匿名加工情報を作成したときの公表

IT・情報セキュリティ

 個人情報取扱事業者は、匿名加工情報を作成した場合、何をどのように公表しなければいけないのでしょうか。

 個人情報取扱事業者は、匿名加工情報を作成したとき、遅滞なく、インターネットの利用その他の適切な方法により、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければなりません。

解説

目次

  1. 匿名加工情報の作成時の公表(個人情報保護法36条3項、個人情報保護法施行規則21条、GL(匿名加工情報編)3-2)
  2. 「個人に関する情報の項目」が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合

※本QAの凡例は注の通りです1

匿名加工情報の作成時の公表(個人情報保護法36条3項、個人情報保護法施行規則21条、GL(匿名加工情報編)3-2)

 個人情報取扱事業者は、匿名加工情報を作成したとき、遅滞なく、インターネットの利用その他の適切な方法により、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければなりません(個人情報保護法36条3項、個人情報保護法施行規則21条1項、GL(匿名加工情報編)3-4)
 この公表を確認することにより、本人は、自分の個人情報を取り扱っている個人情報取扱事業者が匿名加工情報を作成しているか、および適正な加工を行っているか確認する端緒となります。

 「匿名加工情報を作成したとき」とは、匿名加工情報として取り扱うために、個人情報を加工する作業が完了した場合のことを意味します。すなわち、あくまで個人情報の安全管理措置の一環として一部の情報を削除しあるいは分割して保存・管理する等の加工をする場合または個人情報から統計情報を作成するために個人情報を加工する場合等を含むものではありません。
 また、匿名加工情報を作成するために個人情報の加工をする作業を行っている途上であるものの作成作業が完了していない場合には、加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため「匿名加工情報を作成したとき」とは位置付けられません。

 「公表」とは、広く一般に自己の意思を知らせること(不特定多数の人々が知ることができるように発表すること)をいいます。

 「遅滞なく」とは、正当かつ合理的な期間であれば公表が匿名加工情報を作成した直後でなくても認められることを意味します。ただし、少なくとも匿名加工情報の利用または第三者提供をする前に匿名加工情報を作成したことを一般に十分に知らせるに足る期間を確保するものでなければなりません。許容される具体的な期間は、業種およびビジネスの態様によっても異なり得るため、個別具体的に判断する必要があります。

「個人に関する情報の項目」が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合

 「個人に関する情報の項目」が同じである匿名加工情報を同じ手法により反復・継続的に作成する場合には、最初の匿名加工情報を作成して個人に関する項目を公表する際に、作成期間または継続的な作成を予定している旨を明記するなど継続的に作成されることとなる旨を明らかにしておくことにより、その後に作成される匿名加工情報に係る公表については先の公表により行われたものと解されます。

 なお、他の個人情報取扱事業者との委託契約により個人データの提供を受けて匿名加工情報を作成する場合など委託により匿名加工情報を作成する場合は、委託元において当該匿名加工情報に含まれる個人に関する情報の項目を公表するものとします。この場合は、委託元の個人情報取扱事業者による公表により委託先の個人情報取扱事業者が当該公表をしたものとみなされます(個人情報保護法施行規則21条2項)。

【個人に関する情報の項目の事例】

「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成した場合の公表項目は、「性別」、「生年」、「購買履歴」である。

 匿名加工情報に含まれる個人に関する情報の項目の公表は、「作成したとき」または「提供したとき」に行うことが求められるものであり、実際に匿名加工情報に含まれる個人に関する情報の項目が分かるようにする必要があります。したがって、事前にプライバシーポリシーに包括的な記載を掲載するだけでは当該義務を履行したものとは考えられません(Q&A 11-14)。
 匿名加工情報に購買履歴が含まれる場合において、当該匿名加工情報の作成時の公表や第三者提供時の公表については、具体的な商品名の公表まで必要はなく、GL(匿名加工情報編)3-4、3-5にあるように、「購買履歴」等の情報の項目を公表することで足ります(Q&A11-15)。
 個人情報保護法36条3項においては、匿名加工情報を作成したときは、個人に関する情報の項目を公表しなければならないとされていますが、利用目的の公表は求められていません(Q&A11-16)。


    • 個人情報保護法:個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律(平成27年9月9日法律第65号)に基づく改正後の個人情報保護法
    • GL(匿名加工情報編):個人情報の保護に関する法律についてのガイドライン(匿名加工情報編)(平成28年11月30日個人情報保護委員会告示第9号)
    • Q&A:「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ&A(平成29年2月16日個人情報保護委員会)

    ↩︎

関連する実務Q&A

無料会員登録で
リサーチ業務を効率化

90秒で登録完了

無料で会員登録する