JP6747664B2 - 匿名化処理装置、匿名化処理方法、及びプログラム - Google Patents

Description

本発明は、個人情報の匿名化を行なうための、匿名化処理装置、匿名化処理方法、及びこれらを実現するためのプログラムに関する。

近年、情報通信技術の進展により、膨大な数の個人情報の収集及び分析が可能となっている。また、個人情報として取り扱う範囲を明確にして、個人情報の利活用を促進するため、日本国においては、個人情報保護法が改正されている（非特許文献１参照）。改正後の個人情報保護法によれば、個人識別符号が含まれないように匿名化処理されたデータは、個人情報から除外されるので、企業等において、個人情報を有効に利活用することが可能となり、ひいては経済の活性化が期待される。

また、個人情報を匿名化処理する技術としては、例えば、ｋ匿名化処理が知られている（非特許文献２参照）。ｋ匿名化処理は、個人を特定できる可能性がある情報（準識別子＝単体では特定性がないが複数の組合せで特定性が生じる情報）を、複数のレコードで共通な値に加工し、そのレコード数をｋ個以上にする処理である。ｋ匿名化処理によれば、情報意味の毀損を抑制しつつ、個人情報の利活用が可能となる。

谷澤光著、「個人情報の保護と有効性の確保に関する制度改正」、立法と調査、２０１５年４月 Ｎｏ．３６３（参議院事務局企画調整室編集・発行）、ｐ．３２−１２ 美馬正司著、「プライバシー保護データマイニング（ＰＰＤＭ）手法の種類、特徴を理解する」、［online］、平成２８年４月１日、＠ＩＴ、インターネット＜URL：http://www.atmarkit.co.jp/ait/articles/1503/24/news010_2.html＞

ところで、匿名化処理による匿名化の程度（レベル）は、個人情報の利用の目的、利用される目的といった利用条件によって異なっており、利用条件に応じて適切なものに設定する必要がある。しかしながら、従来からのｋ匿名化処理では、匿名化のレベルは、管理者等によって適宜設定されるため、利用条件によっては適切でない場合があり、個人情報の漏洩が発生する可能生が存在している。

本発明の目的の一例は、上記問題を解消し、利用条件に応じて、個人情報の匿名化レベルを最適化し得る、情報管理装置、情報管理方法、及びプログラムを提供することにある。

上記目的を達成するため、本発明の一側面における匿名化処理装置は、
登録されている個人情報の利用条件それぞれに対して設定されているレベルの値を特定し、特定した前記各利用条件のレベルの値に基づいて、利用される際の前記個人情報の匿名化のレベルを決定する、レベル決定部と、
前記個人情報に対して、決定された前記匿名化のレベルで匿名化処理を実行する、匿名化処理部と、
を備え、
前記個人情報の利用条件に対して設定されているレベルの値として、内容に応じたポイントが段階的に設定されており、
前記レベル決定部は、
ユーザによる個人情報の利用要求に基づいて、前記各利用条件のポイントを特定し、
特定した前記ポイントの合算値または乗算値に基づいて、前記匿名化のレベルを決定することを特徴とする。

また、上記目的を達成するため、本発明の一側面における匿名化処理方法は、
匿名化処理装置を用いて、
（ａ）レベル決定部により、登録されている個人情報の利用条件それぞれに対して設定されているレベルの値を特定し、特定した前記各利用条件のレベルの値に基づいて、利用される際の前記個人情報の匿名化のレベルを決定する、ステップであって、
前記個人情報の利用条件に対して設定されているレベルの値として、内容に応じたポイントが段階的に設定されており、
ユーザによる個人情報の利用要求に基づいて、前記各利用条件のポイントを特定し、特定した前記ポイントの合算値または乗算値に基づいて、前記匿名化のレベルを決定する、ステップと、
（ｂ）匿名化処理部により、前記個人情報に対して、前記（ａ）のステップで決定された前記匿名化のレベルで匿名化処理を実行する、ステップと、
を有することを特徴とする。

更に、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータに、
（ａ）登録されている個人情報の利用条件それぞれに対して設定されているレベルの値を特定し、特定した前記各利用条件のレベルの値に基づいて、利用される際の前記個人情報の匿名化のレベルを決定する、ステップであって、
前記個人情報の利用条件に対して設定されているレベルの値として、内容に応じたポイントが段階的に設定されており、
ユーザによる個人情報の利用要求に基づいて、前記各利用条件のポイントを特定し、特定した前記ポイントの合算値または乗算値に基づいて、前記匿名化のレベルを決定する、ステップと、
（ｂ）前記個人情報に対して、前記（ａ）のステップで決定された前記匿名化のレベルで匿名化処理を実行する、ステップと、
を実行させることを特徴とする。

以上のように、本発明によれば、利用条件に応じて、個人情報の匿名化レベルを最適化することができる。

図１は、本発明の実施の形態における匿名化処理装置の構成を示すブロック図である。 図２は、本発明の実施の形態における匿名化処理装置の具体的構成を示すブロック図である。 図３は、本発明の実施の形態における匿名化処理装置の動作を示すフロー図である。 図４は、本発明の実施の形態において利用条件毎に設定されたレベルの一覧を示す図である。 図５は、本発明の実施の形態において利用条件毎に設定されたポイントの一覧を示す図である。 図６は、本発明の実施の形態において利用条件毎に設定されたポイントの一覧の他の例を示す図である。 図７（ａ）は、本発明の実施の形態においてレベル毎に設定されているデータ単価の一覧を示す図であり、図７（ｂ）は、経過時間毎のデータ単価の補正係数の一一覧を示す図である。 図８は、本発明の実施の形態における匿名化処理装置を実現するコンピュータの一例を示すブロック図である。

（実施の形態）
以下、本発明の実施の形態における、匿名化処理装置、匿名化処理方法、及びプログラムについて、図１〜図８を参照しながら説明する。

［装置構成］
最初に、図１を用いて、本発明の実施の形態における匿名化処理装置の概略構成について説明する。図１は、本発明の実施の形態における匿名化処理装置の構成を示すブロック図である。

図１に示すように、匿名化処理装置１０は、レベル決定部１１と、匿名化処理部１２とを備えている。レベル決定部１１は、登録されている個人情報の利用条件を特定する。また、レベル決定部１１は、特定した利用条件に基づいて、利用される際の個人情報の匿名化のレベルを決定する。

匿名化処理部１２は、個人情報に対して、決定されたレベルで匿名化処理を実行する。このように、本実施の形態によれば、登録されている個人情報の利用条件に応じて、個人情報の匿名化レベルが最適化される。

続いて、本実施の形態における匿名化処理装置の構成について具体的に説明する。図２は、本発明の実施の形態における匿名化処理装置の具体的構成を示すブロック図である。

図２に示すように、本実施の形態における匿名化処理装置１０は、インターネット等のネットワークを介して、個人情報を利用するユーザ２１の端末装置２０に接続されている。また、図２に示すように、匿名化処理装置１０は、上述したレベル決定部１１及び匿名化処理部１２に加えて、使用料算出部１３と、匿名化データ出力部１４と、記憶部１５とを備えている。

このうち、記憶部１５には、予め、個人情報１７、及び個人情報１７の利用条件１６が格納されている。また、実際には、個人情報１７は、複数の個人それぞれから取得されており、記憶部１５には、個人の個人情報１７の集合が格納されている。また、利用条件１６は、例えば、個人情報の利用期間、個人情報が利用される場所、個人情報の用途、及び個人情報に対する暗号化の程度のうち少なくとも１つを含む。

レベル決定部１１は、本実施の形態では、まず、ユーザ２１が端末装置２０を介して個人情報の利用を求めると、記憶部１５にアクセスして、利用が求められた個人情報の利用条件を特定する。そして、レベル決定部１１は、特定した利用条件に基づいて、匿名化のレベルを決定する。

また、使用料算出部１３は、レベル決定部１１によって決定されたレベルを用いて、個人情報を利用するユーザ２１に対して請求する個人情報１７の使用料を算出する。具体的には、使用料算出部１３は、予めレベル毎に設定されたデータ単価等を用いて、使用料を算出する。更に、使用料算出部１３は、算出した使用料を特定する情報を端末装置２０に送信して、ユーザ２１に使用料を提示する。この後、ユーザ２１は、端末装置２０を介して、使用料に合意する旨、又は使用料に合意しない旨を、通知する。

匿名化処理部１２は、本実施の形態では、ユーザ２１が使用料に対して合意したことを条件に、個人情報１７に対して、決定されたレベルで匿名化処理を実行する。例えば、匿名化処理部１２は、記憶部１５に格納されている個人情報１７の集合に対して、決定されたレベルの値をｋの値に設定して、ｋ匿名化処理を実行する。

具体的には、匿名化処理部１２は、決定されたレベルの値がｋである場合は、匿名化処理として、準識別子が共通する個人がｋ人存在するように、個人情報１７それぞれにおける準識別子の内容を変更する。また、匿名化処理部１２は、匿名化処理後の個人情報１７を、匿名化データ１８として記憶部１５に格納する。

匿名化データ出力部１４は、匿名化処理部１２によって匿名化処理が行なわれた場合は、記憶部１８に格納されている匿名化データ１８を取り出し、取り出した匿名化データ１８を、ユーザ２１の端末装置２０に送信する。これにより、ユーザ２０は、個人情報を利用することができるようになる。

［装置動作］
次に、本発明の実施の形態における匿名化処理装置の動作について図３を用いて説明する。図３は、本発明の実施の形態における匿名化処理装置の動作を示すフロー図である。以下の説明においては、適宜図１及び図２を参酌する。また、本実施の形態では、匿名化処理装置１０を動作させることによって、匿名化処理方法が実施される。よって、本実施の形態における匿名化処理方法の説明は、以下の匿名化処理装置１０の動作説明に代える。

図３に示すように、最初に、ユーザ２１が端末装置２０を介して個人情報の利用要求を送信してくると、レベル決定部１１は、この利用要求を受信する（ステップＡ１）。

次に、レベル決定部１１は、利用要求が求められた個人情報１７の利用条件１６を特定し、特定した利用条件に基づいて、匿名化のレベルを決定する（ステップＡ２）。なお、ステップＡ２の具体例については後述する。

次に、ステップＡ２によって匿名化のレベルが決定されると、使用料算出部１３は、ユーザ２１に対して請求する個人情報１７の使用料を算出する（ステップＡ３）。なお、ステップＡ３の具体例については後述する。

次に、使用料算出部１３は、ステップＡ３で算出した使用料を、端末装置２０介して、ユーザに提示する（ステップＡ４）。

次に、使用料算出部１３は、端末装置２０介して、ユーザ２１から使用料に合意する旨の通知が送信されてきているかどうかを判定する（ステップＡ５）。ステップＡ５の判定の結果、使用料に合意しない旨の通知が送信されてきている場合は、匿名化処理装置１０における処理は終了する。

一方、ステップＡ５の判定の結果、使用料に合意する旨の通知が送信されてきている場合は、使用料算出部１３は、匿名化処理部１２に匿名化処理を指示する。これにより、匿名化処理部１２は、個人情報１７に対して、ステップＡ２で決定されたレベルで匿名化処理を実行する（ステップＡ６）。そして、匿名化処理部１２は、匿名化データ１８を記憶部１５に格納する。

次に、匿名化データ出力部１４は、ステップＡ６で作成された匿名化データ１８を取り出し、取り出した匿名化データ１８を、ユーザ２１の端末装置２０に送信する（ステップＡ７）。ステップＡ７の実行後、匿名化処理装置１０における処理は終了する。このように、ステップＡ１〜Ａ７の実行により、ユーザ２０は、個人情報を利用することができるようになる。

続いて、図４〜図６を用いて、図３に示すステップＡ２について具体的に説明する。図４は、本発明の実施の形態において利用条件毎に設定されたレベルの一覧を示す図である。例えば、図４に示すように、個人情報の利用期間、個人情報が利用される場所、個人情報の用途、及び個人情報に対する暗号化の程度、といった利用条件毎に、内容に応じたレベルが段階的に設定されているとする。

この場合、個人情報１７の利用条件１６は、個人情報の利用期間、個人情報が利用される場所、個人情報の用途、及び個人情報に対する暗号化の程度、それぞれ毎に設定される。従って、レベル決定部１１は、個人情報１７に設定されている各利用条件１６を、図４に示すレベルの一覧に照合し、各利用条件のレベルの値を特定する。そして、レベル決定部１１は、例えば、最も値の高いレベルを、匿名化のレベルとする。

具体的には、利用要求があった個人情報１７の利用条件１６が、以下の通りに設定されているとする。
個人情報の利用期間：１日
個人情報が利用される場所：社内
個人情報の用途：一般配布物
個人情報に対する暗号化の程度：強度小

この場合、個人情報の利用期間のレベルは１、個人情報が利用される場所のレベルは３、個人情報の用途のレベルは４、個人情報に対する暗号化の程度のレベルは４となる。よって、レベルの最大値は「４」であるので、レベル決定部１１は、レベルを４に設定する。この場合、匿名化処理部１２は、ｋ＝４に設定して、ｋ匿名化処理を実行する。

また、本実施の形態では、図４に示すレベルの一覧の代わりに、利用条件毎に、内容に応じて設定されたポイントの一覧が用いられても良い。図５は、本発明の実施の形態において利用条件毎に設定されたポイントの一覧を示す図である。

図５の例では、個人情報の利用期間、個人情報が利用される場所、個人情報の用途、及び個人情報に対する暗号化の程度、といった利用条件毎に、内容に応じたポイントが段階的に設定されている。

そして、レベル決定部１１は、個人情報１７に設定されている各利用条件１６を、図５に示すポイントの一覧に照合し、各利用条件のポイントの値を特定し、特定したポイントの値を合算する。そして、レベル決定部１１は、得られた合算値を、図５の下図に示す合算値とレベルとの関係に照合して、匿名化のレベルを決定する。

更に、本実施の形態では、合算値の代わりに、乗算値を求めてレベルを決定することもできる。図６は、本発明の実施の形態において利用条件毎に設定されたポイントの一覧の他の例を示す図である。

図６の例でも、個人情報の利用期間、個人情報が利用される場所、個人情報の用途、及び個人情報に対する暗号化の程度、といった利用条件毎に、内容に応じたポイントが段階的に設定されている。

但し、この場合、レベル決定部１１は、個人情報１７に設定されている各利用条件１６を、図５に示すポイントの一覧に照合し、各利用条件のポイントの値を特定した後、特定したポイントの値を乗算する。そして、レベル決定部１１は、得られた積を、図６の下図に示す積とレベルとの関係に照合して、匿名化のレベルを決定する。

続いて、図７（ａ）及び（ｂ）を用いて、図３に示すステップＡ３について具体的に説明する。図７（ａ）は、本発明の実施の形態においてレベル毎に設定されているデータ単価の一覧を示す図であり、図７（ｂ）は、経過時間毎のデータ単価の補正係数の一一覧を示す図である。

この場合、使用料算出部１３は、ステップＡ２で決定された匿名化のレベルを、図７（ａ）に示すデータ単価の一覧に照合して、使用料を算出する。但し、一般的に、個人情報の価値は、収集された時点からの経過時間が長い程、低下すると考えられる。このため、使用料算出部１３は、個人情報１７の取得時期から経過時間を特定できる場合は、特定した経過時間を、補正係数の一覧に照合して、対応する補正係数を求める。そして、使用料算出部１３は、対応する補正係数をデータ単価に乗算して、データ単価を補正する。

［実施の形態による効果］
以上のように、本実施の形態によれば、個人情報１７に対して、その利用条件１６に応じて、最適なレベルで匿名化が実行されることになる。また、個人情報１７の使用料も、その利用条件１６に応じて適正な額に設定されるので、個人情報１７の利活用が促進され、ひいては経済が活性化される。

［プログラム］
本実施の形態におけるプログラムは、コンピュータに、図３に示すステップＡ１〜Ａ７を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における匿名化処理装置１０と匿名化処理方法とを実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、レベル決定部１１、匿名化処理部１２、使用料算出部１３、及び匿名化データ出力部１４として機能し、処理を行なう。

また、本実施の形態では、記憶部１５は、コンピュータに備えられたハードディスク等の記憶装置に、これらを構成するデータファイルを格納することによって、又はこのデータファイルが格納された記録媒体をコンピュータと接続された読取装置に搭載することによって実現されている。

なお、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、レベル決定部１１、匿名化処理部１２、使用料算出部１３、及び匿名化データ出力部１４のいずれかとして機能しても良い。また、記憶部１５は、本実施の形態におけるプログラムを実行するコンピュータとは別のコンピュータ上に構築されていても良い。

［物理構成］
ここで、本実施の形態におけるプログラムを実行することによって、匿名化処理装置１０を実現するコンピュータについて図８を用いて説明する。図８は、本発明の実施の形態における匿名化処理装置を実現するコンピュータの一例を示すブロック図である。

図８に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。

ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。

また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。

データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。

また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記憶媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体が挙げられる。

なお、本実施の形態における匿名化処理装置１０は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、匿名化処理装置１０は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。

以上のように、本発明によれば、利用条件に応じて、個人情報の匿名化レベルを最適化することができる。本発明は、個人情報の匿名化が必要なあらゆる分野に有用である。

１０ 匿名化処理装置
１１ レベル決定部
１２ 匿名化処理部
１３ 使用料算出部
１４ 匿名化データ出力部
１５ 記憶部
１６ 利用条件
１７ 個人情報
１８ 匿名化データ
２０ 端末装置
２１ ユーザ
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス

Claims (9)

1. 登録されている個人情報の利用条件それぞれに対して設定されているレベルの値を特定し、特定した前記各利用条件のレベルの値に基づいて、利用される際の前記個人情報の匿名化のレベルを決定する、レベル決定部と、
   前記個人情報に対して、決定された前記匿名化のレベルで匿名化処理を実行する、匿名化処理部と、
   を備え、
   前記個人情報の利用条件に対して設定されているレベルの値として、内容に応じたポイントが段階的に設定されており、
   前記レベル決定部は、
   ユーザによる個人情報の利用要求に基づいて、前記各利用条件のポイントを特定し、
   特定した前記ポイントの合算値または乗算値に基づいて、前記匿名化のレベルを決定することを特徴とする匿名化処理装置。
2. 前記利用条件として、前記個人情報の利用期間、前記個人情報が利用される場所、前記個人情報の用途、前記個人情報に対する暗号化の程度のうち少なくとも１つが設定されている、
   請求項１に記載の匿名化処理装置。
3. 決定された前記匿名化のレベルを用いて、前記個人情報を利用するユーザに対して請求する前記個人情報の使用料を算出する、使用料算出部を更に備え、
   前記匿名化処理部は、前記ユーザが前記使用料に対して合意したことを条件に、前記個人情報に対して、決定された前記匿名化のレベルで匿名化処理を実行する、
   請求項１または２に記載の匿名化処理装置。
4. 匿名化処理装置を用いて、
   （ａ）レベル決定部により、登録されている個人情報の利用条件それぞれに対して設定されているレベルの値を特定し、特定した前記各利用条件のレベルの値に基づいて、利用される際の前記個人情報の匿名化のレベルを決定する、ステップであって、
   前記個人情報の利用条件に対して設定されているレベルの値として、内容に応じたポイントが段階的に設定されており、
   ユーザによる個人情報の利用要求に基づいて、前記各利用条件のポイントを特定し、特定した前記ポイントの合算値または乗算値に基づいて、前記匿名化のレベルを決定する、ステップと、
   （ｂ）匿名化処理部により、前記個人情報に対して、前記（ａ）のステップで決定された前記匿名化のレベルで匿名化処理を実行する、ステップと、
   を有することを特徴とする匿名化処理方法。
5. 前記利用条件として、前記個人情報の利用期間、前記個人情報が利用される場所、前記個人情報の用途、前記個人情報に対する暗号化の程度のうち少なくとも１つが設定されている、
   請求項４に記載の匿名化処理方法。
6. （ｃ）前記（ａ）のステップで決定された前記匿名化のレベルを用いて、使用料算出部により、前記個人情報を利用するユーザに対して請求する前記個人情報の使用料を算出する、ステップを更に有し、
   前記（ｂ）のステップで、匿名化処理部により、前記ユーザが前記使用料に対して合意したことを条件に、前記個人情報に対して、決定された前記匿名化のレベルで匿名化処理を実行する、
   請求項４または５に記載の匿名化処理方法。
7. コンピュータに、
   （ａ）登録されている個人情報の利用条件それぞれに対して設定されているレベルの値を特定し、特定した前記各利用条件のレベルの値に基づいて、利用される際の前記個人情報の匿名化のレベルを決定する、ステップであって、
   前記個人情報の利用条件に対して設定されているレベルの値として、内容に応じたポイントが段階的に設定されており、
   ユーザによる個人情報の利用要求に基づいて、前記各利用条件のポイントを特定し、特定した前記ポイントの合算値または乗算値に基づいて、前記匿名化のレベルを決定する、ステップと、
   （ｂ）前記個人情報に対して、前記（ａ）のステップで決定された前記匿名化のレベルで匿名化処理を実行する、ステップと、
   を実行させるプログラム。
8. 前記利用条件として、前記個人情報の利用期間、前記個人情報が利用される場所、前記個人情報の用途、前記個人情報に対する暗号化の程度のうち少なくとも１つが設定されている、
   請求項７に記載のプログラム。
9. 前記コンピュータに、
   （ｃ）前記（ａ）のステップで決定された前記匿名化のレベルを用いて、前記個人情報を利用するユーザに対して請求する前記個人情報の使用料を算出する、ステップを更に実行させ、
   前記（ｂ）のステップで、前記ユーザが前記使用料に対して合意したことを条件に、前記個人情報に対して、決定された前記匿名化のレベルで匿名化処理を実行する、
   請求項７または８に記載のプログラム。
   

Images