今回は、データ利活用に関する施策の在り方について解説します。

１．データ利活用に関する施策の在り方

（1）「仮名加工情報」を創設し、開示・利用停止請求への対応等の義務を緩和した。（法第35条の2・第35条の3関係）

改正前

なし

改正後

「仮名加工情報」の概念が創設されました。仮名加工情報とは、個人情報や個人識別符号について、その一部を削除することや復元可能な規則性が無いよう置換することで、特定の個人を識別することができないよう加工した情報です。

解説

仮名加工情報は、新たに創設された考え方のため、少し詳細に解説します。

① 仮名加工情報の加工方法

仮名加工情報とは、どのように加工したものなのでしょうか。個人情報取扱事業者は、仮名加工情報を作成するには個人情報保護委員会規則第18条の7各号に定める基準に従って個人情報を加工しなければなりません。
この基準とは、以下のような基準です。

例えば以下のような方法です。

事例1）会員ID、氏名、年齢、性別、サービス利用履歴が含まれる個人情報を加工する場合に次の措置を講ずる。

事例2）氏名、住所、生年月日が含まれる個人情報を加工する場合に次の1から3までの措置を講ずる。

なお、他の記述等に置き換える場合は（例えば仮IDを割り当てる場合は）、元の記述等を復元できる規則性が無い方法でなければなりません。

また、財産的被害が生じるおそれがある記述等については削除や規則性を有しない方法に置換えが必要ですが、これには例えばクレジットカード番号や送金や決済機能のあるWebサービスのログインID ・パスワードが挙げられます。

② 匿名加工情報と仮名加工情報

これまで似た位置づけの情報として「匿名加工情報」がありました。今回の改正で創設された仮名加工情報と匿名加工情報の違いは何でしょうか。

仮名加工情報は、他の情報と照合すれば個人を識別できる可能性があるため、匿名加工情報よりも仮名加工情報のほうが元の個人情報に近いイメージです。
仮名加工情報は第三者提供が禁止となりますが、匿名加工情報は第三者提供が可能です。また、仮名加工情報については安全管理措置を講じる義務がありますが、匿名加工情報については安全管理措置を講じるのは努力義務にとどまっています。
そのため、仮名加工情報はあくまで社内の利活用を念頭に置いたものと考えられます。考え方によっては、実は仮名加工情報はこれまでにも各社社内で何らかの形で作成されていた可能性もあり、それが今回の法改正で「仮名加工情報」と定義づけられ、利活用や規制の方向性が示されたものと思われます。

なお、仮名加工情報には、「個人情報である仮名加工情報」と、「個人情報ではない仮名加工情報」があります。
「個人情報である仮名加工情報」とは、仮名加工情報の作成元となった個人情報や当該仮名加工情報に係る削除情報等を保有している等により他の情報と照合することで特定個人が識別できる状態にあるもので、これは個人情報の範疇に位置付けられます。「個人情報ではない仮名加工情報」はその逆で、個人情報ではなく、匿名加工情報と同様に個人に関する情報の範疇に位置付けられます。

③ 仮名加工情報の取扱いに関する義務

仮名加工情報を取り扱う個人情報取扱事業者等には、以下の義務があります。

「個人情報である仮名加工情報」は、いくつかの適用除外はあるものの、通常の個人情報の義務と大きく変わりません。「個人情報ではない仮名加工情報」は、もう少し緩和されていますが、安全管理措置が義務に含まれています。

④ 削除情報等の安全管理措置

削除情報等とは、仮名加工情報の作成時に元の個人情報から削除された記述等及び個人識別符号並び加工方法に関する情報のことです。この削除情報等は、漏えいを防止するために個人情報保護委員会規則で定める基準に従って安全管理措置を講じなくてなりません。個人情報保護委員会規則で定める基準とは、以下の通りです。

（2）個人データとなることが想定される情報の第三者提供が制限されました。（法第26条の2関係）

改正前

なし

改正後

提供元では「個人関連情報」であり個人データには該当しないものの、提供先において個人データとなることが想定される情報を第三者提供する場合は、本人の同意が得られていること等の確認が義務となります。

解説

ここでは、まず「個人関連情報」について説明します。個人関連情報とは、生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないものです。この個人関連情報の概念も今回の改正で新たに登場したもので、該当する情報として以下のものが挙げられます。

個人関連情報は、技術の進歩により第三者提供の提供先で他の情報と関連付けることにより個人データとされる可能性が出てきており、本人の関知しないところで個人情報として取り扱われるケースが出てきたことからその取扱いを明確にするために出てきた概念と考えられます。
個人関連情報の第三者提供を行う場合は、提供元における記録義務があり、本人同意を確認した旨、提供年月日、第三者の氏名等、個人関連情報の項目等を記録し、原則３年保存しなくてはなりません。

なお、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、「個人に関する情報」に該当するものではないため、個人関連情報にも該当しません。

（3）共同利用に関する通知事項が追加されました。（法第23条5項関係）

改正前

個人データを共同利用する場合、以下の事項をあらかじめ本人に通知し、または本人が容易に知りうる情報に置かなければなりませんでした。

改正後

改正前の上記事項に加え、以下の事項についてもあらかじめ本人に通知し、または本人が容易に知りうる情報に置かなければならなくなりました。

解説

まず、「管理責任者」とは、本人からの「開示等の請求及び苦情を受け付け、その処理に尽力するとともに、個人データの内容等について、開示、訂正、利用停止等の権限を有し、安全管理等個人データの管理について責任を有する者」のことです。
また、「責任を有する者」とは、共同して利用する全ての事業者の中で、第一次的に苦情の受付・処理、開示・訂正等を行う権限を有する者をいい、共同利用する複数の会社の中でも代表的な立ち位置で個人データの管理責任を負う会社を意味します。
その個人データの管理責任者の氏名、名称もしくは住所、または法人の場合は代表者の氏名に変更があったときは遅滞なくその旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければなりません。
また、利用目的又は管理責任者を変更しようとするときは「あらかじめ」、その旨について、本人に通知し、又は本人が容易に知り得る状態に置かなければなりません。

次回は、ペナルティの在り方および法の域外適用・越境移転の在り方について解説します。

参考資料