case01（仮名加工情報）: 加工の設計 — 4/7¶
各項目を「削除する／置き換える／粗くする／そのまま残す」のどれにするか、そしてその理由。判断は 識別性 × 機微度 × 利用目的上の必要性 × 必要粒度 の掛け合わせで決めます。
加工方針の全体像¶
加工方針加工の様子（加工前 → 加工後）
置換
会員ID→整理番号
一般化
生年月日→年代
住所→市区町村
削除
氏名→***
郵便番号→***
携帯電話番号→***
電子メールアドレス→***
クレジットカード番号→***
Cookie ID→***
加工なし
性別→性別
購入年月日/品目/数量/金額→購入年月日/品目/数量/金額
アクセス履歴→アクセス履歴
削除した項目は加工後データに残りません（表では ***）。「加工なし」は前後で同じ＝分析に必要なので手を付けません。
考え方はシンプルです。分析に要らず特定につながる項目は削る。特定はしたくないが分析には要る項目は、必要な粗さまで一般化して残す。個人単位の履歴は整理番号でつなぐ。
なぜ会員IDを「削除」ではなく「整理番号に置換」するの？
整理番号は会員IDを振り直しただけ。しかも対応表を持っていれば元に戻せるのでは？——最初に引っかかるのはここです。
ポイントは3つです。
- 完全には消せない: 出店計画の分析には「同じ人の購買履歴をまとめて見る」ことが必要です。識別子を全部消すと 3 テーブルをつなげず、個人単位の分析ができません。だから 消すのではなく、意味のない通し番号に置き換えて履歴だけをつなぎます。
- 対応表を切り離す: 会員ID ↔ 整理番号の対応表は、加工後データとは別に安全管理します（削除情報等の安全管理措置）。加工後データ単体を見ても、そこから元の人物へはたどれません。
- 照合が禁止されている: そもそも、加工後データを作成元の個人情報と突き合わせて本人を特定する行為は、識別行為の禁止（識別禁止義務） で禁じられています。
この「① 履歴はつなぐ ／ ② 対応表は分離 ／ ③ 照合は禁止」がそろって、はじめて置換に意味が生まれます。
項目ごとの評価と加工方針（一覧）¶
情報特性の評価（識別性・機微度・結合キー性）と、利用目的（地域 × 顧客層 × 商品関心の分析）から見た分析上の必要性・必要粒度を突き合わせ、評価 → 方針を1枚で決めます。色は加工の種類（緑＝置換/一般化・赤＝削除・無色＝加工なし）、「加工の根拠」列は加工する理由の区分です。
置換・一般化削除加工なし規則で必須自主的（予防的）
| 項目 | 識別性 | 機微度 | 分析上の必要性 | 必要粒度 | 加工方針 | 加工の根拠 | 理由 |
|---|---|---|---|---|---|---|---|
| 会員ID | 低（単体） | 低 | 結合に必要 | ― | 整理番号へ置換 | 自主的 | 個人単位の履歴をつなぐため置換。作成元との照合＝識別禁止義務のリスク低減 |
| 氏名 | 高（直接識別子） | 中 | 不要 | ― | 削除 | 規則で必須 | 特定の個人を識別できる記述 |
| 生年月日 | 準（組合せで高） | 中 | 必要 | 10歳区切り | 年代へ一般化 | 自主的 | 詳細日付は不要。準識別子の組合せリスクを下げる予防的な一般化（解釈によっては不要とも） |
| 性別 | 準（低） | 低 | 必要 | そのまま | 加工しない | ― | 生年月日・住所を加工済み |
| 郵便番号 | 準（低） | 低 | 不要 | ― | 削除 | 自主的 | 加工後の住所で代替できるため不要 |
| 住所 | 準（組合せで高） | 中 | 必要 | 市区町村 | 市区町村へ一般化 | 自主的 | 準識別子リスク低減の予防的な一般化。商圏判定には市区町村で十分 |
| 携帯電話番号 | 高（本人到達性） | 中 | 不要 | ― | 削除 | 自主的 | 本人到達性・共用性を踏まえた予防的削除 |
| 電子メールアドレス | 高（本人到達性） | 中 | 不要 | ― | 削除 | 規則で必須 | 本人到達性・共用性。氏名等を含み識別できる場合は削除対象 |
| クレジットカード番号 | 高 | 高 | 不要 | ― | 削除 | 規則で必須 | 不正利用で財産的被害のおそれ。分析に使いたくても削除が必須 |
| Cookie ID | 中（本人到達性） | 中 | 不要 | ― | 削除 | 自主的 | 本人到達性。会員ID→整理番号を識別子に使うため不要 |
| 購入年月日・品目・数量・金額 | 低 | 低 | 必要 | そのまま | 加工しない | ― | 購買動向分析に必要 |
| アクセス日時・閲覧カテゴリ | 低 | 低 | 必要 | そのまま | 加工しない | ― | 閲覧→購入・反応分析に必要 |
加工の根拠：「規則で必須」と「自主的（予防的）」の違い
加工の要否は、① 分析に必要か（設計判断） と ② 加工の根拠 の掛け合わせで決まります。根拠は次の2種類があります。
- 規則で必須（法令）: 個人情報保護委員会規則（個人情報の保護に関する法律施行規則）第31条＝仮名加工情報の作成基準。クレジットカード番号は、たとえ分析に使いたくても、第31条第3号（財産的被害のおそれ）により削除が必須。氏名など特定の個人を識別できる記述（第1号）も同様。
- 自主的（予防的）: 規則で必須とまでは言い切れないが、識別リスクを下げるために行う加工。解釈によっては「そこまで不要」ともいえるもの。たとえば生年月日 → 年代の一般化は、他の識別子を除いていれば必須とは限らないが、準識別子の組合せリスクを下げるために自主的に加工しています。