匿名加工情報を第三者に提供するときの公表・明示義務

IT・情報セキュリティ

 匿名加工情報を第三者に提供する場合に行わなければならないことを教えてください。

 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、インターネットの利用その他の適切な方法により、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目およびその提供の方法について公表しなければなりません。
 また、第三者に対して、電子メールを送信する方法または書面を交付する方法その他の適切な方法により、当該提供に係る情報が匿名加工情報である旨を明示しなければなりません。

解説

目次

  1. 第三者提供時の公表(個人情報保護法36条4項、個人情報保護法施行規則22条、GL(匿名加工情報編)3-5)
  2. 第三者提供時の明示(個人情報保護法36条4項、個人情報保護法施行規則22条、GL(匿名加工情報編)3-5)

※本QAの凡例は注の通りです1

第三者提供時の公表(個人情報保護法36条4項、個人情報保護法施行規則22条、GL(匿名加工情報編)3-5)

 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、インターネットの利用その他の適切な方法により、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目およびその提供の方法について公表しなければなりません。
 これにより、①本人との関係で透明性を担保し、本人が苦情を申し出る等の本人関与の機会を提供するとともに、②個人情報保護委員会が違反を捉えて適切な監督を行う端緒となります。

 「提供」とは、匿名加工情報を第三者が利用可能な状態に置くことをいう。匿名加工情報が物理的に提供されていない場合であっても、ネットワーク等を利用することにより、第三者が匿名加工情報を利用できる状態にあれば(利用する権限が与えられていれば)、「提供」にあたります。
 「あらかじめ」の期間については、匿名加工情報を第三者に提供することを一般に十分に知らせるに足る期間を確保するものでなければなりません。具体的な期間については、業種およびビジネスの様態によっても異なり得るため、個別具体的に判断する必要があります。
 「公表」とは、広く一般に自己の意思を知らせること(不特定多数の人々が知ることができるように発表すること)をいいます。  

【公表項目】

  1. 第三者に提供する匿名加工情報に含まれる個人に関する情報の項目
    事例
    「氏名・性別・生年月日・購買履歴」のうち、氏名を削除した上で、生年月日の一般化、購買履歴から特異値等を削除する等加工して、「性別・生年・購買履歴」に関する匿名加工情報として作成して第三者提供する場合の公表項目は、「性別」、「生年」、「購買履歴」である。

  2. 匿名加工情報の提供の方法
    事例1
    ハードコピーを郵送
    事例2
    第三者が匿名加工情報を利用できるようサーバにアップロード

 個人に関する情報の項目および加工方法が同じである匿名加工情報を反復・継続的に第三者へ同じ方法により提供する場合には、最初に匿名加工情報を第三者提供するときに個人に関する項目を公表する際に、提供期間または継続的な提供を予定している旨を明記するなど継続的に提供されることとなる旨を明らかにしておくことにより、その後に第三者に提供される匿名加工情報に係る公表については先の公表により行われたものと解されます

 なお、匿名加工情報をインターネット等で公開する行為についても不特定多数への第三者提供にあたるため、上記義務を履行する必要があります。
 個人情報保護法36条4項および37条における第三者提供時の公表に関しては、提供先名および利用目的の公表は求められていません(Q&A11-18)。

 匿名加工情報の作成時の公表については、匿名加工情報を作成した後、遅滞なく行うこととされており、また第三者提供時の公表については提供にあたってあらかじめ公表することとされています。したがって、個人情報取扱事業者が、匿名加工情報を第三者に提供することを前提として当該情報を作成しただちに第三者提供をしようとする場合には、匿名加工情報の作成時の公表と第三者提供時の公表が結果的に同時に行われる場合もあり得ると考えられます(Q&A11-19)。

 個人情報を提供して匿名加工情報の作成を委託した場合には、匿名加工情報の作成は委託先事業者において行われることになりますが、匿名加工情報の作成は委託元事業者と委託先事業者が共同で行っているものと解されるので、個人情報保護法36条の規定は委託元事業者と委託先事業者の双方に課せられると考えられます。ただし、匿名加工情報の作成時の公表については、個人情報保護法施行規則21条2項により委託元事業者において行うものとされ、委託先においての公表は必要ありません(Q&A11-20)。

第三者提供時の明示(個人情報保護法36条4項、個人情報保護法施行規則22条、GL(匿名加工情報編)3-5)

 個人情報取扱事業者は、作成した匿名加工情報を第三者に提供するときは、当該第三者に対して、電子メールを送信する方法または書面を交付する方法その他の適切な方法により、当該提供に係る情報が匿名加工情報である旨を明示しなければなりません。
 これにより、当該第三者に匿名加工情報取扱事業者として識別行為の禁止(個人情報保護法38条)等の匿名加工情報を取り扱うにあたっての義務を履行することを認識させることになります。
 「明示」とは、第三者に対し、提供する情報が匿名加工情報であることを明確に示すことをいいます。明示の方法については、事業の性質、匿名加工情報の取扱状況等に応じ、電子メールを送信する方法または書面を交付する方法など適切な方法により、その内容が当該第三者に認識されるものである必要があります。


    • 個人情報保護法:個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用等に関する法律の一部を改正する法律(平成27年9月9日法律第65号)に基づく改正後の個人情報保護法
    • GL(匿名加工情報編):個人情報の保護に関する法律についてのガイドライン(匿名加工情報編)(平成28年11月30日個人情報保護委員会告示第9号)
    • Q&A:「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ&A(平成29年2月16日個人情報保護委員会)

    ↩︎

関連する実務Q&A

無料会員登録で
リサーチ業務を効率化

90秒で登録完了

無料で会員登録する