基本的な理解は前回で終わりました。今日から具体的な義務に入りますが、これは条文そのままですので説明は少なくなります。
Ⅳ．作成者の義務
ⅰ）個人を識別できないようにする義務
「匿名加工情報」は特定個人を識別できず、復元できないものでした。
２条９項 この法律において「匿名加工情報」とは、次の各号に掲げる個人情報の区分に応じて当該各号に定める措置を講じて特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものをいう。
（各号略）
加工する前の個人情報を保有しているのは「個人情報取扱事業者」ですから、この「個人情報取扱事業者」は「匿名加工情報」を作成する際に特定個人を識別できず、また復元が出来ないようにする義務を負います。
個人情報保護法
（匿名加工情報の作成等）
３６条１項 個人情報取扱事業者は、匿名加工情報（匿名加工情報データベース等を構成するものに限る。以下同じ。）を作成するときは、特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い、当該個人情報を加工しなければならない。
「個人情報保護委員会規則」は１９条でこれについて規定しているのですが、そこまでは出ないでしょうからここには入れません。１回目を通せば、「まあ、そうだろうな」というのが分かると思います。
ⅱ）安全管理措置義務
特定個人を識別できない「匿名加工情報」を作成した場合、それが特定個人を識別する情報になっては意味がありませんから、それらの情報を安全に管理する義務を課されます。
個人情報保護法
３６条２項 個人情報取扱事業者は、匿名加工情報を作成したときは、その作成に用いた個人情報から削除した記述等及び個人識別符号並びに前項の規定により行った加工の方法に関する情報の漏えいを防止するために必要なものとして個人情報保護委員会規則で定める基準に従い、これらの情報の安全管理のための措置を講じなければならない。
題名の「安全管理措置義務」だけで試験には対応できるでしょうが、内容が漠然としていると思いますので、覚えるものではありませんが規則を入れることにします。ⅲ）以降に入れる規則もあくまでも理解のためです。
（加工方法等情報に係る安全管理措置の基準）
第２０条 法第３６条第２項の個人情報保護委員会規則で定める基準は、次のとおりとする。
１号 加工方法等情報（匿名加工情報の作成に用いた個人情報から削除した記述等及び個人識別符号並びに法第36条第１項の規定により行った加工の方法に関する情報（その情報を用いて当該個人情報を復元することができるものに限る。）をいう。以下この条において同じ。）を取り扱う者の権限及び責任を明確に定めること。
２号 加工方法等情報の取扱いに関する規程類を整備し、当該規程類に従って加工方法等情報を適切に取り扱うとともに、その取扱いの状況について評価を行い、その結果に基づき改善を図るために必要な措置を講ずること。
３号 加工方法等情報を取り扱う正当な権限を有しない者による加工方法等情報の取扱いを防止するために必要かつ適切な措置を講ずること。
加工方法などの情報を取り扱う者の責任と権限を明確にし（１号）、その情報の取扱いに関する定め（規程類）を整備して適切に取り扱うとともに改善に向けて必要な措置を講じ（２号）、権限のない者がその情報に接触しないような措置を講ずる（３号）ことが作成した個人情報取扱事業者に求められています。
ⅲ）項目の公表義務
個人情報を提供した人や個人情報を取得された人は、自分の個人情報が加工されて利用されていることは分かりません。そこで、項目を公表しなければならないことになっています。
個人情報保護法
３６条３項 個人情報取扱事業者は、匿名加工情報を作成したときは、個人情報保護委員会規則で定めるところにより、当該匿名加工情報に含まれる個人に関する情報の項目を公表しなければならない。
公表が義務付けられるのは「個人に関する情報の項目」ですから、例えば年齢、性別や今まで挙げてきた例で言うと居住する区や市町村、買物履歴などが考えられます。
「公表」の方法については規則を入れておきます。
個人情報保護委員会規則
（個人情報取扱事業者による匿名加工情報の作成時における公表）
第２１条 法第３６条第３項の規定による公表は、匿名加工情報を作成した後、遅滞なく、インターネットの利用その他の適切な方法により行うものとする。
（２項略）
作成後「遅滞なく」、インターネット上のホームページに掲載することなどによって誰でも知ることが出来る状態にすることになります。
実際にどれだけの人が興味を持ったり確認したりするのかは分かりませんが、自分の買物履歴などが利用されていることを知ることができますし、監督する立場の個人情報保護委員会にとってはこれで状況をチェックできるということなのでしょう。
ⅳ）再識別のための他の情報との照合禁止
特定の個人を識別できないうえに復元も出来ないのが「匿名加工情報」ですから、これを特定の個人を識別するために他の情報と照合することが禁じられています。
個人情報保護法
３６条５項 個人情報取扱事業者は、匿名加工情報を作成して自ら当該匿名加工情報を取り扱うに当たっては、当該匿名加工情報の作成に用いられた個人情報に係る本人を識別するために、当該匿名加工情報を他の情報と照合してはならない。
例としては良くないのでしょうが、
「この年齢の男性でこんな物を買うのは何処のどいつだろう？」
なんてことをされては「匿名加工情報」の意味がありません。また、復元できないのが前提ですので「他の情報と照合して」になっているのだろうと思います。
ⅴ）安全管理や適正な取扱いのための措置義務
題名は適当に付けました。作成者には安全管理のための措置や適正な取扱いを確保する措置を講じ、それを公表するという努力義務が化せられています。
個人情報保護法
３６条６項 個人情報取扱事業者は、匿名加工情報を作成したときは、当該匿名加工情報の安全管理のために必要かつ適切な措置、当該匿名加工情報の作成その他の取扱いに関する苦情の処理その他の当該匿名加工情報の適正な取扱いを確保するために必要な措置を自ら講じ、かつ、当該措置の内容を公表するよう努めなければならない。
ⅵ）第三者提供時の公表・明示義務
４項なのですが、作成・保有ではなくて第三者に提供する際の義務なので最後にしました。
「匿名加工情報」を「第三者」に提供する際には、あらかじめ、項目と方法を公表するとともに「第三者」には「匿名加工情報」であることを明示しなければならないことになっています。
個人情報保護法
３６条４項 個人情報取扱事業者は、匿名加工情報を作成して当該匿名加工情報を第三者に提供するときは、個人情報保護委員会規則で定めるところにより、あらかじめ、第三者に提供される匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について公表するとともに、当該第三者に対して、当該提供に係る情報が匿名加工情報である旨を明示しなければならない。
「個人情報保護委員会規則で定めるところにより、あらかじめ、」
はそれぞれ読点があることから、「公表」と「明示」の両方に掛かるように読めます。従って、個人情報保護委員会規則もその双方について規定しています。
個人情報保護委員会規則
（個人情報取扱事業者による匿名加工情報の第三者提供時における公表等）
第２２条 法第３６条第４項の規定による公表は、インターネットの利用その他の適切な方法により行うものとする。
２項 法第３６条第４項の規定による明示は、電子メールを送信する方法又は書面を交付する方法その他の適切な方法により行うものとする。
「第三者」にあらかじめ「明示」するのは、提供された「第三者」が次回に取り上げる「匿名加工情報取扱事業者」として義務を負うことになるからです。
一寸だけど役にたったと思った方はクリックを・・・。
