「匿名なら安全」とは限らない

「匿名加工されているのだから個人が特定されることなどないだろう」という人もいるかもしれません。

しかし、そうは断言できません。

1997年、米国マサチューセッツ州では、氏名を消した医療データが、たった20ドルで購入できる有権者名簿（生年月日・性別・郵便番号の三項目）との突合で、州知事本人の記録まで特定されてしまいました（※）。

※L. Sweeney、「医療マイクロデータのための計算による開示制御、Dataflyシステム」、国勢調査局記録連結ワークショップ議事録（ワシントンDC：国勢調査局、1997年）

「単独では誰も特定できない情報」でも組み合わせれば特定できてしまう――この教訓は、わが国に活かされることになるのでしょうか。

とりまとめは、解析の鍵として生涯不変の識別子を検討しています。具体的にはまだ決まっていませんが、マイナンバーの活用案、被保険者番号の活用案、そして被保険者番号から生成するIDを用いる案――複数の案が併記されたまま、結論は先送りにされています。

解析には個人の識別が有用である反面、データが漏れた場合には個人が特定されてしまうというジレンマを、どのように解決しようとしているのか。今後、立法府に議論が移された場合には、十分な監視が必要な論点です。

データ一元化が抱えるジレンマ

さらに、分散していたデータを一元的に集めることについても注視する必要があります。

巨大な医療データを一元的に集めた基盤は、二次利用には非常に大きな価値をもたらす一方で、鍵がこじ開けられた場合は、そのすべてが一気に流れ出すリスクを抱えているというジレンマも有しています。

すでにわが国でも、日本医科大学武蔵小杉病院で患者約13万人分にくわえ、職員や臨床研究情報も流出し、身代金1億ドルが要求された事件があります。

もし今回のとりまとめどおりに議論が進み、それに基づき立法へと至った場合、その法制下で同様の事件が起きない保障はどこにもありません。

しかしとりまとめを読んでも、漏えいしたことを本人に通知する義務、被害への救済、外部に出たデータを回収する措置――いずれの文言も見当たらないのです。

生涯不変の識別子と紐付けられた情報は、いったんもれれば、その人の人生の記録の全部開示になり得ます。つまり漏れたら、終わり。不適切利用を検知して業者を罰しても、そのときにはすでに遅いのです。

「漏えい対策を強化すればよい」という意見もあるかもしれません。もちろん対策は必要です。しかし問題はそれだけではすみません。