2020 Volume 3 Issue 2 Pages 171-194
令和元年6月14日「世界最先端デジタル国家創造宣言・官民データ活用推進基本計画」が公表された。個人の社会生活の中に深くデジタル技術、ネットワーク技術が入り込んだデジタル社会において、社会課題の解決にはデータの利活用が重要な役割を果たすことが示されている。
データ利活用のためにデータ流通が必要であり、データ流通政策においてデータの類型と規律整備が重要な役割を担っている。データ流通環境整備検討会において、データは、①個人情報を含むデータ、②匿名加工されたデータ及び③個人に関わらないデータの3つに大別している。
匿名加工されたデータは、元の個人データの有用性を高いレベルで維持しながら、個人の権利利益を守ることができるデータ類型と期待されていた。民間においては平成29年個人情報保護法の改正により「匿名加工情報」が導入され、事業者が一定の条件の下で個人情報を基準に基づいて加工すると本人同意不要の第三者提供や目的外利用が行えるようになった。国の機関や独立行政法人等の公的部門においても「非識別加工情報」が導入されたが官から民へのデータ提供手段の一つとしてスモールスタートという必要最低限の規律を整備し、地方公共団体において非識別加工情報の導入は平成29年度5団体にとどまっている。
現状、匿名加工データの制度は民間事業者がパーソナルデータの収集、データ流通、集約、加工、第三者提供を行う一連の利活用を念頭に整備されている。一方、公的部門における匿名加工データの利活用制度の整理は棚上げされた状況にあり、民間事業者と公的部門の間で匿名加工情報を共有、利活用するケースにおいて課題整理と対応策のコンセンサス形成が重要と考える。特に国立大学や研究機関などが民間事業者との共同研究や共同事業のため民間事業者から匿名加工情報を受け取った場合の取扱と、公的部門内部における取扱、さらに民間事業者への提供までの整理検討が必要と考える。
本稿では、民間事業者における匿名加工情報および非識別加工情報の利活用制度を確認し、公的部門における匿名加工情報の取扱について課題整理を行う。
Anonymously processed data was expected to be a type of data that could protect the rights and interests of individuals while maintaining a high level of usefulness of the original personal data. In the private sector, the "Anonymously processed information" was introduced by the revision of the Act on the Protection of Personal Information in 2017, and it became possible to provide personal information to a third party without the consent of the person or use it for a purpose other than the intended purpose if a business operator processes personal information based on standards under certain conditions. The "Anonymized Personal Information" was also introduced in the public sector of national institutions and incorporated administrative agencies.
Currently, the system for anonymously processed data has been developed with a series of applications in mind, in which private companies collect, distribute, aggregate, process and provide personal data to third parties. On the other hand, sorting out systems for the use and utilization of anonymously processed data in the public sector has been shelved, and in cases where anonymously processed information is shared and used between private businesses and the public sector, it is considered important to sort out issues and form a consensus on countermeasures. In particular, the handling of anonymously processed information received by national universities and research institutes for joint research and joint projects with private businesses, as well as the handling of such information within the public sector and the provision of such information to private businesses, should be considered.
In this paper, we examine the utilization systems of "Anonymously Processed Information" and "Anonymized Personal Informatioin" in the private sector, and summarize issues concerning the handling of "Anonymously Processed Information" in the public sector.
令和元年6月14日「世界最先端デジタル国家創造宣言・官民データ活用推進基本計画」2（以下「デジタル戦略」という）が公表された。個人の社会生活の中に深くデジタル技術、ネットワーク技術が入り込んだデジタル社会において、社会課題の解決にはサイバー空間とフィジカル空間におけるデータの利活用するシステムが重要な役割を果たすことが記されている。
デジタル戦略において、データ利活用に関して直接的に記されている「第1部 Ⅳ．国民生活で便益を実感できるデータ利活用」の章は以下の構成となっている。
デジタル戦略でまとめられた「2. 信頼性向上のためのデータ流通ルール整備」の中には (1)データ流通政策の前提となるデータの分類 (2)情報銀行等、日本発のパーソナルデータ利活用モデル (3)民間事業者間のパーソナルデータ共有のためのアーキテクチャの定義 (4)匿名加工されたデータ（以後、「匿名加工データ」という） (5)プラットフォームサービスの在り方を巡る議論、が記されている。
内閣官房IT総合戦略室が事務局となった「AI、IoT時代におけるデータ活用ワーキンググループ」の「中間とりまとめ」3においては、図1に示すとおり個人情報を含むデータ（以後、「個人情報」という）、匿名加工データ、産業データなど個人に関わらないデータ（以後、「非個人情報」という）の3つのデータ類型に分類し、観光や金融・フィンテック分野、医療・介護・ヘルスケア分野などデータ流通の便益が想定される分野を上げている。本稿では、個人情報を加工して得られた非個人情報を「統計情報」4とし、個人情報、匿名加工データ、統計情報の取扱について論じる。
また、「データ流通・活用ワーキンググループ第二次とりまとめ」5には以下の報告がなされている。
分野横断的なデータ活用の促進に向け、法制度の必要性も含めた検討がなされたが、今後、自主ガイドラインなどのルール整備により国民・消費者の信頼・理解が得られていくことが期待されるとして、当面は、実証実験などの取組を踏まえつつ、現実に即して、必要な支援策、制度整備や見直しについて検討を継続していくことが適当であるとされた6。
（出展）内閣官房AI総合戦略室「AI、IoT時代におけるデータ活用ワーキンググループ 中間とりまとめ」（平成29年3月）7
図1．データの類型と流通・活用の便益
匿名加工データについて、民間部門においては、平成27年の個人情報保護法8（以後、「個人情報保護法」、「個情法」という）の改正9により匿名加工情報10が導入された。
公的部門においても、平成28年5月に、国の機関は行政機関個人情報保護法11（以後、「行個法」という）の改正12、独立行政法人等は「独立行政法人等の保有する個人情報の保護に関する法律」13（以後、「独個法」という）の改正14により、データの利活用の対象や範囲を適切に定め、提供時等における規律を課すこと等を前提として、個情法の匿名加工情報に相当する非識別加工情報の仕組みが導入された。匿名加工データは、行個法1条「新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現」にある通り寄与することが求められている15。
地方公共団体においては、各地方公共団体が定める個人情報保護条例について、個情法・行個法の改正を受けて、総務省から個人情報保護条例の改正に係る留意点等の通知16（平成29年5月）を行った。総務省の「地方公共団体の非識別加工情報の作成・提供に係る効率的な仕組みの在り方に関する検討会」17において平成31年2月22日に公開された中間とりまとめ案18によると、地方公共団体等での非識別加工情報が導入された条例改正は平成29年度中5団体19にとどまり、非識別加工情報については、効率的にデータの作成・提供等を行うための作成組織の仕組みの検討が行われている。
現状、匿名加工情報の加工基準や取扱については、個人情報保護委員会が「個人情報の保護に関する法律施行規則」20（以後、「個情法規則」という）、「個人情報保護法ガイドライン匿名加工情報編」21（以後、「匿名加工情報ガイドライン」という）、「個人情報保護委員会事務局レポート：匿名加工情報『パーソナルデータの利活用促進と消費者の信頼性確保の両立に向けて』」22（以後、「事務局レポート」という）を公開している。さらに、業界や事業分野ごとに組織し個人情報保護委員会が認定している個人情報保護団体「認定個人情報保護団体」が自主ルールを設けて個人情報保護指針を策定公表したり、匿名加工情報の利活用に関する事例を公開している認定個人情報保護団体もある。
いずれも民間事業者の匿名加工情報を作成する個人情報取扱事業者23および匿名加工情報を利用する匿名加工情報取扱事業者24が対象となっている。
非識別加工情報を取り扱う事業者は、匿名加工情報取扱事業者と同様に提供元の機関に応じて行個法で行政機関非識別加工情報取扱事業者、独個法で独立行政法人等非識別加工情報取扱事業者を定めている。地方公共団体においては、団体名を用いず個人情報保護条例で実施機関非識別加工情報取扱事業者25としている。本稿では、明示がなければ独立行政法人等非識別加工情報を「非識別加工情報」、独立行政法人等非識別加工情報取扱事業者を「非識別取扱事業者」という。
独立行政法人等における非識別加工情報の提供は独個法第4章の2「独立行政法人等非識別加工情報の提供」26で定められ、その取扱規律について個人情報保護委員会より「独立行政法人等の保有する個人情報の保護に関する法律第四章の二の規定による独立行政法人等非識別加工情報の提供に関する規則」27（以後、「独個法規則」という）、「独立行政法人等の保有する個人情報の保護に関する法律についてのガイドライン（独立行政法人等非識別加工情報編）」28（以後、「独個法ガイドライン」という）が公開されている。
2．1．匿名加工データの定義と加工基準 (1) 定義下に示す通り匿名加工情報と非識別加工情報の定義を記した条文において基本部分は合致し、非識別加工情報の定義においては匿名加工情報の定義に対して、下線※1で示した個人情報の定義の相違と下線※2の匿名加工データ取扱の相違を盛り込んだ条文としている。
いずれも、あらゆる手法によって特定や復元することができないよう技術的側面から全ての可能性を排除することまでを求めるものではなく、少なくとも、一般人及び一般的な事業者の能力、手法等を基準として当該情報を個人情報取扱事業者又は匿名加工情報取扱事業者が通常の方法により特定および復元できないような状態にすることを求めるものである29。
この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
この法律において「非識別加工情報」とは、次の各号に掲げる個人情報
（他の情報と照合することができ、それにより特定の個人を識別することができることとなるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを除く。）を除く。以下この項において同じ。）※1の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができない（個人に関する情報について、当該個人に関する情報に含まれる記述等により、又は当該個人に関する情報が他の情報と照合することができる個人に関する情報である場合にあっては他の情報（当該個人に関する情報の全部又は一部を含む個人情報その他の個人情報保護委員会規則で定める情報を除く。）と照合することにより、特定の個人を識別することができないことをいう。第四十四条の十第一項において同じ。）※2ように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
保有個人情報のうち民間の個人情報の定義30と合致する範囲の情報を加工対象とするように定義している。
独個法ガイドラインによれば31、独個法では、照合禁止義務（個情法第36条第5 項）を定めていないことから、非識別加工情報は、その作成に用いた個人情報の全部又は一部を含む個人情報との照合によって特定の個人を識別し得ることとなり、独個法第2条第2項第1号の「個人情報」に該当し得る。このとき、非識別加工情報が、一般に他の情報との照合により特定の個人を識別することができるとの誤解が生じないよう、「特定の個人を識別することができない」について、その記述等自体によって特定の個人を識別できないことはもちろん、他の情報（独個法第2条第8項で規定する個人に関する情報の全部又は一部を含む個人情報を除く。）非識別加工情報の作成に用いた個人情報の全部又は一部を含む個人情報を除く。）との照合によって特定の個人を識別できないように加工したものであることを明らかにしている。
匿名加工データの加工基準について、匿名加工情報は個情法規則第19条32、非識別加工情報は独個法規則第10条33のそれぞれ1～5号に示され、共通の条文となっている。
各号の削除する加工は、当該情報を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含むとしている。
加工基準1号、2号は個人情報で定義されている情報を削除する加工措置、4号は加工措置後の情報と他の情報を組み合わせた時に有する個人識別性や復元性を排する加工措置、同3号および5号は、加工元の情報と加工措置後の情報を組み合わせた時の個人識別性や復元性を排する加工措置である。
(3) 加工措置とデータ類型前項の加工基準を全て施して匿名加工データとなるが、加工基準3号、4号、5号は要件を与えているだけで、その加工手法や評価指標、データ類型（個人情報、匿名加工データ、統計情報、1．章参照）の判断基準と妥当性判断は事業者に委ねられている。
個人情報と匿名加工データを分ける基準、匿名加工データと統計情報を分ける基準は示されていないが、匿名加工データの有用性と安全性にトレードオフの関係があり、個人情報の機微度、提供先での利用目的を勘案したリスク評価を行った上で加工措置を施すことが望ましいと考える34。
2．2．匿名加工データの取扱規律匿名加工データを取り扱う匿名加工情報取扱事業者、非識別加工情報取扱事業者はいずれも民間事業者である。
匿名加工情報取扱事業者は、第三者提供時の公表35（個情法第37条）、識別行為の禁止36（個情法第38条）と安全管理措置の努力義務37（個情法第39条）によって規律される。非識別加工情報取扱事業者に対する規律について独個法ガイドラインには、「独立行政法人等非識別加工情報は、個人情報保護法上の匿名加工情報に包含される概念であることから、独立行政法人等非識別加工情報取扱事業者に該当する者は、個人情報保護法における匿名加工情報取扱事業者に係る規律の対象となることに留意する必要がある」38と記述があるものの具体的な規律は明記されていない。
非識別加工情報の導入に伴い平成29年3月に匿名加工情報ガイドラインも改正となり新旧対照表39によると個情法第38条が更新され、非識別加工情報も識別行為の禁止の対象となることが明記された。しかし、個情法第37条および個情法第39条は改正が無く、非識別加工情報が対象外となっているように見える。
提供元の独立行政法人等は作成した独立行政法人等非識別加工情報に関して、個人情報ファイル簿へ記載40（第44条の11）し、その用に供して行う事業に関する提案41（第44条の12）を受けて審査を行うとしている。
非識別加工情報取扱事業者は独個法第44条の5第2項7号42にある安全管理措置の提案を行い、その提案内容の履行義務を負うため、個情法第39条43に相当するあるいは努力義務とされた内容より強化される可能性があり提供元の独立行政法人等との契約により規律される。匿名加工情報は公表により第三者提供をできるとしているが、非識別加工情報の第三者提供に係る条文は見当たらず安全管理措置の提案の中で契約により規律される44。
したがって、表1に示す通り匿名加工情報と非識別加工情報の取扱を同じ規律で扱ってはならず、厳密に分けて管理する必要がある。
| 規律 | 匿名加工情報 | 非識別加工情報 |
| 第三者提供時の公表 | 義務 (個情法第37条) | (第三者提供の可否を含め契約事項の中で取決め) |
| 他の情報との照合 | 禁止 (個情法第38条) | |
| 安全管理措置等 | 適切な措置、苦情処理、 内容の公表の努力義務 (個情法第39条) |
漏洩防止、適切な管理措置を提案 (独個法第44条の5第2項7号) |
匿名加工データを集約し利活用するにあたり、匿名加工情報との組み合わせが識別行為に当たらないデータ類型が匿名加工情報または統計情報であることは匿名加工情報ガイドライン45で示されており、複数の匿名加工データを組み合わせて統計情報を作成する、あるいは気象情報や交通情報などの個人情報に相当しない非個人情報と共に用いることを挙げている。また、照合行為に関して事務局レポート46には、匿名加工情報と個人データを紐づけることは確定的に識別できなくても識別目的の照合行為に該当するとしている。
つまり、匿名加工情報の提供を受けて個人データと組み合わせて分析する際には、事前に手元の個人データを匿名加工情報または統計情報に加工することが必要である。その際、内部利用を目的として匿名加工情報を生成した場合であっても匿名加工情報の作成公表は義務(個情法第36条第3項)47となっている。
また、匿名加工情報を加工していくプロセスの中で生成される派生データに関する規律についても事務局レポート48に示されており、元の匿名加工情報との対応関係が明らかな限りは同一の匿名加工情報として扱うことが妥当としている。
2．4．公的部門における匿名加工情報の取扱を規定しなかった行個法、独個法の改正観光や医療分野の利活用では国立機関や県立機関などの公的部門が民間事業者から匿名加工情報を受け取り、分析を行うケースも想定されるが、現状、公的部門における匿名加工情報の取扱を規定していない。
独個法は行個法とともに平成28年5月公布となった。平成26年6月の個情法改正大綱49を受けて平成26年7月より行政機関および独立行政法人等の個人情報保護法改正の検討を「行政機関等が保有するパーソナルデータに関する研究会」50で行い、平成28年3月に改正に向けて「行政機関個人情報保護法・独法等個人情報保護法の改正に向けた考え方」51（以後、「研究会報告」という）が公表された。
匿名加工情報の仕組みを導入する趣旨として、民間部門と同様の匿名加工情報の仕組みを導入する意義はあるものの、今回の改正においては公的部門が非識別加工情報を提供する最低限の措置に止めるが、個人の権利利益の保護と利活用のバランスを見ながら制度検討を継続すべきとしている52。
研究会報告において、個別の法人や情報の種類によって法制を変えるのが難しいこと、行政機関と同じく独立行政法人等は政府の一部と見られる法人として位置づけられており情報公開法との整合性から独立行政法人等は行政機関と同等の取扱とすることとしている53。
その上で官民でのルール形成や運用による対応ついて、「独立行政法人等個人情報保護法を行政機関個人情報保護法に準じた内容にしたとしても、その枠組みを前提として、例えば匿名加工情報について自主規制ルールを踏まえた官民共同でのルール策定を行っていく中で、必要に応じ各独立行政法人等の業務内容に応じた対応をすることは可能であり、また、公的部門が保有する情報内容等の多様性を踏まえれば、そのような努力が重要となるものと考えられる。」54として匿名加工情報については自主規制ルールで対応する考え方を示唆している。
研究会報告をまとめる最後の会合55において宍戸構成員56 57から、行政機関や独立行政法人等が匿名加工情報を受け取った際の規律を整備ことが法改正の検討対象外であることの確認と、そのことによる問題発生について指摘58があった。
研究会報告では官民連携共同でのルール形成の在り方について、認定個人情報保護団体が公的部門も民間事業者も総合する形で自主ルール策定も期待された59。
黒政60は、民間事業者と独立行政法人等および地方公共団体の機関（以後、「公的部門」という）が匿名加工情報を相互に利用するモデルとして、図2のような集約機関を介在するデータフローに対して、表2のユースケースマップに想定される規律をまとめた。
民間事業者と独立行政法人等の組み合わせは、私立大学と国立大学の共同研究、民間事業者と国立研究機関との共同事業などAI研究やパイロット事業などで多くの類型が見られる。地方公共団体においても市や県立大学と地域IT事業者が取り組む防災や観光事業で見られる類型である。
また、匿名加工技術の研究を行う例として、国立大学や国立研究機関等の学生や研究者が参加する匿名加工コンテスト61 62があり、参加者は課題用データを用いて匿名加工を行い、その結果の有用性とリスク評価の定量指標をもって順位付けを行うコンテストとなっている。これまで参加者に配布する課題用データはWeb上で公開されているものや人工データを採用している。国内事業者が扱っている最新の購買履歴データや活動データを使って実践的な技術研究に資するためには匿名加工情報が有効と考えられるが、匿名加工情報取扱事業者の対象外となる国立大学や国立研究機関の参加を排除することになるため匿名加工情報の採用を見送らざるを得ない状況にある。
図2．公的部門の集約機関が介在した匿名加工情報のデータフロー
| 出力類型 集約機関 |
個人情報 | 匿名加工情報 | 非識別加工情報 | 非個人情報 (統計データ) |
| 独立行政法人等 | 条件次第で可 (3.1.章) |
- | 推奨しない (3.3.章) |
○ |
| 地方公共団体 | 条件次第で可 (3.2.章) |
- | 推奨しない (3.4.章) |
○ |
| <参考>民間事業者 | 規律に則って可 | 規律に則って可 | - | ○ |
（出展）黒政 敦史「匿名加工情報および非識別加工情報の運用整理と利活用に関する考察」63を元に作成
匿名加工情報を提供する民間事業者から独立行政法人等を経由して匿名加工情報相当のデータを民間事業者へ提供する流れを想定する。
① 匿名加工情報の受領時個情法では独立行政法人等は匿名加工情報取扱事業者の対象から除外されており、独個法では個人情報または非個人情報の類型しか無いため、民間が「非個人情報に相当しない」とする情報ならば一旦は個人情報としながら取扱規律の判断を行う。
2．2．章で述べた通り匿名加工情報は他の情報と照合禁止となっている。独個法で匿名加工情報の規律が無くても、上乗せ規制として民間における匿名加工情報の規律に準拠した規律を保つことに社会的な反発は無いと想定される。このとき、匿名加工情報との照合を目的とした個人情報の収集や保有も規律することなり、非個人情報か否かの判別するための個人情報の収集や保有も制限した「個人情報」として律することになる。
独個法第2条2項の個人情報の定義では、「個人に関する情報および他の情報と照合することができ、それにより特定の個人を識別することができることとなるものを含む」、とされている。個情法における「他の情報と容易に照合することができ」の文、いわゆる容易照合性とは異なる。
研究会報告において、容易性を求めないことに関して以下の解説があった。
「行政機関個人情報保護法の立案時には、「個人情報」の定義に関して、従前の行政機関の保有する電子計算機処理に係る個人情報の保護に関する法律（昭和63年法律第95号）とは異なり、情報公開法と同様に、その識別性の判断に容易性を求めないこととしたが、その理由について、立案時の考え方を整理した資料（平成15年7月総務省）は次のとおりとしている。「対象範囲の拡大に伴い、対象となる個人に関する情報の性質及び内容も、照合の対象となる他の情報の範囲も千差万別となる。このため、照合可能な情報の範囲を容易に入手可能な情報に限定してしまうと、情報の性質や内容によっては、個人の権利利益保護に欠ける場面も想定され、適当でない」「情報公開法では、個人に関する情報を不開示情報とし、その範囲について、「...当該情報に含まれる氏名、生年月日、その他の記述等に特定の個人を識別できるもの（他の情報と照合することにより特定の個人を識別することができることとなるものを含む。）...」としており（第5条第1号）、照合容易性を要件としていない。開示・不開示の判断に当たっての両法制の運用の統一性を図る観点からは、個人情報の範囲を同様にしておくことが望ましい。」64
これに則って匿名加工情報を受領した独立行政法人等はその組織において個人情報か非個人情報を個別に判断することになるが、2.1．章で述べた一般人基準で作成された匿名加工情報は、個人情報に該当する可能性がある。例えば、移動履歴、施設等の利用履歴、購買履歴などを組み合わせたデータセットの特性を利用した照合が想定される。
② 独立行政法人等における匿名加工情報の利活用匿名加工情報の規律を考慮した場合、2．3．章で述べた通り、匿名加工情報または統計情報と組み合わせて活用する。独立行政法人等では匿名加工情報のデータ類型が無いため統計情報と組み合わせて活用することになる。
③ 独立行政法人等から民間事業者に提供する場合の考え方匿名加工情報の規律を考慮した場合であっても名目上は個人情報であるため、手続きは個人情報の規律に準ずる。
独個法においては個情法に見られる適用除外の条項はなく、独個法第9条65において個人情報の提供規律を定めており、利用目的外において本人の同意がある場合、学術研究の目的の場合に提供できるとしている。ただし、匿名加工情報の規律を考慮した場合、識別行為の禁止や第三者提供時の公表などを契約で規律することが適当と考える。
それが出来なければ統計情報（非個人情報）に加工して提供することになる。
④ 独立行政法人等から受領した個人情報の民間事業者における取扱匿名加工情報由来のデータであっても名目上は個人情報であり、加えて独立行政法人等との契約（例えば他の個人情報との照合禁止など）に基づいて規律することになる。
もし、個人情報としての取扱規律条件や他の個人情報との照合禁止条件が無ければ、受領した民間事業者は個人情報か否かを判断し運用することになる。
個情法における「個人情報」の定義は個情法第2条66に、個人に関する情報と他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む、としている。個人から直接取得する場合もあるが、他の事業者から個人データを受け取った場合も同じ規律となる。
「「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ＆A」67においては、「例えば、特定の個人を識別することができ情報に割り当てられている識別子（例：顧客ID等）と共通のものが割り当てられていることにより、事業者内部において、特定の個人を識別することができる情報とともに参照することが可能な場合、他の情報と容易に照合できると解され得るものと考えられる」68としている。
つまり、受領したデータに識別子が割り当てられておらず受領した事業者内部の個人データと容易に照合できず特定の個人を識別できなければ、保護対象外の非個人情報とする解釈が成り立つ。
また、民間事業者は、個人情報の第三者提供の選択肢として、オプトアウトによる第三者提供69（個情法第23条第2項）、共同利用70（個情法第23条第5項3）、学術研究の目的での適用除外71（個情法第76条）がある。
適用除外は、個情法第15条～第58条で定めている個人情報取扱事業者の義務等に対する適用除外要件を個情法第76条で定義している。
3．2．匿名加工情報を地方公共団体が集約し、個人情報として民間事業者へ提供する場合の扱い匿名加工情報を地方公共団体が集約して匿名加工情報相当のデータを民間事業者へ提供する流れを想定する。
① 地方公共団体が民間事業者の匿名加工情報を受け取った場合平成30年6月総務省は、地方公共団体が、個人情報の保護にも配慮しつつ、その保有するデータを部局・分野横断的に活用して効果的な政策立案や住民サービスの向上等に取り組むための手順を示した「地方公共団体におけるデータ利活用ガイドブック」72（以後、「ガイドブック」という）を公開した。個人情報を扱う事業実施に伴う手続きでは、データ取得時の根拠法令の確認、個人情報該当性の確認、個人情報取扱根拠と目的の確認、利用条件等の整理、庁内手続きなどを丁寧に解説している。現状、匿名加工情報については明確な規律がないためガイドブックに沿って個別事案毎に判断することになる。
さらに、東京都は「地方公共団体が保有するパーソナルデータに関する検討会（第2回）」73において、行個法改正に伴う条例改正について、個人情報ファイル概念の未導入74、個人識別符号や要配慮個人情報に対する開示請求制度との整合性、経済合理性の整理などの課題をあげ「短時間で結論が出せない」75としており、地方公共団体によって個人情報の定義76や運用形態が異なることを含め個別に判断し取り扱う必要がある。
地方公共団体の審査会に委ねることになるが、受け取った匿名加工情報を個人情報とするか否か判断が分かれ、措置も異なることが懸念される。個別事業の審査でも事業の調整に時間と労力が必要であり、措置が異なった場合は同じ匿名加工情報を使って複数の地方公共団体(例えば県と市町村あるいは近接した市町村)との事業の調整にさらなる時間と労力がかかり、事業効率の低下要因となることが想定される。この事業効率低下を回避するためには従来からの統計情報を使うことになる。
② 地方公共団体が民間事業者へ個人情報を提供する場合地方公共団体の判断に委ねることになるが、関係者のガバナンスを担保にした個別条例制定等を含めた利活用施策が可能であると考えられる。
3．3．独立行政法人等が集約し非識別加工情報に加工して提供独立行政法人等が匿名加工情報を集約し非識別加工情報に加工して提供する場合を整理する。ただし、受領した匿名加工情報を個人情報とした場合に適用できる。（3．1．章① 参照）
非識別加工情報の提供を定めた独個法第4章の277および独個法規則78を図示したのが図3である。提供元となる独立行政法人等が提供先を主体的に指定することは出来ず、個人情報ファイルの公開をもってプロセスが開始される。
（出展）個人情報保護委員会「国の行政機関・独立行政法人等における非識別加工情報の制度のあらまし」794頁
図3．非識別加工情報の提供の流れ
受領した匿名加工情報が個人情報であれば（3．1．章①参照）個人情報ファイルとして個人情報ファイル簿に登録する。個人情報ファイル簿は、独立行政法人等が保有している個人情報ファイルの情報を記載したものであり作成義務80を負っている。
② 非識別加工情報作成に関する提案募集非識別加工情報は個人情報ファイル簿で公開されている保有個人ファイルに対して提案募集81を行い作成される。ただし、提案できる非識別加工情報取扱事業者は個情法が対象とする民間事業者であり、現状において公的部門は除外対象82となっている。
③ 非識別加工情報の作成と提供非識別加工情報の加工手法は匿名加工情報に準じているが、その運用を独個法第44条の2に示しており、自らの利用と提供を禁じている83ことが匿名加工情報と異なっている。また、独個法第44条の4に示す提供の募集84においては、個人情報ファイル簿に記載しているもの、かつ提案を受けて提案者（非識別加工情報取扱事業者になろうとする者）に提供し、安全管理措置も提案者から提示を行う85としている。（2．3．章①、②）
つまり、独立行政法人等が自らの意志で非識別加工情報の作成はできず、受け取った匿名加工情報を個人情報ファイル簿に記載した上で提供先となりうる事業者からの提案を待ち提供に向けた手続きを踏むことになる。
④ 受領した匿名加工情報と加工後の非識別加工情報の姿独立行政法人等の内部で個人情報ファイルとして扱われた匿名加工情報は加工元となる保有個人情報となる。このとき、元は匿名加工情報であっても、個人情報として整理したデータを無加工で提供するのは個人情報の第三者提供にあたり、非識別加工情報として提供するならば受領した匿名加工情報を加工元の情報として扱い、加工元の情報を識別あるいは復元できないように独個法規則に則った加工措置が必要となる。
2．1．章に記した通り非識別加工情報の加工において独個法ガイドラインでは「独立行政法人等は、独立行政法人等非識別加工情報（独立行政法人等非識別加工情報ファイルを構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別できないように、かつ、その作成に用いた保有個人情報を復元できないようにするために、独個法規則第10条各号に定める基準に従って、当該保有個人情報を加工しなければならない。なお、「個人情報保護委員会規則で定める基準に従い、当該保有個人情報を加工」するためには、加工する情報の性質に応じて、規則第10条各号に定める加工基準を満たす必要がある。」86としている。
加工元となる情報の匿名加工情報には個人を識別できる情報および個人識別符号は含まれていないものの、独個法規則第10条3号87および同5号88に基づき受領した加工元の情報との識別性や復元性を排するようにする処理を施すことになる。独個法ガイドラインにあるような、一般化、データ交換、ノイズ付加、疑似データの追加等を施した場合、加工元の情報にあったデータの特性を棄損し、データの分布や誤差率などの有用性が期待できない可能性がある。
3．章のはじめに紹介した匿名加工コンテスト89は、この匿名加工情報を元データとして非識別加工情報を生成することと類似している。参加者が加工したデータを用いて課題データとの識別性と有用性を評価して順位を付けるが、課題データには個人を識別する情報は含まれていないため、独個法規則第10条5号に対応する加工技術とリスク評価技術を競うコンテスト90となっている。
3．4．地方公共団体が集約して非識別加工情報として提供する取扱令和元年6月総務省「地方公共団体の非識別加工情報の作成・提供に係る効率的な仕組みの在り方に関する検討会 中間とりまとめ」91を公表した。これによると、「平成29年度中に条例改正を行った地方公共団体は5団体であり、その他の団体においては、国等の実績等を踏まえて検討を進めることとしている団体も多い状況である。」としている。
東京都は3．2．章①で記述した個人情報保護条例の改正と共に非識別加工情報の導入はできていない。
3．5．公的部門における匿名加工情報と非識別加工情報の取扱まとめ ・匿名加工情報の運用制限民間事業者から匿名加工情報を受領した場合、個別の判断になるが一旦個人情報として扱い、外部提供においては機関や団体の判断に委ねることになる。
個別ルールや個別条例等の措置が無ければ、個人情報と匿名加工情報の安全管理措置と利用規律が課せられることになると想定される。
・非識別加工情報の利活用制限非識別加工情報は独立行政法人等において保有個人データに対する処理を行うものであり、民間事業者から提供される匿名加工情報の受け皿としては機能しない。
また、匿名加工情報は民間の個人情報取扱事業者が任意で作成することができるが、 非識別加工情報は実施機関が民間事業者から提案を受けて提案者への提供することと定められ、独立行政法人等が自ら非識別加工情報取扱事業者となる根拠は見当たらない。
世界最先端デジタル国家創造宣言「IV.国民生活で便益を実感できるデータ利活用 4官民におけるデータの徹底活用」の序文において「官民データ基本法では「事業者は、自らが保有する官民データであって公益の増進に資するもの」について、国民が容易に利用できるように措置を講ずることとされている。事業者同士は元来競争関係にあることから、協調領域の明確化に当たっては、国（公的研究機関を含む。）が媒介の役割を果たす必要があり、このため各種ルールやガイドライン、データ連携プラットフォーム等の整備を推進する。」と記されている。
しかし、これまで整理した通り現状は匿名加工データを徹底活用するための規律は整備途上であり、特に、匿名加工されたデータを扱うにはデータの取扱主体によって制度が異なるため運用が複雑となり、使いやすい枠組みが求められているところである。
1 富士通クラウドテクノロジーズ株式会社
2 高度情報通信ネットワーク社会推進戦略本部（IT総合戦略本部）令和元年6月14日閣議決定 https://www.kantei.go.jp/jp/singi/it2/kettei/pdf/20190614/siryou1.pdf
3 内閣官房IT総合戦略室「AI、IoT時代におけるデータ活用ワーキンググループ 中間とりまとめ」（平成29年3月） https://www.kantei.go.jp/jp/singi/it2/senmon_bunka/data_ryutsuseibi/dai2/siryou2.pdf
4 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(匿名加工情報編)」（平成28年11月，平成29年3月一部改正）4頁 https://www.ppc.go.jp/files/pdf/guidelines04.pdf 「統計情報」は、複数人の情報から共通要素に係る項目を抽出して同じ分類ごとに集計して得られるデータであり、集団の傾向又は性質などを数量的に把握するものである。したがって、統計情報は、特定の個人との対応関係が排斥されている限りにおいては、法における「個人に関する情報」に該当するものではないため、法規制の対象外となる。
5 内閣官房IT総合戦略室「官民データ活用推進基本計画実行委員会データ流通・活用ワーキンググループ第二次とりまとめ」（令和元年6月） https://www.kantei.go.jp/jp/singi/it2/detakatuyo_wg/pdf/report.pdf
6 前掲注5・第二次とりまとめ（令和元年6月）「1．2 中間とりまとめ（2017年3月）の振り返り」5頁
7 前掲注3・中間とりまとめ（平成29年3月）「第2章 4.データ流通環境の必要性」5頁
8 個人情報の保護に関する法律（平成15年5月30日法律第57号）
9 個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律（平成27年法律第65号）
10 個情法第2条第9項 この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
11 行政機関の保有する個人情報の保護に関する法律（平成15年法律第58号）
12 行政機関等の保有する個人情報の適正かつ効果的な活用による新たな産業の創出並びに活力ある経済社会及び豊かな国民生活の実現に資するための関係法律の整備に関する法律（平成28年法律第51号）
13 独立行政法人等の保有する個人情報の保護に関する法律（平成15年5月30日法律第59号）
14 前掲示注12・平成28年法律第51号
15 総務省「行政機関個人情報保護法・独法等個人情報保護法の改正に向けた考え方」（平成28年3月7日）5頁 https://www.soumu.go.jp/main_content/000402385.pdf
16 総務省 個人情報保護条例の見直し等について（通知）（平成28年5月19日） https://www.soumu.go.jp/main_content/000486409.pdf
17 総務省「地方公共団体の非識別加工情報の作成・提供に係る効率的な仕組みの在り方に関する検討会」(平成30年8月21日～) https://www.soumu.go.jp/main_sosiki/kenkyu/chihoukoukyou_hininshiki/index.html
18 総務省「「地方公共団体の非識別加工情報の作成・提供に係る効率的な仕組みの在り方に関する中間とりまとめ」（案）について」（平成31年3月15日） https://www.soumu.go.jp/main_content/000602199.pdf
19 令和元年8月末現在、6団体（2県1市2町1村）を確認した。鳥取県、和歌山県、千葉県市川市、愛媛県伊方町、宮崎県五ヶ瀬町、青森県九戸村。
20 個人情報保護委員会「個人情報の保護に関する法律施行規則（平成28年10月5日個人情報保護委員会規則第3号）」 https://www.ppc.go.jp/files/pdf/180712_personal_commissionrules.pdf
21 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン(匿名加工情報編)」（平成28年11月，平成29年3月一部改正） https://www.ppc.go.jp/files/pdf/guidelines04.pdf
22 個人情報保護委員会「個人情報保護委員会事務局レポート：匿名加工情報「パーソナルデータの利活用促進と消費者の信頼性確保の両立に向けて」（2017年2月） https://www.ppc.go.jp/files/pdf/report_office.pdf
23 個情法第2条第5項 この法律において「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。ただし、次に掲げる者を除く。1 国の機関 2 地方公共団体 3 独立行政法人等（独立行政法人等の保有する個人情報の保護に関する法律（平成15年法律第59号）第2条第1項に規定する独立行政法人等をいう。以下同じ。） 4 地方独立行政法人（地方独立行政法人法（平成15年法律第118号）第2条第1項に規定する地方独立行政法人をいう。以下同じ。）
24 個情法第2条第10項 この法律において「匿名加工情報取扱事業者」とは、匿名加工情報を含む情報の集合物であって、特定の匿名加工情報を電子計算機を用いて検索することができるように体系的に構成したものその他特定の匿名加工情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの（第36条第1項において「匿名加工情報データベース等」という。）を事業の用に供している者をいう。ただし、第5項各号（前掲注23）に掲げる者を除く。
25 鳥取県個人情報保護条例 第2条第12項 実施機関非識別加工情報取扱事業者 実施機関非識別加工情報ファイルを事業の用に供している者（国及び地方公共団体並びに県が設立した地方独立行政法人を除く。）をいう。 https://www1.g-reiki.net/tottori/reiki_honbun/k500RG00000076.html
26 独個法第44条の2～第44条の16
27 個人情報保護委員会「独立行政法人等の保有する個人情報の保護に関する法律第四章の二の規定による独立行政法人等非識別加工情報の提供に関する規則」（平成29年3月31日個人情報保護委員会規則第2号） https://www.ppc.go.jp/files/pdf/dokkohou_kisoku.pdf
28 個人情報保護委員会「独立行政法人等の保有する個人情報の保護に関する法律についてのガイドライン（独立行政法人等非識別加工情報編）」（平成29年3月） https://www.ppc.go.jp/files/pdf/guidelines06.pdf
29 前掲注 21・個人情報保護委員会 匿名加工情報ガイドライン（平成28年11月，平成29年3月一部改正）4頁
30 個情法第2条 この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。一当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第2号において同じ。）で作られる記録をいう。第18条第2項において同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）二個人識別符号が含まれるもの
31 前掲注28・個人情報保護委員会 独個法ガイドライン（平成29年3月）3頁
32 前掲注20・個人情報保護委員会 個情法規則（平成28年10月5日）
33 前掲注27・個人情報保護委員会 独個法規則（平成29年3月31日）
34 Khaled El Emam、Luk Arbuckle 著、木村 映善、魔 狸 監訳、笹井 崇司 訳「データ匿名化手法 ヘルスデータ事例に学ぶ個人情報保護」オライリージャパン刊 ISBN978-4-87311-724-9 第2章リスクベースの非特定化方法論再特定のリスクは定量化できるとし、再特定のリスクを小さくした上で非特定化に向けて技術と契約、あるいは適切な運営と監視などを組み合わせることが妥当としている。
35 個情法第37条 匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節について同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
36 個情法第38条匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第36条第1項、行政機関の保有する個人情報の保護に関する法律（平成15年法律第58号）第44条の10第1項（同条第2項において準用する場合を含む。）若しくは独立行政法人等の保有する個人情報の保護に関する法律第44条の10第1項（同条第2項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。
37 個情法第39条 匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
38 前掲注28・個人情報保護委員会 独個法ガイドライン（平成29年3月）8頁
39 個人情報保護委員会 「通則編及び匿名加工情報編の改正」（平成29年3月31日） https://www.ppc.go.jp/files/pdf/GL_shinkyu_290331.pdf
40 独個法第44条の11 独立行政法人等は、独立行政法人等非識別加工情報を作成したときは、当該独立行政法人等非識別加工情報の作成に用いた保有個人情報を含む個人情報ファイルについては、個人情報ファイル簿に次に掲げる事項を記載しなければならない。
41 独個法第44条の12 前条の規定により個人情報ファイル簿に同条第一号に掲げる事項が記載された独立行政法人等非識別加工情報をその事業の用に供する独立行政法人等非識別加工情報取扱事業者になろうとする者は、独立行政法人等に対し、当該事業に関する提案をすることができる。当該独立行政法人等非識別加工情報について第44条の9の規定により独立行政法人等非識別加工情報の利用に関する契約を締結した者が、当該独立行政法人等非識別加工情報をその用に供する事業を変更しようとするときも、同様とする。2 第44条の5第2項及び第3項、第44条の6、第44条の7並びに第44条の9の規定は、前項の提案について準用する。
42 独個法第44条の5 前条の規定による募集に応じて個人情報ファイルを構成する保有個人情報を加工して作成する独立行政法人等非識別加工情報をその事業の用に供する独立行政法人等非識別加工情報取扱事業者になろうとする者は、独立行政法人等に対し、当該事業に関する提案をすることができる。第2項 前項の提案は、個人情報保護委員会規則で定めるところにより、次に掲げる事項を記載した書面を独立行政法人等に提出してしなければならない。7号 提案に係る独立行政法人等非識別加工情報の漏えいの防止その他当該独立行政法人等非識別加工情報の適切な管理のために講ずる措置
43 個情法第39条 匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
44 総務省「地方公共団体の非識別加工情報の作成・提供に係る効率的な仕組みの在り方に関する検討会 中間とりまとめ」（令和元年6月）14頁 https://www.soumu.go.jp/main_content/000626179.pdf Ⅱ第2.作成組織 3.規律 (10)利活用事業者に対する規制 行政機関等個人情報保護法においては、行政機関非識別加工情報等の提供に当たっては、提供先における非識別加工情報の管理のために講じる措置が適切なものであるかどうかを審査することとしており、その中で、提供された行政機関非識別加工情報の利用範囲についても審査を行うことが想定されており、当該審査を経て合意された利用契約の範囲で行うこととなる。この場合、基本的に当該契約の相手方における活用のみが想定されており、更に第三者に提供されていくことは運用上、例外的な取扱いであるとされている。
45 前掲注21・個人情報保護委員会 匿名加工情報ガイドライン（平成28年11月，平成29年3月一部改正）23頁 【識別行為に当たらない取扱いの事例】事例1）複数の匿名加工情報を組み合わせて統計情報を作成すること。事例2）匿名加工情報を個人と関係のない情報（例：気象情報、交通情報、金融商品等の取引高）とともに傾向を統計的に分析すること。
46 前掲注22・個人情報保護委員会 事務局レポート（2017年2月）41頁 第三者より提供を受けた匿名加工情報データベースと事業者内で保有する個人情報データベースとの間で、基本属性の類似度等から個人情報データベースに含まれる個人データと匿名加工情報に含まれる匿名加工情報とを紐付けることは、一般的には、識別目的の照合に該当すると考えられる。この結論は、当該紐づけがたとえ確率的に行われるものであっても変わらない。
47 個情法第36条第3項 個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
48 前掲注22・個人情報保護委員会 事務局レポート（2017年2月）41頁 元の匿名加工情報に情報を付加する加工を行った場合については、元の匿名加工情報の情報がそのまま残るものであるから、元の匿名加工情報と同一のものとして扱うべきものと考えらえる。一方、元の匿名加工情報から情報を削除する場合については、削除される情報の程度によって変わり得るが、元の匿名加工情報との対応関係が明らかである限りは、同一の匿名加工情報として扱うものと考えることが妥当である。
49 高度情報通信ネットワーク社会推進戦略本部「パーソナルデータの利活用に関する制度改正大綱」（平成26年6月24日） https://www.kantei.go.jp/jp/singi/it2/info/h260625_siryou2.pdf
50 総務省「行政機関等が保有するパーソナルデータに関する研究会」 https://www.soumu.go.jp/main_sosiki/kenkyu/gyousei_personal/index.html
51 総務省「行政機関個人情報保護法・独法等個人情報保護法の改正に向けた考え方」（平成28年3月7日） https://www.soumu.go.jp/main_content/000402385.pdf
52 前掲注51・総務省（平成28年3月7日）11頁 公的部門のデータの利活用の対象や範囲を適切に定め、提供時等における規律を課すこと等を前提として、匿名加工情報の仕組みを導入すべきであると考えられる。その際、匿名加工情報の制度的な導入は世界でもまれであり、まずは「スモールスタート」とすることが適当であること、我が国として独自の、利活用のメリットと個人の権利利益の保護のバランスを実効性ある形で担保する仕組みとすることを念頭に、制度の構築をすべきではないかと考える。
53 前掲注51・総務省（平成28年3月7日）25頁
54 前掲注51・総務省（平成28年3月7日）26頁
55 総務省「行政機関等が保有するパーソナルデータに関する研究会第16回」（平成28年3月4日）
56 総務省報道発表「「行政機関等が保有するパーソナルデータに関する研究会」の開催」（平成26年7月23日）別紙 報道資料 https://www.soumu.go.jp/menu_news/s-news/01gyokan06_02000011.html 同 別紙 https://www.soumu.go.jp/main_content/000304067.pdf
57 宍戸常寿ししどじょうじ 東京大学大学院法学政治学研究科教授
58 総務省「行政機関等が保有するパーソナルデータに関する研究会第16回（平成28年3月4日）議事要旨」24頁 【宍戸構成員】あまりこの問題を長く議論しても仕方がないと思いますが、基本法を拝見している限りでは、要するに基本法のルールに従って、おそらく民間事業者は匿名加工情報を提供しようとするだろうと思います。他方で、匿名加工情報をもらう匿名加工情報取扱事業者からは、行政機関や地方公共団体は除かれているわけです。したがいまして、民間事業者にとっては、少なくとも基本法の匿名加工情報の枠内で、匿名加工情報を今のような公的な部門に提供することができないわけです。ですから、その外であなたたちは第三者としての行政機関にくれと言われたとき、渡しなさいということになるわけです。私は、今回の法改正のときには、行政機関や独法などがもらえる部分まで規律を整備するのかな、という印象があったもので申し上げました。おそらく外でそう理解されている方も多いと思います。それらについては、今回の改正の射程外であり、そしてまたその先に問題が残るということは、この考え方にはっきり書くか、あるいは書かないのであれば、この場で私の発言として残しておきたいということでございます。https://www.soumu.go.jp/main_content/000405356.pdf
59 前掲注51・総務省（平成28年3月7日）19頁 ○官民連携共同でのルール形成の在り方（ルール策定へのニーズ及び行政機関等の側の考え方の反映） 匿名加工情報が官民共同で利活用されることが具体的に想定されるような分野では、新個人情報保護法及び行政機関個人情報保護法・独法等個人情報保護法という法令が直接に定める規律に加えて、認定個人情報保護団体の自主規制ルールである個人情報保護指針の策定が期待されると考えられる。 この点について、本研究会では、以下のような意見が述べられた。i）そのような分野では、公的部門も民間部門も総合する形で個人情報保護指針を作りたいというニーズがあるのではないか。ii）官民が連携共同して情報がしっかりフローする形でルールを作る際には、そのプロセスにおいて官の側の論理についてもしっかり反映されることが重要であり、そのためには、個人情報保護委員会の関与をどのように考えればよいか検討しておくことが重要ではないか。
60 黒政 敦史「匿名加工情報および非識別加工情報の運用整理と利活用に関する考察」,研究報告電子化知的財産・社会基盤（EIP）,2019-EIP-84(2),1-8(2019-05-27),2188-8647. https://ipsj.ixsq.nii.ac.jp/ej/?action=pages_view_main&active_action=repository_view_main_item_detail&item_id=195924&item_no=1&page_id=13&block_id=8
61 PWSCUP2019匿名加工・再識別コンテスト主催：情報処理学会コンピュータセキュリティ研究会 http://www.iwsec.org/pws/2019/cup19.html
62 村上隆夫「匿名加工コンテストPWSCupのルールや技術説明」PWS勉強会2019/09/02 http://www.iwsec.org/pws/2019/doc/PWS%E5%8B%89%E5%BC%B7%E4%BC%9A_20190902.pdf 優れた匿名加工の手法を明確化すること、加工基準の議論をする上で参考となる知見を提供することを目的としている。但し、匿名加工情報の基準と，本コンテストにおける匿名加工の安全性基準は異なる（例：前者は一般人基準、後者は専門家レベル）ため、両者の関係の明確化は今後の課題である。
63 前掲注60・黒政(2019) 7頁
64 前掲注51・総務省（平成28年3月7日）26頁
65 独個法第9条 独立行政法人等は、法令に基づく場合を除き、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供してはならない。2 前項の規定にかかわらず、独立行政法人等は、次の各号のいずれかに該当すると認めるときは、利用目的以外の目的のために保有個人情報を自ら利用し、又は提供することができる。ただし、保有個人情報を利用目的以外の目的のために自ら利用し、又は提供することによって、本人又は第三者の権利利益を不当に侵害するおそれがあると認められるときは、この限りでない。一 本人の同意があるとき、又は本人に提供するとき。～中略～ 四 前三号に掲げる場合のほか、専ら統計の作成又は学術研究の目的のために保有個人情報を提供するとき、本人以外の者に提供することが明らかに本人の利益になるとき、その他保有個人情報を提供することについて特別の理由のあるとき。
66 前掲注30・個情法第2条
67 個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ＆A」（平成29年2月16日、平成30年12月25日更新） https://www.ppc.go.jp/files/pdf/181225_APPI_QA.pdf
68 前掲注67・個人情報保護委員会Q＆A（平成29年2月16日、平成30年12月25日更新）5頁 A1－16
69 個情法第23条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。一法令に基づく場合 ～ 中略 ～ 2 個人情報取扱事業者は、第三者に提供される個人データ（要配慮個人情報を除く。以下この項において同じ。）について、本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止することとしている場合であって、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置くとともに、個人情報保護委員会に届け出たときは、前項の規定にかかわらず、当該個人データを第三者に提供することができる。 ～ 中略 ～ 四 本人の求めに応じて当該本人が識別される個人データの第三者への提供を停止すること。
70 個情法第23条 5 次に掲げる場合において、当該個人データの提供を受ける者は、前各項の規定の適用については、第三者に該当しないものとする。 ～ 中略 ～ 三 特定の者との間で共同して利用される個人データが当該特定の者に提供される場合であって、その旨並びに共同して利用される個人データの項目、共同して利用する者の範囲、利用する者の利用目的及び当該個人データの管理について責任を有する者の氏名又は名称について、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置いているとき。
71 個情法第76条 個人情報取扱事業者等のうち次の各号に掲げる者については、その個人情報等を取り扱う目的の全部又は一部がそれぞれ当該各号に規定する目的であるときは、第四章の規定は、適用しない。 ～ 中略 ～ 三 大学その他の学術研究を目的とする機関若しくは団体又はそれらに属する者 学術研究の用に供する目的
72 総務省「地方公共団体におけるデータ利活用ガイドブック Ver.1.0」の公表（平成30年6月15日） https://www.soumu.go.jp/menu_news/s-news/01ryutsu06_02000167.html
73 総務省「地方公共団体が保有するパーソナルデータに関する検討会（第2回）」（平成28年11月28日）資料2 行政機関個人情報保護法等の改正対応への実務的課題～東京都の検討状況～ https://www.soumu.go.jp/main_sosiki/kenkyu/chihoukoukyou_personal/02gyosei07_04000101.html
74 前掲注73・第2回（平成28年11月28日）個人情報取扱事務の届出・登録等を実施
75 総務省「地方公共団体が保有するパーソナルデータに関する検討会（第2回）」（平成28年11月28日） 地方公共団体が保有するパーソナルデータに関する検討会（第2回）議事概要 3頁 https://www.soumu.go.jp/main_sosiki/kenkyu/chihoukoukyou_personal/02gyosei07_04000101.html 【髙野 統括課長代理】〇非識別加工情報の導入に関しては、前向きな検討を前提として、問題点を指摘した。個人情報について利活用の視点が入ってきたことは認識しており、官民一体で取り組むべきというということも十分承知している。ただ、法律で規定されたからやるべきという結論は、必ずしも短時間では出せないということを御理解いただきたい。
76 総務省、「地方公共団体が保有する パーソナルデータに関する検討会報告書」（平成29年5月） https://www.soumu.go.jp/main_content/000485969.pdf
77 前掲注26・独個法第44条の2～第44条の16
78 前掲注27・個人情報保護委員会 独個法規則
79 個人情報保護委員会「国の行政機関・独立行政法人等における非識別加工情報の制度のあらまし」 https://www.ppc.go.jp/files/pdf/hisikibetu_aramashi.pdf
80 独個法第11条 独立行政法人等は、政令で定めるところにより、当該独立行政法人等が保有している個人情報ファイルについて、それぞれ次に掲げる事項を記載した帳簿（以下「個人情報ファイル簿」という。）を作成し、公表しなければならない。
81 独個法第44条の5 前条の規定による募集に応じて個人情報ファイルを構成する保有個人情報を加工して作成する独立行政法人等非識別加工情報をその事業の用に供する独立行政法人等非識別加工情報取扱事業者になろうとする者は、独立行政法人等に対し、当該事業に関する提案をすることができる。
82 独個法第2条第11項 この法律において「独立行政法人等非識別加工情報取扱事業者」とは、独立行政法人等非識別加工情報ファイルを事業の用に供している者をいう。ただし、次に掲げる者を除く。一 国の機関 二 独立行政法人等 三 地方公共団体 四 地方独立行政法人（地方独立行政法人法（平成十五年法律第百十八号）第二条第一項に規定する地方独立行政法人をいう。以下同じ。）
83 独個法第44条の2 独立行政法人等は、この章の規定に従い、独立行政法人等非識別加工情報（独立行政法人等非識別加工情報ファイルを構成するものに限る。以下この章及び次章において同じ。）を作成し、及び提供することができる。 ～ 中略 ～ 2 独立行政法人等は、法令に基づく場合を除き、利用目的以外の目的のために独立行政法人等非識別加工情報及び削除情報（保有個人情報に該当するものに限る。）を自ら利用し、又は提供してはならない。
84 独個法第44条の4 独立行政法人等は、個人情報保護委員会規則で定めるところにより、定期的に、当該独立行政法人等が保有している個人情報ファイル（個人情報ファイル簿に前条第一号に掲げる事項の記載があるものに限る。以下この章において同じ。）について、次条第一項の提案を募集するものとする。
85 独個法第44条の5 前条の規定による募集に応じて個人情報ファイルを構成する保有個人情報を加工して作成する独立行政法人等非識別加工情報をその事業の用に供する独立行政法人等非識別加工情報取扱事業者になろうとする者は、独立行政法人等に対し、当該事業に関する提案をすることができる。2 前項の提案は、個人情報保護委員会規則で定めるところにより、次に掲げる事項を記載した書面を独立行政法人等に提出してしなければならない。一 提案をする者の氏名又は名称及び住所又は居所並びに法人その他の団体にあっては、その代表者の氏名 二 提案に係る個人情報ファイルの名称 ～ 中略 ～ 七 提案に係る独立行政法人等非識別加工情報の漏えいの防止その他当該独立行政法人等非識別加工情報の適切な管理のために講ずる措置 八 前各号に掲げるもののほか、個人情報保護委員会規則で定める事項
86 前掲注28・個人情報保護委員会 独個法ガイドライン（平成29年3月）10頁
87 独個法規則第10条3号 保有個人情報と当該保有個人情報に措置を講じて得られる情報とを連結する符号（現に独立行政法人等において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該保有個人情報と当該保有個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）
88 独個法規則第10条5号 前各号に掲げる措置のほか、保有個人情報に含まれる記述等と当該保有個人情報を含む個人情報ファイルを構成する他の保有個人情報に含まれる記述等との差異その他の当該個人情報ファイルの性質を勘案し、その結果を踏まえて適切な措置を講ずること
89 PWSCUP2019匿名加工・再識別コンテスト 主催：情報処理学会コンピュータセキュリティ研究会 http://www.iwsec.org/pws/2019/cup19.html
90 小栗 秀暢 , 黒政 敦史 , 中川 裕志 , 菊池 浩明 , 門田 将徳 個人データの保護と流通を目的とする匿名化と再識別コンテスト：PWSCup 情報処理学会デジタルプラクティス,9(3),659-684 (2018-07-15) 2188-4390 https://ipsj.ixsq.nii.ac.jp/ej/?action=pages_view_main&active_action=repository_view_main_item_detail&item_id=190387&item_no=1&page_id=13&block_id=8 ●4.3 匿名加工基準賞受賞チームにおける規則の解釈と措置 匿名加工基準に対する解釈の一例 －個情法規則第19条5号の解釈 各顧客に関するレコードの集計値に現れる特異性だと解釈した。今回のデータセットであれば、購入した月のパターンや、各月の合計購入商品数，レコード数なども考慮の対象とした。－個情法規則第19条とPWS Cup2017の比較 PWS Cup2017ではデータセットとユースケースのみならず、再識別条件も定義されており、それらのルールのもとで参加チームが技術を競い合うものである。それぞれの匿名化処理技術や再識別技術を客観的に評価するものとして、非常に意義のあるものであるが、その一方で、同じ方法で匿名化処理された実データを匿名加工情報として、流通させることは難しい。なぜなら、再識別条件やユースケースの定義は同じデータセットに対してもいくつか考えられるものがあり、個情法規則第19条に対する措置はそれぞれ異なると考えられるためである。
91 総務省「地方公共団体の非識別加工情報の作成・提供に係る効率的な仕組みの在り方に関する検討会 中間とりまとめ」（令和元年6月） http://www.soumu.go.jp/main_content/000626179.pdf
