氏名をプレースホルダーに置き換えることは、よい第一歩です。しかしGDPR上、それだけでデータが匿名になるわけではありません。この記事では、規則の内容、2025年9月のEU司法裁判所の判断、その実務上の対応を説明します。
要点
原則として、はい。GDPRは、仮名化された個人データであっても、追加情報を用いて個人に結び付けられる場合、その個人に関する情報であると定めています。「Person_1」を実名に戻す対応表をあなたが保有しているなら、置き換えたテキストはあなたの手元では引き続き個人データであり、その処理にはGDPRが適用されます。
より慎重に答えるなら、誰がデータを保有しているか、また、その人が個人を識別するために合理的に利用できる手段が何かによります。ここで2025年の裁判所の判断が重要になります。
GDPRの規定
第4条第5号は、仮名化を次のように定義しています。
「追加情報を用いなければ、個人データを特定のデータ主体に帰属させることができないような方法で個人データを処理すること。ただし、追加情報は別個に保管され、個人データが識別された又は識別可能な自然人に帰属させられないようにするための技術的及び組織的措置の対象となっていることを条件とする」
前文第26項は、追加情報を用いて自然人に帰属させることができる仮名化済みの個人データは、識別可能な自然人に関する情報とみなすべきであるとしています。個人が識別可能かどうかを判断する際には、単独で識別することなど、管理者または他の者が利用する可能性が合理的に高いあらゆる手段を考慮します。そこには、必要な費用や時間、利用可能な技術も含まれます。
この文言から、実務上のポイントが2つ導かれます。対応表は技術的・組織的措置を講じたうえで別個に保管する必要があります。また、「識別可能」かどうかは、理論上識別できるかではなく、現実的な手段に基づいて判断します。
2025年に司法裁判所が示したこと
2025年9月4日、EU司法裁判所は EDPS v SRB （事件 C-413/23 P）。銀行当局が、著者の身元をコードに置き換えたうえで、あるコンサルティング会社にコメントを渡したことに関する事件です。この事件はEU機関に適用される規則2018/1725に基づいて判断されましたが、個人データと仮名化の定義はGDPRのものと一致しています。
裁判所は、仮名化されたデータを「すべての場合に、すべての人にとって」個人データとみなすべきではないと判断しました。特定の受領者にとってデータが個人データに当たるかどうかは、その受領者が関係者を再特定するために合理的に利用できる手段を持っているかなど、状況によって異なります。仮名化を行い、追加情報を保有している側と、コードを誰かに結び付ける方法を持たない受領者とでは、立場が異なります。
これは、専門家が現在も検討を続けている法的動向です。仮名化した顧客データならどこに送ってもよい、という許可だと受け取らないでください。判断は受領者側の事情を踏まえて行うということであり、判断そのものが不要になるということではありません。
AIチャットボットを使う場合の意味
- あなたは引き続き、元のデータとその対応表の 管理者です。置き換えを含め、その文書をどう扱うかについては、あなた自身のGDPR上の義務が適用されます。
- AIプロバイダーが個人データを受け取るかどうかは 個別の事情によって決まります。名前がなくても、文脈から人物を特定できることがあります。珍しい職業、小さな町、特異な出来事などが手掛かりになります。その文章が誰について書かれているかを現実的に特定できる人がいるなら、個人データとして扱ってください。
- プレースホルダーに置き換えれば文章が匿名になる、という考えをコンプライアンスの根拠にしないでください。 個人データである可能性を前提に計画し、プレースホルダーは複数ある保護策の一つとして扱ってください。
仮名化には今も価値があり、GDPRもそれを認めています。第32条第1項(a)は、管理者が利用できるセキュリティ対策の一つとして仮名化を挙げています。前文28および78は、仮名化によってデータ主体へのリスクを軽減でき、データ保護の設計段階からの組み込みと初期設定による保護を支えるとしています。この規則は仮名化を保護策として扱っており、規則の適用を免れる手段とはしていません。
実務上の対応
- まず、必要最小限にしてください。 作業に必要な箇所だけを送ってください。次を参照してください 顧客の文書をAIツールで扱う方法.
- すべての識別情報を置き換えてください。 名前だけでなく、口座番号、ID番号、生年月日も識別情報です。 チェックリスト に一覧があります。
- 対応表は手元に保管し、 送信するテキストとは分けて、案件が終了したら削除してください。
- プロバイダーの利用条件と利用プランを確認してください。 データ処理契約を結んだビジネスプランと、無料の個人アカウントとでは状況が異なります。 データ設定の内容.
- 高リスクのケースでは助言を求めてください。 健康データ、子どものデータ、特別な種類の個人データ、または漏えいが重大な結果を招く可能性がある情報が該当します。
日常会話では、これらの用語は曖昧に使われがちです。 匿名化、仮名化、墨消しの違いを 比較しています。
よくある質問
仮名化されたデータは匿名データと同じですか？
いいえ。前文26によると、データ保護の原則は匿名情報、つまり特定可能な個人に関係しない情報、または個人を特定できないように匿名化されたデータには適用されません。再び個人と結び付けられる仮名化データは、これとは異なるカテゴリーです。
GDPRは、個人データを使ってAIツールを利用することを禁止していますか？
いいえ。適法な根拠、データの最小化、安全性、そしてプロバイダーを利用する場合は適切な契約が必要です。プレースホルダーの利用は、データの最小化に役立ちます。
これはEU以外にも適用されますか？
英国には独自の同様の制度があり、多くの国にも類似の規則があります。また、EU域内の人々にサービスを提供するEU域外の事業者にもGDPRが適用される場合があります。
ClientSafe は、プレースホルダーと実名を結び付ける対応表をあなたのPC上に保存します。AIツールにコピーするテキストに含まれるのはプレースホルダーだけです。どのツールもすべてを検出できるわけではないため、検出結果を先に確認してください。
一般的な情報であり、法律上の助言ではありません。ご自身の状況については、資格を有するデータ保護アドバイザーにご相談ください。