個人情報保護委員会事務局レポート︓

仮 名 加 工 情 報 ・ 匿 名 加 工 情 報
信頼ある個人情報の利活用に向けて―制度編―

初版 2017 年 2 月
第 2 版 2022 年 3 月（2022 年５月更新）
個人情報保護委員会事務局

目次
はじめに .......................................................................................................................................................１
1.

イントロダクション ..............................................................................................................................２

1.1

平成 27 年個人情報保護法改正により匿名加工情報制度が導入された背景 ................................. ２

1.2

令和 2 年個人情報保護法改正により仮名加工情報制度が導入された背景.................................... ４

1.3

本レポートの位置付け ...................................................................................................................５2.

個人情報保護法上の各制度の概要 ..................................................................................................６

2.1

個人情報とその取扱いにおける制約 ...................................................................................................６

2.1.1

個人情報の定義 ...........................................................................................................................６

2.1.2

個人情報を取り扱う上での制約 .....................................................................................................８3.

仮名加工情報 .............................................................................................................................. １２

3.1

仮名加工情報とは ........................................................................................................................ １２

3.1.1

仮名加工情報を利用する際の考え方 ......................................................................................... １２

3.1.1.1

仮名加工情報の特徴 ........................................................................................................ １２

3.1.1.2

仮名加工情報の活用例 ..................................................................................................... １３

3.1.2

仮名加工情報の定義 ................................................................................................................ １５

3.1.2.1「特定の個人を識別することができる」とは ............................................................................... １７

3.1.2.2「他の情報と照合しない限り特定の個人を識別することができない」とは .................................... １７

3.1.2.3

個人情報である仮名加工情報と個人情報でない仮名加工情報とは..................................... １７

3.1.3「仮名加工情報取扱事業者」とは ............................................................................................... １８

3.1.4

仮名加工情報を取り扱う上での制約.......................................................................................... １９

3.1.5

仮名加工情報の作成とは .......................................................................................................... ２０

3.2

仮名加工情報の作成に当たって求められる加工 ............................................................................. ２３

3.2.1

仮名加工情報の加工基準（施行規則 31 条）について ............................................................ ２３

3.2.1.1

第 1 号（特定の個人を識別することができる記述等の削除） ............................................. ２３

3.2.1.2

第 2 号（個人識別符号の削除）...................................................................................... ２６

3.2.1.3

第 3 号（不正に利用されることにより財産的被害の生じるおそれのある記述等の削除） ....... ２７

3.3

仮名加工情報の作成・利用に当たっての留意点 ............................................................................. ２９

3.3.1

利用目的との関係 .................................................................................................................... ２９3.3.2

識別行為の禁止 ....................................................................................................................... ３２

3.3.3

本人への連絡等の禁止 ............................................................................................................. ３４

3.3.4

不適正利用の禁止 ................................................................................................................... ３６

3.3.5

漏えい等発生時の報告義務及び本人通知義務の免除 .............................................................. ３８

3.3.6

安全管理措置について .............................................................................................................. ３９

3.3.7

削除情報等の安全管理措置 ..................................................................................................... ４１

3.4

第三者提供との関係 .................................................................................................................... ４５

3.4.1

第三者提供の禁止 ................................................................................................................... ４５

3.4.2

共同利用について...................................................................................................................... ４７4.

匿名加工情報 .............................................................................................................................. ５３

4.1

匿名加工情報とは ........................................................................................................................ ５３

4.1.1

匿名加工情報を利用するアドバンテージ ..................................................................................... ５３

4.1.2

匿名加工情報の定義 ................................................................................................................ ５３

4.1.2.1「特定の個人を識別することができない」とは .................................................................... ５５

4.1.2.2「当該個人情報を復元することができないようにしたもの」とは ............................................ ５５

4.1.2.3

一部の情報が復元できた場合について ............................................................................ ５６

4.1.2.4「復元することのできる規則性を有しない方法により他の記述等に置き換えること」とは ........ ５６

4.1.3

匿名加工情報を取り扱う上での制約.......................................................................................... ５６

4.1.4

匿名加工情報に関する留意点 ................................................................................................... ５７

4.1.4.1

統計情報について........................................................................................................... ５７

4.1.4.2

容易照合性との関係 ...................................................................................................... ５８

4.1.5

匿名加工情報の作成とは .......................................................................................................... ５９

4.2

匿名加工情報の作成に当たって求められる加工 ............................................................................. ６４

4.2.1

匿名加工情報の加工基準（施行規則第 34 条）について ........................................................ ６４

4.2.1.1

第 1 号（特定の個人を識別することができる記述等の削除） ......................................... ６４

4.2.1.2

第 2 号（個人識別符号の削除） .................................................................................. ６６

4.2.1.3

第 3 号（情報を相互に連結する符号の削除） ............................................................... ６７

4.2.1.4

第 4 号（特異な記述等の削除） .................................................................................. ６８

4.2.1.5

第 5 号（個人情報データベース等の性質を踏まえたその他の措置） ............................... ６９

4.2.1.5.1「個人情報に含まれる記述等と～他の個人情報に含まれる記述等との差異」 ..................... ７１

4.2.1.5.2「その他の～適切な措置」が求められる場合 ..................................................................... ７１

匿名加工情報を作成する際に検討することが望ましい事項 .......................................................... ７３

4.2.2
4.2.2.1

匿名加工情報の利用形態について ................................................................................. ７３

4.2.2.2

他の情報を参照することによる識別の可能性について ....................................................... ７４
匿名加工情報の作成のための参考情報 .................................................................................... ７６

4.2.3
4.2.3.1

匿名加工に用いられる代表的な加工手法 ....................................................................... ７６

4.2.3.1.1

ｋ-匿名性について ......................................................................................................... ７７

4.2.3.1.2

レコード一部抽出について ............................................................................................... ７７

4.2.3.2

情報の項目と想定されるリスク及び加工例 ...................................................................... ７８

4.3

匿名加工情報等の安全管理措置 ................................................................................................. ８２

4.3.1

加工方法等情報の安全管理措置について ................................................................................. ８２

4.3.2

匿名加工情報の安全管理措置等について ................................................................................. ８４

4.4

匿名加工情報の利用に当たっての留意点 ...................................................................................... ８６4.4.1

識別目的の照合とは ................................................................................................................. ８６4.4.2

加工方法の評価や再識別事案発生等における影響の範囲の確認等のための照合 ...................... ８７

4.4.3

匿名加工情報を加工したものの扱い .......................................................................................... ８８

4.4.4

意図せず特定個人を識別してしまった場合の扱い ....................................................................... ８８

おわりに ................................................................................................................................................... ８９【参考資料】............................................................................................................................................. ９０I.

参考文献 ..................................................................................................................................... ９０

【凡例】「個人情報保護法」・「法」

個人情報の保護に関する法律（平成 15 年法律第 57 号）「施行令」

個人情報の保護に関する法律施行令（平成 15 年政令第 507 号）「施行規則」

個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号）「平成 27 年改正法」

個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成 27 年法律第 65号）「令和 2 年改正法」

個人情報の保護に関する法律等の一部を改正する法律（令和 2 年法律第 44号）「令和 3 年改正法」

デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）（第 50 条の規定に限る。）「ガイドライン」

個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）（平成 28 年個人情報保護委員会告示第 9 号）

「通則ガイドライン」

個人情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年
個人情報保護委員会告示第 6 号）

「Q&A」

「個人情報の保護に関する法律についてのガイドライン」に関する Q&A※ なお、特に断りのない限り、本レポートにおいて示す個人情報の保護に関する法律の条番号は、令和 3 年改正法による改正後の条番号を示すものとする。

はじめに
個人情報を含む個人に関する情報の取得・分析・流通が社会経済活動及びイノベーションや経済成長における重要な役割を果たすようになっている。今後、IoT 1・AI2等の普及に伴い、従来よりも更に多くのデータを取得・分析・流通することが可能となっていく中、個人情報を含む個人に関する情報の利活用の環境を整える重要性が増している。
また、国境を越えた情報の流通が加速し、国境を越えて海外へサービス提供を行うことも海外事業者のサービス提供を受けることも容易となる中で、適正な取扱いを確保し利用者の信頼を得ながら、我が国の事業者や関係機関が国内外の様々な個人情報を含む個人に関する情報を活用して多様なサービスを提供できる環境整備が極めて重要である。
個人情報保護委員会事務局レポート（以下「本レポート」という。）の初版は、法令及びガイドラインに加えて、認定団体による匿名加工情報の加工基準や安全管理措置等を含む個人情報保護指針の作成又は事業者団体が自主ルール等の策定を行う際に参考となるような情報を取りまとめることにより、指針等の策定を促し、また個別の事業者や関係団体等が匿名加工情報を作成しようとする場合にも参照いただけるように、2017 年２月に作成・公表した。
それから 5 年が経過し、匿名加工情報制度の事業者における活用も進んだ。2022 年 2 月時点、657 社の事業者が匿名加工情報の作成等を公表していることを確認している。
さらに、個人情報保護委員会事務局は匿名加工情報の利活用に関する事例集を公表したり、PPC ビジネスサポ
ートデスクや個人情報保護法相談ダイヤルを設置し匿名加工情報や個人情報の取扱いについての相談を受けたりす
る等を通じて、匿名加工情報制度の普及に努めてきた。
本レポートやこれらの取り組みが、事業者における匿名加工情報の活用をより一層推進できることを期待する。
また、個人情報の取扱実務の広がりや、情報技術の発展を背景として、仮名加工情報制度が新設された。仮名加工情報制度は、匿名加工情報制度と同様に、法令及びガイドラインにより必要最低限の事項について定められている。しかし、仮名加工情報の性質を踏まえ、必要に応じた追加的な措置を講ずることが期待される。
本レポートの第２版は、仮名加工情報の取扱いの参考となる情報を追加することで、事業者における仮名加工情報の活用にも資するものとして作成した。
本レポートが、これから仮名加工情報や匿名加工情報の取扱いに関心を持つ事業者や関係団体に役立つものとなることを期待する。

1

Internet of Things︓モノのインターネット

2

Artificial Intelligence︓人工知能

１

1. イントロダクション
1.1

平成 27 年個人情報保護法改正により匿名加工情報制度が導入された背景

平成 15 年（2003 年）5 月 30 日に公布され、平成 17 年（2005 年）4 月 1 日に全面施行された個
人情報の保護に関する法律（平成 15 年法律第 57 号。以下 1.1 及び 1.2 において「個人情報保護法」という。）の施行後 10 年余りが経過し、情報通信技術の飛躍的な進展等により個人情報を取り巻く状況は大きく変化した。
「世界最先端 IT 国家創造宣言」（平成 25 年（2013 年）６月 14 日閣議決定）において、個人情報等については、「オープンデータやビッグデータの利活用を推進するためのデータ利活用環境整備を行うため、IT 総
合戦略本部の下に、新たな検討組織を速やかに設置し、データの活用と個人情報及びプライバシーの保護との両立に配慮したデータ利活用ルールの策定等を年内できるだけ早期に進めるとともに、監視・監督、苦情・紛争処理機能を有する第三者機関の設置を含む、新たな法的措置も視野に入れた制度見直し方針を年内に策定する」 3とされ、高度情報通信ネットワーク社会推進戦略本部の下に「パーソナルデータに関する検討会」が設置されて「匿名化」の議論もこの場で行われることとなった 4。同検討会は平成 25 年（2013 年）12 月に「パーソナルデータの利活用に関する制度見直し方針」を発表し、同検討会技術検討ワーキンググループから報告書 5が提出された。
平成 26 年（2014 年）6 月 24 日に同本部が決定した「パーソナルデータの利活用に関する制度改正大綱」において、多種多様かつ膨大なデータ、いわゆるビッグデータの収集・分析を可能とし、我が国の新産業・新サービスの創出や社会的課題の解決に貢献することが期待される一方で、個人情報及びプライバシーに対する消費者の意識が拡大しつつあり、保護されるべきパーソナルデータが適正に取り扱われることにより消費者の安心感を生む制度の構築が望まれるとされた 6。また、これまでも個人情報ではない情報については法規制の対象外ではあったものの、個人情報の範囲に関する法解釈の曖昧さ 7に起因する「グレーゾーンへの対応」の必要性が指3

https://www.kantei.go.jp/jp/singi/it2/pd/dai5/siryou2-1.pdf P.7 において「「ビッグデータ」のうち、特に利用価値が高いと期待されている、個人の行動・状態等に関するデータである「パーソナルデータ」の取扱いについては、その利活用を円滑に進めるため、個人情報及びプライバシーの保護との両立を可能とする事業環境整備を進める」とされており、「既に、スマートフォンの利用者情報の取扱いなど先行的にルール策定が行われた分野については、取組の普及を推進する」とされている。
4

規制改革会議の答申を踏まえた「規制改革実施計画」（2013 年 6 月閣議決定）（https://www8.cao.go.jp/kisei-kaikaku/suishin/publication/130614/item1.pdf）において、「ビッグデータ・ビジネスの普及（匿名化情報の取扱い）」として内閣官房及び消費者庁が「合理的な匿名化措置の内容を明確化したガイドラインを策定する」こ
と を 平 成 26 年 上 期 ま で に 措 置 す る こ と を 要 請 し 、 同 会 議 の 創 業 等 ワ ー キ ン グ グ ル ー プ 報 告 （ 2013 年 6 月 ）（https://www8.cao.go.jp/kisei-kaikaku/kaigi/publication/130605/item5.pdf）において、米国 FTC3 要件が引用され、「我が国でも、ある事業者（X）が元データと加工等により特定の個人を識別できなくなった新データの両方のデータを保有し、新データのみを第三者（Y）に提供する場合において、X・Y 間の契約で Y による再識別化が禁止されているときは、個人の権利利益の侵害のおそれはないのであるから、新データは「個人情報」に該当しない旨を明確すべきではないか」との「問題意識」が示された。
5

パーソナルデータに関する検討会 「技術検討ワーキンググループ報告書」（2013 年 12 月）（https://www.kantei.go.jp/jp/singi/it2/pd/dai5/siryou2-1.pdf）及び「技術検討ワーキンググループ報告書 ～「（仮称）準個人情報」及び「（仮称）個人特定性低減データ」に関する技術的観点からの考察について～」 （2014 年 5 月）（https://www.kantei.go.jp/jp/singi/it2/pd/dai10/siryou1-2.pdf）
6

高度情報通信ネットワーク社会推進戦略本部「パーソナルデータの利活用に関する制度改正大綱」（2014 年 6 月）（https://www.kantei.go.jp/jp/singi/it2/kettei/pdf/20140624/siryou5.pdf）。既に多くの情報が収集蓄積されていたとしてもその情報が十分活用されていない状況も多く見られるようになっている。
7

大綱において、「特定の個人が識別された状態にないパーソナルデータであっても、特定の個人に結びつく蓋然性が高いなど、その取扱いによっては個人の権利利益が侵害されるおそれがあるものに関して、保護される対象及びその取扱いについて事業者が尊重すべきルールが曖昧」であることが指摘されている。

２

摘され、当該情報を活用しようとした者が、個人情報保護法及びプライバシーの観点からどのようにすれば適切な取扱いをできるのかが不明瞭であることから、プライバシーに係る社会的な批判を懸念してパーソナルデータの利活用に躊躇するという「利活用の壁」が同大綱において指摘され、個人情報及びプライバシーの保護を図りつつ、利活用を実現する環境整備を行うことが求められるとされた。具体的には、個人データ等から「個人の特定性を低減したデータ」に加工し第三者提供等を本人の同意がなくても行うことを可能とする基本的制度について法律で大枠を定め 8、具体的な内容は政省令、規則及びガイドラインにより対応するとともに、民間の自主規制ルールの活用を図ることとされた 9。
平成 27 年（2015 年）9 月に成立した「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律」（平成 27 年法律第 65 号。以下
「平成 27 年改正法」という。）は、この大綱の内容を踏まえて検討を進められたものであり、改正項目の一つとして「匿名加工情報」という制度が新設された。加えて、改正法案に関する国会審議を踏まえた附帯決議において、「匿名加工情報については、その規定の趣旨が利活用を促進するものであることに鑑み、個人情報保護委員会
規則で基準を定めるに当たっては、効果的な利活用に配慮すること」（衆議院内閣委員会）、「匿名加工情報の規定の趣旨が個人情報の利活用を促進するものであることに鑑み、個人情報取扱事業者が匿名加工情報を作成する際に必要となる基準を個人情報保護委員会で定めるに当たっては、その趣旨について十分に配慮すること」、「本法の施行後も…広報その他の活動を通じて、個人情報及び匿名加工情報の適正な取扱いの下での利活用の推進に関する国民の理解と信頼を深めるよう努めること」（参議院内閣委員会）が表明された。
IoT やビッグデータというキーワードに象徴されるように、いかにデータを収集・分析して事業に活かすかが昨今のビジネスシーンにおいて競争力を確保する上で重要であると認識される中、匿名加工情報制度は、加工基準に従った加工その他の一定のルールを義務付けることで、安全性を確保しつつデータの積極的な利活用の推進に寄与することが期待されている。

8

大綱において、医療情報等のように適切な取扱いが求められつつ、本人の利益・公益に資するために一層の利活用が期待される情報も多いことから、適切な保護と利活用を推進するとされた。
9

大綱において、「個人が特定される可能性を低減したデータへの加工方法については、データの有用性や多様性に配慮し一律には定めず、事業等の特性に応じた適切な処理を行うことができることする」とされた。さらに、当該加工方法については、民間団体が自主規制ルールを策定し、第三者機関（個人情報保護委員会）が当該ルール又は民間団体の認定等を行うこと、適切な加工方法についてはベスト
プラクティスの共有等を図ることとされた。

３

1.2

令和 2 年個人情報保護法改正により仮名加工情報制度が導入された背景

前述のとおり、平成 27 年改正法により匿名加工情報制度が導入された。個人情報取扱事業者が匿名加
工情報を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならないこととされている。
具体的には、事務局レポートで示した手法等を用いて加工することにより、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として加工前の個人情報を事業者が通常の方法により特定の個人を識別することができず、かつ、個人情報を復元できないような状態にすることが求められるところ、そのような加工によってもデータとしての有用性を一定の水準以上に保つためには、相当程度に高度な技術や判断が必要とされている。
他方、事業者の中には、自らの組織内部で個人情報を取り扱うに当たり、安全管理措置の一環として、デー
タ内の氏名等特定の個人を識別できる記述を他の記述に置き換える又は削除することで、加工後のデータそれ自体からは特定の個人を識別できないようにするといった、いわゆる「仮名化」と呼ばれる加工を施した上で利活用を行う例がみられる 10。
仮名化された個人情報は、匿名加工情報と比べて、加工による抽象化の程度が低く、加工に要する技術も高度なものではない。他方、仮名化された個人情報は、本人と紐付いて利用されることがない限りは、個人の権利利益が侵害されるリスクが相当程度低下することとなる。
こうした実務の広がりや、情報技術の発展を背景として、個人情報取扱事業者においては、仮名化された個
人情報について、一定の安全性を確保しつつ、データとしての有用性を、加工前の個人情報と同等程度に保つ
ことにより、匿名加工情報よりも詳細な分析を比較的簡便な加工方法で実施し得るものとして、利活用しようとするニーズが高まっていた 11。しかしながら、令和 2 年改正前の個人情報保護法においては、仮名化された個人情報であっても、通常の個人情報としての取扱いに係る義務が一律に事業者に課されることとなっていた。
上記の経緯を踏まえ、令和 2 年（2020 年）6 月に成立した「個人情報の保護に関する法律の一部を改正する法律」（令和 2 年法律第 44 号。以下「令和 2 年改正法」という。）において、改正項目の一つとして「仮名加工情報」制度が新設された。なお、改正法案に関する国会審議を踏まえた附帯決議において、「匿名加工情報及び仮名加工情報の規定の趣旨が個人の権利利益の保護を図りながら個人情報の利活用を行うものであることに鑑み、個人情報取扱事業者が匿名加工情報及び仮名加工情報を作成する際に必要となる基準を個人情報保護委員会規則で定めるに当たっては、個人の権利利益の保護と個人情報の利活用との均衡について十分に配慮すること。」（衆議院内閣委員会、参議院内閣委員会）が表明された。

10「個人情報保護法 いわゆる 3 年ごと見直し 制度改正大綱」21 頁

11「個人情報保護法 いわゆる 3 年ごと見直し 制度改正大綱」21 頁

４

1.3

本レポートの位置付け

仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下特に断りのない限り同じ。）は、
個人情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）第 41 条第１項により、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）は、法第 43 条第 1 項により、それぞれ個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第３号。以下「施行規則」という。）で定める基準 12に従い加工することとされているが、当該規則ではあらゆる業界の事業者に共通するような必要最小限の規律を定め、「個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）」（平成 28 年個人情報保護委員会告示第９号。以下「ガイドライン」という。）においては、仮名加工情報及び匿名加工情報の定義等とともに、当該規則について解説する内容となっている。
本レポートは、法、個人情報の保護に関する法律施行令（平成 28 年政令第 507 号。以下「施行令」という。）、施行規則、ガイドライン及び「「個人情報の保護に関する法律についてのガイドライン」に関する Q&A」
（以下「Q&A」という。）に準拠するものであり、個人情報取扱事業者、仮名加工情報取扱事業者及び匿名
加工情報取扱事業者について、仮名加工情報や匿名加工情報を作成するための考え方及び安全管理措置、識別行為の禁止、本人への連絡等の禁止等の仮名加工情報や匿名加工情報にそれぞれ課せられる規律を中
心に、主に民間事業者 13が実際に仮名加工情報や匿名加工情報を作成し取り扱う際に参考となる事項、考え方を示そうとするものである 14。
なお、個人情報取扱事業者、仮名加工情報取扱事業者及び匿名加工情報取扱事業者に課せられるその他の義務（仮名加工情報に関する適正取得及び委託先の監督義務や匿名加工情報を作成した際及び第三者提供した際の公表義務等）については、本レポートでは紹介程度にとどめるため、詳細についてはガイドラインを参照されたい。

12

仮名加工情報の加工基準は、施行規則第 31 条において、匿名加工情報の加工基準は、同第 34 条において、それぞれ定められ

ている。
13

なお、法別表第 2 に掲げる法人及び、独立行政法人労働者健康安全機構が病院の運営業務を行う場合の仮名加工情報の取扱いについても、原則として本レポートにおいて考え方を示す法第 4 章第 3 節の仮名加工情報に係る規律が適用される（法第 58 条）。
14

なお、仮名加工情報及び匿名加工情報に係る規律である法 41 条ないし法 44 条は、仮名加工情報データベース等及び匿名加工

情報データベース等を構成するものに対する規律である。また、仮名加工情報の作成等に係る法第 41 条第 1 項及び第 2 項並びに匿名加工情報の作成等に係る法第 43 条は個人情報データベース等を事業の用に供している個人情報取扱事業者に適用される。その他の仮名加工情報の取扱いに係る法第 41 条第 3 項ないし第 9 項及び法第 42 条は、仮名加工情報データベース等を事業の用に供している仮名加工情報取扱事業者に適用される。匿名加工情報の取扱いに係る法第 44 条ないし法第 46 条は、匿名加工情報データ
ベース等を事業の用に供している匿名加工情報取扱事業者に適用される。

５

2. 個人情報保護法上の各制度の概要
2.1

個人情報とその取扱いにおける制約
2.1.1 個人情報の定義
個人情報の定義は、法第 2 条第 1 項において次のように規定されている。
法第 2 条第 1 項
この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。
一

当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第 2 号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。
以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
二

個人識別符号が含まれるもの「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。
「他の情報と容易に照合することができ」るとは、いわゆる容易照合性と呼ばれているものであるが、事業者の実態に即して個々の事例ごとに判断されるべきであるものの、通常の業務における一般的な方法で、他の情報と容易に照合することができる状態をいうものとされている。
同項第 2 号の個人識別符号は、法第 2 条第 2 項において、次のように定義されている。
法第 2 条第 2 項
この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
一

特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号

その他の符号であって、当該特定の個人を識別することができるもの
二

個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの「個人識別符号」は、上記の法第２条第 2 項各号に該当する文字、番号、記号その他の符号のうち、政令で定めるものが該当するとされ、施行令という。）及び施行規則において、図表 2-1 に示す内容が個
人識別符号に該当するものとして、細かく限定的に規定されている。

６

図表 2-1 個人識別符号に係る法・施行令・施行規則の関係
法

施行令（第 1 条）

施行規則（第 2 条～第 4 条）

（1） 次に掲げる身体の特徴のいずれかを電（第 2 条）子計算機の用に供するために変換した文

身体の特徴を電子計算機の用に供するために

字、番号、記号その他の符号であって、特定変換した符号のうち個人識別符号に該当するの個人を識別するに足りるものとして個人情ものの基準は、特定の個人を識別することがで

報保護委員会規則で定める基準に適合す

きる水準が確保されるよう、適切な範囲を適切るもの

な手法により電子計算機の用に供するために

イ ＤＮＡを構成する塩基の配列変換することとする。

第１号関係

ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌
ハ 虹彩の表面の起伏により形成される線状の模様
ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化
ホ 歩行の際の姿勢及び両腕の動作、歩幅
その他の歩行の態様
ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状
ト 指紋又は掌紋（2） 旅券の番号（3） 基礎年金番号（4） 運転免許証の番号（5） 住民票コード（6） 個人番号（7） 国民健康保険、後期高齢者医療制度
及び介護保険の被保険者証にその発行を第２号関係受ける者ごとに異なるものとなるように記載された個人情報保護委員会規則で定める文字、番号、記号その他の符号（第 3 条）（1） 国民健康保険の保険者番号及び被保険者記号・番号（2） 後期高齢者医療制度の保険者番号
及び被保険者番号（3） 介護保険の被保険者証の番号及び保険者番号（8） 上記（1）～（7）に準ずるものとして（第 4 条）個人情報保護委員会規則で定める文字、健康保険の保険者番号及び被保険者等記

番号、記号その他の符号号・番号、在留カードの番号、私立学校教職員共済の保険者番号及び加入者等記号・番号、公務員共済の保険者番号及び組合員等
記号・番号、雇用保険被保険者証の被保険者番号並びに特別永住者証明書の番号 等
７※なお、個人識別符号の詳細については、「個人情報の保護に関する法律についてのガイドライン（通則編）」（以下「通則ガイドライン」という。）「2-2 個人識別符号（法第 2 条第 2 項関係）」を参照のこと。
法第２条第２項第 1 号に定める個人識別符号に関し、図表 2-1 における施行令第 1 条（1）イのうち、DNA を構成する塩基の配列については、「ゲノムデータのうち、全核ゲノムシークエンスデータ、全エクソー
ムシークエンスデータ、全ゲノム一塩基多型（single nucleotide polymorphism︓SNP）データ、互いに独立な 40 箇所 以上の SNP から構成されるシークエンスデータ、9 座位以上の４塩基単位の繰り返し
配列（short tandem repeat︓STR）等の遺伝型情報により本人を認証することができるようにしたもの」
が、施行規則で定められた基準（「特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換すること」）に適合する。ロ～トについては、「該当する生体データから抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの」が施行規則で定められた基準に適合する 15。
同項第 2 号に定める個人識別符号としては、マイナンバー等、公的付番の符号が規定されており、民間
付番のサービス ID や携帯電話番号、クレジットカード番号等は規定されていない。しかしながら、これら民間
付番の符号は個人識別符号ではなくても、単体あるいはその他の情報と組み合わせられること等により法第２条第１項第１号の個人情報に該当する場合があることに留意する必要がある。

2.1.2 個人情報を取り扱う上での制約
特定の個人情報をコンピュータを用いて検索することができるように体系的に構成した、個人情報を含む
情報の集合物や、紙面で処理した個人情報を一定の規則（例えば、五十音順等）に従って整理・分類し、特定の個人情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているもの等を「個人情報データベース等」という 16。個人情報データベース等を事業の用に供している者は「個人情報取扱事業者」に該当し（法第 16 条第１項及び第２項） 17、個人情報を取り扱う際には、法第 4 章の規律等が適用される。代表的な規律としては、次が挙げられる（仮名加工情報・匿名加工情報との関係が深い部分を中心に抜粋）。
① 取り扱う個人情報の利用目的を特定する必要があること。また、利用目的の変更は、変更前の利用
目的と関連性を有すると合理的に認められる範囲を超えないこと（法第 17 条）② あらかじめ本人の同意を得ずに、特定した利用目的の範囲を超えて個人情報を取り扱ってはいけないこと（法第 18 条）③ 違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない
こと（法第 19 条）④ 偽りその他不正の手段により個人情報を取得してはならないこと（法第 20 条）⑤ 個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならないこと（法第 21 条）⑥ 漏えい等の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならない
15

詳しくは、通則ガイドライン「2-2 個人識別符号（法第 2 条第 2 項関係）」を参照のこと。

16

詳しくは、通則ガイドライン「2-4 個人情報データベース等（法第 16 条第 1 項関係）」を参照のこと。

17

詳しくは、通則ガイドライン「2-5 個人情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、第 11 項・法別表第2 関係）」を参照のこと。

８

こと（法第 23 条）⑦ 法令に基づく場合等の一部の例外を除き、あらかじめ本人の同意を得ないで個人データを第三者提供してはいけないこと、あるいはオプトアウトの手段を用意した上で第三者提供を行うこと（法第 27 条
第 1 項及び第 2 項）
⑧ 外国にある第三者に個人データを提供する場合は、法令に基づく場合等の一部の例外を除き 18、本人に一定の情報提供をした上であらかじめ本人の同意を得なければならないこと、あるいは個人情報取扱事業者が講ずべき措置に相当する措置を講ずるために必要な体制を整備している外国にある第三者に個人データを提供する場合は、本人の求めに応じて相当措置の継続的な実施を確保するために必要な措置に関する情報を本人に提供すること（法第 28 条）⑨ 本人から保有個人データの開示、訂正等及び利用停止等の請求を受けたときは、本人に対し、必要に応じて対応しなければならないこと（法第 33 条～第 35 条）
一方、事業者としては、新しい分野のサービスや製品の導入を行う場合等には、取得時に特定した利用目的とは関連性が低い新しい目的のために個人情報を利用したいニーズが生じ得るが、法第 18 条に基づき当該個人情報に係る本人全員から利用目的の変更の同意を再取得することは、コストやスピードの観点からはデメリットも小さくなく、過去のデータの利用にまで遡っての同意の取得や、多数のユーザーからの同意の取得が困難なケースも想定される。
平成 27 年改正前の法においても、個人情報を加工して統計情報等の特定の個人との関係が排斥され特定の個人を識別できないようにした情報は、規制の対象外と位置付けられて上記の制約を受けることなく活用することができた。一方、どこまで加工すれば個人情報でなくなるのかといった点について一定のルールやコンセンサスが共有されておらず、例えば、鉄道系 IC カードの乗降履歴の第三者提供について、個人情報に対する匿名加工の処理が十分であるか、利用者への十分な説明やプライバシーへの配慮が必要ではないか
等の指摘により提供を中断した事例 19も見られた。
このように、個人情報の範囲等の解釈にグレーゾーンがあり、プライバシーに係る社会的な意識が強まる中で、我が国の事業者や団体等が有する個人に関する情報を多様な目的のために利活用する場合又は第三者提供をする場合の適正な取扱いに関するルールを共有しコンセンサスを醸成することにより、個人に関する情報の利活用に関する社会的信頼を確保した上で、様々な目的のための利活用及び第三者提供へのハードルを取り除き、適正な利活用の推進を促進することが重要である。
個人情報、仮名加工情報、匿名加工情報の各規律の主な差異のイメージを整理したものを図表 2-2
で示す。

18

外国にある第三者への個人データの提供の場合、個人データの第三者提供の場合と異なり、法 27 条第 5 項各号に掲げる事由（委託、事業の承継、共同利用）により個人データの提供を行う場合が、法第 28 条の例外とならないことに注意が必要である。
19

Suica に関するデータの社外への提供に関する有識者会議「Suica に関するデータの社外への提供について 中間とりまとめ」（2014年 2 月）（https://www.jreast.co.jp/chukantorimatome/20140320.pdf）。移動履歴についてｋ-匿名化を行うと、多くのデータを削除することとなりデータ有用性が下がることから、当面は JR において統計処理を行ってから外部提供を行うこと等も課題解決の一つとされた。

９

図表 2-2 個人情報、仮名加工情報、匿名加工情報の規律の主な差異のイメージ 20
個人情報

仮名加工情報 21

匿名加工情報（個人情報であるもの）
生存する個人に関する情報であって、当該情報に含まれる氏
名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情定義報と容易に照合することができ、それにより特定の個人を識別す

他の情報と照合しない限り
特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報

特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたもの

ることができることとなるものを含む。）又は個人識別符号が含まれるもの
適

特定の個人を識別正することができる記述

な

等の削除

加

個人識別符号の削

工

除

〇

〇

〇

〇

不正に利用されることにより財産的被害が生じるおそれのある記述等の削除〇×（規制なし）（規制なし）

情報を相互に連結×する符号の削除（規制なし）

特異な記述等の削×

除（規制なし）

個人情報データベー×ス等の性質を踏まえ（規制なし）

たその他の措置
利用目的の制限等

・利用目的の特定が・利用目的の特定が必要（利用目的の特定、変必要・利用目的の変更は可能

更の制限）

・原則あらかじめ同意

・本人を識別しない、本人

20

×

〇
〇

〇

×
（規制なし）

必ずしも適用される規律の全てを網羅的に記載したものではない。各規律の詳細については、通則ガイドライン及びガイドラインを参照

のこと。
21

個人情報である仮名加工情報に係る規律を記載した。なお、個人情報である仮名加工情報と個人情報でない仮名加工情報については、「3.1.2.3 個人情報である仮名加工情報と個人情報でない仮名加工情報とは」を参照のこと。

１０

を取得しなければ利に連絡しないこと等が条件

用目的の変更は不可
通知・公表

・匿名加工情報の作成時に匿名加工情報に含まれる個人に・仮名加工情報を取得した

関する情報の項目を公表

・利用目的の通知・場合又は利用目的を変更

・第三者提供をするときは、あ公表などした場合は、原則利用目

らかじめ第三者提供される匿的の公表が必要

名加工情報に含まれる個人に関する情報の項目、提供の方法を公表利用する必要がなくなった
ときの消去

〇

〇

×

（努力義務）（努力義務）（規制なし）

安全管理措置〇〇（仮名加工情報、削除情報等について義務）

漏えい等報告等
第三者提供に係る規律〇原則あらかじめ同意を取得しなければ第三者提供できない

開示・利用停止等の請
求対応
識別行為の禁止

本人への連絡の禁止〇（匿名加工情報について努
力義務、加工方法等情報について義務）

×

×

（対象外）

（対象外）

原則第三者提供は禁止だが例外（法令に基づく場

第三者提供は可

合、委託、事業の承継、

ただし公表義務有共同利用）あり
×

×

（対象外）

（対象外）

×

〇

〇

（識別行為について（識別行為を禁止する規（識別行為を禁止する規定の規律なし）

定あり）

あり）

〇

―

×
（利用目的の範囲〇内であれば可）（匿名加工情報を用いて本人への連絡を行うことは不可
能）１１

3. 仮名加工情報
3.1

仮名加工情報とは
3.1.1 仮名加工情報を利用する際の考え方
3.1.1.1

仮名加工情報の特徴

仮名加工情報の制度は、個人情報や匿名加工情報、統計情報と比較し、大要、以下の 3 つの特徴がある。
第一に、仮名加工情報は、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更を本人の同意なく行うことが可能である 22。
個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用目的をできる限り具体的に特定しなければならない。特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うためには原則としてあらかじめ本人の同意を得なければならない。しかし、仮名加工情報を利用することで、それが個人情報である場合であっても、必要に応じて特定していた利用目的を本人の同意なく変更することができ、変更した利用目的を公表している限り新たなニーズのために当該情報を活用することができる。
第二に、仮名加工情報は、匿名加工情報や統計情報と比べて個人ごとの特徴を詳細に残して加工を行うことができる 23。
．．．．．．．．．．．．
仮名加工情報は、「他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工」すればよく、匿名加工情報のように、「特定の個人を識別することができないように個人情報を加工」し、かつ、「当該個人情報を復元することができないようにする」 24ことまでは求められていない。そして、仮名加工情報の加工基準には、匿名加工情報の加工基準である施行規則第 34 条第3 号（情報を相互に連結する符号の削除）、同条第 4 号（特異な記述の削除）及び同条第 5号（個人情報データベースとの性質を踏まえたその他の措置）に相当する基準等がないため、個人情報データベース等の性質に応じた個別の対応を行う必要がない。
また、統計情報が特定の個人との対応関係が排斥されている限りにおいて「個人に関する情報」に該当するものではないことに対し、仮名加工情報は個人情報である場合も想定されているとおり 25、
個人単位の「個人に関する情報」である。
したがって、仮名加工情報を作成する際は、個人ごとの特徴を詳細に残して比較的簡便に加工を行うことができる。
第三に、仮名加工情報は、「他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工」したものであり、万が一漏えい等が生じた場合であっても、加工前の個人情報が漏えい等した場合と比べると、加工により本人の権利利益が侵害されるリスクが相当程度低減されていることから、漏えい等が生じた際の報告等を行う必要がない 2627。
22

法第 41 条第 3 項

23

法第 41 条第 1 項、施行規則第 31 条各号

24

匿名加工情報における「当該個人情報を復元することができないようにしたもの」については、「4.1.2.2『当該個人情報を復元することができないようにしたもの』とは」を参照。
25

詳細については、「3.1.2.3 個人情報である仮名加工情報と個人情報でない仮名加工情報とは」を参照のこと。

26

個人データである仮名加工情報は法第 41 条第 9 項により漏えい等報告等義務が免除される。また、個人情報でない仮名加工情報には、法第 26 条が課されない。
27

ただし、仮名加工情報である個人データの漏えい等が発生した場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、仮名加工情報の取扱状況（取り扱う仮名加工情報の性質及び量を含む。）、仮名加工情報である個人データを記録した媒

１２

仮名加工情報の利活用による事例として、例えば、① 事業者が持つ一つのデータベースに含まれる個人情報を仮名加工情報に加工し利用目的を変更する事例② 事業者が持つ複数のデータベースに含まれる個人情報からそれぞれ仮名加工情報を作成し利用目的を変更した上で同一の個人ごとに突合して利用する事例
等が考えられる。
以上のとおり、仮名加工情報は、匿名加工情報や統計情報に比して加工前の個人情報における個人ごとの特徴を詳細に残した簡便な加工で足りるとされており、データとしての有用性をより高い水準で維持できることから、新たな活用の可能性が期待される。他方、仮名加工情報には識別行為の禁止や本人への連絡等の禁止等の個人情報とは異なる規律があるため、これらに違反しないよう措置を講ずることが必要である。
．．．．．．．．．．．．
また、「他の情報と照合しない限り特定の個人を識別することができない」という仮名加工情報の性
質上、その内容次第で個人の権利利益の侵害リスクが生じ得るため、かかるリスクの大きさや内容を踏まえた対応を行うことが重要である。
具体的には、当該仮名加工情報の利用目的や活用方法等を踏まえつつ、作成した仮名加工情報の取扱いにより法の規定に反する事態が生じる可能性や、仮名加工情報について漏えいが発生した場合の個人の権利利益の侵害リスクも考慮し、これらを低減・回避するような措置を講ずることが重要である。
3.1.1.2

仮名加工情報の活用例

前述の仮名加工情報の特徴を生かし、匿名加工情報や統計情報では実現できなかった活用例が考えられることを、事例編で紹介する事例を用いて述べる。事例編では加工方法等も紹介しているため、詳細については事例編を参照されたい。
【事例 1︓事業者が持つ一つのデータベースに含まれる個人情報を仮名加工情報に加工し利用目的を変更する事例】
事例 1 は、オンライン通販事業を営む事業者が、オンライン通販事業により取得した購買情報の利用目的を変更し、新規事業である実店舗事業の出店計画を検討するために利用することを目的に、
以下のように仮名加工情報を作成している。

体の性質等に起因するリスクに応じて、必要かつ適切な安全管理措置を講じなければならないことは「3.3.6 安全管理措置について」を参照。

１３

図表 3-1

まず、個人情報を利用する場合、特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱うためには原則としてあらかじめ本人の同意を得なければならないが、仮名加工情報に加工することで、それが個人情報である場合であっても、本人の同意なく利用目的を変更することができ、変更後の利用目的を公表すればよい。
他方、匿名加工情報や統計情報も、加工前の個人情報についてあらかじめ特定された利用目的とは異なる目的で利用することができるが、匿名加工情報を作成するには、特定の個人を識別できず、かつ当該個人情報を復元することができないように加工しなければならない。また統計情報とは、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、規制の対象外となる（ガイドライン「3-1-1 匿名加工情報（法第 2 条第 6 項関係）」）（「4.3.4.1 統計情報について」も参照のこと。）が、このような統計情報では個人単位での分析をすることはできない。
しかし、仮名加工情報制度を利用することで、匿名加工情報より詳細な情報を残して加工することができる。また、仮名加工情報の作成に用いられた個人情報に係る本人を識別しない限り、個人単位での分析をすることもできる。
また、一旦統計情報に加工してしまうと当該統計情報の分析手法は限定されたものになるのに対し、
仮名加工情報であれば分析手法を事後的に柔軟に選択・変更することができ、その結果探索的な分析が可能となる。
【事例２︓事業者が持つ複数のデータベースに含まれる個人情報からそれぞれ仮名加工情報を作成し利用目的を変更した上で同一の個人ごとに突合して利用する事例】
事例２は、実店舗事業とオンライン通販事業を営む事業者が各事業で取得した異なる利用目的が特定された複数のデータベースを構成する個人情報を、仮名加工情報に加工し、利用目的を変更
した上突合し、購買履歴の分析のために利用する事例である。
１４

図表 3-3

事例２では、作成した仮名加工情報を突合するために氏名と生年月日の組合せから仮 ID を付している。匿名加工情報を作成する場合、氏名と生年月日の組合せを仮 ID に置き換えた場合における、氏名、生年月日及び仮 ID の対応表や、氏名等の仮ＩＤへの置き換えに用いた置き換えアルゴ
リズムと乱数等のパラメータの組合せを保有している場合の乱数等のパラメータはその都度削除しなければならず、そのため仮 ID の生成に同一のパラメータを用いることはできないことから、同一の氏名及び生年月日を含む別の情報について同じ仮 ID を付することは実質的に不可能である。
しかし、仮名加工情報は、氏名と生年月日の組合せ及び仮 ID の対応表や仮ＩＤへの置き換えに用いた乱数等のパラメータを削除する必要はなく、同一の個人に対し同一の仮 ID を付し、当該仮ID を用いて仮名加工情報の突合を行うことができる。

3.1.2 仮名加工情報の定義
仮名加工情報（仮名加工情報データベース等を構成するものに限らない。以下 3.1.2.2 まで同じ。）
は、法において次のように定義されており、また、ガイドラインにおいて次のように解説している。
法第 2 条第５項
この法律において「仮名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個人を識別することができないように個人情報を加工し１５て得られる個人に関する情報をいう。
一 第一項第一号に該当する個人情報

当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二 第一項第二号に該当する個人情報

当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ガイドライン ２-１-１仮名加工情報（法第２条第５項）「仮名加工情報」とは、個人情報を、その区分に応じて次に掲げる措置を講じて他の情報と照合しない
限り特定の個人を識別することができないように加工して得られる個人に関する情報をいう。
（1）法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合
当該個人情報に含まれる記述等の一部を削除すること（2）法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場合当該個人情報に含まれる個人識別符号の全部を削除すること（この措置を講じた上で、まだなお法第 2 条第 1 項
第 1 号に該当する個人情報であった場合には、同号に該当する個人情報としての加工を行う必要がある。）「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない方法」とは、置き換えた記述等から、置き換える前の特定の個人を識別することとなる記述等又は個人識別符号の内容を復元することができない方法である。
なお、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。仮名加工情報に求められる「他の情報と照合しない限り特定の個人を識別することができない」という要件は、加工後の情報それ自体により特定の個人を識別することができないような状態にすることを求めるものであり、当該加工後の情報とそれ以外の他の情報を組み合わせることによって特定の個人を識別することができる状態にあることを否定するものではない。
仮名加工情報を作成するときは、法第 41 条第 1 項に規定する個人情報の保護に関する法律施行規則（平成 28 年個人情報保護委員会規則第 3 号。以下「規則」という。）で定める基準に従って加工する必要があり、法第 2 条第 5 項に定める措置を含む必要な措置は当該規則で定めている（仮名加工情報の作成に必要な加工義務については、2-2-2-1（仮名加工情報の適正な加工）参照）
仮名加工情報は、個人情報から作成されるものであり、他の情報と照合しない限り特定の個人を識別で
１６

きない、個人に関する情報である。個人に関する情報であるということは、すなわち情報の単位としては一人一人に対応した情報であることが許容されるものである。なお、仮名加工情報制度の対象となる仮名加工
情報については、仮名加工情報の集合体として、法第 16 条第５項において定義されている「仮名加工情報データベース等」を構成するものとされている。
3.1.2.1「特定の個人を識別することができる」とはガイドラインにも記載されているように、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。
3.1.2.2「他の情報と照合しない限り特定の個人を識別することができない」とはガイドラインにも記載されているように、仮名加工情報に求められる「他の情報と照合しない限り特定の個人を識別することができない」という要件は、加工後の情報それ自体により特定の個人を識別することができないような状態にすることを求めるものであり、当該加工後の情報とそれ以外の他の情報を照合することによって特定の個人を識別することができ得ることを否定するものではない。
上記のとおり、「特定の個人を識別することができない」とは、一般人の判断力又は理解力を基準として判断されるものであり、一般人において想定されないような手法や、一般的に入手できないような外部情報を利用したりする等のあらゆる手法によって特定や復元を試みたとしてもできないというように、技術的側面から全ての可能性を排除することまでを求めるものではない。
3.1.2.3

個人情報である仮名加工情報と個人情報でない仮名加工情報とは個人情報である仮名加工情報と、個人情報でない仮名加工情報は、ガイドラインにおいて次のように解説されている。
ガイドライン ２-２-１ 仮名加工情報の取扱いに係る義務の考え方
法第 4 章第 3 節においては、仮名加工情報を作成する個人情報取扱事業者及び仮名加工
情報データベース等を事業の用に供している仮名加工情報取扱事業者が、仮名加工情報を取り扱う場合等に遵守すべき義務を規定している。
仮名加工情報取扱事業者において、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等（※1）を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、
当該仮名加工情報は、「個人情報」（法第 2 条第 1 項）に該当する。この場合、当該仮名加工情報取扱事業者は、情報である仮名加工情報の取扱いに関する義務等を遵守する必要がある（2-2-3（個人情報である仮名加工情報の取扱いに関する義務等）参照）。
これに対し、例えば、法第 41 条第 6 項又は第 42 条第 1 項若しくは第 2 項の規定により仮名加工情報の提供を受けた仮名加工情報取扱事業者において、当該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していない等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状
態にない場合には、当該仮名加工情報は、「個人情報」（法第 2 条第 1 項）に該当しない。この場合、当該仮名加工情報取扱事業者は、個人情報でない仮名加工情報の取扱いに関する義
１７

務等を遵守する必要がある（2-2-4（個人情報でない仮名加工情報の取扱いに関する義務等）参照）。
ガイドラインにも記載されているように、仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報は、「個人情報」（法第 2 条第 1 項）に該当する。また、仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にない場合には、当該仮名加工情報は、「個人情報」（法第 2 条第 1 項）に該当しない。
個人情報である仮名加工情報に当てはまる例としては、仮名加工情報を取り扱う事業者において、
当該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を取り扱っていること等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合が挙げられる。このような個人情報である仮名加工情報を取り扱う事業者は個人情報取扱事業者である仮名加工情報取扱事業者となる。
個人情報ではない仮名加工情報に当てはまる例としては、例えば、法令に基づく場合又は委託、事業承継若しくは共同利用により仮名加工情報が提供された場合で、当該提供先において、当該
仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報、これらの情報以外で当該仮名加工情報と容易に照合することで特定の個人を識別することができる情報等を取り扱っていないこと等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にない場合が挙げられる。
また、仮名加工情報を作成した個人情報取扱事業者が事後的に当該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を削除したこと等により、当該事業者において、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態でなくなった場合にも、個人情報ではない仮名加工情報に該当する。

3.1.3 「仮名加工情報取扱事業者」とは仮名加工情報取扱事業者については、ガイドラインにおいて次のように解説されている。
法第 16 条第 5 項
この章、第 6 章及び第 7 章において「仮名加工情報取扱事業者」とは、仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の仮名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 41 条第 1 項において「仮名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第 2 項各号に掲げる者を除く。
施行令第 6 条
法第 16 条第 5 項の政令で定めるものは、同項に規定する情報の集合物に含まれる仮名加工情報
を一定の規則に従って整理することにより特定の仮名加工情報を容易に検索することができるように体系的に構成したものであって、目次、索引その他検索を容易にするためのものを有するものをいう。
ガイドライン ２-1-2 仮名加工情報取扱事業者「仮名加工情報取扱事業者」とは、仮名加工情報データベース等を事業の用に供している者のうち、
１８

国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人等（別表第 2 に掲げる法人
を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。
「仮名加工情報を含む情報の集合物であって、特定の仮名加工情報を電子計算機を用いて検索することができるように体系的に構成したもの」とは、特定の仮名加工情報をコンピュータを用いて検索することができるように体系的に構成した、仮名加工情報を含む情報の集合物をいう。また、コンピュータを用いていない場合であっても、紙媒体の仮名加工情報を一定の規則に従って整理・分類し、特定の仮名加工情報を容易に検索することができるよう、目次、索引、符号等を付し、他人によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の用に供している」の「事業」とは、一定の目的をもって反復継続して遂行される同種の行為であって、かつ社会通念上事業と認められるものをいい、営利・非営利の別は問わない。なお、法人格のない、権利能力のない社団（任意団体）又は個人であっても、仮名加工情報データベース等を事
業の用に供している場合は、仮名加工情報取扱事業者に該当する。
ガイドラインにも記載されているように、「仮名加工情報取扱事業者」とは、仮名加工情報データベース等を事業の用に供している者のうち、国の機関、地方公共団体、法第 2 条第 9 項に規定する独立行政法人
等（別表第 2 に掲げる法人を除く。）及び法第 2 条第 10 項に規定する地方独立行政法人を除いた者をいう。
なお、個人情報である仮名加工情報（「3.1.2.4 個人情報である仮名加工情報と個人情報でない仮名加工情報」を参照のこと。）を含む仮名加工情報データベース等を事業の用に供している者は、仮名加工情報取扱事業者であり、個人情報取扱事業者でもある。

3.1.4 仮名加工情報を取り扱う上での制約
仮名加工情報を作成する個人情報取扱事業者は、法第 41 条第 1 項の適正加工義務及び削除情報等の漏えいを防止するための安全管理措置を遵守する必要がある。また、仮名加工情報を作成した事
業者等の個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加工情報を取扱う場合、利用目的の範囲内での利用 28、利用目的の公表（仮名加工情報の取得時 29及び仮名加工
情報に係る利用目的の変更時 30）、利用する必要がなくなった場合の消去（努力義務） 31、第三者提供の禁止 32、識別行為の禁止 33、本人への連絡等の禁止 34に関する規律がかかることになる。その他、不28

法第 41 条第 3 項

29

個人情報取扱事業者が、自らが保有する個人情報を加工して仮名加工情報を作成した場合には、仮名加工情報の「取得」には該当しないことについて「3.3.1 利用目的との関係」参照。
30

法第 41 条第 4 項

31

法第 41 条第 5 項

32

法第 41 条第 6 項

33

法第 41 条第 7 項

34

法第 41 条第 8 項

１９適正利用の禁止 35、適正取得 36、仮名加工情報の漏えい等を防止するための安全管理措置 37、従業者の監督 38、委託先の監督 39及び苦情処理に関する規律 40も適用される。
また、仮名加工情報取扱事業者が個人情報ではない仮名加工情報を取り扱う場合には、上記の個人情報である仮名加工情報を取り扱う場合とは異なり、法第 42 条の規定（第三者提供の禁止、識別行為の禁止、本人への連絡等の禁止等）を遵守する必要がある。

3.1.5 仮名加工情報の作成とは
仮名加工情報については、法第 41 条第 1 項で規定されているように、施行規則で定める基準に従って
個人情報を加工することとされている。
法第 41 条第１項
個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る。以下この章及び第六章において同じ。）を作成するときは、他の情報と照合しない限り特定の個人を識別することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、個人情報を加工しなければならない。
また、「仮名加工情報の作成」については、ガイドラインでは次のように解説している。
ガイドライン ２-２-２-１ 仮名加工情報の適正な加工（法第 41 条第 1 項関係）
個人情報取扱事業者は、仮名加工情報（仮名加工情報データベース等を構成するものに限る（※
1）。2-2-3-7（その他の義務等）を除き、以下同じ。）を作成するとき（※2）は、他の情報と照合しない限り特定の個人を識別することができないようにするために、規則第 31 条各号に定める基準に従って、個人情報を加工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、個人情報を加工」するためには、加工する情報の性質に応じて、規則第 31 条各号に定める加工基準を満たす必要がある。
（※1）仮名加工情報の取扱いに係る法第 4 章第 3 節の規律（法第 41 条及び第 42 条）は、仮名加工情報データベース等を構成する仮名加工情報に適用されるものである。いわゆる散在情報となる、仮名加工情報データベース等を構成しない仮名加工情報には、法第 4 章第 3 節の規律は適用されない。
（※2）「作成するとき」は、仮名加工情報として取り扱うために、当該仮名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは匿名
加工情報又は統計情報を作成するために個人情報を加工する場合等については、仮名加工情報を「作成するとき」には該当しない。

35

法第 19 条36

法第 20 条第 1 項

37

法第 23 条38

法第 24 条39

法第 25 条40

法第 40 条２０

仮名加工情報を作成するには、施行規則第 31 条各号で定められた加工基準に沿った加工を行わなければならない（詳細については「3.2.1 仮名加工情報の加工基準（施行規則 31 条）について」を参照のこと。）。
ガイドライン中に記載されているように、「仮名加工情報を作成する」とは、仮名加工情報の作成意図をもって、法で規定された仮名加工情報として取り扱うことを目的として仮名加工情報を作成するときのことを指すものである。「法で規定された仮名加工情報として取り扱う」とは、本人の同意を得ないで新たな目的のために活用する場合や、開示等請求等の請求に対応しない場合等が想定される。
つまり、仮名加工情報を作成する意図がなく、かつ、個人情報として取り扱うことを前提にしたデータの加工については、法律上の「仮名加工情報の作成」に該当するものではないのであり、このようなデータの加工に対して、仮名加工情報制度の対象となるものではなく、通常の個人情報に係る規律が適用される。かかる
データの加工としては、次のようなケースが該当する。
● 社内での安全管理上、氏名等を削除して扱うデータ
事業者が個人情報を取り扱う中で、ユーザーの傾向やマーケット全体の分析等を行うに当たって、安全管
理上、氏名等、分析に必要のない個人情報を削除するケースがよくある。
このような、個人データの安全管理措置として個人情報に含まれる一定の記述等を削除することで、形式的には仮名加工情報の加工基準に沿った加工がなされている場合がある。しかし、当該加工を個人情報の安全管理措置として行っており、仮名加工情報の作成意図はなく、個人情報として引き続き取り扱う前提である場合には、法律上の「仮名加工情報の作成」には該当しない。
この場合、加工された情報には仮名加工情報の取扱いに係る規律は適用されない 41。

41

すなわち、特定された利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更はできないが（法第 17 条第2 項）、本人の同意に基づき個人データの第三者提供をしたり（法第 27 条第 1 項）、特定された利用目的の範囲内で当該個人情報に含まれる情報を用いて本人に連絡等を行ったりすることができる。ただし、通常の個人情報として規律の適用はある。

２１

【別表第二法人等と行政機関等における仮名加工情報の取扱いについて】
令和 3 年 5 月 19 日に公布されたデジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）第 50 条及び第 51 条により、個人情報保護法、行政機関個人情報保護法、独立行政法人等個人情報保護法の 3 本の法律を 1 本の法律に統合するとともに、地方公共団体等の個人情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個人情報保護委員会に一元化することとなった。このうち、同法第 50 条による改正部分（行政機関及び独立行政法人等を対象とするもの）は令和 4 年 4 月 1 日より、同法第 51 条による改正部分（地方公共団体の機関及び地方独立行政法人を対象とするもの）は令和 5 年春頃に施行される。
上記改正により法別表第 2 に掲げる法人 42及び、独立行政法人労働者健康安全機構が病院の運営業
務を行う場合の仮名加工情報の取扱いについては、原則として本レポートにおいて考え方を示す第 4 章第 3
節の仮名加工情報制度に係る規律が適用される（法第 58 条） 4344。
また、上記法人等以外の行政機関等 45においては、個人情報取扱事業者から委託や共同利用により仮名加工情報を取得することが考えられ、個人情報である仮名加工情報を取り扱う場合は、個人情報の取扱
いに係る規律が適用される。他方、個人情報でない仮名加工情報を取り扱うにあたっては、個人情報取扱事
業者及び仮名加工情報取扱事業者とは異なり以下の義務が課される（法第 73 条）。
① 法令に基づく場合を除いて仮名加工情報を第三者（当該仮名加工情報の取扱いの委託を受けた者を除く）に提供することの禁止（第 1 項）
② 仮名加工情報の安全管理措置（第 2 項）
③ 本人を識別するために削除情報等を取得し、又は当該仮名加工情報を他の情報と照合することの禁止（第 3 項）
④ 法令に基づく場合を除き、本人へ電話をかける等のために連絡先その他の情報を利用することの禁止（第 4 項）42

沖縄科学技術大学院大学学園、国立研究開発法人、国立大学法人、大学共同利用機関法人、独立行政法人国立病院機構、独立行政法人地域医療機能推進機構及び放送大学学園
43

同法第 51 条による改正部分施行後は、地方公共団体の機関であっても、医療法第 1 条の 5 第 1 項に規定する病院及び同条

第 2 項に規定する診療所並びに学校教育法第 1 条に規定する大学の運営業務を行う場合の仮名加工情報の取扱いにも第 4 章第3 節の仮名加工情報に係る規律が適用される。また、地方独立行政法人のうち地方独立行政法人法第 21 条第 1 号に掲げる業務を主たる目的とするもの又は同条第 2 号（公立大学法人）若しくは第 3 号（チに係る部分に限る。）に掲げる業務を目的とする者についても、第 4 章第 3 節の仮名加工情報に係る規律が適用される。
44

取り扱う仮名加工情報が保有個人情報である場合は、公的部門に関する開示等請求に係る規律が適用されることに留意が必要である。
45

法第 2 条第 11 項に定めるもの。法別表第二に掲げる法人は該当しない。なお、独立行政法人労働者健康安全機構は行政法人等に該当するものの、病院の運営業務を行う場合の仮名加工情報の取扱いについては、法第 4 章第 3 節の規律が適用される（法第58 条第 2 項）。

２２

3.2

仮名加工情報の作成に当たって求められる加工
3.2.1 仮名加工情報の加工基準（施行規則 31 条）について
法第 41 条第 1 項では、個人情報取扱事業者は仮名加工情報を作成するに当たって、施行規則で定める基準に従うこととされており、その基準については、施行規則第 31 条で規定されている。施行規則第 31
条は全 3 号で構成されており、仮名加工情報を作成する際は、各号を選択的に講ずるのではなく、各号全ての措置を行う必要がある（ただし、該当する情報がない場合は、この限りではない）。
3.2.1.1

第 1 号（特定の個人を識別することができる記述等の削除）

規則第 31 条第 1 号
個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ガイドライン ２-２-２-１-１ 特定の個人を識別することができる記述等の削除
個人情報取扱事業者が取り扱う個人情報には、一般に、氏名、住所、生年月日、性別の他、様々な個人に関する記述等が含まれている。これらの記述等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、住所、生年月日など、これらの記述等が合わさることに
よって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等か
ら全部又はその一部を削除するあるいは他の記述等に置き換えることによって、特定の個人を識別することができないよう加工しなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法でなければならない（※1）。例えば、生年月日の情報を生年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。
【想定される加工の事例（※2）】
事例 1）会員 ID、氏名、年齢、性別、サービス利用履歴が含まれる個人情報を加工する場
合に次の措置を講ずる。
1）氏名を削除する。
事例 2）氏名、住所、生年月日が含まれる個人情報を加工する場合に次の 1 から 3 までの措置を講ずる。
1）氏名を削除する。
2）住所を削除する。又は、○○県△△市に置き換える。
3）生年月日を削除する。又は、日を削除し、生年月に置き換える。
（※1）他の記述等への置き換えとして、仮 ID を付す場合には、元の記述等を復元することのできる規則性を有しない方法でなければならない。
仮 ID を付す際の注意点については、3-2-2-1（特定の個人を識別することができる記述等の削除）の（※）を参照のこと。
（※2）講ずべき措置は、個別の事例ごとに判断する必要がある。例えば、氏名の削除後、当該個人情報に含まれる他の記述等により、なお特定の個人を識別することができる場合には、当該記述等によって特定の個人を識別することができなくなるよう加工する必要がある。
２３

施行規則第 31 条第 1 号は、法第 2 条第５項第 1 号の規定に基づき、法第２条第 1 項第１号に該当する個人情報について、特定の個人を識別することができる記述等の全部又は一部を削除する措置（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述
等に置き換えることを含む。）を定めるものである。
法第２条第 1 項第１号に基づき「特定の個人を識別することができるもの（記述）」については、
通則ガイドラインにおいて次のような事例が例示されている。
通則ガイドライン 2-1
事例 1）本人の氏名
事例 2）生年月日、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位又は所属に関する情報について、それらと本人の氏名を組み合わせた情報
事例 3）防犯カメラに記録された情報等本人が判別できる映像情報
事例 4）本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報
事例 5）特定の個人を識別できるメールアドレス（kojin_ichiro@example.com 等のようにメールアドレスだけの情報の場合であっても、example 社に所属するコジンイチロウのメー
ルアドレスであることが分かるような場合等）
事例 6）個人情報を取得後に当該情報に付加された個人に関する情報（取得時に生存する
特定の個人を識別することができなかったとしても、取得後、新たな情報が付加され、又は照合された結果、生存する特定の個人を識別できる場合は、その時点で個人情報に該当する。）
事例 7）官報、電話帳、職員録、法定開示書類（有価証券報告書等）、新聞、ホームペー
ジ、SNS（ソーシャル・ネットワーク・サービス）等で公にされている特定の個人を識別できる情報
施行規則第 31 条第 1 号において措置を求められる「特定の個人を識別することができる記述等」
は、ガイドラインに記載の【想定される加工の事例】のように、情報単体又は組合せにより特定の個人を識別することができる個人情報に該当するものが対象になる。
講ずべき措置として、「記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）」が求められている。単体で特定の個人を識別することができる記述等（氏名、顔画像等）についてはその全部を削除するとともに、組合せで特定の個人を識別することができる記述等についてはその組合せが特定の個人を識別することができる記述にならないように、記述等の全部又は一部を削除する必要がある。
具体的な加工方法としては、ガイドラインの事例にあるように、例えば、住所であれば「○○市」まで（人口の多い都心部であれば、「○○区」まで）、生年月日であれば「生年月」まで、あるいは「生年」までといったように、情報の項目それぞれについて一定程度曖昧化されるように部分的な削除や置き換えを行う考え方が想定される。また、住所・生年月日・性別等の複数の項目の組合せで一意にならな
いように各項目の加工レベルを調整する考え方も想定される 46。
46

匿名加工情報に関する技術検討ワーキンググループ「匿名加工情報の適正な加工の方法に関する報告書 2017 年 2 月 21 日版」（https://www.nii.ac.jp/research/reports/pd/report-kihon-20170221.pdf）においては、「単項目型加工」と「複項目加工」という分類で解説されている。

２４

なお、携帯電話番号や電子メールアドレス 47、SNS 等の ID 48、クレジットカード番号等は、法人に関する番号等の符号との区別がつかない等の理由により特定の個人を識別し得る符号ではないが、一般的に本人と密接に関係し特定の個人を識別することにつながりやすい情報である。これらの情報を含め事業者において単体又は他の情報との組合せにより特定の個人を識別することができるものは、
個人情報に該当するものである。
【仮 ID への置き換えについて】
仮名加工情報の作成においては、情報単体で特定の個人を識別可能とする情報を削除することのほか、情報単体で特定の個人を識別可能な情報又はそれらの組合せ（例えば、氏名＋連絡先）
を、元の個人情報を復元できる規則性を有しない方法により置き換えることも認められている。この際、元の個人情報を番号等の符号で置き換えた場合には、番号等の符号は仮 ID と捉えることができる。
仮 ID を付す方法としては、例えば、特定の個人を識別し得る一意の情報（氏名やサービス ID 等）
や個人識別符号、又はそれらの組合せからなる入力（以下「入力情報」という。）それぞれに対して、所定のアルゴリズムにより出力される数値や記号列を付番するほか、氏名やサービス ID 等の一意の情報を削除した後にランダムに番号や記号等を付番する処理等の手法が想定される。また、仮名加工
情報の加工基準である施行規則第 31 条各号の「削除」の要件として、「復元することのできる規則性を有しない方法により他の記述等に置き換える」必要があるため、仮 ID を用いる場合には、元の個人情報を復元することができないように仮 ID を生成する必要がある。仮 ID による置き換えを行う場
合は、その際に使用する手法の長所・短所を把握した上で行うことが必要である。
また、仮 ID が不要である場合には、再識別リスクを低減する意味から、仮 ID への置き換えを行わず、仮 ID の作成の元となる記述等の削除をすることが望ましい。
【ハッシュ関数による置き換えについて】
仮 ID に置き換える処理を行う際には、元の記述が復元されたり推定されたりしないようにする必要があり、その代表的な処理方法としてハッシュ関数を用いたハッシュ化がある。ハッシュ化とは、元のデー
タから一定の計算手順に従ってハッシュ値と呼ばれる規則性のない固定長の値を求め、その値によって元のデータを置き換える方法であり、ハッシュ関数と呼ばれる特殊な計算手順により、任意長のデータから固定長の一見ランダムなハッシュ値を得ることができる。
同じデータからは常に同じハッシュ値が得られる一方で、少しでもデータが異なるとまったく類似しない
別のハッシュ値が生成され、また、ハッシュ値から元のデータを割り出したり、同じハッシュ値を持つ別のデータを生成したりすることは極めて難しいことから、加工の際の仮 ID の生成方法の一つとして使用されることが多い。
なお、ハッシュ関数のアルゴリズムについては、安全性が確立されたものを利用することが望ましいと考えられるところ、例えば、CRYPTREC 49が暗号技術を評価・検討し、安全性及び実装性能ともに優れ
47

電子メールアドレスに氏名が含まれている等により、特定の個人を識別することができる場合、当該電子メールアドレスは、それ自体が単独で、個人情報に該当する。
48

Open ID の仕組み等により、SNS 等の ID を別の WEB サービスのアカウントとして使用する場合もあるため、これらの ID による名寄せも起こり得ると考えられる。
49

CRYPTREC とは、電子政府推奨暗号の安全性を評価・監視し、暗号技術の適切な実装法・運用法を調査・検討するプロジェクトである。総務省及び経済産業省が共同で運営する暗号技術検討会と、国立研究開発法人情報通信研究機構及び独立行政法人情報処理推進機構が共同で運営する暗号技術評価委員会及び、暗号技術活用委員会で構成される。

２５

たものを選択した結果に基づき作成された電子政府推奨暗号リストにおいて挙げられているハッシュ関数を利用することも推奨される。
さらに、ハッシュ化による仮 ID 生成に当たっては、ハッシュ関数への入力情報を（氏名＋秘密の文
字列）、（氏名＋電子メールアドレス＋秘密の文字列）といったように、十分な長さの秘密の文字列を付加した上でハッシュ化をすること（いわゆる鍵付きハッシュ関数の利用）が望ましい。秘密の文
字列はランダムなデータを用いることと、当該秘密の文字列が削除情報等 50に当たることにも留意が必要である。
3.2.1.2

第 2 号（個人識別符号の削除）

施行規則第 31 条第 2 号
個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ガイドライン ２-２-２-１-２ 個人識別符号の削除
加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別符号単体で特定の個人を識別できるため、当該個人識別符号の全部を削除又は他の記述等へ置き換
えて、特定の個人を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
（参考）個人識別符号の概要
個人識別符号とは、その情報単体から特定の個人を識別することができるものとして個人情報の保護に関する法律施行令（平成 15 年政令第 507 号。以下「政令」という。）で定めるものをいい、次のいずれかに該当するものである（個人識別符号の定義の詳細については、通則ガイ
ドライン「2-2（個人識別符号）」参照）。
（1）特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号
・

生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋）をデジタ
ルデータに変換したもののうち、特定の個人を識別するに足りるものとして規則で定める基準に適合するもの（政令第 1 条第 1 号及び規則第 2 条）

（2）対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号
・

旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証の番号等の公的機関が割り振る番号（政令第 1 条第 2 号から第 8 号まで、規則第 3条及び第 4 条）

施行規則第 31 条第 2 号は、法第 2 条第 6 項第 2 号で規定される措置を定めるものである。
法第２条第 2 項第 1 号で規定される個人識別符号（個人の身体の一部の特徴を電子計算機の用に供するため変換し特定の個人を識別することができるもの）及び法第 2 条第 2 項第 2 号で規定される個人識別符号（旅券番号や運転免許証の番号、個人番号等）については、その符号自体が特定の個人に割り当てられるものであり、個人識別符号単体で特定の個人を識別し得る情報で50「3.3.7 削除情報等の安全管理措置」も参照のこと。

２６

あるとの位置付けから、それらを全部削除することが求められる。なお、仮 ID への置き換えについては、
4.1.2.1 の考え方と同様である。
なお、法第２条第２項第 1 号で定める個人識別符号の「規則で定める基準」について、通則ガイ
ドライン「2-2 個人識別符号（法第 2 条第 2 項関係）」における個人識別符号の解説においては、「本人を認証することができるようにしたもの」（DNA）又は「本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの」とされている。
3.2.1.3

第 3 号（不正に利用されることにより財産的被害の生じるおそれのある記述等の削除）

施行規則第 31 条第３号
個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ガイドライン ２-２-２-１-３ 不正に利用されることにより財産的被害が生じるおそれのある記
述等の削除
一般的にみて、不正に利用されることにより個人の財産的被害が生じるおそれが類型的に高い
記述等については、それが漏えいした場合に個人の権利利益の侵害が生じる蓋然性が相対的に高いと考えられる。そのため、仮名加工情報を作成するに当たっては、当該記述等について削除又は他の記述等への置き換えを行わなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
【想定される加工の事例】
事例 1）クレジットカード番号を削除する。
事例 2）送金や決済機能のあるウェブサービスのログイン ID・パスワードを削除する。

施行規則第 31 条第３号は、不正に利用されることにより財産的被害が生じるおそれが類型的に高い記述について削除することを求めるものである。
「財産的被害が生じるおそれ」の有無は、個人情報に含まれる記述等が不正に利用されることにより財産的被害が生じる蓋然性を考慮して判断されるため、例えば、ある記述等について不正に利用されることにより財産的被害が生じる可能性が理論上は否定できない場合であっても、その可能性が相当程度低いものである場合には、施行規則第 31 条第３号に基づく加工は求められない。
ガイドライン中に示したとおり、クレジットカード番号や、送金や決済機能のあるウェブサービスのログイ
ン ID・パスワードは、不正に利用されることにより個人の財産的被害が生じるおそれが類型的に高い記述等であるから、削除しなければならない。
他方、口座番号それ自体やクレジットカード番号の下４桁それ自体が不正に利用されることにより直ちに財産的被害が生じるおそれがあるとはいえないと考えられるため、口座番号それ自体や、クレジッ
トカード番号の下４桁それ自体については、施行規則第 31 条第３号における「不正に利用されるこ２７

とにより財産的被害が生じるおそれがある記述等」には該当しないと考えられる（Q&A14-８）。
もっとも、口座番号やクレジットカード番号の下４桁については、その部分を何らかの分析等に利用することは一般的に想定されず、基本的に削除又は置換することが望ましいと考えられる 51。

51「3.3.5 漏えい等発生時の報告義務及び本人通知義務の免除」にも留意が必要である。

２８

3.3

仮名加工情報の作成・利用に当たっての留意点

本項で述べる事項のうち、「3.3.1 利用目的との関係」及び「3.3.4 不適正利用の禁止」は個人情報である仮名加工情報に係る事項である。その他は、個人情報である仮名加工情報と個人情報でない仮名加工情報の双方に係る事項である。
3.3.1 利用目的との関係
法第 41 条第 3 項から第５項まで規定されているように、個人情報である仮名加工情報の利用目的の変更やその際の公表には個人情報と、データ内容の正確性の確保等には個人データとは異なる規律が適用される。
法第 41 条第 3 項
３ 仮名加工情報取扱事業者（個人情報取扱事業者である者に限る。以下この条において同じ。）
は、第 18 条の規定にかかわらず、法令に基づく場合を除くほか、第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、仮名加工情報（個人情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
４ 仮名加工情報についての第 21 条の規定の適用については、同条第 1 項及び第 3 項中「、本人に通知し、又は公表し」とあるのは「公表し」と、同条第 4 項第 1 号から第 3 号までの規定中「本人に通知し、又は公表する」とあるのは「公表する」とする。
５ 仮名加工情報取扱事業者は、仮名加工情報である個人データ及び削除情報等を利用する必要がなくなったときは、当該個人データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 22 条の規定は、適用しない。
ガイドライン ２-２-３-１-１ 利用目的による制限
個人情報取扱事業者である仮名加工情報取扱事業者は、法令に基づく場合（※1）を除くほか、
法第 17 条第 1 項の規定により特定された利用目的（※2）の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならない。
「法令に基づく場合」以外の場合において、法第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱う場合には、あらかじめ利用目的を変更する必要がある。なお、仮名加工情報については、利用目的の変更の制限に関する法第 17 条第2 項の規定は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる（2-2-3-6（適用除外）参照）。
利用目的を変更した場合には、原則として変更後の利用目的を公表しなければならない（2-2-3-1-2（利用目的の公表）参照）。
（※1）「法令に基づく場合」の具体的な事例については、通則ガイドライン「3-1-5（利用目的による制限の例外）」を参照のこと。
（※2）個人情報取扱事業者が仮名加工情報を作成したときは、作成の元となった個人情報に関して
法第 17 条第 1 項の規定により特定された利用目的が、当該仮名加工情報の利用目的として引き継がれる。
ガイドライン ２-２-３-１-２ 利用目的の公表
個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加工情報を取得し２９た場合（※）には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を公表しなければならない。
また、利用目的の変更を行った場合には、変更後の利用目的を公表しなければならない。
ただし、次の（1）から（4）までの場合については、個人情報である仮名加工情報の取得時、及び個
人情報である仮名加工情報の利用目的の変更時における利用目的の公表は不要である。
（1）利用目的を公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害す
るおそれがある場合（2）利用目的を公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合（3）国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき（4）取得の状況からみて利用目的が明らかであると認められる場合（※）個人情報取扱事業者が、自らが保有する個人情報の一部を削除する等の加工を行ったに過ぎない場合は、ここでいう個人情報の「取得」には該当しない。
そのため、個人情報取扱事業者が、自らが保有する個人情報を加工して仮名加工情報を作成した場合には、当該仮名加工情報が個人情報に当たる場合でも、ここでいう個人情報である仮名加工情報の「取得」には該当しない。
これに対し、例えば、仮名加工情報を作成した個人情報取扱事業者が、当該仮名加工情報
及び当該仮名加工情報に係る削除情報等を、事業の承継に伴い他の事業者に提供した場合（2-2-3-3（第三者提供の禁止等）参照）、当該他の事業者にとって、当該仮名加工情報
は、通常、当該削除情報等と容易に照合でき、それによって特定の個人を識別できる情報に該当するため、個人情報に該当する。この場合には、当該他の事業者が事業の承継に伴い当該仮名加工情報の提供を受けることは、ここでいう個人情報である仮名加工情報の「取得」に該当する。
ガイドライン ２-２-３-２ 利用する必要がなくなった場合の消去（法第 41 条第 5 項関係）
個人情報取扱事業者である仮名加工情報取扱事業者は、保有する仮名加工情報である個人デー
タについて利用する必要がなくなったとき、すなわち、利用目的が達成され当該目的との関係では当該仮名加工情報である個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となり、当該事業の再開の見込みもない場合
等は、当該仮名加工情報である個人データを遅滞なく消去するよう努めなければならない（※1）。
また、保有する削除情報等について利用する必要がなくなったときは、当該削除情報等を遅滞なく消去するように努めなければならない（※2）。
【仮名加工情報である個人データについて利用する必要がなくなったときに該当する事例】
事例）新商品の開発のため、仮名加工情報である個人データを保有していたところ、当該新商品の開発に関する事業が中止となり、当該事業の再開の見込みもない場合【削除情報等について利用する必要がなくなったときに該当する事例】
事例）仮名加工情報についての取扱いを終了し、新たな仮名加工情報を作成する見込みもない場合３０

（※1）「仮名加工情報である個人データの消去」とは、当該仮名加工情報である個人データを個人データでなくすることであり、当該仮名加工情報である個人データを削除することのほか、当該仮名加工情報を容易に照合できる他の情報と組み合わせても特定の個人を識別できないようにすること等を含む。
（※2）「削除情報等の消去」とは、当該削除情報等を削除することをいう。
ガイドラインにも記載されているように、法第 17 条第 1 項の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報である仮名加工情報を取り扱ってはならないが、法第 17 条第 2 項の規定は適用されないため、変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる。ただし、利用目的を変更した場合には、原則として変更後の利用目的を公表しなければならない。
すなわち、個人情報を加工して仮名加工情報を作成した場合、作成の元となった個人情報に関して法第 17 条第１項の規定により特定された利用目的が、当該仮名加工情報の利用目的として引き継がれるため（Q&A14-14）、当該仮名加工情報を作成元の個人情報の利用目的として特定された利用目的の範囲内で利用する限り、当該仮名加工情報の利用目的を公表する必要はない。また、当該仮名加工
情報を作成したこと自体や、当該仮名加工情報に含まれる情報の項目を公表することも求められない（Q&A14-16）。ただし、仮名加工情報を作成し、作成元の個人情報の利用目的として特定された利用目的の範囲内で利用している場合であっても、当該仮名加工情報を作成したことや、その利用目的を仮名加工情報の利用目的として公表することを妨げるものではない。
他方、個人情報である仮名加工情報について、利用目的の変更を行った場合には、原則として、変更後の利用目的を公表する必要がある。変更後の利用目的の公表に際しては、それが仮名加工情報に係るものであることを明確にする必要があることに留意が必要である（Q&A14-15） 52。
また、個人情報である仮名加工情報を取得した場合には、あらかじめその利用目的を公表している場合を除き、原則として、速やかにその利用目的を公表する必要がある。例えば、事業者が事業の承継（法第27 条第５項第２号）に伴い個人情報である仮名加工情報及び当該仮名加工情報に係る削除情報等の提供を受けることは、個人情報である仮名加工情報の「取得」に該当する。そして、この利用目的の公表に際しては、それが仮名加工情報に係るものであることを明確にする必要がある 53。
なお、仮名加工情報の利用目的を特定するにあたっては、「利用目的の特定」の趣旨が、仮名加工情報を取り扱う者が、仮名加工情報をどのような事業の用に供し、どのような目的で利用するかについて、本人の予測を可能とすることであることに鑑み、本人が、自らの仮名加工情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できるよう、できる限り利用目的を特定しなければならない。
また、ガイドラインにも記載されているように、利用目的が達成され当該目的との関係では仮名加工情報
である個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの52「公表」については通則ガイドライン「2-15 「公表」」を参照のこと。また、公表の具体例については、本レポート事例編「1 仮名加工情報編」を参照のこと。
53

利用目的の公表をしなくてよい場合（法第 41 条第 4 項、法第 21 条第 4 項）については、通則ガイドライン「3-3-5 利用目的の通知等をしなくてよい場合（法第 21 条第 4 項関係）」を参照のこと。例えば「利用目的を本人に通知し、又は公表することにより当該
個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合」（法第 21 条第 4 項第 2 号）の事例としては「暴力団等の反社会的勢力情報、疑わしい取引の届出の対象情報、業務妨害行為を行う悪質者情報等を、本人又は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合」が挙げられている。

３１

当該目的の前提となる事業自体が中止となり、当該事業の再開の見込みもない場合等は、当該仮名加工情報である個人データを遅滞なく消去するよう努めなければならない。仮名加工情報である個人データについて利用する必要がなくなったにもかかわらず、長期間にわたり保管し続けると、目的外利用等、法の規定に違反した利用や漏えい等の可能性が高まることにも留意が必要である。

3.3.2 識別行為の禁止
法第 41 条第 7 項及び第 42 条第３項で規定されているように、仮名加工情報の取扱いにおいては、それが個人情報である場合であるか否かに関わらず、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別する目的で他の情報と照合することが禁止される。
法第 41 条第７項
仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、当該仮名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該仮名加工情報を他の情報と照合してはならない。
法第 42 条第３項
第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規定は、仮名加工情報取扱事業者による仮名加工情報の取扱いについて準用する。この場合において、第 23 条中「漏えい、滅失又は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、又は」と読み替えるものとする。
ガイドライン ２-２-３-４ 識別行為の禁止（法第 41 条第 7 項関係）
個人情報取扱事業者である仮名加工情報取扱事業者が個人情報である仮名加工情報を取り扱う場
合には、当該仮名加工情報の作成の元となった個人情報の本人を識別する目的で、当該仮名加工情
報を他の情報（※）と照合してはならない。
【識別行為に当たらない取扱いの事例】
事例 1）複数の仮名加工情報を組み合わせて統計情報を作成すること。
事例 2）仮名加工情報を個人と関係のない情報（例︓気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。
【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と仮名加工情報について、共通する記述等を選別してこれらを照合すること。
事例 2）仮名加工情報を、当該仮名加工情報の作成の元となった個人情報と照合すること。
（※）「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報、個人関
連情報、仮名加工情報及び匿名加工情報を含む情報全般と照合する行為が禁止される。また、
具体的にどのような技術又は手法を用いて照合するかは問わない。
ガイドライン 2-2-4-2 その他の義務等（法第 42 条第 3 項関係）
（5）識別行為の禁止（法第 42 条第 3 項、第 41 条第 7 項関係）
３２

仮名加工情報を取り扱う場合には、当該仮名加工情報の作成の元となった個人情報の本人を識別する目的で、削除情報等を取得し、又は当該仮名加工情報を他の情報と照合してはならない。
詳細については、2-2-3-4（識別行為の禁止）を参照のこと。
仮名加工情報を取り扱う場合には、識別ができるか否かを問わず、当該仮名加工情報の作成の元となった個人情報の本人を識別する目的で、当該仮名加工情報を他の情報と照合してはならない。
仮名加工情報を他の情報と照合することが識別禁止義務に違反するか否かは、その目的や、照合の対象となる仮名加工情報及び他の情報に含まれる記述等により、個別の事案ごとに判断される。ここでいう目的については、事業者の主観によって判断されるものではなく、仮名加工情報と照合する仮名加工情報及び他の情報に含まれる記述等の性質等を踏まえて客観的に判断される。例えば、仮名加工情報と個人情報について、共通する記述等を選別して照合する行為は、一般的に、識別目的の照合であると考えられる。
なお、仮名加工情報を取り扱っていたところ、偶然に当該仮名加工情報の作成の元となった個人情報の本人を識別してしまった場合等、仮名加工情報の作成の元となった個人情報の本人を識別するために（すなわち、識別をする目的で）他の情報と照合しているとはいえない場合は、直ちに識別行為の禁止義務に違反するものではないと考えられるが、再度同じような形で個人を識別することがないようにする必要がある。
もっとも、取り扱う仮名加工情報に記述等を付加して特定の個人を識別する状態となった場合には、個人情報の不適正な取得となるため、当該情報を速やかに削除する必要がある（Q&A14-21 参照）。
【仮名加工情報同士を突合することについて】
法第 17 条の規定により特定した利用目的が異なる複数の個人情報について、当該利用目的の達成に必要な範囲を超えてそれぞれの利用目的を変更して共通の利用目的とした上で突合して取り扱うためには、
原則としてあらかじめ本人の同意を得て利用目的を変更しなければならない（同条第 2 項） 54。しかし、当該複数の個人情報からそれぞれ仮名加工情報を作成した上で、本人の同意なく利用目的を変更し、氏名等を置き換えた仮 ID や、事業者が独自に付与した会員 ID 等を通じて、識別行為の禁止義務に反しない範囲で当該複数の仮名加工情報を同一個人ごとに突合することが考えられる。このような場合、複数の仮名加工情報の加工項目や加工レベルがそれぞれ異なる場合、各仮名加工情報を突合すると、突合後の仮名加工情報それ自体により特定の個人の識別ができる程度に個人情報が復元されてしまう可能性がある。
例えば、ある個人に関する個人情報から作成された二つの仮名加工情報を突合するとき、一方は会員 IDと生年月日があるが住所に関する情報はなく、もう一方は会員 ID と町名までの住所があるが生年月日に関する情報はないとしても、その二つの仮名加工情報を突合することで、町名までの住所と生年月日が組み合
わされ、特定の個人を識別できる状態となることがある。
このような事態を回避するため、複数の仮名加工情報の作成後に、それら仮名加工情報同士を同一個人ごとに突合することが予定されている場合は、複数の仮名加工情報の作成後に仮名加工情報同士を突合した時にどの程度特定の個人の識別につながる可能性があるかを予め想定して、作成元の個人情報のどの項目をどのようなレベルで加工するかについて統一した基準を定めておくことが望ましい 55。
また、実際に仮名加工情報同士を突合する場合には、突合後に特定の個人の識別につながる事態を防ぐ観点から、突合前に当該仮名加工情報に含まれる情報の項目や、加工のレベルを確認することが重要である。

54

変更前の利用目的と関連性を有すると合理的に認められる範囲を超えて利用目的を変更する場合。

55

例えば、住所は市町村までとする、生年月日は生年までとする等の加工の粒度を統一することが考えられる。

３３

なお、仮名加工情報同士を突合し特定の個人が識別されたにもかかわらず、仮名加工情報として変更した利用目的で突合後の情報を利用することは、仮名加工情報の識別禁止義務違反に当たる上、作成元の個人情報に係る目的外利用にもなり得ることに留意が必要である。
【個人情報同士を突合してから仮名加工情報を作成することについて】
法第 17 条の規定により特定した利用目的が異なる個人情報を、特定の個人ごとに突合し、利用目的を変更して利用したい場合、原則として上記のように一度仮名加工情報に加工をした上で、仮 ID 等を通じて仮名加工情報同士を事後的に同一の個人ごとに突合を行う方法が考えられるが、仮名加工情報同士を突合することで識別禁止義務に抵触する可能性が高い場合には、加工前の個人情報を、特定の個人ごとに突合した上で、突合後に得られた個人情報を仮名加工情報に加工し、利用目的を変更して利用する方法も考えられる。
仮名加工情報を作成する目的のみのために、異なる利用目的の複数の個人情報を個人情報の状態で突合を行うことそれ自体が、直ちに当該個人情報の目的外利用に該当するわけではないが、突合後に得られたデータベースを構成する複数の個人情報については、誤って目的外利用に該当する取扱いがなされる可能性が高まる。また、突合後に得られたデータベースは多数のデータ項目からなる大量の個人情報を含むものとなり、当該データベースが漏えい等した場合に本人が被る権利利益の侵害が大きなものとなり得る。そこ
で、このような権利利益の侵害リスクを踏まえた安全管理措置の観点から、以下のような対応を取ることが考えられる。


当該データベースについては、仮名加工情報の作成後直ちに削除すること。将来的に仮名加工情報を再度作成することを想定している場合であっても、いったん仮名加工情報を作成した場合直ちに削除すること。



元々の利用目的で個人情報を利用する場合は、当該データベースではなく、当該データベースとは別に管理する突合前の個人情報を利用すること。

3.3.3 本人への連絡等の禁止
法第 41 条第 8 項及び法第 42 条第 3 項で規定されているように、仮名加工情報の取扱いにおいては、
それが個人情報である場合であるか否かに関わらず、当該仮名加工情報に含まれる連絡先を利用して、本人に連絡等を行うことが禁止される。
法第 41 条第８項
仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは民間事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第 2 条第 6 項に規定する一般信書便事業者若しくは同条第 9 項に規定する特定信書便事業者による同条第 2 項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法（電子情報処理組織を使用する
方法その他の情報通信の技術を利用する方法であって個人情報保護委員会規則で定めるものをいう。）を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。
施行規則第 33 条
法第 41 条第 8 項に規定する電磁的方法は、次に掲げる方法とする。
一 電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端
３４

末機器に送信する方法（他人に委託して行う場合を含む。）
二 電子メールを送信する方法（他人に委託して行う場合を含む。）
三 前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信（電気通信事業法（昭和 59 年法律第 86 号）第 2 条第 1 号に規定する電気通信をいう。）
を送信する方法（他人に委託して行う場合を含む。）
ガイドライン 2-2-3-5 本人への連絡等の禁止（法第 41 条第 8 項関係）
個人情報取扱事業者である仮名加工情報取扱事業者は、個人情報である仮名加工情報を取り扱う
場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
ここでいう「電磁的方法」とは、次の（1）から（3）までのいずれかの方法をいう。
（1）電話番号を送受信のために用いて電磁的記録を相手方の使用に係る携帯して使用する通信端末機器に送信する方法（他人に委託して行う場合を含む。）（規則第 33 条第 1 号関係）
いわゆるショートメールを送信する方法であり、他人に委託して行う場合を含む。
（2）電子メールを送信する方法（他人に委託して行う場合を含む。）（規則第 33 条第 2 号関係）
電子メールを送信する方法であり、他人に委託して行う場合を含む。
（3）前号に定めるもののほか、その受信をする者を特定して情報を伝達するために用いられる電気通信（電気通信事業法（昭和 59 年法律第 86 号）第 2 条第 1 号に規定する電気通信をいう。）を送信する方法（他人に委託して行う場合を含む。）（規則第 33 条第 3 号関係）
電子メールを送信する方法のほか、受信する者を特定した上で情報を伝達するために用いられる電気通信を送信する方法であり、他人に委託して行う場合を含む。
【受信する者を特定して情報を伝達するために用いられる電気通信を送信する方法に該当する事例】
事例 1）いわゆる SNS（ソーシャル・ネットワーキング・サービス）のメッセージ機能によりメッセージを送信する方法
事例 2）CookieID を用いて受信する者を特定した上で、当該受信者に対して固有の内容のインターネット広告を表示する方法
ガイドライン 2-2-4-2 その他の義務等（法第 42 条第 3 項関係）
（6）本人への連絡等の禁止（法第 42 条第 3 項、第 41 条第 8 項関係）
仮名加工情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報の利用を行ってはならない。
詳細については、2-2-3-5（本人への連絡等の禁止）を参照のこと。
ガイドラインにも記載されているように、法第 41 条第８項が禁止する行為には、例えば仮名加工情報に含まれる情報を利用して、SNS のメッセージ機能によりメッセージを送信する方法や、広告識別子や Cookie
ID 等を用いて受信する者を特定した上で、当該受信者に対して固有の内容のインターネット広告を表示す
３５

る方法も含まれる。また、これら以外にも受信する者を特定した上で電気通信を送信する方法も、同項が禁止する行為に含まれていることに留意が必要である 56。
携帯電話番号や電子メールアドレス、SNS 等の ID、広告識別子や Cookie ID 等その他の本人到達性のある記述等は、当該情報自体を分析することは一般的に想定できず、本人への連絡等の禁止義務に抵触する取扱いを未然に防止する観点から、仮名加工情報の作成に当たって削除するか、連結符号として用いる際であっても置き換えをすることが望ましい。
【仮名加工情報を用いて作成した統計情報により得られた傾向等を踏まえて仮名加工情報の作成元となった個人情報を用いて広告配信を行うこと】
仮名加工情報を用いて分析を行い、統計情報を作成した上で、当該統計情報により得られた傾向等を踏まえて、当該仮名加工情報の作成の元となった個人情報を用いて本人に対し広告配信を行うことは可能である。ただし、広告配信を行うことが、加工前の個人情報について特定された利用目的の範囲内である必要がある（Q&A14-20）。
なお、統計情報とは、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、規制の対象外となる（ガイドライン「3-1-1 匿名加工情報（法第 2 条第 6 項関係）」）。
他方、仮名加工情報から統計情報を作成する過程において、特定の仮名加工情報との対応関係が排斥されていない段階の情報は、引き続き仮名加工情報に係る規律が適用される。そのため、例えば、このよ
うな特定の仮名加工情報との対応関係が排斥されていない情報に含まれる記述等を、仮名加工情報の作成の元となった個人情報と突合し、当該個人情報を用いて広告配信を行う場合、識別禁止義務や本人連絡等の禁止義務に違反することになるため、注意が必要である。
なお、統計情報については、「4.1.4.1 統計情報について」も参照のこと。

3.3.4 不適正利用の禁止
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用することが禁止されているが、個人情報である仮名加工情報を取り扱う場合も、違法又は不当な行為を助長し、又は誘発するおそれがある方法による利用が禁止される。
法第 19 条
個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。
通則ガイドライン ３-２ 不適正利用の禁止（法第 19 条関係）
個人情報取扱事業者は、違法又は不当な行為（※1）を助長し、又は誘発するおそれ（※2）がある方法により個人情報を利用してはならない。
【個人情報取扱事業者が違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用している事例】
56

受信する者を特定した上で第三者に電気通信を送信させることも禁止される。

３６

事例 1）違法な行為を営むことが疑われる事業者（例︓貸金業登録を行っていない貸金業者等）
からの突然の接触による本人の平穏な生活を送る権利の侵害等、当該事業者の違法な行為を助長するおそれが想定されるにもかかわらず、当該事業者に当該本人の個人情報を提供する場合
事例 2）裁判所による公告等により散在的に公開されている個人情報（例︓官報に掲載される破産者情報）を、当該個人情報に係る本人に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予見できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例 3）暴力団員により行われる暴力的要求行為等の不当な行為や総会屋による不当な要求を助長し、又は誘発するおそれが予見できるにもかかわらず、事業者間で共有している暴力団員等に該当する人物を本人とする個人情報や、不当要求による被害を防止するために必要な業務を行う各事業者の責任者の名簿等を、みだりに開示し、又は暴力団等に対しその存在を明らかにする場合
事例 4）個人情報を提供した場合、提供先において法第 27 条第 1 項に違反する第三者提供がなされることを予見できるにもかかわらず、当該提供先に対して、個人情報を提供する場合
事例 5）採用選考を通じて個人情報を取得した事業者が、性別、国籍等の特定の属性のみにより、
正当な理由なく本人に対する違法な差別的取扱いを行うために、個人情報を利用する場
合事例 6）広告配信を行っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予見できるにもかかわらず、当該商品の広告配信のために、自社で取得した個人情報を利用する場合（※1）「違法又は不当な行為」とは、法（個人情報の保護に関する法律）その他の法令に違反する行為、及び直ちに違法とはいえないものの、法（個人情報の保護に関する法律）その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為をいう。
（※2）「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。例えば、個人情報取扱事業者が第三者に個人情報を提供した場合において、当該第三者が当該個人情報を違法な行為に用いた場合であっても、当該第三者が当該個人情報の取得目的を偽っていた等、当該個人情報の提供の時点において、提供した個人情報が違法に利用されることについて、当該個人情報取扱事業者が一般的な注意力をもってしても予見できない状況であった場合には、「おそれ」は認められないと解される。
ガイドラインにも記載されているように、「違法又は不当な行為」には、個人情報保護法その他の法令に違反する行為及び直ちに違法とはいえないものの個人情報保護法その他の法令の制度趣旨に反する行為も含まれる。したがって、仮名加工情報の識別禁止義務や個人情報の目的外利用禁止の規定を潜脱することを企図して、仮名加工情報を利用することは不適正利用に当たる可能性がある。
また、以下のように、個人情報保護法に違反する行為を助長し、又は誘発することが予見できるにもかかわらず、個人情報である仮名加工情報を利用する場合も、不適正利用に該当する。
３７



個人情報である仮名加工情報の取扱いを委託した場合において、委託された業務の範囲を超えた
取扱いを委託先が行うことが予見できるにもかかわらず、当該委託先に対して、個人情報である仮名加工情報を提供する場合



個人情報である仮名加工情報の共同利用を行う場合において、提供先が、あらかじめ公表した共
同して利用する者の範囲に含まれないことを知り、又は容易に知ることができるにもかかわらず、当該提供先に対し仮名加工情報を提供する場合



特定の属性のみにより正当な理由なく違法な差別的取扱いを行うために用いることを企図して、当該差別的取扱いを補助するための AI システムを開発するために、機械学習用データセットとして個
人情報である仮名加工情報を利用する場合

3.3.5 漏えい等発生時の報告義務及び本人通知義務の免除
仮名加工情報については、それが個人情報である場合であるか否かに関わらず、漏えい等発生時の報告義務及び本人通知義務が適用されない。
法第 41 条（第 9 項）
仮名加工情報、仮名加工情報である個人データ及び仮名加工情報である保有個人データについて
は、第 17 条第 2 項、第 26 条及び第 32 条から第 39 条までの規定は、適用しない。
ガイドライン 2-2-3-6 適用除外（法第 41 条第 9 項関係）
（2）漏えい等の報告等（法第 26 条関係）
仮名加工情報である個人データについては、法第 26 条の規定は適用されないため、仮名加工情報である個人データについて漏えい等が発生した場合でも、法第 26 条に基づく報告や本人通知は不要である（※1）。
（※1）仮名加工情報の作成の元となった個人データ又は氏名と仮 ID の対応表のような削除情報等（個人データであるもの）については、法第 26 条の規定が適用される。そのため、これらについての漏えい等が発生した場合において、当該漏えい等が法第 26 条に定める要件を満たす場合には、同条に基づく報告や本人通知の対象となる。
仮名加工情報は、加工により本人の権利利益が侵害されるリスクが相当程度低減されているため、仮名加工情報について漏えい等が発生した場合でも、法第 26 条に基づく報告や本人通知に係る義務の対象外とされている 57。
しかし、法は仮名加工情報について安全管理措置を講ずる義務まで免除しているものではないことに留意が必要である。仮名加工情報である個人データについては、「3.3.6 安全管理措置」のとおり、法第 23 条
（安全管理措置）の適用があり、必要かつ適切な安全管理措置を怠った場合、指導・助言（法第 147条）や勧告・命令（法第 148 条）の対象となり得る。なお、個人情報でない仮名加工情報についても、
法第 42 条第３項により法第 23 条が準用される。

57

第 159 回個人情報保護委員会（令和 2 年 11 月 27 日）「改正法に関連する政令・規則等の整備に向けた論点について（仮名加工情報）

３８

また、一般に、漏えい等が発生した場合の本人通知は、本人が漏えい等の発生を認知し、自らの権利利益の保護に必要な措置を講ずることを可能にするものである 58。しかし、上記のとおり、仮名加工情報については、漏えい等が発生した場合でも、本人に通知する義務がない。
このような点も踏まえ、特に、仮名加工情報が漏えいした際に、当該仮名加工情報を取得した第三者が特定の個人を識別できる可能性を一層低減させる観点から、以下の措置を講ずることが望ましい。
（1）共用性のある記述等の削除
仮名加工情報に、例えば、携帯電話番号や電子メールアドレス、SNS 等の ID、業界横断型ポイントカ
ード ID その他の多数の事業者において取得されている共用性のある記述等が含まれる場合、当該仮名加
工情報についての漏えい発生時に、これを取得した第三者が、共用性のある記述等をキーとして自己が保有する個人情報との名寄せを行うことが可能となり、当該仮名加工情報の作成の元となった個人情報に係る本人の識別がなされる可能性が高まる 59。
したがって、仮名加工情報の漏えい発生時の個人の権利利益の侵害リスクを低減する観点からは、共用性のある記述等は削除するか、元の記述等が復元できず共用性のない別の符号に置き換えをすることが望ましい。また、共用性のある記述等を複数の情報を連結するために用いる場合であっても、連結後速やかに削除するといった対応が望ましい。
（2）利用目的を達成するために必要最小限の情報への加工
仮名加工情報に含まれる情報の項目が多ければ多いほど、漏えい発生時に当該仮名加工情報を取得した第三者が、他の情報と照合することで、当該仮名加工情報の作成の元となった個人情報に係る本人の識別がなされる可能性が高まる。そこで、仮名加工情報を作成する際は、当該仮名加工情報の利用目的を踏まえ、当該利用目的の達成のために必要最小限の情報項目だけを残して加工することが望ましい。

3.3.6 安全管理措置について
仮名加工情報についても、それが個人情報である場合であるか否かに関わらず、安全管理措置を講ずる義務が課される。
法第 23 条
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人デー
タの安全管理のために必要かつ適切な措置を講じなければならない。
ガイドライン 2-2-3-7 その他の義務等（3）安全管理措置（法第 23 条関係）取り扱う仮名加工情報である個人データの漏えい等その他の安全管理のために必要かつ適切な措置を講じなければならない。
詳細については、通則ガイドライン「3-4-2（安全管理措置）」を参照のこと。
なお、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、

58

佐脇紀代志編 『一問一答令和 2 年改正個人情報保護法』（商事法務、2021）・P37（Q30）59

なお、第三者が仮名加工情報取扱事業者である場合には、識別禁止義務の対象となる。また、第三者が仮名加工情報に記述等を付加して特定の個人を識別する状態となった場合、個人情報の不適正な取得となり得る。

３９

仮名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
ガイドライン 2-2-4-2 その他の義務等（法第 42 条第 3 項関係）
（1）安全管理措置（法第 42 条第 3 項、第 23 条関係）取り扱う仮名加工情報の漏えいの防止その他の仮名加工情報の安全管理のために必要かつ適切な措置を講じなければならない。詳細については、通則ガイドライン「3-4-2（安全管理措置）」を参照のこと。なお、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、仮名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
通則ガイドライン 3-4-2 安全管理措置（法第 23 条関係）
個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損（以下「漏えい等」という。）の防止その他の個人データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況（取り扱う個人データの性質及び量を含む。）、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための手法の例等については、「10（別添）講ずべき
安全管理措置の内容」を参照のこと。
ガイドラインにも記載されているように、仮名加工情報にも法 23 条（安全管理措置）の適用があるため、
仮名加工情報の漏えい等が発生した場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模
及び性質、仮名加工情報の取扱状況（取り扱う仮名加工情報の性質及び量を含む。）、仮名加工情報を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な安全管理措置を講じなければならない。
作成元の個人情報を加工して仮名加工情報を作成し、他の情報と突合することなく単独で用いる場合、
当該仮名加工情報は作成元の個人情報と比べて個人の権利利益の侵害リスクが相当程度低くなっていると考えられる。ただし、上述のとおり、仮名加工情報には取扱いに係る特有の義務が課されているため、このような義務に抵触する可能性や、漏えい等の報告義務等が課されていないことにより漏えい等の発生時に本人が自らの権利利益の保護に必要な措置を講ずることができない可能性がある。
また、複数の仮名加工情報を同一個人ごとに突合して用いる場合は、突合によりデータの項目や量が増加することに伴い、識別行為の禁止義務に抵触する可能性や、漏えい時にこれを取得した第三者が特定の個人を識別できる可能性が高まる。
このような可能性を低減・回避するためには、仮名加工情報を取り扱う事業者ごとに、想定されるリスクを検討した上で、当該リスクに応じた必要かつ適切な安全管理措置を行うことが重要である。特に、機微な情報を含んでいたり、データの項目や量の多い仮名加工情報を取り扱うことで、漏えい等の場合により高いリス
クが生じるときは、当該リスクに応じたより高度な安全管理措置を講ずる必要がある。
具体的には、通則ガイドライン「10 （別添）講ずべき安全管理措置の内容」を参考に必要かつ適切な
４０

安全管理措置を講ずることに加え、リスクに応じ、以下のような安全管理措置を講ずることも有益である 60。
① 仮名加工情報を作成元の個人情報や削除情報等 61と区別して保管しておくこと
ガイドラインにも記載されているように、仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課せられていることから、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情報に該当することを認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。また、仮名加工情報と照合してはならないデータベースを明確にするため、どの個人情報データベース等からどの仮名加工情報データベース等や削除情報等が作成されたかを記録しておくことが望ましい 62。
② 利用目的を達成するために長期間保有する場合は、特に当該利用目的を達成するために必要最小限の情報への加工を行うこと
仮名加工情報は、利用目的を達成するために必要がある限り、保有し続けることは許容されうるが、仮名加工情報を保有する期間が長期化することで、仮名加工情報の取扱いに係る規律に違反する可能性や、漏えい等が生じる可能性が高まる。そこで、あらかじめ分析に用いる情報項目を定め必要最小限の項目だけを残して加工することが望ましい。また、当該仮名加工情報の作成の元となった個
人情報や当該仮名加工情報に係る削除情報等を削除する等により、個人情報でない仮名加工情報として保有に供することも、リスク低減策として有益である。
なお、仮名加工情報について利用する必要がなくなったとき、遅滞なく消去するよう努めなければならないことについては、「3.3.1 利用目的との関係」も参照のこと。
③ 仮名加工情報の暗号化等漏えい発生時に当該仮名加工情報を取得した第三者がこれを単体で又は他の情報と突合して利用できないようにするという観点からは、仮名加工情報に暗号化等の秘匿化の措置 63を講ずることも有益である。

3.3.7 削除情報等の安全管理措置
仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得した個人情報取扱事業者は、削除情報等の漏えいを防止するために、施行規則 32 条で定める基準に従い、必要な措置を講じなければならない。
法第 41 条第２項
個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに前項の規定により行われた加工の方法に関する情報をいう。以下この条及び次条第 3 項
60

個人情報等の収集を伴う事業の開始や変更の際に、プライバシー等の個人の権利利益の侵害リスクを低減・回避するために、事前に影響を評価するリスク管理手法である PIA の実施する際の参考としては、個人情報保護委員会「PIA の取組の促進について-PIA の意
義と実施手順に沿った留意点-」がある。また、プライバシーガバナンスの構築に関し参考になるものとして、総務省・経済産業省「DX 時代
における 企業のプライバシーガバナンスガイドブック ver1.2」がある。
61「3.3.7 削除情報等の安全管理措置」も参照のこと。

62

個人情報データベース等と仮名加工情報データベース等に含まれるレコード同士を照合することができるような識別子は、利用目的を達成するために必要がない限り削除することが望ましいことは、「3.3.5 漏えい等発生時の報告義務及び本人通知義務の免除」で述べたとおりである。さらに、作成した仮名加工情報データベース等のレコードの並びをランダムに変更し、作成の元となった個人情報データベース等との照合を困難にすることも望ましい。
63

暗号化等の秘匿化を行うにあたっては、その暗号鍵を適切に管理することも重要である。

４１

において読み替えて準用する第 7 項において同じ。）を取得したときは、削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
施行規則 第 32 条
法第 41 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
一 法第 41 条第 2 項に規定する削除情報等（同条第 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
二 削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
三 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずること。
ガイドライン 2-2-2-2 削除情報等の安全管理措置（法第 41 条第 2 項関係）
個人情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、削除情報等（法第 41 条第 1 項の規定により行われた加工の方法に関する情報にあっては、その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるものに限る（※1）。以下この項において同じ。）の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない（※2）。
当該措置の内容は、対象となる削除情報等が漏えいした場合における個人の権利利益の侵害リスクの大きさを考慮し、当該削除情報等の量、性質等に応じた内容としなければならないが、具体的に講じなければならない項目及び具体例については、別表 1（削除情報等の安全管理で求められる措置の具体例）を参照のこと。
（※1）「その情報を用いて仮名加工情報の作成に用いられた個人情報を復元することができるもの」には、例えば、氏名等を仮 ID に置き換えた場合における置き換えアルゴリズムに用いられる乱数等のパラメータ又は氏名と仮 ID の対応表等のような加工の方法に関する情報が該当し、「氏名を削除した」というような復元につながらない情報は該当しない。
（※2）氏名と仮 ID の対応表等のように削除情報等が個人データに該当する場合において、当該削除情報等について漏えい、滅失又は毀損（以下「漏えい等」という。）が発生し、それが法第 26条の要件を満たす場合には、同条に基づく報告や本人通知が必要となる。
また、個別の事例ごとに判断する必要があるが、例えば、氏名と仮 ID の対応表等の削除情報等が漏えい等した場合には、削除情報等の安全管理措置を講ずる義務（法第 41 条第 2 項）や仮名加工情報である個人データの安全管理措置を講ずる義務（法第 23 条）の履行の観点から、原則として、当該仮名加工情報に含まれる仮 ID を振り直すこと等により仮名加工情報を新たに作り直す等の措置を講じることが必要となる。

４２

（別表 1）削除情報等の安全管理で求められる措置の具体例
講じなければならない措置

具体例①削除情報等を取り扱う者の権限

・削除情報等の安全管理措置を講ずるための組織体制

及び責任の明確化の整備（規則第 32 条第 1 号）
②削除情報等の取扱いに関する規・削除情報等の取扱いに係る規程等の整備とこれに従っ

程類の整備

た運用

及び当該規程類に従った削除情報

・従業者の教育等の適切な取扱い・削除情報等の取扱状況を確認する手段の整備並びに削除情報等の取扱状況の評・削除情報等の取扱状況の把握、安全管理措置の評

価及びその結果に基づき改善を図る

価、見直し及び改善ために必要な措置の実施（規則第 32 条第 2 号）
③削除情報等を取り扱う正当な権・削除情報等を取り扱う権限を有しない者による閲覧等

限を有しない者による削除情報等のの防止取扱いを防止するために必要かつ適・機器、電子媒体等の盗難等の防止

切な措置の実施

・電子媒体等を持ち運ぶ場合の漏えいの防止（規則第 32 条第 3 号）

・削除情報等の削除並びに機器、電子媒体等の廃棄・削除情報等へのアクセス制御
・削除情報等へのアクセス者の識別と認証
・外部からの不正アクセス等の防止・情報システムの使用に伴う削除情報等の漏えいの防止

削除情報等とは、仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符
号並びに法第 41 条第 1 項により行われた加工の方法に関する情報をいう。安全管理措置の対象となる削除情報等は、当該情報等を用いて仮名加工情報の作成に用いられた個人情報を復元することができる
ものに限られるため、「氏名を削除した」や、「住所を都道府県レベルに加工した」、「年齢を 10 歳刻みにした」
といった元の個人情報を復元できるものではない加工の方法に関する情報は、安全管理措置の対象とはならない（Q&A14-10、14-11）。
ガイドラインに記載されているように、削除情報等の漏えいを防止するための措置とは、対象となる削除情報等が漏えいした場合における個人の権利利益の侵害リスクの大きさを考慮し、当該削除情報等の量、性質等に応じた内容とする必要がある。
削除情報等については、削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防止するために必要かつ適切な措置を講ずる必要があるため（施行規則第 32 条第 3 号）、他の事業者と共有することは原則として認められない。
他方、委託先の事業者において仮名加工情報を作成した場合においては、委託元と委託先が共同して作成したものとして、削除情報等を共有することは可能である。ただし、削除情報等を取り扱う者の権限を委託元においても明確に定めるなど、委託元も含め施行規則第 32 条に定める基準に従って適切な安全管理措置を講じる必要がある（Q14-12）。
なお、法第 41 条第９項により、仮名加工情報は、漏えい等発生時の報告義務及び本人通知義務の４３

対象外とされているが、削除情報等が個人データに該当する場合において当該削除情報等の漏えいが発生し、それが法第 26 条の要件を満たす場合は、同条に基づく報告や本人通知が必要となることに注意が必
要である。

４４

3.4

第三者提供との関係
3.4.1 第三者提供の禁止
仮名加工情報は、原則として第三者提供が禁止されている。第三者提供の禁止は、仮名加工情報が個人データであるか否かにかかわらず適用される。
法第 41 条６ 仮名加工情報取扱事業者は、第 27 条第 1 項及び第 2 項並びに第 28 条第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはならな
い。この場合において、第 27 条第 5 項中「前各項」とあるのは「第 41 条第 6 項」と、同項第 3 号
中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 29 条第 1 項ただし書中「第 27 条第 1 項各号又は第 5 項各号のいずれか（前条第 1項の規定による個人データの提供にあっては、第 27 条第 1 項各号のいずれか）」とあり、及び第 30
条第 1 項ただし書中「第 27 条第 1 項各号又は第 5 項各号のいずれか」とあるのは「法令に基づく場合又は第 27 条第 5 項各号のいずれか」とする。
法第 42 条１ 仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報（個人情報であるものを除く。次項及び第 3 項において同じ。）を第三者に提供してはならない。
２ 第 27 条第 5 項及び第 6 項の規定は、仮名加工情報の提供を受ける者について準用する。この場
合において、同条第 5 項中「前各項」とあるのは「第 42 条第 1 項」と、同項第 1 号中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、同項第 3 号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「個人情報取扱事業者」とあるのは「仮名加工情報取扱事業者」と、「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
ガイドライン 2-2-3-3 第三者提供の禁止等（法第 41 条第 6 項関係）
個人情報取扱事業者である仮名加工情報取扱事業者は、法令に基づく場合（※1）を除くほか、仮名加工情報である個人データを第三者に提供してはならない。
ただし、次の（1）から（3）までの場合については、仮名加工情報である個人データの提供先は個人情報取扱事業者である仮名加工情報取扱事業者とは別の主体として形式的には第三者に該当するものの、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、このような要件を満たす場合には、
仮名加工情報である個人データを提供することができる。
なお、法令に基づく場合又は次の（1）から（3）までのいずれかの場合における仮名加工情報である
個人データの提供については、確認・記録義務は課されない（法第 41 条第 6 項により読み替えて適用される法第 29 条第 1 項ただし書及び第 30 条第 1 項ただし書）。
（1）委託（法第 41 条第 6 項、第 27 条第 5 項第 1 号関係）
利用目的の達成に必要な範囲内において、仮名加工情報である個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該仮名加工情報である個人データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、提供主
４５

体の個人情報取扱事業者である仮名加工情報取扱事業者と一体のものとして取り扱われることに合理性があるため、委託された業務以外に当該仮名加工情報である個人データを取り扱うことはできない。
なお、提供主体の個人情報取扱事業者である仮名加工情報取扱事業者には、法第 25 条により、委託先に対する監督責任が課される（2-2-3-7（その他の義務等）参照）。
個人情報取扱事業者である仮名加工情報取扱事業者は、委託先に対する監督義務、及び仮名加工情報である個人データの安全管理措置を講ずる義務（法第 23 条）の履行の観点から、委託先が提供を受けた仮名加工情報を取り扱うに当たり、法第 41 条又は法第 42 条に違反する事態が生じることのないよう、委託先に対して、提供する情報が仮名加工情報である旨を明示しなければならない。
（2）事業の承継（法第 41 条第 6 項、第 27 条第 5 項第 2 号関係）
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る仮名加工情報である個人データが提供される場合は、当該提供先は第三者に該当しない。
また、事業の承継のための契約を締結するより前の交渉段階で、相手会社から自社の調査を受け、自社の仮名加工情報である個人データを相手会社へ提供する場合も、法第 41 条第 6 項により読み替
えて適用される法第 27 条第 5 項第 2 号に該当し、仮名加工情報である個人データを提供することができるが、当該データの利用目的及び取扱方法、漏えい等が発生した場合の措置、事業承継の交渉が不調となった場合の措置等、相手会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
ガイドライン 2-2-4-1 第三者提供の禁止等（法第 42 条第 1 項・第 2 項関係）
仮名加工情報取扱事業者は、法令に基づく場合（※1）を除くほか、仮名加工情報（個人情報であるものを除く。以下この項及び次項において同じ。）を第三者に提供してはならない。
ただし、法第 42 条第 2 項により読み替えて準用される法第 27 条第 5 項各号に定める委託、事業承継又は共同利用により仮名加工情報の提供を受ける者は、提供主体の仮名加工情報取扱事業者と一体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、法第 42条第 2 項により読み替えて準用される法第 27 条第 5 項各号に定める委託、事業承継又は共同利用による場合は、仮名加工情報を提供することができる（※2）。
（※1）「法令に基づく場合」の具体的な事例については、通則ガイドライン「3-1-5（利用目的による制限の例外）」を参照のこと。
（※2）委託、事業承継及び共同利用については、2-2-3-3（第三者提供の禁止等）を参照のこと。
仮名加工情報の第三者提供を認める場合、以下のような弊害が考えられる。
・ 仮名加工情報を取得した悪意者により識別行為が行われるリスクがあり、個人の権利利益が侵害されるリスクを高めること
・ 漏えい等発生時におけるリスクの低下を図るため、それ単体では特定の個人を識別することができな
いように加工しているにもかかわらず、第三者提供について本人に関与させるためには、あえて加工前の個人情報を復元し、特定の個人を識別することが必要となるため、むしろ漏えい等発生時におけるリスクを高めること
以上を踏まえ、仮名加工情報は、法令に基づく場合を除くほか、第三者提供は禁止されている。これは、仮名加工情報を作成する前に仮名加工情報の第三者提供に係る本人の同意を得ていた場合であっても、
４６

同様である。
ただし、委託、事業承継、又は共同利用の場合には、提供元の仮名加工情報取扱事業者と提供先の事業者を一体として取り扱うことに合理性があるため、仮名加工情報を提供することは可能である。
なお、仮名加工情報の作成の元となった個人データについては、本人の事前の同意を得て、第三者提供することは可能である（Q&A14-17）。

3.4.2 共同利用について
ガイドライン 2-2-3-3 第三者提供の禁止等（法第 41 条第 6 項関係）
（3）共同利用（法第 41 条第 6 項、第 27 条第 5 項第 3 号関係）
特定の者との間で共同して利用される仮名加工情報である個人データを当該特定の者に提供する場
合（※2）であって、次の①から⑤までの情報（※3）を、提供に当たりあらかじめ公表しているときには、当該提供先は、当該仮名加工情報である個人データを当初提供した個人情報取扱事業者である
仮名加工情報取扱事業者と一体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※4）。
仮名加工情報は、加工によりそれ自体では特定の個人を識別できないものとなっており、また、本人を識別する目的での利用や本人に連絡等をする目的での利用が禁止されていること（法第 41 条第 7 項
及び第 8 項）等を踏まえ、利用目的の柔軟な変更が許容されている（法第 41 条第 9 項）。そのため、仮名加工情報である個人データの共同利用における利用する者の範囲や利用目的等は、作成の元となった個人情報の取得の時点において通知又は公表されていた利用目的の内容や取得の経緯等にかかわらず、設定可能である。
①共同利用をする旨
仮名加工情報である個人データを共同利用する旨を公表する必要がある。
②共同して利用される仮名加工情報である個人データの項目事例）「氏名・性別・年齢・サービス利用履歴」のうち、氏名を削除し、「性別・年齢・サービス利用履歴」に関する仮名加工情報を作成して共同利用する場合の公表項目は、「性別」、「年齢」、「サービス利用履歴」である。
③共同して利用する者の範囲
仮名加工情報である個人データの「共同利用の趣旨」は、当該仮名加工情報である個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該仮名加工情報である個人データを共同して利用することである。
したがって、共同利用者の範囲については、どの事業者まで将来利用されるかが客観的に判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はない。
④利用する者の利用目的
共同して利用する仮名加工情報である個人データについて、その利用目的を全て、公表しなければならない。
なお、利用目的が仮名加工情報である個人データの項目によって異なる場合には、当該仮名加工情報である個人データの項目ごとに利用目的を区別して記載することが望ましい。
４７

⑤当該仮名加工情報である個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名「仮名加工情報である個人データの管理について責任を有する者」とは、苦情を受け付け、その処理に尽力するとともに、安全管理等仮名加工情報である個人データの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理を行う権限を有する者をいい、共同利用者のうち一事業者の内部の担当責任者をいうものではない。
（※1）「法令に基づく場合」の具体的な事例については、通則ガイドライン「3-1-5（利用目的による制限の例外）」を参照のこと。
（※2）共同利用の対象となる仮名加工情報である個人データの提供については、必ずしも全ての共同利用者が双方向で行う必要はなく、一部の共同利用者に対し、一方向で行うこともできる。
（※3）事業者が共同利用を実施する場合には、共同利用者における責任等を明確にし円滑に実施する観点から、上記①から⑤までの情報のほか、例えば、次の（ア）から（カ）までの事
項についても、あらかじめ取り決めておくことが望ましい。
（ア）共同利用者の要件（グループ会社であること、特定のキャンペーン事業の一員であること等、共同利用による事業遂行上の一定の枠組み）（イ）各共同利用者における仮名加工情報の取扱責任者、問合せ担当者及び連絡先（ウ）共同利用する仮名加工情報である個人データの取扱いに関する事項
・仮名加工情報である個人データの漏えい等防止に関する事項
・目的外の加工、利用、複写、複製等の禁止
・共同利用終了後のデータの返還、消去、廃棄に関する事項（エ）共同利用する仮名加工情報である個人データの取扱いに関する取決めが遵守されな
かった場合の措置（オ）共同利用する仮名加工情報である個人データに関する事件・事故が発生した場合の報告・連絡に関する事項（カ）共同利用を終了する際の手続（※4）共同利用か委託かは、仮名加工情報である個人データの取扱いの形態によって判断されるものであって、共同利用者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利用となるわけではなく、委託元は委託先の監督義務を免れるわけではない。
＜共同利用に係る事項の変更（法第 41 条第 6 項、第 27 条第 6 項関係）＞
仮名加工情報である個人データを共同利用する場合において、「仮名加工情報である個人データの管理について責任を有する者の氏名、名称若しくは住所又は法人にあっては、その代表者の氏名」に変更があったときは、遅滞なく、変更後の内容について公表しなければならない。また、「共同利用する者の利用目的」又は「仮名加工情報である個人データの管理について責任を有する者」を変更しようとするときは、あらかじめ、変更する内容について公表しなければならない。
なお、「共同して利用される仮名加工情報である個人データの項目」及び「共同して利用する者の範囲」について変更することは、原則として認められない（※）が、例えば次のような場合は、引き続き共同
４８

利用を行うことができる。
事例 1）共同利用を行う事業者の名称に変更があるが、共同して利用される仮名加工情報である個
人データの項目には変更がない場合
事例 2）共同利用を行う事業者について事業の承継が行われた場合（共同利用する仮名加工情報である個人データの項目等の変更がないことが前提）（※）提供に当たりあらかじめ法第 41 条第 6 項において読み替えて適用される法第 27 条第 5
項第 3 号に定める事項を公表した上で、新たな共同利用を行うことは妨げられない。
「3.4.1 第三者提供の禁止」のとおり、仮名加工情報である個人データを共同利用により他の事業者に提供することは可能である。
個人データの共同利用の趣旨は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該個人データを共同して利用することであるから、共同利用者の範囲 64の設定においては、共同して利用する者の利用目的を踏まえ、合理性が認められる範囲とする必要がある。また、既に特定の事業者が取得している個人データを他の事業者と共同して利用する場合には、当該共同利用は、社会通念上、共同して利用する者の範囲や利用目的等が当該個人データの本人が通常予期し得ると客観的に認められる範囲内である必要がある（通則ガイドライン「3-6-3 第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）」）。
仮名加工情報である個人データの共同利用の趣旨は、当該仮名加工情報である個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で、当該仮名加工情報である個人データを共同して利用することである。仮名加工情報である個人データの共同利用においては、利用する者の範囲や利用目的等は、作成の元となった個人情報の取得の時点において通知又は公表されていた利用目的の内
容や取得の経緯等にかかわらず、設定可能である。共同利用する者の範囲については、上述の仮名加工情報である個人データの共同利用の趣旨を踏まえる必要があり、また、どの事業者まで将来利用されるかが客観的に判断できる程度に明確にする必要がある。例えば、企業グループ（X グループ）に、a 事業を行う
A 社と b 事業を行う B 社の２社があるとする。それぞれの個人顧客のデータベースを X グループ内で共同利
用したい意向があるとしても、通知公表された利用目的が A 社においては「a 事業関連での利用」、B 社においては「b 事業関連での利用」であれば、一方のデータベースを他方の事業目的で利用することは、本人の同意のない目的外利用となるため、共同利用はできないことになる。これに対して、上述の共同利用の趣旨を踏まえつつ、A 社と B 社がそれぞれのデータベースに含まれる個人情報を仮名加工情報とし、その利用目
的を A 社においては、「a 事業関連」から「a 事業関連及び b 事業関連」に、B 社においては、「b 事業関連」から「a 事業関連及び b 事業関連」にそれぞれ変更する場合には、A 社と B 社は互いの仮名加工情報を共同利用することが可能となる 65。
個人データを共同利用する場合には、共同して利用される個人データの項目、共同して利用する者の範
囲、利用する者の利用目的並びに当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名をあらかじめ本人に通知し、又は本人が容易に知り得る状態に置くことが求められ（法第 27 条第 5 項第 3 号）、仮名加工情報である個人データを共同利用する場合
64「共同利用の趣旨」を踏まえ、共同利用者の範囲については、どの事業者まで将来利用されるかが客観的に判断できる程度に明確にする必要がある。当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はない。
65

なお、A 社及び B 社は仮名加工情報の変更後の利用目的（「3.3.1 利用目的との関係」を参照のこと。）と、共同利用に係る公表事項を公表しなければならない。

４９

にも、同様の情報をあらかじめ公表することが求められる（法第 41 条第 6 項、第 42 条第 2 項）。共同利用する者の利用目的を特定するにあたっては、「利用目的の特定」の趣旨が、仮名加工情報である個人
データを共同して取り扱う者が、当該データがどのような事業の用に供し、どのような目的で利用するかについて、本人の予測を可能とすることであることに鑑み、本人が、自らに係る仮名加工情報がどのように取り扱われることとなるか、利用目的から合理的に予測・想定できるよう、できる限り利用目的を特定しなければならない。
また、事業者が単独で仮名加工情報を取り扱う場合と同様に、本人を識別する目的での利用や本人に連絡等をする目的での利用の禁止等の規律がかかる（「3.3.2 識別行為の禁止」、「3.3.3 本人への連絡等の禁止」も参照のこと。）。
なお、複数の共同利用者が、自ら作成した仮名加工情報を共同利用により相互に提供する場合、共同利用者は、一事業者で取り扱うことができる仮名加工情報データべース等より多くのデータを含む仮名加工
情報データベース等を取り扱うことができる。「3.3.6 安全管理措置について」で述べたとおり、仮名加工情報の安全管理措置は、仮名加工情報の取扱状況（取り扱う仮名加工情報の性質及び量を含む。）等に応じたものである必要があることから、取り扱う仮名加工情報の項目が自社では取得し得ない項目も含めて増加し、サンプル数も膨大となり、これにより仮名加工情報の漏えいが発生した場合に本人が被る権利利益の侵害の程度が大きくなるリスクがある場合には、当該リスクに応じたより高度な安全管理措置を講ずる必要がある。また、仮名加工情報の漏えいが発生した場合に本人が被る権利利益の侵害を低減する観点からも、本人到達性のある記述等や共用性のある記述等の削除等、利用目的を達成するために必要最小限の情報への加工を行うことが重要であることは、事業者が単独で仮名加工情報を取り扱う場合と同様である。
【共同利用により提供された仮名加工情報を特定の個人ごとに突合する場合】
複数の共同利用者が、自ら作成した仮名加工情報を共同利用により相互に提供する場合、ある共同利用者において、提供を受けた仮名加工情報と自己が保有する仮名加工情報をそれぞれの仮名加工情報に共通して含まれる記述等を用いて特定の個人ごとに突合することが考えられる。
共同利用により提供を受けた仮名加工情報と自己が保有する仮名加工情報に含まれる共通の記述等を選別して、仮名加工情報同士を特定の個人ごとに突合する場合、当該特定個人の情報が集積すること
で、それらを突合した仮名加工情報のみで特定の個人を識別できる状態となり、識別禁止義務に抵触する可能性があることに留意する必要がある（「3.3.2 識別行為の禁止」も参照のこと。）。単一事業者内で複数の仮名加工情報を突合する場合とは異なり、仮名加工情報同士を突合した時に特定の個人を識別してしまうことのないよう作成元の個人情報のどの項目をどのようなレベルで加工するかについて予め統一した基準を定めておくことが容易でない場合があることに留意が必要である。
また、自らが作成した仮名加工情報を共同利用により別の事業者に提供し、当該別の事業者において、
当該仮名加工情報と当該別の事業者が作成した別の仮名加工情報とを突合した上で用いることを、利用目的から合理的に予測・想定できるようにしておくことが重要である。
なお、氏名を仮ＩＤに置き換えた場合における置き換えアルゴリズムと当該アルゴリズムに用いられる乱数
等のパラメータの組合せ等の仮ＩＤの作成方法に関する情報は、削除情報等に該当するため、安全管理措置の一環として、削除情報等を取り扱う権限を有しない者による取扱いを防止するために必要かつ適切な措置を講ずることが求められる（法第 41 条第 2 項、施行規則第 32 条第 3 号）。そのため、仮名加
工情報の共同利用の場面において、その情報を用いて当該仮名加工情報の元となった個人情報を復元できるような仮ＩＤの作成方法に関する情報を他の共同利用者と共有することは、原則として認められない
５０

（削除情報等の取扱いについては、「3.3.7 削除情報等の安全管理措置」も参照のこと。）。66

66

なお、削除情報等の安全管理措置義務が適用されるのは「仮名加工情報を作成したとき」であるから、仮名加工情報の作成前の段

階で、仮ＩＤの作成方法に関する情報を他の事業者と共有することが、直ちに同項違反となるわけではないが、同項の趣旨に鑑み、仮名加工情報の作成前の段階であっても、これを共有しないことが望ましい。仮に、仮名加工情報の作成前の段階で、仮 ID の作成方法に関する情報を他の事業者と共有することがあったとしても、仮名加工情報の作成後は削除情報等を他の事業者が有している状態となる
ため、共有している全ての事業者において、直ちに当該作成方法に関する情報を削除する等の措置を講じなければならない。

５１

（参考）
これまで述べてきた仮名加工情報作成時の考え方を、項目ごとに整理したものが以下の図表 3-5 である。
図表 3-5 仮名加工情報作成時の考え方
項目

仮名加工情報作成時の考え方

氏名、顔画像

単体で特定の個人を識別することができるため、全部又は一部を削除しなければならない。

住所、生年月日、性別組合せで特定の個人を識別することができる記述等についてはその組合せが特定の個人を識別することができる記述にならないように、記述等の全部又は一部を削除しなければならない。

旅券番号、運転免許証番号、個人

個人識別符号であるため、全部削除しなければならない。

番号
クレジットカード番号、送金や決済機

不正に利用されることにより個人の財産的被害が生じるおそれが類型的能のあるウェブサービスのログイン ID・に高い記述等であるから、削除しなければならない。

パスワード
口座番号、クレジットカード番号の下「不正に利用されることにより財産的被害が生じるおそれがある記述等」に４桁は該当しないと考えられるが、その部分を何らかの分析等に利用することは一般的に想定されず、基本的に削除又は置換することが望ましい。

携帯電話番号や電子メールアドレ 本人への連絡等の禁止義務に抵触する取扱いを未然に防止する観点かス、SNS 等の ID、広告識別子やら、仮名加工情報の作成に当たって削除するか、連結符号として用いる

Cookie ID 等その他の本人到達性 際であっても置き換えをすることが望ましい。
のある記述等であり多数の事業者に

また、漏えい時の個人の権利利益の侵害リスクを低減する観点からは、おいて取得されている共用性のある 共用性のある記述等は削除するか、連結符号として用いる際であっても記述等置き換えをすることが望ましい。

業界横断型ポイントカード ID その他 漏えい時の個人の権利利益の侵害リスクを低減する観点からは、共用性の多数の事業者において取得されて のある記述等は削除するか、連結符号として用いる際であっても置き換えいる共用性のある記述等をすることが望ましい。

５２

4. 匿名加工情報
4.1

匿名加工情報とは
4.1.1 匿名加工情報を利用するアドバンテージ
匿名加工情報の制度は、個人情報を特定の個人を識別できないように加工した情報について、一定のルールの下で本人の同意を得ることなく目的外利用及び第三者提供を可能とすることにより、事業者間におけるデータ取引やデータ連携を含む個人情報の利活用を促進しようとするものであり、新事業や新サービスの創出、ひいては、国民生活の利便性の向上につながることが期待される。
匿名加工情報については、法第 2 条第 6 項で定義が示されるとともに、その取扱いに関するルールについては、法第 43 条～第 46 条で規定されている。これらのルールを守り匿名加工情報を作成し取り扱うことにより、個人情報取扱事業者は法的枠組みの下で本人の同意を得ることなく、特定された利用目的外での利用や第三者への提供が安定的に可能となるものであり、匿名加工情報取扱事業者は幅広く様々な種類の匿名加工情報を入手して利用することが可能となるものである。
また、匿名加工情報の加工基準及びその適正な取扱いについて、第三者機関である個人情報保護委
員会が一元的に最低限の基準を示し、認定団体等が個人情報保護指針等により具体的な自主ルールを策定し対象事業者にその遵守を促すこと等により、国民にとっても安心できる形で適正な個人情報の利用が確保されることが期待される。
匿名加工情報の利活用による事例として、例えば、① ポイントカードの購買履歴や交通系 IC カードの乗降履歴等を複数の事業者間で分野横断的に利活用することにより、新たなサービスやイノベーションを生み出す可能性② 医療機関が保有する医療情報を活用した創薬・臨床分野の発展や、カーナビ等から収集される走行位置履歴等のプローブ情報を活用したより精緻な渋滞予測や天候情報の提供等により、国民生活全体の質の向上に寄与する可能性等が期待されている 67。

4.1.2 匿名加工情報の定義
匿名加工情報は、法において次のように定義されており、また、ガイドラインにおいて次のように解説している。
法第 2 条第 6 項
この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
一

第 1 項第 1 号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二

第 1 項第 2 号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

67

2015 年 5 月 8 日衆議院・内閣委員会における政府答弁。

５３

ガイドライン 3-1 匿名加工情報（法第 2 条第６項関係）「匿名加工情報」とは、個人情報を個人情報の区分に応じて定められた措置を講じて特定の個人を識別することができないように加工して得られる個人に関する情報であって、当該個人情報を復元して特定の個人を再識別することができないようにしたものをいう。
法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別できるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」である個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、特定の個人を識別することができなくなるように当該個人情報に含まれる氏名、生年月日その他の記述等を削除することを意味する。
法第 2 条第 1 項第 2 号に該当する「個人識別符号が含まれる」個人情報の場合には、「特定の個人を識別することができないように個人情報を加工」とは、当該個人情報に含まれる個人識別符号の全部を特定の個人を識別することができなくなるように削除することを意味する（この措置を講じた上で、まだなお法第 2 条第 1 項第 1 号に該当する個人情報であった場合には、同号に該当する個人情報としての加工を行う必要がある。）。
「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない方法」とは置き換えた記述から、置き換える前の特定の個人を識別することとなる記述
等又は個人識別符号の内容を復元することができない方法である。
なお、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。匿名加工情報に求められる「特定の個人を識別することができない」という要件は、あらゆる手法によって特定することができないよう技術的側面から全ての可能性を排除することまでを求めるものではな
く、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により特定できないような状態にすることを求めるものである。
また、「当該個人情報を復元することができないようにしたもの」とは、通常の方法では、匿名加工情報から匿名加工情報の作成の元となった個人情報に含まれていた特定の個人を識別することとなる記
述等又は個人識別符号の内容を特定すること等により、匿名加工情報を個人情報に戻すことができない状態にすることをいう。
「当該個人情報を復元することができないようにしたもの」という要件は、あらゆる手法によって復元することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、
一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により復元できないような状態にすることを求めるものである。
匿名加工情報を作成するときは、法第 43 条第 1 項に規定する規則で定める基準に従って加工する必要があり、法第 2 条第 6 項に定める措置を含む必要な措置は当該規則で定めている（匿名加工情報の作成に必要な加工義務については、3-2-2（匿名加工情報の適正な加工）参照）。
５４

なお、「統計情報」は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。したがって、統計情報
は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、規制の対象外となる。
匿名加工情報は、個人情報から作成されるものであり、特定の個人を識別することができず、かつ、元とな
る個人情報を復元することができない、個人に関する情報である。個人に関する情報であるということは、すなわち情報の単位としては一人ひとりに対応した情報であることが許容されるものである 68。なお、匿名加工
情報の集合体としては、法第 16 条第 6 項において、「匿名加工情報データベース等」という言葉が定義されている 69。
4.1.2.1「特定の個人を識別することができない」とはガイドラインにも記載されているように、法において「特定の個人を識別することができる」とは、情報単体又は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至ることができるかどうかによるものである。匿名加工情報に求められる「特定の個人を識別することができない」という要件は、あらゆる手法によって特定することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により特定できないような状態にすることを求めるものである。

4.1.2.2「当該個人情報を復元することができないようにしたもの」とはガイドラインにも記載されているように、「当該個人情報を復元することができないようにしたもの」とは、通常の方法では、匿名加工情報から匿名加工情報の作成の元となった個人情報に含まれていた特定の個人を識別することとなる記述等又は個人識別符号の内容を特定すること等により、匿名加工
情報を個人情報に戻すことができない状態にすることをいう。
「当該個人情報を復元することができないようにしたもの」という要件は、あらゆる手法によって復元することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、
一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により復元できないような状態にすることを求めるものである。
上記のとおり、「特定の個人を識別することができない」及び「復元することができないようにしたもの」の何れも一般人及び一般的な事業者の能力や手法等を基準として判断されるものであり、一般人において想定されないような手法や、一般的に入手できないような外部情報を利用したりする等のあらゆる手法によって特定や復元を試みたとしてもできないというように、技術的側面から全ての可能性を排除することまでを求めるもの
68

パーソナルデータに関する検討会「技術検討ワーキンググループ報告書」（2013 年 12 月）にある「非識別非特定情報」（一人ひとりが識別されない（かつ個人が特定されない）状態の情報）だけでなく、「識別非特定情報」（一人ひとりは識別されるが、個人が特定されない状態の情報）も匿名加工情報に該当する場合があると考えられる。
69

なお、後述のとおり法第 43 条ないし第 46 条は匿名加工情報データベース等を構成する匿名加工情報に対する規律である。

５５

ではない。
4.1.2.3

一部の情報が復元できた場合について「当該個人情報を復元」とは、特定の個人の識別につながる情報が復元されることを指す。つまり、
匿名加工情報から元の個人情報を全て復元することだけではなく、一部ではあっても元の個人情報の本人を特定し得る情報が復元されることも「復元」に該当する。
一方、特定の個人の識別につながらないような部分の情報の復元については、ここでいう「復元」には当たらない。例えば、匿名加工情報の作成の際に、元の個人情報から「電話番号」の情報の項目が全部削除されている場合に、匿名加工情報に含まれている郵便番号や居住エリア（市町村名）の情報に基づいて、電話番号の市外局番を復元することも想定し得る。ただし、その市外局番を復元できたことをもって特定の個人の識別ができる程度に復元されたりするものでなければ、「当該個人情報を復元」には該当しないと考えられる。
4.1.2.4「復元することのできる規則性を有しない方法により他の記述等に置き換えること」とは特定の個人を識別することができないように個人情報から匿名加工情報への加工を行う際には、必要に応じて対象となる記述等を削除することのほか、置き換えられた記述等から元の記述等へ戻すことができない方法（復元することのできる規則性を有しない方法）により他の記述等へ置き換えることも可能である。
ここで「復元することのできる規則性を有しない方法」とは、あくまで、置き換え後の記述等から元の個人情報の記述等への変換の規則性を有しない方法を意味し、記述等を置き換えるための規則性を有しないことまで求めるものではない。

4.1.3 匿名加工情報を取り扱う上での制約
匿名加工情報（匿名加工情報データベースを構成するものに限る）を作成し、それを取り扱うときには、
個人情報取扱事業者は法第 43 条の規定を遵守する必要がある。匿名加工情報を作成する個人情報取扱事業者としては、法第 43 条第 1 項の適正加工義務のほか、加工方法等の情報の漏えいを防止するための安全管理措置義務 70や匿名加工情報を作成した場合 71及び匿名加工情報を第三者に提供する場
合の公表義務 72、識別行為の禁止義務等 73がかかることになる。
また、他の事業者が個人情報を加工して作成した匿名加工情報の提供を受けてこれを事業の用に供している匿名加工情報取扱事業者は法第 44 条～第 46 条の規定を遵守する必要がある。匿名加工情報の提供を受ける匿名加工情報取扱事業者は、識別行為の禁止義務 74、匿名加工情報の安全管理措置
等の努力義務 75及び更なる第三者提供を行う場合の公表義務 76がかかることになる。なお、匿名加工情報を作成した個人情報取扱事業者が当該匿名加工情報に係る匿名加工情報データベース等を事業の用70

法第 43 条第 2 項

71

法第 43 条第 3 項

72

法第 43 条第 4 項

73

法第 43 条第 5 項

74

法第 45 条75

法第 46 条76

法第 44 条５６

に供する場合は、当該個人情報取扱事業者は匿名加工情報取扱事業者にも該当するが、法第 44 条～
第 46 条は、「自ら個人情報を加工して作成した匿名加工情報」以外の匿名加工情報の取扱いに当たって生じる義務であるため、法第 44 条～第 46 条の義務の対象とはならない（ただし、個人情報取扱事業者
が自ら個人情報を加工して作成した匿名加工情報を取り扱う際には法第 43 条の規定が適用される。）。
この法第 43 条～第 46 条の関係を図にしたものが、図表 4-1 である。
図表 4-1 匿名加工情報の作成者・受領者が遵守すべき規定

4.1.4 匿名加工情報に関する留意点
4.1.4.1

統計情報について個人情報と匿名加工情報は、それぞれ法第 2 条第 1 項及び第 6 項の定義にあるように、「個人に関する情報」である。一方、「統計情報」は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質等を数量的に把握するものである。
ガイドライン「3-1-1 匿名加工情報（法第 2 条第 6 項関係）」では「統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではな
いため、規制の対象外となる」と記載している。したがって、適切に加工された統計情報は、個人情報、
個人関連情報、仮名加工情報、匿名加工情報のいずれにも該当しないものである 77。
ただし、例えば、統計情報の作成の過程において、ある項目の値を所定範囲ごとに区切る場合、その範囲の設定の仕方によってはサンプルが著しく少ない領域（高齢者、高額利用者、過疎地における位置情報等）が生じる可能性がある。このような場合については、特定の個人の情報であると識別されやすくなることもあり得る。
また、単に統計情報とされていればよいというものではなく、特定の個人との対応関係が十分に排斥できるような形で統計情報とされていることが重要である。なお、特定の個人の行動の傾向等を数量的に把握するために、当該特定の個人についての複数の情報を集計して統計情報を作成した場合は、
77

このような統計情報の例としては、個別の調査結果を集計して、統計作成者の責任の下で、統計情報として公開して一般に利用可能とされているもの、あるいは第三者に提供されているものがあり、例えば、公的統計の公表された統計表のほか、業界団体や民間調査会社等が作成する民間統計がある。

５７

当該特定の個人との対応関係が排斥された情報とはいえないので、注意を要する。
4.1.4.2

容易照合性との関係

匿名加工情報を作成した事業者は、その作成に用いた個人情報を保有しており、法第２条第１項第１号括弧書きのいわゆる「容易照合性」があるとして、作成した匿名加工情報は個人情報に該当し、個人情報の取扱いに関する各義務（法第 4 章第２節）を守らなければならないのではないか、との懸念が想定される。
匿名加工情報は、特定の個人を識別することができず、作成の元となった個人情報を復元することができないように加工したものであり、さらに、個人情報に係る本人を識別することを禁止する等の制度的な担保がなされていることから、作成の元となった個人情報を通常の業務における一般的な方法で照合することができる状態にある（すなわち容易照合性がある）とはいえず、個人情報に該当しないとされるものである。
この「特定の個人を識別することができない」の判断基準については、法第２条第１項第１号の括弧外と同様に一般人及び一般の事業者の判断力や理解力をもって行われるものであり、かつ、「復元することができない」の判断基準についても一般人及び一般の事業者の判断力や理解力をもって行われるものである。
匿名加工情報は、その立法趣旨からも、本来の利用目的外で利用する場合あるいは他の匿名加工情報取扱事業者に提供する場合等により、利用・流通過程における安全性を確保しつつ個人に関する情報の利活用を図る制度であり、個人情報に対して一定の加工及び規律を課した上で第三者提供等を可能とするものであるため、一般人及び一般の事業者における判断力や理解力を考慮した上で安全性を判断することが妥当であると考えられる。
（参考）「容易照合性」「容易照合性」とは、それ自体では特定の個人を識別することができない情報であっても、その情報を取り扱う事業者が、特別の調査を行ったり特別の費用や手間をかけたりすることなく、通常の業務における一般的な方法で、他の情報との照合が可能な状態にあることをいう。法では、このような状態にあることによって「特定の個人を識別することができることとなるもの」を個人情報に含め、保護対象としている。
「容易照合性」の判断要素としては、各情報にアクセスできる者の存否、社内規程の整備等の組織的な体制、情報システムのアクセス制御等の技術的な体制等が挙げられ、これらを総合的に勘案して「特定の個人を識別することができる」か否かが判断されるものであり、取り扱う個人情報の内容や利活用の方法等、事業者の実態に即して個々の事例ごとに判断されることとなる 78。
例えば、事業者の各取扱部門が独自に取得した個人情報を取扱部門ごとに設置されているデータ
ベースにそれぞれ別々に保管している場合において、双方の取扱部門やこれらを統括すべき立場の者
等が、規程上・運用上、双方のデータベースを取り扱うことが厳格に禁止されていて、特別の費用や手間をかけることなく、通常の業務における一般的な方法で双方のデータベース上の情報を照合することができない状態であれば、「容易に照合することができ」るとはいえないものと考えられる。一方、双方の取扱部門の間で、通常の業務における一般的な方法で双方のデータベース上の情報を照合することが78

瓜生和久編 『一問一答 平成 27 年改正個人情報保護法』（商事法務、2015 年） P13（Q8）。

５８

できる場合は、「容易に照合することができ」る場合に当たると考えられる 79。
なお、法第 2 条第１項第 1 号括弧内の容易照合性は、上記のように事業者内部における照合性を意味するものであり、これは法第４章第 2 節の個人情報取扱事業者の義務（法第 17 条～第40 条）における「個人情報」の定義において共通的に適用されるものと考えられるため、法第 27 条の第三者提供の制限においても「個人情報」 80に関する容易照合性の判断は事業者内部における照合性を意味することとなる。
また、法第２条第１項第１号括弧外の「特定の個人を識別することができる」の要件は、情報単体又は複数の情報を組み合わせて保存されているものから、社会通念上そのように判断できるもの、すなわち一般人の判断力又は理解力をもって生存する具体的な人物と情報の間に同一性を認めるに至るかどうかが判断基準となっている。

4.1.5 匿名加工情報の作成とは
匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下本レポートにおいて同じ。）
については、法第 43 条第 1 項で規定されているように、施行規則で定める基準に従って個人情報を加工することとされている。
法第 43 条第 1 項
個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。
また、「匿名加工情報の作成」については、ガイドラインでは次のように解説している。
ガイドライン 3-2-2 匿名加工情報の適正な加工（法第 43 条第１項関係）
個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る（※
1）。以下同じ。）を作成するとき（※2）は、特定の個人を識別できないように、かつ、その作成に用いる個人情報を復元できないようにするために、規則第 34 条各号に定める基準に従って、当該個人情報を加工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、当該個人情報を加工」するためには、加工する情報の性質に応じて、規則第 34 条各号に定める加工基準を満たす必要がある。
（※1）匿名加工情報の取扱いに係る義務（法第 43 条から第 46 条まで）は、匿名加工情報デー
タベース等を構成する匿名加工情報に課されるものであり、いわゆる散在情報となる、匿名加工
情報データベース等を構成しない匿名加工情報の取扱いに係る義務は課されていない。
（※2）「作成するとき」は、匿名加工情報として取り扱うために、当該匿名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは統計

79

Q&A1-18。

80

法第 27 条は「個人データ」の取扱いに関する義務であるが、「個人データ」は法第 16 条第 3 項の定義から明らかなように、法第 2

条第 1 項で定義される「個人情報」の解釈に依拠するものである。

５９

情報を作成するために個人情報を加工する場合等については、匿名加工情報を「作成するとき」には該当しない。
ガイドライン 3-2-4 匿名加工情報の作成時の公表（法第 43 条第 3 項関係）（抜粋）
個人情報取扱事業者は、匿名加工情報を作成したとき（※1）は、匿名加工情報の作成後遅滞なく（※2）、インターネット等を利用し、当該匿名加工情報に含まれる個人に関する情報の項目を公表（※3）しなければならない。
（※1）ここで「匿名加工情報を作成したとき」とは、匿名加工情報として取り扱うために、個人情報を加工する作業が完了した場合のことを意味する。すなわち、あくまで個人情報の安全管理措置の一環として一部の情報を削除しあるいは分割して保存・管理する等の加工をする場合又は個人情報から統計情報を作成するために個人情報を加工する場合等を含むものではない。
また、匿名加工情報を作成するために個人情報の加工をする作業を行っている途上であるものの作成作業が完了していない場合には、加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため「匿名加工情報を作成したとき」とは位置付けられない。
ガイドライン中に記載されているように、「匿名加工情報を作成する」とは、匿名加工情報の作成意図をもって、法で規定された匿名加工情報として取り扱うことを目的として匿名加工情報を作成するときのことを指すものである。「法で規定された匿名加工情報として取り扱う」とは、本人同意を得ないで新たな目的のために活用する場合や、第三者に提供するような場合等が想定される。
つまり、匿名加工情報を作成する意図がなく、かつ、個人情報として取り扱うことを前提にしたデータの加工については、法律上の「匿名加工情報の作成」に該当するものではないのであり、このようなデータの加工に対して、匿名加工情報に係る義務が発生するものではなく、個人情報に係る規律が適用される。かかるデータの加工としては、主として、次のようなケースが該当する。
（1） 社内での安全管理上、氏名等を削除して扱うデータ
事業者が個人情報を取り扱う中で、ユーザーの傾向やマーケット全体の分析等を行うに当たって、安全管
理上、氏名等、分析に必要のない個人情報を削除するケースがよくある。また、その分析を他の事業者に委託する場合にも、一部の情報を削除して提供する場合も想定される。
このような扱いについては、匿名加工情報の作成意図はなく、個人情報として引き続き取り扱う前提である場合には、法律上の「匿名加工情報の作成」には該当しない。
（2） 統計情報を作成するために個人情報を加工したデータ取得した個人情報の利用態様の一つとして、ユーザーの傾向分析等を行うために個人情報を加工して統計情報を作成することが想定される。
こういった統計情報を作成する際に、個人情報のデータセットからそのまま集計表を作成することで統計情報を作成する場合だけでなく、一旦、個人情報から氏名等を削除するとともに、住所や年齢等の項目を一
定のカテゴリーに分類（例︓東京都千代田区→東京都、25 歳→20 代等）した上で集計して統計情報を作成することも想定される。
このような個人情報から適切な加工を施して統計情報を作成する作業の途上で生成される加工データに６０ついては、匿名加工情報の作成意図はないことから、法律上の「匿名加工情報の作成」には該当しない。
（3） 匿名加工情報を作成する途上で発生するデータ
匿名加工情報を作成する際には、データとしての有用性や再識別リスク 81の評価等に伴い、複数の匿名加工手法を試行したりノイズの量や情報の丸めの程度等のパラメータを変更したりする等、匿名加工処理を何度もやり直したり、加工方法を調整しながら一連の匿名加工情報を作成することも想定される。
ガイドラインにもあるように、匿名加工情報を作成するために個人情報の加工をする作業を行っている途
上であるものの作成作業が完了していない場合には、加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため、法律上の「匿名加工情報を作成したとき」には位置付けられないこととなる。
最終的に匿名加工情報とするための加工作業が完了したことをもって「匿名加工情報を作成」したことになり、匿名加工情報の作成・第三者提供に係る公表義務や安全管理措置等を履行するとともに、匿名加工情報として取り扱うことが可能となる。

81

当該匿名加工情報の作成に用いられた個人情報に係る本人が識別されるリスク。

６１

【行政機関等匿名加工情報と行政機関等における匿名加工情報の取扱いについて】
令和 3 年 5 月 19 日に公布されたデジタル社会の形成を図るための関係法律の整備に関する法律（令和 3年法律第 37 号）第 50 条及び第 51 条に基づく法改正により、行政機関の保有する個人情報の保護に関する法律（平成 15 年法律第 58 号）に規定されている「行政機関非識別加工情報」及び独立行政法人等の保有する個人情報の保護に関する法律（平成 15 年法律第 59 号）に規定されている「独立行政法人等非識別加工情報」に相当するものとして「行政機関等匿名加工情報」に関する規定が設けられた 82。また、地方公共団体の機関及び地方独立行政法人には、行政機関等匿名加工情報の提供制度（定期的な提案募集）について、国と同じ規律が適用されることとなったが、経過措置として、当分の間は都道府県及び地方自治法第 252 条の 19
第 1 項の指定都市について提案募集を義務付けることとし、他の地方公共団体等は任意で提案募集を実施することとされた。
行政機関等匿名加工情報は、法第 60 条第 3 項に規定する保有個人情報を加工して得られる匿名加工情報である。行政機関等匿名加工情報を作成するときは、施行規則で定める基準に従うこととされており（法第114 条第 1 項）、その基準については施行規則第 62 条で以下のとおり規定されている。
施行規則第 62 条
法第 114 条第 1 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
一 保有個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二 保有個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
三 保有個人情報と当該保有個人情報に措置を講じて得られる情報とを連結する符号（現に行政機関等において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該保有個人情報と当該保有個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
四 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
五 前各号に掲げる措置のほか、保有個人情報に含まれる記述等と当該保有個人情報を含む個人情報フ
ァイルを構成する他の保有個人情報に含まれる記述等との差異その他の当該個人情報ファイルの性質を勘案し、その結果を踏まえて適切な措置を講ずること。
上記の加工に際しては、本レポートで示した加工の考え方も参考にできる。
行政機関等匿名加工情報の提供や利用については、匿名加工情報とは異なる規律が適用されるため、個人情報の保護に関する法律についてのガイドライン（行政機関等編）等も参照する必要がある。
また、行政機関等が行政機関等匿名加工情報に該当しない匿名加工情報を取り扱うにあたっては、第三者提供時の公表義務（法第 121 条第 1 項）、識別行為の禁止（同条第 2 項）及び安全管理措置（同条第 382

なお、「行政機関非識別加工情報」及び「独立行政法人等非識別加工情報」は、近年の情報通信技術の進展により、いわゆるビッ

グデータの収集・分析が可能となる中、国の行政機関・独立行政法人等の保有する個人情報について、個人情報の保護を図りつつ適正かつ効果的な利活用を推進していくため、平成 28 年に改正された行政機関個人情報保護法及び独立行政法人等個人情報保護法により新設された制度である。

６２項）の義務が課される。これらの義務については、本レポートで示した考え方も参考にすることができる。

６３

4.2

匿名加工情報の作成に当たって求められる加工
4.2.1 匿名加工情報の加工基準（施行規則第 34 条）について
法第 43 条第 1 項では、匿名加工情報を作成するに当たっては、施行規則で定める基準に従うこととされており、その基準については、施行規則第 34 条で規定されている。施行規則第 34 条は全 5 号で構成されており、匿名加工情報を作成する際は、各号を選択的に講ずるのではなく、各号全ての措置を行う必要がある（ただし、該当する情報がない場合は、この限りではない）。
4.2.1 においては、施行規則第 34 条各号に規定する措置について、その具体的な手法を検討する。
4.2.1.1

第 1 号（特定の個人を識別することができる記述等の削除）

施行規則第 34 条第 1 号
個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ガイドライン 3-2-2-1 特定の個人を識別することができる記述等の削除
個人情報取扱事業者が取り扱う個人情報には、一般に、氏名、住所、生年月日、性別の他、様々な個人に関する記述等が含まれている。これらの記述等は、氏名のようにその情報単体で特定の個人を識別することができるもののほか、住所、生年月日など、これらの記述等が合わさることによって特定の個人を識別することができるものもある。このような特定の個人を識別できる記述等
から全部又はその一部を削除するあるいは他の記述等に置き換えることによって、特定の個人を識別することができないよう加工しなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法でなければならない（※）。例えば、生年月日の情報を生年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。
【想定される加工の事例】
事例 1）氏名、住所、生年月日が含まれる個人情報を加工する場合に次の 1 から 3 までの措置を講ずる。
1）氏名を削除する。
2）住所を削除する。又は、○○県△△市に置き換える。
3）生年月日を削除する。又は、日を削除し、生年月に置き換える。
事例 2）会員 ID、氏名、住所、電話番号が含まれる個人情報を加工する場合に次の 1、2 の措置を講ずる。
1）会員 ID、氏名、電話番号を削除する。
2）住所を削除する。又は、○○県△△市に置き換える。
（※）仮 ID を付す場合には、元の記述を復元することのできる規則性を有しない方法でなければならない。
例えば、仮にハッシュ関数等を用いて氏名・住所・連絡先・クレジットカード番号のように個々人に固有の記述等から仮 ID を生成しようとする際、元の記述に同じ関数を単純に用６４

いると元となる記述等を復元することができる規則性を有することとなる可能性がある場合には、元の記述（例えば、氏名＋連絡先）に乱数等の他の記述を加えた上でハッシュ関数等を用いるなどの手法を検討することが考えられる。なお、乱数等の他の記述等を加えた上でハッシュ関数等を用いるなどの手法を用いる場合、匿名加工情報の作成後に、仮 ID への置き換えに用いたハッシュ関数等と乱数等の他の記述等の組み合わせを保有し続けることは認められないことについて、3-2-3-1（加工方法等情報の安全管理措置）を参照のこと。
施行規則第 34 条第 1 号は、法第 2 条第 6 項第 1 号の規定に基づき、法第２条第 1 項第１号に該当する個人情報について、特定の個人を識別することができる記述等の全部又は一部を削除する（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。） 83措置を定めるものである。
「3.2.1.1 第 1 号（特定の個人を識別することができる記述等の削除）」における解説は、規則第34 条第 1 号により講ずべき措置についても妥当するため、「3.2.1.1 第 1 号（特定の個人を識別することができる記述等の削除）」を参照されたい。
【仮 ID への置き換えについて】
匿名加工情報の作成においては、情報単体で特定の個人を識別可能とする情報を削除することのほか、情報単体で特定の個人を識別可能な情報又はそれら組合せ（例えば、氏名＋連絡先）を、元の個人情報を復元できる規則性を有しない方法により置き換えることも認められている。この際、元の個人情報を符号や番号等で置き換えた場合には、当該符号等は仮 ID と捉えることができる。
仮 ID を付す方法としては、例えば、入力情報それぞれに対して、所定のアルゴリズムにより出力される数値や記号列を付番するほか、氏名やサービス ID 等の一意の情報を削除した後にランダムに番号や記号等を付番する処理等の手法が想定される。また、匿名加工情報の加工の要件として、「復元できる規則性を有しないように置き換え」る必要があるため、仮 ID を用いる場合には、元の個人情報を復元することができないように仮 ID を生成する必要がある。仮 ID による置き換えを行う場合は、その際に使用する手法の長所・短所を把握した上で行うことが必要である。
なお、後述の 4.3.1 のとおり氏名等を仮 ID に置き換えた場合における氏名と仮 ID の対応表や氏名等の仮 ID への置き換えに用いた乱数等のパラメータは、匿名加工情報の作成後は破棄しなければならないことから、同一人物に係る匿名加工情報を複数回にわたり作成する場合、同じ仮 ID を付与することは基本的に想定されない。
また、仮 ID が不要である場合には、再識別リスクを低減する意味からも、仮 ID への置き換えを行
わず、仮 ID の作成の元となる記述等の削除をすることが望ましい。
【ハッシュ関数による置き換えについて】
仮 ID に置き換える処理を行う際には、元の記述が復元されたり推定されたりしないようにする必要があり、その代表的な処理方法としてハッシュ関数を用いたハッシュ化がある。ハッシュ化とは、元のデータから一定の計算手順に従ってハッシュ値と呼ばれる規則性のない固定長の値を求め、その値によって元83

法第 2 条第 6 項第 1 号で「・・・記述等の一部を削除」とあるのに対して、ここで「・・・記述等の全部又は一部を削除」となっているのは、例えば、特定の個人を識別することができる情報が氏名しかない場合等については、記述等を削除する場合に全部を削除することも当然にあり得るため、そのことを単に明確に示したものである。

６５

のデータを置き換える方法であり、ハッシュ関数と呼ばれる特殊な計算手順により、任意長のデータから固定長の一見ランダムなハッシュ値を得ることができる。
同じデータからは常に同じハッシュ値が得られる一方で、少しでもデータが異なると全く類似しない別のハッシュ値が生成され、またハッシュ値から元のデータを割り出したり、同じハッシュ値を持つ別のデータを生成したりすることは極めて難しいことから、匿名加工の際の仮 ID の生成方法の一つとして使用されることが多い。
なお、ハッシュ関数のアルゴリズムについては、安全性が確立されたものを利用することが望ましいと考えられるところ、例えば、CRYPTREC が暗号技術を評価・検討し、安全性及び実装性能ともに優れたものを選択した結果に基づき作成された電子政府推奨暗号リストにおいて挙げられているハッシュ関数を利用することも推奨される。
さらに、ハッシュ化による仮 ID 生成に当たっては、ハッシュ関数への入力情報を（氏名＋秘密の文
字列）、（氏名＋電子メールアドレス＋秘密の文字列）といったように、十分な長さの秘密の文字列を付加した上でハッシュ化をすること（いわゆる鍵付きハッシュ関数の利用）が望ましい。秘密の文字
列はランダムなデータを用いることと、当該秘密の文字列が削除情報等に当たることにも留意が必要である 8485。
4.2.1.2

第 2 号（個人識別符号の削除）

施行規則第 34 条第 2 号
個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ガイドライン 3-2-2-2 個人識別符号の削除
加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別符号単体
で特定の個人を識別できるため、当該個人識別符号の全部を削除又は他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。
（参考）個人識別符号の概要
個人識別符号とは、その情報単体から特定の個人を識別することができるものとして政令で定めるものをいい、次のいずれかに該当するものである（個人識別符号の定義の詳細については、
通則ガイドライン「2-2（個人識別符号）」参照）。
（1）特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号
・ 生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋）をデジタ
ルデータに変換したもののうち、特定の個人を識別するに足りるものとして規則で定める基準に適合するもの（政令第 1 条第 1 号及び規則第 2 条）84

Article 29 Data Protection Working Party（EU 第 29 条作業部会）によるオピニオン“Opinion 05/2014 on

Anonymisation Techniques“においても、「入力値によるリプレイが可能であること、ブルート・フォース攻撃の問題があること等から、十分に大きく予測困難な鍵を用いた鍵付きハッシュ関数を利用する等の配慮が好ましい」旨についての記載がある。
85

匿名加工情報の作成後に、仮 ID への置き換えに用いたハッシュ関数と鍵となる乱数等のパラメータの組み合わせを保有し続けることは認められないことについて、ガイドライン「3-2-3-1 加工方法等情報の安全管理措置」を参照のこと。

６６

（2）対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号
・ 旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証の番号等の公的機関が割り振る番号（政令第 1 条第 2 号から第 8 号まで、規則第 3条及び第 4 条）「3.2.1.2 第 2 号 （個人識別符号の削除）」における解説は、規則第 34 条第 2 号により講ずべき措置についても妥当するため、「3.2.1.2 第 2 号 （個人識別符号の削除）」を参照されたい。
4.2.1.3

第 3 号（情報を相互に連結する符号の削除）

施行規則第 34 条第 3 号
個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱
事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
ガイドライン 3-2-2-3 情報を相互に連結する符号の削除
個人情報取扱事業者が個人情報を取り扱う上で、例えば、安全管理の観点から取得した個人情報を分散管理等しようとするために、当該個人情報を分割あるいは全部又は一部を複製等した上で、当該個人情報に措置を講じて得られる情報を個人情報と相互に連結するための符号としてID 等を付していることがある。このような ID は、個人情報と当該個人情報に措置を講じて得られる情報を連結するために用いられるものであり、特定の個人の識別又は元の個人情報の復元につながり得ることから、加工対象となる個人情報から削除又は他の符号への置き換えを行わなければならない。
個人情報と当該個人情報に措置を講じて得られる情報を連結する符号のうち、「現に個人情報取扱事業者において取り扱う情報（※1）を相互に連結する符号」がここでの加工対象となる。具
体的には、ここで対象となる符号は、匿名加工情報を作成しようとする時点において、実際に取り扱う情報を相互に連結するように利用されているものが該当する。例えば、分散管理のための ID として実際に使われているものであれば、管理用に附番された ID あるいは電話番号等もこれに該当する。
なお、他の符号に置き換える場合は、元の符号を復元できる規則性を有しない方法でなければならない。
【想定される加工の事例】
事例 1）サービス会員の情報について、氏名等の基本的な情報と購買履歴を分散管理し、それらを管理用 ID を付すことにより連結している場合、その管理用 ID を削除する。
事例 2）委託先へ個人情報の一部を提供する際に利用するために、管理用 ID を付すことにより元の個人情報と提供用に作成した情報を連結している場合、当該管理用
ID を仮 ID（※2）に置き換える。
（※1）「現に個人情報取扱事業者において取り扱う情報」とは、匿名加工情報を作成する時点において取り扱われている情報のことを指し、これから作成する匿名加工情報は含まれない。
６７

（※2）仮 ID を付す際の注意点については、3-2-2-1（特定の個人を識別することができる記述等の削除）の（※）を参照のこと。
施行規則第 34 条第 3 号は、事業者内で、個人情報を分散管理したり、取扱いの委託等をしたりするために、分けたデータベース等を相互に連結するために割り当てられている ID 等を削除することを求めるものである。
事業者においては、個人情報を取り扱う際の安全管理の一環や事業者間における個人情報の共同利用における管理の一形態として、図表 4-2 のように個人情報のデータベースを複数に分けて管理するような場合も想定される。
図表 4-2 施行規則第 34 条第 3 号で削除を求める“符号”のイメージ

なお、ここでいう「連結する符号」とは、個人情報と当該個人情報に措置を講じて得られる情報とを相互に連結する符号であり、ID ではなくても、実務上、他の属性情報等（例えば、電話番号や電子
メールアドレス）を連結の目的で使用している場合には、当該属性情報も「連結する符号」とみなされる。
ただし、本号はあくまでも現に連結の目的で使用されている符号を対象としたものであり、それ以外の情報については、同条第 3 号による削除の対象とはされていない。
なお、同条第 3 号による削除の対象とされている符号は、現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限られるため、匿名加工情報への加工により新たに作成された符号を対象とするものではない。
4.2.1.4

第 4 号（特異な記述等の削除）

施行規則第 34 条第 4 号
特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
ガイドライン 3-2-2-４ 特異な記述等の削除
一般的にみて、珍しい事実に関する記述等又は他の個人と著しい差異が認められる記述等については、特定の個人の識別又は元の個人情報の復元につながるおそれがあるものである。そのため、
６８

匿名加工情報を作成するに当たっては、特異な記述等について削除又は他の記述等への置き換えを行わなければならない。
ここでいう「特異な記述等」とは、特異であるがために特定の個人を識別できる記述等に至り得るものを指すものであり、他の個人と異なるものであっても特定の個人の識別にはつながり得ないものは該当しない。実際にどのような記述等が特異であるかどうかは、情報の性質等を勘案して、個別の事
例ごとに客観的に判断する必要がある。
他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。例えば、特異な記述等をより一般的な記述等に置き換える方法もあり得る。
なお、規則第 34 条第 4 号の対象には、一般的なあらゆる場面において特異であると社会通念上認められる記述等が該当する。他方、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など個人情報データベース等の性質によるものは同第 5 号において必要な措置が求められることとなる。
【想定される加工の事例】
事例 1）症例数の極めて少ない病歴を削除する。
事例 2）年齢が「116 歳」という情報を「90 歳以上」に置き換える。

施行規則第 34 条第 4 号で削除が求められる「特異な記述等」とは、一般的なあらゆる場面において特異であると社会通念上認められる記述等が該当する。具体的には、ガイドラインで例示されている「超高年齢」や「症例数の極めて少ない病歴」のほか、超高身長であることや超高収入であること等、
主に個人に関する基本的な属性に係る記述等が考えられる。
「どのような情報のどこからが特異な記述や特異値になるか」ということについては、その情報の項目の性質や集団の大きさ、集団の分布の特徴等を考慮して判断されるべきものであるが、社会通念上特異であるものが対象になるため、特異であるものであっても、分布の調査結果が存在しないもの、存在したとしても一般人には知りえないものについては、本号の「特異」には該当しないものと考えられる。
なお、同条第 4 号は一般的に特異な記述等が対象となるため、加工対象となる個人情報からなる
データベース内において顕著な値である場合でも、それだけでは本号の「特異」には該当しない。加工
対象のデータベース内において顕著な値については、同条第 5 号による措置の対象となり得るものである。
4.2.1.5

第 5 号（個人情報データベース等の性質を踏まえたその他の措置）

施行規則第 34 条第 5 号
前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報デー
タベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベー
ス等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
ガイドライン 3-2-2-５ 個人情報データベース等の性質を踏まえたその他の措置
匿名加工情報を作成する際には、規則第 34 条第 1 号から第 4 号までの措置をまず講ずること
６９

で、特定の個人を識別できず、かつ当該個人情報に復元できないものとする必要がある。
しかしながら、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データ
ベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など、加工の元となる個人情報データベース等の性質によっては、規則第 34 条第 1 号から第 4 号までの加工を施した情報であっても、一般的にみて、特定の個人を識別することが可能である状態あるいは元の個人情報を復元できる状態のままであるといえる場合もあり得る。そのような場合に対応するため、上記の措置のほかに必要となる措置がないかどうか勘案し、必要に応じて、別表 2（匿名加工情報の加工に係る手法例）の手法などにより、適切な措置を講じなければならない。
なお、加工対象となる個人情報データベース等の性質によって加工の対象及び加工の程度は変わり得るため、どの情報をどの程度加工する必要があるかは、加工対象となる個人情報データベース等の性質も勘案して個別具体的に判断する必要がある。
特に、購買履歴、位置に関する情報などを含む個人情報データベース等において反復して行われる行動に関する情報が含まれる場合には、これが蓄積されることにより、個人の行動習慣が分かるよ
うな場合があり得る。そのような情報のうち、その情報単体では特定の個人が識別できるとは言えな
いものであっても、蓄積されたこと等によって特定の個人の識別又は元の個人情報の復元につながる
おそれがある部分については、適切な加工を行わなければならない。
【想定される加工の事例】
事例１）移動履歴を含む個人情報データベース等を加工の対象とする場合において、自宅や職場などの所在が推定できる位置情報（経度・緯度情報）が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、推定につながり得る所定範囲の位置情報を削除する。（項目削除／レコード削除／セル削除）
事例 2）ある小売店の購買履歴を含む個人情報データベース等を加工の対象とする場合において、当該小売店での購入者が極めて限定されている商品の購買履歴が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、具体的な商品情報（品番・色）を一般的な商品カテゴリーに置き換える。（一般化）
事例 3）小学校の身体検査の情報を含む個人情報データベース等を加工の対象とする場合
において、ある児童の身長が 170 ㎝という他の児童と比べて差異が大きい情報があり、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、身長が150cm 以上の情報について「150 ㎝以上」という情報に置き換える。（トップコーディ
ング）..
施行規則第 34 条第 5 号は、同条第 1 号～第 4 号の加工を施してもなお、「特定の個人を識別することが可能である状態あるいは元の個人情報を復元できる状態である」場合に、追加で講ずべき措置である。第 5 号は、「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース
等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案」することが必須であり、その結果、更に加工が必要と判断した場合に、追加的に措置を講ずることになる。
７０なお、ここで対象となる個人情報データベース等については、Q&A でも説明があるとおり、事業者内にある個人情報データベース全部を対象とするものではなく、匿名加工情報データベース等を構成する
匿名加工情報の作成の元となる個人情報で構成される個人情報データベース等の単位で検討することを求めるものである。
Q15-12
施行規則第 34 条第５号において、「個人情報に含まれる記述等と当該個人情報を含む個人
情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し」とありますが、ここでの「当該個人情報を含む個人情報データベース
等」については、事業者が保有する個人情報データベース等全体を勘案する必要がありますか。
A15-12
ここでの「当該個人情報を含む個人情報データベース等」とは、当該個人情報取扱事業者が匿名加工情報を作成する際に加工対象とする個人情報データベース等を想定しています。すなわち、加工対象とならない個人情報を含む全ての個人情報データベース等の性質を勘案することを求める
ものではありません。
4.2.1.5.1「個人情報に含まれる記述等と～他の個人情報に含まれる記述等との差異」「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異」とは、加工対象である個人情報からなる個人情報データ
ベース等内のある個人情報に含まれる記述と、当該データベースに含まれる他の個人情報に含まれる記述の間の差異をいう。また、これを勘案するとは、加工対象の個人情報からなる個人情報
データベース等において値や記述等が相対的に特異であることによって特定の個人の識別につながり得るかを検討することを意味する。
例えば、都心部在住の人を対象としたデータベースと地方在住の人を対象としたデータベースでは、そのデータベースに含まれる人の年齢分布や職業分布等の構成が異なることが想定される。このように、日本全国を対象とする集団の分布とは異なるデータベースでは、そのデータベース内における値や記述の特異性によって、特定の個人を識別しやすい状況が生じることが想定される。
4.2.1.5.2「その他の～適切な措置」が求められる場合

例えば、詳細な位置情報（移動履歴）を扱うデータベースや、長期間の購買情報を扱うデー
タベースは、そこに蓄積される情報から、反復して行われる行動習慣や趣味・嗜好を読み取ることが可能である。そのような履歴情報から読み取れる行動習慣等ついては、一般的には特定の個人を識別することは困難であると思われるが、特に顕著な行動習慣等については特定の個人の識別につながることもあり得る 86。
施行規則第 34 条第 5 号は、このような個人情報データベースに含まれる情報の性質に起因
86

購買履歴や移動履歴のような履歴情報については、個人の習慣的・反復的傾向が現れる可能性があり、これが異なるデータセット間における識別子として機能する可能性もある。そのようなリスクがあることを認識した上で、必要に応じて加工を行うことが望ましい。なお、匿名加工情報に関する技術検討ワーキンググループ「匿名加工情報の適正な加工の方法に関する報告書 2017 年 2 月 21 日版」においても、「同一の本人の同一の履歴を同一の提供先に複数回提供する場合には、この履歴が仮 ID として機能する可能性があることに注意すべきである」と記載されている。

７１

して生じる特定の個人の識別可能性を低減することを求めるものである。
【不変性の高い ID、多数の事業者で取得される ID 等】
不変性の高い ID として施行規則第 34 条第５号で検討するものは、個人に密接に関係しかつ当該個人が容易に変更することができない外部から観察可能な符号のうち（a）個人識別符号及び（b）それ以外の単体で個人情報になるものを除いたものをいう 87。具体的には、スマー
トフォンのように個人がある程度の期間使用しかつ日常的に携行する機器の ID 等がこれに当たる。このような不変性の高い ID は、それをキーとして他の事業者において名寄せを行い、再識別につながる可能性はあり得ることから、原則としてこれを削除することが望ましい。
さらに、携帯電話番号や電子メールアドレス、SNS 等の ID、クレジットカード番号等は、多数の事業者においてそれぞれユーザーから取得されていることを踏まえると、他の事業者が保有している
個人情報との間で識別子的な機能も有することから、部分的な削除だけでは、残った情報を起点として特定の個人の識別につながる可能性も高くなる。このように不変性の高い ID が、多数の事業者において取得されている共用性のある ID でもある場合には、一般に他の事業者においてそれをキーとする名寄せが可能であり、再識別につながる可能性のある情報と考えることができることから、原則としてこれを削除しなければならない 88。
【時刻に関する情報について】
購買履歴やクレジットカードの利用履歴、移動履歴等の情報は、基本的に詳細な時刻情報とともにデータベースに記録されるのが一般的である。
例えば、店舗情報を含む購買履歴に関するデータベースからは、ある日時に買い物をした店舗を特定することができる。一方、移動履歴に関するデータベースからも、ある日時に滞在した場所
に関する位置情報を確認することができる。この両者のデータベースを照合した場合、店舗の場所
からおおよその緯度・経度（位置情報）を推定することが可能であるため、両者のデータベースが日時分秒まで記録されている場合には、両方のデータベースに含まれる同一人物の同定を比較的容易に行うことができる可能性がある。つまり、詳細な時刻情報は、位置や場所を表す情報とセットになることで、異なるデータセット間における共通の識別子として機能し得る。
したがって、詳細な時刻情報を含むデータベースを匿名加工情報として第三者提供をする場
合には、時刻情報の必要性について確認した上で、データの性質に応じて、時刻と位置（場所）の情報の紐付けから特定の個人を識別するリスク等を低減するため、時刻情報を一定程度曖昧化したり、ノイズを加えて任意の日時や時刻に置き換えたりすることを検討する等、他のデータセッ
トに含まれる時刻情報と紐づくリスクを低減することが望ましい。
【位置情報（移動履歴）について】
一般的に、ある一時点の位置情報それ自体のみでは個人情報には該当しないものではあるが、ある個人に関する位置情報が連続的に蓄積されるとその人の移動履歴を表し得る。特に、深夜に滞在している地点や日中に滞在している地点を表す位置情報からは、その移動履歴に係る本
87

個人識別符号は施行規則第 34 条第 2 号により、それ以外の単体で個人情報となるものについては同条第 1 号により、既に削除

又は置き換えがなされている。
88

なお、匿名加工情報の作成において作成の元となった個人情報との容易照合性の有無に留意しなければならないことについては、

4.1.4.2 を参照のこと。

７２

人の自宅や勤務先等の個人に関する基本的な属性を推測することも可能である。蓄積された位
置情報や移動履歴等から自宅住所及び勤務先等の特定の個人に密接に結び付き得る情報が推定されるおそれがある場合には、当該情報等を用いて特定の個人の識別が可能となるリスクを十分考慮した上で移動履歴について加工を行うことが望ましい。
また、移動履歴は長くなるほど他人と重複する可能性が低く一意な情報となる 89という特徴のほか、都市部と地方、昼間と夜間等、環境や状況に応じて同じ範囲から取得できる位置情報の数が変わる、といった特徴もあるため、位置情報や移動履歴の性質を考慮した上で、措置を講ずることが望ましい 90。

4.2.2 匿名加工情報を作成する際に検討することが望ましい事項
匿名加工情報は、一般人及び一般的な事業者の能力や手法等を基準として「特定の個人を識別することができないように」かつ「復元されないように」加工することを求められるものであるが、匿名加工情報の作成に用いられる個人情報の性質のほか、匿名加工情報としての利用用途や再識別リスクの見積り方 91によって、加工レベルに一定の幅が生じるものと考えられる。
したがって、匿名加工情報を作成する際の加工方針を決めるに当たっては、次のような事項について検討することが望ましい。
4.2.2.1

匿名加工情報の利用形態について

匿名加工情報への加工方針を検討する際、次に列挙するような匿名加工情報の利用目的・利用形態をあらかじめ検討することは、匿名加工情報の安全性と有用性を両立するために有用と考えられる。
（１） 匿名加工情報の利用目的は何か
匿名加工情報をどのような目的で利用するかによって必要とされる項目やその情報の粒度（精度）は異なり得る。利用目的に応じて不要な項目は削除し、必要な項目の情報粒度を細かくする等、全体として安全性と有用性の両立を図る加工方法を検討することが望ましい。
（２） 第三者提供時に、データの流通範囲が限定されているか、転々流通を許容するか
例えば、契約により提供先からの二次流通を禁止する等して特定の事業者に限定して提供する
場合、提供先における匿名加工情報の利用目的を把握することが比較的容易である一方、提供先からのデータの転々流通を許容する場合、二次流通先での用途や他の情報との突合可能性について把握することが困難である。匿名加工情報が特定の会社だけに留まる場合と、制限なく流通

89

Hiroaki Kikuchi＆Katsumi Takahashi, “Zipf Distribution Model for Quantifying Risk of Re-identification fromTrajectory Data” Journal of Information Processing, Vol.24（2016） No.5, pp.816-823 では、鉄道の乗降履歴の履歴長（利用した駅の情報数）による一意性について報告されている。
90

位置情報に関しては、2014 年 7 月に総務省が公表した『位置情報プライバシーレポート～位置情報に関するプライバシーの適切な保護と社会的利活用の両立に向けて～』（https://www.soumu.go.jp/main_content/000303636.pdf）においても、位置情報の取扱いの在り方や匿名化手法の例が言及されている。
91

脅威のモデリングとリスクの定量化をして匿名化を検討するリスクベース方法論等もある（Khaled El Emam＆Luk Arbuckle 著（笹井崇司訳） 『データ匿名化手法』（オライリー・ジャパン、2015 年）ほか）。

７３

する場合では、流通先における再識別リスクが異なることは、容易に想像できる。
（３） 提供するデータの期間
1 か月間のデータに含まれる履歴情報と 1 年間のデータに含まれる履歴情報とでは、そこから読み取れる履歴情報に係る本人の行動習慣には大きな差が生じ得る。その蓄積量によって特定個
人の識別性や元の個人情報への復元性に影響するかどうかを検討することが望ましい。
また、同一の事業者に対して継続的にデータが提供される場合、当該データに含まれる記述等を用いて同一人物ごとの紐付けを行い得る。このとき、一度に提供されるデータに含まれる履歴情報の期間が短くても、結果として、データに含まれるトータルの期間が長くなる。このような場合に再識別リスクを低減する方法して、同一人物ごとの紐づけが行われないよう加工方法を工夫したり、（4）で示す対応を行ったりすることも有効である。
（４） 継続的に匿名加工情報を提供する場合
複数回にわたって匿名加工情報を提供する場合であっても、氏名等を仮 ID に置き換えた場合における氏名と仮 ID の対応表や氏名等の仮ＩＤへの置き換えに用いた乱数等のパラメータは、匿名加工情報の作成後は破棄しなければならないことから、提供の度に異なる仮 ID が割り振られることとなる。しかし、都度提供される匿名加工情報データベースにおける仮 ID が異なるものであった
としても、レコードの並びが同じであったり、提供されるデータセットが対象としている期間に重複があったりすると、データセット間の紐付けが容易となってしまう。したがって、複数回にわたって提供する匿名加工情報データベース間でレコードが紐付けられることを抑制したい場合は、レコードの並びを変更したり、データセットが対象としているデータに重複期間が生じないように加工したりすることが必要である。
また、過去に匿名加工情報を提供したことのある事業者に対して、異なる情報の項目からなる匿
名加工情報を作成して提供しようとするときは、過去に提供した匿名加工情報と照合されることによって、特定の個人が識別されたり、元の個人情報が復元されたりしないよう注意が必要である。
過去に提供した匿名加工情報と異なる情報の項目からなる匿名加工情報については、新たに作成時や第三者提供時の公表義務が発生する。
4.2.2.2

他の情報を参照することによる識別の可能性について

匿名加工情報は「特定の個人を識別することができないように」加工することが求められるが、匿名
加工情報の制度は、その流通過程における安全性を確保しつつ個人情報の利活用を図る制度であるため、一般的に入手し得る他の様々な情報と参照することによる識別の可能性を検討することが望ましい。
この検討に当たっては、4.1.2 の説明のとおり、一般人や一般的な事業者の通常の能力や取り得る手法等を基準となるが、例えば、「入手し得る情報の種類」と「情報のマッチングのしやすさ」の観点から考えることができる。
入手し得る情報の種類としては、次のようなものを想定することができる。
① 一般に広く公開、市販されている情報（例︓電話帳）② 多数の事業者がユーザー登録等により取得している情報（例︓電子メールアドレス、電話番号等）
７４

③ 関係の近い者のみが知り得る情報（例︓ SNS に掲載された情報のうち公開制限があるもの
等）
一方、情報のマッチングのしやすさについては、次のような観点から分類することができる。
(i) 情報の項目とそれに対応する記述等が整理されており、機械的なマッチングがしやすい場合(ii) 情報の項目とそれに対応する記述等が非定型であり、マッチングに複雑なアルゴリズムや機械学習等が必要な場合入手し得る情報の種類のうち、①や②については入手が容易と考えられる一方、③については、一部の関係者のみが知り得る情報であり、一般人や一般的事業者を基準として入手容易とは言い難いと考えられる。
後者のマッチングしやすさについては、匿名加工情報の要件に係る判断基準からは（i）が対象であると考えられるが、その作成時点での技術水準が考慮されるべきであり、汎用的に使用できる機械
学習ツール等が広く利用されるようになった場合には、それについても将来的に（i）に含み得る。
他の情報を参照することにより特定の個人が識別される可能性については、これらの組合せから総合的に判断することができるが、特定の個人の識別の可能性が高いと判断される場合には、匿名加工情報としての要件を満たすために、それぞれ対象となる情報の項目について、加工の程度を変更するほか、対象となるデータセットで情報の一意性を無くす等の措置を行うことが考えられる。
【他の情報を参照することによって再識別につながった事例】
次に示すケースは、一般に公開されたデータセット同士を突合したものであり、識別行為の禁止が前提となっている匿名加工情報の場合にそのまま当てはめて考えるべきものではないが、他の情報を参照
することによって再識別された典型的なケースとして、加工レベルを検討する際の参考となるものである。
（例）性別と生年月日と郵便番号（居住エリア）の組合せによって再識別につながった事例
マサチューセッツ州は医療データから氏名等を削除したデータセットを公開しており、そのデータセットには、性別、生年月日、郵便番号が含まれていた。
これに対し、既に公開されている投票者名簿とマッチングしたところ、州知事と同じ生年月日のレコー
ドが 6 人おり、うち 3 人が男性で、郵便番号から 1 人に特定された。 92

92

L.Sweeney, “k-Anonymity: A Model For Protecting Privacy” International Journal of Uncertainty, Fuzzinessand Knowledge-Based Systems, 10（5）, pp. 557-570, 2002. は、このような他の情報と照合することよって特定の個人が識別されることを防止するための匿名性の評価指標として、“k-匿名性”を提案している。

７５

図表 4-3 性別、生年月日、郵便番号により個人が特定された事例

日本の事情に関して考えると、全国の郵便番号の総数は約 12 万個であり、20 代の人の取り得る生年
月日のパターンは、約 3650 通りとなる。ここに、性別の情報（男／女）が組み合わさると、同じ郵便番号
×同じ生年月日×同じ性別を取り得る確率がいかに少ないかをイメージすることができる。
なお、情報が一意であることをもって直ちに匿名加工情報の要件を満たさないものではない。

4.2.3 匿名加工情報の作成のための参考情報
4.2.3.1

匿名加工に用いられる代表的な加工手法

個人情報の匿名加工に用いられる代表的な手法を、図表 4-4 に示す。なお、ここに示す各手法
は、一般的な加工手法を例示したものであり、その他の手法を用いて適切に加工することを妨げるものではない。
図表 4-4 代表的な加工手法
手法名
項目削除
レコード削除セル削除

解説
加工対象となる個人情報データベース等に含まれる個人情報の項目を削除するもの。例えば、年齢のデータを全ての個人情報から削除すること。
加工対象となる個人情報データベース等に含まれる個人情報のレコードを削除するもの。例えば、特定の年齢に該当する個人のレコードを全て削除すること。
加工対象となる個人情報データベース等に含まれる個人情報の特定のセルを削除するもの。例えば、特定の個人に含まれる年齢の値を削除すること。
加工対象となる個人情報に含まれる記述等について、上位概念若しくは数値に一般化置き換えること。例えば、購買履歴のデータで「きゅうり」を「野菜」に置き換えること。

トップ（ボトム）コー
ディング

加工対象となる個人情報データベース等に含まれる数値に対して、特に大きい又
は小さい数値をまとめることとするもの。例えば、年齢に関するデータで、80 歳以上の数値データを「80 歳以上」というデータにまとめること。
７６

手法名
レコード一部抽出
項目一部抽出
ミクロアグリゲーション
丸め（（ラウンディング））

解説
加工対象となる個人情報データベース等に含まれる個人情報の一部のレコードを（確率的に）抽出すること。いわゆるサンプリングも含まれる。
加工対象となる個人情報データベース等に含まれる個人情報の項目の一部を抽出すること。例えば、購買履歴に該当する項目の一部を抽出すること。
加工対象となる個人情報データベース等を構成する個人情報をグループ化した
後、グループの代表的な記述等に置き換えることとするもの。
加工対象となる個人情報データベース等に含まれる数値に対して、四捨五入等して得られた数値に置き換えることとするもの。
加工対象となる個人情報データベース等を構成する個人情報相互に含まれる記データ交換（スワッピング）
ノイズ（誤差）付加
疑似データ生成4.2.3.1.1

述等を（確率的に）入れ替えることとするもの。例えば、異なる地域の属性を持ったレコード同士の入れ替えを行うこと。
一定の分布に従った乱数的な数値等を付加することにより、他の任意の数値等へと置き換えることとするもの。
人工的な合成データを作成し、これを加工対象となる個人情報データベース等に含ませることとするもの。
ｋ-匿名性について

データの匿名性を評価する代表的な方法として、k-匿名性という評価指標がある 93。対象となるデータセット内に、同じ属性を持つデータが k 件以上存在することを「k-匿名性を満たす」といい、
k-匿名性を満たすようにデータを加工することで、特定の個人が識別される確率を k 分の 1 以下に低減させることが可能である。
L.Sweeney は、先に述べたマサチューセッツのケースにおいては、元のデータセットにある情報の項目のうち性別、生年月日、郵便番号の 3 つを、外部のデータセットと結びつくことにより特定の個
人の識別が可能な情報である準識別子（Quasi-Identifier）として、これら準識別子の情報を公開する場合には加工がされるべきとしている。
匿名加工情報は、上記ケースのように必ずしも一般公開されるものではないから、上記で準識別子とされている情報の項目について、匿名加工情報データベース等との関係でｋ≧２となるように加工することは必ずしも求められない 94。ただし、匿名加工情報が第三者に提供される態様や利用形態を考慮した上で、必要に応じてこのような考え方を取り入れることが望ましい。
4.2.3.1.2

レコード一部抽出について

レコード一部抽出とは、加工対象となる個人情報データベース等に含まれる個人情報（レコード）
を一定の割合（あるいは一定の個数）抽出することである。いわゆるサンプリング 95もこの手法に含
まれる。

93

L.Sweeney, “k-Anonymity: A Model For Protecting Privacy”, International Journal of Uncertainty, Fuzzinessand Knowledge-Based Systems, 10（5）, pp. 557-570, 2002.
94

なお、作成の元となった個人情報との容易照合性について検討する必要があることは、4.1.4.2 を参照のこと。

95

母集団の対象となる個人情報データベース等から、一部のレコードを無作為に抽出すること。

７７

この手法は、それぞれの個人情報に対して加工を施す手法ではないため、情報自体の識別性を低減するものではないが、元の個人情報データベース等に含まれていた個人情報が匿名加工情報
データベース等にも入っているか否かの確度を下げる効果がある。
なお、レコード一部抽出を行ったとしても、個人情報データベース等を構成するそれぞれの個人情報に含まれる数値や記述等の傾向（例えば、年齢分布や地域分布）を維持するような形でレコードを抽出することにより、データの有用性を保つ効果も期待できる。
4.2.3.2

情報の項目と想定されるリスク及び加工例

特定の個人を識別できるリスクについては情報の性質によって異なることから、加工に当たっての参考となるよう、加工対象となる個人情報に含まれ得る各情報の項目に対する加工例を図表 4-5 に示す。ここでは、個人情報に係る本人の基本的な属性に関わる情報の項目を「個人属性情報」、個人の行動に伴い発生する行動の履歴に関わる情報の項目を「履歴情報」として分類している。
ただし、次に示す加工例はあくまで基本的な考え方に沿った一般的な加工の例示であり、次のとおりに加工すれば十分であることを意味するものでもなければ、これに縛られるものでもない。実際にどの情報の項目をどこまで加工するかということについては、業種やビジネスの業態、需要者のニーズ等を踏
まえつつ、データベースに含まれる情報の項目やレコードの数等に応じて判断することが適当であることから、認定団体が策定する個人情報保護指針等の自主ルールにおいて適切に定められることが望ましい。
図表 4-5 情報の項目と想定されるリスク及び加工例
項目想定されるリスク

氏名・それ自体で特定の個人を識別できる。

加工例（「削除」は置き換えも含む）
・全部削除する。（項目削除）
・原則として、年か日の何れかを削除する。必要に応じて生年月、年

生年月日

・住所（郵便番号）、性別との組合せ

齢、年代等に置き換える。

により、特定の個人の識別につながる可（丸め）

能性がある。

・超高齢であることが分かる生年
月日や年齢を削除する。

個人属性情報（セル削除／トップコーディング）
性別

・住所（郵便番号）、生年月日との組

・他の情報との組合せによって必合せにより、特定の個人の識別につなが要がある場合は削除する。

る可能性がある。

（項目削除）
・原則として、町名、番地、マンショ

住所・生年月日、性別との組合せにより、特ン名等の詳細を削除する。

定の個人の識別につながる可能性があ

（丸め）

る。

・レコード総数等に応じて、県単位

・本人にアクセスすることができる。

や市町村単位へ置き換える。
（丸め）

郵便番号

生年月日、性別等との組合せにより特定の個人の識別に結びつく可能性がある。
７８・下 4 桁を削除する。（丸め）マイナンバーパスポート番号
顔認証データ

それ自体で個人情報とされている。
（個人識別符号）それ自体で個人情報とされている。
（個人識別符号）それ自体で個人情報とされている。
（個人識別符号）・全部削除する。（項目削除）
・全部削除する。（項目削除）
・全部削除する。（項目削除）

・多くの事業者が収集しており、異なるデ
固定電話番号ータセット間で個人を特定するための識・原則として、加入者番号（下 4

別子として機能し得る。

桁）を削除する。（丸め）・本人にアクセスすることができる。
・多くの事業者が収集しており、異なるデ
携帯電話番号ータセット間で個人を特定するための識別子として機能し得る。

・全部削除する。（項目削除）

・本人にアクセスすることができる。
・多くの事業者が収集しており、異なるデクレジットカードータセット間で個人を特定するための識

番号別子として機能し得る。

サービス ID、
個人属性情報アカウント ID・本人に直接被害を与え得る。
多くの事業者で共用される ID の場合は、個人を特定するための識別子として・全部削除する。（項目削除）

機能する。
・多くの事業者が収集しており、異なるデ電子メールアドータセット間で個人を特定するための識レス別子として機能し得る。

端末 ID

・全部削除する。（項目削除）

・全部削除する。（項目削除）

・本人にアクセスすることができる。
多くの事業者で共用される端末 ID の場
合は、個人を特定するための識別子とし・全部削除する。（項目削除）て機能する。
職業

年収

・住所や年収等との組合せにより、個人

・勤務先名を職種等のカテゴリーの特定につながる可能性がある。
・職業や住所等との組合せにより、個人の特定につながる可能性がある。
・超高年収の場合、それ自体から個人を特定できる可能性がある。

に置き換える。（一般化）・具体的な年収を収入区分へ置き換える。（丸め）・超高収入の値を削除する。（セル削除／トップコーディング）
・具体的な家族人数を人数区分へ置き換える。（丸め）・詳細な家族構成を世帯構成区
分（単身、親子、三世帯等）へ置き換える。（丸め）

履歴情報

家族構成

・住所等との組合せにより、個人の特定につながる可能性が高くなる。

購買履歴

・購入店舗や購買時刻に関する情報と他のデータセットに含まれる位置情報等との組合せにより、個人の特定につながる可能性がある。
・特異な物品の購買実績と居住エリア
等との組合せにより、個人の特定につながる可能性がある。
７９

・購入店舗や購買時刻の詳細な情報を削除する。（丸め）・特異な購買情報（超高額な利用金額や超高頻度の利用回数等）を削除する。
（セル削除／トップコーディング）

乗降履歴

・乗降実績の極めて少ない駅や時間帯の履歴から、個人の特定につながる可能性がある。
・定期区間としての利用が極めて少ない
駅の情報から、個人の特定につながる可能性がある。
・夜間や昼間の滞在地点から自宅や勤務先等を推定できる可能性がある。
・詳細な位置情報と時刻情報の組合せ

履歴情報

位置情報

が異なるデータセット間で識別子として（移動履歴）

機能し得る
・所定エリア内の位置情報が極めて少ない場合に、個人の特定に結びつく可能性がある。

・利用が極めて少ない駅や時間帯の情報を削除する。時刻情報を時間帯に置き換える。（セル削除／丸め）・定期区間に極めて少ない利用駅が含まれるものを削除する（セル削除）
・自宅や勤務地点等の推定につながる始点・終点を削除する。
（丸め）
・位置情報若しくは時刻情報の詳細部分を削除する。（丸め）・位置情報が少ないエリアの値にノイズを加える。（ノイズ付加）
・所定数以上の位置情報になるようエリアを区切る。（丸め）・特異な電力使用量と他の情報との組電力利用履歴合せにより、個人の特定につながる可能・極めて大きい電力使用量の情性がある。

報を削除する。（セル削除／トッ・生活スタイルや家族構成を推定できる

プコーディング）

可能性がある。
（参考）
匿名加工情報の加工方法に関しては、平成 28 年 8 月 8 日に経済産業省が「事業者が匿名加工情報の具体的な作成方法を検討するにあたっての参考資料（「匿名加工情報作成マニュアル」）」（以下「経産省マニュアル」という。）を公表している。
匿名加工情報は、法第 43 条第 1 項に基づき、施行規則第 34 条各号に定める基準に従い加工する必要があるものであるが、経産省マニュアルは、施行規則が策定される前にその検討とは関わりなく、経済産業省において別途検討が進められ、公表されたものである。
経産省マニュアルにおいては、個人情報に含まれる記述等を①「識別子」、②「属性」及び③「履歴」の３つに分類した上で、次のとおり加工の方針を検討している 96。
① 「識別子」とされたものは、個人識別のリスク 97が高いため原則として削除を行う。
② 「属性」とされたものは、複数の属性が組み合わされることによる個人識別のリスクを検討する。
③ 「履歴」とされたものは、特異な値及び蓄積による識別の可能性を考慮する。
このようなリスク分析等の考え方については、検討を行う際の参考となる部分もあろうかと考えられることから、参考までに、経産省マニュアルと施行規則第 34 条各号に定める基準との関係を図表 4-6 に示す。

96

経産省マニュアルの区分は適切に匿名加工を行うための便宜的なものであるとされ、必要に応じ仕分けを見直す必要が生じる可能性も想定されるとしている。（例えば、住所等については識別子と属性の双方に該当し得るとされている。）また、加工を「顧客属性データ」と「利用明細データ」の２区分のみに分けている事例もある。
97

個人が特定されるリスク、データが他の情報と照合されるリスク、データを用いて本人へアプローチされるリスク等が考慮されている。

８０なお、図表 4-5 で示す「個人属性情報」は経産省マニュアルの分類における「識別子」及び「属性情報」に、「履歴情報」は「履歴情報」におおよそ対応しているものと考えられる。
図表 4-6 経産省マニュアルにおける分類と主に対応する施行規則の基準
分類
定義 98

（主に対応する
施行規則）

識別子（第 34 条第 1 号、第２号、第３号、

個人データを構成する情報であって、単体で個人を特定する可能性のある情報。
例︓氏名、生年月日、アカウント ID、端末 ID、契約者 ID、電話番号、
電子メールアドレス、詳細な住所（番地や住居番号含む）

第 5 号）

属性情報

個人データを構成する情報であって、経時的にデータが積み重ねられることのない情報（第 34 条で、単体では個人を特定することができないものの、他の属性との組合せや外部の情第 1 号、報との照合によって、個人を特定する可能性のある情報。

第５号）

例︓性別、年齢、郵便番号、住所（市町村まで）家族構成、年収 等

履歴情報（第 34 条第 5 号）

個人データを構成する情報であって、個人の行動の履歴を蓄積し、経時的にデータが積み重ねられる情報で、一般に単体では個人を特定することができないものの、他の属性との組合せや外部の情報との照合によって個人を特定する可能性のある情報。
例︓購買の履歴、ウェブの閲覧履歴、乗降履歴 等※この他、施行規則第 34 条第４号における特定の個人の識別につながり得る特異なデータがある場
合の処理があるが、これは主に属性情報（年齢等）に対応したものと考えられる。

98

経産省マニュアルから抜粋

８１

4.3

匿名加工情報等の安全管理措置

匿名加工情報を作成した場合は、法第 43 条第 2 項及び第 6 項に基づく安全管理措置を講ずる必要がある。
前者は、匿名加工情報の加工方法等情報の漏えい防止に関する義務規定であり、後者は、匿名加工情報の取扱い全般の安全管理措置や苦情の処理等に関する努力義務規定となっている。
4.3.1 加工方法等情報の安全管理措置について
匿名加工情報の作成の際に行った加工の方法に関する情報（加工方法等情報）については、法第43 条第 2 項に規定されているように、施行規則で定める基準に従って安全管理措置を講ずることとされている。
法第 43 条第 2 項
個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
施行規則第 35 条
法第 43 条第 2 項の個人情報保護委員会規則で定める基準は、次のとおりとする。
一 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
二 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
三 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。
ガイドライン 3-2-3 加工方法等情報等の安全管理措置等（法第 43 条第 2 項、第 46 条関係）
個人情報取扱事業者は、匿名加工情報を作成したときは、加工方法等情報（その作成に用いた個
人情報から削除した記述等及び個人識別符号並びに加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。（※））をいう。以下同じ。）の漏えいを防止するために、規則で定める基準に従い、必要な措置を講じなければならない。
当該措置の内容は、対象となる加工方法等情報が漏えいした場合における復元リスクの大きさを考慮し、当該加工方法等情報の量、性質等に応じた内容としなければならないが、具体的に講じなければな
らない項目及び具体例については、別表 3（加工方法等情報の安全管理で求められる措置の具体例）を参照のこと。
（※）「その情報を用いて当該個人情報を復元することができるもの」には、「年齢のデータを 10 歳刻
みのデータに置き換えた」というような復元につながらない情報は該当しない。なお、氏名等を仮ＩＤに置き換えた場合における氏名と仮 ID の対応表は、匿名加工情報と容易に照合することがで
８２

き、それにより匿名加工情報の作成の元となった個人情報の本人を識別することができるものであることから、匿名加工情報の作成後は破棄しなければならない。また、匿名加工情報を作成した
個人情報取扱事業者が、氏名等の仮ＩＤへの置き換えに用いた置き換えアルゴリズムと乱数等のパラメータの組み合わせを保有している場合には、当該置き換えアルゴリズム及び当該乱数等のパラメータを用いて再度同じ置き換えを行うことによって、匿名加工情報とその作成の元となった
個人情報とを容易に照合でき、それにより匿名加工情報の作成の元となった個人情報の本人を識別することができることから、匿名加工情報の作成後は、氏名等の仮ＩＤへの置き換えに用いた乱数等のパラメータを破棄しなければならない。
（別表 3）加工方法等情報の安全管理で求められる措置の具体例
講じなければならない措置

具体例①加工方法等情報を取り扱う者

・加工方法等情報の安全管理措置を講ずるための組織体制のの権限及び責任の明確化

整備（規則第 35 条第 1 号）
②加工方法等情報の取扱いに・加工方法等情報の取扱いに係る規程等の整備とこれに従った関する規程類の整備

運用及び当該規程類に従った加工方

・従業者の教育法等情報の適切な取扱い・加工方法等情報の取扱状況を確認する手段の整備

並びに加工方法等情報の取扱・加工方法等情報の取扱状況の把握、安全管理措置の評

状況の評価及びその結果に基づ

価、見直し及び改善

き改善を図るために必要な措置の実施（規則第 35 条第 2 号）
③加工方法等情報を取り扱う正・加工方法等情報を取り扱う権限を有しない者による閲覧等の当な権限を有しない者による加防止

工方法等情報の取扱いを防止

・機器、電子媒体等の盗難等の防止するために必要かつ適切な措置

・電子媒体等を持ち運ぶ場合の漏えいの防止の実施

・加工方法等情報の削除並びに機器、電子媒体等の廃棄（規則第 35 条第 3 号）

・加工方法等情報へのアクセス制御
・加工方法等情報へのアクセス者の識別と認証
・外部からの不正アクセス等の防止・情報システムの使用に伴う加工方法等情報の漏えいの防止

匿名加工情報は、個人情報取扱事業者が自ら保有する個人情報を加工して作成するものであり、匿名
加工情報を作成した当該事業者は元の個人情報とともに、加工の過程において個人情報から削除した記述等及び個人識別符号並びに法第 43 条第 1 項の規定により行った加工の方法に関する情報を保有し続けることが可能であるが、この情報の漏えいを防止するために施行規則第 35 条に定める基準に従い安全管理措置を講ずる必要がある。
ガイドラインに記載されているように、加工方法等情報（その作成に用いた個人情報から削除した記述等
及び個人識別符号並びに加工の方法に関する情報（その情報を用いて当該個人情報を復元することがで
８３

きるものに限る。）の漏えいを防止するための措置とは、対象となる加工方法等情報が漏えいした場合における復元リスク（その加工方法等情報を利用することによって元の個人情報を復元できるリスク）の大きさを考慮し、当該加工方法等情報の量、性質等に応じた内容とする必要がある。
なお、氏名等を仮ＩＤに置き換えた場合における氏名と仮 ID の対応表や、氏名等の仮ＩＤへの置き換えに用いた置き換えアルゴリズムと乱数等のパラメータの組み合わせは、当該情報を保持し続けることで、匿名加工情報とその作成の元となった個人情報とを容易に照合することができ、それにより匿名加工情報の作成の元となった個人情報の本人を識別することができるものであることから、匿名加工情報の作成後は破棄しなければならないことに留意が必要である。

4.3.2 匿名加工情報の安全管理措置等について
法第 43 条第 6 項
個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
法第 46 条
匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工
情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
ガイドライン 3-2-３-２ 匿名加工情報の安全管理措置等（法第 43 条第６項、第 46 条関係）
個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加工情報の安全管理措置、苦情処理等の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
当該安全管理等の措置については、個人情報と同様の取扱いを求めるものではないが、例えば、法第23 条から第 25 条までに定める個人データの安全管理、従業者の監督及び委託先の監督並びに法第40 条に定める個人情報の取扱いに関する苦情の処理で求められる措置の例（※）を参考にすることも考えられる。具体的には、事業の性質、匿名加工情報の取扱状況、取り扱う匿名加工情報の性質、量等に応じて、合理的かつ適切な措置を講ずることが望ましい。
なお、匿名加工情報には識別行為の禁止義務が課されていることから、匿名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、匿名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、作成した匿名加工情報について、匿名加工情報を取り扱う者にとってその情報が匿名加工情報である旨が一見して明らかな状態にしておくことが望ましい。
（※）詳細は、通則ガイドライン「3-4-2（安全管理措置）、3-4-3（従業者の監督）、3-4-4（委託先の監督）、3-9（個人情報の取扱いに関する苦情処理）」を参照のこと。
ガイドラインに記載されているように、個人情報取扱事業者又は匿名加工情報取扱事業者は、匿名加
工情報に関する安全管理措置及び苦情処理等の必要な措置を自ら講ずる必要がある。これらの措置につ
８４

いては、個人データの安全管理措置や苦情処理等の対応を参考にしつつ、匿名加工情報の性質、量等を考慮して行われる必要がある。

８５

4.4

匿名加工情報の利用に当たっての留意点
4.4.1 識別目的の照合とは法第 43 条第 5 項及び第 45 条で規定されているように、匿名加工情報の取扱いにおいては、元の個人情報に係る本人を識別する目的で他の情報と照合することが禁止される。
法第 43 条第 5 項
個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情
報を他の情報と照合してはならない。
法第 45 条
匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人
識別符号若しくは第 43 条第 1 項の規定により行われた加工の方法に関する情報を取得し、又は当該
匿名加工情報を他の情報と照合してはならない。
ガイドライン 3-2-６ 識別行為の禁止（法第 43 条第５項、第 45 条関係）
匿名加工情報を取り扱う場合（※1）には、当該匿名加工情報の作成の元となった個人情報の本
人を識別する目的で、それぞれ次の行為を行ってはならない。
（1）個人情報取扱事業者が自ら作成した匿名加工情報を取り扱う場合
・自らが作成した匿名加工情報を、本人を識別するために他の情報（※2）と照合すること。
（2）匿名加工情報取扱事業者が他者の作成した匿名加工情報を取り扱う場合・受領した匿名加工情報又は行政機関等匿名加工情報（※3）の加工方法等情報を取得すること。
・受領した匿名加工情報を、本人を識別するために他の情報（※2）と照合すること。
【識別行為に当たらない取扱いの事例】
事例 1）複数の匿名加工情報を組み合わせて統計情報を作成すること。
事例 2）匿名加工情報を個人と関係のない情報（例︓気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。
【識別行為に当たる取扱いの事例】
事例 1）保有する個人情報と匿名加工情報について、共通する記述等を選別してこれらを照合すること。
事例 2）自ら作成した匿名加工情報を、当該匿名加工情報の作成の元となった個人情報と照合すること。
（※1）匿名加工情報については、当該匿名加工情報の作成の元となった個人情報の本人を識別する目的のために他の情報と照合することが禁止されている。一方、個人情報として利用目的の範囲内で取り扱う場合に照合を禁止するものではない。
（※2）「他の情報」に限定はなく、本人を識別する目的をもって行う行為であれば、個人情報、個人
８６

関連情報、仮名加工情報及び匿名加工情報を含む情報全般と照合する行為が禁止される。
また、具体的にどのような技術又は手法を用いて照合するかは問わない。
（※3）「行政機関等匿名加工情報」とは、法第 60 条第 3 項に定めるものを指す。なお、この情報は匿名加工情報に包含される概念であることから、この情報を取り扱う事業者は、匿名加工情報取扱事業者に係る規律の対象となるものである。
これについては、特定の個人の識別ができるか否かを問わず、識別を目的とした照合行為自体がこれらの義務違反となる。
したがって、例えば、ある集団の傾向やマーケットの動向を分析するために他の情報と照合することについて
は、識別目的の照合には該当せず、義務違反とはならない。
例えば、異なる事業者から提供を受けた複数の匿名加工情報データベースのうち、類似の基本属性（年代、居住エリア等）を持つ匿名加工情報同士の購買情報等の履歴情報を組み合わせて、より詳細な統計情報を作成するようなことも可能である。
一方、第三者より提供を受けた匿名加工情報データベースと事業者内で保有する個人情報データベースとの間で、基本属性の類似度等から個人情報データベースに含まれる個人データと匿名加工情報に含まれる匿名加工情報とを紐付けることは、一般的には、識別目的の照合に該当すると考えられる。この結論は、当該紐づけがたとえ確率的に行われるものであっても変わらない。

4.4.2 加工方法の評価や再識別事案発生等における影響の範囲の確認等のための照合
4.1.2 でも述べたように、匿名加工情報における「特定の個人を識別することができない」及び「復元することができないようにしたもの」は一般人や一般的な事業者の能力、手法等を基準として判断されるものであり、技術的側面から全ての可能性を排除することまでを求めるものではない 99。
匿名加工情報については、識別行為の禁止義務がある一方、施行規則第 35 条第 1 号では、加工方法等情報を取り扱う者の権限や責任が明確化され、同条第 3 号では、加工方法等情報を取り扱う正当な権限を有しない者に対する加工方法等情報へのアクセス制限が課されることになっている。また、法第 43 条
第 6 項では、匿名加工情報の安全管理のために必要かつ適切な措置を講ずることが求められている。安全
管理措置の一環として加工方法等情報を取り扱う正当な権限を有する者によりこのような評価や影響範囲の確認等のための照合が行われる場合には、安全管理措置として必要な限りにおいて認められるものであり、
法第 43 条第 5 項で禁止される識別行為に該当するものではないと考えられる 100。

99

あらゆるデータに汎用的な匿名加工手法はなく、技術の進展によっても再識別リスクが変化し得ること、再識別リスクをモニタリングし匿

名加工手法に対する評価や見直しを行うことが望ましいこと等については、パーソナルデータに関する検討会「技術検討ワーキンググループ報告書」（2013 年 12 月）や Article 29 Data Protection Working Party（EU 第 29 条作業部会） “Opinion 05/2014
on Anonymisation Techniques”（2014 年 4 月）、Agencia Española de Protección de Datos（スペイン王国データ保護機関）European Data Protection Supervisor（欧州データ保護監督官）“AEPD-EDPS joint paper on 10
misunderstandings related to anonymisation“（2021 年 4 月）等においても指摘されている。
100

なお、氏名等を仮 ID に置き換えた場合における氏名と仮 ID の対応表や、氏名等の仮ＩＤへの置き換えに用いた置き換えアルゴリ

ズムと乱数等のパラメータの組み合わせを保有している場合における乱数等のパラメータを用いて、匿名加工情報の作成の過程において、加工前の情報と加工後の情報を対照して適切な加工がなされているかの検証を行うこと等は可能であるが、匿名加工情報の作成後は削除しなければならない。

８７

4.4.3 匿名加工情報を加工したものの扱い作成された匿名加工情報は、提供された第三者のもとで、情報を付加したり、一部の項目を削除したりするような加工がされることが想定される。
元の匿名加工情報に情報を付加する加工を行った場合については、元の匿名加工情報の情報がそのまま残るものであるから、元の匿名加工情報と同一のものとして扱うべきものと考えらえる。
一方、元の匿名加工情報から情報を削除する場合については、削除される情報の程度によって変わり得
るが、元の匿名加工情報との対応関係が明らかである限りは、同一の匿名加工情報として扱うものと考えることが妥当である。

4.4.4 意図せず特定個人を識別してしまった場合の扱い
法第 43 条第 5 項や法第 45 条の義務は、識別目的の照合行為に限られるため、加工が不十分であったことにより偶発的に特定の個人を識別してしまった場合は、これらの義務違反として直ちに罰せられることにはならないが、再度同じような形で特定の個人を識別することがないようにする必要がある。さらに、識別してしまった情報については、当該情報を速やかに削除しなければならない。
また、加工が不十分であることにより通常の業務を通じて特定の個人が識別されてしまう場合には、匿名
加工情報としての要件を満たしていないことから、個人情報としての取扱いが求められることになる。この場合、
匿名加工情報を作成して自ら取り扱う事業者においては、利用目的の変更や第三者提供を行う場合はあらかじめ本人の同意を取得した上で個人情報として適切な取扱いを行うか、情報の提供を受けた事業者において当該情報の削除等の対応が求められることになる。

８８

おわりに
我が国の様々な民間部門において、ビッグデータとして利用する有用性の高い様々なデータが蓄積されている。これ
らのデータの中でも特に顧客情報等と結びついて個人に関する情報として蓄積されたデータは、有用性が高いものである。一方、これらについては、法上、当該民間部門（個人情報取扱事業者）において、個人情報として位置付けられるものが多く、利用目的の変更や第三者提供に際して法の観点あるいは顧客のプライバシーリスクへの懸念を払しょくする観点から、望ましい利活用の在り方が共有されず、「利活用の壁」という問題がある。
本レポートは、このような認識の下で取りまとめられたものであり、事業者が仮名加工情報制度や匿名加工情報制度を活用する際に参考となることを目的としたものである。
また、認定団体や事業者団体等においては、世界的な動向や技術の進展等も踏まえながら、個人情報保護指針
及び業界自主基準等に加えて、具体的にどのような情報をどのような方法で加工すればよいのかということについて適切な事例を収集し発信したり、各認定団体や事業者団体における取組のベストプラクティスについて業界横断的に公表・共有していくことも有用であり、関係者が連携して取組を進めていくことが期待される。
仮名加工情報・匿名加工情報の制度は、個人情報及びプライバシーの保護を前提とした上で、民間部門に存在する有用性の高い個人に関する情報について、仮名加工情報は利用目的の変更等を、匿名加工情報制度は第三者提供や目的外利用等を可能とする制度である。関係者が連携して取組を進め、この制度が適切な形で幅広く民間部門に利用されることにより、消費者やサービス利用者の信頼を維持した形で安全に個人に関する情報等の流通が促進され、新たな技術やサービスの創出につながることが期待される。
なお、デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）第 50 条及び第 51 条により、「匿名加工情報」及び「仮名加工情報」に係る規律が、行政機関、地方公共団体の機関、独立行
政法人等及び地方独立行政法人にも適用されることとなった。これら行政機関等における匿名加工情報の作成方法
や、匿名加工情報及び仮名加工情報の取扱いに係る規律は、個人情報取扱事業者に課せられる規律と異なるところもあるが、行政機関等においても本レポートの内容を参考とし、個人に関する情報の適切な利活用が促進されることが期待される。

８９

【参考資料】
I.

参考文献【 報告書等 】
パーソナルデータに関する検討会技術検討ワーキンググループ「技術検討ワーキンググループ報告書」（2013 年 12 月）。
https://www.kantei.go.jp/jp/singi/it2/pd/dai5/siryou2-1.pdf

パーソナルデータに関する検討会技術検討ワーキンググループ「技術検討ワーキンググループ報告書 ～「（仮称）準個人情報」及び「（仮称）個人特定性低減データ」に関する技術的観点からの考察について～」（2014 年５月）。
https://www.kantei.go.jp/jp/singi/it2/pd/dai10/siryou1-2.pdf

Suica に関するデータの社外への提供に関する有識者会議「Suica に関するデータの社外への提供について 中間とりまとめ」（2014 年 2 月）。
https://www.jreast.co.jp/chukantorimatome/20140320.pdf

Suica に関するデータの社外への提供に関する有識者会議「Suica に関するデータの社外への提供について とりまとめ」（2015 年 10 月）。
https://www.jreast.co.jp/information/aas/20151126_torimatome.pdf



総務省 緊急時等における位置情報の取扱いに関する検討会「位置情報プライバシーレポート ～位置情報に関するプライバシーの適切な保護と社会的利活用の両立に向けて～」（2014 年 7 月）。
https://www.soumu.go.jp/main_content/000303636.pdf



経済産業省「事業者が匿名加工情報の具体的な作成方法を検討するにあたっての参考資料（「匿名加工情報作成マニュアル」）」（2016 年 8 月）。
https://www.meti.go.jp/policy/it_policy/privacy/downloadfiles/tokumeikakou.pdf



国立情報学研究所 匿名加工情報に関する技術検討ワーキンググループ「匿名加工情報の適正な加工の方法に関する報告書 2017 年 2 月 21 日版」（2017 年 2 月）。
https://www.nii.ac.jp/research/reports/pd/report-kihon-20170221.pdf



総務省・経済産業省「DX 時代における 企業のプライバシーガバナンスガイドブック ver1.2」（2022 年 2月）https://www.soumu.go.jp/main_content/000794192.pdf

個人情報保護委員会「PIA の取組の促進について-PIA の意義と実施手順に沿った留意点-」（2021 年
6 月）
https://www.ppc.go.jp/files/pdf/pia_promotion.pdf

Article 29 Data Protection Working Party, “Opinion 05/2014 on Anonymisation
Techniques”, April 2014.
https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2014/wp216_en.pdf

Federal Trade Commission, “Protecting Consumer Privacy in an Era of Rapid Change”,
March 2012.
https://www.ftc.gov/sites/default/files/documents/reports/federal-tradecommission-report-protecting-consumer-privacy-era-rapid-changerecommendations/120326privacyreport.pdf
９０National Institute of Standards and Technologies, “De-identification of Personal
Information”, October 2015.
https://nvlpubs.nist.gov/nistpubs/ir/2015/NIST.IR.8053.pdf

National Institute of Standards and Technologies, “De-Identifying Government
Datasets” （1st Draft, August 2016/2nd Draft, December 2016） .
https://csrc.nist.gov/CSRC/media/Publications/sp/800188/draft/documents/sp800_188_draft2.pdf

Office for Civil Rights, U.S. Department of Health & Human Services, “Guidance
Regarding Methods for De-identification of Protected Health Information in Accordancewith the Health Insurance Portability and Accountability Act （HIPAA） Privacy Rule”,
November 2012.
https://www.hhs.gov/sites/default/files/ocr/privacy/hipaa/understanding/covereden
tities/De-identification/hhs_deid_guidance.pdf



UK Information Commissioner's Office, “Anonymisation: managing data protection risk
– code of practice”, November 2012.
https://ico.org.uk/media/1061/anonymisation-code.pdf

Office of the Australian Information Commissioner, Australian Government, “Australia
Privacy Principles Guidelines”, July 2019.
https://www.oaic.gov.au/__data/assets/pdf_file/0009/1125/app-guidelines-july2019.pdf

Agencia Española de Protección de Datos, European Data Protection Supervisor “AEPDEDPS joint paper on 10 misunderstandings related to anonymisation“April 2021.
https://edps.europa.eu/system/files/2021-04/21-04-27_aepdedps_anonymisation_en_5.pdf【 標準 】


ISO/IEC 29100:2011, Information technology -- Security techniques -- Privacy
framework.

ISO/IEC 27018:2014, Information technology – Security techniques -- Code of practicefor personally identifiable information （PII） protection in public clouds acting as PII
processors.

ISO/IEC 20889 Committee Draft 2016-12-02, Information technology –- Security
techniques –- Privacy enhancing data de-identification techniques. 2016.

【 論文 】


L. Sweeney, “k-Anonymity: A Model For Protecting Privacy”, International Journal of
Uncertainty, Fuzziness and Knowledge-Based Systems, 10（5）, pp.557-570, 2002.



A. Narayanan and V. Shmatikov, “Robust de-anonymization of large sparse datasets”,
In Proceedings of 2008 IEEE Symposium on Security and Privacy （S&P）, pp.111125, IEEE, 2008.



Hiroaki Kikuchi, Katsumi Takahashi, “Zipf Distribution Model for Quantifying Risk of Re９１

identification from Trajectory Data”, Journal of Information Processing, Vol.24, No.5
pp.816-823, 2016.
【 書籍 】


瓜生和久編『一問一答 平成 27 年改正個人情報保護法』（商事法務、2015 年 12 月）



佐脇紀代志編『一問一答 令和 2 年改正個人情報保護法』（商事法務、2021 年 8 月）



中川裕志『プライバシー保護入門』（勁草書房、2016 年２月）



佐久間淳『データ解析におけるプライバシー保護』（講談社、2016 年８月）

Khaled El Emam, Luk Arbuckle（笹井崇司訳）『データ匿名化手法』（オライリー・ジャパン、2015
年５月）

９２