Silviase/jgov_v1.4_full_ann huggingface dataset:
Article 19 Standards prescribed by rules of the Personal Information Protection Commission under Article 36, paragraph (1) of the Act shall be as follows.

一個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(i) deleting a whole or part of those descriptions etc. which can identify a specific individual contained in personal information (including replacing such descriptions etc. with other descriptions etc. using a method with no regularity that can restore the whole or part of descriptions etc.)

二 個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(ii) deleting all individual identification codes contained in personal information (including replacing such codes with other descriptions etc. using a method with no regularity that can restore the individual identification codes)

三 個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。

(iii) deleting those codes (limited to those codes linking mutually plural information being actually handled by a personal information handling business operator) which link personal information and information obtained by having taken measures against the personal information (including replacing the said codes with those other codes which cannot link the said personal information and information obtained by having taken measures against the said personal information using a method with no regularity that can restore the said codes)

四 特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(iv) deleting idiosyncratic descriptions etc. (including replacing such descriptions etc. with other descriptions etc. using a method with no regularity that can restore the idiosyncratic descriptions etc.)

五 前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

(v) besides action set forth in each preceding item, taking appropriate action based on the results from considering the attribute etc. of personal information database etc. such as a difference between descriptions etc. contained in personal information and descriptions etc. contained in other personal information constituting the personal information database etc. that encompass the said personal information

(加工方法等情報に係る安全管理措置の基準)

(Standards in the security control action concerning processing method etc. related information)
第20条 法第36条第2項の個人情報保護委員会規則で定める基準は、次のとおりとする。

Article 20 Standards prescribed by rules of the Personal Information Protection Commission under Article 36, paragraph (2) of the Act shall be as follows.

一 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第36条第1項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。

(i) defining clearly the authority and responsibility of a person handling anonymously processed information (information relating to those descriptions etc. and individual identification codes which were deleted from personal information used to produce anonymously processed information and information relating to a processing method carried out pursuant to the provisions of Article 36, paragraph (1) (limited to those which can restore the personal information by use of such relating information); the same applies hereinafter in this Article).

二 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。

(ii) establishing rules and procedures on the handling of processing method etc. related information, handling appropriately processing method etc. related information in accordance with the rules and procedures, evaluating the handling situation, and based on such evaluation results, taking necessary action to seek improvement

三 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。

(iii) taking necessary and appropriate action to prevent a person with no legitimate authority to handle processing method etc. related information from handling the processing method etc. related information

(個人情報取扱事業者による匿名加工情報の作成時における公表)

(Public disclosure by a personal information handling business operator when producing anonymously processed information)

第21条 法第36条第3項の規定による公表は、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。

Article 21 (1) Public disclosure pursuant to the provisions of Article 36, paragraph (3) of the Act shall, without delay after anonymously processed information has been produced, be made by utilizing the Internet or other appropriate method.

2 個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。
(2) In cases where a personal information handling business operator entrusted by another personal information handling business operator has produced anonymously processed information, the said other personal information handling business operator shall disclose the categories of information relating to an individual contained in the anonymously processed information by a method prescribed in the preceding paragraph. In such cases, it shall be deemed that the public disclosure of the said categories has been made by the said entrusted personal information handling business operator.

(個人情報取扱事業者による匿名加工情報の第三者提供時における公表等)

(Public Disclosure etc. by a personal information handling business operator when providing anonymously processed information to a third party)

第22条 法第36条第4項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。

Article 22 (1) Public disclosure pursuant to the provisions of Article 36, paragraph (4) of the Act shall be made by utilizing the Internet or other appropriate method.

2 法第36条第4項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。

(2) An explicit statement pursuant to the provisions of Article 36, paragraph (4) of the Act shall be given by sending an e-mail, delivering a written document or employing other appropriate method.

(匿名加工情報取扱事業者による匿名加工情報の第三者提供時における公表等)

(Public Disclosure etc. by an Anonymously Processed Information Handling Business Operator when Providing Anonymously Processed Information to a Third Party)

第23条 前条第1項の規定は、法第37条の規定による公表について準用する。

Article 23 (1) The provisions of the preceding Article, paragraph (1) shall apply mutatis mutandis to public disclosure pursuant to the provisions of Article 37 of the Act.

２ 前条第2項の規定は、法第37条の規定による明示について準用する。

(2) The provisions of the preceding Article, paragraph (2) shall apply mutatis mutandis to an explicit statement pursuant to the provisions of Article 37 of the Act.
### I I. Trends Concerning the Anonymization of Personal Data Overseas

ここでは、諸外国におけるパーソナルデータやプライバシーに関する法制化や議論等の動向うち、特に匿名加工 $ ^{43} $ について取り扱っているレポート等を紹介する。

Below, reports, etc. from other countries, which focus on anonymization $ ^{44} $ among other trends concerning legislation and discussions regarding personal data and privacy.

## I I-1 米国における動向

## I I-1 Trends in the United States

米国では個人データに関する包括的な法律が制定されておらず、個別分野ごとに個人データの取扱いに関する法律が規定されている。その個別分野の法律としては、「医療保険の相互運用性と説明責任に関する法律」（HIPPA $ ^{44} $ ）、「児童オンラインプライバシー保護法」（COPPA $ ^{45} $ ）がある。

The United States does not have any comprehensive law on personal data. Instead, laws regulating the handling of personal data are provided for each field. Such field-specific laws include HIPPA $ ^{45} $ and COPPA. $ ^{46} $

個人データの匿名加工に関しては、商業活動における不公正・欺瞞的な行為や習慣を監視・監督する米国連邦取引委員会（FTC $ ^{46} $ ）が、「Protecting Consumer Privacy in an Era of Rapid Change $ ^{47} $ 」というタイトルのレポート（FTCスタッフレポート）を2012年に発行しており、この中で個人データの匿名加工（de-identification）について触れているほか、国立標準技術研究所（NIST $ ^{48} $ ）が、「De-identification of Personal Information $ ^{49} $ 」という個人データの匿名加工に関するレポート（NISTレポート）を2015年10月に公表している。

The FTC, $ ^{47} $ which monitors and supervises unfair and deceptive acts and practices in commercial activities, issued a report on personal data anonymization titled "Protecting Consumer Privacy in an Era of Rapid Change" $ ^{48} $ (FTC Staff Report) in 2012. This report refers to the "de-identification" of personal information. In addition, the NIST $ ^{49} $ also issued a report on anonymization of personal data titled "De-identification of Personal Information" $ ^{50} $ (NIST
Report) in October 2015.

また、上記の医療分野に特化した例として、「Guidance Regarding Methods of De-identification of Protected Health Information in Accordance with the Health Insurance Portability and Accountability Act $ ^{50} $ というガイドライン（HIPAAガイドライン）が発行されている。

In addition, guidelines that focus on the medical field as stated above were issued under the title of "Guidance Regarding Methods of De-identification of Protected Health Information in Accordance with the Health Insurance Portability and Accountability Act." $ ^{51} $

## I I-1-1 FTC スタッフレポート (2012 年 3 月)

## I I-1-1 FTC Staff Report (March 2012)

FTCスタッフによる事務局レポートは、①プライバシー・バイ・デザイン、②消費者の選択肢の簡易化、③データの透明性の確保、という3つの観点から、事業者に対してレポートのプラクティスに沿った行動を促すとともに、プライバシー政策立案のための提言を行う内容となっている。

The FTC Staff Report encourages business operators to act in accordance with the practices shown in the report, and provides recommendations for the formulation of privacy policies, from the three perspectives of $ [i] $ privacy by design, $ [ii] $ simplification of consumer choice, and $ [iii] $ transparency of data practices.

レポートで提案されるフレームワークは、特定の消費者に対して合理的に連結可能なデータを対象としており、事業者が3つの措置を講じている場合には、そのデータは「合理的に連結可能ではない」ものとして、フレームワークの対象外であるとしている。その3つの措置は、

① 合理的な匿名加工処理（de-identification）を行うこと。

② 匿名加工されたデータを再識別しないことにつき、公にコミットすること。

③ 匿名加工されたデータを第三者に提供するときは、当該第三者による再識別行為を契約で禁止すること

であり、いわゆるFTC3要件とも呼ばれているものである。

The framework proposed in the report covers data that can be reasonably linked to a specific consumer. If a business operator has taken the following three measures, the data is deemed as data that "cannot be reasonably linked to" a specific consumer and thus does not fall under the scope of the framework.

[i] To carry out de-identification in a reasonable manner

[ii] To publicly commit to refraining from re-identifying de-identified data

[iii] When providing de-identified data to a third party, to prohibit the act of re-identification by said third party under a contract

The above are also called FTC's three requirements.

特に、2つ目の要件について、事業者がこれに違反した場合、FTCは連邦取引委員会法第5条で禁止され
ている「不公正・欺瞞的行為」に当たるとして、当該違反行為に対して差止請求や民事制裁金の請求等を行うことができる。

## I I-1-2 NIST レポート（2015年10月）

## I I-1-2 NIST Report (October 2015)

このレポートは、行政機関や権利擁護団体（advocacy group）、研究者等を対象とした、個人情報の匿名加工（de-identification）に関する論点や用語についての概要をまとめたものになる。具体的には、データ共有モデル、匿名加工のアプローチと代表的な匿名加工手法、領域別の匿名加工に関する事例評価、再識別リスクの評価方法等について紹介している。ただし、このレポートが匿名加工の適切性や特別な匿名加工アルゴリズムについて推奨する位置付けのものではないことも明記されている。

The NIST Report provides an overview of terms and issues to be considered in relation to the de-identification of personal information for government organizations, advocacy groups, researchers, etc. Specifically, it explains data sharing models, approaches for de-identification and major de-identification methods, evaluation of field-based de-identification, estimation of re-identification risk, etc. However, the NIST Report also clearly states that it does not make recommendations regarding the appropriateness of de-identification or specific de-identification algorithms.

匿名加工については、個人データについて直接識別子（Direct Identifier）と準識別子（Quasi-Identifier）それぞれについて、次のような形で加工すべきことを示している。

The report states that de-identification should be carried out by processing direct identifiers and quasi-identifiers in personal data in the following manner.

## (1) 直接識別子

## (1) Direct identifiers

直接識別子の例として、氏名、社会保障番号、電子メールアドレスを挙げており、直接識別子については、削除若しくはランダムな値等に置き換える必要があるとしている。

Direct identifiers include names, social security numbers, and email addresses. Direct identifiers need to be removed or replaced with random values, etc.

（２）間接識別子（Sweeneyによる論文の事例では、生年月日、郵便番号、性別の３つが間接識別子に該当するとしている）

(2) Quasi-identifiers (in an example of an article by Sweeney, date of birth, telephone number, and sex fall under the category of quasi-identifiers)

間接識別子は、後の解析のために重要でありデータセットの有用性にも影響することから、再識別リス
クとのバランスに注意して行う必要があるとしている。間接識別子の加工処理としては、削除（Suppression）、一般化（Generalization）、摂動（Perturbation）、スワッピング（Swapping）、サブサンプリング（Sub-sampling）について例示するとともに、Emam氏とMalin氏による匿名加工の11ステップについても紹介している。

Since quasi-identifiers are important for analyses that are to be performed later and they also affect the usefulness of a dataset, the report states that the processing of quasi-identifiers should be carried out with careful consideration to balance the risk of re-identification with the utility gained by their inclusion. Processing methods for quasi-identifiers include suppression, generalization, perturbation, swapping, sub-sampling. The report also covers 11 de-identification steps proposed by Emam and Malin.

その後、“De-Identifying Government Datasets”（NIST SP800-188）の1stドラフトが2016年8月に、2ndドラフトが2016年12月に公開されている。これは、タイトルどおり、米国政府の所有するパーソナルデータを対象とした匿名加工（de-identification）に関するガイドラインであり、その内容は、NISTレポートを基本的に踏襲した上で、匿名加工のガバナンスやマネジメント（目標等の特定やリスクの評価、教育等）や、匿名加工の技術的ステップについて、より具体的なアプローチ方法を示した内容となっている。

Subsequently, the first draft of "De-Identifying Government Datasets" (NIST SP800-188) was issued in August 2016, and the second draft was issued in December 2016. As expressed in the title, this document provides guidelines for de-identification of personal data held by the Federal Government. Based on the NIST Report, this document provides more specific approaches to the governance and management of de-identification (determination of goals, estimation of risks, education, etc.) and technical steps for de-identification.

## I I-1-3 HIPAA ガイドライン（2012 年 11 月）

## I I-1-3 HIPAA Guidelines (November 2012)

このガイドラインは、HIPAA法の適用対象である事業者（ヘルスケアプロバイダ、ヘルスケア情報センター、医療保険関係者等）を対象に、HIPAAプライバシールールに規定される医療情報の匿名加工（De-identification）基準を満たすための方法に関して、Q&A形式で説明するものである。

For entities covered by the HIPAA (health care providers, health care clearinghouses, health plans) these Guidelines explain how they can fulfill the de-identification requirements for health information, which are prescribed the HIPAA Privacy Rules, in the form of Q&A.

HIPAAプライバシールールにおいては、匿名加工することにより法規制の対象外となることが明確に規定されており、その匿名加工の基準として次の二つを挙げている。

The HIPAA Privacy Rules clearly provides that de-identified data becomes outside of the scope of legal regulation. The following two items are listed as standards for de-identification.

## (1) 専門家による判定（Expert Determination）
## (1) Expert determination

匿名加工のための統計的かつ科学的な方法に関する知識がある人物が再識別のリスクがとても低いとの判断を下した書面を提出すること

A person with knowledge of statistical and scientific principles and methods for rendering information not individually identifiable submits a document to the effect that he/she determined that the re-identification risk is very small.

## (2) セーフハーバー (Safe Harbor)

## (2) Safe harbor

氏名や地理的区分、電話番号等、18の識別子を削除すること及び対象事業者は本人を識別するための実知識を持たないこと

18 identifiers, including names, geographic subdivisions, and telephone numbers are removed and the covered entity does not have actual knowledge to identify an individual.

HIPAAガイドラインは3部構成となっており、最初にHIPAAプライバシールールにおける匿名加工に関する規定の解説があった後、匿名加工の基準（専門家による判定及びセーフハーバー）ごとにQ&Aをそれぞれ記載している。特に、専門家による判定に関するQ&Aでは、専門家による識別リスク評価の方法やアプローチ方法等が例示を交えながら解説されている。また、セーフハーバーに関するQ&Aでは、削除しなければならない情報や許容される情報がどのような情報か等、細かく解説されている。

The HIPAA Guidelines consist of three parts. Following explanation on provisions of the HIPAA Privacy Rules related to de-identification, Q&A are given for individual de-identification criteria (expert determination and safe harbor). Q&A concerning expert determination is explained with illustrations of identification risk estimation methods and approaches used by experts. Q&A on safe harbor provides explanation on detailed matters, such as information that needs to be removed and information that is allowed to be maintained.

## I I-2 欧州における動向

## I I-2 Trends in Europe

欧州データ保護指令の前文(26)では、データ主体がもはや識別できないように匿名加工されたデータについては法規制の対象外であることが明記されており、2018年施行予定の一般データ保護規則（GDPR $ ^{51} $ ）においても、同様の記載がされている。

Section (26) of the preamble of EU Data Protection Directive clearly states that the regulation does not apply to data rendered anonymous in such a way that the data is no longer identifiable. Statements to the same effect are also seen in the GDPR $ ^{52} $ that is scheduled to enter into force in 2018.

個人データの匿名加工に関しては、第29条作業部会 $ ^{52} $ によるオピニオン“Opinion 05/2014 on Anonymisation
Techniques” $ ^{53} $ と、英国の情報コミッションナー事務局(ICO $ ^{54} $ )によるレポート“Anonymisation : managing data protection risk code of practice” $ ^{53} $ がある。

Documents related to the anonymization of personal data include an opinion by the Article 29 Data Protection Working Party $ {}^{54} $ titled "Opinion 05/2014 on Anonymisation Techniques" $ {}^{55} $ and a report by ICO titled "Anonymisation: managing data protection risk code of practice." $ {}^{56} $

## I I-2-1 第 29 条作業部会によるオピニオン（2014 年 4 月）

## I I-2-1 Opinion by the Article 29 Data Protection Working Party (April 2014)

このオピニオンでは、個人を識別できるかの判断は、識別に用いられるあらゆる合理的な手段を考慮して行われるとされている。技術が進歩することを踏まえて、あらゆる状況で識別ができないことまでを求めるものではなく、識別にかかる労力やコスト等から合理的な匿名化レベルが求められることになる。

This Opinion states that whether an individual can be identified is to be determined, taking into account all the means likely reasonably to be used. In light of the fact that technologies are constantly evolving, the Opinion does not require information to be non-identifiable in any setting. Instead, it required companies to anonymize information to a reasonable level based on a good balance between anonymization effort and costs.

また、既存の匿名加工手法について、その効果や限界を分析するものであり、各手法について、(i) ある個人をシングル・アウト可能か、(ii) ある個人に関するレコードと連結可能か、(iii) 情報がある個人に関係していると推定可能か、という3つの観点からロバスト性について述べているものである。

This Opinion also analyzes the effects and limitations of existing anonymization methods. Each method is evaluated from the viewpoint of robustness based on the following three criteria: [i] is it still possible to single out an individual, [ii] is it still possible to link records relating to an individual, and [iii] can information be inferred concerning an individual?

各手法の評価は、次のようになっている（リスクの有無を評価するものであり、匿名性を担保できるかを測るものではない）。

Each method was evaluated as follows (this evaluation estimates the existence of risks and does not analyze whether anonymity is secured).
図表II—1 匿名加工手法における長所と短所

Figure II-1 Advantages and disadvantages of anonymization methods

加工手法	シングルアウト・リスク	連結リスク	推定リスク
Processing method	Single out risk	Linkage risk	Inference risk
仮名化	あり	あり	あり
Pseudonymisation	Yes	Yes	Yes
ノイズ付加	あり	低い	低い
Noise addition	Yes	Low risk	Low risk
置換え（スワップ）	あり	あり	低い
Permutation (swapping)	Yes	Yes	Low risk
集約化/k-匿名化	なし	あり	あり
Aggregation/k-anonymity	No	Yes	Yes
l-多様化	なし	あり	低い
l-diversity	No	Yes	Low risk
差分プライバシー	低い	低い	低い
Differential privacy	Low risk	Low risk	Low risk
ハッシュ化/トークン化	あり	あり	低い
Hashing/t-closeness	Yes	Yes	Low risk

オピニオンでは、「匿名加工手法にはそれぞれ長所・短所が存在し、あらゆるデータセットに適用可能な最低限のパラメータを推奨することは不可能であり、ケース・バイ・ケースで考えるべき」と結論付けた上で、次のようなプラクティスを一般論として推奨するとともに、文脈的要素要素（contextual elements）及び技術要素（technical elements）についても、言及している。

The Opinion concludes as follows: "each [anonymization] technique has its advantages and disadvantages. In most cases it is not possible to give minimum recommendations for parameters to use as each dataset needs to be considered on a case-by-case basis." It recommends the following practices as general ideas, while also referring to contextual elements and technical elements.

・ データ管理者（data controller）は、“リリース・アンド・フォーゲット”アプローチに頼らず、定期的に新しいリスクの特定や残存リスクの見直しや、認識しているリスクのコントロールが十分であるかを評価して必要に応じて調整する、等を行う必要があること
・ 残存リスクの一部として、データセットの加工処理されていない部分の識別可能性を考慮すること。

• As part of such residual risks, data controllers should take into account the identification potential of the non-anonymized portion of a dataset.

## I I-2-2 英国 ICO レポート（2012 年 11 月）

#### I I-2-2 U.K. ICO Report (November 2012)

このレポートは、英国における個人データの匿名加工のための実務指針として、個人データを匿名加工する意義やアドバンテージ、再識別リスク評価、ガバナンス等について述べているものである。事務局によるレポートという点は、FTCレポートや本レポートと同様の位置付けである。レポートにおいて、次のような匿名加工の検討フローも示されている。

As practical guidelines for anonymization of personal data in the United Kingdom, this report explains the meaning and advantages of anonymization, estimation of re-identification risk, governance, etc. This report is in the same position as the FTC Report and this Report in that they are all published by the secretariat. The ICO Report also shows the anonymization process as follows.
図表II-2 匿名データをいつどのように公表するかの検討フロー

Figure II-2 Deciding when and how to release anonymized data

また、レポートの付録として、匿名加工のケーススタディと匿名加工手法についての解説が用意されている。
In addition, Annexes contain case study on anonymization and explanation of anonymization methods.

## I I-3 その他の動向

## I I-3 Trends in Other Regions

II-3-1 オーストラリア

## I I-3-1 Australia

オーストラリアにおいては、2012年改正のプライバシー法により、民間部門と公的分問に共通して適用されるオーストラリアプライバシー原則（APP $ ^{56} $ ）というものがあり、その原則の一つとして「匿名性と仮名性（anonymity and pseudonymity）」（APP2）がある。

In Australia, the Privacy Amendment (Enhancing Privacy Protection) Act 2012 provides APP $ ^{57} $ that commonly apply to the private sector and public sector. One of these principles is "anonymity and pseudonymity" (APP2).

このAPP2においては、「本人は、APP適用対象の組織に対して、識別しないよう、或いは、仮名化するよう求めることができる」とされ、個人が事業者等に要求することのできるオプションとして規定がされている。ただし、例外として匿名加工や仮名化が実用的でない場合等については、当該オプションを提供する必要がないことも認められている。

APP2 provides that "individuals must have the option of not identifying themselves, or of using a pseudonym, when dealing with an APP entity in relation to a particular matter." Anonymization is provided as an option that individuals can request to business operators. However, it is also provided that said option is not required to be provided if anonymization or pseudonymization is impracticable.

また、2014年4月には、オーストラリア情報コミッションナー事務局により、“Privacy business resource 4: De-identification of data and information”というレポートが公表されている。

In addition, the Office of the Australian Information Commissioner published a report titled "Privacy business resource 4: De-identification of data and information" in April 2014.

このレポートにおいては、「情報が、もはや個人を識別できる、あるいは合理的に識別できる状態でない」場合に、「匿名化（de-identification）された」としており、その判断基準としては、コスト、困難さ、実用性、再識別の見込みが挙げられている。なお、匿名加工の手法としては、次の2つのステップが記載されている。

The report states that "personal information is 'de-identified' if the information is no longer about an identifiable individual or an individual who is reasonably identifiable." It also states that whether information has been effectively de-identified can be determined based on the cost, difficulty, practicality and likelihood of re-identification. The following two steps are listed as an anonymization method:

① 氏名、住所、生年月日等の個人識別子（personal identifier）を削除すること
[i] removing personal identifiers, such as an individual’s name, address, date of birth or other identifying information, and

② 珍しい特徴やユニークな特徴の組合せにより特定の個人の識別にはつながり得る情報については、削除若しくは置換すること

[ii] removing or altering other information that may allow an individual to be identified, for example, because of a rare characteristic of the individual, or a combination of unique or remarkable characteristics that enable identification.

## I I-3-2 韓国

## I I-3-2 South Korea

韓国では、情報技術の発展に伴うデータの利用の重要性から、2016年6月に、6機関 $ ^{57} $ の合同で個人データの匿名加工（de-identification）に関するガイドライン $ ^{58} $ を公表している。

In South Korea, six agencies $ ^{58} $ jointly published guidelines $ ^{59} $ on de-identification in June 2016, in light of the importance of data utilization in line with the development of information technologies.

このガイドラインにおいては、匿名加工について、①事前レビュー、②匿名加工処理、③加工の十分性の評価、④再識別防止のためのフォローアップ・マネジメントの4つのフェーズで解説している。

In these Guidelines, de-identification is explained in four phases, namely [i] ex ante review, [ii] de-identification, [iii] evaluation of the adequacy of processing, and [iv] follow-up management for preventing re-identification.

匿名加工の対象となる属性情報としては、個人の特性（性別、年齢、住所、宗教、趣味嗜好等）、身体的特徴（血液型、体重、目の色、診療記録等）、信用情報（納税、信用格付け、収入レベル等）、経歴情報（学校名、専攻、職務経歴、勤務先等）、電子媒体に関する情報（クッキー、ログイン日時、アクセスログ、GPSデータ等）、家族情報（配偶者や子供等に関する情報、法廷代理人等）等が例示されている。

Attribute information subject to de-identification include attribute of an individual (sex, age, address, religion, taste, etc.), physical characteristics (blood type, weight, eye color, medical records, etc.), credit information (tax payment, credit rating, income level, etc.), background information (name of school, major, work experience, place of work, etc.), information relating to electronic media (cookie, log-in time and date, access log, GPS data, etc.), and family information (information concerning spouse and children, legal representative, etc.)

また、加工の十分性の評価については、外部の専門家によってk-匿名性や $ \ell $ -多様性等の評価手法を用いた評価が行われることとされている。