匿名加工情報とは何か、復元と個人識別の可否で見分ける
ITパスポート試験 令和8年度 問13 ／ 法務 › セキュリティ関連法規
過去問にチャレンジ
個人情報保護法に規定された匿名加工情報の説明として，最も適切なものはどれか。
- ア
厚生労働省や総務省統計局などが公開している統計情報を自社向けに加工し，自社の保有する情報とひも付けて新たな価値をもたせた情報
- イ
個人情報のうち氏名を一定の規則に基づいて匿名化するが，元の個人情報への復元を担保した情報
- ウ
個人情報を法令に定める方法で匿名化し，復元できないようにしたもので，一定のルールの下で本人の同意なく利活用できる情報
- エ
利用者から個人情報を収集する際に，氏名を取得せず個人番号などほかの情報で個人を識別できるようにして収集した情報
会話形式の解説
講師今回は、個人情報保護法に出てくる「匿名加工情報」とはどんな情報かを問う問題です。注目してほしいのは、「元の個人情報に戻せるかどうか」と「特定の個人を識別できるかどうか」の2点です。
受験者「匿名」とあるので、名前が分からない情報のことだと思いました。そう考えると、氏名を取らずに集めた情報という説明も正しく見えてしまいます。
講師そこが一番の引っかけです。氏名がなくても、個人番号のようなほかの情報で特定の個人を識別できるなら、それは個人情報のままです。個人を特定できる状態の情報は、匿名加工情報には当たりません。
受験者名前を消したかどうかではなく、誰なのか分かるかどうかで決まるのですね。では、氏名を一定の規則で匿名化したという説明はどうでしょうか。
講師その選択肢は「元の個人情報への復元を担保した」と書いてある点が決め手です。匿名加工情報は、加工前の個人情報に戻せないことが要件です。復元を前提にしている時点で該当しません。それに、氏名を置き換えるだけでは要件を満たすとは限りません。
受験者「戻せる」と書いてあったら不適切と判断してよいのですね。公的な統計情報を自社の情報とひも付けたという説明は、データを加工しているので近いように感じました。
講師匿名加工情報は、個人情報を法令の基準に従って加工して作るものです。統計情報と自社の情報を結び付けるだけでは、この成立要件を満たしません。「加工」という言葉の響きだけで選ばないように気を付けましょう。
受験者残るのは、法令に定める方法で匿名化して復元できないようにした情報で、一定のルールの下で本人の同意なく使えるという説明ですね。
講師そのとおりです。「法令の基準に従った加工」「個人を特定できない」「元に戻せない」という要件と、「所定のルールを守れば本人の同意が不要」という利用条件にそのまま合っています。所定のルールを守れば、利用だけでなく第三者への提供も本人の同意なしでできます。
受験者整理すると、個人情報を法令の基準で加工し、個人を識別できず、元にも戻せない情報が匿名加工情報ということですね。
講師よくまとまっています。あわせて、名前の似た「仮名加工情報」とも区別しておきましょう。こちらは、ほかの情報と照らし合わせなければ個人を識別できないように加工した情報で、匿名加工情報とは扱いが異なります。「匿名」と「仮名」の取り違えに注意してください。
まとめ
匿名加工情報は、個人情報保護法の規定に基づき、個人情報を法令の基準に従って加工して作る情報です。特定の個人を識別できないことと、元の個人情報に戻せないことの両方が要件になります。所定のルールを守れば、本人の同意なしで利用や第三者提供ができます。氏名を除いただけでは足りず、個人番号などほかの情報で本人が分かる場合は個人情報のままです。ほかの情報と照合しなければ個人を識別できないように加工した「仮名加工情報」とは区別して覚えましょう。
解答・解説
正解はウです
この問題のテーマ
個人情報保護法でいう「匿名加工情報」がどのような情報か、その成立要件と利用条件を問う問題です。
解き方の考え方
匿名加工情報には、「個人情報を加工して作る」「法令の基準に従って加工する」「特定の個人を識別できない」「元の個人情報に戻せない」という要件があります。各選択肢がこれらの要件を満たしているかを確かめます。「元に戻せる」「個人を識別できる」という記述があれば、その選択肢は不適切だと判断できます。
選択肢ごとの解説
- ×ア 厚生労働省や総務省統計局などが公開している統計情報を自社向けに加工し，自社の保有する情報とひも付けて新たな価値をもたせた情報アは、公開されている統計情報を自社の情報とひも付けて価値を高めた情報だと説明しています。しかし、匿名加工情報は個人情報を法令の基準に従って加工したものです。統計情報と自社情報を結び付けるだけでは、成立要件を満たしません。
- ×イ 個人情報のうち氏名を一定の規則に基づいて匿名化するが，元の個人情報への復元を担保した情報イは、氏名を匿名化したうえで元の個人情報への復元を担保した情報だと説明しています。しかし、匿名加工情報は加工前の個人情報に戻せないことが要件なので、復元を前提とする時点で該当しません。また、氏名を置き換えるだけでは要件を満たすとは限りません。
- ○ウ 個人情報を法令に定める方法で匿名化し，復元できないようにしたもので，一定のルールの下で本人の同意なく利活用できる情報ウは、法令に定める方法で匿名化し、復元できないようにした情報で、一定のルールの下で本人の同意なく利活用できると説明しています。これは「法令の基準に従った加工」「個人を特定できない」「元に戻せない」という要件と、「所定の条件を守れば本人の同意が不要」という利用条件にそのまま合っています。
- ×エ 利用者から個人情報を収集する際に，氏名を取得せず個人番号などほかの情報で個人を識別できるようにして収集した情報エは、氏名を取得せずに個人番号などで個人を識別できるようにして集めた情報だと説明しています。氏名がなくても、ほかの情報で特定の個人を識別できるなら、それは個人情報です。個人を特定できる状態の情報は、匿名加工情報には当たりません。
補足
よくある引っかけは、「氏名を消した＝匿名」と考えてしまうことです。個人番号のような符号や、ほかの情報と照らし合わせれば本人が分かる記述が残っていれば、匿名加工情報にはなりません。また、匿名加工情報とは別に「仮名加工情報」という区分もあります。仮名加工情報は、ほかの情報と照合しなければ個人を識別できないように加工したもので、匿名加工情報とは扱いが異なるので混同しないようにしましょう。
POINT
- 匿名加工情報は、個人情報を法令の基準に従って加工して作る情報です。
- 特定の個人を識別できないことと、元の個人情報に戻せないことの両方が必要です。
- 所定のルールを守れば、本人の同意なしで利用や第三者提供ができます。
- 氏名を除くだけでは足りず、ほかの情報で個人を識別できるなら個人情報のままです。