弁護士・情報処理安全確保支援士 石田 優一
コラムはこちら
目次
第1章 はじめに
第2章 匿名加工情報とは
1 匿名加工情報の制度ができた経緯
2 匿名加工情報の定義
3 個人情報を匿名加工情報にするための加工方法
4 匿名加工情報について事業者に課せられる義務
5 匿名加工情報の利活用
6 匿名加工情報のハードル
第3章 仮名加工情報とは
1 仮名加工情報の制度のメリット
2 仮名加工情報と匿名加工情報の定義の違い
3 仮名加工情報と匿名加工情報のルール上の主な違い
第4章 仮名加工情報と匿名加工情報をどのように使い分けるか
第5章 おわりに
第1章 はじめに
2020年6月、個人情報保護法改正案が国会で成立しました。改正により、ビッグデータを利活用するためのルールとして、これまでの匿名加工情報のほか、仮名加工情報が新設されます。このコラムでは、仮名加工情報と匿名加工情報の違いを検討しながら、仮名加工情報を利活用する方法について解説します。なお、仮名加工情報や匿名加工情報の制度は、今後、AIの開発において重要なものになっていきます。AI開発との関係については、AIの開発を受託する前に学びたい法律知識1-企画編で詳しく取り上げています。
第2章 匿名加工情報とは
1 匿名加工情報の制度ができた経緯
仮名加工情報について理解するためには、まず、匿名加工情報の制度について理解しておく必要があります。
AIの普及により、個人情報保護法が制定された平成15年当時と比べて、個人情報の価値は格段に大きなものになっています。例えば、医療の分野では、多数の患者の診断情報を集積してAIに分析・学習させることで、原因の解明やAI診断に活用することができます。また、多数の顧客の購買履歴を集積してAIに分析させることで、広告戦略や商品開発に活用することができます。さらに、あらゆるデバイスをネットワークでつなぐIoTの普及により、様々な情報を世の中のデバイスから集積して、AIの学習等に活かしていくことができます。このような、何らかの目的で集積された大量の情報を、一般にビッグデータといいます。
個人情報は、本人の同意がない限り、取扱いを始めた際に特定した利用目的の達成に必要な範囲でしか取り扱うことができず、利用目的の変更も、変更前の利用目的と関連性を有すると合理的に認められる範囲を超えては行うことはできません(個人情報保護法15条、16条1項)。また、個人情報をデータベース化して第三者に提供することも、原則として本人の同意がなければできません(個人情報保護法23条1項)。
ここで、次のような具体例を考えてみましょう。
小売店舗を展開する企業Aは、これまで、商品の販売数の把握や顧客への購入商品に応じたポイント還元のために、顧客の購買履歴を集積してデータベース化していました。この度、さらなる顧客数の向上をねらい、顧客の年齢・居住地域・性別に応じて購買履歴をAIで傾向分析し、年齢・居住地域・性別・主な購入時間帯に応じて顧客ごとに異なるDM広告を配信したいと考えています。A社のプライバシーポリシーでは、DM広告の配信のために利用することが予定されているのは氏名と住所のみに限られ、年齢・性別・購入履歴といった情報はその利用目的には含まれていませんでした。
ここで、顧客の年齢・居住地域・性別に応じて購買履歴をAIで傾向分析する行為が、特定した利用目的の達成に必要な範囲を超えてしまうのではないかが問題になります。匿名加工情報の制度ができる前には、このような懸念を解消するためには、個人情報を加工して、個人情報とは扱われないレベルにまで抽象化し、個人情報が含まれるデータベースとは紐づけされないデータベースを構築する必要がありました。しかし、これまでは、個人情報として扱われるものと扱われないものの境界が不明確であったために、企業が「どこまで加工すれば個人情報として扱わなくてよいのか」を判断しがたい問題がありました。
このような問題を解消し、企業のビッグデータの利活用を促進するためにできたのが、匿名加工情報の制度です。個人情報保護法が定める匿名加工情報のルールに従うことで、ビッグデータを、もともとの個人情報の利用目的を超えて利活用したり、第三者に提供したりすることができるようになりました。
2 匿名加工情報の定義
匿名加工情報は、個人情報を加工して個人情報として取り扱う必要のない状態にしたものであり、あくまでも「個人情報ではないもの」として位置づけられています。匿名加工情報は、「もともと個人情報として扱う必要がなかったもの」の1つの類型を明確にしたものにすぎません。つまり、匿名加工情報の制度ができたことで、個人情報として保護される対象範囲が狭くなったわけではありません。
「個人情報」とは、生存する個人に関する情報であって、次のいずれかに該当するものをいうと定義されています(個人情報保護法2条1項)。
(1) その情報に含まれる記述等(文書・図画・電子データで作られる記録)に記載・記録・表された一切の事項により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む)
(2) 個人識別符号(マイナンバー・免許証番号等や、顔認証情報・指紋情報等)
つまり、個人情報を加工して、「個人情報として扱う必要がないもの」にするためには、特定の個人を識別することができないようにして、かつ、特定の個人を識別することができるような他の情報との照合もできないようにしなければなりません。また、個人識別符号(マイナンバー・免許証番号等や、顔認証情報・指紋情報等)についてはすべて削除しなければなりません。
このような観点から、「匿名加工情報」にするためには、個人情報を、次のような要件を満たすように加工しなければなりません(個人情報保護法2条9項・改正案では11項)。
(1) 次の措置を講じて特定の個人を識別することができないように加工すること
・個人情報に含まれる記述等の一部を削除するか、復元することのできる規則性を有しない方法によって置き換えること
・個人識別符号の全部を削除するか、復元することのできる規則性を有しない方法によって置き換えること
(2) もとの個人情報に復元することができないようにすること
3 個人情報を匿名加工情報にするための加工方法
個人情報を匿名加工情報にするためには、「個人情報として扱う必要がないもの」にするために、(1)含まれる情報の一部(個人識別符号については全部)を削除・置き換えすることで特定の個人を識別することができないようにしたうえで、(2)もとの個人情報に戻すこともできないようなレベルまで加工しなければなりません。
具体的にしなければならない加工とは、次のようなものです(個人情報保護法施行規則19条)。
(1) 特定の個人を識別することができる記述等の全部又は一部の削除(又は置き換え)
匿名加工情報は、「個人情報として扱う必要がないもの」に加工して、かつ、「個人情報として扱う必要があるもの」に復元することができないようにするために、特定の個人を識別することができる記述等については削除するか、ハッシュ化等の方法で元に戻せないように置き換えをする必要があります。
例えば、居住地域と生年月日の情報を組み合わせると、特定の個人を識別することにつながってしまいますので、これらの情報は抽象化しておく必要があります。例えば、「〇〇市〇〇町〇〇丁目在住・〇年〇月〇日」という情報を、「〇〇市在住・〇年代」と抽象化することが考えられます。
どこまで抽象化する必要があるかについては、すべての情報の項目の組合せまで考えて、「このままでは特定の1人を該当者として絞り込めないか」という観点で個別に検討することが求められます。
(2) 個人識別符号の全部の削除(又は置き換え)
個人識別符号とは、パスポート、年金手帳、運転免許証、マイナンバーカード、住基カード、健康保険証等の番号・符号や、DNA情報・指紋情報・顔認証情報・虹彩情報等の本人識別のための生体情報をいいます。
個人識別符号は、それだけで特定の個人を識別することができるため、すべて削除するか、ハッシュ化等の方法で元に戻せないように置き換えをする必要があります。
(3) 個人情報と連結する符号の削除(又は置き換え)
他の個人情報と紐づけることにつながるID等をそのままにしておくと、「他の情報と容易に照合することができ、それにより特定の個人を識別すること」ができるようになり、「個人情報として扱う必要があるもの」になります。そのため、このようなID等は、削除するか、ハッシュ化等の方法で元に戻せないように置き換えをする必要があります。
また、例えば、データベースに含まれる電話番号・メールアドレス等の情報をそのまま残しておくと、他の個人情報のデータベースに含まれる電話番号・メールアドレスとの紐づけにつながってしまいます。ですので、このような情報についても、削除するか、ハッシュ化等の方法で元に戻せないように置き換えをする必要があります。
(4) 特異な記述等の削除(又は置き換え)
例えば、「年齢が110歳である」とか、「身長が2mである」といった、一般的なものとは異なる特徴が見られ、それだけで特定の個人を識別することができる情報については、削除や置き換えが必要です。例えば、「年齢90歳以上」「身長175cm以上」といった形に置き換えることが考えられます。
(5) 個人情報データベース等の性質を勘案したその他の適切な措置
例えば、自宅や職場等の所在を推定することができる位置情報が含まれる場合、住所や職場の情報が含まれる場合と同様の取扱いが求められます。住所や職場の情報が含まれるならば特定の個人を識別することができるおそれがあるのであれば、その位置情報や周辺範囲の位置情報を削除することが必要です。
また、小売店において、購買情報を集積させることにより、他の個人情報(購買履歴等)との照合によって特定の顧客を特定されるおそれがある場合には、商品の品番から商品カテゴリーへの置き換え等が必要です。
さらに、「身長が170cm」であるという情報は、一般的には特異なものではありませんが、そのデータベースが「小学校の身体測定」であるならば、そのデータベースの性質上、特異なものとなります。このような場合には、「身長が150cm以上」等の情報への置き換えが必要になります。
(6) どのような観点で加工方法を検討すべきか
匿名加工情報にするためにどこまで加工する必要があるのかは、(1)から(5)までの観点から、「他の個人情報のデータベースとの紐づけのおそれ」も加味して、個別に検討する必要があります。
「他の個人情報のデータベースとの紐づけのおそれ」まで加味しなければならないことは、匿名加工情報に加工するうえでのハードルになります。
4 匿名加工情報について事業者に課せられる義務
(1) 削除情報等の安全管理措置(個人情報保護法36条2項)
匿名加工情報というためには、もとの個人情報を復元することができないようにしなければなりません。そのため、匿名加工情報を作成する際に個人情報から削除された情報や、情報をハッシュ化して別の情報に置き換える際にハッシュ関数に入力した乱数等(加工方法)には、漏えいを防止するために必要な対策(安全管理措置)をしなければなりません。
個人情報保護法ガイドライン(匿名加工情報編)によれば、具体的に、次のような対策をすることが求められます。
ア 匿名加工情報を作成する際に個人情報から削除された情報や、情報をハッシュ化して別の情報に置き換える際にハッシュ関数に入力した乱数等(加工方法)を取り扱う者の権限・責任を明確に定めること
組織体制を整備して責任者や責任の範囲を明確にし、万が一漏えい事故が発生した場合の報告手順等を決めておくことが求められます。
イ 匿名加工情報を作成する際に個人情報から削除された情報や、情報をハッシュ化して別の情報に置き換える際にハッシュ関数に入力した乱数等(加工方法)の取扱いに関する規程類を整備して、それに従った適切な取扱いを行い、取扱い状況については評価・改善を行うこと
匿名加工情報を作成する際に個人情報から削除された情報や、情報をハッシュ化して別の情報に置き換える際にハッシュ関数に入力した乱数等(加工方法)は、適切な取扱いをしていなければ、匿名加工情報から元の個人情報が復元されたり、特定の個人が識別されたりするおそれがあります。その防止のために、きちんと規程類を整備したうえで、規程類を遵守するように従業員を教育するとともに、日常において取扱状況を確認することが求められます。また、規程類をいったん整備すればそれで終わりではなく、PDCAの観点から、現在の取扱状況の問題点を定期的に評価し、見直し・改善を行うことが求められます。
ウ 匿名加工情報を作成する際に個人情報から削除された情報や、情報をハッシュ化して別の情報に置き換える際にハッシュ関数に入力した乱数等(加工方法)を取り扱う正当な権限を有しないによる取扱いを防止するために必要かつ適切な措置を講ずること
匿名加工情報を作成する際に個人情報から削除された情報や、情報をハッシュ化して別の情報に置き換える際にハッシュ関数に入力した乱数等(加工方法)の漏えいを防ぐために、物理的・技術的な情報セキュリティ対策を講じておかなければなりません。具体的には、適切なアクセス制限やアクセス者の権限認証、電子媒体の持ち出し防止、適切な手段による廃棄等の対策が求められます。
匿名加工情報は、厳格な安全管理措置が事業者に義務づけられることで、匿名加工情報から元の個人情報が復元されたり、特定の個人が識別されたりするおそれがないこと、つまり、「個人情報として扱う必要がないもの」であることが、制度的に担保されています。
(2) 匿名加工情報に含まれる個人に関する情報の項目の公表(個人情報保護法36条3項)
匿名加工情報を作成したときには、匿名加工情報にどのような項目(「生年」・「購買履歴」等)が含まれているのかを、インターネット等で公表しなければなりません。公表は、作成後に行わなければならず、あらかじめプライバシーポリシー等に含めておくことでは要件を満たしません。
このように、匿名加工情報にどのような情報が含まれているのかを一般に公表させることで、適切に匿名加工情報が取り扱われていることが担保されます。
(3) 第三者提供のルール(個人情報保護法36条4項、37条)
匿名加工情報は、第三者に提供すること自体の制約はありません。ただし、その際には、第三者に提供する項目(「生年」・「購買履歴」等)や提供の方法(「ハードコピーの郵送」「サーバーへのアップロード」等)を、あらかじめインターネット等で公表しなければなりません。このように、第三者に提供される匿名加工情報にどのような情報が含まれているのかを一般に公表させることで、適切に匿名加工情報が提供されることが担保されます。
また、匿名加工情報の提供先に対しては、その情報が匿名加工情報であることを、書面や電子メール等で明示しなければなりません。これにより、匿名加工情報の提供先も、匿名加工情報を個人情報保護法のルールに従って取り扱うことが担保されます。
(4) 他の情報との照合の禁止(個人情報保護法36条5項、38条)
匿名加工情報は、元の個人情報の本人を識別するために他の情報と照合したり、作成に際して削除した情報を取得したりしてはいけません。
5 匿名加工情報の利活用
匿名加工情報は、ビッグデータとしてAIの学習・分析に利活用することにより、広告戦略・商品開発・学術的研究等、様々な分野に活かすことができます。個人情報のままでは、取得した当時に定めた利用目的とは全く異なる利活用ができませんが、匿名加工情報に加工することで、当初は全く想定していなかった利用目的への利活用が可能になります。
また、匿名加工情報は、第三者に提供することができる範囲に制約がないため、ビッグデータを販売するビジネスや、医療ビッグデータの研究機関相互の共有といった、様々な用途に利活用することができます。
6 匿名加工情報のハードル
匿名加工情報の制度は、ビッグデータの利活用のために利便性の高いものですが、加工には一定のハードルがあります。なぜなら、匿名加工情報の要件を満たすためには、事業者が保有する他の個人情報のデータベースと照合されることで特定の個人が識別されないようにしなければならないからです。
例えば、「50歳・〇〇町〇丁目在住・男性」という情報のほか、その人が毎朝8時30分前後にA店でおにぎりとお茶を、毎夕5時40分前後にB店でお弁当を・・・といった具体的な購買履歴情報が残存していると、A店やB店の購買履歴情報と照合することで、特定の個人が識別されてしまうおそれがあります。検討にあたっては、自社において他にどのような個人情報をデータベースとして取り扱っているかを考慮することも求められます。
実際、匿名加工情報の制度を十分に利活用している企業はいまだに少なく、その要因の1つとして、匿名加工情報にするためにどこまで加工しなければならないかを検証することに一定のハードルがあることが挙げられています。
第3章 仮名加工情報とは
1 仮名加工情報の制度のメリット
前章で述べたように、個人情報のデータベースから匿名加工情報を作成するためには、事業者が保有する他の個人情報のデータベースと照合されることで特定の個人が識別されないようにすることへの配慮が必要になるため、「匿名加工情報にするためにどこまで加工しなければならないかを検証すること」に一定のハードルがあります。また、そのハードルをクリアするためには、含まれる情報をある程度抽象化せざるをえないため、ビッグデータとして利活用しにくいという問題もあります。
そこで、個人情報保護法改正案では、匿名加工情報の制度と同様にビッグデータの利活用に活かすことができる仮名加工情報の制度を新たに創設することになっています。
仮名加工情報は、「他の情報と照合しない限り特定の個人を識別することができないように」個人情報を加工することで要件を満たすとされていますので、匿名加工情報よりも低いハードルで作成することができます。
ここで、改めて前述の具体例をもとに考えてみましょう。
小売店舗を展開する企業Aは、これまで、商品の販売数の把握や顧客への購入商品に応じたポイント還元のために、顧客の購買履歴を集積してデータベース化していました。この度、さらなる顧客数の向上をねらい、顧客の年齢・居住地域・性別に応じて購買履歴をAIで傾向分析し、年齢・居住地域・性別・主な購入時間帯に応じて顧客ごとに異なるDM広告を配信したいと考えています。A社のプライバシーポリシーでは、DM広告の配信のために利用することが予定されているのは氏名と住所のみに限られ、年齢・性別・購入履歴といった情報はその利用目的には含まれていませんでした。
前述のとおり、「50歳・〇〇町〇丁目在住・男性」という情報のほか、その人が毎朝8時30分前後に〇〇店でおにぎりとお茶を、毎夕5時40分前後に〇〇店でお弁当を・・・といった具体的な購買履歴情報が残存していると、店舗ごとの購買履歴情報等と照合することで、特定の個人が識別されてしまうおそれがあります。そのため、匿名加工情報に加工するのであれば、購買履歴情報を抽象化したり、「50代・〇〇町〇丁目在住・男性」というように属性を抽象化したりする必要がありました。
一方で、仮名加工情報であれば、「他の情報と照合しない限り特定の個人を識別することができないように」すればよいことから、このような他の購買履歴情報等と照合することで個人の特定につながりうる情報であっても、そのまま残しておくことができます。
具体的な情報をそのまま残しておくことができる点は、AIの学習・分析をより緻密に行うために有効で、ビッグデータの利活用の促進につながります。
2 仮名加工情報と匿名加工情報の定義の違い
仮名加工情報とは、次の措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報(改正案2条9項)をいいます。
(1) 個人情報に含まれる記述等の一部を削除するか、復元することのできる規則性を有しない方法によって置き換えること
(2) 個人識別符号の全部を削除するか、復元することのできる規則性を有しない方法によって置き換えること
仮名加工情報も匿名加工情報も、個人情報に含まれる記述等の一部の削除・置き換えや、個人識別符号の全部の削除・置き換えによって加工して作成することは共通しています。
ただ、仮名加工情報の場合は、その情報自体から特定の個人を識別することができなければ、たとえ他の情報と照合することで特定の個人を識別することができたとしても、要件を満たします。また、仮名加工情報の場合、他の情報と照合することで特定の個人を識別することにつながる情報を残すことが想定されるため、もとの個人情報を復元することができないことも要件とはされていません。
匿名加工情報とは異なり、仮名加工情報には、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるもの」が含まれるため、「本来であれば個人情報として取り扱わなければならないもの」が含まれています。つまり、匿名加工情報の制度とは異なり、仮名加工情報の制度は、個人情報の利活用を促進する観点から、本来の個人情報の取扱いのルールの一部を緩和したものです。
なお、仮名加工情報の要件を満たすために具体的にどこまで加工する必要があるかの基準については、改正案が成立した後に、個人情報保護法ガイドラインで明示されると思われますので、その公表を待つ必要があります。おそらく、前述の具体例でいえば、「50歳・〇〇町〇丁目在住・男性」という情報のほか、その人が毎朝8時30分前後に〇〇店でおにぎりとお茶を、毎夕5時40分前後に〇〇店でお弁当を・・・といった具体的な購買履歴情報が残存していても、加工の要件を満たすような基準になるのではないかと予想されます。
改正案35条の2第8項によれば、仮名加工情報を電話・郵便・FAX・電子メール等による連絡に利用してはならないとされており、裏を返せば、仮名加工情報に電話番号・住所・FAX番号・メールアドレスといった情報を残しておくことも許容されうると考えられます。これらの情報は、他の情報との照合がなければ一般に特定の個人を識別することができないために、仮名加工情報として加工する際にもそのまま残しておく余地があります。
3 仮名加工情報と匿名加工情報のルール上の主な違い
(1) 利用目的の特定と公表
匿名加工情報については、含まれる情報の項目を公表すれば足り、利用目的を特定して公表する必要まではありませんでした。これは、匿名加工情報は、「もともと個人情報として扱う必要のないもの」であるため、自由な利活用を認めても問題ないからです。
一方で、仮名加工情報については、利用目的をできる限り特定して公表しなければなりません(改正案35条の2第3項)。ただし、一般的な個人情報とは異なり、利用目的は、あらかじめ公表しておけば、自由に変更することができます(改正案35条の2第9項、15条2項反対解釈)。仮名加工情報は、法令に基づく場合のほかは、特定された利用目的の達成に必要な範囲を超えて取り扱うことができません。
仮名加工情報には、「本来であれば個人情報として取り扱わなければならないもの」が含まれているため、一般的な個人情報と同様に、特定された利用目的の達成に必要な範囲に取扱いの範囲が限定されています。ただし、仮名加工情報は、個人情報の加工により、自由な利活用によって個人のプライバシーが制約されるリスクが小さくなっていることから、もともと個人情報として収集した際には想定していなかった利用目的でも取り扱うことができ、かつ、利用目的の変更も自由に認めるルールになっています。
(2) 第三者提供
仮名加工情報は、次の場合を除くほか、第三者に提供することができません。仮名加工情報には、「本来であれば個人情報として取り扱わなければならないもの」が含まれているため、第三者提供については大きく制限されています。
ア 法令に基づく場合
イ 仮名加工情報の取扱いの全部又は一部を委託することに伴って仮名加工情報を提供する場合や、合併その他の事由による事業の承継に伴って仮名加工情報を提供する場合
ウ 特定の者と共同利用される仮名加工情報が当該特定の者に提供される場合であって、次の事項をあらかじめ公表した場合
・共同利用により仮名加工情報を第三者に提供する旨
・共同して利用される仮名加工情報の項目
・共同して利用する者の範囲と利用目的
・管理責任者の氏名・名称
仮名加工情報を他の事業者とともに利活用するのであれば、原則として、委託契約を締結して委託先に委託元の監督下で利活用させるか、あるいは、所定の事項を公表して共同利用の形態をとる必要があります。少なくとも、仮名加工情報の制度は、匿名加工情報のようにビッグデータを一般に提供する目的で利用することはできません。
(3) 安全管理措置等
仮名加工情報については、匿名加工情報とは異なり、安全管理措置(情報セキュリティ対策)や従業者・委託者の監督が必要です。
仮名加工情報には、「本来であれば個人情報として取り扱わなければならないもの」が含まれ、第三者提供も制限されているため、一般的な個人情報と同様に、漏えい等を防止しなければならないからです。
第4章 仮名加工情報と匿名加工情報をどのように使い分けるか
仮名加工情報も匿名加工情報も、一定の加工によって情報を抽象化することで、個人情報のビッグデータとしての利活用の幅を拡げられる点では共通です。
ただ、仮名加工情報には、匿名加工情報とは異なり、自由にビッグデータを流通させる(販売する)ことはできない点がデメリットです。また、仮名加工情報の場合、匿名加工情報とは異なり、漏えい等を防止するための対策を講ずることが義務づけられています(匿名加工情報の場合は努力義務にとどまっています。)。そのため、匿名加工情報よりも、一般に管理コストが発生するものと考えられます。
もっとも、仮名加工情報のほうが、加工のために必要な労力もコストも削減することができるうえ、そのまま残すことのできる情報が匿名加工情報よりも多いことから、AIの学習や分析に活かしやすいメリットがあります。
結局、仮名加工情報と匿名加工情報の使い分けは、(1)自由にビッグデータを流通させる(販売する)ことを予定しているか、(2)AIの学習や分析のためにどこまで具体的な情報を残しておくことが必要になるか、(3)それぞれの方法を採用した場合のコストはどの程度変わるかといった事情を考慮しながら、個別に検討する必要があります。
第5章 おわりに
仮名加工情報や匿名加工情報の制度をビッグデータの利活用の場面で活かしていくことで、大きなビジネスチャンスが開かれる可能性があります。ただ、個人情報保護法のルールを理解せずにそのビジネスを進めてしまえば、ビジネスをスタートしてから個人情報保護法違反になることが発覚し、ビジネスの継続が困難になってしまうかもしれません。これでは、せっかくのビジネスチャンスを逃すばかりか、コストの回収ができず、損失を抱えてしまうことになります。
仮名加工情報や匿名加工情報の制度についてお悩みの際には、ぜひ、Web Lawyersのオンライン法律相談や、月1万円(税別)でご契約ができるライト顧問プランをご利用ください。