個人情報保護法における、仮名加工情報と匿名加工情報の内容と主な違いについて説明します。

1. 匿名加工情報

匿名加工情報とは、個人情報に含まれる記述の一部または個人識別符号を削除・置換して、特定の個人を識別できないように個人情報を加工して得られたもので、個人情報を復元できないようにしたものです（個人情報保護法2条第6項）。 匿名加工情報取扱事業者は以下の遵守すべき義務を守ることで、匿名加工情報を第三者に提供することができます。

• 匿名加工情報を作成するときは、適正な加工を行わなければならない（法第43条第1項）
• 匿名加工情報を作成したときは、加工方法等の情報の安全管理措置を講じなければならない（法第43条第2項）
• 匿名加工情報を作成したときは、当該情報に含まれる情報の項目を公表しなければならない（法第43条第3項）
• 匿名加工情報を第三者提供するときは、提供する情報の項目及び提供方法について公表するとともに、提供先に当該情報が匿名加工情報である旨を明示しなければならない（法第43条第4項）
• 匿名加工情報を自ら利用するときは、元の個人情報に係る本人を識別する目的で他の情報と照合することを行ってはならない（法第43条第5項）
• 匿名加工情報を作成したときは、匿名加工情報の適正な取扱いを確保するため、安全管理措置、苦情の処理などの措置を自主的に講じて、その内容を公表するよう努めなければならない（法第43条第6項）

匿名加工情報の適正な加工（法第43条第1項関係）には以下の手順が含まれます。

• 3-2-2-1 特定の個人を識別することができる記述等の削除
  • ※「削除」には、当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることが含まれます。以下同じ。
  • 例1：氏名を削除する。
  • 例2：住所を削除する。又は、○○県△△市に置き換える。
  • 例3：生年月日を削除する。又は、日を削除し、生年月に置き換える。
  • 例4：会員ID、氏名、電話番号を削除する。
  • 例5：個人を識別できる記述を他の記述等に置き換える場合は、元の記述に乱数などの他の記述を加えた上でハッシュ関数を用いて加工し、元の記述等を復元できる規則性を有しない方法でなければいけないです。なお、乱数を加えた上でハッシュ関数による加工をした場合は、匿名加工情報の作成後に、仮IDへの置き換えに用いたハッシュ関数等と乱数等の他の記述等の組み合わせを保有し続けることは認められません（3-2-3-1 加工方法等情報の安全管理措置 を参照）
• 3-2-2-2 個人識別符号の削除
  • 個人識別符号とは、その情報単体から特定の個人を識別することができるものとして政令で定めるものをいい、次のいずれかに該当するものです。
    • 特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した符号
      • 例：生体情報（DNA、顔、虹彩、声紋、歩行の態様、手指の静脈、指紋・掌紋）をデジタルデータに変換したもののうち、特定の個人を識別するに足りるものとして規則で定める基準に適合するもの（政令第1条第1号及び規則第2条）
    • 対象者ごとに異なるものとなるように役務の利用、商品の購入又は書類に付される符号
      • 例：旅券番号、基礎年金番号、免許証番号、住民票コード、マイナンバー、各種保険証の番号等の公的機関が割り振る番号（政令第1条第2号から第8号まで、規則第3条及び第4条）
• 3-2-2-3 情報を相互に連結する符号の削除
  • 個人情報に紐づくIDを付与している場合、特定の個人の識別又は元の個人情報の復元につながり得ることから、加工対象となる個人情報から削除又は他の符号への置き換えを行わなければならないです。
    • 例：管理用に附番されたIDを削除する。または当該管理用IDを仮IDに置き換える（仮IDへの変換注意点は3-2-2-1を参照）。
• 3-2-2-4 特異な記述等の削除
  • 例1：症例数の極めて少ない病歴を削除する。
  • 例2：年齢が「116歳」という情報を「90歳以上」に置き換える。
• 3-2-2-5 個人情報データベース等の性質を踏まえたその他の措置
  • 特定の個人の識別又は元の個人情報の復元につながるおそれがある情報も削除する。
    • 例：位置情報、購入者が極めて限定されている商品の購買履歴など

匿名加工情報の加工に係る手法例として以下のものがあります。

2. 仮名加工情報

仮名加工情報とは、個人情報に含まれる氏名などの記述や個人識別符号の削除などにより、他の情報と照合しない限り特定の個人を識別することができないように加工して得られる個人に関する情報です（個人情報保護法2条第5項）。 仮名加工情報は、加工の際に削除を行った氏名や個人識別符号など、組織内部などに存在する他の情報と照合することにより加工前の個人情報を復元することができる可能性があります。

仮名加工情報取扱事業者は、法令に基づく場合を除くほか、仮名加工情報である個人データを第三者に提供してはいけません。 ただし委託は例外で、利用目的の達成に必要な範囲内において、仮名加工情報である個人データの取扱いに関する業務の全部又は一部を委託することに伴い、当該仮名加工情報である個人データが提供される場合は、当該提供先は第三者に該当しません。 その際は委託元は委託先に対する監督責任が課されます（法第25条）。

3. 仮名加工情報と匿名加工情報の違い

仮名加工情報と匿名加工情報の主な違いを以下表にまとめました。

定義の差異

加工基準の差異

※「削除」には、当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることが含まれます。

取扱いに関する主な規律の差異

以上です。

参考文献

• 個人情報の保護に関する法律 | e-Gov法令検索
• 個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編） ｜個人情報保護委員会