JP6597066B2 - 個人情報匿名化方法、プログラム、及び情報処理装置 - Google Patents

Description

本発明は、個人情報匿名化方法、プログラム、及び情報処理装置に関する。

近年、クラウドコンピューティングの普及や業務、スマートフォンなどの通信デバイスの多様化により、従来、オンプレミス（自社運用による）で蓄積してきた情報が、企業又は組織の外部にも蓄積され活用されるようになっている。

これらの情報の中には、顧客の情報や個人情報も含まれている。一方、業務ビジネスやクラウド上で、情報の利活用を目的とした業務では、「個人情報の保護に関する法律（通称：個人情報保護法）」をはじめとする法律やガイドラインにより、特定の個人が識別されることがないよう適切に情報を加工することが義務付けられている。

また、我が国の「個人情報の保護に関する法律及び行政手続における特定の個人を識別するための番号利用等に関する法律の一部を改正する法律」（2015年第189回国会審議中）では、ＩＣＴ（Information and Communication Technology）による情報のさらなる利活用を目的として、個人が特定し難い状態に情報を加工すれば、即ち、匿名化すれば、本人の同意なしに第三者に提供できるという内容で審議が行われている。

データを匿名化して利用する観点において、複数のデータ提供事業者からの様々なｋ−匿名化データを受け、当該データを受入可能であるかを評価する技術等が知られている。

特開２０１４−７１６１８号公報 特開２０１４−８６０３７号公報

しかしながら、匿名化されたデータが絶対に個人を特定できないことを保証できるものではないという見解が出されており、現状では、匿名化後のデータを有識者が目視で確認したり、組織内に設けられた第三者委員会により匿名化後の情報を検証して承認するプロセスなどが行われている。

即ち、匿名化後のデータを評価する最終段では、有識者が行っており、客観的な評価が難しい上、ビッグデータ等の膨大なデータ量が利活用の対象となる場合には、想定した通りの匿名化が実施されたか否かを確認するのは、専門的知識と時間とを要する。

有識者による匿名化評価の最終段階において、どの程度にまで匿名化できたのか、匿名化されていないデータに係る情報を容易に把握することができないと言った問題がある。

したがって、１つの側面では、本発明は、匿名化後のデータの評価を容易にすることを目的とする。

一態様によれば、複数のデータに含まれる個人情報を、該個人情報に対する共通化の条件に基づいて匿名化処理を施して、該複数のデータ内の共通部に基づいて複数のグループのいずれかに分類し、前記複数のグループに対してグループ単位でデータの総数を算出し、前記データの総数に応じて前記複数のグループを分類し、分類結果を出力する、処理をコンピュータが行うことを特徴とする個人情報匿名化方法が提供される。

また、上記課題を解決するための手段として、コンピュータに上記処理を実行させるためのプログラム、及び、上記方法を行う情報処理装置とすることもできる。

匿名化後のデータの評価を容易にできる。

本実施例における匿名化システムのネットワーク構成図である。 サーバのハードウェア構成を示す図である。 クライアントのハードウェア構成を示す図である。 匿名化システムにおける全体処理の概要を説明するためのフローチャート図である。 クライアント及びサーバの機能構成例を示す図である。 匿名化処理を説明するための図である。 評価元情報生成処理を説明するための図である。 クライアントで表示される評価結果画面例を示す図である。 第２グラフ化処理を説明するための図である。 棒グラフの例を示す図である。 曖昧化処理を説明するための図である。 曖昧化処理による統計情報の更新例を示す図である。

以下、本発明の実施の形態を図面に基づいて説明する。本実施例における、個人情報の匿名化及び評価を行う匿名化システムについて説明する。図１は、本実施例における匿名化システムのネットワーク構成図である。図１に示す匿名化システム１０００は、サーバ１００と、複数のクライアント３とがネットワーク２を介して接続されている。なお、個人情報は、特定の個人に係る情報であるが、以下の実施形態にかかる匿名化処理は、個人を特定できないようにする処理と、個人を識別できないようにする処理、の少なくとも何れかを含むものとする。

サーバ１００は、クライアント３から提供されるデータ（例えば、個人情報）を匿名化するとともに、匿名化の程度をクライアント３へ提示する匿名化処理を行う匿名化部４０を有する。

クライアント３は、サーバ１００が提供する個人情報を匿名化するサービスを利用して、匿名化前ファイル１ａをサーバ１００に匿名化させて匿名化後ファイル１ｂを得る。匿名化前ファイル１ａは、個人名以外の利活用の対象となる項目を含んでいる。匿名化前ファイル１ａの実体は、クライアント３の内部に保持される構成として説明するが、クライアント３の外部で管理されていてもよい。

匿名化システム１０００において、個人情報を匿名化する際の、クライアント３及びサーバ１００のやり取りの概要を説明する。クライアント３は、ネットワーク２を介してサーバ１００に接続し、以降、ネットワーク２を介してサーバ１００に所望の匿名化の程度（ｋ値）に応じた匿名化処理を行わせる。以下、手順を説明する。

＜手順１＞
クライアント３は、ユーザによって指定された、匿名化前ファイル１ａに対する匿名化条件（ｋ値を含む）を示す匿名化条件設定要求８ａをサーバ１００に送信する。サーバ１００は、クライアント３の匿名化条件設定要求８ａに応じて、匿名化条件を設定する。

＜手順２＞
ユーザの匿名化前ファイル１ａを指定した匿名化を実行する操作に応じて、クライアント３は、サーバ１００に匿名化実行要求８ｂを行う。サーバ１００は、匿名化実行要求８ｂに応じて、クライアント３から指定された匿名化前ファイル１ａに対して、設定した匿名化条件で指定されるｋ値で匿名化処理を実行する。

＜手順３＞
クライアント３は、サーバ１００へ匿名化評価要求８ｃを送信する。匿名化評価要求８ｃに応じて、サーバ１００は、匿名化処理を実行した結果、即ち、匿名化後ファイル１ｂを用いて、匿名化の状態を評価する。本実施例では、サーバ１００は、匿名化後ファイル１ｂに対する評価情報１ｃを提供する。

評価情報１ｃによって、以下の１つ以上がクライアント３に表示され、ユーザに提示される。
・ｋ値毎の割合を示す円グラフ
・匿名化項目値の組み合せ毎の割合を示す棒グラフ
＜手順４＞
クライアント３は、評価情報１ｃの表示後、ユーザによる匿名化後ファイル１ｂを曖昧化する操作に応じて、匿名化結果の曖昧化要求８ｄをサーバ１００に行う。曖昧化要求８ｄには、ユーザが指定した期待ｋ値１ｄが含まれる。

サーバ１００は、曖昧化要求８ｄで指定される期待ｋ値１ｄに従って、匿名化後ファイル１ｂを曖昧化する。匿名化後ファイル１ｂを曖昧化する曖昧化処理は、見かけ上、曖昧化要求８ｄで指定される期待ｋ値１ｄを満たすように、匿名化処理の結果として得られた匿名化後ファイル１ｂの個人情報を複製又は削除する処理である。

＜手順５＞
クライアント３は、評価情報１ｃの表示後、ユーザによる匿名化処理を見直す操作に応じて、条件見直し要求８ｅがサーバ１００へ送信する。条件見直し要求８ｅを受信すると、サーバ１００は、評価情報１ｃに基づいて推奨ｋ値１ｅを求め、クライアント３へ送信する。

＜手順６：手順１への戻り＞
クライアント３は、推奨ｋ値１ｅを受信すると、サーバ１００に推奨ｋ値１ｅを指定した匿名化条件設定要求８ａを送信することで、上述した手順１から手順５を繰り返す。

このように、本実施例では、サーバ１００は、匿名化後ファイル１ｂがどの程度匿名化を実現しているかを示す評価情報１ｃを提供する。評価情報１ｃに基づいて、匿名化後ファイル１ｂの曖昧化、及び／又は、匿名化処理の見直しを行うことができる。

ｋ値とは、匿名化後ファイル１ｂにおいて、ｋ個の個人情報（ｋ個のレコード）の夫々によってｋ人の個人を特定できない場合の値である。匿名化項目の組み合せ毎の各グループ内において、特定できない個人の人数（個人を特定できないレコードの数）に相当する。一方で、グループ内で個人情報（レコード）がｋ個未満の場合、個人の特定が許容される。匿名化項目とは、匿名化前ファイル１ａに対して、値を匿名化する項目である。

ｋ＝２の匿名化は、２以上の個人情報から２人以上の各個人を特定できない匿名化をいう。２人以上の全ての個人情報に共通する情報のみが残され、共通しない情報は削除される。この場合、匿名化後ファイル１ｂには、１個人のみが属するグループが存在する場合がある。

ｋ＝３の匿名化は、３以上の個人情報から３人以上の各個人を特定できない匿名化をいう。３人以上の全ての個人情報に共通する情報のみが残され、共通しない情報は削除される。この場合、匿名化後ファイル１ｂには、２個人が属し、２個人間では各々を特定できないグループ，１個人のみが属するグループの１つ以上が存在する場合がある。ｋ値は、複数の個人情報間の共通度を指定していると言える。

本実施例では、個人情報を匿名化した匿名化後ファイル１ｂで、複数の個人情報の共通部でグループ化し、匿名化後ファイル１ｂのレコード総数に対する各グループのレコード数の割合を求めて、ｋ値毎の割合及び／又は共通部毎の割合でグラフ表示することで、匿名化評価を容易とする。

匿名化処理を行うサーバ１００は、図２に示すようなハードウェア構成を有する。図２は、サーバのハードウェア構成を示す図である。図２において、サーバ１００は、コンピュータによって制御される情報処理装置であって、ＣＰＵ（Central Processing Unit）１１ａと、主記憶装置１２ａと、補助記憶装置１３ａと、入力装置１４ａと、表示装置１５ａと、通信Ｉ／Ｆ（インターフェース）１７ａと、ドライブ装置１８ａとを有し、バスＢ１に接続される。

ＣＰＵ１１ａは、主記憶装置１２ａに格納されたプログラムに従ってサーバ１００を制御するプロセッサに相当する。主記憶装置１２ａには、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ１１ａにて実行されるプログラム、ＣＰＵ１１ａでの処理に必要なデータ、ＣＰＵ１１ａでの処理にて得られたデータ等を記憶又は一時保存する。

補助記憶装置１３ａには、ＨＤＤ（Hard Disk Drive）等が用いられ、各種処理を実行するためのプログラム等のデータを格納する。補助記憶装置１３ａに格納されているプログラムの一部が主記憶装置１２ａにロードされ、ＣＰＵ１１に実行されることによって、各種処理が実現される。主記憶装置１２ａ及び／又は補助記憶装置１３ａが記憶部１３０ａに相当する。

入力装置１４ａは、マウス、キーボード等を有し、サーバ管理者がサーバ１００による処理に必要な各種情報を入力するために用いられる。表示装置１５ａは、ＣＰＵ１１の制御のもとに必要な各種情報を表示する。入力装置１４ａと表示装置１５ａとは、一体化したタッチパネル等によるユーザインタフェースであってもよい。通信Ｉ／Ｆ１７ａは、有線又は無線などのネットワークを通じて通信を行う。通信Ｉ／Ｆ１７ａによる通信は無線又は有線に限定されるものではない。

サーバ１００によって行われる処理を実現するプログラムは、例えば、ＣＤ−ＲＯＭ（Compact Disc Read-Only Memory）等の記憶媒体１９ａによってサーバ１００に提供される。

ドライブ装置１８ａは、ドライブ装置１８ａにセットされた記憶媒体１９ａ（例えば、ＣＤ−ＲＯＭ等）とサーバ１００とのインターフェースを行う。

また、記憶媒体１９ａに、後述される本実施の形態に係る種々の処理を実現するプログラムを格納し、この記憶媒体１９ａに格納されたプログラムは、ドライブ装置１８ａを介してサーバ１００にインストールされる。インストールされたプログラムは、サーバ１００により実行可能となる。

尚、プログラムを格納する記憶媒体１９ａはＣＤ−ＲＯＭに限定されず、コンピュータが読み取り可能な、構造（structure）を有する１つ以上の非一時的（non-transitory）な、有形（tangible）な媒体であればよい。コンピュータ読取可能な記憶媒体として、ＣＤ−ＲＯＭの他に、ＤＶＤディスク、ＵＳＢメモリ等の可搬型記録媒体、フラッシュメモリ等の半導体メモリであっても良い。

図３は、クライアントのハードウェア構成を示す図である。図３において、クライアント３は、コンピュータによって制御されるタブレット型、携帯電話等の情報処理端末であって、ＣＰＵ（Central Processing Unit）１１ｂと、主記憶装置１２ｂと、ユーザＩ／Ｆ（インターフェース）１６ｂと、通信Ｉ／Ｆ１７ｂと、ドライブ装置１８ｂとを有し、バスＢ２に接続される。

ＣＰＵ１１ｂは、主記憶装置１２ｂに格納されたプログラムに従ってクライアント３を制御するプロセッサに相当する。主記憶装置１２ｂには、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等が用いられ、ＣＰＵ１１ｂにて実行されるプログラム、ＣＰＵ１１ｂでの処理に必要なデータ、ＣＰＵ１１ｂでの処理にて得られたデータ等を記憶又は一時保存する。主記憶装置１２ｂに格納されているプログラムが、ＣＰＵ１１ｂに実行されることによって、各種処理が実現される。

ユーザＩ／Ｆ１６ｂは、ＣＰＵ１１ｂの制御のもとに必要な各種情報を表示し、また、ユーザによる操作入力を可能とするタッチパネル等である。通信Ｉ／Ｆ１７ｂによる通信は無線又は有線に限定されるものではない。

クライアント３によって行われる処理を実現するプログラムは、ネットワーク２を介して外部装置からダウンロードされる。或いは、予めクライアント３の主記憶装置１２ｂ又は記憶媒体１９ｂに記憶されていても良い。主記憶装置１２ｂ及び／又は記憶媒体１９ｂが記憶部１３０ｂに相当する。

ドライブ装置１８ｂは、ドライブ装置１８ｂにセットされた記憶媒体１９ｂ（例えば、ＳＤ（Secure Digital）メモリカード等）とクライアント３とのインターフェースを行う。尚、記憶媒体１９ｂは、コンピュータが読み取り可能な、構造（structure）を有する１つ以上の非一時的（non-transitory）な、有形（tangible）な媒体であればよい。

クライアント３は、デスクトップ型、ノートブック型、ラップトップ型等の情報処理端末であっても良く、そのハードウェア構成は、図２のハードウェア構成と同様であるので、その説明を省略する。
図４は、匿名化システムにおける全体処理の概要を説明するためのフローチャート図である。図４において、匿名化システム１０００では、クライアント３は、ユーザから匿名化条件の設置を受け付けると、サーバ１００へ匿名化条件設定要求８ａを行う（ステップＳ６１）。サーバ１００は、匿名化条件設定要求８ａで指定される匿名化条件を記憶部１３０ａに記憶する。

その後、クライアント３は、ユーザの匿名化処理を実行する操作に応じて、匿名化実行要求８ｂをサーバ１００へ送信する（ステップＳ６２）。サーバ１００は、匿名化実行要求８ｂで指定される匿名化前ファイル１ａに対して匿名化処理を実行する。

そして、サーバ１００は、匿名化後ファイル１ｂのｋ値（ｋ＝１、２、３・・・）毎にレコード数を集計して評価情報１ｃの生成を行う（ステップＳ６３）。生成した評価情報１ｃは、円グラフ又は棒グラフにより、クライアント３のユーザＩ／Ｆ１６ｂに表示される。

クライアント３にて、評価情報１ｃの表示後、ユーザの操作が行われると、自動曖昧化を選択したか否かが判断される（ステップＳ６４）。自動曖昧化が選択された場合（ステップＳ６４のＹＥＳ）、クライアント３は、サーバ１００へ曖昧化要求８ｄを行い、サーバ１００は、ユーザの期待ｋ値１ｄに従って匿名化後ファイル１ｂに対して匿名化を改善する処理を行う（ステップＳ６５）。

一方、自動曖昧化が選択されなかった場合（ステップＳ６４のＮＯ）、クライアント３は、条件の見直しが選択されたか否かを判断する（ステップＳ６６）。条件の見直しが選択された場合（ステップＳ６６のＹＥＳ）、クライアント３は、サーバ１００へ条件見直し要求８ｅを行い、サーバ１００は、推奨ｋ値１ｅをクライアント３へ送信する。その後、クライアント３では、推奨ｋ値を匿名化条件とした匿名化処理を行うため、ステップＳ６１から上述した同様の処理が繰り返される。

一方、条件の見直しが選択されなかった場合（ステップＳ６６のＮＯ）、匿名化システム１０００による全体処理が終了する。即ち、クライアント３は、サーバ１００から匿名化後ファイル１ｂを引き取り、クライアント３のユーザの管理の元、匿名化された個人情報が利活用される。

次に、匿名化システム１０００における、クライアント３及びサーバ１００の機能構成例について説明する。図５は、クライアント及びサーバの機能構成例を示す図である。

先ず、サーバ１００の機能構成例について説明する。図５において、サーバ１００は、クライアント３からの要求に応じて、クライアント３が指定する匿名化ファイル１ａに対して個人情報の匿名化を行う匿名化部４０を有する。

匿名化部４０は、更に、条件設定部４１と、匿名化部４２と、評価元情報生成部４３ａと、第１グラフ化部４３ｂと、第２グラフ化部４３ｃと、曖昧化部４４と、条件見直し部４５とを有する。条件設定部４１と、匿名化部４２と、評価元情報生成部４３ａと、第１グラフ化部４３ｂと、第２グラフ化部４３ｃと、曖昧化部４４と、条件見直し部４５とは、サーバ１００にインストールされたプログラムが、サーバ１００のＣＰＵ１１ａに実行させる処理により実現される。

サーバ１００において、記憶部１３０ａには、匿名化条件設定情報５１、匿名化後ファイル１ｂ、評価元情報５３ａ、第１評価後情報５３ｂ、第２評価後情報５３ｃ、統計情報５９等が記憶される。

条件設定部４１は、クライアント３から送信された匿名化条件設定要求８ａを通信Ｉ／Ｆ１７ａを介して受信し、匿名化条件設定要求８ａで指定される匿名化条件を示す匿名化条件設定情報５１を記憶部１３０ａに設定する条件設定処理を行う。匿名化条件には、ｋ値、１以上の匿名化項目の組み合せ等が含まれる。条件設定部４１は、匿名化条件設定情報５１を記憶後、通信Ｉ／Ｆ１７ａを介して、クライアント３に設定完了通知を行う。

匿名化部４２は、クライアント３から送信された匿名化実行要求８ｂを通信Ｉ／Ｆ１７ａを介して受信し、匿名化実行要求８ｂで指定された匿名化ファイル１ａに対して、記憶部１３０ａに記憶されている匿名化条件設定情報５１に従って、匿名化処理を実行し、実行後には、通信Ｉ／Ｆ１７ａを介して、クライアント３に実行完了通知を送信する匿名化処理を行う。

匿名化処理は、例えば、予め設定された匿名化条件に従って、ｋ人以下には個人情報から個人を特定できないように匿名化前ファイル１ａの各個人情報を曖昧化するｋ−匿名化処理である。

評価元情報生成部４３ａは、クライアント３から送信された匿名化評価要求８ｃを通信Ｉ／Ｆ１７ａを介して受信し、匿名化後ファイル１ｂを匿名化項目の値の組み合せ毎にグループ化して評価元情報５３ａを生成し、記憶部１３０ａに記憶する評価元情報生成処理を行う。

評価元情報生成部４３ａは、匿名化項目の値の組み合せ毎に個人情報をグループ化して、評価元情報５３ａを生成する評価元情報生成処理を行う。評価元情報生成部４３ａは、各グループの個人情報の数（即ち、レコード数）からｋ値を取得し、また、グループ毎に匿名化後ファイル１ｂの個人情報の総数（即ち、レコード総数）に対する割合を算出して統計情報５９を取得する。統計情報５９によって、グループ毎に、判定されたｋ値、割合等が示される。

第１グラフ化部４３ｂは、記憶部１３０ａに記憶されている統計情報５９ａを用いて、ｋ値毎の割合を示す第１評価後情報５３ｂを作成し記憶部１３０ａに記憶する第１グラフ化処理を行う。第１グラフ化部４３ｂは、第１評価後情報５３ｂに基づいて円グラフ３３ｂを作成し、作成した円グラフ３３ｂを示す評価情報１ｃが、通信Ｉ／Ｆ１７ａを介して、クライアント３に送信される。

評価情報１ｃは、第１評価後情報５３ｂを含むようにしても良い。クライアント３側にて、第１評価後情報５３ｂに基づいて円グラフ３３ｂを描画し、ユーザＩ／Ｆ１６ｂに表示するようにしてもよい。

第２グラフ化部４３ｃは、記憶部１３０ａに記憶されている統計情報５９ａを用いて、ｋ値毎の割合を示す第２評価後情報５３ｃを作成し記憶部１３０ａに記憶する第２グラフ化処理を行う。第２グラフ化部４３ｃは、第２評価後情報５３ｃに基づいて棒グラフ３３ｃを作成し、作成した棒グラフ３３ｃを示す評価情報１ｃが、通信Ｉ／Ｆ１７ａを介して、クライアント３に送信される。

評価情報１ｃは、第２評価後情報５３ｃを含むようにしても良い。クライアント３側にて、第２評価後情報５３ｃに基づいて棒グラフ３３ｃを描画し、ユーザＩ／Ｆ１６ｂに表示するようにしてもよい。

円グラフ３３ｂを評価元情報５３とするか、棒グラフ３３ｃを評価元情報５３とするか、又は、円グラフ３３ｂ及び棒グラフ３３ｃを評価元情報５３とするかは、クライアント３のユーザによって選択可能とすればよく、匿名化評価要求８ｃで指定されればよい。

曖昧化部４４は、クライアント３から送信された曖昧化要求８ｄを通信Ｉ／Ｆ１７ａを介して受信し、匿名化後ファイル１ｂから曖昧化要求８ｄで指定される期待ｋ値１ｄ未満のグループに属するレコードを特定し、ｋ件以上になるよう個人情報を曖昧化する曖昧化処理を行う。曖昧化処理によって、見かけ上、匿名化後ファイル１ｂには、期待ｋ値１ｄ未満の個人情報は存在しなくなる。

曖昧化部４４は、曖昧化処理後に、再度、グループ毎のｋ値と割合とを算出して統計情報５９を更新し、通信Ｉ／Ｆ１７ａを介して、クライアント３に曖昧化完了通知を行う。更新された統計情報５９をクライアント３に送信してもよい。又は、クライアント３において、評価情報１ｃの更新要求をサーバ１００に行うようにしてもよい。この場合、円グラフ３３ｂ及び／又は棒グラフ３３ｃがサーバ１００からクライアント３に提供され、クライアント３のユーザＩ／Ｆ１６ｂに更新された円グラフ３３ｂ及び／又は棒グラフ３３ｃが表示される。

条件見直し部４５は、クライアント３から送信された条件見直し要求８ｅを通信Ｉ／Ｆ１７ａを介して受信し、匿名化後ファイル１ｂに対して、記憶部１３０ａに記憶されている第２評価後情報５３ｃに基づいて、割合が最も高いｋ値を推奨ｋ値として取得し、通信Ｉ／Ｆ１７ａを介して、クライアント３に推奨ｋ値を送信する条件見直し処理を行う。

次に、クライアント３の機能構成例について説明する。図５において、クライアント３は、匿名化条件設定部３１と、匿名化実行部３２と、評価情報生成部３３と、匿名化改善部３４と、ｋ値取得部３５とを有する。匿名化条件設定部３１と、匿名化実行部３２と、評価情報生成部３３と、匿名化改善部３４と、ｋ値取得部３５とは、クライアント３にインストールされたプログラムが、クライアント３のＣＰＵ１１ｂに実行させる処理により実現される。又は、これら処理部は、サーバ１００から提供され、サーバ１００によって制御される、Ｗｅｂブラウザ上で動作するスクリプトコードにより実現されてもよい。

クライアント３において、記憶部１３０ｂには、匿名化前ファイル１ａ、評価情報１ｃ、期待ｋ値１ｄ、推奨ｋ値１ｅ等が、少なくとも一時的に保持される。

匿名化条件設定部３１は、ユーザから、匿名化の程度を表すｋ値、匿名化する１以上の項目（匿名化項目）等を取得し、サーバ１００へ匿名化条件設定要求８ａを通信Ｉ／Ｆ１７ｂを介して送信し、サーバ１００に匿名化条件を設定させる匿名化条件設定処理を行う。

匿名化条件設定部３１は、ｋ値、匿名化項目等を設定するための設定画面をユーザＩ／Ｆ１６ｂに表示して、ユーザからこれらの値を取得すればよい。匿名化条件設定部３１は、サーバ１００から送信された設定完了通知を通信Ｉ／Ｆ１７ｂを介して受信すると、匿名化条件設定処理を終了する。

匿名化実行部３２は、ユーザが設定した匿名化条件で匿名化を実行する操作に応じて、サーバ１００へ匿名化実行要求８ｂを通信Ｉ／Ｆ１７ｂを介して送信し、サーバ１００に個人情報を匿名化させる匿名化実行処理を行う。

匿名化実行部３２は、匿名化するファイルを指定する領域、匿名化を実行するボタン等を有する匿名化実行画面をユーザＩ／Ｆ１６ｂに表示して、ユーザからファイルの格納場所を取得すればよい。匿名化実行要求８ｂは、匿名化前ファイル１ａの実体を含んでも良いし、格納場所を指定してもよい。匿名化実行部３２は、サーバ１００から送信された実行完了通知を通信Ｉ／Ｆ１７ｂを介して受信すると、匿名化実行処理を終了する。

評価情報生成部３３は、ユーザの評価情報の生成に係る操作、又は、匿名化実行処理の終了に応じて、サーバ１００へ匿名化評価要求８ｃを通信Ｉ／Ｆ１７ｂを介して送信し、サーバ１００に匿名化後ファイル１ｂの匿名化の評価を行わせ、サーバ１００から評価情報１ｃを受信してユーザＩ／Ｆ１６ｂに表示する評価情報生成処理を行う。

評価情報生成部３３は、サーバ１００から受信した評価情報１ｃに基づいて、円グラフ３３ｂ及び／又は棒グラフ３３ｃをユーザＩ／Ｆ１６ｂに表示して評価情報生成処理を終了する。円グラフ３３ｂ及び／又は棒グラフ３３ｃをユーザＩ／Ｆ１６ｂに表示する画面に、匿名化を改善するための「自動曖昧化」ボタン、匿名化する条件を見直すための「条件の見直し」ボタン等が表示されることが望ましい。

匿名化改善部３４は、ユーザによる「自動曖昧化」を指示する操作に応じて、サーバ１００へ曖昧化要求８ｄを通信Ｉ／Ｆ１７ｂを介して送信し、サーバ１００に曖昧化要求８ｄで指定される期待ｋ値１ｄに従って匿名化後ファイル１ｂの個人情報に対して曖昧化を行わせる匿名化改善処理を行う。匿名化改善部３４は、サーバ１００から送信された曖昧化完了通知を通信Ｉ／Ｆ１７ｂを介して受信すると、匿名化改善処理を終了する。

ｋ値取得部３５は、ユーザによる「条件の見直し」を指示する操作に応じて、サーバ１００へ条件見直し要求８ｅを通信Ｉ／Ｆ１７ｂを介して送信し、サーバ１００に匿名化前ファイル１ａに対する匿名化条件の見直しを行わせ、サーバ１００から推奨ｋ値１ｅを受信するｋ値取得処理を行う。

次に、本実施例におけるサーバ１００の匿名化部４０による個人情報匿名化処理をデータ例を用て説明する。先ず、サーバ１００の個人情報匿名化処理部４４における、匿名化処理について説明する。

図６は、匿名化処理を説明するための図である。図６では、個人の傷病履歴に係る個人情報を含むファイルを匿名化前ファイル１ａの一例として示し、ｋ−匿名化処理以外の匿名化処理の場合と、ｋ−匿名化処理の場合との違いを説明する。ｋ−匿名化処理以外の匿名化処理の一例として、マスキング匿名化処理で説明する。

匿名化前ファイル１ａは、氏名、住所、性別、年齢、診断結果等の項目を含む。匿名化する際には、匿名化前ファイル１ａから氏名の項目は削除され、氏名以外の住所、性別、年齢、診断結果等の項目から匿名化項目が設定される。

この例では、住所、性別、及び年齢を匿名化項目とする。即ち、図６に示す匿名化前ファイル１ａにおいて、住所「東京都大田区平和島２」、性別「男」、及び年齢「７５」の値の組み合せは、１レコードしか存在していないため、氏名がなくても個人「○○ ○○」を特定できる可能性が高い。

マスキング匿名化処理では、１つ以上の項目について、項目値の丸めて精度を粗くする、項目値を削除又は所定値への置き換えによりマスキングする等により、個人情報が匿名化される。

マスキング後ファイル１ｍでは、匿名化前ファイル１ａに対してマスキング匿名化を行った場合のデータ例を示している。

この例では、住所に関して、地域を都道府県に丸めている。住所の精度が低下することで、個人特定が困難になるが、地域性の傾向分析で利用する場合には、精度が低下する。また、年齢に関して、マスキングすることで個人特定が困難になるが、年齢での分析が行えない。マスキング後ファイル１ｍでは、利活用の観点において有効なデータを提供できない。

ｋ−匿名化処理の概要について説明する。ここでは、ｋ＝２の場合で説明する。即ち、匿名化後ファイル１ｂにおいて、匿名化前ファイル１ａを匿名化項目が同じ値のレコードが２件以上存在することを許容して匿名化したことを意味する。

匿名化後ファイル１ｂでは、住所及び年齢の値を曖昧化した結果を示している。匿名化後ファイル１ｂにおいて、住所、性別、及び年齢を組み合せても、２レコード以下に絞り込めない状態まで、項目値の精度を粗くしているが、全レコードに対して一律に精度を粗くしていない。

例えば、住所「東京都大田区」のレコードは２件存在し、住所「東京都」のレコードは２件存在する。従って、一部のレコードに対しては、都道府県より詳細に特定した地域の個人情報を取得できるため、地域性分析が可能である。

年齢についても、「６０〜７０代」、「１０〜２０代」の夫々についてレコードが少なくとも２件存在する。かつ、「６０〜７０代」、「１０〜２０代」の夫々の年代での分析が可能である。

図７は、評価元情報生成処理を説明するための図である。図７において、サーバ１００の評価元情報生成部４３ａは、匿名化後ファイル１ｂの住所、性別、及び年齢の３つの項目の値の組み合せ毎にグループＩＤを付与して評価元情報５３ａを生成する。評価元情報５３ａは、匿名化後ファイル１ｂの既存の項目にグループＩＤの項目が追加されたファイルに相当する。即ち、評価元情報５３ａは、住所、性別、年齢、診断結果、グループＩＤ等の項目を有する。

この例では、住所「東京都大田区」、性別「男」、及び年齢「６０〜７０代」を示すレコードがグループＧ００１に分類され、住所「東京都」、性別「女」、及び年齢「１０〜２０代」を示すレコードがグループＧ００２に分類され、住所「神奈川県川崎市中原区」、性別「男」、及び年齢「６０〜７０代」を示すレコードがグループＧ００３に分類される。

グループＧ００１では２件のレコードが分類され、グループＧ００２では３件のレコードが分類され、グループＧ００３では１件のレコードが分類される。

評価元情報生成部４３ａは、評価元情報５３ａを参照して、グループＩＤ毎に、グループＩＤが同一のレコードの件数をカウントすることで、ｋ値を得る。よって、ｋ値は、匿名化項目、この例では、住所、性別、及び年齢、の値の組み合せが一致するレコードの件数を示す。

評価元情報生成部４３ａは、グループＩＤ毎に、評価元情報５３ａのレコード総数に対する割合を算出して、統計情報５９を生成する。統計情報５９は、グループＩＤ、ｋ値、割合等の項目を有する。

この例では、統計情報５９によって、グループＩＤ［Ｇ００１］はｋ値「２」及び割合「３３％」であり、グループＩＤ「Ｇ００２」はｋ値「３」及び割合「５０％」であり、グループＩＤ「Ｇ００３」はｋ値「１」及び割合「１７％」であったことを示している。グループ毎に、異なるｋ値を示しているが、同じｋ値で２以上のグループが存在してもよい。

図８は、クライアントで表示される評価結果画面例を示す図である。図８では、サーバ１００の匿名化部４０の第１グラフ化部４３ｂが、統計情報５９に基づいて生成された円グラフ３３ｂの、クライアント３のユーザＩ／Ｆ１６ｂでの表示例を示している。

クライアント３では、評価情報生成部３３によって、サーバ１００から受信した評価情報１ｃに基づいて、ユーザＩ／Ｆ１６ｂに評価結果画面Ｇ９１が表示される。評価結果画面Ｇ９１は、第１表示領域９１ａと、第２表示領域９１ｂとを有する。

第１表示領域９１ａは、匿名化処理に係る種々の情報を表示する領域である。第２表示領域９１ｂは、匿名化後ファイル１ｂの匿名化状態を評価した評価結果を表示する領域である。

第１表示領域９１ａでは、クライアント３がサーバ１００に要求した匿名化に関する基本情報が表示される。例えば、要求を識別する要求ＩＤ、依頼日、処理完了日時、処理前コード数、処理後コード数、匿名化後ファイル、ｋ値、匿名化項目等の情報が表示される。匿名化後ファイルの項目では、サーバ１００の記憶部１３０ａに記憶された、匿名化前ファイル１ａを匿名化することで得た匿名化後ファイル１ｂを、ユーザがクライアント３からダウンロード可能なように表示される。また、匿名化した際の匿名化条件が、ｋ値、匿名化項目で示される。

第２表示領域９１ｂでは、匿名化後ファイル１ｂの匿名化状態の評価結果を表示する。例えば、匿名化後ファイル１ｂの全体グループ数（匿名化項目値の組み合せ数）９１ｃ、円グラフ３３ｂ（又は棒グラフ３３ｃ）、グラフ切替ボタン９１ｅ、自動曖昧化ボタン９１ｆ、条件の見直しボタン９１ｇ等が表示される。

円グラフ３３ｂの一例として、設定した匿名化条件より大きいｋ値のレコード数の割合、匿名化条件のｋ値のレコード数の割合、匿名化条件より小さいｋ値のレコード数の割合を示している。例えば、匿名化条件「ｋ＝３」で匿名化した場合、ｋ＞３の割合、ｋ＝３の割合、及びｋ＜３の割合が示される。匿名化条件を満たすのは、ｋ＝３及びｋ＞３のレコードである。

このように表示された円グラフ３３ｂ上で、ユーザがｋ＜３の割合の領域を選択すると、対象のレコードを示す画面Ｇ９２が表示される。画面Ｇ９２の例として、ここでは、ｋ＜３のレコードはｋ＝１のレコード１件の内容が表示される。例えば、住所「神奈川県川崎市中原区」、性別「男」、年齢「６０〜７０代」、診断結果「インフルエンザ」、グループＩＤ「Ｇ００３」のレコードである。ユーザは、匿名化条件を満たさないレコードの内容を具体的に知ることができる。

グラフ切替ボタン９１ｅは、ユーザに選択されることで、この例では、棒グラフ３３ｃへの表示に切り替わる。棒グラフ３３ｃが表示されている状態で、グラフ切替ボタン９１ｅが選択された場合には、円グラフ３３ｂが表示される。

ユーザは、画面Ｇ９２の匿名化条件を満たさないレコードの内容を確認する等により、指定したｋ値を満たすように曖昧化する場合には、自動曖昧化ボタン９１ｆを選択する。自動曖昧化ボタン９１ｆの選択の際には、ユーザが期待するｋ値（期待ｋ値１ｄ）が設定可能となる。期待ｋ値１ｄが設定されなくてもよい。その際には、匿名化条件のｋ値（＝３）をデフォルト値とする。サーバ１００へ、曖昧化要求８ｄが送信される。

サーバ１００は、曖昧化部４４による曖昧化処理の後、曖昧化部４４は、評価元情報生成部４３ａ、第１グラフ化部４３ｂ、及び第２グラフ化部４３ｃに夫々の処理を行わせ、曖昧化の結果として、評価情報１ｃをクライアント３へ送信する。そのようにすることで、クライアント３では、ユーザＩ／Ｆ１６ｂに表示中の評価結果画面Ｇ９１の第２表示領域９１ｂの表示を更新させることができる。

ユーザは、第２表示領域９１ｂにおいて、更新された円グラフ３３ｂ（又は棒グラフ３３ｃ）を参照することで、匿名化条件を見直すと判断した場合、条件の見直しボタン９１ｇを選択する。条件の見直しボタン９１ｇの選択に応じて、条件見直し要求８ｅが送信される。

サーバ１００では、条件見直し部４５により匿名化条件の見直しが行われ、得られた推奨ｋ値１ｅがクライアント３に提供される。クライアント３では、推奨ｋ値１ｅの受信により、匿名化条件設定部３１による匿名化条件設定処理が再度行われる。匿名化条件設定処理では、推奨ｋ値１ｅが匿名化条件として匿名化条件設定要求８ａで指定され、サーバ１００へと送信される。

図９は、第２グラフ化処理を説明するための図である。図８において、サーバ１００の匿名化部４０の第２グラフ化部４３ｃは、記憶部１３０ａに記憶された評価元情報５３ａと、統計情報５９とを参照して、第２評価後情報５３ｂを作成し、記憶部１３０ａに記憶する。

第２評価後情報５３ｂでは、統計情報５９の既存の項目に加えて、匿名化項目（住所、性別、及び年齢）が追加される。

第２グラフ化部４３ｃは、統計情報５９の各レコードのグループＩＤの値と一致するレコードを評価元情報５３ａから取得して、取得したレコードの住所、性別、及び年齢の値を第２評価後情報５３ｂに設定して、第２評価後情報５３ｂを完成させる。そして、第２グラフ化部４３ｃは、第２評価後情報５３ｂを所定の並び替え順でソートする。例えば、割合、匿名化項目の昇順に並び替えて、割合に基づいて棒グラフ３３ｃを描画する。

図１０は、棒グラフの例を示す図である。図１０に示す棒グラフ３３ｃでは、第２評価後情報５３ｃの割合の項目において、数値と数値の高さを棒グラフで表している。棒グラフ３３ｃの表示は、この例に限定されない。

クライアント３に表示された図８の評価結果画面Ｇ９１において、第２表示領域９１ｂに棒グラフ３３ｃが表示される。

ユーザが、第２表示領域９１ｂの自動曖昧化ボタン９１ｆを選択すると、クライアント３からサーバ１００へ曖昧化要求８ｄが送信される。サーバ１００の匿名化部４０の曖昧化部４４による曖昧化処理について図１１及び図１２で説明する。

図１１は、曖昧化処理を説明するための図である。図１１において、曖昧化部４４は、曖昧化要求８ｄで指定される期待ｋ値１ｄに基づいて、記憶部１３０ａに記憶されている統計情報５９を参照し、グループＩＤを取得する。以下、期待ｋ値１ｄによりｋ＝２が指定された場合で説明する。この例では、取得したグループＩＤは「Ｇ００３」となる。

曖昧化部４４は、匿名化後ファイル１ｂからグループＩＤ「Ｇ００３」のレコードを検索して、検索された各レコードを複製して、評価元情報５３ａ−２を生成する。複製は、少なくとも期待ｋ値１ｄに達するまで複製する。期待ｋ値１ｄより大きいｋ値が存在する場合には、最も大きいｋ値に達するまで複製してもよい。

その結果、グループＩＤ「Ｇ００３」のレコード９ｒが複製された評価元情報５３ａ−２を得る。ここでは、複製する例を示したが、削除して曖昧化するようにしてもよい。また、複製か削除かは、ユーザが、自動曖昧化ボタン９１ｆを選択した時に設定可能としてもよい。

図１２は、曖昧化処理による統計情報の更新例を示す図である。図１２において、曖昧化部４４は、曖昧化後の評価元情報５３ａを用いて、統計情報５９を更新して、統計情報５９−２を取得する。

統計情報５９−２では、グループＩＤ「Ｇ００３」のｋ値が「１」から「２」へと変更になり、全てのグループにおいて、ｋ値は２以上を示している。従って、期待ｋ値１ｄを満たす匿名化後のファイル１ｂを提供できる。

グループＩＤ「Ｇ００１」の割合は、即ち、Ｇ００１で特定される匿名化項目値の組み合せのレコード（個人情報）の割合は、「３３％」から「２９％」へと変化している。グループＩＤ「Ｇ００２」の割合は、即ち、Ｇ００２で特定される匿名化項目値の組み合せのレコード（個人情報）の割合は、「５０％」から「４３％」へと変化している。また、グループＩＤ「Ｇ００３」の割合は、即ち、Ｇ００３で特定される匿名化項目値の組み合せのレコード（個人情報）の割合は、「１７％」から「２９％」へと変化している。

曖昧化部４４は、第１グラフ化部４３ｂ及び／又は第２グラフ化部４３ｃに、評価元情報５３ａ−２及び統計情報５９−２を用いて、第１評価後情報５３ｂ及び／又は第２評価後情報５３ｃを生成させることにより、クライアント３へ、曖昧化処理後の評価情報１ｃを提供する。

図１０に例示する棒グラフ３３ｃのデータ例で、条件見直し部４５による条件見直し処理の例を説明する。条件見直し部４５は、第２評価後情報５３ｃ（棒グラフ３３ｃ）に基づいて、割合が最も高いｋ値を推奨ｋ値１ｅとして決定する。この場合、推奨ｋ値１ｅは「３」となる。

割合が最も高いｋ値が複数ある場合は、その中で最も小さいｋ値を推奨ｋ値１ｅとする。ｋ値は小さいほど一般的に利活用には有効であるため、最も小さいｋ値を採用する。

上述したように、本実施例によれば、クライアント３のユーザは、匿名化後ファイル１ｂの匿名化の状態を、ｋ値の割合を示す円グラフ３３ｂ及び／又は匿名化項目の割合を示す棒グラフ３３ｃにより、客観的な数値に基づいて匿名化を容易に評価できる。従って、匿名化後ファイル１ｂの評価に係る時間を削減することができる。

また、ユーザは、期待ｋ値１ｄを指定するのみで、ユーザが所望する期待ｋ値１ｄまで匿名化後ファイル１ｂのレコード全てを曖昧化できる。

更に、匿名化条件を見直す場合には、ユーザは、推奨ｋ値１ｅにて匿名化し、その評価を参照することができる。

このように、本実施例におけるサーバ１００は、ユーザの匿名化後ファイル１ｂに対するによる評価を容易にすることができる。

本発明は、具体的に開示された実施例に限定されるものではなく、特許請求の範囲から逸脱することなく、主々の変形や変更が可能である。

以上の実施形態に関し、更に以下の付記を開示する。
（付記１）
個人情報を含むデータを、該個人情報の共通度に基づいて、複数のグループのいずれかに分類し、
前記複数のグループ毎に、該グループに含まれる前記データの前記個人情報について該個人情報を共通化させる匿名化処理を施すとともに、各グループについてグループに含まれるデータの総数を算出し、
前記データの総数に応じてグループを分類し、
分類結果を出力する、
処理をコンピュータが行うことを特徴とする個人情報匿名化方法。
（付記２）
前記分類結果は、特定のデータの総数を持つグループの数、全グループのうちどの程度の割合で存在するかを示す情報を含む、ことを特徴とする付記１記載の個人情報匿名化方法。
（付記３）
複数のグループのうち、最も多くの数のデータを含む特定のグループと同じ数のデータが含まれるように、前記複数のグループのうち、前記特定のグループ以外のグループについて、グループに属するデータの匿名化処理後の個人情報と同じ個人情報を含むデータを１又は複数追加する、
処理を前記コンピュータが行うことを特徴とする付記１記載の個人情報匿名化方法。
（付記４）
各グループに分類する前記データの基準数の入力を受け付けると、複数のグループのうち、前記各グループに分類される該データの数が前記基準数未満であるグループを特定し、
特定した前記グループに含まれる前記データの数が前記基準数以上となるまで、該データを複製する、
処理を前記コンピュータが行うことを特徴とする付記１記載の個人情報匿名化方法。
（付記５）
各グループに分類する前記データの基準数の入力を受け付けると、複数のグループのうち、前記各グループに分類される該データの数が前記基準数未満であるグループを特定し、
特定した前記グループに含まれる前記データを削除する、
処理を前記コンピュータが行うことを特徴とする付記１記載の個人情報匿名化方法。
（付記６）
前記コンピュータは、
前記個人情報の共通度を見直す要求を受け付けると、全グループのデータ数に対する各グループに含まれる前記データの総数の割合のうち、該割合が最も高いグループの該データの総数を出力し、
出力した前記割合が最も高いグループの前記データの総数を前記共通度に設定して、前記匿名化処理を行って前記データの総数を算出し、該データの総数に応じてグループを分類した前記分類結果を出力する処理を繰り返す
ことを特徴とする付記１乃至５のいずれか一項記載の個人情報匿名化方法。
（付記７）
前記コンピュータは、
前記データの前記個人情報に対して、前記共通度に基づく人数未満の個人の特定を許容して、該個人情報の共通部分を匿名化する前記匿名化処理を行う
ことを特徴とする付記６記載の個人情報匿名化方法。
（付記８）
個人情報を含むデータを、該個人情報の共通度に基づいて、複数のグループのいずれかに分類し、
前記複数のグループ毎に、該グループに含まれる前記データの前記個人情報について該個人情報を共通化させる匿名化処理を施すとともに、各グループについてグループに含まれるデータの総数を算出し、
前記データの総数に応じてグループを分類し、
分類結果を出力する、
処理をコンピュータに実行させることを特徴とする個人情報匿名化プログラム。
（付記９）
個人情報を含むデータを、該個人情報の共通度に基づいて、複数のグループのいずれかに分類し、前記複数のグループ毎に、該グループに含まれる前記データの前記個人情報について該個人情報を共通化させる匿名化処理を施すとともに、各グループについてグループに含まれるデータの総数を算出する算出部と、
前記データの総数に応じてグループを分類し、分類結果を出力する出力部と、
を有することを特徴とする情報処理装置。

１ａ 匿名化前ファイル、 １ｂ 匿名化後ファイル
１ｃ 評価情報
１ｄ 期待ｋ値、 １ｅ 推奨ｋ値
２ ネットワーク
３ クライアント
８ａ 匿名化条件設定要求、 ８ｂ 匿名化実行要求
８ｃ 匿名化評価要求、 ８ｄ 匿名化要求
８ｅ 条件見直し要求
１１ａ、１１ｂ ＣＰＵ
１２ａ、１２ｂ 主記憶装置
１３ａ 補助記憶装置
１４ａ 入力装置、 １５ａ 表示装置
１６ｂ ユーザＩ／Ｆ
１７ａ、１７ｂ 通信Ｉ／Ｆ
１８ａ、１８ｂ ドライブ装置
１９ａ、１９ｂ 記憶媒体
３１ 匿名化条件設定部、 ３２ 匿名化実行部
３３ 評価情報生成部
３３ｂ 円グラフ、 ３３ｃ 棒グラフ
３４ 匿名化改善部、 ３５ ｋ値取得部
４０ 個人情報匿名化処理部
４１ 条件設定部、 ４２ 匿名化部
４３ａ 評価元情報生成部
４３ｂ 第１グラフ化部、 ４３ｃ 第２グラフ化部
４４ 曖昧化部、 ４５ 条件見直し部
５１ 匿名化条件設定情報
５３ａ 評価元情報
５３ｂ 第１評価後情報、 ５３ｃ 第２評価後情報
５９ 統計情報
９１ａ 第１表示領域、 ９１ｂ 第２表示領域
９１ｃ 全体グループ数、 ９１ｅ グラフ切替ボタン
９１ｆ 自動曖昧化ボタン、 ９１ｇ 条件の見直しボタン
１００ サーバ
１３０ａ、１３０ｂ 記憶部
１０００ 匿名化システム
Ｂ１、Ｂ２ バス
Ｇ９１ 評価結果画面

Claims (7)

1. 複数のデータに含まれる個人情報を、該個人情報に対する共通化の条件に基づいて匿名化処理を施して、該複数のデータ内の共通部に基づいて複数のグループのいずれかに分類し、
   前記複数のグループに対してグループ単位でデータの総数を算出し、
   前記データの総数に応じて前記複数のグループを分類し、
   分類結果を出力する、
   処理をコンピュータが行うことを特徴とする個人情報匿名化方法。
2. 前記分類結果は、特定のデータの総数を持つグループの数、全グループのうちどの程度の割合で存在するかを示す情報を含む、ことを特徴とする請求項１記載の個人情報匿名化方法。
3. 複数のグループのうち、最も多くの数のデータを含む特定のグループと同じ数のデータが含まれるように、前記複数のグループのうち、前記特定のグループ以外のグループについて、グループに属するデータの匿名化処理後の個人情報と同じ個人情報を含むデータを１又は複数追加する、
   処理を前記コンピュータが行うことを特徴とする請求項１記載の個人情報匿名化方法。
4. 各グループに分類する前記データの基準数の入力を受け付けると、複数のグループのうち、前記各グループに分類される該データの数が前記基準数未満であるグループを特定し、
   特定した前記グループに含まれる前記データの数が前記基準数以上となるまで、該データを複製する、
   処理を前記コンピュータが行うことを特徴とする請求項１記載の個人情報匿名化方法。
5. 前記コンピュータは、
   前記個人情報に対する前記共通化の条件を見直す要求を受け付けると、全グループのデータ数に対する各グループに含まれる前記データの総数の割合のうち、該割合が最も高いグループの該データの総数を出力し、
   出力した前記割合が最も高いグループの前記データの総数を前記共通化の条件に設定して、前記匿名化処理を行って前記データの総数を算出し、該データの総数に応じてグループを分類した前記分類結果を出力する処理を繰り返す
   ことを特徴とする請求項１乃至４のいずれか一項記載の個人情報匿名化方法。
6. 複数のデータに含まれる個人情報を、該個人情報に対する共通化の条件に基づいて匿名化処理を施して、該複数のデータ内の共通部に基づいて複数のグループのいずれかに分類し、
   前記複数のグループに対してグループ単位でデータの総数を算出し、
   前記データの総数に応じて前記複数のグループを分類し、
   分類結果を出力する、
   処理をコンピュータに実行させることを特徴とする個人情報匿名化プログラム。
7. 複数のデータに含まれる個人情報を、該個人情報に対する共通化の条件に基づいて匿名化処理を施して、該複数のデータ内の共通部に基づいて複数のグループのいずれかに分類し、前記複数のグループに対してグループ単位でデータの総数を算出する算出部と、
   前記データの総数に応じて前記複数のグループを分類し、分類結果を出力する出力部と、
   を有することを特徴とする情報処理装置。

Images