寓話
名簿を破り名前を変える
市病院の資料室に患者名簿がある。氏名、身分証番号、病歴、投薬記録が書かれている。病院は後ろ向き研究を行うため、この名簿を大学の研究チームに渡す必要がある。
記録係の老唐には二つの処理方法があった。第一に、名簿から氏名と身分証番号を完全に削除し、原本の対照表もシュレッダーにかける。第二に、氏名を「P001」「P002」という番号に置き換え、対照帳を鍵付きで保管し、老唐だけが鍵を持つ。
老唐は二つの方法はほぼ同じだと思った——どうせ研究チームが受け取るデータには実名は見えない。彼は二番目を選んだ。万一研究結果で患者に通知する必要があれば、鍵で戸棚を開けて照合できるからだ。研究チームは番号化されたデータを受け取り、無事に論文を発表した。
半年後、病院の情報セキュリティ監査。監査員はその番号化されたデータを指して尋ねた。対照表はまだあなたの棚にあるか？老唐はあると答えた。監査員は報告書に一行書き添えた。このデータセットは仮名化データであり、再識別の可能性を含み、依然として個人データであり、データ保護法規の管轄下にある。
老唐は焦った。「名前を全部番号に変えたのに、なぜまだ個人データなんだ？」監査員は説明した。「匿名化の基準は、誰かがデータを特定の個人に結び付けられるかどうかで判断します。名前を削除するだけではまったく足りません。あなたの対応表がまだ戸棚にあるなら、番号を本名に戻す能力を依然として持っていることになり、このデータは法的には匿名ではありません。」
老唐は法規原文を調べ、法律が「匿名化」に求める要件が想像よりはるかに高いことを発見した——直接識別子を削除するだけでなく、間接識別子の組み合わせが再識別を引き起こす可能性を評価しなければならない。一方「仮名化」は直接識別子を置換することだけを求め、対照表の保持を許容し、法律上は依然として個人データであり、リスクを低減する技術手段の一つにすぎない。
老唐は戻ってデータ処理フローを改めた。法律上の「匿名」が必要なデータについては、元の名簿と対照表をすべて破棄し、復元経路を一切残さなかった。後続のフォローアップが必要なデータについては、仮名化プロセスを通したが、明確に注記した：このデータセットは仮名化データであり、対照表は資料室の金庫に保管され、管理者のみアクセス可能。
後に病院のデータコンプライアンス研修で、老唐はシュレッダーと金庫を並べて教壇に置いた。彼は言った。シュレッダーの後ろのデータは、法律上もうあなたの責任ではない。金庫の後ろのデータは、依然としてあなたの責任だが、リスクは小さい。