【エグゼクティブ・サマリー】

本意見書では、データ保護に関するEUの法的根拠に対し既存の匿名化技術の有効性と限界を分析し、識別化のリスクが内在することを考慮した上で匿名化技術の推奨を提供する。

作業部会は、特に個人が心配するようなリスクを軽減しながら、個人や社会全体の「オープンデータ」の利便性を得るための戦略における匿名化の潜在的な価値を認識している。しかしながら、ケーススタディや研究公表は、求められる成果としての基本的な情報を維持しながら、真に匿名化されたデータセットを作成することが非常に難しいことを示している。

1995年EUデータ保護指令やその他関連するEUの法制度の観点から見ると、匿名化は識別化されないようにパーソナルデータを処理することである。そのためには、データ管理者によって様々な要素が検討される必要があり、あらゆる観点から、（データ管理者あるいは他のあらゆる第三者団体による）識別化のために用いられる「あらゆる合理的な手段(likely reasonably)」を考慮する必要がある。

匿名化はパーソナルデータの更なる処理のための構成要素となる。すなわち、法的根拠や更なる処理を考慮する際に、匿名化は適合性の要件を満たす必要がある。さらには、匿名化されたデータはデータ保護法制の対象外となるが、データ主体は他の法制度（例えば通信の秘密の保護等）の保護の適用を受ける。

主要な匿名化技術、すなわちランダム化や一般化について本意見で説明をする。特に、本意見書では、ノイズ付加(noise addition)や置換(permutation)、差分プライバシー(differential privacy)、集約(aggregation)、k-匿名性(k-anonymity)、l-多様性(l-diversity)、t-近似性(t-closeness)について分析をしている。それぞれの技術の特徴や強みと弱みを説明するとともに、各技術を用いる際によくある誤りや失敗についても説明をする。
本意見書は、以下３つの基準に基づき、各技術の頑健性を検討する。

1. 個人を選別する(single out)ことはまだ可能か
2. 個人に関する記録と紐付けることはまだ可能か
3. そのデータは個人に関して推定することはできるか

それぞれの技術の強みと弱みを理解しておくことは、与えられた文脈においてどのように適切な匿名化処理をデザインするかを検討する際の助けとなる。
　仮名化(pseudonymisation)についても、潜在的な危険や誤解を明らかにするために取り上げている。仮名化は匿名化の手段ではない。これは単純にデータ主体のオリジナルデータのデータセットとの紐付けの可能性を低減するだけのもので、それゆえ便利なセキュリティ手段であるといえる。

意見書は、匿名化技術はプライバシー保証を与えるものであり、有効な匿名化処理を生み出すために使われるものだが、それは工学的に適切に扱われた場合のみであると結論付ける。すなわち、匿名化処理の要件と目的を、価値のあるデータとしながら定められた匿名化がなされるために、明確に定める必要がある。最適解はケースバイケースで判断されることとなるが、本意見書で検討されている実践的な推奨事項を考慮した上で、出来る限り複数の匿名化技術を用いることだ。

最後に、データ管理者はたとえ匿名化されたデータセットであっても、データ主体に関する潜在的リスクは存在するということを考慮する必要がある。実際に、一方で匿名化や再識別化に関する研究は活発に行われており、新しい発見が定期的に公表されているが、その一方で、統計データのような匿名化されたデータを既存の個人プロファイルを改良するために利用し、その結果新しいデータ保護問題を生み出す可能性もある。したがって、匿名化は１回限りの活動として考えるのではなく、データ管理者はそのリスクについて定期的に見直す必要がある。

[本文へ戻る]