改正個人情報保護法（第4回）－仮名加工情報・個人関連情報とは－

2022年 12月 28日

「個人情報」については、本稿 第1回 の中で、「個人識別符号」や「要配慮個人情報」、「個人データ」などが含まれることに触れました。ほかにも個人情報そのものではありませんが、取り扱いを注意すべき関連情報があります。

1．匿名加工情報

その一つは「匿名加工情報」と呼ばれるものです。

匿名加工情報は、特定の個人を識別することができないように個人情報を加工したもので、当該個人情報を復元できないようにした情報のことをいいます。本人かどうか一切分からない程度まで加工されたもので個人情報には該当しません。

個人情報の取り扱いよりも緩やかな規制の下で、自由な流通・利活用を促進することを目的に創設されたもので、匿名加工情報を第三者に提供する際に当該本人の同意は不要とされています。

ただ、個人情報を匿名加工情報に加工するためには、個人情報保護法に定められた基準に従わなければならず、高度な専門的知識や高い技術力が必要になるため、中小企業が簡単に導入するのは難しい面がありました。

2．仮名加工情報

前述したような背景から、令和4年4月1日に施行された改正個人情報保護法において、新たに設けられたのが「仮名加工情報」です。

他の情報と照らし合わさない限り、特定の個人を識別できないように、個人情報を加工して得られる個人に関する情報のことを仮名加工情報と呼びます。例えば、元の個人情報の一部を削除したり、IDなどのように記号で置き換えたりしたものがこれに該当します。

加工によって一定の安全性を確保しつつ、匿名加工情報よりもデータの有用性を保って、詳細な分析を実施し得る情報とされています。

仮名加工情報に変換すると、以下の義務からは適用除外されます。

1. 利用目的の変更の制限
2. 漏えい等の報告・本人への通知
3. 開示・利用停止等の請求対応

第三者への提供は原則禁止されていますが、委託・共同利用は可能です。また、作成元となった個人情報はそのまま利用が可能で、本人の同意があれば第三者への提供も可能です。ただし仮名加工情報を他の情報と照合して、作成元の「個人情報」における本人を識別することは禁止されています。

3．個人関連情報

こちらも令和4年4月1日に施行された改正個人情報保護法で新たに設けられたものです。生存する個人に関する情報のうち、個人情報、仮名加工情報、匿名加工情報のいずれにも該当しないものを「個人関連情報」としています。

具体的には、Cookie等の端末識別子を通じて収集された、ウェブサイト閲覧履歴や商品購買履歴、サービスの利用履歴、あるいは個人の位置情報などがこれに該当します（ただし特定の個人が識別できるほど蓄積された位置情報などについては、個人関連情報ではなく個人情報に該当することになります）。

また、個人関連情報を第三者に提供する場合、提供先が所有するIDなどによって「個人データ」として使用されることが想定される場合は、提供元に第三者提供についての本人同意を得ることが義務づけられています。

本人の同意を取得する必要のある情報の範囲が拡大するわけですから、社内規程やマニュアル等の見直しが必要になります。

4．今後の展開

今後ますます個人情報の価値が高まってくること、また、その扱い方についてもますます高度化してくることが予想されます。

中小企業の事業主には、個人情報保護の重要性を十分に認識したうえで、必要に応じて専門家の支援等も受けながら、個人情報の管理体制を整備していくことが求められるでしょう。