高木浩光＠自宅の日記

■ 匿名加工情報は何でないか・前編（保護法改正はどうなった その2）

改正で新設される「匿名加工情報」がどういうものであるか、誤解している方は少なくないと思われる。それどころか、未だはっきりしない論点も残っている。このシリーズでは、国会審議のさなかにも続いていた論点を振り返って、その謎をひとつひとつ紐解いていく。

匿名加工情報は「個人データであっても第三者提供を許す」の形ではなかった

匿名加工情報という規律の誕生は、パーソナルデータ検討会第1回の事務局資料「パーソナルデータの取扱いルール整備に向けて検討すべき論点」で図1のように書かれていたのが始まり*1であり、続く第2回で鈴木正朝委員が提出した資料「「パーソナルデータの取扱いルール整備に向けて検討すべき論点」について（私案）」がその具体的な原案となったものと言えよう。

図2の2枚目スライドは、規制改革会議の要求通り法改正なしにガイドラインで解決する場合には、「モデル1-①」のように、自社内で最終的な統計値へ集計したものを販売するか、「モデル1-②」のように、十分に非個人情報化されるところまで加工した「再識別不可能データ」（多次元の統計値データのようなもの）を販売するところまでしか許されないであろうと指摘したもので、それに対して、3枚目スライドは、立法措置があれば、モデル1-②よりはもう少し元データに近い「合理的匿名化データ」を販売できる（モデル2-①）ようにできるし、さらには、「モデル2-②」のように、1枚目スライドと同じ「半生データ」（氏名等を削除しただけで履歴データは元のままのデータで、データセットとして元データと照合ができるという、モロ個人データに該当するもの）であっても、受領者に法的義務を課すことを前提に販売を許すことも考えられるという整理であった。

その後、技術検討WGの報告書で、「いかなる個人情報に対しても、識別非特定情報や非識別非特定情報となるように加工できる汎用的な方法はない。」との結論が出され、「新たな法的措置を前提とした技術的措置への対応」という提案が出てきた。

ここでは、「個人特定性低減データ」という仮の用語が使われ、「……を低減している個人情報を第三者に提供することを可能とする方法」という表現で書かれている。つまり、個人データ（個人情報）であっても第三者提供を許すというものであり、そのようなデータを指す仮称として「法第23条1項適用除外情報」という語が用いられている。

この段階でも、モデル2-②まで許すのか、それとも、モデル2-②はさすがにリスクが高すぎるから許すべきでないのか、その点の結論は出されていない。6月の「大綱」でも明記されなかったし、12月の「骨子案」でも明らかでない書きぶりだった。

モデル2-②を許すかは、加工の基準を定める委員会規則で調整することもできるので、法律上はとりあえず許す設計にしておくことが考えられる。1月21日に開かれた某私的研究会の席*2で、パーソナルデータ関連制度担当室の参事官に、モデル2-②も残っているのかどうか*3を尋ねたところ、残っているというような様子だった。

ところが、3月10日に閣議決定されて公表された法案の条文は、「個人データであっても第三者提供を許す」という形にはなっていなかった。2条9項に「匿名加工情報」の定義があり、36条で「匿名加工情報を作成するときは委員会規則に従って加工しなければならない」とするものになっていた。

---

---

この条文構成だといくつもの矛盾が噴出してくる。すぐに気づく問題点は、2条9項の「匿名加工情報」の定義に該当するようなデータを作成するときは必ず委員会規則に従わないといけないのか？という点である。2条9項の「匿名加工情報」の定義は、ごく一般的な匿名加工の方法で作成されたデータが皆該当してしまうものなので、従前ごく普通に行われてきた様々な処理が、必要もないのに委員会規則の基準に従わなければならないという、極めて理不尽な規制ということになってしまう。

このことについては、3月10日の日記「匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）」で詳しく書いた。

そのときの図1でも触れていたように、12月の「骨子案」を見ると、匿名加工情報の説明は以下の図4のようになっており、「第三者に提供するために作成するときは」とあるし、「（ア）により作成した者が」「（イ）により取得した匿名加工情報を」と書かれている。閣議決定された条文では、肝心のこれらの係り要件が消えていたのであった。

この「第三者に提供するために」が消された理由として、自社内での目的外利用の用途に匿名加工情報を利用できるようにするためにそうしたのではないかとの推測を、3月10日の日記では書いた。その後、3月27日に次の報道があった。

• 個人情報保護法改正案、「匿名加工情報」は社内利用にも適用, 大豆生田崇志, 日経ITpro, 2015年3月27日

  「ビッグデータ活用」のために個人情報保護法改正案に盛り込まれた「匿名加工情報」について、第三者への提供を目的としない社内利用にも適用する規定であることが明らかになった。2015年3月25日に開かれた衆議院内閣委員会で、高井崇志議員の質問に対して政府として向井治紀審議官が答弁した。

  （略）

  関係者によると、第三者提供を前提としない匿名加工情報の規定は、2015年に入って一部企業の要望を受けて設けられたという。大手インターネット企業などでクッキーなどのデータを分析する際に、自社内で匿名加工情報として元に戻せない情報にして分ければ、本人同意を取り直したり、社内で個人情報として管理せずに済むといった狙いがあるものとみられる。

大豆生田記者の取材によれば、一部企業の要望があって1月以降に条文が修正されたということであった。そのような自社内でのデータ利用は元から規制されていないので、こんな措置は必要なかったのに……という話は3月10日の日記に書いている。

3月28日に開催された情報法制研究会第1回シンポジウムで、私は「個人情報保護法改正案の問題点（中立的観点から）」と題してこれらの問題を指摘した（資料、動画）。

このシンポジウムを通して確信を持った私は、解決策を示さなければ始まらないと思い、条文修正案の作成を試みた。図5のスライドはシンポジウムの翌々日30日に若干の加筆をした（後日配布版として）もので、この時点では、「匿名加工情報」定義を目的で限定する方法（案1）、義務規定を目的で限定する方法（案2、骨子案に近い）、作成と提供を一体化する方法（案3、36条4項をヒントにしたもの）を考えていた。条文の作成は、慣れない私にとっては困難な作業であったが、4月3日に第1版がどうにかできた。この試案（とその考え方）を以下に転載しておく。

修正の要は、36条1項を、「第23条第1項の規定にかかわらず、」「委員会規則で定める基準に従い、個人情報を加工することにより匿名加工情報を作成して」「当該匿名加工情報を第三者に提供することができる。」という構成にした（図5の案3に相当）ところにある。このように匿名加工情報を作成することと提供することとを不可分にしたことで、作成について委員会規則に拘束されるのが、この規定により提供する場合に限られるようになっている。また、36条2項以下の個人情報取扱事業者の各義務及び37条以下の匿名加工取扱事業者の各義務を、36条1項の規定により作成したとき・提供を受けたときに限って適用されるようにした（骨子案の（イ）（ウ）（エ）と同様に）。これにより、36条1項を適用せずとも適法である場面において委員会規則に従っていない匿名加工情報を取り扱っても違反とならないようになる。

---

匿名加工情報に関する規定の不備を解消する条文修正試案

修正案の考え方

2015年4月3日作成の文書より

---

本来やりたかったはずのことはこういうことだったはずだ。それにしても、12月の骨子案ではこれに近い条文構成が想定されていたフシがあるのに、一部企業の要望によってここまで崩壊してしまうものだろうか？

今になって思うと、一部企業の要望のせいというよりは、内閣法制局のおかしな横槍のせいで崩壊したのではないかという気もしないでもない。少なくとも完成した条文に問題がないとしたわけであるから、論理的に崩壊していることに気づいていない（この点については次節で再び述べる。）ことは確かである。

私は鈴木先生とともに、4月上旬から5月11日にかけてこの修正試案をしかるべきところに託した。その成果はというと、残念ながら目的を達成するに至らなかったわけであるが、その途中の過程で興味深い情報が入った。この修正試案では業界の人が呑まないというのである。誰がそう言っているのかその理由も定かでなかったが、おそらくは、自社内目的外利用の場合を外しているからだろうということで、急遽翌日、修正試案を以下のように第2項を挿入した第2版に更新した。

---

匿名加工情報に関する規定の不備を解消する条文修正試案 第2版

修正案の考え方

2015年5月12日作成の文書より

---

自社内目的外利用に手当てする必要はないと思っているので、不本意ではあったが、「まあいい」ということで、このように第2版を作成した。これで業界のどなたかも呑める案になったのではないかと思ったが、内容がどうこう以前の都合によって、法案修正には至らなかった。

6月1日、参議院内閣委員会で可決寸前のところで、日本年金機構サイバー攻撃被害事件の発覚という神風が吹いて、法案の可決は9月まで延期されたため、かなりの時間的猶予が生じたが、誰も何もしなかった（おそらく）ため、法案は原案通り（個人情報保護法改正部分は）で可決成立した。

以上のように、12月の骨子案までは「個人データであっても第三者提供を許す」の形で構想されていたフシがあったのに、おそらくは不幸な要因により、そうではない形になってしまった。かくして、このことがいくつもの矛盾を孕むことになる。

匿名加工情報の定義に該当するからといって36条〜39条の義務が課されるわけではない

2条9項で規定されている「匿名加工情報」の定義は以下のものである。

---

---

情報処理に携わっている者ならすぐに気づくように、この定義に該当するような処理は現にそこらじゅうで行なわれている。わかりやすい例としては、データ処理を他の事業者に委託する場合に、氏名を削除したデータを作成してそれを預託するという形がごく普通に行われている件が挙げられる。この場合、元データと照合できるデータセットならば、個人データの提供ということになり、旧23条4項1号の委託に該当することから、23条の第三者提供に当たらない代わりに22条の委託先の監督義務がかかり、受託者も個人データとして取り扱うもの*6となっている。このような「匿名化」の措置は安全管理措置（20条）の一環として行われている*7。

このようなデータが2条9項の「匿名加工情報」に該当するのであれば、36条の義務が委託者に、38条〜39条の義務が受託者に課されることになる。36条1項は、条文上、「個人情報取扱事業者は、匿名加工情報を作成するときは、」としているので、個人情報取扱事業者ならば常にその作成について義務がかかるとしか読めない。同4項も、「個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、」としているので、前記のようにデータ処理を委託する場合もこれに当たり*8、「情報の項目及びその提供の方法について公表する」義務がかかるとしか読めない。

このような解釈ならば、これまで適法に行われてきた業界の慣行に無用な規制をかけることとなるものであり、到底容認できないものということになる。

このことについて、3月10日の日記「匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）」では、次のように指摘していた。

つまり、委員会規則で定められた基準に従わない「匿名加工情報」の作成は法律で禁止されることになる。第三者提供するつもりがなくても、である。

これは大変マズい。これまでも、個人情報取扱事業者は、自社内で個人データを取り扱うときに、氏名を削除するなどの加工をして、その後に統計化するなどの処理を、ごく普通に当然の適法な行為と疑うことなく行ってきただろう。それが、この改正によって違法となってしまう。そんなバカなと思われるかもしれないが、条文上はそうなっている。

また、同条3項によれば、匿名加工情報を作成したら、その項目を公表しなければならないそうだ。いついかなる時もである。事業化する前の段階でテストとして試しにちょっと匿名加工情報を作ってみただけでも*3、公表しないでいると違法になってしまう。そんなご無体な。これじゃまるで危険物の取締りのようだ。

同様に、第三者提供するつもりがなくても、同条2項により、「行った加工の方法に関する情報の漏えいを防止するため」の安全管理措置義務を負うことになるし、同条6項により、苦情の処理も受け付ける努力が求められる。自社内でどんな匿名加工しようが勝手なのに。

匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）, 2015年3月10日の日記

23条と同様の除外がない。ということは、委託・事業承継・共同利用の場合も、これらは適用されることになる。

これはマズい。これまでも、一般に、データ処理の委託のために、個人データを半生データに加工（氏名を削除するなど）して「匿名加工情報」の形で委託先にデータを預託することは、安全管理措置の一環として、ごく普通に行われている。これが、今回の改正で、委託元に「項目及びその提供の方法について公表する」義務が新たに課されることになる。

こうした加工をしないで生データのまま個人データを委託先に預託する場合は何ら義務がかからない（22条の委託先の監督義務はあるにせよ）のに、安全管理措置として良かれと思って半生データに加工すると、「項目及びその提供の方法について公表する」義務がかかることになる。これでは、余計な義務を嫌がって、生データのまま預託する事業者が続出するだろう。この改正によって、安全管理措置の一つが蔑ろにされ、社会全体のデータ漏洩の脅威が増大することになる。

それだけではない。匿名加工情報の加工方法は、36条1項により、委員会規則で定める基準に強制されるので、もし、その委員会規則の基準が、仮名化（氏名を削っただけ）では匿名加工として認めないレベルで制定された場合には、委託の際の安全管理措置として半生データを作成・提供することが、違法になってしまう。そのため、委託のときは生データで預託するしかない場合が続出しそう（k-匿名化したら用をなさないような委託ではそうするしかない）である。

匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）, 2015年3月10日の日記

これらの指摘が、ある業界団体の方々に伝わったようで、3月24日、その業界団体の方との立ち話で「その件は議員さんに伝えてある」と聞かされた。

そしてその翌日、3月25日の衆議院内閣委員会第2回で次の質問が出ていた。

○高井委員　（略）

それでは、次の、ちょっと細かい話になって恐縮なんですが、匿名加工情報、先ほどからも出てきています。個人情報なんだけれども、誰かわからないようにする。氏名とか年齢とか、わからないように匿名化して、そして、それだったら活用してもいいよ、場合によっては第三者に提供したりしてもいいよという、これは今回の法律で非常に大きな目玉であります。

この匿名加工情報については、法律の第三十六条というところにずっと出てくるんです。ところが、今申し上げた第三者に提供するときに対してさまざまな規制がかかるのではないかと思うんですが、実はこの法律の第四項にだけ「第三者に提供するとき」と出てまいりまして、そのほかの一項、二項、三項、五項には出てこないんですね。ただ、私は、これは三十六条全体が第三者に提供するときということを前提にした法律じゃないかと思うんですが、違うんでしょうか。

○向井政府参考人　お答えいたします。

匿名加工情報そのものは、それを作成いたしました個人情報取扱事業者内部におきましても、匿名加工情報のもととなった個人情報取得の際の利用目的にとらわれることなく、第三者に提供しなくても自社利用が可能でございます。

この点を明確にいたすために、三十六条は、匿名加工情報を作成した場合における義務として、第一項におきまして加工基準の遵守、第二項におきまして加工方法等の漏えい防止、第三項におきまして作成した情報の項目の公表義務、第五項におきまして匿名加工情報の識別禁止、六項におきまして安全管理措置を規定しております。これは、第三者提供のみではなく、自社利用の場合にもかかるというものでございます。

これに加えまして、作成した匿名加工情報を第三者に提供する場合の規律として第四項を設けまして、あらかじめ、第三者に提供する情報の項目及びその提供の方法を公表するとともに、提供に係る情報が匿名加工情報である旨を明示しなければならないとしているところでございます。

○高井委員　まあ、そういう答弁かなと思ったんですが。

実は、匿名加工したものを自社で利用する場合というのはどういう場合かというと、いろいろな個人情報を会社で持っているんだけれども、セキュリティー上、万が一漏えいしてはいけないということで社内で持っておいたりするとき、あるいは業務委託とかしたりするときに、一部匿名化して保有するということがあるんですね。ところが、今のこの条文だと、そういう利用についても一々公表とか、いろいろ匿名加工情報というのは義務規定が、本来ある個人情報よりも厳しい規定というか、余計な事務が発生するということになってしまいます。

そうすると、事業者とすると、だったら、今までは会社の中であえて匿名化していたけれども、では、もう匿名化せずに、生の個人情報のままでずっと保管しておかなきゃいけなくなるねと。そうすると、万が一漏えいしたときに、それが個人情報の漏えいになってしまうということで、私は、非常に事業者に余計な負担をかける法律になってしまっているんじゃないかと思いますが、いかがですか。

○向井政府参考人　お答えいたします。

匿名加工情報につきましては、まず、通常、個人情報を匿名化して別途保存しながら使うということがよく会社で行われていることは承知しております。

ただ、その場合でも、通常は、別のＩＤと容易に照合することにより個人情報になり得るものとして、その一部が匿名化されているということではないかと思いますので、それが全体としては個人情報になるということが多分多いのではないかと思いますが、実態は、実際、匿名加工情報という場合は、そういう意味では、匿名加工されたものが切り離されて、それで安全管理措置とかが講じられているもののみが匿名加工情報でございますので、そういったものを利用するというのは、一種特殊な場合ではないかと考えられます。

ただ、現実問題として、そういうふうなものがどういうふうに会社で管理されているかというのは多分ケース・バイ・ケースにならざるを得ないと思っておりますので、そこのところは、やはりまた、今後そういう実際の運用をしていく際に、常識的に、より安全、安全といいますか、わざわざそういうふうな危険を減らすためのようなものが匿名加工ということに当たることによりまして余計な負担が生じないような運用をする必要があると考えておりますので、そういう運用をする際にも、企業の実態をちゃんとヒアリングして、聞いてから定める必要があるというふうに考えております。

○高井委員　本当にそのとおりだと思います。

私も、会社の中でどういう運用とかをやっているかまで詳細にはわからないので、やはりそういったことを私も聞きますし、また皆さんの方でもしっかり聞いていただいて、本当に屋上屋を重ねるというか、法律ができたことによって、何の法の趣旨とも関係ないんだけれども、余計な手間が、法律に書いてあるからやらざるを得ないみたいな、そういうことはないように、ぜひこれからも注意していただきたいと思います。

第189回国会会議録衆議院内閣委員会第2号, 平成27年3月25日

このように、「自社内で個人データを取り扱うとき」と「データ処理の委託のため」について、しっかりと質疑が行われている。

政府参考人の答弁は、よく見ると「自社内で個人データを取り扱うとき」についてしか述べていない（「別途保存しながら使う」ケースについて答えている）が、質問が「あるいは業務委託とかしたりするときに」とあるので、それにも答えたものとして解することができるだろう。

答弁が途中から「一種特殊な場合ではないか」「多分ケース・バイ・ケースにならざるを得ない」「聞いてから定める必要がある」とシドロモドロになっているのは、「何かおかしい」と気づきながらうまく言えないことが正直に言葉に出てしまう、向井審議官のお人柄によるものだと思う。

これを「業務委託とかしたりするときに」についても答えているとみなすならば、本来の答弁は次のような形のものであって然るべきだっただろう。

まず、通常、個人情報を匿名化して、別途保存しながら使う、あるいは委託先に提供するということがよく会社で行われていることは承知しております。

ただ、その場合でも、通常は、別のIDと容易に照合することにより個人情報になり得るものとして、その一部が匿名化されているということではないかと思いますので、それが全体としては個人情報になるということが多分多いのではないかと思いますが、実態は、実際、匿名加工情報という場合は、そういう意味では、匿名加工されたものが切り離されて、それで安全管理措置とかが講じられて、別のIDと容易に照合することができないようになっているもののみが匿名加工情報でございますので、そういったものを利用あるいは委託先に提供するというのは、一種特殊な場合 匿名加工情報には当たらないのではないかと考えられます。

つまり、法律上の「匿名加工情報」は、個人情報に当たらないもののみが匿名加工情報たり得るというものであり、先に例示したような「匿名化して委託する」ときというのは、依然としてそのデータは個人情報であるから、匿名加工情報の提供に当たらず、36条〜39条の義務は課されないということであろう。

この質疑を踏まえて、3日後の3月28日の情報法制研究会第1回シンポジウムでは、資料の3枚目〜12枚目スライドを作成している。

この時点では、元データとの照合で個人データとなるような匿名化をしたデータ（元データと一対一対応する、いわゆる「仮名化データ」）は、法律上の「匿名加工情報」に当たらないと整理することで、一応、「これまで適法に行われてきた業界の慣行に無用な規制をかけることとなる」という最悪の事態は回避されている*9としてお話しした。

ところが、その後、その整理でもなお問題は残っており、解決していないことに気づいた。

元データと一対一対応するのではなく、例えばk-匿名化のようなグループ化処理を施す匿名化処理をして、自社内で目的内で利用（特定した利用目的の範囲内で利用）する場合が、やはり法律上の「匿名加工情報」に該当してしまい、無用な規制がかかることになってしまう。そのような処理も、自社内での統計処理の途中過程において、ごく普通に行われていることであろう。

そもそも、条文上、目的内と目的外の区別がないので、こうなるのは必然である。どこぞの事業者の要望によって後からねじ込まれたこの規定は、目的外利用を本人同意なしに可能とする替わりに導入する縛り（公表の義務や加工方法の義務）によって、何の罪もない目的内利用についてまで道連れに無用な規制をかけることになるわけだ。このケースも到底容認できないものであろう。

このことについて、5月11日に、鈴木正朝先生と共に、向井審議官及び担当室の方々と意見交換の機会を頂いた際にその場で指摘した。この問題を解決するには法案修正しかないとして、前掲の修正試案もお示ししている。問題の所在は向井審議官には伝わったと思ったが、残念ながら修正試案の出来がどうこういう以前の都合によって法案修正には至らなかった。

それ以降はもはや諦めていたので「どうにでもなればいい」と鼻を穿りながら傍観していたが、5月28日になって、参議院内閣委員会の質疑で、その回答とも言える答弁が飛び出してきたのを中継で見て、驚いた。*10

○石橋通宏君　そこは大変重要なところです。

といいますのは、第三十六条の条文を、これ改めて確認をしていきますと、これは、個人情報取扱事業者、個人情報を持っている事業者が匿名加工情報を作成する、つまり、意思を持って、これから法律上の匿名加工情報を作るんだという意思、意図を持って、その委員会規則で定める基準に従って個人情報を個人を識別できないよう、かつ復元できないよう、これ法律の要請ですね、加工したものが匿名加工情報であるという規定になっているわけです、ですね。

とすると、これに合致しない加工情報というのは法律上の匿名加工情報にはならないということで整理をしたいと思いますが、それでよろしいですね。

○政府参考人（向井治紀君） 御指摘のとおりでございます。

○石橋通宏君　ということは、これ、かねてから衆議院でも質疑出ていたと思いますが、個人情報を持っている事業者が、例えば安全上の観点から、これは今、現行でもよくある話です、匿名化をする若しくは仮名化をすると。一定の識別情報等々を取り除いて、普通取り扱うというようなことはされております。今回、それが、じゃ、匿名加工情報に当たるのではないかと。どこからどこまでが当たるのか当たらないのかということが、かなり混乱を持って議論されてきたわけです。

今の御説明でいくと、そういう場合、つまり事業者がこれは匿名加工情報を作るので規則にのっとってこれを加工しましたというのでなければ匿名加工情報には当たらないという今御説明だったので、とすると、先ほど言ったように、事業者が安全上の観点などなどから全く別の目的で加工化した、仮名化した、それは法律で言う匿名加工情報には当たらないというのが政府見解であるということでよろしいんですね事業者が安全上の観点などなどから全く別の目的で加工化した、仮名化した、それは法律で言う匿名加工情報には当たらないというのが政府見解であるということでよろしいんですね。

○政府参考人（向井治紀君）　委員御指摘の、形式的に匿名化を施したというふうなもの、加工を施したという場合にまで匿名加工情報としての取扱いを求めるものではございません。

○石橋通宏君　そうすると、一体どういう場合に、どういう時点に法律上、匿名加工情報に当たるものになるのかというのは、誰がどう判断するのかということが非常に曖昧にむしろなるのではないかなということが心配されるわけです。

大臣、そうすると、この三十六条の規定にのっとって、個人情報取扱事業者が匿名加工情報を作るんだという意図を持って規則にのっとって作りましたと。そうすると、公表の義務が生じるわけですから、それをもって事業者は公表するわけですね。その場合にのみ、法律上の匿名加工情報として扱われると。つまり、事業者が、いや、これは僕は匿名加工情報を作る意図はなくて、あくまで自社内の利用とか、あくまで安全上の対策とかでやるもの、仮名化をするものであるから、これは法律上言うところの匿名加工情報を作る意図も何もありませんと。そういう加工化というのはそれに当たらないので公表しませんから、それは、要は作成した事業者の側が公表する公表しない、意図を持って作成する作成しない、それをもってこの法律上の三十六条の定義に当たるか当たらないかが判断されるという整理でよろしいんですか。

○政府参考人（向井治紀君）　実際に、先生御指摘のとおり、どこでまさに匿名加工情報になるのかというのが明確化されるというのは、まさに公表されたときだというふうに考えております。

○石橋通宏君　そうすると、いいですか、整理しますが、匿名加工情報を作るという意図を持って正式な基準にのっとって作成をされたと。定義に合致するようにそれが、匿名加工情報が作られたと、事業者が意図を持ってね。それで、公表すればこの法律の匿名加工情報、第二節の規定に照らし合わせてそれが適用されるという整理でよろしいということなので、そうでないもの、そういう意図を結果的に、結果的にですよ、事業者がそういう意図がなかった、基準にものっとっていない、でも結果的に個人情報を何らかの仮名化なり匿名化の加工をしたら、条文には合致するように、要は識別できない、復元もできない状態になってしまったんだけれども、これは、いや、私はそういう意図で作ってないですから、だから公表もしませんよという、それは法律上には問題にならないという整理でよろしいですね。向井審議官、もう一回そこだけ確認。

○政府参考人（向井治紀君）　御指摘の場合につきましては、およそ利活用なされていないものでございまして、特にそれによって権利侵害だとか起こる問題ではございませんので、基本的にはそういうふうな場合に公表する必要はないものと考えております。

第189回国会会議録参議院内閣委員会第10号, 平成27年5月28日

これは要するに、たまたま結果的に2条9号の定義に該当するようなデータが作成されても、目的外で利用する意図や、第三者提供する意図がなければ、それは法律上の「匿名加工情報」に該当せず、36条の義務はかからないということが回答されている。

条文上はどう見てもそうはなっていないが、そうだというのだからそうなんだろう。言わば前掲図5の案1「客体を目的で限定する方法」が、条文上は何ら書かれていないが、暗にそういうものだとして解釈するということにしたということだ。

「匿名加工情報になるのかというのが明確化されるというのは、まさに公表されたときだ」と答弁されているが、これはいったいどういう了見なのか。「該当したら公表の義務」であるのに、「公表したら該当」だなんて、そんな法解釈ありえないだろう。「公表されて初めて（外から）匿名加工情報だとわかる」という意味なら間違ってはいないが、そんなことを尋ねられているわけではなかろう。

もう一度よく読むと、石橋委員の最初の見解「法律上の匿名加工情報を作るんだという意思を持って加工したものが匿名加工情報である」に対して、政府参考人が「御指摘のとおりでございます。」と答弁している*11。これを真に受けるとすれば、次のように整理できる。

法律上の「匿名加工情報」に該当させる意図を持って加工する場合

36条の義務がかかる。加工したものは個人データでないものとして（加工したものが個人データでないのであれば*12）本人同意なく第三者に提供したり、目的外で利用できる。

法律上の「匿名加工情報」に該当させる意図なくして加工する場合

36条の義務はかからない。加工したものが個人データでないのであれば、本人同意なく第三者提供したり目的外で利用できる（元々規制されていない）。

しかしこんな解釈アリだろうか？ これがアリなら、「俺は個人情報にしたつもりはなかった」と本気で思っているなら「それは個人情報でない」ということになってしまい、何でも規制を逃れられることになってしまいやしないか。

ただ、たしかに、2条9項の定義をよく見ると、個人情報の定義（客体の範囲を客観的に確定させている）とは違って、「（略）できないように（略）加工して得られる（略）であって、（略）できないようにしたものをいう。」とあるように、「できないようにした」という作成者の行為の要素が入り込んだ客体定義だと言えるのかもしれない。むろん、そこには、どのような目的で「できないようにした」場合かは何ら限定されていないし、36条に関連して「できないようにした」ものに限るとの限定もない。

やはり無理のある解釈と言わざるをえないと思うが、このままでは全く無用な規制をかける事態になってしまうので、そういうことにするしかない。

そもそも、法律なんてそんな綻び（論理的破綻）はそこら中にあるのであって、気にしなければいいという趣旨の声も耳にした。まあ、たしかにそうかもしれない。改正前の個人情報保護法でも、とんでもない綻びがあって、今日まで見ないふりをして誤魔化してきて、今回の改正でようやく修正されたところがある*13。3年ごとの見直し規定も入ったことであるし、それと同様に次の改正で直せばよいことなのかもしれない。

いずれにせよ、言っておきたいのは、見出しの通り「匿名加工情報の定義に該当するからといって36条〜39条の義務が課されるわけではない」ということである。

条文だけ読めばそう読めるのでやむをえないことだが、「今回の改正で委員会規則に従った匿名加工しか許されなくなる」と誤解している人が少なくないようなので、注意喚起しておきたい。

例えば、次の事案も、そのような誤解に基づくものではないだろうか。

• なぜCCCはプライバシーマークを返上し、T会員規約を改訂したのか（後編）, 浅川直輝, 日経ITPro, 2015年11月26日

  とはいえ今回の改訂では、CCCのグループ会社のみならず、Tポイントの提携先企業に渡す情報についても「特定の個人を識別できない状態に加工をする」などの制限が削除されているように読めます。なぜ、グループ会社だけでなく、提携先企業についてもデータ加工の項目を削除したのですか。
  これは個人情報保護法の改正、施行という「過渡期」にあるための措置です。グループ会社には氏名や住所といったデータを提供する一方で、提携先には、個人情報保護委員会の基準に従う形で、氏名などを除いた加工データを提供します。

  改正法では、こうしたデータ加工について「匿名加工情報」という類型が法律に加わりました。データ加工がこの類型に当たるとされた場合、委員会への届け出、提供先への通知といった義務が加わります。

  我々が、Tポイントの提携先企業に提供している「個人を識別できない状態に加工した」情報は、新法が想定する匿名加工情報というよりは、顧客のデモグラフィック（人口統計）情報のような、統計情報に近いものと考えています。

  ただ今のところ、匿名加工情報と統計情報の間には、専門家の間でも明確な線引きはありません。そもそも、こうした線引きの議論が出てきたのも、つい1年ほど前のことです。この状態で、規約にデータ加工の方法を詳細に記載するのは、あまりに規約が煩雑になり、難しいと考えました。

これは、匿名加工をする限りは必ず、委員会規則に従って加工する必要があり、公表が必要になると誤解しているのだろう。「データ加工がこの類型に当たるとされた場合、」とあるように、2条9項に該当するか否かを外部から認定されると思い込んでいる様子がある。そう認定される前に利用規約から「特定の個人を識別できない状態に加工をする」の文言を削除したということなのだろう。

だが、「統計情報に近いものと考えています。」とあるように、「特定の個人を識別できない状態に加工をする」が、非個人データへの加工であるとの自信があるならば、独自の方法で匿名加工すればよいのであって、法律上の「匿名加工情報」に該当させる意図なくして加工したということで、公表の義務もない。

他に聞いた例では、匿名加工をするからには9条2号の「個人識別符号の全部を削除すること」に従わなくてはならなくなり、そうするわけにはいかないから困るという声があった。自社内の目的内利用でそのようなことを強制されたら困る事業者は少なくないだろう。これも誤解であり、法律上の「匿名加工情報」に該当させる意図なくして加工しているものには何らの規制もかからない。

こうしたことは、条文を読んだだけではわからないので、国会の審議を辿るなどして理解する必要がある。これから新法の解説本が続々と登場するだろうが、そうした書籍ではこの点についてしっかりと解説されていることを期待したい。

■ 二郎本で学ぶ「ここがおかしいよ」改正法解説（保護法改正はどうなった 番外編）

「完全匿名化処理技術＼メルセンヌ・ツイスター／」を認定した「匿名化委員会」の解散から早3年、牧野二郎先生がご著書「新個人情報保護法とマイナンバー法への対応はこうする！」（以下「二郎本」という。*1）をご出版されたと聞き、ワクテカで購入したところ、さすが実業出版だけあって、大いに使える本に仕上がっていた。パラパラとどこを開いても間違った記述が見つかる。

まず、わかりやすいところでは、ここ。

「とされています。」っておいおい、それは附則だぞ。「行政機関における保有個人情報についても、匿名加工が許されており、」って、まだ何も決まってないんだぞ。「この「行政機関等匿名加工情報」の利用目的や、取扱いの内容については、さらに個人情報保護委員会に検討させて、所要の措置を講ずる、としています。」って、オイ、検討するのは行政管理局だし、個人情報保護委員会に行わせることを検討するんだぞ。所要の措置ってのは行政機関法の改正のことだなんだぞ。それに、それ「マイナンバー法」じゃないし……。

---

---

いったい附則を何だと思っているのだろうか。

それから次に、こちら。

共同利用の該当要件が改正で変わったというのだが、これは単に日本語の直しをしただけのところだ。

今回の改正で、旧23条4項は、23条5項に項番号がずれた（4項（委員会による公表）が挿入されたため）うえ、若干の文言修正が行なわれている。23条5項は、二郎本が指摘する3号だけでなく、1号も修正されており、2号と合わせて見比べれば、その意図は明らかであろう。

---

---

1号の委託のケースは、改正前では「……個人データの取扱いの全部又は一部を委託する場合」とざっくり書かれていたのが、改正によって「委託することに伴って当該個人データが提供される場合」と、わざわざそういう言い回しに書き直された。委託について何か明確化するという議論はなかったので、この修正に内容の変更を伴う意図はないはず。単に「委託する場合」という言い回しでは曖昧なので、「ことに伴って提供される場合」と書いたものと思われる。この文言は、2号に元からあった「事業の承継に伴って個人データが提供される場合」との表現と揃えられたものとみられる。*2

それに照らしてみれば、3号の共同利用のケースも、改正前で「個人データを特定の者との間で共同して利用する場合」とざっくり書かれていたのが、「共同して利用される個人データが提供される場合」と書き直されたのも、1号と同趣旨と考えられる。

それなのに、二郎本は、「というように、「当該特定の者に提供される」という言い回しにより、特定の者という点が強調され、不特定ではいけない、という意味が色濃く出ました。」と主張する。

「特定の者」云々というが、改正前から3号は「個人データを特定の者との間で共同して利用する場合」となっていて、「特定の者」との間での共同利用に限られることは元々明記されていたのだから、「お前はいったい何を言っているんだ？」である。「当該特定の者」と「当該」が付いているのは、文の前に先に出ている「特定の者」を指しているだけなので、そこに特別な意味はない。

また、「共同利用であって、提供関係ではないはずなのに、あえて提供されるとしている点も特徴的です。」などとわけのわからないことを言っているが、23条5項（改正前では4項）のこの規定は、柱書きに「第三者に該当しないものとする。」とあるように、「提供は提供だけども23条の第三者提供には当たらないことにするよ」という意味であり、二郎本が言う「提供関係ではないはずなのに」というのはまさにこの規定の「第三者提供には当たらないことにする」の趣旨そのものである。*3

二郎本は、第5-2節で「共同利用に大きな制限」という見出しを付け（前掲図2）、あたかも今回の改正で規制強化されたかの如く書き、見出しに「★消費者にとってメリットのある制度でも厳しく制限される」などと副題を付けて、これに不満を滲ませているが、本文中には次のように書かれている。

この制度設計と現実との乖離現象が明確化したのが、ポイント制度でした。様々な企業が、顧客が購入した商品ごとにポイントを付与して、ポイントを利用すれば実質値引きが実現するようなサービスが始まり、特定のポイントに多数の事業者が加盟して、互いに情報を交換しあって、ポイントの利用価値を高めるようになってきました。

特定のポイント制度に集まる事業者の数は数百、数千と膨らんでいきましたので、ポイントサービスは広範囲に普及するようになってきました。

ポイント制度では、ある商品を買った場合、買った商品に対して一定のポイントが与えられます。そのポイントを持って、他の商店でポイントを使うことができるわけですが、そのためには、当該消費者が何ポイント持っているのかを商店が共有情報として持ち、一定のポイントを消化して割り引いた場合には、消費者の保有ポイントが直ちに減少し、その情報が他の商店と共有される必要があります。こうして、ポイントを管理する本部に情報が集約するのですが、各店舗での利用状況が反映されるため、共同利用形態が活用されたわけです。

しかし、経済産業省はこうした共同利用を認めず、第三者提供として処理すべきであると判断しました。それは、当初の制度設計が固定的なものであったこと、さらに、急速に増加する加盟店について、消費者が知る機会がないこと、もはや「特定の者」とはいえないのが現実であること等の理由だったようです。

事業者側は、ポイントをどこでも利用できるような便利なサービスにするのは消費者の希望であり、ポイント制度は消費者の利便性に資するものであるのであって、加盟店が増加するのは消費者のためにこそなり、弊害に当たらない、と反論しました。また、個人情報といってもポイントの数値の共同だけですので、消費者の利害関係に強く影響することはないことも理由の1つであったようです。

牧野二郎, 新個人情報保護法とマイナンバー法への対応はこうする！, 日本実業出版社（2015）, 167〜169頁

これはTポイントの件のことのつもりなのだろう。CCCがT会員規約で「共同利用」としていたのを「第三者提供」に改めた経緯については、先月21日の日記「CCCはお気の毒と言わざるをえない」にまとめた通りであるが、二郎本の言っているこれは破茶滅茶だ。

まず、これは今回の法改正により規制強化されたのではなく、経済産業省ガイドラインの改正で明記されたものであり、法改正前から元々違法であったもの*4である。

次に、二郎本は「経済産業省は（略）第三者提供として処理すべきであると判断しました。」と言っているが、経産省ガイドライン改正で明記されたのは、共同利用に当たらないことだけであって、「第三者提供で処理すべき」などとは誰も言っていない。先月21日の日記「CCCはお気の毒と言わざるをえない」に書いたように、Tポイントのケースは、第三者提供も加盟店に対しては行われていないのが実態であると推察されるところであり、それを「第三者提供」とする道を選んだのはCCCの独走によるものにすぎない。

そして致命的に駄目なのが、事実認識が出鱈目だということだ。

「当該消費者が何ポイント持っているのかを商店が共有情報として持ち、一定のポイントを消化して割り引いた場合には、消費者の保有ポイントが直ちに減少し、その情報が他の商店と共有される必要があります。」などと書かれているが、Tポイント事業にそのような実態はない。「何ポイント」の管理はすべて共通ポイント運営者であるCCCが行っていて、加盟店は、端末の設置と操作を委託されているだけであり、「何ポイント」のデータを保有していない。このことは、Tポイント以外の共通ポイントやクレジットカードに付帯するポイントサービスに目を向けても同様であり、二郎本が言うような事業形態は存在しないだろう。いったいどこの世界を見ているのか？

しかも、「個人情報といってもポイントの数値の共同だけですので、消費者の利害関係に強く影響することはない」などと書かれているが、問題となったのは、ポイントが付く際に、購入した商品名まで店舗からCCCへ送信され、それがデータベース化されて利用されており、「共同利用する」というのがそうした購買履歴が加盟店に提供されることを意味しているのか*5であった。二郎本は何が問題点とされたのかまるで見えていない。

二郎本が着目している、ポイント使用時のポイント数データの移転について、どうかと言えば、加盟店側で使用ポイント分の差引額を記録することになるから、これがポイント会社から加盟店への第三者提供*6ということになるが、個別の本人同意による移転であることは明らか（ポイントを使用すればポイント会社からその加盟店に使用額が渡されるのは自明*7）なので、そんなことは端から誰も問題にしていない。

そして重要なのが、こちら。

「これまで、匿名加工する場合にも本人の同意が必要である、というのが政府のガイドライン等の要求でした。個人情報から出たものは個人情報だ、という考え方でした。」「その点が見直され、今回の改正になったのです。（略）いつでも、自由に、加工作業ができることになりました。」などと、全く出鱈目なことが書かれている。

これまでに何度も書いてきたように、統計値へ集計するための入力とするのは個人情報の利用に当たらないというのが、経産省ガイドラインQ&A「Q45」で示された考え方であった。

個人情報だと一切触れてはいけないという誤解は、いったいどこから出てくるのであろうか。例えば、電気通信事業者が通信の秘密に抵触するような処理であれば、統計値へ集計する入力にするからといって通信の秘密を侵してはならないし、一部の業法で規制されている分野や刑法に抵触する場面でも、同様に一切触れてはならないとされるところもあるのだろう。また、一般的な個人データであっても、委託元から受託している案件については、統計値へ集計するするからといって勝手に独自の集計への入力としてはならないのは当然であるが、それらにはちゃんと個人情報保護法とは別の理由があるわけだ。（むろん、これらの場合は、法改正により匿名加工情報に加工することが認められるようになるわけでもない。）

二郎本が言うような「個人情報から出たものは個人情報だ」という発想は、そういったケースと混同しているのだろうか。

二郎本のこれを読んで真に受けた読者は、前回の日記「匿名加工情報は何でないか・前編」の「匿名加工情報の定義に該当するからといって36条〜39条の義務が課されるわけではない」で注意喚起した典型的な誤解をするだろう。

匿名加工は従前もごく普通に行われてきたこと（安全管理措置として、又は、統計値への集計の途中過程として）なのに、二郎本によれば「匿名加工する場合にも本人の同意が必要」だったことになっている。この本を真に受ければ、「委員会規則の基準に従わない匿名加工は禁止だー！」と思ってしまう人が続出するだろう。

本文には次のように書かれている。

(2)なぜ匿名加工情報なのか

様々なサービス事業者が、個人に働きかける場合には、個人識別情報を利用して、特定の個人にアプローチするでしょう。しかし、現在のマーケティング手法では、そうした個々の個人への直接的なアプローチだけではなく、メディアやサービスを通してより大きなマーケットのより多くの人々に、広くアプローチする手法を採用しています。

特定の個人へのアプローチ方法では、特定の個人の情報で特定の人にしかアプローチできません。新しい人へのアプローチは不可能なのです。ところが、マーケットを利用して、多くの人が希望するサービスや物品、好きなイメージを持った環境等を提供することで、潜在的な顧客を掘り起こして、顕在化させ、消費者のほうからサービス事業者へアプローチしてくれる形になるというのです。

例えば、アマゾン・ドット・コムのリコメンデーションもその1つと言われています。ある書籍を購入する人がいたとして、その人が次に買う本を調べます。同様に何人かの人の購入する書籍を調べます。すると、一定の行動様式や傾向が見えてきます。そこで、最初の本を購入した新しい顧客に、「この本を買った人はこういう本も買っていますよ」とレコメンド（推薦）するわけです。すると、多くの人は、同じ傾向を持っているので、その推薦を歓迎し、一度に推薦された本も含めて購入するということになり、大変強力な販売促進効果を得ることができるのです。

（中略）

ここで必要とされるのが匿名情報です。

牧野二郎, 新個人情報保護法とマイナンバー法への対応はこうする！, 日本実業出版社（2015）, 179〜181頁

まるで、匿名加工情報の制度がないと、Amazon.comと同じことが許されないかのような口ぶりだが、まさにそういうことが、第1-5節「個人情報を理解する④ 匿名加工情報とはどういうものか」の42〜43頁で、以下のようにはっきりと書かれている。

こうして、取得した多くの個人情報は使われぬまま、活用の道がなく、死蔵されていたわけです。

しかし実務では、個人情報の利用方法として、個人名、個々の個人の識別符号は使わずに、属性情報を解析することで新しい利用価値を生み出せるとして、利用したいとの要望がありました。たとえば、ある年代の女性が強く興味を持つ商品群やその傾向、購買行動の解析などを通して、次の新商品を開発するといったことが可能になるというものです。

米国企業であるAmazonなどでは、購入履歴を詳細に収集し、匿名加工して購買履歴情報を収集して、商品の販売促進に活用しているという状況もあり、わが国の情報活用が著しく遅れてきたという事実が指摘されていました。

牧野二郎, 新個人情報保護法とマイナンバー法への対応はこうする！, 日本実業出版社（2015）, 42〜43頁

出鱈目だ。Amazon.comのケースはファーストパーティのデータ利用であり、これまでも、個人情報保護法上何ら問題がなく、同様のことが許されてきた。現に「これを買った人はこれも買っています」というサービスは国内にもいくつも存在するではないか。いったいお前は何を見ているんだ？

こういった輩が、出鱈目を方々に吹聴しているせいで、方々でありもしない規制を妄想して「規制改革じゃー」と幻覚に苛まれた挙句、「利用目的変更をオプトアウト方式で可能に」などという制度破壊を目論み、そして自滅するという（2015年3月8日の日記「世界から孤立は瀬戸際で回避（パーソナルデータ保護法制の行方 その14）」参照）ことが起きるのか。

いい加減こういう素人はこの業界から去ってほしいし、業界も素人を見抜く眼力を持つべきだ。こういう輩に振り回されて、明後日の方向へ規制改革の検討を繰り返していたら、本当にこの国が滅ぶ。