【疑問】匿名加工情報と仮名加工情報は何が違う？GDPRが適用される場面【G検定】

個人情報を加工して使う方法として、匿名加工情報と仮名加工情報がある。名前が似すぎてて違いが分からん

前提のおさらい。個人データを他の会社に渡す第三者提供には、原則として本人の同意が要る。利用目的を超えて使うにも同意が要る。データを活用したいときに、これが重くなる

＞＞1
一言で言うと、仮名加工情報は自分の会社の中で分析するため、匿名加工情報は外に渡すため

＞＞3
仮名加工情報（2条5項）は、他の情報と照らし合わせない限り特定の個人を識別できないように加工したもの。名前を消したり、別の番号に置きかえたりする
照らし合わせれば分かる、のがポイント。だから扱いは個人情報に近い

＞＞4
それで何が楽になるん？

＞＞5
社内で使う分には楽になることがある
利用目的を変えるときの制限（17条2項）がかからない。変えた目的を公表すれば、もとの目的と関係の薄い分析にも使える
漏えいしたときの報告や、本人からの開示などの請求の決まりが適用されない（41条9項）
そのかわり、原則として第三者には渡せない（41条6項）。本人を識別するために照らし合わせることや、連絡に使うことも禁止

＞＞3
匿名加工情報（2条6項）は、特定の個人を識別できず、もとの個人情報に戻せないように加工したもの
作ったら含まれる情報の項目を公表し（43条3項）、第三者に渡すときは項目と渡し方を公表して、匿名加工情報であることを相手に示す（43条4項）。本人の同意は要らない

＞＞7
戻せないようにって、どこまで加工すればええん？名前を消すだけでええの？

＞＞8
名前を消すだけでは足りん。個人情報保護委員会の規則の基準に従う。珍しい値（年齢が極端に高い、など）をまとめる、細かすぎる位置情報をぼかす、など
受け取った側も、もとの本人を特定しようとしてはいけない

GDPRは、EUの個人データの保護の規則
EUの中に拠点がある事業者だけやなく、EUの外の事業者でも、EUにいる人に商品やサービスを提供したり、EUにいる人の行動を監視（追跡）したりするなら適用される（3条）
違反の制裁金は大きく、重いものは2000万ユーロか、全世界の年間売上高の4%の、高いほう

＞＞10
日本の会社でも、EU向けにネットで売ってて、閲覧の履歴を分析してたら対象になりうるってことか。日本の法律だけ見て安心はできんな

＞＞11
日本はEUから、個人データの保護が十分な水準の国として認められてる（十分性認定）。EUから日本へ個人データを移すときの手続きが軽くなる。ただ、GDPRそのものに従う義務がなくなるわけやない