2013年6月、JR東日本がICカード（Suica）の乗降履歴情報を、個人の特定ができない状態にしたうえで販売を開始しました。

しかし、その直後から「個人情報保護法の観点から問題があるのでは？」という指摘が多数寄せられ、わずか1カ月で販売中止になるという騒動が起こりました。

個人情報の管理に対して、年々、世間の目は厳しさを増しています。
「名前と連絡先はすべて削除したから大丈夫だろう」という、ずさんな管理をしていると、あっという間に会社の信用を失ってしまうことになるのです。

“匿名加工情報”とは？

個人情報を『特定の個人を識別できない状態』および『個人情報を復元できない状態』に加工したものを“匿名加工情報”といいます。

匿名加工情報を作成する際には、以下の加工基準をクリアする必要があります（改正個人情報保護法 第2条第9項、第36条第1項、個人情報の保護に関する法律施行規則 第19条 一部抜粋）。

◆特定の個人を識別できる氏名や住所、生年月日等の記述の全部または一部を削除
◆DNAや指紋、顔写真、パスポート番号、マイナンバーなどの個人識別符号をすべて削除
◆氏名や住所などと連結する会員IDなどの符号を削除
◆珍しい血液型や病歴など、特異な情報を削除
◆自宅や職場などが特定できるような位置情報は削除（レコードやセルの削除など）

これらの情報をすべて削除すると、匿名加工情報となり、個人情報に該当しなくなるため、本人の同意がなくても第三者に情報を提供することができます。

匿名加工情報の扱いにも厳しい規定がある

2017年5月に施行された改正個人情報保護法にて、匿名加工情報を作成する事業者や、情報を受け取って活用する事業者に対し、それぞれ新たな義務が課されました。

【匿名加工情報を作成・提供する場合】
個人情報取扱事業者が匿名加工情報を作成する際には、改正個人情報保護法 第36条第1項に従って個人情報を適正に加工しなければなりません。

加えて、“削除した情報や、加工方法の漏えいを防ぐための安全管理”、“匿名加工情報に含まれる情報の項目の公表”、“匿名加工情報から個人を特定するために他の情報と照合する行為の禁止”などが義務付けられています。

また、匿名加工情報を第三者に提供する際には、提供する情報の項目や提供の方法を公表するとともに、提供先にその情報が匿名加工情報であることを明示する必要があります。

【匿名加工情報を利用する場合】
匿名加工情報取扱事業者は、受け取った匿名加工情報から個人を識別するための“加工方法に関する情報の取得”や“他の情報と照合する”などの行為が禁止されています。

さらに、匿名加工情報の取り扱いに関する苦情の処理をはじめ、適正な取り扱いを確保するための措置を講じ、その措置の内容を公表するよう努めなければなりません。

個人情報に関するルールは、情報社会の発展により、頻繁に見直しが行われています。
“知らなかった”では済まされないため、弁護士をはじめとする専門家への定期的な確認・相談を心がけましょう。