高木浩光＠自宅の日記

■ 匿名加工情報の条文構成はどう壊れて行ったか（保護法改正はどうなった その6）

まえがき

「匿名加工情報」の規定ぶりがおかしく、苦しい法解釈で凌がざるを得なくなっていることは、2015年12月6日の日記「匿名加工情報は何でないか・前編（保護法改正はどうなった その2）」と2016年2月5日の日記「匿名加工情報は何でないか・前編の2（保護法改正はどうなった その4）」で詳しく書いた。

そこでの結論は、「やはり、国会でも出ていたように、「法律上の匿名加工情報を作るんだという意思を持って加工したものが匿名加工情報である」という解釈をとるほかないのではないか。」というものだった。

この理解がなかなか普及せず*1歯がゆいところだったが、11月末に公表された個人情報保護委員会のガイドラインで、この件は決着しており、次のように書かれている部分がそれである。

（※2）「作成するとき」は、匿名加工情報として取り扱うために、当該匿名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは統計情報を作成するために個人情報を加工する場合等については、匿名加工情報を「作成するとき」には該当しない。

個人情報保護委員会, 個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）, 2016年11月, p.9

（※1）ここで「匿名加工情報を作成したとき」とは、匿名加工情報として取り扱うために、個人情報を加工する作業が完了した場合のことを意味する。すなわち、あくまで個人情報の安全管理措置の一環として一部の情報を削除しあるいは分割して保存・管理する等の加工をする場合又は個人情報から統計情報を作成するために個人情報を加工する場合等を含むものではない。

また、匿名加工情報を作成するために個人情報の加工をする作業を行っている途上であるものの作成作業が完了していない場合には、加工が不十分であること等から匿名加工情報として取り扱うことが適切ではない可能性もあるため「匿名加工情報を作成したとき」とは位置付けられない。

個人情報保護委員会, 個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）, 2016年11月, p.19

これらの注が確かにそういう趣旨であることは、パブリックコメントで確認している。

1015 3-2 匿名加工情報の適正な加工

意見24 【匿名加工情報編 3-2 p.9 ※2、 3-4 p.19 ※1】匿名加工情報として取り扱うためでなければ、匿名加工情報に係る安全管理措置・公表・明示・識別禁止義務についても対象とならないことを明記するべき

法36条1項のガイドラインに、「※2」として、「「作成するとき」は、匿名加工情報として取り扱うために、当該匿名加工情報を作成するときのことを指す。したがって、例えば、安全管理措置の一環として氏名等の一部の個人情報を削除（又は他の記述等に置き換え）した上で引き続き個人情報として取り扱う場合、あるいは統計情報を作成するために個人情報を加工する場合等については、匿名加工情報を「作成するとき」には該当しない。」との説明がある。

これは、法2条9項の匿名加工情報の定義に形式的に該当する情報を作成した場合であっても、匿名加工情報の制度を利用する意思がない場合には、「匿名加工情報として取り扱うために」作成したことに当たらず、よって法36条1項の「匿名加工情報を作成するとき」に当たらないとの解釈が示されたものとして理解できる。

同様に、法36条3項のガイドラインにおいても、「※1」として、「ここで「匿名加工情報を作成したとき」とは」として、同じ説明があり、これも、匿名加工情報の制度を利用する意思がない場合には、「匿名加工情報として取り扱うために」作成したことに当たらず、よって法36条3項の「匿名加工情報を作成したとき」に当たらないとの解釈が示されたものとして理解できる。

しかし、この解釈は、法36条2項の安全管理措置義務、法36条4項の提供時の公表・明示義務、法36条5項の識別行為の禁止、法36条6項の公表努力義務についても同様に解されるはずのところ、ガイドラインには示されていない。

この解釈は、匿名加工情報の制度が無用な過剰規制とならないために大変重要なものであり、これらの各義務についても同様に適用されるものと理解しているが、その理解でよいか確認したい。その通りであるならば、これらについてもガイドラインで明記するべきである。

また、法37条乃至39条の義務が適用される匿名加工情報取扱事業者の該当性（法2条10項）についても同様の解釈が必要であり、形式的に2条9項の匿名加工情報に該当する情報のデータベースを取扱う場合であっても、匿名加工情報の制度を利用する意思がない場合には、「匿名加工情報データベース等を事業の用に供している」ことに当たらないとの解釈が示されるべきである。この点についてガイドラインは触れていないので、このことについても明記するべきである。
【一般財団法人 情報法制研究所 個人情報保護法タスクフォース】

御意見等に対する考え方

御理解のとおり、匿名加工情報として取り扱うために、当該匿名加工情報を作成するのではなく、例えば、安全管理措置の一環として氏名等の個人情報の一部を削除して引き続き個人情報として取り扱う場合などは、匿名加工情報の作成には当たらず、加工後の情報は匿名加工情報に該当しないことから、改正後の法第36条は適用されません。本ガイドライン（匿名加工情報編）案においては、「匿名加工情報を作成するとき」の解説として、匿名加工情報の作成に該当しないことを記載しており、一般的に現状の案で御理解いただけるものと考えます。

個人情報保護委員会, 「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）（案）」に関する意見募集結果, 2016年11月

他にも、この「意見募集結果」を「として取り扱うため」をキーに検索して該当箇所を読んでいくと、委員会が確かにそのような考え方をしている様子を見ることができる。

ちなみに、統計情報と匿名加工情報との境界線の問題について、「匿名加工情報は何でないか・前編の2」の最後で次のように書いていた点についても、前掲の委員会ガイドラインの該当部分が、「あるいは統計情報を作成するために個人情報を加工する場合等については、匿名加工情報を「作成するとき」には該当しない。」としたことは、同じことを述べているものと言えるだろう。

ところで、匿名加工情報と統計情報を区分する基準をどうするのかが先送りになっているわけだが、これは、今になってみると、決めなくても問題とならないことに気づいた。

なぜなら、そもそも、上の前半の論点から、どのみち「法律上の匿名加工情報を作るんだという意思を持って加工したものが匿名加工情報である」という解釈をとるほかないのだから、統計情報として保護法の規制が係らないようにするには、「法律上の匿名加工情報を作るんだという意思を持って加工」しなければよい（通常、普通にしていればそうなる。）と言えるからだ。

つまり、後半の論点は、実は前半の論点に吸収されてしまっているのである。

匿名加工情報は何でないか・前編の2（保護法改正はどうなった その4）（2016年2月5日の日記）

とはいえ、このような、委員会ガイドラインの「匿名加工情報として取り扱うために」云々とする法解釈は、文理的に無理があるものとする向きもあるだろう。これがもし看過されないのであれば、3年毎の見直しとして、次の改正で条文構成を直す必要があるだろう。

そこで、ここでは、前回の日記で示した情報公開請求開示資料から、この条文構成がどのような経緯をたどってだどり着いたものなのかを追うことで、この失敗の原因を探ってみる。

本編

内閣法制局の「法令案審議録」（のうち、内閣官房IT総合戦略室で作成され、個人情報保護委員会に移管された資料）によると、最初の案文となったのは、9月22日（2014年）の以下の案のようだ。

図1: 開示決定通知と開示資料の9月22日案

9月22日案では、以下のものであった。

この法律において「匿名加工データ」とは、個人データに対し、当該個人データに含まれる氏名、生年月日その他の記述等の全部又は一部を削除する等の加工を施すことにより、特定の個人を識別することができないようにし、かつ、当該個人データに含まれる個人識別情報その他〔広く一般に流通している個人データの項目〕の全部を削除したものをいう。

9月22日案

当初は「匿名加工情報」ではなく「匿名加工データ」であった*2。これは、私もその案の方が「正しい」と思う（いずれ書く）のだが、即刻、「何故個人情報レベルでなく、データになるの？」、「個人情報レベルで定義し、匿名情報？？？データベースとデータを定義すべきである。」と指摘が入ったようで、次の10月5日の案で「匿名加工情報」に変わっている。

この法律において「匿名加工情報」とは、生存する個人に関する情報であって、次の各号に掲げる場合の区分に応じて、当該各号に定める方法（次の各号のいずれにも該当する場合には、当該各号に定めるすべての方法）により、個人情報を加工して得られるもの（匿名加工情報に別の情報を追加するなどの加工を施した場合を含む。）をいう。

一 当該個人情報が第1項第1号に該当する場合 特定の個人を識別することができないよう、当該情報に含まれる氏名、生年月日その他の記述等の全部又は一部を削除し又は置換する

二 当該個人情報が第1項第2号に該当する場合 当該情報に含まれる個人識別符号を全部削除し又は置換する

10月5日案

10月5日の時点で既に、最終案にわりと近い構造になっている。「個人に関する情報」であることの要件もこの段階で登場している。

ちなみに、興味深いことに、10月5日案では、23条に以下の規定を加える案となっていた。

（第三者提供の制限）
第23条（略）

一〜四（略）

五 個人データ〔を加工して〕〔から〕匿名加工情報を作成し、第三者へ提供するとき。

10月5日案

つまり、匿名加工情報が個人データである場合もあることを前提に、そうであっても第三者提供ができるように、23条1項の例外に、匿名加工情報を作成し提供するときを入れようとした案が存在していたということだ。

しかし、これが次の10月30日案ではボツになったのか、23条の例外案は消滅している。

そして、10月30日案では、定義パートで、以下のように、「第三者に提供するために」が挿入された。

この法律において「匿名加工情報」とは、生存する個人に関する情報であって、第三者に提供するために次の各号に掲げる個人情報に当該各号に定める措置を講じて得られるもの（当該情報が含まれる情報であって、第1項第1号及び第2号のいずれにも該当しないものを含む。）をいう。

一 第1項第1号に該当する個人情報 同号に規定する氏名、生年月日その他の記述等の全部又は一部を削除すること（他の情報に置き換えることを含む。）により、特定の個人を識別することができないようにすること。

二 第1項第2号に該当する個人情報 個人識別符号を全部削除すること（他の情報に置き換えることを含む。）。

10月30日案

このとき「第三者に提供するために」が挿入された理由は何だったのだろうか。こうすることによって、冒頭で述べた問題（の一部*3）は解消するのだから、もしやこの問題はこの時点で既に認識されていたのであろうか。10月5日案に書き込まれたメモにはそれらしき指摘は見当たらないので、法制局からの指摘というよりも、IT室内での議論によるものであろうか。

この部分に対し、図2の1枚目の写真のように、法制局から「自分ではなっていけないのか？」（？）との指摘が入ったようだ。なお、この時点の案では、義務の部分は、図2の写真2枚目と3枚目のように、加工方法に関する義務はなく、復元の禁止と公表等があるのみだった。

図2: 開示資料の10月30日案

そして翌日の10月31日案では、次のように「第三者に提供するために」の部分が後ろに移動して、「のうち、第三者に提供するために第41条の規定による公表をしたもの……」という限定が付くように変更された。41条は公表義務である。

この法律において「匿名加工情報」とは、生存する個人に関する情報であって、 次の各号に掲げる個人情報に当該各号に定める措置を講じて得られるもののうち、第三者に提供するために第41条の規定による公表をしたもの及び当該情報が含まれる情報であって、第1項第1号及び第2号のいずれにも該当しないものをいう。

一 第1項第1号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（他の記述等（個人識別符号を除く。次号において同じ。）に置き換えることを含む。）により、特定の個人を識別することができないようにすること。

二 第1項第2号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（他の記述等に置き換えることを含む。）。

10月31日案

10月30日案との違いは、「第三者に提供するために」という主観的要件を嫌ってか、「第三者に提供するために41条の規定による公表をした」と、公表行為という客観的要件にしたということであろうか。そういえば、国会審議でも、「どこで匿名加工情報になるのかは、公表されたときだ」という答弁があった（「匿名加工情報は何でないか・前編」参照）わけで、それはこの案を経ていたからこそだったのか。

これが11月5日の案では次のように微修正された。

この法律において「匿名加工情報」とは、生存する個人に関する情報であって、次の各号に掲げる個人情報に当該各号に定める措置を講じるとともに、第三者に提供するために第41条第1項の規定による公表をしたもの及び当該情報が含まれる情報のうち、第1項第1号及び第2号のいずれにも該当しないものをいう。

一 （略）

二 （略）

11月5日案

この変更での違いは何だろうか。10月31日案では、「次の……措置を講じて得られるもの」は客体の該当要件で、意図によらず広く該当してしまうところ、「公表をしたもの」という行為の要件で限定していたのに対し、11月5日案では、「講じる」ことと「公表する」ことが一体的となり、「41条1項の規定による公表」を前提とした「講じる」ことであるようなニュアンスが出ているだろうか。これは、最終的に委員会ガイドラインが「匿名加工情報として取り扱うために作成した」と限定したことの狙いに近いようにも思える。

そして、これに続く次の案が出てくるのは、12月19日で、パーソナルデータ検討会の最終回が開かれ「骨子（案）」が示された日だ。このときの案では、次のようになっている。

この法律において「匿名加工情報」とは、個人情報を用いて第31条の3第1項の規定により作成された情報（生存する個人に関するものに限る。）及び当該情報が含まれる情報（第1項第1号及び第2号のいずれにも該当しないものに限る。）をいう。

（加工の方法）
第31条の3 匿名加工情報取扱事業者は、第三者に提供するために匿名加工情報を作成するときは、個人情報保護委員会規則で定める加工の方法及びその情報の保護についての基準に従い、当該匿名加工情報を作成するために用いる個人情報について、特定の個人を識別することができないようにするために次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないようにするとともに、当該個人情報を復元することができないようにするために必要な加工をしなければならない。

一 第2条第1項第1号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（他の記述等に置き換えることを含む。）。

二 第2条第1項第2号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（他の記述等に置き換えることを含む。）。

12月19日案

大幅に変更されている。加工の方法は、定義パートから義務パート（31条の3）に移動し、義務パートに加工方法に関する義務が追加された。

この案では、「31条の3の規定により作成された情報」のみが定義パートの「匿名加工情報」に該当するように書かれているので、冒頭で述べた問題が避けられている。また、31条の3で、「第三者に提供するために匿名加工情報を作成するときは」となっているので、義務がかかる場合が目的によって限定されている。「骨子（案）」はまさにこれをベースに書かれていたわけで、それゆえ違和感を覚えなかったわけだ。

この変更の間に、11月13日の「部長審査第二回」とあるメモで、以下の指摘が法制局からあったことが記されている。

2(1) 匿名加工情報について

匿名加工情報については、定義に作用が書かれるのはわかりにくいので、単に個人情報から特定の個人を識別することのできる記述等を削除したものとすべき。一方、匿名加工の措置は個人情報と区別するために重要なものなので（※）、実体規定の中で厳格に書くべき。法律ではすべて書けないので、匿名加工情報を作る者は、指針に従い、次に定める措置をとらなければならないなどとする。また、匿名加工情報の取り扱いについても、指針に従い行わせたらよいのではないか。

開示資料「個人情報保護法骨子案（部長審査第二回 H26.11.13）」

この指摘に従って、加工方法の基準を委員会規則で定めることとし、その基準に従うことを義務としたようだ。

この日の部長審査では、定義は「単に……記述等を削除したものとすべき」と指摘されたようだが、12月19日の案では、そうではなく、前記の通り、「31条の3の規定により作成された情報」のみが定義に該当するように書かれているわけで、そこがどのような経緯なのか気になるところ、手がかりはまだみつけていない。

なお、「識別することができないように」に加えて「復元することができないように」が入ったのも、このときのようだ。12月1日の「長官指摘」とするメモに次のことが記されている。

○匿名加工情報(2)

復元禁止の規制で対応しようというのは無理がある。個人情報に戻りかねないものが容易に流通することになるのは危険すぎる。加工者が第三者に提供する時点で、復元ができないように、個人識別情報にたどり着けないように、加工しなければならないことにするべきである。（容易照合もできないような形で提供するべきである）

その上で、加工者と二次的な利用者は分けて規制を設けるべきである。

追加指摘（12月2日）
匿名加工情報の加工には、単純に削除や置換をする以外にも、精度を下げる（例えば住所のうち、番地は言わないなど）という方法も考えられ、それは情報の内容や使い道によって異なってくるのだから、法律上、加工の基準や方法について頭出しした上で、少なくとも規制レベルでそれを定める必要がある。事業者任せではだめである。

開示資料「個人情報保護法 長官指摘（12月1日）」

この指摘内容自体、別の論点で興味深いところだが、それは置いておくとして、この長官指摘によって、「識別できないように」と「復元できないように」が重ねて規定されるようになったのだろうか。しかし、その意味の違いについては明らかでない。

そして、この案が、1月8日の案で、次のように変更された。

この法律において「匿名加工情報」とは、個人に関する情報であって、第31条の3第1項の基準に従い個人情報を加工して得られるものをいう。

（匿名加工の方法）
第31条の3 匿名加工情報取扱事業者は、 匿名加工情報を作成するときは、個人情報保護委員会規則で定める加工の方法及びその情報の保護についての基準に従い、当該匿名加工情報の作成に用いる個人情報について、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないようにすることその他当該個人情報を復元することができないようにするために必要な加工をしなければならない。

一 （略）

二 （略）

1月8日案

ここで後退してしまっている。12月19日案では、「第31条の3第1項の規定により作成された情報」だったからこそ、定義が意図によらず該当してしまう問題を回避できていたのに、「第31条の3第1項の基準に従い」に変更されたことで、基準が一致していれば客体が該当してしまう問題*4が残ってしまう。加えて、31条の3から、「第三者に提供するために」が削除されてしまっており、意図による限定は消滅してしまった。

なぜこう修正されたのか、「……の規定により作成された情報」という言い方自体が法制局から許されなかったのだろうか。31条の3はあくまでも基準が示されているだけだという指摘があったのかもしれない。この修正は、12月19日案への手書きメモに書き加えられているが、理由は書かれていない。

そして、「第三者に提供するために」が削除されたのも、12月19日案への手書きメモで消されているのを確認できる。理由は書かれていない。

図3: 開示資料の12月19日案

そうすると、違和感のなかった「骨子（案）」どおりの案は、その日のうちに早々と消えていたというわけか。

これの次の案は、1月13日案、1月15日案、1月16日案であるが、いずれも大きな変更はないが、ここで、次の指摘が入っている。

図4: 開示資料の1月16日案

「定義とトートロジーでは？」、「匿名加工情報がでてくるのはいいのか？」とのコメントが手書きされている。

この点について、「個情法部長一読指摘事項その2（H27.l.19）」と題するメモ文書に、以下の記載があった。

31条の3

定義規定とトートロジーになっている気がする。ここで匿名加工情報を用いられないのではないか。（用例？）定義を変えるか？個人情報を復元できないように加工した情報？

開示資料「個情法部長一読指摘事項その2（H27.l.19）」, p.3

確かに、定義パートで「匿名加工情報とは……31条の3の基準に従い……得られるもの」としているのに、その31条の3が「匿名加工情報を作成するときは」としているのでは、循環参照になってしまっているように見えなくもない。

ただ、定義パートが参照しているのは「基準」であり、31条の3に書かれている基準は、「匿名加工情報を作成するとき」にだけ存在するものではないのだから、循環参照にはなっていないようにも思えるのだが……。

なるほど、こうしてみると、12月19日案では確かに循環参照だった。「匿名加工情報とは…31条の3の規定により作成された情報」としながら、31条の3で「匿名加工情報を作成するときは」というのでは、どちらも定まらないことになってしまう（法文解釈論上）のであろうか。

この1月16日案は直さなくてもよかったようにも思えるが、トートロジーだとの指摘で、大幅に変更され、1月26日案で、以下のようになった。

この法律において「匿名加工情報」とは、個人情報を加工して得られる個人に関する情報であって、次の各号に掲げる当該個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないようにし、かつ、当該個人情報を復元することができないようにしたものをいう。

一 第1項第1号に該当する個人情報 当該個人情報に含まれる記述等の一部を削除すること（他の記述等に置き換えることを含む。）。

二 第1項第2号に該当する個人情報 当該個人情報に含まれる個人識別符号の全部を削除すること（他の記述等に置き換えることを含む。）。

（匿名加工情報の作成等）
第37条 匿名加工情報取扱事業者は、匿名加工情報を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会で定める基準に従い、当該個人情報を加工しなければならない。

1月26日案

この後も何度も修正されているが、この時点で、冒頭の論点の観点からは、概ね、現在成立している改正法の条文と同じ構成に辿り着いている。

この結果、定義パートの客体該当性要件に該当する情報の全てが「匿名加工情報」に該当してしまい、その全てに義務パートの義務がかかるように読めてしまう条文となってしまった。

こうして振り返ってみると、初期の案で既にその問題を抱えていたところ、なんとかそれを回避しようとした形跡が見られるものの、それが、その時々の法制局の局所的な指摘（視野の狭い指摘）によって台無しにされていき、最初に戻ってしまったように見受けられる。問題を回避する必要性が法制局に伝わっていなかったのだろうか。

なお、どうすればよかったのかについては、2015年12月6日の日記で「匿名加工情報に関する規定の不備を解消する条文修正試案（2015年4月3日作成の文書）」を示した。今回の開示資料を踏まえて改めて検討してみるに、これならばトートロジーにもなっておらず、問題は解決できていたのではないかと思う。

変更履歴（1月13日）

• 図4の写真を差替え
• 図4直後の段落の次に1段落と開示資料の引用部を追加
• 誤字を修正
• 最後の段落の表現ぶりを変更 （最後から2つ目の段落に）
• 最後の段落を追加