PERSONAL DATA / PRIVACY
匿名加工情報とは？購買データの匿名化と第三者提供のルールを図解
ネットショップの運営会社が「どの年代の人が何を買っているか」を調べたいとします。分析を専門とする別の会社に購買履歴を渡せれば便利ですが、氏名や住所がそのまま入った顧客データを渡すわけにはいきません。そこで登場するのが匿名加工情報です。
最初に結論
匿名加工情報を第三者へ提供するときは、原則として提供前に①含まれる個人に関する情報の項目と提供方法を公表し、さらに②提供先へ匿名加工情報である旨を明示する必要があります。適切な匿名加工情報であれば、この制度に基づく第三者提供に本人同意は必要ありません。
1. 「データを活用したい」と「個人を守りたい」を両立する
たとえば通販会社が顧客の買い物傾向を調べ、新商品の品ぞろえを改善したい場合を考えてみます。分析会社に知ってほしいのは、個々の顧客の氏名ではなく「30代の利用者はどんな商品を選びやすいか」といった傾向です。
STEP 1
通販会社
顧客情報を保有
氏名・住所・会員番号・購買履歴が入った元データを管理
STEP 2
匿名加工の工程
識別・復元を防ぐ
識別子の削除、年齢の区分化、珍しい取引の調整など
STEP 3
分析会社
傾向を分析
加工後の情報から売れ筋や年代別の傾向を調べる
2. 匿名加工情報とは「名前を消した表」ではない
匿名加工情報は、特定の個人を識別できないように個人情報を加工し、加工前の個人情報を復元できないようにした情報です。単に名前を「***」にしただけでは、法律上の匿名加工情報といえるとは限りません。
身近な例：元の購買履歴と加工後の違い
| 項目 | 元の顧客データ | 加工後の例 |
|---|---|---|
| 氏名 | 山田花子 | 削除 |
| 住所 | 横浜市○○区の詳細住所 | 地域を広くまとめる |
| 年齢 | 32歳 | 30代 |
| 購入商品 | 水筒 | 水筒 |
| 会員ID | C-00421 | 削除・適切に処理 |
| 珍しい高額購入 | 特殊品を1点購入 | 特異な記述として必要に応じて処理 |
この表はあくまで加工方法の考え方を説明する模式例です。実際にはデータの組合せによる再識別の可能性、加工基準、他の情報との関係などを評価し、法令・ガイドラインに従って適切な加工を行う必要があります。
なぜ氏名を消すだけでは足りない？
たとえば「年齢99歳、非常に珍しい商品を同じ日に購入、地域は小さな町」という情報が残っていれば、氏名がなくても誰なのか推測されるおそれがあります。逆に、年代や地域を適切にまとめるなど、必要な措置を検討します。
3. 個人情報・仮名加工情報・匿名加工情報の違い
| 情報の区分 | どんな状態？ | 第三者提供の考え方 |
|---|---|---|
| 個人情報・個人データ | 氏名等で個人を識別できる。照合可能性も考慮 | 個人データの第三者提供は、原則として本人同意等のルールが適用 |
| 仮名加工情報 | 単体では識別できないよう加工するが、他の情報との照合で識別できる場合がある | 法令に基づき、原則として第三者提供は禁止 |
| 匿名加工情報 | 識別できず、元データを復元できないよう適正に加工 | 所定の公表・明示などを条件として、本人同意なしで提供可能 |
「匿名化した」という日常表現と、法律上の「匿名加工情報」は同じではありません。匿名加工情報として扱うには、法定の定義と加工基準を満たす必要があります。
4. 第三者へ渡す前に何をする？
通販会社が適切に加工した購買データを分析会社へ提供する例で確認しましょう。
情報の項目と提供方法を、事前に公表する
例：「提供する項目：年代、広域の居住地域、商品カテゴリ、購入時期」「提供方法：アクセス制御されたファイル転送」と、Webサイトなどで公表します。氏名を削除したことではなく、提供データに含まれる項目を示すのがポイントです。
提供先に「匿名加工情報である」と明示する
例：分析会社へ送る案内メールや書面などで、渡す情報が匿名加工情報であると明示します。公表とは別の行為です。
適切な方法で分析会社へ提供
紙で渡す必要はありません。適切な安全管理の下で電子的に渡すことも考えられます。データの再識別を行わないなど、その他の法的義務にも注意します。
「公表」と「明示」は何が違う？
公表はWebページなどで一般に向けて知らせること、明示は実際にデータを受け取る分析会社に対して、その情報が匿名加工情報であることを伝えることです。両者は相手も内容も異なります。
5. データの作成段階と、第三者提供段階を分けて考える
匿名加工情報を自社で作成する事業者には、加工基準に従うこと、加工方法等の安全管理、作成時に所定の情報項目を公表することなど、作成段階の義務もあります。ここで扱った第三者提供前の公表・明示とは、役割が異なる点に注意しましょう。
また、匿名加工情報を他社から受け取って再提供する匿名加工情報取扱事業者にも、第三者提供の際の公表・明示に関するルールがあります。法第43条・第44条で主体が区別されています。
6. 操作ラボ：匿名加工と第三者提供のチェック
氏名を削除しても、細かな住所や珍しい取引が残っていれば安全とは限りません。加工状態と、公表・明示の実施状況を切り替えて確かめてください。
INTERACTIVE LAB
通販データを分析会社に渡せる？
左側の加工・公表・明示を操作すると、右側の表とチェック結果が変化します。
① 加工の例を選択
② 第三者提供前の手続
加工後データのイメージ
学習用チェック：全項目を満たしています
重要：全項目にチェックが入っても、法令上の適正な匿名加工が完成したとの判定にはなりません。実際にはデータ全体、組合せによる識別可能性、規則の加工基準などを専門的に確認する必要があります。
7. よくある誤解と実務での注意点
氏名を削除したら匿名加工情報？
いいえ。削除だけでなく、識別・復元の防止に必要な法定の加工が求められます。
本人同意が不要なら何も手続はない？
いいえ。第三者提供前の情報項目・提供方法の公表と、提供先への明示などが必要です。
毎回、個人情報保護委員会に報告する？
第三者へ提供するたびに提供内容を報告するという義務ではありません。
紙でしか提供できない？
いいえ。データファイル等の電子的な提供方法も考えられます。
匿名加工情報なら誰かを特定してよい？
いいえ。識別目的で他の情報と照合する行為などには禁止規定があります。
まとめ
匿名加工情報は、個人を識別できないだけでなく、元の個人情報を復元できないよう、決められた基準で加工した情報です。企業間で活用するときは、「何を、どう提供するかを公表」し、「匿名加工情報だと提供先へ明示」する、という2つをセットで押さえましょう。
参考：個人情報保護委員会「匿名加工情報制度について」「個人情報保護法ガイドライン（仮名加工情報・匿名加工情報編）」、個人情報保護法第43条・第44条。本記事は一般的な制度理解のための解説であり、個別案件での適法性を保証するものではありません。