Mailchimp をデータ保護に準拠して利用する

Mailchimp（Intuit Inc.、米国）はメールアドレス、開封・クリック行動を処理し、メールに計測ピクセルを埋め込みます。このサービスにはクリーンな同意と文書化された米国への移転が必要です。

ダブルオプトインは Mailchimp の初期設定ではなく、オーディエンスごとの設定です：Settings → Audience name and defaults で「Enable double opt-in」が有効になっている必要があります。この設定なしでは、フォームから入力されたすべてのアドレスがすぐにリストに入ります — 争いの際に証明が難しく、ドイツの裁判所が広告メールについて繰り返し不十分とみなすシングルオプトインです。

2つ目の構成要素は処理者契約です。Intuit は利用規約の受諾で適用される Data Processing Addendum を提供します。含まれる標準契約条項または Intuit の DPF 認証が米国での処理の移転根拠です。両方とも文書化し、プライバシーポリシーで言及すべきです。

Mailchimp キャンペーンでデフォルトで有効なトラッキング（計測ピクセルによるメール開封、書き換えられたリンクによるクリック）は利用プロファイルを作成します。クリーンなアプローチは、このトラッキングをオフにするか、同意に含めてプライバシーポリシーで開示することです。「Mailchimp を利用しています」という一般的な記載では不十分です。

これはリスクですか？

ニュースレター配信の法的根拠は通常、同意（GDPR 第6条第1項a）であり、ダブルオプトインで証明します。確認済みの登録がない、Intuit との処理者契約がない、または移転の根拠が明示されていない場合、根拠が欠けます。ニュースレターで一般的な開封・クリックのトラッキングには別途の同意が必要か、透明化しなければなりません。

対応方法

• ダブルオプトインを有効にする：登録後にアクティベーションリンク付きの確認メール、その後にのみアドレスがリストに追加されます。
• 登録時刻、IP、確認時刻を記録する（Mailchimp は「Opt-in」フィールドに保存します）。
• Intuit と処理者契約（Data Processing Addendum）を締結する。標準契約条項または DPF 認証を移転の根拠として文書化する。
• プライバシーポリシーに Mailchimp/Intuit を受信者として、米国への移転、開封・クリックのトラッキング、撤回権（配信解除リンク）を記載する。

よくある質問

ニュースレターにシングルオプトインは許容されますか？

広告ニュースレターについて、ドイツの判例は事実上常にダブルオプトインを要求します。登録がアドレスの所有者から来たことを証明できるのはそれだけだからです。シングルオプトインは争いの際にほとんど擁護できません。

Mailchimp に処理者契約は必要ですか？

はい。Mailchimp はあなたに代わってメールアドレスを処理します。Intuit の Data Processing Addendum は規約の受諾で適用されます。アーカイブしておくべきです。

ニュースレターで開封トラッキングを使ってよいですか？

透明に、理想的には同意に基づく場合のみです。計測ピクセルとクリックトラッキングは行動プロファイルを作成します。受信者に知らせる必要があり、多くのデータ保護専門家は別途の同意が必要だと考えています。

DPF 後、Mailchimp への米国移転は問題ありませんか？

移転は Intuit が認証されている限り EU-US Data Privacy Framework により原則としてカバーされます。ニュースレター自体の同意・証明義務はそれとは独立して適用されます。

consentglassがどう役立つか

無料チェックでは配信されたHTMLを解析し、どのサービスが埋め込まれているか、Cookieバナーが検出されるか、プライバシーおよび運営者情報へのリンクがあるかを、各所見の分類付きで表示します。法的助言に代わるものではありません。