改正個人情報保護法の対応ポイント
第2回 仮名加工情報に関して企業が対応すべき事項とは

 

2021年7月1日

2020年6月に「個人情報の保護に関する法律等の一部を改正する法律案」が公布され、2022年春の全面施行に向け、政令やガイドライン等の検討が行われている。個人情報を扱うすべての事業者が対象になるため、対応を協議している企業も多いのではないだろうか。
今回のインサイトでは、法改正により発生する義務や現行法との違い、企業が対応すべき事項を2回に分けて解説する。第1回では、改正個人情報保護法の主な変更点と企業が対応すべき点を解説した。第2回では、「仮名加工情報」に関する対応ポイントを解説する。

仮名加工情報とは?

「仮名加工情報」とは、データ内の特定の個人を識別できる情報(氏名等)を、ガイドラインに従って削除または他の記述に置き換えることで、他の情報と照合しない限り特定の個人を識別することができないように加工した情報のことである。
現行法には匿名加工情報という、一見仮名加工情報との違いの判別が難しい情報について、すでに定められている。匿名加工情報は、特定の個人を識別できないように個人情報を加工し、かつ復元できないようにした情報のことで、事業者間におけるデータ利活用を促進することを目的に導入されている。仮名加工情報は、データとしての有用性を個人情報と同等程度に保ちながら、匿名加工情報と比べ加工範囲が縮小し、利用制限が拡大された情報として、企業内部におけるビッグデータ等の利活用を促進するために創設されたものである。

図1 仮名加工情報の例

図1 仮名加工情報の例

仮名加工情報は、加工元となる個人情報や、他の情報と照合することで特定の個人を識別することが可能なため、仮名加工情報を取り扱う場合には、原則として個人情報を取り扱う際に発生する義務に対応しなければならない。しかしながら、仮名加工情報だけでは特定の個人を識別できないことや、加工元データを削除し照合ができない場合等を考慮し、発生する義務には下表のような違いがある。

表1 個人情報と仮名加工情報に関して発生する義務の違い

表1 個人情報と仮名加工情報に関して発生する義務の違い

これらを踏まえ、仮名加工情報の利用が想定される場合は次に解説する対応が必要となる。ただし、表1の仮名加工情報に関して発生する義務は、個人情報を図1にあるような氏名のみが削除された情報に加工できる仕組みが整備されていることが前提となっている。そのため、ファーストステップとして対応が必要な項目および仮名加工情報を取り扱ううえで対応必須となる項目についても解説する。
また、表1の「識別目的での照合」と「第三者提供」は仮名加工情報では禁止されているため、禁止事項の項目でまとめて解説する。

仮名加工情報への対応ポイント

仮名加工情報への対応は、以下のステップに分けて進めていく。

仮名加工情報への対応の進め方

ステップ1、ステップ2の4つの項目に対して、具体的なポイントと対策の一例を挙げる。

①仮名加工情報の利用ケースや匿名加工情報との使い分けの定義
仮名加工情報の取り扱いの際には、以下の対応が必要となる。

対応ポイント 対応例
匿名加工情報と仮名加工情報使い分けや、仮名加工情報の利用ケースが定義され、組織内に浸透していることがポイントとなる。
  • すでに匿名加工情報を取り扱っている場合は、匿名加工情報と仮名加工情報の違いや使い分けを定義し明文化するとともに、匿名加工情報および仮名加工情報を取り扱う実務者及び承認者を含む管理監督者に、定義した内容を定着させるための説明会や勉強会を開催する
    <使い分けの例>
    処方箋に含まれる患者・調剤情報を匿名加工し第三者提供している情報を、新たな目的で、組織内において研究用データとして利用したい場合に仮名加工し利活用する、等
  • 仮名加工情報の利用ケースを定義し明文化するとともに、匿名加工情報および仮名加工情報を取り扱う実務者及び承認者を含む管理監督者に、定義した内容を定着させるため説明会や勉強会を開催する
  • 仮名加工情報取り扱い全般に係る実務者及び承認者を含む管理監督者が遂行に十分なスキルを有しているか確認する
    <保有スキル例>
    匿名加工情報と仮名加工情報の違いや使い分けを理解できる、仮名加工情報の取り扱いに際し遵守すべき事項を理解し遂行できる、等

②ガイドラインに準拠した加工ができる仕組みの整備
ガイドラインに準拠した仮名加工情報の加工ができるよう、以下の対応が必要となる。

対応の観点 対応ポイント 対応例
テクノロジー 仮名加工情報の作成に際し、ガイドラインに準拠した加工ができるシステムが整備されていることがポイントとなる。
  • 仮名加工情報作成のガイドラインに準拠した加工方法を精査し、その内容をシステムの仕様に反映する
    <削除または他の記述に置き換える情報の例>
    氏名のほか、旅券番号等の個人識別符号、クレジットカード番号等の不正利用されることにより財産的被害が生じるおそれがある記述
人・組織 仮名加工情報の作成に関する規程、ポリシー、フローや手順書が組織内に浸透しており、各種役割や権限が明確になっていることがポイントとなる。
  • 仮名加工情報作成の遂行に組織として十分な能力とリソースが割り当てられているか確認するとともに、誰が作成し誰が作成結果を確認するのか等、関連規程類を周知するため説明会を開催する
  • 仮名加工情報作成プロセスの担い手が遂行に十分なスキルを有しているか確認するとともに、フローや手順を浸透させるため勉強会を開催する
プロセス 仮名加工情報作成のフローや手順が整備されており、明文化されていることがポイントとなる。
また、ガイドラインに準拠した加工がされているかを審査する仕組みを準備しておくことがポイントとなる。
  • 仮名加工情報の作成手順を整備し、明文化する
  • ガイドライン通りに作成されたことを確認する手順を整備し、明文化する
  • 仮名加工情報の作成時にガイドラインに準拠しているかを審査する仕組みを整備し、明文化する
規範・法律 仮名加工情報の作成に関する対応義務について把握し、その内容が組織の規程やルールに反映されていることがポイントとなる。
  • 仮名加工情報を作成する際にガイドラインに従う必要がある旨を規程やルールに記載する

③禁止事項に該当しないよう事前および定期的にチェックする仕組みの整備
仮名加工情報を取り扱う際の禁止事項(識別目的での照合、第三者提供)に該当しないよう、以下の対応が必要となる。

対応の観点 対応ポイント 対応例
テクノロジー 仮名加工情報の取り扱い開始に際し、禁止事項に該当しないかチェックしその証跡を残すことができるシステムが整備されていること、また、仮名加工情報の取り扱いにおける禁止事項が行えないようシステムが整備されていることがポイントとなる。
  • 正当な権限者による事前審査および定期点検とその証跡を残すワークフローのシステム化が可能か精査する
  • 仮名加工情報取り扱いにおける禁止事項を整理し、禁止事項が行えないよう制御するシステム化が可能か精査する
人・組織 仮名加工情報の取り扱いにおける禁止事項に関する規程、ポリシーが組織内に浸透しており、各種役割や権限が明確になっていることがポイントとなる。
  • 仮名加工情報の適正な利用に組織として十分な能力とリソースが割り当てられているか確認するとともに、関連規程類を周知するため説明会を開催する
  • 仮名加工情報取扱プロセスの担い手が遂行に十分なスキルを有しているか確認するとともに、リテラシー向上のため勉強会を開催する
プロセス 仮名加工情報の利用に際し、禁止事項が行われていないかチェックできる仕組みを準備しておくことがポイントとなる。
  • 仮名加工情報の利用に際し、禁止事項が行われていないかを定期的に点検・改善する仕組みを整備し、明文化する
規範・法律 仮名加工情報の取り扱いにおける禁止事項を把握し、その内容が組織の規程やルールに反映されていることがポイントとなる。
  • 仮名加工情報の利用に際し、どのような行為が禁止事項に該当するかを規程やルールに記載する

④削除情報等に関する安全管理措置の整備
加工方法に関する情報や、仮名加工情報の作成過程で削除された個人情報が漏えいしないよう、以下の対応が必要となる。

対応の観点 対応ポイント 対応例
テクノロジー 仮名加工情報の取り扱いに際し、削除情報等が漏えいしないようシステムが整備されていることがポイントとなる。
  • 削除情報等へのアクセス制御ができているか、外部からの不正アクセス防止ができているか等、情報漏えい防止を考慮したシステムとなっているか再精査する
人・組織 削除情報等の安全管理措置に関する規程、ポリシー、フローや手順書が組織内に浸透しており、各種役割や権限が明確になっていることがポイントとなる。
  • 削除情報等の取り扱いの遂行に組織として十分な能力とリソースが割り当てられているか確認するとともに、安全管理に係る関連規程類を周知するため説明会を開催する
  • 削除情報等の取り扱いプロセスの担い手が遂行に十分なスキルを有しているか確認するとともに、リテラシー向上のため勉強会を開催する
プロセス 削除情報等の取り扱いに係るフローや手順が整備されており、明文化されていることがポイントとなる。
  • 削除情報等の取り扱い手順や取扱いにおける注意事項を整備し、明文化する
  • 削除情報等の取り扱い状況を定期的に評価・改善する仕組みを整備し、明文化する
規範・法律 仮名加工情報の作成に関する対応義務について把握し、その内容が組織の規程やルールに反映されていることがポイントとなる。
  • 削除情報等の漏えい防止のため安全管理義務がある旨を規程やルールに記載する

まとめ

今回の個人情報保護法の改正は、現行の法令遵守を堅持しつつ、より柔軟な経済活動を狙ったものであると言える。本インサイトで解説した仮名加工情報は、その代表とも言える新たに創設された条項だ。ただし、仮名加工情報は取り扱う場合には正確な対応が求められる。
今回解説した仮名加工情報についてはガイドライン案が公開されている。その他にこれから公開される政令や規則を読み解き、必要な対応事項を社内で協議・検討するとともに、必要に応じて知見のある専門家に依頼し、対応を進めることが望ましい。

  • (免責事項)
    当社は、本内容の正確性・妥当性を保証するものではありません。本内容は、法的アドバイスの提供を目的としたものではなく、本内容の情報によって何らかの損害が発生した場合においても弊社は一切の責任を負わないものとします。

関連ページ

page top