匿名加工情報の取扱いに関するルール

平成３０年３月
一般社団法人 信託協会

目

次

１．本ルールの位置付け ........................................................ 1
２．定義 ...................................................................... 2（１）匿名加工情報 ............................................................ 2（２）匿名加工情報取扱事業者................................................... 4
３．匿名加工情報の作成にあたっての検討事項等 .................................. 5（１）ユースケース等の明確化................................................... 5（２）個人属性情報・履歴情報の仕分け ........................................... 8（３）個人識別に係るリスクの分析・抽出 ......................................... 9
４．匿名加工情報の取扱いに係る義務の考え方 ................................... 10（１）匿名加工情報の取扱いに係る義務 .......................................... 10（２）匿名加工情報の適正な加工................................................ 11（３）匿名加工情報等の安全管理措置等 .......................................... 20（４）匿名加工情報の作成時の公表 .............................................. 23（５）匿名加工情報の第三者提供................................................ 25（６）識別行為の禁止.......................................................... 26
５．苦情処理体制の整備 ....................................................... 28
６．漏えい事案等への対応 ..................................................... 29
７．その他の検討事項 ......................................................... 30（１）匿名加工情報と銀行が負う守秘義務との関係 ................................ 30（２）その他の検討事項........................................................ 30
８．本ルールの見直し ......................................................... 32

１．本ルールの位置付け
匿名加工情報の取扱いに関するルール（以下「本ルール」という。）は、一般社団法人信託協会（以下「当協会」という。）の対象事業者（以下｢信託銀行等｣という。）が、個人情報の保護に関する法律（以下「法」という。）をはじめとした関連法令等を遵守しつつ、匿名加工情報の適切な取扱いの確保のために、個人情報の保護と利用に関する指針（以下「指針」という。
）とは別に、匿名加工情報の取扱いに関する部分に特化して分かりやすく示す
観点から定めたものである。
（運用上の考え方）〇本ルール中「しなければならない」等と記載されている規定については、信託銀行等が義務として遵守しなければならない。また、本ルール中「努めなければならない」、「こととする」および「望ましい」と記載されている規定については、信託銀行等が努力義
務として遵守に努めるものである。
〇本ルールにおいて使用する用語は、特に断りのない限り、指針において使用する用語の
例による。

1

２．定義
本ルールは、匿名加工情報の取扱いに関する部分に特化して分かりやすく示す観点から取りまとめたものであるため、本章においては、匿名加工情報の取扱いに特に関係するもののみを記載する。

（１）匿名加工情報「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
（運用上の考え方）〇個人情報は法第２条第１項第１号および同項第２号で定義されている。法第２条第１項第１号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。
）」の場合には、「特定の個人を識別することができないように個人情報を加工」とは、特定の個人を識別することができなくなるように当該個人情報に含まれる氏名、生年月日その他の記述等を削除することを意味する。
○法第２条第１項第２号に該当する「個人識別符号が含まれる」個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる個人識別符号の全部を特定の個人を識別することができなくなるように削除することを意味する。この措置を講じた上で、まだなお、法第２条第１項第１号に定める個人情報に該当する場合、すなわち、「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」に該当する場合がある。
この場合、追加的に、前段落に記載したような法第２条第１項第１号に該当する個人情報としての加工も行う必要がある。
○「削除すること」には、法第２条第９項各号に定めるとおり「当該一部の記載等」または「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えること」も含まれる。「復元することのできる規則性を有しない方法」とは、置き換えた後の記述から、置き換える前の特定の個人を識別することとなる記述等
または個人識別符号の内容を復元することができない方法である。

2

○法における「特定の個人を識別することができる」とは、情報単体または複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力または理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。匿名加工情報に求められる「特定の個人を識別することができない」という要件は、あらゆる手法によって特定することができないよう技術的側面からすべての可能性を排除することまでを求めるものではない。
少なくとも、一般人および一般的な事業者の能力、手法等を基準として当該情報を個人
情報取扱事業者または匿名加工情報取扱事業者が通常の方法により特定できないような状態にすることを求めるものである（例えば、スーパーコンピュータのような高度な機能を有する資源を利用したり、高度なハッキング・スキルを利用したりする等のあらゆる手法によって特定を試みたとしてもできないというように、技術的側面から全ての可能性を排除することまでを求めるものではない（以下の「個人情報を復元することができないようにしたもの」という要件についても同様である）。
○「個人情報を復元することができないようにしたもの」とは、通常の方法では、匿名加工情報から匿名加工情報の作成の元となった個人情報に含まれていた特定の個人を識別することとなる記述等または個人識別符号の内容を特定すること等により、匿名加工情報を個人情報に戻すことができない状態にすることをいう。
○「個人情報を復元することができないようにしたもの」という要件は、あらゆる手法によって復元することができないよう技術的側面から全ての可能性を排除することまでを求めるものではない。少なくとも、一般人および一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者または匿名加工情報取扱事業者が通常の方法により復元できないような状態にすることを求めるものである。
○匿名加工情報を作成するときは、４．匿名加工情報の取扱いに係る義務の考え方の「（２）匿名加工情報の適正な加工」で定める基準に従って加工する必要がある。
○「統計情報」は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向または性質などを数量的に把握するものである。
したがって、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、本ルールの対象外となる。
〇個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）によれば、法第 36 条第１項に定める匿名加工情報を「作成するとき」とは、匿名加工情報として取り3扱うために、当該匿名加工情報を作成するときのことを指す。したがって、例えば信託銀行等において発生した顧客からの苦情等の事例について、当該信託銀行等が、当該事例に含まれる個人情報を加工して統計情報を作成する場合、その作業の途中で生成される加工データについては、匿名加工情報の作成意図はないことから、法律上の「匿名加工情報の作成」に該当しない。なお、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、規制の対象外である。

（２）匿名加工情報取扱事業者
匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして個人情報の保護に関する法律施行
令で定めるもの（以下「匿名加工情報データベース等」という。）を事業の用に供している者のうち、国の機関、地方公共団体、独立行政法人の保有する個人情報の保護に関する法
律（平成 15 年法律第 59 号）で定める独立行政法人等および地方独立行政法人法（平成 15年法律第 118 号）で定める地方独立行政法人を除いた者をいう。
（運用上の考え方）○「匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の匿名加工情報をコンピュータを用いて検索することができるように体系的に構成した、匿名加工情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の匿名加工情報を一定の規則に従って整理・分類し、特定の匿名加工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
○ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）または個人であっても匿名加工情報データベース等を事業の用に供している場合は匿名加工情報取扱事業者に該当する。

4

３．匿名加工情報の作成にあたっての検討事項等 1（１）ユースケース等の明確化
個人情報から匿名加工情報を作成するにあたっては、加工の対象となるデータ項目および加工方法をリスクに応じて絞り込むため、予めユースケース等を明確化することが望ましい。
ユースケース等の明確化にあたっては、例えば、次のような事項を確認し、ユースケー
ス等の概要を整理することが望ましい。
○匿名加工情報の作成者における業務・サービスの概要○匿名加工情報の作成に用いる個人情報データベース等のデータの項目、規模等
・個人情報データベース等によって識別される個人の人数
・データの項目の内容(カテゴリーなどの離散値、年齢などの整数値、振込金額などの連
続値、データの項目の内容および取り得る値の集合、最小値、最大値など)○匿名加工情報に含める必要のあるデータの項目、規模(データ件数)○匿名加工情報の利用目的○データの流通範囲○提供するデータの期間○匿名加工情報の提供の継続性○過去に匿名加工情報を提供したことがある事業者か否か（運用上の考え方）○匿名加工情報をどのような目的で利用するかによって、必要とされる項目やその情報の粒度（精度）は異なり得る。利用目的に応じて不要な項目は削除し、必要な項目に係る情報の粒度を細かくする等、全体として安全性と有用性の両立を図る加工方法を検討することが望ましい。
○予め利用目的を特定せずに、複数の目的に対応できるように加工することも制限されているわけではない。
○「データの流通範囲」については、例えば、契約により提供先からの二次流通を禁止する等して特定の事業者に限定して提供する場合、提供先における匿名加工情報の利用目的を把握することが比較的容易である一方、提供先からのデータの転々流通を許容する
場合、二次流通先での用途や他の情報との突合可能性について把握することが困難であ1

本章「（１）」〜「（３）」の検討事項は、４．匿名加工情報の取扱いに係る義務の考え方以降で適切な匿名加工等を行うにあたって検討することが望ましい事項であり、必ず実施する義務があるものではない。

5

る。したがって、匿名加工情報が特定の会社だけに留まる場合と、制限なく流通する場
合では、流通先における再識別リスクが異なる。
○「提供するデータの期間」については、１か月間のデータに含まれる履歴情報と１年間のデータに含まれる履歴情報とでは、そこから読み取ることのできる履歴情報に係る本
人の行動習慣には大きな差が生じ得る。その蓄積量によって特定個人の識別性や元の個
人情報への復元性に影響するかどうかを検討することが望ましい。また、一度に提供されるデータに含まれる履歴情報の期間が短くても、同一の事業者に対して継続的にデータが提供される場合、結果として、データに含まれるトータルの期間が長くなる。このような場合に再識別リスクを低減する方法の一つとして、定期的に仮ＩＤを変更することも有効である。
○「匿名加工情報の提供の継続性」については、複数回にわたって匿名加工情報を提供する際に、各回のデータセット間での同一人物の紐づけを抑制すべく、仮ＩＤを付けずに提供したり、提供の度に仮ＩＤを変更したりするような場合も想定される。この場合に、都度提供される匿名加工情報データベースにおけるレコードの並びが同じであったり、提供されるデータセットが対象としている期間に重複があったりすると、データセット
間の紐づけが容易となってしまう。したがって、複数回にわたって提供する匿名加工情報データベース間でレコードが紐づけられることを抑制したい場合には、レコードの並びを変更したり、データセットが対象としているデータに重複期間が生じないように加工したりすることが必要である。
○「過去に匿名加工情報を提供したことがある事業者か否か」について、過去に匿名加工情報を提供したことのある事業者に対して、異なる情報の項目からなる匿名加工情報を作成して提供しようとするときには、過去に提供した匿名加工情報と照合されることによって元の個人情報が復元されないよう、同じ仮ＩＤを使用しないようにする等の注意が必要である（過去に提供した匿名加工情報と異なる情報の項目からなる匿名加工情報については、新たに作成時や第三者提供時の公表義務が発生する点には注意が必要である。）。
○匿名加工情報は「特定の個人を識別することができないように」加工することが求められるが、匿名加工情報の制度は、その流通過程における安全性を確保しつつパーソナル
データの利活用を図る制度であるため、一般的に入手し得る他の様々な情報と参照する
ことによる識別の可能性を、次の点を踏まえ、検討することが望ましい。
・検討にあたっては、匿名加工情報の定義のとおり、一般人や一般的な事業者の通常の能力や取り得る手法等が基準となる。例えば、「入手し得る情報の種類」と「情報のマ6ッチングのしやすさ」の観点から考えることができる。
・入手し得る情報の種類としては、次のようなものを想定することができる。
ａ．一般に広く公開、市販されている情報（例：電話帳）
ｂ．多数の事業者がユーザー登録等により取得している情報（例：電子メールアドレ
ス、電話番号等）
ｃ．関係の近い者のみが知り得る情報（例：ＳＮＳに掲載された情報のうち公開制限があるもの等）・一方、情報のマッチングのしやすさについては、次のような観点から分類することができる。
(a)情報の項目とそれに対応する記述等が整理されており、機械的なマッチングがしやすい場合(b)情報の項目とそれに対応する記述等が非定型であり、マッチングに複雑なアルゴリ
ズムや機械学習等が必要な場合・入手し得る情報の種類のうち、上記のａ．やｂ．については入手が容易と考えられる
一方、ｃ．については一部の関係者のみが知り得る情報であり、一般人や一般的事業者を基準として入手容易とは言い難いと考えられる。
・後者に係るマッチングのしやすさについては、匿名加工情報の要件に係る判断基準か
らは上記(a)が対象であると考えられるが、その作成時点での技術水準が考慮されるべきであり、汎用的に使用できる機械学習ツール等が広く利用されるようになった場合には、それについても将来的に上記(a)に含み得る。
・他の情報を参照することによる識別の可能性については、これらの組合せから総合的に判断することができるが、識別の可能性が高いと判断される場合には、匿名加工情報としての要件を満たすために、それぞれ対象となる情報の項目について、加工の程度を変更するほか、対象となるデータセットで情報の一意性を無くす等の措置を行う
ことが考えられる。

7

（２）個人属性情報・履歴情報の仕分け
信託銀行等の有する個人情報データベース等から匿名加工の対象となる個人データを抽出し、個人情報に係る本人の基本的な属性に関わる情報の項目を「個人属性情報」、個人の行動に伴い発生する行動の履歴に関わる情報の項目を「履歴情報」として仕分けすることが望ましい。
（運用上の考え方）〇個人属性情報に含まれる個人を特定することができる記述等や個人識別符号、個人属性
情報と履歴情報を相互に連結する符号を明確化し、本章「（３）個人識別に係るリスクの抽出」を効率的に行うことを目的とする。
〇個人属性情報・履歴情報の仕分けの例は次の表のとおり。
個人属性情報

氏名
生年月日
性別
住所
郵便番号
マイナンバー
パスポート番号（旅券番号）
固定電話番号
携帯電話番号
CIF 番号
口座番号
クレジットカード番号
電子メールアドレス
職業（勤務先名等）
年収
預金額・借入額
家族構成

履歴情報

等

取引日時
取引金額
利用店舗・利用 ATM

8

等

（３）個人識別に係るリスクの分析・抽出
信託銀行等は、匿名加工情報を作成するにあたり、データ項目やその内容を踏まえ、適切な加工方法を採用することが必要であることから、「（１）ユースケースの明確化」および「（２）個人属性情報・履歴情報の仕分け」を踏まえ、個人識別のリスクを分析・抽出することが望ましい2。
想定される個人識別のリスクは、例えば、次のようなものがある。
〇その情報自体で個人を特定できる。
〇その情報自体が個人情報である（個人識別符号）。
〇他のデータ項目との組合せにより、個人の特定につながる可能性がある。
〇本人にアクセスすることができる。
〇多くの事業者が収集しており、異なるデータセット間で個人を特定するための識別子として機能する可能性がある。
〇個人の特定につながる特異な記述等がある。

2

代表的な個人属性情報・履歴情報のデータ項目と想定されるリスクは、４．匿名加工情報の取扱いに係る義務の考え方「（２）匿名加工情報の適正な加工」の「（運用上の考え方）」に列挙された表を参照。

9

４．匿名加工情報の取扱いに係る義務の考え方（１）匿名加工情報の取扱いに係る義務
３．匿名加工情報の作成にあたっての検討事項等等を踏まえ、匿名加工情報を作成する信託銀行等が、匿名加工情報を取り扱う場合等に遵守すべき義務等は次の表のとおり（表中の「加工方法等情報」の定義については、本章「（３）匿名加工情報等の安全管理措置等」
を参照のこと）。
個人情報取扱事業者

委託を受けて匿名加工（匿名加工情報作成者/

情報を作成する者

委託元）（委託先・参考）

匿名加工情報の作成者/

匿名加工情報の作成者

匿名加工情報データベー

法的提供者（個人情報取扱事（個人情報取扱事業者）

ス等を事業の用に供する

立場

業者）

匿名加工情報取扱事業者

者（匿名加工情報取扱事
業者）

匿名加工情報の適正な

匿名加工情報の適正な加工（委託元としての委加工

託先の監督）
加工方法等情報の安全

加工方法等情報の安全管理措置（委託元として管理措置の委託先の監督）
匿名加工情報作成時の匿名加工情報作成時の情報項目公表情報項目公表（委託元に
よる公表）

遵守
事項

匿名加工情報の第三者

匿名加工情報の第三者提提供時の、提供情報項目

供時の、提供情報項目おおよび提供方法の公表

よび提供方法の公表

提供先への明示

提供先への明示

識別行為の禁止

識別行為の禁止

識別行為の禁止（加工方（他の情報と照合する（他の情報と照合する

法等情報）の取得禁止・ことを禁止）（委託元とことを禁止）

他の情報との照合の禁して委託先の監督）

止）

匿名加工情報の安全管理措置等（努力義務）
また、信託銀行等が、他の事業者から、匿名加工情報を受領する場合には、当該事業者が匿名加工情報の作成等に係る法令を遵守しているかどうかについて、適切な方法で確認を行うことが望ましい。
10

（２）匿名加工情報の適正な加工
信託銀行等は、匿名加工情報（匿名加工情報データベース等を構成するものに限る）を作成するときは、特定の個人を識別することおよびその作成に用いる個人情報を復元することができないようにするために、次の基準に従い、当該個人情報を加工しなければならない。
① 個人情報に含まれる特定の個人を識別することができる記述等の全部または一部を削除すること(当該全部又は一部の記述等を復元することのできる規則性を有しない方法
により他の記述等に置き換えることを含む。)。
② 個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元する
ことのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
③ 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号(現に信託銀行等において取り扱う情報を相互に連結する符号に限る。)を削除すること(当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。)。
④ 特異な記述等を削除すること(当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
⑤ ①～④に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報
データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
（運用上の考え方）〇本文「①」の特定の個人を識別することができる記述等の削除
・信託銀行等が取り扱う個人情報には、一般に、氏名、住所、生年月日、性別の他、様々な個人に関する記述等が含まれている。これらの記述等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、住所、生年月日など、これらの記述等が合わさることによって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等から全部またはその一部を削除するあるいは他の記述等に置き換えることによって、特定の個人を識別することができないよう加工しなければならない。
・なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法でなければならない。例えば、生年月日の情報を生年の情報に置き換える場合のよ
うに、元の記述等をより抽象的な記述に置き換えることも考えられる。
・仮 IＤを付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。例えば、仮にハッシュ関数等を用いて氏名・住所・連絡先・電話番号11

のように個々人に固有の記述等から仮ＩＤを生成しようとする際、元の記述に同じ関数を単純に用いると元となる記述等を復元することができる規則性を有することとなる可能性がある場合には、元の記述（例えば、氏名＋連絡先）に乱数等の他の記述を加えた上でハッシュ関数等を用いるなどの手法を検討することが考えられる。なお、同じ乱数等の他の記述等を加えた上でハッシュ関数等を用いるなどの手法を用いる場
合には、乱数等の他の記述等を通じて復元することができる規則性を有することとならないように、提供事業者ごとに組み合わせる記述等を変更し、定期的に変更するな
どの措置を講ずることが望ましい【想定される加工の事例】＜事例 1＞
氏名、住所、生年月日が含まれる個人情報を加工する場合に次の 1）から 3）までの措置を講ずる。
1）氏名を削除する。
2）住所を削除する。または、○○県△△市に置き換える。
3）生年月日を削除する。または、日を削除し、生年月に置き換える。
＜事例 2＞
CIF 番号、氏名、住所、電話番号が含まれる個人情報を加工する場合に次の 1）および2）の措置を講ずる。
1）CIF 番号、氏名、電話番号を削除する。
2）住所を削除する。または、○○県△△市に置き換える。
〇本文「②」の個人識別符号3の削除
・加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別符
号単体で特定の個人を識別できるため、当該個人識別符号の全部を削除または他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
・なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
〇本文「③」の情報を相互に連結する符号の削除
・個人情報取扱事業者が個人情報を取り扱う上で、例えば、安全管理の観点から取得した個人情報を分散管理等しようとするために、当該個人情報を分割あるいは全部また
は一部を複製等した上で、当該個人情報に措置を講じて得られる情報を個人情報と相互に連結するための符号としてＩＤ等を付していることがある。このようなＩＤは、
3

個人識別符号は指針を参照のこと。

12

個人情報と当該個人情報に措置を講じて得られる情報を連結するために用いられるものであり、特定の個人の識別または元の個人情報の復元につながり得ることから、加工対象となる個人情報から削除または他の符号への置き換えを行わなければならない。
・個人情報と当該個人情報に措置を講じて得られる情報を連結する符号のうち、「現に信託銀行等において取り扱う情報を相互に連結する符号」がここでの加工対象となる。
具体的には、ここで対象となる符号は、匿名加工情報を作成しようとする時点において、実際に取り扱う情報を相互に連結するように利用されているものが該当する。例
えば、分散管理のためのＩＤとして実際に使われているものであれば、管理用に附番されたＩＤあるいは電話番号等もこれに該当する。
・なお、他の符号に置き換える場合は、元の符号を復元できる規則性を有しない方法でなければならない。
〇本文「④」の特異な記述等の削除
・一般的にみて、珍しい事実に関する記述等または他の個人と著しい差異が認められる記述等については、特定の個人の識別または元の個人情報の復元につながるおそれがあるものである。そのため、匿名加工情報を作成するにあたっては、特異な記述等について削除または他の記述等への置き換えを行わなければならない。
・ここでいう「特異な記述等」とは、特異であるがために特定の個人を識別できる記述等に至り得るものを指すものであり、他の個人と異なるものであっても特定の個人の識別にはつながり得ないものは該当しない。実際にどのような記述等が特異であるかどうかは、情報の性質等を勘案して、個別の事例ごとに客観的に判断する必要がある。
・他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。例えば、特異な記述等をより一般的な記述等に置き換える方法もあり得る。
【想定される加工の事例】＜事例＞
年齢が「116 歳」という情報を「90 歳以上」に置き換える。
〇本文「⑤」の個人情報データベース等の性質を踏まえたその他の措置⑤－１

個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異を勘案し、その結果を踏まえて適切な措置が求められる場合

・匿名加工情報を作成する際には、まず本文「①」から「④」までの措置を講ずること
で、特定の個人を識別できず、かつ当該個人情報に復元できないものとする必要がある。
13

・しかしながら、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人
情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある
場合など、加工の元となる個人情報データベース等の性質によっては、本文「①」から「④」までの加工を施した情報であっても、一般的にみて、特定の個人を識別することが可能である状態あるいは元の個人情報を復元できる状態のままであるといえる
場合もあり得る。
・そのような場合に対応するため、上記の措置のほかに必要となる措置がないかどうかを勘案し、必要に応じて、レコード削除、トップ（ボトム）コーディング、セル削除などにより、適切な措置を講じなければならない。
【想定される加工の事例】＜事例＞
例えば、小学校の身体検査の情報を含む個人情報データベース等を加工対象情報とす
る場合、ある児童の身長が 170cm という他の児童と比べ差異が大きい情報があり、特定の個人の識別または元の個人情報の復元に繋がる恐れがある場合、身長 150cm 以上という情報に置き換える（トップコーディング）。
⑤－２

その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置が求められる場合

・加工対象となる個人情報データベース等の性質によって加工の対象および加工の程度は変わり得るため、どの情報をどの程度加工する必要があるかは、加工対象となる個
人情報データベース等の性質も勘案して、例えば以下の手順で匿名加工を行う。
ａ．参照情報入手容易性評価
匿名加工を行った後の情報において、参照情報4が公開情報として広く市販されている場合、入手容易性が高いと評価。
ｂ．マッチング容易性評価
参照情報が表形式になっている場合、マッチング容易性が高いと評価。
ｃ．一意な情報の存在確認
仮ＩＤ置換を行った以外の全ての項目において組合せが一意となるレコードが存在することを確認。
ｄ．匿名加工参照情報の入手容易性およびマッチング容易性が高く、本文「①」から「④」まで、および上記「⑤－１」の匿名加工を行った後の情報に一意な情報が存在する場合（個人情報データベース等の性質を勘案し適切な措置が求められる情
4「参照情報」とは、匿名加工情報と個人別に紐付けを行うことができる情報を指す。例えば、匿名加工情報（サービス ID、利用サービス名）と参照情報（サービス ID、氏名）など。

14

報が存在する場合）、以下の事例のような一意性を失わせる対応、または、参照を困難にするような匿名加工を行う。
【想定される加工の事例】＜事例＞
匿名加工情報（職業：商社勤務、趣味：ラクロス、生年月日：1990 年 12 月）に対して、参照情報（氏名：鈴木太郎、職業：商社勤務、趣味：ラクロス）と参照情報（氏名：鈴木太郎、生年月日：1990 年 12 月 20 日）が公開情報として表形式で入手可能な場合、匿名加工情報の当該一意となるレコードの削除、一意の原因となるセルの削除（1990 年 12月を空欄化）、または項目の削除（生年月日項目の削除）を行う。
・また、購買履歴、位置に関する情報などを含む個人情報データベース等において反復して行われる行動に関する情報が含まれる場合には、これが蓄積されることにより、個人の行動習慣が分かるような場合があり得る。そのような情報のうち、その情報単体では特定の個人が識別できるとは言えないものであっても、蓄積されたこと等によって特定の個人の識別または元の個人情報の復元につながるおそれがある部分については、適切な加工を行わなければならない。
〇匿名加工に用いられる代表的な加工手法は次の表のとおり5。
手法名

解説

項目削除／レコード

加工対象となる個人情報データベース等に含まれる個人情報の記

削除／セル削除

述等を削除するもの。例えば、年齢のデータを全ての個人情報から削除すること（項目削除）、特定の個人の情報を全て削除すること（レコード削除）、または特定の個人の年齢のデータを削除すること（セル削除）。

一般化

加工対象となる情報に含まれる記述等について、上位概念若しく
は数値に置き換えること。例えば、購買履歴のデータで「きゅうり」を「野菜」に置き換えること。

トップ（ボトム）コ

加工対象となる個人情報データベース等に含まれる数値に対しーディングて、特に大きいまたは小さい数値をまとめることとするもの。例
えば、年齢に関するデータで、80 歳以上の数値データを「80 歳以上」というデータにまとめること。

レコード一部抽出

加工対象となる個人情報データベース等に含まれる個人情報の一部のレコードを(確率的に)抽出すること。いわゆるサンプリング

5

本表は匿名加工情報の作成にあたっての一般的な加工手法を例示したものであり、その他の手法を用いて適切に加工することを妨げるものではない。

15

手法名

解説
も含まれる。

項目一部抽出加工対象となる個人情報データベース等に含まれる個人情報の項
目の一部を抽出すること。例えば、購買履歴に該当する項目の一部を抽出すること。

ミクロアグリゲーシ

加工対象となる個人情報データベース等を構成する個人情報をグ

ョン

ループ化した後、グループの代表的な記述等に置き換えることとするもの。

丸め(ラウンディン

加工対象となる個人情報データベース等に含まれる数値に対し

グ)て、四捨五入等して得られた数値に置き換えることとするもの。

データ交換(スワッ

加工対象となる個人情報データベース等を構成する個人情報相互

ピング)に含まれる記述等を(確率的に)入れ替えることとするもの。例えば、異なる地域の属性を持ったレコード同士の入れ替えを行うこと。

ノイズ(誤差)付加

一定の分布に従った乱数的な数値等を付加することにより、他の任意の数値等へと置き換えることとするもの。

疑似データ生成

人工的な合成データを作成し、これを加工対象となる個人情報データベース等に含ませることとするもの。

〇情報の項目と想定されるリスクおよび加工例は以下のとおり。
項目（個人属性情報）想定されるリスク

加工例（削除は置き換えも含む）

氏名

それ自体で個人を特定できる。

全部削除

生年月日

住所(郵便番号)、性別との組合せに原則として、日を削除する。

より、個人の特定につながる可能性

必要に応じて生年月、年齢、がある。

年代等に置き換える。（丸め）
超高齢であることが分かる
生年月や年齢を削除する。
（セル削除/トップコーデ
ィング）

性別

住所

住所（郵便番号）、生年月日との組

他の情報との組合せによっ

合せにより、個人の特定につながるて必要がある場合は削除す

可能性がある。

る。（項目削除）

生年月日、性別との組合せにより、 原則として、町名、番地、個人の特定につながる可能性があ16

マンション名等の詳細を削項目想定されるリスク（個人属性情報）る

加工例（削除は置き換えも含む）
除する。（丸め）

本人にアクセスすることができる。 レコード総数等に応じて、県単位や市町村単位へ置き換える。（丸め）
郵便番号

生年月日、性別等との組合せにより下４桁を削除する。（丸め）

個人の特定に結びつく可能性がある。
マイナンバー

それ自体で個人情報とされている。 全部削除する。（項目削除）（個人識別符号）パスポート番号（旅それ自体で個人情報とされている。 全部削除する。（項目削除）

券番号）（個人識別符号）

固定電話番号

多くの事業者が収集しており、異な全部削除、もしくは住所にるデータセット間で個人を特定す関する記述に準じて加入者るための識別子として機能し得る。 番号（下４桁）を削除。
（丸
本人にアクセスすることができる。 め）
携帯電話番号

多くの事業者が収集しており、異な全部削除する。（項目削除）

るデータセット間で個人を特定するための識別子として機能し得る。
本人にアクセスすることができる
CIF 番号

口座番号を含む番号体系である可全部削除する。（項目削除）

能性がある。
個人を特定するための識別子として機能する。
口座番号

多くの事業者が収集しており、異な全部削除する。（項目削除）

るデータセット間で個人を特定するための識別子として機能する。
クレジットカード番

多くの事業者が収集しており、異な号

るデータセット間で個人を特定す

全部削除する。（項目削除）

るための識別子として機能し得る。
本人に直接被害を与え得る。
電子メールアドレス

多くの事業者が収集しており、異な（含むＳＮＳ ＩＤ） るデータセット間で個人を特定するための識別子として機能し得る。
17

全部削除する。（項目削除）

項目（個人属性情報）想定されるリスク

加工例（削除は置き換えも含む）

本人にアクセスすることができる。
多くの事業者で共有されるＳＮＳＩＤである場合は、個人を特定するための識別子として機能する。
職業（勤務先名等）

住所や年収等との組合せにより、個勤務先名を職種等のカテゴ

人の特定につながる可能性がある。 リーに置き換える。（一般化）
年収

職業や住所等との組合せにより、個

具体的な年収を収入区分へ

人の特定につながる可能性がある。 置き換える。
（丸め）
超高年収の場合、それ自体から個人

超高収入の値を削除する。

を特定できる可能性がある。

（セル削除/トップコーデ
ィング）

預金額・借入額

職業や住所等との組合せにより、個具体的な預金額・借入額を人を特定できる可能性がある。

当該額の区分へ置き換え

預金額・借入額が極端に多い場合、 る。（丸め）それ自体から個人を特定できる可

当該額の値を削除する。
（セ

能性がある。

ル削除/トップコーディン
グ）

家族構成

住所等との組合せにより、個人の特

具体的な家族人数を人数区定につながる可能性が高くなる。

分へ置き換える。（丸め）
詳細な家族構成を世帯構成
区分（単身、親子、三世帯等）へ置き換える。（丸め）項目（履歴情報※）
入出金明細

想定されるリスク

加工例（削除は置き換えも含む）

摘要欄の仕向人氏名、被仕向先氏名

仕向人氏名、被仕向人氏名により、個人の特定につながる可能を振込（仕向）、振込（被仕性がある。

向）等のカテゴリーまたは摘要欄の口座振替収納企業名と大仮ＩＤ等に置き換える。
（一量の支払履歴から個人の特定につ

般化、仮ＩＤ）

ながる可能性がある。

口座振替収納企業名を口座振替または仮ＩＤ等に置き換える。（一般化、仮ＩＤ）

18

項目（履歴情報※）
振込明細

想定されるリスク

加工例（削除は置き換えも含む）

摘要欄の口座振替収納企業名と大口座振替収納企業名を口座量の支払履歴から個人の特定につ振替または仮ＩＤ等に置きながる可能性がある。

換える。（一般化、仮ＩＤ）※信託銀行等は、一個人の長期間にわたる履歴情報を保有していることも考えられるところ、例えば、１か月間のデータに含まれる履歴情報と１年間のデータに含まれる履歴情報とでは、そこから読み取ることのできる履歴情報に係る本人の行動習慣には大きな差が生じ得る。したがって、加工の方法として、提供するデータに含まれる履歴情報の期間を一定程度短くすることも有効である。また、同一の事業者に対して継続的にデータが提供される場合、結果としてデータに含まれるトータルの期間が長くなるときもある
ため、定期的に仮ＩＤを変更することも有効である。

19

（３）匿名加工情報等の安全管理措置等①加工方法等情報の安全管理措置
信託銀行等は、匿名加工情報を作成したときには、その作成に用いた個人情報から削除した記述等および個人識別符号ならびに個人情報保護委員会の定める基準に従い行った加工の方法に関する情報の漏えいを防止するために必要なものとして、次の基準に従い、これらの情報の安全管理のための措置を講じなければならない。
〇加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等および個人識別符号ならびに個人情報保護委員会の定める基準に従い行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下、同様とする。
）を取り扱う者の権限および責任を明確に定めること〇加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果にもとづき改善を図るために必要な措置を講ずること〇加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること
また、信託銀行等が、匿名加工情報の作成を他の事業者に委託する場合には、委託先において、匿名加工情報が適切に作成され、かつ、匿名加工情報や加工方法等情報について、安全管理措置が適切に講じられるよう、委託先に対し、必要かつ適切な監督をしなければならない。
（運用上の考え方）
本文の措置の内容は、対象となる加工方法等情報が漏えいした場合における復元リスクの大きさを考慮し、当該加工方法等情報の量、性質等に応じた内容としなければならない
が、具体的に講じなければならない項目および具体例については、次の表を参照のこと。
講じなければならない措置

具体例

加工方法等情報を取り扱う者の権限および・責任の明確化

加工方法等情報の安全管理措置を講ずるための組織体制の整備

加工方法等情報の取扱いに関する規程類の・整備および当該規程類に従った加工方法等

加工方法等情報の取扱いに係る規程等の整備とこれに従った運用

情報の適切な取扱いならびに加工方法等情・従業員の教育報の取扱状況の評価およびその結果にもと・加工方法等情報の取扱状況を確認す

づき改善を図るために必要な措置の実施

る手段の整備・20

加工方法等情報の取扱状況の把握、安講じなければならない措置

具体例
全管理措置の評価、見直しおよび改善

加工方法等情報を取り扱う正当な権限を有・しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置

加工方法等情報を取り扱う権限を有しない者による閲覧等の防止

・機器、電子媒体等の盗難等の防止・電子媒体等を持ち運ぶ場合の漏えい等の防止・加工方法等情報の削除ならびに機器、電子媒体等の廃棄・加工方法等情報へのアクセス制御

・加工方法等情報へのアクセス者の識別と認証・

外部からの不正アクセス等の防止

・

情報システムの使用に伴う加工方法
等情報の漏えい等の防止〇前頁の「加工方法等情報」の定義における「その情報を用いて当該個人情報を復元することができるもの」には、例えば、氏名等を仮ＩＤに置き換えた場合における置き換え
アルゴリズムに用いられる乱数等のパラメータまたは氏名と仮ＩＤの対応表等のような加工の方法に関する情報が該当し、「年齢のデータを 10 歳刻みのデータに置き換えた」というような復元につながらない情報は該当しない。

21

②匿名加工情報の安全管理措置
信託銀行等は、匿名加工情報を作成したときには、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じるよう努め
なければならない。また、この場合、信託銀行等は、当該措置の内容を公表するよう努め
なければならない。
信託銀行等が匿名加工情報取扱事業者である場合には、匿名加工情報（自ら個人情報を加工して作成したものを除く。）の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じるよう努めなければならない。また、この場合、信託銀行等は、当該措置の内容を公表するよう努めなければならない。
（運用上の考え方）〇匿名加工情報の安全管理等の措置については、個人情報と同様の取扱いを求めるものではないが、例えば、法第 20 条から第 22 条までに定められている個人データの安全管理、従業者の監督および委託先の監督ならびに法第 35 条に定める個人情報の取扱いに関する苦情の処理で求められる措置の例を参考にすることも考えられる。具体的には、事業の性質、匿名加工情報の取扱い状況、取り扱う匿名加工情報の性質、量等に応じて、合理的かつ適切な措置を講ずることが望ましい。
〇なお、匿名加工情報については識別行為の禁止義務が課されていることから、匿名加工
情報を取り扱うにあたっては、それを取り扱う者が不適正な取扱いをすることがないよ
う、匿名加工情報に該当することを明確に認識できるようにしておくことが重要である。
そのため、作成した匿名加工情報について、匿名加工情報を取り扱う者にとってその情報が匿名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
〇苦情の処理については、５．苦情処理体制の整備も参照のこと。

22

（４）匿名加工情報の作成時の公表
信託銀行等は、匿名加工情報を作成したときには、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
信託銀行等が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合には、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を上記に規定する方法により公表するものとする。この場合においては、当該公表をもって当該信託銀行等が当該項目を公表したものとみなす。

【個人に関する情報の項目の事例】＜事例＞「氏名・性別・生年月日・預金残高」のうち、氏名を削除した上で、生年月日の一般化、預金残高を丸める等加工して、「性別・生年・預金残高」に関する匿名加工情報として作成した場合の公表項目は、
「性別」、
「生年」、
「預金残高」である（ただし、預金残高の丸め方について説明することが望ましい。
）。
（運用上の考え方）〇個人に関する情報の項目が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間または継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、その後に作成される匿名加工情報に係る公表については先の公表により行われたものと解される。
〇なお、他の個人情報取扱事業者との委託契約により個人データの提供を受けて匿名加工
情報を作成する場合など委託により匿名加工情報を作成する場合には、委託元において当該匿名加工情報に含まれる個人に関する情報の項目を公表するものとする。
〇「匿名加工情報を作成したとき」とは、匿名加工情報として取り扱うために、個人情報を加工する作業が完了した場合のことを意味する。すなわち、あくまで個人情報の安全管理措置の一環として一部の情報を削除しあるいは分割して保存・管理する等の加工をする場合または個人情報から統計情報を作成するために個人情報を加工する場合等を含
むものではない。
〇匿名加工情報を作成するために個人情報の加工をする作業を行っている途上であるもの
23

の作成作業が完了していない場合には、加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため「匿名加工情報を作成したとき」とは位置付けられない。
〇「遅滞なく」とは、正当かつ合理的な期間であれば公表が匿名加工情報を作成した直後
でなくても認められることを意味する。ただし、少なくとも匿名加工情報の利用または第三者提供をする前に匿名加工情報を作成したことを一般に十分に知らせるに足る期間を確保するものでなければならない。

24

（５）匿名加工情報の第三者提供
信託銀行等が、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときには、
インターネットの利用その他の適切な方法により、予め、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目およびその提供の方法について公表するとともに、
当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を、電子メールを送信する方法または書面を交付する方法その他の適切な方法により明示しなければならない。
信託銀行等が匿名加工取扱事業者である場合に、匿名加工情報(自ら個人情報を加工して作成したものを除く。)を第三者に提供するときには、インターネットの利用その他の適切な方法により、予め、第三者に提供される匿名加工情報に含まれる個人に関する情報の項
目およびその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を、電子メールを送信する方法または書面を交付する方法
その他の適切な方法により明示しなければならない。

【第三者に提供する匿名加工情報に含まれる個人に関する情報の項目の事例】＜事例＞「氏名・性別・生年月日・預金残高」のうち、氏名を削除した上で、生年月日の一般化、預金残高を丸める等加工して、「性別・生年・預金残高」に関する匿名加工情報として作成
して第三者提供する場合の公表項目は、
「性別」、
「生年」
、
「預金残高」である（ただし、預金残高の丸め方について説明することが望ましい。）。

【匿名加工情報の提供の方法の事例】＜事例 1＞
ハードコピーを郵送＜事例 2＞
第三者が匿名加工情報を利用できるようサーバにアップロード（運用上の考え方）〇個人に関する情報の項目および加工方法が同じである匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合には、最初に匿名加工情報を第三者提供するときに個人に関する項目を公表する際に、提供期間または継続的な提供を予定している旨を明記するなど継続的に提供されることとなる旨を明らかにしておくことにより、その後に第三者に提供される匿名加工情報に係る公表については先の公表により行われたものと解される。
〇匿名加工情報をインターネット等で公開する行為についても不特定多数への第三者提供25にあたるため、上記の公表等の義務を履行する必要がある。
（６）識別行為の禁止
匿名加工情報を取り扱う場合には、当該匿名加工情報の作成の元となった個人情報の本
人を識別する目的で、それぞれ次の行為を行ってはならない。
〇個人情報取扱事業者が自ら作成した匿名加工情報を取り扱う場合
・自らが作成した匿名加工情報を、本人を識別するために他の情報と照合すること。
〇匿名加工情報取扱事業者が他者の作成した匿名加工情報を取り扱う場合・受領した匿名加工情報（行政機関非識別加工情報および独立行政法人等非識別加工情報を含む。）の加工方法等情報を取得すること。
・受領した匿名加工情報を、本人を識別するために他の情報と照合すること。

【識別行為にあたらない取扱いの事例】＜事例 1＞
複数の匿名加工情報を組み合わせて統計情報を作成すること。
＜事例 2＞
匿名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高など）とともに傾向を統計的に分析すること。

【識別行為にあたる取扱いの事例】＜事例 1＞
保有する個人情報と匿名加工情報について、共通する記述等を選別してこれらを照合すること。
＜事例 2＞
自ら作成した匿名加工情報を、当該匿名加工情報の作成の元となった個人情報と照合すること。
（運用上の考え方）〇匿名加工情報については、当該匿名加工情報の作成の元となった個人情報の本人を識別する目的のために他の情報と照合することが禁止されている。一方、個人情報として予め特定した個人情報の利用目的の範囲内で取り扱う場合に照合を禁止するものではない。
〇「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報および匿名加工情報を含む情報全般と照合する行為が禁止される。また、具体的にどのような技術または手法を用いて照合するかは問わない。
26

〇「行政機関非識別加工情報」とは、行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第 58 号）第２条第９項に定めるものを指す。また、「独立行政法人等非識別加工情報」とは、独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法
律第 59 号）第２条第９項に定めるものを指す。なお、それらの情報は匿名加工情報に包含される概念であることから、それらの情報を取り扱う事業者は、匿名加工情報取扱事業者に係る規律の対象となる。

27

５．苦情処理体制の整備
信託銀行等は、匿名加工情報の取扱いに関する苦情を受け付けた場合は、その内容について調査し、合理的な期間内に、適切かつ迅速な処理に努めなければならず、かつ、そのために必要な体制の整備に努めなければならない。
（運用上の考え方）〇「必要な体制の整備」には、例えば、次の措置が該当する。
・匿名加工情報の取扱いに関する苦情相談受付窓口を設置し、公表する。
・苦情相談受付窓口において、苦情処理手順を整備する。
・苦情処理にあたる従業者への十分な教育・研修を実施する。

28

６．漏えい事案等への対応
信託銀行等は、匿名加工情報の作成に用いた個人情報から削除した記述等および個人識
別符号ならびに法第 36 条第１項（匿名加工情報の作成等）の規定により行った加工の方法に関する情報（以下、「加工方法等情報」という。）の漏えい事案（以下「匿名加工に係る漏えい事案等」という。
）の事故が発生した場合、本章に記載の措置を講じる。
（１）対象とする事案
信託銀行等が保有する加工方法等情報（特定個人情報に係わるものを除く。）の漏えいま
たは紛失等。
（２）加工方法等情報① 匿名加工情報の作成に用いた個人情報から削除した記述等（その情報を用いて当該個人情報を復元することができるものに限る。）＜例＞
・氏名、生年月日、住所
・症例数の極めて少ない病歴の記述② 匿名加工情報の作成に用いた個人情報から削除した個人識別符号③ 加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）＜例＞
・氏名を仮ＩＤに可逆的に変換した場合、その変換規則、ロジック（３）漏えい事案の事故が発生した場合に講ずべき措置
信託銀行等は、匿名加工に係る漏えい事案等の事故が発生した場合には、次の措置を講じるほか、法令等にもとづき適切な措置を講じる。
〇監督当局等および当協会に直ちに報告する（郵便局員による誤配など、信託銀行等の責めに帰さない事案については、原則として報告を要しない。ただし、本人の権利利益が侵害されておらず、今後も権利利益の侵害の可能性がないまたは極めて小さいとはいえない場合については、漏えい等した情報の量、機微（センシティブ）情報の有無および二次被害や類似事案の発生の可能性などの諸事情を検討したうえで、発生の都度直ちにまたは四半期に一回程度にまとめての報告を要する。）。
〇二次被害の防止、類似事案の発生回避等の観点から、漏えい等の事実関係 および再発防止策等を早急に公表する。
〇匿名加工に係る漏えい事案等の対象となった本人に速やかに当該事案等の事実関係等を通知等する。
29

７．その他の検討事項（１）匿名加工情報と銀行が負う守秘義務との関係
最高裁判所の判例において、「金融機関は、顧客との取引内容に関する情報や顧客との取引に関して得た顧客の信用にかかわる情報などの顧客情報につき、商慣習上又は契約上、当該顧客との関係において守秘義務を負い、その顧客情報をみだりに外部に漏らすことは許されない。」（最決平成19年12月11日民集61巻９号3364頁）とされている。したがって、
信託銀行等が、正当な理由なく顧客情報を第三者に漏らした場合には、信託銀行等・顧客間の信頼関係を破壊するものとして、当該信託銀行等は債務不履行ないし不法行為にもとづく損害賠償責任を負うことになると考えられている。
匿名加工情報を第三者提供するに際しては、こうした信託銀行等が負う守秘義務との関係を整理する必要があるが、一般的に、特定の個人を識別することができないように適切に加工し、個人情報を復元することができないようにした匿名加工情報は、守秘義務の対象外と考えられる6。
ただし、加工方法等情報が漏えいした場合や、そもそも提供した情報について適切な匿
名加工が行われておらず、一般人および一般的な事業者の能力、手法等を基準として、個人情報取扱事業者または匿名加工情報取扱事業者が通常の方法により、当該情報から特定の個人を特定あるいは個人情報を復元できる場合には、法に抵触するだけでなく、守秘義
務の観点から上記の債務不履行ないし不法行為に基づく損害賠償責任を負う可能性があることに留意する必要がある。
（２）その他の検討事項
法令、各種ガイドラインおよび本ルールの規定に従って適切に匿名加工情報の作成・提供を行っていたとしても、当該作成等の公表をした際に、顧客等から匿名加工情報の作成等に係る苦情等が寄せられる可能性がある。こうした可能性に鑑み、信託銀行等は、４．
匿名加工情報の取扱いに係る義務の考え方の「（４）匿名加工情報の作成時の公表」で定める匿名加工情報に係る公表を行うに際しては、必要に応じて、例えば、次のような事項に関する情報提供を併せて行うことが考えられる。
○匿名加工情報に関する説明・（記載例）「匿名加工情報」とは、個人情報に適切な措置を講じることにより、特定の個人を識別することができないように個人情報を加工して得られる情報であって、当該個人情報を復元することができないようにしたものです。
6

全国銀行協会「貸出債権市場における情報開示に関する研究会報告書」（2004年）５頁以下においては、「そもそも守秘義務の対象とならない情報もある。例えば、複数の債権をプールしたうえで証券化する場
合に、マクロ的な債権全体のパフォーマンス・データを格付機関等に提供することがあるが、こうした場
合の情報は、個別債務者が識別できるものでない場合には、債務者に対する守秘義務の対象外と考えてよい」こととされている。

30

匿名加工情報単体ではお客様個人を識別することができないことに加えて、これを他の情報と組み合わせることによってお客様個人を識別することは法律で禁じられております。
○匿名加工情報の利用目的に関する説明
・（記載例）当社は、お客様の個人情報をもとに作成した匿名加工情報を、当社または当社と提携している第三者が提供する商品・サービスの利用状況に関する分析・調査を行い、これにより、当該商品・サービスの品質の改善や、よりお客様にご満足いた
だけるような新しい商品・サービスの開発を行うことを目的として利用・提供します。

31

８．本ルールの見直し
個人情報の保護および利活用についての考え方は、社会情勢の変化、国民の認識の変化、技術の進歩、国際動向等に応じて変わり得るものであり、本ルールは、こうした諸環境の変化を踏まえて、必要に応じ見直しを行うものとする。
なお、本ルールの見直しの際には、消費者の意見を代表する者その他の関係者の意見を聴くよう努めることとする。
附則
本ルールの施行日は平成 30 年３月 15 日とする。

32

【参考資料：匿名加工情報に関連する法令の規定】

１．個人情報の保護に関する法律(平成 15 年法律第 57 号)(抜粋)（定義）
第２条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一 当該情報に含まれる氏名、生年月日その他の記述等(文書、図画若しくは電磁的記録(電磁的方式(電子的方式、磁気的方式その他人の知覚によっては認識することができな
い方式をいう。次項第２号において同じ。)で作られる記録をいう。第 18 条第２項において同じ。)に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項(個人識別符号を除く。)をいう。以下同じ。)により特定の個人を識別することができるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。)
二 個人識別符号が含まれるもの
２

この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
一

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの

二

個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける 者を識別することができるもの

３～４
５

（略）

この法律において「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。
一

国の機関

二

地方公共団体三 独立行政法人等(独立行政法人等の保有する個人情報の保護に関する法律(平成 15 年
法律第 59 号)第 2 条第 1 項に規定する独立行政法人等をいう。以下同じ。)
四 地方独立行政法人(地方独立行政法人法(平成 15 年法律第 108 号)第２条第１項に規定する地方独立行政法人をいう。以下同じ。)
６～７
８

（略）

この法律において個人情報について「本人」とは、個人情報によって識別される特定の個人をいう。

９

この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当a【参考資料：匿名加工情報に関連する法令の規定】

該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
一 第１項第１号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること(当該一部の記述等を復元することのできる規則性を有しない方法により他の記述
等に置き換えることを含む。)。
二 第１項第２号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること(当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。)。
10

この法律において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの(第 36 条第１項において「匿名加工情報データベース等」という。)を事業の用に供している者をいう。ただし、第五項各号に掲げる者を除く。

（匿名加工情報の作成等）
第 36 条

個人情報取扱事業者は、匿名加工情報(匿名加工情報データベース等を構成するものに限る。以下同じ。)を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保
護委員会規則で定める基準に従い、当該個人情 報を加工しなければならない。
２

個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。

３

個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

４

個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供する
ときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

５

個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うにあ
たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、
当該匿名加工情報を他 の情報と照合してはならない。
b

【参考資料：匿名加工情報に関連する法令の規定】

６

個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処
理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

（匿名加工情報の提供）
第 37 条

匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節において同じ。）を第三者に提供するときは、個人情報保護委員会
規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個
人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
（識別行為の禁止）
第 38 条

匿名加工情報取扱事業者は、匿名加工情報を取り扱うにあたっては、当該匿名加

工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第 36 条第１項の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
（安全管理措置等）
第 39 条

匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な 措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

c【参考資料：匿名加工情報に関連する法令の規定】

２．個人情報の保護に関する法律施行令(平成 15 年政令第 507 号。改正法全面施行時)(抜粋)（匿名加工情報データベース等）
第６条 法第２条第 10 項の政令で定めるものは、これに含まれる匿名加工情報を一定の規則に従って整理することにより特定の匿名加工情報を容易に検索することができるように体系的に構成した情報の集合物であって、目次、索引その他検索を容易にするためのものを有するものをいう。

d

【参考資料：匿名加工情報に関連する法令の規定】

３．個人情報の保護に関する法律施行規則(平成 28 年個人情報保護委員会規則第３号)(抜粋)（匿名加工情報の作成の方法に関する基準）
第 19 条一

法第 36 条第１項の個人情報保護委員会規則で定める基準は、次のとおりとする。

個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること(当該全部又は一部の記述等を復元することのできる規則性を有しない方法
により他の記述等に置き換えることを含む。)。

二

個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

三 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号(現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。)を削除すること（当
該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
四

特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
五前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性 質を勘案し、その結果を踏まえて適切な措置を講ずること。

（加工方法等情報に係る安全管理措置の基準）
第 20 条一

法第 36 条第２項の個人情報保護委員会規則で定める基準は、次のとおりとする。

加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 36 条第１項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。
）を取り扱う者の権限及び責任を明確に定めること。

二

加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。

三

加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。

（個人情報取扱事業者による匿名加工情報の作成時における公表）
第 21 条

法第 36 条第３項の規定による公表は、匿名加工情報を作成した後、遅滞なく、イ

ンターネットの利用その他の適切な方法により行うものとする。
e【参考資料：匿名加工情報に関連する法令の規定】

２

個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。

（個人情報取扱事業者による匿名加工情報の第三者提供時における公表等）
第 22 条

法第 36 条第４項の規定による公表は、
インターネットの利用その他の適切な方法により行うものとする。
２ 法第 36 条第４項の規定による明示は、電子メールを送信する方法又は書面を交付する
方法その他の適切な方法により行うものとする。
（匿名加工情報取扱事業者による匿名加工情報の第三者提供時における公表等）
第 23 条

前条第１項の規定は、法第 37 条の規定による公表について準用する。

２ 前条第２項の規定は、法第 37 条の規定による明示について準用する。

f