匿名加工情報の第三者提供は、個人を識別できず復元できないように加工した情報を、一定のルールに従って外部提供することです。公表義務や再識別禁止をSG試験向けに整理します。

sg sg-security-law privacy_law data_leakage it_security_operations

まず結論

匿名加工情報の第三者提供とは、特定の個人を識別できず、元の個人情報に復元できないように加工した情報を、一定のルールに従って外部に提供することです。

SG試験では、匿名加工情報について、

  • 個人情報のまま第三者提供しているのか
  • 匿名加工情報として加工されているのか
  • 提供時に必要な公表をしているのか
  • 提供先が本人を再識別しようとしていないか

を判断させる問題が出やすいです。

結論として、匿名加工情報は、通常の個人情報より利活用しやすい情報ですが、何でも自由に提供できる情報ではありません。

選択肢では、

匿名加工情報なので、公表や安全管理をせずに自由に第三者提供できる

のように書かれていたら注意です。

匿名加工情報は、個人を特定できないようにすることに加えて、提供する情報の項目や提供方法などを公表する必要があります。

直感的な説明

たとえば、ある会社がサービス利用者の購買データを分析会社に提供したい場面を考えます。

氏名、住所、電話番号、会員IDなどがそのまま残っていると、誰のデータか分かってしまいます。

これをそのまま外部に渡すと、個人情報の第三者提供に当たり、本人同意などの厳しいルールが問題になります。

そこで、個人を識別できる情報を削除したり、組み合わせると本人が分かりそうな情報を加工したりして、元の個人情報に戻せない形にします。

このように加工された情報が匿名加工情報です。

匿名加工情報にすると、統計分析やサービス改善などに利用しやすくなります。

ただし、外部に提供する以上、

どのような情報を、どのような方法で提供するのか

を明らかにしておく必要があります。

イメージとしては、

個人に戻せない形に加工した上で、外部利用のルールを見える化して提供する仕組み

です。

定義・仕組み

匿名加工情報は、個人情報を加工して、特定の個人を識別できないようにし、元の個人情報を復元できないようにした情報です。

個人情報保護委員会の資料では、匿名加工情報の作成、取扱い、第三者提供、識別行為の禁止などが整理されています。公式資料として、仮名加工情報・匿名加工情報 信頼ある個人情報の利活用に向けて―制度編― が参考になります。

匿名加工情報を第三者提供する場合は、主に次の点が重要です。

観点 内容
加工 個人を識別できず、復元できないように加工する
公表 提供する匿名加工情報に含まれる個人に関する情報の項目などを公表する
明示 提供先に対して、匿名加工情報であることを明示する
禁止 本人を識別するために他の情報と照合してはいけない
管理 加工方法や削除情報などを適切に管理する

ここで重要なのは、匿名加工情報が「個人情報ではなくなるから何をしてもよい」という意味ではないことです。

匿名加工情報は、個人情報の安全な利活用を進めるための制度です。

そのため、提供する側にも、受け取る側にも、再識別を防ぐためのルールがあります。

SG試験では、細かい加工手順よりも、

匿名加工情報は、復元できない加工と、公表・明示・再識別禁止がセット

と押さえると判断しやすいです。

どんな場面で使う？

匿名加工情報の第三者提供は、個人を特定せずにデータを活用したい場面で使われます。

たとえば、次のような場面です。

  • 購買データを統計分析に使う
  • 利用傾向を外部の分析会社に分析してもらう
  • 医療・健康データを研究目的で活用する
  • 位置情報や行動履歴を個人が分からない形で分析する
  • サービス改善や市場調査にデータを使う

ただし、匿名加工情報として提供するためには、個人に戻せないように加工されている必要があります。

たとえば、氏名だけを削除しても、住所、年齢、勤務先、購入履歴などの組み合わせで本人が分かる可能性があります。

この場合、単に名前を消しただけでは不十分です。

SG試験では、

氏名を削除したので匿名加工情報として第三者提供できる

という選択肢が出たら注意します。

匿名加工情報では、名前を消すだけでなく、特定の個人を識別できないようにし、元の個人情報に復元できないようにすることが必要です。

また、第三者提供時には、匿名加工情報であることや提供する情報の項目などを公表する必要があります。

よくある誤解・混同

匿名加工情報なら何でも自由に提供できると思う

これは誤りです。

匿名加工情報は、個人情報より利活用しやすい制度ですが、自由に何でも提供できるわけではありません。

第三者提供する場合は、提供する情報の項目や提供方法などを公表し、提供先にも匿名加工情報であることを明示する必要があります。

SG試験では、

匿名加工情報なので、公表せずに第三者提供できる

という選択肢は誤りを疑います。

氏名を削除すれば匿名加工情報になると思う

これもよくある誤解です。

氏名を削除しても、他の情報を組み合わせると本人が分かる場合があります。

たとえば、年齢、住所、勤務先、病歴、購買履歴などが細かく残っていると、本人を推測できる可能性があります。

匿名加工情報では、特定の個人を識別できないようにし、元の個人情報に復元できないように加工する必要があります。

選択肢では、

氏名や電話番号を削除したので、必ず匿名加工情報になる

と書かれていたら注意です。

匿名加工情報を受け取った側が本人を特定してよいと思う

匿名加工情報を受け取った側も、本人を識別するために他の情報と照合してはいけません。

匿名加工情報は、本人を探すための情報ではありません。

SG試験では、

匿名加工情報を他のデータベースと照合して、本人を特定する

という選択肢は誤りです。

匿名加工情報の制度は、データを安全に活用するためのものであり、再識別を認めるためのものではありません。

仮名加工情報と匿名加工情報を混同する

仮名加工情報は、他の情報と照合しない限り個人を識別できないように加工した情報です。

匿名加工情報は、特定の個人を識別できず、元の個人情報に復元できないように加工した情報です。

第三者提供の観点では、

  • 仮名加工情報：第三者提供には強い制限がある
  • 匿名加工情報：ルールを守れば第三者提供できる

と切り分けます。

SG試験では、

仮名加工情報も匿名加工情報と同じように自由に第三者提供できる

という選択肢に注意します。

まとめ（試験直前用）

  • 匿名加工情報は、個人を識別できず、元の個人情報に復元できないように加工した情報
  • 第三者提供する場合は、提供する情報の項目や提供方法などの公表が必要
  • 提供先には、匿名加工情報であることを明示する
  • 氏名を消すだけでは匿名加工情報とは限らない
  • 本人を識別するために他の情報と照合することは禁止

SG試験では、復元できない加工、公表義務、匿名加工情報であることの明示、再識別禁止をセットで思い出します。

🔗 関連記事

🏠 情報セキュリティマネジメントトップに戻る