氏名を消したデータなら渡せる？ 個票の共有を承認する前に見る、識別の手がかり
取引先から、分析用に顧客データを貸してほしいと言われた。名前とメールアドレスを消し、顧客番号を別の番号に置き換えた。これなら誰の情報か分からない、と担当者は考える。しかし残ったのは、訪問時刻、店舗、購入品、自由記述だった。近所の人なら、特徴的な一件に心当たりがあるかもしれない。
直接名前が読めないことと、個人へ結び付かないことは別である。 一方で、識別の可能性が少しでもあるから、すべての分析をやめるという結論も早い。この記事は、氏名削除を共有の十分条件にせず、必要な分析を保ちながら、個票を渡すか、集計や保護された環境へ変えるかを考える。
この記事の目次
「名前がない」は、法的な分類名ではない
個人情報保護委員会の説明は、単にマスキングし、必要な加工をしていない個人データを、法令上の匿名加工情報として扱えないと示している。日常語の「匿名化」と、制度上の匿名加工情報を混ぜないことが出発点になる。
同委員会のガイドラインには、直接の識別情報だけでなく、他の記述との組合せや、データ内での著しい差異を考慮する加工が記されている。一方、あらゆる技術で特定する可能性を完全に排除することまで求める説明でもない。
この制度説明を、今回のファイルが適法に渡せるという個別判定へ読み替えない。加工情報の種類、利用目的、提供の形態などで確認事項が異なる。本稿の対象は、共有前にリスクと分析の必要性を整理する業務判断である。社内で番号を置き換えたという作業記録だけでは、その判断は済まない。
組合せが手がかりになることは、実測されている
de Montjoyeらの2013年の移動履歴研究は、150万人の15か月分のデータを調べた。時刻を一時間単位、位置を通信事業者のアンテナの範囲で表した条件では、四つの時空間上の点が分かると、95％の履歴をデータ内で一意に区別できたと報告している。
この95％は、名前まで特定された人の割合ではない。データ内で一つの履歴に絞れることと、その履歴を実在の人物の氏名へ結び付けることを区別する必要がある。また日本の顧客データを対象にした結果ではなく、国名が公開されていない一つの移動データの条件を、あらゆるデータへ外挿はできない。
それでも、氏名の列だけが手がかりなのではないと分かる。特定の人がどの時間帯にどこにいたかを知っている相手へ細かな履歴を渡せば、組合せが識別に役立ち得る。日時を粗くすれば常に安全になるという一律の閾値は、この研究からは得られない。
加工の評価では、攻撃対象と確認範囲を読む
El Emamらの2011年の系統的レビューは、健康情報などに対する14の再識別攻撃を整理した。研究の多くは小規模で、既存の基準に沿って加工したデータへの攻撃は二件に限られていた。著者らは、当時の証拠だけでは加工手法の有効性を一般に否定できないと結論している。
ここで比べているのは、攻撃で特定できた事例と、基準に沿って加工したデータの安全性です。対象の選び方、補助情報、成功の定義が異なるため、平均の成功率を自社の共有ファイルの危険度へ移すことはできません。移動履歴の一意性と氏名への識別を分けたのと同じく、何を確かめた値かへ戻ります。
このレビューには、2015年の利益相反開示の訂正があり、著者の加工技術に関するコンサルティングと、筆頭著者による関連会社の創業を確認できる。結果を直ちに否定する理由ではないが、証拠の評価に含めたい。
さらにChikwetuらの2023年のレビューは、ウェアラブル機器のデータによる識別・認証など72研究を整理し、多くで高い識別精度を報告した。身体の動きや生体信号を扱う研究で、普通の購買表の再識別率とは違う。加工の安全性を、データの種類を問わず保証できない材料になる。
2011年のレビューは古く、現在の攻撃手段に対する安全保証ではない。移動履歴の一意性研究と、このレビューは相反するように見えるが、測定対象も問いも異なる。編集上の判断は、名前を消したから安全とも、加工しても必ず識別されるとも決めつけず、提供するデータと相手を具体化することになる。
まず決めるのは、消す列より、答えたい問い
「分析に使うから全部ほしい」という依頼を、そのまま個票の提供仕様にしない。例えば知りたいのが曜日別の需要なら、個々の顧客の履歴を渡す必要があるのか。再来店の分析が必要なら、店ごとの合計では答えられない。分析の問いが違えば、残す情報も変わる。
米国政府機関向けのNIST SP 800-188、2023年最終版は、加工技術だけでなく、公開、合成データ、問い合わせ用の仕組み、非公開の保護された分析環境など、共有のモデルを選ぶことを扱う。マスキングだけの道具では十分な機能を持たない場合もあると説明する。これは日本の法的適合を認定する基準ではなく、共有設計の参考となる公的指針だ。
ここからは編集上の提案である。共有の審査では、分析の問い、必要な粒度、受け取る人、使える補助情報、出力する成果物を一枚で対応させる。加工の担当者が「この列を消しました」と説明し、分析担当者が「使えません」と返すだけの往復から、どの精度を守るかの判断へ変える。
仮想例：集計で済む依頼と、個票が必要な依頼
小売店が、営業時間を決めるため、来店の多い時間帯を外部の分析会社に尋ねるとする。必要なのは時間帯ごとの需要で、特定の顧客の行動を追うことではない。この場合は、目的に合う集計を先に検討する。氏名を削除した詳細な来店履歴を丸ごと渡す理由は弱い。
条件を変え、知りたいのが初回購入後の再来店までの期間だったとする。日別の総数だけでは、同じ人が戻ったのかを区別できない。内部で必要な対応付けを行い、外部へ出す成果を集計にする案や、閲覧者と出力を制限した環境で分析する案が候補になる。番号の置換だけを理由に自由な再配布を許す案とは分ける。
さらに、対象が非常に少なく、ある時間帯には特徴的な一人しかいないなら、集計にしただけでも十分とは限らない。区分を広げる、対象期間をまとめるなどの加工で問いに答えられるかを検討する。ただし区分を広げると、店舗の運営に必要なピークが見えなくなることもある。リスクを減らした結果、意思決定に使えなくなったなら、それは分析の成功ではない。
以上は実測事例ではなく、目的が変わると提供形態の選択が変わる例である。特定の人数以上なら安全、特定の期間に丸めれば十分、という数字は置いていない。
データの本体以外にも、手がかりは残る
自由記述には、氏名そのものがなくても、勤務先、希少な出来事、家族関係などが含まれることがある。ファイル名、添付資料、対応表、分析担当者が別に持つデータも、共有の境界に含める。これは、本稿が組合せの問題を実務へ当てはめた点検案である。
契約で禁止したことと、技術的にできないことは違う。契約、アクセス制限、加工はそれぞれ別の役割を持つ。提供先が限定されていても、その相手が他の情報を多く持つなら、一般公開と違うリスクになる。逆に、分析者が個票を見られず、確認された集計だけを受け取る方式なら、評価すべき露出の仕方も変わる。
監査で残したいのは、加工した列の一覧だけではない。目的に対して残した情報が必要だった理由、提供先の制約、残るリスクの説明、確認した版を残す。担当者が変わっても、「匿名化済み」の一言だけで再利用範囲が広がらないようにする。
安全性と有用性を、同じ審査で扱う
データをほぼ空にすれば、分析者から漏れる情報は減る。しかしその分析で決めた営業時間が需要を捉えなければ、別の損失を作る。逆に有用性を理由に細かな個票を無条件に渡せば、必要以上の情報を露出させる。両者を別担当が最大化するのではなく、答える問いに対して必要十分な共有を選びたい。
一度承認した形式でも、追加の属性や別データの結合、提供先の増加があれば前提を見直す。承認時点では少なかった補助情報が増えることもある。頻度だけで定期確認を設けるより、どの変更で再審査するかを決める方が、確認の理由を明確にできる。
集計で問いに答えられるなら、詳細な個票を先に渡さない。個票が必要なら、識別の手がかりと分析環境、出力の制限を合わせて評価する。残るリスクや必要性を説明できないなら、氏名を消したという理由で承認せず、提供形態を変えるか保留する。 分析を止めるためではなく、分析の目的に合う境界を作るための判断である。