Share!

Share!

2017年5月30日に施行される改正個人情報保護法で、新たに設けられた制度が匿名加工情報です。簡単に言えば、特定の個人を識別できないように加工した情報をさらに個人情報の復元ができないようにした情報です。このように加工すると、本人の同意を得ずに第三者に提供可能になり、情報取得時の目的以外の業務にも利用できます。ビッグデータの利活用が注目されている中で、個人情報取扱事業者にとってはビジネスチャンスとなり得る新制度と言えるでしょう。

不完全な加工では識別される可能性あり

個人情報の識別が一切できないような完全なデータ加工や運用の徹底は容易ではありませんから、匿名加工情報取扱事業者は、リスクの把握が必要不可欠になります。

個人情報の加工には、氏名や生年月日、個人識別符号などの本人を特定されるような情報を削除したり意味のない文字列に置換したりする方法がありますが、外部データと突き合わせることで個人を特定することは不可能ではないのです。たとえば、「山田太郎・男性・海山町・90歳」というデータを「A・男性・海山町・90歳」に書き換えたとします。この時点で、個人情報から匿名加工情報になり個人の特定はできなくなったと考えられます。しかし、もしも「海山町に住む90歳以上の男性」がひとりだけだったとしたら、簡単に個人が特定されてしまうため、匿名加工情報としては不完全と言えます。また、個人情報の加工の手順や手法が分かれば、データの復元は難しいものではありません。

匿名加工情報の取り扱いは慎重に

このようなリスクがあることから、改正個人情報保護法では匿名加工情報取扱事業者に対して、情報の取り扱いについて再識別の禁止以外に、匿名加工情報作成、匿名加工情報の提供、安全管理措置について各ルールを規定しています。この中で大きなポイントは、匿名加工情報を作成する際に、個人情報保護委員会の基準にしたがって情報の取り扱いを公表する必要性がある点です。そして、どのような情報が匿名加工情報に含まれるのかも公表する必要性があります。これは、透明性の確保と公表される個人の権利利益の保護が目的になっています。また、情報の加工について外部に漏れないような対策が重要ですし、従業員の管理監督や情報を委託する際はその監督も安全管理措置として重要です。なお、改正個人情報保護法では、一定の除外ルールはあるものの、事業規模に関係なく、すべての事業者が「個人情報取扱事業者」になります。そして、匿名加工情報を取り扱うようになれば、「匿名加工情報取扱事業者」に区分され、これらのルールの遵守が重要になります。
このように、匿名加工情報はメリットの大きさに注目するだけでなく、リスクと向き合いながら慎重に取り扱い上手に活用することが求められます。