JP2017228255A - 評価装置、評価方法及びプログラム - Google Patents

Abstract

【課題】ｋ匿名化処理を行なったデータに対する評価を行ない得る、評価装置、評価方法及びプログラムを提供する。
【解決手段】評価装置１０は、複数の個人から取得された個人情報を含むデータを対象データとして評価を行なう装置である。評価装置１０では、対象データから個人情報の取得元の個人の存在が把握される可能性を、個人識別リスクとして評価する、個人識別リスク評価部１１と、対象データから個人情報の取得元の個人が特定される可能性を、個人特定リスクとして評価する、個人特定リスク評価部１２と、対象データに対して匿名化処理が行なわれた場合の有用性を評価する、有用性評価部１３と、を備えている。
【選択図】図１

Description

本発明は、匿名化した情報を評価する評価装置、評価方法及びこれを実現するためのプログラムに関する。

近年、ＩＴ技術の発展により、個人情報が非常に漏洩し易い状況となっている。このため、個人情報の保護の重要性が叫ばれており、個人情報に対して、個人の識別を困難にする加工処理を施すことが提案されている。このような加工処理の１つとして、ｋ匿名化処理が知られている。

ｋ匿名化処理では、対象となるデータ内に、同じ属性を持つデータがｋ件以上存在するようにデータが加工される。例えば、郵便番号、性別、年齢、趣味を項目とする個人データが存在する場合に、ｋ＝３が設定されているとする。この場合に、ｋ匿名化処理が実行されると、各項目が全て一致する個人の数がｋ＝３人以上となるように、郵便番号の下数桁を削除したり、年齢を切り上げたり、といったデータの加工が行なわれている。

これに関連し、例えば、特許文献１では、データベースに対して匿名化処理を施した際に、過度な情報損失が生じているか否かを判定し、判定した判定結果によって、情報有用性を算出することが開示されている。

また、特許文献２では、個人情報を含む匿名化データから個人が一意に特定されるリスクレベルを分析する情報匿名化システムが開示されている。開示された情報匿名化システムは、匿名化データを構成するレコードごとに、リスクを定量的に分析し、分析されたレコードごとのリスクに基づいて、特定の尺度に従って匿名化データのリスクレベルを算出し、算出されたリスクレベルを出力する。

特開２０１３−１９０８３８号公報 特開２０１５−１７６４９６号公報

ここで、ｋの値を高く設定する程、個人情報の漏洩リスクを低減することになるが、個人情報を利用する際の有用性は低下することになる。一方、ｋの値を低く設定する程、個人情報を利用する際の有用性は高くなるが、個人情報の漏洩リスクは高まることになる。

特許文献１では、匿名化した個人の匿名化データに対し、過度に情報損失が生じているか否かの判定を行い、匿名化した個人情報の有用性の算出を行っているが、個人情報の漏洩リスクを妨げる点については考慮されていない。

特許文献２では、個人情報の漏洩リスクについてリスク分析装置を用い、リスクレベルを分析することで個人情報の漏洩リスクを解決しているが、過剰に漏洩リスクを防止すると情報の有用性が失われてしまうおそれがある、という点については考慮されていない。

そこで、情報有用性と漏洩リスクの双方を評価し、ｋの値を適正な値に設定することが求められる。

本発明の目的の一例は、上記問題点を解消し、ｋ匿名化処理を行なったデータに対する評価を行ない得る、評価装置、評価方法及びプログラムを提供することにある。

上記目的を達成するため、本発明の一側面における評価装置は、複数の個人から取得された個人情報を含むデータを対象データとして評価を行なう評価装置であって、
前記対象データから前記個人情報の取得元の個人の存在が把握される可能性を、個人識別リスクとして評価する、個人識別リスク評価部と、
前記対象データから前記個人情報の取得元の個人が特定される可能性を、個人特定リスクとして評価する、個人特定リスク評価部と、
前記対象データに対して匿名化処理が行なわれた場合の有用性を評価する、有用性評価部と、
を備えていることを特徴とする。

また、上記目的を達成するため、本発明の一側面における評価方法は、複数の個人から取得された個人情報を含むデータを対象データとして評価を行なう評価方法であって、
（ａ）前記対象データから前記個人情報の取得元の個人の存在が把握される可能性を、個人識別リスクとして評価する、ステップと、
（ｂ）前記対象データから前記個人情報の取得元の個人が特定される可能性を、個人特定リスクとして評価する、ステップと、
（Ｃ）前記対象データに対して匿名化処理が行なわれた場合の有用性を評価するする、ステップと、を有することを特徴とする。

また、上記目的を達成するため、本発明の一側面におけるプログラムは、
コンピュータによって、複数の個人から取得された個人情報を含むデータを対象データとして評価を行なうためのプログラムであって、
前記コンピュータに、
（ａ）前記対象データから前記個人情報の取得元の個人の存在が把握される可能性を、個人識別リスクとして評価する、ステップと、
（ｂ）前記対象データから前記個人情報の取得元の個人が特定される可能性を、個人特定リスクとして評価する、ステップと、
（Ｃ）前記対象データに対して匿名化処理が行なわれた場合の有用性を評価する、ステップと、
を実行させることを、を特徴とする。

以上のように、本発明によれば、ｋ匿名化処理を行なったデータに対する評価を行なうことができる。

図１は、本発明の実施形態１に係る評価装置の概略構成を示すブロック図である。 図２は、本実施の形態における評価装置を具体的に示すブロック図である。 図３は、本発明の実施の形態における評価装置の動作を示すフロー図である。 図４は、本発明の実施形態において得られた個人識別リスクの評価の一例を示す図である。 図５は、本発明の実施形態で行なわれる個人識別リスクの評価処理の一例を説明する図であり、図５（ａ）〜（ｃ）は一連の処理の流れを示している。 図６は、本発明の実施形態で行なわれる個人識別リスクの評価処理の他の例を説明する図であり、図６（ａ）〜（ｄ）は一連の処理の流れを示している。 図７は、本発明の実施形態で行なわれる個人識別リスクの評価処理の他の例を説明する図であり、図７（ａ）〜（ｅ）は一連の処理の流れを示している。 図８は、本発明の実施の形態において行なわれる個人特定リスクの評価処理を説明するための図であり、個人情報の一例を示している。 図９は、本発明の実施の形態で行なわれた有用性の評価の一例を示す図である。 図１０は、本発明の実施の形態における評価装置を実現するコンピュータの一例を示すブロック図である。

（実施の形態）
以下、本発明の実施の形態における評価装置、評価方法及びプログラムについて、図１〜図１０を参照しながら説明する。

［装置構成］
最初に、本実施の形態における評価装置の概略構成について図１を用いて説明する。図１は、本発明の実施形態１に係る評価装置の概略構成を示すブロック図である。

図１に示す本実施の形態における評価装置１０は、複数の個人の個人情報を含むデータを対象データとして評価を行なう装置である。図１に示すように、本実施形態における評価装置１０は、個人識別リスク評価部１１と、個人特定リスク評価部１２と、有用性評価部１３とを備えている。

個人識別リスク評価部１１は、対象データから個人情報の取得元の個人の存在が把握される可能性を、個人識別リスクとして評価する。個人特定リスク評価部１２は、対象データから個人情報の取得元の個人が特定される可能性を、個人特定リスクとして評価する。有用性評価部１３は、対象データに対して匿名化処理が行なわれた場合の有用性を評価する。

ここで、「識別」とは、誰かひとりの情報がわかることと定義する。「特定」とは、誰の情報であるかがわかることと定義する。「識別」は、「特定」よりも広義の意である。「特定」されているならば、当然に「識別」されていることとなる。ｋ匿名化は、「特定」を防止するために、「識別」を困難にする技術であると言える。

このように、本実施の形態では、データは、個人識別リスク、個人特定リスク、有用性の三点において評価される。本実施の形態によれば、ｋ匿名化処理を行なったデータに対する評価が可能となる。

続いて、図２を参照し、本実施の形態における評価システム１について更に具体的に説明する。図２は、本実施の形態における評価装置を具体的に示すブロック図である。

図２に示すように、本実施の形態においては、評価装置１０には、個人情報を管理するデータベース２０と、評価者が利用する端末装置３０とがネットワーク等を介して接続されている。

データベース２０は、個人情報を格納している。また、データベース２０は、匿名化された個人情報を格納していても良い。個人情報は、例えば、住所、氏名、電話番号、年齢、国籍といった、個人を特定する可能性を備えた準識別子を有しており、複数の準識別子で構成されている。また、匿名化は、例えば、設定されたレベルの値がＡである場合に、準識別子が共通する個人がＡ人存在するように、準識別子の内容を変更することによって行なわれる。

また、図２に示すように、本実施の形態においては、評価装置１０は、上述した個人識別リスク評価部１１、個人特定リスク評価部１２、及び有用性評価部１３に加えて、データ取得部１４とデータ出力部１５とを備えている。

データ取得部１４は、データベース２０から、個人情報又は匿名化された個人情報を対象データとして取得する。データ出力部１５は、個人識別リスク評価部１１から得られた個人識別リスクと、個人特定リスク評価部１２から得られた個人特定リスクと、有用性評価部１３から得られた有用性とを、端末装置３０に送信する。これにより、端末装置３０の画面上には、個人情報の各リスクと有用性とが表示される。

個人識別リスク評価部１１は、本実施の形態では、対象データ中の個人情報を構成する準識別子の値が一致するレコードの個数を算出し、算出した個数から、対象データに対してｋ匿名化処理を実行した場合のｋ人に識別される人数を求めることによって、個人識別リスクを評価する。つまり、個人識別リスク評価部１１は、準識別子から識別できるレコード数をカウントし、誰かのレコードに識別できるレコードがいくつ存在するかを、個人識別リスクとして算出する。

個人特定リスク評価部１２は、本実施の形態では、個人識別リスク評価部１２によって得られた個人識別リスクと、準識別子毎に予め設定された、各準識別子から個人が特定される危険性を示す係数とに基づいて、個人特定リスクを評価する。つまり、個人特定リスク評価部１２は、個人識別の危険性の評価結果に対して、更に攻撃者がどの程度準識別子をしっているかを考慮して、個人特定リスクを算出する。

有用性評価部１３は、本実施の形態では、対象データのレコード数と、対象データに対して匿名化処理が行なわれた場合の対象データのレコード数とを用いて、有用性を評価する。具体的には、有用性評価部１３は、対象データの匿名化前のレコード数と、匿名化後のレコード数とを比較し、匿名化によって、どの程度のレコードが削除されたかを評価する。

［装置動作］
次に、本実施の形態における評価装置１０の動作の一例について図３を用いて説明する。図３は、本発明の実施の形態における評価装置の動作を示すフロー図である。また、以下の説明においては、適宜図１および図２を参酌する。また、本実施の形態では、評価装置１０を動作させることによって、評価方法が実施される。よって、本実施の形態における評価方法の説明は、以下の評価装置１０の動作説明に代える。

図３に示すように、最初に、データ取得部１４は、データベース２０から、対象データとして個人情報を取得する（ステップＡ１）。また、データ取得部１４は、取得した対象データを、個人識別リスク評価部１１、個人特定リスク評価部１２、及び有用性評価部１３に入力する。

次に、個人識別リスク評価部１１は、ステップＡ１で取得された対象データから、個人情報の取得元の個人の存在が把握される可能性を、個人識別リスクとして評価する（ステップＡ２）。また、個人識別リスク評価部１１は、結果をデータ出力部１５に入力する。

次に、個人特定リスク評価部１２は、対象データから個人情報の取得元の個人が特定される可能性を、個人特定リスクとして評価する（ステップＡ３）。また、個人特定リスク評価部１２も、結果をデータ出力部１５に入力する。

次に、有用性評価部１３は、対象データに対して匿名化処理が行なわれた場合の有用性を評価する（ステップＡ４）。また、有用性評価部１３も、結果をデータ出力部１５に入力する。

次に、データ出力部１５は、ステップＡ２からステップＡ４で行なわれた評価を端末措置３０に出力する（ステップＡ５）。

続いて、上述したステップＡ２〜Ａ４それぞれについて、以下により詳細に説明する。

［ステップＡ２：個人識別リスク評価処理］
最初に、図４〜図７を用いて、個人識別リスク評価部１１による個人識別リスクの評価処理について説明する。図４は、本発明の実施形態において得られた個人識別リスクの評価の一例を示す図である。図５は、本発明の実施形態で行なわれる個人識別リスクの評価処理の一例を説明する図であり、図５（ａ）〜（ｃ）は一連の処理の流れを示している。図６は、本発明の実施形態で行なわれる個人識別リスクの評価処理の他の例を説明する図であり、図６（ａ）〜（ｄ）は一連の処理の流れを示している。図７は、本発明の実施形態で行なわれる個人識別リスクの評価処理の他の例を説明する図であり、図７（ａ）〜（ｅ）は一連の処理の流れを示している。

図４に示すように、本実施の形態では、個人識別リスク評価部１１は、個人情報が記録されたテーブルの特定の準識別子の部分におけるｋ匿名化処理されて得られたデータが、対象データとなっている。つまり、図４において、一行目の行は、「匿名化後テーブル＿パターン１」の「年齢」及び「性別」のデータに対して、ｋ＝１０でｋ匿名化処理を行なうことで得られた匿名化後データが、対象データであることを示している。

また、個人識別リスク評価部１１は、対象データ中の特定の準識別子の値が一致するレコードの個数を算出し、算出した個数から、対象データに対してｋ匿名化処理を実行した場合のｋ人に識別される人数を求める。図４に示すように、この「人数」が、個人識別リスクの評価となる。

具体的には、例えば、対象データにおいて、特定の準識別子が、単一値の組み合わせであるとする。「単一値」は、単一属性のデータであり、年齢、性別といった個人が単一の値しか持たない準識別子である。この場合、図５に示すように、個人識別リスク評価部１１は、対象データ（図５（ａ）参照）から、識別子Ｑｌ１及びＱｌ２の組み合わせ毎に、該当するユーザの数（レコード数）を求める（図５（ｂ）参照）。次に、個人識別リスク評価部１１は、ｋの値毎に、ｋ人に識別されるユーザの人数を求める（図５（ｃ）参照）。

また、例えば、対象データにおいて、特定の識別子が集合値であるとする。「集合値」は、複合属性のデータであり、病気の種類、地域（職場の場所、居住地）、といった個人が複数の値を持つ可能性がある準識別子である。この場合、図６に示すように、個人識別リスク評価部１１は、対象データ（図６（ａ）参照）から、ユーザ毎に、該当する識別子「地域」の組み合わせを特定する（図６（ｂ）参照）。次に、個人識別リスク評価部１１は、識別子「地域」の組み合わせ毎に、該当するユーザの数（レコード数）を求める（図６（ｃ）参照）。次に、個人識別リスク評価部１１は、ｋの値毎に、ｋ人に識別されるユーザの人数を求める（図６（ｄ）参照）。

また、例えば、対象データにおいて、特定の識別子が単一値と集合値との組合せであるとする。この場合、図７に示すように、個人識別リスク評価部１１は、まず、対象データの集合値の部分（図７（ａ）参照）と、対象データの単一値の部分（図７（ｂ）参照）とを結合する（図７（ｃ）参照）。次に、個人識別リスク評価部１１は、識別子ｑｉ１と識別子「地域」との組み合わせ毎に、該当するユーザの数（レコード数）を求める（図７（ｃ）参照）。次に、個人識別リスク評価部１１は、ｋの値毎に、ｋ人に識別されるユーザの人数を求める（図７（ｄ）参照）。

［ステップＡ３：個人特定リスク評価処理］
続いて、図８を用いて、個人特定リスク評価部１２による個人特定リスクの評価処理について説明する。図８は、本発明の実施の形態において行なわれる個人特定リスクの評価処理を説明するための図であり、個人情報の一例を示している。

個人特定リスク評価部１２は、個人識別リスク評価部１１によって得られた個人識別リスクと、準識別子毎に予め設定された、各準識別子から個人が特定される危険性を示す係数とに基づいて、個人特定リスクを評価する。具体的には、個人特定リスク評価部１２は、例えば、下記の数１に示す式によって、個人特定リスクｆを算出する。

（数１）
ｆ＝（１／ｋ）×ｒ

上記数１において、ｋは、個人識別リスク評価部１１によって算出された個人識別リスクである。ｒは、各準識別子から個人が特定される危険性を示す係数である。以下、ｒを「評価パラメータ」と表記する。

評価パラメータは、準識別子の内容、準識別子の値、対象データの利用先等に基づいて、適宜設定される。例えば、個人情報が図５に示すものであるとする。

図８の例では、準識別子である、年齢、性別、診療年月、傷病は、外部の別のデータでも使用されている可能性があり、このうち、年齢及び性別は、傷病よりも別のデータに存在する可能性が高いと考えられる。従って、対象データにおける特定の識別子が傷病の場合は、特定の識別子が年齢及び性別の場合に比べて、個人が特定される可能性は低くなるので、評価パラメータｒの値も小さく設定される。

また、対象データデータにおける特定の識別子が傷病である場合において、心臓病は、風邪よりも別のデータに存在する可能性が低いと考える。従って、対象データにおける特定の識別子が傷病である場合であっても、風邪のレコード数が比較的多い場合は、評価パラメータｒの値は大きく設定され、風邪のレコード数が比較的少ない場合は、評価パラメータｒの値は小さく設定される。

また、個人特定リスク評価部１２は、下記の数２に示す式によって、個人特定リスクｆを算出することもできる。

（数２）
ｆ＝ｋ×Ｒ

上記数２において、ｋは、数１と同様に、個人識別リスク評価部１１によって算出された個人識別リスクである。Ｒは、共有率である。共有率は、対象となる識別子を攻撃者がどのくらいの確率で事前知識として知っているかの可能性を示しており、０以上１以下の範囲で設定される。例えば、識別子が性別のみの場合は、知られやすいので０．９に設定され、年齢のみの場合は０．７に設定される。また、識別子が年齢と性別との組み合わせの場合は、多少知られにくくなるので、例えば、０．５に設定される。

［ステップＡ４：有用性評価処理］
次に、図９を用いて、有用性評価部１３による有用性の評価処理について説明する。図９は、本発明の実施の形態で行なわれた有用性の評価の一例を示す図である。図９において、横軸は、ｋ匿名化処理におけるｋの値を示し、縦軸は、ｋ匿名化処理の前後におけるレコードの減少率を示している。

図９に示すように、有用性評価部１３は、対象データのレコード数と、対象データに対してｋ匿名化処理が行なわれた場合の対象データのレコード数とを用いて、有用性を評価している。具体的には、有用性評価部１３は、ｋの値を変えて、対象データの匿名化前のレコード数に対する、ｋ匿名化後のレコード数の割合（減少率）を算出し、算出結果をグラフ化する。

このように、図９に示すグラフによれば、評価者は、ｋ匿名化処理によってどの程度のレコードが削除されるのかを視覚で把握することができる。この結果、評価者は、ｋ匿名化後の評価対象データの有用性を把握できる。

［実施の形態における効果］
以上のように、本実施の形態よれば、個人特定リスク、個人識別リスク、有用性を評価するツールを提供でき、リスクと有用性とのバランスのとれたガイドライン策定に貢献することが可能となる。

［プログラム］
本実施の形態におけるプログラムは、コンピュータに、図３に示すステップＡ１〜Ａ５を実行させるプログラムであれば良い。このプログラムをコンピュータにインストールし、実行することによって、本実施の形態における評価装置１０と評価方法とを実現することができる。この場合、コンピュータのＣＰＵ（Central Processing Unit）は、個人識別リスク評価部１１、個人特定リスク評価部１２、有用性評価部１３、データ取得部１４、及びデータ出力部１５として機能し、処理を行なう。

また、本実施の形態におけるプログラムは、複数のコンピュータによって構築されたコンピュータシステムによって実行されても良い。この場合は、例えば、各コンピュータが、それぞれ、個人識別リスク評価部１１、個人特定リスク評価部１２、有用性評価部１３、データ取得部１４、及びデータ出力部１５のいずれかとして機能しても良い。

ここで、本実施の形態におけるプログラムを実行することによって、評価装置１０を実現するコンピュータについて図１０を用いて説明する。図１０は、本発明の実施の形態における評価装置を実現するコンピュータの一例を示すブロック図である。

図１０に示すように、コンピュータ１１０は、ＣＰＵ１１１と、メインメモリ１１２と、記憶装置１１３と、入力インターフェイス１１４と、表示コントローラ１１５と、データリーダ／ライタ１１６と、通信インターフェイス１１７とを備える。これらの各部は、バス１２１を介して、互いにデータ通信可能に接続される。

ＣＰＵ１１１は、記憶装置１１３に格納された、本実施の形態におけるプログラム（コード）をメインメモリ１１２に展開し、これらを所定順序で実行することにより、各種の演算を実施する。メインメモリ１１２は、典型的には、ＤＲＡＭ（Dynamic Random Access Memory）等の揮発性の記憶装置である。また、本実施の形態におけるプログラムは、コンピュータ読み取り可能な記録媒体１２０に格納された状態で提供される。なお、本実施の形態におけるプログラムは、通信インターフェイス１１７を介して接続されたインターネット上で流通するものであっても良い。

また、記憶装置１１３の具体例としては、ハードディスクドライブの他、フラッシュメモリ等の半導体記憶装置が挙げられる。入力インターフェイス１１４は、ＣＰＵ１１１と、キーボード及びマウスといった入力機器１１８との間のデータ伝送を仲介する。表示コントローラ１１５は、ディスプレイ装置１１９と接続され、ディスプレイ装置１１９での表示を制御する。

データリーダ／ライタ１１６は、ＣＰＵ１１１と記録媒体１２０との間のデータ伝送を仲介し、記録媒体１２０からのプログラムの読み出し、及びコンピュータ１１０における処理結果の記録媒体１２０への書き込みを実行する。通信インターフェイス１１７は、ＣＰＵ１１１と、他のコンピュータとの間のデータ伝送を仲介する。

また、記録媒体１２０の具体例としては、ＣＦ（Compact Flash（登録商標））及びＳＤ（Secure Digital）等の汎用的な半導体記憶デバイス、フレキシブルディスク（Flexible Disk）等の磁気記憶媒体、又はＣＤ−ＲＯＭ（Compact Disk Read Only Memory）などの光学記憶媒体が挙げられる。

また、本実施の形態における評価装置１０は、プログラムがインストールされたコンピュータではなく、各部に対応したハードウェアを用いることによっても実現可能である。更に、評価装置１０は、一部がプログラムで実現され、残りの部分がハードウェアで実現されていてもよい。

以上のように、本発明によれば、ｋ匿名化処理を行なったデータに対する評価を行なうことができる。本発明は、個人情報の匿名化求められる種々の分野において有用である。

１０ 評価装置
１１ 個人識別リスク評価部
１２ 個人特定リスク評価部
１３ 有用性評価部
１４ データ取得部
１５ データ出力部
２０ データベース
３０ 端末装置
１１０ コンピュータ
１１１ ＣＰＵ
１１２ メインメモリ
１１３ 記憶装置
１１４ 入力インターフェイス
１１５ 表示コントローラ
１１６ データリーダ／ライタ
１１７ 通信インターフェイス
１１８ 入力機器
１１９ ディスプレイ装置
１２０ 記録媒体
１２１ バス

Claims (12)

1. 複数の個人から取得された個人情報を含むデータを対象データとして評価を行なう評価装置であって、
   前記対象データから前記個人情報の取得元の個人の存在が把握される可能性を、個人識別リスクとして評価する、個人識別リスク評価部と、
   前記対象データから前記個人情報の取得元の個人が特定される可能性を、個人特定リスクとして評価する、個人特定リスク評価部と、
   前記対象データに対して匿名化処理が行なわれた場合の有用性を評価する、有用性評価部と、
   を備えていることを特徴とする評価装置。
2. 前記個人識別リスク評価部は、前記個人情報を構成する準識別子の値が一致するレコードの個数を算出し、算出した個数から、前記対象データに対してｋ匿名化処理を実行した場合のｋ人に識別される人数を求めることによって、前記個人識別リスクを評価する、
   請求項１に記載の評価装置。
3. 個人特定リスク評価部は、前記個人識別リスクと、前記準識別子毎に予め設定された、当該準識別子から個人が特定される危険性を示す係数とに基づいて、前記個人特定リスクを評価する、
   請求項２に記載の評価装置。
4. 有用性評価部は、前記対象データのレコード数と、前記対象データに対して匿名化処理が行なわれた場合の前記対象データのレコード数とを用いて、前記有用性を評価する、
   請求項１〜３のいずれかに記載の評価装置。
5. 複数の個人から取得された個人情報を含むデータを対象データとして評価を行なう評価方法であって、
   （ａ）前記対象データから前記個人情報の取得元の個人の存在が把握される可能性を、個人識別リスクとして評価する、ステップと、
   （ｂ）前記対象データから前記個人情報の取得元の個人が特定される可能性を、個人特定リスクとして評価する、ステップと、
   （Ｃ）前記対象データに対して匿名化処理が行なわれた場合の有用性を評価する、ステップと、
   を有することを特徴とする評価方法。
6. 前記（ａ）のステップにおいて、前記個人情報を構成する準識別子の値が一致するレコードの個数を算出し、算出した個数から、前記対象データに対してｋ匿名化処理を実行した場合のｋ人に識別される人数を求めることによって、前記個人識別リスクを評価する、
   請求項５に記載の評価方法。
7. 前記（ｂ）のステップにおいて、前記個人識別リスクと、前記準識別子毎に予め設定された、当該準識別子から個人が特定される危険性を示す係数とに基づいて、前記個人特定リスクを評価する、
   請求項６に記載の評価方法。
8. 前記（ｃ）のステップにおいて、前記対象データのレコード数と、前記対象データに対して匿名化処理が行なわれた場合の前記対象データのレコード数とを用いて、前記有用性を評価する、
   請求項５〜７のいずれかに記載の評価方法。
9. コンピュータによって、複数の個人から取得された個人情報を含むデータを対象データとして評価を行なうためのプログラムであって、
   前記コンピュータに、
   （ａ）前記対象データから前記個人情報の取得元の個人の存在が把握される可能性を、個人識別リスクとして評価する、ステップと、
   （ｂ）前記対象データから前記個人情報の取得元の個人が特定される可能性を、個人特定リスクとして評価する、ステップと、
   （Ｃ）前記対象データに対して匿名化処理が行なわれた場合の有用性を評価する、ステップと、
   を実行させる、プログラム。
10. 前記（ａ）のステップにおいて、前記個人情報を構成する準識別子の値が一致するレコードの個数を算出し、算出した個数から、前記対象データに対してｋ匿名化処理を実行した場合のｋ人に識別される人数を求めることによって、前記個人識別リスクを評価する、
    請求項９に記載のプログラム。
11. 前記（ｂ）のステップにおいて、前記個人識別リスクと、前記準識別子毎に予め設定された、当該準識別子から個人が特定される危険性を示す係数とに基づいて、前記個人特定リスクを評価する、
    請求項１０に記載のプログラム。
12. 前記（ｃ）のステップにおいて、前記対象データのレコード数と、前記対象データに対して匿名化処理が行なわれた場合の前記対象データのレコード数とを用いて、前記有用性を評価する、
    請求項９〜１１のいずれかに記載のプログラム。

Images