全5304文字
PR

 2022年4月、2020年公布の個人情報の保護に関する法律(改正個人情報保護法)が施行される。この改正では個人の権利利益の拡大、利活用促進のための仮名加工情報の創設、情報漏洩時の報告の義務化といった、情報を扱う企業に直接影響を与える新たな規律の他、個人情報の枠を広げるような試みも見られる。施行まで約3カ月に迫った改正個人情報保護法について、企業がデータ分析などに活用するうえで知っておかなければならない「匿名加工と仮名加工」「個人関連情報」「外国の第三者の情報」について具体的な事例を交えて解説する。

 2022年4月施行の個人情報保護法の改正は、おおむね規制強化の方向性だが、個人データの利活用の促進に向けたものとして新たに「仮名加工情報」が定義付けられた。個人データを加工して利用する情報としては、これまでも「統計情報」と「匿名加工情報」があり、これに新たな加工情報が加わったことになる。

仮名加工情報が加わる
仮名加工情報が加わる
図 2022年4月施行の個人情報保護法の改正で「仮名加工情報」を新たに定義
[画像のクリックで拡大表示]

 利活用促進のためとされているが、それぞれどのような場合に使えるのか、特に「匿名加工情報」と「仮名加工情報」の違いが分からないという声をよく聞く。匿名加工情報は「特定の個人を識別できないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元できないようにしたもの」、仮名加工情報は「他の情報と照合しない限り特定の個人を識別できないように個人情報を加工して得られる個人に関する情報」である。主にこの2つの違いについて、具体例を挙げて説明する。

例1. 商品の販売やサービスを提供する事業部門が、それぞれの販売やサービスの提供を目的として、また事業の改善を目的とする分析などに必要な範囲の個人情報を取得していた。顧客や利用者の個人データが増えたことから、自社の他の部門から商品開発や新たな事業を検討するために個人データを分析したいとの要望があがってきた。マーケティング部門からは、顧客や利用者にダイレクトメール(DM)を送付したい、購買履歴や閲覧履歴などから最適なWeb広告を配信できるようにしたいというリクエストがあがってきた。

 事業の初期段階では将来の利用目的が未定の場合が多いため、事業の遂行に必要な範囲での目的しか通知あるいは公表していない場合が多い。顧客や利用者が増えてくると、その個人データや履歴などは価値ある資産となり、様々に利用したくなるのは自然の流れである。だが、個人情報保護法では利用目的の追加や変更をする場合には、あらためて同意を得ることが求められており、極めてハードルが高い。

 このような場合に、プライバシーの侵害への影響を最小限にしつつ、利活用を促進するために新たに設けられたのが仮名加工情報である。一定の規律、加工方法に従ったデータであれば、あらためて顧客や利用者の同意を得ることなく利用できるとした。

 例1の場合、自社内の他の部門であり、分析という目的であれば、仮名加工情報を利用することで、あらためて利用目的の追加や変更の同意を得る必要はない。ただし、仮名加工情報を新たに作成し、個人情報の取得時に公表または通知した範囲での利用目的を超える場合には、仮名加工情報に含まれる個人に関する情報の項目と新たな利用目的とを併せて公表しなければならない。

 一方、広告利用の場合、分析までであれば同様に仮名加工情報を利用できるが、DMや広告配信を実際にすることはできない。仮名加工情報は元の個人に到達(アクセス)することが禁じられているからだ。

 仮名加工情報を利用できるのは、同一社内、委託先、あらかじめ公表している共同利用先だけであり、主に分析などに限られる。直接的に顧客や利用者に対して新たな目的による利用をする場合は、あらためて利用目的の追加や変更の同意を得る必要があることに注意しなければならない。