# EC 運営代行で、受注データや顧客データの書き出しをどう制限するか

書き出しの権限は要る担当者にだけ付けます。Shopify は注文と顧客の書き出しを個別に外せます。BASE は書き出しの App をスタッフが使えるか、画面で確かめます。外せない分は、置き場所・削除・記録の決まりで補います。

更新日: 2026-10-13

EC の管理画面から書き出す受注データには、購入者の氏名・住所・電話番号・メールアドレスが並びます。書き出す形式は CSV(表計算ソフトで開ける形式のファイル)です。Shopify と BASE の公式ヘルプにある項目一覧でも、請求先と配送先の氏名・住所・電話番号が列になっています。画面で 1 件ずつ見るのと違い、書き出しは 1 回の操作で多数の購入者の情報を担当者の手元に移します。EC 運営代行で書き出しを制限するには、書き出せる人を絞る、ファイルの扱いを決める、記録で確かめる、の 3 つを組み合わせます。

楽天 RMS や Yahoo! ショッピングの店舗管理画面は、書き出しだけを外す設定を公開ヘルプで確かめられないため、この記事は Shopify と BASE を扱います。最後の節の決まりは、モールにも当てはまります。担当者を管理画面に入れる方法そのものは、[Shopify・BASE などカート側のスタッフ権限](/guides/agency-accounts/shopify-base-staff-permissions)の記事で扱っています。モールは[楽天 RMS・Yahoo! ショッピングの店舗管理](/guides/agency-accounts/ec-mall-store-admin-access)の記事です。

## 個人情報保護委員会のガイドラインとの関係

受注データを扱う運営代行会社は、自社も個人情報保護法 23 条の安全管理措置(個人データを守るための対策)を負います。クライアントからは 25 条の監督を受ける立場です。この関係は[運用代行におけるアカウントの預かりとは](/guides/agency-accounts/what-is-delegated-account-access)にまとめています。

個人情報保護委員会のガイドライン(通則編)は、安全管理措置の中身を別添で示しています。書き出しに関係するのは 3 か所です。技術的安全管理措置の(1)は、「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない」としています。使える人と使える情報の範囲を、仕組みで絞るという意味です。組織的安全管理措置の(2)は、記録を残す対象の例に「個人情報データベース等の利用・出力状況」を挙げています。物理的安全管理措置の(3)は、個人データを記録した電子媒体を持ち運ぶときの対策を求めています。「持ち運ぶ」は、管理区域や取扱区域(個人データを扱う場所として決めた区域)の外へ移すことなどと説明されています。書き出した CSV を私物のパソコンや記憶媒体に移す場合は、これに当たると読めます。

委託元(クライアント)の側について、同じガイドラインの 3-4-4 は、委託する業務に必要のない個人データを提供しないことを「当然のこと」としています。発送だけを任せる担当者に全件の書き出しまで許すと、この考え方から外れます。

漏えいが起きたときの重さも、書き出しで変わります。個人データに係る本人の数が 1,000 人を超える漏えいは、個人情報保護委員会への報告の対象です(個人情報保護法の施行規則 7 条 4 号)。取扱いを委託している場合は、原則として委託元と委託先の双方が報告の義務を負います。委託先が委託元に通知すれば、委託先の報告は免除されます。購入者が 1,000 人を超えるショップでは、全件を書き出した CSV 1 本の紛失がこの数を超えます。

## Shopify で書き出しを外す

Shopify では、注文を見る許可と書き出す許可が別になっています。公式ヘルプの「ストアの許可」では、注文管理の中に「閲覧」と並んで「エクスポート」があり、顧客管理にも「エクスポート」があります。発送を担当する人には、注文の閲覧と発送の処理の許可だけを付け、エクスポートを付けない形が取れます。気をつけたいのは、カテゴリーの一番上の項目を選ぶと、中の許可がまとめて選ばれることです。注文管理で一番上を選べばエクスポートも付くので、1 つずつ選びます。下書き注文にもエクスポートの許可があるので、あわせて確かめます。

一方で、許可はストア全体にかかり、特定の注文やお客様だけに絞ることはできません。ヘルプが挙げる例外は 2 つで、アプリや販売先(販売チャネル)ごとの許可と、企業向け販売で取引先の拠点に絞る許可です。

書き出したファイルの届き方は、件数で変わります。50 件までか表示中のページなら、ファイルはその場で端末にダウンロードされます。51 件以上か日付で選んだ場合は、書き出した本人とストアオーナーにメールで届きます。オーナーのアドレスがクライアントのものなら、大量の書き出しにクライアントの側で気づけます。

記録については、ストアのアクティビティログ(管理画面での操作を一覧する画面)の例に書き出しはありません。書き出しが記録されるかは、公式ヘルプに書かれていません。この画面に出せるのは最大 250 件で、一定の日数より前の操作はさかのぼれません。

## BASE で書き出しを外す

BASE のスタッフ権限は、商品・注文・顧客などのメニューと、オーナーが入れた App(追加機能)ごとに付けます。注文データをまとめて書き出すには「注文データダウンロード App」を使います。この App を入れると、注文画面の下にダウンロードのボタンが加わります。

この App は、公式ヘルプの「アクセス権限を設定できるメニュー」の一覧にありません。同じページは、一覧にないメニューや App をスタッフは使えないとしています。一方で App のヘルプは、5,001 件以上を書き出すときのメールを「処理をしたショップオーナーもしくはスタッフ宛」に送るとしています。スタッフが使える場合があるようにも読めます。公式ヘルプからはどちらとも決められないので、スタッフのアカウントで注文画面を開き、ボタンが出るかを確かめます。

「CSV一括発送 App」も書き出しの入口になります。この App で注文を発送済みにする手順は、未発送の注文の CSV をダウンロードするところから始まります。この App を許可すれば、その分の書き出しも許可したことになります。

| | Shopify | BASE |
| --- | --- | --- |
| 書き出しだけを外す | 注文・顧客それぞれの「エクスポート」を外す | ヘルプからは決められない。スタッフの画面で確かめる |
| 大量に書き出したとき | 51 件以上は本人とストアオーナーにメール | 5,001 件以上は、処理した人宛のメールのリンクから |

## 権限で外せない分を補う決まり

管理画面で書き出しを外せないなら、書き出す人とファイルの扱いをクライアントと決めておきます。ガイドラインの 3-4-4 は、委託先がどう扱っているかを委託元が把握できる内容を、委託契約に盛り込むことが望ましいとしています。決めることは次の 4 つです。

1. 書き出してよい担当者と目的。発送や売上の集計など、書き出しが要る作業と人を名前で決めます。決めておかないと、権限を外すべき人が分かりません。
2. ファイルを置く場所。会社が管理するパソコンの決まった場所に限り、私用のメールや私物の端末に移さないと決めます。クライアントにメールで渡す場合は、ファイルにパスワードを付けます。ガイドラインも、中小規模事業者の手法の例にこれを挙げています。
3. 削除の時期。作業が終わったら消し、消したことを記録します。ガイドラインは、削除した記録を残すことを重要としています。
4. 書き出しの記録。管理画面に記録が残らないなら、誰が・いつ・どの範囲を・何のために書き出し、いつ消したかを手で残します。クライアントに聞かれたときに見せるのはこの記録です。ただし、この記録は書き出した本人の申告に頼るので、申告が漏れても管理画面の側からは分かりません。


## よくある質問

**受注データの書き出しを担当者ごとに禁止できますか**

Shopify は注文と顧客の「エクスポート」の許可を外せば、閲覧や発送の処理を残したまま書き出せなくなります。BASE は書き出しの App をスタッフが使えるかがヘルプで決められず、スタッフの画面で確かめます。

**書き出した CSV を自宅のパソコンに置いてもよいですか**

ガイドラインは持ち運ぶこと自体を禁じず、持ち運ぶときの対策を求めています。自宅に移すのは「持ち運ぶ」に当たると読めるので、漏えいを防ぐ対策が要ります。置く場所と消す時期をクライアントと決めておきます。

**受注データの CSV をなくしたら報告が要りますか**

本人の数が 1,000 人を超えれば、個人情報保護委員会への報告の対象です。委託を受けている場合は原則として委託元と委託先の双方に義務があり、委託先は委託元に通知すれば報告を免除されます。

**誰が書き出したかは管理画面に残りますか**

Shopify・BASE とも、書き出しが記録されるかは公式ヘルプに書かれていません。Shopify では 51 件以上の書き出しがストアオーナーにもメールで届きます。残らない分は作業記録を手で残します。

## 参考資料

- [個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(通則編)」(令和 8 年 6 月一部改正)](https://www.ppc.go.jp/files/pdf/260614_guidelines01.pdf)
- [Shopify ヘルプセンター「ストアの許可」](https://help.shopify.com/ja/manual/your-account/users/roles/permissions/store-permissions)
- [Shopify ヘルプセンター「注文のエクスポート」](https://help.shopify.com/ja/manual/fulfillment/managing-orders/exporting-orders)
- [Shopify ヘルプセンター「Shopify管理画面のアクティビティログ」](https://help.shopify.com/ja/manual/shopify-admin/activity-logs)
- [BASE ヘルプ「アクセス権限を設定できるメニューには、何がありますか」](https://help.thebase.in/hc/ja/articles/900007657403)
- [BASE ヘルプ「【注文データダウンロード App】注文データのダウンロード方法を教えてください」](https://help.thebase.in/hc/ja/articles/900000133723)
- [BASE ヘルプ「【CSV一括発送 App】一括で発送処理(ステータス変更)はできますか」](https://help.thebase.in/hc/ja/articles/360000122361)

## Junify の場合

**人手で続けると** クライアントごとに渡し方を決め、担当替えのたびに権限を付け外しし、どの担当者がどのクライアントのアカウントを使ったかを媒体ごとに追い続けることになります。

**Junify なら** 管理画面の権限で書き出しだけを外せないと、担当者に「書き出したら申告して消す」と頼み、守られたかを毎回聞くことになります。Junify から開いた管理画面では、パソコンへ落とすダウンロードをアカウントごとに止められ、その頼みと確認が要らなくなります。アップロードは検知して管理者に通知します。担当者がいまパスワードを知っているなら、導入時にクライアントと相談して変え、Junify だけが持ちます。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try?scenario=marketing-ops)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [クライアントのアカウントの扱いを、運用代行会社のセキュリティの文書にどう書くか](/guides/agency-accounts/agency-security-policy-for-clients): 誰でも読める基本方針、社内の規程、クライアントごとに渡す説明書の 3 つに分けて書きます。IPA の規程のサンプルは自社で ID を出して消せる前提なので、預かったアカウント向けに書き換え、説明書にはその結果を書きます。
- [Qoo10・au PAY マーケットの店舗管理を代行するときの担当者のアカウント](/guides/agency-accounts/qoo10-au-pay-market-store-access): Qoo10 は QSM のサブ ID で担当者の画面を分けられますが、店舗の ID を共有する仕組みです。au PAY マーケットは分け方が公開されていません。両モールの規約が ID の共有を禁じているので、使う前にモールに確かめます。
- [SNS の予約投稿ツールにクライアントのアカウントをつなぐ権限と、担当が外れたときに外すもの](/guides/agency-accounts/sns-scheduling-tools-client-accounts): 連携は、つないだ人の媒体上の権限か、媒体が発行する連携用の文字列で成り立ちます。つなぐ操作はクライアント側の権限者に頼み、担当が外れたら、ツールのメンバー・媒体の権限・連携そのものの 3 か所を確かめます。