寓話
誰も引き取れない処方帳
城の医館は、長年の病案を学生の研究に提供したいと考えた。館長はまず人に命じて氏名を削らせ、甲乙丙丁に変えた。これで安全だと思われた。患者の顔は紙から消えたからだ。館長はもともと良いことをしようとしていた。学生が多くの症例に触れ、将来の誤診を減らせるようにするためである。目的が正当であるほど、紙のページが再び人を指し示すリスクを過小評価しやすくなる。
まもなく、一人の学生が病案と城外の花名冊を照合した。「六十二歳、南橋在住、冬至に右腿を骨折、染坊を営む」。城中で該当する者は一人だけだった。名前は消えたが、人は再び見つけ出された。医館は初めて目立つ姓名だけを処理し、門牌号も削除した。しかし学生は年齢、職業、事故の時刻、街坊の噂を組み合わせ、なおも人を特定した。
館長はそこで初めて気づいた。秘密は名前にだけでなく、希少な組み合わせにも潜んでいる。彼らは二度目の処理で、年齢を年齢層に変え、街路を地区にまとめ、希少疾患を大分類にまとめた。あまりに珍しい記録は当面外部に貸し出さないことにした。
学生たちは資料が粗くなり、多くの細部が使えなくなったと不満を言った。館長は否定しなかった。個人に指し戻すのが難しいほど、研究に使える鋭さは低くなる傾向がある。そこで医館は用途別に分冊した。通常の教学には粗い冊子、厳格管理の研究には細かい冊子を使い、閲覧には登記が必要で持ち出しは禁止された。第二版はまた削りすぎて、学生たちは病の経過の変化が分からなくなった。館長はそこで問題別に等級分けした。教学では粗い粒度を見て、厳格管理の研究では小部屋で細部を見て、持ち出し資料はさらに曖昧にした。
医館は外部の人にも再識別を試してもらった。外部の人がいくつかの手がかりで特定の患者を推測できれば、資料は差し戻して作り直し。安全とは自分が見分けられないと思うことではなく、他人も組み立て直すのが難しいことだ。
館長は学生に取捨も説明した。資料が細かいほど、実際の患者に近づき、人を傷つけやすくもなる。資料が粗いほど、研究問題は少なくなる。外部貸出のたびに用途を先に問い、どの粒度まで保持するかを決める。
最終的に提出されたのは、偽名に置き換えた病歴ではなく、個人を特定しにくくした資料であった。名前を隠すのは始まりにすぎず、本当に難しいのは、周辺の手がかりを組み合わせて本人を再び特定することを防ぐことである。