個人情報保護委員会事務局レポート︓

仮 名 加 工 情 報 ・ 匿 名 加 工 情 報
信頼ある個人情報の利活用に向けて ―事例編―

2022 年 3 月（2022 年５月更新）
個人情報保護委員会事務局

目次
1.

仮名加工情報 ...................................................................................... 1

1.1

事例 1 事業者が持つ一つのデータベースに含まれる個人情報を仮名加工情報に加工し利用目的を変更する事例 ..................................................................................... 1
1.2

事例 2 事業者が持つ複数のデータベースに含まれる個人情報からそれぞれ仮名加工情報を作成し利用目的を変更した上で同一の個人ごとに突合して利用する事例 ........................ 102.

匿名加工情報 .................................................................................... 20

2.1

購買履歴の事例 ............................................................................... 20

2.1.1

購買履歴の事例１（ID-POS データ） .............................................. 20

2.1.2

購買履歴の事例２（クレジットカード利用情報） .................................... 28

2.2

乗降履歴・移動履歴の事例 .................................................................. 34

2.2.1

乗降履歴の事例 ......................................................................... 34

2.2.2

移動履歴の事例 ......................................................................... 402.3

電力利用履歴の事例 ......................................................................... 47

【凡例】
「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「施行令」

個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）「施行規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）

「平成 27 年改正法」

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27 年法律第 65 号）「令和 2 年改正法」

個人情報の保護に関する法律等の一部を改正する法律（令和 2 年
法律第 44 号）「令和 3 年改正法」

デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）（第 50 条の規定に限る。）「ガイドライン」

個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）（平成 28 年個人情報保護委員会告示第9 号）「通則ガイドライン」

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年個人情報保護委員会告示第 6 号）

「Q&A」

「個人情報の保護に関する法律についてのガイドライン」に関する Q&A※ なお、特に断りのない限り、本レポートにおいて示す個人情報の保護に関する法律の条番号は、
令和 3 年改正法による改正後の条番号を示すものとする。

事例編では、仮名加工情報については想定され得るユースケースや、情報の項目に応じて考慮すべき事項とリスクに対応した具体的な加工方法、利活用に当たり検討すべき事項等について検討を行ったものを紹介する。
また、匿名加工情報のユースケースのうち、2.1.2（購買履歴の事例２（クレジットカード利用情報））、2.2.1（乗降履歴の事例）、2.3（電力利用データの事例）の 3 つのユースケースについて
は平成 28 年 8 月 8 日に経済産業省が公表した「事業者が匿名加工情報の具体的な作成方法を検討するにあたっての参考資料（「匿名加工情報作成マニュアル」）」（以下「経産省マニュアル」）
において行われた検討を参考にしつつ、個人情報保護委員会事務局で取りまとめたものとなっている。
なお、本レポートで示す匿名加工情報のユースケースは、作成された匿名加工情報の一次流通までを想定し、二次流通は想定していない。
1. 仮名加工情報
1.1

事例 1 事業者が持つ一つのデータベースに含まれる個人情報を仮名加工情報に加工し利用目的を変更する事例

1）ユースケース
本ユースケースは、食品のオンライン通信販売事業を行う事業者 A が、オンライン通信販売事業に関連して取得していた個人情報から仮名加工情報を作成し、利用目的を変更して利用する事例である。
事業者 A は新規事業として新たに特定産地で有機農法により収穫された食品を首都圏の実店舗にて販売する事業（実店舗事業）を計画しており、オンライン通信販売事業により取得した
個人情報を分析し、ある地域において、どのような顧客層（年齢・性別）がどのような商品に関心を有しているかを分析し、実店舗事業の出店計画を検討したいと考えている。
本ユースケースにおいて対象となるデータセットには、顧客の基本属性（会員 ID、氏名、生年月日、性別、郵便番号、住所、携帯電話番号、電子メールアドレス、クレジットカード番号）及び購買に関する情報（Cookie ID、自社ウェブページのアクセス履歴、購入年月日、購入品目、購
入数量、購入金額）が含まれている。

1

図表 1-1 事業者 A が保有するデータセットのレイアウトイメージと利用目的

利用目的


お客様がご購入された商品を提供するため



お客様が閲覧した当社ウェブページの履歴に基づき、お客様の興味に応じた新商品に関する広告を行うため
オンライン通信販売の顧客の年齢、性別、住所や購買情報、自社のどのようなウェブページにアクセスしていたかという情報は、実店舗事業の出店計画を検討する上で、有益な情報である。
また、例えば頻繁に商品購入を行っている顧客の居住地域と購入商品の関係を、その属性（年齢・性別）ごとに分析したり、出店候補地周辺に居住するオンライン通信販売の顧客が、これまでどのようなキャンペーンに反応することが多かったかを分析したりすることが考えられる。このような分析をするためには、オンライン通信販売の顧客の個人情報をできる限り加工せず分析できる手法を検討する必要がある。
また、オンライン通信販売の顧客の個人情報に関する利用目的には、新規事業である実店舗事業の出店計画を検討するという目的は含まれていない。
そこで、事業者 A は、オンライン通信販売の顧客の個人情報をできる限り加工せずに、実店舗事業の検討の目的のために利用できる方法を検討することになった。
なお、事業者 A は、顧客の個人情報を、匿名加工情報等に加工した上での対応を含め、第三者に提供することは考えていない。また、アクセス履歴や購入品目には特定の個人を識別することができる記述等は含まれていない。
2）本件において仮名加工情報を利用するメリット
事業者 A は、オンライン通信販売の顧客の個人情報の利用目的を変更する必要があるところ、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うためには、原則としてあらかじめ本人の同意を得る必要がある。しかし、仮名加工情報であれば、本人の同意なく公表だけ
で利用目的を変更することができる。
また、匿名加工情報には利用目的の制限がないが、これを作成するには、特定の個人を識別できず、かつ当該個人情報を復元することができないように加工する必要があり、また特異な記述等の削除（施行規則第 34 条第 4 号）や個人情報データベース等の性質を踏まえたその他の措置を講ずること（施行規則第 34 条第 5 号）が求められる。そこで、例えば自社ウェブページへのアク2セス履歴、購入品目、購入数量、購入金額等について加工を行うか否か、行うとしてどのような加工を行うかについては、個々の記述内容の特異さや、個人情報データベース等の性質を踏まえ個別に検討する必要がある。しかし、仮名加工情報であればそれらに相当する加工基準等がないた
め比較的簡便に個人ごとの特徴を詳細に残して加工することができる。
さらに、統計情報は、法の規制の対象外となるためには特定の個人との対応関係が排斥されていなければならず、したがって集団の傾向又は性質などを数量的に把握することしかできないが、仮名加工情報であれば、個人単位での分析をすることができる。さらに、一旦統計情報に加工してしまうと当該統計情報の分析手法は限定されたものになるのに対し、仮名加工情報であれば分析手法を事後的に柔軟に選択・変更することができ、その結果探索的な分析が可能となる。
そこで、本件において事業者 A は、個人情報を仮名加工情報に加工した上で活用することが適している。
3）仮名加工情報の加工方法の検討と利用目的の変更① 含まれ得る情報の種類
図表 1-1 に示すデータセットを、個人属性情報と履歴情報とに分類すると、図表 1-2 のようになる。
図表 1-2 事業者 A が保有するデータセットのレイアウトサンプル② どのように加工すべきか
本件では、事業者 A は、保有するデータセットを仮名加工情報に加工した上で、顧客の属性類型（年代、性別、居住地域）ごとに購買動向を分析し、出店候補地域の選定に活かすことを希望している。居住地域については、実店舗の商圏内に居住しているかを判断するた
め市区町村単位での分析を希望している一方で、年齢については 10 歳区切り程度の年代が分析できればよい。
また、購入年月日及び購入品目については、できる限り加工せずに分析することを希望している。このような前提の下での加工方法に関する考え方は、以下のとおりである。

3

【個人属性情報】＜会員 ID＞
本ユースケースにおける会員 ID は、顧客に一意に割り当てることにより顧客を識別してその情報を管理するために用いられているが、事業者 A のみが用いている情報であるため、漏えい
時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリス
クは低い。
ただし、仮名加工情報に会員 ID を残した場合、事業者 A 内においては、会員 ID を用いて仮名加工情報と作成元の個人情報を照合し識別禁止義務に抵触する可能性がある。
本ユースケースでは、会員 ID をレコードの識別子と用いるのではなく、別途整理番号を付す
こととする。
＜生年月日＞
生年月日に関しては、仮名加工情報に含まれる性別や居住エリア等との組合せにより特定の個人を識別できるリスクがあるため、他の情報の加工も踏まえ特定の個人を識別することができないよう必要に応じて加工しなければならない。
本ユースケースにおいては、分析用データとしての有用性を維持するための粒度を考慮し、年齢に換算の上、「10 代」「20 代」「30 代」「40 代」「50 代」「60 代」「70 代」「80 代以上」に置き換えることとする。
＜性別＞
性別に関しては、仮名加工情報に含まれる生年月日や居住エリア等との組合せにより特定の個人を識別するリスクがあるため、他の情報の加工も踏まえ特定の個人を識別することができないよう必要に応じて加工しなければならない。
本ユースケースにおいては、年代の別に加えて性別による購買傾向の差異を分析したいニーズがあり、後述のとおり住所を市区町村名までに加工していることから、性別は加工しない。
＜郵便番号＞
郵便番号に関しては、仮名加工情報に含まれる生年月日や性別等との組合せにより特定の個人を識別するリスクがあるため、他の情報の加工も踏まえ特定の個人を識別することができないよう必要に応じて加工しなければならない。
本ユースケースにおいて、実店舗事業の出店計画を検討する上で顧客の居住地域は重要な情報であるが、後述のとおり住所を分析に必要な粒度を残して加工して利用することから、郵便番号は不要であるため項目削除とする。
＜住所＞
住所に関しては、実店舗事業の出店計画を検討する上で重要な情報であるが、仮名加工
4

情報に含まれる生年月日や性別等との組合せにより特定の個人を識別するリスクがあること、多数の事業者で収集されている情報であり共用性が高いこと、そして本人へ連絡できるリスクがあることから、必要に応じて加工しなければならない。
本ユースケースにおいては、市区町村名までの情報があればデータの有用性を維持することができ、生年月日及び性別は加工をしないことを考慮し、市区町村名単位に丸める加工を行うこととする。
＜携帯電話番号＞
携帯電話番号は、単体で本人への到達行為が可能となる情報である。また、共用性のあ
る情報であるため、漏えい時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリスクがあることから削除することが望ましい。
本ユースケースにおいては、電話番号そのものを分析用データに含めるニーズはないと考えられるため、項目削除とする。
＜電子メールアドレス＞
電子メールアドレスの表記に用いられる文字列の中に、個人の氏名を表記したものが含まれる等、特定の個人を識別することができる場合は、施行規則第 31 条第 1 号に基づき削除しなければならない。
また、電子メールアドレスは、単体で本人への到達行為が可能となる情報である。さらに、共用性のある情報であるため、漏えい時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリスクがあることから削除することが望ましい。
本ユースケースにおいては、電子メールアドレスそのものを分析用データに含めるニーズはないと考えられるため、項目削除とする。
＜クレジットカード番号＞
クレジットカード番号の全桁は、不正に利用されることにより財産的被害が生じるおそれがあるため、施行規則第 31 条第 3 号に基づき削除しなければならない。
＜Cookie ID＞
本ユースケースにおける Cookie ID は、ファーストパーティクッキーであり、顧客によるログイン
実績のある端末のブラウザに自社通販サイトの URL と紐付けた Cookie ID を保存することで、自社通販サイトへのアクセスの都度、顧客にログインを促さなくてもサイト内での顧客のアクセス履歴を継続的に追跡可能とする目的で利用されている。Cookie ID 単体で特定の個人を識別することは不可能であるが、本人到達性があることから削除することが望ましい。
本ユースケースにおいては、会員 ID をレコードの識別子として用いており、Cookie ID そのものを分析用データに含めるニーズもないと考えられるため、項目削除とする。
5

【履歴情報】＜アクセス履歴＞
本ユースケースにおいては、出店候補地周辺に居住するオンライン通信販売の顧客が、これまでどのようなキャンペーンに反応することが多かったかを分析したり、ある商品を購入するまでにどのような商品を閲覧していたかを分析することにニーズがあるため、アクセス履歴は加工しない。
＜購入年月日、購入品目、購入数量、購入金額＞
顧客の属性類型ごとの購買動向を分析するには、これらの情報を分析するニーズがあるため、加工しない。
以上のユースケースにおける各情報の加工の方向性をまとめると、次のようになる。
図表 1-3 本ユースケースにおける加工例
参考(19
項目

生じうるリスクの考え方

本事例での加工方法

頁)中の参
照番号

①個人属性情報会員 ID

単体で特定の個人を識別す

本事例では、分析に不要であることはできない。

るところ、事業者内で識別禁事業者 A のみが有する情報

止義務に抵触する可能性をであるため、漏えい時に他の低減するために会員 ID を削事業者が本情報をキーとして除し、整理番号を付した。

他の情報と名寄せを行い特定の個人を識別できるリスク
は低い。
氏名
生年月日

単体で特定の個人を識別で全部削除する。（項目削

きる。

除）

仮名加工情報に含まれる住本事例では、10 歳区切りの所や 性別 等との組 合せによ

年代があれば足りるため「10り、特定の個人を識別できる代」「20 代」「30 代」「40 代」可能性がある。

「50 代」「60 代」「70 代」

(1)
(2)

「80 代以上」に置き換える。
（丸め）
性別

仮名加工情報に含まれる生

生年月日及び住所を加工し年月日や住所との組合せによているため性別は加工しなり、特定の個人を識別できる

い。

6

(2)

可能性がある。
郵便番号

仮名加工情報に含まれる生郵便番号の上３桁のみを用

年月日や性別等との組合せ

いる等の丸めも可能である

により、特定の個人を識別でが、本事例では住所を加工しきる可能性がある。

たものを利用し、郵便番号は(2)

利用しない。（削除）
住所仮名加工情報に含まれる生本事例では、市区町村名ま

年月日や性別等との組合せでの情報があれば足りるため

により、特定の個人を識別で市区町村名より細かい情報をきる可能性がある。

削除する。（丸め）(2)

本人到達性がある。
携帯電話番

本人到達性がある。

全部削除する。（項目削号

共用性のある情報であるた

除）

(6)

め、漏えい時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリスクがある。
電子メールア

個人を識別可能な情報を含全部削除する。（項目削

ドレス

む場合がある。

除）(1)、(6)

本人到達性がある。
共用性のある情報であるため、漏えい時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリスクがある。
ク レジットカー

不正に利用されることにより財全部削除する。（項目削

ド番号

産的被害の生じるおそれがあ

除）

(4)

る。
CookieID

本人到達性がある。

本事例では分析に不要であ（ファーストパるため全部削除する。（項目ー ティ ク ッ キ ー

削除）であるもの）②履歴情報
アクセスした自本事例の仮名加工情報に含社ウェブページ

まれる他の記述等との紐付けの URL

によっても特定の個人を識別7

加工しない。

(6)

購入年月日することができない。

加工しない。

購入品目・個加工しない。

数・購入金額③ 加工後のデータのイメージ
上記の考え方に基づいて加工された仮名加工情報は以下のようになる。
図表 1-4 事業者 A が作成した仮名加工情報のイメージ④ 利用目的の変更
事業者 A は仮名加工情報の作成後、仮名加工情報の利用目的を変更し、変更後の仮
名加工情報の利用目的を公表した。これにより、事業者 A は、ある地域において、どのような顧客層（年齢・性別）がどのような商品に関心を有しているか分析し、新規事業である実店
舗事業の出店計画を検討することが可能となった。
既に公表されている個人情報の利用目的も含めた利用目的の公表のイメージは次頁のとおりである。
図表 1-5 事業者 A が公表した利用目的のイメージ
個人情報の利用目的


お客様がご購入された商品を提供するため



お客様が閲覧した当社ウェブページの履歴に基づき、お客様の興味に応じた新商品に関する広告を行うため
8仮名加工情報の利用目的

お客様の属性（年代・性別・居住地）、商品購入履歴、当社ウェブページの閲覧履歴から、各地域のお客様の興味やニーズの傾向を分析し、実店舗事業の計画を行うため

9

事例 2 事業者が持つ複数のデータベースに含まれる個人情報からそれぞれ仮名加工情1.2

報を作成し利用目的を変更した上で同一の個人ごとに突合して利用する事例
1）ユースケース
本ユースケースは、複数の実店舗による事業とオンライン通信販売事業を行う事業者 B が、実店舗のポイントカードと、オンライン通信販売事業のそれぞれに関連して取得していた個人情報を、利用目的をそれぞれ変更したうえ、同一の個人ごとに突合し分析する事例である。
事業者 B は実店舗のポイントカードを通じて取得した会員情報及び購入履歴と、オンライン通信販売事業により取得した会員情報及び購入履歴を突合して分析することで、顧客が実店舗とオンライン通信販売をどのように使い分けているかを分析し、より効率的な販売促進戦略を構築す
ることを検討したいと考えている。
本ユースケースにおいて対象となるデータセットのうち、実店舗におけるポイントカード会員情報及び購入履歴には、顧客の基本属性（取引 ID、ポイントカード ID、氏名、性別、生年月日、郵便番号、住所、電話番号、電子メールアドレス）及び購買に関する情報が含まれている。
オンラインショップにおける会員情報及び購買履歴には、顧客の基本属性（取引 ID、会員 ID、
氏名、性別、生年月日、郵便番号、住所、電話番号、電子メールアドレス、ログイン ID、ログイン
パスワード）及び購買に関する情報が含まれている。
図表 1-6 事業者 B が保有するデータセットのレイアウトイメージと利用目的【実店舗におけるポイントカード会員情報及び購買履歴】

利用目的

実店舗ポイントサービスの提供のため



実店舗における商品及びキャンペーンのご案内のため



お客様が商品を購入した店舗における販売動向分析のため10【オンラインショップにおける会員情報及び購買履歴】

利用目的

オンラインショップで購入した商品の発送及び決済のため

オンラインショップにおける商品及びキャンペーンのご案内のため



オンラインショップにおける販売動向分析のため
実店舗のポイントカードを通じて取得した会員情報及び購買履歴と、オンライン通信販売事業により取得した会員情報及び購買履歴を突合して分析する上で、生年月日や住所、購買情報は有益な情報である。
また、実店舗とオンライン通信販売事業の会員情報及び購買履歴を突合するためには、それぞれの情報に何らかの識別子を残す必要がある。
そこで、事業者 B は、実店舗事業とオンライン通信販売事業のそれぞれのデータベースに含まれる個人情報の利用目的を変更した上で、両者を突合して分析することができる方法を検討することになった。
なお、事業者 B は、顧客の個人情報を、匿名加工情報等に加工した上での対応を含め、第三者に提供することは考えていない。また、ログイン ID の文字列は他の会員のものと重複しない限り会員が任意に変更することができるため、自らの氏名をログイン ID としている者もいる。購入品目には特定の個人を識別することができる記述等は含まれていない。
2）本件において仮名加工情報を利用するメリット
事例 1 で述べたとおり、仮名加工情報を用いれば本人の同意なく公表だけで利用目的を変更することができる。また、匿名加工情報と比較して簡便に個人ごとの特徴を詳細に残して加工することができる。さらに、統計情報とは異なり、個人ごとの詳細な特徴に着目した分析をすることができる。
匿名加工情報を作成する際は、氏名等と匿名加工情報に含まれる仮 ID の対応表や氏名等の仮ＩＤへの置き換えに用いた置き換えアルゴリズムと乱数等のパラメータの組み合わせは匿名加
工情報の作成後は削除しなければならないため、別に作成した匿名加工情報の間で、同一の個人について同一の仮 ID を付することはできない。しかし仮名加工情報であれば、そのような対応は不要であるから、別に作成した仮名加工情報の間で、同一の個人について同一の仮 ID を付することができる。
そこで、本件において事業者 B は、個人情報を仮名加工情報に加工した上で活用することが適11

している。
なお、仮名加工情報は、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない（法第 41 条第 7 項、法第 42条第 3 項）。そこで、事業者 B は突合後の仮名加工情報それ自体により特定の個人が識別できる程度に個人情報が復元しないよう、仮名加工情報を加工し突合する必要がある。
3）仮名加工情報の加工方法の検討と利用目的の変更① 含まれ得る情報の種類
図表 1-6 に示すデータセットを、個人属性情報と履歴情報とに分類すると、図表 1-7 のようになる。
図表 1-7 事業者 B が保有するデータセットのレイアウトサンプル【実店舗におけるポイントカード会員情報及び購買履歴】【オンラインショップにおける会員情報及び購買履歴】② どのように加工すべきか 1
本件では、事業者 B は、保有するデータセットをそれぞれ仮名加工情報に加工した上で、実店舗における購買履歴とオンラインショップにおける購買履歴を個人ごとに突合し、顧客の属性類型（年代、性別、居住地域）毎に購買動向を分析し、効率的な販売促進戦略を構築することを希望している。
居住地域については、実店舗の商圏内に居住しているかを判断するため市区町村単位での分析を希望している一方で、年齢については 10 歳区切り程度の年代が分析できればよい。

1

加工の検討方法については、事例 1 も参照のこと。

12

購入日時、購入金額、品目については、同一商品の実店舗とオンラインショップ間の購入傾向の差を分析することで効率的な販売促進や商流管理が可能となることなどから、できる限り加工せずに分析することを希望している。このような前提の下での加工方法に関する考え方は、以下のとおりである。
＜自宅電話番号＞
固定電話である自宅電話番号に関しては、市外局番や市内局番から地域を特定することができるため、生年月日や性別等との組合せによりリスクがあり、住所に関する記載との平仄を検討する必要がある。
また、単体で本人への到達行為が可能となる情報である。さらに、共用性のある情報である
ため、漏えい時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリスクがあることから削除することが望ましい。
本ユースケースにおいては、電話番号を携帯電話番号で登録している顧客も多数いると見込まれ、また住所を市区町村名までは残して加工していることから、電話番号そのものに分析
用データとしての有用性はないと考えられるため、項目削除とする。
＜ログイン ID・ログインパスワード＞
本ユースケースにおけるログイン ID に関しては、オンラインショップを利用するときの認証用 IDである。ログイン ID の文字列は他の会員のものと重複しない限り任意に変更することができる
ため、顧客が自身の氏名をログイン ID に設定する等により、特定の個人を識別することができる場合には施行規則第 31 条第 1 号に基づき削除しなければならない。また、本ユースケース
におけるオンラインショップは、クレジットカード情報を登録しておくことにより決済を行う機能を有している。そこで、ログイン ID 及びログインパスワードが不正に利用されることにより財産的被害が生じるおそれがあるため、施行規則第 31 条第 3 号に基づき削除しなければならない。
＜仮 ID の作成方法＞
事業者 B が仮名加工情報を作成するにあたっては、突合の識別子となる情報を仮名加工
情報に含める必要がある。
しかし、実店舗のポイントカード ID とオンラインショップの会員 ID は別個に運用されており突合のための識別子としては用をなさない。住所については丁目表記の多様性により、電話番号
や電子メールアドレスについては、顧客がポイントカードとオンライン通信販売の会員登録でそれぞれ別の電話番号や電子メールアドレスを登録する場合に突合できない可能性がある。
そこで、表記ゆれや別の情報を登録する可能性が低い氏名と郵便番号と生年月日の組合
せから仮 ID を作成することとした上で、仮 ID を含む仮名加工情報が漏えいした場合でも特定の個人が識別されることを防ぐため、氏名と郵便番号と生年月日の組合せに事業者 B 内の関係者のみが把握する十分な文字数からなる秘密の文字列を加えハッシュ化した文字列を仮13

ID とすることにした。なお、秘密の文字列や仮 ID の作成方法等の削除情報等には安全管理措置義務が課せられていることに留意が必要である 2。
＜仮名加工情報の作成にあたり留意すべき事項＞
また、複数の仮名加工情報の加工項目や加工レベルがそれぞれ異なる場合、各仮名加工
情報を突合すると、突合後の仮名加工情報それ自体により特定の個人が識別できる程度に個人情報が復元されてしまい、識別行為の禁止に抵触するおそれがある。そこで、オンラインシ
ョップにおけるポイントカード会員情報及び購買履歴に含まれる「店舗」項目以外は、実店舗とオンラインショップで取得した個人情報間で、同じ項目が、突合後の仮名加工情報から特定の個人を識別することができない同一の加工レベルで加工されるよう、図表 1-8 の方法で各項目を加工することを事前に取り決めておくこととした。
以上のユースケースにおける各情報の加工の方向性をまとめると、次のようになる。
図表 1-8 本ユースケースにおける加工例
参考(19
項目

生じうるリスクの考え方

本事例での加工方法

頁)中の参
照番号

①個人属性情報
取引 ID

単体で特定の個人を識別す

分析で利用しないことから削ポイントカード

ることはできない。

除する。

内部での分散管理用 ID とし（項目削除）

ID
会員 IDての機能を有しており、事業者 B のみが有する情報である
ため、漏えい時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリスクは低い。

氏名

単体で個人を識別できる。

仮 ID の生成後、全部削除する。（項目削除）

性別

(1)

3

仮名加工情報に含まれる生本事例では、生年月日及び年月日や住所との組合せによ

住所の加工により対応し、性(2)2

詳細については、本レポート制度編「3.4 削除情報等の安全管理措置」を参照のこと。

3

なお、本ユースケースでは氏名、郵便番号及び生年月日の組合せに事業者 B 内の関係者のみが把握する 10 桁の

秘密の文字列を加えハッシュ化した文字列を仮 ID として用いることとしている。上記加工は、氏名、郵便番号及び生年月日に関する記述等を、復元することのできる規則性を有しない方法により他の記述等に置き換えることに当たる。

14

生年月日

り、特定の個人を識別できる

別情報の有用性から加工し可能性がある。

ない。

仮名加工情報に含まれる住仮 ID の生成後、「15 歳未

所 や 性 別等 との 組 合せ によ満 」「 15 歳以 上 20 歳未り、特定の個人を識別できる満」・・・（以降 5 歳刻可能性がある。

み）・・・「75 歳以上 80 歳未(2)満」「80 歳以上」の 5 歳刻み
15 区分に置き換える。（丸
め）3
郵便番号

仮名加工情報に含まれる生郵便番号の上３桁のみを用

年月日や性別等との組合せ

いる等の丸めも可能である

により、個人を特定できる可が、本事例では住所を丸めた能性がある。

ものを利用し、郵便番号は、(2)

仮 ID の生成後、全部削除する。（項目削除）3
住所

仮名加工情報に含まれる生市区町村名より細かい情報を年月日や性別等との組合せ削除する。（丸め）(2)により、個人を特定できる可能性がある。
本人到達性がある。
自宅電話番

仮名加工情報に含まれる生全部削除する。（項目削

号

年月日や性別等との組合せ

除）(2)、(6)

により、個人を特定できる可能性がある。
本人到達性がある。
共用性のある情報であるため、漏えい時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリスクがある。
携帯電話番

本人到達性がある。

全部削除する。（項目削号

共用性のある情報であるた

除）め、漏えい時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリスクがある。
15(6)電子メールア

個人を識別可能な情報を含全部削除する。（項目削

ドレス

む場合がある。

除）(1)、(6)

本人到達性がある。
共用性のある情報であるため、漏えい時に他の事業者が本情報をキーとして他の情報と名寄せを行い特定の個人を識別できるリスクがある。
ログイン ID・パ

個人を識別可能な情報を含全部削除する。（項目削

スワード

む場合がある。

除）(1)、(4)

不正に利用されることにより財産的被害の生じるおそれがある。
クレジットカー

不正に利用されることにより財全部削除する。（項目削

ド番号

産的被害の生じるおそれがあ

除）

る。
②履歴情報
購入日時

本事例の仮名加工情報に含加工しない。

購入金額

まれる記述等との紐付けによっ加工しない。

ては特定の個人を識別することができない。
店舗名

本事例の仮名加工情報に含加工しない。

品目名

まれる記述等との紐付けによっ加工しない。

ては特定の個人を識別することができない。

16(4)

③ 加工後のデータのイメージ
上記の考え方に基づいて加工された仮名加工情報は以下のようになる。
図表 1-9 事業者 B が作成した仮名加工情報のイメージ④ 利用目的の変更
事業者 B は仮名加工情報の作成後、仮名加工情報の利用目的を変更し、変更後の仮
名加工情報の利用目的を公表した。これにより、事業者 B は実店舗のポイントカードにより取得した情報とオンライン通信販売事業により取得した情報を突合し、効率的な販売促進戦略を構築することが可能となった。
既に公表されている個人情報の利用目的も含めた利用目的の公表のイメージは以下のと17

おりである。
図表 1-10 事業者 B が公表した利用目的のイメージ
実店舗のポイントカードに係る個人情報の利用目的


実店舗のポイントサービスの提供のため



実店舗における商品及びキャンペーンのご案内のため



お客様が商品を購入した店舗における販売動向分析のため

オンライン通信販売事業に係る個人情報の利用目的
オンラインショップで購入した商品の発送及び決済のため

オンラインショップにおける商品及びキャンペーンのご案内のため



オンラインショップにおける販売動向分析のため

仮名加工情報の利用目的


実店舗及びオンラインショップにおけるお客様の購買情報を突合し、各属性（年代、性別、居住地域）ごとの購買行動の傾向等を分析することで、実店舗及びオンラインショップ
における商品構成や販売計画等の最適化を図るため

18

（参考）仮名加工情報作成時の考え方
項目(1)

氏名、顔画像仮名加工情報作成時の考え方

参照箇所

単体で特定の個人を識別することができる

3.2.1.1

ため、全部又は一部を削除しなければな
らない。
(2)

住所、生年月日、性別組合せで特定の個人を識別することがで

3.2.1.1

きる記述等についてはその組合せが特定の個人を識別することができる記述にならないように、記述等の全部又は一部を削除しなければならない。
(3)
(4)

(5)

旅 券 番 号 、運 転 免 許 証 番

個人識別符号であるため、全部削除しな

号、個人番号

ければならない。

クレジットカード番号、送金や不正に利用されることにより個人の財産的決済機能のあるウェブサービス

被害が生じるおそれが類型的に高い記述のログイン ID・パスワード等であるから、削除しなければならない。

口座番号、クレジットカード番「不正に利用されることにより財産的被害号の下４桁が生じるおそれがある記述等」には該当し3.2.1.2
3.2.1.3

3.2.1.3

ないと考えられるが、その部分を何らかの分析等に利用することは一般的に想定されず、基本的に削除又は置換することが
望ましい。
(6)

携帯電話番号やメールアドレ

本人への連絡等の禁止義務に抵触する

3.3.3

ス、SNS ID、広告識別子や取扱いを未然に防止する観点から、仮名

3.3.5

Cookie ID 等その他の本人

加工情報の作成に当たって削除するか、到達性のある記述等であり多連結符号として用いる際であっても置き換数の事業者において取得されえをすることが望ましい。

ている共用性のある記述等

また、漏えい時の個人の権利利益の侵害
リスクを低減する観点からは、共用性のある記述等は削除するか、連結符号として用いる際であっても置き換えをすることが望
ましい。

(7)

業界横断型ポイントカード ID

漏えい時の個人の権利利益の侵害リスク

その他の多数の事業者においを低減する観点からは、共用性のある記て取得されている共用性のあ述等は削除するか、連結符号として用いる記述等る際であっても置き換えをすることが望まし
い。
19

3.3.5

2. 匿名加工情報
2.1

購買履歴の事例

購買履歴については、消費者向けに商品を販売する小売事業者、通信販売事業者、決済手段を提供するクレジットカード事業者、ポイントカード運営事業者等において様々な形で取得・蓄積されている。
これらの購買履歴については、広告、マーケティング、商品開発等をはじめ様々な目的のために活用が想定されるものであり、例えば、小売事業者、クレジットカード事業者等について目的外利用あるいは第三者提供のために匿名加工情報を作成する次のようなユースケースが想定される。
2.1.1 購買履歴の事例１（ID-POS データ）
１）ユースケース
本ユースケースは、小売事業者が保有する購買履歴（ID-POS データ）について匿名加工を行ったうえで、匿名加工情報の枠組みを活用して、一般事業者へ提供するものである。
一般事業者においては、そこに含まれる消費者の基本属性と購買傾向から、自社の新商品の開発や販売促進活動等に利用することが想定される。
図表 2-1 小売事業者が保有する購買履歴情報を第三者提供するユースケースのイメー
ジ

本ユースケースでは、顧客属性テーブル、取引情報テーブル、購買履歴テーブルから構成される図表 2-2 のようなデータ構造を前提として検討する。顧客属性テーブルと取引情報テーブ
ルは、会員 ID によって紐付けが可能であり、顧客別の購買履歴を表す購買履歴テーブルを作成できるようになっている。

20

図表 2-2 購買履歴（ID-POS データ）に関するデータのレイアウトイメージ

２）考慮すべき事項とリスクに対応した具体的な加工方法の検討① 含まれ得る情報の種類
図表 2-2 に示すデータテーブルを構成する各情報の項目は、次のように、個人属性情
報と履歴情報とに分類することができる。

21

図表 2-3 購買履歴（ID-POS データ）に関するデータのレイアウトイメージ② どのように加工すべきか
加工を検討するに当たっては、上記で分類した個人属性情報と履歴情報ごとに検討する。
【個人属性情報】＜会員 ID＞
このユースケースにおける会員 ID は、顧客に一意に割り当てることにより顧客を識別してその情報を管理するために用いられるほか、顧客属性テーブルと取引情報テーブルとを連結するための符号として機能している。したがって、施行規則第 34 条第 3 号に相当す
る個人情報と当該個人情報に措置を講じて得られる情報を連結する符号に該当するため、会員 ID については、仮 ID に置き換えることにより、全部を削除する。
＜電話番号＞
電話番号は、多数の事業者で収集されている情報であること、本人へアクセスできるリ
スクがあることから、個人の特定につながる可能性の高い情報である。したがって、電話番号については全部を削除する。なお、固定電話における市外局番や市内局番等の地域を表す部分については、住所に関する記述の曖昧化と平仄を揃える程度の情報を残すこ22

とは可能である。
＜住所＞
住所に関しては、多数の事業者で収集されている情報であることに加え、本人へアクセスできるリスクがあることから、個人の特定につながる可能性の高い情報である。一方、顧客の居住地を表す情報については、マーケティング等の観点から情報として有用である。
住所を構成する記述のうち、県名や市名等の広いエリアを表す情報については個人の特定への影響が少ないことから、詳細なエリアを示す部分の情報を削除して情報を丸める（曖昧化する）。
なお、情報を丸める際には、データセットの大きさや他の情報（例えば、生年月日）の加工の程度を考慮して行う必要があるが、町村以下の情報は原則的として削除することが望ましい。また、人口の多寡に応じて同じデータセットでも丸めの度合を可変にする方法も考えられる。
＜生年月日＞
生年月日に関しては、少なくとも日に関しては削除することが望ましい。ただし、生年月にするか年齢や年代に置き換えるか等どの程度まで情報を削除するかについては、前述の住所と同様に該当者の人数に応じて客観的に判断すべきであり、例えば、同年同月をその月に生まれた個人の人数が少ない場合は削除すべき対象となる。生年月日の情報をどこまで曖昧化するかについては、住所の加工と合わせて検討することが望ましい。
このほか、超高齢者等の生存者が極めて少ない生年月日に関しては、施行規則第34 条第 4 号の特異値に該当する場合もあり得る。このような場合には、その生年月日に関する情報を削除するか、トップコーティングにより、「100 歳以上」といった区分に丸めることが考えられる。
＜性別＞
性別に関しては、男女による購買傾向の差異を分析したいニーズがあること、生年月日や住所に関する情報を丸めることにより個人の特定性を低減していることから、本ユースケースでは加工しない。
【履歴情報】＜時刻情報及び店舗情報の取扱い＞
本ユースケースにおける履歴情報である取引情報には、その取引が発生した詳細な日時の情報と店舗名の情報が含まれている。一般に、時刻情報単体で個人の識別性はな
いが、「PPC マート霞が関店」等の店舗名からはおおよその位置を特定することが可能であるため、これらを組み合わせた情報は、位置情報と時刻情報を含む他のデータセットと23

照合することで、個人の特定につながる可能性がある。
したがって、時刻情報と店舗情報の少なくとも一方を曖昧化することが望ましい。本ユースケースにおいては、店舗名をそのまま使用したいニーズがあると想定されるため、時刻情報を丸める処理を行う。時刻情報は少なくとも秒単位の情報を削除することが望ましく、客数が少ないことにより個人の特定可能性が高くなる場合は、30 分単位や 1 時間単位
等に情報を丸める単位を変更する等の措置も検討されるべきである。
＜商品の購買履歴（商品名、個数、金額）の取扱い＞
購買情報には一品ものや少数限定品、あるいは超高額の商品の購買記録が含まれる可能性がある。珍しい商品の購入を示す情報については、店舗名等との組合せにより個人の特定につながる可能性が高くなると考えられる。したがって、このような情報については、削除するか、商品名を商品カテゴリーに置き換えることが望ましい。
また、購入した商品がありふれたものでも購入個数が非常に多い場合は特異な記述等といえる場合がある。この場合、購入個数に関する情報を削除するか、ミクロアグリゲー
ションにより当該商品の平均的販売個数等に置き換える等の手法により加工を行うことが望ましい。
＜その他の情報の取扱い＞
本ユースケースにおいては、取引ごとに取引 ID を付しており、また、それぞれの取引情報には、その取引の担当者の担当者 ID や、取り扱った商品の商品 ID も含まれている。
これらの情報については、本ユースケースにおいて想定される提供先にとって情報の有用性もないと思われること、匿名加工情報では、第三者におけるデータ利活用において不要と思われる情報は想定外の再識別リスクを低減する意味においても削除することが望ましいことから、これらの情報については全部削除する。
以上の本ユースケースにおける各情報についての加工の方向性をまとめると、次のようになる。
図表 2-4 購買履歴（ID-POS データ）のユースケースにおける加工の方向性項目想定されるリスク

望ましい加工方法

内部での分散管理用 ID としての全部削除する、あるいは仮 ID に機能を有しており、この ID を起点置き換える 4。（項目削除）①個人属性情報会員 ID

4

本ユースケースにおいては、仮 ID を匿名加工後の顧客属性テーブルと購買履歴テーブルとを連結するための ID として使用している。他のユースケースにおいても同じ。なお、仮 ID の置換えについては、「個人情報保護委員会事務局レポー

24

項目

想定されるリスク

望ましい加工方法

として、個人を特定できる可能性がある。
氏名

単体で個人を特定できる。
居住エリアや性別等との組合せに生年月日より、個人を特定できる可能性がある。

全部削除する（項目削除）
年代の 7 区分（20 歳未満/20
代/30 代/40 代/50 代/60 代/70 歳以上）に置き換える。
（丸め）

他の事業者でも収集している可能性が高く、それにより他の情報と電話番号照合して個人の特定につながる可能性がある。

全部削除する。（項目削除）

また、本人にアクセスできるリスクがある。
性別

生年月日や居住エリアとの組合せ

本ケースでは、生年月日と住所により、個人の特定につながる可の加工により対応し、性別情報能性がある。

の有用性から加工をしない。

生年月日や性別との組合せにより、個人の特定につながる可能性
住所がある。
また、本人にアクセスできるリスクが市区郡単位より細かい情報を削除する。（丸め）ある。
②履歴情報
他のデータセットに含まれる位置
利用日時

情報との組合せにより、個人の特定につながる可能性がある。

店舗 ID（提供先にとって不要な情報と想定）
店舗名から購買場所である位置

店舗名を推定可能であり、他の情報に含まれる位置情報と連結されること
により、個人の特定につながる可

秒単位の情報を削除し、分単位に置き換える。（丸め）全部削除する。（項目削除）
本ケースでは、利用日時の加工により対応し、店舗情報の有用性から加工しない。

ト 仮名加工情報・匿名加工情報 信頼ある個人情報の利活用に向けて―制度編―」「4.2.1.1 第 1 号（特定の個人を識別することができる記述等の削除）」及び「3.2.1.1 第 1 号（特定の個人を識別することができる記述等の削除）」の【仮 ID への置き換えについて】を参照のこと。

25

項目

想定されるリスク

望ましい加工方法

能性がある。
取引 ID
担当者 ID
商品 ID

商品名（提供先にとって不要な情報と想定）（提供先にとって不要な情報と想定）（提供先にとって不要な情報と想定）全部削除する。（項目削除）
全部削除する。（項目削除）
全部削除する。（項目削除）

限定品や超高級品等の希少な希少商品の購買実績を削除す

商品の購買履歴と購買場所等のる。あるいは商品カテゴリーに置

情報との組合せにより、個人の特き換える。

定につながる可能性がある。

（セル削除/丸め/一般化）
特異な購入実績を示す数量に数量

特定の商品に関する大量の購入

ついては削除あるいは平均的な実績から、個人の特定につながる値等に置き換える。

可能性がある。

（セル削除/ミクロアグリゲーション）
特異な購入実績を示す金額に金額

超高額の支払い実績から、個人

ついては削除あるいは○○円以の特定につながる可能性がある。

上という区分に置き換える。
（セル削除/トップコーディング）③ 加工後のデータのイメージ
上記の考え方に基づいて加工されたデータは、図表 2-5 のようになる。

26

図表 2-5 購買履歴（ID-POS データ）のユースケースにおける加工後のデータのイメー
ジ27

2.1.2 購買履歴の事例２（クレジットカード利用情報）
１）ユースケース
本ユースケースは、クレジットカード事業者が保有するカード利用情報について、匿名加工を行った上で、匿名加工情報の枠組みを活用して、一般事業者へ提供するというものである。
一般事業者においては、提供を受けた匿名加工情報に基づいて、年収や職業と利用加盟店等の関係を分析することにより、マーケティングに活かすことが想定される。
図表 2-6 クレジットカード事業者が保有するカード利用情報を第三者提供するユースケ
ースのイメージ

本ユースケースにおいて加工対象となるデータセットは、①顧客属性データ及び②カード利用明細データの２種類からなり、いずれも契約者 ID（クレジットカード番号の変換番号）によって、リンクされている。
顧客属性データには、顧客の基本属性のほか、勤務先、年収及び決済金融機関の情報が含まれている。また、カード利用明細データは、クレジットカードの利用日時、利用加盟店、支払方法及び利用金額で構成されている。

28

図表 2-7 クレジットカード事業者が保有するカード利用情報におけるデータのレイアウトサ
ンプル２）考慮すべき事項とリスクに対応した具体的な加工方法の検討① 含まれ得る情報の種類
図表 2-7 に示すデータを、個人属性情報と履歴情報とに分類すると、次のようになる。
図表 2-8 クレジットカード事業者が保有するカード利用情報におけるデータのレイアウ
トイメージ

29

② どのように加工すべきか
本ユースケースにおいて、取扱いに注意すべき情報は、個人属性情報に含まれる勤務先や年収と、履歴データであるカード利用明細データにおける利用日や利用加盟店、利用金額に関する情報と考えられる。
【個人属性情報】＜年収、勤務先＞
勤務先の情報は、例えば、住所との組合せにより個人の特定可能性が高くなることが想定される。また、更に年収の情報が組み合わさることによって、職層等を推定することも可能である。一方、職種についてはマーケティング等の観点から有用な情報であることから、勤務先の情報については全部削除ではなく、職種のカテゴリーに置き換える加工を行うことが考えられる。
年収については、本ユースケースでは勤務先や住所に関する情報とともに提供することを想定しているため、複数の年収区分に置き換える等の情報を一定程度丸める加工をすることが望ましい。また、超高収入である場合は、施行規則第 34 条第 4 号の措置の対象となり得るため、該当するものがある場合は、その情報を削除するかトップコーディングを行う必要がある。
【履歴情報】＜カード利用明細データの取扱い＞
利用日時や利用金額と利用加盟店との組合せは、例えば、他の事業者が有する購買履歴情報と結びつくことにより、個人の特定につながる可能性がある。マーケティング等の観点から有用な情報であると考えられるため、一部の情報を曖昧化することが望ましい。
曖昧化に当たっては、例えば、利用日を月単位にすること、利用金額を複数の区分に置
き換えることが考えられる。
また、利用加盟店のうちデータセットにおいてカード利用頻度の少ない加盟店、一回の利用における利用金額が極めて高額のもの、一定期間におけるカード利用回数が極めて多いものについては、その希少性から個人の特定につながる可能性があるため、トップコー
ディング等を行うことにより情報を加工することが望ましい。
以上の本ユースケースにおける各情報についての加工の方向性をまとめると、次のようになる。

30

図表 2-9 購買履歴（カード利用履歴）のユースケースにおける加工例
項目想定されるリスク

望ましい加工方法① 個人属性情報
クレジットカード番号を変換しており、変換ルールが解読されることによ
契約者 IDり、個人を特定できる可能性がある。

全部削除する、あるいは仮 IDに置き換える。（項目削除）

また、作成事業者内部での分散管理用 ID として使用されている。
氏名

単体で個人を特定できる。

全部削除する。（項目削除）

他の事業者でも収集している可能
クレジットカード性の高い情報であり、他の情報と番号照合して個人を特定できる可能性全部削除する。（項目削除）がある。
生年月日と住所との組合せにより、
性別

個人の特定につながる可能性がある。

所の加工により対応し、性別情報の有用性から加工をしない。

住所や性別との組合せにより、個生年月日

本ケースでは、生年月日と住

人 の 特定 に つ なが る可 能性 が ある。

年代の 6 区分（～20 代/30
代/40 代/50 代/60 代/70 代～）に置き換える。
（丸め/トップコーディング）

他の事業者でも収集している可能性が高く、他の情報と照合して個
電話番号

人を特定できる可能性がある。

全部削除する。（項目削除）

また、本人にアクセスできるリスクがある。
生年月日や性別との組合せにより、個人の特定につながる可能性
住所がある。
また、本人にアクセスできるリスクが市区単位より細かい情報を削除する。（丸め）ある。
他の事業者でも取得している可能 「 農業」 「製造 業」「 小売業 」
勤務先性があり、他の情報との組合せによ「金融業」等の職種分類に置り、個人の特定につながる可能性

き換える。

がある。

（一般化）
31

項目

想定されるリスク

望ましい加工方法
6 区分（300 万未満、300～
600 万、600～900 万、900

年収

超高収入の人物については、個人～ 1200 万 、 1200 ～ 1800を特定できる可能性がある。

万、1800 万以上）に置き換える。
（丸め/トップコーディング）

決済金融機関（提供先にとって不要な情報と想定）全部削除する。（項目削除）②履歴情報
利用加盟店や利用金額との組合
利用日せにより、個人を特定できる可能性がある。

利用月単位に置き換える。
（丸め）

カード利用頻度の低い加盟店の場 カード利用頻度が極めて低い
利用加盟店
支払方法

合、個人の特定につながる可能性

加盟店情報を削除する。（セ

がある。

ル削除）

―

加工しない。

超高額の利用金額については、利利用金額

用加盟店情報等との組合せにより、個人の特定につながる可能性がある。

超高額な利用金額の情報を削除する。短期間における利用総額が大きい契約者の情報を削除する。（セル削除/レコード削除）③ 加工後のデータのイメージ
上記の考え方に基づいて加工されたデータは、図表 2-10 のようになる。

32

図表 2-10 購買履歴（カード利用履歴）のユースケースにおける加工後のデータのイ
メージ

33

2.2

乗降履歴・移動履歴の事例

乗降履歴については、非接触型 IC カードの普及に伴い鉄道会社（JR・私鉄・地下鉄等）あるいはバス会社等において取得・蓄積が進んでいる。また、カーナビゲーション（以下「カーナビ」という。）や自動車に搭載した GPS 受信機によって取得できる位置情報（移動履歴）についても、
車載通信機の普及に伴い、カーナビメーカーや自動車メーカーにおいて蓄積・活用が進んでいる。
これらの乗降履歴・移動履歴については、各エリアや道路等の動線分析、通勤圏や商圏分析、地域開発、広告、マーケティング、商品開発等をはじめ様々な目的のために活用が想定されるものであり、例えば、鉄道会社・バス会社、カーナビメーカーや自動車メーカー等について目的外利用あるいは第三者提供のために匿名加工情報を作成する次のようなユースケースが想定される。
2.2.1 乗降履歴の事例
１）ユースケース
本ユースケースは、鉄道会社が保有する乗降履歴情報について、匿名加工を行ったうえで、
匿名加工情報の枠組みを活用して、一般の事業者に提供するというものである。一般事業者
においては、鉄道利用者の基本属性（年代、性別等）や鉄道の乗降履歴に基づいて、商圏分析やターゲティング広告の広告戦略に活用することが想定される。
図表 2-11 鉄道会社が保有する乗降履歴情報を第三者に提供するユースケースのイメ
ージ

本ユースケースにおいて加工対象となるデータセットは、図表 2-12 に示すように、①顧客属性データ及び②IC カード利用データの 2 種類からなり、カード ID によって、リンクされている。
顧客属性データには、定期情報が含まれ、定期券の有効期間（定期券開始日及び定期
券終了日）と定期券区間（定期券発駅及び定期券着駅）から構成されている。また、ICカード利用データは利用日時や入出場駅及びその際に使用した改札口、各乗降に伴う利用額及び IC カードにチャージされている残額等から構成されている。なお、IC カード利用データにおいて、SF 入場とは、定期券区間外の入場を意味し、SF 出場は定期券区間外での出場を
意味する。
34

図表 2-12 鉄道会社が保有する乗降履歴に関するデータのレイアウトイメージ

２）考慮すべき事項とリスクに対応した具体的な加工方法の検討① 含まれ得る情報の種類
図表 2-12 に示すデータセットを、個人属性情報と履歴情報とに分類すると、次のようになる。
図表 2-13 鉄道会社が保有する乗降履歴に関するデータのレイアウトイメージ35

② どのように加工すべきか
本ユースケースにおいて、特に取扱いに気をつける必要があるのは、定期券情報（定期券期間、定期券区間）、入場駅と出場駅及びそれに関する時刻の情報の取扱いであると考えられる。
【個人属性情報】＜定期券情報の取扱い＞
まず、定期券区間情報（定期券発駅、定期券着駅）は、定期券区間外の移動傾向（例えば、休日の買い物に出かける場所）との相関等を分析するために有用であり、本ユースケースにおいても利用することが想定され得る。
一方、定期券区間の情報からは、自宅の最寄り駅と勤務先や通学先の最寄り駅を把握することができるが、定期券の発駅若しくは着駅の一方に、定期券としての利用が少な
い駅が含まれている場合は、個人の特定につながる可能性が高くなるため、そのような情報については、削除する、あるいは別の駅名に置き換える等の措置を講ずることが望ましい。
【履歴情報】＜入・出場駅及び時刻情報の取扱い＞
日々の乗降履歴としての入場駅・出場駅とそれに関する時刻情報からは、その情報に係る本人の行動パターン（例えば、通勤日や勤務時間帯、そして、週末に出かけるエリア等）を推測することができる。
一方、データセットに含まれる乗降履歴の期間が長いほどその情報は一意となり得るた
め、その一意性をもって直ちに個人を特定することができないとしても、一定の配慮（措置）をすることが望ましい。
例えば、入場駅・出場駅のそれぞれの利用時における単位時間当たりの利用者数を考慮して、利用者数が少ない駅の情報や利用者数が少ない時間帯の情報を削除することが望ましい。また、入出場時刻を表す詳細な時刻情報については、秒単位の情報を削除したり、30 分単位や 1 時間単位に情報を丸めたりすることが考えられる。
＜利用額・残額の取扱い＞
本ユースケースは商圏分析等を想定しており、IC カードへのチャージ額や利用額に関する情報の必要性が乏しいと考えられることから、利用額及び残額の情報については、その項目自体を削除する。
なお、IC カードの電子マネーとしての利用状況等の分析に用いる場合も想定し得るが、そのような場合には、各入・出場の履歴に関する利用額や残額の偏差から定期の利用有無及びその区間を判別することが可能であるため、定期券区間情報の取扱いとの相関36

があることに留意しておくことが必要である。
以上の本ユースケースにおける各情報についての加工の方向性をまとめると、次のようになる。
図表 2-14 鉄道の乗降履歴データのユースケースにおける加工例
項目想定されるリスク

望ましい加工顧客属性データと IC カード利用デ全部削除する、あるいは仮ータとを紐付ける内部管理 ID とし

ID に置き換える。（項目削て使用されている。

除）①個人属性情報ID

氏名

単体で個人を特定できる。
住所（居住エリア）や生年月日

性別等との組合せにより、個人の特定につながる可能性がある。

全部削除する。
（項目削除）
本ケースでは、生年月日と住所の加工により対応し、性別情報の有用性から加工をしない。

住所や性別等との組合せにより、

生年月

個人の特定につながる可能性があ

年代の 6 区分（～20 代

る。

/30 代/40 代/50 代/60 代

また、超高齢である場合は、それに/70 代～）に置き換える。

より個人の特定につながる可能性（丸め/トップコーディング）がある。
本ユースケースの住所情報は性別や生年月等の情報との組合
郵便番号・住所

せにより、個人の特定につながる可能性がある。

市区単位までしか入っていな
いため、加工しない。郵便番号は不要と考えられることから全部削除する。
（項目削除）

定期券有効期間（開始日/終了日）
定期券区間（発駅/着駅）本ケースでは、提供先におい（提供先にとって不要な情報と想て不要な情報と考えられるた

定）め、全部削除する。（項目削除）

自宅最寄り駅と勤務先等の最寄り

定期券区間として利用が少駅を推測できる。

ない駅の情報を削除する。あまた、他の情報との組合せにより、るいは別の駅名に置き換え

37

項目

想定されるリスク

望ましい加工個人の特定につながる可能性がある。

る。

（セル削除/ノイズ付加）

②履歴情報
処理名称

加工しない。

（出場/入場）
利用日時

入場駅や出場駅に関する情報との（年月日・時組合せから、個人を特定できるリス

間）

ク。

利用種別
改札口

30 分単位に置き換える。
（丸め）（提供先にとって不要な情報と想全部削除する。（項目削

定）除）（提供先にとって不要な情報と想全部削除する。（項目削

定）除）
入場駅、出場駅それぞれにつ

入場駅/出場駅

入場駅と出場駅の組合せや利用

いて、利用者の少ない時間

時間帯によって、個人の特定につ帯の情報を削除又は他の駅

ながる可能性がある。

名に置き換える。（セル削除/ノイズ付加）利用額

残額

定期券区間に関する情報を復元

本ケースでは提供先においてすることができる。

不 要 な 情 報 と考 え ら れ る た（提供先にとって不要な情報と想め、全部削除する。（項目

定）

削除）

定期券区間に関する情報を復元

本ケースでは提供先においてすることができる。

不 要 な 情 報 と考 え ら れ る た（提供先にとって不要な情報と想め、全部削除する。（項目

定）

削除）

③ 加工後のデータのイメージ
上記の考え方に基づいて加工されたデータは、次のようになる。

38

図表 2-15 鉄道の乗降履歴データのユースケースにおける加工後のデータのイメージ

上記のユースケースは、鉄道の入場/出場の履歴に基づく人の動きに着目して分析する用途であるが、例えば、ある特定の駅における複数の改札口の利用人数等を細かく分析したい
等のニーズもあり得る。このような場合には、より詳細な時刻が望ましい一方で、「どの駅で乗って、どの駅で降りたか」という一連の乗降履歴までは必要でない場合もあり得る。このようなケースにおいては、例えば、分析の対象外であるもう一方の入出場履歴を利用路線の情報に置き換えた上で詳細な時刻情報を残すような加工も考えられる。

39

2.2.2 移動履歴の事例
１）ユースケース
本ユースケースは、自動車会社が保有する移動履歴情報について、匿名加工を行ったうえで、匿名加工情報の枠組みを活用して、一般事業者（小売業）に提供するというものである。
一般事業者においては、自動車の移動履歴とその所有者の年代や性別等の基本属性に基づいて、店舗における商品ラインナップの検討や新しい店舗の出店計画に活用することが想定される。
図表 2-16 自動車会社が保有する移動履歴情報を第三者に提供するユースケースのイ
メージ

本ユースケースにおいて加工対象となるデータセットは、①顧客属性データ及び②プローブデータの 2 種類からなり、ID によって、リンクされている。
顧客属性データには、顧客の基本属性のほか、車種名と車両識別番号が含まれている。
一方、プローブデータは、各車両の車載通信機により定期的に自動車メーカーのデータセンターに送信されて蓄積されるものであり、日時と位置情報（緯度・経度）に加え、車両情報として
車速及び ABS 5作動フラグから構成されている。

5

Antilock Brake System.

40

図表 2-17 自動車会社が保有する移動履歴に関するデータのレイアウトサンプル

図表 2-18 プローブデータ（緯度・経度情報）が表す移動履歴41２）考慮すべき事項とリスクに対応した具体的な加工方法の検討① 含まれ得る情報の種類
図表 2-17 に示すデータを、個人属性情報と履歴情報とに分類すると、次のようになる。
図表 2-19 自動車会社が保有する移動履歴に関するデータのレイアウトサンプル② どのように加工すべきか
本ユースケースにおいて取扱いに気を付けるべき情報は、個人属性情報に含まれる車種情報や、履歴情報に含まれる位置情報（緯度、経度情報）の扱いと考えられる。
【個人属性情報】＜車種情報の取扱い＞
車種に関する情報は、自動車の使用スタイル等を読み取ることができ有用である一方で、住所（居住エリア）等の情報との組合せから、個人の特定につながる可能性がある。
したがって、具体的な車種名を削除して車両カテゴリーに一般化する等の加工を行うことが望ましい。
＜車両識別番号＞
車両識別番号は個々の車両を識別するために一意に割り当てられるものであり、直ちに特定の個人の識別につながるものではないが、その起点となり得る可能性はあると考え42られる。本ユースケースにおいては、提供先における有用性もないと考えられるため、想定外の再識別リスクを防ぐ意味からも全部削除することが望ましい。
【履歴情報】＜位置情報の取扱い＞
詳細な時刻情報と紐付く位置情報の連続したデータからは、ある地点から別の地点への移動の経路のみならず、夜間に同じ場所に滞留している位置情報からは自宅を推定することができ、昼間に同じ場所に滞留している位置情報からは、勤務先や通っている学校等を推定することが可能である。
したがって、このような連続的な位置情報を扱うデータセットにおいては、自宅や勤務先を特定できるような部分の位置情報を削除することが望ましい。このような位置情報の削除の仕方としては、次のような方法が考え得る。
・

自宅住所に基づいて所定の範囲における位置情報を削除する。

・

各移動履歴（自動車のイグニッション ON からイグニッション OFF まで）における始点・終点から所定の距離・或いは時間を一律削除する。

・

各移動履歴の始点・終点から数％の位置情報を削除する。

＜車速情報の取扱い＞
車速情報は位置情報と組み合わせて道路の混雑状況を把握することが可能である。
小売店における出店計画において交通状況に関する情報は有用であると考えられる。一方、車速情報は時刻情報と組み合わせて移動距離を算出することが可能であるため、削除した位置情報の復元に利用できる可能性があるため、削除した位置情報に対応する部分の車速情報を削除することが必要である。
また、本ユースケースにおいては、提供先において詳細な車速情報については不要であるため、10km/h 単位で丸めるとともに、50km/h 以上についてはトップコーディングを行うことが望ましい。
また、本ユースケースにおいては、提供先の事業者における商品ラインナップの検討や出店計画等への利用が想定されていることから、道路種別 ABS の作動状況に関する情報は不要と考えられるため、ABS 作動フラグは全部削除することが望ましい。
以上の本ユースケースにおける各情報についての加工の方向性をまとめると、次のようになる。

43

図表 2-20 自動車の移動履歴データのユースケースにおける加工例
項目想定されるリスク

望ましい加工顧客属性データと移動履歴データを全部削除する、あるいは仮 ID

連結する符号として利用されている。

に置き換える。（項目削除）①個人属性情報ID
氏名

単体で個人を特定できる。
生年月日や住所との組合せにより、

性別

個人の特定につながる可能性がある。

全部削除する。
（項目削除）
本ケースでは、生年月日と住所の加工により対応し、性別情報の有用性から加工をしない。
年代の 6 区分（20 代/30 代

生年月日

住所や性別との組合せにより、個人/40 代/50 代/60 代/70 代の特定につながる可能性がある。

～）に置き換える。
（丸め/トップコーディング）

生年月日や性別との組合せにより、個人の特定につながる可能性があ住所る。
また、本人にアクセスできるリスクがあ

市区単位より細かい情報を削除する。（丸め）る。
車種

車両識別番号

住所や生年月日等との組合せによ「高級車」「コンパクトカー」等のり、個人の特定につながる可能性が車種カテゴリーに置き換える。

ある。

（一般化）

（提供先にとって不要な情報と想全部削除する。（項目削

定）

除）

②履歴情報
詳細な時刻情報と位置情報に基づ
日時分秒

いて、個人の特定につながる可能性がある。

秒を削除し、分単位に置き換える。（丸め）
所定時間以上滞留している地点から一定範囲の緯度・経緯度・経度

夜 間 や昼 間の 位 置情 報 に基 づ い

度情報を削除する。あるいは、て、自宅や職場等が特定される可走行開始から数分間及び走能性がある。

行終了前数分間の緯度・経度情報を削除する。
（セル削除/丸め）
44

道路種別

（提供先において不要な情報と想全部削除する。（項目削定）除）・緯度・経度情報を削除する
時間帯の車速情報を削除する。

車速

時刻情報と組み合わせることで、削（セル削除）

除した位置情報を復元できる可能・車速を 6 区分（～10km/h性がある。

/10km/h/20km/h/30km/h/40km/h/50km/h 以上）に置き換える。（丸め）ABS 作動フラ（提供先において不要な情報と想全部削除する。（項目削

グ

定）

除）

③ 加工後のデータのイメージ
上記の考えに基づいて加工されたデータは、図表 2-21 のようになる。
図表 2-21 自動車の移動履歴データのユースケースにおける加工後のデータのイメージ

45

図表 2-22 プローブデータ（緯度・経度情報）が表す移動履歴（加工後）

上記のユースケースは、自動車の移動履歴やその持ち主の基本属性に基づく小売店の出店
計画や商品ラインナップの分析を目的としたものであるが、これ以外の用途として、例えば、地方公共団体が事故低減等に向けた施策のための検討に活かしたり、保険会社が自動車の運転状況やその周囲の状況等の全体的な傾向を解析することにより保険の新プランの検討に活用することが想定される。
このような場合には、車速や ABS 作動情報、道路種別の詳細な情報を必要とする一方で、長い移動履歴や、位置情報が不要なエリアがあることが考えられるため、上記とは異なった方針による加工が想定される。
なお、本ユースケースは、自動車の移動履歴を扱うものであるが、スマートフォンアプリ等で取得される人の移動履歴を扱う場合は、移動の際の動きや速度が違うこと等への配慮が必要と考えられる。

46

2.3

電力利用履歴の事例

我が国において、スマートメータ―は 2014 年から本格導入が開始されており、スマートメーターやネットワーク接続された分電盤等を通じて得られた家庭の電力使用量に係る履歴データは、電力事業者、アグリゲーター、HEMS 6サービサー等において取得・蓄積されている。
これらの電力利用データについては、電力使用パターンを踏まえた具体的な節電アドバイス、子供や一人暮らしの高齢者の見守り、生活様態推計を踏まえたマーケティング等の様々な目的のために活用が想定されるものであり 7、例えば、電力事業者等について目的外利用あるいは第三者提供のために匿名加工情報を作成する次のようなユースケースが想定される。
１）ユースケース
HEMS 管理事業者が保有する電力利用量情報について、匿名加工を行った上で、匿名加工
情報の枠組みを活用して、家電メーカー等の一般事業者へ提供するというものである。一般事業者においては、家族構成と各家電の使用状況とから生活スタイルの分析を行い、既存製品の広告戦略や新商品の開発に利用することが想定される。
図表 2-23 HEMS 管理事業者が保有する電力利用履歴情報を第三者提供するユースケー
スのイメージ

本ユースケースにおいて加工対象となるデータセットは、①顧客属性データ及び②電力利用デー
タの２種類からなり、いずれも契約者 ID によってリンクされている。電力利用データのうち、推定使
用家電については、各家庭の配電盤に設置されるエネルギー計測ユニットで計測される電流量の変化に基づいて、稼働中の家電の種類を推定している。

6

Home Energy Management System.

7

経産省マニュアル P.15。

47

図表 2-24 HEMS 管理事業者が保有する電力利用履歴情報におけるデータのレイアウトイ
メージ２）考慮すべき事項とリスクに対応した具体的な加工方法の検討① 含まれ得る情報の種類
図表 2-24 に示すデータセットを、個人属性情報と履歴情報とに分類すると、図表 2-25のようになる。

48

図表 2-25 HEMS 管理事業者が保有する電力利用履歴情報におけるデータのレイアウト
サンプル② どのように加工すべきか
本ユースケースでは、元の顧客属性データに詳細な住居情報や家族情報が含まれている。
また、履歴情報については、電力利用量が詳細に把握できることに加え、その利用量の推移から使用している家電を推定することも可能となっている。これらの情報から、個人の特定につながる可能性に加え、生活パターン等のプライバシーに関わるような情報まで推測できる可能性があるため、それらに配慮した各情報の加工をすることが望ましい。
【個人属性情報】＜住居情報の取扱い＞
本ユースケースにおける住居情報は、住宅区分（戸建て/マンション）、施工年、延床面積からなっている。例えば、インターネット情報には、賃貸物件や分譲マンション等について、これらの情報を掲載するような住宅情報サービス等がある。したがって、一般的に容易に入手できる類の情報であり、特定の個人の識別につながる可能性があるため、一部の情報を削除したり丸めたりする必要がある。特に、施工年×延床面積の組合せによる特定リスクが高いと想定されるため、これらの情報について丸めることが望ましい。
＜家族情報の取扱い＞
家族情報は、家族の人数及び家族構成からなっている。HEMS 管理事業者が保有するデータには、住人（代表者）の基本属性に加えて、住所や住居に関する情報も含まれること49から、家族情報とこれらの情報との組合せから個人の特定に至ることも想定される。
したがって、家族情報については、基本属性や住所・住居情報の加工度合いも鑑みながら、複数区分に置き換える等の加工を検討することが望ましい。
【履歴情報】＜電力利用量の取扱い＞
電力の利用量については、その利用量の推移から、起床・就寝時間や在宅・不在等の生活パターンや、家族構成を推定することが可能である。その推定結果のみでは直ちに特定の個人の識別にはつながらないと考えられるが、特に顕著な利用量の推移（起床・就寝時間がデータセット内の他の人と比べて特異である等）が見られるものについて、加工を行うことが望ましい。取り得る加工手法としては、例えば、レコード自体の削除のほか、顕著な差異が見られる部分のデータを削除する等が考えられる。
＜推定使用家電＞
本ユースケースにおいては、電力利用量データに加えて、電流波形に基づいて使用されている家電のごとの使用状況を推定している。家電の使用状況から特定の個人を識別することは困難と考えられるが、電力利用量と家電の使用状況に他人との顕著な差異が見られる場合
は、そこから読み取れる生活スタイル等の特異性に基づいて、個人の特定につながる場合も想定される。そのような場合には、そのレコード自体を削除することが望ましい。
以上の本ユースケースにおける各情報についての加工の方向性をまとめると、次のようになる。

図表 2-26 電力利用履歴のユースケースにおける加工例
項目想定されるリスク

望ましい加工

①個人属性情報
内部での分散管理用 ID としての機
契約者 ID能を有しており、この ID を起点として全部削除する、あるいは仮 ID

個人の特定につながる可能性があに置き換える。（項目削除）る。
氏名

単体で個人を特定できる。

全部削除する。
（項目削除）

本人と密接な関係にある情報であ
電話番号

り、他の事業者でも収集している可全部削除する。

能性が高い。

（項目削除）

また、本人にアクセスできるリスクがあ50

項目想定されるリスク

望ましい加工る。
住所（居住エリア）や生年月日等と性別の組合せにより、個人の特定につながる可能性がある。

人の特定につながる可能性がある。
また、超高齢である場合は、それにより個人の特定につながる可能性がある。
職種

所の加工により対応し、性別情報の有用性から加工をしない。

住所や性別等との組合せにより、個生年月日

本ケースでは、生年月日と住

年代の 6 区分（～20 代/30
代/40 代/50 代/60 代/70
代～）に置き換える。
（丸め/トップコーディング）

少ない職種については、住所等他の少ない職種については、「その情報との組合せにより、個人の特定他」等に置き換える。（丸につながる可能性がある。

め）

生年月日や性別との組合せにより個
住所

人を特定できるリスクがある。

市区単位より細かい情報を削

また、本人にアクセスできるリスクがあ除する。（丸め）る。
築年数に変換するとともに、5住居（竣工年）

居住エリア、延床面積との組合せによ区分（5 年未満/5～10 年

り、住所の特定につながる可能性が/10～15 年/15～20 年/20ある。

年以上）に置き換える。（丸め）

住居（床面積）

家族人数

家族構成

居住エリア、築年数との組合せによ

４区分（20 ㎡未満/20～

り、住所の特定につながる可能性が

40 ㎡/40～80 ㎡/80 ㎡以ある。

上）に置き換える。（丸め）

大人数の家族に関する情報は、個４区分（1 人/２人/３人/

人の特定の可能性を高めるおそれが４ 人 以 上 ） に置 き換 え る。

ある。

（丸め）

家族人数や住所等の情報との組合

４区分（独居、夫婦のみ、

せにより、個人の特定につながる可能

親子、その他）に置き換え性がある。

る。（丸め）―

本ケースでは加工しない。

特異な電力利用量と他の情報との極めて大きい電力利用量の組合せにより、個人の特定につながる

情報を削除する。

②履歴情報
日時
電力利用量

51

項目

想定されるリスク
可能性がある。

（レコード削除/セル削除）

電力利用量との組合せ等から特異な推定使用家電望ましい加工生活 スタイル等が読み取れる場 合に、個人の特定につながる可能性がある。

他人と顕著な差異が見られる
人の情報を削除する。
（レコード削除）③ 加工後のデータのイメージ
上記の考え方に基づいて加工されたデータは、次のようになる。
図表 2-27 電力利用履歴のユースケースにおける加工後のデータのイメージ

52