個人情報とプライバシー — 自分のデータを守る

初級・中級の「組み合わせると個人が特定できる」を、上級では情報の粒度という言葉で精密にします。個人特定のしやすさは、列（属性）の種類で階層になっています。

1. 識別子※1 — 単体で個人に直結する。氏名・マイナンバー・メールアドレスなど。消せば直接の紐づけは切れる
2. 準識別子※2 — 単体では個人を指さないが、複数を組み合わせると絞り込める。生年月日・郵便番号・性別が代表例。ここが再識別の入口になる
3. 機微情報（要配慮個人情報）※3 — 思想・信条・病歴・犯罪歴など、漏れたときの被害が大きい。取得・利用に厳しい制約がかかる

怖いのは、識別子を消しても準識別子が残る点です。ある地域では「生年月日＋郵便番号＋性別」の組だけで大多数が一意に絞り込めるという研究知見があり、これを外部の名簿と突き合わせて本人に戻すのがリンク攻撃※4。「氏名を消した＝匿名」という直感は、ここで崩れます。

登場人物メモ（※の説明）:

• ※1 識別子 — 単体で個人を一意に指す属性。直接識別子とも呼ぶ
• ※2 準識別子 — 単体では非個人だが、組み合わせで個人を絞り込める属性の集まり
• ※3 機微情報 — 差別・不利益につながりやすく、取得に原則同意が要るなど強く保護される区分
• ※4 リンク攻撃 — 加工済みデータを、公開名簿や別データセットと突き合わせて本人へ再識別する攻撃

⚠️ イレギュラー（消しても残る手がかり）:

• 列を消しても行が語る — 位置履歴や購買履歴のような「行の並び」自体が指紋になり、数点の立ち寄り先だけで個人を絞れることがある
• 希少値は目立つ — 珍しい職業・珍しい病名など、母数の少ない値は準識別子1つでも強い特定力を持つ

再識別を防ぐ古典的な武器が匿名化の加工です。上級では、その代表格 k-匿名性が何を保証し、何を保証しないかを正確に押さえます。

• 仮名化と匿名化は別物 — 仮名化※1 は対応表や鍵を持てば本人へ戻せる可逆の加工で、戻せる以上は個人データ扱いが続く。匿名化は誰も本人へ戻せない不可逆を目指す。実務では「匿名化したつもりが仮名化どまり」がよく起きる
• k-匿名性※2 — 準識別子の組で見て、同じ組を持つ人が最低k人いるように一般化・削除する（例、年齢を5歳刻みにまとめる）。どの1件も他のk-1件に埋もれて区別できない状態を作る
• 同質性攻撃という穴 — k-匿名でも、あるグループの機微属性が全員同じなら（例、そのグループ全員が同じ病名）、人数に関係なく機微情報が漏れる。kは「グループの大きさ」しか守らない
• l-多様性※3 — そこで各グループ内の機微属性がl種類以上多様であることを要求し、同質性攻撃を緩和する。ただしこれも分布の偏り（スキュー）を突く攻撃に弱く、t-近接性などへ改良が続く

要は、匿名化は「絶対安全」ではなく「再識別のコストを上げる」技術だということです。背景知識をどれだけ持つ攻撃者を想定するかで、必要な強度は変わります。

登場人物メモ（※の説明）:

• ※1 仮名化 — 識別子を別の値へ置き換える加工。対応表・鍵を分離管理するが、戻せるので個人データのまま
• ※2 k-匿名性 — 同じ準識別子の組を持つ人が最低k人いるようにする指標。kが大きいほど埋もれるが、有用性は下がる
• ※3 l-多様性 — 各k-匿名グループ内で機微属性がl種類以上あることを求め、同質性攻撃を防ぐ拡張

⚠️ イレギュラー（匿名化が揺らぐ場面）:

• kを上げても同質性は消えない — 弱点はグループの偏りなので、人数を増やすだけでは病名の漏れは止まらない
• 加工しすぎると使えない — 一般化を強めるほど再識別は難しくなるが、統計としての有用性が失われる。プライバシーと有用性は綱引き

k-匿名性が「データの見た目」を加工するのに対し、差分プライバシー※1 は発想が違います。守るのは個々のレコードではなく、「ある1人が含まれるか否かを、出力からほぼ判別できない」という数学的な保証です。

1. 統計値（集計・平均など）を返すとき、意図的にランダムなノイズを足してから返す
2. これにより、ある1人をデータに加えても除いても、出力の確率分布がほとんど変わらない状態を作る。だから出力を見ても「あの人が含まれていたか」を高い確信で言えない
3. 「ほとんど変わらない」の厳しさを表すのがプライバシー予算 ε※2。εが小さいほどノイズが大きく保護は強い（が、統計の有用性は下がる）
4. しかも同じデータへ問い合わせを重ねると ε が積み上がって予算を消費し、保護は弱まっていく。だから「何回・どんな質問を許すか」を予算として管理する

k-匿名性との決定的な違いは、攻撃者がどんな背景知識を持っていても成り立つ保証を、確率の言葉で与える点です。反面、ノイズのぶん個々の正確さは犠牲になり、ε の設定という運用判断が残ります。

登場人物メモ（※の説明）:

• ※1 差分プライバシー — 出力に較正したノイズを足し、個人の有無が出力にほぼ影響しないことを数学的に保証する枠組み
• ※2 ε（プライバシー予算） — 保護の強さの上限を表す小さな数。小さいほど強い保護＝大きいノイズ。問い合わせのたびに消費される

⚠️ イレギュラー（万能ではない）:

• ε=0 は非現実的 — 完全保護はノイズ無限大で何も分からず、保護と正確さの同時最大化はできない
• 予算の枯渇 — 繰り返し集計や複数指標の公開で ε を使い切ると、それ以上は個人が滲み出す。合成の管理が要る

中級で見た追跡技術を、上級では「規制で1つ塞いでも別経路が残る」いたちごっこの構造として捉え直します。

• サードパーティCookie — 他社ドメインが発行し、複数サイトの行動を横断的に束ねる。各ブラウザで廃止・制限が進むが、これは追跡経路の1つを塞いだにすぎない
• フィンガープリンティング — 画面解像度・フォント・拡張機能・GPUの癖などの組み合わせで端末を推定する。Cookieを保存しない受動的な手法なので、Cookie削除やブロックでは防げない。対抗として一部ブラウザは特徴量を均一化して指紋を潰す
• モバイルの広告ID（IDFA等）※1 — 端末が持つ広告用の識別子。OS側が利用者の許可制（オプトイン）へ舵を切り、既定で無効化する動きが進む
• Cookie規制と同意 — GDPR や ePrivacy 系の規制で、追跡目的の保存は事前同意が要る。ただし同意画面（同意バナー）の乱発は、次章の「同意疲れ」を生む

守る側はトラッカー抑制・特徴量の均一化・権限管理を、集める側はプライバシーバイデザイン（設計段階から最小限に）を——という中級の結論は、上級では「単一の対策では追跡を根絶できない」という前提の上に立ちます。

登場人物メモ（※の説明）:

• ※1 広告ID（IDFA/AAID） — スマホOSが提供する広告用の識別子。近年は既定オフ・許可制へ移行が進む

GDPR や日本の個人情報保護法は、抽象的な理念ではなく、システムの作りそのものに具体的な要件を課します。中級で挙げた原則を、設計要件へ翻訳します。

• 同意 — 何にどう使うかを提示し、取得と撤回の両方を扱える仕組みが要る。撤回後は利用を止める導線まで含む
• 目的制限 — 集めた目的の範囲外へ勝手に流用しない。目的ごとにデータの用途をひも付けて管理する
• データ最小化 — 目的に不要な列はそもそも集めない・持たない。認証と結びつく話でもあり、必要最小限の属性で本人確認する設計に通じる（認証・認可）
• 削除権（忘れられる権利） — 本人の求めに応じて確実に消せること。バックアップ・ログ・複製先まで含めた消去は、実装上むしろ難所になる
• データポータビリティ — 本人が自分のデータを持ち出せる形式で提供する

つまり法は「気をつけましょう」ではなく、同意管理・目的のひも付け・最小化・確実な削除という機能をシステムに要求します。認可（誰が何にアクセスしてよいか）の設計と地続きで、後付けでは苦しく、最初から織り込む必要があります。

⚠️ イレギュラー（要件が現実とぶつかる）:

• 消したつもりで残る — 分散したバックアップやログに複製が残り、削除権の履行が漏れる
• 国境をまたぐ — データの保管先や移転先の国によって適用される法が変わり、単純な「削除」では済まない

最後に、この分野で繰り返し起きる破綻を、原理の言葉で整理します。

• 匿名化を「絶対安全」と信じる — 匿名化は再識別コストを上げる技術であって、ゼロにはしない。背景知識の豊富な攻撃者を想定すれば、公開データからの再識別は現実に起きてきた
• 仮名化を匿名化と取り違える — 鍵や対応表で戻せるものを「匿名だから規制対象外」と扱うと、法的にも技術的にも破綻する
• 単一対策で追跡を止めた気になる — サードパーティCookieを塞いでも、フィンガープリントという別経路が残る。多層で考える前提を崩さない
• 差分プライバシーの予算を使い切る — 繰り返し集計で ε が積み上がると保護が薄れる。「一度入れたから安全」ではなく、問い合わせの総量を管理する運用が要る
• 同意疲れと利便性の綱引き — 同意画面の乱発は形骸化を招き、パーソナライズの便利さは追跡のリスクと表裏。技術だけでなく、集める量そのものを減らす設計判断が効く

まとめ——プライバシーを守る技術は、識別子の粒度（どこまで個人に近いか）／匿名化と仮名化（戻せるか）／k-匿名性・l-多様性（何を保証しないか）／差分プライバシー（数学的な保護と予算）／追跡と規制（塞いでも残る経路）という何層もの視点で成り立っています。どれも「絶対」ではなく「再識別のコストと確率」をどう設計するかの問題——ここまで見えれば、法規制がシステムに課す要件も、守りと利便のトレードオフも、同じ1本の「識別のしやすさ」を巡る攻防として読めるようになります。