個人を特定し得る情報である準識別子を構成する少なくとも1つの属性データと、準識別子以外の少なくとも1つの属性データとを含むデータエントリを複数有するデータ集合の各データエントリについて、準識別子を構成する少なくとも1つの属性データの値を、所定の汎化規則に基づいて汎化する汎化部と、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさない要因となるデータエントリと、該データエントリと前記汎化対象の属性データの値が共通となることにより、前記データ集合が前記匿名性の所定の基準を満たすこととなる少なくとも1つのデータエントリとを選択するエントリ選択部と、前記エントリ選択部によって選択されたデータエントリについて、前記汎化対象の属性データの値を、前記所定の汎化規則にかかわらず所定の共通の値に変更するエントリ加工部とを備える匿名化装置。請求項1に記載の匿名化装置であって、前記エントリ選択部は、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさなくなるデータエントリと、準識別子を構成する少なくとも1つの属性データのうちの前記汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリとを選択することを特徴とする匿名化装置。請求項1に記載の匿名化装置であって、前記エントリ選択部は、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさなくなるデータエントリと、前記データ集合から除かれても前記データ集合が前記匿名性の所定の基準を満たす少なくとも1つのデータエントリとを選択することを特徴とする匿名化装置。請求項3に記載の匿名化装置であって、前記エントリ加工部は、前記データ集合が前記匿名性の所定の基準を満たすように、前記汎化対象の属性データの値を前記所定の共通の値に変更するとともに、準識別子を構成する少なくとも1つの属性データのうちの前記汎化対象の属性データ以外の少なくとも1つの属性データの値を所定の共通の値に変更することを特徴とする匿名化装置。請求項1~4の何れか一項に記載の匿名化装置であって、前記エントリ加工部は、前記データ集合に新たにデータエントリが追加された際に、該データエントリの値と、属性データの値が変更されたデータエントリのうちの少なくとも1つのデータエントリの変更前の値とが、前記汎化規則に基づいて汎化されると前記データ集合が前記匿名性の所定の基準を満たす場合は、該少なくとも1つのデータエントリについて、該属性データの値を前記変更前の値を前記汎化規則に基づいて汎化した値に変更することを特徴とする匿名化装置。請求項1~5の何れか一項に記載の匿名化装置であって、前記エントリ加工部は、前記データ集合から少なくとも1つのデータエントリが削除されたことにより、前記データ集合が前記匿名性の所定の基準を満たさなくなった場合に、前記データ集合が前記匿名性の所定の基準を満たすよう、前記データ集合に偽のデータエントリを追加することを特徴とする匿名化装置。請求項6に記載の匿名化装置であって、前記データ集合に新たにデータエントリが追加されたことにより、前記偽のデータエントリが除かれても前記データ集合が前記匿名性の所定の基準を満たす場合は、前記データ集合から該偽のデータエントリを削除することを特徴とする匿名化装置。請求項1~7の何れか一項に記載の匿名化装置であって、前記エントリ選択部がデータエントリを選択する際の規則を入力するエントリ選択規則入力部をさらに備え、前記エントリ選択部は、前記エントリ選択規則入力部から入力される規則に基づいて、データエントリを選択することを特徴とする匿名化装置。請求項1~8の何れか一項に記載の匿名化装置であって、前記エントリ加工部がデータエントリを加工する際の規則を入力するエントリ加工規則入力部をさらに備え、前記エントリ加工部は、前記エントリ加工規則入力部から入力される規則に基づいて、データエントリを加工することを特徴とする匿名化装置。請求項1~9の何れか一項に記載の匿名化装置であって、前記汎化部がデータエントリを汎化する際の規則を入力する汎化規則入力部をさらに備え、前記汎化部は、前記汎化規則入力部から入力される規則に基づいて、データエントリを汎化することを特徴とする匿名化装置。しかしながら、データ集合が繰り返し提供されるような場合、後から追加されたデータエントリの属性情報が、当初の想定した値の範囲から大きくずれる可能性がある。これらの値が準識別子を構成する属性の場合には、従来の汎化の手法では、k-匿名性を保証し、かつ意味のある汎化を適用することが難しい。そのため、追加されたデータエントリを対象データから外すか、かなり抽象度のレベルが高い汎化を行う必要があり、情報損失を引き起こしていた。また、データ集合に変化が生じるたびに、そのデータ集合の特性にあわせた匿名化を実施すると、準識別子の汎化の方式がデータ集合ごとに異なり、各データエントリが属するグループが全く異なるものになり、データ集合の特性を時系列で観察したり、特定のデータエントリを時系列で追跡したりすることが難しくなるという問題もあった。例えば、図23は、元のデータ集合を示している。このデータ集合において、準識別子を構成する属性は性別と出身地であり、病名がセンシティブデータである。そして、このデータ集合に対して、図24及び図25に示す出身地の汎化規則が適用されることにより汎化が行われ、図26に示す汎化後のデータ集合が得られる。図26に示すように、汎化後のデータ集合は、k=2の匿名性及びlエル=2の多様性を満たしている。図27は、図23のデータ集合に対して後から追加されたデータエントリを示している。後から追加されたデータエントリの出身地の値はロンドンであり、図24及び図25の汎化規則では汎化できない値である。したがって、この値を汎化するための新しい汎化規則が必要である。新しい汎化規則の一例を図28~図30に示す。図28~図30に示す規則でこの値ロンドンを汎化した場合、汎化後のデータエントリは、図31に示すものになる。しかしながら、図31に示されるデータエントリは、汎化された準識別子を、図26に示したどのデータエントリとも共有せず、既存の汎化グループには属さない。したがって、k=2の匿名性、lエル=2の多様性を満たす汎化後データ集合を得るためには、追加されたデータエントリを切り捨てるしかなかった。あるいは、すでに存在するデータエントリに対しても、追加されたデータエントリを考慮した新しい汎化規則を適用する必要があった。たとえば、図32に示すように、すべての出身地を包含する地球という概念を導入し、抽象度の高い汎化規則を導入する必要があった。k=2の匿名性及びlエル=2の多様性を保つように、この規則に基づく汎化を行うと、図33に示すように、すべてのデータエントリの出身地の値が地球になり、出身地の値が意味をもたなくなってしまうという問題があった。あるいは、図34及び図35に示すように、一部のデータエントリにだけ地球レベルの汎化規則を適用することも可能である。この場合は、図36に示すように、出身地の値の意味をできる限り残すことは可能である。しかし、時刻ごとに独立して最適な汎化処理を実施すると、8番目のデータエントリのように、同一のデータエントリが属するグループがスナップショットごとに異なるものになり、データ集合の特性を時系列で追うことが難しくなるという問題があった。本発明はこのような事情に鑑みてなされたものであり、データ集合が繰り返し提供される可能性があり、後から追加されたデータエントリの属性情報が、既知のデータエントリがとる値の範囲から大きくずれる場合であっても、適切な汎化を可能にすることを目的とする。本発明の一側面に係る匿名化装置は、個人を特定し得る情報である準識別子を構成する少なくとも1つの属性データと、準識別子以外の少なくとも1つの属性データとを含むデータエントリを複数有するデータ集合の各データエントリについて、準識別子を構成する少なくとも1つの属性データの値を、所定の汎化規則に基づいて汎化する汎化部と、データ集合に含まれる複数のデータエントリのうち、汎化規則に基づいて汎化されるとデータ集合が匿名性の所定の基準を満たさない要因となるデータエントリと、該データエントリと汎化対象の属性データの値が共通となることにより、データ集合が匿名性の所定の基準を満たすこととなる少なくとも1つのデータエントリとを選択するエントリ選択部と、エントリ選択部によって選択されたデータエントリについて、汎化対象の属性データの値を、所定の汎化規則にかかわらず所定の共通の値に変更するエントリ加工部とを備える。なお、本発明において、部とは、単に物理的手段を意味するものではなく、その部が有する機能をソフトウェアによって実現する場合も含む。また、1つの部や装置が有する機能が2つ以上の物理的手段や装置により実現されても、2つ以上の部や装置の機能が1つの物理的手段や装置により実現されても良い。本発明によれば、データ集合が繰り返し提供される可能性があり、後から追加されたデータエントリの属性情報が、既知のデータエントリがとる値の範囲から大きくずれる場合であっても、適切な汎化が可能となる。以下、図面を参照して本発明の一実施形態について説明する。図1は、本発明の一実施形態である匿名化装置の構成例を示す図である。匿名化装置10は、例えば、図23に示すような、個人を特定可能な属性データを含むデータエントリを有するデータ集合に対して、匿名化を行う装置である。匿名化装置10は、例えば、アプリケーションサーバ等の情報処理装置であり、プロセッサやメモリ、入力装置、記憶装置等を含んで構成される。また、図1に示されるように、匿名化装置10は、匿名化処理部20、データ集合受付部22、加工データエントリ選択部24、データエントリ加工部26、及びデータ集合出力部28を機能部として備えている。こららの機能部は、例えば、メモリに記憶されたプログラムをプロセッサが実行することにより実現される。匿名化処理部20汎化部は、入力されるデータ集合に対して汎化や切り落とし、置換等の匿名化処理を実行し、匿名化されたデータ集合を出力する。例えば、匿名化処理部20は、所定の汎化規則に従って各データエントリに含まれる属性データの汎化を行う。例えば、図23に示すデータ集合の場合、性別及び出身地が、他の背景知識と組み合わせることで個人を特定し得る情報の組であり、準識別子を構成している。匿名化処理部20は、例えば、図24及び図25に示される汎化規則に従って、図23に示すデータ集合の各データエントリについて、準識別子を構成する属性データのうちの出身地の値の汎化を行う。図26は、図23のデータ集合を汎化して得られるデータ集合の一例を示している。例えば、1番目のデータエントリでは、出身地の名古屋が東海に汎化されている。その他のデータエントリについても同様に汎化されることにより、準識別子による汎化グループが形成される。例えば、汎化後のデータ集合における1番目と2番目のデータエントリは、性別が女、出身地が東海となっており、1つの汎化グループを形成している。匿名化処理部20は、汎化により形成される汎化グループに対して、汎化グループを識別するための識別子を付与する。なお、汎化の手法は、言葉の意味を抽象化することに限られない。例えば、年齢を30代や25~35歳に変換する等、数値等の粒度をあげるような処理や、緯度経度などの位置情報を適当な範囲領域のデータに変換するような処理を汎化のために用いてもよい。ここで、図26のデータ集合を見ると、各汎化グループには、2個以上のデータエントリがあり、k=2の匿名性が満たされている。また、各汎化グループには、センシティブデータである病名の値が2種類以上含まれており、lエル=2の多様性が満たされている。なお、匿名化装置10においては、k-匿名性やlエル-多様性等について、匿名性の所定の基準が設定されている。本実施形態では、匿名化装置10において、k=2の匿名性及びlエル=2の多様性が匿名性の所定の基準として設定されていることとする。図1に戻り、データ集合受付部22は、匿名化処理部20から、汎化前または汎化後のデータ集合を受け付け、加工データエントリ選択部24に出力する。加工データエントリ選択部24は、入力されるデータ集合に含まれる複数のデータエントリのうち、匿名化処理部20において汎化規則に基づいて汎化されるとデータ集合が匿名性の所定の基準を満たさなくなるデータエントリと、このデータエントリ以外の少なくとも1つのデータエントリとを選択する。ここで、汎化規則に基づいて汎化されるとデータ集合が匿名性の所定の基準を満たさなくなるデータエントリとは、例えば、準識別子を汎化規則に基づいて汎化すると、データ集合内におけるいずれの汎化グループにも属さず切り捨ての対象となるデータエントリである。また、少なくとも1つのデータエントリとは、例えば、準識別子を構成する複数の属性データのうちの汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリや、データ集合から除かれてもデータ集合が匿名性の所定の基準を満たす少なくとも1つのデータエントリである。詳細については具体例を用いて後述する。データエントリ加工部26は、加工データエントリ選択部24によって選択されたデータエントリについて、汎化対象の属性データの値を所定の共通の値に変更し、データ集合出力部28を介して匿名化処理部20に出力する。例えば、データエントリ加工部26は、選択されたデータエントリの出身地の値をに変更することができる。なお、変更後の所定の共通の値としては、例えば、その属性データが取りうる最も抽象度の高い値とすることができる。例えば、出身地の場合であれば、地球とすることができる。図2及び図3は、匿名化装置10における処理の流れの例を示す図である。図2に示すように、データ集合に対する加工処理は、匿名化処理部20における汎化前のデータ集合に対して行うことができる。また、図3に示すように、匿名化処理部20における汎化後のデータ集合に対して加工処理を施すことも可能である。また、汎化前及び汎化後の2回に分けてデータ集合に対する加工処理を行う等、匿名化の途中で加工処理を複数回実行してもよい。本実施形態では、汎化後のデータ集合に対して加工処理を施す場合を例にとって説明する。まず、匿名化処理部20では、図24に示す汎化規則が設定されていることとする。そして、図23に示すデータ集合が匿名化処理部20に入力されると、汎化規則に基づいて出身地の値が汎化され、図26に示すデータ集合が得られる。前述したように、図26に示すデータ集合は、匿名化装置10における匿名性の基準を満たしている。この状態を前提として、以下にデータ加工処理についての例を示す。<データ加工例1>図26に示すデータ集合が得られた後、データ集合に対する追加エントリとして、図27に示すデータエントリが匿名化処理部20に入力されたとする。ここで、図27に示すデータエントリの出身地はロンドンであり、図24に示す汎化規則では汎化することができない。そのため、このデータエントリを追加すると、匿名性の基準が満たされなくなってしまう。そこで、匿名化処理部20は、図26に示す汎化後のデータ集合と、図27に示すデータエントリとにより構成されるデータ集合をデータ集合受付部22に出力する。データ集合受付部22は、匿名化処理部20からデータ集合を受け付け、加工データエントリ選択部24に出力する。加工データエントリ選択部24は、データ集合に含まれる複数のデータエントリのうち、汎化規則に基づいて汎化されるとデータ集合が匿名性の基準を満たさなくなるデータエントリと、準識別子を構成する複数の属性データのうちの汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリとを選択する。ここで、汎化規則に基づいて汎化されるとデータ集合が匿名性の基準を満たさなくなるデータエントリは、図27に示すデータエントリである。また、準識別子を構成する複数の属性データのうちの汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリの例は、図4において破線で囲われているデータエントリである。すなわち、準識別子を構成する属性データのうちの汎化されない属性データは性別であり、性別の値が異なる複数のデータエントリが選択される。図4の例では、性別が女で汎化グループが1のデータエントリと、性別が男で汎化グループが4のデータエントリとが選択されている。データエントリ加工部26は、加工データエントリ選択部24によって選択されたデータエントリの出身地の値を、図4及び図5に示されるように、例えばに変更する。なお、図26に示すデータ集合に対する加工は、図27に示すデータエントリが追加される前に予め行われることとしてもよいし、図27に示すデータエントリが追加されたタイミングで行われることとしてもよい。データ集合出力部28は、データエントリ加工部26によって加工されたデータ集合を匿名化処理部20に出力する。図4及び図5に示すように、データエントリ加工部26によるデータ加工によって、図5に示すデータエントリの準識別子は、図4に示すデータ集合における汎化グループが1の準識別子と同一となっている。そのため、匿名化処理部20において、図5に示すデータエントリの汎化グループに例えば1が付与される。これにより、追加されたデータエントリを切り捨てることなく、かつ出身地を意味のないレベルにまで汎化することなく、データ集合が匿名性の基準を満たすようにすることができる。換言すると、データ集合に対して汎化を行う際に、より具体的な汎化規則を適用できるデータエントリの一部に対して、あえてより抽象的な汎化規則を適用することにより、後から追加されるデータエントリがいかなる値をとっても、匿名性の基準を保った上で、汎化データ集合に加えることができる。また、図4に示すように、加工データエントリ選択部24が、データエントリを汎化グループ単位で選択することにより、各汎化グループのデータエントリの個数が減少しないため、匿名性の基準が満たされなくなってしまうことを防ぐことができる。<データ加工例2>本例でも、図26に示すデータ集合が得られた後、データ集合に対する追加エントリとして、図27に示すデータエントリが匿名化処理部20に入力されたとする。データ集合受付部22は、匿名化処理部20からデータ集合を受け付け、加工データエントリ選択部24に出力する。加工データエントリ選択部24は、データ集合に含まれる複数のデータエントリのうち、汎化規則に基づいて汎化されるとデータ集合が匿名性の基準を満たさなくなるデータエントリと、データ集合から除かれてもデータ集合が匿名性の基準を満たす少なくとも1つのデータエントリとを選択する。ここで、データ集合から除かれてもデータ集合が匿名性の基準を満たす少なくとも1つのデータエントリの例は、図6において破線で囲われているデータエントリである。すなわち、図6に示すように、3番目から5番目のデータエントリの汎化グループが2となっているが、このうち5番目のデータエントリが除かれたとしても、3番目及び4番目のデータエントリによって、匿名性の基準は満たされる。同様に、汎化グループが3となっている6番目から8番目のデータエントリのうち、8番目のデータエントリが除かれたとしても、匿名性の基準は満たされる。データエントリ加工部26は、加工データエントリ選択部24によって選択されたデータエントリの性別及び出身地の値を、図6及び図7に示されるように、例えばに変更する。なお、データエントリ加工部26は、性別及び出身地の値をそれぞれ別の所定の共通の値に変更してもよい。データ集合出力部28は、データエントリ加工部26によって加工されたデータ集合を匿名化処理部20に出力する。図6及び図7に示すように、データエントリ加工部26によるデータ加工によって、図7に示すデータエントリの準識別子は、図6に示すデータ集合において選択されたデータエントリの準識別子と同一となっている。そのため、匿名化処理部20において、これらのデータエントリに汎化グループとして5が付与される。これにより、追加されたデータエントリを切り捨てることなく、かつ出身地を意味のないレベルにまで汎化することなく、データ集合が匿名性の基準を満たすようにすることができる。なお、データエントリ加工部26は、汎化対象の属性データである出身地の値のみをに変更することとしてもよいが、準識別子に含まれる他の属性データである性別の値についてもに変更することにより、加工されたデータエントリと追加されたデータエントリとによって新たな汎化グループが形成される可能性を高めることができる。<データ加工例3>本例は、データ加工例2によって加工されたデータ集合に対してさらにデータエントリが追加された場合の一例である。図8は、データ加工例2によって加工されたデータ集合を示している。なお、本例では、図28に示す欧州の汎化規則も適用されていることとする。すなわち、図8に示すように、11番目のデータエントリの出身地の変更前の値は、図27に示すデータエントリの出身地の値であるロンドンを、図28に示す汎化規則で汎化して得られる欧州となっている。ここで、図8に示すデータ集合が得られた後、データ集合に対する追加エントリとして、図9に示すデータエントリが匿名化処理部20に入力されたとする。ここで、図9に示すデータエントリの出身地の値はパリである。このデータエントリが匿名化処理部20で汎化されると、出身地の値が欧州に汎化され、匿名性の基準が満たされなくなってしまう。そこで、匿名化処理部20は、図8に示す汎化後のデータ集合と、図9に示すデータエントリとにより構成されるデータ集合をデータ集合受付部22に出力する。データ集合受付部22は、匿名化処理部20からデータ集合を受け付け、加工データエントリ選択部24に出力する。加工データエントリ選択部24は、データ集合に含まれる複数のデータエントリのうち、汎化規則に基づいて汎化されるとデータ集合が匿名性の基準を満たさなくなるデータエントリである追加されたエントリと、属性データの値を加工前の値に戻せば、追加されたエントリと汎化グループを形成して匿名性の基準が満たされるデータエントリとを選択する。ここで、図8に示すデータ集合を見ると、11番目のデータエントリは、性別及び出身地の加工前の値が、それぞれ、女及び欧州であり、センシティブデータの値が消化不良である。なお、属性データの加工前の値は、例えば、汎化前のデータエントリの属性データを汎化規則に従って汎化することにより得ることができる。また、例えば、汎化前のデータエントリとは別に、属性データが加工されたエントリと対応付けて、加工前の属性データの値を記憶しておく記憶部を設けてもよい。また、図9に示すデータエントリは、性別及び出身地の値が、それぞれ、女及びパリであり、センシティブデータの値が気管支炎である。つまり、図8のデータ集合における11番目のデータエントリの性別及び出身地の値を、それぞれ、加工前の女及び欧州に戻し、図9に示すデータエントリの出身地を汎化すれば、これら2つのデータエントリにより、匿名性の基準を満たす新たな汎化グループが形成されることとなる。そこで、データエントリ加工部26は、加工データエントリ選択部24によって選択された、図8のデータ集合における11番目のデータエントリの性別及び出身地の値を、それぞれ、加工前の女及び欧州に変更する。図10は、加工されたデータ集合を示している。データ集合出力部28は、データエントリ加工部26によって加工されたデータ集合を匿名化処理部20に出力する。そして、匿名化処理部20において図9に示すデータエントリが汎化されると、図11に示すデータエントリが得られ、図10に示すデータ集合の11番目のデータエントリとによって新たな汎化グループが形成される。すなわち、これらのデータエントリの汎化グループに例えば6が付与される。<データ加工例4>本例では、データエントリの追加及び削除が行われる場合の一例について説明する。図12~図14は、時刻T~T2における匿名化前のデータ集合の一例を示している。まず、図12に示すデータ集合に対して出身地の値の汎化を行うとともに、上記データ加工例1の場合と同様にデータの加工が行われたデータ集合が図15に示されている。次に、時刻T1に、元のデータ集合が図13に示すように変化したとする。すなわち、時刻Tにおける元のデータ集合から、千代、陽子、正、及び三郎のデータエントリが削除され、アリスのデータエントリが追加されている。この場合、図16に示すように、アリスのデータエントリについては、データ加工例1の場合と同様に、出身地の値がに変更され、花子と同一の汎化グループとされる。しかしながら、千代のデータエントリが削除されており、かつ花子とアリスのデータエントリの病名がいずれも消化不良であるため、匿名化の基準が満たされない状況となってしまう。そこで、データエントリ加工部26は、図16に示すように、病名が気管支炎の偽のデータエントリを追加することにより、匿名化の基準が満たされるようにしている。さらに、時刻T2に、元のデータ集合が図14に示すように変化したとする。すなわち、時刻T1における元のデータ集合に、ソフィのデータエントリが追加されている。この場合、図17に示すように、ソフィのデータエントリについては、アリスのデータエントリと同様に、出身地の値がに変更され、花子及びアリスと同一の汎化グループとされる。ここで、ソフィのデータエントリの病名は気管支炎であるため、図16に示した偽のデータエントリが除かれても、匿名化の基準が満たされることとなる。そこで、図17に示すように、偽のデータエントリは、データエントリ加工部26によって削除されている。以上説明したように、本実施形態の匿名化装置10によれば、データ集合が繰り返し提供される可能性があり、後から追加されたデータエントリの属性情報が、既知のデータエントリがとる値の範囲から大きくずれる場合であっても、適切な汎化が可能となる。なお、本実施形態は、本発明の理解を容易にするためのものであり、本発明を限定して解釈するためのものではない。本発明は、その趣旨を逸脱することなく、変更/改良され得るととともに、本発明にはその等価物も含まれる。例えば、図18に示すように、匿名化装置10は、加工データエントリ選択規則入力部30を備えることとしてもよい。すなわち、データエントリを選択する際の規則が加工データエントリ選択部24において固定ではなく、加工データエントリ選択規則入力部30からの入力に応じて変更可能であることとしてもよい。また、例えば、図19に示すように、匿名化装置10は、データエントリ加工規則入力部32を備えることとしてもよい。すなわち、データエントリを加工する際の規則がデータエントリ加工部26において固定ではなく、データエントリ加工規則入力部32からの入力に応じて変更可能であることとしてもよい。さらに、例えば、図20に示すように、匿名化装置10は、加工データエントリ選択規則入力部30及びデータエントリ加工規則入力部32の両方を備えることとしてもよい。また、図21に示すように、匿名化装置10は、匿名化処理部20による匿名化により生成される匿名化データ集合の匿名性を評価するための匿名性評価部34を備えることとしてもよい。この場合、匿名性評価部34は、匿名性の評価結果に基づいて、匿名性が所定の基準を満たすように、加工データエントリ決定規則入力部30及びデータエントリ加工規則入力部32を制御することができる。また、図22に示すように、匿名化装置10は、汎化規則入力部36を備えることとしてもよい。すなわち、データエントリに対して汎化処理を施す際の規則が匿名化処理部20において固定ではなく、汎化規則入力部36からの入力に応じて変更可能であることとしてもよい。例えば、図28及び図29に示した欧州の汎化規則を匿名化処理部20が有していない場合に、汎化規則入力部36を用いることにより汎化規則を追加することができる。この出願は、2010年11月9日に出願された日本出願特願2010-250600を基礎とする優先権を主張し、その開示の全てをここに取り込む。以上、実施形態を参照して本願発明を説明したが、本願発明は上記実施形態に限定されるものではない。本願発明の構成や詳細には、本願発明のスコープ内で当業者が理解し得る様々な変更をすることができる。本実施形態の一部又は全部は、以下の付記のようにも記載されうるが、以下には限られない。付記1個人を特定し得る情報である準識別子を構成する少なくとも1つの属性データと、準識別子以外の少なくとも1つの属性データとを含むデータエントリを複数有するデータ集合の各データエントリについて、準識別子を構成する少なくとも1つの属性データの値を、所定の汎化規則に基づいて汎化する汎化部と、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさない要因となるデータエントリと、該データエントリと前記汎化対象の属性データの値が共通となることにより、前記データ集合が前記匿名性の所定の基準を満たすこととなる少なくとも1つのデータエントリとを選択するエントリ選択部と、前記エントリ選択部によって選択されたデータエントリについて、前記汎化対象の属性データの値を、前記所定の汎化規則にかかわらず所定の共通の値に変更するエントリ加工部とを備える匿名化装置。付記2付記1に記載の匿名化装置であって、前記エントリ選択部は、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさなくなるデータエントリと、準識別子を構成する少なくとも1つの属性データのうちの前記汎化規則に基づいて汎化されない属性データの値が異なる複数のデータエントリとを選択することを特徴とする匿名化装置。付記3付記1に記載の匿名化装置であって、前記エントリ選択部は、前記データ集合に含まれる複数のデータエントリのうち、前記汎化規則に基づいて汎化されると前記データ集合が匿名性の所定の基準を満たさなくなるデータエントリと、前記データ集合から除かれても前記データ集合が前記匿名性の所定の基準を満たす少なくとも1つのデータエントリとを選択することを特徴とする匿名化装置。付記4付記3に記載の匿名化装置であって、前記エントリ加工部は、前記データ集合が前記匿名性の所定の基準を満たすように、前記汎化対象の属性データの値を前記所定の共通の値に変更するとともに、準識別子を構成する少なくとも1つの属性データのうちの前記汎化対象の属性データ以外の少なくとも1つの属性データの値を所定の共通の値に変更することを特徴とする匿名化装置。付記5付記1~4の何れか一項に記載の匿名化装置であって、前記エントリ加工部は、前記データ集合に新たにデータエントリが追加された際に、該データエントリの値と、属性データの値が変更されたデータエントリのうちの少なくとも1つのデータエントリの変更前の値とが、前記汎化規則に基づいて汎化されると前記データ集合が前記匿名性の所定の基準を満たす場合は、該少なくとも1つのデータエントリについて、該属性データの値を前記変更前の値を前記汎化規則に基づいて汎化した値に変更することを特徴とする匿名化装置。付記6付記1~5の何れか一項に記載の匿名化装置であって、前記エントリ加工部は、前記データ集合から少なくとも1つのデータエントリが削除されたことにより、前記データ集合が前記匿名性の所定の基準を満たさなくなった場合に、前記データ集合が前記匿名性の所定の基準を満たすよう、前記データ集合に偽のデータエントリを追加することを特徴とする匿名化装置。付記7付記6に記載の匿名化装置であって、前記データ集合に新たにデータエントリが追加されたことにより、前記偽のデータエントリが除かれても前記データ集合が前記匿名性の所定の基準を満たす場合は、前記データ集合から該偽のデータエントリを削除することを特徴とする匿名化装置。付記8付記1~7の何れか一項に記載の匿名化装置であって、前記エントリ選択部がデータエントリを選択する際の規則を入力するエントリ選択規則入力部をさらに備え、前記エントリ選択部は、前記エントリ選択規則入力部から入力される規則に基づいて、データエントリを選択することを特徴とする匿名化装置。付記9付記1~8の何れか一項に記載の匿名化装置であって、前記エントリ加工部がデータエントリを加工する際の規則を入力するエントリ加工規則入力部をさらに備え、前記エントリ加工部は、前記エントリ加工規則入力部から入力される規則に基づいて、データエントリを加工することを特徴とする匿名化装置。付記10付記1~9の何れか一項に記載の匿名化装置であって、前記汎化部がデータエントリを汎化する際の規則を入力する汎化規則入力部をさらに備え、前記汎化部は、前記汎化規則入力部から入力される規則に基づいて、データエントリを汎化することを特徴とする匿名化装置。