のぞみ総合法律事務所
弁護士　村上　嘉奈子

６　仮名加工情報の創設

　令和2年改正個人情報保護法（以下「令和2年改正法」又は「法」といいます。）においては，イノベーションを促進する観点から，新たに「仮名加工情報」が創設されました。

（１）仮名加工情報の加工基準

　仮名加工情報は，「法第2条第9項（令和3年改正個人情報保護法（以下「令和3年改正法」といいます。）第2条第5項）所定の措置を講じて他の情報と照合しない限り特定の個人を識別できないように個人情報を加工して得られる個人に関する情報」と定義され，現行法に定めがある匿名加工情報につき必ずしも活用が進んでいないことなどを背景として，匿名加工情報よりも要件を緩和した加工情報として創設されました。
　仮名加工情報[i]を作成する事業者は所定の加工基準に従い，

　　①　特定の個人を識別することができる記述等の全部又は一部の削除又は置換
　　②　個人識別符号全部の削除又は置換
　　③　不正に利用されることにより財産的被害が生じるおそれのある記述等の削除又は置換

を行う必要があります（法第35条の2第1項《令和3年改正法第41条第1項》，規則第18条の7《令和3年改正規則第31条》）。
　匿名加工情報が加工後において当該個人情報を復元して特定の個人を再識別することができないようにすることを要することと比べて，仮名加工情報は仮名加工後の情報それ自体により特定の個人を識別することができないような状態のものとされ，当該加工後の情報とそれ以外の他の情報を組み合わせることによって特定の個人を識別することができる状態にあることが許容される旨が明らかにされています（GL仮名加工情報・匿名加工情報編[ii]4P参照）。

（２）仮名加工情報の特徴

　上記（１）記載のとおり，仮名加工情報は，匿名加工情報とは加工要件が異なっており，匿名加工情報と比較して情報の粒度が細かいデータとなることが想定されます。
　このような仮名加工情報の性質により，匿名加工情報と比較して企業の内部分析等における活用可能性が広がることが期待されるところです。
　また，仮名加工情報については，

①　法第15条第2項（令和3年改正法第17条第2項）が適用除外とされ，変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更も認められる
②　法第22条の2（令和3年改正法第26条）が適用除外とされ，漏洩等が発生した場合でも同条に基づく報告や本人通知は不要である
③　法第27条～第34条（令和3年改正法第32条～第39条）が適用除外とされ，本人からの開示や利用停止等の請求対象とならない

との各特色があります（法第35条の2第9項《令和3年改正法第41条第9項》）。
　このような仮名加工情報の特色により，事業者においては新たに本人の同意を取得することなく，当初の個人データ取得時に想定されなかった新たな利用目的に活用することが可能となるなど，データ活用が促進されることが想定されます。
　ただし，仮名加工情報はあくまで内部分析等の局面における利用を予定したものとされ，法令に基づく場合を除き第三者提供が禁止されていますので，留意が必要です（法第35条の2第6項《令和3年改正法第41条第6項》，法第35条の3《令和3年改正法第42条》）^[iii]。

（３）仮名加工情報取扱事業者の義務

　仮名加工取扱事業者等[iv]の義務等は以下のとおりであり，事業者において適切に遵守する必要があります。
【仮名加工情報を作成する個人情報取扱事業者が遵守する義務等】

①　適正な加工を行う義務（法第35条の2第1項《令和3年改正法第41条第1項》）
②　仮名加工情報を作成したとき，又は仮名加工情報及び当該仮名加工情報に係る削除情報等を取得したときに削除情報等の安全管理措置を講ずる義務（法第35条の2第2項《令和3年改正法第41条第2項》）

【個人情報である仮名加工情報[v]の取扱いに関する義務等】

①　利用目的の達成に必要な範囲内で取り扱うべき義務（法第35条の2第3項《令和3年改正法第41条第3項》）
②　利用目的の公表義務（法第35条の2第4項《令和3年改正法第41条第4項》）
③　利用する必要がなくなったときに，当該仮名加工情報である個人データ及び削除情報等を遅滞なく消去する努力義務（法第35条の2第5項《令和3年改正法第41条第5項》）
④　第三者提供の禁止（法第35条の2第6項《令和3年改正法第41条第6項》）
⑤　元の個人情報に係る本人を識別する目的で他の情報と照合することの禁止（法第35条の2第7項《令和3年改正法第41条第7項》）
⑥　元の個人情報に係る本人への連絡等を行う目的で当該仮名加工情報に含まれる連絡先その他の情報を利用することの禁止（法第35条の2第8項《令和3年改正法第41条第8項》）
⑦　不適正利用の禁止（法第16条の2《令和3年改正法第19条》），適正取得（法第17条第1項《令和3年改正法第20条第1項》），安全管理措置（法第20条《令和3年改正法第23条》），従業者の監督（法第21条《令和3年改正法第24条》），委託先の監督（法第22条《令和3年改正法第25条》），苦情処理（法第35条《令和3年改正法第40条》）

【個人情報でない仮名加工情報[vi]の取扱いに関する義務等】

①　第三者提供の禁止（法第35条の3第1項及び第2項《令和3年改正法第42条第1項及び第2項》）
②　安全管理措置（法第20条《令和3年改正法第23条》），従業者の監督（法第21条《令和3年改正法第24条》），委託先の監督（法第22条《令和3年改正法第25条》），苦情処理（法第35条《令和3年改正法第40条》），識別行為の禁止（法第35条の2第7項《令和3年改正法第41条第7項》），本人への連絡等の目的で仮名加工情報を利用することの禁止（法第35条の2第8項《令和3年改正法第41条第8項》）

（４）仮名加工情報の創設を踏まえた実務対応

　令和2年改正法の施行に伴い，事業者において新たに仮名加工情報の取扱いを予定する場合は，上記の各基準や義務に従って，適正な加工及び取扱いを確保する必要があります。
　なお，事業者が仮名加工情報を作成した時点において当該作成の事実を公表する義務はなく，また，元となった個人データの利用目的が仮名加工情報作成時の利用目的として引き継がれることから作成時に利用目的の公表を行う必要もありませんが，仮名加工情報の利用目的を変更した場合には当該変更後の利用目的の公表を行うことが必要であるものとされています[vii]。

[i] 仮名加工情報データベース等を構成するものに限るものとされます（法第35条の2第1項《令和3年改正法第41条第1項》）。

[ii] 個人情報の保護に関する法律についてのガイドライン（仮名加工情報・匿名加工情報編）（令和3年10月一部改正版）

[iii] ただし，委託・事業承継・共同利用による仮名加工情報の提供は可能とされます（GL仮名加工情報・匿名加工情報編《令和3年10月一部改正版》26～27P参照）。

[iv] 仮名加工情報を作成する個人情報取扱事業者及び仮名加工情報データベース等を事業の用に供している仮名加工情報取扱事業者

[v] 仮名加工情報取扱事業者において，仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していること等により，当該仮名加工情報が「他の情報と容易に照合することができ，それにより特定の個人を識別することができる」状態にある場合には，個人情報である仮名加工情報に該当します（GL仮名加工情報・匿名加工情報編《令和3年10月一部改正版》6P参照）。

[vi] 仮名加工情報取扱事業者において，当該仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有していないこと等により，当該仮名加工情報が「他の情報と容易に照合することができ，それにより特定の個人を識別することができる」状態にない場合を指します（GL仮名加工情報・匿名加工情報編《令和3年10月一部改正版》6P参照）。

[vii] 「『個人情報の保護に関する法律についてのガイドライン』に関するQ&A（令和3年9月10日更新）」Q14-14及びQ14-15参照