編集長の佐藤（@akihirosato1975）です。
先週（3/16）のプライバシーフリークカフェレポートの後半戦です。
前半戦をお読みでない方はまず前半戦のレポートをお読みいただいてからこちらをお読みください。（資料関係もそちらに一通り貼ってあります）
後半戦
匿名加工情報
後半戦はいわゆる「匿名加工情報」の話題からスタートです。
まずは鈴木先生が「『匿名』という言葉は使いたくなかった」「”anonymize”と”supermize(?)”がごっちゃになっているのに、内閣法制局が『匿名』としてしまった」と、技術検討WGで「完全な『匿名化』は困難」という結論が出たことを踏まえた爆弾を投下。その上で「匿名加工情報」の定義について「特定個人が識別できない」「復元できない」という2要件が必要だとした上で「単なる仮名化（個人名等を削る処理）のみで済むのか」「『復元』とは何を指すのか」が論点になっている、と語ります。
また「匿名加工情報は（同法上の）『個人情報』ではない」「なので匿名加工情報だけを扱っていれば個人情報取扱事業者ではない」ということで、匿名加工情報を扱う事業者の義務を別途定めなければならない、とした上で「義務については第36条で初めて出てくるが、詳細は規則で定めるという話」「仮名化情報をそのまま許すわけではないが、最大限緩くなればOKという判断基準を第三者機関に委ねた」（鈴木先生）。
これに対し法的にいろいろ問題がある、と指摘するのが高木氏。詳細については高木氏の3月10日の日記が詳しいのでここでは詳細は省略しますが、いくつか具体例が挙げられただけでも
「業務委託・事業承継・共同利用の場合、現行法では（個人情報を相手先に渡したとしても）第23条4項で除外されているが、匿名加工情報の場合はこれらの場合でも公表義務が生じてしまう」「個人情報を無加工で委託先に渡したほうが問題がない」
「社内で統計分析するだけなのに、その前処理を行っただけで公表義務が生じる上に、加工方法も規則に従わなきゃいけなくなる」
「特に第36条5項（照合禁止規定）が意味不明で、元になる個人情報を持っている事業者自身がデータ照合しちゃいけないという意味がわからない」
など問題のオンパレード。これには鈴木先生も「多分バグじゃない？」「規則でフォローしようとしたのかもしれないけど、他の先生に聞いても『（フォローは）無理じゃない？』という話」と同意します。しまいには「これだと『どうせばれないから』と、みんな好き勝手やるようになる」「それはそれで法の権威が失われる」とまでコメントします。
また高木氏からは「匿名化したら個人と情報が紐付かなくなるのだから、そもそも（第2条9項にある）『個人に関する情報』ではなくなる、という意見すらある」「どこまで加工すればこの法律の範疇外になるのかがわからない」という問題点も指摘されます。「（情報が）復元できないんだったら、そもそも『復元を禁止する』意味が無い」「類似しているのが電波法の暗号通信解読禁止規定の話」とも高木氏は語ります。
鈴木先生も「今は決めの問題なので、弁護士さんも戦いようがない」「どうやってコンプライアンスを確保するのか、社内統制をどうするのかを考えると、まっとうな会社はまず（匿名加工情報を）使わないのではないか」「社内ニーズの吸い上げも失敗したロビー活動を行っている」「経団連に加盟する企業の部長クラスが適当に鉛筆なめて（パブリックコメントを）作って、結局後で謝りに来る」などと、現実的には「匿名加工情報」は使いものにならない可能性がある、と指摘しました。
個人情報保護委員会
山本氏からは個人情報保護委員会について「具体的に立入検査のシミュレーションしました？」という疑問が。山本氏は公正取引委員会などの立入検査の例を挙げつつ「入ったが空振りというのは基本許されない」「ところがちゃんと検査できる体制を整えようとしているようには見えない」と語った上で、「当初は産業廃棄物のように（排出元から処分場までのルートを）追跡するモデルを考えているのかと思ったけど、よく聞いたらそもそもそこまで議論されていないとわかった」と指摘します。「金融庁のファンド規制も『いつでも（検査に）入る可能性がある』と言っときながら全然入らない」と他分野の似たような例を挙げ、きちんと立入検査を行える体制を整えないと実効性が上がらないと語ります。これには鈴木先生も「最初は自主規制を促すぐらいしかできないだろう」と同意し、体制の整備については中長期的な課題との認識を示しました。
（以下は本来はこの次の節での話なんですが、記事の流れ上ここでまとめます）
鈴木先生は「いろいろあるけど、今回の法改正は委員会を作るのが最大の目的」「ここさえ死守できればあとは改正を重ねていけばいい」と語った上で「問題は個々の人選」「（ロビー活動をしている企業たちが）今から人事にいろいろ動いている」として、委員会の立ちあげが最大の課題という点を改めて強調していました。
その他
このへんで時間は8時半を回り、残り時間の関係であとは駆け足で問題をさらっていきます。
ここで問題視されたのはまず「第三者提供時の記録作成義務（第25条）」。これはベネッセ問題を受けていわゆる名簿屋対策として入った条項（次の第26条も同様）ですが、三人共実効性について疑問視します。山本氏は「名簿屋を晒しあげても、結局彼ら自身もピラミッド構造になっているので、末端はいくらでも看板架け替えて商売できる」「一般事業者に対しては『名簿の仕入れが難しくなる』という意味はあるが、ビジネスの歯止めになるほどではない」と語ります。また鈴木先生は「第三者提供に当たって本人同意を取った場合でも、この条文だと提供記録を作成しなきゃいけない」という点を問題視し「一般の事業者がこれに対応できるのか？」「これバグじゃない？というぐらい、わざとなのかバグなのかわからないところが多い」とまたもや「バグ」の二文字が飛び出します。
また「提供罪の新設（第83条）」についても、鈴木先生から「明確に金が絡まないと摘発できないので、愉快犯的に漏洩する人間は対象外」と説明があったほか、山本氏からは「特定個人のデータだけをピンポイントで買いに来た場合どうするのか」との問題提起が。これに対しては高木氏から「売る側は規制できるが、買う側は（ピンポイントの場合）表現の自由との絡みがあり規制できない」とのコメントがありました。
他の細かい話は省略しますが、鈴木先生が最後に問題視していたのが、俗に「個人情報2000個問題」とも呼ばれる地方自治体の問題。地方自治の原則の関係上、各地方自治体が管理する個人情報については基本的に各自治体の条例で管理してもらうしかない、というのが現状ですが、これが自治体によって整合性が取れておらず、結果として「各自治体が運営する病院と国立・民間の病院の間でカルテ情報がやりとりできない」といった問題が発生しているとのこと。鈴木先生は「匿名加工情報が唯一使い物になるとしたら、すべての病院の医療データをつなぎこむこと」「ただし地方分権の建前上、中央は踏み込めない」と語り、各地方自治体が今回の法改正に合わせてどう動くかが問題（次回のメインテーマ？）との考えを表明して終わりました。
余談
休憩明けに、山本氏が「いつまで『プライバシーフリーク』という名称を使い続けるかが懸案事項」と語っていたので、新しい名称のアイデアがある方はtwitter等で送るといいかもしれません（笑）