2017年春施行される改正個人情報保護法の要点

ビッグデータの利活用、すなわち個人情報（パーソナルデータ）の活用によって生まれる価値に注目が集まっています。そのニーズが高まる一方、企業による大量の個人情報の流出が報道される度に市民の不安は高まります。

　個人情報を取り扱うには、利用目的を特定し、利用目的を特定し、その範囲内で扱うのが原則です。個人データを取得した者が第三者へ提供する場合には、本人の同意が必要です。個人情報保護法では、個人データを第三者に提供するのであれば、原則として、提供に先立って本人から提供を認める旨の同意を得なければならないとしています（同法23条１項）。

　しかし、同意を得る時間的、経済的なコストや同意を得られない情報の膨大な量と本人の侵害されるリスクを最小限にとどめることに配慮したうえで、眠ってしまう有益な情報について活用を図るための方策も重要な課題です。そこで、匿名加工情報に関する制度が新設されました。詳細は、同法施行規則にあり、「個人情報の保護に関する法律についてのガイドライン案」が策定されています。http://www.ppc.go.jp/files/pdf/guidelines04.pdf

　情報を加工するということはどういうことなのでしょうか。特定の個人を識別することができず、また復元することができないようにすることを意味します。ガイドラインでは、その判断は一般の人、一般の事業者の能力や手法を基準としています。

　加工業者は「適正な加工」（法36条1項、規則19条）をしなければならないのですが、具体的に法が要求しているのは、個人情報に含まれる個人の識別する記述等の全部または一部の削除で、例えば、氏名や住所、電話番号、会員ＩＤ、生年月日の削除（日を削除し、年月に置き換える場合も含む）等があげられます。わかりやすく言えば、年齢のデータをすべて消す、バナナを果物といった上位の概念に置き換える、症例数の少ないものを削除する。年齢なら89歳を80歳以上というようにデータベース等に含まれる数値をまとめる、誤差を付記す等いろいろな工夫があげられます。

　事業者においては、具体的な手順や方法について、ガイドラインを踏まえて、業種、業界において、リスク要因を除去し適切な加工方法を十分に検討する必要があると思います。契約者であれば、①ＩＤ、氏名、生年月日等の識別子、属性、利用データなどの履歴の仕分けから始まり、②個人識別等にかかるリスクの洗い出し（特定されるリスク、他の情報との組み合わせによる照合されるリスク、データを用いて本人にアクセスされるリスク）、③加工方法の検討、といった流れで、進めて行くことになります。

　上手な個人情報の活用が進めば、新しいサービスや商品などの産業振興や社会インフラの改変も期待できます。大変ですが、情報を生かす、そのための取り組みをすべき時代が始まっているのです。

＜池田桂子＞