EUデータ保護規則（GDPR）ー匿名化と仮名化（Anonymisation & Pseudonymisation
EUデータ保護規則（GDPR)は、個規則は、匿名化されたデータには適用されないと記しています。また、仮名化されたデータは、収集時の目的とは別の目的による処理が可能であり、データ保護byデザインの義務に例示されているように技術的・組織的措置の中の１つの手段として位置付けられています。
Contents
匿名化
匿名化とは
匿名化とは、EUデータ保護規則第４条の定義規定には定められていませんが、前文の第２６項で、次のように書かれています。
The principles of data protection should therefore not apply to anonymous information, namely information which does not relate to an identified or identifiable natural person or to personal data rendered anonymous in such a manner that the data subject is not or no longer identifiable. This Regulation does not therefore concern the processing of such anonymous information, including for statistical or research purposes.
「匿名の情報、すなわち特定のもしくは特定可能な自然人に関連しない情報、またはデータ主体が特定されないもしくは特定される可能性のない方法で匿名化された個人データ」には、EUデータ保護規則は適用されないと規定されています。
匿名化の効果
匿名化されたデータは、EUデータ保護規則の適用を受けませんので、管理者は匿名化されたデータを自由に処理することができることになります。
仮名化
仮名化とは
仮名化とは、第４条の定義規定の第５号に次のように定められています。
(5) ‘pseudonymisation’ means the processing of personal data in such a manner that the personal data can no longer be attributed to a specific data subject without the use of additional information, provided that such additional information is kept separately and is subject to technical and organisational measures to ensure that the personal data are not attributed to an identified or identifiable natural person;
「仮名化」とは、追加の情報を用いなければ、個人データを特定のデータ主体に連結することができないような方法による個人データの処理をいう。ただし、当該追加の情報が別個に保管され、個人データが特定のまたは特定可能な自然人に連結しないことを確保する技術的および組織的な措置が講じられることを条件とする。
つまり、仮名化では、個人の氏名や住所などの情報を仮名と置き換えることによって、データから直接個人を特定することができなくすることをいいます。個人を特定するためには、仮名に置き換えられた元の情報（追加の情報）を突き合わせる必要があります。
管理者は、個人を特定するために必要なこの追加の情報を、仮名化されたデータとは別に保管しなければならず、仮名化されたデータで個人が特定されないように、技術的・組織的措置を講じなければなりません。
追加の情報の保持・取得・処理義務
管理者が個人データを保有する目的が、個人の特定を必要としない場合または個人の特定を必要としなくなった場合、管理者は、EUデータ保護規則の遵守のためだけに個人を特定するための追加の情報を保持し、取得し、処理する義務はありません（第１１条第１項）。
このため、仮名化されたデータについては、データ主体が本人を特定する追加の情報を提供しない限り、データ主体の第１５条ないし第２０条の権利の規定は適用されないことになります（第１１条第２項）。
まとめ
簡単にまとめましたが、匿名化と仮名化は、EUデータ保護規則が適用されるどうかの分岐点になりますので、匿名化・仮名化をする場合には、それが徹底されているかどうかをしっかり確認する必要があります。
