anonymization-alternative

保持における削除の代替としての匿名化

概要

匿名化とは、個人データを、自然人を特定できなくなり、または合理的に特定するために使用できなくなる形式に変換することです。GDPR 前文 26 に基づき、真に匿名化されたデータは規則の適用範囲外となるため、法的根拠がなくても、データ主体の権利が適用されなくても、保持期間の義務に算入されなくても、無期限に保持できます。しかし、単なる仮名化とは異なる真の匿名化を実現するには、再識別リスクに対して検証された技法を厳密に適用する必要があります。このスキルでは、集計データや統計データの保持に正当な目的がある場合に、削除の代替として匿名化を用いるための評価フレームワーク、実装技法、検証方法を提供します。

法的根拠

GDPR 前文 26 — GDPR の適用範囲外となる匿名化データ

「したがって、データ保護の原則は、匿名情報、すなわち特定された、または特定可能な自然人に関係しない情報、あるいはデータ主体が特定できない、またはもはや特定できないような方法で匿名化された個人データには適用されるべきではありません。したがって、本規則は、統計目的または研究目的を含む、そのような匿名情報の処理には適用されません。」

重要な判定基準は、管理者または「その他の者」が自然人を特定するために使用することが「合理的に予見されるあらゆる手段」を考慮したうえで、データ主体を特定できるかどうかです。

第 29 条作業部会「匿名化技法に関する意見書 05/2014」（WP216）

2014 年 4 月 10 日に採択されたこの意見書では、効果的な匿名化によって次のリスクを防ぐ必要があると定めています。

1. 単独識別：データセット内で個人を特定するレコードの一部またはすべてを分離できること。
2. 連結可能性：同じデータ主体に関する 2 つ以上のレコードを連結できること（同一のデータセット内、または別々の 2 つのデータセット間）。
3. 推論：他の複数の属性値から、ある属性の値を高い確率で推測できること。

この意見書では、ランダム化技法と一般化技法を、これら 3 つのリスクに照らして評価しています。

ICO 匿名化実務規範（更新されたガイダンス）

ICO は匿名化に関するガイダンスを提供し、「動機を持つ侵入者」テストを重視しています。インターネット、公共図書館、公的記録などのリソースにアクセスできる、合理的な能力を持つ人物が、データセット内の個人を再識別できるかどうかを確認します。

匿名化と仮名化の違い

特性	匿名化	仮名化
GDPR 上の位置付け	GDPR の適用範囲外（前文 26）	個人データであることに変わりはない（第 4 条 5 項）
可逆性	不可逆 — 再識別する手段がない	可逆 — 追加情報によって再識別できる
保持	無期限に保持可能	保持スケジュールに従う
データ主体の権利	適用されない	全面的に適用される
法的根拠	不要	必要
失敗のリスク	匿名化が破られると、データは遡及的に個人データの位置付けに戻る	該当なし — 常に個人データ
技法	ランダム化、一般化、抑制、データマスキング（不可逆）	トークン化、暗号化、キーに基づく置換（可逆）

WP29 の匿名化技法

手法 1：ランダム化

ランダム化では、データの真実性を変えることで、データと個人とのつながりを断ちます。

方法	説明	識別	リンク可能性	推論	適用性
ノイズの追加	数値にランダムなノイズを加えます（例：年齢 ± 3 歳、給与 ± 5%）	部分的に軽減	部分的に軽減	軽減	正確な値が重要ではない統計分析
置換	データセット内の属性値をシャッフルし、値が正しいレコードと結び付かないようにします	部分的に軽減	軽減	部分的に軽減	属性の分布を維持しつつ、結び付きを断つ必要があるデータセット
差分プライバシー	調整済みのノイズをクエリ結果に加え、個々のレコードを含めるか除外するかによって出力が大きく変わらないようにします	軽減	軽減	軽減	集計分析、機械学習の学習データ

手法 2：一般化

一般化では、データの粒度を下げて識別を防ぎます。

方法	説明	識別	リンク可能性	推論	適用性
集約	個々の値を集計統計（平均値、中央値、件数）に置き換えます	軽減	軽減	部分的に軽減	レポート作成、傾向分析
K-匿名性	準識別子の組み合わせがそれぞれ少なくとも k 件のレコードに現れるようにします	軽減（k が十分に大きい場合）	部分的に軽減	軽減しない	研究用のマイクロデータの公開
L-多様性	各同値類（K-匿名性のグループ）内に、機微属性の異なる値が少なくとも l 個存在するようにします	軽減	部分的に軽減	部分的に軽減	機微属性を含むデータセット
T-近接性	各同値類内の機微属性の分布が、全体の分布に近くなるようにします（距離 ≤ t）	軽減	部分的に軽減	軽減	属性の分布が機微なデータセット
上限／下限のコーディング	極端な値をしきい値の値に置き換えます（例：年齢 >90 を「90+」にする）	部分的に軽減	部分的に軽減	部分的に軽減	数値データの外れ値の保護
データマスキング	文字を不可逆的に置き換えます（例：郵便番号「SW1A 1AA」→「SW1A ***」）	軽減（マスキングしたフィールドに対して）	部分的に軽減	部分的に軽減	準識別子の粒度の低減

手法 3：削除

方法	説明	効果
レコードの削除	一意または準一意なレコード全体を削除します	削除したレコードの識別を排除します
属性の削除	識別子または準識別子となる列全体を削除します	削除した属性によるリンク可能性を排除します
セルの削除	再識別のリスクにつながる特定のセル値を null に置き換えます	識別を対象を絞って軽減します

匿名化の評価ワークフロー

ステップ 1：匿名化が適切かどうかを判断する

[Data Approaching Retention Expiry]
         │
         ▼
[Is there a legitimate purpose for retaining the data in anonymized form?]
   │
   ├── Statistical analysis / reporting ──► Proceed
   ├── Research purposes (Art. 89) ──► Proceed
   ├── Training ML models ──► Proceed (with separate legal basis assessment)
   ├── Historical archiving ──► Proceed
   ├── No legitimate purpose ──► DELETE (do not anonymize for no reason)
   │
   ▼
[Can the purpose be achieved with anonymized data?]
   │
   ├── Yes ──► Proceed to anonymization
   └── No ──► Consider pseudonymization with extended retention (separate assessment)

ステップ 2：匿名化手法の選択

データの種類と用途に基づいて選択します。

データの種類	推奨される主な手法	補助的な手法	検証方法
構造化された数値データ（年齢、給与、金額）	一般化（集約）＋ノイズの付加	外れ値のトップ／ボトムコーディング	K-匿名性（k ≥ 5）
構造化されたカテゴリデータ（性別、地域、役職）	一般化（階層ベース）＋まれな値の抑制	並べ替え	L-多様性（l ≥ 3）
フリーテキスト（サポートチケット、メモ）	個人識別子の完全な抑制＋準識別子の一般化	固有表現の除去＋テキストの一般化	サンプルの手動レビュー＋自動 NER 検証
トランザクションデータ（購入履歴、使用ログ）	コホートレベルへの集約＋ノイズの付加	時間的な一般化（日 → 週 → 月）	T-近接性（t ≤ 0.15）＋K-匿名性（k ≥ 10）
位置情報データ	空間的な一般化（正確な座標 → 地域／市区町村）	クローク化（k 人以上を含む最小領域）	K-匿名性（位置情報では k ≥ 20）

ステップ 3：匿名化の実施

Orion Data Vault Corp における標準的な匿名化パイプラインは次のとおりです。

[Source Data — Personal Data Under Retention]
         │
         ▼
[Step 1: Identifier Removal]
   - Remove all direct identifiers: name, email, phone, address, NI number,
     account number, IP address, device ID
   - Remove any unique IDs that could be cross-referenced with other datasets
         │
         ▼
[Step 2: Quasi-Identifier Generalization]
   - Age: Generalize to 10-year bands (18-27, 28-37, 38-47, ...)
   - Postcode: Truncate to outward code only (SW1A 1AA → SW1A)
   - Date of birth: Remove — use age band only
   - Job title: Generalize to job function category
   - Transaction date: Generalize to month-year
         │
         ▼
[Step 3: Apply K-Anonymity]
   - Ensure each combination of quasi-identifiers appears in ≥ k records
   - Target: k ≥ 5 for standard data; k ≥ 10 for sensitive data
   - Suppress records that cannot achieve k threshold
         │
         ▼
[Step 4: Apply L-Diversity (if sensitive attributes present)]
   - Within each equivalence class, ensure ≥ l distinct values for
     each sensitive attribute
   - Target: l ≥ 3
         │
         ▼
[Step 5: Add Noise (for numerical attributes)]
   - Apply calibrated noise (Laplace mechanism for differential privacy)
   - Epsilon (ε) parameter: ε ≤ 1.0 for standard data; ε ≤ 0.1 for sensitive data
         │
         ▼
[Step 6: Validation]
   - Run re-identification risk assessment (see below)
   - If risk > threshold: iterate with stronger parameters
   - If risk ≤ threshold: approve anonymized dataset
         │
         ▼
[Anonymized Dataset — Outside GDPR Scope]
   - Delete source personal data per retention schedule
   - Retain anonymized dataset without retention period constraint
   - Document anonymization process in anonymization register

ステップ 4：匿名化の有効性の検証

再識別リスクの評価

テスト	方法	しきい値	不合格の場合の対応
特異な個人の識別	利用可能なすべての準識別子を使用して、一意のレコードの特定を試みる	個人が特異な存在として識別される確率が 0.05（5％）未満	k-匿名性のパラメーターを引き上げる。一意のレコードを抑制する
リンク可能性	匿名化されたデータセットを、利用可能な外部データセット（例：公的記録、ソーシャルメディア）と照合する	テストサンプル（n ≥ 100）で照合に成功しないこと	追加の準識別子を削除する。一般化を強化する
推論	同値類内の準識別子から機微属性の値を推論することを試みる	80％を超える確信度で推論できる属性がないこと	l-多様性を高める。t-近接性を適用する
意欲的な侵入者テスト（ICO）	公開リソースにアクセスできる意欲的な個人による攻撃をシミュレーションする	侵入者が妥当な労力で個人を特定できないこと	手法のパラメーターを強化する。完全な抑制を検討する

K-匿名性の検証基準

データセットのサイズ	最小 k	理由
< 1,000 レコード	k ≥ 10	小規模なデータセットは、特異な個人の識別に対してより脆弱です
1,000 — 100,000 レコード	k ≥ 5	標準的な保護レベルです
> 100,000 レコード	k ≥ 3（最小）；k ≥ 5（推奨）	大規模なデータセットには固有の保護効果があります
特別カテゴリデータ（サイズを問わない）	k ≥ 10	機微データの再識別によるリスクが高いためです
位置情報データ（サイズを問わない）	k ≥ 20	位置情報データは再識別されやすいためです（Montjoye et al., 2013：時空間上の 4 点で個人の 95％を一意に識別可能）

匿名化登録簿

Orion Data Vault Corp は、すべての匿名化処理の登録簿を管理しています。

ANONYMIZATION REGISTER — Orion Data Vault Corp
(Extract as of 2026-03-14)

┌──────────────┬─────────────────┬────────────┬───────────────┬──────────┬──────────────────┬─────────────┐
│ Anon Ref     │ Source Category  │ Records    │ Technique     │ k-value  │ Re-ID Risk       │ Date        │
├──────────────┼─────────────────┼────────────┼───────────────┼──────────┼──────────────────┼─────────────┤
│ ANON-2025-041│ CAT-005 Web     │ 2.3M       │ Aggregation + │ k=15     │ < 0.01%          │ 2025-12-01  │
│              │ Analytics       │            │ noise addition│          │                  │             │
├──────────────┼─────────────────┼────────────┼───────────────┼──────────┼──────────────────┼─────────────┤
│ ANON-2026-008│ CAT-003 Trans.  │ 450K       │ Generalization│ k=8      │ < 0.02%          │ 2026-02-15  │
│              │ Records         │            │ + l-diversity │ l=4      │                  │             │
├──────────────┼─────────────────┼────────────┼───────────────┼──────────┼──────────────────┼─────────────┤
│ ANON-2026-012│ CAT-009 Support │ 28K        │ Text redaction│ k=5      │ < 0.05%          │ 2026-03-01  │
│              │ Records         │            │ + generalizn. │          │ (manual review   │             │
│              │                 │            │               │          │  validated)      │             │
└──────────────┴─────────────────┴────────────┴───────────────┴──────────┴──────────────────┴─────────────┘

継続的なモニタリング

年次再識別リスクレビュー

匿名化されたデータセットは、次の理由により毎年レビューする必要があります。

1. 新たなデータソース：新たに利用可能になった外部データセットにより、匿名化の実施時には不可能だった照合攻撃が可能になる場合があります。
2. 技術の進歩：計算能力や AI の性能向上により、時間の経過とともに匿名化手法の有効性が低下する可能性があります。
3. 状況の変化：データが表す母集団の変化により、以前は匿名だったレコードが識別可能になる場合があります。

レビューの結果、匿名化の有効性が失われていると判明した場合、組織は次のいずれかを行う必要があります。

• 有効性を回復するために、追加の匿名化手法を適用する。
• データセットを個人データとして扱い、GDPR への完全な準拠（法的根拠、保持期間、データ主体の権利）を適用する。