の根拠を確かめます（個人資料保護法第19条・第20条）。

例えば、台湾子会社が修理の連絡用に預かった電話番号を、日本本社の新製品の営業に使う計画なら、修理の受付という元の目的だけでは説明が足りない可能性があります。「グループで共有する」と書いた文面があるだけで、すべての営業利用が認められるわけではありません。誰のどの利用について、どの根拠があるのかを確かめます。

CRMに移す項目も絞ります。案件の引継ぎに必要な連絡先や商談の進捗と、自由記入欄に残った家族・健康などの情報を同じ扱いにはできません。本稿が対象とするのは通常の顧客・担当者情報です。病歴・医療・健康診断等に関する特別な類型や、金融・保険・通信などの業種別規制は、別の確認が必要です。

営業での利用では、拒否の意思を受けた後も配信が続く設計にしないことです。台湾法第20条は、本人が営業利用を拒否した場合の停止と、初回の営業時に拒否の方法を示し、その費用を負担することを定めています。台湾側で停止した相手が、本社の別リストから再び配信対象になるなら、停止情報の反映方法も移行前に直す必要があります。

顧客への説明は、移した後の運用と合っているか

本人から直接集める際の告知には、収集する主体、目的、情報の種類に加え、利用する期間・地域・対象・方法、本人の権利と行使方法などが含まれます。本人から直接得ていない情報には、情報源の告知などを定める別の規律があります。いずれにも法定の例外があるため、全件に同じ通知を送り直せばよい、という処理にはできません（第8条・第9条）。

移行準備では、顧客に実際に示した申込画面、契約書、告知文の版と、その適用時期を確認します。現在のウェブサイトの文面だけでは、数年前に登録した人に何を知らせていたかは分かりません。日本を含む利用地域、日本本社や委託先の利用、利用期間と方法が、移行後の運用に対応しているかを比べます。

説明を更新する必要があっても、それだけで不足していた利用根拠まで補えるとは限りません。目的と根拠の確認、必要な告知や同意の取得、システム上の対象者の選別を対応させます。台湾向け販売の表示全般は越境ECの契約・表示を扱う記事で説明していますが、販売画面の整備が済んだ後も、顧客情報の実際の使い方が変われば確認は残ります。

本社とCRM事業者に、どこまで任せるか

台湾の個人資料保護法施行細則第8条は、個人情報の取扱いを委託する場合の適切な監督を求めています。対象となる情報と目的・期間、安全措置、再委託の約定、違反時の連絡と是正、契約終了時の返却・削除などを含む内容です。委託先の実施状況を定期的に確認し、その記録を残すことも定めています（施行細則第7条・第8条）。

そこで、CRMの契約書に「適切に管理する」とあるだけで終えず、問い合わせに答えられる担当者と、確認できる資料を決めておきます。管理者権限を持つ会社、海外の保守担当者が本番データを見る条件、再委託先が変わる場合の連絡、解約後に残るバックアップの扱いまで、実際の運用に合わせます。すべてを同じ期間で消すことを法律が一律に求めている、という意味ではありません。

国際伝送について、現行の第21条は一定の場合に中央の業種別主管機関が制限できると定めています。この条文は、海外へ送るすべての案件について一律の許可を取る制度ではありません。ただし、自社の業種に制限命令や別の規則がないかは確認が必要です。日本向けなら条件なく認められる、という結論にもなりません（現在適用される第21条・第27条）。

2025年11月11日公布の改正では、第21条の改正や第27条の削除などに、まだ施行日が定まっていないものがあります。本稿の確認日現在、個人情報ファイルを保有する民間事業者の適切な安全措置については、現行の第27条を踏まえて確認します。公布された新しい条文を、そのまま施行済みとして移行計画に使わないようにします。

日本で受け取った後にも確認が残る

日本本社が扱う情報は、本人が台湾に住んでいるという理由だけで、日本の個人情報保護法の対象から外れるわけではありません。受け取る本社側でも、利用目的の特定・利用の範囲、取得時の通知や公表、安全管理、従業者・委託先の監督を、日本法に照らして確かめます（個人情報保護委員会の通則ガイドライン、外国に居住する本人の情報に関するFAQ）。

日本法第28条の「外国にある第三者への提供」は、日本の事業者が外国の第三者へ提供する場面の規律です。これを台湾から日本へ受け取る際の一律の同意要件に置き換えることはできません。日本本社が受領後、さらに海外の委託先や別のグループ会社へ提供するなら、その先の移転を別に確認します（外国にある第三者への提供編）。

台湾法上の移行準備を相談する際は、原本の顧客名簿を送る前に、関係する法人、データの項目、利用する国と部門、移行予定日を相談窓口へお知らせください。日本側の法令適用は別途確認し、台湾側で必要となる契約や情報の取扱いと調整します。