日本・EU・米国にメールを送るときの法令比較｜特定電子メール法・個人情報保護法・GDPR・CAN-SPAMとBrevoでの対応

個人情報保護法GDPRCAN-SPAM特定電子メール法コンプライアンス

この記事でできること

日本・EU・米国の受信者にメールを送るとき、それぞれの国で何を守ればよいかを1つの表で比べられます。あわせて、日本の個人情報保護法（APPI）とEUのGDPRの両方に対応しやすい配信サービスを選ぶための確認項目と、Brevoがそれぞれにどう当てはまるかを確認できます。

注意： この記事は法令の一般的な説明で、個別の事案への助言ではありません。海外の受信者が多い場合や判断に迷う場合は、弁護士などの専門家に確認してください。

なぜ必要か

メールの法令は、大きく2種類に分かれます。

  1. 広告メールのルール：誰に送ってよいか、メールに何を書くか、配信停止をどう扱うか
  2. 個人データのルール：メールアドレスをどう取得・保管し、どの国の事業者に預けるか

日本は1が特定電子メール法、2が個人情報保護法です。EUは1がePrivacy指令とそれを受けた各国の法律、2がGDPRです。米国は、連邦法としては1のCAN-SPAM Actが中心です。海外の受信者が1人でもいれば、その国のルールが関係する可能性があります。

広告メールのルールを比べる

項目日本EU米国
主な法律特定電子メール法（通販は特定商取引法も）ePrivacy指令 第13条と各国法CAN-SPAM Act
方式オプトイン（事前の同意が必要）オプトイン（事前の同意が必要）オプトアウト（事前の同意は不要）
同意なしで送れる例外名刺などの書面でアドレスを知らせてきた人、取引関係にある人、アドレスを公表している団体など商品・サービスの販売の際にアドレスを得た既存顧客に、自社の類似商品を案内する場合（毎回、無料で拒否できる機会を示す）例外の考え方がない（同意なしで送れる）
メールに書くこと送信者の名称、住所、受信拒否の連絡先、問い合わせ先送信者を隠さない、配信停止を求める有効な連絡先実在する住所（私書箱も可）、広告であることの明示、配信停止の方法
配信停止の扱い拒否の通知を受けたら以後は送れない拒否を受けたら以後は送れない10営業日以内に反映する。停止の手段は送信後30日以上使えるようにする
罰則の目安1年以下の拘禁刑または100万円以下の罰金（法人は3,000万円以下）各国法による。個人データの違法な処理はGDPRの制裁金（最大2,000万ユーロまたは全世界売上高の4%）違反メール1通あたり最大53,088ドル

日本とEUはどちらもオプトインなので、日本の基準で同意を取っていれば、EUでもほぼ通用します。ただしEUの既存顧客の例外は、日本の「名刺」や「取引関係」の例外より狭いことに注意してください。名刺を交換しただけのEU在住者に、同意なく広告メールを送るのは避けましょう。

米国は同意が不要ですが、Gmail や Yahoo は配信停止の手軽さや迷惑メール報告率を見ています。法律上送れることと、受信箱に届くことは別です。

個人データのルールを比べる（APPIとGDPR）

項目個人情報保護法（APPI）GDPR
日本企業に適用されるか日本の事業者すべてEU域内の人に商品・サービスを提供する、または域内の人の行動を監視する場合は、EUに拠点がなくても適用（第3条第2項）
メール配信の前提利用目的を特定し、通知または公表する処理の適法な根拠が必要（第6条）。広告メールは原則として同意を根拠にする
広告メールの停止特定電子メール法で受信拒否後の送信を禁止本人がダイレクトマーケティングに異議を述べたら、その目的での処理をやめる（第21条第3項）
外国の事業者に預ける外国にある第三者への提供は、委託でも原則として本人の同意が必要。EUと英国にある事業者は例外（第28条）EU域外への移転には、十分性認定や標準契約条項などが必要。日本は十分性認定を受けている
漏えいしたとき個人情報保護委員会への報告と本人への通知（速報は速やかに、確報は原則30日以内）監督機関へ72時間以内に通知（第33条）
域内に拠点がない場合―原則としてEU域内に代理人を置く（第27条）

日本とEUは、互いに相手の個人情報保護制度を十分な水準と認め合っています。日本側は2019年にEUを、2020年には離脱後の英国を指定しました。このため、日本企業がEUの事業者に顧客データを預けるときは、外国への提供としての同意は原則として要りません。

配信サービスを選ぶときの確認項目

APPIとGDPRの両方に対応しやすいかは、次の項目で判断できます。

確認項目なぜ見るかBrevoの場合
契約相手の所在国APPIの「外国にある第三者」に当たるか、EU・英国の例外が使えるかが決まるフランス・パリに本社を置く Brevo SAS
データの保管場所プライバシーポリシーに保管国を書く必要がある主なホスティングはフランス（OVH）とベルギー（Google Cloud）
データ処理契約（DPA）GDPRの処理者契約（第28条）と、APPIの委託先の監督（第25条）の根拠になる利用規約の付属書3として、契約に含まれている
サブプロセッサーの一覧再委託先とその所在国を把握するDPAの付属書2に一覧と所在国、移転の保護措置が載っている。追加時は事前に通知される
EU域外への移転の保護措置GDPRの移転規制を満たしているか標準契約条項と追加の措置。米国へはEU-米国データプライバシー枠組みも使う
第三者認証安全管理措置を説明しやすいISO 27001:2022 の認証を取得
同意の取得と記録GDPRでは同意を証明する責任が送信者にある登録フォームとダブルオプトインで、登録日時と経路が残る
配信停止と削除への対応本人の請求に応じる配信停止リンクが自動で入り、停止者は以後の配信対象から外れる。連絡先の削除もできる

サブプロセッサーには、サポートやCDN、AI機能などを担う米国やインドなどの事業者も含まれます。個人情報保護委員会のFAQ（Q10-25）は、外国でデータを扱う場合、その国の制度を把握したうえで安全管理措置をとることを求めています。あわせて、事業者とサーバーの所在国を本人が知り得る状態にすることも求めています。プライバシーポリシーには、委託先の所在国（フランス）と主なサーバーの所在国（フランス、ベルギー）を書いておきましょう。

Brevoで3地域に対応する設定

やることBrevoでの設定
同意を取って記録する「Contacts（連絡先）」→「Forms（フォーム）」で登録フォームを作り、利用目的と配信内容を書く。ダブルオプトインにすると、本人確認と記録が同時にできる
送信者情報を表示する会社名・住所・問い合わせ先をメール署名（フッター）として全テンプレートに入れる。米国向けは住所が必須
配信停止をすぐ反映するテンプレートの配信停止リンクを消さない。Brevoはワンクリック登録解除にも自動で対応している
地域ごとに分ける国や同意の取り方を属性に入れ、セグメントで配信対象を分ける。EUの既存顧客の例外で送る相手は、自社の類似商品の案内だけにする
権限と操作ログを管理するユーザーごとの権限、二要素認証、操作ログの確認。詳しくはセキュリティチェックリストを参照

よくある疑問

Q. EUに顧客がいなければ、GDPRは関係ありませんか？ A. EU域内の人に商品・サービスを提供しておらず、行動の監視もしていなければ、原則として適用されません。ただし英語サイトでEUからの登録を受け付けている場合などは、対象になる可能性があります。

Q. 米国の受信者には、同意なしで送ってもよいですか？ A. CAN-SPAM Actでは事前の同意は不要です。ただし同じリストに日本やEUの受信者がいるなら、同意を取る運用に揃えるほうが安全です。迷惑メール報告が増えると、到達率も下がります。

Q. 日本の顧客データをBrevoに入れても大丈夫ですか？ A. Brevoの契約相手はフランスの Brevo SAS で、EUは個人情報保護法で日本と同等の水準の国に指定されています。外国への提供としての本人同意は原則不要で、委託として扱えます。委託先の監督と、プライバシーポリシーへの所在国の記載は行ってください。

Q. ダブルオプトインは法律上の義務ですか？ A. 日本・EU・米国のどの法律でも、義務とはされていません。ただしGDPRでは同意を証明する責任が送信者にあり、日本でも同意の記録の保存が義務です。ダブルオプトインにすると、その両方を確実に満たせます。

出典（確認日：2026年11月4日）

関連記事

活用ガイド一覧へ戻る