• 

  2023年02月14日

  データ分析等で使える仮名加工情報って？とりあえずプライバシーポリシーを作ったような企業は要注意！！

2022年4月1日施行の改正個人情報保護法において、新たに創設された制度の一つに、「仮名加工情報」というものがあります。
仮名加工情報は、他の情報と照合しない限り特定の個人を識別できないように加工した個人に関する情報（個人情報保護法第２条第５項）のことです。
仮名加工情報を作成した個人情報取扱事業者においては、通常、当該仮名加工情報の作成の元となった個人情報等を保有していると考えられますので、原則として「個人情報」（個人情報保護法第２条第１項）に該当します。

「仮名加工情報」と「個人情報」

仮名加工情報を作成するメリットとして、以下の個人情報保護規制から逃れられる点が挙げられます。

1. 変更前の利用目的と関連性を有すると合理的に認められる範囲を超える利用目的の変更が可能（個人情報保護法第41条第９項・個人情報保護法第17条第2項）
2. 情報漏えい等の報告・本人への通知が不要（個人情報保護法第41条第９項・個人情報保護法第26条）
3. 開示・利用停止等の本人からの請求に応じる必要がなくなる（個人情報保護法第41条第９項・個人情報保護法第32条～第39条）

一般的に、「個人情報」を取扱う場合、

1. 利用目的を超えた個人情報の利用は認められておらず、利用目的を超えた個人情報の利用のためには本人の同意が必要となります。
2. 1000件を超える漏えいや、要配慮個人情報の漏えい（1件であっても）等は、個人情報保護委員会への報告と本人への通知が必要になりますが、仮名加工情報である場合はその義務が不要となります。
3. 本人から個人情報の開示請求や利用停止、消去等の請求手続きが認められており、事業者はそれに応じる必要があります。

これらの重たい義務から逃れられるのが、仮名加工情報制度となります。

仮名加工情報を利用するには？

一方で、仮名加工情報を作成し、利用するためには、以下のようなルールもあります。

1. 個人を識別することができるような情報は加工（削除や置換）する必要がある。
2. 不正に利用されることにより財産的被害が生じるおそれがある記述等は加工（削除や置換）する必要がある。
3. 原則として第三者への提供が禁止される。
4. 仮名加工情報の利用目的は自由に決められ変更もできるが、WEBサイト等で公表することが必要があり、利用目的の範囲内で利用する必要がある。

具体的に当てはめて考えてみます。

仮に、長年ゲームアプリを開発・提供しているA社があります。
A社は、プライバシーポリシーと利用規約をアプリ利用者が必ず事前に同意する形でゲームアプリを提供しています。
アプリ登録時に会員登録が必要であり、氏名、住所、生年月日、年齢、職業、メールアドレス、クレジットカード情報、本人確認書類の写し等の個人情報を収集しています。
ただ、プライバシーポリシーには、個人情報の利用目的としてデータ分析等の項目を入れていませんでした。

今回、A社ではゲームアプリ利用者のアプリ利用状況、利用時間、有料課金動向等のデータを分析し、新しいゲームアプリの開発に利用したいと考えています。
しかし、A社のプライバシーポリシーでは、データ分析といった個人情報利用目的を定めていないため、データ分析を行うためには、本人から同意を得る必要があります。数万人という登録者全員からデータ分析の同意を得ることは事実上困難であり、同意を得ることができる対象人数が少なければ、データ分析としてはあまり有用とは言えない可能性があります。

そこで、A社では、仮名加工情報を作成し、データ分析で利用することとしました。A社は、既に収集している個人情報のうち、容易に本人を特定できる氏名を記号に置換し、住所の表記を〇〇県〇〇市までの情報に置換し、生年月日を年月までの記載に置換し、本人確認書類に関する情報及びクレジットカード情報は全て記号に置換し、元データとの紐づけができないように加工したうえで、会員全員を仮名加工情報一覧としてまとめ、それらにアプリ利用状況、利用時間、有料課金動向等を紐づけ、研究開発部門に提供し、データ分析を行ってもらうことにしました。

このように、そもそも、プライバシーポリシーの中で、個人情報の利用目的について個別具体的に記載していれば、わざわざ仮名加工情報を作成し、利用する必要はなかった、とも言えます。ただ、

「個人情報保護法が制定されてから、とりあえずプライバシーポリシーを作成し、公表した」

「2022年4月1日の改正個人情報保護法の施行にあわせてとりあえずプライバシーポリシーを改定した」

といった企業も実は少なくないのではないでしょうか。

ビッグデータやAI等のデータ分析がマーケティングや新商品開発等にも利活用され始めている現代社会において、データの利活用をすることは、企業活動において今後さらに必須となると思います。
改めてプライバシーポリシーの見直しも図りつつ、もしプライバシーポリシーの改定が事実上難しいような場合でも、仮名加工情報の作成・利用、という新たに認められた制度も使ってみてはいかがでしょうか。