HubSpotの構築と運用を経験してきたエンジニアが、フリーランスとして業務委託の仕事に参画した初日のことです。委託元の窓口の方が「全部見えるほうが早いでしょうから」と、管理者の権限をそのまま渡そうとしました。ありがたい申し出でも、受け取れば顧客の個人データのすべてに手が届きます。そこで「今週触るのは連絡先の項目の整理だけなので、その範囲にしてください」と返すと、相手の表情が少し変わりました。HubSpotの仕事で最初に渡す信頼は、触らないデータを先に決めることです。

1. HubSpotのフリーランスが参画初期に見られていること

技術力より先に、顧客データの扱い方が見られる

HubSpotは、連絡先や商談の記録、メールの配信までを1つの場所で扱う道具です。構築や運用の経験があれば、できる作業の幅は広く見えます。ただし、委託元にとっての関心は「何ができる人か」より先に、「この人に顧客のデータを任せて大丈夫か」へ向かう、というのがこの記事の見立てです。

理由は単純で、顧客データは取り返しがつきにくいからです。項目の整理や一括の更新は、操作を誤ると元の状態に戻す手間が大きくなります。配信は、送ったメールを取り消せません。技術の確かさは作業の中で少しずつ伝わりますが、データの扱い方は参画した最初の数日の振る舞いで伝わります。ここで見られた印象が、その後に任される範囲を左右します。

なお、ここで書くのは参画初期の振る舞いを整理した書き手の見立てで、委託元の判断基準を調べた結果ではありません。HubSpot社の機能や画面の仕様にも踏み込みません。顧客データと配信を預かるMA・CRMの仕事に共通する考え方として読んでください。

見られる場面は4つに分けられる

見立てとして、委託元が参画初期に見ている場面は4つあります。権限をどう求めるか、データをどう持ち出すか、異常をどう知らせるか、配信の判断をどこに預けるか、です。どれも技術の話ではなく、顧客データを前にしたときの動き方の話です。

図の作成：Remogu編集部。参画初期の振る舞いを整理したもので、統計データではありません

4つの場面は、第2節以降で順に取り上げます。まず、委託元がなぜこうした確認を求めるのかを、個人情報保護委員会のガイドラインから見ていきます。

2. 顧客データを扱う委託で、委託元に求められていること

必要のない個人データは渡さない前提

個人情報保護委員会の「個人情報の保護に関する法律についてのガイドライン（通則編）」（令和8年6月一部改正）は、個人データの取扱いを委託する事業者に、委託先の監督を求めています。その中で、委託する業務の内容に対して必要のない個人データを提供しないことは当然の前提とされています¹。

注意したいのは、この前提を負うのが委託元の側だという点です。フリーランスに課された義務ではありません。したがって、参画初日に管理者の権限をそのまま渡そうとする委託元は、親切心から動いていても、ガイドラインの前提から見ると必要以上のデータに手を届かせる形になりかねません。

そこで、受ける側から「今回の作業に使う範囲はここまでです」と先に線を引くと、委託元はガイドラインの前提を満たしやすくなります。これは書き手の見立てですが、冒頭の場面で相手の表情が変わったのは、この点が伝わったからだと読めます。

委託先を選ぶときに確かめられること

同じガイドラインは、委託元が委託先を選ぶ際に、委託先の安全管理措置が、少なくとも法第23条とガイドラインで委託元に求められるものと同等であることを確かめるよう求めています¹。確かめるのは委託元の義務で、フリーランスが同等の措置を講じる義務を負うと定めたものではありません。

とはいえ、委託元が確かめる立場にある以上、参画の前後で「どうやってデータを守りますか」と聞かれる場面は想定できます。この点は書き手の見立てです。聞かれたときに、使う範囲や自分の側の管理を具体的に答えられるかどうかで、先方の安心感は変わります。法の詳細は、個人情報保護法の委託先の監督を整理した別の記事で扱っています。

ガイドラインの整理と、参画初期に聞かれやすいこと

2つの整理を並べると、どちらも主体は委託元です。参画初期に聞かれやすいことは、そこから書き手が読み取った見立てです。表の3行目だけが見立てで、1・2行目はガイドラインの整理だと見分けられるように、主体の列を分けました。

項目	ガイドラインの整理	主体
必要のない個人データを提供しない	委託先の監督に当たっての前提1	委託元
委託先を選ぶときの確認	安全管理措置が委託元に求められるものと同等かを確かめる1	委託元の義務
参画初期に聞かれやすいこと	作業に使う範囲、自分の側の管理	書き手の見立て

次は、顧客のデータを扱う場所でどんな情報が漏えいしやすいかを、年次報告の集計から見ます。

3. 漏えいの報告で最も多いのは顧客情報

漏えいした情報の種類で最も多い顧客情報

個人情報保護委員会の令和7年度（2025年4月〜2026年3月）年次報告によると、個人情報取扱事業者からの漏えい等報告の集計で、漏えい等した情報の種類は顧客情報が最も多く、83.9%でした²。

この数字は、すべての業種を合わせた集計です。CRMやMAの漏えいに限った割合ではないので、HubSpotを使う現場にそのまま当てはめることはできません。その点を踏まえたうえで、顧客情報が漏えい等の種類として最も多いという事実は、顧客データを預かる仕事の重さを示す材料になります。

出典：個人情報保護委員会『令和７年度個人情報保護委員会 年次報告』（2026年7月）をもとに作成

顧客情報そのものを入れる場所で見られること

CRMは、顧客情報そのものを入れておく場所です。ここを触る仕事では、扱うデータの大半が顧客情報にあたります。そのため、委託元がデータの扱い方を気にするのは自然だと考えられます。これは書き手の見立てで、年次報告が述べているわけではありません。

たとえば、作業の都合で手元に一部のデータを持ち出したい場面があるかもしれません。その場合も、無断で書き出さず、先に委託元へ相談する流れが信頼につながります。次の節では、この相談の入口になるアカウントと権限の決め方を取り上げます。

4. アカウントと権限は最初の週に決める

ガイドラインが述べる認証の考え方

ガイドラインの技術的安全管理措置は、個人データを取り扱う情報システムを使う者が、正当なアクセス権を有する者であることを、識別した結果に基づき認証することを、個人情報取扱事業者が講じる措置としています¹。方式の名前までは、この記述では挙げられていません。

ガイドラインが想定しているのは、事業者内部の者です。フリーランスのような委託先にも同じ考え方が当てはまると読むのは、書き手の見立てになります。その見立てに立てば、誰がいつ入ったかを識別できる状態を保つことが、委託元の措置を支える形になります。

そこで、共有のIDを使わず、自分専用のアカウントで入ることを自分から提案します。名乗らなくても入れる状態を避けるだけで、委託元は誰が何を触ったかを後から追えます。参画初期に自分から言うほど、先方には「この人は扱い方を分かっている」と映ります。

最初の週に確かめる6つのこと

最初の週に確かめることを、表にまとめました。HubSpot社の画面や機能の仕様に踏み込まず、どの現場でも使える一般の言葉で並べています。右の列は、その項目を最初の週に決めておく理由で、書き手の見立てです。

最初の週に確かめること	先に決めておく理由（見立て）
自分専用のアカウントで入るか	誰の作業かが後から分かる
ログインの認証の方法	入る人を識別する仕組みを委託元が把握できる
閲覧できる顧客データの範囲	作業に必要のないデータへ手が届かない
一括書き出しの可否	データの持ち出しを委託元が管理できる
配信を送る権限の有無	送信の最終判断が委託元に残る
作業の終わりに権限を外す時期	不要になった権限が残らない

6つのうち、最初の1つ目と3つ目は、参画初日に口に出せます。残りは、委託元と話しながら決めていく項目です。次は、これらの権限を使っていて異常に気づいたときの動きに移ります。

5. 異常に気づいたときの最初の動き

ガイドラインが事業者に求める最初の措置

同じガイドラインは、漏えい等またはそのおそれのある事案が発覚した場合に個人情報取扱事業者が講じる措置の1つ目として、責任ある立場の者に直ちに報告し、被害が発覚時より拡大しないよう措置を講じることを挙げています¹。主体は個人情報取扱事業者で、委託先のフリーランスではありません。

個人情報保護委員会の「漏えい等の対応とお役立ち資料」のページも、漏えい等報告の期限について、発覚したらまずは速やかに報告するよう求めています³。こちらも報告するのは漏えい等報告が義務付けられる事業者等であり、フリーランスが委員会へ報告するという話ではありません。

黙って直さずに、委託元へ知らせる

ここから先は書き手の見立てです。委託元が事業者として速やかに動くには、事案に気づいた人からの知らせが早く届く必要があります。気づいた側が黙って自力で直してしまうと、委託元は事案の存在そのものを知る機会を失います。そのため、気づいた時点で委託元の責任者に伝えるのが、信頼につながる動きだと考えられます。

知らせたあとは、自分の作業を止めて広がりを止めます。調べ方や原因の究明は、勝手に進めず委託元と協議します。漏えい等に当たるかどうかの判断も、委託元の側に置いたままにします。

図の作成：Remogu編集部。事業者の措置を踏まえて参画初期の動きを整理したもので、統計データではありません

次は、顧客データと並んで委託元が気にする、メール配信の判断に移ります。

6. メール配信の送信は誰が判断するか

特定電子メール法と、違反送信者への措置

総務省は、特定電子メールの送信の適正化等に関する法律（特定電子メール法）に違反しているメールの情報を集めています。提供された情報は、総務大臣と消費者庁長官による違反送信者への措置等に活用するとしています⁴。

この記事で事実として述べるのは、法があり、違反送信者への措置を総務大臣と消費者庁長官が行う、という範囲までです。同意の取り方や表示のルールなど、法の中身には触れません。配信は、この法の対象になりうる行為です。HubSpotの構築と運用を受けるフリーランスも、設定を進めるうちに配信の準備へ近づきます。

送信の最終判断を委託元に置いたまま進める

書き手の見立てでは、参画初期の配信まわりで信頼を積む近道は、送信の最終判断を委託元に置いたまま設定を進めることです。配信リストの設定やテスト送信は、フリーランスが手を動かしても、押すかどうかは委託元が決めます。送ったメールは取り消せないので、取り返しのつく範囲に自分の役割をとどめる形になります。

決めることを最初に表にしておくと、後で「誰が判断するのか」がぶつかりません。表の右の列は、各項目を決めておく理由で、書き手の見立てです。

決めること	決めておく理由（見立て）
配信リストの出どころを誰が確かめるか	リストの確認が誰の役割か分からないまま進まない
送信の最終判断	送る・送らないの決定が委託元に残る
テスト送信の宛先	実際の顧客へ誤って届かない
配信停止の扱いの担当	停止の依頼を受けた先が明確になる
送信の時刻に誰が立ち会うか	異常が出たときに連絡が取れる

5つとも、技術の判断ではなく役割の取り決めです。最初の1か月で、これらをどんな順番で積み上げるかを次に整理します。

7. 最初の1か月で信頼を積む順番

権限から配信まで、5つの順番

書き手の見立てとして、最初の1か月で信頼を積む順番は5つにまとまります。まず触る範囲を決め、自分専用のアカウントで入ります。作業の記録を残し、小さな変更から渡してもらい、一括の操作と配信は委託元の判断に置きます。ここまでの各節で見てきた内容を、時間の順に並べ直したものです。

図の作成：Remogu編集部。参画初期の振る舞いを整理したもので、統計データではありません

小さな変更から渡してもらう

4番目の「小さな変更から渡す」は、作業の大きさを自分で決めずに、委託元に渡してもらう形で進める意味です。連絡先の項目の整理のように、影響の範囲が見えている作業から任されれば、委託元は結果を確かめやすく、次の作業も渡しやすくなります。初動の一般論は、案件の初動を整理した別の記事で扱っています。

Remogu（株式会社LASSIC運営）は、リモートワーク案件特化のエンジニアマッチングで、案件の90%以上がフルリモート可能です。場所に縛られず、顧客データを預かる仕事を選べるからこそ、参画初期の振る舞いが信頼を左右します。登録して自分の経験に合う条件を確かめながら、触る範囲の線の引き方も合わせて考えてみてください。

冒頭の場面に戻ります。管理者の権限を渡されそうになったとき、範囲を先に決めて返す一言が、相手の表情を変えました。HubSpotの仕事で最初に渡す信頼は、触らないデータを先に決めることです。

8. よくある質問

HubSpot以外のMA・CRMの経験でも同じ考え方で受けられますか

書き手の見立てでは、同じ考え方で受けられます。顧客データの範囲を先に決めること、配信の最終判断を委託元に置くことは、道具が変わっても共通するからです。

ただし、道具ごとの権限の名前や画面は違います。この記事は製品固有の仕様に踏み込んでいないので、参画する現場の道具に合わせて、最初の週に確かめることの表を読み替えてください。

構築だけを受けて運用は受けない場合も、権限の話は要りますか

書き手の見立てでは、構築だけを受ける場合でも、権限の話は要ります。扱いが変わる分かれ目は、構築中のテストに実際の顧客データを使うかどうかです。

実データを使うなら、第4節の表の項目をそのまま確かめます。疑似データだけで進められるなら、閲覧できる範囲の確認は軽くなります。どちらで進めるかを、最初の週に委託元と決めておくと、後で話がぶつかりません。

自分の作業のミスで顧客データを誤って書き換えたときも、すぐ知らせたほうがよいですか

書き手の見立てでは、すぐ知らせるのが信頼につながります。ガイドラインの最初の措置や委員会の案内の主体は、個人情報取扱事業者のままです¹。それでも、漏えい等に当たるかどうかを判断するのは委託元の側です。

自分で「これは大きな問題ではない」と判断して黙るのは避けます。誤った書き換えの内容と気づいた時刻を、そのまま委託元の責任者へ伝え、直し方は協議して決めます。

※公開中の案件数は時期によって変わります。記事中の案件の傾向は執筆時点のものです。

出典・参考情報

＊1 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（通則編）」（2026年6月・2026年10月確認）
＊2 個人情報保護委員会「令和７年度個人情報保護委員会 年次報告」（2026年7月・2026年10月確認）
＊3 個人情報保護委員会「漏えい等の対応とお役立ち資料」（2026年・2026年10月確認）
＊4 総務省「迷惑メール対策」（2026年6月30日・2026年10月確認）