EC事業には、氏名や住所だけでなく、購入履歴、問い合わせ、配信同意、閲覧行動など多様なデータがあります。これらは再購入や商品改善に役立つ一方、M&Aだから自由に開示・利用できるわけではありません。どのデータを、何の目的で、誰が扱うかを取引段階ごとに整理します。

データの所在と利用目的を棚卸しする

カート、モール、CRM、メール配信、広告、CS、倉庫、会計に保存された項目を一覧化します。データ管理者、保存場所、保存期間、アクセス権、国外移転、外部委託先を記録します。同じメールアドレスが複数サービスに存在しても、取得目的や同意状態は同じとは限りません。

プライバシーポリシー、利用規約、申込画面の文言と、実際の利用を照合します。不要な項目や保存期限を過ぎたデータがあれば、売却前に処理方針を決めます。

株式譲渡と事業譲渡の違いを確認する

株式譲渡ではデータを保有する法人自体が存続しますが、支配権変更後の利用目的、アクセス権、越境移転などの確認は必要です。事業譲渡では別法人へデータを移すため、適用法令、プライバシーポリシー、契約上の事業承継条項を基に検討します。

個別の告知、同意、オプトアウトなどが必要かは、データの種類、取得時の説明、譲渡目的、法域によって異なります。一般論で断定せず、弁護士や個人情報保護の専門家へ確認します。

NDA前は個人データを出さずに価値を示す

初期検討では、顧客数、再購入率、地域構成、平均注文額を集計し、社名・氏名・メールアドレスを開示しません。少人数の地域や高額購入者など、組み合わせで個人が推測できる区分はまとめるか非表示にします。

NDAを締結しても、必要性のない顧客一覧を候補先へ渡すべきではありません。匿名化と仮名化は異なり、対応表が残るデータは再識別可能です。アクセスできる担当者と利用目的を限定します。

DDでは最小限のデータで正確性を検証する

顧客IDを置き換えた注文データを用い、売上、返品、継続率、広告獲得を分析します。買い手が原データの一致を確認する場合は、譲渡企業側で抽出したサンプルや画面共有を使い、コピーを増やさない方法を選びます。

データルームには透かし、閲覧権限、ダウンロード制限、操作ログ、期限を設定します。候補先が撤退した場合の削除証明やバックアップの扱いもNDAで定めます。センシティブな属性や未成年者のデータは、より慎重に扱います。

セキュリティと事故履歴を調べる

管理者権限、二要素認証、暗号化、バックアップ、ログ監視、脆弱性対応を確認します。退職者アカウント、共有パスワード、公開ストレージ、過剰なAPI権限は、移行前に是正が必要な典型例です。

漏えい、誤送信、不正アクセス、苦情、当局への報告の履歴と対応状況を確認します。事故がなかったという回答だけでなく、検知できる仕組みとログ保存期間を見ます。サイバー保険や委託先の補償条件も対象です。

クロージングとPMIで安全に移管する

移管対象、方法、暗号化、照合、旧環境からの削除、責任者をデータ移行計画へ記載します。決済情報など、サービス提供者の公式手続でしか移せない情報は、その規約と審査に従います。移行できることを当事者だけで保証しません。

PMIでは旧担当者の権限を削除し、買い手のプライバシーポリシー、問い合わせ窓口、委託先契約を更新します。移行後の件数照合、誤配信テスト、アクセスログ確認を行い、一定期間はインシデント対応チームを明確にします。

譲渡企業のチェックと買い手の質問

譲渡企業が整える資料

• データ項目・目的・保存先・権限・委託先をまとめた台帳
• プライバシーポリシー、同意文言、配信解除、開示請求の履歴
• セキュリティ規程、監査ログ、事故・苦情と改善記録
• 匿名化した顧客指標と、原データへ照合する手順

買い手がDDで問うこと

• 買収後も各データを現在の目的で利用できる根拠はあるか
• 取得時の同意と実際の広告・配信・分析用途は一致しているか
• 不要データ、未対応の開示請求、漏えいリスクは残っていないか
• 移管不可のデータが事業価値と運営へ与える影響は何か

外部委託先については、再委託先、削除手順、契約終了後のデータ返却、監査権を確認します。SaaSを解約してもバックアップへ一定期間残る場合があるため、削除完了の定義をそろえます。海外リージョンを利用するサービスでは、保存国と越境移転に必要な対応も台帳へ記録します。

Cookie同意、広告タグ、アクセス解析については、サイト上の選択が実際のタグ発火へ反映されているかをテストします。プライバシーポリシーに記載があっても、拒否後に不要なタグが動けば運用と説明が一致しません。買収後のドメイン・ツール変更時にも再確認します。

顧客データの評価は、件数を数えるだけでなく、信頼を損なわずに使い続けられるかを確かめる作業です。データ最小化と段階的な開示を徹底すれば、取引検討の精度とプライバシー保護を両立しやすくなります。