高木浩光＠自宅の日記

■ 匿名加工情報は何でないか・前編（保護法改正はどうなった その2）

改正で新設される「匿名加工情報」がどういうものであるか、誤解している方は少なくないと思われる。それどころか、未だはっきりしない論点も残っている。このシリーズでは、国会審議のさなかにも続いていた論点を振り返って、その謎をひとつひとつ紐解いていく。

匿名加工情報は「個人データであっても第三者提供を許す」の形ではなかった

匿名加工情報という規律の誕生は、パーソナルデータ検討会第1回の事務局資料「パーソナルデータの取扱いルール整備に向けて検討すべき論点」で図1のように書かれていたのが始まり*1であり、続く第2回で鈴木正朝委員が提出した資料「「パーソナルデータの取扱いルール整備に向けて検討すべき論点」について（私案）」がその具体的な原案となったものと言えよう。

図2の2枚目スライドは、規制改革会議の要求通り法改正なしにガイドラインで解決する場合には、「モデル1-①」のように、自社内で最終的な統計値へ集計したものを販売するか、「モデル1-②」のように、十分に非個人情報化されるところまで加工した「再識別不可能データ」（多次元の統計値データのようなもの）を販売するところまでしか許されないであろうと指摘したもので、それに対して、3枚目スライドは、立法措置があれば、モデル1-②よりはもう少し元データに近い「合理的匿名化データ」を販売できる（モデル2-①）ようにできるし、さらには、「モデル2-②」のように、1枚目スライドと同じ「半生データ」（氏名等を削除しただけで履歴データは元のままのデータで、データセットとして元データと照合ができるという、モロ個人データに該当するもの）であっても、受領者に法的義務を課すことを前提に販売を許すことも考えられるという整理であった。

その後、技術検討WGの報告書で、「いかなる個人情報に対しても、識別非特定情報や非識別非特定情報となるように加工できる汎用的な方法はない。」との結論が出され、「新たな法的措置を前提とした技術的措置への対応」という提案が出てきた。

ここでは、「個人特定性低減データ」という仮の用語が使われ、「……を低減している個人情報を第三者に提供することを可能とする方法」という表現で書かれている。つまり、個人データ（個人情報）であっても第三者提供を許すというものであり、そのようなデータを指す仮称として「法第23条1項適用除外情報」という語が用いられている。

この段階でも、モデル2-②まで許すのか、それとも、モデル2-②はさすがにリスクが高すぎるから許すべきでないのか、その点の結論は出されていない。6月の「大綱」でも明記されなかったし、12月の「骨子案」でも明らかでない書きぶりだった。

モデル2-②を許すかは、加工の基準を定める委員会規則で調整することもできるので、法律上はとりあえず許す設計にしておくことが考えられる。1月21日に開かれた某私的研究会の席*2で、パーソナルデータ関連制度担当室の参事官に、モデル2-②も残っているのかどうか*3を尋ねたところ、残っているというような様子だった。

ところが、3月10日に閣議決定されて公表された法案の条文は、「個人データであっても第三者提供を許す」という形にはなっていなかった。2条9項に「匿名加工情報」の定義があり、36条で「匿名加工情報を作成するときは委員会規則に従って加工しなければならない」とするものになっていた。

---

---

この条文構成だといくつもの矛盾が噴出してくる。すぐに気づく問題点は、2条9項の「匿名加工情報」の定義に該当するようなデータを作成するときは必ず委員会規則に従わないといけないのか？という点である。2条9項の「匿名加工情報」の定義は、ごく一般的な匿名加工の方法で作成されたデータが皆該当してしまうものなので、従前ごく普通に行われてきた様々な処理が、必要もないのに委員会規則の基準に従わなければならないという、極めて理不尽な規制ということになってしまう。

このことについては、3月10日の日記「匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）」で詳しく書いた。

そのときの図1でも触れていたように、12月の「骨子案」を見ると、匿名加工情報の説明は以下の図4のようになっており、「第三者に提供するために作成するときは」とあるし、「（ア）により作成した者が」「（イ）により取得した匿名加工情報を」と書かれている。閣議決定された条文では、肝心のこれらの係り要件が消えていたのであった。

この「第三者に提供するために」が消された理由として、自社内での目的外利用の用途に匿名加工情報を利用できるようにするためにそうしたのではないかとの推測を、3月10日の日記では書いた。その後、3月27日に次の報道があった。

• 個人情報保護法改正案、「匿名加工情報」は社内利用にも適用, 大豆生田崇志, 日経ITpro, 2015年3月27日

  「ビッグデータ活用」のために個人情報保護法改正案に盛り込まれた「匿名加工情報」について、第三者への提供を目的としない社内利用にも適用する規定であることが明らかになった。2015年3月25日に開かれた衆議院内閣委員会で、高井崇志議員の質問に対して政府として向井治紀審議官が答弁した。

  （略）

  関係者によると、第三者提供を前提としない匿名加工情報の規定は、2015年に入って一部企業の要望を受けて設けられたという。大手インターネット企業などでクッキーなどのデータを分析する際に、自社内で匿名加工情報として元に戻せない情報にして分ければ、本人同意を取り直したり、社内で個人情報として管理せずに済むといった狙いがあるものとみられる。

大豆生田記者の取材によれば、一部企業の要望があって1月以降に条文が修正されたということであった。そのような自社内でのデータ利用は元から規制されていないので、こんな措置は必要なかったのに……という話は3月10日の日記に書いている。

3月28日に開催された情報法制研究会第1回シンポジウムで、私は「個人情報保護法改正案の問題点（中立的観点から）」と題してこれらの問題を指摘した（資料、動画）。

このシンポジウムを通して確信を持った私は、解決策を示さなければ始まらないと思い、条文修正案の作成を試みた。図5のスライドはシンポジウムの翌々日30日に若干の加筆をした（後日配布版として）もので、この時点では、「匿名加工情報」定義を目的で限定する方法（案1）、義務規定を目的で限定する方法（案2、骨子案に近い）、作成と提供を一体化する方法（案3、36条4項をヒントにしたもの）を考えていた。条文の作成は、慣れない私にとっては困難な作業であったが、4月3日に第1版がどうにかできた。この試案（とその考え方）を以下に転載しておく。

修正の要は、36条1項を、「第23条第1項の規定にかかわらず、」「委員会規則で定める基準に従い、個人情報を加工することにより匿名加工情報を作成して」「当該匿名加工情報を第三者に提供することができる。」という構成にした（図5の案3に相当）ところにある。このように匿名加工情報を作成することと提供することとを不可分にしたことで、作成について委員会規則に拘束されるのが、この規定により提供する場合に限られるようになっている。また、36条2項以下の個人情報取扱事業者の各義務及び37条以下の匿名加工取扱事業者の各義務を、36条1項の規定により作成したとき・提供を受けたときに限って適用されるようにした（骨子案の（イ）（ウ）（エ）と同様に）。これにより、36条1項を適用せずとも適法である場面において委員会規則に従っていない匿名加工情報を取り扱っても違反とならないようになる。

---

匿名加工情報に関する規定の不備を解消する条文修正試案

修正案の考え方

2015年4月3日作成の文書より

---

本来やりたかったはずのことはこういうことだったはずだ。それにしても、12月の骨子案ではこれに近い条文構成が想定されていたフシがあるのに、一部企業の要望によってここまで崩壊してしまうものだろうか？

今になって思うと、一部企業の要望のせいというよりは、内閣法制局のおかしな横槍のせいで崩壊したのではないかという気もしないでもない。少なくとも完成した条文に問題がないとしたわけであるから、論理的に崩壊していることに気づいていない（この点については次節で再び述べる。）ことは確かである。

私は鈴木先生とともに、4月上旬から5月11日にかけてこの修正試案をしかるべきところに託した。その成果はというと、残念ながら目的を達成するに至らなかったわけであるが、その途中の過程で興味深い情報が入った。この修正試案では業界の人が呑まないというのである。誰がそう言っているのかその理由も定かでなかったが、おそらくは、自社内目的外利用の場合を外しているからだろうということで、急遽翌日、修正試案を以下のように第2項を挿入した第2版に更新した。

---

匿名加工情報に関する規定の不備を解消する条文修正試案 第2版

修正案の考え方

2015年5月12日作成の文書より

---

自社内目的外利用に手当てする必要はないと思っているので、不本意ではあったが、「まあいい」ということで、このように第2版を作成した。これで業界のどなたかも呑める案になったのではないかと思ったが、内容がどうこう以前の都合によって、法案修正には至らなかった。

6月1日、参議院内閣委員会で可決寸前のところで、日本年金機構サイバー攻撃被害事件の発覚という神風が吹いて、法案の可決は9月まで延期されたため、かなりの時間的猶予が生じたが、誰も何もしなかった（おそらく）ため、法案は原案通り（個人情報保護法改正部分は）で可決成立した。

以上のように、12月の骨子案までは「個人データであっても第三者提供を許す」の形で構想されていたフシがあったのに、おそらくは不幸な要因により、そうではない形になってしまった。かくして、このことがいくつもの矛盾を孕むことになる。

匿名加工情報の定義に該当するからといって36条〜39条の義務が課されるわけではない

2条9項で規定されている「匿名加工情報」の定義は以下のものである。

---

---

情報処理に携わっている者ならすぐに気づくように、この定義に該当するような処理は現にそこらじゅうで行なわれている。わかりやすい例としては、データ処理を他の事業者に委託する場合に、氏名を削除したデータを作成してそれを預託するという形がごく普通に行われている件が挙げられる。この場合、元データと照合できるデータセットならば、個人データの提供ということになり、旧23条4項1号の委託に該当することから、23条の第三者提供に当たらない代わりに22条の委託先の監督義務がかかり、受託者も個人データとして取り扱うもの*6となっている。このような「匿名化」の措置は安全管理措置（20条）の一環として行われている*7。

このようなデータが2条9項の「匿名加工情報」に該当するのであれば、36条の義務が委託者に、38条〜39条の義務が受託者に課されることになる。36条1項は、条文上、「個人情報取扱事業者は、匿名加工情報を作成するときは、」としているので、個人情報取扱事業者ならば常にその作成について義務がかかるとしか読めない。同4項も、「個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、」としているので、前記のようにデータ処理を委託する場合もこれに当たり*8、「情報の項目及びその提供の方法について公表する」義務がかかるとしか読めない。

このような解釈ならば、これまで適法に行われてきた業界の慣行に無用な規制をかけることとなるものであり、到底容認できないものということになる。

このことについて、3月10日の日記「匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）」では、次のように指摘していた。

つまり、委員会規則で定められた基準に従わない「匿名加工情報」の作成は法律で禁止されることになる。第三者提供するつもりがなくても、である。

これは大変マズい。これまでも、個人情報取扱事業者は、自社内で個人データを取り扱うときに、氏名を削除するなどの加工をして、その後に統計化するなどの処理を、ごく普通に当然の適法な行為と疑うことなく行ってきただろう。それが、この改正によって違法となってしまう。そんなバカなと思われるかもしれないが、条文上はそうなっている。

また、同条3項によれば、匿名加工情報を作成したら、その項目を公表しなければならないそうだ。いついかなる時もである。事業化する前の段階でテストとして試しにちょっと匿名加工情報を作ってみただけでも*3、公表しないでいると違法になってしまう。そんなご無体な。これじゃまるで危険物の取締りのようだ。

同様に、第三者提供するつもりがなくても、同条2項により、「行った加工の方法に関する情報の漏えいを防止するため」の安全管理措置義務を負うことになるし、同条6項により、苦情の処理も受け付ける努力が求められる。自社内でどんな匿名加工しようが勝手なのに。

匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）, 2015年3月10日の日記

23条と同様の除外がない。ということは、委託・事業承継・共同利用の場合も、これらは適用されることになる。

これはマズい。これまでも、一般に、データ処理の委託のために、個人データを半生データに加工（氏名を削除するなど）して「匿名加工情報」の形で委託先にデータを預託することは、安全管理措置の一環として、ごく普通に行われている。これが、今回の改正で、委託元に「項目及びその提供の方法について公表する」義務が新たに課されることになる。

こうした加工をしないで生データのまま個人データを委託先に預託する場合は何ら義務がかからない（22条の委託先の監督義務はあるにせよ）のに、安全管理措置として良かれと思って半生データに加工すると、「項目及びその提供の方法について公表する」義務がかかることになる。これでは、余計な義務を嫌がって、生データのまま預託する事業者が続出するだろう。この改正によって、安全管理措置の一つが蔑ろにされ、社会全体のデータ漏洩の脅威が増大することになる。

それだけではない。匿名加工情報の加工方法は、36条1項により、委員会規則で定める基準に強制されるので、もし、その委員会規則の基準が、仮名化（氏名を削っただけ）では匿名加工として認めないレベルで制定された場合には、委託の際の安全管理措置として半生データを作成・提供することが、違法になってしまう。そのため、委託のときは生データで預託するしかない場合が続出しそう（k-匿名化したら用をなさないような委託ではそうするしかない）である。

匿名加工情報の規定ぶりが生煮えでマズい事態に（パーソナルデータ保護法制の行方 その15）, 2015年3月10日の日記

これらの指摘が、ある業界団体の方々に伝わったようで、3月24日、その業界団体の方との立ち話で「その件は議員さんに伝えてある」と聞かされた。

そしてその翌日、3月25日の衆議院内閣委員会第2回で次の質問が出ていた。

○高井委員　（略）

それでは、次の、ちょっと細かい話になって恐縮なんですが、匿名加工情報、先ほどからも出てきています。個人情報なんだけれども、誰かわからないようにする。氏名とか年齢とか、わからないように匿名化して、そして、それだったら活用してもいいよ、場合によっては第三者に提供したりしてもいいよという、これは今回の法律で非常に大きな目玉であります。

この匿名加工情報については、法律の第三十六条というところにずっと出てくるんです。ところが、今申し上げた第三者に提供するときに対してさまざまな規制がかかるのではないかと思うんですが、実はこの法律の第四項にだけ「第三者に提供するとき」と出てまいりまして、そのほかの一項、二項、三項、五項には出てこないんですね。ただ、私は、これは三十六条全体が第三者に提供するときということを前提にした法律じゃないかと思うんですが、違うんでしょうか。

○向井政府参考人　お答えいたします。

匿名加工情報そのものは、それを作成いたしました個人情報取扱事業者内部におきましても、匿名加工情報のもととなった個人情報取得の際の利用目的にとらわれることなく、第三者に提供しなくても自社利用が可能でございます。

この点を明確にいたすために、三十六条は、匿名加工情報を作成した場合における義務として、第一項におきまして加工基準の遵守、第二項におきまして加工方法等の漏えい防止、第三項におきまして作成した情報の項目の公表義務、第五項におきまして匿名加工情報の識別禁止、六項におきまして安全管理措置を規定しております。これは、第三者提供のみではなく、自社利用の場合にもかかるというものでございます。

これに加えまして、作成した匿名加工情報を第三者に提供する場合の規律として第四項を設けまして、あらかじめ、第三者に提供する情報の項目及びその提供の方法を公表するとともに、提供に係る情報が匿名加工情報である旨を明示しなければならないとしているところでございます。

○高井委員　まあ、そういう答弁かなと思ったんですが。

実は、匿名加工したものを自社で利用する場合というのはどういう場合かというと、いろいろな個人情報を会社で持っているんだけれども、セキュリティー上、万が一漏えいしてはいけないということで社内で持っておいたりするとき、あるいは業務委託とかしたりするときに、一部匿名化して保有するということがあるんですね。ところが、今のこの条文だと、そういう利用についても一々公表とか、いろいろ匿名加工情報というのは義務規定が、本来ある個人情報よりも厳しい規定というか、余計な事務が発生するということになってしまいます。

そうすると、事業者とすると、だったら、今までは会社の中であえて匿名化していたけれども、では、もう匿名化せずに、生の個人情報のままでずっと保管しておかなきゃいけなくなるねと。そうすると、万が一漏えいしたときに、それが個人情報の漏えいになってしまうということで、私は、非常に事業者に余計な負担をかける法律になってしまっているんじゃないかと思いますが、いかがですか。

○向井政府参考人　お答えいたします。

匿名加工情報につきましては、まず、通常、個人情報を匿名化して別途保存しながら使うということがよく会社で行われていることは承知しております。

ただ、その場合でも、通常は、別のＩＤと容易に照合することにより個人情報になり得るものとして、その一部が匿名化されているということではないかと思いますので、それが全体としては個人情報になるということが多分多いのではないかと思いますが、実態は、実際、匿名加工情報という場合は、そういう意味では、匿名加工されたものが切り離されて、それで安全管理措置とかが講じられているもののみが匿名加工情報でございますので、そういったものを利用するというのは、一種特殊な場合ではないかと考えられます。

ただ、現実問題として、そういうふうなものがどういうふうに会社で管理されているかというのは多分ケース・バイ・ケースにならざるを得ないと思っておりますので、そこのところは、やはりまた、今後そういう実際の運用をしていく際に、常識的に、より安全、安全といいますか、わざわざそういうふうな危険を減らすためのようなものが匿名加工ということに当たることによりまして余計な負担が生じないような運用をする必要があると考えておりますので、そういう運用をする際にも、企業の実態をちゃんとヒアリングして、聞いてから定める必要があるというふうに考えております。

○高井委員　本当にそのとおりだと思います。

私も、会社の中でどういう運用とかをやっているかまで詳細にはわからないので、やはりそういったことを私も聞きますし、また皆さんの方でもしっかり聞いていただいて、本当に屋上屋を重ねるというか、法律ができたことによって、何の法の趣旨とも関係ないんだけれども、余計な手間が、法律に書いてあるからやらざるを得ないみたいな、そういうことはないように、ぜひこれからも注意していただきたいと思います。

第189回国会会議録衆議院内閣委員会第2号, 平成27年3月25日

このように、「自社内で個人データを取り扱うとき」と「データ処理の委託のため」について、しっかりと質疑が行われている。

政府参考人の答弁は、よく見ると「自社内で個人データを取り扱うとき」についてしか述べていない（「別途保存しながら使う」ケースについて答えている）が、質問が「あるいは業務委託とかしたりするときに」とあるので、それにも答えたものとして解することができるだろう。

答弁が途中から「一種特殊な場合ではないか」「多分ケース・バイ・ケースにならざるを得ない」「聞いてから定める必要がある」とシドロモドロになっているのは、「何かおかしい」と気づきながらうまく言えないことが正直に言葉に出てしまう、向井審議官のお人柄によるものだと思う。

これを「業務委託とかしたりするときに」についても答えているとみなすならば、本来の答弁は次のような形のものであって然るべきだっただろう。

まず、通常、個人情報を匿名化して、別途保存しながら使う、あるいは委託先に提供するということがよく会社で行われていることは承知しております。

ただ、その場合でも、通常は、別のIDと容易に照合することにより個人情報になり得るものとして、その一部が匿名化されているということではないかと思いますので、それが全体としては個人情報になるということが多分多いのではないかと思いますが、実態は、実際、匿名加工情報という場合は、そういう意味では、匿名加工されたものが切り離されて、それで安全管理措置とかが講じられて、別のIDと容易に照合することができないようになっているもののみが匿名加工情報でございますので、そういったものを利用あるいは委託先に提供するというのは、一種特殊な場合 匿名加工情報には当たらないのではないかと考えられます。

つまり、法律上の「匿名加工情報」は、個人情報に当たらないもののみが匿名加工情報たり得るというものであり、先に例示したような「匿名化して委託する」ときというのは、依然としてそのデータは個人情報であるから、匿名加工情報の提供に当たらず、36条〜39条の義務は課されないということであろう。

この質疑を踏まえて、3日後の3月28日の情報法制研究会第1回シンポジウムでは、資料の3枚目〜12枚目スライドを作成している。

この時点では、元データとの照合で個人データとなるような匿名化をしたデータ（元データと一対一対応する、いわゆる「仮名化データ」）は、法律上の「匿名加工情報」に当たらないと整理することで、一応、「これまで適法に行われてきた業界の慣行に無用な規制をかけることとなる」という最悪の事態は回避されている*9としてお話しした。

ところが、その後、その整理でもなお問題は残っており、解決していないことに気づいた。

元データと一対一対応するのではなく、例えばk-匿名化のようなグループ化処理を施す匿名化処理をして、自社内で目的内で利用（特定した利用目的の範囲内で利用）する場合が、やはり法律上の「匿名加工情報」に該当してしまい、無用な規制がかかることになってしまう。そのような処理も、自社内での統計処理の途中過程において、ごく普通に行われていることであろう。

そもそも、条文上、目的内と目的外の区別がないので、こうなるのは必然である。どこぞの事業者の要望によって後からねじ込まれたこの規定は、目的外利用を本人同意なしに可能とする替わりに導入する縛り（公表の義務や加工方法の義務）によって、何の罪もない目的内利用についてまで道連れに無用な規制をかけることになるわけだ。このケースも到底容認できないものであろう。

このことについて、5月11日に、鈴木正朝先生と共に、向井審議官及び担当室の方々と意見交換の機会を頂いた際にその場で指摘した。この問題を解決するには法案修正しかないとして、前掲の修正試案もお示ししている。問題の所在は向井審議官には伝わったと思ったが、残念ながら修正試案の出来がどうこういう以前の都合によって法案修正には至らなかった。

それ以降はもはや諦めていたので「どうにでもなればいい」と鼻を穿りながら傍観していたが、5月28日になって、参議院内閣委員会の質疑で、その回答とも言える答弁が飛び出してきたのを中継で見て、驚いた。*10

○石橋通宏君　そこは大変重要なところです。

といいますのは、第三十六条の条文を、これ改めて確認をしていきますと、これは、個人情報取扱事業者、個人情報を持っている事業者が匿名加工情報を作成する、つまり、意思を持って、これから法律上の匿名加工情報を作るんだという意思、意図を持って、その委員会規則で定める基準に従って個人情報を個人を識別できないよう、かつ復元できないよう、これ法律の要請ですね、加工したものが匿名加工情報であるという規定になっているわけです、ですね。

とすると、これに合致しない加工情報というのは法律上の匿名加工情報にはならないということで整理をしたいと思いますが、それでよろしいですね。

○政府参考人（向井治紀君） 御指摘のとおりでございます。

○石橋通宏君　ということは、これ、かねてから衆議院でも質疑出ていたと思いますが、個人情報を持っている事業者が、例えば安全上の観点から、これは今、現行でもよくある話です、匿名化をする若しくは仮名化をすると。一定の識別情報等々を取り除いて、普通取り扱うというようなことはされております。今回、それが、じゃ、匿名加工情報に当たるのではないかと。どこからどこまでが当たるのか当たらないのかということが、かなり混乱を持って議論されてきたわけです。

今の御説明でいくと、そういう場合、つまり事業者がこれは匿名加工情報を作るので規則にのっとってこれを加工しましたというのでなければ匿名加工情報には当たらないという今御説明だったので、とすると、先ほど言ったように、事業者が安全上の観点などなどから全く別の目的で加工化した、仮名化した、それは法律で言う匿名加工情報には当たらないというのが政府見解であるということでよろしいんですね事業者が安全上の観点などなどから全く別の目的で加工化した、仮名化した、それは法律で言う匿名加工情報には当たらないというのが政府見解であるということでよろしいんですね。

○政府参考人（向井治紀君）　委員御指摘の、形式的に匿名化を施したというふうなもの、加工を施したという場合にまで匿名加工情報としての取扱いを求めるものではございません。

○石橋通宏君　そうすると、一体どういう場合に、どういう時点に法律上、匿名加工情報に当たるものになるのかというのは、誰がどう判断するのかということが非常に曖昧にむしろなるのではないかなということが心配されるわけです。

大臣、そうすると、この三十六条の規定にのっとって、個人情報取扱事業者が匿名加工情報を作るんだという意図を持って規則にのっとって作りましたと。そうすると、公表の義務が生じるわけですから、それをもって事業者は公表するわけですね。その場合にのみ、法律上の匿名加工情報として扱われると。つまり、事業者が、いや、これは僕は匿名加工情報を作る意図はなくて、あくまで自社内の利用とか、あくまで安全上の対策とかでやるもの、仮名化をするものであるから、これは法律上言うところの匿名加工情報を作る意図も何もありませんと。そういう加工化というのはそれに当たらないので公表しませんから、それは、要は作成した事業者の側が公表する公表しない、意図を持って作成する作成しない、それをもってこの法律上の三十六条の定義に当たるか当たらないかが判断されるという整理でよろしいんですか。

○政府参考人（向井治紀君）　実際に、先生御指摘のとおり、どこでまさに匿名加工情報になるのかというのが明確化されるというのは、まさに公表されたときだというふうに考えております。

○石橋通宏君　そうすると、いいですか、整理しますが、匿名加工情報を作るという意図を持って正式な基準にのっとって作成をされたと。定義に合致するようにそれが、匿名加工情報が作られたと、事業者が意図を持ってね。それで、公表すればこの法律の匿名加工情報、第二節の規定に照らし合わせてそれが適用されるという整理でよろしいということなので、そうでないもの、そういう意図を結果的に、結果的にですよ、事業者がそういう意図がなかった、基準にものっとっていない、でも結果的に個人情報を何らかの仮名化なり匿名化の加工をしたら、条文には合致するように、要は識別できない、復元もできない状態になってしまったんだけれども、これは、いや、私はそういう意図で作ってないですから、だから公表もしませんよという、それは法律上には問題にならないという整理でよろしいですね。向井審議官、もう一回そこだけ確認。

○政府参考人（向井治紀君）　御指摘の場合につきましては、およそ利活用なされていないものでございまして、特にそれによって権利侵害だとか起こる問題ではございませんので、基本的にはそういうふうな場合に公表する必要はないものと考えております。

第189回国会会議録参議院内閣委員会第10号, 平成27年5月28日

これは要するに、たまたま結果的に2条9号の定義に該当するようなデータが作成されても、目的外で利用する意図や、第三者提供する意図がなければ、それは法律上の「匿名加工情報」に該当せず、36条の義務はかからないということが回答されている。

条文上はどう見てもそうはなっていないが、そうだというのだからそうなんだろう。言わば前掲図5の案1「客体を目的で限定する方法」が、条文上は何ら書かれていないが、暗にそういうものだとして解釈するということにしたということだ。

「匿名加工情報になるのかというのが明確化されるというのは、まさに公表されたときだ」と答弁されているが、これはいったいどういう了見なのか。「該当したら公表の義務」であるのに、「公表したら該当」だなんて、そんな法解釈ありえないだろう。「公表されて初めて（外から）匿名加工情報だとわかる」という意味なら間違ってはいないが、そんなことを尋ねられているわけではなかろう。

もう一度よく読むと、石橋委員の最初の見解「法律上の匿名加工情報を作るんだという意思を持って加工したものが匿名加工情報である」に対して、政府参考人が「御指摘のとおりでございます。」と答弁している*11。これを真に受けるとすれば、次のように整理できる。

法律上の「匿名加工情報」に該当させる意図を持って加工する場合

36条の義務がかかる。加工したものは個人データでないものとして（加工したものが個人データでないのであれば*12）本人同意なく第三者に提供したり、目的外で利用できる。

法律上の「匿名加工情報」に該当させる意図なくして加工する場合

36条の義務はかからない。加工したものが個人データでないのであれば、本人同意なく第三者提供したり目的外で利用できる（元々規制されていない）。

しかしこんな解釈アリだろうか？ これがアリなら、「俺は個人情報にしたつもりはなかった」と本気で思っているなら「それは個人情報でない」ということになってしまい、何でも規制を逃れられることになってしまいやしないか。

ただ、たしかに、2条9項の定義をよく見ると、個人情報の定義（客体の範囲を客観的に確定させている）とは違って、「（略）できないように（略）加工して得られる（略）であって、（略）できないようにしたものをいう。」とあるように、「できないようにした」という作成者の行為の要素が入り込んだ客体定義だと言えるのかもしれない。むろん、そこには、どのような目的で「できないようにした」場合かは何ら限定されていないし、36条に関連して「できないようにした」ものに限るとの限定もない。

やはり無理のある解釈と言わざるをえないと思うが、このままでは全く無用な規制をかける事態になってしまうので、そういうことにするしかない。

そもそも、法律なんてそんな綻び（論理的破綻）はそこら中にあるのであって、気にしなければいいという趣旨の声も耳にした。まあ、たしかにそうかもしれない。改正前の個人情報保護法でも、とんでもない綻びがあって、今日まで見ないふりをして誤魔化してきて、今回の改正でようやく修正されたところがある*13。3年ごとの見直し規定も入ったことであるし、それと同様に次の改正で直せばよいことなのかもしれない。

いずれにせよ、言っておきたいのは、見出しの通り「匿名加工情報の定義に該当するからといって36条〜39条の義務が課されるわけではない」ということである。

条文だけ読めばそう読めるのでやむをえないことだが、「今回の改正で委員会規則に従った匿名加工しか許されなくなる」と誤解している人が少なくないようなので、注意喚起しておきたい。

例えば、次の事案も、そのような誤解に基づくものではないだろうか。

• なぜCCCはプライバシーマークを返上し、T会員規約を改訂したのか（後編）, 浅川直輝, 日経ITPro, 2015年11月26日

  とはいえ今回の改訂では、CCCのグループ会社のみならず、Tポイントの提携先企業に渡す情報についても「特定の個人を識別できない状態に加工をする」などの制限が削除されているように読めます。なぜ、グループ会社だけでなく、提携先企業についてもデータ加工の項目を削除したのですか。
  これは個人情報保護法の改正、施行という「過渡期」にあるための措置です。グループ会社には氏名や住所といったデータを提供する一方で、提携先には、個人情報保護委員会の基準に従う形で、氏名などを除いた加工データを提供します。

  改正法では、こうしたデータ加工について「匿名加工情報」という類型が法律に加わりました。データ加工がこの類型に当たるとされた場合、委員会への届け出、提供先への通知といった義務が加わります。

  我々が、Tポイントの提携先企業に提供している「個人を識別できない状態に加工した」情報は、新法が想定する匿名加工情報というよりは、顧客のデモグラフィック（人口統計）情報のような、統計情報に近いものと考えています。

  ただ今のところ、匿名加工情報と統計情報の間には、専門家の間でも明確な線引きはありません。そもそも、こうした線引きの議論が出てきたのも、つい1年ほど前のことです。この状態で、規約にデータ加工の方法を詳細に記載するのは、あまりに規約が煩雑になり、難しいと考えました。

これは、匿名加工をする限りは必ず、委員会規則に従って加工する必要があり、公表が必要になると誤解しているのだろう。「データ加工がこの類型に当たるとされた場合、」とあるように、2条9項に該当するか否かを外部から認定されると思い込んでいる様子がある。そう認定される前に利用規約から「特定の個人を識別できない状態に加工をする」の文言を削除したということなのだろう。

だが、「統計情報に近いものと考えています。」とあるように、「特定の個人を識別できない状態に加工をする」が、非個人データへの加工であるとの自信があるならば、独自の方法で匿名加工すればよいのであって、法律上の「匿名加工情報」に該当させる意図なくして加工したということで、公表の義務もない。

他に聞いた例では、匿名加工をするからには9条2号の「個人識別符号の全部を削除すること」に従わなくてはならなくなり、そうするわけにはいかないから困るという声があった。自社内の目的内利用でそのようなことを強制されたら困る事業者は少なくないだろう。これも誤解であり、法律上の「匿名加工情報」に該当させる意図なくして加工しているものには何らの規制もかからない。

こうしたことは、条文を読んだだけではわからないので、国会の審議を辿るなどして理解する必要がある。これから新法の解説本が続々と登場するだろうが、そうした書籍ではこの点についてしっかりと解説されていることを期待したい。