Silviase/jgov_v1.4_full_ann huggingface dataset:
メールアドレス＋秘密の文字列）といったように、鍵となる秘密の文字列を付加した上でハッシュ化をすること（いわゆる鍵付きハッシュ関数の利用）が望ましい $ ^{24} $ 。

However, the fact that the same data always creates the same hash values means that, if temporary IDs are created using the hashing method solely based on information that is held by many business operators, such as name, email address, and mobile phone number, it may be easy for a business operator that receives the processed data to estimate the original input information that was used for the creation of temporary IDs. Therefore, when creating temporary IDs with the hashing method, secret key codes should be added before applying a hash function (such as name + secret code or name + email address + secret code) (what is called a keyed hash function). $ ^{24} $

なお、ハッシュ関数のアルゴリズムについては、安全性が確立されたものを利用することが望ましいと考えられるところ、例えば、CRYPTRECにより公開されている電子政府推奨暗号リスト $ ^{25} $ において挙げられているハッシュ関数を利用することも安全性の観点から推奨される。

It is encouraged to use an algorithm whose safety has been proved for a hash function. For example, hash functions included in the e-Government Recommended Ciphers List $ ^{25} $ which is publicized by CRYPTOREC, are recommended from the security perspective.

#### 4.1.2 第2号（個人識別符号の削除）

#### 4.1.2 Item (ii) (Deletion of Individual Identification Codes)

## 施行規則第19条第2号

Article 19 (ii) of the Enforcement Rules

個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(ii) deleting all individual identification codes contained in personal information (including replacing such codes with other descriptions etc. using a method with no regularity that can restore the individual identification codes)

## ガイドライン 3-2-2 個人識別符号の削除

## Guidelines 3-2-2 Deletion of Individual Identification Codes

加工対象となる個人情報が、個人識別符号を含む情報であるときは、当該個人識別符号単体で特定の個人を識別できるため、当該個人識別符号の全部を削除又は他の記述等へ置き換えて、特定の個人を識別できないようにしなければならない。
If personal information to be processed includes any personal identification code, said personal identification code alone can identify a specific individual. Therefore, all personal identification codes must be deleted or replaced with other descriptions, etc. so as to prevent the identification of a specific individual.

なお、他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。

When replacing them with other descriptions, etc., it needs to be done with a method with no regularity that can restore the original descriptions, etc.

## (参考) 個人識別符号の概要

## (Reference) Overview of Individual Identification Codes

個人識別符号とは、その情報単体から特定の個人を識別することができるものとして個人情報の保護に関する法律施行令（平成15年政令第507号。以下「政令」という。）で定めるものをいい、次のいずれかに該当するものである。（個人識別符号の定義の詳細については、通則ガイドライン2-2（個人識別符号）参照）

An individual identification code means information that can identify a specific individual alone as provided under the Cabinet Order to Enforce the Act on the Protection of Personal Information (Cabinet Order No. 507 of 2003; hereinafter referred to as the "Cabinet Order"), which falls under any of the following items (see Guidelines on General Rules 2-2 (Individual Identification Code) for details on the definition of an individual identification code).

(1) 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号

(1) Codes produced by having converted any of the bodily features of a specific individual so as to be provided for use in computers

・ 生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋）をデジタルデータに変換したもののうち、特定の個人を識別するに足りるものとして規則で定める基準に適合するもの【政令第1条第1号、規則第2条】

• Biometric information (DNA, face, iris, voice print, physical appearance when walking, veins on hands or fingers, finger or palm print) converted into digital data, which conform to standards prescribed by the Rules as sufficient to identify a specific individual [Article 1, item (i) of the Cabinet Order, Article 2 of the Rules]

(2) 対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号

(2) Different codes assigned in regard to the use of services or purchase of goods, or to a document, for each relevant person

・ 旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証の番号等の公的機関が割り振る番号 【政令第2条～第7条、規則第3条、第4条】

• Numbers assigned by a public organization, such as passport number, basic pension number, driver's license
number, resident record code, individual number, and insurance number [Articles 2 to 7 of the Cabinet Order, Articles 3 and 4 of the Rules]

施行規則第19条第2号は、法第2条第9項第2号で規定される措置を定めるものである。

Article 19, item (ii) of the Enforcement Rules provides for measures set forth in Article 2, paragraph (2), item (ii) of the Act.

個人の身体の一部の特徴を電子計算機の用に供するため変換し特定個人を識別することができる法第2条第2項第1号で規定される個人識別符号及び旅券番号や運転免許証の番号、個人番号等、法第2条第2項第2号で規定される個人識別符号については、その符号自体が特定の個人に割り当てられるものであり、個人識別符号単体で特定の個人を識別し得る情報であるとの位置付けから、それらを全部削除することが求められる。なお、仮IDへの置き換えについては、4.1.1の考え方と同様である。

Individual identification codes provided in Article 2, paragraph (2), item (i) of the Act, which are able to identify a specific individual that are codes into which a partial bodily feature of the specific individual has been converted in order to be provided for use by computers, and individual identification codes provided in Article 2, paragraph (2), item (ii) of the Act, which include passport number, driver's license number, individual number, etc., are to be assigned to a specific individual and thus such codes alone constitute information that can identify a specific individual. Therefore, all of such individual identification codes shall be deleted. As for replacement with temporary IDs, the approach explained in 4.1.1 applies.

なお、法第2条第2項第1号で定める個人識別符号の「規則で定める基準」について、通則ガイドラインにおける個人識別符号の解説においては、「本人を認証することができるようにしたもの」（DNA）或いは「本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの」とされている。

The Guidelines on General Rules explain that individual identification codes that meet the "standards prescribed by the rules" as referred to in Article 2, paragraph (2), item (i) of the Act are "codes that are made capable of recognizing a principal" (DNA) or "codes that are made capable of recognizing an individual when used by a device or software aimed at recognizing an individual."

#### 4.1.3 第3号（情報を相互に連結する符号の削除）

#### 4.1.3 Item (iii) (Deletion of Codes Linking Mutually Plural Information)

施行規則第19条第3号

Article 19 (iii) of the Enforcement Rules

個人情報と当該個人情報に措置を講じて得られる情報を連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる
規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。)。

(iii) deleting those codes (limited to those codes linking mutually plural information being actually handled by a personal information handling business operator) which link personal information and information obtained by having taken measures against the personal information (including replacing the said codes with those other codes which cannot link the said personal information and information obtained by having taken measures against the said personal information using a method with no regularity that can restore the said codes)

## ガイドライン 3-2-3 情報を相互に連結する符号の削除

## Guidelines 3-2-3 Deletion of Codes Linking Mutually Plural Information

個人情報取扱事業者が個人情報を取り扱う上で、例えば、安全管理の観点から取得した個人情報を分散管理等しようとするために、当該個人情報を分割あるいは全部又は一部を複製等した上で、当該個人情報に措置を講じて得られる情報を個人情報と相互に連結するための符号としてID等を付していることがある。このようなIDは、個人情報と当該個人情報に措置を講じて得られる情報を連結するために用いられるものであり、特定の個人の識別又は元の個人情報の復元につながり得ることから、加工対象となる個人情報から削除又は他の符号への置き換えを行わなければならない。

For example, a personal information handling business operator may divide or reproduce a whole or part of personal information that it acquired, so that it can carry out distributed management of said personal information to ensure security. In such case, a personal information handling business operator may assign an ID, etc. as a code to mutually link said personal information and information obtained therefrom after applying a measure. Since such an ID is used for linking personal information and information obtained therefrom after applying a measure, and can lead to the restoration of the identification of a specific individual or restoration of the original information, it must be deleted from the personal information subject to the processing or replaced with another code.

## 【想定される加工の事例】

## [Possible Examples of Processing]

事例1）サービス会員の情報について、氏名等の基本的な情報と購買履歴を分散管理し、それらを管理用IDを付すことにより連結している場合、その管理用IDを削除する。

Example 1) If information on subscribers to a service is divided into basic information, such as name, and purchase history for the purpose of distributed management and if such distributed information is linked with one another with management IDs, such management IDs are deleted.

事例2）委託先へ個人情報の一部を提供する際に利用するために、管理用IDを付すことにより元の個人情報と提供用に作成した情報を連結している場合、当該管理用IDを仮ID（※2）に置き換える。

Example 2) When a part of personal information is provided to a contractor and the original personal
information and information created for the purpose of provision to said contractor are mutually linked by allotting management IDs, such management IDs are replaced with temporary IDs ( $ ^{*2} $ ).

（※1）「現に個人情報取扱事業者において取り扱う情報」とは、匿名加工情報を作成する時点において取り扱われている情報のことを指し、これから作成する匿名加工情報は含まれない。

(*1) "Information being actually handled by a personal information handling business operator" means information that is being handled at the time of producing anonymously processed information, and does not include anonymously processed information that is to be produced.

（※2）仮IDを付す際の注意点については、3-2-1（特定の個人を識別することができる記述等の削除）の（※）を参照のこと。

$ ^{*2} $ See $ (*) $ in Section 3-2-1 (Deletion of Descriptions, etc. Which Can Identify a Specific Individual) for things to be noted when assigning temporary IDs.

施行規則第19条第3号は、事業者内で、個人情報を分散管理したり、取扱いの委託等をしたりするために、分けたデータベース等を相互に連結するために割り当てられているID等を削除することを求めるものである。

Article 19, item (iii) of the Enforcement Rules requires the deletion of IDs, etc. that are assigned to mutually linked databases for the purpose of distributed management or outsourcing of the handling, etc. of personal information.

事業者においては、個人情報を取り扱う際の安全管理の一環や事業者間における個人情報の共同利用における管理の一形態として、図表4-1のように個人情報のデータベースを複数に分けて管理するような場合も想定される。

Business operators may divide personal information into multiple databases for the purpose of management, as shown in Figure 4-1, as part of security control measures to be taken when handling personal information or as part of management of personal information for joint use.
図表4-1 施行規則第19条第3号で削除を求める“符号”のイメージ

Figure 4-1 Concept of "codes" which are required to be deleted under Article 19, item (iii) of the Enforcement Rules

なお、ここでいう「連結する符号」とは、個人情報と当該個人情報に措置を講じて得られる情報とを相互に連結する符号であり、IDではなくても、実務上、他の属性情報等（例えば、電話番号や電子メールアドレス）を連結の目的で使用している場合には、当該属性情報も「連結する符号」とみなされる。

Here, "codes linking" means codes that mutually link personal information and information obtained therefrom after applying a measure. Even if they do not take the form of an ID, other information concerning attributes (such as telephone number and email address) that is used for the purpose of linking is deemed as "codes linking".

ただし、本号はあくまでも現に連結の目的で使用されている符号を対象としたものであり、それ以外の情報については、同条第3号による削除の対象とはされていない。

However, this item only applies to codes that are actually being used for the purpose linking. Other information is not subject to the deletion measure as provided in item (iii) of said Article.

なお、同条第3号による削除の対象とされている符号は、現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限られるため、匿名加工情報への加工により新たに作成された符号を対象とするものではない。
Since codes subject to the deletion measure as provided in item (iii) of said Article are limited to those mutually linking information that is actually being handled by a personal information handling business provider, said item does not apply to codes that are newly created through processing into anonymously processed information.

#### 4.1.4 第4号（特異な記述等の削除）

##### 4.1.4 Item (iv) (Deletion of idiosyncratic descriptions etc.)

施行規則第19条第4号

Article 19(iv) of the Enforcement Rules

特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。

(iv) deleting idiosyncratic descriptions etc. (including replacing such descriptions etc. with other descriptions etc. using a method with no regularity that can restore the idiosyncratic descriptions etc.)

## ガイドライン 3-2-4 特異な記述等の削除

## Guidelines 3-2-4 Deletion of Idiosyncratic Descriptions, etc

一般的にみて、珍しい事実に関する記述等又は他の個人と著しい差異が認められる記述等については、特定の個人の識別又は元の個人情報の復元につながるおそれがあるものである。そのため、匿名加工情報を作成するに当たっては、特異な記述等について削除又は他の記述等への置き換えを行わなければならない。

Descriptions, etc. concerning a fact that is generally considered to be rare or descriptions that are extraordinarily distinct from other individuals could lead to the identification of a specific individual or restoration of the original personal information. Therefore, idiosyncratic descriptions, etc. must be deleted or replaced with other descriptions, etc. when producing anonymously processed information.

ここでいう「特異な記述等」とは、特異であるがために特定の個人を識別できる記述等に至り得るものを指すものであり、他の個人と異なるものであっても特定の個人の識別にはつながり得ないものは該当しない。実際にどのような記述等が特異であるかどうかは、情報の性質等を勘案して、個別の事例ごとに客観的に判断する必要がある。

Here, "idiosyncratic descriptions, etc." mean descriptions that are so unique that they may constitute descriptions, etc. that can identify a specific individual. Descriptions, etc. that are different from other individuals but entail no risk of leading to the identification of a specific individual do not fall under the scope of this term. Whether a description, etc. is idiosyncratic or not needs to be determined objectively case by case, taking into account the attribute of information, etc.

他の記述等に置き換える場合は、元の記述等を復元できる規則性を有しない方法による必要がある。例えば、特異な記述等をより一般的な記述等に置き換える方法もあり得る。
When replacing idiosyncratic descriptions, etc. with other descriptions, etc., it has to be done by a method with no regularity that can restore the original descriptions, etc. For example, idiosyncratic descriptions, etc. can be replaced with more common descriptions, etc.

なお、規則第19条第4号の対象には、一般的なあらゆる場面において特異であると社会通念上認められる記述等が該当する。他方、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など個人情報データベース等の性質によるものは同第5号において必要な措置が求められることとなる。

Note that Article 19, item (iv) of the Rules applies to descriptions, etc. that are considered to be idiosyncratic in any general settings in general social terms. On the other hand, if identifiability is attributed to the attribute of a personal information database, etc., such as in the case where there is a significant difference between descriptions, etc. contained in personal information to be processed and descriptions, etc. contained in other personal information comprising the personal information database, etc. containing said original personal information to be processed, necessary measures as provided in item (v) of said Article need to be taken.

【想定される加工の事例】

[Possible Examples of Processing]

事例1）症例数の極めて少ない病歴を削除する。

Example 1) Deleting a medical history for which the number of cases is extremely small

事例2）年齢が「116歳」という情報を「90歳以上」に置き換える。

Example 2) Replacing the age of "116 years old" with "90 years old and above"

施行規則第19条第4号で削除が求められる「特異な記述等」とは、一般的なあらゆる場面において特異であると“社会通念上認められる”記述等が該当する。具体的には、ガイドラインで例示されている「超高年齢」や「症例数の極めて少ない病歴」の他、超高身長であることや超高収入であること等、主に個人に関する基本的な属性に係る記述等が考えられる。

"Idiosyncratic descriptions, etc." that are required to be deleted under Article 19, item (iv) of the Enforcement Rules refer to descriptions, etc. that are considered to be idiosyncratic in any general settings "in general social terms." Specifically, this includes "extremely old age" and "medical history for which the number of cases is extremely small" as shown in the examples in the Guidelines, as well as other descriptions, etc. concerning basic attributes of an individual, such as extremely tall height or extremely high salary.

「どのような情報のどこからが特異な記述や特異値になるか」ということについては、その情報の項目の性質や集団の大きさ、集団の分布の特徴等を考慮して判断されるべきものであるが、社会通念上特異であるものが対象になるため、特異であるものであっても、分布の調査結果が存在しないもの、存在したとしても一般人には知りえないものについては、本号の「特異」には該当しないものと考えられる。

なお、同条第4号は一般的に特異な記述等が対象となるため、加工対象となる個人情報からなるデータベ
一ス内において顕著な値である場合でも、それだけでは本号の「特異」には該当しない。加工対象のデータベース内において顕著な値については、同条第5号による措置の対象となり得るものである。

What kind of information constitutes idiosyncratic descriptions and from what level a value is considered to be idiosyncratic need to be determined with consideration to the attribute of the information category, size of the group, characteristics in the distribution of the group, etc. Since said item only applies to descriptions, etc. that are considered to be idiosyncratic in general social terms, descriptions, etc., which are peculiar, but for which no distribution survey results exist or for which distribution survey results exist but are not available to ordinary people, do not fall under the scope of "idiosyncrasy" as referred to in said item. Outstanding values contained in a database to be processed may be subject to measures provided in item (v) of said Article.

#### 4.1.5 第5号（個人情報データベース等の性質を踏まえたその他の措置）

###### 4.1.5 Item (v) (Other Measures Based on the Attribute, etc. of Personal Information Database, etc.) 施行規則第19条第5号

## Article 19(v) of the Enforcement Rules

前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

(v) besides action set forth in each preceding item, taking appropriate action based on the results from considering the attribute etc. of personal information database etc. such as a difference between descriptions etc. contained in personal information and descriptions etc. contained in other personal information constituting the personal information database etc. that encompass the said personal information

## ガイドライン 3-2-5 個人情報データベース等の性質を踏まえたその他の措置

### Guidelines 3-2-5 Other Measures Based on the Attribute, etc. of Personal Information Database, etc

匿名加工情報を作成する際には、規則第19条第1号から第4号までの措置をまず講ずることで、特定の個人を識別できず、かつ当該個人情報に復元できないものとする必要がある。

When producing anonymously processed information, it has to be ensured that it cannot identify a specific individual or restore the original personal information, by taking measures as provided in Article 19, items (i) to (iv) of the Rules.

しかしながら、加工対象となる個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等とで著しい差異がある場合など、加工の元となる個人情報データベース等の性質によっては、規則第19条第1号から第4号までの加工を施した情報であっても、一般的にみて、特定の個人を識別することが可能である状態あるいは元の個人情報を復元できる状態のままであるといえる場合もあり得る。そのような場合に対応するため、上記の措置のほかに必
要となる措置がないかどうか勘案し、必要に応じて、別表1（匿名加工情報の加工に係る手法例）の手法などにより、適切な措置を講じなければならない。

However, information that has undergone processing as provided in Article 19, items (i) to (iv) of the Rules may still be in a state that allows for the identification of a specific individual or restoration of the original personal information in general terms, due to the attribute of personal information database, etc. from which processed information derives, such as in the case where there is a significant difference between the descriptions, etc. contained in personal information to be processed and the descriptions, etc. contained in other personal information comprising the personal information database, etc. containing said original personal information to be processed. In order to address such a case, business operators shall examine if measures other than those stated above are needed and take proper measures as necessary by such means as those provided in Appended Table 1 (Examples of Methods Concerning Processing of Anonymously Processed Information).

なお、加工対象となる個人情報データベース等の性質によって加工の対象及び加工の程度は変わり得るため、どの情報をどの程度加工する必要があるかは、加工対象となる個人情報データベース等の性質も勘案して個別具体的に判断する必要がある。

Since the scope and intensity of processing may vary depending on the attribute of personal information database, etc. that is to be processed, business operators need to determine the scope of information that needs to be processed and the intensity of processing in detail, case by case, taking into account the attribute of personal information database, etc.

特に、購買履歴、位置に関する情報などを含む個人情報データベース等において反復して行われる行動に関する情報が含まれる場合には、これが蓄積されることにより、個人の行動習慣が分かるような場合があり得る。そのような情報のうち、その情報単体では特定の個人が識別できるとは言えないものであっても、蓄積されたこと等によって特定の個人の識別又は元の個人情報の復元につながるおそれがある部分については、適切な加工を行わなければならない。

In particular, regarding personal information databases, etc. containing information on purchase history and locations, etc., which includes information on repeated actions, it may become possible to determine the behavioral habitat of an individual, if such information has been accumulated. Proper processing must be conducted on the part of information that alone cannot identify a specific individual but may become able to identify a specific individual or restore the original personal information when accumulated, etc.

## 【想定される加工の事例】

## [Possible Examples of Processing]

事例1）移動履歴を含む個人情報データベース等を加工の対象とする場合において、自宅や職場などの所在が推定できる位置情報（経度・緯度情報）が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、推定につながり得る所定範囲の位置情報を削除する。
(項目削除／レコード削除／セル削除)

Example 1) When processing a personal information database, etc. containing transportation history data, which includes location information (latitude and longitude information) that can lead to the estimation of the location of the home or workplace and thus entails a risk that a specific individual may be identified or the original personal information may be restored, deleting location information of a certain scope that can lead to said estimation (deleting information by category/deleting records/deleting cells)

事例2）ある小売店の購買履歴を含む個人情報データベース等を加工の対象とする場合において、当該小売店での購入者が極めて限定されている商品の購買履歴が含まれており、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、具体的な商品情報（品番・色）を一般的な商品カテゴリーに置き換える。（一般化）

Example 2) When processing a personal information database, etc. containing purchase history data of a retail store, which includes purchase history data concerning a product whose consumers are extremely limited at said retail store and thus entails a risk that a specific individual may be identified or the original personal information may be restored, replacing specific product information (product number, color) with a more common product category (generalization)

事例3）小学校の身体検査の情報を含む個人情報データベース等を加工の対象とする場合において、ある児童の身長が170cmという他の児童と比べて差異が大きい情報があり、特定の個人の識別又は元の個人情報の復元につながるおそれがある場合に、身長が150cm以上の情報について「150cm以上」という情報に置き換える。（トップコーディング）

Example 3) When processing a personal information database, etc. containing information on physical examination at an elementary school, which includes information on a particularly tall student whose height is 170 cm and thus entails a risk that a specific individual may be identified or the original personal information may be restored, replacing information concerning students whose height is 150 cm or more with the information stating "150 cm or more" (top-coding)

施行規則第19条第5号は、同条第1号～第4号の加工を施してもなお、「特定の個人を識別することが可能である状態あるいは元の個人情報を復元できる状態である」場合に、追加で講ずるべき措置である。第5号は、「個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案」することが必須であり、その結果、更に加工が必要と判断した場合に、追加的に措置を講ずることになる。

Article 19, item (v) of the Enforcement rules provides for measures that need to be taken additionally, when information is still "in a state that allows for the identification of a specific individual or restoration of the original personal information" after applying processing measures as provided in items (i) to (iv) of said Article. Item (v) has the requirement to "consider the attribute etc. of personal information database etc. such as a difference between descriptions etc. contained in personal information and descriptions etc. contained in other personal information