メールアドレスは個人情報か？｜扱いを分ける境目

「名簿に入っているのは連絡先だけなので、個人情報ではないと社内で言われた」「氏名も会社名も入っていないから問題ないと考えていた」——名簿の扱いを議論する場面で出てくる整理です。連絡先は、単独で常に個人情報になるわけではありません。形と、手元にある他の情報によって扱いが変わります。この記事では、3つの場合に分けて境目を整理します。

この議論が実務で起きる場面

最初に、なぜこの区別が問題になるのかを押さえます。個人情報に当たるかどうかで、求められる対応が変わるためです。

個人情報に当たれば、利用の目的を特定して伝える必要があります。安全に管理する義務も生じます。第三者に渡す場合には、原則として本人の同意が要ります。

当たらなければ、これらの義務は生じません。だから、実務では「これは個人情報か」という問いが繰り返し出てきます。

マーケの現場で、この問いが出る場面は決まっています。配信の名簿を別の道具に移すとき。外部の事業者にデータを渡すとき。そして、広告の配信に使うときです。

いずれも、判断を誤ると法令の違反になり得ます。「たぶん大丈夫」で進めるには、影響が大きすぎます。

以下では、委員会が示している考え方をもとに、3つの場合に分けて見ていきます。個別の判断は、法務や専門家に確かめてください。

単独で個人情報に当たる場合

ここから、3つの場合を順に見ていきます。順番に読めば、自社の名簿がどれに当たるかが判断できます。結論を先に言えば、多くの名簿は1つ目か2つ目に当たります。

まずは、いちばん明快な場合からです。他の情報を持ち出すまでもなく、その連絡先だけで個人が分かる形。BtoBの名簿では、これが多数を占めます。

• 利用者名に氏名が入り、ドメイン名に会社名が入る形が典型
• 氏名の欄が空でも、連絡先そのものに氏名が含まれていれば該当する
• 自社の名簿にこの形がどれだけあるかを、一度確かめておく

まず、連絡先だけで個人情報に当たる場合があります。その連絡先を見ただけで、特定の個人が分かる場合です。

典型が、氏名を含む形です。利用者名の部分に個人の名前が入っていて、ドメイン名の部分に会社名が入っている。この形なら、どの会社の誰かが分かります。

委員会も、利用者名とドメイン名から特定の個人を識別できる場合は、それ自体が単独で個人情報に該当する、という考え方を示しています。

BtoBの名簿は、この形が多くを占めます。会社の連絡先は、氏名を使った形式で作られていることが一般的だからです。

つまり、「氏名の欄が空だから個人情報ではない」という理解は成り立ちません。連絡先そのものに氏名が含まれているためです。

この場合、氏名の欄があるかどうかに関わらず、個人情報として扱う必要があります。利用の目的の特定と通知、安全な管理、第三者への提供の制限。すべてが適用されます。

自社の名簿を見て、この形の連絡先がどれだけ含まれているかを確かめてみてください。

他の情報と合わせて該当する場合

1つ目に当たらない連絡先でも、安心はできません。周りにある情報と組み合わせると、個人が分かる場合があるためです。

この場合の判断は、連絡先そのものではなくその連絡先が置かれている状況で決まります。同じ連絡先でも、どこに、どういう形で保管しているかで扱いが変わります。

2つ目が、それ自体では個人が分からないものの、他の情報と照らし合わせると分かる場合です。

たとえば、連絡先が記号の羅列でも、同じ表の別の列に会社名と担当者名が入っていれば、その表全体で個人が分かります。

委員会も、他の情報と容易に照合することにより特定の個人を識別できる場合は、当該情報とあわせて全体として個人情報に該当する、という考え方を示しています。

要点は「容易に照合できるか」です。別の場所にある情報でも、自社の中で簡単に突き合わせられるなら、容易に照合できる状態と考えられます。

実務では、この場合がいちばん多くなります。配信の名簿には、連絡先だけでなく会社名や部署名も入っていることが普通です。

また、名簿を分けて保管していても、同じ識別の番号で結び付けられる状態なら、容易に照合できると見られる可能性があります。

分けて保管すれば個人情報でなくなる、という考え方は成り立ちにくい、ということです。

どちらにも当たらない場合

3つ目が、どう照らし合わせても個人が分からない場合です。ここまでくれば自由に使える、と考えたくなりますが、そう単純にはいきません。

個人情報ではないという結論と、何の規律も及ばないという結論は別です。特に、外部に渡す場面では別の枠組みが関わります。

3つ目が、単独でも分からず、他の情報と合わせても分からない場合です。

この場合、個人情報には当たりません。ただし、何の規律も及ばないわけではありません。

委員会は、その連絡先に係る利用者に関する情報として「個人に関する情報」に該当し、個人関連情報に該当する、という考え方を示しています。

個人関連情報にも、規律が定められています。特に、第三者に提供する場面で問題になります。提供を受けた側が個人データとして扱うことが想定される場合、確認の義務が生じることがあります。

広告の配信に使う場面で、この論点が出ます。自社では個人が分からない情報でも、受け取った側で個人と結び付く可能性があるためです。

したがって、「個人情報ではないから何をしてもよい」とはなりません。提供する場面では、別の確認が要ります。

実務では、この3つ目に当たる連絡先はそれほど多くありません。BtoBの名簿であれば、たいてい1つ目か2つ目に当たります。

3つの場合の整理

場合	判断の基準	実務での扱い
単独で該当	連絡先だけで特定の個人が分かる	個人情報として扱う
合わせて該当	他の情報と容易に照合して分かる	全体として個人情報として扱う
どちらでもない	照合しても個人が分からない	個人関連情報としての規律を確かめる

この表を見ると、実務での結論はほぼ1つに収束します。BtoBの名簿は、個人情報として扱っておくのが安全です。

理由は3つあります。1つ目に当たる連絡先が多いこと。2つ目に当たる状態になりやすいこと。そして、区別して運用するほうが手間がかかることです。

名簿の中で扱いを分けるのは、現実的ではありません。この連絡先は個人情報、こちらは違う、という管理は誰も維持できません。

したがって、実務の指針は明快です。名簿は個人情報を含むものとして扱い、それに応じた管理を行う。この前提で設計してください。

個人情報として扱うと何が必要か

扱いの方針が決まったところで、実際に何が求められるかを確かめます。義務の一覧を見ると多く感じますが、すでに実施している項目も多いはずです。

確かめるべきは、実施していると思っている項目が実際に機能しているかどうかです。方針の頁に書いてあるだけで、運用が伴っていない例が少なくありません。

では、個人情報として扱うと具体的に何が必要になるのか。主なものを挙げます。

• 利用の目的を特定し、本人に伝えるか公表する
• 特定した目的の範囲を超えて使わない
• 安全に管理するための措置を講じる
• 従業者と委託先を監督する
• 本人からの開示や訂正や削除の求めに対応する
• 第三者に提供する場合、原則として本人の同意を得る
• 外国にある第三者に提供する場合、別の要件を満たす

マーケの現場で見落とされやすいのが、1番目と2番目です。セミナーの申し込みで集めた連絡先を、別の商品の案内に使ってよいか。

これは、利用の目的の書き方によります。「弊社のサービスに関する情報の提供」と書いてあれば、範囲に含まれる可能性があります。「本セミナーに関する連絡」だけなら、範囲外です。

目的の記載を、一度確かめてみてください。狭く書きすぎていて、実際の運用が範囲を超えている場合があります。

5番目も実務で問われます。配信の停止だけでなく、登録の削除を求められた場合の手順があるか。対応する窓口が決まっているか。

名刺の扱い

ここからは、具体的な場面ごとの扱いを見ていきます。まずは、BtoBでいちばん件数の多い入口からです。展示会や商談で受け取る名刺は、それ自体が個人情報の塊です。

紙のまま保管しているうちは、議論になることが少ない部分です。問題になるのは、データとして整理し、配信に使い始めたときです。

BtoBで特に多いのが、名刺の扱いです。展示会や商談で受け取った名刺には、氏名、会社名、部署名、連絡先が入っています。

名刺に記載された情報は、個人情報に当たると考えるのが一般的です。氏名が明記されているためです。

したがって、名刺の情報をデータとして整理して保管する場合、個人情報の取扱いに関する規律が及びます。

利用の目的をどう伝えるかが、実務の論点になります。名刺を受け取る場面で、毎回説明するのは現実的ではありません。

多くの会社は、個人情報の取扱いに関する方針の頁に利用の目的を記載し、公表する形を取っています。

方針の頁の記載が、実際の運用と合っているかを確かめてください。名刺の情報を配信に使うなら、その旨が読み取れる記載になっている必要があります。

この点は、配信を始める前に確かめておくべき事項です。後から記載を追加しても、すでに送った分の扱いは変わりません。

退職者の連絡先

名刺と並んで判断に迷うのが、使われなくなった連絡先の扱いです。取引先の担当者が異動や退職をすると、その連絡先は宙に浮きます。

放置すると、到達しない配信が増え、送信元の評判が下がります。個人情報の観点と、配信の実務の観点の両方から整理が必要な部分です。

実務でよく出るのが、取引先の担当者が退職した場合の扱いです。

会社の連絡先は、退職とともに使われなくなります。その連絡先を名簿に残しておくと、配信は届かなくなります。

配信の到達の観点からも、使われなくなった連絡先は削除すべきです。届かない連絡先が多いと、送信元の評判が下がります。

個人情報の観点でも、不要になった情報は消すのが原則です。利用する必要がなくなったときは、遅滞なく消去するよう努めることが求められています。

退職を把握する方法は限られています。配信が届かなくなったことで気づくのが一般的です。その情報を、名簿の整理に反映してください。

後任の担当者の連絡先を新たに取得する場合は、改めて取得の経緯を記録します。前任者の名簿から推測して連絡先を作るのは避けてください。

外部に渡す場面での確認

扱いの中でも、いちばん判断が難しく、いちばん影響が大きいのが外部への提供です。自社の中で使うだけなら、判断を誤っても回復できます。

外に出た情報は、戻りません。だからこそ、渡す前の確認を手順として固定しておく必要があります。

名簿を外部に渡す場面は、いちばん慎重さが要る場面です。

広告の配信に使う。支援の会社に分析を頼む。共催の相手に参加者の情報を渡す。いずれも、外部への提供に当たり得ます。

委託の場合は、第三者への提供に当たらないとされていますが、委託先を監督する義務が生じます。そして、相手が外国にある場合は別の要件が加わります。

広告の配信に使う場合は、判断が分かれる場面があります。自社では個人が分からない形にしていても、受け取った側で個人と結び付く可能性があるためです。

個人関連情報の規律が関わる場面なので、使う前に法務に確かめてください。道具の側の説明だけを根拠にするのは危険です。

共催の相手に渡す場合は、第三者への提供に当たることが多くなります。申し込みの時点で、共催の相手に提供する旨の同意を得ておく形が一般的です。

同意をどう取るか

外部への提供で同意が必要になると分かったら、次はその取り方です。後から取り直すのは、手間の面でも回収率の面でも現実的ではありません。

だから、設計の話になります。情報を集める入口で取るのが、いちばん確実で安く済みます。

提供の場面で同意が必要になる場合、どう取るかを設計します。

原則は、情報を集める時点で取ることです。後から個別に連絡して同意を求めるのは、手間がかかるうえ、回収率も上がりません。

形での取得なら、送信の前に説明を表示し、確認の操作を求める形にします。

説明の内容が、実際の運用と一致していることが重要です。「共催の相手に提供します」と書いておきながら、別の会社にも渡していれば、同意の範囲を超えます。

展示会での名刺の交換では、その場で同意を取るのが難しくなります。方針の頁での公表と、後の連絡での案内を組み合わせる形が実務的です。

同意を取った記録も残します。いつ、どの文面で、どういう形で同意を得たか。この記録がないと、後から同意の有無を証明できません。

方針の頁を見直す

ここまでの判断の土台になるのが、自社が公表している方針の頁です。ここに書いてあることが、実務での判断の基準になります。

にもかかわらず、この頁を最後に読んだのはいつか思い出せない担当者がほとんどです。一度、通して読んでみてください。

ここまでの内容を踏まえて、自社の方針の頁を見直してください。

確かめるのは4点です。利用の目的が、実際の運用を覆っているか。第三者への提供について書かれているか。開示や削除の求めへの窓口が書かれているか。そして、外国での取扱いについて書かれているか。

多くの会社の方針の頁は、作った当時のまま残っています。運用が変わっているのに、記載だけが古いという状態です。

特に、利用の目的の記載を確かめてください。狭く書いてあると、実際の運用が範囲を超えていることになります。

記載を広げすぎるのも問題です。何にでも使えるような書き方は、目的を特定したことになりません。

見直しは、法務と一緒に行ってください。マーケの側は、実際の運用を正確に伝える役割です。何にどう使っているかを洗い出して渡すところまでが仕事になります。

やってはいけない扱い

• 氏名の欄が空なら個人情報ではない、と判断する
• 名簿を分けて保管すれば個人情報でなくなる、と考える
• 利用の目的の記載を確かめずに、別の用途に使う
• 個人情報でないと判断して、外部に渡す前の確認を省く
• 同意を取った記録を残さない
• 使われなくなった連絡先を、いつまでも名簿に残す

1番目は、この記事の出発点でした。連絡先そのものに氏名が含まれていれば、欄が空でも個人情報に当たります。

3番目は、実務でいちばん起きやすい違反です。セミナーの申し込みで集めた連絡先を、別の案内に使う。目的の記載を確かめないまま行うと、範囲を超えます。

4番目も注意が必要です。個人情報でないと判断しても、個人関連情報としての規律が及ぶ場合があります。外部に渡す前は、必ず確認してください。

社内で共有する形

方針の頁を整えても、現場が知らなければ守られません。そして、法令の内容を全員に教えるのは現実的ではありません。行動の形に落として伝えてください。

この判断を、マーケの担当が1人で抱えるのは無理があります。共有の形を作ります。

伝えるべきは、細かい法令の内容ではありません。行動として何をするかです。

3点に絞れます。名簿は個人情報を含むものとして扱う。使う前に、利用の目的の範囲かを確かめる。外部に渡す前に、必ず法務に相談する。

この3点を、1枚の紙にして配ってください。研修の形にする必要はありません。手順の中に組み込むほうが定着します。

相談の窓口も明示します。誰に聞けばよいか分からないと、自己判断で進めることになります。

判断の事例を蓄積していくと、同じ相談が減ります。過去にどう判断したかを残しておいてください。

名簿の棚卸し

最後に、実際に着手する作業を挙げます。ここまでの内容を踏まえて、自社の状態を確かめるところから始めてください。判断の前に、実態の把握が要ります。

洗い出すのは、どこに、どんな名簿が、何件あるかです。

洗い出すのは、どこに、どんな名簿が、何件あるかです。配信の道具の中、顧客の管理の仕組みの中、そして担当者の端末の中。

担当者の端末に写しがあることは珍しくありません。分析のために書き出したものが、そのまま残っているという状態です。

この写しが、事故の原因になります。管理の外にあるため、何が入っているかも分かりません。

棚卸しの結果をもとに、保管の場所を絞ります。書き出す場合は記録を残し、使い終わったら消す運用にします。

この作業は、個人情報の管理としてだけでなく、名簿の質の向上にもつながります。重複や古い情報が見つかるためです。

判断に迷ったときの原則

最後に、迷ったときの原則を示しておきます。

原則は、厳しいほうに寄せることです。個人情報かどうか迷うなら、個人情報として扱う。同意が要るか迷うなら、取っておく。

厳しく扱って困ることは、ほとんどありません。逆に、緩く扱って後から問題になると、取り返しがつきません。

そして、判断の根拠を記録に残してください。なぜそう判断したかが残っていれば、後から説明ができます。

この記事は、論点を整理したものです。個別の判断は、自社の状況に合わせて法務や専門家に確かめてください。

相談するときは、名簿の中身と、使い方と、渡す相手を整理して持って行ってください。材料がそろっていれば、判断は早く出ます。

よくある質問

会社の代表の連絡先だけなら、個人情報ではありませんか

特定の個人を識別できない形であれば、個人情報に当たらない場合があります。ただし、他の情報と容易に照合して個人が分かる場合は該当します。また、個人関連情報としての規律が及ぶ場合もあるため、外部に渡す場面では確認が必要です。

公開されている連絡先なら、自由に使えますか

公開されていることと、自由に使えることは別です。個人情報に当たる場合、取得の方法や利用の目的に関する規律が及びます。サイトに掲載されている連絡先を集めて配信に使う場合は、特に慎重な検討が必要です。

名簿を暗号化していれば、個人情報ではなくなりますか

なりません。暗号化は安全に管理するための措置であって、個人情報かどうかの判断とは別の話です。自社で復元できる状態であれば、個人情報として扱う必要があります。

外部の道具に入れる前に、何を確かめればよいですか

その事業者が国内にあるか外国にあるか。契約で、事業者が中身を取り扱わないと定められているか。そして、自社の方針の頁の記載と整合しているか。この3点を確かめ、判断に迷う場合は法務に相談してください。

まとめ

連絡先が個人情報に当たるかは、3つに分かれます。利用者名とドメイン名から個人が分かる場合は、単独で該当します。他の情報と容易に照合して分かる場合は、全体として該当します。どちらでもない場合も、個人関連情報としての規律が及びます。

BtoBの名簿は、1つ目か2つ目に当たることがほとんどです。氏名の欄が空でも、連絡先そのものに氏名が含まれていれば個人情報です。名簿の中で扱いを分ける運用は現実的でないため、全体を個人情報として扱う前提で設計してください。

実務でやることは3つです。利用の目的の記載が、実際の運用を覆っているかを確かめる。外部に渡す前に、必ず確認する。そして、名簿の棚卸しを行って保管の場所を絞る。迷ったら、厳しいほうに寄せて、判断の根拠を残してください。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。