パーソナルデータの適正な利活用の在り方に関する動向調査（平成３０年度）
報告書

平成３１年３月
株式会社

野村総合研究所

1

報告書
第1章

目次
本年度調査の概要 ................................................................................................ 4

1-1. 背景 ............................................................................................................................. 4
1-2. 本年度調査の全体像 ................................................................................................... 5第2章

事業者における匿名加工情報の作成・提供の公表状況についての調査 ................ 6

2-1. 調査概要...................................................................................................................... 6
2-2. 調査結果...................................................................................................................... 8第3章

事業者における匿名加工情報等の利活用実態についての アンケート調査 ........ 12

3-1. 調査概要.................................................................................................................... 12
3-2. 調査結果.................................................................................................................... 14
第4章

匿名加工情報の取扱いに係る論点 ........................................................................ 41

4-1. 調査概要.................................................................................................................... 41
4-2. 各論点に関する先行事業者の取組み事例................................................................. 42
4-2-1. 匿名加工情報の適正な加工に係る論点 ............................................................. 43
4-2-2. 匿名加工情報の安全管理措置に係る論点 .......................................................... 53
4-2-3. 匿名加工情報の作成時の公表に係る論点 .......................................................... 56
4-2-4. 匿名加工情報の第三者提供に係る論点 ............................................................. 58
4-2-5. 識別行為の禁止に係る論点................................................................................ 63
4-2-6. その他の論点 ..................................................................................................... 65＜別添資料＞事例集2

本文中の用語を以下のとおり定義する。
＜用語の定義＞
用語説明

法

個人情報の保護に関する法律（個人情報保護法）

政令

個人情報の保護に関する法律施行令

規則

個人情報の保護に関する法律施行規則

ガイドライン

個人情報保護委員会「個人情報の保護に関する法律についてのガイドラ
イン（匿名加工情報編）」平成 28 年 11 月（平成 29 年 3 月一部改正）

事務局レポート

個人情報保護委員会事務局「匿名加工情報

パーソナルデータの利活用

促進と消費者の信頼性確保の両立に向けて」2017 年 2 月

3

第1章

本年度調査の概要

1-1. 背景
個人情報の保護に関する法律（以後、個人情報保護法と表記）は平成 15 年に成立、平成 17 年に全面施行され、わが国における個人情報の取り扱いにおいて、大きな影響を与え続けてきた。同法施行当初は、いわゆる「過剰反応」のような、法の趣旨・期待とは異なる対応を事業者や個人が行い、懸念が生じたこともあったが、正しい理解の広がりや個別の対応事例等の周知を経て、個人情報の保護のための取り組みは一定の落ち着きを見せた。
平成 29 年 5 月 30 日には、改正個人情報保護法が施行され、個人情報保護法施行以来、議論になっていた複数のポイントで、大幅な法改正がなされたところである。
その中の 1 つに、「匿名加工情報制度の新設」がある。改正によって、個人情報保護法の目的（第１条）に、個人情報の有用性として、「個人情報の適正かつ効果的な活用が新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するものであること」が追記された。そこで、安全性を確保しつつデータの積極的な利活用の推進に寄与するものとして、創設されたのが、匿名加工情報制度である。
個人情報を含むパーソナルデータの取得・収集・分析・流通が、社会的活動、イノベーション及び経済成長において重要な役割を果たすようになる中、個人情報の有用性を認めつつも、個人情報保護法及びプライバシーの観点から社会的な批判を懸念してパーソナルデータの利活用を躊躇する場合がある。
事業者におけるパーソナルデータの適正な取扱いは、消費者の不安感等に起因す
る社会的な批判への懸念を払拭するとともに、消費者との信頼関係の構築並びにイ
ノベーションの促進を含む事業活動の円滑化に資するものである。
匿名加工情報制度は、上述のとおり、安全性の確保とデータの活用を両立させるものであり、「個人情報の保護に関する事業者の取組実態調査（平成 29 年度）報告書」 1によると、様々な業種において匿名加工情報が活用されており、特に医療情報
や健康情報など機微な情報を取り扱う分野においてその活用が顕著であるなど、匿名加工情報に関する事業者の取組が進展しつつあるが、依然として、同制度の周知や適正な運用が課題であるとされており、事業者における匿名加工情報の活用状況について、パーソナルデータの適正な取扱いの観点から整理し、事業者による利活用の取組を支援することが求められている。

個人情報保護委員会「個人情報の保護に関する事業者の取組実態調査（平成 29 年度）報告書」※野村総合研究所受託事業

14

1-2. 本年度調査の全体像
本年度調査の目的は、匿名加工情報等の利活用の実態について調査・分析し、法に適応した適正な利活用の在り方について整理・分析するとともに、利活用に関する事例集をとりまとめて事業者の自主的な取組を支援することにより、事業者における個人情報を含むパーソナルデータの利活用を支援することである。
そのため、１）事業者における匿名加工情報の作成・提供の公表状況についての調査、２）事業者における匿名加工情報等の利活用実態についてのアンケート調
査、３）事業者における匿名加工情報等の利活用実態についてのヒアリング調査、の 3 つの調査を本年度実施した。
図：3 つの調査と成果物の関係性
１）事業者における匿名加工情報の作成・提供の公表状況についての調査

報告書 第2章

対象

調査方針の
決定

２）事業者における匿名加工情報等の利活用実態についてのアンケート調査

候補選定

参考

報告書 第3章

報告書（本資料）の作成

補足

３）事業者における匿名加工情報等の利活用実態についてのヒアリング調査

報告書 第4章

事例集（別添資料）の作成

まず、調査方針を検討し、その方針に従って、公表状況の調査項目設計、アンケ
ート調査設計、ヒアリング調査設計を行った。
アンケートの送付対象は、当該時点での公表状況の調査により「公表事業者」と判明した全事業者とした。
ヒアリング調査の対象は、当該時点での公表状況の調査により「公表事業者」と判明した事業者の内、公益性が高いと思われる業種から選定した。特に、匿名加工
情報に含まれるデータ種類に偏りが出ないように留意して選定した。
これらの 3 つの調査をもとに、本報告書は作成されている。ヒアリング調査結果については、ヒアリングで聴取した各事業者の悩みや工夫を論点別に整理している。また、各事業者の取組みを事例集として、本報告書の別添資料としてとりまと
めた。
5

第2章

事業者における匿名加工情報の作成・提供の公表状況についての調査
2-1. 調査概要
匿名加工情報の作成時の公表について、法第 36 条第 3 項で、以下のように定められている。
法第 36 条３

個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

また、第三者提供時の公表については、法第 36 条第 4 項および第 37 条で、以下のように定められている。
法第 36 条４

個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である
旨を明示しなければならない。
法第 37 条
匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節について同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

よって、本調査においては、現時点でどの程度の事業者が匿名加工情報の作成または第三者提供についての公表を行っているのか、またどのような事業者が公表しているのか、その内容はどのようなものかについて主に調査することとした。

6

＜調査対象＞
調査対象は、Web サイトを設置している事業者とした。規則第 21 条および第 22 条で、公表は「インターネットの利用その他の適切な方法により行うものとする」と定められている。インターネット以外の方法での公表は、一律的な調査が困難であるため、本調査においては Web サイトを設置している事業者を対象とした。
＜調査方法＞「匿名加工」を検索ワードとして週次でインターネット検索を実施し、匿名加工情報を作成または第三者提供していると公表している事業者（以下、「公表事業者」という）を調査し、「公表事業者リスト」を作成した。
＜調査項目＞

各公表事業者が、以下の項目のうち、何を公表しているか、公表している場合はどのように記載しているかを調査した。
分類

調査項目

内容

事業者情報

発見日時

インターネット検索で発見さ必須項目●れた日（公表日ではない）

匿名加工情報
に係る情報

業種

―

●

事業者名

―

●

本社所在地

本社が所在する市区町村●（作成したとき）どのような情報が作成した匿匿名加工情報に含まれる

名加工情報に含まれるか
第三者提供を行っているか●

個人に関する情報の項目
第三者提供の有無（第三者に提供するとき） どのような情報が第三者提供
匿名加工情報に含まれるする匿名加工情報に含まれる個人に関する情報の項目

か（第三者に提供するとき） どのような方法を用いて第三提供の方法

者提供を行うか

安全管理措置加工方法等情報または匿名加
工情報に関する安全管理措置

その他加工の方法、匿名加工情報の活用先、第三者提供先等

7

●
法律で定め
られた必須
公表項目

●
法律で定め
られた必須
公表項目

●
法律で定め
られた必須
公表項目

2-2. 調査結果
＜規模＞
調査の結果、2019 年 2 月末時点で 371 社の公表事業者が見つかった。2017 年度末の発見数は約 300 社 2であり、2018 年度の約 1 年間での発見数は約 70 社となる。
当初、公表事業者は、制度開始後しばらくの間に増え、その後はゆるやかに伸びていくと想定していたため、この 1 年間での伸び率 27.5%という数値は想定以上のものになった。
＜業種＞
2019 年 2 月末時点での公表事業者 371 社のうち、最も多かった業種は小売業の 29%で、次いで保健・福祉業 19%、その他サービス業 14%、医療業 8%となった。2018 年 4月から 2019 年 2 月末までに発見された約 70 社の内訳としては、最も多かったのが保健・福祉業の 26%、次いで小売業 20%、医療業 9%、金融業 9%となった。
小売業の中では、調剤薬局・ドラッグストアでの匿名加工情報の利活用が目立ち、小売業の 82%を占める。
保健・福祉業の中では、健康保険組合が 65%、全国健康保険協会の各支部が 10%となっている。
その他サービス業の中では、税理士事務所が 44%、会計事務所が 29%、医療業は、そのほぼすべてが病院である。
図表：公表事業者業種割合（2019 年 2 月末時点 371 社）（n=371）
0%

20%

29%

小売業
医療業
インターネット関連サービス業
その他

2

40%

19%

60%

14%

80%

8%

保健・福祉業
情報処理・提供サービス業
製造業

平成 29 年度個人情報保護委員会年次報告
83%5% 4%3% 2%

その他サービス業
金融業
通信・放送業100%12%図表：公表事業者業種割合（2018 年 4 月～2019 年 2 月末 約 70 社）
0%

20%

40%

26%

20%

60%

9%

保健・福祉業
医療業
情報処理・提供サービス業
インターネット関連サービス業
その他サービス業

9%80%

6% 4%4%4%4%

100%

15%

小売業
金融業
通信・放送業
製造業
その他＜公表内容＞
公表すべき内容として法令で定められているのは、作成したときは「匿名加工情報に含まれる個人に関する情報の項目」、第三者提供するときは「匿名加工情報に含まれる個人に関する情報の項目」および「提供の方法」である。
実際に公表された内容として、例えば以下のようなものがある。
図表：公表事業者 公表内容（例）作成したとき第三者提供するとき

業種

匿名加工情報に含まれる個
人に関する情報の項目

匿名加工情報に含ま 提供の方法
れる個人に関する情
報の項目

クレジット

• お客様の個人属性情報（性

左記の項目

カード会社

別、年齢（年代）、住所（都号化し、セキュリテ

道府県）、カード入会歴（入ィが確保された手段

会年月））で提供を行います。

データファイルを暗• カード利用情報（利用日（利用年月）、利用金額、
利用店舗情報）
物流事業者

左記の項目

• 測定日時• 性別

暗号化、またはパス
ワード保護された電9• 生年月子ファイルを外部記• 事業所の都道府県録媒体に保存し、同• 各種測定計による測定値

媒体を手交、または（体温値等）

記録の残る輸送手段• 車載機器からのセンシンによる送付、あるいグ情報

はアクセス権を設定したサーバー内のフォルダを利用した提供ヘルスケア• 生年月（日を除く）

事業者

• 性別

加工情報を格納した• 健診年月日研究・分析専用サー• 会社コード(規則性を有しバへのアクセス(当ない方法により置き換え

社が許可した者に限

た番号)

る)

左記の項目

当社が管理する匿名• 健診項目データ（数値等）、
問診項目データ（病歴、生活習慣等）、検診データ、
仮 ID（ランダムに採番し
た番号)
通信事業者

• 端末識別子を匿名化した

左記の項目

データの送信、記録

情報

媒体での送付または• Wi-Fi サービスを利用し

書類の送付

た位置情報
• 利用時刻• 端末言語情報
プラットフ

• 国籍

ォーム運営

• 生年月

行い、セキュリティ

事業者

• 性別

が確保されたインタ• サービス利用の履歴（各種ーネット経由または

提供サービスの利用の他、電子媒体を使用して購買・決済、情報閲覧、移提供します。

左記の項目

動に関する履歴情報）

10

データファイル化を

今回の調査では、この他の項目について、法令で求められている以上の公表を積極的に行っている事業者が見られた。例えば、安全管理措置について何らかの記載がある事業者
は、公表事業者の 22%にもなる。また、具体的な加工方法について記載がある事業者は5%、第三者提供先について明記している事業者も 1%程度ではあるが存在した（第三者提供時の公表をしている事業者は 371 社中 95%の 351 社である）。加工方法については、匿名加工情報に含まれる個人に関する情報の項目の補足として書いている事業者もいれば、加工方法について別建てで詳細に説明している事業者もいた。このような取組みは、まだ国民の匿名加工情報についての理解が完全とは言えない環境の中で、自社ユーザの不安を払しょくするために、匿名加工情報に関する内容をわかりやすく伝える努力として評価で
きる。

11

第3章

事業者における匿名加工情報等の利活用実態についてのアンケート調査
3-1. 調査概要
本アンケート調査は、「第 2 章 事業者における匿名加工情報の作成・提供の公表状況についての調査」において、10 月末時点で公表事業者である可能性が高いと判断した事業者を対象に実施した。
＜配付数・回収数・有効回答数＞
356 社・団体に対して配付し、106 件を回収した。有効回答数は 105 件となり、有効回答
回収率 29.5％という高い結果となった。
＜調査方法＞
本アンケート調査は、郵送法で実施し（回答期間：2018 年 11 月 23 日～2018 年 12 月 21日）
、回答は匿名とした。

12

＜調査項目＞
本アンケート調査では、以下の項目について調査した。
分類

調査項目

調査対象者

事業者情報

事業分野

全事業者

従業員数
上場/未上場所在地
個人情報保護に関する全組織的な責任担当部署の有無
匿名加工情報

匿名加工情報の利活用状況

全事業者の利活用状況

匿名加工情報の作成方法、作成方法の決め方、作成のき

作成事業者

っかけ、作成する匿名加工情報の種類

匿名加工情報

匿名加工情報の第三者提供先、第三者提供する匿名加工 第三者提供事
業者
情報の種類
非利活用事業
非利活用事業者の公表理由
者
匿名加工情報の第三者提供を受けているか
全事業者
第三者提供元、第三者提供を受けている匿名加工情報の 第三者提供を受けている事種類業者
匿名加工情報の適正な加工に関する対応
作成事業者

に係る義務

匿名加工情報の加工方法の安全管理措置に関する対応、
匿名加工情報の安全管理措置に関する対応
匿名加工情報の作成時・第三者提供時の公表に関する対応
識別行為の禁止に関する対応

匿名加工情報

匿名加工情報を活かせる分野

作成事業者、
第三者提供事業者
作成事業者

制度面でわからないこと、不安に思っていること

全事業者

消費者のための施策の利活用に向
けた課題等

作成事業者、
第三者提供事業者

制度面以外でわからないこと、不安に思っていること
非識別加工情非識別加工情報の利用状況

報

利用しない理由

利用を検討するための施策

13

全事業者
非識別加工情報を知っているが利用していない事業者
非識別加工情報の利用意向がない事業者

3-2. 調査結果
問１（１）事業分野（複数回答）

・ 最も多かったのは「その他公益法人」の 27.6％で、「医療業」18.1％、「その他サービス業」13.3％、「その他小売業」12.4％と続く。

・ 「その他公益法人」には、健康保険組合が多く出現しているものと思われる。
（「第 2 章事業者における匿名加工情報の作成・提供の公表状況についての調査」においては、健康保険組合は「保健・福祉業」に分類している）

・ 配付状況に鑑みて、上位回答は想定通りの結果となったが、事業者側が自社・団体をどの事業分野とすべきか悩み、分散したと思われるものもある。
＜全員＞（n=105）
0.0%

10.0%

2.9%
銀行業（信用金庫・消費者金融等含む）
1.9%
保険業
1.0%
証券・先物取引業
1.0%
その他金融業
医療業
5.7%
保健・福祉業
通信業 0.0%
1.0%
放送業
6.7%
情報処理・提供サービス業
4.8%
ｲﾝﾀｰﾈｯﾄ関連サービス業
電子商取引業 0.0%
1.0%
農林水産・鉱業
建設業 0.0%
6.7%
製造業
2.9%
電気・ガス・水道業
新聞・出版業 0.0%
運輸業 0.0%
5.7%
卸売業
百貨店、量販店 0.0%
その他小売業
2.9%
不動産業
旅行業・宿泊業 0.0%
1.0%
教育・学習支援業
1.0%
広告業
人材派遣業 0.0%
その他サービス業
1.0%
学校法人
社会福祉法人 0.0%
NPO法人 0.0%
その他公益法人（学校法人、社会福祉…
1.0%
無回答

14

20.0%

30.0%

18.1%

12.4%

13.3%

27.6%

問１（２）従業員数

・ 本調査の回答事業者の半数以上が常時雇用従業員数 100 人以下の事業者であり、特に「50 人以下」が全体の 41.9％を占めた。
＜全員＞（n=105）
0.0%

20.0%

40.0%

60.0%

41.9%

12.4%

11.4%

50人以下
301～1,000人
無回答

51～100人
1,001～5,000人

80.0%

12.4%

100.0%

18.1%

0.0%
3.8%

101～300人
5,001人以上

問１（３）上場／未上場

・ 本調査の回答事業者の 81.9％が未上場である。
＜全員＞（n=105）
0.0%

20.0%

40.0%

14.3%

60.0%

81.9%

上場

未上場

無回答

15

80.0%

100.0%

3.8%

問１（４）所在地

・ 本調査の回答事業者は全国に分散したが、最も多かったのは「東京都」の 28.6％で、次いで「愛知県」12.4％となった。愛知県は、健康保険組合が回答事業者の多くを占めた。
＜全員＞
所在地
北海道
青森県
岩手県
宮城県
秋田県
山形県
福島県
茨城県
栃木県
群馬県
埼玉県
千葉県
東京都
神奈川県
新潟県
富山県
石川県
福井県
山梨県
長野県
岐阜県
静岡県
愛知県
三重県
滋賀県
京都府
大阪府
兵庫県
奈良県
和歌山県
鳥取県
島根県
岡山県
広島県
山口県
徳島県
香川県
愛媛県
高知県
福岡県
佐賀県
長崎県
熊本県
大分県
宮崎県
鹿児島県
沖縄県
無回答
合計

回答数

割合
1
1
1
2
1
0
1
1
1
1
2
1
30
2
0
1
1
0
0
2
1
4
13
0
2
0
4
5
0
0
0
0
0
1
1
0
0
1
0
4
0
1
2
1
1
1
1
13
105

16

1.0%
1.0%
1.0%
1.9%
1.0%
0.0%
1.0%
1.0%
1.0%
1.0%
1.9%
1.0%
28.6%
1.9%
0.0%
1.0%
1.0%
0.0%
0.0%
1.9%
1.0%
3.8%
12.4%
0.0%
1.9%
0.0%
3.8%
4.8%
0.0%
0.0%
0.0%
0.0%
0.0%
1.0%
1.0%
0.0%
0.0%
1.0%
0.0%
3.8%
0.0%
1.0%
1.9%
1.0%
1.0%
1.0%
1.0%
12.4%
100.0%

問１（５）個人情報保護に関する全組織的な責任担当部署の有無

・ 本調査の回答事業者の 81.9％は、個人情報保護に関する全組織的な責任担当部署が「ある」と回答した。

（n=105）

＜全員＞
0.0%

20.0%

40.0%

60.0%

80.0%

81.9%

100.0%

18.1%

ある

ない

17

問２ 匿名加工情報の利活用状況

・ 匿名加工情報の利活用事業者は、匿名加工情報を「作成して、第三者提供もしている」
ケースが最も多く、57.1％と過半数を占めた。

・ 匿名加工情報の作成のみを行っている事業者（自社活用）よりも、匿名加工情報の作成はしていないものの第三者提供のみ行っている事業者の方が多いことがわかった。
＜全員＞（n=105）
0.0%

20.0%

40.0%

60.0%

57.1%

7.6%

80.0%

14.3%

100.0%

21.0%

0.0%

作成して、第三者提供もしている

作成はしているが、第三者提供はしていない

作成はしていないが、第三者提供はしている

作成も第三者提供もしていない

無回答

18

問３（１） 匿名加工情報の作成方法（複数回答）

・ 匿名加工情報を作成している事業者の 42.6％が「他社に委託して作成している」と回答し、最も多い。

・ 一方で、「自社で市販のツールを活用せずに作成している」も 39.7％と高い回答となり、二極化していることがわかる。
＜作成事業者＞（n=68）
0.0%

10.0%

20.0%

30.0%

自社で市販のツールは活用せずに作成している

50.0%

39.7%

自社で市販のツールを活用して作成している

26.5%

他社に委託して作成している

無回答

40.0%

42.6%

1.5%

19

問３（２） 匿名加工情報の作成方法の決め方（複数回答）

・ 作成方法として「他社に委託して作成している」が多かったことから、作成方法の決め方としては、「提供先・委託先と相談した」が 57.4％と高い回答になっている。

・ 一方、「個人情報保護委員会のガイドライン（事務局レポート含む）を参考にした」
も 39.7％となっており、特に自社単独で匿名加工情報を作成している事業者を中心に、公的な指針が参考にされていることもわかった。
＜作成事業者＞（n=68）
0.0%

20.0%

個人情報保護委員会のガイドライン（事務局レポート含む）を参考にした

40.0%
39.7%

業界指針を参考にした

13.2%

提供先・委託先と相談した

57.4%

有識者からの意見を参考にした

8.8%

社内で独自に検討を行った

11.8%

その他

10.3%

無回答

5.9%

「参考発行元」自由記述••••

厚生労働省（保険局）
文部科学省
経済産業省
内閣府

•
•
•
•

健康保険組合連合会
全国銀行個人情報保護協議会
国立情報学研究所「その他」自由記述
•
•
•

60.0%

本部が作成したガイドラインに沿って作成した弁護士に相談した本部の法務室に相談した

20

80.0%

問３（３） 匿名加工情報作成のきっかけ（複数回答）

・ 匿名加工情報を作成している事業者が、匿名加工情報を作成したきっかけは、「自社内で、匿名加工情報の提供ニーズがあったから」が 39.7％、「同業界で活用促進の動きや類似の活用例があったから」が 36.8％と高い結果となった。
＜作成事業者＞（n=68）
0.0%

10.0%

20.0%

30.0%

40.0%

自社内で、匿名加工情報の提供ニーズがあったから

39.7%

自社内で、個人情報の取得の際に特定した利用目的以外で利用したいというニーズがあったから

8.8%

同業界で活用促進の動きや類似の活用例があったから

36.8%

他社からの勧めや提案があったから

33.8%

その他

無回答

14.7%

0.0%

「その他」自由記述••

研究機関等から提供依頼があったから
次世代医療基盤法への対応のため

21

50.0%

問３（４） 作成する匿名加工情報の種類（複数回答）

・ 匿名加工情報を作成している事業者が、作成している匿名加工情報の種類としては、「医療情報」が圧倒的に多く、64.7％となった。これは健康保険組合や調剤薬局、病院等が多く出現していることによるものと思われる。
＜作成事業者＞（n=68）
0.0%

20.0%

購買履歴
来店・問合せ等の履歴
電車・バス等の乗降履歴
位置情報（移動履歴等）
電力・ガス・水道の使用履歴
Web閲覧履歴
TVの視聴履歴

40.0%

1.5%
2.9%
0.0%
2.9%
0.0%
20.6%

医療情報

64.7%

介護情報

4.4%

保険関連の情報

10.3%

金融関連の情報
クレジットカード情報
役職員の待遇に関する情報
資格検定情報

7.4%
2.9%
0.0%
2.9%
1.5%

その他
無回答

11.8%
0.0%

「その他」自由記述
•
•

80.0%

0.0%

生活習慣等の健康情報

人材斡旋情報（職歴・スキル等）

60.0%

10.3%

当社サービス（英語試験）の結果情報
ターゲット広告用のデモグラ・職業属性データ22

問４（１） 匿名加工情報の第三者提供先（複数回答）

・ 匿名加工情報を第三者提供している事業者の、第三者提供先としては「情報処理・提供サービス業」48.0％、「医療業」34.7％が多かった。これは作成されている匿名加工
情報の種類として「医療情報」が多かったためと思われる。
＜第三者提供事業者＞（n=75）0.0%
銀行業（信用金庫・消費者金融等含む）

その他金融業

6.7%

医療業

放送業

34.7%
6.7%
1.3%
0.0%

情報処理・提供サービス業
ｲﾝﾀｰﾈｯﾄ関連サービス業
電子商取引業
農林水産・鉱業
建設業
製造業
電気・ガス・水道業
新聞・出版業
運輸業
卸売業
百貨店、量販店
その他小売業
不動産業
旅行業・宿泊行
教育・学習支援業
広告業
人材派遣業

48.0%
2.7%
0.0%
0.0%
0.0%
2.7%
0.0%
0.0%
1.3%
2.7%
1.3%
1.3%
0.0%
0.0%
1.3%
1.3%
0.0%

その他サービス業

9.3%
9.3%

学校法人
社会福祉法人
NPO法人

1.3%
0.0%

その他公益法人
無回答

60.0%

0.0%
0.0%

保健・福祉業
通信業

40.0%

0.0%

保険業
証券・先物取引業

20.0%

9.3%
0.0%

23

問４（２） 第三者提供する匿名加工情報の種類（複数回答）

・ 匿名加工情報を第三者提供している事業者が、提供している匿名加工情報の種類としては、「医療情報」が圧倒的に多く、69.3％となっている。
＜第三者提供事業者＞（n=75）
0.0%

20.0%

購買履歴
来店・問合せ等の履歴

0.0%

電車・バス等の乗降履歴

0.0%

位置情報（移動履歴等）
電力・ガス・水道の使用履歴
Web閲覧履歴
TVの視聴履歴

40.0%

2.7%
1.3%
0.0%
22.7%

医療情報

69.3%

介護情報

5.3%

保険関連の情報9.3%
2.7%

クレジットカード情報

0.0%

人材斡旋情報（職歴・スキル等）

0.0%

役職員の待遇に関する情報
資格検定情報

2.7%
1.3%

その他
無回答

80.0%

0.0%

生活習慣等の健康情報

金融関連の情報

60.0%

8.0%

10.7%
0.0%

24

問５ 非利活用事業者の公表理由（複数回答）

・ 現在、匿名加工情報を利活用していない事業者が、匿名加工情報の作成または第三者提供の公表を行っている理由としては、「今後、作成または第三者提供を行う予定があるから」が 22.7％であった。実ビジネスを開始する前に、先んじて公表するケースが見られることがわかった。

・ なお、本調査の回答事業者 105 社の内、11 社が「現在、公表は行っていない」と回答した。これは、対象者決定時点では公表していたものの、非公表に変更されたものが公表事業者リストに含まれていたためと思われる。
＜非利活用事業者＞※n数が少ないため参考値（n=22）
0.0%

以前、作成または第三者提供を行っていたから

20.0%

40.0%

4.5%

今後、作成または第三者提供を行う予定があるから

22.7%

その他

22.7%

現在、公表は行っていない

無回答

60.0%

50.0%

0.0%

「その他」自由記述••

今のところ予定はないが今後必要性が高まれば実施
作成または第三者提供を行う可能性が少しでもある以上、公表すべきであると考えるため

25

問６（１）匿名加工情報の第三者提供を受けているか（１つのみ）

・ 本調査の回答事業者の 23.8％が「第三者提供を受けている」と回答した。
＜全員＞（n=105）
0.0%

20.0%

40.0%

60.0%

23.8%

80.0%

76.2%

第三者提供を受けている

第三者提供を受けていない

100.0%

0.0%

無回答

問６（２）匿名加工情報の第三者提供元（複数回答）

・ 第三者提供先として最も多かった「情報処理・提供サービス業」が、第三者提供元としても最も多く、匿名加工情報の第三者提供を受けている事業者の 60.0％となった。
次いで、「医療業」32.0％となっている。
＜第三者提供を受けている事業者＞※n数が少ないため参考値（n=25）0.0%

銀行業（信用金庫・消費者金融等含む）
保険業
証券・先物取引業
その他金融業
医療業
保健・福祉業
通信業
放送業
情報処理・提供サービス業
ｲﾝﾀｰﾈｯﾄ関連サービス業
電子商取引業
農林水産・鉱業
建設業
製造業
電気・ガス・水道業
新聞・出版業
運輸業
卸売業
百貨店、量販店
その他小売業
不動産業
旅行業・宿泊行
教育・学習支援業
広告業
人材派遣業
その他サービス業
学校法人
社会福祉法人
NPO法人
その他公益法人
無回答

20.0%

40.0%

60.0%

0.0%
4.0%
0.0%
4.0%
32.0%
8.0%
0.0%
0.0%
60.0%
4.0%
0.0%
0.0%
0.0%
4.0%
0.0%
0.0%
0.0%
0.0%
4.0%
0.0%
0.0%
0.0%
0.0%
0.0%
4.0%
4.0%
0.0%
0.0%
0.0%
8.0%
0.0%

26

80.0%

問６（３）第三者提供を受けている匿名加工情報の種類（複数回答）

・ 作成、第三者提供で最も多かった「医療情報」が第三者提供を受けている匿名加工情報の種類としてもやはり最も多く、匿名加工情報の第三者提供を受けている事業者の76.0％となった。

・ 第三者提供を受けている事業者の多くが第三者提供を行っており、その大半が「医療情報」を取扱っている。主に「医療情報」が「情報処理・提供サービス業」や「医療業」に第三者提供され、そこからさらに他社に第三者提供されているという実態が見える結果となった。
＜第三者提供を受けている事業者＞※n数が少ないため参考値（n=25）
0.0%
購買履歴
来店・問合せ等の履歴
電車・バス等の乗降履歴
位置情報（移動履歴等）
電力・ガス・水道の使用履歴
Web閲覧履歴
TVの視聴履歴
生活習慣等の健康情報
医療情報
介護情報
保険関連の情報
金融関連の情報
クレジットカード情報
人材斡旋情報（職歴・スキル等）
役職員の待遇に関する情報
資格検定情報
その他
無回答

20.0%

40.0%

60.0%

80.0%

12.0%
0.0%
0.0%
0.0%
0.0%
4.0%
0.0%
32.0%
76.0%
8.0%
12.0%
0.0%
4.0%
4.0%
0.0%
0.0%
20.0%
0.0%

27

問７ 匿名加工情報の適正な加工に関する対応（○は①～⑤それぞれ１つずつ）

・ 匿名加工情報の作成を行っている事業者が、匿名加工情報の適正な加工を行う上で困難だと感じている対応は、規則第 19 条第一号から第五号になるにつれ増加した。

・ 特に第五号「個人情報データベース等の性質を踏まえたその他の措置」は、29.4％が「困難である」、「やや困難である」と回答し、事業者にとっての高いハードルになっていることがわかった。

・ また、第四号「特異な記述等の削除」も「困難である」、「やや困難である」が同じく
29.4％と高い結果となった。
＜作成事業者＞（n=68）
0%

20%

40%

①特定の個人を識別することができる記述の削除④特異な記述等の削除⑤個人情報データベース等の性質を踏まえたその他の措置

80%

67.6%

②個人識別符号の削除③情報を相互に連結する
符号の削除

60%

17.6%

58.8%

8.8% 1.5%

16.2%

47.1%

16.2%

41.2%

38.2%

100%
2.9%
10.3% 1.5%
0.0%

11.8%

5.9%

17.6%

26.5%

20.6%

13.2%

1.5%

16.2%

1.5%

2.9%

17.6%

0.0%

8.8%

26.5%

第五号は3割程度が「困難」と回答 ※該当者の4割
困難ではないあまり困難ではない

やや困難である

28

困難である

1.5%

該当しない

無回答

0.0%

問８（１） 匿名加工情報の加工方法の安全管理措置に関する対応（○は①～③それぞれ１つずつ）

・ 匿名加工情報の作成を行っている事業者における、匿名加工情報の加工方法の安全管
理措置の進展度合いとしては、「加工方法等情報の取扱者の権限及び責任の明確化」、「加工方法等情報の取扱いに関する規程類の整備等」、「正当な権限を有しない者による加工方法等情報の取扱いの防止措置等」のいずれにおいても 7 割程度以上が「実施している」と回答した。

・ 特に回答が多かったのは、「正当な権限を有しない者による加工方法等情報の取扱いの防止措置等」であり、物理的な安全管理措置を実施している事業者が多いことがわかった。
＜作成事業者＞（n=68）
0%

20%

40%

①加工方法等情報の取扱者の権限及び責任の明確化

70.6%②加工方法等情報の取扱いに関する規程類の整備等

69.1%③正当な権限を有しない者による加工方法等情報の取扱いの防止措置
等実施している

60%

80%

100%

14.7%

13.2%

13.2%

16.2%

75.0%

11.8%

実施していないが、現在計画している

現在計画はしていないが、将来的に実施する予定

1.5%

1.5%

10.3% 2.9%

無回答

問８（２） 匿名加工情報の安全管理措置に関する対応（１つのみ）

・ 匿名加工情報そのものの安全管理に関する取組については、匿名加工情報の作成を行っている事業者の 82.4％が「実施している」と回答した。
＜作成事業者＞（n=68）

0.0%

20.0%

40.0%

60.0%

80.0%

100.0%

1.5%

82.4%

実施している

実施していないが、現在計画している

7.4%

現在計画はしていないが、将来的に実施する予定

29

5.9% 2.9%実施する予定はない

無回答

問９ 匿名加工情報の作成時・第三者提供時の公表に対する対応（○は①～③それぞれ１つずつ）

・ 匿名加工情報を作成または第三者提供している事業者が、作成時または第三者提供時の公表を行う上で「困難である」、「やや困難である」と感じる対応としては「第三者提供する匿名加工情報に含まれる個人に関する情報の項目の公表」が 36.2％、「作成した
匿名加工情報に含まれる個人に関する情報の項目の公表」が 35.0％となった。

・ 一方、「第三者提供するときの提供方法の公表」は 21.6％に留まった。
＜作成事業者・第三者提供事業者＞（n=83）
0%①作成した匿名加工情報に含まれる個人に関する情報の項目の公表

20%

40%

60%

14.5%

21.7%

33.7%

80%

100%

13.3%

12.0%

4.8%

35%程度が「困難」と回答 ※該当者の4割②第三者提供する匿名加工情報に含まれる個人に関する情報の項目の公表③第三者提供するときの提供方法の公表

困難ではない

33.7%

19.3%

43.4%

あまり困難ではない

21.7%

24.1%

やや困難である

30

困難である

14.5%

12.0%

9.6%

該当しない

7.2% 3.6%

7.2% 3.6%

無回答問１０ 識別行為の禁止に関する対応（複数回答）

・ 匿名加工情報を作成または第三者提供している事業者が、識別行為を禁止するために実施している施策としては、「匿名加工情報を取扱う部署を限定している」が 62.7％
で最も多く、次いで「匿名加工情報の取扱いを技術的に制限している（アクセス制限等）」が 53.0％となった。
＜作成事業者・第三者提供事業者＞（n=83）
0.0%

20.0%

役職員に周知・教育をしている

40.0%

60.0%

37.3%

匿名加工情報を取扱う部署を限定している

62.7%

匿名加工情報を取扱う物理的な場所を制限している（入退室管理等）

31.3%

匿名加工情報の取扱いを技術的に制限している（アクセス制御等）

その他

無回答

53.0%

3.6%

1.2%

「その他」自由記述
•
•

80.0%

匿名加工情報を取り扱う場合に法務部門に相談するように周知している
事前に個人情報管理責任者に確認し、指示に従うように周知している31問１１ 消費者のための施策（複数回答）

・ 匿名加工情報を作成または第三者提供している事業者の内、匿名加工情報に関して法令で定められた義務以外で、上乗せとして消費者のために何らかの施策を実施している事業者は 69.9％という結果となった。

・ 具体的には、「匿名加工情報の提供先の限定」が 53.0％となり、法令で定められている
わけではないが、過半数の企業が提供先の限定を実施していることがわかった。
＜作成事業者・第三者提供事業者＞（n=83）
0.0%

20.0%

匿名加工情報について消費者へのわかりやすい説明

40.0%

19.3%

匿名加工情報への利用の停止（消費者からの要望を受けて以降、当該消費者の個人情報を匿名加工情報の作成に用いない）

20.5%

匿名加工情報の再移転の禁止

20.5%

匿名加工情報の提供先の限定

53.0%

匿名加工情報の作成の委託先への第三者提供の制限
その他

19.3%
2.4%

特にない
無回答

60.0%

27.7%
2.4%

32

問１２ 匿名加工情報を活かせる分野（複数回答）

・ 匿名加工情報を作成している事業者に対し、作成した匿名加工情報をどのような分野で活かすことができるか聞いたところ、「医療・福祉」が圧倒的で、79.4％となった。
これは作成されている匿名加工情報として「医療情報」が多いためと思われる。

・ 一方で、「小売」20.6％や「労務管理」16.2％といった分野への期待も大きい。
＜作成事業者＞（n=68）
0.0%

20.0%

都市開発
防犯
防災

40.0%

60.0%

80.0%

8.8%
2.9%
1.5%

医療・福祉
79.4%
教育
農林水産業

8.8%
2.9%

小売

20.6%

労務管理

16.2%

その他
無回答

8.8%
0.0%

「その他」自由記述
•
•
•

飲食料品
保険
自動車

•
•

33

金融リスク管理（業種別）経営指標

問１３（１）制度面でわからないこと、不安に思っていること（複数回答）

・ 本調査の回答事業者が、今後、匿名加工情報をさらに利活用していくときに、制度面でわからないことや不安に思っていることとしては、「どのようにすれば適切な加工と言「どのような取り扱えるのか（加工基準が不明確）」が 39.0％と最も多かった。次いで、いが識別行為に該当するのか」が 29.5％、「匿名加工情報の作成・第三者提供についての公表内容はどこまで記載すべきか」が 27.6％となった。
＜全員＞（n=105）
0.0%

10.0%

20.0%

30.0%

どのようにすれば適切な加工と言えるのか（加工基準が不明確）

40.0%

50.0%

39.0%

加工方法の安全管理措置はどのようにすればよいのか

17.1%

元データと匿名加工後のデータをどのように分けて管理すればよいか

10.5%

匿名加工情報の作成・第三者提供について、いつ公表すべきか

9.5%

匿名加工情報の作成・第三者提供についての公表内容はどこまで記載すべ…

27.6%

どのような取扱いが識別行為に該当するのか

29.5%

匿名加工情報の作成を委託する場合どのようにすればよいか

13.3%

その他

6.7%

特にない

27.6%

無回答

2.9%

「その他」自由記述••••

どのような取扱いが「匿名加工情報の作成」に該当するのか
匿名加工情報制度についての医療機関、介護事業所、自治体・教育委員会の理解が不足しているため、制度の周知・啓発が必要
匿名加工情報をグレーに扱っている DB 事業者に対し、国が適正化指導をしてほしい
国民の匿名加工と匿名化の混同に対する正しい理解の促進が必要34

問１３（１－１）制度面で最もわからないこと、不安に思っていること（１つだけ）

・ 最も制度面でわからないことや不安に思っていることとしても、「どのようにすれば適切な加工と言えるのか（加工基準が不明確）」が 37.0％と最も多かった。加工基準の明確化や加工事例の公開の重要性が示された。
＜全員＞（n=73）

0.0%

20.0%

37.0%

40.0%

6.8%

60.0%

4.1%
1.4%

15.1%

80.0%

13.7%

4.1%

100.0%

8.2%

9.6%

どのようにすれば適切な加工と言えるのか（加工基準が不明確）

加工方法の安全管理措置はどのようにすればよいのか

元データと匿名加工後のデータをどのように分けて管理すればよいか

匿名加工情報の作成・第三者提供について、いつ公表すべきか

匿名加工情報の作成・第三者提供についての公表内容はどこまで記載すべきか

どのような取扱いが識別行為に該当するのか

匿名加工情報の作成を委託する場合どのようにすればよいか

その他

無回答

35

問１３（２）制度面以外でわからないこと、不安に思っていること（複数回答）

・ 本調査の回答事業者が、今後、匿名加工情報をさらに利活用していくときに、制度面以外でわからないことや不安に思っていることとしては、「匿名加工情報を取り扱ったり分析したりするための人材が不足している」が 35.2％と最も多かった。その他の自由記述として、データ分析だけでなく、法律とシステムの双方を理解している人材（法務人材、弁護士等）の不足を指摘するものが複数あった。
＜全員＞（n=105）
0.0%

10.0%

自社の匿名加工情報へのニーズがない（自社でも有用性を把握できていない）

20.0%

30.0%

9.5%

匿名加工情報を取り扱ったり分析したりするための人材が不足している

35.2%

匿名加工情報を作成するのにコストがかかる

10.5%

匿名加工情報の適切な加工ツールがない

15.2%

消費者からのレピュテーションリスクが心配

15.2%

匿名加工情報に関する相談先がわからない
その他

19.0%
1.9%

特にない
無回答

40.0%

26.7%
6.7%

「その他」自由記述••••「匿名加工情報に関する相談先がわからない」に関連して、一般的な内容ならばガイドライン
を見ればわかるため、事業内容等を深く理解してもらわないと疑問を解消する答えが得られない。そのため、適切な相談先がない
法律とシステムの両方の理解が必要なため、通常の法務あるいはシステムの担当では能力面でできる人が限られる
弁護士も個人情報保護法とシステム分野に長けている人は少ない印象
加工・保管を委託する委託業者が法令を遵守できているのか判断しかねるため、情報管理期間を限定した上で委託業者を選定するなど、漏洩を防止する必要がある

36

問１３（２－１）制度面以外で最もわからないこと、不安に思っていること（１つだけ）

・ 最も制度面でわからないことや不安に思っていることとしても、「匿名加工情報を取り扱ったり分析したりするための人材が不足している」が 32.9％と最も多かった。
＜全員＞（n=70）

0.0%

20.0%

11.4%

40.0%

32.9%

60.0%

8.6%

11.4%

80.0%

14.3%

100.0%

14.3%

1.4%5.7%

自社の匿名加工情報へのニーズがない（自社でも有用性を把握できていない）

匿名加工情報を取り扱ったり分析したりするための人材が不足している

匿名加工情報を作成するのにコストがかかる

匿名加工情報の適切な加工ツールがない

消費者からのレピュテーションリスクが心配

匿名加工情報に関する相談先がわからない

その他

無回答

37

問１４（１）非識別加工情報の利用状況（１つだけ）

・ 本調査の回答事業者の中で、非識別加工情報を認知していない事業者は 72.3％にもなった。

・ また、「知らないし、将来的に利用する予定もない」と回答した事業者は 55.2％と過半数となった。

・ 「知らないが、将来的に利用してみたい」と回答した事業者は、17.1％存在した。
＜全員＞（n=105）
0.0%

20.0%

40.0%

60.0%

80.0%

100.0%
1.0%

4.8%

21.9%

17.1%

55.2%

非識別加工情報を知らない事業者が7割以上利用している

知っているが、利用していない

知らないが、将来的に利用してみたい

知らないし、将来的に利用する予定もない

無回答（参考）「非識別加工情報」
国の行政機関・独立行政法人等が保有する個人情報を特定の個人が識別できな
いよう加工し、かつ当該個人情報を復元できないようにしたもの。
※行政機関等が定期的に実施する提案募集に対し、民間事業者が、非識別加工
情報を用いた事業に係る提案をし、提案の審査を受けた後、非識別加工情報の利用に関する契約に基づき、これを利用することができます。

38

問１４（２）非識別加工情報を利用しない理由（複数回答）

・ 非識別加工情報を認知している事業者が、現在利用していない理由として最も多かったのは「自社に非識別加工情報を使うニーズがない」で 60.9％となった。

・ 一方、そもそも「国の行政機関等がどのような個人情報を保有しているかがわからな
い」も 39.1％となっており、ニーズ喚起以前の周知活動が求められる。
＜非識別加工情報を知っているが利用していない事業者＞※n数が少ないため参考値（n=23）
0.0%

20.0%

国の行政機関等がどのような個人情報を保有しているかがわからない

60.9%

利用の手続きがわからない

17.4%

提案方法がわからない

8.7%

0.0%

理由は特にない

無回答

60.0%

39.1%

自社に非識別加工情報を使うニーズがない

その他

40.0%

13.0%

8.7%

39

80.0%

問１４（３）非識別加工情報の利用を検討するための施策

・ 非識別加工情報を利用していない事業者が、どうすれば利用または利用を検討するかを聞いたところ、「国の行政機関等が保有する個人情報をもっと周知してほしい」が45.7％で半数近くを占めた。また、「利用の手続きをもっと周知してほしい」も 25.9％となり、国の周知活動が求められている。
＜非識別加工情報の利用意向がない事業者＞（n=81）
0.0%

20.0%

40.0%

45.7%

60.0%

25.9%

80.0%

13.6%

100.0%

18.5%

国の行政機関等が保有する個人情報をもっと周知してほしい

利用の手続きをもっと周知してほしい

利用の手続きをもっと簡便にしてほしい

その他

無回答

「その他」自由記述•••利用の予定がない
利用する必要が生じれば検討する（今はニーズがない）
利用することが当法人に有益で加入者に大きく貢献できることが判れば利用したい

40

6.2%

第4章

匿名加工情報の取扱いに係る論点

4-1. 調査概要
論点の整理においては、まず事業者ヒアリングを実施し、事例を収集した。その中で、実際に事業者が匿名加工情報を利活用する中で、どのような課題に直面し、どのようにして乗り越えたのかを義務ごとに整理することとした。
なお、事業者が実際にどのような取組みをおこなっているかは、別添資料「事例集」を参照してほしい。本報告書においても「事例集」とのリンクを記載することとした。
＜調査対象＞
事業者ヒアリングの対象は、公共性が高い事業分野を中心に、匿名加工情報のデータ種別が被らないように留意しながら選定した。
ヒアリングを実施したのは以下の事業者である。
事例 No.

事業分野

事業者種別

データ種別

1

金融

クレジットカード会社

クレジットカード情報

2

物流

物流事業者

ドライバーの運行・生体情報

3

インターネット

ヘルスケア事業者

健康診断情報関連サービス
4

通信

Wi-Fi 通信事業者

Wi-Fi 位置情報

5

その他

健康保険組合医療健康情報6その他

プラットフォーム運営事業者

観光客情報＜調査方法＞
2018 年 12 月から 2019 年 2 月にかけて、各事業者と対面でのヒアリングを実施した。また、2019 年 3 月に有識者 3 名へのヒアリングを実施し、収集した事例へのコメントを求めた。
本報告書では、ヒアリングで収集した論点および有識者から留意すべき事項として指摘のあった論点を整理することとする。

41

＜調査項目＞
事業者ヒアリングでは、主に以下の事項について確認した。
大項目

小項目

1. 個人情報の保有状況
2. 匿名加工情報の利活用の現状

匿名加工を行っている情報
匿名加工情報の利活用を実施する背景・狙い
匿名加工情報の利活用の状況
具体的な匿名加工手法

3. 個人情報保護法ガイドラ

匿名加工情報の適切な加工

イン（匿名加工情報編）対匿名加工情報等の安全管理措置

応等における課題と解決

匿名加工情報の作成または第三者提供時における公表策

識別行為の禁止

4. 匿名加工情報の利活用における課題と効果

利活用における課題
ビジネス面での効果及び国民へのメリット
消費者への配慮
匿名加工情報の利活用における今後の展開予定

5. 非識別加工情報へのニーズ、期待

4-2. 各論点に関する先行事業者の取組み事例
本年度調査では、6 事業者に対してヒアリングを実施した。主に、以下 5 つの論点に沿って（①適正な加工、②安全管理措置、③作成時の公表、④第三者提供、⑤識別行為の禁止）事例を整理することとした。

42

4-2-1. 匿名加工情報の適正な加工に係る論点
匿名加工情報の適正な加工について、法第 36 条第 1 項および規則第 19 条で、以下のよ
うに定められている。
法第 36 条１

個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。
規則第 19 条
法第 36 条第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(2) 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(3) 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えるこ
とを含む。
）
。
(4) 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
(5) 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人
情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

事業者ヒアリングの中で、適正な加工に関する悩みは多く聞かれた。個人情報保護委員会
事務局が、事務局レポート等で、加工事例を公開しているものの、自社の保有する情報と完全に一致するケースは少なく、各事業者が悩みながら適正な加工方法を決定している現状がわかった。
事例に含まれない点として、有識者から出た意見としては、同じ情報が含まれる他データ
ベースのことを考慮した上で、加工方法を決めるべきであるというものもあった。例えば、店舗での商品購入時に、2 種類以上のポイントカードを提示してポイントを付けてもらうよ43

うな場合、それぞれ異なる事業者のデータベースに同じ購買情報が記録され、双方のユーザ
ID が異なったとしても、情報の内容から双方を紐づけることが可能になる。このように同一事業者内だけでなく、他事業者が同じ情報を保有していないかも含めて、加工方法を検討する必要がある。
以下では、各事業者が実際に抱える悩みとその解決策として実際に行っている事例を整理する。
＜加工方法の決め方＞
実施事業者

ヘルスケア事業者

匿名加工情報に含まれる

健康診断情報個人に関する情報の項目

 属性データ 健診データ

関連事例 事例集 No.

事例 3 2-1-2（課題）
健診データについては、当該時点で公表されていた個人情報保護委員会のガイドライン
や個人情報保護委員会事務局レポート等でも具体的な事例が掲載されていなかったため、どのような加工方法が適切なのかがわからなかった。
（対応事例）
加工方法については、個人を特定できるかという観点を重視して、自社内で検討した。ガイドラインや事務局レポート等に同様のデータを取扱うケースがなかったため、健診デー
タそのものではないが、同様に機微性の高い情報である位置情報等についての他社の加工方法を参考にしながら、個人を特定されることなく、また有意義な分析が可能になるかを社内で検討を行った。
【ポイント】
 個人情報保護委員会のガイドラインや事務局レポートの他、他社の公表情報も参考にする
 自社の保有データと全く同じ種別のデータでなかったとしても、その性質を踏まえて参考にすることは可能

44

＜長期間のデータの連結を不可にする処理＞
実施事業者

クレジットカード会社

匿名加工情報に含まれる

クレジットカード情報

個人に関する情報の項目

 カードユーザ属性情報
 利用明細情報

関連事例 事例集 No.

事例 1 2-1-2（課題）
当該クレジットカード会社では、個人のカード利用履歴をつなぎ合わせ、長期間に渡り、どのような消費行動をとっている個人なのかを明確にしてしまうことは、個人情報保護の観点から良くないと判断した。
そのため、匿名加工情報においては、同一カードユーザのデータをつなぎ合わせることができないように工夫する必要があった。
（対応事例）
匿名加工情報作成の都度ハッシュ関数を変更し、異なる別 ID にしている。本事例では、一度に最大 3 か月分の匿名加工情報を作成しているが、当該データ期間において、同一のカードユーザがどのような消費行動をとったかはわかるものの、毎回ハッシュ関数が変更されているため、他の回においてどのような消費行動をとっていたのかをつなぎ合わせる
ことはできないようになっている。また、同一のカードユーザ ID を匿名加工情報作成の都度、異なる別 ID に変換しているため、同一カードユーザの当該データ期間の消費行動は把握できるが、異なる期間の消費行動をつなぎ合わせることはできないようになっている。
また、作成の都度、カードユーザの中から数パーセントをランダムサンプリングし、匿名加工情報にすることで、毎回同じカードユーザの利用履歴が使用されることを防ぎ、特定の個人を識別することをより困難にしている。
【ポイント】
 個人を特定する ID を別 ID に置き換える
 別 ID に置き換えるハッシュ関数は作成の都度変更する
 全ユーザ分ではなくランダムサンプリングしたユーザの情報を匿名加工情報にする（作成の都度サンプリングし直す）（補足）
ある一時点で作成した匿名加工情報では加工基準をクリアしていても、同じ ID で繋げることができ、複数回分の匿名加工情報を集めると、履歴が追えてしまうケースに留意が必要というのは有識者からも指摘された点である。複数回に渡る情報であっても加工基準を満たしているのかを考慮して加工方法を決める必要がある。この事例のように、加工の45

都度ハッシュ関数を変えているというのは、まさにこの対応に当たる。
また、アンケート調査の結果からも、規則第 19 条第五号「個人情報データベース等の性質を踏まえたその他の措置」について、匿名加工情報を作成している事業者の 3 割近くが、対応が困難であると考えていることがわかっている（問 7）。この点について有識者からは、母集団からサンプリングしたデータを匿名加工するとよいとの意見もあった。母集団に網羅性が高い場合（例えば、ある事業者の全役職員のデータ、ある私立学校の全校生徒のデー
タ等）、それ単体では個人を識別することは不可能と判断して「加工なし」としたデータであっても、そのデータが特徴的であった場合、個人を識別することが可能になってしまうことが考えられる。例えば、ある企業の全従業員の情報を匿名加工して「入社年次」を加工なしとしていた場合、その企業に勤めるある年に入社した人を知っていて、たまたまその年に入社した人が 1 人しかいなかった場合は、個人を識別することが可能になってしまう。
収集したデータをすべて匿名加工する場合、特徴的なその 1 つのデータを見つければ、個人を特定できてしまうが、サンプリングしていれば、特定の可能性は下がる。そのような意味で、規則第 19 条五号に基づく加工方法としてサンプリングは有効であるとの意見であった。

＜個人特定につながる要素を排除した上で、必要なデータ構成を維持＞実施事業者

健康保険組合匿名加工情報に含まれる

医療健康情報個人に関する情報の項目

 適用情報 レセプト情報
 健診結果情報関連事例 事例集 No.

事例 5 2-1-2（課題）
健康保険組合の保有する組合員の医療健康情報は、適用情報、レセプト情報、健診結果情報の３つデータが、個人識別キーで紐付けされて構成されている。個人の特定につながる要素を排除すると、３つデータを紐付けていた個人識別キーも削除されてデータの構成が崩れてしまい、有効な分析ができなくなってしまうことを懸念していた。
（対応事例）
まず加工にあたり、これらのデータから個人の特定につながる項目（氏名、住所、生年月日、個人識別キーなど）の削除を行っている。
また、適用情報の個人の属性項目については、匿名性を確保するために、k-匿名化をベースとした加工を行っている。さらに、レセプト情報の診療行為コード、医薬品情報では、特46

異な情報を除外、健診結果情報の検査値にある外れ値の処理等を行うなど個人特定につながる要素を排除する処理がなされている。なお、特異な情報の除外や外れ値の処理を行う際には、当該データの分布状況に鑑み、処理を行うデータの基準を決めている。
上記の処置により、データの構成が崩れてしまわないよう、匿名加工後に、３つのデータを紐付けるレコード連結キーを新たに振り出すことにより、データの構成を維持する工夫がなされている。
【ポイント】
 個人の特定につながりそうな特異なデータや外れ値は除外。また、個人
識別キーの削除によりデータの紐付けが失われるため、匿名加工後に新たに紐付けを行うデータを振り出す
 匿名性を確保するために属性情報の k-匿名化を行う＜個人特定できないことに配慮した加工処理＞実施事業者

おもてなしプラットフォーム運営事業者

匿名加工情報に含まれる

観光客情報

個人に関する情報の項目

 属性情報 履歴情報（移動情報、決済・購買情報、サービス利用情
報、閲覧情報）関連事例 事例集 No.

事例 6 2-1-2（課題）
当該おもてなしプラットフォーム運営事業者は、ローカルプラットフォーム事業者から
匿名加工情報の加工委託を受けている。おもてなしプラットフォーム運営事業者側で、匿名加工を実施する際に、分析のための情報は残しつつも、元の ID から個人を特定することができないような加工方法にすることを検討していた。
（対応事例）
もともとローカルプラットフォーム側で、ローカルユーザ ID と呼ばれる ID を各訪日外
国人に発番しており、このローカルユーザ ID をハッシュ関数による変換をしてハッシュ値に置き換えた ID（以下「ハッシュ ID」という）に置き換えている。ハッシュ関数による変換をするタイミングの日時をソルトに用いる。このときの日時はおもてなしプラットフォームでは保持していないため、ハッシュ関数を用いてハッシュ ID からローカルユーザ IDを復元することは不可能である。
なお、ローカルユーザ ID をキーとしたユーザアカウント情報に、ハッシュ ID を記録する形での対応表は保持しているが、3 ヶ月に一度ハッシュ関数による変換をする際に付与す47

るソルト（すなわち変換するタイミングの日時）でローカルユーザ ID から別のハッシュ IDを生成し、これに応じて対応表も上書きするため、生成から 3 か月経過したハッシュ ID は
対応表のローカルユーザ ID、個人情報を含むユーザアカウント情報と紐付けることは困難
であり、ハッシュ ID をキーとする匿名加工情報も加工前の個人情報との紐づけは困難となる。
また、安全管理措置の観点から、対応表は匿名加工情報と同一サーバで保持するのではな
く、アクセス権限を分ける等の工夫をしている。
【ポイント】
 個人を特定する ID を別 ID に置き換える
 置き換えた別 ID は 3 ヶ月に一度変更して ID を上書きする＜個人特定できないことに配慮した加工処理＞
実施事業者

物流事業者

匿名加工情報に含まれるドライバーの運行・生体情報

個人に関する情報の項目

 ドライバー情報
 運行情報等

関連事例 事例集 No.

事例 2 2-1-2（課題）
当該物流事業者は、ドライバーの生体情報や運行履歴を蓄積するにあたり、同一のドライ
バーの情報の履歴が分かるようにしているが、そのままでは容易に個人を特定できてしまう懸念があった。
また、ドライブレコーダーの動画を取得しているが、そのまま使用するとドライバー本人の顔から個人の特定につながってしまう恐れがあった。
（対応事例）
まず、社員 ID はハッシュ関数による不可逆変換をして別 ID に置き換えている。
さらに、動画を取得する目的は、ドライバーの運転中の挙動を把握することなので、動画撮影対象の当該個人が特定できないようにモザイク処理を行っている。
【ポイント】
 個人を特定する ID をハッシュ関数による不可逆変換をして別の ID に置き換える
 動画撮影対象の当該個人が特定できないようにモザイク処理を行う

48

＜位置情報ならではのリスクへ配慮＞
実施事業者

通信会社

匿名加工情報に含まれる

Wi-Fi 位置情報

個人に関する情報の項目

 Wi-Fi 利用者情報
 位置情報関連事例 事例集 No.

事例 4 2-1-2（課題）
位置情報には、特有のプライバシーリスクがあり、総務省における過年度調査 3において、配慮すべき評価要素がとりまとめられている。Wi-Fi 位置情報を取り扱う際にも、各要素を一つずつ確認して、適切な加工を行う必要があった。
（対応事例）
配慮すべき評価要素は以下のとおりである。
評価要素

要件

１）付帯情報（通信事業者が扱う位置情報に付帯する情報）・ 付帯情報によっては、個別の通信や特定の個人を識別する可能性が高まることに配慮して選定・加工することが望ましい。
・ 対象とする位置情報に、自宅、通勤・通学地が含まれる場合は、配慮して加工することが望ましい。
・ 対象とする位置情報に、要配慮個人情報に関わる場所が含まれている場合は、配慮して加工することが望ましい。
・ 特定の学校・職場や稀少な趣味嗜好等を持つ集団を対象とした場合、集団の規模によっては、個別の通信や特定の個人を識別する可能性が高まるため、集団の規模に配慮して加工することが望ましい。
・ 特定のイベントや事件のあった日、時期と一致する可能性がある場合、他の情報を参照することによって、個別の通信や特定の個人を識別する可能性が高まるため、取得時期の特性に配慮して加工することが望ましい。
・ 高い精度の位置情報は、個別の通信や特定の個人を識別する可能性が高いため、適切に精度を低減することが望ましい。
人口密度の低いエリアを対象とする場合は、特に配慮することが望ましい。
・ 移動履歴の期間が長くなったり、特定の時間帯を対象としたりする場合は、次の a)～c)に係るリスクが高くなるため、これらに配慮して加工することが望ましい。
・ a)パターン性、b)場所の特性、c)識別性

２）場所の特性

３）集団の規模４）取得時期の特性

５）位置の精度

６）移動履歴の期間・範囲

平成 28 年度総務省委託事業「位置情報に関するプライバシーの適切な保護と社会的活用の両立に向けた調査研究 報告書」2017 年 3 月
3

49

評価要素

７）時間の精度・間隔８）対象者数９）データ提供までの期間

要件
・ 時間の精度が高まったり、データを取得する際の時間間隔が短くなったりすると、個別の通信や特定の個人を識別する可能性が高まる。また、詳細な時刻情報は位置情報とセットになることで、異なるデータセット間における共通の識別子として機能し得る。このため、適切に時間の精度を低減した
り、間隔を開けたりすることが望ましい。
・ 加工対象とするデータセットに含まれる対象者数が少ないと、個別の通信や特定の個人を識別する可能性が高まることに配慮して加工することが望ましい。
・ 同一の個人が複数台の携帯端末を所持している場合のあることを想定して、携帯端末の台数よりも対象者数が小さくなる
可能性のあることに留意することが望ましい。
・ データを取得してから、「十分な匿名化」により加工した位置情報として提供するまでの期間が短い場合は、他の情報を参照することによって、個別の通信や特定の個人を識別する可能性が高まることに配慮して加工することが望ましい。

【ポイント】
 位置情報特有のプライバシーリスクに配慮するため、過年度の総務省調査でとりまとめられた９つの評価要素に基づき、データの安全性を評価する＜加盟店の反発防止＞
実施事業者

クレジットカード会社

匿名加工情報に含まれる

クレジットカード情報

個人に関する情報の項目

 カードユーザ属性情報
 利用明細情報

関連事例 事例集 No.

事例 1 2-1-2（課題）
当該クレジットカード会社の事例は、匿名加工情報を第三者提供して、分析会社にて消費指数を作成するという目的であったため、どのような場所でカードが利用されたのかを匿
名加工情報に含む必要がある。しかし、加盟店名をそのまま入れて分析会社にて利用店舗単位に情報を集計すると、店舗全体の売上金額や、利用する顧客の属性等を推測できることから、加盟店の営業秘密に抵触する恐れがあり、加盟店からも情報提供について同意を取得する必要性がでてくることに悩みがあった。

50

（対応事例）
加盟店名をそのまま出すのではなく、店舗業種に加工することにした。分析の際に、具体的な加盟店名は不要である。統計閲覧会員のニーズを把握し、どのような業種分類であれば、利便性を損なわず、かつ情報も出しすぎることがないか検討し、設定することにした。
【ポイント】
 購買情報の店舗名は削除し、店舗業種に加工する
 店舗業種の設定は統計閲覧会員の声を反映し、利用時に意味のある分類になるようにする＜匿名加工の委託＞
実施事業者

おもてなしプラットフォーム運営事業者

匿名加工情報に含まれる

 属性情報個人に関する情報の項目

 履歴情報（移動情報、決済・購買情報、サービス利用情
報、閲覧情報）関連事例 事例集 No.

事例 6 2-1-2（課題）
当該おもてなしプラットフォーム運営事業者は、ローカルプラットフォーム事業者から
匿名加工情報の加工委託を受けている。本事例では、最終的に一つの機関に分析のために匿名加工情報を第三者提供することになるものの、直接情報収集するローカルプラットフォーム事業者が複数存在していることから、各社でそれぞれ匿名加工を実施すると、加工基準
がバラバラになる恐れがあった。
（対応事例）
加工の段階から、各ローカルプラットフォーム事業者の情報を一社に委託し、ローカルプ
ラットフォーム事業者から集められたデータを同一基準・同一フォーマットで一律に匿名加工することで、平仄を合わせた形で分析を実施することが可能となった。
匿名加工の委託契約は各ローカルプラットフォーム事業者と、おもてなしプラットフォーム運営事業者で個別に締結している。委託契約の際には、同一フォーマットの委託契約文書を使用し、各社でカスタマイズして締結している。
【ポイント】
 匿名加工情報の作成は委託することも可能
 複数社で収集した個人情報をまとめて分析する際には、一社に加工委託
して匿名加工情報を作成することは有効

51

（補足）
匿名加工を他社に委託すること自体は問題ないが、匿名加工の委託先と第三者提供先が同一事業者となる場合は、リスクもあるため、特に注意する必要がある。例えば、匿名加工
情報の第三者提供を受けた後も、加工時に提供を受けた元データ（個人情報）を保有し続ける場合などは、履歴も含めて k≧2 の k 匿名化を行う必要がある。また、履歴も含めた k≧
2 の k 匿名化を行わない場合は、加工委託先と第三者提供先は事業体を分けて別の事業者とすることが望ましいと有識者から指摘されている。また、別の有識者からは、形式的に事業体を分けたとしても、実質的に両者が一体であるのであれば、やはり適正加工義務の観点から問題になる可能性はあるという点についても指摘されている。有識者からこの点は強く指摘を受けた部分であり、加工委託先に第三者提供する際には運用とリスクについて十分に検討する必要がある。

52

4-2-2. 匿名加工情報の安全管理措置に係る論点
加工方法等情報の安全管理措置等について、法第 36 条第 2 項および規則第 20 条で、以下のように定められている。
法第 36 条２

個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
規則第 20 条
法第 36 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
(1) 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個
人識別符号並びに法第 36 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。
）を取り扱う者の権限及び責任を明確に定めること。
(2) 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等
情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
(3) 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。

また、匿名加工情報の安全管理措置等については、法第 36 条第 6 項および第 39 条で、以下のように定められている。
法第 36 条６

個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
法第 39 条
匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければ
ならない。

53

事業者ヒアリングの中で、特に匿名加工情報そのものに対する安全管理措置についての課題が多く聞かれた。
以下では、各事業者が実際に抱える課題とその解決策として実際に行っている事例を整理する。
＜匿名加工情報を明確に分けた保管＞
実施事業者

物流事業者

匿名加工情報に含まれるドライバーの運行・生体情報

個人に関する情報の項目

 ドライバー情報
 運行情報等

関連事例 事例集 No.

事例 2 2-2-2（課題）
匿名加工情報をより利活用していくために、個人情報と匿名加工情報の保管を明確にしておく必要があった。
（対応事例）
匿名加工済みの情報は、個人情報とはファイル名、フォルダを分け、社外へ開示が可能なことが分かるようにしている。なお、各情報には業務上必要な社員にだけアクセス権限を付与し、不特定多数の社員がアクセスできるところには格納していない。
【ポイント】
 個人情報と匿名加工情報の格納先を分けた上で、それぞれの情報には業務上必要な人にだけアクセス権限を付与する

実施事業者

ヘルスケア事業者

匿名加工情報に含まれる

健康診断情報個人に関する情報の項目

 属性データ 健診データ

関連事例 事例集 No.

事例 3 2-2-2（課題）
当該ヘルスケア事業者は社内で匿名加工情報を作成しているため、個人情報そのものと匿名加工情報をそれぞれ保有している。識別行為がなされないよう、社内で両者を明確に分けて保管しておく必要があった。
54

（対応事例）
データの管理としては、個人情報が入っているサービス用のサーバと、匿名加工情報が入っている分析用のサーバを用意し、それぞれ別管理としている。それぞれのサーバのアクセ
ス権限も分けており、サービス用サーバと分析用サーバにそれぞれアクセスできる組織も分かれている。また、匿名加工情報へのアクセスのパーミッションは分析部門側で管理している。
【ポイント】
 匿名加工情報を保管するサーバへのアクセスのパーミッションは、担当部署で管理し、事業者として匿名加工情報の保有部署を把握する体制を整えておく＜匿名加工情報の限定的な利用＞
実施事業者

クレジットカード会社

匿名加工情報に含まれる

クレジットカード情報

個人に関する情報の項目

 カードユーザ属性情報
 利用明細情報

関連事例 事例集 No.

事例 1 2-2-2（課題）
当該クレジットカード会社では、情報の分類を明確にしており、匿名加工情報は、社内規定レベルにおける個人情報の一つ下のレベルで管理している。ただし、現時点で、当該クレ
ジットカード会社の中で、匿名加工情報を利用している事業は 1 つだけであり、その他の事業では利用していない。個人情報ではないとは言え、不要なアクセスを防ぐ施策が必要であると考えた。
（対応事例）
不要なアクセスを防ぐため、当該サービスを管轄する事業部のみにアクセス権限を付与している。
また、社内で匿名加工情報を新たなサービスに活用したい場合は、法務部門に都度相談する
よう社内に通知している。
【ポイント】
 社内規定レベルを明確に設定し、レベル別の情報管理基準を設ける
 業務上必要な人だけにアクセス権限を付与する
 他用途で使用したい場合は、法務部門に相談することを徹底して、不要な拡散を防止する55

4-2-3. 匿名加工情報の作成時の公表に係る論点
匿名加工情報の作成時の公表について、法第 36 条第 3 項および規則第 21 条で、以下のように定められている。
法第 36 条３

個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
規則第 21 条
１

法第 36 条第 3 項の規定による公表は、匿名加工情報を作成した後、遅滞なく、イ

ンターネットの利用その他の適切な方法により行うものとする。
２

個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、
当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。

法令では、作成時の公表について、公表項目は「匿名加工情報に含まれる個人に関する情報の項目」と限定されているが、事業者ヒアリングの中で、公表内容や公表方法を工夫している事業者が複数存在した。消費者との信頼関係を毀損することのないよう、十分な情報提供となるよう工夫されていた。
以下では、各事業者が実際に抱える課題とその解決策として実際に行っている事例を整理する。
＜ユーザに対する十分な情報提供＞
実施事業者

クレジットカード会社

匿名加工情報に含まれる

クレジットカード情報

個人に関する情報の項目

 カードユーザ属性情報
 利用明細情報

関連事例 事例集 No.

事例 1 2-3-1（課題）
当該クレジットカード会社では、法令で求められている公表義務は当然ながら行っているが、カードユーザに匿名加工情報の理解が十分にされていない現状に鑑みると、多くのユーザを抱えるカード会社としての社会的意義を果たすために提供すべき情報が足りていな
56

いのではないかと懸念していた。
（対応事例）
法令に上乗せする形で、「匿名加工情報とは何か」をわかりやすく説明するページを公式サイト上に設けた。
作成時点で、このような説明資料を用意している事業者はほぼなかったため、個人情報保護委員会事務局レポートを参考に、社内で独自に検討し、関係機関及び有識者に意見を聞いた上で作成した。具体的には、①匿名加工情報の定義、②匿名加工情報取扱事業者の義務、③匿名加工情報の加工方法、④よくある質問、の 4 種類の説明を行っている。
【ポイント】
 消費者が不安を抱かないよう、予め匿名加工情報についてわかりやすく説明するようにした 作成内容に不安がある場合は、関係機関又は有識者に内容確認を依頼する

57

4-2-4. 匿名加工情報の第三者提供に係る論点
匿名加工情報の第三者提供について、法第 36 条第 4 項および第 37 条並びに規則第 22 条
および第 23 条で、以下のように定められている。
法第 36 条４

個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である
旨を明示しなければならない。
法第 37 条
匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節について同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
規則第 22 条
１

法第 36 条第 4 項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。
２

法第 36 条第 4 項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。
規則第 23 条
１

前条第 1 項の規定は、法第 37 条の規定による公表について準用する。

２

前条第 2 項の規定は、法第 37 条の規定による明示について準用する。

今回ヒアリングを実施したすべての事業者では、第三者提供が実施されていた（または予定されていた）。また、事業者アンケート調査でも、回答事業者の 7 割以上が第三者提供を実施しているという結果になった（問 2）。
ヒアリング調査では、特に、第三者提供先の情報管理をどうするのかという点で、工夫を施している事業者が多く見られた。
以下では、各事業者が実際に抱える課題とその解決策として実際に行っている事例を整理する。
58

＜第三者に必要な情報に限定した匿名加工情報の提供＞
実施事業者

物流事業者

匿名加工情報に含まれるドライバーの運行・生体情報

個人に関する情報の項目

 ドライバー情報
 運行情報等

関連事例 事例集 No.

事例 2 2-4-1（課題）
当該物流事業者は、共同研究のために研究機関へ匿名加工情報を第三者提供しているが、作成する匿名加工情報の中には本研究開発では必要としない情報も含まれていた。
（対応事例）
対象となるドライバーへも配慮し、性別、生年月は提供しておらず、研究機関の分析に必要な生体情報（ハッシュ関数による変換をして置き換えられた ID を含む）
、運行情報等の必要な情報に限り渡すようにしている。
また、社内ルールとして、匿名加工情報を社外へ提供する際には、受渡記録簿をつけるよ
うにしている。
【ポイント】
 第三者への匿名加工情報の提供は、必要な情報に限って提供する
 匿名加工情報の第三者提供時には、受渡記録簿による管理を行う＜第三者提供先からの漏えいを防ぐ仕組み＞
実施事業者

ヘルスケア事業者

匿名加工情報に含まれる

健康診断情報個人に関する情報の項目

 属性データ 健診データ

関連事例 事例集 No.

事例 3 2-4-1（課題）
当該ヘルスケア事業者は、事業の特性上、サービス利用者からの信頼は必須のものであると考えており、匿名加工情報の漏えいもあってはならないと考えている。
（対応事例）
匿名加工情報の提供元であるヘルスケア事業者が、第三者提供先である外部研究機関で59

も匿名加工情報を管理するために、提供した匿名加工情報をローカル環境にダウンロード
して分析することは禁じている。ヘルスケア事業者側がクラウド上にサーバを用意し、外部研究機関から当該サーバにアクセスして分析を行うようにしている。また、第三者提供先からの再移転ついても契約で禁止している。
委託先からの漏えいというのは、自社だけで防ぎきれるものではないので、今後はデータ自体に対策を施すことも検討していく予定である。
また、サービス利用者にはプラスアルファの情報提供を心掛けている。そのため、匿名加
工情報を第三者に提供するときに法律で求められているのは「第三者に提供される匿名加
工情報に含まれる個人に関する情報の項目」および「その提供の方法」だけであるが、第三者提供した匿名加工情報の使用内容まで自社 Web サイトに掲載している。
【ポイント】
 第三者提供先からのデータ漏えいを防ぐため、第三者提供先のローカル
環境に匿名加工情報を保存することを禁止する
 第三者提供先からの再移転を禁止する
 法令で定められている以上に、第三者提供した匿名加工情報を何に使うのかまで公表することで、消費者に安心してもらう＜第三者提供先における匿名加工情報の管理水準の指定＞
実施事業者

通信事業者

匿名加工情報に含まれる

Wi-Fi 位置情報

個人に関する情報の項目

 Wi-Fi 利用者情報
 位置情報関連事例 事例集 No.

事例 4 2-4-1（課題）
当該通信事業者は、第三者提供先からの漏えい等も起こってはならないと考えている。
（対応事例）
第三者提供先には、匿名加工情報の管理を個人情報と同じ水準にするよう依頼し、その管理状況をモニターすることができるよう覚書を締結する予定。
また、他用途への転用や再移転についても予め契約で禁止する予定。
【ポイント】
 第三者提供先の匿名加工情報管理の水準を契約で定める
 他用途への転用禁止や再移転の禁止を契約で定める60

実施事業者

クレジットカード会社

匿名加工情報に含まれる

クレジットカード情報

個人に関する情報の項目

 カードユーザ属性情報
 利用明細情報

関連事例 事例集 No.

事例 1 2-4-1（課題）
当該クレジットカード会社は、第三者提供先からの漏えい等も起こってはならないと考えている。
（対応事例）
第三者提供先には、法令で定められている以上の対応を求めている。
匿名加工情報の管理を個人情報と同じ水準にするよう依頼し、その管理状況をモニターすることができるよう覚書を締結している。
また、他用途への転用や再移転についても予め契約で禁止している。
【ポイント】
 第三者提供先の匿名加工情報管理の水準を契約で定める
 他用途への転用禁止や再移転の禁止を契約で定める＜匿名加工情報の加工委託先と第三者提供先が同一の場合の運用＞
実施事業者

プラットフォーム運営事業者

匿名加工情報に含まれる

観光客情報

個人に関する情報の項目

 属性情報 履歴情報（移動情報、決済・購買情報、サービス利用情
報、閲覧情報）関連事例 事例集 No.

事例 6 2-4-1（課題）
当該プラットフォーム運営事業者は、匿名加工情報の加工の委託先と第三者提供先が同じであることが適正加工義務や識別禁止義務の観点から問題視されないかを懸念していた。
（対応事例）
匿名加工情報の加工の委託先であることを考慮にいれた加工基準を定めるとともに、おもてなしプラットフォーム運営事業者側では、元データは匿名加工と同時に削除し、保有しないことにしている。なお、第三者提供を受けたおもてなしプラットフォーム運営事業者か
61

らの匿名加工情報の再移転は現在のところ予定していない。
【ポイント】
 匿名加工情報の加工の委託先に当該匿名加工情報を第三者提供することは、一律的に問題になるわけではない 委託を受けて匿名加工を行う際に受領した元データを削除した後に、匿名加工情報の第三者提供を受ける必要がある（補足）
実務上、加工委託先と第三者提供先を同一事業者にせざるを得ない場合、基本的には事業体を分けることが望ましいが、事業体を分けたとしても、両者が実態としてほぼ一体であるのであれば、間のデータのやりとりが問題になる可能性はあるという点についても有識者から指摘された。

62

4-2-5. 識別行為の禁止に係る論点
識別行為の禁止について、法第 36 条第 5 項および第 38 条で、以下のように定められている。
法第 36 条５

個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
法第 38 条
匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第 36 条第 1 項、行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第 58 号）第 44 条の 10 第１項（同条第２項において準用する場合を含む。
）若しくは独立行政法人等の保有する個人情報の保護に関する法律第 44 条の 10 第１項（同条第２項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。

今回のヒアリング調査では、法令に従って識別行為を禁止する施策を実施しているという声が多く聞かれた。自社内でどのように識別行為を禁止すべきか、また第三者提供先にどのようにして識別行為をさせないようにするか、という点に留意して、社内規程や第三者提供先との契約の内容を検討しているケースが多い。また、特に匿名加工情報の加工委託先と第三者提供先が同一である場合、識別行為の禁止が徹底されていた。
以下では、各事業者が実際に抱える課題とその解決策として実際に行っている事例を整
理する。

63

＜匿名加工情報の加工委託先と第三者提供先が同一の場合の教育＞
実施事業者

プラットフォーム運営事業者

匿名加工情報に含まれる

観光客情報

個人に関する情報の項目

 属性情報 履歴情報（移動情報、決済・購買情報、サービス利用情
報、閲覧情報）関連事例 事例集 No.

事例 6 2-5-2（課題）
識別禁止義務の観点からは、匿名加工情報の加工委託先兼第三者提供先となるおもてな
しプラットフォーム運営事業者での対策が必須であった。
（対応事例）
おもてなしプラットフォーム運営事業者の全社教育プログラムの中で個人情報に関する教育を行っており、その中で匿名加工情報についても研修するようにしている。
【ポイント】
 社内教育において、識別行為の禁止を周知徹底する64

4-2-6. その他の論点
その他の論点として挙げられた各事業者が実際に抱える課題とその解決策として実際に行っている事例を以下に整理する。
＜対象となる個人への配慮＞
実施事業者

物流事業者

匿名加工情報に含まれるドライバーの運行・生体情報

個人に関する情報の項目

 ドライバー情報
 運行情報等

関連事例 事例集 No.

事例 2 2-6（課題）
当該物流事業者では、ドライバーの生体情報という機微な個人情報を取り扱うため、ドライバーの不安、懸念を払拭する必要があった。
（対応事例）
研究機関において取り扱われる際には個人情報としてではなく、匿名加工情報として取り扱うことで個人が特定できないよう配慮した。また、物流事業者のグループ会社が、個人情報を取得する際には、個人情報としての提供先は物流事業者のみであり、物流事業者から研究機関へ提供する際には、匿名加工情報に加工されており、個人情報が外部に出ることはな
い旨も合わせて説明している。
【ポイント】
 対象となる個人の不安、懸念を払拭するために、個人情報の第三者提供についての同意は得ていても、分析の際には匿名加工した上で利用する
 上記の個人情報の取扱いを含め、個人情報として物流事業者の外部に出ることはないことを丁寧に説明する

65

＜オプトアウト（利用停止等の対応）の実施＞
実施事業者

プラットフォーム運営事業者

匿名加工情報に含まれる

観光客情報

個人に関する情報の項目

 属性情報 履歴情報（移動情報、決済・購買情報、サービス利用情
報、閲覧情報）関連事例 事例集 No.

事例 6 2-6（課題）
法令では求められていないが、対象となる個人（訪日外国人）の権利保護のため、上乗せ施策としてオプトアウトを実施する必要があると考えた。
（対応事例）
訪日外国人側からローカルプラットフォーム事業者にオプトアウトの申出を受けた場合
は、ローカルプラットフォーム事業者側でおもてなしプラットフォーム運営事業者に加工委託する個人情報の中から削除するようにしている。
【ポイント】
 消費者保護の配慮として、オプトアウトを提供し、申出があった場合は、匿名加工を行わない

実施事業者

健康保険組合匿名加工情報に含まれる

医療健康情報個人に関する情報の項目

 適用情報 レセプト情報
 健診結果情報関連事例 事例集 No.

事例 5 2-6（課題）
法令では求められていないが、対象となる個人（被保険者）の権利保護のため、上乗せ施策としてオプトアウトを実施する必要があると考えた。
（対応事例）
被保険者からの自分の情報を匿名加工情報に使わないでほしいという要望（オプトアウ
ト）については、以下のような上乗せ施策を実施することとしている。
まず、前提として外部に提供する際には、匿名加工されているので個人を特定できないよ66

うにしている旨のアナウンスをしている。なお、苦情・相談の窓口は設けている。また、オ
プトアウトの要望があった際は、すでに匿名加工されてしまった情報から当人の情報を除くことはできないが、次に元データから匿名加工情報を作成する際には、加工前の情報から除外することは可能となるように管理している。
【ポイント】
 匿名加工情報の外部提供に当たっては、匿名加工されているので個人を特定できないようにしている旨をアナウンスする 苦情相談の窓口を設ける
 消費者保護の配慮として、オプトアウトを提供し、申出があった場合は、匿名加工を行わない

実施事業者

クレジットカード会社

匿名加工情報に含まれる

クレジットカード情報

個人に関する情報の項目

 カードユーザ属性情報
 利用明細情報

関連事例 事例集 No.

事例 1 2-6（課題）
法令では求められていないが、対象となるカードユーザの権利保護のため、上乗せ施策としてオプトアウトを実施する必要があると考えた。
（対応事例）
もともと他用途の仕組みを転用してオプトアウトを実施していたが、オプトアウト専用の仕組みを新たに設けることにした。
匿名加工情報を利用したサービスの開始 1 ヶ月前より、カードユーザ向けにアナウンス
を開始し、オプトアウトを受け付けた場合は、次回匿名加工情報作成時より、サンプルに抽出されないよう処置している。
【ポイント】
 消費者保護のため、オプトアウトを実施 サービス開始 1 ヶ月前よりアナウンスを実施
 オプトアウトを受け付けた場合は、次回匿名加工情報作成時より対象に含めない

67