# 個人情報保護法（APPI）
- 種別: BrevoNavi 用語集（法令・コンプライアンス）
- URL: https://brevo-navi.com/glossary/appi/
- 別名: APPI
- 更新: 2026-11-04
- 要点: 個人情報保護法（APPI）は日本の個人情報取り扱いを規制する法律で、メールアドレスを含む個人情報の取得・利用・管理に関するルールを定める。2022年改正により罰則強化・外国への第三者提供規制も追加された。

## 個人情報保護法（APPI）とは

個人情報保護法（APPI：Act on the Protection of Personal Information）は、日本において個人情報の適切な取り扱いを定めた法律で、2003年に成立し、その後2015年・2020年・2022年と改正が重ねられています。メールアドレスは、氏名などと結びつけば「個人情報」に該当するため、メールマーケティングを行う日本企業はAPPIの適用を受けます。個人情報保護委員会（PPC）が監督機関であり、2022年改正からは違反企業への罰則も大幅に強化されました。

## 主な要件

APPIの主な義務として、利用目的の特定と通知・公表、利用目的の範囲内での利用、安全管理措置の実施、第三者提供への制限（原則として本人同意が必要）、本人からの開示・訂正・削除請求への対応があります。

外国にある第三者に個人データを渡すときは、**委託の場合も含めて**原則として本人の同意が必要です（第28条）。ただし、日本と同等の水準の制度があると委員会が指定した国（**EUと英国**）にある事業者は、この「外国」から除かれます。

## Brevoでの対応

| 確認すること | Brevoの場合 |
|---|---|
| 契約の相手 | フランス・パリに本社を置く Brevo SAS（利用規約の契約主体） |
| データの保管場所 | 主なホスティングはフランス（OVH）とベルギー（Google Cloud）。利用規約のDPA付属書にサブプロセッサーの一覧と所在国が載っている |
| 外国への提供の扱い | 契約相手がEU域内にあるため、第28条の同意は原則不要。委託として扱い、委託先の監督（第25条）を行う |
| データ処理契約（DPA） | 利用規約（Terms of Service）の付属書3として、契約に含まれている |

サブプロセッサーには、サポートやCDN、AI機能を担う米国やインドなどの事業者も含まれます。プライバシーポリシーには、委託先の所在国（フランスなど）とサーバーの所在国を書いておきましょう。外国でデータを扱う場合は、その国の制度を把握したうえで安全管理措置をとり、本人が知り得る状態にすることが求められます（個人情報保護委員会 FAQ Q10-25）。

詳しくは[日本・EU・米国に配信するときの法令比較とBrevoでの対応](/tips/2026-11-04-appi-gdpr-can-spam-brevo/)で説明しています。

## 注意点

> **注意：** 問い合わせ対応のためだけに得たメールアドレスを、利用目的に含めずにメルマガへ追加すると、目的外利用になるおそれがあります。登録フォームやプライバシーポリシーに、メール配信に使うことを書いておいてください。

> **ヒント：** 名刺交換で得た連絡先に自社の広告メールを送ることは、個人情報保護委員会のFAQ（Q4-16）で「取得の状況からみて利用目的が明らか」な場合にあたるとされています。ただし特定電子メール法の受信拒否への対応は別に必要です。

> **ヒント：** 日本とEUは、互いに相手の制度を十分な水準と認め合っています。EU居住者のデータを扱う場合は、EU側から日本に移すデータに「補完的ルール」がかかる点も確認してください。

※本記事は情報提供を目的としており、法的アドバイスではありません。具体的な対応については弁護士等の専門家にご確認ください。（確認日：2026年11月4日。出典：個人情報保護委員会「外国にある第三者への提供編」ガイドライン、FAQ Q4-16・Q10-25・Q12-1、Brevo Terms of Service 2025年10月1日版）