個人情報保護委、匿名加工情報の利活用の実態に係る調査報告書を公表
――2月末時点の公表事業者数は371、ヒアリングに基づく「事例集」取りまとめも――
個人情報保護委員会は6月10日、同委員会のホームページに「パーソナルデータの適正な利活用の在り方に関する動向調査（平成30年度）報告書」（平成31年3月、株式会社野村総合研究所。以下「報告書」という）を掲載、公表した。ホームページでは関連資料として「＜別添資料＞事例集」（同年同月、同社）および「事例集 サマリ」（2019年3月29日、同社コンサルティング事業本部 ICTメディア・サービス産業コンサルティング部）の2資料も確認できる。
平成29年5月30日に施行された改正個人情報保護法では「匿名加工情報制度」が新設された。事業者におけるパーソナルデータの取扱いについて、安全性を確保しつつデータの利活用を促進するものとして創設された制度であるが（同制度について、たとえばSH2579 個人情報保護法の「いわゆる3年ごと見直し」で意見聴取が進む （2019/06/04）参照）、報告書によれば「同制度の周知や適正な運用が課題であるとされており、事業者における匿名加工情報の活用状況について、パーソナルデータの適正な取扱いの観点から整理し、事業者による利活用の取組を支援することが求められている」ことから、本調査では（1）事業者における匿名加工情報の作成・提供の公表状況についての調査、（2）事業者における匿名加工情報等の利活用実態についてのアンケート調査、（3）事業者における匿名加工情報等の利活用実態についてのヒアリング調査といった3種の調査が実施された。
また、各事業者の取組みを報告書の別添のかたちで取りまとめたのが「＜別添資料＞事例集」である。ここでは「クレジットカード情報」「物流ドライバーの運行・生体情報」「健康診断情報」「Wi-Fi位置情報」「医療健康情報」「観光客情報」の6事例について、その利活用（活用の実績、加工・安全管理措置・作成時の公表・第三者提供、今後の予定など）に関する事業者の実際の取組みをヒアリング調査に基づき整理した。
報告書によると、上記（1）はウェブサイトを設置している事業者を調査対象とし「現時点でどの程度の事業者が匿名加工情報の作成または第三者提供についての公表を行っているのか、またどのような事業者が公表しているのか、その内容はどのようなものか」を把握しようとするもの。結果、本年2月末時点で371社の公表事業者が確認され、2017年度末において約300社であったことから2018年度の約1年間での発見数は約70社にのぼることとなり、報告書では「この1年間での伸び率27.5％という数値は想定以上のものになった」としている。
371社の内訳は小売業：29％、保健・福祉業：19％、その他サービス業：14％、医療業（ほぼすべてが病院）：8％。小売業では、調剤薬局・ドラッグストアでの匿名加工情報の利活用が小売業全体の82％を占める。保健・福祉業の65％が健康保険組合、その他サービス業の44％が税理士事務所、29％が会計事務所であった。
第三者提供時の公表をしている事業者は371社中351社（95％）。法令で求められる以上の公表を積極的に行っている事業者がみられ、たとえば安全管理措置について何らかの記載がある事業者は公表事業者の22％に相当するという。
上記（2）のアンケート調査は（1）の調査において「2018年10月末時点で公表事業者である可能性が高いと判断した事業者」を対象に郵送により実施されたもので、356社・団体を対象として有効回答数は105件（回収率29.5％、回答は匿名による）。事業分野としてもっとも多かったのは「その他公益法人」の27.6％で「健康保険組合が多く出現しているものと思われる」とされる。
調査結果によると、回答事業者の81.9％（編注：86事業者に相当する。以下同様）が個人情報保護に関する全組織的な責任担当部署が「ある」と回答しており、また、①匿名加工情報の利活用事業者は匿名加工情報について「作成して、第三者提供もしている」ケースが57.1％（60事業者）ともっとも多いこと、②匿名加工情報の作成のみを行っている事業者（自社活用。7.6％・8事業者）よりも、匿名加工情報の作成はしていないものの第三者提供のみ行っている事業者（14.3％・15事業者）の方が多いことが判明した。
匿名加工情報を作成している68事業者のうち、「他社に委託して作成している」とする回答がもっとも多く42.6％（29事業者）。一方、これに次いで多いのが「自社で市販のツールを活用せずに作成している」で39.7％（27事業者）、「自社で市販のツールを活用して作成している」が26.5％（18事業者）であった（複数回答可、1事業者は無回答）。
匿名加工情報の作成に当たり、その作成方法の決め方としては「提供先・委託先と相談した」が57.4％（39事業者）、「個人情報保護委員会のガイドライン（事務局レポート含む）を参考にした」が39.7％（27事業者）、「業界指針を参考にした」が13.2％（9事業者）、「社内で独自に検討を行った」が11.8％（8事業者）、「その他」が10.3％（7事業者。以上、複数回答可）。「その他」の自由記述としては「本部が作成したガイドラインに沿って作成した」「弁護士に相談した」「本部の法務室に相談した」とする回答がみられる。
「制度面でわからないこと、不安に思っていること」を尋ねる問いに対しては（複数回答可）、「どのようにすれば適切な加工と言えるのか（加工基準が不明確）」とする回答が39.0％・41事業者から、また「どのような取り扱いが識別行為に該当するのか」が29.5％・31事業者から、「匿名加工情報の作成・第三者提供についての公表内容はどこまで記載すべきか」が27.6％・29事業者から、それぞれ寄せられた一方で、「特にない」とする回答も27.6％・29事業者にのぼっている。「制度面以外でわからないこと、不安に思っていること（複数回答可）」に対しては「匿名加工情報を取り扱ったり分析したりするための人材が不足している」との回答が35.2％・37事業者ともっとも多くなった。
なお、このアンケート調査では「非識別加工情報」に関し、その利用状況と認知度、利用しない理由、利用を検討するための施策についても調べており（報告書38頁以下）、適宜参考とされたい。
上記（3）のヒアリング調査は、「＜別添資料＞事例集」に取りまとめられた6つの事例に係る6事業者に対して行われた。2018年12月から今年2月にかけ、各事業者と対面で実施し、その後、今年3月には有識者3名にヒアリング、収集事例へのコメントを求めたという。
報告書では、収集事例について①適正な加工、②安全管理措置、③作成時の公表、④第三者提供、⑤識別行為の禁止、⑥その他といった論点ごとに整理することとし、たとえば①に関し、「加工方法の決め方」「長期間のデータの連結を不可にする処理」「個人特定につながる要素を排除した上で、必要なデータ構成を維持」「個人特定できないことに配慮した加工処理」などのさまざまの課題につき各事業者における対応事例を紹介するとともに、対応に当たっての「ポイント」を掲げた。「＜別添資料＞事例集」における掲載箇所も把握できるよう工夫されており、併せて活用されたい。