個人情報保護法～匿名加工情報取扱事業者の義務について

　匿名加工情報取扱事業者は、第三者提供を受けた匿名加工情報について様々な義務を負います（個人情報保護法４４条～４６条）。

　本コラムでは、匿名加工情報の作成を行う個人情報取扱事業者の義務及び匿名加工情報取扱事業者の義務について解説いたします。

　なお、匿名加工情報・匿名加工情報取扱事業者については、こちらのコラムを御覧ください。

匿名加工情報・匿名加工情報取扱事業者とは

匿名加工情報の作成等（法４３条）

個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下この章及び第六章において同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。
２　個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
３　個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。

個人情報保護法第４３条１項ないし同条３項

法第四十三条第一項の個人情報保護委員会規則で定める基準は、次のとおりとする。
一　個人情報に含まれる特定の個人を識別することができる記述等の全部又は一部を削除すること（当該全部又は一部の記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
二　個人情報に含まれる個人識別符号の全部を削除すること（当該個人識別符号を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
三　個人情報と当該個人情報に措置を講じて得られる情報とを連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること（当該符号を復元することのできる規則性を有しない方法により当該個人情報と当該個人情報に措置を講じて得られる情報を連結することができない符号に置き換えることを含む。）。
四　特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）。
五　前各号に掲げる措置のほか、個人情報に含まれる記述等と当該個人情報を含む個人情報データベース等を構成する他の個人情報に含まれる記述等との差異その他の当該個人情報データベース等の性質を勘案し、その結果を踏まえて適切な措置を講ずること。

個人情報保護法施行規則第３４条

法第四十三条第二項の個人情報保護委員会規則で定める基準は、次のとおりとする。
一　加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第四十三条第一項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
二　加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
三　加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。

個人情報保護法施行規則第３５条

法第四十三条第三項の規定による公表は、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。
２　個人情報取扱事業者が他の個人情報取扱事業者の委託を受けて匿名加工情報を作成した場合は、当該他の個人情報取扱事業者が当該匿名加工情報に含まれる個人に関する情報の項目を前項に規定する方法により公表するものとする。この場合においては、当該公表をもって当該個人情報取扱事業者が当該項目を公表したものとみなす。

個人情報保護法施行規則第３６条

　上記は個人情報取扱事業者の義務になりますが、個人情報取扱事業者が個人情報を匿名加工し、匿名加工情報として他の事業者等に共有するためには、規則第３４条で示されている5つの基準を満たす加工を行う必要があります。５つの基準を全て満たす適正な加工が十分になされていない情報については、匿名加工情報とはいえず、個人情報として取り扱わなければなりません。

匿名加工情報の第三者提供（法４３条４項、４４条）

個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

個人情報保護法第４３条４項

匿名加工情報取扱事業者は、匿名加工情報（自ら個人情報を加工して作成したものを除く。以下この節において同じ。）を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。

個人情報保護法第４４条

法第四十三条第四項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。
２　法第四十三条第四項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。

個人情報保護法施行規則第３７条

前条第一項の規定は、法第四十四条の規定による公表について準用する。
２　前条第二項の規定は、法第四十四条の規定による明示について準用する。

個人情報保護法施行規則第３８条

　個人情報取扱事業者が自ら作成した匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表し、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければなりません。

識別行為の禁止（法４３条５項、４５条）

個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。

個人情報保護法第４３条５項

匿名加工情報取扱事業者は、匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該個人情報から削除された記述等若しくは個人識別符号若しくは第四十三条第一項若しくは第百十六条第一項（同条第二項において準用する場合を含む。）の規定により行われた加工の方法に関する情報を取得し、又は当該匿名加工情報を他の情報と照合してはならない。

個人情報保護法第４５条

　個人情報取扱事業者は匿名加工情報を取り扱うにあたって、匿名加工情報の作成に用いられた本人を識別するため、匿名加工情報を他の情報と照合してはなりません。さらに、匿名加工情報取扱事業者においては、加工の方法に関する情報等を取得することも禁止されています。

匿名加工情報の安全管理措置等（法４３条６項、４６条）

個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

個人情報保護法第４３条６項

匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、匿名加工情報の取扱いに関する苦情の処理その他の匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。

個人情報保護法第４６条

　個人情報取扱事業者、匿名加工情報取扱事業者は、匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければなりません。