これまで挙げたように「属性を含む個人情報」は非常にセンシティブな存在です。そして、利用する側から見れば「極めて価値の高い情報」と言い換えることができます。よってこの状態で個人情報を取り扱うには、細心の注意が必要になるわけです。
逆に言えば、こうしたセンシティブな個人情報を「個人情報α」と「個人情報β（匿名化済み）」に“分離”した場合、男女や年齢層などの大枠でカテゴライズされた「匿名の属性情報」へとフィルタをかけたデータとして管理すれば、利用価値を保ち安全性も高めることが可能かもしれません。この場合の分離とは氏名連絡先情報データや、個人を特定可能な情報が削除し、個人に紐付くIDなどは名前と同様に削除することを指します。
例えばマーケティングなどにおいて利用価値の高い消費傾向やユーザー動向などの情報には、個人を特定する情報は必要なく、「匿名化情報β」があれば必要十分です。ビッグデータの活用方法の一つです。
注意点として、単に氏名連絡先などを削除しただけの場合、これを匿名化情報と言い切れません。個人の行動履歴のような場合では、それを追えば個人を特定できる可能性があるためです。この手の情報を消費傾向やユーザー動向などの分析に利用する場合は、個人のデータではなく、商品を切り口にした全体の集計データとして分析、つまり、AというDVDを買う40代男性のうち47％はBというフィギュアも購入している、などの切り口でデータを分析すれば、安全なデータ活用ができるのではないでしょうか。
個人情報保護法改正
既に耳にされた方も多いかもしれませんが、このような匿名化を施した個人情報の扱いなどを含め、先月には「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号の利用などに関する法律の一部を改正する法律案」が国会に提出されました。
この法改正について、未解決な問題点について大いに議論が交わされており、立ち位置によって主張が対立する点も少なくありません。例えば、前述のような匿名加工情報に削除した個人情報を戻すことを禁じる決まりとなっており、この法改正で「何をもって個人情報とするか」という点については特に意見が分かれています。
具体的によく挙がるのは「符号そのものは個人情報じゃない」「いや個人が特定できる可能性があるものは個人情報として扱うべきだ」といった議論です。こうした議論は、以前も例えば、携帯電話の契約者固有IDでかなり議論の対象になりました。
今回目立つのは、例えばクレジットカード番号はただの数字の羅列に過ぎず、その数字の羅列そのものには何ら個人を特定する要素は含まれていない、電話番号も同様であり一定の期間を空けて他の人に使い回すもので、個人を特定しない、とした主張と、サービスを利用する個人はそういった符号を発行した企業を含め、多くの場合この符号を、個人を特定できる情報（の一部）としてさまざまな相手に提出するわけで、個人を特定する情報となり得る、とした主張です。
情報セキュリティの観点からは、こうした情報も個人を特定し得るので、保護すべきではないかと個人的には感じます。一元的にマルかバツかを決められないケースもないとは言い切れず、場合によってはすべての業種業界には当てはまらないようなケースについての個別ルール決めなど、周辺の法整備が必要なのかもしれません。
