[Likefire]

1. Списки - это представления записей имелись в виду. Для этого в AD ничего настраивать не нужно. В CRM есть средства ограничения доступа на основе прав для ролей и владения записями - это в Параметрах, раздел Администрирование, в котором есть Роли безопасности, в которых определяют уровни доступа к определенным сущностям. Но можно ещё настроить и собственно списки, то есть представления, которые будут представлять информацию частями, например "Мои активные организации". Грубо говоря, если во всем этом разобраться и умело скомбинировать права ролей и представления, то можно добиться того, что списки будут содержать минимум записей в одном отдельно взятом представлении.
2. Если продажник в конторе один, то понятно, что права доступа ограничить будет сложновато, поскольку и в веб-клиенте и в аутлуке они отображаются по сходным правилам. Другое дело, что синхронизацию контактов с адресной книгой аутлука можно вовсе отключить, чтобы контакты содержались только в представлениях областей CRM, а в разделе "Контакты" аутлука были только те, которые в аутлуке же и добавлены.

В качестве отступления могу прокомментировать, как бы я действовал в данной ситуации, чтобы исключить все возможные варианты. Если бы я был руководитель и не имел доверия к продажнику - я бы настроил отображение таким образом, чтобы владельцем контактов продажник был только для активных контактов, с которыми в данный момент ведется работа (есть незавершенные возможные сделки или сервисные контракты на стадии заключения), а все остальные, во избежание утечек, автоматически переключал в своё владение, чтобы даже в списках не появлялись.