⚠ 本書式は弁護士監修前の草稿である。監修完了まで販売・配布・公開を禁止する。 本書式は一般的な情報提供を目的としたものであり、個別・具体的な法律相談に代わるものではない。

匿名加工情報の取扱いに関する契約書

第1部: 書式本文

第1条(目的) 甲(提供者)は、甲が保有する個人情報を加工して作成した匿名加工情報(以下「本匿名加工情報」という。)を、乙(受領者)に提供する。

第2条(作成基準の遵守) 甲は、本匿名加工情報の作成にあたり、個人情報保護法第43条第1項及び個人情報保護委員会規則が定める基準(特定の個人を識別することができる記述等の削除、個人識別符号の削除、連結可能性の排除、特異な記述等の削除、その他適切な加工)に従って加工を行ったことを表明する。

第3条(公表義務の履行) 甲は、個人情報保護法第43条第3項に基づき、本匿名加工情報に含まれる個人に関する情報の項目及びその提供の方法について、あらかじめ公表する。乙は、甲による公表内容を確認のうえ本契約を締結する。

第4条(乙による公表義務) 乙は、個人情報保護法第44条に基づき、本匿名加工情報を第三者(甲を含む。)から取得した場合に含まれる情報の項目及び取得の方法について、あらかじめ公表する。

第5条(識別行為の禁止) 乙は、個人情報保護法第45条に基づき、本匿名加工情報を取り扱うにあたり、当該情報の作成に用いられた個人情報に係る本人を識別するために、他の情報と照合してはならない。

第6条(安全管理措置) 乙は、本匿名加工情報の漏えいを防止するために必要な安全管理措置を講じるよう努める(個人情報保護法第46条)。

第7条(利用目的) 乙は、本匿名加工情報を【利用目的】の範囲内で利用する。

第8条(第三者提供の制限) 乙は、本匿名加工情報を第三者に提供する場合、あらかじめ提供の方法を含め、個人情報保護法第44条に基づく公表を行う。

第9条(提供対価) 乙は、甲に対し、【対価の定め】を支払う。

第10条(加工方法情報の非開示) 甲は、本匿名加工情報の加工に用いた加工方法に関する情報を、個人情報保護法第43条第2項に基づき、原則として乙に開示しない。

第11条(表明保証) 甲は、本匿名加工情報が個人情報保護法上の匿名加工情報の要件を満たしていることを表明し保証する。要件を満たさないことが判明した場合、甲は速やかに乙に通知し、提供を停止する。

第2部: 立場別・場面別の書き換えパターン

A. 提供者向け

A-1. 加工基準充足性の限定保証

修正条文例:「甲は、本匿名加工情報の作成時点における個人情報保護委員会規則及び当時の解釈運用に従って加工基準を満たすよう努めたことを表明するが、将来の技術進展や解釈変更により再識別のリスクが完全に排除されることまでを保証するものではない。」 一言解説: 匿名加工情報の再識別リスクをゼロと保証することは技術的に困難であるため、努力の程度による表明に留める修正である。

A-2. 乙による目的外利用時の責任転嫁

修正条文例:「乙が第7条の利用目的の範囲を超えて本匿名加工情報を利用したことに起因する損害について、甲は責任を負わない。」 一言解説: 提供後の乙による目的外利用のリスクを提供者の責任から切り離す修正である。

B. 受領者向け

B-1. 加工基準充足の表明保証違反時の救済

修正条文例:「本匿名加工情報が個人情報保護法上の匿名加工情報の要件を満たさないことが判明した場合、甲は乙に対し、既払対価を返還し、当該事由に起因して乙に生じた損害を賠償する。」 一言解説: 提供された情報が実は要件を満たさない個人データであった場合の受領者の救済手段を具体化する修正である。

B-2. 識別行為の禁止範囲の明確化

修正条文例:「乙は、本匿名加工情報を、乙が保有する他の情報と照合する行為のみならず、公知の情報と照合して本人を識別する行為も行わない。」 一言解説: 識別行為の禁止(個人情報保護法第45条)が、乙自身の保有情報との照合に限られず、外部の公知情報との照合も含むことを明確にする修正である。

第3部: 書き方と法的ポイント解説

使う場面/使ってはいけない場面 本書式は、個人情報保護法上の匿名加工情報を作成した事業者が、当該情報を第三者に有償で提供する場面で用いる。加工の程度が不十分で、特定の個人を識別できる可能性が残る情報は匿名加工情報に該当せず、通常の個人データとして第三者提供規制(同法第27条)の対象となるため、本書式を用いる前提として、加工基準を確実に満たしていることの確認が不可欠である。社内での分析のみを目的とし外部への提供を予定しない場合は、仮名加工情報として整理する方が適する場合もある。

根拠法令 個人情報保護法第2条第6項は、匿名加工情報を、特定の個人を識別することができないように個人情報を加工して得られる個人に関する情報であって、当該個人情報を復元することができないようにしたものと定義する。同法第43条第1項は、匿名加工情報を作成するときは、個人情報保護委員会規則で定める基準に従い加工しなければならない旨を定め、同条第2項は加工方法に関する情報の安全管理措置を、同条第3項は作成時の公表義務を定める。同法第44条は、匿名加工情報を第三者提供する際の項目・方法の公表義務を、第45条は識別行為の禁止を、第46条は安全管理措置等の努力義務をそれぞれ定める。これらの規律は、匿名加工情報を提供する事業者だけでなく、これを取得する事業者にも及ぶ点に留意が必要である。

実務でよくある失敗と対策 第一に、加工基準を満たしていると考えて提供したものの、実際には特異な記述等の削除が不十分で、他の公開情報と組み合わせることで個人を再識別できる状態にあった失敗がある。第11条及びB-1のように表明保証と違反時の救済を明記することが対策となるが、そもそも加工基準の充足性を専門家によるレビューを経て確認することが望ましい。第二に、提供者が個人情報保護法第43条第3項の公表義務を履行しないまま提供し、受領者が知らずに違法な状態の情報を取得してしまう失敗がある。第3条のように公表内容の確認を契約締結の前提とすることが有効である。第三に、受領者が識別行為の禁止(第45条)の範囲を狭く解釈し、自社保有情報との照合は避けたが、インターネット上の公知情報との照合によって本人を特定してしまう失敗がある。B-2のように禁止範囲を明確にする必要がある。

匿名加工情報の加工基準の充足性判断は技術的に高度な検討を要するため、個別事案は専門家(必要に応じて技術専門家を含む。)に確認することが望ましい。

第4部: 使用前チェックリスト

• [ ] 本匿名加工情報が個人情報保護法上の加工基準(同法第43条第1項、委員会規則)を満たしていることを確認したか
• [ ] 提供者による作成時の公表義務(第43条第3項)の履行を確認したか
• [ ] 受領者による取得時の公表義務(第44条)の履行を契約に組み込んだか
• [ ] 識別行為の禁止(第45条)の範囲(自社情報との照合・公知情報との照合)を明確にしたか
• [ ] 安全管理措置(第46条)の内容を定めたか
• [ ] 加工方法情報の非開示(第43条第2項)を確認したか
• [ ] 表明保証及び基準不充足が判明した場合の救済措置を定めたか
• [ ] 利用目的の範囲及び目的外利用時の責任分担を定めたか
• [ ] 第三者への再提供時の手続を定めたか
• [ ] 提供対価の算定方法を定めたか