hdknr blog

メールトラッキングと ePrivacy 同意

EU/UK 宛メールの開封ピクセル・計測リンクに必要な同意。ePrivacy 5条3項・13条と GDPR 6条を3層に分けて理解し、MA ツールの製品仕様の限界と設計パターンを整理する

概要

EU/UK 宛にマーケティングメールを送るとき、開封ピクセルと計測リンクには ePrivacy の同意が必要になる。混乱の元は MA ツールの機能名と法令が 1 対 1 で対応していないことにあり、法令を 3 層に分けて理解しないと設計が破綻する。

以下は一般的な整理。最終的な適法性の判断は法務部門・DPO に確認すること。

法令を 3 層に分ける

対象根拠これがないと
ePrivacy 5条3項端末への保存・アクセス（開封ピクセル、計測リンク）同意のみ（免除は極狭）計測できない
ePrivacy 13条電子メールによるダイレクトマーケティング原則同意（既存顧客の限定例外あり）そもそも送れない
GDPR 6条個人データの処理同意／契約／正当な利益 等処理の根拠がない

5条3項は「個人データかどうか」を問わない

最も見落とされる点。5条3項が問うのは「端末に情報を保存したか／保存済み情報にアクセスしたか」だけで、その情報が個人データであることは要件ではない。EDPB Guidelines 2/2023（ePrivacy 指令 5条3項の技術的適用範囲）はメール内のトラッキングピクセルと計測 URL をユースケースとして扱っている。

つまり 「匿名化したから同意は不要」は成立しない。 「strictly necessary」の免除も、受信者が要求したサービスの提供に不可欠な場合に限られ、送信者側の効果測定は該当しない。

「処理の法的根拠」は 5条3項の同意ではない

MA ツールにある「処理の法的根拠」というプロパティーや「法的根拠に基づいて送信」という設定は、GDPR 6条と ePrivacy 13条（送っていいか）に効くもので、5条3項（計測していいか）には効かない。

法的根拠に「正当な利益」を選ぶとコンタクトは送信ゲートを通過しトラッキングも紐付くが、ePrivacy の同意は取得されていない。ここが最も多い設計ミスである。

製品仕様の限界（HubSpot の例）

メール単位のトラッキング OFF は可能

全プランで、下書きの Email Performance から「Track opens and clicks for this email」を OFF にできる。個別メールのトラッキングを切るとトラッキングピクセル自体が除去される。ただし制約が 3 つある。

制約内容
粒度開封とクリックは一括でのみ切替。個別に分けられない
前提アカウントレベルのトラッキングが ON のときにのみ意味を持つ
不可逆送信・公開後は変更できない。 設定漏れの事後回復手段がない

地域別・コンタクト別の切替は上位プランにも無い

アカウントレベルの設定は「開封計測」「HTML メールのクリック計測」「プレーンテキストのクリック計測」「Identity tracking」の 4 トグルだけで、国・地域・コンタクトプロパティー・リストによる差別化の設定は文書上どこにもない。

記載漏れでない根拠として、同じツールが Web Cookie の同意バナーでは地域指定（EU/EEA/UK の国選択）を実装している。Cookie には地域ゲートを作り、メールトラッキングには作っていない、という非対称がある。

アカウント単位の OFF でも匿名計測は継続する

開封トラッキングを OFF にしても、送信インフラのネットワーク健全性を支える目的で匿名の計測は続くと明記されている。

設計上の帰結

製品側に地域ゲートが無いため、実務では次のいずれかを選ぶことになる。

いずれも「送信時に OFF を設定し忘れたら事後回復できない」という不可逆性を前提に、リストとワークフローの分離で担保する必要がある。既存データについては、同意の有無・地域・取得経路で仕分けたうえで扱いを決める（全員リセットが唯一の解ではない）。

関連ページ

ソース記事