はじめに
従業員満足度、ストレスチェック、研修評価、人事データ、顧客アンケート。企業では、個人を直接示すデータを公開せず、「部署別の平均」「年代別の割合」などの集計データに変えて共有する場面が増えている。
しかし、氏名や社員番号を削除し、平均値や割合に置き換えれば安全とは限らない。とくに少人数の組織では、誰がどの部署に所属しているか、最近誰が異動したか、どの年代の社員が一人しかいないかを周囲が知っている。集計表そのものに氏名がなくても、閲覧者の背景知識と組み合わせれば、個人の回答や状態を推測できる場合がある。
個人情報保護委員会は、統計情報について、特定の個人との対応関係が排斥されている限り個人情報には該当しないと説明している。一方、特定の個人が識別できる情報であれば個人情報に該当し得るため、名称だけでなく実態で判断する必要がある。つまり「集計済み」というラベルは、安全性の証明にはならない。
本記事では、少人数組織で再識別が起こる仕組みと、企業が集計データを安全に共有・公開するための実務基準を整理する。
集計データでも個人がわかる三つの理由
1．背景知識攻撃：組織内の常識が識別子になる
少人数の職場では、所属、役職、年代、勤続年数、休職や異動の履歴などが事実上の識別子になる。
たとえば「営業部・50代・管理職」のセルが一人だけなら、その人のストレス判定や研修評価を直接記載していなくても、閲覧者は該当者を容易に推測できる。部署名や年代は単独では個人を示さなくても、複数の属性を組み合わせると識別力が急激に高まる。これが準識別子の問題である。
2．差分攻撃：二つの集計結果の差から個人値が戻る
同じ指標を、人数や時期の異なる二つの集団で公開すると、引き算によって一人分の値を推測できることがある。
たとえば、5人の部署の平均値を公開した直後に一人が異動し、4人になった部署の平均値を再公開した場合、二つの平均値と人数から異動者の値を算出できる。ダッシュボードで条件を自由に変えられる仕組みでは、利用者が検索を繰り返すことで同様の推測が可能になる。
3．同質性攻撃：人数がいても全員同じなら情報が漏れる
セル内に複数人がいても、結果が全員同じ、または極端に偏っていれば安全とはいえない。
たとえば4人のチームで「高ストレス者の割合100％」と表示されれば、個人を特定しなくても、チーム全員が高ストレス状態であることがわかる。人数だけを確認する方法では、この種の推測を防げない。
「10人以上なら安全」とは限らない
公的基準は重要な出発点であって万能基準ではない
医療分野のNDBオープンデータでは、原則として患者数が10未満になる集計単位を公表しない基準が採用されている。ストレスチェック制度でも、10人未満の集団分析結果を事業者へ提供する場合は、全員の同意を得るか、個人が特定されるおそれのない方法で分析することが求められる。
ただし、これらは対象分野、データの機微性、利用目的を踏まえた制度上の基準である。あらゆる社内アンケートに一律で適用される普遍的な安全証明ではない。
10人以上でも、属性の組み合わせによって一人に絞り込める場合や、回答が極端に偏る場合、前回値との差から個人値を推測できる場合はある。反対に、10人未満でも、粒度を粗くし、複数部署を統合し、個人が特定されない集計方法を採用できるケースはある。
重要なのは、人数の閾値だけで公開可否を自動決定しないことである。
少人数組織向けの集計データ公開基準
基準1．最小集計人数は原則10人を初期値にする
医療・産業保健の公的基準を参考に、機微性の高い人事、健康、心理、評価データでは「10人未満のセルは原則非表示」を社内ルールの初期値とするのが実務的である。
ただし、これは法令上すべてのデータに義務付けられた一律基準ではない。データの内容、閲覧者、公開範囲、属性の細かさを評価し、必要に応じて10人より厳しい基準を設定する。
基準2．人数不足のセルは削除ではなく統合する
小規模部署の結果を活用したい場合は、次のように集計軸の解像度を下げる。
- 3人の広報チームを単独表示せず、管理部門全体へ統合する
- 年齢を1歳刻みではなく、30代、40代などの幅にまとめる
- 特異な高年齢層や勤続年数を上位区分にまとめる
- 月次データを四半期または半期単位で集計する
公開価値を残しながら再識別リスクを下げるには、単純削除より「一般化」と「統合」が有効である。
基準3．一次秘匿と二次秘匿をセットで行う
人数が閾値を下回るセルだけを「―」や「非表示」にする処理を一次秘匿という。しかし、行合計や列合計、周辺セルが表示されていると、引き算で非表示値を復元できることがある。
そこで、復元を防ぐために本来は公開可能な別セルも追加で非表示にする二次秘匿が必要になる。クロス集計表を自動生成するシステムでは、一次秘匿だけでなく、合計値からの逆算可能性まで判定する仕組みを組み込むべきである。
基準4．極端な偏りと自由記述を別途審査する
回答者数が基準を満たしていても、特定の選択肢が100％またはそれに近い場合は、構成員の回答が推測される可能性がある。また、自由記述には職務、出来事、表現の癖など、本人を推測できる情報が含まれやすい。
人数基準とは別に、極端な割合、希少属性、自由記述、具体的な事例を公開前審査の対象とする必要がある。
基準5．検索回数と時間差を管理する
BIツールや社内ダッシュボードでは、一回の表示が安全でも、条件を変えた複数回の結果を組み合わせると危険になる。
最小セル数を下回る検索結果の遮断、類似クエリの制限、公開履歴の保存、異動・退職直後の更新停止、一定期間をまとめた集計などを組み合わせ、差分攻撃を防ぐ。公開物を一件ずつ見るのではなく、過去の公開物との組み合わせまで評価することが重要である。
匿名化技術をどう使い分けるか
k-匿名性は「同じ属性の人を複数にする」考え方
k-匿名性は、年齢、性別、所属などの準識別子が同じ組み合わせになる人を、少なくともk人確保する考え方である。年齢幅を広げる一般化や、小さなセルを非表示にする抑制によって実現する。
ただし、同じグループの機微情報が全員同じであれば、人数を確保しても内容が推測される。同質性攻撃を避けるには、機微属性の多様性も確認しなければならない。
差分プライバシーは反復的な分析に向く
差分プライバシーは、一人分のデータが含まれる場合と含まれない場合で、出力結果が大きく変わらないよう確率的に制御する枠組みである。反復検索や大規模な分析基盤に有効だが、ノイズの量が大きすぎればデータの有用性が下がり、小さすぎれば保護が弱くなる。
導入時は「差分プライバシー対応」という名称だけで判断せず、プライバシー損失の設定、クエリ回数の管理、実装上の前提まで専門的に評価する必要がある。
公開前に確認したい実務チェックリスト
- 集計対象人数が社内基準を満たしているか
- 部署、役職、年代、勤続年数の組み合わせで一人に絞れないか
- 回答が全員同じ、または極端に偏っていないか
- 前回値や別部署の値との差から個人値を逆算できないか
- 非表示セルが行合計・列合計から復元されないか
- 自由記述から本人や取引先を推測できないか
- 閲覧者の範囲と目的は必要最小限か
- 公開後の再利用、転載、二次分析を想定しているか
- 公開可否を判断した記録と承認者が残っているか
まとめ
少人数組織の集計データでは、氏名を削除しただけでは匿名性を確保できない。組織内の背景知識、複数集計の差分、回答の同質性によって、個人の状態や回答が推測される可能性があるためである。
安全な運用には、最小集計人数を設けるだけでなく、組織・属性の一般化、一次秘匿と二次秘匿、極端値の審査、時間差や検索履歴の管理を組み合わせる必要がある。個人情報保護委員会の説明でも、統計情報が法の対象外となるのは、特定の個人との対応関係が排斥されている場合に限られる。
企業が目指すべきなのは、データを一切使わないことではない。誰が見ても、いつ見ても、ほかの情報と組み合わせても個人を推測しにくい形に設計し、利用価値とプライバシー保護を両立させることである。
コメント