個人情報保護法令和２年改正のポイント➂～仮名加工情報～

　令和２年６月１２日に公布された「個人情報の保護に関する法律等の一部を改正する法律等の一部を改正する法律」（以下「令和２年改正法」）の施行日（令和４年４月１日）が迫ってきています。
　本稿では、令和２年改正法のうち、個人情報保護法の改正により新設された「仮名加工情報」について解説していきます。

　なお、条数は、引用部分（本稿作成時点で公表されているもの。以下、同じ。）を除き、別途施行が予定されている令和３年５月１９日法律第３７号（デジタル社会の形成を図るための関係法律の整備に関する法律）後のものです。また、引用部分の下線は、本稿の便宜上、加筆したものです。

 

１．仮名加工情報とは

 

（１）仮名加工情報の定義

 

　仮名加工情報（「かめいかこうじょうほう」）とは、他の情報と照合しない限り特定の個人を識別することができないように加工した個人に関する情報をいい、例えば、個人情報である顧客情報（会員ID、氏名、年齢、性別、利用サービス）から氏名を削除したものがこれに該当します。仮名加工情報と認められるためには、情報単体での特定個人の識別性が排除されることが必要ですが、匿名加工情報のように、特定個人の識別性を完全に排除することまでは求められません。

　法文上の定義は以下のとおりです。

 

（２）仮名加工情報が仮名加工情報データベース等を構成するものか否か（仮名加工情報が散財情報である場合について）

 

　仮名加工情報に関する規律（法第４章第３節）が適用されるのは、仮名加工情報データベース等を構成する仮名加工情報だけであり、いわゆる散在情報（データベース化されていない情報）となる、仮名加工情報データベース等を構成しない仮名加工情報には仮名加工情報に関する規律が適用されません（個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）２－２－２－１参照）。

　したがって、散在情報である仮名加工情報のみを取り扱う事業者である場合（仮名加工取扱事業者に該当しない場合）には、仮名加工情報取扱事業者を対象とした条項の適用がなく、また、仮名加工情報取扱事業者に該当する場合であっても、該当の情報が仮名加工情報データベース等を構成しなければ、当該情報の取り扱いについて仮名加工情報に関する規律の適用はありません（法第４１条第１項参照）。

 

（３）仮名加工情報が個人情報であるか否か

 

　仮名加工情報は、基本的には個人情報に該当することが想定されていますが（個人情報保護委員会事務局審議官佐脇紀代志編著「一問一答令和２年改正個人情報保護法」Ｑ９参照）が、法文上は、個人情報に該当しない仮名加工情報も規定されています（法第４２条第１項参照）。

　仮名加工情報について、当該情報の取扱い方法は、当該情報が個人情報であるか否かによって異なるため（「個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ（以下、「ＱＡ」）１４－２参照）、仮名加工情報を利用する場合には留意が必要です。

 

２．仮名加工情報の取り扱いに関する規律

（１） 概要

　仮名加工情報は、当該情報単体での個人識別性が排除されていることを前提に、内部的な個人情報の利用をしやすくするために導入された制度であるため、個人情報である仮名加工情報については、当該個人の識別行為の禁止（法第４１条７項）や本人への連絡等の禁止（法第４１条８項）などの規制が課されます。

　個人情報である仮名加工情報と個人情報でない仮名加工情報それぞれの取り扱いに関する規律の詳細は、個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）をご参照ください。

（２）仮名加工情報の第三者提供の可否について（法第４１条第６項、法第４２条第１項及び第２項）

　仮名加工情報は、内部利用を想定して導入された制度であるため、第三者への提供が原則禁止されます（法第４１条第６項及び第４２条１項）。

　ただし、個人情報である仮名加工情報は、法第４１条第６項により法第２３条第５項及び第６項を読み替えた条項が適用されます。また、仮名加工情報（個人情報であるものを除く）について、第三者提供において第三者に該当しない場合を定めた規定である法第２７条第５項及び同６項（同条第５項第３号中及び同条第６項中の通知または本人が容易に知り得る状態に置いては公表と読み替え。）は、仮名加工情報の提供を受ける者について準用されます（法第４２条第２項）。

　したがって、仮名加工情報の提供であっても、委託に伴う場合、事業の承継に伴う場合、共同利用による場合には、個人データの提供の場合と同様に当該情報の提供を受ける者は第三者とは評価されません。

 

３．仮名加工情報を取り扱うメリット

　仮名加工情報を取り扱うメリットは、主に法第４１条第９項に基づく適用除外にあり、具体的には、以下の３つがあります。

①　利用目的の変更（法第１７条第２項の適用除外）

②　漏洩等発生時の対応（法第２６条の適用除外）

➂　本人からの開示等の請求等（法第３２条から第３９条の適用除外）

（１）仮名加工情報の利用目的の変更について

　仮名加工情報については、法第１７条第２項（利用目的の特定）の適用がありません（法第４１条第９項）。そのため、仮名加工情報の利用目的は、同項の制限なく変更することができます。

　なお、仮名加工情報を取得するのであれば、利用目的の公表が必要になりますが、既に保有している個人情報を仮名加工情報に加工して内部利用する場合は、「取得」には該当しません。ただし、個人情報を加工して作成した仮名加工情報について、作成の元となった個人情報にかかる利用目的の範囲を超える利用をするような場合には、変更後の利用目的を、仮名加工情報にかかる変更であることを明確にした上で公表する必要があります（ＱＡ１４－１４及び同１５参照）。

（２）仮名加工情報の漏えい等について

ア　仮名加工情報が漏えい等したら

　仮名加工情報については、法第２６条（漏えい等の報告等）の適用がないため（法第４１条第９項）、仮名加工情報それ自体については、漏えい等の際の報告義務等はありません。

イ　仮名加工情報の削除等情報が漏えいしたら

　一方、仮名加工情報の削除等情報（仮名加工情報の作成に用いられた個人情報から削除された記述等及び個人識別符号並びに法第４１条第１項により行われた加工の方法に関する情報）が漏えいした場合には、報告義務等が課される場合があります（ＱＡ１４－１３）。

　個別の事例ごとに判断する必要がありますが、氏名と仮ＩＤの対応表等、それを用いて元の個人情報を復元することのできる削除情報等が漏えいした場合には、削除情報等の安全管理措置を講ずる義務（法第３５条の２第２項）や仮名加工情報である個人データの安全管理措置を講ずる義務（法第２０条）の履行の観点から、原則として、当該仮名加工情報に含まれる仮ＩＤを振り直すこと等により仮名加工情報を新たに作り直す等の措置を講じることが必要となります。また、削除情報等が個人データに該当する場合において、当該削除情報等が漏えいし、それが法第２２条の２の要件を満たす場合には、同条に基づく報告及び本人通知が必要となります。

　法第２２条の２（令和３年改正後の法第２６条）の要件を満たす場合とは、「取り扱う個人データの漏えい、滅失、毀損その他の個人データの安全の確保に係る事態であって個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものが生じたとき」（法第２６条）をいい、「個人の権利利益を害するおそれが大きいもの」とは、以下の場合を指します。

 

（個人の権利利益を害するおそれが大きいもの）

第七条    法第二十六条第一項本文の個人の権利利益を害するおそれが大きいものとして個人情報保護委員会規則で定めるものは、次の各号のいずれかに該当するものとする。

一    要配慮個人情報が含まれる個人データ（高度な暗号化その他の個人の権利利益を保護するために必要な措置を講じたものを除く。以下この条及び次条第一項において同じ。）の漏えい、滅失若しくは毀損（以下この条及び次条第一項において「漏えい等」という。）が発生し、又は発生したおそれがある事態

二    不正に利用されることにより財産的被害が生じるおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

三    不正の目的をもって行われたおそれがある個人データの漏えい等が発生し、又は発生したおそれがある事態

四    個人データに係る本人の数が千人を超える漏えい等が発生し、又は発生したおそれがある事態

 

（３）本人からの開示等の請求等

　開示等の請求等について定めた以下の法第３２条から法第３９条の適用がありません（法第４１条第９項）。

• 法第３２条（保有個人データに関する事項の公表等）
• 法第３３条（開示）
• 法第３４条（訂正等）
• 法第３５条（利用停止等）
• 法第３６条（理由の説明）
• 法第３７条（開示等の請求等に応じる手続）
• 法第３８条（手数料）
• 法第３９条（事前の請求）

 

４．さいごに

　仮名加工情報には、①利用目的の変更、➁漏洩等発生時の対応、③本人からの開示等の請求等の３つの点で、導入のメリットがありますが、これを導入する場合には、仮名加工情報の取扱いに関する様々な規制が課せられることになるため、規程やマニュアルの整備、実務担当者への周知などの対応が必要になります。必ず導入しなければならないというものではありませんので、メリットと負担を勘案しながら、導入の要否を検討するようにしましょう。

 

引用元

[i] 個人情報の保護に関する法律についてのガイドライン（通則編）

https://www.ppc.go.jp/files/pdf/210101_guidlines01.pdf

[ii] ｢個人情報の保護に関する法律についてのガイドライン」に関するＱ＆Ａ

https://www.ppc.go.jp/files/pdf/2109_APPI_QA_4ejj3t.pdf

[ⅲ] 個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）

https://www.ppc.go.jp/files/pdf/211029_guidelines04.pdf

 

鳥飼総合法律事務所　弁護士　高橋美和