「匿名加工情報」であれば広くデータを利用できると聞きました。「匿名加工情報」とはどのようなものか教えて下さい。

「匿名加工情報」とは，特定の個人を識別することができないように個人情報を加工し，当該個人情報を復元できないようにした情報のことをいいます。匿名加工情報の作成方法や利用上の注意点等については以下の解説をご参照下さい。

１　「匿名加工情報」とは？

匿名加工情報とは，特定の個人を識別することができないように個人情報を加工し，当該個人情報を復元できないようにした情報のことをいいます。個人情報を一定の基準に沿って加工することにより非個人情報化し，自由な流通・利活用を可能とする仕組みとして，平成29年5月30日に全面施行された改正個人情報保護法により新設されました。

２　個人情報を匿名加工情報とするとどのようなことができるか

匿名加工情報については，個人情報と異なり，第三者への提供等に関する規制（＝本人の同意を得ること等）が及びません。

その結果，一企業にとどまっていた情報を，広く複数の事業者等において利用することができるようになります。例えば，ポイントカードの購買履歴や交通系ICカードの乗降履歴等を複数の事業者間で分野横断的に利活用することが可能となります。また，医療機関が保有する医療情報を創薬や臨床分野で活用することも期待できます。例えば，治験データを匿名加工情報とすることによって，製薬会社，病院，研究機関等の間においてデータを流通させること等が可能となります。さらには，カーナビ等から収集される走行位置履歴等のプローブ情報を活用したより精緻な渋滞予測や天候情報の提供等も可能になると思われます。

３　どうやって匿名加工情報を作成するか

匿名加工情報を作成するに際しては，特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い，当該個人情報を適正に加工しなければならないとされています（個人情報保護法36条1項）。

加工の基準としては，①特定の個人を識別することができる記述等の削除，②個人識別符号の削除，③情報を相互に連結する符号の削除，④特異な記述等の削除，⑤個人情報データベース等の性質を踏まえたその他の措置を行うべきとされており，その具体的な内容は個人情報保護法ガイドライン（匿名加工情報編）[1]に定められています。

その他，匿名加工情報の作成に関するルールを検討したり，民間事業者が実際に匿名加工情報を作成したりする際に参考となる事項，考え方を示すものとして，個人情報保護委員会事務局レポート「匿名加工情報パーソナルデータの利活用促進と消費者の信頼性確保の両立に向けて」[2]が公表されています。

このレポートの中では加工方法の例が詳細に示されています。例えば，上記加工基準①（特定の個人を識別することができる記述等の削除）に関しては，氏名，住所，生年月日が含まれる個人情報を加工する場合の例として，(1）氏名を削除する，(2）住所を削除するか，○〇県△△市に置き換える，(3）生年月日を削除するか，生年月に置き換えるといった加工方法が示されています。

また，上記加工基準⑤（個人情報データベース等の性質を踏まえたその他の措置）に関しては，移動履歴を含む個人情報データベース等を加工の対象とするケースの例として，自宅や職場などの所在が推定できる位置情報（経度・緯度情報）が含まれており，特定の個人の識別又は元の個人情報の復元につながるおそれがある場合には，推定につながり得る所定範囲の位置情報を削除する（項目削除／レコード削除／セル削除），といった加工方法が示されています。

実際に匿名加工情報の作成を行う場合には，個人情報保護法ガイドライン（匿名加工情報編）や個人情報保護委員会事務局レポート等を参考にするとよいでしょう。

４　匿名加工情報の取扱いに関する規制・注意点

適切に加工することにより利活用の幅が広がる匿名加工情報ですが，その取扱いに関しては種々の規制も設けられています。この点に関する配慮は不可欠です（改正法36条2項から6項）。

まず，匿名加工情報を作成したときは，削除した情報や，加工の方法に関する情報の漏えいを防ぐための安全管理措置を講じることが必要です（個人情報保護法36条2項）。具体的には，①加工方法等情報（加工方法や加工の際に削除した記述等を指します。）を取り扱う者の権限及び責任を明確に定めること，②加工方法等情報の取扱いに関する規程類を整備しそれに沿った運用をすること，③加工方法等情報への不正アクセスを防止する措置を講ずることが必要とされています（個人情報保護法施行規則20条）。

その他，匿名加工情報の作成時には一定の事項を公表しなければならないこと（個人情報保護法36条3項），匿名加工情報の作成に用いられた個人情報から識別される個人が誰であるのかを特定するために匿名加工情報を他の情報と照合してはならないこと（個人情報保護法36条5項）も義務付けられています。

匿名加工情報の安全管理や苦情処理のための措置にかかる努力義務も定められています（個人情報保護法36条6項）。努力義務とはされているものの，とるべき措置は個人情報の場合とほぼ同等のものとされています。

上記各義務は匿名加工情報を第三者に提供する場合のみならず，自社内で利用する場合にも発生します。匿名加工情報を第三者に提供する場合には，上記各義務に加えて，個人情報保護委員会規則で定めるところにより，あらかじめ，第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに，当該第三者に対して，当該提供に係る情報が匿名加工情報である旨を明示しなければならないとされています（個人情報保護法36条4項）。

[1] https://www.ppc.go.jp/files/pdf/guidelines04.pdf

[2] http://www.ppc.go.jp/files/pdf/report_office.pdf

2019年10月9日