資料をAIに渡す前に、氏名をA社・Bさんに置き換える。よくある運用です。ただ、どこまで伏せれば足りるのかは、感覚で決めていないでしょうか。公表されている文書には、伏せ方の条件が具体例つきで書かれていました。
本記事は法令の解説ではありません。また、法令上の「仮名加工情報」や「匿名加工情報」を作る手順書でもありません。個人情報保護委員会が公表しているガイドラインに書かれている「加工の基準」を、資料をAIに渡す場面に借りて整理したものです。実際の取り扱いの可否は個別の事情で変わります。最終的な判断は、自社の法務部門や専門家にご確認ください。内容は公式に公開されている記載にもとづきます。
結論：伏せ方の基準は、公表されている
先に結論を置きます。「個人情報を伏せてから渡す」という運用は正しい方向です。問題は、伏せ方に基準がないままやっていることです。公表されている文書には、何をどう置き換えるかが具体例つきで書かれています。それを借りれば、社内の基準を短時間で作れます。
借りられるのは、加工の基準
個人情報保護委員会は、仮名加工情報と匿名加工情報について、加工の基準をガイドラインで示しています。これは法律上の制度なので、社内の資料をAIに渡すだけの場面とは目的が違います。ただ、「どう加工すれば特定の個人を識別できなくなるか」という考え方そのものは、そのまま参考にできます。本記事で扱うのはこの部分です。制度として仮名加工情報を作る話とは切り分けて読んでください。基準を借りるだけなら、届出も公表も要りません。社内の手順を決めるための材料として使います。
見るべきは5つ
借りるべき項目を先に挙げます。1つ目、置き換え方。復元できてしまう置き換えは意味がありません。2つ目、削除の対象。氏名以外にも挙げられているものがあります。3つ目、つなぐ符号。IDや電話番号の扱いです。4つ目、珍しすぎる値。ここに具体的な数字の例が出てきます。5つ目、元データの保管。伏せたあとの扱いに関わります。この5つを押さえると、社内の手順が具体的になります。以降の節で、実際の記載を引きながら順に見ていきます。
公表されている基準から借りる5点
どれも、感覚では決められない部分。
置き換えに、規則性があってはいけない
まず、いちばん基本の部分です。伏せるとき、多くの人は削除ではなく置き換えを選びます。丸ごと消すより、資料としての読みやすさが残るからです。その置き換えについて、満たすべき条件がはっきり明記されていました。
置き換えも「削除」に含まれる
ガイドラインには、こう書かれています。「削除すること」には、「当該一部の記述等」又は「当該個人識別符号」を「復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む」とされている。つまり、消さずに置き換えるやり方も認められています。資料としては、氏名を丸ごと消すより「Aさん」に置き換えたほうが読めます。その選択は否定されていません。ただし条件が付きます。次の一文が、この節の核心です。
復元できない方法、とはどういう意味か
続きにこうあります。「復元することのできる規則性を有しない方法」とは、置き換えた記述等から、置き換える前の特定の個人を識別することとなる記述等又は個人識別符号の内容を復元することができない方法である。ここが重要です。置き換えたあとの表記から、元が分かってしまってはいけない。たとえば、社内で「Aさん」が常に同じ人を指すルールで運用していれば、それは規則性です。名字の頭文字をそのまま使う置き換えも同じです。読みやすさのために規則を持たせると、条件から外れます。
実務では、対応表を分ける
ここから先は運用の話です。置き換えの規則を持たせずに資料を読みやすくしたいなら、置き換えた記号と元の氏名の対応表を、資料とは別の場所に持つという形になります。資料の中だけを見ても元が分からない状態にしつつ、必要なときは対応表で戻せる。ただし、この対応表の扱いには別の条件が付きます。それは後の節で見ます。資料の中で完結させようとするほど、規則性が入り込みやすくなる。分けて持つ、というのが自然な設計になります。
削除の対象は、氏名だけではない
次に、何を伏せるかです。氏名と連絡先を伏せれば十分だと考えがちですが、ガイドラインにはまったく別の類型が挙げられていました。しかも具体例つきで、実務にそのまま持ち込める内容になっていました。順に見ていきます。
財産的被害が生じうる記述
加工の義務として、こう書かれています。個人情報に含まれる不正に利用されることにより財産的被害が生じるおそれがある記述等を削除すること（当該記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む）。理由も説明されています。一般的にみて、不正に利用されることにより個人の財産的被害が生じるおそれが類型的に高い記述等については、それが漏えいした場合に個人の権利利益の侵害が生じる蓋然性が相対的に高いと考えられる。つまり、個人を特定できるかどうかとは別の軸で、削除すべきものがあるということです。
挙げられている例が具体的
想定される加工の事例として、2つ挙げられています。事例1、クレジットカード番号を削除する。事例2、送金や決済機能のあるウェブサービスのログインID・パスワードを削除する。資料作成の場面に当てはめると、請求書や申込書の画像、システムの設定手順のスクリーンショットなどが該当しやすい。「氏名は伏せたから大丈夫」と判断した資料に、カード番号の下4桁や管理画面のIDが残っていることがあります。氏名を消す作業に集中していると、こちらは見落とします。チェックの観点を分けておくと確実です。
確認の順番を決めておく
実務としては、伏せる作業を2段階に分けるのが素直です。1段階目が誰の情報かが分かるもの。氏名、所属、連絡先など。2段階目が悪用されうるもの。カード番号、ログインID、パスワード、口座番号など。この2つは、探す場所が違います。1段階目は文章中に出てきますが、2段階目は表の中や画像の中に潜んでいることが多い。資料に画像を貼っているなら、画像の中まで見る。文字として検索できないぶん、目視が要る部分です。
IDや電話番号も、つなぐ符号として扱われる
3つ目は、意外と見落とされる項目です。氏名を伏せても、別の情報とつながる鍵が残っていれば意味がありません。何が鍵にあたるのか、ガイドラインには具体的な例まで挙げて書かれていました。そのまま社内の基準に使えます。
相互に連結する符号という考え方
匿名加工情報の加工基準に、次の項目があります。個人情報と当該個人情報に措置を講じて得られる情報を連結する符号（現に個人情報取扱事業者において取り扱う情報を相互に連結する符号に限る。）を削除すること。そして解説が続きます。具体的には、ここで対象となる符号は、匿名加工情報を作成しようとする時点において、実際に取り扱う情報を相互に連結するように利用されているものが該当する。例えば、分散管理のためのIDとして実際に使われているものであれば、管理用に附番されたIDあるいは電話番号等もこれに該当する。
社内の管理IDが、まさに該当する
この記載は実務に直結します。多くの会社は、顧客や案件に管理番号を振っています。資料の中で氏名をAさんに置き換えても、顧客IDがそのまま残っていれば、社内の別のシステムを引けば誰か分かります。ガイドラインが挙げているのは、まさにこの構造です。氏名を伏せることに意識が向くぶん、管理番号は「数字だから大丈夫」と残しがちです。AIに渡す資料では、社内で使っている番号こそ落とす。これが、ここから導ける実務の結論になります。
電話番号は、連絡先であり符号でもある
同じ記載に電話番号が挙げられている点も注目に値します。電話番号は連絡先として認識されますが、ここでは情報を相互に連結する符号として扱われています。つまり、複数のデータをつなぐ鍵になり得る、という位置づけです。連絡するつもりがなくても、残っていれば鍵として機能します。資料の中に電話番号が残る場面は意外と多く、たとえば問い合わせ履歴の抜粋、名刺の画像、システムの入力例などです。目的にかかわらず落とす、と決めておくほうが迷いません。
珍しすぎる値は、そのままでは残せない
4つ目が、知らないと気づけない観点です。氏名もIDも消したのに特定できてしまう、という状況があります。ガイドラインには、その理由と対処の方法が、具体的な数字の例つきで示されていました。読むと納得できます。
特異な記述等という類型
加工基準の1つに、特異な記述等を削除すること（当該特異な記述等を復元することのできる規則性を有しない方法により他の記述等に置き換えることを含む。）があります。理由はこうです。一般的にみて、珍しい事実に関する記述等又は他の個人と著しい差異が認められる記述等については、特定の個人の識別又は元の個人情報の復元につながるおそれがあるものである。また、範囲も限定されていて、他の個人と異なるものであっても特定の個人の識別にはつながり得ないものは該当しないとされています。珍しければ何でも、ではありません。
116歳を90歳以上に置き換える
想定される加工の事例が、非常に分かりやすい。事例1、症例数の極めて少ない病歴を削除する。事例2、年齢が「116歳」という情報を「90歳以上」に置き換える。年齢という、一見すると誰のものか分からない情報でも、極端な値であれば特定につながる。そして対処も示されていて、例えば、特異な記述等をより一般的な記述等に置き換える方法もあり得るとされています。消すのではなく、粗くする。資料の分析目的を保ちながら特定を防ぐ、実用的な手段です。
資料では「1件だけの値」を疑う
この観点を資料作成に借りるなら、1件しかない値を探すのが手順になります。売上の一覧で1社だけ桁が違う、拠点の一覧で1つだけ海外、役職の欄で1人だけ特殊な肩書き。こうした値は、氏名を消しても誰の行か分かります。対処は、そこだけを粗くすることです。桁を丸める、区分にまとめる、その他に寄せる。ガイドラインが「より一般的な記述等に置き換える」と示しているのと同じ考え方です。表を渡す前に、各列で1件しかない値がないかを見る。数分で終わります。
元データを持っている限り、扱いは変わらない
5つ目が、運用としていちばん重い部分です。加工したから安心、とはならない場合があるとはっきり明記されています。対応表を別に持つ、という前の節で触れた設計にも直接関わってくる話なので、丁寧に見ていきます。
容易に照合できる状態なら、個人情報のまま
ガイドラインには、こう書かれています。仮名加工情報取扱事業者において、仮名加工情報の作成の元となった個人情報や当該仮名加工情報に係る削除情報等を保有している等により、当該仮名加工情報が「他の情報と容易に照合することができ、それにより特定の個人を識別することができる」状態にある場合には、当該仮名加工情報は、「個人情報」に該当する。つまり、加工した側が元のデータを持っている限り、加工後のものも個人情報として扱われるということになります。加工すれば別物になる、という理解は正確ではありません。
対応表の管理に条件が付く
元データや対応表の扱いについても基準が示されています。削除情報等の安全管理措置として、取り扱う者の権限及び責任を明確に定めること、取扱いに関する規程類を整備し、当該規程類に従って適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること、正当な権限を有しない者による取扱いを防止するために必要かつ適切な措置を講ずることが挙げられています。対応表を作るなら、誰が触れるかを決める。資料と同じフォルダに置く運用は、ここから外れます。
実務としての落とし所
ここまでを踏まえると、現実的な選び方が見えてきます。あとで元に戻す必要がないなら、対応表を作らない。置き換えではなく削除にして、戻せない状態にするほうが管理が軽くなります。逆に、分析のあとで個別に当たる必要があるなら、対応表を作ったうえで管理の条件を満たす。戻す必要があるかどうかを、作業の前に決める。これが分かれ道です。なんとなく対応表を作ると、管理すべきものが1つ増えるだけになります。目的から逆算してください。
伏せたあとに、やってはいけないこと
最後に、加工が終わったあとの話です。ここには使い方そのものについての定めがあり、資料の二次利用を考えるときに関係してきます。知らずに使うと、想定していなかった扱いになる可能性があるので、最後に確認しておきます。
本人への連絡に使わない
ガイドラインには、本人への連絡等の禁止として、こう書かれています。仮名加工情報取扱事業者は、仮名加工情報を取り扱うに当たっては、電話をかけ、郵便若しくは信書便により送付し、電報を送達し、ファクシミリ装置若しくは電磁的方法を用いて送信し、又は住居を訪問するために、当該仮名加工情報に含まれる連絡先その他の情報を利用してはならない。電磁的方法の中身も示されていて、いわゆるショートメールを送信する方法や電子メールを送信する方法が挙げられています。分析のために作ったものを、営業の連絡に転用しない、という線引きです。
一見して分かるようにしておく
運用上の助言も書かれています。仮名加工情報には識別行為の禁止義務や本人への連絡等の禁止義務が課されていることから、仮名加工情報を取り扱うに当たっては、それを取り扱う者が不適正な取扱いをすることがないよう、仮名加工情報に該当することを明確に認識できるようにしておくことが重要である。そのため、仮名加工情報を取り扱う者にとってその情報が仮名加工情報である旨が一見して明らかな状態にしておくことが望ましい。加工済みであることが、見て分かる状態にしておく。資料作成でも同じで、ファイル名やヘッダーに印を付けておくと、あとから触る人が判断を誤りません。
法人の情報は、扱いが違う
最後に、範囲の確認です。通則編のガイドラインには、法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しないとあり、続けてただし、役員、従業員等に関する情報は個人情報に該当すると書かれています。会社名や事業内容は、ここまでの加工の対象ではありません。資料をAIに渡すとき、伏せる範囲を広げすぎると分析の意味が失われます。法人の情報は残し、個人に結び付く部分だけを伏せる。これが、精度を保ちながら安全側に寄せる考え方になります。
まとめ
資料をAIに渡す前に伏せるなら、公表されている加工の基準が参考になります。まず置き換え方で、「削除すること」には、復元することのできる規則性を有しない方法により他の記述等に置き換えることを含むとされ、「復元することのできる規則性を有しない方法」とは、置き換えた記述等から、置き換える前の記述等の内容を復元することができない方法と定義されています。社内で共通の記号を割り当てる運用は、規則性にあたる可能性があります。
削除の対象は氏名だけではありません。不正に利用されることにより財産的被害が生じるおそれがある記述等も対象とされ、事例としてクレジットカード番号と送金や決済機能のあるウェブサービスのログインID・パスワードが挙げられています。また、分散管理のためのIDとして実際に使われているものであれば、管理用に附番されたIDあるいは電話番号等も、情報を相互に連結する符号として対象に含まれます。
そして珍しすぎる値です。年齢が「116歳」という情報を「90歳以上」に置き換えるという例が示されており、特異な記述等をより一般的な記述等に置き換える方法もあり得るとされています。最後に、元となった個人情報や削除情報等を保有していることにより容易に照合できる状態にあるなら、加工後のものも「個人情報」に該当するという記載があります。戻す必要があるかを先に決める。そこから運用が決まります。
よくある質問（FAQ）
この記事のとおりにすれば、法令上の問題はなくなりますか
いいえ。本記事は法令の解説ではなく、また法令上の仮名加工情報や匿名加工情報を作る手順書でもありません。公表されているガイドラインの加工の基準を、資料作成の場面に借りて整理したものです。実際の取り扱いの可否は個別の事情で変わります。最終的な判断は、自社の法務部門や専門家にご確認ください。
氏名をAさん、Bさんに置き換えれば十分ですか
ガイドラインには、置き換えは「復元することのできる規則性を有しない方法」による必要があると書かれています。置き換えた記述から元の記述を復元できない方法、と定義されているため、社内で共通の記号を割り当てるなど、元が分かる規則を持たせる運用は条件から外れる可能性があります。
氏名のほかに、何を消すべきですか
ガイドラインには、不正に利用されることにより財産的被害が生じるおそれがある記述等の削除が挙げられ、事例としてクレジットカード番号、送金や決済機能のあるウェブサービスのログインID・パスワードが示されています。また、管理用に附番されたIDや電話番号も、情報を相互に連結する符号として挙げられています。
年齢や金額は伏せなくてよいですか
ガイドラインには特異な記述等の削除という項目があり、想定される加工の事例として、年齢が「116歳」という情報を「90歳以上」に置き換える、という例が挙げられています。極端な値は特定につながる可能性があるため、より一般的な記述に置き換える方法が示されています。
加工すれば、元のデータは持っていても問題ありませんか
ガイドラインには、作成の元となった個人情報や削除情報等を保有している等により、他の情報と容易に照合することができ、それにより特定の個人を識別することができる状態にある場合には、その情報は「個人情報」に該当する、と書かれています。あわせて、削除情報等の安全管理措置の基準も示されています。
会社名や事業内容も伏せるべきですか
通則編のガイドラインには、法人その他の団体は「個人」に該当しないため、法人等の団体そのものに関する情報は「個人情報」に該当しない、と書かれています。ただし、役員、従業員等に関する情報は個人情報に該当するとされています。
原典で基準を確認する
本記事は解説であり、判断の根拠は原典にあります。ガイドライン（仮名加工情報・匿名加工情報編）｜個人情報保護委員会で記載をご確認ください。