6月5日に、個人情報保護法の改正法案が国会で可決され、成立しました。前回は、個人情報保護法で取り扱う情報類型が拡大し、「個人関連情報」という概念が設けられたこと、提供する側で個人情報に該当しない「個人関連情報」が、提供元で個人を特定できるときにおいて提供元・提供先に新たな義務が課されたことを解説しました。
今回は、もう一つの新概念、「仮名（かめい）加工情報」について、その導入の目的、利用方法、および利用上の留意点について解説したいと思います。

―　なぜ「仮名加工情報」という概念が設けられたのか

前回の個人情報保護法の改正（2017年5月施行）では、「匿名加工情報」という概念が新たに設けられました。これは、個人データから個人を特定する情報を削除する匿名加工により、個人情報に当たらないようにする。それにより、個人情報保護法における個人情報取扱事業者の義務の適用を排除し、当初の利用目的外での利用や第三者提供を可能とし、事業者間におけるデータ取引やデータ連携を含むパーソナルデータの利活用を促進するためでした。
「匿名加工情報」は、健康経営に関する研究・分析のために従業員の健康診断情報やストレスチェック情報を匿名加工して利用したり、銀行などでカードローン顧客のＷＥＢ行動分析を行うため、又はAIを利用した審査や与信目的で顧客の取引に関するデータを匿名加工して提供したり、提供を受けたりするなど、主にマーケティングに利用されています。
しかし、一方では、多くの企業において、「利用方法が分からない」、「分析するための人材がいない」など、「具体的な匿名加工情報の利活用モデルについて、必ずしも企業が把握できていない」（改正大綱）との指摘がありました。
　事業者の利用実態を見ると氏名の置き換えなどによる「仮名化された個人情報について、一定の安全性を確保しつつ、データとしての有用性を、加工前の個人情報と同等程度に保つことにより、匿名加工情報よりも詳細な分析を比較的簡便な加工方法で実施し得るものとして、利活用しようとするニーズが高まっている」こと、ＥＵでも、個人情報の若干緩やかな取扱いを認める「仮名化」が規定されていることなどを踏まえて、経済界からの要望もあり、匿名加工情報と個人情報の中間的な概念として、新しく「仮名加工情報」という概念が設けられたのです。これは、いわゆる統計情報＊とも異なります。仮名化された個人情報は、事業者内部でのみ用いられる前提であり、本人特定されずに利用されるため、個人の権利利益が侵害されるリスクが相当低いと考えられたからです。

　＊「統計情報」とは、「複数人の情報から、共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向、又は、性質などを数量的に把握するもの」（個人情報保護ガイドライン）です。統計情報は、個人情報にも、匿名加工データにも、仮名加工データにも該当しません。

―　「仮名加工情報」は「匿名加工情報」とどう違うのか

「仮名加工情報」は、個人情報から氏名など本人を特定する事項や個人識別記号を削除するなど、一定の措置を講じて、個人を識別できないように加工して得られる個人に関する情報をいいます。この点で、「匿名加工情報」と同じですが、より簡易な加工が認められる可能性があります。
「匿名加工情報」と大きく異なるのは「匿名加工情報」では、復元して個人を識別することが禁止されますが、「仮名加工情報」は、その情報自体から特定の個人を識別することができない状態にすればよく、他の情報と照合することで特定の個人を識別することができても問題ありません。なお、「仮名加工情報」は事業者の内部でのみ利用することが想定されており、第三者に提供できません。しかし、法令に基づく場合のほか、情報処理の委託やグループ企業との共同利用などは可能です。
また、「仮名加工情報」は、個人の開示・訂正等、利用停止等の請求に対応する必要がありませんから、事業者の内部において、様々な分析に活用できるようになります。なお、「仮名加工情報」の基となった個人情報は、同意を得れば、第三者提供できます。

―　仮名加工情報取扱事業者の義務

仮名加工情報取扱事業者は、仮名加工情報を作成したとき、又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときは、その削除情報等の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、削除情報等の安全管理のための措置を講じなければなりません。
　保有する加工情報データベースにつき、利用目的の公表は必要ですが、利用目的の柔軟な変更が認められ、利用目的の通知義務がなく、公表でよいことが認められています。
しかし、「仮名加工情報」を作成した事業者は、その作成に用いられた基データ（個人データ）をも保有していることが想定されます。基データはもちろん、仮名加工情報であっても、個人情報に該当することがありますので、個人情報取扱事業者としての義務を果たさねばなりません。

―　仮名加工情報を活用するにはどのような点に留意すればよいですか

仮名加工情報の場合、他の情報と照合することで特定の個人を識別することにつながる情報を残すことが想定されます。そうすると、通常は、個人情報としての規制が及ぶことになりますが、仮名加工をしていることを理由に仮名加工情報については一部の規制が緩和されています。例えば、仮名加工情報は、法15条2項の目的変更に関する規定が適用対象外となっているため、収集時の狭い利用目的にもかかわらず、仮名加工後の変更後の利用目的を公表することで変更後の範囲内で、収集済みの個人データを利用できます。
したがって、事業者は、収集した個人情報を「個人情報データベース等」として、収集時の利用目的の範囲内で、利活用する一方、仮名化した「仮名加工情報データベース等」を当初の利用目的に拘束されることなく、自社における顧客の購買情報や行動履歴などをはじめ、匿名加工情報では、保有できない住所や電話番号、メールアドレスなど具体的な情報も残せる（ただし、電話やメール、DMなどでの利用禁止）ことから、ＡＩの学習・分析をより緻密に行うために有効で、ビッグデータとしての分析・利用がより深く可能になります。その利用状況等も、改正された個人情報保護法における開示請求等の対象にならず、レピュテーショナルリスクを避けることもできると考えられます。
なお、仮名加工情報の処理の委託を受けた委託先にとっては、仮名加工情報は個人情報に該当しないことから、通常は個人情報の場合の委託元としての監督責任はないことになります。しかし、その場合であっても、仮名加工情報の安全管理義務、従業者や委託先の監督義務、苦情処理などの規制が及ぶほか、データの消去の努力義務、第三者提供の禁止、連絡先データのメールや文書等の連絡手段に使用ができないなどの規制が設けられています。
実務においては、個人情報データベース等の個人データと仮名加工情報が併存することから、これらを明確に区分し、その安全管理を行うとともに、個人情報と利用目的の範囲が異なること、第三者提供が禁止されていること、他の情報と照合して個人を特定できる状態では個人情報となることなどにより取扱が異なることを、従業員にきちんと認識させて取り扱うよう十分に、指導や教育に留意する必要があります。

※本内容の引用・転載を禁止します。