Q.データを「匿名化」すれば，企業への提供や海外展開に自由に使えますか？

A.いいえ，多くの落とし穴があります。まず国内法では，内部利用に限定される「仮名加工情報」と，外部提供が可能な「匿名加工情報」に明確に区別されています。単なるID化は前者の場合が多いため，安易な提供は法令違反になります。また，日本の基準だけでは欧州一般データ保護規則（General Data Protection Regulation：GDPR）や，新たな枠組みである欧州ヘルスデータスペース（European Health Data Space：EHDS）に抵触する恐れがあり，国際的な利用においても注意が必要です。さらに重要なのは，知財戦略とデータ規制はセットという視点です。たとえ特許を取得してもデータ規制をクリアできなければ製品を販売できません。匿名加工情報と仮名加工情報の違いを理解し，世界標準を意識した戦略が不可欠です。

前回は，個人情報が現代における最強の知的資産であり，テクノロジーの進化によってその漏洩リスクが高まっていることを解説しました。今回は，この重要な資産をいかに安全に活用するかという実践的なフェーズに入ります。

「医療データをAI開発に使いたい」
「海外の研究機関とデータを共有したい」

こうしたニーズに応えるために必須となるのが，日本の法律におけるデータ加工のルールと，欧州をはじめとする国際的なデータ流通のルールです。誤った認識をしていると，せっかくの研究データが法的に使えなかったり，国際共同研究から取り残されたりすることになりかねません。

匿名加工情報と仮名加工情報の決定的な違い

日本の個人情報保護法には，データを加工して活用するための枠組みとして匿名加工情報と仮名加工情報があります（表）。

現場で最も混同されやすいこの2つは，第三者提供の可否が最大の分岐点です。目的に応じてこれらを戦略的に使い分ける必要があります。

企業にデータを販売・提供したい
→ 匿名加工情報にする必要があるが，データの精度は落ちる。

院内や共同研究グループでAI開発をしたい
→ 仮名加工情報で十分であり，精度の高いデータが使えるが，外部には出せない。

多くの研究現場で匿名化と呼ばれるIDへの置換といった作業は，法的には仮名加工情報の要件に近いものです。しかし第15回で解説したように，対応表の管理状況によっては単なる個人情報として扱われてしまうこともあるため注意が必要です。冒頭のQ&Aのように「ハッシュ化したから匿名加工情報だ」と勘違いして企業にデータを渡してしまうと，法的な要件（復元不可能性や特異値の処理）を満たしておらず，個人情報の無断提供として違法になるリスクがあります。ただし，後述するようにAI開発目的に関しては法改正の議論が進んでいます。

一方で法律上では匿名加工情報に分類されたとしても，医学系指針ではインフォームド・コンセント（同意）やオプトアウトが必要な場合があります。例えば，個人が特定されないよう加工しても同意書取得が原則である症例報告や，倫理審査委員会の承認が求められる臨床研究などを行う際には意識をしましょう。その他にも，動物実験，遺伝資源の利用，動植物の輸出入などが関連する場合も注意しなければなりません。各分野の条約や研究倫理指針を確認してみてください。

世界標準の衝撃――EHDSとGDPR

視点を世界に移しましょう。医療機器開発や創薬は，今やグローバル競争です。ここで避けて通れないのが，世界で最も厳しいとされる欧州（EU）のデータ規制です。秘密保持契約や共同研究契約，海外への研究論文の投稿など，外国との情報授受がある場合は，EUの個人情報保護法であるEU一般データ保護規則（General Data Protection Regulation：GDPR）が標準的に記載される時代になりました。GDPRは日本の法律よりもはるかに厳格で，違反時の制裁金も巨額です。この厳格さは，巨大IT企業（GAFAM）に対しても容赦なく適用されています。

●Googleへの制裁（2019年）
フランスのデータ保護当局（CNIL）は，Googleに対し5000万ユーロ（約62億円）の制裁金を科しました。理由は「データ処理の目的や保存期間などの情報が分散しており，ユーザーが容易にアクセスできない」「広告のパーソナライズに関する同意に最初からチェックが入っているなど，ユーザーの明確な意思表示に基づいていない」というもの^1）。

●Appleへの制裁（2023年）
CNILはAppleに対し800万ユーロ（約11億円）の制裁金を科しました。理由は，App Storeにおいてユーザーの同意を事前に得ることなく，広告目的で識別子（データ）にアクセスし，追跡を行っていたため^2）。

これらの事例は，「わかりにくい同意」や「デフォルトでのデータ取得」は許されないという世界的な潮流を示しています。研究分野においても，「とりあえずデータを集めておこう」という曖昧な同意取得は，将来的に大きなリスクとなり得ます。そして重要なのは，「日本の『匿名加工情報』は，GDPR上の『匿名化データ』とはみなされない場合がある」という点です。GDPRにおける匿名化は「再識別が合理的に不可能」である必要があり，日本の基準よりもハードルが高いのです。したがって日本基準で匿名化したデータをそのままEUの研究で使おうとしても，GDPR違反になるリスクがあります。

こうしたEUの取り組みの延長線上にあるのが，巨大な医療データ基盤構想である欧州ヘルスデータスペース（European Health Data Space：EHDS）です。EU域内で医療データの一...