情報法制研究会 第5回シンポジウム
2017年5月20日

匿名(非識別)加工情報は今後どうなるのか
制定経緯を踏まえて国立研究開発法人 産業技術総合研究所

高木 浩光
1

•

本日のトピック

匿名加工ファミリーについて

••
•
••
••
••

匿名加工医療情報に関する法律（15分）
期待される展開、残る論点

医学系研究倫理指針での「匿名化」との関係（5分）
行政機関匿名加工情報（15分）
期待される展開、残る論点

地方公共団体の条例への匿名加工情報の導入（5分）•

問題点

個人情報保護法の匿名加工情報（20分）
残された論点「制定経緯を踏まえて」•

情報法制研究所（JILIS）からの情報公開請求での開示資料「法律案審議録」（内閣法制局）を基に
2

匿名加工医療情報に関する法律•

平成29年法律第28号（5月12日公布）

•
•
•
•概要
•
••

内閣官房健康・医療戦略室（略称「次世代医療基盤法」）
正式名「医療分野の研究開発に資するための匿名加工医療情報に関する法律」
1年以内に施行

かつて「代理機関」構想の一部として議論されていたもの「匿名加工医療情報作成事業」•

複数の医療機関等から個人データの提供を受け、個人ごとに突合して、「匿名加工医療情報」に匿名加工して、任意の事業者に販売する事業一定の基準を満たした作成事業者を政府が認定し、認定事業者にのみ特定の取扱いを許すもの
3

何が新しいか

現行法でもできること

この法で可能になること

内閣官房健康・医療戦略室「医療分野の研究開発に資するための匿名加工医療情報に関する法律案について」
国会向け資料？ https://medicalnote.jp/contents/170516-002-LM より孫引き

現行法での課題：「申請を受けた医療機関等（図中では医療機関等C）が情報利用者の申し出を解釈し、その医療データが本当に必要かどうか、両者で合意を形成しなければならないという問題が発生します。」（濱村進衆議院議員）

MedicalNote, 「医療ビッグデータは4つの性質に分けられる−医療従事者に賢くデータを利用してほしい」
https://medicalnote.jp/contents/170516-002-LM より

4

•

法の骨格

個人情報保護法の別立てのような構成

•
••

1章 総則

2章 医療分野の研究開発に資するための匿名加工医療情報に関する施策
1節 医療分野の研究開発に資するための匿名加工医療情報に関する基本方針•
3章 認定匿名加工医療情報作成事業者••••
4章 医療情報取扱事業者による認定匿名加工医療情報作成事業者に対す
2節 国の施策

1節 匿名加工医療情報作成事業を行う者の認定

•
•
•
•

2節 医療情報等及び匿名加工医療情報の取扱いに関する規制
3節 認定医療情報等取扱受託事業者

る医療情報の提供
5章 監督
6章 雑則
7章 罰則

5

事業者種別と取扱情報の関係
医療情報取扱事業者
医療情報
認定匿名加工医療情報作成事業者
認定医療情報等取扱受託事業者
匿名加工医療情報
匿名加工医療情報取扱事業者
6

「医療情報」定義
第2条 この法律において「医療情報」とは、特定の個人の病歴その他の当該個人の心身の状態に関する情報であって、当該心身の状態を理由とする当該個人又はその子孫その他の個人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等（…）であるものが含まれる個人に関する情報のうち、次の各号のいずれかに該当するものをいう。

一 当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができる
こととなるものを含む。）

二 個人識別符号が含まれるもの

個人に関する情報

個人に関する情報

医療情報

個人情報

医療情報

個人情報

匿名加工医療情報

匿名加工情報

匿名加工医療情報

匿名加工情報7

情報の範囲

個人に関する情報

医療情報
8

病歴その他の…であって…不当な個人情報に配慮を要する…ものが含まれる

生存する個人に関する情報

差別、偏見その他の不利益が…特生存する個人に関する情報

要配慮

特
す 定
る の
こ 個
と 人
が を
で 識
き 別
る

•要配慮個人情報のうち病歴その他の……
•死者の個人に関する情報を含む

•

認定作成事業者の義務

個人情報保護法の義務を強化したようなもの

•

•
•
•
•
•
•
•
•
•
•

17条 利用目的「認定事業の目的の達成に必要な範囲を超えて」取り
扱ってはならない（提供を受けた医療情報について）
18条 匿名加工医療情報の作成等

19条 消去「必要がなくなったときは、遅滞なく…消去しなければならない」

20条 安全管理措置「主務省令で定める措置」
21条 従業者の監督「主務省令で定めるところにより」22条 従業者等の義務「みだりに他人に知らせ、又は不当な目的に利用してはならない」→ 直罰規定あり

23・24条 委託先を認定委託事業者に限定
25条 他の認定事業者への提供「主務省令に定めるところ…」
26条 第三者提供の制限「第三者に提供してはならない」
27条 苦情処理「主務省令に定めるところにより」
9

加工情報の作成等18条（匿名加工医療情報の作成等）•

1項 作成するときは、主務省令で定める基準に従い加工しなければならない

•
•

•
••
••

主務大臣 → 内閣・文科・厚労・経産「主務大臣は、主務省令を定め、又は変更しようとするときは、あらかじめ、個人情報保護委員会に協議しなければならない。」39条3項

2項 「自ら当該匿名加工医療情報を取り扱うに当たっては」の再識別禁止義務3項 受領者（匿名加工医療情報取扱事業者）の再識別禁止義務
行政機関法の匿名加工情報とは異なり、禁止義務が明確に規定された

4項 個人情報保護法の規定を適用しないとの規定•

作成事業者と受託事業者が作成する場合、36条の規定を適用せず取扱事業者が取り扱う場合、37条から39条までの規定を適用せず➡ 加工情報の安全管理措置はなし？ 二次提供時の義務もなし？
10•

ソース側の規定

30条（医療情報取扱事業者による医療情報の提供）•••

オプトアウト手段を用意し、あらかじめ本人に通知し、主務大臣に届け出たときは、認定作成事業者に提供できる
オプトアウト手段••••

本人又はその遺族（死亡した本人の子、孫その他の政令で定める者をいう。以下同じ。）からの求めがあるときは、当該本人が識別される
医療情報の認定匿名加工医療情報作成事業者への提供を停止すること

31条（書面の交付）

オプトアウトを受け付けたことを書面で示す

32条・33条 記録の作成義務
34条 （……提供を受けてはならない場合）••

オプトアウトを無視した提供は受けてはならないとする規定
11

国会での論点

衆参各1日の審議で採決（参考人質疑なし）•••

民進から若干の修正案、採用されて可決•••

医療情報定義を「子孫その他の個人に対する不当な差別…」と修正認定基準に、整理し作成する能力に加え、取得し提供する能力を加え利用目的制限に、「…趣旨に反することのないよう」を加え
オプトアウト手段を「主務省令で定めるところにより」と修正賛成する党からも慎重を期すよう求める声が続く••••

オプトアウトを確実にできるようにせよとの指摘

提供までの猶予期間を設けるべきとの指摘（治療時に余裕ない）

削除請求権を設けなかったのはなぜかとの問い（複数）•答弁：認定事業者が自主的に対応することは考えられるが、主務省令で検討していく
パブコメにかけられた「とりまとめ」には書かれていたのに、法定されなかったのはなぜ？（逆に、オプトアウトは通知不要だったのに）
12

残る論点（私見）①•

削除請求への対応は制度化するべき•••事前通知式オプトアウトの徹底はオプトインに近いが•••安全管理上のリスクは高いと言わざるを得ない••

EUでの動向に合わせる
どこへ請求することにするか（認定作成事業者 or 提供元）
かなり目立つが本当に実施するところは出てくるのか……
小中学校の健康診断結果もこの方法で提供するのか……
集中型の構想は前世紀的で古いのではないか
同一人の履歴が一生に渡って蓄積される•対案として分散型が考えられたのだが……
•••一事業者に全ての人の全ての履歴が蓄積される分野ごとのレジストリに蓄積

必要に応じて複数分野のレジストリから集めて分析して返却する方式13•

残る論点（私見）②

認定作成事業者に保有個人データの義務は課される？

••••認定作成事業者への提供は仮名化される？
••
個人情報保護法の開示・訂正・利用停止等

これらを「適用しない」との規定が置かれていない「医療情報」が常に「個人情報」に該当するわけではない
氏名等も認定作成事業者に蓄積されるのか削除請求に応じないなら必要としないはずだが••仮名化して提供を受けるとした場合の定義該当性は？

••削除請求への対応を主務省令で義務化するなら必要となるが提供元医療機関等経由での削除請求「対応表を保有しない者にとっては照合性がなく個人情報に該当せず」としてきたこれまでの厚労省解釈と矛盾するが……この法は該当するのを当然の前提としている•

この際、そういう場合も照合性があるとする解釈に変えていくべき14•

残る論点（私見）③

加工基準は独自のものとなるのか？

••

委員会規則ではなく主務省令で定めるとしたのはなぜ？
「個人情報保護委員会に協議」とはされているが•個人情報保護委員会の監督下としなかっただけの理由によるもの？
施行規則自体は同じものが規定される？

••認定個人情報保護団体の指針に相当するものはどこで規定？
•

匿名加工情報の加工基準は、分野ごとの指針に委ねることになっているが、この法の場合は？

•医療情報の加工基準は一般より緩く設定される？

••••

主務省令その他で詳しく規定することはできるのだろうか？

社会的有益性から特別に加工基準を緩くすることが考えられるが……

医療情報の加工基準は一般より厳しく設定される？

加工情報の提供先で再識別禁止義務はあるものの、二次提供、安全管
理措置の規定がないのは、十分な加工を前提としているから？
15•

医学系研究倫理指針での「匿名化」

医学系研究倫理指針が改正

•

•
••

「人を対象とする医学系研究に関する倫理指針」
個人情報保護法改正に対応した改正という体裁
改正法施行に合わせて施行「匿名化」の定義を変更••••「連結可能匿名化」「連結不可能匿名化」の用語を廃止
改正前は、個人情報定義の裏返しのような規定だった

改正後は、氏名等部分を除くだけの処置に（実態に合わせて）••

要するに仮名化のことだが、用語を「仮名化」に変更する案は通らず「匿名化」しても個人情報の場合と、非個人情報となる場合とがある「匿名加工情報」「非識別加工情報」の規定を導入•

ほとんど関係ないのだが16•

よくある誤解「匿名化が規制される」

岡村久道「個人情報保護法の改正とデータを用いた学術研究」オペレーションズ・リサーチ 2016年5月号 283頁•

「以上のような匿名加工情報制度の新設に対し、これまで自由であったはずの非個人識別情報たる匿名情報の取扱いに対し、新たに多様な義務が課されるに至ったので、その利活用が妨げられるのではないかという疑問が呈される一方、これによって本当にプライバシーが守られるのかという、逆方向の立場からの疑問も呈されている。

いずれにしても、必ずしも適用除外対象となるか明らかでない
学術研究等については、この匿名加工情報に関する諸規定を順守せざるを得ないことになる。 」

17••

パブコメで抗議が殺到

大量の同意見が殺到「民間事業者に求められる公表規定を研究者に対しても求めることは、徒に研究者の負担を増大させてしまうことが危惧されることから、公共の福祉向上に資すると判断される研究の場合、努力義務に抑えるか、倫••理審査委員会の判断に委ねる等の柔軟な対応を検討していただきたい。 」（他同趣旨77件）

医学系学会もこぞって意見「「匿名加工情報が個人情報を復元できないように処理が必要、あるいは
当該匿名加工情報を他の情報と照合してはならない。」について次のような研究支障が想定される。

論文投稿後に、一部の症例の追加データの解析を要求されることは多々ある。そのような場合、個人情報（患者カルテ番号）を復元できないように処理が必要である場合、再度、対象症例の抽出とデータ整理に多大な時間を要し、研究遂行に大きな支障がある。
18

••

パブコメ回答で否定

文部科学省及び厚生労働省の考え方「匿名加工情報及び非識別加工情報として取り扱うことについてのご意見と理解しご回答しますが、匿名加工情報及び非識別加工情報として取り扱う場合には、法律に規定されている識別禁止等を遵守する必要がありますが、指針上は、「匿名化」を用いることができ、匿名化したものを個人情報として取り扱う場合には、復元や照合等も可能となっていますので、指針の規定をご確認く•ださい。 」「「匿名加工情報」と「非識別加工情報」は、それぞれ個情法と行個法・独個法に規定されている要件を満たして個人情報から加工した情報であり、その取扱いも法律の規定を順守する必要があります。一方で、「匿名化」は、指針に定めている手法であり、例えば、匿名加工情報と同じ加工を行ったとしても、
匿名加工情報として取り扱うための手続きを行わない場合には、「匿名化されている情報」として取り扱っていただくこととなります。匿名加工情報の詳細については、「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）（平成28年11月個人情報保護委員会）」をご参照ください。 」
19

•
•
•

匿名加工情報は規制強化ではない

本研究会の第1回・第2回シンポジウムで指摘した通り
改正法案の国会答弁で明言されている

改正法成立後の出版物でも•森亮二「個人情報の保護と利用 ――法整備における課題――」
法律時報 88巻1号 83頁• •個人情報保護委員会のガイドラインでも明記「（※2）「作成するとき」は、匿名加工情報として取り扱うために、
当該匿名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、•

あるいは統計情報を作成するために個人情報を加工する場合等については、匿名加工情報を「作成するとき」には該当しない。」

制度の意義は、安心して提供できるための法的枠組み
20

•

行政機関匿名加工情報

行政機関法・独法法の改正•••

匿名加工情報の導入（「非識別加工情報」という別名で）民間事業者からの提案を受けて審査の上で提供する制度
情報公開法による開示と似て非なるもの••••
行政機関・独法は毎年、提案を募集する

••
•
••
•

情報公開法では、部分開示は墨塗り・被覆等の加工しか認められていない
情報公開法の趣旨によるもので、内容の改変は許されない
匿名加工情報では、内容の改変が許される

手数料がコピー代ではなく、職員の人件費＋外注費とされる加工のソースにできる個人情報ファイルを個人情報ファイル簿に記載

提供先の受領者には再識別禁止義務（個人情報保護法38条）
匿名加工の基準は個人情報保護委員会規則で定める
規則は個人情報保護法のものと同一内容となった

本年5月30日施行•

21

法律案審議録から

情報法制研究所（JILIS）からの情報公開請求開示資料•

内閣法制局「法律案審議録 行政機関等の保有する個人情報の適正かつ効果的な活用による新たな産業の創出並びに活力ある

経済社会及び豊かな国民生活の実現に資するための関係法律の•整備に関する法律案（平成28法律51）」
2017年3月16日開示決定22•

今年度から始める？

年度単位で提案募集から提供まで••

毎年7月〜9月提案募集、年度末までに提供を終えるとされる施行日が計画より2か月遅れたが、初年度の募集はいつ？

23•

手数料の試算例

作成は「SE 1人 5日」？？

24

•

手数料の前例

統計法に基づくオーダーメイド集計・匿名データ提供•

加工の困難性を同列視してよいのか？

25•

制度の意義と違和感

オープンデータ推進法的な性格

•

•
••

これまでのオープンデータの取組みでは限界
官民データ活用推進基本法（平成28年法律103号）との関係
全ての電磁的記録が対象……

個人情報ファイルだけ対象にすることの歪さ••

情報公開法の不開示情報

1号 個人に関する情報
2号 法人その他の団体に関する情報••法人情報ファイルを提案募集・提供の対象にするべきでは？
••
むしろこちらの方が有益なデータとなるのではないか•

匿名ならぬ「匿社名」加工情報とでもいうべきものがあり得る•
提供を強制する制度なのに保護法に規定を置くことが変加工方法は、匿名加工情報と同じ

26

再編成の提案（私案, 2016）
個情法

行個法

独個法

個人情報
保護法

4章2節
4章の2

行開法

4章の2

情報公開法
オープン

独開法

データ法

法人情報
統計情報

27

•

附則での方向付け

個人情報保護法改正法の附則12条6項•「政府は、新個人情報保護法の施行の状況、第1項の措置の実施の状況その他の状況を踏まえ、新個人情報保護法第2条第1項に規定する個人情報及び行政機関等保有個人情報の保護に関する規定を集約し、一体的に規定することを含め、個人情報の•保護に関する法制の在り方について検討するものとする。」

定義の統一、義務規定の統一が想定される••

民間部門と公的部門を同一の規定にするのには反対•

下井構成員「基本法において容易照合性という要件を取ってしまえば、非常にクリアな議論ができたと思います。この点は本研究会で言っても仕方ありませんが。」（行政機関パーソナルデータ研究会第15回）•
民間部門と公的部門の違いを今こそ明確にする必要がある「容易に」の有無が、可能性の強弱の違い程度のものと思われている

28

•

残る論点①

加工ソースの個人情報ファイルは何が対処になる？

•••

独立行政法人はどうするつもりなのか
行政管理局からの指針等はあるのか？

情報公開請求が仮にあった場合に開示又は部分開示となるものが対象とされているが……

•

••
••

これまでの情報公開請求の運用実績ではどうなっている？

••

個人情報ファイル丸ごとの開示請求例ってあるのか？

個人情報ファイル中の一つの個人情報を指定して開示請求した場合、通常、
全部不開示となるのではないか

加工ソースに入れる項目の選択と部分開示項目との関係は？
条文上はそういうことを言っていないように見えるが国立病院・大学病院の診療録は対象になるのかならないのか
個人情報ファイル簿には記載されている

29

•

残る論点②

匿名加工の分野別の具体的基準は誰が作るのか•••

民間では認定個人情報保護団体の指針によるとされていたが行政機関と独立行政法人は独自に決めるのか•

情報公開・個人情報保護推進室（各省・各独法に存在）の職員が担当することになるが、彼らは墨塗り・被覆等しかできず、匿名加工情報の作成方法を考え、その適切さを判断する能力はない（現状では）職員が加工方法を検討すれば、SEがボタン1発で出してくるとでも？

30

•

残る論点③

自発的作成・提供は認められるか•••

行政機関匿名加工情報は提案募集からの一連の規定（4章の2）に従って作成されるもの（それ以外の自発的作成は？）開示資料の法律案審議録によると「保有個人情報を加工して行政機関匿名加工情報を作成することは、

保有個人情報の利用の一態様と解されるため、第8条により、法令に基づく場合を除き、利用目的外での行政機関匿名加工情報の作成は原則•として禁止され（同条第1項）、」「法令に基づく場合を除き、利用目的以外の目的のために行政機関匿名加工情報及び行政機関匿名加工関連情報（保有個人情報に該当するものに限る。）を自ら利用し、または提供してはならないことを規定する。……自発的に作成し、提供する行政機関匿名加工情報も含まれる。」•（作成した匿名加工情報が個人情報でない場合はそうではないのだが……）
31

•

残る論点④

行政機関において匿名加工情報は個人情報なのか？

•••

開示資料（2016年2月19日時点）では、民間から提供を受けた匿名加工情報も、行政機関法上は個人情報に該当とある。

行政機関で作成した匿名加工情報は、当該行政機関では個人情報に当たると、国会審議で行政管理局長が繰り返し答弁

内閣法制局長官が否定する指摘••「行政機関匿名加工情報は、個人情報にあたらないため、関連規定を修正すべき」これを受け、2月29日付資料ではこの解釈は破棄されている•

行政管理局長の国会答弁は旧資料に基づいたものだったのでは？

•法制局長官との整理を把握できずに
32

•

残る論点⑤

「非識別加工情報」という用語は何なのか

•
•

長官

法案の閣議決定直前までは「匿名加工情報」の語だった
内閣法制局長官の指摘を受けて変更された
2/22(月)

行政機関匿名加工情報は個人情報じゃないよ、規定も一から修正が必要だな。

2/29(月)

行政機関匿名加工情報は作成に用いた個人情報等特定の情報と照合した場合に限り個人情報なので、それを明確化するため別の規定を入れました。

2/29(月)長官

与党？

なら名称は「匿名加工個人情報」でな
いとおかしいだろう常識的に考えて。

3/1(火)

仰せの通りに。

そんな名前じゃ持たないぞ。「匿名加工利用情報」でどうだ。

……。

3/1(火)

長官

とにかく、基本法の「匿名加工情報」とは異なる文言にしといて。

3/2(水)

拝承、「非識別加工情報」としました。

開示資料を基に脚色
33•

名称を区別した理由は何か•••

行政機関では匿名加工情報は個人情報であるため、民間とは異なるのだということを職員に意識させるため……？

•
法律案審議録によれば、「行政機関では常に個人情報である」
国会ではこのようなことが行政管理局長から答弁されたが……

とする考え方は、長官指摘後、放棄されているように見える•
それを踏まえて、長官は「匿名加工個人情報」の語でなくても個人情報に当たる場合もあるとして再整理されている

よい（とにかく別の名前にして区別さえすればよい）としたの
ではないか

••

区別する意義はほとんどないのでは？

自発的作成が認められていない点で、民間の匿名加工情報とは大きく異なる概念であるのは確かなので、その区別の意義はあるとも言える•

それは「匿名加工個人情報」と「行政機関匿名加工情報」の語で既に区別されていたのでは34

残る論点⑥•「非識別加工情報」定義中の委員会規則委任の怪

2条8項 この法律において「非識別加工情報」とは、次の各号に掲げる個人情報（…）の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができない（個人に関する情報について、当該個人に関する情報に含まれる記述等により、又は当該個人に関する情報が他の情報と照合することができる個人に関する情報である場合にあっては他の情報（当該個人に関する情報の全部又は一部を含む個人情報その他の個人情報保護委員会規則で定める情報を除く。）と照合することにより、特定の個人を識別することができないことをいう。第44条の10第1項において同じ。）ように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

規則2条 法第2条第8項の個人情報保護委員会規則で定める情報は、同項で規定する個人に関する情報の全部又は一部を含む個人情報（同項で規定する個人情報をいう。）とする。

•••

無意味な委任規定
パブコメ回答では「行政機関において元の個人情報との照合による識別可能性が残ることから、
非識別加工情報であることが否定されないよう、例外的に「他の情報」から元の個人情報が除外されることを確認的に定めるものです。」
35

•

必要な議論

「容易に照合」と「照合」の違いを明確にすること••「照合することができ」は散在情報を対象とした概念••

昭和63年法では、散在情報をを対象とせず、かつ、「容易に照合することができ」としていた
平成11年の情報公開法で、1号不開示情報が、「容易に」のない「照合することができ」の条文として規定された•平成15年の行政機関個人情報保護法の全部改正で、「照合することが情報公開法では、必然的に散在情報を対象としている

でき」に変更する理由が開示資料で以下のように説明されている••

平成14年1月23日・24日付「内閣法制局第三部長説明資料」13頁•「2 改正法案の考え方（照合の容易性の要件を削除することについて）」「情報公開法では、（略）照合容易性を要件としていない。」「開示・不開示の判断に当たっての両法制の運用の統一性を図る観点からは、個人情報の範囲を同様にしておくことが望ましい」「容易に照合することができ」はファイル単位の該当性では
36

•

条例への匿名加工情報の導入

鳥取県が全国初、非識別加工情報を導入する条例改正•••

拙速すぎて不備がボロボロ
行政機関法に合わせたようで合っていない

•
•
•
•
•

「個人情報ファイル簿」を導入するのに「個人情報取扱事務登録簿」
を廃止せず、同じような事務が二重に

非識別加工情報は個人情報に該当するはずなのに、既存の個人情報に係る義務規定から非識別加工情報を除く手当をしていない

そもそも非識別加工情報が個人情報に該当するとする解釈をとっているのか不明

鳥取県から非識別加工情報の提供を受けた民間事業者においてそのデー
タが必ず匿名加工情報に該当するのかが、ますます不明

加工の基準は、鳥取県が独自に規定するのか
情報公開条例の改正で、不開示情報に非識別加工情報を入れていないのは、情報公開請求できるということか
37•

自治行政局のモデル条例案

地方公共団体パーソナルデータ検討会•「条例改正のイメージ（未定稿）」（2017年3月29日）••

定義中の無意味な規則への委任規定までそっくり取り入れているが、これを自治体の規則で独自に定める意義は全くない•
この状況で条例に入れさせるのは愚の骨頂と言う他ない
行政管理局＆内閣法制局の整理が、誰にも理解されていない

38

•

個人情報保護法の匿名加工情報

残された論点① 加工基準は依然として曖昧なままだが•認定個人情報保護団体の指針はどうなる？

②「匿名加工情報は個人情報でない」とされるが

•
•
•
•
•

•

A説: 非個人情報でない限り匿名加工情報となり得ない のかB説: 匿名加工情報に加工すれば非個人情報ということになる のか•高木浩光「匿名加工情報の制度概要と匿名加工基準の規則案」ビジネス法務
16巻11号17頁以下（2016）

B説では

•

36条5項の規定により、作成者において、匿名加工情報を元の個人情報と照合することが禁止されるから、「容易に照合することができ」が否定されるという考え方

A説しかあり得ないと第1回第2回で主張してきたが、どうなった？
加工基準への影響の有無

39

B説に基づくとどうなる

仮名化だけで常に非個人情報ということにできてしまう•••

データセット照合は一切考慮しなくてよいことに……

つまり、氏名等の特定の個人を識別することとなる部分と、個人識別符号を削除するだけで、匿名加工情報ということにできてしまう•

情報公開法の部分開示の墨塗り・被覆で足りることになってしまう

しかし、それを許すことにはならなかった•••

匿名加工の委員会基準は、データセット照合を加味した加工をするよう求める規則とした（施行規則19条5号）•
ガイドラインで示された加工方法の例示は、データセット照合とはいえ、その5号も曖昧で、どこまで求めているかははっきりしないを加味することを前提としている

個人情報保護委員会の「事務局レポート」は、仮名化のみでは
匿名加工情報と言えないような説明をした40

•

ソフトバンク社の事例
匿名加工情報の利活用ポリシーを公表してアピール

•

しかし……

41

ソフトバンク社のポリシー

42•

定義が何を指すか不明

個人情報保護法の匿名加工情報のことを指すのか不明••

一般的な「匿名加工」＝「匿名加工情報」と勘違いしている？
法の匿名加工情報のことを言うならそう明示する必要がある

43

ソフトバンク, http://www.softbank.jp/corp/group/sbm/privacy/utilization/ より••

連結仮名化（連結可能匿名化）で提供するとある•

これで法の匿名加工情報に該当させられると思っている？

鍵付きハッシュ関数で復元防止というが、元データを持っている作成者
においては、対応付けが可能•

これが「容易に照合することができ」るに当たると言うべきかが論点

44•

政府はB説？

開示資料の法令審議録に記述あり（2014年12月1日）•

法制局説明資料（内閣官房IT室作成）

45•

開示資料が言っていること

12月1日時点のIT室見解

•
•
•
•

•

容易照合性の解釈は、消費者庁から、対応表を捨てることにより
非個人情報となる例示がなされた（yes/noの二値データ）

しかし、Suica乗降履歴のように、詳細なデータの場合には、元データとのデータセット照合により、依然として容易に照合することができ、個人情報となってしまう

匿名加工情報とは、氏名、生年月日等の記述等の一部を削除し、かつ、新たに個人情報と位置付ける情報を全部削除することによって、データから特定の個人を識別できなくしたもの
改正案は、法的担保によって個人情報との照合が禁止されるので、容易に照合可能な状態にあるとは言えず、個人情報に該当しない
ことになる

つまり、仮名化で匿名加工情報とするつもりだった46

これに対する法制局長官の指摘
2014年12月1日
2014年12月16日

47

•

つまり

12月1日までの内閣官房IT室の整理では•••仮名化のみで匿名加工情報とできるようにする案だった
そのために、照合禁止義務により容易照合性が無くなるという法的解釈を打ち出した

12月1日の内閣法制局長官の指摘で

•
•

•
•
•

法的な照合禁止によって容易照合性がなくなるとするのは無理があるということに

そもそも元データと容易照合できないレベルまで加工しないと「危険すぎる」として、立案内容に立ち入って指摘

その後

長官指摘を受けて現在の規則・ガイドラインに至っているはず

B説は不要となったのであり、破棄された見解では？
48

•

個人情報保護委員会の見解は施行令・施行規則・ガイドライン・Q&Aでは言及せず••

容易照合性については抽象的な解釈と極端な例示を示すのみで、法的照合禁止との関係には触れられていない

ところが「事務局レポート」で初めて公式に言及••

3.4.2 容易照合性との関係「匿名加工情報は、特定の個人を識別することができず、作成の元となった個人情報を復元することができないように加工したものであり、さらに、個人情報に係る本人を識別することを禁止する等の制度的な担保がなされていることから、作成の元となった個人情報を通常の業務における一般的な方法で照合することができる状態にある（すなわち••容易照合性がある）とはいえず、個人情報に該当しないとされるものである。」

あーあ orz•

長官の指摘で破棄した古い内部整理に引きずられているのでは？
49

仮ID問題

開示資料には鍵付きハッシュ関数によるIDの例がある•

これは連結仮名化（連結可能匿名化）であり、消費者庁見解で言う「対応表」を残す場合に当たり、個人情報の提供であると言うべき•

この図は法制局長官の指摘を受ける前に書かれた旧構想用の資料では？

•

ちなみにこれを「ソルト」と呼ぶのは暗号技術用語として誤り
50

•

事務局レポートでは鍵付きハッシュ関数の鍵を残す方法を認めてしまった••【ハッシュ関数による置き換えについて】••「……ハッシュによる仮ID生成に当たっては、（氏名+秘密の文字

列）、（氏名+電子メールアドレス+秘密の文字列）といったように、鍵となる秘密の文字列を付加した上でハッシュ化をすること（いわゆる鍵付きハッシュ関数の利用）が望ましい24。」

このハッシュID（仮ID）を付けたまま匿名加工情報取扱事業者に提供することを認めてしまっている••

消費者庁見解に反し、違法な個人データの提供では？

照合禁止義務により容易照合性が消えるとする解釈をとるのは、内閣法制局長官の指摘を無視しているのでは？

そもそも仮IDなんて要らないのでは？

•作成段階で何らかの仮IDが技術的に必要なのは理解できるが、提供時に残して提供する必要性は何か
51

仮IDのリスクは散々議論されてきた••••

経産省「匿名加工マニュアル」での議論

仮IDをそのまま残して提供する案に対して、有識者が反発

NIIの有識者WG報告書（2017年2月21日）•(ウ) 同一事業者複数回提供・複数事業者提供•「同一の本人に同じ仮IDを付して同一の提供先に複数回提供する場合には、当該提供先において当該本人に関する情報が順次累積されることを考慮して、2回目以降の加工を行うべきである。」

委員会の事務局レポートでは••【仮IDへの置き換えについて】「また、同じ事業者に複数回にわたって匿名加工情報を提供する場合は、同一の人物の情報が蓄積され続けることにより、元の個人情報に係る本人を識別できるリスクが高くなることも想定される。したがって、同一事業者への提供であっても、定期的に仮IDを変更することが望ましい。
なお、仮IDが不要である場合には、再識別リスクを低減する意味からも、仮IDへの置き換えを行わないことが望ましい。」
52

•

仮ID運用の悪い例

同じ仮IDで繰り返し提供すると•••受領者側で蓄積されて再識別リスクが高まる
1回目の提供時に適切なレベルで丸めた匿名加工をしたとして•2回目の提供時に同じレベルで丸めた匿名加工をすると、受領者側で両者を合成したものが、適切なレベルの匿名加工とは限らなくなる。

同じ仮IDで出す回数は制限する必要がある
箱の色は匿名加工の丸めレベルを表す。
薄いほど十分に丸めたもの。

濃すぎる箱は、適切な匿名化とは言えないもの。

△

○
1

2

3

4

5

6

提供

○

53

•

対策した例（無計画な場合）同じ仮IDで繰り返し提供するなら•2回目以降は、どんどん薄めていく（丸めレベルを高めていく）
必要がある

•

前掲NII報告書が指摘しているのはこれちょっとだけ濃くなっていく

1

2

3

4

5

6

54

•

対策した例（計画的な例）

同じ仮IDで繰り返し提供するなら•提供回数を事前に決めて、最終的に蓄積されたものが合成されたときに、適切な丸めレベルとなるよう、初めから十分に丸めた匿名加工をして提供する。

最終回で最大限に濃いデータを得たい（その前の段階でも、できた分から早めに、できることなら得たい）

1

2

3

4

5

6

55

•

連続して得たい?

月次レポートを延々得たい場合••

仮IDを定期的にリセットする？
例えば毎年リセットする場合

2017
1 2 3 4

2018
5 6 7

8 9 10 11 12 1 2 32019
4 5 6 78 9 10 11 12 1 2 3

2020
4 5 6

7 8 9 10 11 12 1 2

3 4 5 6↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓ ↓56

•

連続して得たい場合

毎月、過去1年分のデータを最適に匿名加工して、仮ID
なしで提供すればよいだけの話•

仮IDは要らない！（毎回リセット、対応表保管せず）

繰り返し用いられる共通のIDがないので蓄積されない
1

1

2

3

4

5

6

7

8

9 10 11 12

2
3
4
5
6
7
8
9
10
11
12

ただし、履歴データ自体によるマッチングが可能とならないように、加工する必要あり

57•「仮ID」の英訳は？

EU・米国向けに日本法をどう説明するか••••「仮IDはどう英訳すればよいか？」（佐藤慶浩氏）「名実ともに『pseudonym』では？w」
EUではGDPRで•

pseudonymisd data は personal data であって、anonymous
information ではないと整理された

日本の匿名加工情報は•••

データ内容は、EUでも anonymous information と評価され得る匿名加工を求める方向で、せっかく収束しつつあるのに仮IDを残したばっかりに、EUから、日本法は pseudonymisd
data を本人同意なく提供すると野蛮視されるのでは？
残念！

58

•

③匿名加工における利益相反作成の委託先と結果の提供先が同一事業者となる場合••

匿名加工情報をA社に提供するに当たり、匿名加工情報の作成
をA社に委託するのはアリかSuica事案を例に考えると•••問題となったのは、JR東日本が仮名化データを日立に提供
し、日立が統計量に集計して販売・コンサルしたからでありもし、JR東日本が統計量データの販売主体となり、日立には集計を委託し、かつ提供していたと整理すれば問題なかった

匿名加工情報への加工でも同じように許容されるか••否！ 匿名加工情報への加工レベルには幅があるから受領者の自己都合の恣意的な匿名加工（本来なら提供元の責任で許されないはずの緩い加工レベル）で受託する……事態が容易に起き得る59•

ありがちな例

医療機関・健保組合等が委託業者に丸投げ••

業者からの売り込みに乗って、何をするのか把握せずに委託
それを期待した売り込みの実態、「偽装委託」とも言える脱法行為
冒頭の例から
丸投げ
委託？

戻したふり

••

販売

金

加工方法の適切性は提供元が責任を負う（理解しているか？）

匿名加工情報では少なくとも公表義務（公表作業まで委託で済ます？）
60