高木浩光＠自宅の日記

■ 匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）

個人情報保護法の改正を含む法案が、国会に提出されたとのことで、条文がWebに掲載された。

• 内閣官房 国会提出法案 第189回通常国会
  個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律案
  • 概要
  • 要綱
  • 法律案・理由
  • 新旧対照表
  • 参照条文

新旧対照表をパッと見てスッと気づくのは、「匿名加工情報」の取扱い義務の規定ぶりに重大な不具合がある点である。

まず「匿名加工情報」の定義を見てみると、次のようになっている。

第二条

9 この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。

一 第1項第一号に該当する個人情報　 当該個人情報に含まれる記述等の一部を削除すること（当該一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む 。）。

二 第1項第二号に該当する個人情報　 当該個人情報に含まれる個人識別符号の全部を削除すること（ 当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えること を含む。）。

「次の各号に掲げる個人情報の区分」云々は、改正される「個人情報」定義の方を見る必要があるが、ここでの論点には影響しないので、その辺りを飛ばして理解すると、要するに、ざっくり言えば、「匿名加工情報」とは、個人情報の一部を削除したり他の記述に置き換えたりする加工をしたもので、当該個人情報を復元することができないようにしたものである。

この定義には、何のために作成したものかといった、その情報を取り扱う者の主観的要件は入っておらず、客体の該当性が客観的に決まるように定義されている。したがって、どんな状況であれ、どんな情報であれ、個人情報の一部を削除したり他の記述に置き換えたりする加工をすると、それが客観的に、元の個人情報を「復元することができないようにしたもの」と言えるものならば、いつでも「匿名加工情報」に該当する。

加工方法はほとんど限定されておらず、一部を削除したり他の記述に置き換える加工は、何ら特殊なものではないので、ごく普通に誰でも日頃から「匿名加工情報」を何の気なしに作成していることになる。

次に「匿名加工情報取扱事業者」の定義を見てみると、次のようになっている。

10 この法律において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの*1（第三十六条第一項において「匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第五項各号に掲げる者を除く。

「匿名加工情報データベース等」、つまり処理情報（「行方 その3」参照）に限定されていて、「事業の用に供している者」とあるので、義務がかかるのはそういう者に限られる。

ここで、「匿名加工情報」とはどういう趣旨のものだったか、12月の「骨子（案）」で確認してみると、図1のように書かれていた（強調部は筆者による）。つまり、いずれの義務も、「第三者提供するために作成された匿名加工情報」に関する規律であり、また、それを受領した者に対するその情報の取扱いについての規律である。

図1: 「パーソナルデータの利活用に関する制度改正に係る法律案の骨子（案）」（2014年12月19日）より

では、義務規定の条文はどうなっているだろうか。

第4章に新たな第2節「匿名加工情報取扱事業者等の義務」が挿入され、36条から39条に「匿名加工情報」の取扱いに関する規定が並んでいる。

第二節 匿名加工情報取扱事業者等の義務

（匿名加工情報の作成等）

第36条 個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。*2）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。

2 個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。

3 個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

4 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

5 （略）

6 個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

これを見るとすぐにわかるように、「第三者提供するために」という限定は消散してしまっている。

4項では「匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは」とあるから、骨子案の（イ）の通りになっているが、1項、2項、3項、5項、6項はそうなっていない。

36条1項によれば、匿名加工情報を作成するときは、委員会規則で定められた基準に従わなければならないそうだ。委員会規則で定められた基準に従った加工をしたものが「匿名加工情報」なのではない。ほとんどどんな方法であれ加工をしたものは皆「匿名加工情報」に当たるのに、そういう加工をするときは、常に委員会規則で定められた基準に従わなければならないというのである。

つまり、委員会規則で定められた基準に従わない「匿名加工情報」の作成は法律で禁止されることになる。第三者提供するつもりがなくても、である。

これは大変マズい。これまでも、個人情報取扱事業者は、自社内で個人データを取り扱うときに、氏名を削除するなどの加工をして、その後に統計化するなどの処理を、ごく普通に当然の適法な行為と疑うことなく行ってきただろう。それが、この改正によって違法となってしまう。そんなバカなと思われるかもしれないが、条文上はそうなっている。

また、同条3項によれば、匿名加工情報を作成したら、その項目を公表しなければならないそうだ。いついかなる時もである。事業化する前の段階でテストとして試しにちょっと匿名加工情報を作ってみただけでも*3、公表しないでいると違法になってしまう。そんなご無体な。これじゃまるで危険物の取締りのようだ。

同様に、第三者提供するつもりがなくても、同条2項により、「行った加工の方法に関する情報の漏えいを防止するため」の安全管理措置義務を負うことになるし、同条6項により、苦情の処理も受け付ける努力が求められる。自社内でどんな匿名加工しようが勝手なのに。

どうしてこんなことになってしまったのだろうか。

36条5項を見ると興味深いことが書かれている。「匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては」とある。なんと、匿名加工情報を自社内で扱う場合についても個別に義務が規定されているのである。

5 個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。

この規定はいったい何のためにあるのだ？ 第三者提供するために匿名加工情報を作成した場合であっても、提供元でそれを再識別して何が悪い*4というのだろう。元のデータを持っているのに。

ここで思い出すのが、昨年4月の事務局案である。次のように、「個人特定性低減データを内部において活用する場合について」が資料では検討されていた。図のように、本人同意なしに目的外利用できるようにする策として検討されている。

図2: 「「個人情報」等の定義と「個人情報取扱事業者」等の義務について（事務局案）」（2014年4月16日）より

この論点は検討会の席では全く議論されなかったと記憶している。6月の大綱でどう書かれていたかを確認してみると、「個人データの第三者提供や目的外利用に関して、本人の同意に基づく場合に加え、新たに「個人データ」を特定の個人が識別される可能性を低減したデータに加工したものについて」と、「目的外利用」が一応残っていたようである。

そのような措置は全く必要がない。その理由は、前回の日記の利用目的変更の件と同様で、統計化への入力は個人情報の利用に当たらない（経産省Q45）からである。統計化以外の利用というと、本人へのターゲティングやオーソドックスな連絡など、本人に対して何かする利用しか残らない*5。本人に対して何かするには、匿名加工情報から本人を再識別しなくてはならないのだから、匿名加工情報の基本ルールに違反するので、そのような用途は元々意味をなさない。

まさか、匿名加工情報にして、そのまま、統計化するのでもなく、第三者に提供するわけでもなく、本人に再識別化して何かするでもなく、ただただ匿名加工情報の状態で保管するという謎の「目的外利用」を合法化したいとでも言う話なのだろうか？*6

骨子案では完全に「第三者提供するために」と限定されていたので、安心していたのだが、こんなことになってしまうとは……orz。

不具合は他にもある。

先ほどから「第三者提供」「第三者に提供」という言葉を使っているが、これの意味は、現行法でも注意を要する言葉である。

委託・事業承継・共同利用の場合は、23条の制限から除外されているわけだが、これは、これらの相手先が（言葉の自然な意味として）「第三者ではない」からではなく、同条4項で「第三者に該当しないものとする」とあえて規定されていることによる。

4 次に掲げる場合において、当該個人データの提供を受ける者は、前三項の規定の適用については、第三者に該当しないものとする。

一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託する場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 個人データを特定の者との間で共同して利用する場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

今回の改正案を見てみると、23条のこの規定は次のようになっている。（新4項が挿入されたため、5項にずれている。下線部は現行法から変更される部分を表す。）

5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。

一 個人情報取扱事業者が利用目的の達成に必要な範囲内において個人データの取扱いの全部又は一部を委託することに伴って当該個人データが提供される場合

二 合併その他の事由による事業の承継に伴って個人データが提供される場合

三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。

基本的に変わっていない*7。「前各項の規定の適用については」とあるので、改正後でも、委託・事業承継・共同利用での提供が第三者提供に当たらないのは、23条内に限られる。

ここで、匿名加工情報の提供に関する規定である、36条4項と37条を見てみると、次のようになっている。

第36条

4 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

第37条

匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節において同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

23条と同様の除外がない。ということは、委託・事業承継・共同利用の場合も、これらは適用されることになる。

これはマズい。これまでも、一般に、データ処理の委託のために、個人データを半生データに加工（氏名を削除するなど）して「匿名加工情報」の形で委託先にデータを預託することは、安全管理措置の一環として、ごく普通に行われている。これが、今回の改正で、委託元に「項目及びその提供の方法について公表する」義務が新たに課されることになる。

こうした加工をしないで生データのまま個人データを委託先に預託する場合は何ら義務がかからない（22条の委託先の監督義務はあるにせよ）のに、安全管理措置として良かれと思って半生データに加工すると、「項目及びその提供の方法について公表する」義務がかかることになる。これでは、余計な義務を嫌がって、生データのまま預託する事業者が続出するだろう。この改正によって、安全管理措置の一つが蔑ろにされ、社会全体のデータ漏洩の脅威が増大することになる。

それだけではない。匿名加工情報の加工方法は、36条1項により、委員会規則で定める基準に強制されるので、もし、その委員会規則の基準が、仮名化（氏名を削っただけ）では匿名加工として認めないレベルで制定された場合には、委託の際の安全管理措置として半生データを作成・提供することが、違法になってしまう。そのため、委託のときは生データで預託するしかない場合が続出しそう（k-匿名化したら用をなさないような委託ではそうするしかない）である。

これは意図した規定ぶりなのか？ ミスではないのか。それとも、「第三者」の語は断らなくても、委託・事業承継・共同利用の場合は該当しないという前提なのか？

新25条（第三者提供に係る記録の作成等）を見ると、こちらにはちゃんと、「ただし、当該個人データの提供が第二十三条第一項各号又は第五項各号のいずれか（前条の規定による個人データの提供にあっては、第二十三条第一項各号のいずれか）に該当する場合は、この限りでない。」との除外規定が入っている。ここでは意識されていたようだから、断らなくても該当しないという前提ではないだろう。

これを見てさらに気づいたが、個人データの提供では、23条1項各号の例外で、法令に基づく場合、人の生命、身体又は財産の保護のために云々、公衆衛生の向上又は児童の健全な育成の推進のため云々などの場合で、各義務や禁止が解除されるが、匿名加工情報を提供する場合には、これらの適用除外がない。

したがって、匿名加工情報を提供するときは、法令に基づく場合であっても、「第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する」義務が課される。これは、匿名加工情報取扱事業者に警察が捜査協力を求めるときに支障をきたすことにならないか。大丈夫か。

まあ、ここは、「個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表する」なので、委員会規則で、法令に基づく場合は公表しなくてよいと規定することで、どうにかできるか。しかし、「個人情報保護委員会規則で定めるところにより」というのは、適切な公表のあり方を定めるものと普通は読むのだろうから、「公表しなくてよい」という「公表のあり方」を委員会規則が定めるというのは、アリなのだろうか？

不具合らしき点はさらにある。

この制度の趣旨は、匿名加工情報に加工すれば本人同意なく第三者提供できるとするのであるから、36条の次あたりに、「匿名加工情報は、23条の規定にかかわらず、第三者に提供することができるものとする。」といった規定が入るものだとばかり思っていたが、そういう規定がない。23条側にも、「匿名加工情報を除く」といった除外が入っていない。

ということは、もし、匿名加工の委員会規則の基準で、仮名化もアリだとされた場合を想定すると、個人データを仮名化しただけでは、提供元基準において、元データと照合することができる場合には、個人データの提供に当たるから、匿名加工情報に加工して提供しても、個人データの提供にも該当してしまって、23条により提供禁止になってしまう。

いや、もっと簡単に言うと、個人データの提供に当たらない匿名加工情報の提供しか認められないのだから、それって、現行法でも合法なのでは？と。匿名加工情報の制度を設けた意味がまるでなし！

はー。どうしてこうなった。

大綱から半年以上もあったのに、いったい何をやっていたのか。もっと早い段階から条文案を公開して皆で議論するなり、専門家に見せて意見を集めるなり、できないのだろうか。いや、条文は役人が作るものであって、外部で検討するのは骨子までだというのは、国のこれまでの慣習なのだろう。骨子さえ完成させれば、あとは内閣法制局が完全無欠の条文に落とし込んでくれるはずだと。

しかしこの体たらくは何だ。内閣法制局がいかに天才プロフェッショナル集団であろうとも、直せるのは条文上の形式的な綻びまでで、委託先に仮名化データを渡すのが普通といった、ビジネスの現場がどうなっているかまでは、察知できないということなのか。

奇しくも、今日、新経済連盟代表理事の三木谷浩史様から、ありがたいお言葉があった。

• 改正個人情報保護法案に関する代表理事コメントを公表しました, 新経済連盟, 2015年3月10日

  改正個人情報保護法案に関するコメント

  新経済連盟代表理事

  三木谷　浩史

  　本日、閣議決定された改正個人情報保護法案に関して以下のとおりコメントします。

  １．パーソナルデータの利活用は、日本の産業競争力強化の最も重要なファクターであり、ユーザビリティの向上としても重要な要素である。

  ２．インターネットというグローバルネットワークにより、ビジネスは国境をまたぐ。わが国の行政執行が外国企業に対しては直接執行できないもとで、日本の事業者のみが規制強化となり競争力がそがれる事態になることは避けるべきである。

  ３．保護と利活用のバランスを図っていくためには、第三者委員会での解釈運用に依存するので、第三者委員会（委員及び専門委員）と事務局のメンバー構成が重要である。民間のビジネス実態がわかるものがどちらでも半数以上を占めるようにすべきである。

  以上

まさに至言！ ここはひとつ、民間のビジネス実態がわかる者の頂点に立つ、三木谷浩史様にこそ、この条文の不具合を直すよう、国会に働きかけていただきたくお願い奉ります。*8

第三者委員会の専門委員には、こうした不具合を直すクイズに正解できる者だけが、就任の資格を得られるよう、お取り計らいいただきたい。