公開されていても個人データになり得る

メールアドレスは個人データに当たる？文脈と法域で変わる

メールアドレスは、特定された、または特定可能な自然人に関係する場合、個人データになり得ます。ただし判断は文脈と適用法によって変わります。

読了目安 9分

「個人データ」と「秘密情報」は同じ意味ではありません。公開ページに載っているメールアドレスでも、特定の人を識別したり合理的に結び付けたりできるなら個人データになり得ます。一方、sales@company.example のような共通窓口アドレスは、必ずしも特定の自然人を直接示すとは限りません。

アドレスの形で評価は変わる

例	個人データ性の目安	理由
firstname.lastname@company.example	個人データである可能性が高い	特定の従業員を直接識別し、勤務先も示し得る
personalname@provider.example	実在の個人に結び付くなら個人データになりやすい	自然人の識別子として機能する
sales@company.example	特定個人との結び付きは弱い場合がある	個人ではなく役割や組織を表している可能性がある
社内で一人の利用者に紐づくランダムなアドレス	それでも個人データになり得る	名前が見えなくても他の情報から間接的に本人を特定できるため

ICOは、個人データを特定された、または特定可能な自然人に関する情報として説明しています。識別は直接でも間接でもよく、文脈が重要です。氏名を含む会社メールは本人を特定し、所属組織まで示すことがあります。

逆に、氏名を含まない仮名的・ランダムなアドレスでも安心とは限りません。組織が保有する他の情報を使って一人のアカウント所有者に結び付けられるなら、その文脈では個人データになり得ます。

社員ページに公開されている業務用メールでも、特定可能な人に関係していれば個人データであり得ます。分類の基準は公開・非公開ではなく、自然人との結び付きです。

また、個人データに該当することと、特定の利用が適法かどうかは別問題です。目的、透明性、保存期間、マーケティング、安全管理などは、適用法と事実関係に応じて別に評価する必要があります。

メールアドレスは秘密でなくても個人データになり得ます。誰を特定できるのか、他の情報とどう結び付くのか、そしてどの法制度が適用されるのかをセットで考えるのが正確です。

この脅威を文脈で理解する

将来の復旧が不要なら、一時メールは恒久アドレスの露出を減らせます。これはプライバシーの一層であり、アカウント保護の代替ではありません。