２０１５年９月に成立した個人情報保護法の改正法において、「匿名加工情報」に関する規制が設けられました。

個人情報を加工して特定の個人を識別することができないようにした上、その個人情報を復元できないようにすれば、「匿名加工情報」として、比較的自由にビジネスに利活用することができます。

もっとも、「匿名加工情報」は、「個人情報」とは異なる規制に服するため、注意が必要です。

◆問題となる３つの場面―作成・取扱い・第三者提供

⑴　作成にあたって

検索エンジンの検索履歴、ウェブサイトの閲覧履歴、ショッピングサイトの購買履歴、携帯端末の位置情報、交通機関の乗降履歴などのパーソナルデータは、効果的なマーケティングの実施や適切なサービスの提供のために有用です。

このような情報は、単体では「個人情報」にあたりませんが、多くの場合、氏名などの個人識別性のある情報と結びついているため、「個人情報」として取り扱われます。

そうすると、利用目的による制限に服するほか（法１６条１項）、第三者提供時には原則として本人による事前の同意が必要となります（法２３条１項）。

もっとも、個人情報を加工して特定の個人を識別できないようにすれば、個人情報保護法の保護対象ではなくなるため、このような規制を受けません。

実際、このような加工・利活用は、現行法の下でも行われてきました。

しかし、適切な加工方法や程度が明らかではなく、消費者の不安や事業者の利活用への躊躇につながっていました。

改正法は、このような利活用を正面から認め、制度として整備したものです。

このように、加工のルールが改正のポイントであるため、個人情報取扱事業者は、個人情報保護委員会規則の定める加工基準に従った適正な加工をしなければならないこととされています（改正法３６条１項）。

実務的には、「どのような方法で、どの程度加工すればよいのか」が重要となりますが、加工の程度と情報の有用性がトレード・オフの関係にある以上（＝本人が識別されるリスクを低くしようとすればするほど、情報の利用価値が下がる）、完全な匿名化ということは考えられません。これに関しては、個人情報保護委員会の規則や認定個人情報保護団体による自主的なルールの策定が待たれます。

また、いったん適正な加工が施されたとしても、加工方法が判明すれば、元の個人情報を復元することが容易になってしまいます。そこで、匿名加工情報の作成者は、加工方法等に関する情報の漏洩を防止するための措置を講じる必要があります（改正法３６条２項）。

さらに、匿名加工情報の作成にあたっては、本人の関与する機会がないため、透明性の確保する観点から、作成した匿名加工情報に含まれる項目を公表しなければなりません（改正法３６条３項）。

⑵　取扱いにあたって

適正に加工された匿名加工情報であっても、特定の個人を識別する可能性や復元の可能性がまったくないわけではありません。そこで、作成の元となった個人情報から識別される個人を特定するために他の情報と照合すること（識別行為）は禁止されます（改正法３６条５項、３８条）。

また、匿名加工情報に関する苦情処理・安全管理措置を講じた上で、これを公表することも求められます（改正法３６条６項、３９条）。

⑶　第三者提供にあたって

第三者に対して匿名加工情報を提供する場合には、匿名加工情報に含まれる項目と提供方法をあらかじめ公表しなければなりません（改正法３６条４項、３７条）。

また、提供先の第三者に対しては、提供の対象となる情報が匿名加工情報であることを明示しなければなりません（改正法３６条４項、３７条）。これは、第三者において自分の受領する情報が匿名加工情報であることを認識することにより、これに関する義務の履行を担保するためです。

◆まとめ

匿名加工情報に関する義務をまとめると、次の表のとおりとなります。

今後定められる加工のルールについては、個人情報に関する本人の権利保護に配慮しつつ、事業者が匿名加工情報の利活用に萎縮したり、競争力がいたずらに削がれたりすることのない基準が期待されます。

本ブログ及びこれに関連する法律相談等については、下記ＵＲＬからお問い合わせください。
http://kondo-law.com/contact/