カリフォルニア州Delete ActがB2B営業に与える影響と企業リスト監査の実務対策

B2Bの営業チームは、ビジネスデータが法規制の聖域にあると思い込みがちです。長年にわたり、レベニュー組織のリーダーたちは企業の電話番号、ビジネス用のメールアドレス、役職名などを、一般消費者の個人データとは根本的に異なるものとして扱ってきました。

しかし、その実務上の前提はもはや通用しません。

2026年9月1日、カリフォルニア州プライバシー保護局（CalPrivacy）は、SalesIntelに対する措置に関するCalPrivacyの発表にあるとおり、バージニア州を拠点とするデータベンダーのSalesIntel Research, Inc.に対する法執行措置を発表しました。同局は、カリフォルニア州のDelete Act（削除法）で定められた2025年の期限までに登録を行わなかったとして、SalesIntelに36,400ドルの罰金を科しました。

この罰金自体は、企業の連絡先データを販売した行為そのものによって科されたわけではありません。むしろ、職歴プロファイル、会社の電話番号、転職シグナルなどの販売が、カリフォルニア州法におけるデータブローカーの定義に該当することを明確に示しました。レベニューリーダー、レベニューオペレーション（RevOps）チーム、そしてコンプライアンス責任者にとって、この判断はサードパーティ製のアウトバウンドリストを購入、保管、運用する際に求められるデューデリジェンスの基準を大きく変えるものです。

SalesIntelに対する法執行措置の分析

SalesIntelに対する規制措置は、州の規制当局が現代の商用データブローカーをどのように定義しているかを浮き彫りにしています。SalesIntelに対する措置に関するCalPrivacyの発表によると、SalesIntelは2億件以上のビジネス連絡先と5,400万件の携帯電話番号へのアクセスを販売していたほか、ウェブサイトのトラフィックを匿名解除して直通電話番号や検証済み勤務先メールアドレスを特定する機能を提供していました。

CalPrivacyは、営業目的のプロスペクティング自体を違法と判断したわけではありません。今回の執行は、州が義務付ける透明性ルールの遵守に焦点を当てたものでした。SalesIntelに関する公式合意命令に記載されているとおり、この事案の中心となったのは2024年におけるSalesIntelの行為と、法律で定められた2025年の期限までに州の登録簿へ登録しなかった点です。なお、同命令では、ベンダーが2025年の活動に関しては2026年に期限通り登録を完了したことも記されています。

36,400ドルの罰金に加えて、和解条件としてSalesIntelには以下の対応が義務付けられました。

• 自社ウェブサイトで消費者の権利行使に関する年次統計を公開すること。
• 州の中央集権型削除システムと直接連携すること。
• そのシステムを経由して送られる今後のすべての削除リクエストを処理し、遵守すること。

この措置は、登録義務違反に対する他の注目すべき制裁に続くものです。Delete ActとDROPに関するClark Hillの法的分析の報告によると、CalPrivacyは登録遅延に対してDatamastersに42,000ドル、S&P Global, Inc.に62,000ドルの罰金を科しました。S&P Globalの事案では、事務的な見落としにより313日間にわたって未登録の状態が続いていたことが処罰の対象となっており、故意でなかったとしても法令遵守の責任を免れることはできない実態が示されています。

Delete ActとDROPの仕組み

ベンダー側のリスクを評価するには、営業チームもその法体系の根拠を理解しておく必要があります。それがカリフォルニア州上院法案362（SB 362）、通称Delete Actです。

データブローカーの定義に関するカリフォルニア州制定法に記録されているカリフォルニア州民法第1798.99.80条(c)に基づき、データブローカーは「直接の関係性を持たない消費者の個人情報を故意に収集し、第三者に販売する事業者」と定義されています。

極めて重要な点として、消費者の定義に関するカリフォルニア州制定法に引用されているカリフォルニア州民法第1798.140条(i)において、「消費者」は単にカリフォルニア州居住者である自然人と定義されています。この条文には、職務上またはB2Bのコンテキストで行動する個人を一律に除外する包括的な規定はありません。カリフォルニア州は以前、民法第1798.145条(n)に基づいてB2B間コミュニケーションの一時的な適用除外を設けていましたが、CCPA適用除外に関するカリフォルニア州制定法で確認できるとおり、この細則は2023年1月1日をもって効力を失っています。

[ カリフォルニア州居住者 ]
         │
         ▼
[ DROP経由で包括的削除リクエストを提出 ]
         │
         ▼
[ CalPrivacyの中央集権型DROPアーキテクチャ ]
         │ (45日ごとの確認・取得が義務付け)
         ▼
[ 登録データブローカーのエコシステム ]
         │
         ├── 45日以内に削除処理を実行
         ├── 消費者レコードの販売または共有を停止
         └── 恒久的な内部除外リストを維持

この制度の中核となる仕組みが、削除要求・オプトアウトプラットフォーム（DROP）です。削除メカニズムに関するカリフォルニア州制定法に記載され、2026年8月1日に施行されたカリフォルニア州民法第1798.99.86条に基づき、登録されたデータブローカーは少なくとも45日に1回はDROPにアクセスしなければなりません。リクエストを受領したブローカーは、45日以内に削除を完了し、その消費者に関して新たに収集された個人情報の販売や共有を恒久的に停止する必要があります。

Delete Actに関するDataGrailのコンプライアンスガイダンスによると、DROPからの削除リクエストを処理しなかった場合、リクエスト1件につき1日あたり200ドルの法定罰金が科されます。この罰金リスクは、当初の登録義務違反に対する罰金とは別に発生します。

これらの届出に関する執行基準は厳格です。2026年9月3日、CalPrivacyは執行勧告第2026-01号を公表しました。同ガイダンスでは、Delete Actにおいて意図しない事務的誤りと意図的な虚偽記載は区別されないことが明記されています。不正確な登録項目が存在する場合、その誤った情報が登録簿に残っている1日ごとに200ドルの罰金が発生します。

下流における法的責任：サードパーティ製プロスペクティングデータの監査

州の規制当局がデータベンダーを処分した際、購入企業の側では「法令に準拠していないブローカーからリードリストを購入すると、自社も罰金を科されるのか」という疑問が生じます。

現在の法執行通知は、消費者との直接的な関係を持たずにデータを収集・販売する事業者を対象としており、リストの一般購入者を直接標的にしているわけではありません。しかし、購入側の企業も現実的な運用上および評判上の打撃を受けることになります。

データプロバイダーがDROPの要件に従ってシステムを更新する場合、マスターデータベースから登録済みのカリフォルニア州居住者を削除しなければなりません。営業チームが静的なCSVエクスポートや一括連絡先データベースを取り込んでいる場合、それらのデータは導入した瞬間から陳腐化し始めます。対象者がDROP経由で包括的な削除リクエストを提出していた場合、その個人の携帯電話番号や私用メールアドレスへのアプローチを続けることは、コンプライアンス上の摩擦を生み、通信キャリアによるスパムブラックリスト入りのリスクを高め、個人からの苦情につながりやすくなります。

また、外線電話キャンペーンを実施しているチームは、B2Bアウトバウンド営業におけるTCPA同意撤回の管理などの独立した安全対策を維持する必要があります。連邦電話消費者保護法（TCPA）の規制は、州のデータブローカー登録制度とは別個に適用されるためです。

社内システムを保護するために、RevOpsリーダーはサードパーティ製プロスペクティングデータに対して次の4段階の監査を実施することをお勧めします。

1. ベンダーの登録状況の確認

商用データプロバイダーとの契約締結や更新を行う前に、公開されているカリフォルニア州データブローカー登録簿を確認してください。ベンダーが当年度において有効に登録されているか確かめることが重要です。米国のビジネスパーソンの直通電話番号や個人メールアドレスを販売している国内外のプロバイダーが適用除外を主張する場合は、その法的根拠を書面で提出させてください。

2. データ収集元およびエンリッチメントワークフローの監査

連絡先情報がどのように収集されているかをベンダーに確認してください。直通電話番号の出所は、オプトインされた名刺、公開されている規制関連の提出資料、自動ウェブスクレイピング、それともモバイルアプリのSDKトラッカーでしょうか。カリフォルニア州上院法案361（SB 361）に基づき、ブローカーはモバイル広告IDやログイン認証情報を収集しているか、あるいはAIトレーニングパイプラインにデータを販売しているかを開示する義務があります。データ拡充パイプラインの出自を把握することで、そのパートナーが突然のサービス停止リスクを抱えているかどうかを判断できます。

3. 同期期間の確立

プロバイダーがDROPに準拠するためにレコードを削除した場合、社内の顧客関係管理（CRM）プラットフォームに古い係争データをいつまでも保持し続けるべきではありません。ベンダーから定期的に除外リスト（サプレッションリスト）の更新データを受け取る運用を取り決めてください。LemlistとEmber Lead Intelligenceのアウトバウンド比較の分析で解説しているように、アウトバウンドプラットフォームを検討する際は、パイプライン管理ソフトウェアが連絡先情報の更新、オプトアウト、リードの除外処理を長期にわたってどのように処理できるかを評価することが重要です。

4. 静的なスクレイピングデータと検証済みリサーチの分離

大規模なスクレイピングデータは陳腐化の速度が速く、コンプライアンス上の負担も大きくなります。持続可能なアウトバウンド運用は、複数のシグナルに基づく検証を前提とします。すなわち、相手企業に現実のビジネスニーズがあること、相手の役職が現在も有効であること、そして検証済みの業務用チャネルを通じてアプローチが行われていることを確認する手法です。

コンプライアンスに準拠したアウトバウンドの実装

規制リスクを管理することは、アウトバウンドによる新規顧客獲得を諦めることではありません。既存の大手エンタープライズプラットフォームや従来のデータプロバイダーは、厳格な登録規制の影響を受けない地域において、数百万件規模の静的連絡先リストを一括で活用したいチームにとって、現在も有効な選択肢です。

一方で、現代のレベニューチームは、検証されていない大規模なコールドリストを避け、文脈に基づいたインテリジェンスを重視する傾向を強めています。数百万件もの静的なデータを機械的に購入する代わりに、アプローチのタイミング、役職の関連性、実際のビジネスシグナルを優先するアウトバウンドモデルへと移行しつつあります。

こうしたワークフローの構築に向けて、Ember Lead Intelligenceは静的なデータ量ではなく、定性的なシグナルを中心としたプロスペクティングを実現します。誰に連絡すべきか、なぜ今そのタイミングなのか、どの戦略的切り口を用いるべきかを整理することで、Emberは一律の大量スクレイピングから文脈重視のアプローチへの転換を支援します。

Ember内でのプロスペクティング運用には明確な境界線が設けられています。送信されるメールやLinkedInメッセージの下書きは、配信前に必ず人間による確認と明示的なスケジュール設定を必要とし、見込み顧客がオプトアウトした際には、リンクされたメールボックスやプロファイル全体で保留中の配信シーケンスを即座に停止するコンタクト禁止メカニズムが機能します。レベニュー基盤の拡張を目指すチームに向けて、セールス向けナレッジガイドでは、アウトバウンドの実行速度と防御性の高いデータガバナンスを両立させる獲得エンジンの構築手法を提供しています。