個⼈情報保護委員会事務局レポート︓

仮 名 加 ⼯ 情 報 ・ 匿 名 加 ⼯ 情 報
信頼ある個⼈情報の利活⽤に向けて―制度編―

初版 2017 年 2 ⽉
第 2 版 2022 年 3 ⽉
個⼈情報保護委員会事務局

⽬次
はじめに ................................................................................................................................................... １
1.

イントロダクション ........................................................................................................................... ２

1.1

平成 27 年個⼈情報保護法改正により匿名加⼯情報制度が導⼊された背景 ................................ ２

1.2

令和 2 年個⼈情報保護法改正により仮名加⼯情報制度が導⼊された背景................................... ４

1.3

本レポートの位置付け ................................................................................................................. ５2.

個⼈情報保護法上の各制度の概要................................................................................................ ６2.1

個⼈情報とその取扱いにおける制約 ................................................................................................ ６

2.1.1

個⼈情報の定義 ........................................................................................................................ ６

2.1.2

個⼈情報を取り扱う上での制約................................................................................................... ８3.

仮名加⼯情報 ........................................................................................................................... １２

3.1

仮名加⼯情報とは ..................................................................................................................... １２

3.1.1

仮名加⼯情報を利⽤する際の考え⽅ ...................................................................................... １２

3.1.1.1

仮名加⼯情報の特徴 ...................................................................................................... １２

3.1.1.2

仮名加⼯情報の活⽤例 .................................................................................................. １３

3.1.2

仮名加⼯情報の定義 ............................................................................................................. １５

3.1.2.1「特定の個⼈を識別することができる」とは ............................................................................. １７

3.1.2.2「他の情報と照合しない限り特定の個⼈を識別することができない」とは ................................... １７

3.1.2.3

個⼈情報である仮名加⼯情報と個⼈情報でない仮名加⼯情報とは ................................... １７

3.1.3「仮名加⼯情報取扱事業者」とは ............................................................................................ １８

3.1.4

仮名加⼯情報を取り扱う上での制約 ....................................................................................... １９

3.1.5

仮名加⼯情報の作成とは ....................................................................................................... ２０

3.2

仮名加⼯情報の作成に当たって求められる加⼯ ........................................................................... ２３

3.2.1

仮名加⼯情報の加⼯基準（施⾏規則 31 条）について .......................................................... ２３

3.2.1.1

第 1 号（特定の個⼈を識別することができる記述等の削除） ........................................... ２３

3.2.1.2

第 2 号（個⼈識別符号の削除） ................................................................................... ２６

3.2.1.3

第 3 号（不正に利⽤されることにより財産的被害の⽣じるおそれのある記述等の削除）....... ２７

3.3

仮名加⼯情報の作成・利⽤に当たっての留意点 ........................................................................... ２９3.3.1

利⽤⽬的との関係 .................................................................................................................. ２９3.3.2

識別⾏為の禁⽌ .................................................................................................................... ３２

3.3.3

本⼈への連絡等の禁⽌ .......................................................................................................... ３４

3.3.4

不適正利⽤の禁⽌ ................................................................................................................. ３６

3.3.5

漏えい等発⽣時の報告義務及び本⼈通知義務の免除............................................................. ３８

3.3.6

安全管理措置について ............................................................................................................ ３９

3.3.7

削除情報等の安全管理措置 .................................................................................................. ４１

3.4

第三者提供との関係 .................................................................................................................. ４５

3.4.1

第三者提供の禁⽌ ................................................................................................................. ４５

3.4.2

共同利⽤について ................................................................................................................... ４７4.

匿名加⼯情報 ........................................................................................................................... ５３

4.1

匿名加⼯情報とは ..................................................................................................................... ５３

4.1.1

匿名加⼯情報を利⽤するアドバンテージ ................................................................................... ５３

4.1.2

匿名加⼯情報の定義 ............................................................................................................. ５３

4.1.2.1「特定の個⼈を識別することができない」とは ................................................................... ５５

4.1.2.2「当該個⼈情報を復元することができないようにしたもの」とは .......................................... ５５

4.1.2.3

⼀部の情報が復元できた場合について .......................................................................... ５６

4.1.2.4「復元することのできる規則性を有しない⽅法により他の記述等に置き換えること」とは ........ ５６

4.1.3

匿名加⼯情報を取り扱う上での制約 ....................................................................................... ５６

4.1.4

匿名加⼯情報に関する留意点 ................................................................................................ ５７

4.1.4.1

統計情報について ........................................................................................................ ５７

4.1.4.2

容易照合性との関係 ................................................................................................... ５８

4.1.5

匿名加⼯情報の作成とは ....................................................................................................... ５９4.2

匿名加⼯情報の作成に当たって求められる加⼯ ........................................................................... ６４

4.2.1

匿名加⼯情報の加⼯基準（施⾏規則第 34 条）について ....................................................... ６４

4.2.1.1

第 1 号（特定の個⼈を識別することができる記述等の削除） ........................................ ６４

4.2.1.2

第 2 号（個⼈識別符号の削除） ................................................................................ ６６

4.2.1.3

第 3 号（情報を相互に連結する符号の削除） ............................................................. ６７

4.2.1.4

第 4 号（特異な記述等の削除） ................................................................................ ６８

4.2.1.5

第 5 号（個⼈情報データベース等の性質を踏まえたその他の措置） .............................. ６９

4.2.1.5.1「個⼈情報に含まれる記述等と〜他の個⼈情報に含まれる記述等との差異」 .................... ７１

4.2.1.5.2「その他の〜適切な措置」が求められる場合 ................................................................... ７１

4.2.2

匿名加⼯情報を作成する際に検討することが望ましい事項 ........................................................ ７３

4.2.2.1

匿名加⼯情報の利⽤形態について ............................................................................... ７３

4.2.2.2

他の情報を参照することによる識別の可能性について ..................................................... ７４

4.2.3

匿名加⼯情報の作成のための参考情報 .................................................................................. ７６

4.2.3.1

匿名加⼯に⽤いられる代表的な加⼯⼿法...................................................................... ７６

4.2.3.1.1

ｋ-匿名性について ...................................................................................................... ７７

4.2.3.1.2

レコード⼀部抽出について ............................................................................................. ７７

4.2.3.2

情報の項⽬と想定されるリスク及び加⼯例 .................................................................... ７８

4.3

匿名加⼯情報等の安全管理措置 ............................................................................................... ８２

4.3.1

加⼯⽅法等情報の安全管理措置について ............................................................................... ８２

4.3.2

匿名加⼯情報の安全管理措置等について ............................................................................... ８４4.4

匿名加⼯情報の利⽤に当たっての留意点 .................................................................................... ８６4.4.1

識別⽬的の照合とは............................................................................................................... ８６4.4.2

加⼯⽅法の評価や再識別事案発⽣等における影響の範囲の確認等のための照合...................... ８７

4.4.3

匿名加⼯情報を加⼯したものの扱い........................................................................................ ８８

4.4.4

意図せず特定個⼈を識別してしまった場合の扱い...................................................................... ８８

おわりに ................................................................................................................................................ ８９【参考資料】 ......................................................................................................................................... ９０I.

参考⽂献 .................................................................................................................................. ９０

【凡例】「個⼈情報保護法」・「法」

個⼈情報の保護に関する法律（平成 15 年法律第 57 号）「施⾏令」

個⼈情報の保護に関する法律施⾏令（平成 15 年政令第 507 号）「施⾏規則」

個⼈情報の保護に関する法律施⾏規則（平成 28 年個⼈情報保護委員会規則第 3 号）「平成 27 年改正法」

個⼈情報の保護に関する法律及び⾏政⼿続における特定の個⼈を識別するための番号の利⽤等に関する法律の⼀部を改正する法律（平成 27 年法律第 65号）「令和 2 年改正法」

個⼈情報の保護に関する法律等の⼀部を改正する法律（令和 2 年法律第 44号）「令和 3 年改正法」

デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）（第 50 条の規定に限る。）「ガイドライン」

個⼈情報の保護に関する法律についてのガイドライン（仮名加⼯情報・匿名加⼯情報編）（平成 28 年個⼈情報保護委員会告⽰第 9 号）

「通則ガイドライン」

個⼈情報の保護に関する法律についてのガイドライン（通則編）（平成 28 年
個⼈情報保護委員会告⽰第 6 号）

「Q&A」

「個⼈情報の保護に関する法律についてのガイドライン」に関する Q&A※ なお、特に断りのない限り、本レポートにおいて⽰す個⼈情報の保護に関する法律の条番号は、令和 3 年改正法による改正後の条番号を⽰すものとする。

はじめに

個⼈情報を含む個⼈に関する情報の取得・分析・流通が社会経済活動及びイノベーションや経済成⻑における重要な役割を果たすようになっている。今後、IoT1・AI2等の普及に伴い、従来よりも更に多くのデータを取得・分析・流通することが可能となっていく中、個⼈情報を含む個⼈に関する情報の利活⽤の環境を整える重要性が増している。
また、国境を越えた情報の流通が加速し、国境を越えて海外へサービス提供を⾏うことも海外事業者のサービス提供を受けることも容易となる中で、適正な取扱いを確保し利⽤者の信頼を得ながら、我が国の事業者や関係機関が国内外の様々な個⼈情報を含む個⼈に関する情報を活⽤して多様なサービスを提供できる環境整備が極めて重要である。
個⼈情報保護委員会事務局レポート（以下「本レポート」という。）の初版は、法令及びガイドラインに加えて、認定団体による匿名加⼯情報の加⼯基準や安全管理措置等を含む個⼈情報保護指針の作成⼜は事業者団体が⾃主ルール等の策定を⾏う際に参考となるような情報を取りまとめることにより、指針等の策定を促し、また個別の事業者や関係団体等が匿名加⼯情報を作成しようとする場合にも参照いただけるように、2017 年２⽉に作成・公表した。
それから 5 年が経過し、匿名加⼯情報制度の事業者における活⽤も進んだ。2022 年 2 ⽉時点、657 社の事業者が匿名加⼯情報の作成等を公表していることを確認している。
さらに、個⼈情報保護委員会事務局は匿名加⼯情報の利活⽤に関する事例集を公表したり、PPC ビジネスサポ
ートデスクや個⼈情報保護法相談ダイヤルを設置し匿名加⼯情報や個⼈情報の取扱いについての相談を受けたりす
る等を通じて、匿名加⼯情報制度の普及に努めてきた。
本レポートやこれらの取り組みが、事業者における匿名加⼯情報の活⽤をより⼀層推進できることを期待する。
また、個⼈情報の取扱実務の広がりや、情報技術の発展を背景として、仮名加⼯情報制度が新設された。仮名加⼯情報制度は、匿名加⼯情報制度と同様に、法令及びガイドラインにより必要最低限の事項について定められている。しかし、仮名加⼯情報の性質を踏まえ、必要に応じた追加的な措置を講ずることが期待される。
本レポートの第２版は、仮名加⼯情報の取扱いの参考となる情報を追加することで、事業者における仮名加⼯情報の活⽤にも資するものとして作成した。
本レポートが、これから仮名加⼯情報や匿名加⼯情報の取扱いに関⼼を持つ事業者や関係団体に役⽴つものとなることを期待する。

1

Internet of Things︓モノのインターネット

2

Artificial Intelligence︓⼈⼯知能１

1. イントロダクション
1.1

平成 27 年個⼈情報保護法改正により匿名加⼯情報制度が導⼊された背景

平成 15 年（2003 年）5 ⽉ 30 ⽇に公布され、平成 17 年（2005 年）4 ⽉ 1 ⽇に全⾯施⾏された個⼈情報の保護に関する法律（平成 15 年法律第 57 号。以下 1.1 及び 1.2 において「個⼈情報保護法」という。）の施⾏後 10 年余りが経過し、情報通信技術の⾶躍的な進展等により個⼈情報を取り巻く状況は⼤きく変化した。
「世界最先端 IT 国家創造宣⾔」（平成 25 年（2013 年）６⽉ 14 ⽇閣議決定）において、個⼈情報等については、「オープンデータやビッグデータの利活⽤を推進するためのデータ利活⽤環境整備を⾏うため、IT 総
合戦略本部の下に、新たな検討組織を速やかに設置し、データの活⽤と個⼈情報及びプライバシーの保護との両⽴に配慮したデータ利活⽤ルールの策定等を年内できるだけ早期に進めるとともに、監視・監督、苦情・紛争処理機能を有する第三者機関の設置を含む、新たな法的措置も視野に⼊れた制度⾒直し⽅針を年内に策定する」3とされ、⾼度情報通信ネットワーク社会推進戦略本部の下に「パーソナルデータに関する検討会」が設置されて「匿名化」の議論もこの場で⾏われることとなった4。同検討会は平成 25 年（2013 年）12 ⽉に「パーソナルデータの利活⽤に関する制度⾒直し⽅針」を発表し、同検討会技術検討ワーキンググループから報告書5が提出された。
平成 26 年（2014 年）6 ⽉ 24 ⽇に同本部が決定した「パーソナルデータの利活⽤に関する制度改正⼤綱」において、多種多様かつ膨⼤なデータ、いわゆるビッグデータの収集・分析を可能とし、我が国の新産業・新サービスの創出や社会的課題の解決に貢献することが期待される⼀⽅で、個⼈情報及びプライバシーに対する消費者の意識が拡⼤しつつあり、保護されるべきパーソナルデータが適正に取り扱われることにより消費者の安⼼感を⽣む制度の構築が望まれるとされた6。また、これまでも個⼈情報ではない情報については法規制の対象外ではあったものの、個⼈情報の範囲に関する法解釈の曖昧さ7に起因する「グレーゾーンへの対応」の必要性が指摘さ

3

https://www.kantei.go.jp/jp/singi/it2/pd/dai5/siryou2-1.pdf P.7 において「「ビッグデータ」のうち、特に利⽤価値が⾼いと期待されている、個⼈の⾏動・状態等に関するデータである「パーソナルデータ」の取扱いについては、その利活⽤を円滑に進めるため、個⼈情報及びプライバシーの保護との両⽴を可能とする事業環境整備を進める」とされており、「既に、スマートフォンの利⽤者情報の取扱いなど先⾏的にルール策定が⾏われた分野については、取組の普及を推進する」とされている。
4

規制改⾰会議の答申を踏まえた「規制改⾰実施計画」（2013 年 6 ⽉閣議決定）（https://www8.cao.go.jp/kisei-kaikaku/suishin/publication/130614/item1.pdf）において、「ビッグデータ・ビジネスの普及（匿名化情報の取扱い）」として内閣官房及び消費者庁が「合理的な匿名化措置の内容を明確化したガイドラインを策定する」こ
と を 平 成 26 年 上 期 ま で に 措 置 す る こ と を 要 請 し 、 同 会 議 の 創 業 等 ワ ー キ ン グ グ ル ー プ 報 告 （ 2013 年 6 ⽉ ）（https://www8.cao.go.jp/kisei-kaikaku/kaigi/publication/130605/item5.pdf）において、⽶国 FTC3 要件が引⽤され、「我が国でも、ある事業者（X）が元データと加⼯等により特定の個⼈を識別できなくなった新データの両⽅のデータを保有し、新データのみを第三者（Y）に提供する場合において、X・Y 間の契約で Y による再識別化が禁⽌されているときは、個⼈の権利利益の侵害のおそれはないのであるから、新データは「個⼈情報」に該当しない旨を明確すべきではないか」との「問題意識」が⽰された。
5

パーソナルデータに関する検討会 「技術検討ワーキンググループ報告書」（2013 年 12 ⽉）（https://www.kantei.go.jp/jp/singi/it2/pd/dai5/siryou2-1.pdf）及び「技術検討ワーキンググループ報告書 〜「（仮称）準個⼈情報」及び「（仮称）個⼈特定性低減データ」に関する技術的観点からの考察について〜」 （2014 年 5 ⽉）（https://www.kantei.go.jp/jp/singi/it2/pd/dai10/siryou1-2.pdf）
6

⾼度情報通信ネットワーク社会推進戦略本部「パーソナルデータの利活⽤に関する制度改正⼤綱」（2014 年 6 ⽉）（https://www.kantei.go.jp/jp/singi/it2/kettei/pdf/20140624/siryou5.pdf）。既に多くの情報が収集蓄積されていたとしてもその情報が⼗分活⽤されていない状況も多く⾒られるようになっている。
7

⼤綱において、「特定の個⼈が識別された状態にないパーソナルデータであっても、特定の個⼈に結びつく蓋然性が⾼いなど、その取扱いによっては個⼈の権利利益が侵害されるおそれがあるものに関して、保護される対象及びその取扱いについて事業者が尊重すべきルールが曖昧」であることが指摘されている。

２

れ、当該情報を活⽤しようとした者が、個⼈情報保護法及びプライバシーの観点からどのようにすれば適切な取扱いをできるのかが不明瞭であることから、プライバシーに係る社会的な批判を懸念してパーソナルデータの利活⽤に躊躇するという「利活⽤の壁」が同⼤綱において指摘され、個⼈情報及びプライバシーの保護を図りつつ、利活⽤を実現する環境整備を⾏うことが求められるとされた。具体的には、個⼈データ等から「個⼈の特定性を低減したデータ」に加⼯し第三者提供等を本⼈の同意がなくても⾏うことを可能とする基本的制度について法律で⼤枠を定め8、具体的な内容は政省令、規則及びガイドラインにより対応するとともに、⺠間の⾃主規制ルールの活⽤を図ることとされた9。
平成 27 年（2015 年）9 ⽉に成⽴した「個⼈情報の保護に関する法律及び⾏政⼿続における特定の個⼈を識別するための番号の利⽤等に関する法律の⼀部を改正する法律」（平成 27 年法律第 65 号。以下
「平成 27 年改正法」という。）は、この⼤綱の内容を踏まえて検討を進められたものであり、改正項⽬の⼀つとして「匿名加⼯情報」という制度が新設された。加えて、改正法案に関する国会審議を踏まえた附帯決議において、「匿名加⼯情報については、その規定の趣旨が利活⽤を促進するものであることに鑑み、個⼈情報保護委員会
規則で基準を定めるに当たっては、効果的な利活⽤に配慮すること」（衆議院内閣委員会）、「匿名加⼯情報の規定の趣旨が個⼈情報の利活⽤を促進するものであることに鑑み、個⼈情報取扱事業者が匿名加⼯情報を作成する際に必要となる基準を個⼈情報保護委員会で定めるに当たっては、その趣旨について⼗分に配慮すること」、「本法の施⾏後も…広報その他の活動を通じて、個⼈情報及び匿名加⼯情報の適正な取扱いの下での利活⽤の推進に関する国⺠の理解と信頼を深めるよう努めること」（参議院内閣委員会）が表明された。
IoT やビッグデータというキーワードに象徴されるように、いかにデータを収集・分析して事業に活かすかが昨今のビジネスシーンにおいて競争⼒を確保する上で重要であると認識される中、匿名加⼯情報制度は、加⼯基準に従った加⼯その他の⼀定のルールを義務付けることで、安全性を確保しつつデータの積極的な利活⽤の推進に寄与することが期待されている。

8

⼤綱において、医療情報等のように適切な取扱いが求められつつ、本⼈の利益・公益に資するために⼀層の利活⽤が期待される情報も多いことから、適切な保護と利活⽤を推進するとされた。
9

⼤綱において、「個⼈が特定される可能性を低減したデータへの加⼯⽅法については、データの有⽤性や多様性に配慮し⼀律には定めず、事業等の特性に応じた適切な処理を⾏うことができることする」とされた。さらに、当該加⼯⽅法については、⺠間団体が⾃主規制ルールを策定し、第三者機関（個⼈情報保護委員会）が当該ルール⼜は⺠間団体の認定等を⾏うこと、適切な加⼯⽅法についてはベスト
プラクティスの共有等を図ることとされた。

３

1.2

令和 2 年個⼈情報保護法改正により仮名加⼯情報制度が導⼊された背景

前述のとおり、平成 27 年改正法により匿名加⼯情報制度が導⼊された。個⼈情報取扱事業者が匿名加
⼯情報を作成するときは、特定の個⼈を識別すること及びその作成に⽤いる個⼈情報を復元することができないようにするために必要なものとして個⼈情報保護委員会規則で定める基準に従い、当該個⼈情報を加⼯しなけ
ればならないこととされている。
具体的には、事務局レポートで⽰した⼿法等を⽤いて加⼯することにより、少なくとも、⼀般⼈及び⼀般的な事業者の能⼒、⼿法等を基準として加⼯前の個⼈情報を事業者が通常の⽅法により特定の個⼈を識別することができず、かつ、個⼈情報を復元できないような状態にすることが求められるところ、そのような加⼯によってもデータとしての有⽤性を⼀定の⽔準以上に保つためには、相当程度に⾼度な技術や判断が必要とされている。
他⽅、事業者の中には、⾃らの組織内部で個⼈情報を取り扱うに当たり、安全管理措置の⼀環として、デー
タ内の⽒名等特定の個⼈を識別できる記述を他の記述に置き換える⼜は削除することで、加⼯後のデータそれ⾃体からは特定の個⼈を識別できないようにするといった、いわゆる「仮名化」と呼ばれる加⼯を施した上で利活⽤を⾏う例がみられる10。
仮名化された個⼈情報は、匿名加⼯情報と⽐べて、加⼯による抽象化の程度が低く、加⼯に要する技術も⾼度なものではない。他⽅、仮名化された個⼈情報は、本⼈と紐付いて利⽤されることがない限りは、個⼈の権利利益が侵害されるリスクが相当程度低下することとなる。
こうした実務の広がりや、情報技術の発展を背景として、個⼈情報取扱事業者においては、仮名化された個
⼈情報について、⼀定の安全性を確保しつつ、データとしての有⽤性を、加⼯前の個⼈情報と同等程度に保つ
ことにより、匿名加⼯情報よりも詳細な分析を⽐較的簡便な加⼯⽅法で実施し得るものとして、利活⽤しようとするニーズが⾼まっていた11。しかしながら、令和 2 年改正前の個⼈情報保護法においては、仮名化された個⼈情報であっても、通常の個⼈情報としての取扱いに係る義務が⼀律に事業者に課されることとなっていた。
上記の経緯を踏まえ、令和 2 年（2020 年）6 ⽉に成⽴した「個⼈情報の保護に関する法律の⼀部を改正する法律」（令和 2 年法律第 44 号。以下「令和 2 年改正法」という。）において、改正項⽬の⼀つとして「仮名加⼯情報」制度が新設された。なお、改正法案に関する国会審議を踏まえた附帯決議において、「匿名加⼯情報及び仮名加⼯情報の規定の趣旨が個⼈の権利利益の保護を図りながら個⼈情報の利活⽤を⾏うものであることに鑑み、個⼈情報取扱事業者が匿名加⼯情報及び仮名加⼯情報を作成する際に必要となる基準を個⼈情報保護委員会規則で定めるに当たっては、個⼈の権利利益の保護と個⼈情報の利活⽤との均衡について⼗分に配慮すること。」（衆議院内閣委員会、参議院内閣委員会）が表明された。

10「個⼈情報保護法 いわゆる 3 年ごと⾒直し 制度改正⼤綱」21 ⾴

11「個⼈情報保護法 いわゆる 3 年ごと⾒直し 制度改正⼤綱」21 ⾴

４

1.3

本レポートの位置付け

仮名加⼯情報（仮名加⼯情報データベース等を構成するものに限る。以下特に断りのない限り同じ。）は、
個⼈情報の保護に関する法律（平成 15 年法律第 57 号。以下「法」という。）第 41 条第１項により、匿名
加⼯情報（匿名加⼯情報データベース等を構成するものに限る。以下同じ。）は、法第 43 条第 1 項により、それぞれ個⼈情報の保護に関する法律施⾏規則（平成 28 年個⼈情報保護委員会規則第３号。以下「施⾏規則」という。）で定める基準12に従い加⼯することとされているが、当該規則ではあらゆる業界の事業者に共通するような必要最⼩限の規律を定め、「個⼈情報の保護に関する法律についてのガイドライン（仮名加⼯情報・匿名加⼯情報編）」（平成 28 年個⼈情報保護委員会告⽰第９号。以下「ガイドライン」という。）においては、仮名加⼯情報及び匿名加⼯情報の定義等とともに、当該規則について解説する内容となっている。
本レポートは、法、個⼈情報の保護に関する法律施⾏令（平成 28 年政令第 507 号。以下「施⾏令」という。）、施⾏規則、ガイドライン及び「「個⼈情報の保護に関する法律についてのガイドライン」に関する Q&A」
（以下「Q&A」という。）に準拠するものであり、個⼈情報取扱事業者、仮名加⼯情報取扱事業者及び匿名
加⼯情報取扱事業者について、仮名加⼯情報や匿名加⼯情報を作成するための考え⽅及び安全管理措置、識別⾏為の禁⽌、本⼈への連絡等の禁⽌等の仮名加⼯情報や匿名加⼯情報にそれぞれ課せられる規律を中
⼼に、主に⺠間事業者13が実際に仮名加⼯情報や匿名加⼯情報を作成し取り扱う際に参考となる事項、考え⽅を⽰そうとするものである14。
なお、個⼈情報取扱事業者、仮名加⼯情報取扱事業者及び匿名加⼯情報取扱事業者に課せられるその他の義務（仮名加⼯情報に関する適正取得及び委託先の監督義務や匿名加⼯情報を作成した際及び第三者提供した際の公表義務等）については、本レポートでは紹介程度にとどめるため、詳細についてはガイドラインを参照されたい。

12

仮名加⼯情報の加⼯基準は、施⾏規則第 31 条において、匿名加⼯情報の加⼯基準は、同第 34 条において、それぞれ定められ

ている。
13

なお、法別表第 2 に掲げる法⼈及び、独⽴⾏政法⼈労働者健康安全機構が病院の運営業務を⾏う場合の仮名加⼯情報の取扱いについても、原則として本レポートにおいて考え⽅を⽰す法第 4 章第 3 節の仮名加⼯情報に係る規律が適⽤される（法第 58 条）。
14

なお、仮名加⼯情報及び匿名加⼯情報に係る規律である法 41 条ないし法 44 条は、仮名加⼯情報データベース等及び匿名加⼯

情報データベース等を構成するものに対する規律である。また、仮名加⼯情報の作成等に係る法第 41 条第 1 項及び第 2 項並びに匿名加⼯情報の作成等に係る法第 43 条は個⼈情報データベース等を事業の⽤に供している個⼈情報取扱事業者に適⽤される。その他の仮名加⼯情報の取扱いに係る法第 41 条第 3 項ないし第 9 項及び法第 42 条は、仮名加⼯情報データベース等を事業の⽤に供している仮名加⼯情報取扱事業者に適⽤される。匿名加⼯情報の取扱いに係る法第 44 条ないし法第 46 条は、匿名加⼯情報データ
ベース等を事業の⽤に供している匿名加⼯情報取扱事業者に適⽤される。

５

2. 個⼈情報保護法上の各制度の概要
2.1

個⼈情報とその取扱いにおける制約
2.1.1 個⼈情報の定義
個⼈情報の定義は、法第 2 条第 1 項において次のように規定されている。
法第 2 条第 1 項
この法律において「個⼈情報」とは、⽣存する個⼈に関する情報であって、次の各号のいずれかに該当するものをいう。
⼀

当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等（⽂書、図画若しくは電磁的記録（電磁的⽅式（電⼦的⽅式、磁気的⽅式その他⼈の知覚によっては認識することができない⽅式をいう。次項第 2 号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、⼜は⾳声、動作その他の⽅法を⽤いて表された⼀切の事項（個⼈識別符号を除く。）をいう。
以下同じ。）により特定の個⼈を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなるものを含む。）

⼆ 個⼈識別符号が含まれるもの「特定の個⼈を識別することができる」とは、情報単体⼜は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、⼀般⼈の判断⼒⼜は理解⼒をもって⽣存する具体的な⼈物と情報の間に同⼀性を認めるに⾄ることができるかどうかによるものである。
「他の情報と容易に照合することができ」るとは、いわゆる容易照合性と呼ばれているものであるが、事業者の実態に即して個々の事例ごとに判断されるべきであるものの、通常の業務における⼀般的な⽅法で、他の情報と容易に照合することができる状態をいうものとされている。
同項第 2 号の個⼈識別符号は、法第 2 条第 2 項において、次のように定義されている。
法第 2 条第 2 項
この法律において「個⼈識別符号」とは、次の各号のいずれかに該当する⽂字、番号、記号その他の符号のうち、政令で定めるものをいう。
⼀

特定の個⼈の⾝体の⼀部の特徴を電⼦計算機の⽤に供するために変換した⽂字、番号、記号
その他の符号であって、当該特定の個⼈を識別することができるもの

⼆

個⼈に提供される役務の利⽤若しくは個⼈に販売される商品の購⼊に関し割り当てられ、⼜は個⼈に発⾏されるカードその他の書類に記載され、若しくは電磁的⽅式により記録された⽂字、番号、記号その他の符号であって、その利⽤者若しくは購⼊者⼜は発⾏を受ける者ごとに異なるものとなるように割り当てられ、⼜は記載され、若しくは記録されることにより、特定の利⽤者若しくは購⼊
者⼜は発⾏を受ける者を識別することができるもの「個⼈識別符号」は、上記の法第２条第 2 項各号に該当する⽂字、番号、記号その他の符号のうち、政令で定めるものが該当するとされ、施⾏令という。）及び施⾏規則において、図表 2-1 に⽰す内容が個
⼈識別符号に該当するものとして、細かく限定的に規定されている。

６

図表 2-1 個⼈識別符号に係る法・施⾏令・施⾏規則の関係
法

施⾏令（第 1 条）

施⾏規則（第 2 条〜第 4 条）

（1） 次に掲げる⾝体の特徴のいずれかを電（第 2 条）⼦計算機の⽤に供するために変換した⽂

⾝体の特徴を電⼦計算機の⽤に供するために

字、番号、記号その他の符号であって、特定変換した符号のうち個⼈識別符号に該当するの個⼈を識別するに⾜りるものとして個⼈情ものの基準は、特定の個⼈を識別することがで

報保護委員会規則で定める基準に適合す

きる⽔準が確保されるよう、適切な範囲を適切るもの

な⼿法により電⼦計算機の⽤に供するために

イ ＤＮＡを構成する塩基の配列変換することとする。

ロ 顔の⾻格及び⽪膚の⾊並びに⽬、⿐、⼝
第１号関係

その他の顔の部位の位置及び形状によって定まる容貌
ハ 虹彩の表⾯の起伏により形成される線状の模様
ニ 発声の際の声帯の振動、声⾨の開閉並びに声道の形状及びその変化
ホ 歩⾏の際の姿勢及び両腕の動作、歩幅
その他の歩⾏の態様
ヘ ⼿のひら⼜は⼿の甲若しくは指の⽪下の静脈の分岐及び端点によって定まるその静脈の形状
ト 指紋⼜は掌紋（2） 旅券の番号（3） 基礎年⾦番号（4） 運転免許証の番号（5） 住⺠票コード（6） 個⼈番号（7） 国⺠健康保険、後期⾼齢者医療制度
及び介護保険の被保険者証にその発⾏を第２号関係受ける者ごとに異なるものとなるように記載された個⼈情報保護委員会規則で定める⽂字、番号、記号その他の符号（第 3 条）（1） 国⺠健康保険の保険者番号及び被保険者記号・番号（2） 後期⾼齢者医療制度の保険者番号
及び被保険者番号（3） 介護保険の被保険者証の番号及び保険者番号（8） 上記（1）〜（7）に準ずるものとして（第 4 条）個⼈情報保護委員会規則で定める⽂字、健康保険の保険者番号及び被保険者等記

番号、記号その他の符号号・番号、在留カードの番号、私⽴学校教職員共済の保険者番号及び加⼊者等記号・番号、公務員共済の保険者番号及び組合員等
記号・番号、雇⽤保険被保険者証の被保険者番号並びに特別永住者証明書の番号 等
７※なお、個⼈識別符号の詳細については、「個⼈情報の保護に関する法律についてのガイドライン（通則編）」（以下「通則ガイドライン」という。）「2-2 個⼈識別符号（法第 2 条第 2 項関係）」を参照のこと。
法第２条第２項第 1 号に定める個⼈識別符号に関し、図表 2-1 における施⾏令第 1 条（1）イのうち、DNA を構成する塩基の配列については、「ゲノムデータのうち、全核ゲノムシークエンスデータ、全エクソー
ムシークエンスデータ、全ゲノム⼀塩基多型（single nucleotide polymorphism︓SNP）データ、互いに独⽴な 40 箇所 以上の SNP から構成されるシークエンスデータ、9 座位以上の４塩基単位の繰り返し
配列（short tandem repeat︓STR）等の遺伝型情報により本⼈を認証することができるようにしたもの」
が、施⾏規則で定められた基準（「特定の個⼈を識別することができる⽔準が確保されるよう、適切な範囲を適切な⼿法により電⼦計算機の⽤に供するために変換すること」）に適合する。ロ〜トについては、「該当する⽣体データから抽出した特徴情報を、本⼈を認証することを⽬的とした装置やソフトウェアにより、本⼈を認証することができるようにしたもの」が施⾏規則で定められた基準に適合する15。
同項第 2 号に定める個⼈識別符号としては、マイナンバー等、公的付番の符号が規定されており、⺠間
付番のサービス ID や携帯電話番号、クレジットカード番号等は規定されていない。しかしながら、これら⺠間
付番の符号は個⼈識別符号ではなくても、単体あるいはその他の情報と組み合わせられること等により法第２条第１項第１号の個⼈情報に該当する場合があることに留意する必要がある。

2.1.2 個⼈情報を取り扱う上での制約
特定の個⼈情報をコンピュータを⽤いて検索することができるように体系的に構成した、個⼈情報を含む
情報の集合物や、紙⾯で処理した個⼈情報を⼀定の規則（例えば、五⼗⾳順等）に従って整理・分類し、特定の個⼈情報を容易に検索することができるよう、⽬次、索引、符号等を付し、他⼈によっても容易に検索可能な状態に置いているもの等を「個⼈情報データベース等」という16。個⼈情報データベース等を事業の⽤に供している者は「個⼈情報取扱事業者」に該当し（法第 16 条第１項及び第２項）17、個⼈情報を取り扱う際には、法第 4 章の規律等が適⽤される。代表的な規律としては、次が挙げられる（仮名加⼯情報・匿名加⼯情報との関係が深い部分を中⼼に抜粋）。
①

取り扱う個⼈情報の利⽤⽬的を特定する必要があること。また、利⽤⽬的の変更は、変更前の利⽤⽬的と関連性を有すると合理的に認められる範囲を超えないこと（法第 17 条）②

あらかじめ本⼈の同意を得ずに、特定した利⽤⽬的の範囲を超えて個⼈情報を取り扱ってはいけないこと（法第 18 条）③

違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤してはならない
こと（法第 19 条）④

偽りその他不正の⼿段により個⼈情報を取得してはならないこと（法第 20 条）⑤

個⼈情報を取得した場合は、あらかじめその利⽤⽬的を公表している場合を除き、速やかに、その利⽤⽬的を、本⼈に通知し、⼜は公表しなければならないこと（法第 21 条）⑥

漏えい等の防⽌その他の個⼈データの安全管理のため、必要かつ適切な措置を講じなければならない

15

詳しくは、通則ガイドライン「2-2 個⼈識別符号（法第 2 条第 2 項関係）」を参照のこと。

16

詳しくは、通則ガイドライン「2-4 個⼈情報データベース等（法第 16 条第 1 項関係）」を参照のこと。

17

詳しくは、通則ガイドライン「2-5 個⼈情報取扱事業者（法第 16 条第 2 項・法第 2 条第 9 項、第 10 項、第 11 項・法別表第2 関係）」を参照のこと。

８

こと（法第 23 条）⑦

法令に基づく場合等の⼀部の例外を除き、あらかじめ本⼈の同意を得ないで個⼈データを第三者提供してはいけないこと、あるいはオプトアウトの⼿段を⽤意した上で第三者提供を⾏うこと（法第 27 条
第 1 項及び第 2 項）⑧

外国にある第三者に個⼈データを提供する場合は、法令に基づく場合等の⼀部の例外を除き18、本⼈に⼀定の情報提供をした上であらかじめ本⼈の同意を得なければならないこと、あるいは個⼈情報取扱事業者が講ずべき措置に相当する措置を講ずるために必要な体制を整備している外国にある第三者に個⼈データを提供する場合は、本⼈の求めに応じて相当措置の継続的な実施を確保するために必要な措置に関する情報を本⼈に提供すること（法第 28 条）⑨

本⼈から保有個⼈データの開⽰、訂正等及び利⽤停⽌等の請求を受けたときは、本⼈に対し、必要に応じて対応しなければならないこと（法第 33 条〜第 35 条）

⼀⽅、事業者としては、新しい分野のサービスや製品の導⼊を⾏う場合等には、取得時に特定した利⽤
⽬的とは関連性が低い新しい⽬的のために個⼈情報を利⽤したいニーズが⽣じ得るが、法第 18 条に基づき当該個⼈情報に係る本⼈全員から利⽤⽬的の変更の同意を再取得することは、コストやスピードの観点からはデメリットも⼩さくなく、過去のデータの利⽤にまで遡っての同意の取得や、多数のユーザーからの同意の取得が困難なケースも想定される。
平成 27 年改正前の法においても、個⼈情報を加⼯して統計情報等の特定の個⼈との関係が排斥され特定の個⼈を識別できないようにした情報は、規制の対象外と位置付けられて上記の制約を受けることなく活⽤することができた。⼀⽅、どこまで加⼯すれば個⼈情報でなくなるのかといった点について⼀定のルールやコンセンサスが共有されておらず、例えば、鉄道系 IC カードの乗降履歴の第三者提供について、個⼈情報に対する匿名加⼯の処理が⼗分であるか、利⽤者への⼗分な説明やプライバシーへの配慮が必要ではないか
等の指摘により提供を中断した事例19も⾒られた。
このように、個⼈情報の範囲等の解釈にグレーゾーンがあり、プライバシーに係る社会的な意識が強まる中で、我が国の事業者や団体等が有する個⼈に関する情報を多様な⽬的のために利活⽤する場合⼜は第三者提供をする場合の適正な取扱いに関するルールを共有しコンセンサスを醸成することにより、個⼈に関する情報の利活⽤に関する社会的信頼を確保した上で、様々な⽬的のための利活⽤及び第三者提供へのハードルを取り除き、適正な利活⽤の推進を促進することが重要である。
個⼈情報、仮名加⼯情報、匿名加⼯情報の各規律の主な差異のイメージを整理したものを図表 2-2
で⽰す。

18

外国にある第三者への個⼈データの提供の場合、個⼈データの第三者提供の場合と異なり、法 27 条第 5 項各号に掲げる事由（委託、事業の承継、共同利⽤）により個⼈データの提供を⾏う場合が、法第 28 条の例外とならないことに注意が必要である。
19

Suica に関するデータの社外への提供に関する有識者会議「Suica に関するデータの社外への提供について 中間とりまとめ」（2014年 2 ⽉）（https://www.jreast.co.jp/chukantorimatome/20140320.pdf）。移動履歴についてｋ-匿名化を⾏うと、多くのデータを削除することとなりデータ有⽤性が下がることから、当⾯は JR において統計処理を⾏ってから外部提供を⾏うこと等も課題解決の⼀つとされた。

９

図表 2-2 個⼈情報、仮名加⼯情報、匿名加⼯情報の規律の主な差異のイメージ20
個⼈情報

仮名加⼯情報21

匿名加⼯情報（個⼈情報であるもの）
⽣存する個⼈に関する情報であって、当該情報に含まれる⽒
名、⽣年⽉⽇その他の記述等により特定の個⼈を識別することができるもの（他の情定義報と容易に照合することができ、それにより特定の個⼈を識別す

他の情報と照合しない限り
特定の個⼈を識別することができないように個⼈情報を加⼯して得られる個⼈に関する情報

特定の個⼈を識別することができないように個⼈情報を加⼯して得られる個⼈に関する情報であって、当該個⼈情報を復元することができないようにしたもの

ることができることとなるものを含む。）⼜は個⼈識別符号が含まれるもの
適

特定の個⼈を識別正することができる記述

な

等の削除

加

個⼈識別符号の削

⼯

除

〇

〇

〇

〇

不正に利⽤されることにより財産的被害が⽣じるおそれのある記述等の削除〇×（規制なし）（規制なし）
×

情報を相互に連結する符号の削除（規制なし）
×

特異な記述等の削除（規制なし）

個⼈情報データベー×ス等の性質を踏まえ（規制なし）

たその他の措置
利⽤⽬的の制限等

・利⽤⽬的の特定が・利⽤⽬的の特定が必要（利⽤⽬的の特定、変必要・利⽤⽬的の変更は可能

更の制限）

・原則あらかじめ同意・本⼈を識別しない、本⼈

20

×

〇
〇

〇

×
（規制なし）

必ずしも適⽤される規律の全てを網羅的に記載したものではない。各規律の詳細については、通則ガイドライン及びガイドラインを参照

のこと。
21

個⼈情報である仮名加⼯情報に係る規律を記載した。なお、個⼈情報である仮名加⼯情報と個⼈情報でない仮名加⼯情報については、「3.1.2.3 個⼈情報である仮名加⼯情報と個⼈情報でない仮名加⼯情報とは」を参照のこと。

１０

を取得しなければ利に連絡しないこと等が条件

⽤⽬的の変更は不可
通知・公表

・匿名加⼯情報の作成時に匿名加⼯情報に含まれる個⼈に・仮名加⼯情報を取得した

関する情報の項⽬を公表

・利⽤⽬的の通知・

場合⼜は利⽤⽬的を変更

・第三者提供をするときは、あ公表などした場合は、原則利⽤⽬

らかじめ第三者提供される匿的の公表が必要

名加⼯情報に含まれる個⼈に関する情報の項⽬、提供の⽅法を公表

利⽤する必要がなくなった
ときの消去

〇

〇

×

（努⼒義務）（努⼒義務）（規制なし）

安全管理措置〇〇（仮名加⼯情報、削除情報等について義務）

漏えい等報告等
第三者提供に係る規律〇原則あらかじめ同意を取得しなければ第三者提供できない

開⽰・利⽤停⽌等の請
求対応
識別⾏為の禁⽌本⼈への連絡の禁⽌〇（匿名加⼯情報について努
⼒義務、加⼯⽅法等情報について義務）

×

×

（対象外）

（対象外）

原則第三者提供は禁⽌だ
が例外（法令に基づく場

第三者提供は可

合、委託、事業の承継、

ただし公表義務有共同利⽤）あり
×

×

（対象外）

（対象外）

×

〇

〇

（識別⾏為について（識別⾏為を禁⽌する規（識別⾏為を禁⽌する規定の規律なし）

定あり）

あり）

〇

―

×
（利⽤⽬的の範囲〇内であれば可）（匿名加⼯情報を⽤いて本⼈への連絡を⾏うことは不可
能）１１

3. 仮名加⼯情報
3.1

仮名加⼯情報とは
3.1.1 仮名加⼯情報を利⽤する際の考え⽅
3.1.1.1

仮名加⼯情報の特徴

仮名加⼯情報の制度は、個⼈情報や匿名加⼯情報、統計情報と⽐較し、⼤要、以下の 3 つの特徴がある。
第⼀に、仮名加⼯情報は、変更前の利⽤⽬的と関連性を有すると合理的に認められる範囲を超える利⽤⽬的の変更を本⼈の同意なく⾏うことが可能である22。
個⼈情報取扱事業者は、個⼈情報を取り扱うに当たっては、その利⽤⽬的をできる限り具体的に特定しなければならない。特定された利⽤⽬的の達成に必要な範囲を超えて、個⼈情報を取り扱うためには原則としてあらかじめ本⼈の同意を得なければならない。しかし、仮名加⼯情報を利⽤することで、それが個⼈情報である場合であっても、必要に応じて特定していた利⽤⽬的を本⼈の同意なく変更することができ、変更した利⽤⽬的を公表している限り新たなニーズのために当該情報を活⽤する
ことができる。
第⼆に、仮名加⼯情報は、匿名加⼯情報や統計情報と⽐べて個⼈ごとの特徴を詳細に残して加⼯を⾏うことができる23。
．．．．．．．．．．．．
仮名加⼯情報は、「他の情報と照合しない限り特定の個⼈を識別することができないように個⼈情報を加⼯」すればよく、匿名加⼯情報のように、「特定の個⼈を識別することができないように個⼈情報を加⼯」し、かつ、「当該個⼈情報を復元することができないようにする」24ことまでは求められていない。そして、仮名加⼯情報の加⼯基準には、匿名加⼯情報の加⼯基準である施⾏規則第 34 条第3 号（情報を相互に連結する符号の削除）、同条第 4 号（特異な記述の削除）及び同条第 5号（個⼈情報データベースとの性質を踏まえたその他の措置）に相当する基準等がないため、個⼈
情報データベース等の性質に応じた個別の対応を⾏う必要がない。
また、統計情報が特定の個⼈との対応関係が排斥されている限りにおいて「個⼈に関する情報」に該当するものではないことに対し、仮名加⼯情報は個⼈情報である場合も想定されているとおり25、個⼈単位の「個⼈に関する情報」である。
したがって、仮名加⼯情報を作成する際は、個⼈ごとの特徴を詳細に残して⽐較的簡便に加⼯を⾏うことができる。
第三に、仮名加⼯情報は、「他の情報と照合しない限り特定の個⼈を識別することができないように個⼈情報を加⼯」したものであり、万が⼀漏えい等が⽣じた場合であっても、加⼯前の個⼈情報が漏えい等した場合と⽐べると、加⼯により本⼈の権利利益が侵害されるリスクが相当程度低減されていることから、漏えい等が⽣じた際の報告等を⾏う必要がない2627。
22

法第 41 条第 3 項

23

法第 41 条第 1 項、施⾏規則第 31 条各号

24

匿名加⼯情報における「当該個⼈情報を復元することができないようにしたもの」については、「4.1.2.2『当該個⼈情報を復元することができないようにしたもの』とは」を参照。
25

詳細については、「3.1.2.3 個⼈情報である仮名加⼯情報と個⼈情報でない仮名加⼯情報とは」を参照のこと。

26

個⼈データである仮名加⼯情報は法第 41 条第 9 項により漏えい等報告等義務が免除される。また、個⼈情報でない仮名加⼯情報には、法第 26 条が課されない。
27

ただし、仮名加⼯情報である個⼈データの漏えい等が発⽣した場合に本⼈が被る権利利益の侵害の⼤きさを考慮し、事業の規模及び性質、仮名加⼯情報の取扱状況（取り扱う仮名加⼯情報の性質及び量を含む。）、仮名加⼯情報である個⼈データを記録した媒

１２

仮名加⼯情報の利活⽤による事例として、例えば、①

事業者が持つ⼀つのデータベースに含まれる個⼈情報を仮名加⼯情報に加⼯し利⽤⽬的を変
更する事例

②

事業者が持つ複数のデータベースに含まれる個⼈情報からそれぞれ仮名加⼯情報を作成し利⽤⽬的を変更した上で同⼀の個⼈ごとに突合して利⽤する事例
等が考えられる。
以上のとおり、仮名加⼯情報は、匿名加⼯情報や統計情報に⽐して加⼯前の個⼈情報における個⼈ごとの特徴を詳細に残した簡便な加⼯で⾜りるとされており、データとしての有⽤性をより⾼い⽔準で維持できることから、新たな活⽤の可能性が期待される。他⽅、仮名加⼯情報には識別⾏為の禁⽌や本⼈への連絡等の禁⽌等の個⼈情報とは異なる規律があるため、これらに違反しないよう措置を講ずることが必要である。
．．．．．．．．．．．．
また、「他の情報と照合しない限り特定の個⼈を識別することができない」という仮名加⼯情報の性
質上、その内容次第で個⼈の権利利益の侵害リスクが⽣じ得るため、かかるリスクの⼤きさや内容を踏まえた対応を⾏うことが重要である。
具体的には、当該仮名加⼯情報の利⽤⽬的や活⽤⽅法等を踏まえつつ、作成した仮名加⼯情報の取扱いにより法の規定に反する事態が⽣じる可能性や、仮名加⼯情報について漏えいが発⽣した場合の個⼈の権利利益の侵害リスクも考慮し、これらを低減・回避するような措置を講ずることが重要である。
3.1.1.2

仮名加⼯情報の活⽤例

前述の仮名加⼯情報の特徴を⽣かし、匿名加⼯情報や統計情報では実現できなかった活⽤例が考えられることを、事例編で紹介する事例を⽤いて述べる。事例編では加⼯⽅法等も紹介しているため、詳細については事例編を参照されたい。
【事例 1︓事業者が持つ⼀つのデータベースに含まれる個⼈情報を仮名加⼯情報に加⼯し利⽤⽬
的を変更する事例】
事例 1 は、オンライン通販事業を営む事業者が、オンライン通販事業により取得した購買情報の利⽤⽬的を変更し、新規事業である実店舗事業の出店計画を検討するために利⽤することを⽬的に、
以下のように仮名加⼯情報を作成している。

体の性質等に起因するリスクに応じて、必要かつ適切な安全管理措置を講じなければならないことは「3.3.6 安全管理措置について」を参照。

１３

図表 3-1

まず、個⼈情報を利⽤する場合、特定された利⽤⽬的の達成に必要な範囲を超えて、個⼈情報を取り扱うためには原則としてあらかじめ本⼈の同意を得なければならないが、仮名加⼯情報に加⼯することで、それが個⼈情報である場合であっても、本⼈の同意なく利⽤⽬的を変更することができ、変更後の利⽤⽬的を公表すればよい。
他⽅、匿名加⼯情報や統計情報も、加⼯前の個⼈情報についてあらかじめ特定された利⽤⽬的とは異なる⽬的で利⽤することができるが、匿名加⼯情報を作成するには、特定の個⼈を識別できず、かつ当該個⼈情報を復元することができないように加⼯しなければならない。また統計情報とは、複数⼈の情報から共通要素に係る項⽬を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向⼜は性質などを数量的に把握するものである。統計情報は、特定の個⼈との対応関係が排斥されている限りにおいては、法における「個⼈に関する情報」に該当するものではないため、規制の対象外となる（ガイドライン「3-1-1 匿名加⼯情報（法第 2 条第 6 項関係）」）（「4.3.4.1 統計情報について」も参照のこと。）が、このような統計情報では個⼈単位での分析をすることはできない。
しかし、仮名加⼯情報制度を利⽤することで、匿名加⼯情報より詳細な情報を残して加⼯することができる。また、仮名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈を識別しない限り、個⼈単位での分析をすることもできる。
また、⼀旦統計情報に加⼯してしまうと当該統計情報の分析⼿法は限定されたものになるのに対し、
仮名加⼯情報であれば分析⼿法を事後的に柔軟に選択・変更することができ、その結果探索的な分析が可能となる。
【事例２︓事業者が持つ複数のデータベースに含まれる個⼈情報からそれぞれ仮名加⼯情報を作成し利⽤⽬的を変更した上で同⼀の個⼈ごとに突合して利⽤する事例】
事例２は、実店舗事業とオンライン通販事業を営む事業者が各事業で取得した異なる利⽤⽬的が特定された複数のデータベースを構成する個⼈情報を、仮名加⼯情報に加⼯し、利⽤⽬的を変更
した上突合し、購買履歴の分析のために利⽤する事例である。

１４

図表 3-3

事例２では、作成した仮名加⼯情報を突合するために⽒名と⽣年⽉⽇の組合せから仮 ID を付している。匿名加⼯情報を作成する場合、⽒名と⽣年⽉⽇の組合せを仮 ID に置き換えた場合における、⽒名、⽣年⽉⽇及び仮 ID の対応表や、⽒名等の仮ＩＤへの置き換えに⽤いた置き換えアルゴ
リズムと乱数等のパラメータの組合せを保有している場合の乱数等のパラメータはその都度削除しなければならず、そのため仮 ID の⽣成に同⼀のパラメータを⽤いることはできないことから、同⼀の⽒名及び
⽣年⽉⽇を含む別の情報について同じ仮 ID を付することは実質的に不可能である。
しかし、仮名加⼯情報は、⽒名と⽣年⽉⽇の組合せ及び仮 ID の対応表や仮ＩＤへの置き換えに⽤いた乱数等のパラメータを削除する必要はなく、同⼀の個⼈に対し同⼀の仮 ID を付し、当該仮ID を⽤いて仮名加⼯情報の突合を⾏うことができる。

3.1.2 仮名加⼯情報の定義
仮名加⼯情報（仮名加⼯情報データベース等を構成するものに限らない。以下 3.1.2.2 まで同じ。）
は、法において次のように定義されており、また、ガイドラインにおいて次のように解説している。
法第 2 条第５項
この法律において「仮名加⼯情報」とは、次の各号に掲げる個⼈情報の区分に応じて当該各号に定める措置を講じて他の情報と照合しない限り特定の個⼈を識別することができないように個⼈情報を加⼯し１５て得られる個⼈に関する情報をいう。
⼀ 第⼀項第⼀号に該当する個⼈情報

当該個⼈情報に含まれる記述等の⼀部を削除すること（当該⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
⼆ 第⼀項第⼆号に該当する個⼈情報

当該個⼈情報に含まれる個⼈識別符号の全部を削除すること（当該個⼈識別符号を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
ガイドライン ２-１-１仮名加⼯情報（法第２条第５項）「仮名加⼯情報」とは、個⼈情報を、その区分に応じて次に掲げる措置を講じて他の情報と照合しない
限り特定の個⼈を識別することができないように加⼯して得られる個⼈に関する情報をいう。
（1）法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等により特定の個⼈を識別できるもの（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなるものを含む。）」である個⼈情報の場合
当該個⼈情報に含まれる記述等の⼀部を削除すること（2）法第 2 条第 1 項第 2 号に該当する「個⼈識別符号が含まれる」個⼈情報の場合当該個⼈情報に含まれる個⼈識別符号の全部を削除すること（この措置を講じた上で、まだなお法第 2 条第 1 項
第 1 号に該当する個⼈情報であった場合には、同号に該当する個⼈情報としての加⼯を⾏う必要がある。）「削除すること」には、「当該⼀部の記述等」⼜は「当該個⼈識別符号」を「復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない⽅法」とは、置き換えた記述等から、置き換える前の特定の個⼈を識別することとなる記述等⼜は個⼈識別符号の内容を復元することができない⽅法である。
なお、法において「特定の個⼈を識別することができる」とは、情報単体⼜は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、⼀般⼈の判断⼒⼜は理解⼒をもって⽣存する具体的な⼈物と情報の間に同⼀性を認めるに⾄ることができるかどうかによるものである。仮名加⼯情報に求められる「他の情報と照合しない限り特定の個⼈を識別することができない」という要件は、加⼯後の情報それ⾃体により特定の個⼈を識別することができないような状態にすることを求めるものであり、当該加⼯後の情報とそれ以外の他の情報を組み合わせることによって特定の個⼈を識別することができる状態にあることを否定するものではない。
仮名加⼯情報を作成するときは、法第 41 条第 1 項に規定する個⼈情報の保護に関する法律施⾏規則（平成 28 年個⼈情報保護委員会規則第 3 号。以下「規則」という。）で定める基準に従って加⼯する必要があり、法第 2 条第 5 項に定める措置を含む必要な措置は当該規則で定めている（仮名加⼯情報の作成に必要な加⼯義務については、2-2-2-1（仮名加⼯情報の適正な加⼯）参照）
仮名加⼯情報は、個⼈情報から作成されるものであり、他の情報と照合しない限り特定の個⼈を識別で
１６

きない、個⼈に関する情報である。個⼈に関する情報であるということは、すなわち情報の単位としては⼀⼈⼀⼈に対応した情報であることが許容されるものである。なお、仮名加⼯情報制度の対象となる仮名加⼯
情報については、仮名加⼯情報の集合体として、法第 16 条第５項において定義されている「仮名加⼯情報データベース等」を構成するものとされている。
3.1.2.1「特定の個⼈を識別することができる」とはガイドラインにも記載されているように、法において「特定の個⼈を識別することができる」とは、情報
単体⼜は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、⼀般⼈の判断⼒⼜は理解⼒をもって⽣存する具体的な⼈物と情報の間に同⼀性を認めるに⾄ることができるかどうかによるものである。
3.1.2.2「他の情報と照合しない限り特定の個⼈を識別することができない」とはガイドラインにも記載されているように、仮名加⼯情報に求められる「他の情報と照合しない限り特定の個⼈を識別することができない」という要件は、加⼯後の情報それ⾃体により特定の個⼈を識別することができないような状態にすることを求めるものであり、当該加⼯後の情報とそれ以外の他の情報を照合することによって特定の個⼈を識別することができ得ることを否定するものではない。
上記のとおり、「特定の個⼈を識別することができない」とは、⼀般⼈の判断⼒⼜は理解⼒を基準として判断されるものであり、⼀般⼈において想定されないような⼿法や、⼀般的に⼊⼿できないような外部情報を利⽤したりする等のあらゆる⼿法によって特定や復元を試みたとしてもできないというように、技術的側⾯から全ての可能性を排除することまでを求めるものではない。
3.1.2.3

個⼈情報である仮名加⼯情報と個⼈情報でない仮名加⼯情報とは個⼈情報である仮名加⼯情報と、個⼈情報でない仮名加⼯情報は、ガイドラインにおいて次のように解説されている。
ガイドライン ２-２-１ 仮名加⼯情報の取扱いに係る義務の考え⽅
法第 4 章第 3 節においては、仮名加⼯情報を作成する個⼈情報取扱事業者及び仮名加⼯
情報データベース等を事業の⽤に供している仮名加⼯情報取扱事業者が、仮名加⼯情報を取り扱う場合等に遵守すべき義務を規定している。
仮名加⼯情報取扱事業者において、仮名加⼯情報の作成の元となった個⼈情報や当該仮名加⼯情報に係る削除情報等（※1）を保有している等により、当該仮名加⼯情報が「他の情報と容易に照合することができ、それにより特定の個⼈を識別することができる」状態にある場合には、
当該仮名加⼯情報は、「個⼈情報」（法第 2 条第 1 項）に該当する。この場合、当該仮名加⼯情報取扱事業者は、情報である仮名加⼯情報の取扱いに関する義務等を遵守する必要がある（2-2-3（個⼈情報である仮名加⼯情報の取扱いに関する義務等）参照）。
これに対し、例えば、法第 41 条第 6 項⼜は第 42 条第 1 項若しくは第 2 項の規定により仮名加⼯情報の提供を受けた仮名加⼯情報取扱事業者において、当該仮名加⼯情報の作成の元となった個⼈情報や当該仮名加⼯情報に係る削除情報等を保有していない等により、当該仮名加⼯情報が「他の情報と容易に照合することができ、それにより特定の個⼈を識別することができる」状
態にない場合には、当該仮名加⼯情報は、「個⼈情報」（法第 2 条第 1 項）に該当しない。この場合、当該仮名加⼯情報取扱事業者は、個⼈情報でない仮名加⼯情報の取扱いに関する義
１７

務等を遵守する必要がある（2-2-4（個⼈情報でない仮名加⼯情報の取扱いに関する義務等）参照）。
ガイドラインにも記載されているように、仮名加⼯情報が「他の情報と容易に照合することができ、それにより特定の個⼈を識別することができる」状態にある場合には、当該仮名加⼯情報は、「個⼈情報」（法第 2 条第 1 項）に該当する。また、仮名加⼯情報が「他の情報と容易に照合することができ、それにより特定の個⼈を識別することができる」状態にない場合には、当該仮名加⼯情報は、「個⼈情報」（法第 2 条第 1 項）に該当しない。
個⼈情報である仮名加⼯情報に当てはまる例としては、仮名加⼯情報を取り扱う事業者において、
当該仮名加⼯情報の作成の元となった個⼈情報や当該仮名加⼯情報に係る削除情報等を取り扱っていること等により、当該仮名加⼯情報が「他の情報と容易に照合することができ、それにより特定の個⼈を識別することができる」状態にある場合が挙げられる。このような個⼈情報である仮名加⼯情報を取り扱う事業者は個⼈情報取扱事業者である仮名加⼯情報取扱事業者となる。
個⼈情報ではない仮名加⼯情報に当てはまる例としては、例えば、法令に基づく場合⼜は委託、事業承継若しくは共同利⽤により仮名加⼯情報が提供された場合で、当該提供先において、当該
仮名加⼯情報の作成の元となった個⼈情報や当該仮名加⼯情報に係る削除情報、これらの情報以外で当該仮名加⼯情報と容易に照合することで特定の個⼈を識別することができる情報等を取り扱っていないこと等により、当該仮名加⼯情報が「他の情報と容易に照合することができ、それにより特定の個⼈を識別することができる」状態にない場合が挙げられる。
また、仮名加⼯情報を作成した個⼈情報取扱事業者が事後的に当該仮名加⼯情報の作成の元となった個⼈情報や当該仮名加⼯情報に係る削除情報等を削除したこと等により、当該事業者において、当該仮名加⼯情報が「他の情報と容易に照合することができ、それにより特定の個⼈を識別することができる」状態でなくなった場合にも、個⼈情報ではない仮名加⼯情報に該当する。

3.1.3 「仮名加⼯情報取扱事業者」とは仮名加⼯情報取扱事業者については、ガイドラインにおいて次のように解説されている。
法第 16 条第 5 項
この章、第 6 章及び第 7 章において「仮名加⼯情報取扱事業者」とは、仮名加⼯情報を含む情報の集合物であって、特定の仮名加⼯情報を電⼦計算機を⽤いて検索することができるように体系的に構成したものその他特定の仮名加⼯情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第 41 条第 1 項において「仮名加⼯情報データベース等」という。）を事業の⽤に供している者をいう。ただし、第 2 項各号に掲げる者を除く。
施⾏令第 6 条
法第 16 条第 5 項の政令で定めるものは、同項に規定する情報の集合物に含まれる仮名加⼯情報を⼀定の規則に従って整理することにより特定の仮名加⼯情報を容易に検索することができるように体系的に構成したものであって、⽬次、索引その他検索を容易にするためのものを有するものをいう。
ガイドライン ２-1-2 仮名加⼯情報取扱事業者「仮名加⼯情報取扱事業者」とは、仮名加⼯情報データベース等を事業の⽤に供している者のうち、
１８

国の機関、地⽅公共団体、法第 2 条第 9 項に規定する独⽴⾏政法⼈等（別表第 2 に掲げる法⼈を除く。）及び法第 2 条第 10 項に規定する地⽅独⽴⾏政法⼈を除いた者をいう。
「仮名加⼯情報を含む情報の集合物であって、特定の仮名加⼯情報を電⼦計算機を⽤いて検索することができるように体系的に構成したもの」とは、特定の仮名加⼯情報をコンピュータを⽤いて検索することができるように体系的に構成した、仮名加⼯情報を含む情報の集合物をいう。また、コンピュータを⽤いていない場合であっても、紙媒体の仮名加⼯情報を⼀定の規則に従って整理・分類し、特定の仮名加⼯情報を容易に検索することができるよう、⽬次、索引、符号等を付し、他⼈によっても容易に検索可能な状態に置いているものも該当する。
ここでいう「事業の⽤に供している」の「事業」とは、⼀定の⽬的をもって反復継続して遂⾏される同種の⾏為であって、かつ社会通念上事業と認められるものをいい、営利・⾮営利の別は問わない。なお、法⼈
格のない、権利能⼒のない社団（任意団体）⼜は個⼈であっても、仮名加⼯情報データベース等を事
業の⽤に供している場合は、仮名加⼯情報取扱事業者に該当する。
ガイドラインにも記載されているように、「仮名加⼯情報取扱事業者」とは、仮名加⼯情報データベース等を事業の⽤に供している者のうち、国の機関、地⽅公共団体、法第 2 条第 9 項に規定する独⽴⾏政法⼈
等（別表第 2 に掲げる法⼈を除く。）及び法第 2 条第 10 項に規定する地⽅独⽴⾏政法⼈を除いた者をいう。
なお、個⼈情報である仮名加⼯情報（「3.1.2.4 個⼈情報である仮名加⼯情報と個⼈情報でない仮名加⼯情報」を参照のこと。）を含む仮名加⼯情報データベース等を事業の⽤に供している者は、仮名加⼯情報取扱事業者であり、個⼈情報取扱事業者でもある。

3.1.4 仮名加⼯情報を取り扱う上での制約
仮名加⼯情報を作成する個⼈情報取扱事業者は、法第 41 条第 1 項の適正加⼯義務及び削除情報等の漏えいを防⽌するための安全管理措置を遵守する必要がある。また、仮名加⼯情報を作成した事
業者等の個⼈情報取扱事業者である仮名加⼯情報取扱事業者は、個⼈情報である仮名加⼯情報を取扱う場合、利⽤⽬的の範囲内での利⽤28、利⽤⽬的の公表（仮名加⼯情報の取得時29及び仮名加⼯
情報に係る利⽤⽬的の変更時30）、利⽤する必要がなくなった場合の消去（努⼒義務）31、第三者提供の禁⽌32、識別⾏為の禁⽌33、本⼈への連絡等の禁⽌34に関する規律がかかることになる。その他、不28

法第 41 条第 3 項

29

個⼈情報取扱事業者が、⾃らが保有する個⼈情報を加⼯して仮名加⼯情報を作成した場合には、仮名加⼯情報の「取得」には該当しないことについて「3.3.1 利⽤⽬的との関係」参照。
30

法第 41 条第 4 項

31

法第 41 条第 5 項

32

法第 41 条第 6 項

33

法第 41 条第 7 項

34

法第 41 条第 8 項

１９適正利⽤の禁⽌35、適正取得36、仮名加⼯情報の漏えい等を防⽌するための安全管理措置37、従業者の監督38、委託先の監督39及び苦情処理に関する規律40も適⽤される。
また、仮名加⼯情報取扱事業者が個⼈情報ではない仮名加⼯情報を取り扱う場合には、上記の個⼈情報である仮名加⼯情報を取り扱う場合とは異なり、法第 42 条の規定（第三者提供の禁⽌、識別⾏為の禁⽌、本⼈への連絡等の禁⽌等）を遵守する必要がある。

3.1.5 仮名加⼯情報の作成とは
仮名加⼯情報については、法第 41 条第 1 項で規定されているように、施⾏規則で定める基準に従って
個⼈情報を加⼯することとされている。
法第 41 条第１項
個⼈情報取扱事業者は、仮名加⼯情報（仮名加⼯情報データベース等を構成するものに限る。以下この章及び第六章において同じ。）を作成するときは、他の情報と照合しない限り特定の個⼈を識別することができないようにするために必要なものとして個⼈情報保護委員会規則で定める基準に従い、個⼈情報を加⼯しなければならない。
また、「仮名加⼯情報の作成」については、ガイドラインでは次のように解説している。
ガイドライン ２-２-２-１ 仮名加⼯情報の適正な加⼯（法第 41 条第 1 項関係）
個⼈情報取扱事業者は、仮名加⼯情報（仮名加⼯情報データベース等を構成するものに限る（※
1）。2-2-3-7（その他の義務等）を除き、以下同じ。）を作成するとき（※2）は、他の情報と照合しない限り特定の個⼈を識別することができないようにするために、規則第 31 条各号に定める基準に従って、個⼈情報を加⼯しなければならない。なお、「個⼈情報保護委員会規則で定める基準に従い、個⼈情報を加⼯」するためには、加⼯する情報の性質に応じて、規則第 31 条各号に定める加⼯基準を満たす必要がある。
（※1）仮名加⼯情報の取扱いに係る法第 4 章第 3 節の規律（法第 41 条及び第 42 条）は、仮名加⼯情報データベース等を構成する仮名加⼯情報に適⽤されるものである。いわゆる散在情報となる、仮名加⼯情報データベース等を構成しない仮名加⼯情報には、法第 4 章第 3 節の規律は適⽤されない。
（※2）「作成するとき」は、仮名加⼯情報として取り扱うために、当該仮名加⼯情報を作成するときのことを指す。したがって、例えば、安全管理措置の⼀環として⽒名等の⼀部の個⼈情報を削除（⼜は他の記述等に置き換え）した上で引き続き個⼈情報として取り扱う場合、あるいは匿名
加⼯情報⼜は統計情報を作成するために個⼈情報を加⼯する場合等については、仮名加⼯情報を「作成するとき」には該当しない。

35

法第 19 条36

法第 20 条第 1 項

37

法第 23 条38

法第 24 条39

法第 25 条40

法第 40 条２０

仮名加⼯情報を作成するには、施⾏規則第 31 条各号で定められた加⼯基準に沿った加⼯を⾏わなければならない（詳細については「3.2.1 仮名加⼯情報の加⼯基準（施⾏規則 31 条）について」を参照のこと。）。
ガイドライン中に記載されているように、「仮名加⼯情報を作成する」とは、仮名加⼯情報の作成意図をもって、法で規定された仮名加⼯情報として取り扱うことを⽬的として仮名加⼯情報を作成するときのことを指すものである。「法で規定された仮名加⼯情報として取り扱う」とは、本⼈の同意を得ないで新たな⽬的のために活⽤する場合や、開⽰等請求等の請求に対応しない場合等が想定される。
つまり、仮名加⼯情報を作成する意図がなく、かつ、個⼈情報として取り扱うことを前提にしたデータの加⼯については、法律上の「仮名加⼯情報の作成」に該当するものではないのであり、このようなデータの加⼯に対して、仮名加⼯情報制度の対象となるものではなく、通常の個⼈情報に係る規律が適⽤される。かかる
データの加⼯としては、次のようなケースが該当する。
● 社内での安全管理上、⽒名等を削除して扱うデータ
事業者が個⼈情報を取り扱う中で、ユーザーの傾向やマーケット全体の分析等を⾏うに当たって、安全管
理上、⽒名等、分析に必要のない個⼈情報を削除するケースがよくある。
このような、個⼈データの安全管理措置として個⼈情報に含まれる⼀定の記述等を削除することで、形式的には仮名加⼯情報の加⼯基準に沿った加⼯がなされている場合がある。しかし、当該加⼯を個⼈情報の安全管理措置として⾏っており、仮名加⼯情報の作成意図はなく、個⼈情報として引き続き取り扱う前提である場合には、法律上の「仮名加⼯情報の作成」には該当しない。
この場合、加⼯された情報には仮名加⼯情報の取扱いに係る規律は適⽤されない41。

41

すなわち、特定された利⽤⽬的と関連性を有すると合理的に認められる範囲を超える利⽤⽬的の変更はできないが（法第 17 条第2 項）、本⼈の同意に基づき個⼈データの第三者提供をしたり（法第 27 条第 1 項）、特定された利⽤⽬的の範囲内で当該個⼈情報に含まれる情報を⽤いて本⼈に連絡等を⾏ったりすることができる。ただし、通常の個⼈情報として規律の適⽤はある。

２１

【別表第⼆法⼈等と⾏政機関等における仮名加⼯情報の取扱いについて】
令和 3 年 5 ⽉ 19 ⽇に公布されたデジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）第 50 条及び第 51 条により、個⼈情報保護法、⾏政機関個⼈情報保護法、独⽴⾏政法⼈等個⼈情報保護法の 3 本の法律を 1 本の法律に統合するとともに、地⽅公共団体等の個⼈
情報保護制度についても統合後の法律において全国的な共通ルールを規定し、全体の所管を個⼈情報保護委員会に⼀元化することとなった。このうち、同法第 50 条による改正部分（⾏政機関及び独⽴⾏政法⼈等を対象とするもの）は令和 4 年 4 ⽉ 1 ⽇より、同法第 51 条による改正部分（地⽅公共団体の機関及び地⽅独⽴⾏政法⼈を対象とするもの）は令和 5 年春頃に施⾏される。
上記改正により法別表第 2 に掲げる法⼈42及び、独⽴⾏政法⼈労働者健康安全機構が病院の運営業
務を⾏う場合の仮名加⼯情報の取扱いについては、原則として本レポートにおいて考え⽅を⽰す第 4 章第 3
節の仮名加⼯情報制度に係る規律が適⽤される（法第 58 条）4344。
また、上記法⼈等以外の⾏政機関等45においては、個⼈情報取扱事業者から委託や共同利⽤により仮
名加⼯情報を取得することが考えられ、個⼈情報である仮名加⼯情報を取り扱う場合は、個⼈情報の取扱
いに係る規律が適⽤される。他⽅、個⼈情報でない仮名加⼯情報を取り扱うにあたっては、個⼈情報取扱事
業者及び仮名加⼯情報取扱事業者とは異なり以下の義務が課される（法第 73 条）。
① 法令に基づく場合を除いて仮名加⼯情報を第三者（当該仮名加⼯情報の取扱いの委託を受けた者を除く）に提供することの禁⽌（第 1 項）
② 仮名加⼯情報の安全管理措置（第 2 項）
③ 本⼈を識別するために削除情報等を取得し、⼜は当該仮名加⼯情報を他の情報と照合することの禁⽌（第 3 項）
④ 法令に基づく場合を除き、本⼈へ電話をかける等のために連絡先その他の情報を利⽤することの禁⽌（第 4 項）42

沖縄科学技術⼤学院⼤学学園、国⽴研究開発法⼈、国⽴⼤学法⼈、⼤学共同利⽤機関法⼈、独⽴⾏政法⼈国⽴病院機構、独⽴⾏政法⼈地域医療機能推進機構及び放送⼤学学園
43

同法第 51 条による改正部分施⾏後は、地⽅公共団体の機関であっても、医療法第 1 条の 5 第 1 項に規定する病院及び同条

第 2 項に規定する診療所並びに学校教育法第 1 条に規定する⼤学の運営業務を⾏う場合の仮名加⼯情報の取扱いにも第 4 章第3 節の仮名加⼯情報に係る規律が適⽤される。また、地⽅独⽴⾏政法⼈のうち地⽅独⽴⾏政法⼈法第 21 条第 1 号に掲げる業務を主たる⽬的とするもの⼜は同条第 2 号（公⽴⼤学法⼈）若しくは第 3 号（チに係る部分に限る。）に掲げる業務を⽬的とする者についても、第 4 章第 3 節の仮名加⼯情報に係る規律が適⽤される。
44

取り扱う仮名加⼯情報が保有個⼈情報である場合は、公的部⾨に関する開⽰等請求に係る規律が適⽤されることに留意が必要である。
45

法第 2 条第 11 項に定めるもの。法別表第⼆に掲げる法⼈は該当しない。なお、独⽴⾏政法⼈労働者健康安全機構は⾏政法⼈等に該当するものの、病院の運営業務を⾏う場合の仮名加⼯情報の取扱いについては、法第 4 章第 3 節の規律が適⽤される（法第58 条第 2 項）。

２２

3.2

仮名加⼯情報の作成に当たって求められる加⼯
3.2.1 仮名加⼯情報の加⼯基準（施⾏規則 31 条）について
法第 41 条第 1 項では、個⼈情報取扱事業者は仮名加⼯情報を作成するに当たって、施⾏規則で定める基準に従うこととされており、その基準については、施⾏規則第 31 条で規定されている。施⾏規則第 31
条は全 3 号で構成されており、仮名加⼯情報を作成する際は、各号を選択的に講ずるのではなく、各号全ての措置を⾏う必要がある（ただし、該当する情報がない場合は、この限りではない）。
3.2.1.1

第 1 号（特定の個⼈を識別することができる記述等の削除）

規則第 31 条第 1 号
個⼈情報に含まれる特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除すること（当該全部⼜は⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
ガイドライン ２-２-２-１-１ 特定の個⼈を識別することができる記述等の削除
個⼈情報取扱事業者が取り扱う個⼈情報には、⼀般に、⽒名、住所、⽣年⽉⽇、性別の他、様々な個⼈に関する記述等が含まれている。これらの記述等は、⽒名のようにその情報単体で特定の個⼈を識別することができるもののほか、住所、⽣年⽉⽇など、これらの記述等が合わさることに
よって特定の個⼈を識別することができるものもある。このような特定の個⼈を識別できる記述等か
ら全部⼜はその⼀部を削除するあるいは他の記述等に置き換えることによって、特定の個⼈を識別することができないよう加⼯しなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない⽅法でなければならない（※1）。例えば、⽣年⽉⽇の情報を⽣年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。
【想定される加⼯の事例（※2）】
事例 1）会員 ID、⽒名、年齢、性別、サービス利⽤履歴が含まれる個⼈情報を加⼯する場
合に次の措置を講ずる。
1）⽒名を削除する。
事例 2）⽒名、住所、⽣年⽉⽇が含まれる個⼈情報を加⼯する場合に次の 1 から 3 までの措置を講ずる。
1）⽒名を削除する。
2）住所を削除する。⼜は、○○県△△市に置き換える。
3）⽣年⽉⽇を削除する。⼜は、⽇を削除し、⽣年⽉に置き換える。
（※1）他の記述等への置き換えとして、仮 ID を付す場合には、元の記述等を復元することのできる規則性を有しない⽅法でなければならない。
仮 ID を付す際の注意点については、3-2-2-1（特定の個⼈を識別することができる記述等の削除）の（※）を参照のこと。
（※2）講ずべき措置は、個別の事例ごとに判断する必要がある。例えば、⽒名の削除後、当該個⼈情報に含まれる他の記述等により、なお特定の個⼈を識別することができる場合には、当該記述等によって特定の個⼈を識別することができなくなるよう加⼯する必要がある。
２３

施⾏規則第 31 条第 1 号は、法第 2 条第５項第 1 号の規定に基づき、法第２条第 1 項第１号に該当する個⼈情報について、特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除する措置（当該全部⼜は⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述
等に置き換えることを含む。）を定めるものである。
法第２条第 1 項第１号に基づき「特定の個⼈を識別することができるもの（記述）」については、
通則ガイドラインにおいて次のような事例が例⽰されている。
通則ガイドライン 2-1
事例 1）本⼈の⽒名
事例 2）⽣年⽉⽇、連絡先（住所・居所・電話番号・メールアドレス）、会社における職位⼜は所属に関する情報について、それらと本⼈の⽒名を組み合わせた情報
事例 3）防犯カメラに記録された情報等本⼈が判別できる映像情報
事例 4）本⼈の⽒名が含まれる等の理由により、特定の個⼈を識別できる⾳声録⾳情報
事例 5）特定の個⼈を識別できるメールアドレス（kojin_ichiro@example.com 等のようにメールアドレスだけの情報の場合であっても、example 社に所属するコジンイチロウのメー
ルアドレスであることが分かるような場合等）
事例 6）個⼈情報を取得後に当該情報に付加された個⼈に関する情報（取得時に⽣存する
特定の個⼈を識別することができなかったとしても、取得後、新たな情報が付加され、⼜は照合された結果、⽣存する特定の個⼈を識別できる場合は、その時点で個⼈情報に該当する。）
事例 7）官報、電話帳、職員録、法定開⽰書類（有価証券報告書等）、新聞、ホームペー
ジ、SNS（ソーシャル・ネットワーク・サービス）等で公にされている特定の個⼈を識別できる情報
施⾏規則第 31 条第 1 号において措置を求められる「特定の個⼈を識別することができる記述等」
は、ガイドラインに記載の【想定される加⼯の事例】のように、情報単体⼜は組合せにより特定の個⼈を識別することができる個⼈情報に該当するものが対象になる。
講ずべき措置として、「記述等の全部⼜は⼀部を削除すること（当該全部⼜は⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）」が求められている。単体で特定の個⼈を識別することができる記述等（⽒名、顔画像等）についてはその全部を削除するとともに、組合せで特定の個⼈を識別することができる記述等についてはその組合せが特定の個⼈を識別することができる記述にならないように、記述等の全部⼜は⼀部を削除する必要がある。
具体的な加⼯⽅法としては、ガイドラインの事例にあるように、例えば、住所であれば「○○市」まで（⼈⼝の多い都⼼部であれば、「○○区」まで）、⽣年⽉⽇であれば「⽣年⽉」まで、あるいは「⽣年」までといったように、情報の項⽬それぞれについて⼀定程度曖昧化されるように部分的な削除や置き換
えを⾏う考え⽅が想定される。また、住所・⽣年⽉⽇・性別等の複数の項⽬の組合せで⼀意にならな
いように各項⽬の加⼯レベルを調整する考え⽅も想定される46。
46

匿名加⼯情報に関する技術検討ワーキンググループ「匿名加⼯情報の適正な加⼯の⽅法に関する報告書 2017 年 2 ⽉ 21 ⽇版」（https://www.nii.ac.jp/research/reports/pd/report-kihon-20170221.pdf）においては、「単項⽬型加⼯」と「複項⽬加⼯」という分類で解説されている。

２４

なお、携帯電話番号や電⼦メールアドレス47、SNS 等の ID48、クレジットカード番号等は、法⼈に関する番号等の符号との区別がつかない等の理由により特定の個⼈を識別し得る符号ではないが、⼀般的に本⼈と密接に関係し特定の個⼈を識別することにつながりやすい情報である。これらの情報を含め事業者において単体⼜は他の情報との組合せにより特定の個⼈を識別することができるものは、
個⼈情報に該当するものである。
【仮 ID への置き換えについて】
仮名加⼯情報の作成においては、情報単体で特定の個⼈を識別可能とする情報を削除することのほか、情報単体で特定の個⼈を識別可能な情報⼜はそれらの組合せ（例えば、⽒名＋連絡先）
を、元の個⼈情報を復元できる規則性を有しない⽅法により置き換えることも認められている。この際、元の個⼈情報を番号等の符号で置き換えた場合には、番号等の符号は仮 ID と捉えることができる。
仮 ID を付す⽅法としては、例えば、特定の個⼈を識別し得る⼀意の情報（⽒名やサービス ID 等）
や個⼈識別符号、⼜はそれらの組合せからなる⼊⼒（以下「⼊⼒情報」という。）それぞれに対して、所定のアルゴリズムにより出⼒される数値や記号列を付番するほか、⽒名やサービス ID 等の⼀意の情報を削除した後にランダムに番号や記号等を付番する処理等の⼿法が想定される。また、仮名加⼯
情報の加⼯基準である施⾏規則第 31 条各号の「削除」の要件として、「復元することのできる規則性を有しない⽅法により他の記述等に置き換える」必要があるため、仮 ID を⽤いる場合には、元の個⼈情報を復元することができないように仮 ID を⽣成する必要がある。仮 ID による置き換えを⾏う場
合は、その際に使⽤する⼿法の⻑所・短所を把握した上で⾏うことが必要である。
また、仮 ID が不要である場合には、再識別リスクを低減する意味から、仮 ID への置き換えを⾏わず、仮 ID の作成の元となる記述等の削除をすることが望ましい。
【ハッシュ関数による置き換えについて】
仮 ID に置き換える処理を⾏う際には、元の記述が復元されたり推定されたりしないようにする必要があり、その代表的な処理⽅法としてハッシュ関数を⽤いたハッシュ化がある。ハッシュ化とは、元のデー
タから⼀定の計算⼿順に従ってハッシュ値と呼ばれる規則性のない固定⻑の値を求め、その値によって元のデータを置き換える⽅法であり、ハッシュ関数と呼ばれる特殊な計算⼿順により、任意⻑のデータから固定⻑の⼀⾒ランダムなハッシュ値を得ることができる。
同じデータからは常に同じハッシュ値が得られる⼀⽅で、少しでもデータが異なるとまったく類似しない
別のハッシュ値が⽣成され、また、ハッシュ値から元のデータを割り出したり、同じハッシュ値を持つ別のデータを⽣成したりすることは極めて難しいことから、加⼯の際の仮 ID の⽣成⽅法の⼀つとして使⽤されることが多い。
なお、ハッシュ関数のアルゴリズムについては、安全性が確⽴されたものを利⽤することが望ましいと考えられるところ、例えば、CRYPTREC49が暗号技術を評価・検討し、安全性及び実装性能ともに優れ
47

電⼦メールアドレスに⽒名が含まれている等により、特定の個⼈を識別することができる場合、当該電⼦メールアドレスは、それ⾃体が単独で、個⼈情報に該当する。
48

Open ID の仕組み等により、SNS 等の ID を別の WEB サービスのアカウントとして使⽤する場合もあるため、これらの ID による名寄せも起こり得ると考えられる。
49

CRYPTREC とは、電⼦政府推奨暗号の安全性を評価・監視し、暗号技術の適切な実装法・運⽤法を調査・検討するプロジェクトである。総務省及び経済産業省が共同で運営する暗号技術検討会と、国⽴研究開発法⼈情報通信研究機構及び独⽴⾏政法⼈情報
処理推進機構が共同で運営する暗号技術評価委員会及び、暗号技術活⽤委員会で構成される。

２５

たものを選択した結果に基づき作成された電⼦政府推奨暗号リストにおいて挙げられているハッシュ関
数を利⽤することも推奨される。
さらに、ハッシュ化による仮 ID ⽣成に当たっては、ハッシュ関数への⼊⼒情報を（⽒名＋ソルト）、（⽒名＋電⼦メールアドレス＋ソルト）といったように、⼗分な⻑さのソルトを付加した上でハッシュ化をすることが望ましい。ソルトはランダムなデータを⽤いることと、ソルトが削除情報等50に当たることにも留意が必要である。
3.2.1.2

第 2 号（個⼈識別符号の削除）

施⾏規則第 31 条第 2 号
個⼈情報に含まれる個⼈識別符号の全部を削除すること（当該個⼈識別符号を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
ガイドライン ２-２-２-１-２ 個⼈識別符号の削除
加⼯対象となる個⼈情報が、個⼈識別符号を含む情報であるときは、当該個⼈識別符号単体で特定の個⼈を識別できるため、当該個⼈識別符号の全部を削除⼜は他の記述等へ置き換
えて、特定の個⼈を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない⽅法による必要がある。
（参考）個⼈識別符号の概要
個⼈識別符号とは、その情報単体から特定の個⼈を識別することができるものとして個⼈情報の保護に関する法律施⾏令（平成 15 年政令第 507 号。以下「政令」という。）で定めるものをいい、次のいずれかに該当するものである（個⼈識別符号の定義の詳細については、通則ガイ
ドライン「2-2（個⼈識別符号）」参照）。
（1）特定の個⼈の⾝体の⼀部の特徴を電⼦計算機の⽤に供するために変換した符号
・

⽣体情報（DNA、顔、虹彩、声紋、歩⾏の態様、⼿指の静脈、指紋・掌紋）をデジタ
ルデータに変換したもののうち、特定の個⼈を識別するに⾜りるものとして規則で定める基準に適合するもの（政令第 1 条第 1 号及び規則第 2 条）

（2）対象者ごとに異なるものとなるように役務の利⽤、商品の購⼊⼜は書類に付される符号
・

旅券番号、基礎年⾦番号、免許証番号、住⺠票コード、マイナンバー、各種保険証の番号等の公的機関が割り振る番号（政令第 1 条第 2 号から第 8 号まで、規則第 3条及び第 4 条）

施⾏規則第 31 条第 2 号は、法第 2 条第 6 項第 2 号で規定される措置を定めるものである。
法第２条第 2 項第 1 号で規定される個⼈識別符号（個⼈の⾝体の⼀部の特徴を電⼦計算機の⽤に供するため変換し特定の個⼈を識別することができるもの）及び法第 2 条第 2 項第 2 号で規定される個⼈識別符号（旅券番号や運転免許証の番号、個⼈番号等）については、その符号⾃体が特定の個⼈に割り当てられるものであり、個⼈識別符号単体で特定の個⼈を識別し得る情報であるとの位置付けから、それらを全部削除することが求められる。なお、仮 ID への置き換えについては、

50「3.3.7 削除情報等の安全管理措置」も参照のこと。

２６

4.1.2.1 の考え⽅と同様である。
なお、法第２条第２項第 1 号で定める個⼈識別符号の「規則で定める基準」について、通則ガイ
ドライン「2-2 個⼈識別符号（法第 2 条第 2 項関係）」における個⼈識別符号の解説においては、「本⼈を認証することができるようにしたもの」（DNA）⼜は「本⼈を認証することを⽬的とした装置やソフトウェアにより、本⼈を認証することができるようにしたもの」とされている。
3.2.1.3

第 3 号（不正に利⽤されることにより財産的被害の⽣じるおそれのある記述等の削除）

施⾏規則第 31 条第３号
個⼈情報に含まれる不正に利⽤されることにより財産的被害が⽣じるおそれがある記述等を削除すること（当該記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
ガイドライン ２-２-２-１-３ 不正に利⽤されることにより財産的被害が⽣じるおそれのある記
述等の削除
⼀般的にみて、不正に利⽤されることにより個⼈の財産的被害が⽣じるおそれが類型的に⾼い記述等については、それが漏えいした場合に個⼈の権利利益の侵害が⽣じる蓋然性が相対的に⾼いと考えられる。そのため、仮名加⼯情報を作成するに当たっては、当該記述等について削除⼜は他の記述等への置き換えを⾏わなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない⽅法による必要がある。
【想定される加⼯の事例】
事例 1）クレジットカード番号を削除する。
事例 2）送⾦や決済機能のあるウェブサービスのログイン ID・パスワードを削除する。

施⾏規則第 31 条第３号は、不正に利⽤されることにより財産的被害が⽣じるおそれが類型的に⾼い記述について削除することを求めるものである。
「財産的被害が⽣じるおそれ」の有無は、個⼈情報に含まれる記述等が不正に利⽤されることにより財産的被害が⽣じる蓋然性を考慮して判断されるため、例えば、ある記述等について不正に利⽤されることにより財産的被害が⽣じる可能性が理論上は否定できない場合であっても、その可能性が相当程度低いものである場合には、施⾏規則第 31 条第３号に基づく加⼯は求められない。
ガイドライン中に⽰したとおり、クレジットカード番号や、送⾦や決済機能のあるウェブサービスのログイ
ン ID・パスワードは、不正に利⽤されることにより個⼈の財産的被害が⽣じるおそれが類型的に⾼い記述等であるから、削除しなければならない。
他⽅、⼝座番号それ⾃体やクレジットカード番号の下４桁それ⾃体が不正に利⽤されることにより直ちに財産的被害が⽣じるおそれがあるとはいえないと考えられるため、⼝座番号それ⾃体や、クレジッ
トカード番号の下４桁それ⾃体については、施⾏規則第 31 条第３号における「不正に利⽤されることにより財産的被害が⽣じるおそれがある記述等」には該当しないと考えられる（Q&A14-８）。
２７もっとも、⼝座番号やクレジットカード番号の下４桁については、その部分を何らかの分析等に利⽤することは⼀般的に想定されず、基本的に削除⼜は置換することが望ましいと考えられる51。

51「3.3.5 漏えい等発⽣時の報告義務及び本⼈通知義務の免除」にも留意が必要である。

２８

3.3

仮名加⼯情報の作成・利⽤に当たっての留意点

本項で述べる事項のうち、「3.3.1 利⽤⽬的との関係」及び「3.3.4 不適正利⽤の禁⽌」は個⼈情報である仮名加⼯情報に係る事項である。その他は、個⼈情報である仮名加⼯情報と個⼈情報でない仮名加⼯情報の双⽅に係る事項である。
3.3.1 利⽤⽬的との関係
法第 41 条第 3 項から第５項まで規定されているように、個⼈情報である仮名加⼯情報の利⽤⽬的の変更やその際の公表には個⼈情報と、データ内容の正確性の確保等には個⼈データとは異なる規律が適⽤される。
法第 41 条第 3 項
３ 仮名加⼯情報取扱事業者（個⼈情報取扱事業者である者に限る。以下この条において同じ。）
は、第 18 条の規定にかかわらず、法令に基づく場合を除くほか、第 17 条第 1 項の規定により特定された利⽤⽬的の達成に必要な範囲を超えて、仮名加⼯情報（個⼈情報であるものに限る。以下この条において同じ。）を取り扱ってはならない。
４ 仮名加⼯情報についての第 21 条の規定の適⽤については、同条第 1 項及び第 3 項中「、本⼈に通知し、⼜は公表し」とあるのは「公表し」と、同条第 4 項第 1 号から第 3 号までの規定中「本⼈に通知し、⼜は公表する」とあるのは「公表する」とする。
５ 仮名加⼯情報取扱事業者は、仮名加⼯情報である個⼈データ及び削除情報等を利⽤する必要がなくなったときは、当該個⼈データ及び削除情報等を遅滞なく消去するよう努めなければならない。この場合においては、第 22 条の規定は、適⽤しない。
ガイドライン ２-２-３-１-１ 利⽤⽬的による制限
個⼈情報取扱事業者である仮名加⼯情報取扱事業者は、法令に基づく場合（※1）を除くほか、
法第 17 条第 1 項の規定により特定された利⽤⽬的（※2）の達成に必要な範囲を超えて、個⼈情報である仮名加⼯情報を取り扱ってはならない。
「法令に基づく場合」以外の場合において、法第 17 条第 1 項の規定により特定された利⽤⽬的の達成に必要な範囲を超えて、個⼈情報である仮名加⼯情報を取り扱う場合には、あらかじめ利⽤⽬的を変更する必要がある。なお、仮名加⼯情報については、利⽤⽬的の変更の制限に関する法第 17 条第2 項の規定は適⽤されないため、変更前の利⽤⽬的と関連性を有すると合理的に認められる範囲を超える利⽤⽬的の変更も認められる（2-2-3-6（適⽤除外）参照）。
利⽤⽬的を変更した場合には、原則として変更後の利⽤⽬的を公表しなければならない（2-2-3-1-2（利⽤⽬的の公表）参照）。
（※1）「法令に基づく場合」の具体的な事例については、通則ガイドライン「3-1-5（利⽤⽬的による制限の例外）」を参照のこと。
（※2）個⼈情報取扱事業者が仮名加⼯情報を作成したときは、作成の元となった個⼈情報に関して
法第 17 条第 1 項の規定により特定された利⽤⽬的が、当該仮名加⼯情報の利⽤⽬的として引き継がれる。
ガイドライン ２-２-３-１-２ 利⽤⽬的の公表
個⼈情報取扱事業者である仮名加⼯情報取扱事業者は、個⼈情報である仮名加⼯情報を取得し２９た場合（※）には、あらかじめその利⽤⽬的を公表している場合を除き、速やかに、その利⽤⽬的を公表しなければならない。
また、利⽤⽬的の変更を⾏った場合には、変更後の利⽤⽬的を公表しなければならない。
ただし、次の（1）から（4）までの場合については、個⼈情報である仮名加⼯情報の取得時、及び個
⼈情報である仮名加⼯情報の利⽤⽬的の変更時における利⽤⽬的の公表は不要である。
（1）利⽤⽬的を公表することにより本⼈⼜は第三者の⽣命、⾝体、財産その他の権利利益を害す
るおそれがある場合（2）利⽤⽬的を公表することにより当該個⼈情報取扱事業者の権利⼜は正当な利益を害するおそれがある場合（3）国の機関⼜は地⽅公共団体が法令の定める事務を遂⾏することに対して協⼒する必要がある場合であって、利⽤⽬的を公表することにより当該事務の遂⾏に⽀障を及ぼすおそれがあるとき（4）取得の状況からみて利⽤⽬的が明らかであると認められる場合（※）個⼈情報取扱事業者が、⾃らが保有する個⼈情報の⼀部を削除する等の加⼯を⾏ったに過ぎない場合は、ここでいう個⼈情報の「取得」には該当しない。
そのため、個⼈情報取扱事業者が、⾃らが保有する個⼈情報を加⼯して仮名加⼯情報を作成した場合には、当該仮名加⼯情報が個⼈情報に当たる場合でも、ここでいう個⼈情報である仮名
加⼯情報の「取得」には該当しない。
これに対し、例えば、仮名加⼯情報を作成した個⼈情報取扱事業者が、当該仮名加⼯情報
及び当該仮名加⼯情報に係る削除情報等を、事業の承継に伴い他の事業者に提供した場合（2-2-3-3（第三者提供の禁⽌等）参照）、当該他の事業者にとって、当該仮名加⼯情報
は、通常、当該削除情報等と容易に照合でき、それによって特定の個⼈を識別できる情報に該当するため、個⼈情報に該当する。この場合には、当該他の事業者が事業の承継に伴い当該仮名加⼯情報の提供を受けることは、ここでいう個⼈情報である仮名加⼯情報の「取得」に該当する。
ガイドライン ２-２-３-２ 利⽤する必要がなくなった場合の消去（法第 41 条第 5 項関係）
個⼈情報取扱事業者である仮名加⼯情報取扱事業者は、保有する仮名加⼯情報である個⼈デー
タについて利⽤する必要がなくなったとき、すなわち、利⽤⽬的が達成され当該⽬的との関係では当該仮名加⼯情報である個⼈データを保有する合理的な理由が存在しなくなった場合や、利⽤⽬的が達成されなかったものの当該⽬的の前提となる事業⾃体が中⽌となり、当該事業の再開の⾒込みもない場合
等は、当該仮名加⼯情報である個⼈データを遅滞なく消去するよう努めなければならない（※1）。
また、保有する削除情報等について利⽤する必要がなくなったときは、当該削除情報等を遅滞なく消去するように努めなければならない（※2）。
【仮名加⼯情報である個⼈データについて利⽤する必要がなくなったときに該当する事例】
事例）新商品の開発のため、仮名加⼯情報である個⼈データを保有していたところ、当該新商品の開発に関する事業が中⽌となり、当該事業の再開の⾒込みもない場合【削除情報等について利⽤する必要がなくなったときに該当する事例】
事例）仮名加⼯情報についての取扱いを終了し、新たな仮名加⼯情報を作成する⾒込みもない場合３０

（※1）「仮名加⼯情報である個⼈データの消去」とは、当該仮名加⼯情報である個⼈データを個⼈データでなくすることであり、当該仮名加⼯情報である個⼈データを削除することのほか、当該仮名加⼯情報を容易に照合できる他の情報と組み合わせても特定の個⼈を識別できないようにすること等を含む。
（※2）「削除情報等の消去」とは、当該削除情報等を削除することをいう。
ガイドラインにも記載されているように、法第 17 条第 1 項の規定により特定された利⽤⽬的の達成に必要な範囲を超えて、個⼈情報である仮名加⼯情報を取り扱ってはならないが、法第 17 条第 2 項の規定は適⽤されないため、変更前の利⽤⽬的と関連性を有すると合理的に認められる範囲を超える利⽤⽬的の変更も認められる。ただし、利⽤⽬的を変更した場合には、原則として変更後の利⽤⽬的を公表しなければならない。
すなわち、個⼈情報を加⼯して仮名加⼯情報を作成した場合、作成の元となった個⼈情報に関して法第 17 条第１項の規定により特定された利⽤⽬的が、当該仮名加⼯情報の利⽤⽬的として引き継がれるため（Q&A14-14）、当該仮名加⼯情報を作成元の個⼈情報の利⽤⽬的として特定された利⽤⽬的の範囲内で利⽤する限り、当該仮名加⼯情報の利⽤⽬的を公表する必要はない。また、当該仮名加⼯情報を作成したこと⾃体や、当該仮名加⼯情報に含まれる情報の項⽬を公表することも求められない（Q&A14-16）。ただし、仮名加⼯情報を作成し、作成元の個⼈情報の利⽤⽬的として特定された利⽤⽬的の範囲内で利⽤している場合であっても、当該仮名加⼯情報を作成したことや、その利⽤⽬的を仮名
加⼯情報の利⽤⽬的として公表することを妨げるものではない。
他⽅、個⼈情報である仮名加⼯情報について、利⽤⽬的の変更を⾏った場合には、原則として、変更後の利⽤⽬的を公表する必要がある。変更後の利⽤⽬的の公表に際しては、それが仮名加⼯情報に係るものであることを明確にする必要があることに留意が必要である（Q&A14-15）52。
また、個⼈情報である仮名加⼯情報を取得した場合には、あらかじめその利⽤⽬的を公表している場合を除き、原則として、速やかにその利⽤⽬的を公表する必要がある。例えば、事業者が事業の承継（法第27 条第５項第２号）に伴い個⼈情報である仮名加⼯情報及び当該仮名加⼯情報に係る削除情報等の提供を受けることは、個⼈情報である仮名加⼯情報の「取得」に該当する。そして、この利⽤⽬的の公表に際しては、それが仮名加⼯情報に係るものであることを明確にする必要がある53。
なお、仮名加⼯情報の利⽤⽬的を特定するにあたっては、「利⽤⽬的の特定」の趣旨が、仮名加⼯情報を取り扱う者が、仮名加⼯情報をどのような事業の⽤に供し、どのような⽬的で利⽤するかについて、本⼈の予測を可能とすることであることに鑑み、本⼈が、⾃らの仮名加⼯情報がどのように取り扱われることとなるか、利⽤⽬的から合理的に予測・想定できるよう、できる限り利⽤⽬的を特定しなければならない。
また、ガイドラインにも記載されているように、利⽤⽬的が達成され当該⽬的との関係では仮名加⼯情報
である個⼈データを保有する合理的な理由が存在しなくなった場合や、利⽤⽬的が達成されなかったものの52「公表」については通則ガイドライン「2-15 「公表」」を参照のこと。また、公表の具体例については、本レポート事例編「1 仮名加⼯情報編」を参照のこと。
53

利⽤⽬的の公表をしなくてよい場合（法第 41 条第 4 項、法第 21 条第 4 項）については、通則ガイドライン「3-3-5 利⽤⽬的の通知等をしなくてよい場合（法第 21 条第 4 項関係）」を参照のこと。例えば「利⽤⽬的を本⼈に通知し、⼜は公表することにより当該
個⼈情報取扱事業者の権利⼜は正当な利益を害するおそれがある場合」（法第 21 条第 4 項第 2 号）の事例としては「暴⼒団等の反社会的勢⼒情報、疑わしい取引の届出の対象情報、業務妨害⾏為を⾏う悪質者情報等を、本⼈⼜は他の事業者等から取得したことが明らかになることにより、当該情報を取得した企業に害が及ぶ場合」が挙げられている。

３１

当該⽬的の前提となる事業⾃体が中⽌となり、当該事業の再開の⾒込みもない場合等は、当該仮名加⼯情報である個⼈データを遅滞なく消去するよう努めなければならない。仮名加⼯情報である個⼈データについて利⽤する必要がなくなったにもかかわらず、⻑期間にわたり保管し続けると、⽬的外利⽤等、法の規定に違反した利⽤や漏えい等の可能性が⾼まることにも留意が必要である。

3.3.2 識別⾏為の禁⽌法第 41 条第 7 項及び第 42 条第３項で規定されているように、仮名加⼯情報の取扱いにおいては、それが個⼈情報である場合であるか否かに関わらず、当該仮名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈を識別する⽬的で他の情報と照合することが禁⽌される。
法第 41 条第７項
仮名加⼯情報取扱事業者は、仮名加⼯情報を取り扱うに当たっては、当該仮名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈を識別するために、当該仮名加⼯情報を他の情報と照合してはならない。
法第 42 条第３項
第 23 条から第 25 条まで、第 40 条並びに前条第 7 項及び第 8 項の規定は、仮名加⼯情報取扱事業者による仮名加⼯情報の取扱いについて準⽤する。この場合において、第 23 条中「漏えい、滅失⼜は毀損」とあるのは「漏えい」と、前条第 7 項中「ために、」とあるのは「ために、削除情報等を取得し、⼜は」と読み替えるものとする。
ガイドライン ２-２-３-４ 識別⾏為の禁⽌（法第 41 条第 7 項関係）
個⼈情報取扱事業者である仮名加⼯情報取扱事業者が個⼈情報である仮名加⼯情報を取り扱う場
合には、当該仮名加⼯情報の作成の元となった個⼈情報の本⼈を識別する⽬的で、当該仮名加⼯情
報を他の情報（※）と照合してはならない。
【識別⾏為に当たらない取扱いの事例】
事例 1）複数の仮名加⼯情報を組み合わせて統計情報を作成すること。
事例 2）仮名加⼯情報を個⼈と関係のない情報（例︓気象情報、交通情報、⾦融商品等の取引⾼）とともに傾向を統計的に分析すること。
【識別⾏為に当たる取扱いの事例】
事例 1）保有する個⼈情報と仮名加⼯情報について、共通する記述等を選別してこれらを照合すること。
事例 2）仮名加⼯情報を、当該仮名加⼯情報の作成の元となった個⼈情報と照合すること。
（※）「他の情報」に限定はなく、本⼈を識別する⽬的をもって⾏う⾏為であれば、個⼈情報、個⼈関
連情報、仮名加⼯情報及び匿名加⼯情報を含む情報全般と照合する⾏為が禁⽌される。また、
具体的にどのような技術⼜は⼿法を⽤いて照合するかは問わない。
ガイドライン 2-2-4-2 その他の義務等（法第 42 条第 3 項関係）
（5）識別⾏為の禁⽌（法第 42 条第 3 項、第 41 条第 7 項関係）
３２

仮名加⼯情報を取り扱う場合には、当該仮名加⼯情報の作成の元となった個⼈情報の本⼈を識別する⽬的で、削除情報等を取得し、⼜は当該仮名加⼯情報を他の情報と照合してはならない。
詳細については、2-2-3-4（識別⾏為の禁⽌）を参照のこと。
仮名加⼯情報を取り扱う場合には、識別ができるか否かを問わず、当該仮名加⼯情報の作成の元となった個⼈情報の本⼈を識別する⽬的で、当該仮名加⼯情報を他の情報と照合してはならない。
仮名加⼯情報を他の情報と照合することが識別禁⽌義務に違反するか否かは、その⽬的や、照合の対象となる仮名加⼯情報及び他の情報に含まれる記述等により、個別の事案ごとに判断される。ここでいう⽬的については、事業者の主観によって判断されるものではなく、仮名加⼯情報と照合する仮名加⼯情報及び他の情報に含まれる記述等の性質等を踏まえて客観的に判断される。例えば、仮名加⼯情報と個⼈情報について、共通する記述等を選別して照合する⾏為は、⼀般的に、識別⽬的の照合であると考えられる。
なお、仮名加⼯情報を取り扱っていたところ、偶然に当該仮名加⼯情報の作成の元となった個⼈情報の本⼈を識別してしまった場合等、仮名加⼯情報の作成の元となった個⼈情報の本⼈を識別するために（すなわち、識別をする⽬的で）他の情報と照合しているとはいえない場合は、直ちに識別⾏為の禁⽌義務に違反するものではないと考えられるが、再度同じような形で個⼈を識別することがないようにする必要がある。
もっとも、取り扱う仮名加⼯情報に記述等を付加して特定の個⼈を識別する状態となった場合には、個⼈
情報の不適正な取得となるため、当該情報を速やかに削除する必要がある（Q&A14-21 参照）。
【仮名加⼯情報同⼠を突合することについて】
法第 17 条の規定により特定した利⽤⽬的が異なる複数の個⼈情報について、当該利⽤⽬的の達成に必要な範囲を超えてそれぞれの利⽤⽬的を変更して共通の利⽤⽬的とした上で突合して取り扱うためには、
原則としてあらかじめ本⼈の同意を得て利⽤⽬的を変更しなければならない（同条第 2 項）54。しかし、当該複数の個⼈情報からそれぞれ仮名加⼯情報を作成した上で、本⼈の同意なく利⽤⽬的を変更し、⽒名等を置き換えた仮 ID や、事業者が独⾃に付与した会員 ID 等を通じて、識別⾏為の禁⽌義務に反しない範囲で当該複数の仮名加⼯情報を同⼀個⼈ごとに突合することが考えられる。このような場合、複数の仮名加⼯情報の加⼯項⽬や加⼯レベルがそれぞれ異なる場合、各仮名加⼯情報を突合すると、突合後の仮名加⼯情報それ⾃体により特定の個⼈の識別ができる程度に個⼈情報が復元されてしまう可能性がある。
例えば、ある個⼈に関する個⼈情報から作成された⼆つの仮名加⼯情報を突合するとき、⼀⽅は会員 IDと⽣年⽉⽇があるが住所に関する情報はなく、もう⼀⽅は会員 ID と町名までの住所があるが⽣年⽉⽇に関する情報はないとしても、その⼆つの仮名加⼯情報を突合することで、町名までの住所と⽣年⽉⽇が組み合
わされ、特定の個⼈を識別できる状態となることがある。
このような事態を回避するため、複数の仮名加⼯情報の作成後に、それら仮名加⼯情報同⼠を同⼀個⼈ごとに突合することが予定されている場合は、複数の仮名加⼯情報の作成後に仮名加⼯情報同⼠を突合した時にどの程度特定の個⼈の識別につながる可能性があるかを予め想定して、作成元の個⼈情報のどの項⽬をどのようなレベルで加⼯するかについて統⼀した基準を定めておくことが望ましい55。
また、実際に仮名加⼯情報同⼠を突合する場合には、突合後に特定の個⼈の識別につながる事態を防ぐ観点から、突合前に当該仮名加⼯情報に含まれる情報の項⽬や、加⼯のレベルを確認することが重要である。

54

変更前の利⽤⽬的と関連性を有すると合理的に認められる範囲を超えて利⽤⽬的を変更する場合。

55

例えば、住所は市町村までとする、⽣年⽉⽇は⽣年までとする等の加⼯の粒度を統⼀することが考えられる。

３３

なお、仮名加⼯情報同⼠を突合し特定の個⼈が識別されたにもかかわらず、仮名加⼯情報として変更した利⽤⽬的で突合後の情報を利⽤することは、仮名加⼯情報の識別禁⽌義務違反に当たる上、作成元の個⼈情報に係る⽬的外利⽤にもなり得ることに留意が必要である。
【個⼈情報同⼠を突合してから仮名加⼯情報を作成することについて】
法第 17 条の規定により特定した利⽤⽬的が異なる個⼈情報を、特定の個⼈ごとに突合し、利⽤⽬的を変更して利⽤したい場合、原則として上記のように⼀度仮名加⼯情報に加⼯をした上で、仮 ID 等を通じて仮名加⼯情報同⼠を事後的に同⼀の個⼈ごとに突合を⾏う⽅法が考えられるが、仮名加⼯情報同⼠を突合することで識別禁⽌義務に抵触する可能性が⾼い場合には、加⼯前の個⼈情報を、特定の個⼈ごとに突合した上で、突合後に得られた個⼈情報を仮名加⼯情報に加⼯し、利⽤⽬的を変更して利⽤する⽅法も考えられる。
仮名加⼯情報を作成する⽬的のみのために、異なる利⽤⽬的の複数の個⼈情報を個⼈情報の状態で突合を⾏うことそれ⾃体が、直ちに当該個⼈情報の⽬的外利⽤に該当するわけではないが、突合後に得られたデータベースを構成する複数の個⼈情報については、誤って⽬的外利⽤に該当する取扱いがなされる可能性が⾼まる。また、突合後に得られたデータベースは多数のデータ項⽬からなる⼤量の個⼈情報を含むものとなり、当該データベースが漏えい等した場合に本⼈が被る権利利益の侵害が⼤きなものとなり得る。そこ
で、このような権利利益の侵害リスクを踏まえた安全管理措置の観点から、以下のような対応を取ることが考えられる。


当該データベースについては、仮名加⼯情報の作成後直ちに削除すること。将来的に仮名加⼯情報を再度作成することを想定している場合であっても、いったん仮名加⼯情報を作成した場合直ちに削除すること。



元々の利⽤⽬的で個⼈情報を利⽤する場合は、当該データベースではなく、当該データベースとは別に管理する突合前の個⼈情報を利⽤すること。

3.3.3 本⼈への連絡等の禁⽌法第 41 条第 8 項及び法第 42 条第 3 項で規定されているように、仮名加⼯情報の取扱いにおいては、
それが個⼈情報である場合であるか否かに関わらず、当該仮名加⼯情報に含まれる連絡先を利⽤して、本⼈に連絡等を⾏うことが禁⽌される。
法第 41 条第８項
仮名加⼯情報取扱事業者は、仮名加⼯情報を取り扱うに当たっては、電話をかけ、郵便若しくは⺠間
事業者による信書の送達に関する法律（平成 14 年法律第 99 号）第 2 条第 6 項に規定する⼀般信書便事業者若しくは同条第 9 項に規定する特定信書便事業者による同条第 2 項に規定する信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的⽅法（電⼦情報処理組織を使⽤する
⽅法その他の情報通信の技術を利⽤する⽅法であって個⼈情報保護委員会規則で定めるものをいう。）を⽤いて送信し、⼜は住居を訪問するために、当該仮名加⼯情報に含まれる連絡先その他の情報を利⽤してはならない。
施⾏規則第 33 条
法第 41 条第 8 項に規定する電磁的⽅法は、次に掲げる⽅法とする。
⼀ 電話番号を送受信のために⽤いて電磁的記録を相⼿⽅の使⽤に係る携帯して使⽤する通信端
３４

末機器に送信する⽅法（他⼈に委託して⾏う場合を含む。）
⼆ 電⼦メールを送信する⽅法（他⼈に委託して⾏う場合を含む。）
三 前号に定めるもののほか、その受信をする者を特定して情報を伝達するために⽤いられる電気通信（電気通信事業法（昭和 59 年法律第 86 号）第 2 条第 1 号に規定する電気通信をいう。）
を送信する⽅法（他⼈に委託して⾏う場合を含む。）
ガイドライン 2-2-3-5 本⼈への連絡等の禁⽌（法第 41 条第 8 項関係）
個⼈情報取扱事業者である仮名加⼯情報取扱事業者は、個⼈情報である仮名加⼯情報を取り扱う
場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的⽅法を⽤いて送信し、⼜は住居を訪問するために、当該仮名加⼯情報に含まれる連絡先その他の情報の利⽤を⾏ってはならない。
ここでいう「電磁的⽅法」とは、次の（1）から（3）までのいずれかの⽅法をいう。
（1）電話番号を送受信のために⽤いて電磁的記録を相⼿⽅の使⽤に係る携帯して使⽤する通信端末機器に送信する⽅法（他⼈に委託して⾏う場合を含む。）（規則第 33 条第 1 号関係）
いわゆるショートメールを送信する⽅法であり、他⼈に委託して⾏う場合を含む。
（2）電⼦メールを送信する⽅法（他⼈に委託して⾏う場合を含む。）（規則第 33 条第 2 号関係）
電⼦メールを送信する⽅法であり、他⼈に委託して⾏う場合を含む。
（3）前号に定めるもののほか、その受信をする者を特定して情報を伝達するために⽤いられる電気通信（電気通信事業法（昭和 59 年法律第 86 号）第 2 条第 1 号に規定する電気通信をいう。）を送信する⽅法（他⼈に委託して⾏う場合を含む。）（規則第 33 条第 3 号関係）
電⼦メールを送信する⽅法のほか、受信する者を特定した上で情報を伝達するために⽤いられる電気通信を送信する⽅法であり、他⼈に委託して⾏う場合を含む。
【受信する者を特定して情報を伝達するために⽤いられる電気通信を送信する⽅法に該当する事例】
事例 1）いわゆる SNS（ソーシャル・ネットワーキング・サービス）のメッセージ機能によりメッセージを送信する⽅法
事例 2）CookieID を⽤いて受信する者を特定した上で、当該受信者に対して固有の内容のインターネット広告を表⽰する⽅法
ガイドライン 2-2-4-2 その他の義務等（法第 42 条第 3 項関係）
（6）本⼈への連絡等の禁⽌（法第 42 条第 3 項、第 41 条第 8 項関係）
仮名加⼯情報を取り扱う場合には、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的⽅法を⽤いて送信し、⼜は住居を訪問するために、当該仮名加⼯情報に含まれる連絡先その他の情報の利⽤を⾏ってはならない。
詳細については、2-2-3-5（本⼈への連絡等の禁⽌）を参照のこと。
ガイドラインにも記載されているように、法第 41 条第８項が禁⽌する⾏為には、例えば仮名加⼯情報に含まれる情報を利⽤して、SNS のメッセージ機能によりメッセージを送信する⽅法や、広告識別⼦や Cookie
ID 等を⽤いて受信する者を特定した上で、当該受信者に対して固有の内容のインターネット広告を表⽰す
３５

る⽅法も含まれる。また、これら以外にも受信する者を特定した上で電気通信を送信する⽅法も、同項が禁⽌する⾏為に含まれていることに留意が必要である56。
携帯電話番号や電⼦メールアドレス、SNS 等の ID、広告識別⼦や Cookie ID 等その他の本⼈到達性のある記述等は、当該情報⾃体を分析することは⼀般的に想定できず、本⼈への連絡等の禁⽌義務に抵触する取扱いを未然に防⽌する観点から、仮名加⼯情報の作成に当たって削除するか、連結符号として⽤いる際であっても置き換えをすることが望ましい。
【仮名加⼯情報を⽤いて作成した統計情報により得られた傾向等を踏まえて仮名加⼯情報の作成元となった個⼈情報を⽤いて広告配信を⾏うこと】
仮名加⼯情報を⽤いて分析を⾏い、統計情報を作成した上で、当該統計情報により得られた傾向等を踏まえて、当該仮名加⼯情報の作成の元となった個⼈情報を⽤いて本⼈に対し広告配信を⾏うことは可能である。ただし、広告配信を⾏うことが、加⼯前の個⼈情報について特定された利⽤⽬的の範囲内である必要がある（Q&A14-20）。
なお、統計情報とは、複数⼈の情報から共通要素に係る項⽬を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向⼜は性質などを数量的に把握するものである。統計情報は、特定の個⼈との対応関係が排斥されている限りにおいては、法における「個⼈に関する情報」に該当するものではないため、規制の対象外となる（ガイドライン「3-1-1 匿名加⼯情報（法第 2 条第 6 項関係）」）。
他⽅、仮名加⼯情報から統計情報を作成する過程において、特定の仮名加⼯情報との対応関係が排斥されていない段階の情報は、引き続き仮名加⼯情報に係る規律が適⽤される。そのため、例えば、このよ
うな特定の仮名加⼯情報との対応関係が排斥されていない情報に含まれる記述等を、仮名加⼯情報の作成の元となった個⼈情報と突合し、当該個⼈情報を⽤いて広告配信を⾏う場合、識別禁⽌義務や本⼈連絡等の禁⽌義務に違反することになるため、注意が必要である。
なお、統計情報については、「4.1.4.1 統計情報について」も参照のこと。

3.3.4 不適正利⽤の禁⽌
個⼈情報取扱事業者は、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤することが禁⽌されているが、個⼈情報である仮名加⼯情報を取り扱う場合も、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法による利⽤が禁⽌される。
法第 19 条個⼈情報取扱事業者は、違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤してはならない。
通則ガイドライン ３-２ 不適正利⽤の禁⽌（法第 19 条関係）
個⼈情報取扱事業者は、違法⼜は不当な⾏為（※1）を助⻑し、⼜は誘発するおそれ（※2）がある⽅法により個⼈情報を利⽤してはならない。
【個⼈情報取扱事業者が違法⼜は不当な⾏為を助⻑し、⼜は誘発するおそれがある⽅法により個⼈情報を利⽤している事例】

56

受信する者を特定した上で第三者に電気通信を送信させることも禁⽌される。

３６

事例 1）違法な⾏為を営むことが疑われる事業者（例︓貸⾦業登録を⾏っていない貸⾦業者等）
からの突然の接触による本⼈の平穏な⽣活を送る権利の侵害等、当該事業者の違法な⾏為を助⻑するおそれが想定されるにもかかわらず、当該事業者に当該本⼈の個⼈情報を提供する場合
事例 2）裁判所による公告等により散在的に公開されている個⼈情報（例︓官報に掲載される破産者情報）を、当該個⼈情報に係る本⼈に対する違法な差別が、不特定多数の者によって誘発されるおそれがあることが予⾒できるにもかかわらず、それを集約してデータベース化し、インターネット上で公開する場合
事例 3）暴⼒団員により⾏われる暴⼒的要求⾏為等の不当な⾏為や総会屋による不当な要求を助⻑し、⼜は誘発するおそれが予⾒できるにもかかわらず、事業者間で共有している暴⼒団員等に該当する⼈物を本⼈とする個⼈情報や、不当要求による被害を防⽌するために必要な業務を⾏う各事業者の責任者の名簿等を、みだりに開⽰し、⼜は暴⼒団等に対しその存在を明らかにする場合
事例 4）個⼈情報を提供した場合、提供先において法第 27 条第 1 項に違反する第三者提供がなされることを予⾒できるにもかかわらず、当該提供先に対して、個⼈情報を提供する場合
事例 5）採⽤選考を通じて個⼈情報を取得した事業者が、性別、国籍等の特定の属性のみにより、
正当な理由なく本⼈に対する違法な差別的取扱いを⾏うために、個⼈情報を利⽤する場
合事例 6）広告配信を⾏っている事業者が、第三者から広告配信依頼を受けた商品が違法薬物等の違法な商品であることが予⾒できるにもかかわらず、当該商品の広告配信のために、⾃社で取得した個⼈情報を利⽤する場合（※1）「違法⼜は不当な⾏為」とは、法（個⼈情報の保護に関する法律）その他の法令に違反する⾏為、及び直ちに違法とはいえないものの、法（個⼈情報の保護に関する法律）その他の法令の制度趣旨⼜は公序良俗に反する等、社会通念上適正とは認められない⾏為をいう。
（※2）「おそれ」の有無は、個⼈情報取扱事業者による個⼈情報の利⽤が、違法⼜は不当な⾏為を助⻑⼜は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。この判断に当たっては、個⼈情報の利⽤⽅法等の客観的な事情に加えて、個⼈情報の利⽤時点における個⼈情報取扱事業者の認識及び予⾒可能性も踏まえる必要がある。例えば、個⼈情報取扱事業者が第三者に個⼈情報を提供した場合において、当該第三者が当該個⼈情報を違法な⾏為に⽤いた場合であっても、当該第三者が当該個⼈情報の取得⽬的を偽っていた等、当該個⼈情報の提供の時点において、提供した個⼈情報が違法に利⽤されることについて、当該個⼈情報取扱事業者が⼀般的な注意⼒をもってしても予⾒できない状況であった場合には、「おそれ」は認められないと解される。
ガイドラインにも記載されているように、「違法⼜は不当な⾏為」には、個⼈情報保護法その他の法令に違反する⾏為及び直ちに違法とはいえないものの個⼈情報保護法その他の法令の制度趣旨に反する⾏為も含まれる。したがって、仮名加⼯情報の識別禁⽌義務や個⼈情報の⽬的外利⽤禁⽌の規定を潜脱することを企図して、仮名加⼯情報を利⽤することは不適正利⽤に当たる可能性がある。
また、以下のように、個⼈情報保護法に違反する⾏為を助⻑し、⼜は誘発することが予⾒できるにもかかわらず、個⼈情報である仮名加⼯情報を利⽤する場合も、不適正利⽤に該当する。
３７



個⼈情報である仮名加⼯情報の取扱いを委託した場合において、委託された業務の範囲を超えた
取扱いを委託先が⾏うことが予⾒できるにもかかわらず、当該委託先に対して、個⼈情報である仮名加⼯情報を提供する場合



個⼈情報である仮名加⼯情報の共同利⽤を⾏う場合において、提供先が、あらかじめ公表した共
同して利⽤する者の範囲に含まれないことを知り、⼜は容易に知ることができるにもかかわらず、当該提供先に対し仮名加⼯情報を提供する場合



特定の属性のみにより正当な理由なく違法な差別的取扱いを⾏うために⽤いることを企図して、当該差別的取扱いを補助するための AI システムを開発するために、機械学習⽤データセットとして個
⼈情報である仮名加⼯情報を利⽤する場合

3.3.5 漏えい等発⽣時の報告義務及び本⼈通知義務の免除
仮名加⼯情報については、それが個⼈情報である場合であるか否かに関わらず、漏えい等発⽣時の報告義務及び本⼈通知義務が適⽤されない。
法第 41 条（第 9 項）
仮名加⼯情報、仮名加⼯情報である個⼈データ及び仮名加⼯情報である保有個⼈データについて
は、第 17 条第 2 項、第 26 条及び第 32 条から第 39 条までの規定は、適⽤しない。
ガイドライン 2-2-3-6 適⽤除外（法第 41 条第 9 項関係）
（2）漏えい等の報告等（法第 26 条関係）
仮名加⼯情報である個⼈データについては、法第 26 条の規定は適⽤されないため、仮名加⼯情報である個⼈データについて漏えい等が発⽣した場合でも、法第 26 条に基づく報告や本⼈通知は不要である（※1）。
（※1）仮名加⼯情報の作成の元となった個⼈データ⼜は⽒名と仮 ID の対応表のような削除情報等（個⼈データであるもの）については、法第 26 条の規定が適⽤される。そのため、これらについての漏えい等が発⽣した場合において、当該漏えい等が法第 26 条に定める要件を満たす場合には、同条に基づく報告や本⼈通知の対象となる。
仮名加⼯情報は、加⼯により本⼈の権利利益が侵害されるリスクが相当程度低減されているため、仮名加⼯情報について漏えい等が発⽣した場合でも、法第 26 条に基づく報告や本⼈通知に係る義務の対象外とされている57。
しかし、法は仮名加⼯情報について安全管理措置を講ずる義務まで免除しているものではないことに留意が必要である。仮名加⼯情報である個⼈データについては、「3.3.6 安全管理措置」のとおり、法第 23 条
（安全管理措置）の適⽤があり、必要かつ適切な安全管理措置を怠った場合、指導・助⾔（法第 147条）や勧告・命令（法第 148 条）の対象となり得る。なお、個⼈情報でない仮名加⼯情報についても、
法第 42 条第３項により法第 23 条が準⽤される。

57

第 159 回個⼈情報保護委員会（令和 2 年 11 ⽉ 27 ⽇）「改正法に関連する政令・規則等の整備に向けた論点について（仮名加⼯情報）

３８

また、⼀般に、漏えい等が発⽣した場合の本⼈通知は、本⼈が漏えい等の発⽣を認知し、⾃らの権利利益の保護に必要な措置を講ずることを可能にするものである58。しかし、上記のとおり、仮名加⼯情報については、漏えい等が発⽣した場合でも、本⼈に通知する義務がない。
このような点も踏まえ、特に、仮名加⼯情報が漏えいした際に、当該仮名加⼯情報を取得した第三者が特定の個⼈を識別できる可能性を⼀層低減させる観点から、以下の措置を講ずることが望ましい。
（1）共⽤性のある記述等の削除
仮名加⼯情報に、例えば、携帯電話番号や電⼦メールアドレス、SNS 等の ID、業界横断型ポイントカ
ード ID その他の多数の事業者において取得されている共⽤性のある記述等が含まれる場合、当該仮名加
⼯情報についての漏えい発⽣時に、これを取得した第三者が、共⽤性のある記述等をキーとして⾃⼰が保有する個⼈情報との名寄せを⾏うことが可能となり、当該仮名加⼯情報の作成の元となった個⼈情報に係る本⼈の識別がなされる可能性が⾼まる59。
したがって、仮名加⼯情報の漏えい発⽣時の個⼈の権利利益の侵害リスクを低減する観点からは、共⽤性のある記述等は削除するか、元の記述等が復元できず共⽤性のない別の符号に置き換えをすることが望ましい。また、共⽤性のある記述等を複数の情報を連結するために⽤いる場合であっても、連結後速やかに削除するといった対応が望ましい。
（2）利⽤⽬的を達成するために必要最⼩限の情報への加⼯
仮名加⼯情報に含まれる情報の項⽬が多ければ多いほど、漏えい発⽣時に当該仮名加⼯情報を取得した第三者が、他の情報と照合することで、当該仮名加⼯情報の作成の元となった個⼈情報に係る本⼈の識別がなされる可能性が⾼まる。そこで、仮名加⼯情報を作成する際は、当該仮名加⼯情報の利⽤⽬的を踏まえ、当該利⽤⽬的の達成のために必要最⼩限の情報項⽬だけを残して加⼯することが望ましい。

3.3.6 安全管理措置について
仮名加⼯情報についても、それが個⼈情報である場合であるか否かに関わらず、安全管理措置を講ずる義務が課される。
法第 23 条個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失⼜は毀損の防⽌その他の個⼈デー
タの安全管理のために必要かつ適切な措置を講じなければならない。
ガイドライン 2-2-3-7 その他の義務等（3）安全管理措置（法第 23 条関係）取り扱う仮名加⼯情報である個⼈データの漏えい等その他の安全管理のために必要かつ適切な措置を講じなければならない。
詳細については、通則ガイドライン「3-4-2（安全管理措置）」を参照のこと。
なお、仮名加⼯情報には識別⾏為の禁⽌義務や本⼈への連絡等の禁⽌義務が課されていることから、

58

佐脇紀代志編 『⼀問⼀答令和 2 年改正個⼈情報保護法』（商事法務、2021）・P37（Q30）59

なお、第三者が仮名加⼯情報取扱事業者である場合には、識別禁⽌義務の対象となる。また、第三者が仮名加⼯情報に記述等を付加して特定の個⼈を識別する状態となった場合、個⼈情報の不適正な取得となり得る。

３９

仮名加⼯情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、仮名
加⼯情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加⼯情報を取り扱う者にとってその情報が仮名加⼯情報である旨が⼀⾒して明らかな状態にしておくことが望ましい。
ガイドライン 2-2-4-2 その他の義務等（法第 42 条第 3 項関係）
（1）安全管理措置（法第 42 条第 3 項、第 23 条関係）取り扱う仮名加⼯情報の漏えいの防⽌その他の仮名加⼯情報の安全管理のために必要かつ適切な措置を講じなければならない。詳細については、通則ガイドライン「3-4-2（安全管理措置）」を参照のこと。なお、仮名加⼯情報には識別⾏為の禁⽌義務や本⼈への連絡等の禁⽌義務が課されていることから、仮名加⼯情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加⼯情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加⼯情報を取り扱う者にとってその情報が仮名加⼯情報である旨が⼀⾒して明らかな状態にしておくことが望ましい。
通則ガイドライン 3-4-2 安全管理措置（法第 23 条関係）
個⼈情報取扱事業者は、その取り扱う個⼈データの漏えい、滅失⼜は毀損（以下「漏えい等」という。）の防⽌その他の個⼈データの安全管理のため、必要かつ適切な措置を講じなければならないが、当該措置は、個⼈データが漏えい等をした場合に本⼈が被る権利利益の侵害の⼤きさを考慮し、事業の規模及び性質、個⼈データの取扱状況（取り扱う個⼈データの性質及び量を含む。）、個⼈データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。具体的に講じなければならない措置や当該措置を実践するための⼿法の例等については、「10（別添）講ずべき
安全管理措置の内容」を参照のこと。
ガイドラインにも記載されているように、仮名加⼯情報にも法 23 条（安全管理措置）の適⽤があるため、
仮名加⼯情報の漏えい等が発⽣した場合に本⼈が被る権利利益の侵害の⼤きさを考慮し、事業の規模
及び性質、仮名加⼯情報の取扱状況（取り扱う仮名加⼯情報の性質及び量を含む。）、仮名加⼯情報を記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な安全管理措置を講じなければならない。
作成元の個⼈情報を加⼯して仮名加⼯情報を作成し、他の情報と突合することなく単独で⽤いる場合、
当該仮名加⼯情報は作成元の個⼈情報と⽐べて個⼈の権利利益の侵害リスクが相当程度低くなっていると考えられる。ただし、上述のとおり、仮名加⼯情報には取扱いに係る特有の義務が課されているため、このような義務に抵触する可能性や、漏えい等の報告義務等が課されていないことにより漏えい等の発⽣時に本⼈が⾃らの権利利益の保護に必要な措置を講ずることができない可能性がある。
また、複数の仮名加⼯情報を同⼀個⼈ごとに突合して⽤いる場合は、突合によりデータの項⽬や量が増加することに伴い、識別⾏為の禁⽌義務に抵触する可能性や、漏えい時にこれを取得した第三者が特定の個⼈を識別できる可能性が⾼まる。
このような可能性を低減・回避するためには、仮名加⼯情報を取り扱う事業者ごとに、想定されるリスクを検討した上で、当該リスクに応じた必要かつ適切な安全管理措置を⾏うことが重要である。特に、機微な情報を含んでいたり、データの項⽬や量の多い仮名加⼯情報を取り扱うことで、漏えい等の場合により⾼いリス
クが⽣じるときは、当該リスクに応じたより⾼度な安全管理措置を講ずる必要がある。
具体的には、通則ガイドライン「10 （別添）講ずべき安全管理措置の内容」を参考に必要かつ適切な
４０

安全管理措置を講ずることに加え、リスクに応じ、以下のような安全管理措置を講ずることも有益である60。
① 仮名加⼯情報を作成元の個⼈情報や削除情報等61と区別して保管しておくこと
ガイドラインにも記載されているように、仮名加⼯情報には識別⾏為の禁⽌義務や本⼈への連絡等の禁⽌義務が課せられていることから、それを取り扱う者が不適正な取扱いをすることがないよう、仮名
加⼯情報に該当することを認識できるようにしておくことが重要である。そのため、仮名加⼯情報を取り扱う者にとってその情報が仮名加⼯情報である旨が⼀⾒して明らかな状態にしておくことが望ましい。また、仮名加⼯情報と照合してはならないデータベースを明確にするため、どの個⼈情報データベース等からどの仮名加⼯情報データベース等や削除情報等が作成されたかを記録しておくことが望ましい62。
② 利⽤⽬的を達成するために⻑期間保有する場合は、特に当該利⽤⽬的を達成するために必要最⼩限の情報への加⼯を⾏うこと
仮名加⼯情報は、利⽤⽬的を達成するために必要がある限り、保有し続けることは許容されうるが、
仮名加⼯情報を保有する期間が⻑期化することで、仮名加⼯情報の取扱いに係る規律に違反する可能性や、漏えい等が⽣じる可能性が⾼まる。そこで、あらかじめ分析に⽤いる情報項⽬を定め必要
最⼩限の項⽬だけを残して加⼯することが望ましい。また、当該仮名加⼯情報の作成の元となった個
⼈情報や当該仮名加⼯情報に係る削除情報等を削除する等により、個⼈情報でない仮名加⼯情報として保有に供することも、リスク低減策として有益である。
なお、仮名加⼯情報について利⽤する必要がなくなったとき、遅滞なく消去するよう努めなければならないことについては、「3.3.1 利⽤⽬的との関係」も参照のこと。
③ 仮名加⼯情報の暗号化等
漏えい発⽣時に当該仮名加⼯情報を取得した第三者がこれを単体で⼜は他の情報と突合して利⽤できないようにするという観点からは、仮名加⼯情報に暗号化等の秘匿化の措置63を講ずることも有益である。

3.3.7 削除情報等の安全管理措置
仮名加⼯情報を作成したとき、⼜は仮名加⼯情報及び当該仮名加⼯情報に係る削除情報等を取得した個⼈情報取扱事業者は、削除情報等の漏えいを防⽌するために、施⾏規則 32 条で定める基準に従い、必要な措置を講じなければならない。
法第 41 条第２項
個⼈情報取扱事業者は、仮名加⼯情報を作成したとき、⼜は仮名加⼯情報及び当該仮名加⼯情報に係る削除情報等（仮名加⼯情報の作成に⽤いられた個⼈情報から削除された記述等及び個⼈識別符号並びに前項の規定により⾏われた加⼯の⽅法に関する情報をいう。以下この条及び次条第 3 項
60

個⼈情報等の収集を伴う事業の開始や変更の際に、プライバシー等の個⼈の権利利益の侵害リスクを低減・回避するために、事前に影響を評価するリスク管理⼿法である PIA の実施する際の参考としては、個⼈情報保護委員会「PIA の取組の促進について-PIA の意
義と実施⼿順に沿った留意点-」がある。また、プライバシーガバナンスの構築に関し参考になるものとして、総務省・経済産業省「DX 時代
における 企業のプライバシーガバナンスガイドブック ver1.2」がある。
61「3.3.7 削除情報等の安全管理措置」も参照のこと。

62

個⼈情報データベース等と仮名加⼯情報データベース等に含まれるレコード同⼠を照合することができるような識別⼦は、利⽤⽬的を達成するために必要がない限り削除することが望ましいことは、「3.3.5 漏えい等発⽣時の報告義務及び本⼈通知義務の免除」で述べたとおりである。さらに、作成した仮名加⼯情報データベース等のレコードの並びをランダムに変更し、作成の元となった個⼈情報データベース等との照合を困難にすることも望ましい。
63

暗号化等の秘匿化を⾏うにあたっては、その暗号鍵を適切に管理することも重要である。

４１

において読み替えて準⽤する第 7 項において同じ。）を取得したときは、削除情報等の漏えいを防⽌するために必要なものとして個⼈情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければならない。
施⾏規則 第 32 条
法第 41 条第 2 項の個⼈情報保護委員会規則で定める基準は、次のとおりとする。
⼀ 法第 41 条第 2 項に規定する削除情報等（同条第 1 項の規定により⾏われた加⼯の⽅法に関する情報にあっては、その情報を⽤いて仮名加⼯情報の作成に⽤いられた個⼈情報を復元することができるものに限る。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
⼆ 削除情報等の取扱いに関する規程類を整備し、当該規程類に従って削除情報等を適切に取り扱うとともに、その取扱いの状況について評価を⾏い、その結果に基づき改善を図るために必要な措置を講ずること。
三 削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防⽌するために必要かつ適切な措置を講ずること。
ガイドライン 2-2-2-2 削除情報等の安全管理措置（法第 41 条第 2 項関係）
個⼈情報取扱事業者は、仮名加⼯情報を作成したとき、⼜は仮名加⼯情報及び当該仮名加⼯情報に係る削除情報等を取得したときは、削除情報等（法第 41 条第 1 項の規定により⾏われた加⼯の⽅法に関する情報にあっては、その情報を⽤いて仮名加⼯情報の作成に⽤いられた個⼈情報を復元することができるものに限る（※1）。以下この項において同じ。）の漏えいを防⽌するために、規則で定める基準に従い、必要な措置を講じなければならない（※2）。
当該措置の内容は、対象となる削除情報等が漏えいした場合における個⼈の権利利益の侵害リスクの⼤きさを考慮し、当該削除情報等の量、性質等に応じた内容としなければならないが、具体的に講じなければならない項⽬及び具体例については、別表 1（削除情報等の安全管理で求められる措置の具体例）を参照のこと。
（※1）「その情報を⽤いて仮名加⼯情報の作成に⽤いられた個⼈情報を復元することができるもの」には、例えば、⽒名等を仮 ID に置き換えた場合における置き換えアルゴリズムに⽤いられる乱数等のパラメータ⼜は⽒名と仮 ID の対応表等のような加⼯の⽅法に関する情報が該当し、「⽒名を削除した」というような復元につながらない情報は該当しない。
（※2）⽒名と仮 ID の対応表等のように削除情報等が個⼈データに該当する場合において、当該削除情報等について漏えい、滅失⼜は毀損（以下「漏えい等」という。）が発⽣し、それが法第 26条の要件を満たす場合には、同条に基づく報告や本⼈通知が必要となる。
また、個別の事例ごとに判断する必要があるが、例えば、⽒名と仮 ID の対応表等の削除情報等が漏えい等した場合には、削除情報等の安全管理措置を講ずる義務（法第 41 条第 2 項）や仮名加⼯情報である個⼈データの安全管理措置を講ずる義務（法第 23 条）の履⾏の観点から、原則として、当該仮名加⼯情報に含まれる仮 ID を振り直すこと等により仮名加⼯情報を新たに作り直す等の措置を講じることが必要となる。

４２

（別表 1）削除情報等の安全管理で求められる措置の具体例
講じなければならない措置

具体例①削除情報等を取り扱う者の権限

・削除情報等の安全管理措置を講ずるための組織体制

及び責任の明確化の整備（規則第 32 条第 1 号）
②削除情報等の取扱いに関する規・削除情報等の取扱いに係る規程等の整備とこれに従っ

程類の整備

た運⽤

及び当該規程類に従った削除情報

・従業者の教育等の適切な取扱い・削除情報等の取扱状況を確認する⼿段の整備並びに削除情報等の取扱状況の評・削除情報等の取扱状況の把握、安全管理措置の評

価及びその結果に基づき改善を図る

価、⾒直し及び改善ために必要な措置の実施（規則第 32 条第 2 号）
③削除情報等を取り扱う正当な権・削除情報等を取り扱う権限を有しない者による閲覧等

限を有しない者による削除情報等のの防⽌取扱いを防⽌するために必要かつ適・機器、電⼦媒体等の盗難等の防⽌切な措置の実施・電⼦媒体等を持ち運ぶ場合の漏えいの防⽌（規則第 32 条第 3 号）

・削除情報等の削除並びに機器、電⼦媒体等の廃棄・削除情報等へのアクセス制御
・削除情報等へのアクセス者の識別と認証
・外部からの不正アクセス等の防⽌・情報システムの使⽤に伴う削除情報等の漏えいの防⽌

削除情報等とは、仮名加⼯情報の作成に⽤いられた個⼈情報から削除された記述等及び個⼈識別符
号並びに法第 41 条第 1 項により⾏われた加⼯の⽅法に関する情報をいう。安全管理措置の対象となる削除情報等は、当該情報等を⽤いて仮名加⼯情報の作成に⽤いられた個⼈情報を復元することができる
ものに限られるため、「⽒名を削除した」や、「住所を都道府県レベルに加⼯した」、「年齢を 10 歳刻みにした」
といった元の個⼈情報を復元できるものではない加⼯の⽅法に関する情報は、安全管理措置の対象とはならない（Q&A14-10、14-11）。
ガイドラインに記載されているように、削除情報等の漏えいを防⽌するための措置とは、対象となる削除情報等が漏えいした場合における個⼈の権利利益の侵害リスクの⼤きさを考慮し、当該削除情報等の量、性質等に応じた内容とする必要がある。
削除情報等については、削除情報等を取り扱う正当な権限を有しない者による削除情報等の取扱いを防⽌するために必要かつ適切な措置を講ずる必要があるため（施⾏規則第 32 条第 3 号）、他の事業者と共有することは原則として認められない。
他⽅、委託先の事業者において仮名加⼯情報を作成した場合においては、委託元と委託先が共同して作成したものとして、削除情報等を共有することは可能である。ただし、削除情報等を取り扱う者の権限を委託元においても明確に定めるなど、委託元も含め施⾏規則第 32 条に定める基準に従って適切な安全管理措置を講じる必要がある（Q14-12）。
なお、法第 41 条第９項により、仮名加⼯情報は、漏えい等発⽣時の報告義務及び本⼈通知義務の４３

対象外とされているが、削除情報等が個⼈データに該当する場合において当該削除情報等の漏えいが発⽣し、それが法第 26 条の要件を満たす場合は、同条に基づく報告や本⼈通知が必要となることに注意が必
要である。

４４

3.4

第三者提供との関係
3.4.1 第三者提供の禁⽌
仮名加⼯情報は、原則として第三者提供が禁⽌されている。第三者提供の禁⽌は、仮名加⼯情報が個⼈データであるか否かにかかわらず適⽤される。
法第 41 条６ 仮名加⼯情報取扱事業者は、第 27 条第 1 項及び第 2 項並びに第 28 条第 1 項の規定にかかわらず、法令に基づく場合を除くほか、仮名加⼯情報である個⼈データを第三者に提供してはならな
い。この場合において、第 27 条第 5 項中「前各項」とあるのは「第 41 条第 6 項」と、同項第 3 号
中「、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6項中「、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第 29 条第 1 項ただし書中「第 27 条第 1 項各号⼜は第 5 項各号のいずれか（前条第 1項の規定による個⼈データの提供にあっては、第 27 条第 1 項各号のいずれか）」とあり、及び第 30
条第 1 項ただし書中「第 27 条第 1 項各号⼜は第 5 項各号のいずれか」とあるのは「法令に基づく
場合⼜は第 27 条第 5 項各号のいずれか」とする。
法第 42 条１ 仮名加⼯情報取扱事業者は、法令に基づく場合を除くほか、仮名加⼯情報（個⼈情報であるものを除く。次項及び第 3 項において同じ。）を第三者に提供してはならない。
２ 第 27 条第 5 項及び第 6 項の規定は、仮名加⼯情報の提供を受ける者について準⽤する。この場
合において、同条第 5 項中「前各項」とあるのは「第 42 条第 1 項」と、同項第 1 号中「個⼈情報取扱事業者」とあるのは「仮名加⼯情報取扱事業者」と、同項第 3 号中「、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第 6 項中「個⼈情報取扱事業者」とあるのは「仮名加⼯情報取扱事業者」と、「、本⼈に通知し、⼜は本⼈が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。
ガイドライン 2-2-3-3 第三者提供の禁⽌等（法第 41 条第 6 項関係）
個⼈情報取扱事業者である仮名加⼯情報取扱事業者は、法令に基づく場合（※1）を除くほか、仮名加⼯情報である個⼈データを第三者に提供してはならない。
ただし、次の（1）から（3）までの場合については、仮名加⼯情報である個⼈データの提供先は個⼈
情報取扱事業者である仮名加⼯情報取扱事業者とは別の主体として形式的には第三者に該当するものの、提供主体の個⼈情報取扱事業者である仮名加⼯情報取扱事業者と⼀体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、このような要件を満たす場合には、
仮名加⼯情報である個⼈データを提供することができる。
なお、法令に基づく場合⼜は次の（1）から（3）までのいずれかの場合における仮名加⼯情報である
個⼈データの提供については、確認・記録義務は課されない（法第 41 条第 6 項により読み替えて適⽤される法第 29 条第 1 項ただし書及び第 30 条第 1 項ただし書）。
（1）委託（法第 41 条第 6 項、第 27 条第 5 項第 1 号関係）
利⽤⽬的の達成に必要な範囲内において、仮名加⼯情報である個⼈データの取扱いに関する業務の全部⼜は⼀部を委託することに伴い、当該仮名加⼯情報である個⼈データが提供される場合は、当該提供先は第三者に該当しない。この場合、当該提供先は、委託された業務の範囲内でのみ、提供主
４５

体の個⼈情報取扱事業者である仮名加⼯情報取扱事業者と⼀体のものとして取り扱われることに合理性があるため、委託された業務以外に当該仮名加⼯情報である個⼈データを取り扱うことはできない。
なお、提供主体の個⼈情報取扱事業者である仮名加⼯情報取扱事業者には、法第 25 条により、委託先に対する監督責任が課される（2-2-3-7（その他の義務等）参照）。
個⼈情報取扱事業者である仮名加⼯情報取扱事業者は、委託先に対する監督義務、及び仮名加⼯情報である個⼈データの安全管理措置を講ずる義務（法第 23 条）の履⾏の観点から、委託先が提供を受けた仮名加⼯情報を取り扱うに当たり、法第 41 条⼜は法第 42 条に違反する事態が⽣じることのないよう、委託先に対して、提供する情報が仮名加⼯情報である旨を明⽰しなければならない。
（2）事業の承継（法第 41 条第 6 項、第 27 条第 5 項第 2 号関係）
合併、分社化、事業譲渡等により事業が承継されることに伴い、当該事業に係る仮名加⼯情報である個⼈データが提供される場合は、当該提供先は第三者に該当しない。
また、事業の承継のための契約を締結するより前の交渉段階で、相⼿会社から⾃社の調査を受け、⾃社の仮名加⼯情報である個⼈データを相⼿会社へ提供する場合も、法第 41 条第 6 項により読み替
えて適⽤される法第 27 条第 5 項第 2 号に該当し、仮名加⼯情報である個⼈データを提供することができるが、当該データの利⽤⽬的及び取扱⽅法、漏えい等が発⽣した場合の措置、事業承継の交渉が不調となった場合の措置等、相⼿会社に安全管理措置を遵守させるために必要な契約を締結しなければならない。
ガイドライン 2-2-4-1 第三者提供の禁⽌等（法第 42 条第 1 項・第 2 項関係）
仮名加⼯情報取扱事業者は、法令に基づく場合（※1）を除くほか、仮名加⼯情報（個⼈情報であるものを除く。以下この項及び次項において同じ。）を第三者に提供してはならない。
ただし、法第 42 条第 2 項により読み替えて準⽤される法第 27 条第 5 項各号に定める委託、事業承継⼜は共同利⽤により仮名加⼯情報の提供を受ける者は、提供主体の仮名加⼯情報取扱事業者と⼀体のものとして取り扱うことに合理性があるため、第三者には該当しないものとする。そのため、法第 42条第 2 項により読み替えて準⽤される法第 27 条第 5 項各号に定める委託、事業承継⼜は共同利⽤による場合は、仮名加⼯情報を提供することができる（※2）。
（※1）「法令に基づく場合」の具体的な事例については、通則ガイドライン「3-1-5（利⽤⽬的による制限の例外）」を参照のこと。
（※2）委託、事業承継及び共同利⽤については、2-2-3-3（第三者提供の禁⽌等）を参照のこと。
仮名加⼯情報の第三者提供を認める場合、以下のような弊害が考えられる。
・ 仮名加⼯情報を取得した悪意者により識別⾏為が⾏われるリスクがあり、個⼈の権利利益が侵害されるリスクを⾼めること・ 漏えい等発⽣時におけるリスクの低下を図るため、それ単体では特定の個⼈を識別することができな
いように加⼯しているにもかかわらず、第三者提供について本⼈に関与させるためには、あえて加⼯前の個⼈情報を復元し、特定の個⼈を識別することが必要となるため、むしろ漏えい等発⽣時におけるリス
クを⾼めること
以上を踏まえ、仮名加⼯情報は、法令に基づく場合を除くほか、第三者提供は禁⽌されている。これは、
仮名加⼯情報を作成する前に仮名加⼯情報の第三者提供に係る本⼈の同意を得ていた場合であっても、
４６

同様である。
ただし、委託、事業承継、⼜は共同利⽤の場合には、提供元の仮名加⼯情報取扱事業者と提供先の事業者を⼀体として取り扱うことに合理性があるため、仮名加⼯情報を提供することは可能である。
なお、仮名加⼯情報の作成の元となった個⼈データについては、本⼈の事前の同意を得て、第三者提供することは可能である（Q&A14-17）。

3.4.2 共同利⽤について
ガイドライン 2-2-3-3 第三者提供の禁⽌等（法第 41 条第 6 項関係）
（3）共同利⽤（法第 41 条第 6 項、第 27 条第 5 項第 3 号関係）
特定の者との間で共同して利⽤される仮名加⼯情報である個⼈データを当該特定の者に提供する場
合（※2）であって、次の①から⑤までの情報（※3）を、提供に当たりあらかじめ公表しているときには、当該提供先は、当該仮名加⼯情報である個⼈データを当初提供した個⼈情報取扱事業者である
仮名加⼯情報取扱事業者と⼀体のものとして取り扱われることに合理性があると考えられることから、第三者に該当しない（※4）。
仮名加⼯情報は、加⼯によりそれ⾃体では特定の個⼈を識別できないものとなっており、また、本⼈を識別する⽬的での利⽤や本⼈に連絡等をする⽬的での利⽤が禁⽌されていること（法第 41 条第 7 項
及び第 8 項）等を踏まえ、利⽤⽬的の柔軟な変更が許容されている（法第 41 条第 9 項）。そのため、仮名加⼯情報である個⼈データの共同利⽤における利⽤する者の範囲や利⽤⽬的等は、作成の元となった個⼈情報の取得の時点において通知⼜は公表されていた利⽤⽬的の内容や取得の経緯等にかかわらず、設定可能である。
①共同利⽤をする旨
仮名加⼯情報である個⼈データを共同利⽤する旨を公表する必要がある。
②共同して利⽤される仮名加⼯情報である個⼈データの項⽬事例）「⽒名・性別・年齢・サービス利⽤履歴」のうち、⽒名を削除し、「性別・年齢・サービス利⽤履
歴」に関する仮名加⼯情報を作成して共同利⽤する場合の公表項⽬は、「性別」、「年齢」、「サービス利⽤履歴」である。
③共同して利⽤する者の範囲
仮名加⼯情報である個⼈データの「共同利⽤の趣旨」は、当該仮名加⼯情報である個⼈データを提供する事業者と⼀体のものとして取り扱われることに合理性がある範囲で、当該仮名加⼯情報である個⼈データを共同して利⽤することである。
したがって、共同利⽤者の範囲については、どの事業者まで将来利⽤されるかが客観的に判断できる程度に明確にする必要がある。
なお、当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必
要はない。
④利⽤する者の利⽤⽬的
共同して利⽤する仮名加⼯情報である個⼈データについて、その利⽤⽬的を全て、公表しなければならない。
なお、利⽤⽬的が仮名加⼯情報である個⼈データの項⽬によって異なる場合には、当該仮名加⼯情報である個⼈データの項⽬ごとに利⽤⽬的を区別して記載することが望ましい。
４７

⑤当該仮名加⼯情報である個⼈データの管理について責任を有する者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名「仮名加⼯情報である個⼈データの管理について責任を有する者」とは、苦情を受け付け、その処理に尽⼒するとともに、安全管理等仮名加⼯情報である個⼈データの管理について責任を有する者をいう。
なお、ここでいう「責任を有する者」とは、共同して利⽤する全ての事業者の中で、第⼀次的に苦情の受付・処理を⾏う権限を有する者をいい、共同利⽤者のうち⼀事業者の内部の担当責任者をいうものではない。
（※1）「法令に基づく場合」の具体的な事例については、通則ガイドライン「3-1-5（利⽤⽬的による制限の例外）」を参照のこと。
（※2）共同利⽤の対象となる仮名加⼯情報である個⼈データの提供については、必ずしも全ての共同利⽤者が双⽅向で⾏う必要はなく、⼀部の共同利⽤者に対し、⼀⽅向で⾏うこともできる。
（※3）事業者が共同利⽤を実施する場合には、共同利⽤者における責任等を明確にし円滑に実施する観点から、上記①から⑤までの情報のほか、例えば、次の（ア）から（カ）までの事
項についても、あらかじめ取り決めておくことが望ましい。
（ア）共同利⽤者の要件（グループ会社であること、特定のキャンペーン事業の⼀員であること等、共同利⽤による事業遂⾏上の⼀定の枠組み）（イ）各共同利⽤者における仮名加⼯情報の取扱責任者、問合せ担当者及び連絡先（ウ）共同利⽤する仮名加⼯情報である個⼈データの取扱いに関する事項
・仮名加⼯情報である個⼈データの漏えい等防⽌に関する事項
・⽬的外の加⼯、利⽤、複写、複製等の禁⽌・共同利⽤終了後のデータの返還、消去、廃棄に関する事項（エ）共同利⽤する仮名加⼯情報である個⼈データの取扱いに関する取決めが遵守されな
かった場合の措置（オ）共同利⽤する仮名加⼯情報である個⼈データに関する事件・事故が発⽣した場合の報告・連絡に関する事項（カ）共同利⽤を終了する際の⼿続（※4）共同利⽤か委託かは、仮名加⼯情報である個⼈データの取扱いの形態によって判断されるものであって、共同利⽤者の範囲に委託先事業者が含まれる場合であっても、委託先との関係は、共同利⽤となるわけではなく、委託元は委託先の監督義務を免れるわけではない。
＜共同利⽤に係る事項の変更（法第 41 条第 6 項、第 27 条第 6 項関係）＞
仮名加⼯情報である個⼈データを共同利⽤する場合において、「仮名加⼯情報である個⼈データの管理について責任を有する者の⽒名、名称若しくは住所⼜は法⼈にあっては、その代表者の⽒名」に変更があったときは、遅滞なく、変更後の内容について公表しなければならない。また、「共同利⽤する者の利⽤⽬的」⼜は「仮名加⼯情報である個⼈データの管理について責任を有する者」を変更しようとするときは、あらかじめ、変更する内容について公表しなければならない。
なお、「共同して利⽤される仮名加⼯情報である個⼈データの項⽬」及び「共同して利⽤する者の範囲」について変更することは、原則として認められない（※）が、例えば次のような場合は、引き続き共同
４８

利⽤を⾏うことができる。
事例 1）共同利⽤を⾏う事業者の名称に変更があるが、共同して利⽤される仮名加⼯情報である個
⼈データの項⽬には変更がない場合
事例 2）共同利⽤を⾏う事業者について事業の承継が⾏われた場合（共同利⽤する仮名加⼯情報である個⼈データの項⽬等の変更がないことが前提）（※）提供に当たりあらかじめ法第 41 条第 6 項において読み替えて適⽤される法第 27 条第 5
項第 3 号に定める事項を公表した上で、新たな共同利⽤を⾏うことは妨げられない。
「3.4.1 第三者提供の禁⽌」のとおり、仮名加⼯情報である個⼈データを共同利⽤により他の事業者に提供することは可能である。
個⼈データの共同利⽤の趣旨は、本⼈から⾒て、当該個⼈データを提供する事業者と⼀体のものとして取り扱われることに合理性がある範囲で、当該個⼈データを共同して利⽤することであるから、共同利⽤者の範囲64の設定においては、共同して利⽤する者の利⽤⽬的を踏まえ、合理性が認められる範囲とする必要がある。また、既に特定の事業者が取得している個⼈データを他の事業者と共同して利⽤する場合には、当該共同利⽤は、社会通念上、共同して利⽤する者の範囲や利⽤⽬的等が当該個⼈データの本⼈が通常予期し得ると客観的に認められる範囲内である必要がある（通則ガイドライン「3-6-3 第三者に該当しない場合（法第 27 条第 5 項・第 6 項関係）」）。
仮名加⼯情報である個⼈データの共同利⽤の趣旨は、当該仮名加⼯情報である個⼈データを提供する事業者と⼀体のものとして取り扱われることに合理性がある範囲で、当該仮名加⼯情報である個⼈データを共同して利⽤することである。仮名加⼯情報である個⼈データの共同利⽤においては、利⽤する者の範囲や利⽤⽬的等は、作成の元となった個⼈情報の取得の時点において通知⼜は公表されていた利⽤⽬的の内
容や取得の経緯等にかかわらず、設定可能である。共同利⽤する者の範囲については、上述の仮名加⼯情報である個⼈データの共同利⽤の趣旨を踏まえる必要があり、また、どの事業者まで将来利⽤されるかが客観的に判断できる程度に明確にする必要がある。例えば、企業グループ（X グループ）に、a 事業を⾏う
A 社と b 事業を⾏う B 社の２社があるとする。それぞれの個⼈顧客のデータベースを X グループ内で共同利
⽤したい意向があるとしても、通知公表された利⽤⽬的が A 社においては「a 事業関連での利⽤」、B 社においては「b 事業関連での利⽤」であれば、⼀⽅のデータベースを他⽅の事業⽬的で利⽤することは、本⼈の同意のない⽬的外利⽤となるため、共同利⽤はできないことになる。これに対して、上述の共同利⽤の趣旨を踏まえつつ、A 社と B 社がそれぞれのデータベースに含まれる個⼈情報を仮名加⼯情報とし、その利⽤⽬
的を A 社においては、「a 事業関連」から「a 事業関連及び b 事業関連」に、B 社においては、「b 事業関連」から「a 事業関連及び b 事業関連」にそれぞれ変更する場合には、A 社と B 社は互いの仮名加⼯情報を共同利⽤することが可能となる65。
個⼈データを共同利⽤する場合には、共同して利⽤される個⼈データの項⽬、共同して利⽤する者の範囲、利⽤する者の利⽤⽬的並びに当該個⼈データの管理について責任を有する者の⽒名⼜は名称及び住所並びに法⼈にあっては、その代表者の⽒名をあらかじめ本⼈に通知し、⼜は本⼈が容易に知り得る状態に置くことが求められ（法第 27 条第 5 項第 3 号）、仮名加⼯情報である個⼈データを共同利⽤する場合
64「共同利⽤の趣旨」を踏まえ、共同利⽤者の範囲については、どの事業者まで将来利⽤されるかが客観的に判断できる程度に明確にする必要がある。当該範囲が明確である限りにおいては、必ずしも事業者の名称等を個別に全て列挙する必要はない。
65

なお、A 社及び B 社は仮名加⼯情報の変更後の利⽤⽬的（「3.3.1 利⽤⽬的との関係」を参照のこと。）と、共同利⽤に係る公表事項を公表しなければならない。

４９

にも、同様の情報をあらかじめ公表することが求められる（法第 41 条第 6 項、第 42 条第 2 項）。共同
利⽤する者の利⽤⽬的を特定するにあたっては、「利⽤⽬的の特定」の趣旨が、仮名加⼯情報である個⼈
データを共同して取り扱う者が、当該データがどのような事業の⽤に供し、どのような⽬的で利⽤するかについて、本⼈の予測を可能とすることであることに鑑み、本⼈が、⾃らに係る仮名加⼯情報がどのように取り扱われることとなるか、利⽤⽬的から合理的に予測・想定できるよう、できる限り利⽤⽬的を特定しなければならない。
また、事業者が単独で仮名加⼯情報を取り扱う場合と同様に、本⼈を識別する⽬的での利⽤や本⼈に連絡等をする⽬的での利⽤の禁⽌等の規律がかかる（「3.3.2 識別⾏為の禁⽌」、「3.3.3 本⼈への連絡等の禁⽌」も参照のこと。）。
なお、複数の共同利⽤者が、⾃ら作成した仮名加⼯情報を共同利⽤により相互に提供する場合、共同利⽤者は、⼀事業者で取り扱うことができる仮名加⼯情報データべース等より多くのデータを含む仮名加⼯
情報データベース等を取り扱うことができる。「3.3.6 安全管理措置について」で述べたとおり、仮名加⼯情報の安全管理措置は、仮名加⼯情報の取扱状況（取り扱う仮名加⼯情報の性質及び量を含む。）等に応じたものである必要があることから、取り扱う仮名加⼯情報の項⽬が⾃社では取得し得ない項⽬も含めて増加し、サンプル数も膨⼤となり、これにより仮名加⼯情報の漏えいが発⽣した場合に本⼈が被る権利利益の侵害の程度が⼤きくなるリスクがある場合には、当該リスクに応じたより⾼度な安全管理措置を講ずる必要がある。また、仮名加⼯情報の漏えいが発⽣した場合に本⼈が被る権利利益の侵害を低減する観点からも、本⼈到達性のある記述等や共⽤性のある記述等の削除等、利⽤⽬的を達成するために必要最⼩限の情報への加⼯を⾏うことが重要であることは、事業者が単独で仮名加⼯情報を取り扱う場合と同様である。
【共同利⽤により提供された仮名加⼯情報を特定の個⼈ごとに突合する場合】
複数の共同利⽤者が、⾃ら作成した仮名加⼯情報を共同利⽤により相互に提供する場合、ある共同
利⽤者において、提供を受けた仮名加⼯情報と⾃⼰が保有する仮名加⼯情報をそれぞれの仮名加⼯情報に共通して含まれる記述等を⽤いて特定の個⼈ごとに突合することが考えられる。
共同利⽤により提供を受けた仮名加⼯情報と⾃⼰が保有する仮名加⼯情報に含まれる共通の記述等を選別して、仮名加⼯情報同⼠を特定の個⼈ごとに突合する場合、当該特定個⼈の情報が集積すること
で、それらを突合した仮名加⼯情報のみで特定の個⼈を識別できる状態となり、識別禁⽌義務に抵触する可能性があることに留意する必要がある（「3.3.2 識別⾏為の禁⽌」も参照のこと。）。単⼀事業者内で複数の仮名加⼯情報を突合する場合とは異なり、仮名加⼯情報同⼠を突合した時に特定の個⼈を識別してしまうことのないよう作成元の個⼈情報のどの項⽬をどのようなレベルで加⼯するかについて予め統⼀した基準を定めておくことが容易でない場合があることに留意が必要である。
また、⾃らが作成した仮名加⼯情報を共同利⽤により別の事業者に提供し、当該別の事業者において、
当該仮名加⼯情報と当該別の事業者が作成した別の仮名加⼯情報とを突合した上で⽤いることを、利⽤⽬的から合理的に予測・想定できるようにしておくことが重要である。
なお、⽒名を仮ＩＤに置き換えた場合における置き換えアルゴリズムと当該アルゴリズムに⽤いられる乱数
等のパラメータの組合せ等の仮ＩＤの作成⽅法に関する情報は、削除情報等に該当するため、安全管理措置の⼀環として、削除情報等を取り扱う権限を有しない者による取扱いを防⽌するために必要かつ適切な措置を講ずることが求められる（法第 41 条第 2 項、施⾏規則第 32 条第 3 号）。そのため、仮名加
⼯情報の共同利⽤の場⾯において、その情報を⽤いて当該仮名加⼯情報の元となった個⼈情報を復元できるような仮ＩＤの作成⽅法に関する情報を他の共同利⽤者と共有することは、原則として認められない
５０

（削除情報等の取扱いについては、「3.3.7 削除情報等の安全管理措置」も参照のこと。）。66

66

なお、削除情報等の安全管理措置義務が適⽤されるのは「仮名加⼯情報を作成したとき」であるから、仮名加⼯情報の作成前の段

階で、仮ＩＤの作成⽅法に関する情報を他の事業者と共有することが、直ちに同項違反となるわけではないが、同項の趣旨に鑑み、仮名加⼯情報の作成前の段階であっても、これを共有しないことが望ましい。仮に、仮名加⼯情報の作成前の段階で、仮 ID の作成⽅法に関する情報を他の事業者と共有することがあったとしても、仮名加⼯情報の作成後は削除情報等を他の事業者が有している状態となる
ため、共有している全ての事業者において、直ちに当該作成⽅法に関する情報を削除する等の措置を講じなければならない。

５１

（参考）
これまで述べてきた仮名加⼯情報作成時の考え⽅を、項⽬ごとに整理したものが以下の図表 3-5 である。
図表 3-5 仮名加⼯情報作成時の考え⽅
項⽬

仮名加⼯情報作成時の考え⽅

⽒名、顔画像

単体で特定の個⼈を識別することができるため、全部⼜は⼀部を削除しなければならない。

住所、⽣年⽉⽇、性別組合せで特定の個⼈を識別することができる記述等についてはその組合せが特定の個⼈を識別することができる記述にならないように、記述等の全部⼜は⼀部を削除しなければならない。

旅券番号、運転免許証番号、個⼈個⼈識別符号であるため、全部削除しなければならない。

番号
クレジットカード番号、送⾦や決済機

不正に利⽤されることにより個⼈の財産的被害が⽣じるおそれが類型的能のあるウェブサービスのログイン ID・に⾼い記述等であるから、削除しなければならない。

パスワード
⼝座番号、クレジットカード番号の下「不正に利⽤されることにより財産的被害が⽣じるおそれがある記述等」に４桁は該当しないと考えられるが、その部分を何らかの分析等に利⽤することは⼀般的に想定されず、基本的に削除⼜は置換することが望ましい。

携帯電話番号や電⼦メールアドレ

本⼈への連絡等の禁⽌義務に抵触する取扱いを未然に防⽌する観点かス、SNS 等の ID、広告識別⼦やら、仮名加⼯情報の作成に当たって削除するか、連結符号として⽤いる

Cookie ID 等その他の本⼈到達性際であっても置き換えをすることが望ましい。

のある記述等であり多数の事業者に

また、漏えい時の個⼈の権利利益の侵害リスクを低減する観点からは、おいて取得されている共⽤性のある

共⽤性のある記述等は削除するか、連結符号として⽤いる際であっても記述等置き換えをすることが望ましい。

業界横断型ポイントカード ID その他

漏えい時の個⼈の権利利益の侵害リスクを低減する観点からは、共⽤性の多数の事業者において取得されてのある記述等は削除するか、連結符号として⽤いる際であっても置き換え

いる共⽤性のある記述等をすることが望ましい。

５２

4. 匿名加⼯情報
4.1

匿名加⼯情報とは
4.1.1 匿名加⼯情報を利⽤するアドバンテージ
匿名加⼯情報の制度は、個⼈情報を特定の個⼈を識別できないように加⼯した情報について、⼀定のルールの下で本⼈の同意を得ることなく⽬的外利⽤及び第三者提供を可能とすることにより、事業者間におけるデータ取引やデータ連携を含む個⼈情報の利活⽤を促進しようとするものであり、新事業や新サービスの創出、ひいては、国⺠⽣活の利便性の向上につながることが期待される。
匿名加⼯情報については、法第 2 条第 6 項で定義が⽰されるとともに、その取扱いに関するルールについては、法第 43 条〜第 46 条で規定されている。これらのルールを守り匿名加⼯情報を作成し取り扱うことにより、個⼈情報取扱事業者は法的枠組みの下で本⼈の同意を得ることなく、特定された利⽤⽬的外での利⽤や第三者への提供が安定的に可能となるものであり、匿名加⼯情報取扱事業者は幅広く様々な種類の匿名加⼯情報を⼊⼿して利⽤することが可能となるものである。
また、匿名加⼯情報の加⼯基準及びその適正な取扱いについて、第三者機関である個⼈情報保護委
員会が⼀元的に最低限の基準を⽰し、認定団体等が個⼈情報保護指針等により具体的な⾃主ルールを策定し対象事業者にその遵守を促すこと等により、国⺠にとっても安⼼できる形で適正な個⼈情報の利⽤が確保されることが期待される。
匿名加⼯情報の利活⽤による事例として、例えば、① ポイントカードの購買履歴や交通系 IC カードの乗降履歴等を複数の事業者間で分野横断的に利活⽤することにより、新たなサービスやイノベーションを⽣み出す可能性② 医療機関が保有する医療情報を活⽤した創薬・臨床分野の発展や、カーナビ等から収集される⾛⾏位置履歴等のプローブ情報を活⽤したより精緻な渋滞予測や天候情報の提供等により、国⺠⽣活全
体の質の向上に寄与する可能性等が期待されている67。

4.1.2 匿名加⼯情報の定義
匿名加⼯情報は、法において次のように定義されており、また、ガイドラインにおいて次のように解説している。
法第 2 条第 6 項
この法律において「匿名加⼯情報」とは、次の各号に掲げる個⼈情報の区分に応じて当該各号に定める措置を講じて特定の個⼈を識別することができないように個⼈情報を加⼯して得られる個⼈に関する情報であって、当該個⼈情報を復元することができないようにしたものをいう。
⼀

第 1 項第 1 号に該当する個⼈情報 当該個⼈情報に含まれる記述等の⼀部を削除すること（当該⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。

⼆

第 1 項第 2 号に該当する個⼈情報 当該個⼈情報に含まれる個⼈識別符号の全部を削除すること（当該個⼈識別符号を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。

67

2015 年 5 ⽉ 8 ⽇衆議院・内閣委員会における政府答弁。

５３

ガイドライン 3-1 匿名加⼯情報（法第 2 条第６項関係）「匿名加⼯情報」とは、個⼈情報を個⼈情報の区分に応じて定められた措置を講じて特定の個⼈を識別することができないように加⼯して得られる個⼈に関する情報であって、当該個⼈情報を復元して特定の個⼈を再識別することができないようにしたものをいう。
法第 2 条第 1 項第 1 号に該当する「当該情報に含まれる⽒名、⽣年⽉⽇その他の記述等により特定の個⼈を識別できるもの（他の情報と容易に照合することができ、それにより特定の個⼈を識別することができることとなるものを含む。）」である個⼈情報の場合には、「特定の個⼈を識別することができないように個⼈情報を加⼯」とは、特定の個⼈を識別することができなくなるように当該個⼈情報に含まれる⽒名、⽣年⽉⽇その他の記述等を削除することを意味する。
法第 2 条第 1 項第 2 号に該当する「個⼈識別符号が含まれる」個⼈情報の場合には、「特定の個⼈を識別することができないように個⼈情報を加⼯」とは、当該個⼈情報に含まれる個⼈識別符号の全部を特定の個⼈を識別することができなくなるように削除することを意味する（この措置を講じた上で、まだなお法第 2 条第 1 項第 1 号に該当する個⼈情報であった場合には、同号に該当する個⼈情報としての加⼯を⾏う必要がある。）。
「削除すること」には、「当該⼀部の記述等」⼜は「当該個⼈識別符号」を「復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む」とされている。「復元することのできる規則性を有しない⽅法」とは置き換えた記述から、置き換える前の特定の個⼈を識別することとなる記述
等⼜は個⼈識別符号の内容を復元することができない⽅法である。
なお、法において「特定の個⼈を識別することができる」とは、情報単体⼜は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、⼀般⼈の判断⼒⼜は理解⼒をもって⽣存する具体的な⼈物と情報の間に同⼀性を認めるに⾄ることができるかどうかによるものである。匿名加⼯情報に求められる「特定の個⼈を識別することができない」という要件は、あらゆる⼿法によって特定することができないよう技術的側⾯から全ての可能性を排除することまでを求めるものではな
く、少なくとも、⼀般⼈及び⼀般的な事業者の能⼒、⼿法等を基準として当該情報を個⼈情報取扱
事業者⼜は匿名加⼯情報取扱事業者が通常の⽅法により特定できないような状態にすることを求めるものである。
また、「当該個⼈情報を復元することができないようにしたもの」とは、通常の⽅法では、匿名加⼯情報から匿名加⼯情報の作成の元となった個⼈情報に含まれていた特定の個⼈を識別することとなる記
述等⼜は個⼈識別符号の内容を特定すること等により、匿名加⼯情報を個⼈情報に戻すことができない状態にすることをいう。
「当該個⼈情報を復元することができないようにしたもの」という要件は、あらゆる⼿法によって復元することができないよう技術的側⾯から全ての可能性を排除することまでを求めるものではなく、少なくとも、
⼀般⼈及び⼀般的な事業者の能⼒、⼿法等を基準として当該情報を個⼈情報取扱事業者⼜は匿名加⼯情報取扱事業者が通常の⽅法により復元できないような状態にすることを求めるものである。
匿名加⼯情報を作成するときは、法第 43 条第 1 項に規定する規則で定める基準に従って加⼯する必要があり、法第 2 条第 6 項に定める措置を含む必要な措置は当該規則で定めている（匿名加⼯情報の作成に必要な加⼯義務については、3-2-2（匿名加⼯情報の適正な加⼯）参照）。
５４

なお、「統計情報」は、複数⼈の情報から共通要素に係る項⽬を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向⼜は性質などを数量的に把握するものである。したがって、統計情報
は、特定の個⼈との対応関係が排斥されている限りにおいては、法における「個⼈に関する情報」に該当するものではないため、規制の対象外となる。
匿名加⼯情報は、個⼈情報から作成されるものであり、特定の個⼈を識別することができず、かつ、元となる個⼈情報を復元することができない、個⼈に関する情報である。個⼈に関する情報であるということは、すなわち情報の単位としては⼀⼈ひとりに対応した情報であることが許容されるものである68。なお、匿名加⼯
情報の集合体としては、法第 16 条第 6 項において、「匿名加⼯情報データベース等」という⾔葉が定義されている69。
4.1.2.1「特定の個⼈を識別することができない」とはガイドラインにも記載されているように、法において「特定の個⼈を識別することができる」とは、情報
単体⼜は複数の情報を組み合わせて保存されているものから社会通念上そのように判断できるものをいい、⼀般⼈の判断⼒⼜は理解⼒をもって⽣存する具体的な⼈物と情報の間に同⼀性を認めるに⾄ることができるかどうかによるものである。匿名加⼯情報に求められる「特定の個⼈を識別することができない」という要件は、あらゆる⼿法によって特定することができないよう技術的側⾯から全ての可能性を排除することまでを求めるものではなく、少なくとも、⼀般⼈及び⼀般的な事業者の能⼒、⼿法等を基準として当該情報を個⼈情報取扱事業者⼜は匿名加⼯情報取扱事業者が通常の⽅法により特定できないような状態にすることを求めるものである。

4.1.2.2「当該個⼈情報を復元することができないようにしたもの」とはガイドラインにも記載されているように、「当該個⼈情報を復元することができないようにしたもの」とは、通常の⽅法では、匿名加⼯情報から匿名加⼯情報の作成の元となった個⼈情報に含まれていた特定の個⼈を識別することとなる記述等⼜は個⼈識別符号の内容を特定すること等により、匿名加⼯
情報を個⼈情報に戻すことができない状態にすることをいう。
「当該個⼈情報を復元することができないようにしたもの」という要件は、あらゆる⼿法によって復元することができないよう技術的側⾯から全ての可能性を排除することまでを求めるものではなく、少なくとも、
⼀般⼈及び⼀般的な事業者の能⼒、⼿法等を基準として当該情報を個⼈情報取扱事業者⼜は匿名加⼯情報取扱事業者が通常の⽅法により復元できないような状態にすることを求めるものである。
上記のとおり、「特定の個⼈を識別することができない」とは、⼀般⼈の判断⼒⼜は理解⼒を基準として判断されるものであり、⼀般⼈において想定されないような⼿法や、⼀般的に⼊⼿できないような外部情報を利⽤したりする等のあらゆる⼿法によって特定や復元を試みたとしてもできないというように、技術的側⾯から全ての可能性を排除することまでを求めるものではない。
68

パーソナルデータに関する検討会「技術検討ワーキンググループ報告書」（2013 年 12 ⽉）にある「⾮識別⾮特定情報」（⼀⼈ひとりが識別されない（かつ個⼈が特定されない）状態の情報）だけでなく、「識別⾮特定情報」（⼀⼈ひとりは識別されるが、個⼈が特定されない状態の情報）も匿名加⼯情報に該当する場合があると考えられる。
69

なお、後述のとおり法第 43 条ないし第 46 条は匿名加⼯情報データベース等を構成する匿名加⼯情報に対する規律である。

５５

4.1.2.3

⼀部の情報が復元できた場合について「当該個⼈情報を復元」とは、特定の個⼈の識別につながる情報が復元されることを指す。つまり、
匿名加⼯情報から元の個⼈情報を全て復元することだけではなく、⼀部ではあっても元の個⼈情報の本⼈を特定し得る情報が復元されることも「復元」に該当する。
⼀⽅、特定の個⼈の識別につながらないような部分の情報の復元については、ここでいう「復元」には当たらない。例えば、匿名加⼯情報の作成の際に、元の個⼈情報から「電話番号」の情報の項⽬が全部削除されている場合に、匿名加⼯情報に含まれている郵便番号や居住エリア（市町村名）の情報に基づいて、電話番号の市外局番を復元することも想定し得る。ただし、その市外局番を復元できたことをもって特定の個⼈の識別ができる程度に復元されたりするものでなければ、「当該個⼈情報を復元」には該当しないと考えられる。
4.1.2.4「復元することのできる規則性を有しない⽅法により他の記述等に置き換えること」とは特定の個⼈を識別することができないように個⼈情報から匿名加⼯情報への加⼯を⾏う際には、必要に応じて対象となる記述等を削除することのほか、置き換えられた記述等から元の記述等へ戻すことができない⽅法（復元することのできる規則性を有しない⽅法）により他の記述等へ置き換えることも可能である。
ここで「復元することのできる規則性を有しない⽅法」とは、あくまで、置き換え後の記述等から元の個⼈情報の記述等への変換の規則性を有しない⽅法を意味し、記述等を置き換えるための規則性を有しないことまで求めるものではない。

4.1.3 匿名加⼯情報を取り扱う上での制約
匿名加⼯情報（匿名加⼯情報データベースを構成するものに限る）を作成し、それを取り扱うときには、
個⼈情報取扱事業者は法第 43 条の規定を遵守する必要がある。匿名加⼯情報を作成する個⼈情報取
扱事業者としては、法第 43 条第 1 項の適正加⼯義務のほか、加⼯⽅法等の情報の漏えいを防⽌するための安全管理措置義務70や匿名加⼯情報を作成した場合71及び匿名加⼯情報を第三者に提供する場
合の公表義務72、識別⾏為の禁⽌義務等73がかかることになる。
また、他の事業者が個⼈情報を加⼯して作成した匿名加⼯情報の提供を受けてこれを事業の⽤に供している匿名加⼯情報取扱事業者は法第 44 条〜第 46 条の規定を遵守する必要がある。匿名加⼯情報の提供を受ける匿名加⼯情報取扱事業者は、識別⾏為の禁⽌義務74、匿名加⼯情報の安全管理措置
等の努⼒義務75及び更なる第三者提供を⾏う場合の公表義務76がかかることになる。なお、匿名加⼯情報を作成した個⼈情報取扱事業者が当該匿名加⼯情報に係る匿名加⼯情報データベース等を事業の⽤に供する場合は、当該個⼈情報取扱事業者は匿名加⼯情報取扱事業者にも該当するが、法第 44 条〜
第 46 条は、「⾃ら個⼈情報を加⼯して作成した匿名加⼯情報」以外の匿名加⼯情報の取扱いに当たって70

法第 43 条第 2 項

71

法第 43 条第 3 項

72

法第 43 条第 4 項

73

法第 43 条第 5 項

74

法第 45 条75

法第 46 条76

法第 44 条５６

⽣じる義務であるため、法第 44 条〜第 46 条の義務の対象とはならない（ただし、個⼈情報取扱事業者
が⾃ら個⼈情報を加⼯して作成した匿名加⼯情報を取り扱う際には法第 43 条の規定が適⽤される。）。
この法第 43 条〜第 46 条の関係を図にしたものが、図表 4-1 である。
図表 4-1 匿名加⼯情報の作成者・受領者が遵守すべき規定

4.1.4 匿名加⼯情報に関する留意点
4.1.4.1

統計情報について

個⼈情報と匿名加⼯情報は、それぞれ法第 2 条第 1 項及び第 6 項の定義にあるように、「個⼈に関する情報」である。⼀⽅、「統計情報」は、複数⼈の情報から共通要素に係る項⽬を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向⼜は性質等を数量的に把握するものである。
ガイドライン「3-1-1 匿名加⼯情報（法第 2 条第 6 項関係）」では「統計情報は、特定の個⼈との対応関係が排斥されている限りにおいては、法における「個⼈に関する情報」に該当するものではな
いため、規制の対象外となる」と記載している。したがって、適切に加⼯された統計情報は、個⼈情報、
個⼈関連情報、仮名加⼯情報、匿名加⼯情報のいずれにも該当しないものである77。
ただし、例えば、統計情報の作成の過程において、ある項⽬の値を所定範囲ごとに区切る場合、その範囲の設定の仕⽅によってはサンプルが著しく少ない領域（⾼齢者、⾼額利⽤者、過疎地における位置情報等）が⽣じる可能性がある。このような場合については、特定の個⼈の情報であると識別されやすくなることもあり得る。
また、単に統計情報とされていればよいというものではなく、特定の個⼈との対応関係が⼗分に排斥できるような形で統計情報とされていることが重要である。なお、特定の個⼈の⾏動の傾向等を数量的に把握するために、当該特定の個⼈についての複数の情報を集計して統計情報を作成した場合は、当該特定の個⼈との対応関係が排斥された情報とはいえないので、注意を要する。

77

このような統計情報の例としては、個別の調査結果を集計して、統計作成者の責任の下で、統計情報として公開して⼀般に利⽤可能とされているもの、あるいは第三者に提供されているものがあり、例えば、公的統計の公表された統計表のほか、業界団体や⺠間調査会社等が作成する⺠間統計がある。

５７

4.1.4.2

容易照合性との関係

匿名加⼯情報を作成した事業者は、その作成に⽤いた個⼈情報を保有しており、法第２条第１項第１号括弧書きのいわゆる「容易照合性」があるとして、作成した匿名加⼯情報は個⼈情報に該当し、個⼈情報の取扱いに関する各義務（法第 4 章第２節）を守らなければならないのではないか、との懸念が想定される。
匿名加⼯情報は、特定の個⼈を識別することができず、作成の元となった個⼈情報を復元することができないように加⼯したものであり、さらに、個⼈情報に係る本⼈を識別することを禁⽌する等の制度的な担保がなされていることから、作成の元となった個⼈情報を通常の業務における⼀般的な⽅法で照合することができる状態にある（すなわち容易照合性がある）とはいえず、個⼈情報に該当しないとされるものである。
この「特定の個⼈を識別することができない」の判断基準については、法第２条第１項第１号の括弧外と同様に⼀般⼈及び⼀般の事業者の判断⼒や理解⼒をもって⾏われるものであり、かつ、「復元することができない」の判断基準についても⼀般⼈及び⼀般の事業者の判断⼒や理解⼒をもって⾏われるものである。
匿名加⼯情報は、その⽴法趣旨からも、本来の利⽤⽬的外で利⽤する場合あるいは他の匿名加⼯情報取扱事業者に提供する場合等により、利⽤・流通過程における安全性を確保しつつ個⼈に関する情報の利活⽤を図る制度であり、個⼈情報に対して⼀定の加⼯及び規律を課した上で第三者提供等を可能とするものであるため、⼀般⼈及び⼀般の事業者における判断⼒や理解⼒を考慮した上で安全性を判断することが妥当であると考えられる。
（参考）「容易照合性」「容易照合性」とは、それ⾃体では特定の個⼈を識別することができない情報であっても、その情報を取り扱う事業者が、特別の調査を⾏ったり特別の費⽤や⼿間をかけたりすることなく、通常の業務における⼀般的な⽅法で、他の情報との照合が可能な状態にあることをいう。法では、このような状態にあることによって「特定の個⼈を識別することができることとなるもの」を個⼈情報に含め、保護対象としている。
「容易照合性」の判断要素としては、各情報にアクセスできる者の存否、社内規程の整備等の組織的な体制、情報システムのアクセス制御等の技術的な体制等が挙げられ、これらを総合的に勘案して「特定の個⼈を識別することができる」か否かが判断されるものであり、取り扱う個⼈情報の内容や利活⽤の⽅法等、事業者の実態に即して個々の事例ごとに判断されることとなる78。
例えば、事業者の各取扱部⾨が独⾃に取得した個⼈情報を取扱部⾨ごとに設置されているデータ
ベースにそれぞれ別々に保管している場合において、双⽅の取扱部⾨やこれらを統括すべき⽴場の者
等が、規程上・運⽤上、双⽅のデータベースを取り扱うことが厳格に禁⽌されていて、特別の費⽤や⼿間をかけることなく、通常の業務における⼀般的な⽅法で双⽅のデータベース上の情報を照合することができない状態であれば、「容易に照合することができ」るとはいえないものと考えられる。⼀⽅、双⽅の取扱部⾨の間で、通常の業務における⼀般的な⽅法で双⽅のデータベース上の情報を照合することができる場合は、「容易に照合することができ」る場合に当たると考えられる79。
なお、法第 2 条第１項第 1 号括弧内の容易照合性は、上記のように事業者内部における照合78

⽠⽣和久編 『⼀問⼀答 平成 27 年改正個⼈情報保護法』（商事法務、2015 年） P13（Q8）。

79

Q&A1-18。

５８

性を意味するものであり、これは法第４章第 2 節の個⼈情報取扱事業者の義務（法第 17 条〜第40 条）における「個⼈情報」の定義において共通的に適⽤されるものと考えられるため、法第 27 条の第三者提供の制限においても「個⼈情報」80に関する容易照合性の判断は事業者内部における照合性を意味することとなる。
また、法第２条第１項第１号括弧外の「特定の個⼈を識別することができる」の要件は、情報単体⼜は複数の情報を組み合わせて保存されているものから、社会通念上そのように判断できるもの、すなわち⼀般⼈の判断⼒⼜は理解⼒をもって⽣存する具体的な⼈物と情報の間に同⼀性を認めるに⾄るかどうかが判断基準となっている。

4.1.5 匿名加⼯情報の作成とは
匿名加⼯情報（匿名加⼯情報データベース等を構成するものに限る。以下本レポートにおいて同じ。）
については、法第 43 条第 1 項で規定されているように、施⾏規則で定める基準に従って個⼈情報を加⼯することとされている。
法第 43 条第 1 項
個⼈情報取扱事業者は、匿名加⼯情報（匿名加⼯情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個⼈を識別すること及びその作成に⽤いる個⼈情報を復元することができないようにするために必要なものとして個⼈情報保護委員会規則で定める基準に従い、当該個⼈情報を加⼯しなければならない。
また、「匿名加⼯情報の作成」については、ガイドラインでは次のように解説している。
ガイドライン 3-2-2 匿名加⼯情報の適正な加⼯（法第 43 条第１項関係）
個⼈情報取扱事業者は、匿名加⼯情報（匿名加⼯情報データベース等を構成するものに限る（※
1）。以下同じ。）を作成するとき（※2）は、特定の個⼈を識別できないように、かつ、その作成に⽤いる個⼈情報を復元できないようにするために、規則第 34 条各号に定める基準に従って、当該個⼈情報を加⼯しなければならない。なお、「個⼈情報保護委員会規則で定める基準に従い、当該個⼈情報を加⼯」するためには、加⼯する情報の性質に応じて、規則第 34 条各号に定める加⼯基準を満たす必要がある。
（※1）匿名加⼯情報の取扱いに係る義務（法第 43 条から第 46 条まで）は、匿名加⼯情報デー
タベース等を構成する匿名加⼯情報に課されるものであり、いわゆる散在情報となる、匿名加⼯
情報データベース等を構成しない匿名加⼯情報の取扱いに係る義務は課されていない。
（※2）「作成するとき」は、匿名加⼯情報として取り扱うために、当該匿名加⼯情報を作成するときのことを指す。したがって、例えば、安全管理措置の⼀環として⽒名等の⼀部の個⼈情報を削除（⼜は他の記述等に置き換え）した上で引き続き個⼈情報として取り扱う場合、あるいは統計情報を作成するために個⼈情報を加⼯する場合等については、匿名加⼯情報を「作成するとき」には該当しない。

80

法第 27 条は「個⼈データ」の取扱いに関する義務であるが、「個⼈データ」は法第 16 条第 3 項の定義から明らかなように、法第 2

条第 1 項で定義される「個⼈情報」の解釈に依拠するものである。

５９

ガイドライン 3-2-4 匿名加⼯情報の作成時の公表（法第 43 条第 3 項関係）（抜粋）
個⼈情報取扱事業者は、匿名加⼯情報を作成したとき（※1）は、匿名加⼯情報の作成後遅滞なく（※2）、インターネット等を利⽤し、当該匿名加⼯情報に含まれる個⼈に関する情報の項⽬を公表（※3）しなければならない。
（※1）ここで「匿名加⼯情報を作成したとき」とは、匿名加⼯情報として取り扱うために、個⼈情報を加⼯する作業が完了した場合のことを意味する。すなわち、あくまで個⼈情報の安全管理措置の⼀環として⼀部の情報を削除しあるいは分割して保存・管理する等の加⼯をする場合⼜は個⼈
情報から統計情報を作成するために個⼈情報を加⼯する場合等を含むものではない。
また、匿名加⼯情報を作成するために個⼈情報の加⼯をする作業を⾏っている途上であるものの作成作業が完了していない場合には、加⼯が不⼗分であること等から匿名加⼯情報として取り扱うことが適切ではない可能性もあるため「匿名加⼯情報を作成したとき」とは位置付けられない。
ガイドライン中に記載されているように、「匿名加⼯情報を作成する」とは、匿名加⼯情報の作成意図をもって、法で規定された匿名加⼯情報として取り扱うことを⽬的として匿名加⼯情報を作成するときのことを指すものである。「法で規定された匿名加⼯情報として取り扱う」とは、本⼈同意を得ないで新たな⽬的のために活⽤する場合や、第三者に提供するような場合等が想定される。
つまり、匿名加⼯情報を作成する意図がなく、かつ、個⼈情報として取り扱うことを前提にしたデータの加⼯については、法律上の「匿名加⼯情報の作成」に該当するものではないのであり、このようなデータの加⼯に対して、匿名加⼯情報に係る義務が発⽣するものではなく、個⼈情報に係る規律が適⽤される。かかるデータの加⼯としては、主として、次のようなケースが該当する。
（1） 社内での安全管理上、⽒名等を削除して扱うデータ
事業者が個⼈情報を取り扱う中で、ユーザーの傾向やマーケット全体の分析等を⾏うに当たって、安全管
理上、⽒名等、分析に必要のない個⼈情報を削除するケースがよくある。また、その分析を他の事業者に委託する場合にも、⼀部の情報を削除して提供する場合も想定される。
このような扱いについては、匿名加⼯情報の作成意図はなく、個⼈情報として引き続き取り扱う前提である場合には、法律上の「匿名加⼯情報の作成」には該当しない。
（2） 統計情報を作成するために個⼈情報を加⼯したデータ取得した個⼈情報の利⽤態様の⼀つとして、ユーザーの傾向分析等を⾏うために個⼈情報を加⼯して統計情報を作成することが想定される。
こういった統計情報を作成する際に、個⼈情報のデータセットからそのまま集計表を作成することで統計情報を作成する場合だけでなく、⼀旦、個⼈情報から⽒名等を削除するとともに、住所や年齢等の項⽬を⼀定のカテゴリーに分類（例︓東京都千代⽥区→東京都、25 歳→20 代等）した上で集計して統計情報を作成することも想定される。
このような個⼈情報から適切な加⼯を施して統計情報を作成する作業の途上で⽣成される加⼯データについては、匿名加⼯情報の作成意図はないことから、法律上の「匿名加⼯情報の作成」には該当しない。

６０

（3） 匿名加⼯情報を作成する途上で発⽣するデータ
匿名加⼯情報を作成する際には、データとしての有⽤性や再識別リスク81の評価等に伴い、複数の匿名加⼯⼿法を試⾏したりノイズの量や情報の丸めの程度等のパラメータを変更したりする等、匿名加⼯処理を何度もやり直したり、加⼯⽅法を調整しながら⼀連の匿名加⼯情報を作成することも想定される。
ガイドラインにもあるように、匿名加⼯情報を作成するために個⼈情報の加⼯をする作業を⾏っている途
上であるものの作成作業が完了していない場合には、加⼯が不⼗分であること等から匿名加⼯情報として取り扱うことが適切ではない可能性もあるため、法律上の「匿名加⼯情報を作成したとき」には位置付けられないこととなる。
最終的に匿名加⼯情報とするための加⼯作業が完了したことをもって「匿名加⼯情報を作成」したことになり、匿名加⼯情報の作成・第三者提供に係る公表義務や安全管理措置等を履⾏するとともに、匿名加⼯情報として取り扱うことが可能となる。

81

当該匿名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈が識別されるリスク。

６１

【⾏政機関等匿名加⼯情報と⾏政機関等における匿名加⼯情報の取扱いについて】
令和 3 年 5 ⽉ 19 ⽇に公布されたデジタル社会の形成を図るための関係法律の整備に関する法律（令和 3年法律第 37 号）第 50 条及び第 51 条に基づく法改正により、⾏政機関の保有する個⼈情報の保護に関する法律（平成 15 年法律第 58 号）に規定されている「⾏政機関⾮識別加⼯情報」及び独⽴⾏政法⼈等の保有する個⼈情報の保護に関する法律（平成 15 年法律第 59 号）に規定されている「独⽴⾏政法⼈等⾮識別加⼯情報」に相当するものとして「⾏政機関等匿名加⼯情報」に関する規定が設けられた82。また、地⽅公共団体の機関及び地⽅独⽴⾏政法⼈には、⾏政機関等匿名加⼯情報の提供制度（定期的な提案募集）について、国と同じ規律が適⽤されることとなったが、経過措置として、当分の間は都道府県及び地⽅⾃治法第 252 条の 19
第 1 項の指定都市について提案募集を義務付けることとし、他の地⽅公共団体等は任意で提案募集を実施することとされた。
⾏政機関等匿名加⼯情報は、法第 60 条第 3 項に規定する保有個⼈情報を加⼯して得られる匿名加⼯情報である。⾏政機関等匿名加⼯情報を作成するときは、施⾏規則で定める基準に従うこととされており（法第114 条第 1 項）、その基準については施⾏規則第 62 条で以下のとおり規定されている。
施⾏規則第 62 条
法第 114 条第 1 項の個⼈情報保護委員会規則で定める基準は、次のとおりとする。
⼀ 保有個⼈情報に含まれる特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除すること（当該全部⼜は⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
⼆ 保有個⼈情報に含まれる個⼈識別符号の全部を削除すること（当該個⼈識別符号を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
三 保有個⼈情報と当該保有個⼈情報に措置を講じて得られる情報とを連結する符号（現に⾏政機関等において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない⽅法により当該保有個⼈情報と当該保有個⼈情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
四 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
五 前各号に掲げる措置のほか、保有個⼈情報に含まれる記述等と当該保有個⼈情報を含む個⼈情報フ
ァイルを構成する他の保有個⼈情報に含まれる記述等との差異その他の当該個⼈情報ファイルの性質を勘案し、その結果を踏まえて適切な措置を講ずること。
上記の加⼯に際しては、本レポートで⽰した加⼯の考え⽅も参考にできる。
⾏政機関等匿名加⼯情報の提供や利⽤については、匿名加⼯情報とは異なる規律が適⽤されるため、個⼈情報の保護に関する法律についてのガイドライン（⾏政機関等編）等も参照する必要がある。
また、⾏政機関等が⾏政機関等匿名加⼯情報に該当しない匿名加⼯情報を取り扱うにあたっては、第三者提供時の公表義務（法第 121 条第 1 項）、識別⾏為の禁⽌（同条第 2 項）及び安全管理措置（同条第 382

なお、「⾏政機関⾮識別加⼯情報」及び「独⽴⾏政法⼈等⾮識別加⼯情報」は、近年の情報通信技術の進展により、いわゆるビッ

グデータの収集・分析が可能となる中、国の⾏政機関・独⽴⾏政法⼈等の保有する個⼈情報について、個⼈情報の保護を図りつつ適正かつ効果的な利活⽤を推進していくため、平成 28 年に改正された⾏政機関個⼈情報保護法及び独⽴⾏政法⼈等個⼈情報保護法により新設された制度である。

６２項）の義務が課される。これらの義務については、本レポートで⽰した考え⽅も参考にすることができる。

６３

4.2

匿名加⼯情報の作成に当たって求められる加⼯
4.2.1 匿名加⼯情報の加⼯基準（施⾏規則第 34 条）について
法第 43 条第 1 項では、匿名加⼯情報を作成するに当たっては、施⾏規則で定める基準に従うこととされており、その基準については、施⾏規則第 34 条で規定されている。施⾏規則第 34 条は全 5 号で構成されており、匿名加⼯情報を作成する際は、各号を選択的に講ずるのではなく、各号全ての措置を⾏う必要がある（ただし、該当する情報がない場合は、この限りではない）。
4.2.1 においては、施⾏規則第 34 条各号に規定する措置について、その具体的な⼿法を検討する。
4.2.1.1

第 1 号（特定の個⼈を識別することができる記述等の削除）

施⾏規則第 34 条第 1 号
個⼈情報に含まれる特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除すること（当該全部⼜は⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
ガイドライン 3-2-2-1 特定の個⼈を識別することができる記述等の削除
個⼈情報取扱事業者が取り扱う個⼈情報には、⼀般に、⽒名、住所、⽣年⽉⽇、性別の他、様々な個⼈に関する記述等が含まれている。これらの記述等は、⽒名のようにその情報単体で特定の個⼈を識別することができるもののほか、住所、⽣年⽉⽇など、これらの記述等が合わさることによって特定の個⼈を識別することができるものもある。このような特定の個⼈を識別できる記述等
から全部⼜はその⼀部を削除するあるいは他の記述等に置き換えることによって、特定の個⼈を識別することができないよう加⼯しなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない⽅法でなければならない（※）。例えば、⽣年⽉⽇の情報を⽣年の情報に置き換える場合のように、元の記述等をより抽象的な記述に置き換えることも考えられる。
【想定される加⼯の事例】
事例 1）⽒名、住所、⽣年⽉⽇が含まれる個⼈情報を加⼯する場合に次の 1 から 3 までの措置を講ずる。
1）⽒名を削除する。
2）住所を削除する。⼜は、○○県△△市に置き換える。
3）⽣年⽉⽇を削除する。⼜は、⽇を削除し、⽣年⽉に置き換える。
事例 2）会員 ID、⽒名、住所、電話番号が含まれる個⼈情報を加⼯する場合に次の 1、2 の措置を講ずる。
1）会員 ID、⽒名、電話番号を削除する。
2）住所を削除する。⼜は、○○県△△市に置き換える。
（※）仮 ID を付す場合には、元の記述を復元することのできる規則性を有しない⽅法でなければならない。
例えば、仮にハッシュ関数等を⽤いて⽒名・住所・連絡先・クレジットカード番号のように個々⼈に固有の記述等から仮 ID を⽣成しようとする際、元の記述に同じ関数を単純に⽤６４

いると元となる記述等を復元することができる規則性を有することとなる可能性がある場合には、元の記述（例えば、⽒名＋連絡先）に乱数等の他の記述を加えた上でハッシュ関数
等を⽤いるなどの⼿法を検討することが考えられる。なお、乱数等の他の記述等を加えた上でハッシュ関数等を⽤いるなどの⼿法を⽤いる場合、匿名加⼯情報の作成後に、仮 ID への置き換えに⽤いたハッシュ関数等と乱数等の他の記述等の組み合わせを保有し続けることは認められないことについて、3-2-3-1（加⼯⽅法等情報の安全管理措置）を参照のこと。
施⾏規則第 34 条第 1 号は、法第 2 条第 6 項第 1 号の規定に基づき、法第２条第 1 項第１号に該当する個⼈情報について、特定の個⼈を識別することができる記述等の全部⼜は⼀部を削除する（当該全部⼜は⼀部の記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）83措置を定めるものである。
「3.2.1.1 第 1 号（特定の個⼈を識別することができる記述等の削除）」における解説は、規則第34 条第 1 号により講ずべき措置についても妥当するため、「3.2.1.1 第 1 号（特定の個⼈を識別することができる記述等の削除）」を参照されたい。
【仮 ID への置き換えについて】
匿名加⼯情報の作成においては、情報単体で特定の個⼈を識別可能とする情報を削除することのほか、情報単体で特定の個⼈を識別可能な情報⼜はそれら組合せ（例えば、⽒名＋連絡先）を、元の個⼈情報を復元できる規則性を有しない⽅法により置き換えることも認められている。この際、元の個⼈情報を符号や番号等で置き換えた場合には、当該符号等は仮 ID と捉えることができる。
仮 ID を付す⽅法としては、例えば、⼊⼒情報それぞれに対して、所定のアルゴリズムにより出⼒される数値や記号列を付番するほか、⽒名やサービス ID 等の⼀意の情報を削除した後にランダムに番号や記号等を付番する処理等の⼿法が想定される。また、匿名加⼯情報の加⼯の要件として、「復元できる規則性を有しないように置き換え」る必要があるため、仮 ID を⽤いる場合には、元の個⼈情報を復元することができないように仮 ID を⽣成する必要がある。仮 ID による置き換えを⾏う場合は、その際に使⽤する⼿法の⻑所・短所を把握した上で⾏うことが必要である。
なお、後述の 4.3.1 のとおり⽒名等を仮 ID に置き換えた場合における⽒名と仮 ID の対応表や⽒名等の仮 ID への置き換えに⽤いた乱数等のパラメータは、匿名加⼯情報の作成後は破棄しなければならないことから、同⼀⼈物に係る匿名加⼯情報を複数回にわたり作成する場合、同じ仮 ID を付与することは基本的に想定されない。
また、仮 ID が不要である場合には、再識別リスクを低減する意味からも、仮 ID への置き換えを⾏
わず、仮 ID の作成の元となる記述等の削除をすることが望ましい。
【ハッシュ関数による置き換えについて】
仮 ID に置き換える処理を⾏う際には、元の記述が復元されたり推定されたりしないようにする必要があり、その代表的な処理⽅法としてハッシュ関数を⽤いたハッシュ化がある。ハッシュ化とは、元のデータから⼀定の計算⼿順に従ってハッシュ値と呼ばれる規則性のない固定⻑の値を求め、その値によって元83

法第 2 条第 6 項第 1 号で「・・・記述等の⼀部を削除」とあるのに対して、ここで「・・・記述等の全部⼜は⼀部を削除」となっているのは、例えば、特定の個⼈を識別することができる情報が⽒名しかない場合等については、記述等を削除する場合に全部を削除することも当然にあり得るため、そのことを単に明確に⽰したものである。

６５

のデータを置き換える⽅法であり、ハッシュ関数と呼ばれる特殊な計算⼿順により、任意⻑のデータから固定⻑の⼀⾒ランダムなハッシュ値を得ることができる。
同じデータからは常に同じハッシュ値が得られる⼀⽅で、少しでもデータが異なると全く類似しない別のハッシュ値が⽣成され、またハッシュ値から元のデータを割り出したり、同じハッシュ値を持つ別のデータを⽣成したりすることは極めて難しいことから、匿名加⼯の際の仮 ID の⽣成⽅法の⼀つとして使⽤されることが多い。
なお、ハッシュ関数のアルゴリズムについては、安全性が確⽴されたものを利⽤することが望ましいと考えられるところ、例えば、CRYPTREC が暗号技術を評価・検討し、安全性及び実装性能ともに優れたものを選択した結果に基づき作成された電⼦政府推奨暗号リストにおいて挙げられているハッシュ関
数を利⽤することも推奨される。
さらに、ハッシュ化による仮 ID ⽣成に当たっては、ハッシュ関数への⼊⼒情報を（⽒名＋ソルト）、（⽒名＋電⼦メールアドレス＋ソルト）といったように、⼗分な⻑さのソルトを付加した上でハッシュ化をすることが望ましい。ソルトはランダムなデータを⽤いることと、ソルトが削除情報等に当たることにも留意が必要である8485。
4.2.1.2

第 2 号（個⼈識別符号の削除）

施⾏規則第 34 条第 2 号
個⼈情報に含まれる個⼈識別符号の全部を削除すること（当該個⼈識別符号を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
ガイドライン 3-2-2-2 個⼈識別符号の削除
加⼯対象となる個⼈情報が、個⼈識別符号を含む情報であるときは、当該個⼈識別符号単体
で特定の個⼈を識別できるため、当該個⼈識別符号の全部を削除⼜は他の記述等へ置き換えて、特定の個⼈を識別できないようにしなければならない。
なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない⽅法による必要がある。
（参考）個⼈識別符号の概要
個⼈識別符号とは、その情報単体から特定の個⼈を識別することができるものとして政令で定めるものをいい、次のいずれかに該当するものである（個⼈識別符号の定義の詳細については、
通則ガイドライン「2-2（個⼈識別符号）」参照）。
（1）特定の個⼈の⾝体の⼀部の特徴を電⼦計算機の⽤に供するために変換した符号
・ ⽣体情報（DNA、顔、虹彩、声紋、歩⾏の態様、⼿指の静脈、指紋・掌紋）をデジタ
ルデータに変換したもののうち、特定の個⼈を識別するに⾜りるものとして規則で定める基準に適合するもの（政令第 1 条第 1 号及び規則第 2 条）
（2）対象者ごとに異なるものとなるように役務の利⽤、商品の購⼊⼜は書類に付される符号84

Article 29 Data Protection Working Party（EU 第 29 条作業部会）によるオピニオン“Opinion 05/2014 on

Anonymisation Techniques“においても、「⼊⼒値によるリプレイが可能であること、ブルート・フォース攻撃の問題があること等から、⼗分に⼤きく予測困難な鍵を⽤いた鍵付きハッシュ関数を利⽤する等の配慮が好ましい」旨についての記載がある。
85

匿名加⼯情報の作成後に、仮 ID への置き換えに⽤いたハッシュ関数と鍵となる乱数等のパラメータの組み合わせを保有し続けることは認められないことについて、ガイドライン「3-2-3-1 加⼯⽅法等情報の安全管理措置」を参照のこと。

６６

・ 旅券番号、基礎年⾦番号、免許証番号、住⺠票コード、マイナンバー、各種保険証の番号等の公的機関が割り振る番号（政令第 1 条第 2 号から第 8 号まで、規則第 3条及び第 4 条）「3.2.1.2 第 2 号 （個⼈識別符号の削除）」における解説は、規則第 34 条第 2 号により講ずべき措置についても妥当するため、「3.2.1.2 第 2 号 （個⼈識別符号の削除）」を参照されたい。
4.2.1.3

第 3 号（情報を相互に連結する符号の削除）

施⾏規則第 34 条第 3 号
個⼈情報と当該個⼈情報に措置を講じて得られる情報とを連結する符号（現に個⼈情報取扱
事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない⽅法により当該個⼈情報と当該個⼈情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
ガイドライン 3-2-2-3 情報を相互に連結する符号の削除
個⼈情報取扱事業者が個⼈情報を取り扱う上で、例えば、安全管理の観点から取得した個⼈
情報を分散管理等しようとするために、当該個⼈情報を分割あるいは全部⼜は⼀部を複製等した上で、当該個⼈情報に措置を講じて得られる情報を個⼈情報と相互に連結するための符号としてID 等を付していることがある。このような ID は、個⼈情報と当該個⼈情報に措置を講じて得られる情報を連結するために⽤いられるものであり、特定の個⼈の識別⼜は元の個⼈情報の復元につながり得ることから、加⼯対象となる個⼈情報から削除⼜は他の符号への置き換えを⾏わなければならない。
個⼈情報と当該個⼈情報に措置を講じて得られる情報を連結する符号のうち、「現に個⼈情報取扱事業者において取り扱う情報（※1）を相互に連結する符号」がここでの加⼯対象となる。具
体的には、ここで対象となる符号は、匿名加⼯情報を作成しようとする時点において、実際に取り扱う情報を相互に連結するように利⽤されているものが該当する。例えば、分散管理のための ID として実際に使われているものであれば、管理⽤に附番された ID あるいは電話番号等もこれに該当する。
なお、他の符号に置き換える場合は、元の符号を復元できる規則性を有しない⽅法でなければならない。
【想定される加⼯の事例】
事例 1）サービス会員の情報について、⽒名等の基本的な情報と購買履歴を分散管理し、それらを管理⽤ ID を付すことにより連結している場合、その管理⽤ ID を削除する。
事例 2）委託先へ個⼈情報の⼀部を提供する際に利⽤するために、管理⽤ ID を付すことにより元の個⼈情報と提供⽤に作成した情報を連結している場合、当該管理⽤
ID を仮 ID（※2）に置き換える。
（※1）「現に個⼈情報取扱事業者において取り扱う情報」とは、匿名加⼯情報を作成する時点において取り扱われている情報のことを指し、これから作成する匿名加⼯情報は含まれない。
（※2）仮 ID を付す際の注意点については、3-2-2-1（特定の個⼈を識別することができる記
６７

述等の削除）の（※）を参照のこと。
施⾏規則第 34 条第 3 号は、事業者内で、個⼈情報を分散管理したり、取扱いの委託等をしたりするために、分けたデータベース等を相互に連結するために割り当てられている ID 等を削除することを求めるものである。
事業者においては、個⼈情報を取り扱う際の安全管理の⼀環や事業者間における個⼈情報の共同利⽤における管理の⼀形態として、図表 4-2 のように個⼈情報のデータベースを複数に分けて管理するような場合も想定される。
図表 4-2 施⾏規則第 34 条第 3 号で削除を求める“符号”のイメージ

なお、ここでいう「連結する符号」とは、個⼈情報と当該個⼈情報に措置を講じて得られる情報とを相互に連結する符号であり、ID ではなくても、実務上、他の属性情報等（例えば、電話番号や電⼦
メールアドレス）を連結の⽬的で使⽤している場合には、当該属性情報も「連結する符号」とみなされる。
ただし、本号はあくまでも現に連結の⽬的で使⽤されている符号を対象としたものであり、それ以外の情報については、同条第 3 号による削除の対象とはされていない。
なお、同条第 3 号による削除の対象とされている符号は、現に個⼈情報取扱事業者において取り扱う情報を相互に連結する符号に限られるため、匿名加⼯情報への加⼯により新たに作成された符号を対象とするものではない。
4.2.1.4

第 4 号（特異な記述等の削除）

施⾏規則第 34 条第 4 号
特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない⽅法により他の記述等に置き換えることを含む。）。
ガイドライン 3-2-2-４ 特異な記述等の削除
⼀般的にみて、珍しい事実に関する記述等⼜は他の個⼈と著しい差異が認められる記述等については、特定の個⼈の識別⼜は元の個⼈情報の復元につながるおそれがあるものである。そのため、
匿名加⼯情報を作成するに当たっては、特異な記述等について削除⼜は他の記述等への置き換え
６８

を⾏わなければならない。
ここでいう「特異な記述等」とは、特異であるがために特定の個⼈を識別できる記述等に⾄り得るものを指すものであり、他の個⼈と異なるものであっても特定の個⼈の識別にはつながり得ないものは該当しない。実際にどのような記述等が特異であるかどうかは、情報の性質等を勘案して、個別の事
例ごとに客観的に判断する必要がある。
他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない⽅法による必要がある。例えば、特異な記述等をより⼀般的な記述等に置き換える⽅法もあり得る。
なお、規則第 34 条第 4 号の対象には、⼀般的なあらゆる場⾯において特異であると社会通念上認められる記述等が該当する。他⽅、加⼯対象となる個⼈情報に含まれる記述等と当該個⼈情報を含む個⼈情報データベース等を構成する他の個⼈情報に含まれる記述等とで著しい差異がある場合など個⼈情報データベース等の性質によるものは同第 5 号において必要な措置が求められることとなる。
【想定される加⼯の事例】
事例 1）症例数の極めて少ない病歴を削除する。
事例 2）年齢が「116 歳」という情報を「90 歳以上」に置き換える。

施⾏規則第 34 条第 4 号で削除が求められる「特異な記述等」とは、⼀般的なあらゆる場⾯において特異であると社会通念上認められる記述等が該当する。具体的には、ガイドラインで例⽰されている「超⾼年齢」や「症例数の極めて少ない病歴」のほか、超⾼⾝⻑であることや超⾼収⼊であること等、
主に個⼈に関する基本的な属性に係る記述等が考えられる。
「どのような情報のどこからが特異な記述や特異値になるか」ということについては、その情報の項⽬の性質や集団の⼤きさ、集団の分布の特徴等を考慮して判断されるべきものであるが、社会通念上特異であるものが対象になるため、特異であるものであっても、分布の調査結果が存在しないもの、存在したとしても⼀般⼈には知りえないものについては、本号の「特異」には該当しないものと考えられる。
なお、同条第 4 号は⼀般的に特異な記述等が対象となるため、加⼯対象となる個⼈情報からなる
データベース内において顕著な値である場合でも、それだけでは本号の「特異」には該当しない。加⼯
対象のデータベース内において顕著な値については、同条第 5 号による措置の対象となり得るものである。
4.2.1.5

第 5 号（個⼈情報データベース等の性質を踏まえたその他の措置）

施⾏規則第 34 条第 5 号
前各号に掲げる措置のほか、個⼈情報に含まれる記述等と当該個⼈情報を含む個⼈情報デー
タベース等を構成する他の個⼈情報に含まれる記述等との差異その他の当該個⼈情報データベー
ス等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。
ガイドライン 3-2-2-５ 個⼈情報データベース等の性質を踏まえたその他の措置
匿名加⼯情報を作成する際には、規則第 34 条第 1 号から第 4 号までの措置をまず講ずること
で、特定の個⼈を識別できず、かつ当該個⼈情報に復元できないものとする必要がある。
６９

しかしながら、加⼯対象となる個⼈情報に含まれる記述等と当該個⼈情報を含む個⼈情報データ
ベース等を構成する他の個⼈情報に含まれる記述等とで著しい差異がある場合など、加⼯の元となる個⼈情報データベース等の性質によっては、規則第 34 条第 1 号から第 4 号までの加⼯を施した情報であっても、⼀般的にみて、特定の個⼈を識別することが可能である状態あるいは元の個⼈情報を復元できる状態のままであるといえる場合もあり得る。そのような場合に対応するため、上記の措置のほかに必要となる措置がないかどうか勘案し、必要に応じて、別表 2（匿名加⼯情報の加⼯に係る⼿法例）の⼿法などにより、適切な措置を講じなければならない。
なお、加⼯対象となる個⼈情報データベース等の性質によって加⼯の対象及び加⼯の程度は変わり得るため、どの情報をどの程度加⼯する必要があるかは、加⼯対象となる個⼈情報データベース等の性質も勘案して個別具体的に判断する必要がある。
特に、購買履歴、位置に関する情報などを含む個⼈情報データベース等において反復して⾏われる⾏動に関する情報が含まれる場合には、これが蓄積されることにより、個⼈の⾏動習慣が分かるよ
うな場合があり得る。そのような情報のうち、その情報単体では特定の個⼈が識別できるとは⾔えな
いものであっても、蓄積されたこと等によって特定の個⼈の識別⼜は元の個⼈情報の復元につながる
おそれがある部分については、適切な加⼯を⾏わなければならない。
【想定される加⼯の事例】
事例１）移動履歴を含む個⼈情報データベース等を加⼯の対象とする場合において、⾃宅や職場などの所在が推定できる位置情報（経度・緯度情報）が含まれており、特定の個⼈の識別⼜は元の個⼈情報の復元につながるおそれがある場合に、推定につながり得る所定範囲の位置情報を削除する。（項⽬削除／レコード削除／セル削除）
事例 2）ある⼩売店の購買履歴を含む個⼈情報データベース等を加⼯の対象とする場合において、当該⼩売店での購⼊者が極めて限定されている商品の購買履歴が含まれており、特定の個⼈の識別⼜は元の個⼈情報の復元につながるおそれがある場合に、具体的な商品情報（品番・⾊）を⼀般的な商品カテゴリーに置き換える。（⼀般化）
事例 3）⼩学校の⾝体検査の情報を含む個⼈情報データベース等を加⼯の対象とする場合
において、ある児童の⾝⻑が 170 ㎝という他の児童と⽐べて差異が⼤きい情報があり、特定の個⼈の識別⼜は元の個⼈情報の復元につながるおそれがある場合に、⾝⻑が150cm 以上の情報について「150 ㎝以上」という情報に置き換える。（トップコーディ
ング）..
施⾏規則第 34 条第 5 号は、同条第 1 号〜第 4 号の加⼯を施してもなお、「特定の個⼈を識別することが可能である状態あるいは元の個⼈情報を復元できる状態である」場合に、追加で講ずべき措置である。第 5 号は、「個⼈情報に含まれる記述等と当該個⼈情報を含む個⼈情報データベース
等を構成する他の個⼈情報に含まれる記述等との差異その他の当該個⼈情報データベース等の性質を勘案」することが必須であり、その結果、更に加⼯が必要と判断した場合に、追加的に措置を講ずることになる。

７０なお、ここで対象となる個⼈情報データベース等については、Q&A でも説明があるとおり、事業者内にある個⼈情報データベース全部を対象とするものではなく、匿名加⼯情報データベース等を構成する
匿名加⼯情報の作成の元となる個⼈情報で構成される個⼈情報データベース等の単位で検討することを求めるものである。
Q15-12
施⾏規則第 34 条第５号において、「個⼈情報に含まれる記述等と当該個⼈情報を含む個⼈
情報データベース等を構成する他の個⼈情報に含まれる記述等との差異その他の当該個⼈情報データベース等の性質を勘案し」とありますが、ここでの「当該個⼈情報を含む個⼈情報データベース
等」については、事業者が保有する個⼈情報データベース等全体を勘案する必要がありますか。
A15-12
ここでの「当該個⼈情報を含む個⼈情報データベース等」とは、当該個⼈情報取扱事業者が匿名加⼯情報を作成する際に加⼯対象とする個⼈情報データベース等を想定しています。すなわち、加⼯対象とならない個⼈情報を含む全ての個⼈情報データベース等の性質を勘案することを求める
ものではありません。
4.2.1.5.1「個⼈情報に含まれる記述等と〜他の個⼈情報に含まれる記述等との差異」「個⼈情報に含まれる記述等と当該個⼈情報を含む個⼈情報データベース等を構成する他の個⼈情報に含まれる記述等との差異」とは、加⼯対象である個⼈情報からなる個⼈情報データ
ベース等内のある個⼈情報に含まれる記述と、当該データベースに含まれる他の個⼈情報に含まれる記述の間の差異をいう。また、これを勘案するとは、加⼯対象の個⼈情報からなる個⼈情報
データベース等において値や記述等が相対的に特異であることによって特定の個⼈の識別につながり得るかを検討することを意味する。
例えば、都⼼部在住の⼈を対象としたデータベースと地⽅在住の⼈を対象としたデータベースでは、そのデータベースに含まれる⼈の年齢分布や職業分布等の構成が異なることが想定される。このように、⽇本全国を対象とする集団の分布とは異なるデータベースでは、そのデータベース内における値や記述の特異性によって、特定の個⼈を識別しやすい状況が⽣じることが想定される。
4.2.1.5.2「その他の〜適切な措置」が求められる場合

例えば、詳細な位置情報（移動履歴）を扱うデータベースや、⻑期間の購買情報を扱うデー
タベースは、そこに蓄積される情報から、反復して⾏われる⾏動習慣や趣味・嗜好を読み取ることが可能である。そのような履歴情報から読み取れる⾏動習慣等ついては、⼀般的には特定の個⼈を識別することは困難であると思われるが、特に顕著な⾏動習慣等については特定の個⼈の識別につながることもあり得る86。
施⾏規則第 34 条第 5 号は、このような個⼈情報データベースに含まれる情報の性質に起因

86

購買履歴や移動履歴のような履歴情報については、個⼈の習慣的・反復的傾向が現れる可能性があり、これが異なるデータセット間における識別⼦として機能する可能性もある。そのようなリスクがあることを認識した上で、必要に応じて加⼯を⾏うことが望ましい。なお、匿名加⼯情報に関する技術検討ワーキンググループ「匿名加⼯情報の適正な加⼯の⽅法に関する報告書 2017 年 2 ⽉ 21 ⽇版」においても、「同⼀の本⼈の同⼀の履歴を同⼀の提供先に複数回提供する場合には、この履歴が仮 ID として機能する可能性があることに注意すべきである」と記載されている。

７１

して⽣じる特定の個⼈の識別可能性を低減することを求めるものである。
【不変性の⾼い ID、多数の事業者で取得される ID 等】
不変性の⾼い ID として施⾏規則第 34 条第５号で検討するものは、個⼈に密接に関係しかつ当該個⼈が容易に変更することができない外部から観察可能な符号のうち（a）個⼈識別符号及び（b）それ以外の単体で個⼈情報になるものを除いたものをいう87。具体的には、スマート
フォンのように個⼈がある程度の期間使⽤しかつ⽇常的に携⾏する機器の ID 等がこれに当たる。
このような不変性の⾼い ID は、それをキーとして他の事業者において名寄せを⾏い、再識別につながる可能性はあり得ることから、原則としてこれを削除することが望ましい。
さらに、携帯電話番号や電⼦メールアドレス、SNS 等の ID、クレジットカード番号等は、多数の事業者においてそれぞれユーザーから取得されていることを踏まえると、他の事業者が保有している
個⼈情報との間で識別⼦的な機能も有することから、部分的な削除だけでは、残った情報を起点として特定の個⼈の識別につながる可能性も⾼くなる。このように不変性の⾼い ID が、多数の事業者において取得されている共⽤性のある ID でもある場合には、⼀般に他の事業者においてそれをキーとする名寄せが可能であり、再識別につながる可能性のある情報と考えることができることから、原則としてこれを削除しなければならない88。
【時刻に関する情報について】
購買履歴やクレジットカードの利⽤履歴、移動履歴等の情報は、基本的に詳細な時刻情報とともにデータベースに記録されるのが⼀般的である。
例えば、店舗情報を含む購買履歴に関するデータベースからは、ある⽇時に買い物をした店舗を特定することができる。⼀⽅、移動履歴に関するデータベースからも、ある⽇時に滞在した場所
に関する位置情報を確認することができる。この両者のデータベースを照合した場合、店舗の場所
からおおよその緯度・経度（位置情報）を推定することが可能であるため、両者のデータベースが⽇時分秒まで記録されている場合には、両⽅のデータベースに含まれる同⼀⼈物の同定を⽐較的容易に⾏うことができる可能性がある。つまり、詳細な時刻情報は、位置や場所を表す情報とセットになることで、異なるデータセット間における共通の識別⼦として機能し得る。
したがって、詳細な時刻情報を含むデータベースを匿名加⼯情報として第三者提供をする場
合には、時刻情報の必要性について確認した上で、データの性質に応じて、時刻と位置（場所）の情報の紐付けから特定の個⼈を識別するリスク等を低減するため、時刻情報を⼀定程度曖昧化したり、ノイズを加えて任意の⽇時や時刻に置き換えたりすることを検討する等、他のデータセッ
トに含まれる時刻情報と紐づくリスクを低減することが望ましい。
【位置情報（移動履歴）について】
⼀般的に、ある⼀時点の位置情報それ⾃体のみでは個⼈情報には該当しないものではあるが、ある個⼈に関する位置情報が連続的に蓄積されるとその⼈の移動履歴を表し得る。特に、深夜に滞在している地点や⽇中に滞在している地点を表す位置情報からは、その移動履歴に係る本
87

個⼈識別符号は施⾏規則第 34 条第 2 号により、それ以外の単体で個⼈情報となるものについては同条第 1 号により、既に削除

⼜は置き換えがなされている。
88

なお、匿名加⼯情報の作成において作成の元となった個⼈情報との容易照合性の有無に留意しなければならないことについては、

4.2.1.5.3 を参照のこと。

７２

⼈の⾃宅や勤務先等の個⼈に関する基本的な属性を推測することも可能である。蓄積された位
置情報や移動履歴等から⾃宅住所及び勤務先等の特定の個⼈に密接に結び付き得る情報が推定されるおそれがある場合には、当該情報等を⽤いて特定の個⼈の識別が可能となるリスクを⼗分考慮した上で移動履歴について加⼯を⾏うことが望ましい。
また、移動履歴は⻑くなるほど他⼈と重複する可能性が低く⼀意な情報となる89という特徴のほか、都市部と地⽅、昼間と夜間等、環境や状況に応じて同じ範囲から取得できる位置情報の数が変わる、といった特徴もあるため、位置情報や移動履歴の性質を考慮した上で、措置を講ずることが望ましい90。

4.2.2 匿名加⼯情報を作成する際に検討することが望ましい事項
匿名加⼯情報は、⼀般⼈及び⼀般的な事業者の能⼒や⼿法等を基準として「特定の個⼈を識別することができないように」かつ「復元されないように」加⼯することを求められるものであるが、匿名加⼯情報の作成に⽤いられる個⼈情報の性質のほか、匿名加⼯情報としての利⽤⽤途や再識別リスクの⾒積り⽅91によって、加⼯レベルに⼀定の幅が⽣じるものと考えられる。
したがって、匿名加⼯情報を作成する際の加⼯⽅針を決めるに当たっては、次のような事項について検討することが望ましい。
4.2.2.1

匿名加⼯情報の利⽤形態について

匿名加⼯情報への加⼯⽅針を検討する際、次に列挙するような匿名加⼯情報の利⽤⽬的・利⽤形態をあらかじめ検討することは、匿名加⼯情報の安全性と有⽤性を両⽴するために有⽤と考えられる。
（１） 匿名加⼯情報の利⽤⽬的は何か
匿名加⼯情報をどのような⽬的で利⽤するかによって必要とされる項⽬やその情報の粒度（精度）は異なり得る。利⽤⽬的に応じて不要な項⽬は削除し、必要な項⽬の情報粒度を細かくする等、全体として安全性と有⽤性の両⽴を図る加⼯⽅法を検討することが望ましい。
（２） 第三者提供時に、データの流通範囲が限定されているか、転々流通を許容するか
例えば、契約により提供先からの⼆次流通を禁⽌する等して特定の事業者に限定して提供する
場合、提供先における匿名加⼯情報の利⽤⽬的を把握することが⽐較的容易である⼀⽅、提供先からのデータの転々流通を許容する場合、⼆次流通先での⽤途や他の情報との突合可能性について把握することが困難である。匿名加⼯情報が特定の会社だけに留まる場合と、制限なく流通

89

Hiroaki Kikuchi＆Katsumi Takahashi, “Zipf Distribution Model for Quantifying Risk of Re-identification fromTrajectory Data” Journal of Information Processing, Vol.24（2016） No.5, pp.816-823 では、鉄道の乗降履歴の履歴⻑（利⽤した駅の情報数）による⼀意性について報告されている。
90

位置情報に関しては、2014 年 7 ⽉に総務省が公表した『位置情報プライバシーレポート〜位置情報に関するプライバシーの適切な保護と社会的利活⽤の両⽴に向けて〜』（https://www.soumu.go.jp/main_content/000303636.pdf）においても、位置情報の取扱いの在り⽅や匿名化⼿法の例が⾔及されている。
91

脅威のモデリングとリスクの定量化をして匿名化を検討するリスクベース⽅法論等もある（Khaled El Emam＆Luk Arbuckle 著（笹井崇司訳） 『データ匿名化⼿法』（オライリー・ジャパン、2015 年）ほか）。

７３

する場合では、流通先における再識別リスクが異なることは、容易に想像できる。
（３） 提供するデータの期間
1 か⽉間のデータに含まれる履歴情報と 1 年間のデータに含まれる履歴情報とでは、そこから読み取れる履歴情報に係る本⼈の⾏動習慣には⼤きな差が⽣じ得る。その蓄積量によって特定個
⼈の識別性や元の個⼈情報への復元性に影響するかどうかを検討することが望ましい。
また、同⼀の事業者に対して継続的にデータが提供される場合、当該データに含まれる記述等を⽤いて同⼀⼈物ごとの紐付けを⾏い得る。このとき、⼀度に提供されるデータに含まれる履歴情報の期間が短くても、結果として、データに含まれるトータルの期間が⻑くなる。このような場合に再識別リスクを低減する⽅法して、同⼀⼈物ごとの紐づけが⾏われないよう加⼯⽅法を⼯夫したり、（4）で⽰す対応を⾏ったりすることも有効である。
（４） 継続的に匿名加⼯情報を提供する場合
複数回にわたって匿名加⼯情報を提供する場合であっても、⽒名等を仮 ID に置き換えた場合における⽒名と仮 ID の対応表や⽒名等の仮ＩＤへの置き換えに⽤いた乱数等のパラメータは、匿名加⼯情報の作成後は破棄しなければならないことから、提供の度に異なる仮 ID が割り振られることとなる。しかし、都度提供される匿名加⼯情報データベースにおける仮 ID が異なるものであった
としても、レコードの並びが同じであったり、提供されるデータセットが対象としている期間に重複があったりすると、データセット間の紐付けが容易となってしまう。したがって、複数回にわたって提供する匿名加⼯情報データベース間でレコードが紐付けられることを抑制したい場合は、レコードの並びを変更したり、データセットが対象としているデータに重複期間が⽣じないように加⼯したりすることが必要である。
また、過去に匿名加⼯情報を提供したことのある事業者に対して、異なる情報の項⽬からなる匿
名加⼯情報を作成して提供しようとするときは、過去に提供した匿名加⼯情報と照合されることによって、特定の個⼈が識別されたり、元の個⼈情報が復元されたりしないよう注意が必要である。
過去に提供した匿名加⼯情報と異なる情報の項⽬からなる匿名加⼯情報については、新たに作成時や第三者提供時の公表義務が発⽣する。
4.2.2.2

他の情報を参照することによる識別の可能性について

匿名加⼯情報は「特定の個⼈を識別することができないように」加⼯することが求められるが、匿名
加⼯情報の制度は、その流通過程における安全性を確保しつつ個⼈情報の利活⽤を図る制度であるため、⼀般的に⼊⼿し得る他の様々な情報と参照することによる識別の可能性を検討することが望ましい。
この検討に当たっては、4.1.2 の説明のとおり、⼀般⼈や⼀般的な事業者の通常の能⼒や取り得る⼿法等を基準となるが、例えば、「⼊⼿し得る情報の種類」と「情報のマッチングのしやすさ」の観点から考えることができる。
⼊⼿し得る情報の種類としては、次のようなものを想定することができる。
①

⼀般に広く公開、市販されている情報（例︓電話帳）②

多数の事業者がユーザー登録等により取得している情報（例︓電⼦メールアドレス、電話番
号等）
７４

③

関係の近い者のみが知り得る情報（例︓ SNS に掲載された情報のうち公開制限があるもの
等）

⼀⽅、情報のマッチングのしやすさについては、次のような観点から分類することができる。
(i) 情報の項⽬とそれに対応する記述等が整理されており、機械的なマッチングがしやすい場合(ii) 情報の項⽬とそれに対応する記述等が⾮定型であり、マッチングに複雑なアルゴリズムや機械学習等が必要な場合⼊⼿し得る情報の種類のうち、①や②については⼊⼿が容易と考えられる⼀⽅、③については、⼀部の関係者のみが知り得る情報であり、⼀般⼈や⼀般的事業者を基準として⼊⼿容易とは⾔い難いと考えられる。
後者のマッチングしやすさについては、匿名加⼯情報の要件に係る判断基準からは（i）が対象であると考えられるが、その作成時点での技術⽔準が考慮されるべきであり、汎⽤的に使⽤できる機械
学習ツール等が広く利⽤されるようになった場合には、それについても将来的に（i）に含み得る。
他の情報を参照することにより特定の個⼈が識別される可能性については、これらの組合せから総合的に判断することができるが、特定の個⼈の識別の可能性が⾼いと判断される場合には、匿名加⼯情報としての要件を満たすために、それぞれ対象となる情報の項⽬について、加⼯の程度を変更するほか、対象となるデータセットで情報の⼀意性を無くす等の措置を⾏うことが考えられる。
【他の情報を参照することによって再識別につながった事例】
次に⽰すケースは、⼀般に公開されたデータセット同⼠を突合したものであり、識別⾏為の禁⽌が前提となっている匿名加⼯情報の場合にそのまま当てはめて考えるべきものではないが、他の情報を参照
することによって再識別された典型的なケースとして、加⼯レベルを検討する際の参考となるものである。
（例）性別と⽣年⽉⽇と郵便番号（居住エリア）の組合せによって再識別につながった事例
マサチューセッツ州は医療データから⽒名等を削除したデータセットを公開しており、そのデータセットには、性別、⽣年⽉⽇、郵便番号が含まれていた。
これに対し、既に公開されている投票者名簿とマッチングしたところ、州知事と同じ⽣年⽉⽇のレコー
ドが 6 ⼈おり、うち 3 ⼈が男性で、郵便番号から 1 ⼈に特定された。92

92

L.Sweeney, “k-Anonymity: A Model For Protecting Privacy” International Journal of Uncertainty, Fuzzinessand Knowledge-Based Systems, 10（5）, pp. 557-570, 2002. は、このような他の情報と照合することよって特定の個⼈が識別されることを防⽌するための匿名性の評価指標として、“k-匿名性”を提案している。

７５

図表 4-3 性別、⽣年⽉⽇、郵便番号により個⼈が特定された事例

⽇本の事情に関して考えると、全国の郵便番号の総数は約 12 万個であり、20 代の⼈の取り得る⽣年
⽉⽇のパターンは、約 3650 通りとなる。ここに、性別の情報（男／⼥）が組み合わさると、同じ郵便番号
×同じ⽣年⽉⽇×同じ性別を取り得る確率がいかに少ないかをイメージすることができる。
なお、情報が⼀意であることをもって直ちに匿名加⼯情報の要件を満たさないものではない。

4.2.3 匿名加⼯情報の作成のための参考情報
4.2.3.1

匿名加⼯に⽤いられる代表的な加⼯⼿法

個⼈情報の匿名加⼯に⽤いられる代表的な⼿法を、図表 4-4 に⽰す。なお、ここに⽰す各⼿法
は、⼀般的な加⼯⼿法を例⽰したものであり、その他の⼿法を⽤いて適切に加⼯することを妨げるものではない。
図表 4-4
代表的な加⼯⼿法
⼿法名項⽬削除
レコード削除セル削除

解説
加⼯対象となる個⼈情報データベース等に含まれる個⼈情報の項⽬を削除するもの。例えば、年齢のデータを全ての個⼈情報から削除すること。
加⼯対象となる個⼈情報データベース等に含まれる個⼈情報のレコードを削除するもの。例えば、特定の年齢に該当する個⼈のレコードを全て削除すること。
加⼯対象となる個⼈情報データベース等に含まれる個⼈情報の特定のセルを削除するもの。例えば、特定の個⼈に含まれる年齢の値を削除すること。
加⼯対象となる個⼈情報に含まれる記述等について、上位概念若しくは数値に⼀般化置き換えること。例えば、購買履歴のデータで「きゅうり」を「野菜」に置き換えること。

トップ（ボトム）コー

加⼯対象となる個⼈情報データベース等に含まれる数値に対して、特に⼤きい⼜

ディング

は⼩さい数値をまとめることとするもの。例えば、年齢に関するデータで、80 歳以上
７６

⼿法名

解説
の数値データを「80 歳以上」というデータにまとめること。

レコード⼀部抽出
項⽬⼀部抽出
ミクロアグリゲーション
丸め（（ラウンディング））

加⼯対象となる個⼈情報データベース等に含まれる個⼈情報の⼀部のレコードを（確率的に）抽出すること。いわゆるサンプリングも含まれる。
加⼯対象となる個⼈情報データベース等に含まれる個⼈情報の項⽬の⼀部を抽出すること。例えば、購買履歴に該当する項⽬の⼀部を抽出すること。
加⼯対象となる個⼈情報データベース等を構成する個⼈情報をグループ化した
後、グループの代表的な記述等に置き換えることとするもの。
加⼯対象となる個⼈情報データベース等に含まれる数値に対して、四捨五⼊等して得られた数値に置き換えることとするもの。
加⼯対象となる個⼈情報データベース等を構成する個⼈情報相互に含まれる記データ交換（スワッピング）
ノイズ（誤差）付加
疑似データ⽣成4.2.3.1.1

述等を（確率的に）⼊れ替えることとするもの。例えば、異なる地域の属性を持ったレコード同⼠の⼊れ替えを⾏うこと。
⼀定の分布に従った乱数的な数値等を付加することにより、他の任意の数値等へと置き換えることとするもの。
⼈⼯的な合成データを作成し、これを加⼯対象となる個⼈情報データベース等に含ませることとするもの。
ｋ-匿名性について

データの匿名性を評価する代表的な⽅法として、k-匿名性という評価指標がある93。対象となる
データセット内に、同じ属性を持つデータが k 件以上存在することを「k-匿名性を満たす」といい、k匿名性を満たすようにデータを加⼯することで、特定の個⼈が識別される確率を k 分の 1 以下に低減させることが可能である。
L.Sweeney は、先に述べたマサチューセッツのケースにおいては、元のデータセットにある情報の項⽬のうち性別、⽣年⽉⽇、郵便番号の 3 つを、外部のデータセットと結びつくことにより特定の個
⼈の識別が可能な情報である準識別⼦（Quasi-Identifier）として、これら準識別⼦の情報を公開する場合には加⼯がされるべきとしている。
匿名加⼯情報は、上記ケースのように必ずしも⼀般公開されるものではないから、上記で準識別⼦とされている情報の項⽬について、匿名加⼯情報データベース等との関係でｋ≧２となるように加⼯することは必ずしも求められない94。ただし、匿名加⼯情報が第三者に提供される態様や利⽤形態を考慮した上で、必要に応じてこのような考え⽅を取り⼊れることが望ましい。
4.2.3.1.2

レコード⼀部抽出について

レコード⼀部抽出とは、加⼯対象となる個⼈情報データベース等に含まれる個⼈情報（レコード）
を⼀定の割合（あるいは⼀定の個数）抽出することである。いわゆるサンプリング95もこの⼿法に含93L.Sweeney, “k-Anonymity: A Model For Protecting Privacy”, International Journal of Uncertainty, Fuzzinessand Knowledge-Based Systems, 10（5）, pp. 557-570, 2002.
94

なお、作成の元となった個⼈情報との容易照合性について検討する必要があることは、4.2.1.5 を参照のこと。

95

⺟集団の対象となる個⼈情報データベース等から、⼀部のレコードを無作為に抽出すること。

７７

まれる。
この⼿法は、それぞれの個⼈情報に対して加⼯を施す⼿法ではないため、情報⾃体の識別性を低減するものではないが、元の個⼈情報データベース等に含まれていた個⼈情報が匿名加⼯情報
データベース等にも⼊っているか否かの確度を下げる効果がある。
なお、レコード⼀部抽出を⾏ったとしても、個⼈情報データベース等を構成するそれぞれの個⼈情報に含まれる数値や記述等の傾向（例えば、年齢分布や地域分布）を維持するような形でレコードを抽出することにより、データの有⽤性を保つ効果も期待できる。
4.2.3.2

情報の項⽬と想定されるリスク及び加⼯例

特定の個⼈を識別できるリスクについては情報の性質によって異なることから、加⼯に当たっての参考となるよう、加⼯対象となる個⼈情報に含まれ得る各情報の項⽬に対する加⼯例を図表 4-5 に⽰す。ここでは、個⼈情報に係る本⼈の基本的な属性に関わる情報の項⽬を「個⼈属性情報」、個⼈の⾏動に伴い発⽣する⾏動の履歴に関わる情報の項⽬を「履歴情報」として分類している。
ただし、次に⽰す加⼯例はあくまで基本的な考え⽅に沿った⼀般的な加⼯の例⽰であり、次のとおりに加⼯すれば⼗分であることを意味するものでもなければ、これに縛られるものでもない。実際にどの情報の項⽬をどこまで加⼯するかということについては、業種やビジネスの業態、需要者のニーズ等を踏
まえつつ、データベースに含まれる情報の項⽬やレコードの数等に応じて判断することが適当であることから、認定団体が策定する個⼈情報保護指針等の⾃主ルールにおいて適切に定められることが望ましい。
図表 4-5 情報の項⽬と想定されるリスク及び加⼯例
項⽬想定されるリスク

⽒名・それ⾃体で特定の個⼈を識別できる。

加⼯例（「削除」は置き換えも含む）
・全部削除する。（項⽬削除）
・原則として、年か⽇の何れかを削除する。必要に応じて⽣年⽉、年

⽣年⽉⽇

・住所（郵便番号）、性別との組合せ

齢、年代等に置き換える。

により、特定の個⼈の識別につながる可（丸め）

能性がある。

・超⾼齢であることが分かる⽣年

個⼈属性情報

⽉⽇や年齢を削除する。
（セル削除／トップコーディング）
性別

・住所（郵便番号）、⽣年⽉⽇との組

・他の情報との組合せによって必合せにより、特定の個⼈の識別につなが要がある場合は削除する。

る可能性がある。

（項⽬削除）
・原則として、町名、番地、マンショ

住所・⽣年⽉⽇、性別との組合せにより、特ン名等の詳細を削除する。

定の個⼈の識別につながる可能性があ

（丸め）

る。

・レコード総数等に応じて、県単位・本⼈にアクセスすることができる。

や市町村単位へ置き換える。
（丸め）

郵便番号

⽣年⽉⽇、性別等との組合せにより特定の個⼈の識別に結びつく可能性があ
７８・下 4 桁を削除する。（丸め）る。
マイナンバー
パスポート番号
顔認証データ

それ⾃体で個⼈情報とされている。
（個⼈識別符号）それ⾃体で個⼈情報とされている。
（個⼈識別符号）それ⾃体で個⼈情報とされている。
（個⼈識別符号）・全部削除する。（項⽬削除）
・全部削除する。（項⽬削除）
・全部削除する。（項⽬削除）

・多くの事業者が収集しており、異なるデ
固定電話番号ータセット間で個⼈を特定するための識・原則として、加⼊者番号（下 4

別⼦として機能し得る。

桁）を削除する。（丸め）・本⼈にアクセスすることができる。
・多くの事業者が収集しており、異なるデ
携帯電話番号ータセット間で個⼈を特定するための識別⼦として機能し得る。

・全部削除する。（項⽬削除）

・本⼈にアクセスすることができる。
・多くの事業者が収集しており、異なるデクレジットカードータセット間で個⼈を特定するための識

番号別⼦として機能し得る。

・全部削除する。（項⽬削除）

・本⼈に直接被害を与え得る。
サービス ID、
個⼈属性情報アカウント ID

多くの事業者で共⽤される ID の場合は、個⼈を特定するための識別⼦として・全部削除する。（項⽬削除）

機能する。
・多くの事業者が収集しており、異なるデ電⼦メールアドータセット間で個⼈を特定するための識レス別⼦として機能し得る。

・全部削除する。（項⽬削除）

・本⼈にアクセスすることができる。
多くの事業者で共⽤される端末 ID の場
端末 ID

合は、個⼈を特定するための識別⼦とし・全部削除する。（項⽬削除）て機能する。
職業

年収

履歴情報

・住所や年収等との組合せにより、個⼈

・勤務先名を職種等のカテゴリーの特定につながる可能性がある。
・職業や住所等との組合せにより、個⼈の特定につながる可能性がある。
・超⾼年収の場合、それ⾃体から個⼈を特定できる可能性がある。

に置き換える。（⼀般化）・具体的な年収を収⼊区分へ置き換える。（丸め）・超⾼収⼊の値を削除する。（セル削除／トップコーディング）
・具体的な家族⼈数を⼈数区分へ置き換える。（丸め）・詳細な家族構成を世帯構成区
分（単⾝、親⼦、三世帯等）へ置き換える。（丸め）・購⼊店舗や購買時刻の詳細な情報を削除する。（丸め）・特異な購買情報（超⾼額な利⽤⾦額や超⾼頻度の利⽤回数等）を削除する。
（セル削除／トップコーディング）

家族構成・住所等との組合せにより、個⼈の特定につながる可能性が⾼くなる。

購買履歴

・購⼊店舗や購買時刻に関する情報と他のデータセットに含まれる位置情報等との組合せにより、個⼈の特定につながる可能性がある。
・特異な物品の購買実績と居住エリア
等との組合せにより、個⼈の特定につな
７９

がる可能性がある。

乗降履歴

・乗降実績の極めて少ない駅や時間帯の履歴から、個⼈の特定につながる可能性がある。
・定期区間としての利⽤が極めて少ない
駅の情報から、個⼈の特定につながる可能性がある。
・夜間や昼間の滞在地点から⾃宅や勤務先等を推定できる可能性がある。
・詳細な位置情報と時刻情報の組合せ

履歴情報

位置情報

が異なるデータセット間で識別⼦として（移動履歴）

機能し得る
・所定エリア内の位置情報が極めて少ない場合に、個⼈の特定に結びつく可能性がある。

・利⽤が極めて少ない駅や時間帯の情報を削除する。時刻情報を時間帯に置き換える。（セル削除／丸め）・定期区間に極めて少ない利⽤駅が含まれるものを削除する（セル削除）
・⾃宅や勤務地点等の推定につながる始点・終点を削除する。
（丸め）
・位置情報若しくは時刻情報の詳細部分を削除する。（丸め）・位置情報が少ないエリアの値にノイズを加える。（ノイズ付加）
・所定数以上の位置情報になるようエリアを区切る。（丸め）・特異な電⼒使⽤量と他の情報との組電⼒利⽤履歴合せにより、個⼈の特定につながる可能・極めて⼤きい電⼒使⽤量の情性がある。

報を削除する。（セル削除／トッ・⽣活スタイルや家族構成を推定できる

プコーディング）

可能性がある。
（参考）
匿名加⼯情報の加⼯⽅法に関しては、平成 28 年 8 ⽉ 8 ⽇に経済産業省が「事業者が匿名加⼯情報の具体的な作成⽅法を検討するにあたっての参考資料（「匿名加⼯情報作成マニュアル」）」（以下「経産省マニュアル」という。）を公表している。
匿名加⼯情報は、法第 43 条第 1 項に基づき、施⾏規則第 34 条各号に定める基準に従い加⼯する必要があるものであるが、経産省マニュアルは、施⾏規則が策定される前にその検討とは関わりなく、経済産業省において別途検討が進められ、公表されたものである。
経産省マニュアルにおいては、個⼈情報に含まれる記述等を①「識別⼦」、②「属性」及び③「履歴」の３つに分類した上で、次のとおり加⼯の⽅針を検討している96。
① 「識別⼦」とされたものは、個⼈識別のリスク97が⾼いため原則として削除を⾏う。
② 「属性」とされたものは、複数の属性が組み合わされることによる個⼈識別のリスクを検討する。
③ 「履歴」とされたものは、特異な値及び蓄積による識別の可能性を考慮する。
このようなリスク分析等の考え⽅については、検討を⾏う際の参考となる部分もあろうかと考えられることから、参考までに、経産省マニュアルと施⾏規則第 34 条各号に定める基準との関係を図表 4-6 に⽰す。
96

経産省マニュアルの区分は適切に匿名加⼯を⾏うための便宜的なものであるとされ、必要に応じ仕分けを⾒直す必要が⽣じる可能性も想定されるとしている。（例えば、住所等については識別⼦と属性の双⽅に該当し得るとされている。）また、加⼯を「顧客属性データ」と「利⽤明細データ」の２区分のみに分けている事例もある。
97

個⼈が特定されるリスク、データが他の情報と照合されるリスク、データを⽤いて本⼈へアプローチされるリスク等が考慮されている。

８０なお、図表 4-5 で⽰す「個⼈属性情報」は経産省マニュアルの分類における「識別⼦」及び「属性情報」に、「履歴情報」は「履歴情報」におおよそ対応しているものと考えられる。
図表 4-6 経産省マニュアルにおける分類と主に対応する施⾏規則の基準
分類
定義98（主に対応する
施⾏規則）

識別⼦（第 34 条第 1 号、第２号、第３号、

個⼈データを構成する情報であって、単体で個⼈を特定する可能性のある情報。
例︓⽒名、⽣年⽉⽇、アカウント ID、端末 ID、契約者 ID、電話番号、
電⼦メールアドレス、詳細な住所（番地や住居番号含む）

第 5 号）

属性情報

個⼈データを構成する情報であって、経時的にデータが積み重ねられることのない情報（第 34 条で、単体では個⼈を特定することができないものの、他の属性との組合せや外部の情第 1 号、報との照合によって、個⼈を特定する可能性のある情報。

第５号）

例︓性別、年齢、郵便番号、住所（市町村まで）家族構成、年収 等

履歴情報（第 34 条第 5 号）

個⼈データを構成する情報であって、個⼈の⾏動の履歴を蓄積し、経時的にデータが積み重ねられる情報で、⼀般に単体では個⼈を特定することができないものの、他の属性との組合せや外部の情報との照合によって個⼈を特定する可能性のある情報。
例︓購買の履歴、ウェブの閲覧履歴、乗降履歴 等※この他、施⾏規則第 34 条第４号における特定の個⼈の識別につながり得る特異なデータがある場
合の処理があるが、これは主に属性情報（年齢等）に対応したものと考えられる。

98

経産省マニュアルから抜粋

８１

4.3

匿名加⼯情報等の安全管理措置

匿名加⼯情報を作成した場合は、法第 43 条第 2 項及び第 6 項に基づく安全管理措置を講ずる必要がある。
前者は、匿名加⼯情報の加⼯⽅法等情報の漏えい防⽌に関する義務規定であり、後者は、匿名加⼯情報の取扱い全般の安全管理措置や苦情の処理等に関する努⼒義務規定となっている。
4.3.1 加⼯⽅法等情報の安全管理措置について
匿名加⼯情報の作成の際に⾏った加⼯の⽅法に関する情報（加⼯⽅法等情報）については、法第43 条第 2 項に規定されているように、施⾏規則で定める基準に従って安全管理措置を講ずることとされている。
法第 43 条第 2 項
個⼈情報取扱事業者は、匿名加⼯情報を作成したときは、その作成に⽤いた個⼈情報から削除した記述等及び個⼈識別符号並びに前項の規定により⾏った加⼯の⽅法に関する情報の漏えいを防⽌するために必要なものとして個⼈情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
施⾏規則第 35 条
法第 43 条第 2 項の個⼈情報保護委員会規則で定める基準は、次のとおりとする。
⼀ 加⼯⽅法等情報（匿名加⼯情報の作成に⽤いた個⼈情報から削除した記述等及び個⼈識別符号並びに法第 43 条第 1 項の規定により⾏った加⼯の⽅法に関する情報（その情報を⽤いて当該個⼈情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
⼆ 加⼯⽅法等情報の取扱いに関する規程類を整備し、当該規程類に従って加⼯⽅法等情報を適切に取り扱うとともに、その取扱いの状況について評価を⾏い、その結果に基づき改善を図るために必要な措置を講ずること。
三 加⼯⽅法等情報を取り扱う正当な権限を有しない者による加⼯⽅法等情報の取扱いを防⽌するために必要かつ適切な措置を講ずること。
ガイドライン 3-2-3 加⼯⽅法等情報等の安全管理措置等（法第 43 条第 2 項、第 46 条関係）
個⼈情報取扱事業者は、匿名加⼯情報を作成したときは、加⼯⽅法等情報（その作成に⽤いた個
⼈情報から削除した記述等及び個⼈識別符号並びに加⼯の⽅法に関する情報（その情報を⽤いて当該個⼈情報を復元することができるものに限る。（※））をいう。以下同じ。）の漏えいを防⽌するために、規則で定める基準に従い、必要な措置を講じなければならない。
当該措置の内容は、対象となる加⼯⽅法等情報が漏えいした場合における復元リスクの⼤きさを考慮し、当該加⼯⽅法等情報の量、性質等に応じた内容としなければならないが、具体的に講じなければな
らない項⽬及び具体例については、別表 3（加⼯⽅法等情報の安全管理で求められる措置の具体例）を参照のこと。
（※）「その情報を⽤いて当該個⼈情報を復元することができるもの」には、「年齢のデータを 10 歳刻
みのデータに置き換えた」というような復元につながらない情報は該当しない。なお、⽒名等を仮ＩＤに置き換えた場合における⽒名と仮 ID の対応表は、匿名加⼯情報と容易に照合することがで
８２

き、それにより匿名加⼯情報の作成の元となった個⼈情報の本⼈を識別することができるものであることから、匿名加⼯情報の作成後は破棄しなければならない。また、匿名加⼯情報を作成した
個⼈情報取扱事業者が、⽒名等の仮ＩＤへの置き換えに⽤いた置き換えアルゴリズムと乱数等のパラメータの組み合わせを保有している場合には、当該置き換えアルゴリズム及び当該乱数等のパラメータを⽤いて再度同じ置き換えを⾏うことによって、匿名加⼯情報とその作成の元となった
個⼈情報とを容易に照合でき、それにより匿名加⼯情報の作成の元となった個⼈情報の本⼈を識別することができることから、匿名加⼯情報の作成後は、⽒名等の仮ＩＤへの置き換えに⽤いた乱数等のパラメータを破棄しなければならない。
（別表 3）加⼯⽅法等情報の安全管理で求められる措置の具体例
講じなければならない措置

具体例①加⼯⽅法等情報を取り扱う者

・加⼯⽅法等情報の安全管理措置を講ずるための組織体制のの権限及び責任の明確化

整備（規則第 35 条第 1 号）
②加⼯⽅法等情報の取扱いに・加⼯⽅法等情報の取扱いに係る規程等の整備とこれに従った関する規程類の整備

運⽤及び当該規程類に従った加⼯⽅

・従業者の教育法等情報の適切な取扱い・加⼯⽅法等情報の取扱状況を確認する⼿段の整備

並びに加⼯⽅法等情報の取扱・加⼯⽅法等情報の取扱状況の把握、安全管理措置の評

状況の評価及びその結果に基づ

価、⾒直し及び改善

き改善を図るために必要な措置の実施（規則第 35 条第 2 号）
③加⼯⽅法等情報を取り扱う正・加⼯⽅法等情報を取り扱う権限を有しない者による閲覧等の当な権限を有しない者による加防⽌⼯⽅法等情報の取扱いを防⽌・機器、電⼦媒体等の盗難等の防⽌するために必要かつ適切な措置

・電⼦媒体等を持ち運ぶ場合の漏えいの防⽌の実施

・加⼯⽅法等情報の削除並びに機器、電⼦媒体等の廃棄（規則第 35 条第 3 号）

・加⼯⽅法等情報へのアクセス制御
・加⼯⽅法等情報へのアクセス者の識別と認証
・外部からの不正アクセス等の防⽌・情報システムの使⽤に伴う加⼯⽅法等情報の漏えいの防⽌

匿名加⼯情報は、個⼈情報取扱事業者が⾃ら保有する個⼈情報を加⼯して作成するものであり、匿名
加⼯情報を作成した当該事業者は元の個⼈情報とともに、加⼯の過程において個⼈情報から削除した記述等及び個⼈識別符号並びに法第 43 条第 1 項の規定により⾏った加⼯の⽅法に関する情報を保有し続けることが可能であるが、この情報の漏えいを防⽌するために施⾏規則第 35 条に定める基準に従い安全管理措置を講ずる必要がある。
ガイドラインに記載されているように、加⼯⽅法等情報（その作成に⽤いた個⼈情報から削除した記述等
及び個⼈識別符号並びに加⼯の⽅法に関する情報（その情報を⽤いて当該個⼈情報を復元することがで
８３

きるものに限る。）の漏えいを防⽌するための措置とは、対象となる加⼯⽅法等情報が漏えいした場合における復元リスク（その加⼯⽅法等情報を利⽤することによって元の個⼈情報を復元できるリスク）の⼤きさを考慮し、当該加⼯⽅法等情報の量、性質等に応じた内容とする必要がある。
なお、⽒名等を仮ＩＤに置き換えた場合における⽒名と仮 ID の対応表や、⽒名等の仮ＩＤへの置き換えに⽤いた置き換えアルゴリズムと乱数等のパラメータの組み合わせは、当該情報を保持し続けることで、匿名加⼯情報とその作成の元となった個⼈情報とを容易に照合することができ、それにより匿名加⼯情報の作成の元となった個⼈情報の本⼈を識別することができるものであることから、匿名加⼯情報の作成後は破棄しなければならないことに留意が必要である。

4.3.2 匿名加⼯情報の安全管理措置等について
法第 43 条第 6 項
個⼈情報取扱事業者は、匿名加⼯情報を作成したときは、当該匿名加⼯情報の安全管理のために必要かつ適切な措置、当該匿名加⼯情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加⼯情報の適正な取扱いを確保するために必要な措置を⾃ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
法第 46 条匿名加⼯情報取扱事業者は、匿名加⼯情報の安全管理のために必要かつ適切な措置、匿名加⼯情報の取扱いに関する苦情の処理その他の匿名加⼯情報の適正な取扱いを確保するために必要な措置を⾃ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
ガイドライン 3-2-３-２ 匿名加⼯情報の安全管理措置等（法第 43 条第６項、第 46 条関係）
個⼈情報取扱事業者⼜は匿名加⼯情報取扱事業者は、匿名加⼯情報の安全管理措置、苦情処理等の匿名加⼯情報の適正な取扱いを確保するために必要な措置を⾃ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
当該安全管理等の措置については、個⼈情報と同様の取扱いを求めるものではないが、例えば、法第23 条から第 25 条までに定める個⼈データの安全管理、従業者の監督及び委託先の監督並びに法第40 条に定める個⼈情報の取扱いに関する苦情の処理で求められる措置の例（※）を参考にすることも考えられる。具体的には、事業の性質、匿名加⼯情報の取扱状況、取り扱う匿名加⼯情報の性質、量等に応じて、合理的かつ適切な措置を講ずることが望ましい。
なお、匿名加⼯情報には識別⾏為の禁⽌義務が課されていることから、匿名加⼯情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、匿名加⼯情報に該当することを明確に認識できるようにしておくことが重要である。そのため、作成した匿名加⼯情報について、匿名加⼯情報を取り扱う者にとってその情報が匿名加⼯情報である旨が⼀⾒して明らかな状態にしておくことが望ましい。
（※）詳細は、通則ガイドライン「3-4-2（安全管理措置）、3-4-3（従業者の監督）、3-4-4（委託先の監督）、3-9（個⼈情報の取扱いに関する苦情処理）」を参照のこと。
ガイドラインに記載されているように、個⼈情報取扱事業者⼜は匿名加⼯情報取扱事業者は、匿名加
⼯情報に関する安全管理措置及び苦情処理等の必要な措置を⾃ら講ずる必要がある。これらの措置につ
８４

いては、個⼈データの安全管理措置や苦情処理等の対応を参考にしつつ、匿名加⼯情報の性質、量等を考慮して⾏われる必要がある。

８５

4.4

匿名加⼯情報の利⽤に当たっての留意点
4.4.1 識別⽬的の照合とは法第 43 条第 5 項及び第 45 条で規定されているように、匿名加⼯情報の取扱いにおいては、元の個⼈情報に係る本⼈を識別する⽬的で他の情報と照合することが禁⽌される。
法第 43 条第 5 項
個⼈情報取扱事業者は、匿名加⼯情報を作成して⾃ら当該匿名加⼯情報を取り扱うに当たっては、当該匿名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈を識別するために、当該匿名加⼯情
報を他の情報と照合してはならない。
法第 45 条匿名加⼯情報取扱事業者は、匿名加⼯情報を取り扱うに当たっては、当該匿名加⼯情報の作成に⽤いられた個⼈情報に係る本⼈を識別するために、当該個⼈情報から削除された記述等若しくは個⼈
識別符号若しくは第 43 条第 1 項の規定により⾏われた加⼯の⽅法に関する情報を取得し、⼜は当該匿名加⼯情報を他の情報と照合してはならない。
ガイドライン 3-2-６ 識別⾏為の禁⽌（法第 43 条第５項、第 45 条関係）
匿名加⼯情報を取り扱う場合（※1）には、当該匿名加⼯情報の作成の元となった個⼈情報の本
⼈を識別する⽬的で、それぞれ次の⾏為を⾏ってはならない。
（1）個⼈情報取扱事業者が⾃ら作成した匿名加⼯情報を取り扱う場合
・⾃らが作成した匿名加⼯情報を、本⼈を識別するために他の情報（※2）と照合すること。
（2）匿名加⼯情報取扱事業者が他者の作成した匿名加⼯情報を取り扱う場合・受領した匿名加⼯情報⼜は⾏政機関等匿名加⼯情報（※3）の加⼯⽅法等情報を取得すること。
・受領した匿名加⼯情報を、本⼈を識別するために他の情報（※2）と照合すること。
【識別⾏為に当たらない取扱いの事例】
事例 1）複数の匿名加⼯情報を組み合わせて統計情報を作成すること。
事例 2）匿名加⼯情報を個⼈と関係のない情報（例︓気象情報、交通情報、⾦融商品等の取引⾼）とともに傾向を統計的に分析すること。
【識別⾏為に当たる取扱いの事例】
事例 1）保有する個⼈情報と匿名加⼯情報について、共通する記述等を選別してこれらを照合すること。
事例 2）⾃ら作成した匿名加⼯情報を、当該匿名加⼯情報の作成の元となった個⼈情報と照合すること。
（※1）匿名加⼯情報については、当該匿名加⼯情報の作成の元となった個⼈情報の本⼈を識別する⽬的のために他の情報と照合することが禁⽌されている。⼀⽅、個⼈情報として利⽤⽬的の範囲内で取り扱う場合に照合を禁⽌するものではない。
（※2）「他の情報」に限定はなく、本⼈を識別する⽬的をもって⾏う⾏為であれば、個⼈情報、個⼈
８６

関連情報、仮名加⼯情報及び匿名加⼯情報を含む情報全般と照合する⾏為が禁⽌される。
また、具体的にどのような技術⼜は⼿法を⽤いて照合するかは問わない。
（※3）「⾏政機関等匿名加⼯情報」とは、法第 60 条第 3 項に定めるものを指す。なお、この情報は匿名加⼯情報に包含される概念であることから、この情報を取り扱う事業者は、匿名加⼯情報取扱事業者に係る規律の対象となるものである。
これについては、特定の個⼈の識別ができるか否かを問わず、識別を⽬的とした照合⾏為⾃体がこれらの義務違反となる。
したがって、例えば、ある集団の傾向やマーケットの動向を分析するために他の情報と照合することについて
は、識別⽬的の照合には該当せず、義務違反とはならない。
例えば、異なる事業者から提供を受けた複数の匿名加⼯情報データベースのうち、類似の基本属性（年代、居住エリア等）を持つ匿名加⼯情報同⼠の購買情報等の履歴情報を組み合わせて、より詳細な統計情報を作成するようなことも可能である。
⼀⽅、第三者より提供を受けた匿名加⼯情報データベースと事業者内で保有する個⼈情報データベースとの間で、基本属性の類似度等から個⼈情報データベースに含まれる個⼈データと匿名加⼯情報に含まれる匿名加⼯情報とを紐付けることは、⼀般的には、識別⽬的の照合に該当すると考えられる。この結論は、当該紐づけがたとえ確率的に⾏われるものであっても変わらない。

4.4.2 加⼯⽅法の評価や再識別事案発⽣等における影響の範囲の確認等のための照合
4.1.2 でも述べたように、匿名加⼯情報における「特定の個⼈を識別することができない」及び「復元することができないようにしたもの」は⼀般⼈や⼀般的な事業者の能⼒、⼿法等を基準として判断されるものであり、技術的側⾯から全ての可能性を排除することまでを求めるものではない99。
匿名加⼯情報については、識別⾏為の禁⽌義務がある⼀⽅、施⾏規則第 35 条第 1 号では、加⼯⽅法等情報を取り扱う者の権限や責任が明確化され、同条第 3 号では、加⼯⽅法等情報を取り扱う正当な権限を有しない者に対する加⼯⽅法等情報へのアクセス制限が課されることになっている。また、法第 43 条
第 6 項では、匿名加⼯情報の安全管理のために必要かつ適切な措置を講ずることが求められている。安全
管理措置の⼀環として加⼯⽅法等情報を取り扱う正当な権限を有する者によりこのような評価や影響範囲の確認等のための照合が⾏われる場合には、安全管理措置として必要な限りにおいて認められるものであり、
法第 43 条第 5 項で禁⽌される識別⾏為に該当するものではないと考えられる100。

99

あらゆるデータに汎⽤的な匿名加⼯⼿法はなく、技術の進展によっても再識別リスクが変化し得ること、再識別リスクをモニタリングし匿

名加⼯⼿法に対する評価や⾒直しを⾏うことが望ましいこと等については、パーソナルデータに関する検討会「技術検討ワーキンググループ報告書」（2013 年 12 ⽉）や Article 29 Data Protection Working Party（EU 第 29 条作業部会） “Opinion 05/2014
on Anonymisation Techniques”（2014 年 4 ⽉）、Agencia Española de Protección de Datos（スペイン王国データ保護機関）European Data Protection Supervisor（欧州データ保護監督官）“AEPD-EDPS joint paper on 10
misunderstandings related to anonymisation“（2021 年 4 ⽉）等においても指摘されている。
100

なお、⽒名等を仮 ID に置き換えた場合における⽒名と仮 ID の対応表や、⽒名等の仮ＩＤへの置き換えに⽤いた置き換えアルゴリ

ズムと乱数等のパラメータの組み合わせを保有している場合における乱数等のパラメータを⽤いて、匿名加⼯情報の作成の過程において、加⼯前の情報と加⼯後の情報を対照して適切な加⼯がなされているかの検証を⾏うこと等は可能であるが、匿名加⼯情報の作成後は削除しなければならない。

８７

4.4.3 匿名加⼯情報を加⼯したものの扱い作成された匿名加⼯情報は、提供された第三者のもとで、情報を付加したり、⼀部の項⽬を削除したりするような加⼯がされることが想定される。
元の匿名加⼯情報に情報を付加する加⼯を⾏った場合については、元の匿名加⼯情報の情報がそのまま残るものであるから、元の匿名加⼯情報と同⼀のものとして扱うべきものと考えらえる。
⼀⽅、元の匿名加⼯情報から情報を削除する場合については、削除される情報の程度によって変わり得
るが、元の匿名加⼯情報との対応関係が明らかである限りは、同⼀の匿名加⼯情報として扱うものと考えることが妥当である。

4.4.4 意図せず特定個⼈を識別してしまった場合の扱い
法第 43 条第 5 項や法第 45 条の義務は、識別⽬的の照合⾏為に限られるため、加⼯が不⼗分であったことにより偶発的に特定の個⼈を識別してしまった場合は、これらの義務違反として直ちに罰せられることにはならないが、再度同じような形で特定の個⼈を識別することがないようにする必要がある。さらに、識別してしまった情報については、当該情報を速やかに削除しなければならない。
また、加⼯が不⼗分であることにより通常の業務を通じて特定の個⼈が識別されてしまう場合には、匿名
加⼯情報としての要件を満たしていないことから、個⼈情報としての取扱いが求められることになる。この場合、
匿名加⼯情報を作成して⾃ら取り扱う事業者においては、利⽤⽬的の変更や第三者提供を⾏う場合はあらかじめ本⼈の同意を取得した上で個⼈情報として適切な取扱いを⾏うか、情報の提供を受けた事業者において当該情報の削除等の対応が求められることになる。

８８

おわりに

我が国の様々な⺠間部⾨において、ビッグデータとして利⽤する有⽤性の⾼い様々なデータが蓄積されている。これ
らのデータの中でも特に顧客情報等と結びついて個⼈に関する情報として蓄積されたデータは、有⽤性が⾼いものである。⼀⽅、これらについては、法上、当該⺠間部⾨（個⼈情報取扱事業者）において、個⼈情報として位置付けられるものが多く、利⽤⽬的の変更や第三者提供に際して法の観点あるいは顧客のプライバシーリスクへの懸念を払しょくする観点から、望ましい利活⽤の在り⽅が共有されず、「利活⽤の壁」という問題がある。
本レポートは、このような認識の下で取りまとめられたものであり、事業者が仮名加⼯情報制度や匿名加⼯情報制
度を活⽤する際に参考となることを⽬的としたものである。
また、認定団体や事業者団体等においては、世界的な動向や技術の進展等も踏まえながら、個⼈情報保護指針
及び業界⾃主基準等に加えて、具体的にどのような情報をどのような⽅法で加⼯すればよいのかということについて適切な事例を収集し発信したり、各認定団体や事業者団体における取組のベストプラクティスについて業界横断的に公表・共有していくことも有⽤であり、関係者が連携して取組を進めていくことが期待される。
仮名加⼯情報・匿名加⼯情報の制度は、個⼈情報及びプライバシーの保護を前提とした上で、⺠間部⾨に存在する有⽤性の⾼い個⼈に関する情報について、仮名加⼯情報は利⽤⽬的の変更等を、匿名加⼯情報制度は第三者提供や⽬的外利⽤等を可能とする制度である。関係者が連携して取組を進め、この制度が適切な形で幅広く⺠
間部⾨に利⽤されることにより、消費者やサービス利⽤者の信頼を維持した形で安全に個⼈に関する情報等の流通が促進され、新たな技術やサービスの創出につながることが期待される。
なお、デジタル社会の形成を図るための関係法律の整備に関する法律（令和 3 年法律第 37 号）第 50 条及び第 51 条により、「匿名加⼯情報」及び「仮名加⼯情報」に係る規律が、⾏政機関、地⽅公共団体の機関、独⽴⾏
政法⼈等及び地⽅独⽴⾏政法⼈にも適⽤されることとなった。これら⾏政機関等における匿名加⼯情報の作成⽅法
や、匿名加⼯情報及び仮名加⼯情報の取扱いに係る規律は、個⼈情報取扱事業者に課せられる規律と異なるところもあるが、⾏政機関等においても本レポートの内容を参考とし、個⼈に関する情報の適切な利活⽤が促進されることが期待される。

８９

【参考資料】
I.

参考⽂献【 報告書等 】
パーソナルデータに関する検討会技術検討ワーキンググループ「技術検討ワーキンググループ報告書」（2013 年 12 ⽉）。
https://www.kantei.go.jp/jp/singi/it2/pd/dai5/siryou2-1.pdf

パーソナルデータに関する検討会技術検討ワーキンググループ「技術検討ワーキンググループ報告書 〜「（仮称）準個⼈情報」及び「（仮称）個⼈特定性低減データ」に関する技術的観点からの考察について〜」（2014 年５⽉）。
https://www.kantei.go.jp/jp/singi/it2/pd/dai10/siryou1-2.pdf

Suica に関するデータの社外への提供に関する有識者会議「Suica に関するデータの社外への提供について 中間とりまとめ」（2014 年 2 ⽉）。
https://www.jreast.co.jp/chukantorimatome/20140320.pdf

Suica に関するデータの社外への提供に関する有識者会議「Suica に関するデータの社外への提供について とりまとめ」（2015 年 10 ⽉）。
https://www.jreast.co.jp/information/aas/20151126_torimatome.pdf



総務省 緊急時等における位置情報の取扱いに関する検討会「位置情報プライバシーレポート 〜位置情報に関するプライバシーの適切な保護と社会的利活⽤の両⽴に向けて〜」（2014 年 7 ⽉）。
https://www.soumu.go.jp/main_content/000303636.pdf



経済産業省「事業者が匿名加⼯情報の具体的な作成⽅法を検討するにあたっての参考資料（「匿名加⼯情報作成マニュアル」）」（2016 年 8 ⽉）。
https://www.meti.go.jp/policy/it_policy/privacy/downloadfiles/tokumeikakou.pdf



国⽴情報学研究所 匿名加⼯情報に関する技術検討ワーキンググループ「匿名加⼯情報の適正な加⼯の⽅法に関する報告書 2017 年 2 ⽉ 21 ⽇版」（2017 年 2 ⽉）。
https://www.nii.ac.jp/research/reports/pd/report-kihon-20170221.pdf



総務省・経済産業省「DX 時代における 企業のプライバシーガバナンスガイドブック ver1.2」（2022 年 2⽉）https://www.soumu.go.jp/main_content/000794192.pdf



個⼈情報保護委員会「PIA の取組の促進について-PIA の意義と実施⼿順に沿った留意点-」（2021 年
6 ⽉）
https://www.ppc.go.jp/files/pdf/pia_promotion.pdf

Article 29 Data Protection Working Party, “Opinion 05/2014 on Anonymisation
Techniques”, April 2014.
https://ec.europa.eu/justice/article-29/documentation/opinionrecommendation/files/2014/wp216_en.pdf

Federal Trade Commission, “Protecting Consumer Privacy in an Era of Rapid Change”,
March 2012.
https://www.ftc.gov/sites/default/files/documents/reports/federal-tradecommission-report-protecting-consumer-privacy-era-rapid-changerecommendations/120326privacyreport.pdf
９０National Institute of Standards and Technologies, “De-identification of Personal
Information”, October 2015.
https://nvlpubs.nist.gov/nistpubs/ir/2015/NIST.IR.8053.pdf

National Institute of Standards and Technologies, “De-Identifying Government
Datasets” （1st Draft, August 2016/2nd Draft, December 2016） .
https://csrc.nist.gov/CSRC/media/Publications/sp/800188/draft/documents/sp800_188_draft2.pdf

Office for Civil Rights, U.S. Department of Health & Human Services, “Guidance
Regarding Methods for De-identification of Protected Health Information in Accordancewith the Health Insurance Portability and Accountability Act （HIPAA） Privacy Rule”,
November 2012.
https://www.hhs.gov/sites/default/files/ocr/privacy/hipaa/understanding/covereden
tities/De-identification/hhs_deid_guidance.pdf



UK Information Commissioner's Office, “Anonymisation: managing data protection risk
– code of practice”, November 2012.
https://ico.org.uk/media/1061/anonymisation-code.pdf

Office of the Australian Information Commissioner, Australian Government, “Australia
Privacy Principles Guidelines”, July 2019.
https://www.oaic.gov.au/__data/assets/pdf_file/0009/1125/app-guidelines-july2019.pdf

Agencia Española de Protección de Datos, European Data Protection Supervisor “AEPDEDPS joint paper on 10 misunderstandings related to anonymisation“April 2021.
https://edps.europa.eu/system/files/2021-04/21-04-27_aepdedps_anonymisation_en_5.pdf【 標準 】


ISO/IEC 29100:2011, Information technology -- Security techniques -- Privacy
framework.

ISO/IEC 27018:2014, Information technology – Security techniques -- Code of practicefor personally identifiable information （PII） protection in public clouds acting as PII
processors.

ISO/IEC 20889 Committee Draft 2016-12-02, Information technology –- Security
techniques –- Privacy enhancing data de-identification techniques. 2016.

【 論⽂ 】


L. Sweeney, “k-Anonymity: A Model For Protecting Privacy”, International Journal of
Uncertainty, Fuzziness and Knowledge-Based Systems, 10（5）, pp.557-570, 2002.



A. Narayanan and V. Shmatikov, “Robust de-anonymization of large sparse datasets”,
In Proceedings of 2008 IEEE Symposium on Security and Privacy （S&P）, pp.111125, IEEE, 2008.



Hiroaki Kikuchi, Katsumi Takahashi, “Zipf Distribution Model for Quantifying Risk of Re９１

identification from Trajectory Data”, Journal of Information Processing, Vol.24, No.5
pp.816-823, 2016.
【 書籍 】


⽠⽣和久編『⼀問⼀答 平成 27 年改正個⼈情報保護法』（商事法務、2015 年 12 ⽉）



佐脇紀代志編『⼀問⼀答 令和 2 年改正個⼈情報保護法』（商事法務、2021 年 8 ⽉）



中川裕志『プライバシー保護⼊⾨』（勁草書房、2016 年２⽉）



佐久間淳『データ解析におけるプライバシー保護』（講談社、2016 年８⽉）

Khaled El Emam, Luk Arbuckle（笹井崇司訳）『データ匿名化⼿法』（オライリー・ジャパン、2015
年５⽉）

９２