個人情報の第三者提供の際に問題になる「容易照合性」の問題について。
※指摘を受けて内容を修正している。その点について末尾参照。
このシリーズは「個人情報」の該当性について取り上げてきている。特に，個人情報の定義に含まれる「他の情報と容易に照合することができ，それにより特定の個人を識別することができることとなるものを含む」（いわゆる容易照合性）については，これまでも多くの議論と誤解を生んできた。
特に，昨年起きたSuica問題に代表されるように，この論点は第三者提供の際に問題になる。個人情報を本人の同意なく第三者に提供できる場合は限られている*1。逆にいえば，個人情報でなければ，本人の同意なく第三者に提供できる。
ここでの問題は「容易に照合することができ」る主体は誰の視点を基準に判断するかという点である。すなわち，提供元の基準で判断するのか，提供先の基準で判断するのか，という問題である。
前者（提供元基準説）は，提供先において照合できるかどうかを，提供元に判断させることはできないという考え方に基づく。経済産業省等はこの立場を取っている*2。この場合，例えば，これまで用いた例でいうと，下の表１のようなデータを第三者提供する際には，一見するとID／番号といったプライマリキーだけでは他の情報がない限り，個人を特定することはできないが，元データの保有者からすれば，表２のマスタデータを保有している以上，容易に照合できるから，本人の同意なくして第三者に提供できない。たとえ，IDの部分をランダムに振り直して仮名化したとしても，その対応表があれば，提供元にとって容易照合可能であることは明らかである。
表１
表２
これに対し，後者（提供先基準説）は，データを受け取る側（提供先）において照合できるかどうかを基準とするもので，提供先においてプライバシー侵害等の影響が生じないように配慮しようという立場である。事業者の多くは，この見解を採用しているように見える。岡村久道先生もその立場のようである*3。この場合，上記表１を受け取る事業者において，個人の特定に必要な情報と照合できなければ個人情報該当性がないため，同意なくして提供できると考えられる。
この点について，鈴木正朝先生はBusiness Law Journal 2014年5月号39頁以下のインタビューで次のように述べている。
容易照合性の[1]判断の主体は，提供者である提供元事業者です。[2]判断の時期は，提供時です。なぜなら提供する前に本人の同意かオプトアウト手続を終えておかねばなりませんから。時系列的に考えて提供先に行ってしまってから提供後に個人情報（個人データ）該当性判断が決するのであれば提供前に義務を尽くすことは困難です。提供先基準が観念できるのは，結果が発生してからです。
提供元基準に立つと，本人の同意なく第三者提供するためには単に氏名，住所等の情報を欠落させただけでは不十分で，識別符号と元のプライマリキーとの対応表を廃棄しておくことなどにより，提供元においても照合が不可能な状態にしてからでないと提供できないことになる。
このような解釈の揺れによる混乱，萎縮の解消も，現在パーソナルデータ，個人情報に関する議論のテーマの重要な一つである。ここを深堀していくと，「匿名化」「識別非特定情報」「準個人情報」などのキーワードに遭遇していくことになるが，それはまた追って。
（4/19 20:20追記）
当初の表現においては，容易照合性と識別性を混同した表記になっているという指摘を板倉陽一郎先生からいただいた。提供元・提供先の論点は，「容易照合性」に関するものである。自らの不勉強を恥じるとともに，ご指摘いただいた板倉先生に感謝したい。若干，言い訳的になるが，個人情報保護法に関する各種の議論は難易度が高くなっていって，一部の専門家を除いてキャッチアップすることはかなりしんどい。そのような状況から，一連のエントリを書くきっかけとなった。
（4/24 16:30追記）
2014/4/23付けの岡村先生のブログにおいて，識別の基準に関する解説がある。本文で紹介した政府解釈に対する批判がある。
http://hougakunikki.air-nifty.com/hougakunikki/2014/04/post-8a14.html
