JP7481215B2

JP7481215B2 - 匿名加工装置、プログラム及び匿名加工方法

Info

Publication number: JP7481215B2
Application number: JP2020159138A
Authority: JP
Inventors: 大地森藤
Original assignee: 株式会社TVer
Priority date: 2020-09-23
Filing date: 2020-09-23
Publication date: 2024-05-10
Anticipated expiration: 2040-09-23
Also published as: JP2022052636A

Description

特許法第３０条第２項適用公開日：令和２年８月５日、令和２年８月１３日公開先：株式会社ビデオリサーチ（東京都千代田区三番町６－１７）

本発明は匿名加工装置、プログラム及び匿名加工方法に関し、特に、個人情報を匿名加工する匿名加工装置、プログラム及び匿名加工方法に関する。

近年、個人情報の扱いおよび Cookie やスマートフォンの広告 ID 等の個人関連情報の取り扱いがより重要視されている。
一方、個人情報を含むビッグデータをAIやIoTなど新しい技術とともにいかにビジネスに利活用していくかの重要性が増している。

そこで、個人情報の利活用をしやすくし、新たなビジネスの創造も可能にするため、個人情報から個人を識別して特定できないように個人情報を加工し、また加工した情報から元の個人情報を復元できないようにして個人情報を利活用できるようにする匿名加工の技術が提案されている。

匿名加工の技術は、情報の削減、撹拌、ノイズ挿入などがある。

しかし、ビッグデータや機械学習の進歩に伴い、匿名加工された匿名加工情報も、個人を特定できる可能性が高まっている。一方、個人の特定のリスク低減を図るため、過度な加工を行うと、元のデータの統計的な性質を残すことができなくなり、情報の活用という点からは問題があった。

そこで、本発明の目的は、個人が特定されるリスクを低減させ、元の情報の統計的な性質を残すことが可能な匿名加工装置、プログラム及び匿名加工方法を提供することにある。

本発明の一態様は、個人に関する属性情報と第１の識別情報とを含む個人情報を匿名加工する匿名加工装置であって、前記個人情報の属性情報のうち所定の属性情報と前記所定の属性情報に基づくグループ化の条件とを用いて、複数の個人情報をグループ化する第１のグループ化手段と、前記グループ化されたグループ毎に、グループに含まれる個人情報の前記第１の識別情報の種類の数分の第２の識別情報を生成する第２の識別情報生成手段と、前記グループ化されたグループ毎に、グループに含まれる前記第１の識別情報に対応する個人情報の属性情報を、前記第２の識別情報に割り当て、前記第２の識別情報と属性情報とから成る匿名加工情報を生成する匿名加工情報生成手段とを備える匿名加工装置である。

本発明の一態様は、個人に関する属性情報と第１の識別情報とを含む個人情報を匿名加工するコンピュータのプログラムであって、前記プログラムは、前記コンピュータを、前記個人情報の属性情報のうち所定の属性情報と前記所定の属性情報に基づくグループ化の条件とを用いて、複数の個人情報をグループ化する第１のグループ化手段と、前記グループ化されたグループ毎に、グループに含まれる個人情報の前記第１の識別情報の種類の数分の第２の識別情報を生成する第２の識別情報生成手段と、前記グループ化されたグループ毎に、グループに含まれる前記第１の識別情報に対応する個人情報の属性情報を、前記第２の識別情報に割り当て、前記第２の識別情報と属性情報とから成る匿名加工情報を生成する匿名加工情報生成手段として機能させるプログラムである。

本発明の一態様は、個人に関する属性情報と第１の識別情報とを含む個人情報を匿名加工する匿名加工方法であって、コンピュータが、前記個人情報の属性情報のうち所定の属性情報と前記所定の属性情報に基づくグループ化の条件とを用いて、複数の個人情報をグループ化し、前記グループ化されたグループ毎に、グループに含まれる個人情報の前記第１の識別情報の種類の数分の第２の識別情報を生成し、前記グループ化されたグループ毎に、グループに含まれる前記第１の識別情報に対応する個人情報の属性情報を、前記第２の識別情報に割り当て、前記第２の識別情報と属性情報とから成る匿名加工情報を生成する匿名加工方法である。

本発明によれば、個人情報から、個人が特定されるリスクを低減し、元の情報の統計的な性質を残した匿名加工情報を生成することができる。

図１は本発明の概要を説明するための図である。図２は本発明の概要を説明するための図である。図３は本実施の形態の匿名加工装置１のブロック図である。図４は匿名加工装置１の動作のフローチャートである。図５は個人情報の一例を示す図である。図６は氏名、住所及びデバイスＩＤ（視聴装置のＩＤ）の属性を削除した個人情報の一例である。図７は個人情報を、C層からM3層にグループ化した例を示す図である。図８はグループ１（Ｃ層）の個人情報を第２の識別情報にランダムに割り当て匿名加工情報を生成する一例を示した図である。図９は他の実施の形態の動作フローチャートである。図１０は個人情報の一例を示す図である。図１１は個人情報を、視聴属性に基づいて、個人情報をグループＩＤ１とグループＩＤ２とのふたつのグループにグループ化した例を示す図である。図１２は各グループの個人情報を第２の識別情報にランダムに割り当て匿名加工情報を生成する一例を示した図である。図１３はテレビ端末識別子及び都道府県の属性が削除された匿名加工情報の一例である。

本発明の実施の形態を説明する。
本発明の概要を説明する。図１、図２は本発明の概要を説明するための図である。

本発明は、個人情報の属性情報のうち所定の属性情報と所定の属性情報に基づくグループ化の条件とを用いて、複数の個人情報をグループ化する第１のステップと、グループ化されたグループ毎に、グループに含まれる個人情報の第１の識別情報の種類の数分の第２の識別情報を生成する第２のステップと、グループ化されたグループ毎に、グループに含まれる第１の識別情報に対応する個人情報の属性情報を、第２の識別情報に割り当て、第２の識別情報と属性情報とから成る匿名加工情報を生成する第３のステップとを備える。

ここで、個人情報は、個人に関する属性情報と第１の識別情報とを含む。属性情報は、個人の名前、生年月日、年齢、性別、住所、電話番号、E-mailアドレス、銀行口座、クレジットカード番号等の特定の個人を識別することができる情報だけではなく、放送番組の視聴履歴、インターネットの閲覧履歴、インターネットを利用した購入履歴、IPアドレス、位置情報などの履歴情報又は個人関連情報を含む。第１の識別情報は、一般的には属性情報を含む個人情報を一意に識別する識別情報であるが、属性情報のうちの特定の識別符号（生年月日、マイナンバー、デバイス識別子など）の個人識別符号を第１の識別情報として用いても良い。

図１の例では、ＩＤ＿ＡからＩＤ＿Ｚまでの個人情報を保有している。ＩＤ＿ＡからＩＤ＿Ｚは、第１の識別情報に相当する。各個人情報は、属性情報１から属性情報９を備えている。以下、属性情報を単に属性と記載する場合がある。

第１のステップは、保有している個人情報のうち、ひとつ以上の属性に基づいて、複数の個人情報をグループ化する。図１の例では、属性のうち属性３に基づいて、ＩＤ＿ＡからＩＤ＿Ｚの個人情報を、ＩＤ＿Ａ、ＩＤ＿Ｃ及びＩＤ＿Ｙを含むグループ１からＩＤ＿Ｂ、ＩＤ＿Ｘ及びＩＤ＿Ｚを含むグループｎにグループ化している。

ここで、属性に基づいてグループ化するとは、グループ化の基準となる基準属性（例では属性３）の情報をある条件で区分し、その区分毎にグループ化を行うということである。例えば、基準属性が性別であるならば、男性と女性とにグループ分けをする条件のもとに、個人情報を男性のグループと女性のグループとに分けることである。また、基準属性が年齢であるならば、年代区分毎にグループ分けをする条件のもとに、個人情報を、０から１０歳のグループ、１１から２０歳のグループ、・・・、とに分けることである。

第２のステップは、グループ化されたグループ毎に、グループに含まれる個人情報の第１の識別情報の数分の第２の識別情報を生成する。図２の例では、個人情報に含まれるＩＤを第１の識別情報としている例を示しており、グループ１に含まれる個人情報のＩＤ（第１の識別情報）の種類の数は３個（ＩＤ＿Ａ、ＩＤ＿Ｃ、ＩＤ＿Ｙ）であるので、３個のＩＤ１．１、ＩＤ１．２及びＩＤ１．３（第２の識別情報）を生成（発番）する。以下、同様に、各グループに含まれる個人情報のＩＤ（第１の識別情報）の種類の数を計数し、その数の第２の識別情報を生成（発番）する。

第３のステップは、グループ化されたグループ毎に、グループに含まれるＩＤ（第１の識別情報）に対応する個人情報の属性情報を、発番した第２の識別情報に割り当て、第２の識別情報と属性情報とから成る匿名加工情報を生成する。このように匿名加工情報は、特定の個人を識別することができないように個人情報を加工し、当該個人情報を復元できないようにした情報である。

図２の例では、グループ１に含まれる、各ＩＤ＿Ａ、ＩＤ＿Ｃ及びＩＤ＿Ｙの属性１から属性９をランダムに、３個のＩＤ１．１、ＩＤ１．２及びＩＤ１．３に割り当てている。例えば、ＩＤ１．１の属性１にはＩＤ＿Ｙの属性１が割り当てられ、ＩＤ１．１の属性２にはＩＤ＿Ａの属性２が割り当てられ、ＩＤ１．１の属性３にはＩＤ＿Ｃの属性３が割り当てられ、ＩＤ１．１の属性４にはＩＤ＿Ａの属性４が割り当てられ、ＩＤ１．１の属性５にはＩＤ＿Ａの属性５が割り当てられ、ＩＤ１．１の属性６にはＩＤ＿Ｙの属性６が割り当てられ、ＩＤ１．１の属性７にはＩＤ＿Ｃの属性７が割り当てられ、ＩＤ１．１の属性８にはＩＤ＿Ａの属性８が割り当てられ、ＩＤ１．１の属性９にはＩＤ＿Ｙの属性９が割り当てられている。

このようにして、第２の識別情報と属性とから匿名加工情報を生成する。例えば、図２の例では、ＩＤ１．１の匿名加工情報は、属性１がＩＤ＿Ｙの属性１であり、属性２がＩＤ＿Ａの属性２であり、属性３がＩＤ＿Ｃの属性３であり、属性４がＩＤ＿Ａの属性４であり、属性５がＩＤ＿Ａの属性５であり、属性６がＩＤ＿Ｙの属性６であり、属性７がＩＤ＿Ｃの属性７であり、属性８がＩＤ＿Ａの属性８であり、属性９がＩＤ＿Ｙの属性９である匿名加工情報である。尚、図２では、本発明の概念の理解を容易にするために、個人情報のＩＤを記載しているが実際には個人情報のＩＤ（ＩＤ＿Ａ、ＩＤ＿Ｃ及びＩＤ＿Ｙ）は含まれない。

本発明によって生成された匿名加工情報は、複数の第１の識別子（オリジナル）の属性情報がランダムに含まれるものであり、仮に、匿名加工情報が外部に流出し、第三者のデータとの突合をしようとした場合であっても、合致するデータの蓋然性を減じることができ、結果として個人を特定する可能性を減少することができる。一方、オリジナルの個人情報に存在する属性情報に基づいてグループ化を行うことで、各グループの匿名加工情報はオリジナルの個人情報の統計的な性質を残すことが可能である。

次に、具体的な実施の形態を説明する。
図３は本実施の形態の匿名加工装置１のブロック図である。
図３に示すように、匿名加工装置１は、操作入力部１０と、処理部１１と、画像表示部１２と、音出力部１３と、通信部１４と、記憶部１５とを備える。

操作入力部１０は、ユーザが匿名加工に関する各種操作を入力するためのものであり、操作入力に応じた操作入力信号を処理部１１に出力する。操作入力部１０の機能は、例えば、タッチ操作パッド、ホームボタン、ボタンスイッチや、ジョイスティック、トラックボールといった直接ユーザが指で操作する素子はもちろん、加速度センサや角速度センサ、傾斜センサ、地磁気センサといった、運動や姿勢を検知する素子等によっても実現できる。

処理部１１は、記憶部１５に格納されるプログラムやデータ、操作入力部１０からの操作入力信号等に基づいて匿名加工装置１の動作を統括的に制御する。処理部１１の機能は、例えば、ＣＰＵやＧＰＵ等のマイクロプロセッサ、ＡＳＩＣ、ＩＣメモリ等の電子部品によって実現できる。この処理部１１は、主な機能部として、演算部２１と、画像生成部２２と、音生成部２３と、通信制御部２４とを備える。

演算部２１は、本実施形態の匿名加工を実現するための処理を実行し、処理結果を画像生成部２２や音生成部２３に出力する。演算部２１は、グループ化部３０と、第２の識別情報発番部３１と、匿名加工情報生成部３２とを含む。

グループ化部３０は、個人情報の属性情報のうち、ユーザから指定された基本属性に基づいて、複数の個人情報をグループ化する。グループ化にあたって、ユーザは、個人情報のうち、第１の識別情報及び基本属性の指定と、グループ化の条件となるグループ化条件とを指定する。グループ化部３０は、個人情報の属性のうち指定された属性の属性値又はデータを、グループ化条件にあてはめて、個人情報を複数のグループにグループ化する。

また、グループ化部３０は、必要に応じて、個人情報のグループ化前に、匿名加工情報の目的に不必要な属性を、個人情報から削除する機能を有する。匿名加工情報の目的に不必要な属性は、ユーザの指定により行われ、グループ化部３０は、指定された属性を、個人情報から削除する。尚、この削除機能は、匿名加工情報生成部３２が備えていても良い。

更に、グループ化部３０は、ひとつのグループに含まれる個人情報の最低数を調整する調整機能を含む。同一のグループ含まれる個人情報の最低数を調整することにより、属性情報の撹拌の度合いを上げ、特定化のリスクを低減することが可能である。

第２の識別情報発番部３１は、グループ化された各グループの個人情報の第１の識別情報の種類の数を計数し、計数した値（第１の識別情報の種類の数）分の第２の識別情報を発番する。

匿名加工情報生成部３２は、各グループの第１の識別情報に対応する個人情報の属性を、そのグループの第２の識別情報にランダムに割り当てる。そして、第２の識別情報と属性とからなる匿名加工情報を生成する。ここで、属性を第２の識別情報にランダムに割り当てる際に留意すべき点がある。属性の割り当てを完全にランダムにしてしまうと、現実にはありえないデータが生まれてしまう可能性がある。例えば、属性が番組の視聴履歴の場合、ある番組を視聴しているときに同時に異なる番組を視聴する、属性が郵便番号の場合、郵便番号が頻繁に変更されるなどである。このような属性の割り当てが行われないように、属性を第２の識別情報に割り当てる。また、上述のような割り当てが行われないようにするため、複数の値が含まれると好ましくない個人情報のフィールドは削除する、加工時にドメイン特化のルールを用意するなどの対応を取るようにしても良い。尚、必要に応じて、グループ化部３０が属性を削除する機能がない場合、匿名加工情報を生成後に、匿名加工情報の目的に不必要な属性を、匿名加工情報から削除する機能を有する。

画像生成部２２は、演算部２１の処理結果に基づいて１フレーム時間（例えば１／６０秒）で１枚の画面を生成し、生成した画面の画像信号を画像表示部１２に出力する。画像生成部２２の機能は、例えば、ＧＰＵやデジタルシグナルプロセッサ（ＤＳＰ）等のプロセッサ、ビデオ信号ＩＣ、ビデオコーデック等のプログラム、フレームバッファ等の描画フレーム用ＩＣメモリ、テクスチャデータの展開用に使用されるＩＣメモリ等によって実現できる。

音生成部２３は、演算部２１の処理結果に基づいて処理に関する効果音や、操作補助情報の音声情報、各種操作音等の音信号を生成し、音出力部１３に出力する。音生成部２３の機能は、例えば、デジタルシグナルプロセッサ（ＤＳＰ）や音声合成ＩＣ等のプロセッサ、音声ファイルを再生可能なオーディオコーデック等によって実現できる。
通信制御部２４は、データ通信のための通信接続及びデータ処理を行う。

画像表示部１２は、画像生成部２２から入力される画像信号に基づいて各種画面を表示する。画像表示部１２の機能は、例えば、フラットパネルディスプレイ、ブラウン管（ＣＲＴ）、プロジェクター、ヘッドマウントディスプレイといった表示装置によって実現できる。
音出力部１３は、音生成部２３から入力される音信号に基づいて効果音等を音出力するためのものである。

通信部１４は、通信回線と接続して通信を実現する。通信部１４の機能は、例えば、無線通信機、モデム、ＴＡ（ターミナルアダプタ）、有線用の通信ケーブルのジャックや制御回路等によって実現できる。

記憶部１５には、匿名加工装置１を動作させ、匿名加工装置１が備える種々の機能を実現するためのプログラムや、このプログラムの実行中に使用されるデータ等が予め記憶され、或いは処理の都度一時的に記憶される。記憶部１５は、例えばＲＡＭやＲＯＭ、フラッシュメモリ等のＩＣメモリ、ハードディスク等の磁気ディスク、ＣＤ－ＲＯＭやＤＶＤ等の光学ディスク等によって実現できる。

記憶部１５には、システムプログラムと、匿名加工処理プログラムとが格納される。システムプログラムは、匿名加工装置１のコンピュータとしての基本機能を実現するためのプログラムである。匿名加工処理プログラムは、演算部２１を、グループ化部３０と、第２の識別情報発番部３１と、匿名加工情報生成部３２として機能させるためのプログラムである。
また、記憶部１５には、第１の識別情報と個人の属性とを含む複数の個人情報が格納されている。

次に、匿名加工装置１の動作を、具体例を用いて説明する。図４は匿名加工装置１の動作のフローチャートである。

また、本例では、記憶部１５には、図５に示す個人情報が格納されているものとする。図５に示す個人情報は、特定個人情報とテレビ等のデバイスによる番組の視聴履歴とを含むものである。具体的には、ひとつの個人情報は、第１の識別情報に対応する個人情報ＩＤと、氏名と、住所と、性別と、年齢と、デバイスＩＤ（視聴装置のＩＤ）と、視聴履歴１から視聴履歴４との属性情報を含む。そして、個人情報から視聴者の視聴傾向を分析するために用いる匿名加工情報を生成することを目的とする。
まず、ユーザの指定により、グループ化部３０は、記憶部１５から個人情報を読み出す（Ｓｔｅｐ１）。

ユーザは、操作入力部１０を用いて、第１の識別情報に対応する個人情報ＩＤと、グループ化の基準となる基準属性と、グループ化の条件とを指定する（Ｓｔｅｐ２）。本例では、視聴者の視聴傾向を分析するために用いる匿名加工情報を生成することが目的なので、第１の識別情報に対応する個人情報ＩＤを指定し、属性として「年齢」を指定し、グループ化の条件として、各視聴者層にグループ化することを条件として指定する。尚、視聴者層は、C層（4-12歳の男女）、T層（13-19歳の男女）、F1層（20-34歳の女性）、F2層（35-49歳の女性）、F3層（50歳以上の女性）、M1層（20-34歳の男性）、M2層（35-49歳の男性）、M3層（50歳以上の男性）である。

必要に応じて、ユーザは、個人情報のうち、匿名加工情報の目的に不必要な属性を指定する（Ｓｔｅｐ３）。これは、匿名加工情報が特定個人情報に該当することを防止するため、更には、匿名加工情報から個人を特定されるリスクを減少させるために有効である。本例では、匿名加工情報の目的は、視聴者の視聴傾向を分析するための情報であるので、個人情報のうち、特定個人情報や個人関連情報に該当する、氏名、住所及びデバイスＩＤ（視聴装置のＩＤ）の属性を削除する。

グループ化部３０は、読みだした個人情報から指定された属性を削除する（Ｓｔｅｐ４）。図６は氏名、住所及びデバイスＩＤ（視聴装置のＩＤ）の属性を削除した個人情報の一例である。

グループ化部３０は、指定された属性の削除が完了すると、基準属性及びグループ化の条件を用いて、個人情報をグループ化する（Ｓｔｅｐ５）。図７は個人情報を、C層からM3層にグループ化した例を示す図である。

次に、第２の識別情報発番部３１は、各グループの個人情報の個人情報ＩＤ（第１の識別情報）の種類を計数し、計数した値分の第２の識別情報を発番する（Ｓｔｅｐ６）。図７の例では、グループ１（Ｃ層）の個人情報の個人情報ＩＤ（第１の識別情報）の種類の数は３個（ＩＤ１、ＩＤ２５、ＩＤ８０）である。従って、３個の第２の識別情報を発番する。例えば、発番される第２の識別情報は、ＩＤ１．１、ＩＤ１．２、ＩＤ１．３である。

匿名加工情報生成部３２は、各グループの個人情報ＩＤ（第１の識別情報）に対応する個人情報の属性を、そのグループの第２の識別情報にランダムに割り当て、第２の識別情報と属性とからなる匿名加工情報を生成する（Ｓｔｅｐ７）。図８はグループ１（Ｃ層）の個人情報を第２の識別情報にランダムに割り当て匿名加工情報を生成する一例を示した図である。

図８の例では、第１の識別情報である“ＩＤ１”の個人情報のうち、性別“１ｃ”が第２の識別情報である“ＩＤ１．３”の性別に、年齢“１ｄ”が第２の識別情報である“ＩＤ１．２”の年齢に、視聴履歴１“１ｆ”が第２の識別情報である“ＩＤ１．３”の視聴履歴１に、視聴履歴２“１ｇ”が第２の識別情報である“ＩＤ１．３”の視聴履歴２に、視聴履歴３“１ｈ”が第２の識別情報である“ＩＤ１．１”の視聴履歴３に、視聴履歴４“１ｉ”が第２の識別情報である“ＩＤ１．２”の視聴履歴４に、それぞれ割り当てられている。

また、第１の識別情報である“ＩＤ２５”の個人情報のうち、性別“２５ｃ”が第２の識別情報である“ＩＤ１．１”の性別に、年齢“２５ｄ”が第２の識別情報である“ＩＤ１．１”の年齢に、視聴履歴１“２５ｆ”が第２の識別情報である“ＩＤ１．１”の視聴履歴１に、視聴履歴２“２５ｇ”が第２の識別情報である“ＩＤ１．２”の視聴履歴２に、視聴履歴３“２５ｈ”が第２の識別情報である“ＩＤ１．３”の視聴履歴３に、視聴履歴４“２５ｉ”が第２の識別情報である“ＩＤ１．３”の視聴履歴４に、それぞれ割り当てられている。

また、第１の識別情報である“ＩＤ８０”の個人情報のうち、性別“８０ｃ”が第２の識別情報である“ＩＤ１．２”の性別に、年齢“８０ｄ”が第２の識別情報である“ＩＤ１．３”の年齢に、視聴履歴１“８０ｆ”が第２の識別情報である“ＩＤ１．２”の視聴履歴１に、視聴履歴２“８０ｇ”が第２の識別情報である“ＩＤ１．１”の視聴履歴２に、視聴履歴３“８０ｈ”が第２の識別情報である“ＩＤ１．２”の視聴履歴３に、視聴履歴４“８０ｉ”が第２の識別情報である“ＩＤ１．１”の視聴履歴４に、それぞれ割り当てられている。

このようにして生成された匿名加工情報は、特定化リスクを低減しつつも、データのサンプル量が十分に大きければ例えば、統計的な性質を残しており、有用な情報となる。

次に、他の実施の形態の具体例を用いた動作を説明する。図９は他の実施の形態の動作フローチャートである。
他の実施の形態の具体例を用いた動作例では、記憶部１５には、図１０に示す個人情報が格納されているものとする。図１０に示す個人情報は、テレビ端末識別子、視聴者属性、都道府県、チャンネル、視聴開始時刻、視聴終了時刻を属性として含む視聴データである。そして、個人情報から視聴者の視聴傾向を分析するために用いる匿名加工情報を生成することを目的とする。

まず、ユーザの指定により、グループ化部３０は、記憶部１５から個人情報を読み出す（Ｓｔｅｐ１）。

ユーザは、操作入力部１０を用いて、第１の識別情報と、グループ化の基準となる基準属性と、グループ化の条件とを指定する（Ｓｔｅｐ２）。本例では、第１の識別情報としてテレビ端末識別子を指定し、視聴者の視聴傾向を分析するために用いる匿名加工情報を生成することが目的なので、属性として「視聴者属性」を指定し、グループ化の条件として、各視聴者層にグループ化することを条件として指定する。尚、視聴者層は、C層（4-12歳の男女）、T層（13-19歳の男女）、F1層（20-34歳の女性）、F2層（35-49歳の女性）、F3層（50歳以上の女性）、M1層（20-34歳の男性）、M2層（35-49歳の男性）、M3層（50歳以上の男性）である。

グループ化部３０は、基準属性及びグループ化の条件を用いて、個人情報をグループ化する（Ｓｔｅｐ３）。図１１は個人情報を、視聴属性に基づいて、個人情報をグループＩＤ１とグループＩＤ２とのふたつのグループにグループ化した例を示す図である。

次に、第２の識別情報発番部３１は、各グループの個人情報のテレビ端末識別子（第１の識別情報）の種類を計数し、計数した値分の第２の識別情報を発番する（Ｓｔｅｐ４）。図１２の例では、グループ１（Ｍ１層）の個人情報のテレビ端末識別子（第１の識別情報）の種類の数は４個（テレビ端末識別子Ａ，Ｂ，Ｃ，Ｄ）である。従って、４個の第２の識別情報を発番する。例えば、発番される第２の識別情報は、ＩＤ１．１、ＩＤ１．２、ＩＤ１．３、ＩＤ１．４である。また、グループ２（Ｆ２層）の個人情報のテレビ端末識別子（第１の識別情報）の種類の数は３個（テレビ端末識別子Ｅ，Ｆ，Ｇ）である。従って、３個の第２の識別情報を発番する。例えば、発番される第２の識別情報は、ＩＤ２．１、ＩＤ２．２、ＩＤ２．３である。

匿名加工情報生成部３２は、各グループのテレビ端末識別子（第１の識別情報）に対応する個人情報の属性を、そのグループの第２の識別情報にランダムに割り当て、第２の識別情報と属性とからなる匿名加工情報を生成する（Ｓｔｅｐ５）。図１２は各グループの個人情報を第２の識別情報にランダムに割り当て匿名加工情報を生成する一例を示した図である。

図１２の例では、グループＩＤ１のグループのテレビ端末識別子が“Ａ”の個人情報のひとつがＩＤ１．３に、他のひとつがＩＤ１．４に割り当てられている。また、テレビ端末識別子が“Ｂ”の個人情報のひとつがＩＤ１．１に、他のひとつがＩＤ１．３に割り当てられている。また、テレビ端末識別子が“Ｃ”の個人情報がＩＤ１．２に割り当てられている。また、テレビ端末識別子が“Ｄ”の個人情報がＩＤ１．１に割り当てられている。
また、図１２の例では、グループＩＤ２のグループのテレビ端末識別子が“Ｅ”の個人情報がＩＤ２．２に割り当てられている。また、テレビ端末識別子が“Ｆ”の個人情報がＩＤ２．１に割り当てられている。また、テレビ端末識別子が“Ｇ”の個人情報がＩＤ２．３に割り当てられている。

ここで、第２の識別情報であるＩＤ１．３には異なる都道府県である“東京都”と“千葉県”とが割り当てられているが、視聴者層の視聴傾向を分析するために用いる匿名加工情報を生成することが目的なので、異なる都道府県が同一の第２の識別情報に割り当てられていても良い。但し、同一の第２の識別情報に、同一の視聴時間で異なるチャンネルを視聴する履歴は割り当てられないようにする。同一のテレビ識別端末子では同一時間に異なるチャンネルを視聴できないのが原則だからである。また、匿名加工情報の目的が視聴者層の視聴傾向を分析するためのものであることを鑑みれば、現実には起こりえない視聴履歴を持つ匿名加工情報は有用ではない場合が多いからである。

次に、ユーザは、個人情報のうち、匿名加工情報の目的に不必要な属性を指定する（Ｓｔｅｐ３）。これは、匿名加工情報が特定個人情報に該当することを防止するため、更には、匿名加工情報から個人を特定されるリスクを減少させるために有効である。本例では、匿名加工情報の目的は、視聴者の視聴傾向を分析するための情報であるので、個人情報のうち、特定個人情報や個人関連情報に該当する、テレビ端末識別子及び都道府県の属性を削除する。

匿名加工情報生成部３２は、属性が割り当てられた個人情報のうち指定された属性を削除する（Ｓｔｅｐ７）。図１３はテレビ端末識別子及び都道府県の属性が削除された匿名加工情報の一例である。
このようにして生成された匿名加工情報は、特定化リスクを低減しつつも、データのサンプル量が十分に大きければ例えば、統計的な性質を残しており、有用な情報となる。

以上、好ましい実施の形態をあげて本発明を説明したが、本発明は必ずしも上記実施の形態に限定されるものではなく、その技術的思想の範囲内において様々に変形し実施することが出来る。

１匿名加工装置
１０操作入力部
１１処理部
１２画像表示部
１３音出力部
１４通信部
１５記憶部
２１演算部
２２画像生成部
２３音生成部
２４通信制御部
３０グループ化部
３１第２の識別情報発番部
３２匿名加工情報生成部

Claims

個人に関する属性情報と第１の識別情報とを含む個人情報を匿名加工する匿名加工装置であって、
前記個人情報の属性情報のうち所定の属性情報と前記所定の属性情報に基づくグループ化の条件とを用いて、複数の個人情報をグループ化する第１のグループ化手段と、
前記グループ化されたグループ毎に、グループに含まれる個人情報の前記第１の識別情報の種類の数分の第２の識別情報を生成する第２の識別情報生成手段と、
前記グループ化されたグループ毎に、グループに含まれる前記第１の識別情報に対応する個人情報の属性情報を、前記第２の識別情報に割り当て、前記第２の識別情報と属性情報とから成る匿名加工情報を生成する匿名加工情報生成手段と
を備える匿名加工装置。
前記属性情報は、前記個人の履歴情報を含む
請求項１に記載の匿名加工装置。
前記属性情報は、個人関連情報を含む
請求項１又は請求項２に記載の匿名加工装置。
前記匿名加工情報生成手段は、現実には起こりえない二つの以上の属性情報が同一の第２の識別情報に割り当てられないようにする
請求項１から請求項３のいずれかに記載の匿名加工装置。
前記第１のグループ化手段は、ひとつのグループに含まれる個人情報の最低数を調整する調整手段を含む
請求項１から請求項４のいずれかに記載の匿名加工装置。
前記個人情報の属性情報のうち、匿名加工情報の使用目的に不要な属性情報を除去する除去手段を、更に備える
請求項１から請求項４のいずれかに記載の匿名加工装置。
個人に関する属性情報と第１の識別情報とを含む個人情報を匿名加工するコンピュータのプログラムであって、
前記プログラムは、前記コンピュータを、
前記個人情報の属性情報のうち所定の属性情報と前記所定の属性情報に基づくグループ化の条件とを用いて、複数の個人情報をグループ化する第１のグループ化手段と、
前記グループ化されたグループ毎に、グループに含まれる個人情報の前記第１の識別情報の種類の数分の第２の識別情報を生成する第２の識別情報生成手段と、
前記グループ化されたグループ毎に、グループに含まれる前記第１の識別情報に対応する個人情報の属性情報を、前記第２の識別情報に割り当て、前記第２の識別情報と属性情報とから成る匿名加工情報を生成する匿名加工情報生成手段と
して機能させるプログラム。
個人に関する属性情報と第１の識別情報とを含む個人情報を匿名加工する匿名加工方法であって、
コンピュータが、
前記個人情報の属性情報のうち所定の属性情報と前記所定の属性情報に基づくグループ化の条件とを用いて、複数の個人情報をグループ化し、
前記グループ化されたグループ毎に、グループに含まれる個人情報の前記第１の識別情報の種類の数分の第２の識別情報を生成し、
前記グループ化されたグループ毎に、グループに含まれる前記第１の識別情報に対応する個人情報の属性情報を、前記第２の識別情報に割り当て、前記第２の識別情報と属性情報とから成る匿名加工情報を生成する
匿名加工方法。