（小出）

（岩上）

（宮崎）

（久保田）

（岩上）
（今井）
（今井）

（タスクフォースメンバー）
（久保田）

（後藤）

（小林）

1

匿名加工（医療）情報 とバリデーション研究（小林）個人を識別するためのリンケージ（照合）カルテレビュー

他DBとの突合評価するDB（レセプトデータ等）

原資料
（診療録）

本報告書が示す
リンケージ（照合）のパターン

他データベース（レジストリ等）

2

匿名加工（医療）情報 とバリデーション研究（小林）リンケージ（照合）に必要なもの① 紐付けの為の個人の識別情報① ・氏名・年齢等の情報
・個人を識別するID② 法的根拠、許可、権限② アクセス

評価するDB（レセプトデータ等）

原資料
（診療録）

本報告書が示すリンケージ（照合）のパターン

他データベース（レジストリ等）

3

匿名加工（医療）情報 とバリデーション研究（小林）複数の医療機関から収集・統合されたDBを対象にリンケージ（照合）他DBとの突合

カルテレビュー
評価するDB
医療機関A

照合可能

個人の識別情報を用いた紐付け

本人（患者）の識別情報を用いた照会

医療機関B
医療機関C照合可能
照合可能

他データベース（レジストリ等）
こういったことができれば良い

期待する形匿名加工（医療）情報 とバリデーション研究（小林）4

多くのDBでは匿名化されている• 個人情報保護法• 次世代医療基盤法• 人を対象とする医学系研究に関する倫理指針「本人を識別するために匿名加工（医療）情報を他の情報と照合してはならない」• レセプト情報・特定健診等情報の提供に関するＧＬ「有識者会議が特に認めた場合を除き、個体識別が可能となる可能性があるデータとのリンケージ（照合）を行わないこと」
どんな目的であっても、匿名加工されたデータはリンケージ（照合）してはいけないのか？

匿名化されたデータでバリデーション研究は不可能？
＊）条文の表現は多少変更しております匿名加工（医療）情報 とバリデーション研究（小林）匿名化されたデータは匿名加工情報？
匿名化されたデータ＝匿名加工されたデータ＝匿名加工情報？
Ａ 匿名化された
個人情報匿名化データ？

個人情報保護法Ｂ で定義された匿名加工情報

AとBでは取扱いが大きく異なる「どちらに該当するデータなのか？」を明確に！
このデータは個人情報を匿名化したデータです

それは法律で定義された「匿名加工情報」？

「匿名加工情報」という言葉が一般的な用語であるため区別しにくい

5

匿名加工（医療）情報 とバリデーション研究（小林）匿名加工情報定義（個法第2条9項） ：この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
一 第１項第１号に該当する個人情報：当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二 第１項第２号に該当する個人情報：当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

匿名加工情報ならば、特定の個人を識別できてはいけない＊）法文の表現を多少変更しております6匿名加工（医療）情報 とバリデーション研究（小林）匿名加工情報の加工の方法は？

（別表1）匿名加工情報の加工に係る手法例（※）
手法名解説

加工対象となる個人情報データベース等に含まれる個人情報の記述等を削除するもの。
項目削除／レコード削除
例えば、年齢のデータを全ての個人情報から削除すること（項目削除）、／セル削除
特定の個人の情報を全て削除すること（レコード削除）、又は特定の個人の年齢のデータを削除すること（セル削除）。
加工対象となる情報に含まれる記述等について、上位概念若しくは数値一般化に置き換えること又は数値を四捨五入などして丸めることとするもの。
例えば、購買履歴のデータで「きゅうり」を「野菜」に置き換えること。
加工対象となる個人情報データベース等に含まれる数値に対して、特にトップ（ボトム）コー大きい又は小さい数値をまとめることとするもの。
ディング
例えば、年齢に関するデータで、80歳以上の数値データを「80歳以上」というデータにまとめること。
加工対象となる個人情報データベース等を構成する個人情報をグループミクロアグリゲーション化した後、グループの代表的な記述等に置き換えることとするもの。
加工対象となる個人情報データベース等を構成する個人情報相互に含まデータ交換（スワップ）れる記述等を（確率的に）入れ替えることとするもの。
一定の分布に従った乱数的な数値を付加することにより、他の任意の数ノイズ（誤差）付加値へと置き換えることとするもの。
人工的な合成データを作成し、これを加工対象となる個人情報データ疑似データ生成ベース等に含ませることとするもの。
（※）匿名加工情報の作成に当たっての一般的な加工手法を例示したものであり、その他の手法を用いて適切に加工することを妨げるものではない。

個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）

7

匿名加工（医療）情報 とバリデーション研究（小林）匿名加工情報の取扱いに関する義務禁止事項（個法第36条5項、同法第38条）：
匿名加工情報の作成に用いられた個人情報に係る本人を識別する目的で、• 当該個人情報から削除された記述等若しくは個人識別符号や行われた加工の方法に関する情報の取得• 他の情報との照合をしてはいけない
その他の義務（個法第36条～39条）：• 安全管理措置• 作成時の公表• 提供時の公表と匿名加工情報の明示．．．など＊）法文の表現を多少変更しております8匿名加工（医療）情報 とバリデーション研究（小林）匿名加工医療情報にも、本人を識別するための復号および他の情報との照合は禁止
次第十八条 認定匿名加工医療情報作成事業者は、匿名加工医療情報を作成するときは、特定の個人を識別すること及びその作成に用いる医療情報を復元することができないようにするために必要なものとして主務省令で定める基準に従い、当該医療情報を加工しなければならない。
２ 認定匿名加工医療情報作成事業者は、匿名加工医療情報を作成して自ら当該匿名加工医療情報を取り扱うに当たっては、当該匿名加工医療情報の作成に用いられた医療情報に係る本人を識別するために、当該匿名加工医療情報を他の情報と照合してはならない。
３ 匿名加工医療情報取扱事業者は、第一項の規定により作成された匿名加工医療情報（自ら医療情報を加工して作成したものを除く。）を取り扱うに当たっては、当該匿名加工医療情報の作成に用いられた医療情報に係る本人を識別するために、当該医療情報から削除された記述等若しくは個人識別符号若しくは同項の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工医療情報を他の情報と照合してはならない。
＊）法文の表現を多少変更しております9

10

匿名加工（医療）情報 とバリデーション研究（小林）

法で定める匿名加工情報ではバリデー
ション研究は難しい
他DBとの突合

カルテレビュー

医療機関A照合可能

匿名加工情報（評価するDB）

特定の個人の識別不可

紐付けのための個人の識別情報が存在しない

他データベース
他の情報との （レジストリ等）
照合してはならない

医療機関B
医療機関C照合可能
照合可能

結果として、リンケージ（照合）が出来ない！

匿名加工（医療）情報 とバリデーション研究（小林）「法で定める匿名加工情報」を使わずバリデーション研究の実施を考える「匿名化された個人情報」もしくは「個人情報」を使って、バリデーション研究を実施する
個人情報の保護に関する法律の「適用除外」「例外規定」を使い、個人情報を使ってバリデーション研究を行う
個情法第76条第1項第3号
独個法第 9条第2項第2号

学術研究機関による学術研究
専ら学術研究／特別の理由• 「匿名化された個人情報」から個人を識別することが可能• 匿名化していない「個人情報」を使って、リンケージ（照合）することも可能＊）法文の表現を多少変更しております

11

12

匿名加工（医療）情報 とバリデーション研究（小林）「匿名化された個人情報」を対象にしたリンケージ（照合）他DBとの突合

カルテレビュー

医療機関A照合可能

学術研究者が収集したDB

研究用独自IDを辿った紐付け

研究用独自IDを辿った照会
対応表

医療機関B
医療機関C照合可能
照合可能

他データベース（レジストリ等）「学術研究機関による学術研究」であれ
ば、個人情報保護法の適用範囲外で研究を実施できる
ＩＲＢ

13

匿名加工（医療）情報 とバリデーション研究（小林）個人情報を用いてリンケージ（照合）
同じ法人内（個人情報取扱事業者）

診療録

レセプト

ＩＲＢ

院内レジストリ①紐付けのための個人の識別情報• 氏名、カルテ番号、被保険者番号などが利用可能②アクセス• 同一医療機関内であれば、保有するレセプト情報と、診療録や院内レジストリを照合することが可能• ただし、基本は学術研究機関による学術研究として実施（学術研究機関による学術研究としない場合、目的外利用となる可能性）

14

匿名加工（医療）情報 とバリデーション研究（小林）匿名加工情報であっても、構成医療機関の中での研究は可能DB全体としての他DBとの突合指標値の算出はできない

カルテレビュー

匿名加工情報医療機関A
特定の個人の識別不可

照合可能

PPV=0.xx

PPV=0.xx

医療機関B

紐付けのための個人の識別情報が存在しない

他データベース（レジストリ等）

照合可能な医療機関で指標を計算して集める

医療機関C照合可能

ＩＲＢ

ＩＲＢ

照合可能

医療機関

PPV

医療機関B

0.xx

医療機関C0.xx

15匿名加工（医療）情報 とバリデーション研究（小林）まとめ
匿名化されたデータに対するバリデーション研究• 「匿名化されたデータ」は必ずしも「匿名加工（医療）情報」でなく、バリデーション研究が実施可能なこともある• 理想的なバリデーション研究が実施できないこともある• DB研究で利用するDBと同一のpopulationでバリデーション研究が実施できないことも多い

法律で定義された匿名加工（医療）情報• DB全体を対象にしたバリデーション研究は困難• DBを構成する医療機関の一部で実施できる可能性あり匿名化された個人情報・個人情報

適用除外
例外規定

• DB全体を対象にバリデーション研究を実施できる可能性あり