売上や顧客情報など、社内データの分析にあたって分析者が気をつけないといけない個人情報まわりの情報をメモ。
個人情報保護法
- 対象は個人情報を扱うすべての事業者
- 刑事罰あり（6ヶ月以下の懲役または30万円以下の罰金）
対象範囲が2017年にすべての事業者に変更になっていた。
個人情報の定義
個人情報保護法では、「個人情報」を、（1）生存する個人に関する情報で、（2）特定の個人を識別できるものと定義しています。「氏名・生年月日」などが紐づいた情報や、「顔写真」も個人情報に該当します。デジタルデータに限定されるものではなく、紙媒体の帳簿も該当します。
ここで注意が必要なのは、「氏名・生年月日」だけが「個人情報」なのではなく、たとえば「○○さんが△△を買った」という情報全体が「個人情報」に該当することです。また、「他の情報と容易に照合することで特定の個人を識別することができる情報」も「個人情報」に該当します。
さらに、改正個人情報保護法では、「個人識別符号」が単体で「個人情報」にあたることが明記されました。
https://j-net21.smrj.go.jp/qa/org/Q1275.html
購入商品などの情報も、個人情報に該当する。個人識別符号とは…
ポイントカードの会員番号などは「個人識別符号」とされていませんが、「会員番号」と「氏名」をデータベース等で管理していて個人を特定できれば、「他の情報と容易に照合することで特定の個人を識別することができる情報」として、従来どおり「個人情報」にあたります。
同上
ECのユーザIDなどの番号単体だと個人情報には該当しないが、照合が可能なDBがあるなら個人情報に該当する（ユーザ名と紐付けできないECのユーザIDってな存在しないじゃん）。
というわけでユーザIDをベースにした分析を行う際に、ユーザIDをそのまま使用して分析するのは流出した際に危険。
外部に分析依頼する際などは、「匿名加工情報」に加工した上で提供する。
匿名加工情報の作り方
公的なガイドラインがあった。
ポイントとしては
- 個人が識別できる情報はすべて削除
- 生体情報なども削除（静脈とか、顔写真とか）
- 年齢が120歳など、ユニークになりうる情報も除外する必要がある
- 改変したIDの対応表があるなど、他のデータと参照できるようにするのはダメ
社外に情報を出す際は、どういった形で匿名情報を作成したかをウェブサイトで告知する必要がある。
前処理でマスクするとか社内で売上分析する、程度の場合は告知する必要はない。
社内での分析時
- 他部署など、どう情報が扱われるか分からないところに出す場合は必ず匿名加工情報にしておく
- プレゼン時など、メモされる可能性がある場合も注意
- 当然自分のPCから流出パターンもあるので、基本的には前処理段階で匿名加工情報にしておく
他部署はもちろんだが、同じ部署でも個人情報に対する意識に違いがあるので基本的にガードは高めにしておく。
* 引用が日本語だとレイアウトでめり込み発生してたので、今度調整する
