2023年8月17追記（仮名加工情報の共同利用について）

2021年5月12日に公開した本記事ですが、その後、多くの方にお読みいただき多数のお問い合わせをいただきました。もっとも、改正個人情報保護法の全面施行日（2022年4月1日）に先立って公開した本記事においては、全面施行後、注目を集めている仮名加工情報の共同利用に関する記述がほとんどございません。

仮名加工情報の共同利用については、その後公開しました「AI医療機器開発のための医療データ収集と個人情報保護法」において、研究デザインに応じたデータ収集のスキームを整理する中で触れておりますので、同記事をご覧いただけますと幸いです。

１　はじめに～令和2年個人情報保護法改正

個人情報保護法が2020年（令和2年）6月12日に改正され、公布されました（以下改正法を「法」といい、現行法と同じ条文番号のものも含めて統一して引用します）。改正法の全面施行の日は、令和4年4月1日と定められ、施行まで1年を切る状況となっています（改正に向けての具体的なロードマップは以下のとおりです）。

（個人情報保護委員会・個人情報の保護に関する法律等の一部を改正する法律の成立を受けた個人情報保護委員会の今後の取組について（令和２年６月１５日）より引用）

改正法の概要・詳細についての紹介記事は別途本ブログなどで紹介する予定ですが、本稿では、これに先立って、新たに新設された「仮名加工情報」に関するルールと、AI開発実務における影響について解説します。

２　（前提）個人情報とはなにか

前提として、まず、個人情報保護法上の「個人情報」の定義を確認します。
「個人情報」の定義について、法文上の括弧書きを一部割愛して読むと次のとおりです（2号の個人識別符号は省略）。

■個人情報保護法2条1項1号
生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）
（個人情報保護法2条1項柱書と1号より）

このうち、黒字でマークした箇所が「容易照合性」と呼ばれる要件です。
つまり、単体では特定の個人を識別することができない情報であっても、当該情報が他の情報と容易に照合することができ、それによって特定の個人を識別することができるものは、個人情報となります。

３　仮名加工情報とはなにか（法律上の位置付け）

改正法で新設された「仮名加工情報」とは、他の情報と照合しない限り、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報をいいます（法2条9項）。

「他の情報と照合しない限り、特定の個人を識別することができない」とあるように、仮名加工情報は、他の情報と照合すれば特定の個人を識別しうる情報です。したがって、容易照合性が認められない仮名加工情報は「個人情報」に該当しないものの、容易照合性が認められる仮名加工情報は「個人情報」に該当します。

これに対し、前回の改正（平成27年改正）で創設された匿名加工情報は、他の情報との照合によっても特定の個人を識別することができないものとされています（法2条11項）。つまり、匿名加工情報は「個人情報」には該当しません。この点において、仮名加工情報とはその基本的性質を異にします。

ここまでに出てきた「個人情報」「仮名加工情報」「匿名加工情報」を整理すると、以下のような関係にあることが分かります。なお余白部分は個人関連情報（法26条の2第1項）となります。

４　仮名加工情報でなにが変わるのか

▶　仮名加工情報に関する例外的取扱い（適用除外規定）

それでは、個人情報を仮名加工情報に加工することで何ができるのでしょうか。
これをわかりやすく図示したのが以下の図です。

（第159回個人情報保護委員会・改正法に関連する政令・規則等の整備に向けた論点について（仮名加工情報）より引用）

現行法下では、「個人情報」に該当する場合には一律に個人情報の取扱いに係る規律の対象となっていました。
しかし、「仮名化された個人情報」は、生の「個人情報」と比べて、本人と紐付いて利用されることがない限りは、個人の権利利益が侵害されるリスクが相当程度低下します。

そこで、改正法では、このような仮名化された情報を「仮名加工情報」として個人情報とは別に取り扱うこととしました。具体的には「仮名加工情報」については、上図のとおり、

①　利用目的の変更の制限（法15条2項）に関する義務
②　漏えい等の報告等（法22条の2）に関する義務
③　開示・利用停止等の請求対応（法27条から34条）に関する義務

という「個人情報」の取扱いに関する義務を適用除外とすることとしました（法35条の2第9項）。

この中でも、AI開発やデータ利活用の観点から最も重要となるのは、①利用目的の変更の制限（法15条2項）に関する義務が適用除外となることです。

▶　通常の個人情報における利用目的のルールと利活用の限界

では、利用目的の変更の制限（法15条2項）に関する義務が適用除外になるとはどういうことでしょうか。前提として通常の個人情報についてのルールを確認します。

通常の個人情報を取り扱うに際しては、利用目的をできる限り特定した上で（法15条1項）、特定された利用目的の達成に必要な範囲でしか取り扱うことができません（法16条1項）。

そして、事業者が従前特定していた利用目的を超えて取り扱いたいと考えた場合であっても、利用目的の変更には、変更前の利用目的と関連性を有すると合理的に認められる範囲でしか変更できないという制限があります（法15条2項）。また、利用目的を変更せずに目的外利用を行うには本人の同意が必要となります（法16条1項）。

大事なところですので、一例をあげて説明をします。

例えば、ある医療機関が過去に診療目的で取得した大量のMRI画像データを、医用画像処理AIの開発目的で利用したいと考えたとします。

しかし、新たに定めたAI開発という利用目的は、当初の利用目的（診療目的）との関連性がないことが通常であり、原則としてこのような利用目的の変更は許されません（上図参照）。
そのような解釈を取ると、上図の例のように新たな目的での利用を行うためには、本人の同意を得るか匿名加工情報を作成するという方法しかありませんでした。

しかしながら、医療機関が、患者本人から、事後的に個人データの目的外利用に関する同意を取得することのコストは非常に大きく、事実上そのような同意を取得することは不可能と思われます。また、匿名加工情報についても、加工水準を満たす作成を行うという技術的なハードルに加え、作成された情報の粒度が粗くAI開発の学習用データとして不十分な場合があるという限界がありました。

▶　仮名加工情報でできること

他方、既に紹介したとおり仮名加工情報については、利用目的の変更に関する法15条2項が適用除外となります（法35条の2第9項）。

したがって、個人情報を仮名加工情報に加工し（この段階ではまだ元々の個人情報の利用目的の状態です）、当該利用目的と関連性を有すると合理的に認められる範囲を「超えた」利用目的の変更を行うことが可能となります。

つまり、先ほどの例でいうと、医療機関は、個人情報を仮名加工して仮名加工情報を作成することで、患者本人に目的外利用の同意を得ることなく、AI開発という目的で利用することができます。

なお、このような内部的な機械学習のための利用は、以下のとおり個人情報保護委員会の資料でも明示的に引用されているところです。

（個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律案について」－ 内閣府規制改革推進会議 第７回 成長戦略ワーキング・グループ資料1-2スライド9より。赤囲みは筆者）

▶　仮名加工情報でできないこと（禁止されていること）

ケースに移る前に、最後に仮名加工情報でできないこと（禁止されていること）を紹介します。

①　本人を識別するために、他の情報と照合する識別行為（法35条の2第7項）
②　仮名加工情報に含まれる連絡先その他の情報を利用して、本人に連絡・接触等する行為（法35条の2第8項）
③　第三者提供（法35条の2第6項・法35条の3第1項）
　　★ただし、委託・共同利用は可（法35条の2第6項・法35条の3第2項）
④　上記①～③の行為を必要とする利用目的を定めること（一問一答27頁）

重要なのは、③仮名加工情報そのものの第三者提供が禁止されているという点です（仮名加工情報である個人データにつき法35条の2第6項・個人情報に該当しない仮名加工情報につき法35条の3第1項）。
仮名加工情報が制定された制度趣旨が、事業者内部における分析に限定すること等を条件に、（利用停止等の請求への対応義務を緩和し、）様々な分析に活用できるようにするという点にあることから、このようなルールになっています。

他方、委託・共同利用による提供は可能という点も重要であるため、併せて覚えておきましょう。

５　医療ＡＩ開発に関する３つのケースの検討

▶　ケース１　医療機関自身によるAI開発

Q　医療機関Aは、過去に診療目的で取得したMRI画像データを仮名加工し、得られた仮名加工情報を医用画像処理AIの開発目的で利用したい。このような仮名加工情報の利用は可能か。

A　可能です。

ケース１はまさに前項（４　仮名加工情報でなにが変わるのか）で例として紹介したケースです。
まずはここからおさらいしましょう。

まず、医療機関Aは、患者から「診療目的」で取得した個人情報を仮名加工して仮名加工情報を作成します。仮名加工情報については、利用目的の変更制限が例外的に適用除外とされていました（法35条の2第9項）。そのため、医療機関Aは、作成した仮名加工情報につき、利用目的をAI開発目的に変更した上で、変更後の目的の範囲内で利用することができます。

なお、このように仮名加工情報の利用目的の変更を行った場合には、変更後の利用目的をできる限り特定して、公表しなければならないこととなります（法15条1項・法35条の2第4項において読み替えて適用する18条3項）。

▶　ケース２　医療機関が外部ベンダと組んで行う委託開発

Q　医療機関Aは、過去に診療目的で取得したMRI画像データを仮名加工し、得られた仮名加工情報を医用画像処理AIの開発目的で利用したい。ただし、自院において内製する技術はないため、ベンダBに開発委託を行う予定である（以下「本開発」といいます）。
（a）医療機関A・ベンダBは、本開発を実施するに当たり仮名加工情報を利用することはできるか。（b）また、仮名加工自体をベンダBに委託することも可能か。

A　（a）は可能です。（b）も可能と考えます。

ケース２は、医療機関が外部ベンダと組んで行う委託開発のケースです。
実際には、ケース１のように医療機関自身がAI開発を内製化していることは稀で、ケース２のように外部のベンダに委託して開発を行う（あるいは共同研究開発を行う）ことが通常です。
したがって、ケース２の方が実務上の重要性は高いといえます。

まず、医療機関Aが、患者から「診療目的」で取得した個人情報を仮名加工し、仮名加工情報を作成することで、利用目的を「AI開発目的」に変更できることはケース１と同様です。

次に、仮名加工情報は「第三者提供」が禁止されています（本件では仮名加工情報である個人データに該当するため法35条の2第6項。以下同じ）。
しかし、重要な例外として紹介したとおり、「委託」することに伴って提供することは例外的に可能とされています（同項）。

そのため、ケース２のように医療機関Aが仮名加工情報の利用目的をAI開発目的に変更した場合であれば、医療機関Aは、ベンダBに対し、AI開発目的という利用目的の達成に必要な範囲内において取扱いを委託し、かかる委託に伴う提供（上図の④）を行うことが可能です。

また、ベンダBにおいては、医療機関Aの利用目的（AI開発目的）の範囲内で仮名加工情報を取り扱うことができるため、仮名加工情報をAI開発目的で利用し、医用画像処理AIを開発することができます（上図の⑤）。

なお、実際には、医療機関ではAI開発だけでなく仮名加工情報の作成自体も委託することが想定されます。このような仮名加工情報の作成自体の委託も、匿名加工情報の作成の委託（現行規則21条2項）同様に認められると整理される可能性が高いと考えられます。

▶　ケース３　外部ベンダによる自社プロダクトの開発

Q　ベンダBは、自社プロダクトとして医用画像処理AI「STORIA」を保有している。ベンダBは、医療機関Aが過去に診療目的で取得したMRI画像データを仮名加工してもらい、得られた仮名加工情報を自社プロダクト「STORIA」の学習用データとして利用したい。
ベンダBは、医療機関Aから仮名加工情報の提供を受けることができるか。

A　できません。

ケース３は、ケース１・２と異なり、医療機関AではなくベンダBの自社開発の場面です。

まず、重要な点ですので繰り返しますが、仮名加工情報は原則として第三者提供が禁止されています（法35条の2第6項）。そして、例外的に提供が認められている場合として、委託等に伴い提供される場合があります（同項）。ケース２では、まさにこの「委託」を根拠として医療機関Aは、ベンダBに対し仮名加工情報を提供することができました。

それでは、ベンダBが自社プロダクト「STORIA」を開発する場面はどうでしょうか。

委託とは、個人情報取扱事業者（委託元。ケースにおける医療機関A）が利用目的の達成に必要な範囲内において仮名加工情報の取扱いを委託することを指します（法35条の2第6項において読み替えて適用する同23条5項1号）。

しかし、ベンダBが、医療機関Aにおいて作成した仮名加工情報を、医療機関AにおけるAI開発目的ではなく、自社のAI開発目的で利用するという行為は、もはや委託元における利用目的の達成に必要な範囲内の行為とはいえません。したがって、医療機関Aは、ベンダBに対し、仮名加工情報を「委託」を根拠として提供することはできません。

そのため、原則に立ち返って、医療機関Aは、ベンダBに対して仮名加工情報を提供することはできません（法35条の2第6項）。

なお、ケース３のように、ベンダ自身が自社AI開発を目的として医療機関からデータの提供を受ける場合には、改正法により新設される仮名加工情報ではなく、これまでと同様、（本人の同意を得ずに）第三者提供が認められている匿名加工情報の提供を受ける方法が用いられることとなるでしょう。

（前掲・内閣府規制改革推進会議 第７回 成長戦略ワーキング・グループ資料1-2スライド9より。赤囲みは筆者）

６　まとめと所感

ここまでの検討をまとめるに、現段階で、以下のことが指摘できると考えています。

①　医療機関などのユーザ（データホルダー）において従前から保有していたものの、利用目的の制限により十分に利活用できなかった多くの個人情報が、仮名加工情報のスキームを用いることで、一挙に日の目を見ることになる。

②　具体的には、仮名加工情報として利用目的を変更することで、ユーザにおける機械学習含む内部的利用が加速する可能性が高い。このことは、ベンダ視点では、仮名加工情報を用いた受託開発の機会が増加することを意味する。

③　他方で、仮名加工情報は第三者に提供できないことから、ベンダが仮名加工情報の提供を受けて、自社AIの開発を行うことはできない。ユーザが保有するデータを本人同意なく提供を受けたいのであれば、基本的には従前どおり匿名加工情報などのスキームによるべき。

以上、本稿においては、本稿執筆時点において公開されている個人情報保護委員会の資料等を元に、改正法において新たに新設された「仮名加工情報」に関するルールと、AI開発実務における影響を、医療AI開発のケースを元に検討してみました。

なお、本稿執筆時点では未公開ですが、冒頭で触れたロードマップによると、夏頃にはガイドラインやQ&Aが公表される予定です。随時、最新の情報に基づいてバージョンアップを続けたいと考えていますので、定期的にご覧いただけると幸いです。（弁護士山城尚嵩）

・STORIA法律事務所へのお問い合わせはこちらのお問い合わせフォームからお願いします。
・最新情報はTwitterにて随時お届けしております。