匿名加工情報とは？仕組み・活用例・注意点をわかりやすく解説

匿名加工情報とは？仕組み・活用例・注意点をわかりやすく解説

匿名加工情報とは、特定の個人を識別できず、元の個人情報を復元できないよう、所定の基準に従って個人情報を加工した情報です。読み方は「とくめいかこうじょうほう」。購買傾向の分析や医療研究などで、個人情報の保護とデータ活用を両立させるための仕組みです。

理解の出発点は、「名前を消したデータなら何でも該当する」「加工後は自由に使える」というものではないことです。元の個人情報から識別につながる要素を取り除き、利用目的に必要な特徴を残し、決められたルールの下で分析へつなげます。

匿名加工情報の定義と個人情報との関係

日本の個人情報保護法でいう個人情報は、生存する個人に関する情報のうち、氏名などによって特定の個人を識別できるものなどを指します。名前が直接書かれていなくても、他の情報と容易に照合でき、それによって個人を識別できる情報も含まれます。また、法令で定められた個人識別符号を含む情報も個人情報に当たります。

例えば、購買履歴から氏名を削除しても、顧客番号が残っており、その番号から会員台帳を簡単に参照できるなら、誰の履歴か分かります。住所、年齢、職業なども、一つだけでは個人を識別できなくても、組合せによって対象者が絞り込まれることがあります。匿名加工では、こうしたつながりも考える必要があります。

匿名加工情報は、このような個人の識別や元の個人情報の復元ができないよう、定められた基準に沿って加工したものです。単に画面上の氏名を伏せたり、ファイルにパスワードをかけたりする処理とは異なります。「匿名にしたつもり」という判断ではなく、データの内容や性質を踏まえた加工が求められます。

適切に作成された匿名加工情報は個人情報と区別されますが、個人情報保護法のルールがすべてなくなるわけではありません。作成時の加工基準や公表、第三者提供、本人を識別する行為の禁止など、匿名加工情報に対応した規律があります。また、手元に残す加工前の個人情報には、引き続き個人情報としての管理が必要です。

活用の目的は、「この人が何を買ったか」を本人に結び付けて追うことではなく、「どの年代でどの商品が売れているか」といった傾向を知ることにあります。個人単位の記録が分析に必要な場合でも、その記録が誰のものかを知る必要はない、という場面で役立ちます。

仮名加工情報・統計情報との違い

似た言葉に、仮名加工情報（かめいかこうじょうほう）と統計情報があります。違いを捉えるには、「個人を識別できるか」「情報が一人分の記録なのか、集団の結果なのか」「利用や提供にどのようなルールがあるか」を分けて考えると理解しやすくなります。

仮名加工情報は、社内での分析などに使われる仕組みです。照合用の情報が別に残っている場合などには個人情報に該当し得ますが、だからといって本人を識別するために自由に照合してよいわけではありません。匿名加工情報とは識別・復元の要件や第三者提供の扱いが異なるため、「匿名加工の簡易版」として同じ用途に使えるとは考えないことが大切です。

一方、統計情報は、例えば「30代の購入件数は200件」という集団の結果です。匿名加工情報には「30代・関東地方・食品を購入」といった一人分の記録が含まれることもあり、必ず集計済みというわけではありません。ただし、集計しても対象が一人しかいないなど、個人の情報が分かる結果では、個人との対応関係がなくなったとはいえない場合があります。

加工に使う技術の名前だけでも、情報の種類は決まりません。氏名を番号に置き換えても対応表で戻せるなら、匿名加工情報と判断する根拠にはなりません。ハッシュ化も、元の値の候補を試したり、同じ値を手掛かりに別のデータと結び付けたりできる場合があります。鍵で元に戻せる暗号化は、主に保存や送信の際の安全管理に役立つ手段です。名前の置換、ハッシュ化、暗号化のどれかを行うだけで、匿名加工情報になるわけではありません。

匿名加工情報を作る仕組みと加工例

加工は、まず「何を知りたいのか」を決めるところから始まります。年代別の売れ筋を調べるのに氏名や番地までの住所は通常必要ありませんが、年齢層や商品分類は分析に必要でしょう。不要な情報を減らしたうえで、残す情報が識別につながらないかを検討します。

1. 分析目的と必要項目を整理する。対象期間や必要な細かさも決める。
2. 直接個人が分かる項目だけでなく、他の項目や外部情報との組合せで識別につながる特徴を確認する。
3. 所定の基準に従い、削除、置換、範囲化などを組み合わせて加工する。
4. 加工の適切性と、予定した分析に使えるかを確認する。提供する場合は公表や提供先への明示なども準備する。

加工基準では、おおむね次のような観点を確認します。氏名などの分かりやすい項目だけでなく、元データとのつながりや、その人だけが持つ珍しい特徴にも目を向けます。

• 特定の個人を識別できる記述などを削除するか、適切に置き換える。
• 個人識別符号を削除するか、適切に置き換える。
• 元の個人情報と連結するための符号を削除するか、適切に置き換える。
• ほかの人と著しく異なる、特異な記述などを削除する。
• 残る情報の組合せやデータベースの性質に応じて、必要な追加の措置を講じる。

ここでいう置換は、単に別名を付ければよいという意味ではありません。加工対象の性質に応じて、元の記述や符号を復元できるような規則性を持たない方法にするなど、基準に沿って考えます。

次の表は、年代・地域別の月間購買傾向を分析する場合を想定した、架空のデータの加工例です。一件の記録について、各項目をどう扱うかを示しています。

この例から分かるのは、氏名を消す処理と、残る情報の細かさを調整する処理の両方が必要になり得ることです。ただし、表と同じ変換をすれば、必ず適法な匿名加工情報になるという保証はありません。実際には記録全体を見て、珍しい属性や購入履歴の組合せ、繰り返し現れる行動なども評価します。

代表的な加工方法には、それぞれ得意なことと失う情報があります。削除は識別につながる項目を取り除く方法ですが、その項目を使った分析はできなくなります。範囲化は年齢を年代にするなど詳細を大まかにする方法で、集団の傾向を残しやすい一方、細かな差は見えにくくなります。乱数付加は数値に変動を加える方法で、設計次第では全体の傾向を残せますが、個々の値や分析結果に誤差が生じます。

例えば年齢を前後1歳ずらしても、ほかの情報が詳しければ個人を絞り込めることがあります。また、「100人以上の集団に含まれる」という条件だけで、すべての情報について識別や復元が防げるわけではありません。人数や変動幅を一つ決めるだけではなく、加工後に残る情報と利用目的を合わせて判断する必要があります。

作成・第三者提供で守るルール

匿名加工情報の制度では、所定の条件を満たせば、本人の同意を得ずに第三者へ提供できます。ただし、提供が可能になることと、元の個人情報をどのように取得・利用してもよいことは別です。元データの適法な取扱いや安全管理を前提に、作成と提供の各段階で必要な対応を行います。

以下は、事業者による取扱いの主なルールです。自社で作成する場合と、他社が作成したものを受け取って扱う場合では、確認する事項が異なります。受領した情報をさらに第三者へ提供する場合にも、提供時のルールが関わります。

例えば、外部企業へ購買データを提供するなら、データファイルを渡す準備だけでは足りません。含まれる項目と提供方法の公表、提供先への明示、作成過程で扱った情報の管理も必要です。作成者が元の個人情報を保有している場合でも、匿名加工情報を本人に結び付ける目的で照合してよいことにはなりません。

また、「努力義務だから管理しなくてよい」と解釈するのは適切ではありません。社内の担当者、保管先、提供先での取扱いを決め、苦情や問題が起きたときに対応できる体制を整えることが実務上は重要です。一方で、義務、努力義務、違反時の措置や罰則は別の論点です。すべての不備に同じ罰則が直ちに適用されるという説明も正確ではなく、どの規定に関する問題かを区別する必要があります。

購買分析・研究・政策での活用例

匿名加工情報が役立つのは、個人を特定せずに、複数の記録から傾向や関係を調べたい場面です。ただし、必要な情報の細かさは分析の目的によって異なります。商品開発、医療研究、政策検討を同じ加工方法で扱えるとは限りません。

企業では、誰が買ったかではなく、どのような層で何が売れているかを分析します。例えば、ある年代で特定の商品分類の購入が増えていれば、商品開発や品ぞろえの見直しに役立ちます。地域や季節ごとの傾向は、広告を出す媒体や時期の検討にも使えます。ただし、こうした広告施策の分析と、元の顧客を特定してその人へ広告を配信することは区別しなければなりません。

大学や医療機関では、複数の患者の検査結果や治療経過を分析し、病気の特徴や治療後の変化を調べる用途が考えられます。個別の患者に連絡したり、本人に検査結果を返したりする診療上の目的とは異なります。また、珍しい病気や治療歴は識別につながる手掛かりになる一方、研究上は重要な情報でもあるため、加工と研究の成立性を慎重に検討します。

医療・学術研究では、研究の内容やデータの入手経路に応じて、適用される法制度、倫理指針、審査などの条件も確認する必要があります。匿名加工情報にすれば、研究に関するあらゆる手続が不要になるわけではありません。反対に、すべての研究で必ず匿名加工情報を用いなければならないわけでもなく、目的に応じた取扱いを検討します。

政策では、所得帯や支出の傾向を把握することが、生活支援や地域施策の検討につながります。ただし、国の統計調査で扱う情報、統計法上の「匿名データ」、個人情報保護法上の「匿名加工情報」は、制度や要件が同じではありません。公表された集計結果が統計情報である場合もあります。「政策に使う」「集計している」という用途や形式だけで、匿名加工情報に該当すると判断しないことが大切です。

再識別リスクとデータの有用性をどう考えるか

再識別とは、加工された情報などから、その記録が誰に関するものかを再び結び付けることです。詳細な移動・購買履歴、珍しい職業、希少な病状などは、外部にある情報と共通する特徴を通じて識別の手掛かりになり得ます。データを単独で眺めたときに名前が分からないことだけで、安全性を判断するのは不十分です。

そのため、匿名加工情報には加工基準があり、本人を識別するための照合も禁止されています。ただし、法律上の基準を満たすことと、あらゆる将来の技術や外部情報に対してリスクが永久にゼロであることは別です。AIや分析技術の進歩に加え、公開情報の増加や利用環境の変化も、加工・提供の運用を見直す際の検討材料になります。

一方、加工を強めれば分析上の情報も失われます。年齢を10歳刻みでまとめると、一歳ごとの違いは分かりません。地域を広くまとめると、特定の市町村の特徴が見えにくくなります。珍しい記録を削除すると、少数の人々の特徴が分析から抜け落ちることもあります。保護の要件を満たすことを前提に、目的に必要な精度が残るかを確認します。

例えば、全国の月別売上傾向を知るなら購入時刻や番地は不要でしょう。しかし、時間帯ごとの需要を知りたい場合に時刻をすべて削除すると、分析そのものができなくなります。だからといって識別につながる詳細をそのまま残すのではなく、時間帯を大きな区分にする、分析目的を見直す、必要に応じて別の適切な取扱いの下で分析する、といった選択を検討します。

有用性を確認するときは、「データが残っているか」だけでなく、集団ごとの傾向が大きく変わっていないか、少数の集団だけが失われていないか、乱数付加などによる誤差が結論に影響しないかを見ます。AIや機械学習に使う場合も、加工したデータで必要な傾向を学べるかを確認することが重要です。

日々の運用では、扱う情報を分けて管理します。原本の個人情報、削除した記述や加工方法等に関する情報、加工済みの匿名加工情報では、それぞれ役割もリスクも異なります。

• 原本と加工方法等に関する情報は、業務上必要な担当者にアクセスを限定し、保管場所や持ち出しを管理する。
• 加工済みデータも、提供する項目やファイルを取り違えないよう管理し、保存・送信時の保護を行う。
• 取扱者には、氏名の削除だけでは十分でないことや、本人を識別するための照合が禁止されることを共有する。
• 継続的にデータを作成・提供する場合は、新たな項目や利用環境の変化に合わせて、加工内容と運用を見直す。

匿名加工情報を使いこなすには、情報の種類を見極め、分析目的に合う加工を行い、作成後のルールと管理を続けることが必要です。購買分析でも研究でも、最初に「個人を識別せずに何を知りたいのか」を言葉にすると、残すべき情報と避けるべき取扱いを具体的に考えられます。

更新履歴