(57)【要約】【課題】非識別加工がなされた個人情報が外部に提供可能か否かを判断するための情報を提供する。【解決手段】本発明は、非識別加工がなされた個人情報である加工後個人情報の特定リスクを、「個人情報の価値を示す個人情報価値」と、「個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度」と、「非識別加工による情報損失の程度を示す情報損失度、及び、加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度」とに基づき算出する算出部１１と、算出部１１により算出された特定リスクを出力する出力部１２と、を有する処理装置１０を提供する。【選択図】図２
2019211899.tif 000002
【特許請求の範囲】
【請求項１】
非識別加工がなされた個人情報である加工後個人情報の特定リスクを、
前記個人情報の価値を示す個人情報価値と、
前記個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度と、
前記非識別加工による情報損失の程度を示す情報損失度、及び、前記加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度と、
に基づき算出する算出手段と、
前記算出手段により算出された前記特定リスクを出力する出力手段と、
を有する処理装置。
【請求項２】
請求項１に記載の処理装置において、
前記算出手段は、
前記情報損失度に基づき前記本人特定容易度を決定し、
前記情報損失度が大きい程、前記本人特定容易度は低くなる処理装置。
【請求項３】
請求項１又は２に記載の処理装置において、
前記算出手段は、
前記数ｋｆに基づき前記本人特定容易度を決定し、
前記数ｋｆが大きい程、前記本人特定容易度は低くなる処理装置。
【請求項４】
請求項１から３のいずれか１項に記載の処理装置において、
前記算出手段は、前記情報損失度及び前記数ｋｆの少なくとも一方に加えて、前記個人情報の項目に応じて定まる特定係数に基づき、前記本人特定容易度を決定する処理装置。
【請求項５】
請求項１から４のいずれか１項に記載の処理装置において、
前記加工後個人情報は複数の項目を含み、
前記算出手段は、
前記項目ごとに、該項目の、前記個人情報価値、前記機微情報度及び前記本人特定容易度に基づき項目毎特定リスクを算出し、
前記複数の項目各々の前記項目毎特定リスクに基づき、前記特定リスクを算出する処理装置。
【請求項６】
請求項１から５のいずれか１項に記載の処理装置において、
前記加工後個人情報は複数の人の情報を含み、
前記算出手段は、
前記人毎に、該人の、前記個人情報価値、前記機微情報度及び前記本人特定容易度に基づき人毎特定リスクを算出し、
前記複数の人各々の前記人毎特定リスクに基づき、前記特定リスクを算出する処理装置。
【請求項７】
請求項１から６のいずれか１項に記載の処理装置において、
一方の軸を前記特定リスクとし、他方の軸を前記情報損失度としたグラフ上における前記加工後個人情報のプロット位置と、基準位置との距離に基づき、前記加工後個人情報を外部に提供することの可否を判定する判定手段をさらに有し、
前記出力手段は、前記判定手段による前記判定の結果を出力する処理装置。
【請求項８】
請求項７に記載の処理装置において、
前記非識別加工では、同一の内容を示すデータが予め設定された設定値ｋｓ以上となるように前記個人情報を加工し、
前記算出手段は、前記設定値ｋｓが互いに異なる複数の前記加工後個人情報各々に対して前記特定リスクを算出し、
前記判定手段は、複数の前記加工後個人情報の中の、前記距離が所定条件を満たし、かつ、前記距離が最小である前記加工後個人情報を、外部への提供を推奨する前記加工後個人情報として決定し、
前記出力手段は、前記判定手段により決定された前記加工後個人情報を通知する処理装置。
【請求項９】
コンピュータが、
非識別加工がなされた個人情報である加工後個人情報の特定リスクを、
前記個人情報の価値を示す個人情報価値と、
前記個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度と、
前記非識別加工による情報損失の程度を示す情報損失度、及び、前記加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度と、
に基づき算出する算出工程と、
前記算出工程で算出された前記特定リスクを出力する出力工程と、
を実行する処理方法。
【請求項１０】
コンピュータを、
非識別加工がなされた個人情報である加工後個人情報の特定リスクを、
前記個人情報の価値を示す個人情報価値と、
前記個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度と、
前記非識別加工による情報損失の程度を示す情報損失度、及び、前記加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度と、
に基づき算出する算出手段、
前記算出手段により算出された前記特定リスクを出力する出力手段、
として機能させるプログラム。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、処理装置、処理方法及びプログラムに関する。
【背景技術】
【０００２】
近年、データの有効利用が図られている。一方で、個人情報の保護が要求されている。関連する技術が、特許文献１、特許文献２及び非特許文献１に開示されている。
【０００３】
非特許文献１には、漏洩個人情報の価値を、基礎情報価値と、機微情報度と、本人特定容易度とに基づき算出する方法が開示されている。
【０００４】
特許文献１には、データを利用する利用者の利益と、データ利用によって特定される可能性のあるユーザのリスクとに基づき、データの匿名化を表すパラメータｋを選択する装置が開示されている。
【０００５】
特許文献２には、非識別加工がなされた個人情報の情報損失量を算出する方法が開示されている。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１５−１３００２２号公報
【特許文献２】国際公開第２０１４／０３０３０２号
【非特許文献】
【０００７】
【非特許文献１】ＮＰＯ日本ネットワークセキュリティ協会セキュリティ被害調査ワーキンググループ、“情報セキュリティインシデントに関する調査報告書  別紙  第１．０版”、［online］、２０１７年５月１７日、［２０１８年５月１６日検索］、インターネット< http://www.jnsa.org/result/incident/data/2016incident_survey_attachment_ver1.0.pdf>
【発明の概要】
【発明が解決しようとする課題】
【０００８】
データの有効利用及び個人情報の保護の両方を考慮し、個人情報をそのまま利用するのでなく、非識別加工（Ｋ−匿名化等）を行った後に利用することが検討されている。非識別加工は、例えば情報を汎化等することで個人の特定を困難にする。情報の損失量が多い程、個人の特定は困難になる。
【０００９】
データの有効利用の観点からは、情報の損失量が少ないことが好ましい。一方で、個人が特定されない程度に十分な非識別加工を行う必要がある。非識別加工がなされた個人情報を外部に提供する主体は、このような観点に基づき、非識別加工がなされた個人情報が外部に提供可能な状態になっているか否かを判断する必要がある。しかし、当該判断は容易でない。
【００１０】
そこで、本発明者らは、広く利用されている非特許文献１に開示の「漏洩個人情報の価値を算出するモデル」に基づき、上記判断に利用できる評価値（特定リスク）を算出することを検討した。
【００１１】
そして、非特許文献１に開示のモデルの場合、非識別加工がなされた個人情報の本人特定容易度を十分に評価できないという課題を見出した。非特許文献１に開示のモデルでは、個人情報の項目に基づき、本人特定容易度を「６：個人が簡単に特定可能、３：コストをかければ特定可能、１：特定困難」の３つに分類する。非識別加工がなされた個人情報は、非識別加工の程度に関わらずほとんどすべてが「１：特定困難」となり、十分に評価できない。特許文献１及び２はいずれも、当該課題及びその解決方法を開示しない。
【００１２】
本発明は、非識別加工がなされた個人情報が外部に提供可能か否かを判断するための情報を提供することを課題とする。
【課題を解決するための手段】
【００１３】
本発明によれば、
非識別加工がなされた個人情報である加工後個人情報の特定リスクを、
前記個人情報の価値を示す個人情報価値と、
前記個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度と、
前記非識別加工による情報損失の程度を示す情報損失度、及び、前記加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度と、
に基づき算出する算出手段と、
前記算出手段により算出された前記特定リスクを出力する出力手段と、
を有する処理装置が提供される。
【００１４】
また、本発明によれば、
コンピュータが、
非識別加工がなされた個人情報である加工後個人情報の特定リスクを、
前記個人情報の価値を示す個人情報価値と、
前記個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度と、
前記非識別加工による情報損失の程度を示す情報損失度、及び、前記加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度と、
に基づき算出する算出工程と、
前記算出工程で算出された前記特定リスクを出力する出力工程と、
を実行する処理方法が提供される。
【００１５】
また、本発明によれば、
コンピュータを、
非識別加工がなされた個人情報である加工後個人情報の特定リスクを、
前記個人情報の価値を示す個人情報価値と、
前記個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度と、
前記非識別加工による情報損失の程度を示す情報損失度、及び、前記加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度と、
に基づき算出する算出手段、
前記算出手段により算出された前記特定リスクを出力する出力手段、
として機能させるプログラムが提供される。
【発明の効果】
【００１６】
本発明によれば、非識別加工がなされた個人情報が外部に提供可能か否かを判断するための情報を提供することが可能となる。
【図面の簡単な説明】
【００１７】
【図１】本実施形態の処理装置のハードウエア構成の一例を示す図である。
【図２】本実施形態の処理装置の機能ブロック図の一例を示す図である。
【図３】本実施形態の処理装置が処理する加工後個人情報の一例を模式的に示す図である。
【図４】本実施形態の特定リスクの算出式を示す図である。
【図５】本実施形態の機微情報度の算出式を示す図である。
【図６】本実施形態の機微情報度を算出するためのＥＰ図を模式的に示す図である。
【図７】本実施形態の処理装置の処理の流れの一例を示すフローチャートである。
【図８】本実施形態の処理装置が算出する情報の一例を模式的に示す図である。
【図９】本実施形態の特定係数を決定するための基準を示す図である。
【図１０】本実施形態の処理装置の機能ブロック図の一例を示す図である。
【図１１】本実施形態の判定部による判定処理を説明するための図である。
【図１２】本実施形態の判定部による判定処理の流れの一例を示すフローチャートである。
【図１３】本実施形態の判定部による判定処理の流れの一例を示すフローチャートである。
【図１４】本実施形態の出力部が出力する情報の一例を模式的に示す図である。
【図１５】本実施形態の判定部による判定処理を説明するための図である。
【図１６】本実施形態の出力部が出力する情報の一例を模式的に示す図である。
【発明を実施するための形態】
【００１８】
＜第１の実施形態＞
本実施形態の処理装置は、非特許文献１に開示の「漏洩個人情報の価値を算出するモデル」において、本人特定容易度の算出方法を独自の手法とした算出モデルに基づき、非識別加工がなされた個人情報である加工後個人情報の特定リスクを算出する。以下、詳細に説明する。
【００１９】
まず、処理装置のハードウエア構成の一例について説明する。本実施形態の処理装置が備える各機能部は、任意のコンピュータのＣＰＵ（Central Processing Unit）、メモリ、メモリにロードされるプログラム、そのプログラムを格納するハードディスク等の記憶ユニット（あらかじめ装置を出荷する段階から格納されているプログラムのほか、ＣＤ（Compact Disc）等の記憶媒体やインターネット上のサーバ等からダウンロードされたプログラムをも格納できる）、ネットワーク接続用インターフェイスを中心にハードウエアとソフトウエアの任意の組合せによって実現される。そして、その実現方法、装置にはいろいろな変形例があることは、当業者には理解されるところである。
【００２０】
図１は、本実施形態の処理装置のハードウエア構成を例示するブロック図である。図１に示すように、処理装置は、プロセッサ１Ａ、メモリ２Ａ、入出力インターフェイス３Ａ、周辺回路４Ａ、バス５Ａを有する。周辺回路４Ａには、様々なモジュールが含まれる。処理装置は周辺回路４Ａを有さなくてもよい。
【００２１】
バス５Ａは、プロセッサ１Ａ、メモリ２Ａ、周辺回路４Ａ及び入出力インターフェイス３Ａが相互にデータを送受信するためのデータ伝送路である。プロセッサ１Ａは、例えばＣＰＵ、ＧＰＵ（Graphics Processing Unit）などの演算処理装置である。メモリ２Ａは、例えばＲＡＭ（Random Access Memory）やＲＯＭ（Read Only Memory）などのメモリである。入出力インターフェイス３Ａは、入力装置、外部装置、外部サーバ、外部センサー等から情報を取得するためのインターフェイスや、出力装置、外部装置、外部サーバ等に情報を出力するためのインターフェイスなどを含む。入力装置は、例えばキーボード、マウス、マイク等である。出力装置は、例えばディスプレイ、スピーカ、プリンター、メーラ等である。プロセッサ１Ａは、各モジュールに指令を出し、それらの演算結果をもとに演算を行うことができる。
【００２２】
次に、処理装置の機能構成を説明する。図２に、処理装置１０の機能ブロック図の一例を示す。図示するように、処理装置１０は、算出部１１と出力部１２とを有する。
【００２３】
算出部１１は、非識別加工がなされた個人情報である加工後個人情報の特定リスクを算出する。
【００２４】
加工後個人情報は複数人の情報を含む。加工後個人情報は複数の項目を含んでもよいし、１つの項目のみを含んでもよい。項目は、氏名、年齢、性別、住所、本籍等が例示されるが、これらに限定されない。
【００２５】
図３に、加工後個人情報の一例を模式的に示す。図３に示す加工後個人情報は、６人分の情報を含む。また、図３に示す加工後個人情報は、３つの項目（年令、性別、サービス種類）を含む。なお、図３の例はあくまで一例であり、データ数、項目数、項目種はこれに限定されない。非識別加工の詳細は特段制限されないが、Ｋ−匿名化等が例示される。
【００２６】
算出部１１は、個人情報価値と、機微情報度と、本人特定容易度とに基づき、特定リスクを算出する。図４に、特定リスクの算出式を示す。図示するように、算出部１１は、個人情報価値と、機微情報度と、本人特定容易度とを掛け合わせた値を、特定リスクとして算出する。この算出式は、非特許文献１に開示の漏洩個人情報の価値を算出する算出式と同じであるが、本実施形態は「本人特定容易度」の算出方法が非特許文献１に開示の漏洩個人情報の価値を算出する方法と異なる。
【００２７】
「特定リスク」は、加工後個人情報に基づき本人を特定された場合のリスクを示す。個人情報価値が大きい程、機微情報度が大きい程、また、本人特定容易度が大きい程、特定リスクは大きくなる。
【００２８】
「個人情報価値」は、その個人情報の価値を示す。個人情報価値は、非特許文献１に開示の「漏洩個人情報の価値を算出するモデル」における「基礎情報価値」と同じ概念である。個人情報価値は、一律所定値（例：５００ポイント）とすることができる。
【００２９】
「機微情報度」は、非特許文献１に開示の「漏洩個人情報の価値を算出するモデル」における「機微情報度」と同じ概念である。機微情報度は、その個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される。具体的には、図５の算出式に基づき決定される。図５の算出式に含まれるｘ及びｙの値は、図６のＥＰ（Economic-Privacy Map）図に示す関係に基づき決定される。図６のＥＰ図では、一方の軸に精神的苦痛レベルｘの値をとり、他方の軸に経済的損失レベルｙの値をとり、各マス目の中に対応する項目が対記載されている。図より、例えば項目「本籍」の精神的苦痛レベルｘは３であり、経済的損失レベルｙは１であることが分かる。
【００３０】
「本人特定容易度」は、その個人情報から本人を特定する容易度を示す。本人の特定が容易であるほど、値が大きくなる。本人特定容易度は、情報損失度及び数ｋｆの少なくとも一方に基づき決定される。すなわち、本人特定容易度は、情報損失度のみに基づき決定されてもよいし、数ｋｆのみに基づき決定されてもよいし、情報損失度及び数ｋｆの両方に基づき決定されてもよい。
【００３１】
「情報損失度」は、非識別加工による情報損失の程度を示す。情報損失度が大きい程、本人特定容易度は低くなる（すなわち、容易でなくなる）。情報損失度の算出方法はあらゆる手法を採用できるが、例えば特許文献２に開示の手法を採用することができる。特許文献２には、複数の人の情報を含む加工後個人情報全体での情報損失量を算出する方法等を開示している。例えば、特許文献２に開示の手法で算出した情報損失量を、情報損失度としてもよい。その他、特許文献２に開示の手法で算出した情報損失量を正規化（例：０〜１に正規化）した値を、情報損失度としてもよい。
【００３２】
「数ｋｆ」は、加工後個人情報において同一の内容を示す人の数である。数ｋｆが大きい程、本人特定容易度は低くなる（すなわち、容易でなくなる）。
【００３３】
なお、情報損失度及び数ｋｆの少なくとも一方に基づき本人特定容易度を算出する算出式は任意に定めることができる。当該算出式は、情報損失度が大きい程、また、数ｋｆが大きい程、本人特定容易度が低くなるように定められる。
【００３４】
出力部１２は、算出部１１により算出された特定リスクを出力する。出力部１２は、ディスプレイ、プリンター、メーラ、スピーカ、投影装置等のあらゆる出力装置を介して、特定リスクを出力することができる。
【００３５】
次に、図７のフローチャートを用いて、本実施形態の処理装置１０の処理の流れの一例を説明する。
【００３６】
まず、算出部１１は、加工後個人情報の個人情報価値、機微情報度及び本人特定容易度を決定する（Ｓ１０）。その後、算出部１１は、Ｓ１０で決定した個人情報価値、機微情報度及び本人特定容易度に基づき、加工後個人情報の特定リスクを決定する（Ｓ１１）。その後、出力部１２は、Ｓ１１で決定された特定リスクを出力する（Ｓ１２）。
【００３７】
以上説明した本実施形態の処理装置１０は、非識別加工による情報損失の程度を示す情報損失度、及び、加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき本人特定容易度を決定し、当該本人特定容易度と、個人情報価値と、機微情報度とに基づき加工後個人情報の特定リスクを算出する。
【００３８】
情報損失度及び数ｋｆの少なくとも一方に基づき本人特定容易度を決定する本実施形態の処理装置１０によれば、非識別加工の程度（汎化の程度）を十分に反映して、加工後個人情報の本人特定容易度を評価することができる。結果、特定リスクの評価の信頼度が向上する。
【００３９】
このような処理装置１０によれば、非識別加工がなされた個人情報が外部に提供可能な状態になっているか否かを判断するための信頼できる情報を提供することが可能となる。
【００４０】
＜第２の実施形態＞
本実施形態の処理装置１０は第１の実施形態と同様な手法で特定リスクを算出するが、算出方法がより具体化される。以下、詳細に説明する。
【００４１】
本実施形態の処理装置１０のハードウエア構成の一例は、第１の実施形態と同様である。
【００４２】
処理装置１０の機能ブロック図の一例は、第１の実施形態同様、図２で示される。図示するように、処理装置１０は、算出部１１と出力部１２とを有する。出力部１２の構成は、第１の実施形態と同様である。
【００４３】
算出部１１は、第１の実施形態と同様な構成を有する。また、算出部１１は、加工後個人情報が複数の項目を含む場合、項目毎に、個人情報価値、機微情報度及び本人特定容易度に基づき項目毎特定リスクを算出し、複数の項目各々の項目毎特定リスクに基づき、加工後個人情報全体の特定リスクを算出する。さらに、加工後個人情報は、人毎に、個人情報価値、機微情報度及び本人特定容易度に基づき人毎特定リスクを算出し、複数の人各々の人毎特定リスクに基づき、加工後個人情報全体の特定リスクを算出する。
【００４４】
ここで、第１の実施形態で説明した図３の加工後個人情報を用いて、上述した算出処理を具体的に説明する。図３に示す加工後個人情報は６人分の情報を含む。また、図３に示す加工後個人情報は３つの項目（年令、性別、サービス種類）を含む。
【００４５】
この場合、算出部１１は、図８に示すように、各人の項目ごとに項目毎特定リスクを算出する。すなわち、算出部１１は、図８の（１）のエリア内の複数のマス目各々の値を算出する。項目毎特定リスクは、個人情報価値と、機微情報度と、本人特定容易度とを掛け合わせた値であり、第１の実施形態で説明した特定リスクの算出方法と同様である。
【００４６】
例えば、算出部１１は、「Ｎｏ．１」の人の「年令」を処理対象とし、個人情報価値と、機微情報度と、本人特定容易度とを決定する。以下、各々の決定処理を説明する。
【００４７】
「個人情報価値」
算出部１１は、予め定められた所定値（例：５００ポイント）を個人情報価値として決定する。項目の内容に関わらず、個人情報価値は一律所定値となる。
【００４８】
「機微情報度」
算出部１１は、図６のＥＰ図の関係に基づき、項目「年令」に対応するｘ及びｙの値を特定する。そして、算出部１１は、決定したｘ及びｙの値と、図５の算出式に基づき、項目「年令」の機微情報度を決定する。
【００４９】
「本人特定容易度」
まず、情報損失度を決定する処理を説明する。算出部１１は、特許文献２に開示の手法で、「Ｎｏ．１」の人の非識別加工後の項目「年令」の値「８０〜８４才」の情報損失量を算出し、所定のルールに基づきその情報損失量を正規化（例：０〜１に正規化）することで、情報損失度を算出することができる。特許文献２には、非識別加工後の値に基づき、その値の情報損失量を算出する方法を開示している。この方法を採用した場合、「Ｎｏ．１」乃至「Ｎｏ．６」の人の非識別加工後の項目「年令」の情報損失量は、各々の値に応じたものとなる。その他、特許文献２は、項目ごとに情報損失量を算出する方法を開示している。すなわち、複数の人の値全体を考慮して、各項目の情報損失量を算出する。算出部１１は、この方法を用いて項目「年令」の情報損失量を算出してもよい。この方法を採用した場合、「Ｎｏ．１」乃至「Ｎｏ．６」の人の非識別加工後の「年令」の情報損失量は同じ値となる。
【００５０】
次に、数ｋｆを決定する処理を説明する。算出部１１は、図３に示す６人分の加工後個人情報において、「年令」の値が「Ｎｏ．１」の人の「年令」の値である人の数をカウントし、数ｋｆとする。図３の例の場合、年令「８０〜８４才」は３人であるので、ｋｆは３となる。
【００５１】
そして、算出部１１は、所定の算出式と、算出した情報損失度及び数ｋｆとに基づき、本人特定容易度を決定する。
【００５２】
なお、ここでは、算出部１１は、情報損失度及び数ｋｆの両方に基づき本人特定容易度を決定することとしたが、算出部１１はいずれか一方に基づき本人特定容易度を決定してもよい。
【００５３】
また、算出部１１は、情報損失度及び数ｋｆの少なくとも一方に加えて、個人情報の項目に応じて定まる特定係数に基づき、本人特定容易度を決定してもよい。特定係数に基づいて本人特定容易度を算出する算出式は任意に定めることができる。当該算出式は、情報損失度が大きい程、数ｋｆが大きい程、また、特定係数が小さい程、本人特定容易度が低くなるように定められる。
【００５４】
特定係数は、例えば非特許文献１に開示の「本人特定容易度」とすることができる。すなわち、算出部１１は、図９に示す判定基準に基づき生成された特定係数を算出するための情報（例：テーブル）に基づき、特定係数を決定してもよい。当該情報は、例えば、１つの項目又は複数の項目の組合せと、特定係数とを対応付けた情報であってもよい。
【００５５】
なお、図９に示す判定基準の「特定係数：１」はさらに細分化されてもよい。すなわち、「判断基準：項目Ａが含まれる、特定係数：０．９」、「判断基準：項目Ａ及びＢが含まれる、特定係数：０．７」のように、細分化されてもよい。このようにすれば、本人特定容易度をより詳細に評価することができる。
【００５６】
以上のようにして個人情報価値、機微情報度及び本人特定容易度を算出した後、算出部１１は、算出した個人情報価値、機微情報度及び本人特定容易度を掛け合わせた値を、「Ｎｏ．１」の人の「年令」の項目毎特定リスクとして算出する。
【００５７】
算出部１１は、このようにして、各人の各項目の項目毎特定リスクを算出する。次いで、算出部１１は、人毎に、人毎特定リスクを算出する。すなわち、算出部１１は、図８の（２）のエリア内のマス目の値を算出する。算出部１１は、各人の各項目の項目毎特定リスクの統計値（例：平均値、最大値、最小値、中央値等）を、各人の人毎特定リスクとして算出することができる。すなわち、算出部１１は、「Ｎｏ．１」の人の「年令」の項目毎特定リスクと、「Ｎｏ．１」の人の「性別」の項目毎特定リスクと、「Ｎｏ．１」の人の「サービス種類」の項目毎特定リスクとの統計値を、「Ｎｏ．１」の人の人毎特定リスクとして算出することができる。
【００５８】
次いで、算出部１１は、各人の人毎特定リスクの統計値（例：平均値、最大値、最小値、中央値等）を、加工後個人情報全体の特定リスクとして算出する。すなわち、算出部１１は、図８の（３）のエリア内のマス目の値を算出する。
【００５９】
なお、算出部１１は、項目ごとに、複数の人各々の項目毎特定リスクの統計値（例：平均値、最大値、最小値、中央値等）を算出してもよい。すなわち、算出部１１は、図８の（４）のエリア内のマス目の値を算出してもよい。
【００６０】
以上説明した本実施形態の処理装置１０によれば、第１の実施形態の処理装置１０と同様な作用効果を実現できる。
【００６１】
また、本実施形態の処理装置１０によれば、加工後個人情報に含まれる複数の人各々の特定リスク（人毎特定リスク）を算出し、それを統計処理することで、加工後個人情報全体での特定リスクを算出することができる。このため、複数の人の情報を含む加工後個人情報の特定リスクを精度よく算出することができる。
【００６２】
また、本実施形態の処理装置１０によれば、加工後個人情報に含まれる複数の項目各々の特定リスク（項目毎特定リスク）を算出し、それを統計処理することで、加工後個人情報全体での特定リスクを算出することができる。このため、複数の項目を含む加工後個人情報の特定リスクを精度よく算出することができる。
【００６３】
＜第３の実施形態＞
本実施形態の処理装置１０は、算出部１１による算出結果に基づき、加工後個人情報を外部に提供することの可否を判定し、判定結果を出力する点で、第１及び第２の実施形態と異なる。以下、詳細に説明する。
【００６４】
本実施形態の処理装置１０のハードウエア構成の一例は、第１及び第２の実施形態と同様である。
【００６５】
処理装置１０の機能ブロック図の一例は、図１０で示される。図示するように、処理装置１０は、算出部１１と出力部１２と判定部１３とを有する。算出部１１の構成は、第１及び第２の実施形態と同様である。
【００６６】
判定部１３は、一方の軸を特定リスクとし、他方の軸を情報損失度としたグラフ上における加工後個人情報のプロット位置と、基準位置との距離Ｒに基づき、加工後個人情報を外部に提供することの可否を判定する。
【００６７】
図１１を用いて判定部１３による判定の詳細を説明する。図１１に示すグラフは、一方の軸を特定リスクとし、他方の軸を情報損失度としたグラフである。このグラフ上に、判定対象の加工後個人情報がプロットされている。当該例では基準位置はグラフの原点であるが、これに準じたその他の位置を基準位置としてもよい。
【００６８】
判定対象の加工後個人情報の特定リスクは、第１及び第２の実施形態で説明した手法で算出部１１が算出した値である。図では算出した特定リスクの値を正規化（例：０〜１に正規化）し、特定リスク１を１００％、特定リスク０を０％と定め、特定リスクを％で表記している。当該情報損失度は、算出部１１が算出してもよい。
【００６９】
判定対象の加工後個人情報の情報損失度は、特許文献２に開示されている「データセットｓｐにおける情報損失量の算出方法」を利用して算出することができる。特許文献２の当該方法を利用して算出した情報損失量を正規化（例：０〜１に正規化）した値を当該情報損失度としている。図では、情報損失度１を１００％、情報損失度０を０％と定め、情報損失度を％で表記している。当該情報損失度は、算出部１１が算出してもよい。
【００７０】
図１１の例の場合、判定部１３は、距離Ｒが基準値以下である場合、「加工後個人情報を外部に提供可能」と判定する。一方、距離Ｒが基準値より大である場合、判定部１３は「加工後個人情報を外部に提供不可」と判定する。
【００７１】
その他、距離Ｒを複数の段階に分け、判定部１３は段階ごとの判定結果を出力してもよい。例えば、図１１の例の場合、判定部１３は、距離Ｒが第１の基準値以下である場合、「加工後個人情報を外部に提供可能」と判定し、距離Ｒが第１の基準値より大第２の基準値以下である場合、「加工方法再検討データである」と判定し、距離Ｒが第２の基準値より大である場合、加工後個人情報を外部に提供不可と判定してもよい。なお、（第１の基準値）＜（第２の基準値）である。「加工方法再検討データ」は、そのまま外部に提供することは好ましくないが、加工の仕方を少し見直すことで外部に提供可能となり得るデータである。
【００７２】
ここで、図１２のフローチャートを用いて、判定部１３による処理の流れの一例を説明する。
【００７３】
判定部１３は、算出部１１による算出結果に基づき、加工後個人情報が条件を満たすか判定する（Ｓ２０）。具体的には、判定部１３は、一方の軸を特定リスクとし、他方の軸を情報損失度としたグラフ上における加工後個人情報のプロット位置と基準位置との距離Ｒが、所定の条件（例：距離Ｒが第１の基準値以下）を満たすか判定する。
【００７４】
条件を満たす場合（Ｓ２０のＹｅｓ）、判定部１３は、加工後個人情報は外部に提供可能と判定する（Ｓ２１）。一方、条件を満たさない場合（Ｓ２０のＮｏ）、判定部１３は、加工後個人情報は外部に提供不可と判定する（Ｓ２２）。
【００７５】
次に、図１３のフローチャートを用いて、判定部１３による処理の流れの他の一例を説明する。
【００７６】
判定部１３は、算出部１１による算出結果に基づき、加工後個人情報が第１の条件を満たすか判定する（Ｓ３０）。具体的には、判定部１３は、一方の軸を特定リスクとし、他方の軸を情報損失度としたグラフ上における加工後個人情報のプロット位置と基準位置との距離Ｒが、所定の第１の条件（例：距離Ｒが第１の基準値以下）を満たすか判定する。
【００７７】
第１の条件を満たす場合（Ｓ３０のＹｅｓ）、判定部１３は、加工後個人情報は外部に提供可能と判定する（Ｓ３１）。一方、第１の条件を満たさない場合（Ｓ３０のＮｏ）、判定部１３は、加工後個人情報が第２の条件を満たすか判定する（Ｓ３２）。具体的には、判定部１３は、上記距離Ｒが、所定の第２の条件（例：距離Ｒが第１の基準値より大第２の基準値以下）を満たすか判定する。
【００７８】
第２の条件を満たす場合（Ｓ３２のＹｅｓ）、判定部１３は、加工後個人情報は加工方法再検討データであると判定する（Ｓ３３）。一方、第２の条件を満たさない場合（Ｓ３２のＮｏ）、判定部１３は、加工後個人情報は外部に提供不可と判定する（Ｓ３４）。
【００７９】
出力部１２は、判定部１３による判定の結果を出力する。出力部１２のその他の構成は、第１及び第２の実施形態と同様である。例えば、出力部１２は、図１４に示すような情報を出力してもよい。図１４では、算出部１１により算出された特定リスク及び情報損失度と、判定部１３による判定結果とが表示されている。
【００８０】
なお、出力部１２は、図１４に示す情報に加えて、図１１に示すグラフ、すなわち、一方の軸を特定リスクとし、他方の軸を情報損失度としたグラフ上に加工後個人情報をプロットした情報を出力してもよい。当該グラフにおいては、図１１に示す距離Ｒを示す情報が表示されてもよいし、表示されなくてもよい。出力部１２は、図１４に示す情報と図１１に示すグラフとを並べて同時に表示してもよいし、別々に表示してもよい。
【００８１】
以上説明した本実施形態の処理装置１０によれば、第１及び第２の実施形態と同様な作用効果を実現できる。
【００８２】
また、本実施形態の処理装置１０によれば、算出部１１による算出結果に基づき、加工後個人情報を外部に提供することの可否を判定し、判定結果を出力することができる。結果、非識別加工がなされた個人情報を提供する主体は、容易に、非識別加工がなされた個人情報が外部に提供可能な状態になっているか否かを認識することができる。
【００８３】
＜第４の実施形態＞
本実施形態の処理装置１０は、同一の内容を示すデータが予め設定された設定値ｋｓ以上となるように情報を加工するＫ−匿名化技術で非識別加工がなされた加工後個人情報を処理対象とする。そして、処理装置１０は、同一の個人情報を互いに異なる設定値ｋｓに基づき加工した複数の加工後個人情報を評価し、その中から外部への提供を推奨する加工後個人情報を決定する。その他の構成は、第１乃至第３の実施形態と同様である。以下、詳細に説明する。
【００８４】
本実施形態の処理装置１０のハードウエア構成の一例は、第１乃至第３の実施形態と同様である。
【００８５】
処理装置１０の機能ブロック図の一例は、図１０で示される。図示するように、処理装置１０は、算出部１１と出力部１２と判定部１３とを有する。
【００８６】
算出部１１は、設定値ｋｓが互いに異なる複数の加工後個人情報各々に対して特定リスク及び情報損失度を算出する。複数の加工後個人情報は、同一の個人情報を互いに異なる設定値ｋｓに基づき加工することで得られたものである。算出部１１による特定リスク及び情報損失度の算出方法は第１乃至第３の実施形態で説明した通りである。
【００８７】
判定部１３は、複数の加工後個人情報の中の、距離Ｒが所定条件を満たし、かつ、距離Ｒが最小である加工後個人情報を、外部への提供を推奨する加工後個人情報として決定する。距離Ｒの概念は、第３の実施形態で説明した通りである。所定条件は、「距離Ｒが基準値以下」である。
【００８８】
図１５を用いて判定部１３による判定の詳細を説明する。図１５に示すグラフは、一方の軸を特定リスクとし、他方の軸を情報損失度としたグラフである。このグラフ上に、設定値ｋｓが互いに異なる複数の加工後個人情報各々がプロットされている。当該例では基準位置はグラフの原点であるが、これに準じたその他の位置を基準位置としてもよい。
【００８９】
判定部１３は、図示するような複数の加工後個人情報の中の、距離Ｒが所定条件を満たし、かつ、距離Ｒが最小である加工後個人情報を、外部への提供を推奨する加工後個人情報として決定する。図１５に示す例の場合、判定部１３は、ｋｓ＝４の加工後個人情報を、外部への提供を推奨する加工後個人情報として決定する。
【００９０】
出力部１２は、判定部１３により決定された加工後個人情報を通知する。出力部１２のその他の構成は、第１乃至第３の実施形態と同様である。例えば、出力部１２は、図１６に示すような情報を出力してもよい。図１６では、判定部１３により外部への提供を推奨すると決定された加工後個人情報のｋｓ値と特定リスクと情報損失度が表示されている。
【００９１】
なお、出力部１２は、図１６に示す情報に加えて、図１５に示すグラフ、すなわち、一方の軸を特定リスクとし、他方の軸を情報損失度としたグラフ上に加工後個人情報をプロットした情報を出力してもよい。当該グラフにおいては、図１５に示す距離Ｒを示す情報が表示されてもよいし、表示されなくてもよい。出力部１２は、図１６に示す情報と図１５に示すグラフとを並べて同時に表示してもよいし、別々に表示してもよい。
【００９２】
以上説明した本実施形態の処理装置１０によれば、第１乃至第３の実施形態と同様な作用効果を実現できる。
【００９３】
また、本実施形態の処理装置１０によれば、互いに異なる条件で非識別加工を行った複数の加工後個人情報の中から、外部への提供を推奨する一つを決定することができる。結果、非識別加工がなされた個人情報を提供する主体は、容易に、外部に提供する上で最適な非識別加工がなされた個人情報を容易に認識することができる。
【００９４】
以下、参考形態の例を付記する。
１．  非識別加工がなされた個人情報である加工後個人情報の特定リスクを、
前記個人情報の価値を示す個人情報価値と、
前記個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度と、
前記非識別加工による情報損失の程度を示す情報損失度、及び、前記加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度と、
に基づき算出する算出手段と、
前記算出手段により算出された前記特定リスクを出力する出力手段と、
を有する処理装置。
２．  １に記載の処理装置において、
前記算出手段は、
前記情報損失度に基づき前記本人特定容易度を決定し、
前記情報損失度が大きい程、前記本人特定容易度は低くなる処理装置。
３．  １又は２に記載の処理装置において、
前記算出手段は、
前記数ｋｆに基づき前記本人特定容易度を決定し、
前記数ｋｆが大きい程、前記本人特定容易度は低くなる処理装置。
４．  １から３のいずれかに記載の処理装置において、
前記算出手段は、前記情報損失度及び前記数ｋｆの少なくとも一方に加えて、前記個人情報の項目に応じて定まる特定係数に基づき、前記本人特定容易度を決定する処理装置。
５．  １から４のいずれかに記載の処理装置において、
前記加工後個人情報は複数の項目を含み、
前記算出手段は、
前記項目ごとに、該項目の、前記個人情報価値、前記機微情報度及び前記本人特定容易度に基づき項目毎特定リスクを算出し、
前記複数の項目各々の前記項目毎特定リスクに基づき、前記特定リスクを算出する処理装置。
６．  １から５のいずれかに記載の処理装置において、
前記加工後個人情報は複数の人の情報を含み、
前記算出手段は、
前記人毎に、該人の、前記個人情報価値、前記機微情報度及び前記本人特定容易度に基づき人毎特定リスクを算出し、
前記複数の人各々の前記人毎特定リスクに基づき、前記特定リスクを算出する処理装置。
７．  １から６のいずれかに記載の処理装置において、
一方の軸を前記特定リスクとし、他方の軸を前記情報損失度としたグラフ上における前記加工後個人情報のプロット位置と、基準位置との距離に基づき、前記加工後個人情報を外部に提供することの可否を判定する判定手段をさらに有し、
前記出力手段は、前記判定手段による前記判定の結果を出力する処理装置。
８．  ７に記載の処理装置において、
前記非識別加工では、同一の内容を示すデータが予め設定された設定値ｋｓ以上となるように前記個人情報を加工し、
前記算出手段は、前記設定値ｋｓが互いに異なる複数の前記加工後個人情報各々に対して前記特定リスクを算出し、
前記判定手段は、複数の前記加工後個人情報の中の、前記距離が所定条件を満たし、かつ、前記距離が最小である前記加工後個人情報を、外部への提供を推奨する前記加工後個人情報として決定し、
前記出力手段は、前記判定手段により決定された前記加工後個人情報を通知する処理装置。
９．  コンピュータが、
非識別加工がなされた個人情報である加工後個人情報の特定リスクを、
前記個人情報の価値を示す個人情報価値と、
前記個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度と、
前記非識別加工による情報損失の程度を示す情報損失度、及び、前記加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度と、
に基づき算出する算出工程と、
前記算出工程で算出された前記特定リスクを出力する出力工程と、
を実行する処理方法。
１０．  コンピュータを、
非識別加工がなされた個人情報である加工後個人情報の特定リスクを、
前記個人情報の価値を示す個人情報価値と、
前記個人情報が漏えいした時の精神的苦痛レベル及び経済的損失レベルに基づき決定される機微情報度と、
前記非識別加工による情報損失の程度を示す情報損失度、及び、前記加工後個人情報において同一の内容を示す人の数ｋｆの少なくとも一方に基づき決定される本人特定容易度と、
に基づき算出する算出手段、
前記算出手段により算出された前記特定リスクを出力する出力手段、
として機能させるプログラム。
【符号の説明】
【００９５】
１Ａ    プロセッサ
２Ａ    メモリ
３Ａ    入出力Ｉ／Ｆ
４Ａ    周辺回路
５Ａ    バス
１０    処理装置
１１    算出部
１２    出力部
１３    判定部
【図１】
2019211899.tif 000003
【図２】
2019211899.tif 000004
【図３】
2019211899.tif 000005
【図４】
2019211899.tif 000006
【図５】
2019211899.tif 000007
【図６】
2019211899.tif 000008
【図７】
2019211899.tif 000009
【図８】
2019211899.tif 000010
【図９】
2019211899.tif 000011
【図１０】
2019211899.tif 000012
【図１１】
2019211899.tif 000013
【図１２】
2019211899.tif 000014
【図１３】
2019211899.tif 000015
【図１４】
2019211899.tif 000016
【図１５】
2019211899.tif 000017
【図１６】
2019211899.tif 000018