匿名も集めれば特定になる？

先日の朝日新聞朝刊にこんな見出しの記事が掲載されていました。
「匿名データで個人特定可能？」

今、ある顧問先さまからの依頼で、プライバシーマーク更新に向けた社内資料の整理をしています。こちらの企業は次回の更新が新しいＪＩＳ規格（ＪＩＳＱ15001：2017）による審査となるため、新しい概念である「匿名加工情報」に関する取り扱い規定を整備する必要があります。今月末には、新たに作成した「匿名加工情報取扱規則」を用いて社内勉強会を実施するため、最終チェックの真っ只中です。

さて冒頭の新聞記事ですが、アメリカとベルギーの研究チームが複数の匿名データを組み合わせることによって、対象データ７００万人のうち９９.９８％について個人特定ができたというもの。要するに、いくら匿名データとしても、複数の匿名データの匿名化されていない情報を組み合わせることによって特定の個人を絞り込めるということ。これだけ多くの情報が世の中にあふれている時代、その気になればどんなデータでも個人を特定できるということでしょうか。

日本の個人情報保護法では、ある個人情報を識別することができない匿名加工情報とするには、その方法について法律で規定されています。また、識別行為の禁止として
①自らが作成した匿名加工情報を、本人を識別するために他の情報と照合すること
②受領した匿名加工情報の加工方法等情報を取得すること。また、受領した匿名加工情報を、本人を識別するために他の情報と照合すること
が規定されているため、今回の研究チームが行った行為自体ができないことになっています。

ビッグデータという言葉を聞くようになって久しいですが、自分の知らないところで、自分のデータが使われているのは今や当たり前のこと。何か行動をするとそれが記録されていく、よくよく考えるとちょっと居心地が悪い気がします。