個人情報保護法（APPI）とは
個人情報保護法（APPI：Act on the Protection of Personal Information）は、日本において個人情報の適切な取り扱いを定めた法律で、2003年に成立し、その後2015年・2020年・2022年と改正が重ねられています。メールアドレスは、氏名などと結びつけば「個人情報」に該当するため、メールマーケティングを行う日本企業はAPPIの適用を受けます。個人情報保護委員会（PPC）が監督機関であり、2022年改正からは違反企業への罰則も大幅に強化されました。
主な要件
APPIの主な義務として、利用目的の特定と通知・公表、利用目的の範囲内での利用、安全管理措置の実施、第三者提供への制限（原則として本人同意が必要）、本人からの開示・訂正・削除請求への対応があります。
外国にある第三者に個人データを渡すときは、委託の場合も含めて原則として本人の同意が必要です（第28条）。ただし、日本と同等の水準の制度があると委員会が指定した国（EUと英国）にある事業者は、この「外国」から除かれます。
Brevoでの対応
| 確認すること | Brevoの場合 |
|---|---|
| 契約の相手 | フランス・パリに本社を置く Brevo SAS（利用規約の契約主体） |
| データの保管場所 | 主なホスティングはフランス（OVH）とベルギー（Google Cloud）。利用規約のDPA付属書にサブプロセッサーの一覧と所在国が載っている |
| 外国への提供の扱い | 契約相手がEU域内にあるため、第28条の同意は原則不要。委託として扱い、委託先の監督（第25条）を行う |
| データ処理契約（DPA） | 利用規約（Terms of Service）の付属書3として、契約に含まれている |
サブプロセッサーには、サポートやCDN、AI機能を担う米国やインドなどの事業者も含まれます。プライバシーポリシーには、委託先の所在国（フランスなど）とサーバーの所在国を書いておきましょう。外国でデータを扱う場合は、その国の制度を把握したうえで安全管理措置をとり、本人が知り得る状態にすることが求められます（個人情報保護委員会 FAQ Q10-25）。
詳しくは日本・EU・米国に配信するときの法令比較とBrevoでの対応で説明しています。
注意点
注意： 問い合わせ対応のためだけに得たメールアドレスを、利用目的に含めずにメルマガへ追加すると、目的外利用になるおそれがあります。登録フォームやプライバシーポリシーに、メール配信に使うことを書いておいてください。
ヒント： 名刺交換で得た連絡先に自社の広告メールを送ることは、個人情報保護委員会のFAQ（Q4-16）で「取得の状況からみて利用目的が明らか」な場合にあたるとされています。ただし特定電子メール法の受信拒否への対応は別に必要です。
ヒント： 日本とEUは、互いに相手の制度を十分な水準と認め合っています。EU居住者のデータを扱う場合は、EU側から日本に移すデータに「補完的ルール」がかかる点も確認してください。
※本記事は情報提供を目的としており、法的アドバイスではありません。具体的な対応については弁護士等の専門家にご確認ください。（確認日：2026年11月4日。出典：個人情報保護委員会「外国にある第三者への提供編」ガイドライン、FAQ Q4-16・Q10-25・Q12-1、Brevo Terms of Service 2025年10月1日版）