Silviase/jgov_v1.4_full_ann huggingface dataset:
As explained in the "Guidelines on the Act on the Protection of Personal Information" and Q&A on "Response to an Incident of Personal Data Leakage, etc." (February 16, 2017), said item does not apply to entire personal information databases that exist at a business operator; instead, it requires consideration of additional measures for a personal information database, etc. comprised of personal information from which anonymously processed information comprising anonymously processed information database, etc. derives from.

constituting the personal information database etc. that encompass the said personal information" and to take additional measures when further processing is found to be necessary as a result of such consideration.

なお、ここで対象となる個人情報データベース等については、「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ&A（平成29年2月16日）」でも説明があるとおり、事業者内にある個人情報データベース全部を対象とするものではなく、匿名加工情報データベース等を構成する匿名加工情報の作成の元となる個人情報で構成される個人情報データベース等の単位で検討することを求めるものである。

## Q11-9

## Q11-9

施行規則第19条第5号において、「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し」とありますが、ここでの「当該個人情報を含む個人情報データベース等」については、事業者が保有する個人情報データベース等全体を勘案する必要がありますか。

Article 19, item (v) of the Enforcement Rules states "considering the attribute etc. of personal information database etc. such as a difference between descriptions etc. contained in personal information and descriptions etc. contained in other personal information constituting the personal information database etc. that encompass the said personal information." Is it necessary to take into account entire personal information databases, etc. held by a business operator when considering a "personal information database etc. that encompass the said personal information" as referred to in this item?

## A11-9

## A11-9

ここでの「当該個人情報を含む個人情報データベース等」とは、当該個人情報取扱事業者が匿名加工情報を作成する際に加工対象とする個人情報データベース等を想定しています。すなわち、匿名加工情報を作成する個人情報取扱事業者が保有する、加工とは無関係の個人情報を含むすべての個人情報データベース等の性質を勘案することを求めるものではありません。

Here, "personal information database etc. that encompass the said personal information" refers to a personal
information database, etc. that is to be processed by the personal information handling business operator when producing anonymously processed information. In other words, this item does not require the personal information handling business operator that produces anonymously processed information to consider the attribute of all personal information databases, etc. that contain personal information that has nothing to do with said processing.

##### 4.1.5.1 「個人情報に含まれる記述等と～他の個人情報に含まれる記述等との差異」

####### 4.1.5.1 "A Difference between Descriptions etc. Contained in Personal Information and Descriptions etc. Contained in Other Personal Information"

「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異」とは、加工対象である個人情報からなるデータベース内のある個人情報に含まれる記述と、当該データベースに含まれる他の個人情報に含まれる記述の間の差異をいう。また、これを勘案するとは、加工対象の個人情報からなる個人情報データベース等において値や記述等が相対的に特異であることによって特定の個人の識別につながり得るかを検討することを意味する。

"A difference between descriptions etc. contained in personal information and descriptions etc. contained in other personal information constituting the personal information database etc. that encompass the said personal information" means a difference between descriptions contained in personal information in a database comprised of personal information that is to be processed and descriptions contained in other personal information in said database. To "consider" such difference means to examine whether such relative uniqueness of a value or description, etc. in a personal information database, etc. comprised of personal information that is to be processed may lead to the identification of a specific individual.

例えば、都心部在住の人を対象としたデータベースと地方在住の人を対象としたデータベースでは、そのデータベースに含まれる人の年齢分布や職業分布等の構成が異なることが想定される。このように、日本全国を対象とする集団の分布とは異なるデータベースでは、そのデータベース内における値や記述の特異性によって、特定の個人を識別しやすい状況が生じることが想定される。

For example, a database regarding residents in urban areas and a database regarding residents in rural areas may be different from one another in terms of the structure of age distribution, job distributions, etc. of people contained therein. As such, a situation wherein a specific individual may be readily identified may occur for a database in which the distribution of a group is different from a database that covers the entire nation, due to the idiosyncrasy of values or descriptions contained in such database.

##### 4.1.5.2 「その他の～適切な措置」が求められる場合

##### 4.1.5.2 When Other "Appropriate Actions" Are Required

例えば、詳細な位置情報（移動履歴）を扱うデータベースや、長期間の購買情報を扱うデータベースは、そこに蓄積される情報から、反復して行われる行動習慣や趣味・嗜好を読み取ることが可能である。そのような履歴情報から読み取れる行動習慣等ついては、一般的には特定の個人を識別することは困難であ
ると思われるが、特に顕著な行動習慣等については特定の個人の識別につながることもあり得る $ ^{26} $ 。

For example, if a database contains detailed location information (transportation history) or long-term purchase history data, it may be possible to estimate repeated behavioral habits or interests/tastes from accumulated information. Although it is generally difficult to identify a specific individual based on behavioral habits, etc. that can be estimated from such history information, behavioral habits, etc. that are particularly noticeable may lead to the identification of a specific individual. $ ^{26} $

施行規則第19条第5号は、このような個人情報データベースに含まれる情報の性質に起因して生じる特定の個人の識別可能性を低減することを求めるものである。

Article 19, item (v) of the Enforcement Rules requires that the identifiability of a specific individual that derives from the attribute of information contained in a personal information as stated above be reduced.

## 【不変性の高いID、多数の事業者で取得されるサービスID等】

### [Highly constant IDs, service IDs acquired by many business operators, etc.]

不変性の高いIDとして同条第5号で検討するものは、個人に密接に関係しかつ当該個人が容易に変更することができない外部から観察可能な符号のうち(a)個人識別符号及び(b)それ以外の単体で個人情報になるものを除いたものをいう $ ^{27} $ 。具体的には、スマートフォンのように個人がある程度の期間使用しかつ日常的に携行する機器のID等がこれに当たる。

Highly constant IDs that are to be considered in relation to item (v) of said Article are externally observable codes closely relating to an individual that cannot be readily changed by said individual, other than [a] individual identification codes and [b] other information, which can alone constitute personal information. $ ^{27} $ Specifically, an ID for a device that is carried around in everyday life and used by an individual for a certain period, such as a smartphone, would fall under this category.

不変性の高いIDは、それをキーとする名寄せが可能であり、再識別につながる可能性のある情報と考えることができることから、原則としてこれを削除することが望ましい。

A highly constant ID should be deleted in principle, since it can be used as a key for identification and thus is considered as information that can lead to re-identification.
## 【時刻に関する情報について】

## [Regarding Time information]

購買履歴やクレジットカードの利用履歴、移動履歴等の情報は、基本的に詳細な時刻情報とともにデータベースに記録されるのが一般的である。

History information, such as purchase history, credit card transaction data, and transportation history, are typically recorded on a database along with detailed time information.

例えば、店舗情報を含む購買履歴に関するデータベースからは、ある日時に買い物をした店舗を特定することができる。一方、移動履歴に関するデータベースからも、ある日時に滞在した場所に関する位置情報を確認することができる。この両者のデータベースを照合した場合、店舗の場所からおおよその緯度・経度（位置情報）を推定することが可能であるため、両者のデータベースが日時分秒まで記録されている場合には、両方のデータベースに含まれる同一人物の同定を比較的容易に行うことができる可能性がある。つまり、詳細な時刻情報は、位置や場所を表す情報とセットになることで、異なるデータセット間における共通の識別子として機能し得る。

For example, a database concerning purchase history that includes store information allows for the identification of a store at which an individual made a purchase at a certain time and date. Meanwhile, a database concerning transportation history also allows for the determination of location information concerning a spot at which an individual visited at a certain time and date. When said two databases are collated with each other, it becomes possible to estimate approximate latitude and longitude (location information) based on the location of said store. If said two databases have recorded the hour, minute and second, it may be relatively easy to identify an identical individual who is contained in both databases. In other words, detailed time information can function as a common identifier for different datasets, when it is used along with information indicating a location or place.

したがって、詳細な時刻情報を含むデータベースを匿名加工情報として第三者提供をする場合には、時刻情報の必要性について確認した上で、データの性質に応じて、時刻と位置（場所）の情報の紐づけから特定の個人を識別するリスク等を低減するため、時刻情報を一定程度曖昧化したり、ノイズを加えて任意の日時や時刻に置き換えたりすることを検討する等、他のデータセットに含まれる時刻情報と紐づくリスクを低減することが望ましい。

Therefore, when providing a database containing detailed time information to a third party as anonymously processed information, a provider business operator should examine if time information is needed and reduce the risks that a specific individual is identified through the linkage of time and location (place) information and linkage with time information contained in another dataset, by such means as obscuring time information to a certain extent and replacing time information with other arbitrary date and time by adding noise.

【位置情報（移動履歴）について】

[Location information (transportation history)]
一般的に、位置情報それ自体のみでは個人情報には該当しないものではあるが、ある個人に関する位置情報が連続的に蓄積されるとその人の移動履歴を表し得る。特に、深夜に滞在している地点や日中に滞在している地点を表す位置情報からは、その移動履歴に係る本人の自宅や勤務先等の個人に関する基本的な属性を推測することも可能である。蓄積された位置情報や移動履歴等から自宅住所及び勤務先等の特定の個人に密接に結びつき得る情報が推定されるおそれがある場合には、当該情報等を用いて特定の個人の識別が可能となるリスクを十分考慮した上で移動履歴について加工を行うことが望ましい。

Typically, location information itself does not fall under the category of personal information. However, if location information concerning a specific individual is continuously accumulated, it may present the transportation history of said individual. In particular, information on locations where said individual stayed at midnight and during the day may allow for the estimation of the basic personal attributes of the principal of said transportation history, such as locations of home, workplace, etc. If there is a risk that accumulated location information and transportation history, etc. can lead to the estimation of information that is closely related to a specific individual, such as the address of his/her home, workplace, etc., transportation history should be processed with due consideration to the risk that a specific individual may be identified using said information.

また、移動履歴は長くなるほど他人と重複する可能性が低く一意な情報となる $ ^{28} $ という特徴のほか、都市部と地方、昼間と夜間等、環境や状況に応じて同じ範囲から取得できる位置情報の数が変わる、といった特徴もあるため、位置情報や移動履歴の性質を考慮した上で、措置を講ずることが望ましい $ ^{29} $ 。

In addition, transportation history has a characteristic that the longer the distance becomes, the lower the chances that it coincides with others becomes and the more unique said transportation history becomes. $ ^{28} $ Another characteristic is that the volume of location information that can be obtained from the same scope varies according to the environment and situation, such as whether information is taken from an urban area or rural area, or during the day or night. Necessary actions should be taken after fully examining the attribute of location information and transportation history. $ ^{29} $

### 4.2 匿名加工情報を作成する際に検討することが望ましい事項

### 4.2 Matters That Should Be Considered When Producing Anonymously Processed Information

匿名加工情報は、一般人及び一般的な事業者の能力や手法等を基準として「特定の個人を識別することができないように」かつ「復元されないように」加工することを求められるものであるが、匿名加工情
報の作成に用いられる個人情報の性質のほか、匿名加工情報としての利用用途や再識別リスクの見積り方 $ ^{30} $ によって、加工レベルに一定の幅が生じるものと考えられる。

Anonymously processed information must be processed in a way that "a specific individual cannot be identified" and "personal information cannot be restored" based on the ability of and methods available to an ordinary person or business operator. The intensity of processing may vary within a certain range according to the purpose of anonymously processed information and methods for estimating re-identification risks. $ ^{30} $

したがって、匿名加工情報を作成する際の加工方針を決めるに当たっては、次のような事項について検討することが望ましい。

When deciding processing policies concerning the production of anonymously processed information, the following matters should be examined.

#### 4.2.1 匿名加工情報の利用形態について

#### 4.2.1 Use of Anonymously Processed Information

匿名加工情報への加工方針を検討する際、次に列挙するような匿名加工情報の利用目的・利用形態を予め検討することは、匿名加工情報の安全性と有用性を両立するために有用と考えられる。

When considering processing policies for anonymously processed information, it is useful to examine its purposes and uses, such as those listed below, in order to secure the safety and usability of such information at the same time.

(1) 匿名加工情報の利用目的は何か

## (1) What is the purpose of use of anonymously processed information?

匿名加工情報をどのような目的で利用するかによって必要とされる項目やその情報の粒度（精度）は異なり得る。利用目的に応じて不要な項目は削除し、必要な項目の情報粒度を細かくする等、全体として安全性と有用性の両立を図る加工方法を検討することが望ましい。

Necessary categories of information and granularity (accuracy) of said information may vary depending on the purpose of use of anonymously processed information. A provider business operator should seek a processing method that can ensure total safety and usability at the same time, such as deleting unnecessary categories and raising the information granularity of necessary information.

## （２）第三者提供時に、データの流通範囲が限定されているか、転々流通を許容するか

(2) Whether the scope of data distribution is to be restricted or secondary distribution by the receiver is allowed

例えば、契約により提供先からの二次流通を禁止する等して特定の事業者に限定して提供する場合、提供先における匿名加工情報の利用目的を把握することが比較的容易である一方、提供先からのデータの転々流通を許容する場合、二次流通先での用途や他の情報との突合可能性について把握することが困難
である。匿名加工情報が特定の会社だけに留まる場合と、制限なく流通する場合では、流通先における再識別リスクが異なることは、容易に想像できる。

For example, if data is provided exclusively to a certain business operator based on a contract containing a clause on the prohibition of secondary distribution by the receiver, it would be relatively easy to understand the purpose for which the receiver uses anonymously processed information. Meanwhile, if secondary data distribution by the receiver is allowed, it would be difficult to identify the purpose of use and risks of collation with other information by the secondary receiver. It is readily understood that re-identification risks are different between a case wherein anonymously processed information remains at a certain company, and a case wherein said information is distributed without any limitations.

## （３）提供するデータの期間

## (3) Period of data to be provided

1か月間のデータに含まれる履歴情報と1年間のデータに含まれる履歴情報とでは、そこから読み取れる履歴情報に係る本人の行動習慣には大きな差が生じ得る。その蓄積量によって特定個人の識別性や元の個人情報への復元性に影響するかどうかを検討することが望ましい。

Behavioral habits of a principal that can be estimated from history information contained in one-month data and those that can be estimated from one-year data can be significantly different. Business operators are advised to examine if the accumulation volume influences the identifiability of a specific individual and restorability of the original personal information.

また、一度に提供されるデータに含まれる履歴情報の期間が短くても、同一の事業者に対して継続的にデータが提供される場合、結果として、データに含まれるトータルの期間が長くなる。このような場合に再識別リスクを低減する方法の一つとして、定期的に仮IDを変更することも有効である。

Even if the period of history data contained in a dataset to be provided is short, the receiver may come to have long-term data in the future as a result of constant provision of such data to a certain business operator. To change temporary IDs regularly is one of the ways to reduce re-identification risks in such cases.

## （４）継続的に匿名加工情報を提供する場合

## (4) When anonymously processed information is to be constantly provided

複数回にわたって匿名加工情報を提供する際に、各回のデータセット間での同一人物の紐づけを抑制すべく、仮IDを付けずに提供したり、提供の度に仮IDを変更したりするような場合も想定される。この場合に、都度提供される匿名加工情報データベースにおけるレコードの並びが同じであったり、提供されるデータセットが対象としている期間に重複があったりすると、データセット間の紐づけが容易となってしまう。したがって、複数回にわたって提供する匿名加工情報データベース間でレコードが紐づけられることを抑制したい場合は、レコードの並びを変更したり、データセットが対象としているデータに重複期間が生じないように加工したりすることが必要である。
When providing multiple sets of anonymously processed information, a business operator may provide such information without assigning any temporary ID or with a new temporary ID for each provision, in order to prevent linkage of data concerning an identical person among the datasets. In such case, linking of datasets would become easier if records contained in an anonymously processed information database are always listed in the same order or if the period of databases overlaps with one another. Therefore, it is necessary to change the order of records of process data so that the periods of data contained in the dataset do not overlap, if a business operator wants to reduce the risk of linkage of records among anonymously processed information databases that are provided over multiple times.

また、過去に匿名加工情報を提供したことのある事業者に対して、異なる情報の項目からなる匿名加工情報を作成して提供しようとするときは、過去に提供した匿名加工情報と照合されることによって元の個人情報が復元されないよう、同じ仮IDを使用しないようにする等の注意が必要である。過去に提供した匿名加工情報と異なる情報の項目からなる匿名加工情報については、新たに作成時や第三者提供時の公表義務が発生する点には注意が必要である。

In addition, business operators need to take care not to use the same temporary IDs when providing anonymously processed information comprised of categories of information other than those provided before to the same receiver business operator, so that the original personal information cannot be restored by collating newly provided information with the information provided in the past. Note that the disclosure obligation applies when producing or providing a third party new anonymously processed information comprised of information that falls under the categories other than those comprising an anonymously processed information that was provided in the past.

#### 4.2.2 他の情報を参照することによる識別の可能性について

#### 4.2.2 Identifiability through Reference to Other Information

匿名加工情報は「特定の個人を識別することができないように」加工することが求められるが、匿名加工情報の制度は、その流通過程における安全性を確保しつつパーソナルデータの利活用を図る制度であるため、一般的に入手し得る他の様々な情報と参照することによる識別の可能性を検討することが望ましい。

Anonymously processed information must be processed in a way that "a specific individual cannot be identified." However, as the purpose of the anonymously processed information system is to promote personal data utilization while ensuring the safety of its distribution process, business operators should examine if there is a risk of identifiability through reference to other various information that is generally available.

この検討に当たっては、3.2の説明のとおり、一般人や一般的な事業者の通常の能力や取り得る手法等を基準となるが、例えば、「入手し得る情報の種類」と「情報のマッチングのしやすさ」の観点から考えることができる。

This issue is to be examined based on the ability of and methods, etc. available to ordinary people and ordinary
business operators, as explained in Section 3.2. For example, such examination can be carried out from the perspectives of the "type of accessible information" and "ease of information matching."

入手し得る情報の種類としては、次のようなものを想定することができる。

Possible types of accessible information are as follows.

① 一般に広く公開、市販されている情報（例：電話帳）

[i] Information that is publicly disclosed or sold (e.g. telephone book)

② 多数の事業者がユーザー登録等により取得している情報（例：電子メールアドレス、電話番号等）

[ii] Information that has been acquired by many business operators through user registration, etc. (e.g. email address, telephone number, etc.)

③関係の近い者のみが知り得る情報（例：SNSに掲載された情報のうち公開制限があるもの等）

[iii] Information that is only accessible for closely related people (e.g. information posted on SNS that is only disclosed to limited people, etc.)

一方、情報のマッチングのしやすさについては、次のような観点から分類することができる。On the other hand, ease of information matching can be categorized from such viewpoints as follows.

(i) 情報の項目とそれに対応する記述等が整理されており、機械的なマッチングがしやすい場合

[i] When categories of information and corresponding descriptions, etc. are organized and can be readily matched mechanically

(ii) 情報の項目とそれに対応する記述等が非定型であり、マッチングに複雑なアルゴリズムや機械学習等が必要な場合

[ii] When categories of information and corresponding descriptions, etc. are atypical and a complicated algorithm or machine learning is required to match information

入手し得る情報の種類のうち、①や②については入手が容易と考えられる一方、③については、一部の関係者のみが知り得る情報であり、一般人や一般的事業者を基準として入手容易とは言い難いと考えられる。

Among the categories of accessible information stated above, [i] and [ii] are considered to be readily accessed, while [iii] is found to be not so easy to access for ordinary people and ordinary business operators, as information falling under [iii] is only accessible for selected related people.

後者のマッチングしやすさについては、匿名加工情報の要件に係る判断基準からは(i)が対象であると考えられるが、その作成時点での技術水準が考慮されるべきであり、汎用的に使用できる機械学習ツール等が広く利用されるようになった場合には、それについても将来的に(i)に含み得る。

Regarding the ease of information matching, only $ [i] $ would be an issue in terms of the criteria concerning the requirements of anonymously processed information. Since ease of information matching needs to be examined taking into account the technology standards as of the time of production of anonymously processed information. If
a machine learning tool, etc. becomes generally available in the future, it will be also included in the category of [i].

他の情報を参照することによる識別の可能性については、これらの組合せから総合的に判断することができるが、識別の可能性が高いと判断される場合には、匿名加工情報としての要件を満たすために、それぞれ対象となる情報の項目について、加工の程度を変更するほか、対象となるデータセットで情報の一意性を無くす等の措置を行うことが考えられる。

Identifiability through reference to other information can be determined comprehensively based on the combination of the factors stated above. If it is determined that there is a high risk of identification, it should be addressed with such actions as changing the intensity of processing for information falling under relevant categories and eliminating uniqueness of information contained in relevant datasets, so as to fulfill the requirements of anonymously processed information.

## 【他の情報を参照することによって再識別につながった事例】

## [Case in which reference to other information resulted in re-identification]

次に示すケースは、一般に公開されたデータセット同士を突合したものであり、識別行為の禁止が前提となっている匿名加工情報の場合にそのまま当てはめて考えるべきものではないが、他の情報を参照することによって再識別された典型的なケースとして、加工レベルを検討する際の参考となるものである。

The following case does not directly apply to anonymously processed information, for which the act of identification is fundamentally prohibited, as in this case two publicly disclosed databases were collated with one another. However, the following is a typical case of re-identification through reference to other information and it can be used as a reference when determining the processing level.

## （例）性別と生年月日と郵便番号（居住エリア）の組合せによって再識別につながった事例

(e.g.) Case of re-identification based on the combination of gender, date of birth and postal code (residence area)

マサチューセッツ州は医療データから氏名等を削除したデータセットを公開しており、そのデータセットには、性別、生年月日、郵便番号が含まれていた。

Massachusetts had disclosed a medical dataset with name, etc. deleted. This dataset contained gender, date of birth, and postal code.

これに対し、既に公開されている投票者名簿とマッチングしたところ、州知事と同じ生年月日のレコードが6人おり、うち3人が男性で、郵便番号から1人に特定された。 $ ^{31} $

When the dataset is matched with a roster of voters that had already been disclosed, there were six records with the same date of birth as the governor's. Among these records, three records were concerning men, from which one record was identified based on the postal code. $ ^{31} $
図表4-2 性别、生年月日、郵便番号により個人が特定された事例

Figure 4-2 Case in which a specific individual was identified based on gender, date of birth, and postal code

日本の事情に関して考えると、全国の郵便番号の総数は約12万個であり、20代の人の取り得る生年月日のパターンは、約3650通りとなる。ここに、性別の情報（男/女）が組み合わさると、同じ郵便番号×同じ生年月日×同じ性別を取り得る確率がいかに少ないかをイメージすることができる。

Looking at the situation of Japan, there are approximately 120,000 postal codes in the country and approximately 3,650 patterns of date of birth for people in their 20s. If information on gender (male/female) is added to these, it can be easily imagined that the probability of having the same postal code, the same date of birth, and the same gender is extremely low.

なお、情報が一意であることをもって直ちに匿名加工情報の要件を満たさないものではない。

Note that information is not deemed as not fulfilling the requirements of anonymously processed information just because the information is unique.
### 4.3 匿名加工情報の作成のための参考情報

4.3 Reference Information for the Production of Anonymously Processed Information

4.3.1 匿名加工に用いられる代表的な加工手法

#### 4.3.1 Major Processing Methods That Can Be Used for Anonymization

個人情報の匿名加工に用いられる代表的な手法を、図表4-3に示す。なお、ここに示す各手法は、一般的な加工手法を例示したものであり、その他の手法を用いて適切に加工することを妨げるものではない。

Figure 4-3 shows major processing methods that can be used for the anonymization of personal information. Methods shown in this figure are examples of common processing methods and are not intended to preclude proper processing using other methods.