PPAPが悪かどうかはどうでも良くて、
会社が決めた手順にそって対応する事が重要。

仮に誰かにメールサーバー覗かれるか何かで流出しても、メール送る側が手順や指示に沿った送信だったらば許される。
逆にクラウドストレージで共有してもそれが会社の手順外だと、いくら仕組みが安全で堅牢でも、上司から叱責されて責任取らされる。