メールアドレス一覧を含むメールは個人情報ですか？台帳登録や管理の必要性は？
電子メールに関する質問です。
メール本文に社員のメールアドレス一覧が書いてあるメールを受け取った場合、そのメール自体を管理対象として、個人情報保護管理台帳などに登録する必要があるのでしょうか。
それとも、メールアドレスをアドレス帳に全て登録後、メールを破棄してしまえば特に管理は必要ないのでしょうか。
日常的に発生するメールの取り扱いについて、非常に重要な実務上の疑問です。
結論から申し上げますと、「管理の手法（メールのままか、アドレス帳か）」にかかわらず、取得した個人情報は原則としてすべて管理対象となります。 ただし、実務上は「何をもって管理台帳に登録するか」という点に工夫の余地があります。
以下に、3つのポイントで整理・解説いたします。
1. 「取得」した時点で管理責任が発生する
まず、メールにて個人情報を取得・収集していますので管理の手法（メール、アドレス帳）には関係なく、そのデータは管理対象とする必要があります。
個人情報がメールデータであるとか、アドレス帳のデータであるとかには関係なくどちらであっても、個人情報としてJIS Q 15001の要求事項に準拠して管理するようにして下さい。（個人情報保護管理台帳などに登録する必要があります。）
なお、メールデータを破棄する場合であっても、破棄するまでは御社の責任のもとで管理する必要がありますので注意して下さい。
JIS Q 15001（Pマーク）の要求事項では、個人情報を「取得」した段階で、その情報を安全に管理する責任が生じます。
- メール本文の状態：
アドレス一覧が記載されたメールを受信した瞬間、それは「個人情報を含む媒体」となります。 - アドレス帳への登録：
データを移し替えた場合、管理の形態が「メール」から「データベース（アドレス帳）」に変わるだけで、情報そのものの管理責任が消えるわけではありません。
したがって、「メールを破棄すれば管理不要」ということはなく、その情報を社内で利用し続ける以上、管理対象として特定しておく必要があります。
2. 「個人情報管理台帳」への登録の考え方
「メール1通ごとに台帳に載せるのか？」という点については、実務的には「情報の固まり（カテゴリー）」で管理するのが一般的です。
- 推奨される登録方法：
台帳には「受信メール一式」や「PC内の連絡先データ（アドレス帳）」といった項目で登録します。個別のメールアドレスを1行ずつ登録する必要はありません。 - ライフサイクルの特定：
台帳には、その情報の「取得経路（メール）」「保管場所（サーバー、PC）」「消去・廃棄の方法」を明記します。これにより、メールを破棄してアドレス帳に移行する運用であれば、その一連の流れがPMS（個人情報保護マネジメントシステム）の中で正しく管理されていることになります。
3. メールの破棄と「消去」のルール
質問者様が仰るように、不要になったメールを破棄することはセキュリティ上望ましい行為です。しかし、以下の点にご注意ください。
- 一時的な保管：
メールを受信してからアドレス帳に登録し、メールを削除するまでの間も「管理下」にあります。その間の漏えい対策（PCのログオン管理など）が、規定通りに行われている必要があります。 - ゴミ箱の空にするまで：
メーラー上で削除しただけでは「消去」とみなされない場合があります。確実に破棄する運用をルール化しておくことが重要です。
実務的なアドバイス
もし、そのアドレス一覧が一時的な連絡用で、アドレス帳に登録した後は二度とメールを見ないのであれば、早めに削除することで「情報の抱え込み」というリスクを低減できます。
「どの媒体で持っているか」ではなく、「その情報を組織として保持しているか」という視点で管理を捉えてみてください。弊社のサンプル文書集に含まれる管理台帳の記入例では、こうした「運用に即した項目設定」の具体例を多数掲載しております。
