個人情報の概念と匿名加工情報

弁護士

森 亮二

1

「個人情報」とは2

「個人情報」とは生存する個人に関する情報で、特定の個人が識別できるもの本人が特定できる、だれか分かること。
ただし、その情報自体で特定の個人が識別できなくても他の容易に照合できる情報により、特定の個人が識別できればOK

容易照合性

ABC商事 法務部
甲野乙彦
ABC商事
社員番号 12345

「個人情報」の相対性
生存する個人に関する情報で、特定の個人が識別できるもの

「特定個人識別の可否は、当該情報を取り扱う者ごとに異なりうる相対的なもの」（宇賀40頁）



ABC商事は、社員名簿を持っているが、他の会社は社員番号だけではだれかわからない。



この場合、この情報は、ABC商事にとっては個人情報、他の会社にとっては個人情報ではないということになる。

ABC商事
社員番号 12345「〇〇社の誰誰さん」は相対的判断

「個人情報」の範囲①顧客属性データ
生年月日

電話
番号

契約者ID

氏名

53012602

野村太郎男性1987年
10月12日03-222-5555 AA商事

450万円

53597201

山田花子

女性

1990年
5月23日

090-4447777

BB保険

81567824

佐藤一郎

男性

1968年
8月19日

03-123-4567 C区役所

性別

勤務先

年収

決済金融
機関

住所
郵便
番号

都道
府県

市区町村

みずほ

100-0005 東京都

千代田区

丸の内1-6-5 丸ノ内北口ビル

270万円

三井住友

116-0002 東京都

荒川区

荒川2-3-6

530万円

スルガ

111-1111 東京都

港区

六本木1-2-3 ビバリー六本木

町名・丁目・番地②利用明細データ
契約者ID

利用日

利用加盟店名53012602

2015年10月15日

丸の内店

12,00053012602

2015年10月16日

荒川店

50,00053012602

2015年10月17日

六本木店

250,000



購入商品

支払い金額

特定の個人が識別できる場合は、すべての情報が個人情報。

ｱﾊﾟｰﾄ･ﾏﾝｼｮﾝ･ﾋﾞﾙ

ハイツ荒川個人識別符号
2条1項

【旧法】


生存する個人に関する情報であって

その情報に含まれる氏名等の記述により特定の個人を識別することができるもの

【改正法】


※新2条1項2号の文言は、「個人識別符号が含まれるもの」だが、新2条2項各号において、個人識別符号は、特定の個人を識別することができるものであることが規定されている。

生存する個人に関する情報であって① その情報に含まれる氏名等の記述（個人識別符号を除く）により特定の個人を識別することができるもの
または② 個人識別符号により特定の個人を識別することができるもの※

個人識別符号2条2項「個人識別符号」とは、次のいずれかの符号のうち、政令で定めるものをいう。
Ⅰ 個人の身体の一部の特徴をコンピュータ処理用に変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
指紋認識データ、顔画像データ

Ⅱ①個人に提供されるサービスの利用or商品の購入に割り当てられ、②個人に発行されるカードその他の書類に記載・記録された文字、番号、記号その他の符号であって、一人ひとりが異なるように割り当てられ、記載・記録されることにより、特定の個人を識別することができるもの
定性的な個
人情報であり、
絶対的判断

旅券番号、免許証番号7個人識別符号タイプⅠ 身体特徴データ型
以下の身体の特徴をコンピュータ処理のために変換した符号（イ）ＤＮＡ塩基配列（ロ）顔（ハ）虹彩（ニ）声（ホ）歩容（ヘ）手のひら又は手の甲などの静脈の形（ト）指紋・掌紋
8個人識別符号タイプⅡ サービス番号型
商品、サービス、書類などの番号タイプⅡの個人識別符号
旅券番号
基礎年金番号
免許証番号

住民票コード
個人番号9

個人識別符号タイプⅡ サービス番号型
商品、サービス、書類などの番号タイプⅡの個人識別符号（続き）
書面符号

国民健康保険証

記号、番号、保険者番号

高齢者の医療の確保に関する法律の被保険者証

番号、保険者番号

介護保険法の被保険者証

番号、保険者番号

健康保険の被保険者証

記号、番号、保険者番号

健康保険の高齢受給者証

記号、番号、保険者番号

船員保険の被保険者証

記号、番号、保険者番号

船員保険の高齢受給者証

記号、番号、保険者番号10個人識別符号タイプⅡ サービス番号型
商品、サービス、書類などの番号タイプⅡの個人識別符号（続き）
書面符号

出入国管理及び難民認定法の旅券（日本国政府の発行したものを除く）

番号

同法の在留カード番号

私立学校教職員共済制度の加入者証

加入者番号

同制度の加入者被扶養者証

加入者番号

同制度の高齢受給者証

加入者番号

国民健康保険の高齢受給者証

記号、番号、保険者番号

雇用保険の被保険者証

被保険者番号

日本国との平和条約に基づき日本の国籍を離脱した者等の出入国管理に関する特例法の特別永住者証明書

番号11

個人識別符号タイプⅡ サービス番号型
商品、サービス、書類などの番号タイプⅡの個人識別符号（続き）
書面符号

国家公務員共済組合の組合員証

記号、番号、保険者番号

同組合の 組合員被扶養者証

記号、番号、保険者番号

同組合の 高齢受給者証

記号、番号、保険者番号

同組合の 船員組合員証及び船員組合員被扶養者証

記号、番号、保険者番号

地方公務員等共済組合の組合員証

記号、番号、保険者番号

同組合の 組合員被扶養者証

記号、番号、保険者番号

同組合の 高齢受給者証

記号、番号、保険者番号

同組合の 船員組合員証及び船員組合員被扶養者証

記号、番号、保険者番号12

個人識別符号の選択は？
2条1項、2項
Q：

どのような情報が「特定の個人を識別することができる」ものとして「個人識別符号」となるか？
A：①情報の機能、取扱いの実態等を含めた社会的意味合い②情報が一意であるか等、個人と情報との結びつきの程度③情報の内容の変更が頻繁に行われていないか等、情報の不変性の程度④情報に基づき、直接個人にアプローチすることができるか等、本人到達性等の要素等を総合的に勘案して判断される。

瓜生和久編「一問一答平成27年改正個人情報保護法」（商事法務） 14頁
13「準個人情報」に関する技術検討WGの考え方
H27改正作業時のパーソナルデータ検討会からの宿題：「特定の個人を識別する」とまでは言えないが、「特定の個人を識別するおそれのある」ものについて、新たに規制する必要性があるのではないか、あるとすれば規制対象とすべきものはどのようなものか？

技術検討WGの回答：
１．特定の個人が識別されるおそれは、多くの場合、当該個人に関する多量又は多様な情報が収集されることによって生じる。
２．「（仮称）準個人情報」として規制対象とすべきは、個人に関する多量又は多様な情報収集をすることとなる蓋然性の高い識別子である。
３．そのような識別子となるのは、①本人又は本人の所有物との密接性があるもの、②一意性/単射性があるもの（本人と1対1の関係にあるもの）、③共用性（多くの事業者が同じものを利用する状態）があるもの、④不変性（相当程度の期間永続するものであること、本人が容易に変更できないこと等）があるものである。
技術検討ワーキンググループ報告書 平成26年5月

14

第三者提供と個人識別性

15

第三者提供の制限

23条

個人データ（個人情報をデータベース化した場合、そのデータベースを構成する個人情報）の提供

本人の同意を得た場合本人の同意を得なくても提供できる場合
法が定める例外規定に該当する場合 23条１項個人情報取扱事業者①法令に基づく場合②人の生命、身体又は財産の保護に必要で、同意を得ることが困難な場合③公衆衛生・児童の健全育成に特に必要で、本人の同意を得ることが困難な場合④国や地方公共団体又はその委託を受けた者に協力する場合であって、本人の同意を得ることにより事務遂行に支障を及ぼすおそれがあるとき第三者

オプトアウト 23条２項

あらかじめ第三者提供することや、本人の求めに応じて提供を停止することなどを通知等している場合「第三者」に該当しない場合 23条5項①委託先への提供、②合併等に伴う提供、③グループによる共同利用

内閣官房の説明資料に加筆

提供元基準・提供先基準


2013年6月、JR東日本は、乗客の乗降履歴を「匿名化」して販売することを公表。

「個人情報ではないので、本人の同意不要」の前提で行われたが、「本当に個人情報でなくなっているのか？」の疑問が出て大炎上・・・

17

提供元基準・提供先基準
Q：同じ個人情報でも、Aから見れば個人識別性があるが、Bから見れば個人識別性がないような場合をどう考えるか。
A：個人識別性は、相対的に判断される。

つまり、同じ情報でも、Aにおいては個人情報だがBにおいては個人情報でない、ということがあり得る。

18

提供元基準・提供先基準
たとえば、企業Aが自社の顧客データを「匿名化」して、企業Bに提供しようとする場合・・・
氏名

森野亮二郎

ID012345

会社

●☓商事

職種

商社

趣味

国内旅行、自転車

趣味

国内旅行、自転車

性別

男性

性別

男性

生年月日

1970年9月1日

年齢

50歳台

オリジナル

提供用

19

提供元基準・提供先基準
氏名

森野亮二郎

会社

●☓商事

ID012345

趣味

国内旅行、自転車

職種

商社

性別

男性

趣味

国内旅行、自転車

生年月日

1970年9月1日

性別

男性

年齢

50歳台

対応テーブル
甲野一郎

12341

乙野次郎

12342

丙野三郎

12343

丁野四郎

12344

森野亮二郎

12345

これなら誰の情報か分からない！個人情報保護法の心配なし？

企業A

20

提供元基準・提供先基準


同じ情報でも、Aにおいては個人情報だがBにおいては個人情報でない、ということがあり得る。



第三者提供（第23条）の場面において、提供元では識別性があることが多い。



提供先で識別性がない場合には、第三者提供の規制を適用すべきではないとする考え方があるが、通説は提供元。

問題は、提供元の対応テーブル。提供元においても、識別性が失われていないとダメ。



対応テーブルがなければ完璧？

対応テーブル
甲野一郎

12341

乙野次郎

12342

丙野三郎

12343

丁野四郎

12344

森野亮二郎

12345

21

提供元基準・提供先基準
（続き）対応テーブルがなければ完璧？



対応テーブルがなくても、情報そのものからマッチング（照合）は可能。



たとえば・・「11月1日11:30新宿（乗）、同日13:05さいたま新都心（降）、同日16:12さいたま新都心（乗）・・」のようなものであれば、オリジナルDBと簡単に照合できるはず。



したがって、提供元基準では、対応テーブルがなくても個人情報22したがって、第三者提供にはやはり原則本人の同意が必要。

提供元基準・提供先基準（続き）したがって、第三者提供には原則本人の同意が必要。



では、どうすればいいのか？



一つの方法は、データを「丸める」こと（匿名化）「8月1日 新宿（乗）、さいたま新都心（降）、さいたま新都心（乗）」であれば、オリジナルDBに何人かいるかも・・

ただ、丸め過ぎるとデータの価値が低くなる。

安全に匿名化して第三者提供する方法はないものか？

23

匿名加工情報とは24

匿名加工情報とは

匿名加工情報は、パーソナルデータの利活用を目指す改正法の目玉。

匿名化した状態で、パーソナルデータの流通を実現させようとするもの。

匿名加工情報とは ⇒

匿名加工情報は、個人情報ではないとされる。個人情報に関する義務規定の適用はないが、匿名加工情報に固有の義務あり。

特定の個人を識別することができないように個人情報を加工した情報で その個人情報を復元することができないよ
うにしたもの

25

匿名加工情報とは＜法2条9項＞

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
一 第１項第１号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二 第１項第２号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

26

「匿名加工情報」の作成者の義務
36条：作成者の義務① ＜適正加工義務＞
匿名加工情報を作成するときは、委員会規則で定める基準に従った匿名加工をする（1項）。
② ＜加工方法等安全管理措置＞
匿名加工情報を作成したときは、加工の際に削除した情報や加工方法について、委員会規則で定める基準に従った安全管理措置を講じる（2項）。
③ ＜作成時公表義務＞
匿名加工情報を作成したときは、委員会規則で定めるところにより、匿名加工情報に含まれる個人に関する情報の項目を公表する（3項）。
公表は作成後、遅滞なく、インターネットの利用その他の適切な方法により行う（規則21条）。
27

「匿名加工情報」の作成者の義務
36条：作成者の義務④ ＜提供時公表義務＞
匿名加工情報を作成して第三者提供するときは、委員会規則で定めるところにより、あらかじめ、匿名加工情報に含まれる個人に関する情報の項目と提供の方法を公表し、受領者に匿名加工情報であることを明示する（4項）。
公表は、インターネットの利用その他の適切な方法により行う（規則22条）。

⑤ ＜識別行為禁止＞
匿名加工情報を作成して自ら取り扱う際には、匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、匿名加工情報を他の情報と照合してはならない（5項）。
⑥ ＜安全管理措置等＞
匿名加工情報を作成したときは、(a)安全管理措置、(b)苦情処理その他の適正な取り扱いを確保するための措置、(c)その内容の公表について、努力義務を負う
（6項）。
28

「匿名加工情報」の作成者以外の義務
37条～39条：非作成者の義務
匿名加工情報取扱事業者とは：データベース化された匿名加工情報を事業の用に供している者（2条10項）

匿名加工情報の受領者もこれ

匿名加工情報取扱事業者の①＜提供時公表義務＞（37条）②＜識別行為禁止＞（38条）③＜安全管理措置等＞（39条）
29

「匿名加工情報」取扱事業者の義務の全体像
概要

作成者

作成者以外の匿名加工情報取扱事業者

適正加工義務○

加工方法等安全管理措置義務○

作成時公表義務○

提供時公表義務○○

識別行為禁止義務○○

安全管理措置等の努力義務○○30匿名加工情報の加工の基準

31

加工の基準に関する委員会規則
19条

措置

具体的には
••

氏名、顔画像は削除or仮IDに置き換え
住所、生年月日をたとえば都道府県まで、年までに•マスターとトランザクションを分散管理して管理用IDで連結している場合、その管理用IDを削除

1号

個人情報の削除・置き換え

2号

個人識別符号の削除・置き換え

3号

個人情報と加工対象情報の連結IDの削除・置き換え

4号

特異な記述（一般的に特異）の削除・ •置き換え

5号

DB内差異その他のデータベースの性質に応じた措置••

116歳を90歳以上に小学校の身体検査情報で170cmを150cm以上に移動履歴で自宅が推測される部分を削除

32

加工の基準に関する委員会規則＜規則第19条＞

法第36条第1項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(3) 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
(4) 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(5) 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該
33
個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

ご清聴ありがとうございました

34

資料集

35

「復元することができないように」

36

復元することができないように＜法2条9項＞
この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
＜ガイドライン匿名加工情報編＞
また、「当該個人情報を復元することができないようにしたもの」とは、通常の方法では、匿名加工情報から匿名加工情報の作成の元となった個人情報に含まれていた特定の個人を識別することとなる記述等又は個人識別符号の内容を特定すること等により、匿名加工情報を個人情報に戻すことができない状態にすることをいう。
「当該個人情報を復元することができないようにしたもの」という要件は、あらゆる手法によって復元することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により復元できないよう37な状態にすることを求めるものである。

5号加工の例＜ガイドライン匿名加工情報編＞【想定される加工の事例】
事例1）移動履歴を含む個人情報データベース等を加工の対象とする場合において、自宅や職場などの所在が推定できる位置情報（経度・緯度情報）が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、推定につながり得る所定範囲の位置情報を削除する。（項目削除／レコード削除／セル削除）
事例2）ある小売店の購買履歴を含む個人情報データベース等を加工の対象とする場合において、当該小売店での購入者が極めて限定されている商品の購買履歴が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、具体的な商品情報（品番・色）を一般的な商品カテゴリーに置き換える。（一般化）
38

1号加工と容易照合性39個人情報の定義にはあるが・・＜規則第19条＞

法第36条第1項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
＜法2条1項＞
第２条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第２号において同じ。）で作られる記録をいう。第18条第２項において同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
40
二 個人識別符号が含まれるもの

事務局レポート＜事務局レポート3.4.2 容易照合性との関係＞
匿名加工情報を作成した事業者は、その作成に用いた個人情報を保有しており、また、当該個人情報を匿名加工する方法に関する情報として匿名加工情報と元の個人情報との対応関係を示す対応表等を保有し得るが、この個人情報や対応表について法第２条第１項第１号括弧書のいわゆる「容易照合性」があるとして、作成した匿名加工情報は個人情報に該当し、個人情報の取扱いに関する各義務（法第4章第1節）を守らなければならないのではないか、との懸念が想定される。
匿名加工情報は、特定の個人を識別することができず、作成の元となった個人情報を復元することができないように加工したものであり、さらに、個人情報に係る本人を識別することを禁止する等の制度的な担保がなされていることから、作成の元となった個人情報を通常の業務における一般的な方法で照合することができる状態にある（すなわち容易照合性がある）とはいえず、個人情報に該当しないとされるものである。
したがって、匿名加工情報を作成した事業者がこれを当該事業者内部で取り扱うに当たっても、匿名加工情報の取扱いに関する義務（法第36条）を守ることにより自由な利活用が認められることとなる。
41

事務局レポート＜事務局レポート3.4.2 容易照合性との関係＞つづき
匿名加工情報については、法第２条第９項の規定に基づき、特定の個人を識別することができないものであり、個人情報を復元することができないようにしたものであることが求められるものであり、この際の「特定の個人を識別することができない」の判断基準については、法第２条第１項第１号の括弧外と同様に一般人及び一般の事業者の判断力や理解力をもって行われるものであり、かつ、「復元することができない」の判断基準についても一般人及び一般の事業者の判断力や理解力をもって行われるものである。
匿名加工情報は、その立法趣旨からも、本来の利用目的外で利用する場合あるいは他の匿名加工情報取扱事業者に提供する場合等により、利用・流通過程における安全性を確保しつつ個人に関する情報の利活用を図る制度であり、個人情報に対して一定の加工及び規律を課した上で第三者提供等を可能とするものであるため、一般人及び一般の事業者における判断力や理解力を考慮した上で安全性を判断することが妥当であると考えられる。
なお、匿名加工情報の作成事業者内部において、匿名加工情報に加工される前の元となる個人情報や加工方法等に関する情報が保存されることは制度的に前提とされており、作成事業者の内部に存在し、かつ識別行為の禁止義務の対象である対応表について、特別に危険視することは適当ではないものの、識別行為の禁止及び加工方法等情報の安全42管理措置等の匿名加工情報の取扱いに関する義務を守ることが当然に必要である。

NII報告書＜NII報告書＞

国立情報学研究所 匿名加工情報に関する技術検討ワーキ
ンググループ「匿名加工情報の適正な加工の方法に関する報告書」2017年2月21日版（NII報告書）（２）容易照合性によって特定の個人を識別することができる記述等となるものについて
たとえば、小売事業者が顧客の登録情報（氏名、住所、生年月日、性別等）とその購買履歴を保有しており、そこから購買履歴を切り離して加工対象情報とする場合、詳細な購買履歴は多くの場合、個人情報である。なぜなら、詳細な購買履歴は通常一意 であり、これをその小売事業者が保有する顧客の登録情報を含む元の情報と照合することは容易だからである。
1号において措置を求められる「特定の個人を識別することができる記述等」には、容易照合性によって初めて特定の個人を識別できることとなるものは含まれないと解すべきである。容易照合性によって初めて特定の個人を識別できることとなるものについては、1号の措置の対象ではなく、作成事業者の外部に存在する情報も考慮要素として加えたうえで、5号の措置の対象とすべきである。
43

NII報告書＜NII報告書＞つづき
なぜなら第一に、1号は、「特定の個人を識別することができる記述等の全部又は一部を削除すること」としつつも、法第2条第1項第1号のように、「他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む」との括弧書きを加えることをしていないため、容易照合性によって初めて特定の個人を識別できることとなるものを除外する趣旨と解するのが自然である。また第二に、流通を前提とする匿名加工情報については、作成事業者内における参照情報の有無のみを問題にすることなく、一般に参照情報がどの程度容易に入手できるか、という観点から措置の必要性を検討することが合理的である。
下記＜個人情報保護法ガイドライン（匿名加工情報編）3-2-1＞の【想定される加工の事例】においても、1号の加工の具体例は、加工対象情報の内部において個人情報といえるものに限られている。
なお、前記の小売事業者の顧客の登録情報のように加工対象情報の外部にあって、それを参照することにより特定の個人が識別できる情報を以下「参照情報」という。
44

NII報告書

容易照合事業者
一般人45

識別行為禁止義務があるから加工レベルを下げていいという考え方

46

放送受信者ガイドラインの作成時のやりとり
事業者団体：
視聴履歴について、「詳細時刻情報を丸めるという考え方は再考いただきたい」「提供先での再識別のリスクは、法的に禁じることをもって十分とすると考えることはできないか」
事務局回答：「一般的な事業者の能力、手法等を基準として当該情報を…事業者が通常の方法により特定できないような状態にすることを求める」という規律を課した上で、さらに再識別の禁止を課しているものであって、法で再識別が禁止されていることをもって加工方法の基準を緩和することは、制度趣旨に照らすと適切とはいえない47