政府統計における匿名化ミクロデータの特徴

2013年10月17日（木）

明海大学経済学部

伊藤 伸介

パーソナルデータに関する検討会第2回技術検討ワーキンググループ

1

資料５

1．統計法と政府統計ミクロデータ

・ 諸外国では、政府統計の個別データから作成した匿名化ミクロデータが提供されている。

・ わが国においても、統計法(平成19年法律第53号)の全面施行に伴い、平成21年４月より、政府統計(公的統計)のミクロデータの提供が進められてきた。

＊本報告では、政府統計の個別データに匿名化処理を適用す

ることによって作成されたミクロデータを「匿名化ミクロデータ」と

呼ぶことにする。

2

わが国の統計法におけるミクロデータの定義

・「調査票情報」・・・統計調査によって集められた情報のうち、文書、図画又は電磁的記録によって記録されているもの(統計法第2条第11項) ⇒個別データ(他にも、個票データ、生データなど)

・「匿名データ」・・・一般の利用に供することを目的として調査票情報を特定の個人又は法人その他の団体の識別ができないように加工したもの（統計法第2条第12項）

3＊匿名データは統計法の規定に基づいて作成

統計法におけるミクロデータの提供（調査票情報の提供）

第三十三条 行政機関の長又は届出独立行政法人等は、

次の各号に掲げる者が当該各号に定める行為を行う場合には、その行った統計調査に係る調査票情報を、これらの者に提供することができる。

一 行政機関等その他これに準ずる者として総務省令で

定める者 統計の作成等又は統計を作成するための調査に係る名簿の作成

二 前号に掲げる者が行う統計の作成等と同等の公益性

を有する統計の作成等として総務省令で定めるものを行う者 当該総務省令で定める統計の作成等

4

（匿名データの作成）第三十五条 行政機関の長又は届出独立行政法人等は、その行った統計調査に係る調査票情報を加工して、匿名データを作成することができる。２ 行政機関の長は、前項の規定により基幹統計調査に係る匿名データを作成しようとするときは、あらかじめ、統計委員会の意見を聴かなければならない。(1)行政機関は、統計委員会へ匿名データ作成について諮問を行う。(2)統計委員会内に設置されている匿名データ部会において、基幹統計調査の匿名データに関する匿名性の検討が行われる。匿名データ部会の審議内容は、統計委員会に報告される。(3) 統計委員会において基幹統計調査の匿名データの作成に関する答申が出されると、行政機関は匿名データの作成・提供を行う。

（匿名データの提供）第三十六条 行政機関の長又は届出独立行政法人等は、学術研究の発展に資すると認める場合その他の総務省令で定める場合には、総務省令で定めるところにより、一般からの求めに応じ、前条第一項の規定により作成した匿名データを提供することができる。⇒調査票情報や匿名データの適正管理(第四十二条)、守秘義務(第四十三条)、罰則規定(第六十一条）あり。

5

1．総務省統計局

住宅・土地統計調査(平成5年、10年、15年)全国消費実態調査(平成元年、6年、11年、16年)就業構造基本調査(平成4年、9年、14年)社会生活基本調査(平成3年、8年、13年、18年)労働力調査(平成元年1月～平成20年12月)

2. 厚生労働省

国民生活基礎調査(平成13年、平成16年)

わが国で現在作成・提供されている匿名データ

6

匿名データの作成・提供に関するガイドライン

（総務省政策統括官（統計基準担当）決定） (以下『ガイドライン』)

(1)匿名データ提供の申出者および利用者の範囲(12頁)・自ら責任を持って学術研究の発展に資すると認められる利用を行い得る者

・高等教育の発展に資すると認められる利用を行い得る者

・国際比較統計利活用事業を行い得る者

⇒学術研究や高等教育の発展に資すると認められる場合に限り、匿名データの提供が認められる。

(2)匿名データの申出者は、利用申出の際に、匿名データの利用期間、利用場所・保管場所を明示する必要がある。

＊わが国の匿名データは、Public Useな匿名化ミクロデータではない。

7

8

2. 政府統計ミクロデータにおける匿名化措置

・政府統計ミクロデータに関する秘匿性(confidentiality)→諸外国では、主としてミクロデータに含まれる個体識別リス

クの評価として議論が展開

参考 個体識別(identification)(Marsh et al.(1991), Müller et al.(1995))

＊識別の対象となる特定の個体について侵入者(intruder)が把握している情報(事前情報(a priori knowledge))を含むファイル(識別ファイル)とミクロデータファイルを想定

1)識別ファイルに含まれるレコードとミクロデータファイルに含まれるレコードがキー変数(key variable)を通じて1対1のマッチング(matching)がなされること

2)対応関係にあるレコードが特定の個体のものであることが確認されること

↓

個体識別が成立

8

9

参考 個体識別のイメージ(伊藤(2010))

侵入者が個人Aの属性値について情報を持っていた場合

侵入者がミクロデータを手に入れると、ミクロデータに含まれる属性群と個人Aに関して持っている情報に関して、キー変数(この場合は、性別、年齢、世帯人員区分、職業)によるマッチングを行うことによって、ミクロデータの中から個人Aに関する情報を特定しようとする。

個人Ａ

性別が男年齢が85歳8人世帯農林漁業従事者

侵入者 政府統計のミクロデータのイメージ

(世帯主) (世帯主) (世帯主)性別 年齢 職業 ・・・

00001 2 25 1 9 200 ・・・00002 1 36 4 1 800 ・・・

00003 1 85 8 7 6000 ・・・00004 2 45 3 5 400 ・・・00005 1 70 2 5 300 ・・・

・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・・ ・ ・ ・ ・ ・

性別　1: 男　2:女職業 1:専門的・技術的職業従事者　2: 管理的職業従事者　3:事務従事者

　　 4:販売従事者 5: サービス職業従事者　6:保安職業従事者　7: 農林漁業従事者　　 8: 運輸・通信従事者　9: 生産工程・労務作業者

一連番号年間収入

(万円)世帯人員

区分

9

匿名化処理：「基本的には、調査単位とミクロデータの対応関係を特定されないようにする」こと

⇒主要国でも用いられている匿名化技法を組み合わせる(『ガイドライン』別紙2)。

非攪乱的な手法

・ 識別情報の削除

・ 匿名データの再ソート（配列順の並べ替え）

・ 識別情報のトップ（ボトム）・コーディング

・ 識別情報のグルーピング（リコーディング）

・ リサンプリング

攪乱的な手法

・ スワッピング

＊主として外観識別性の高い属性に対して、匿名化処理が適用されると考えられる。 10

匿名データにおける匿名化処理の考え方(『ガイドライン』別紙1)

11

参考 匿名データ提供の対象となる主な統計調査の匿名化措置の一覧

全国消費実態調査 社会生活基本調査 就業構造基本調査 住宅・土地統計調査 労働力調査

リサンプリング率 80% 80% 80% 10% 80%　※沖縄以外：80%、沖縄：20%

地理区分 3大都市圏か否か 3大都市圏か否か 3大都市圏か否か 都道府県 なし

年齢階級5歳階級(リコーディング)(子供の年齢は15歳未満は各歳)

5歳階級(リコーディング)(子供の年齢は10歳未満は各歳)

5歳階級(リコーディング)(子供の年齢は15歳未満は各歳)

5歳階級(リコーディング)(子供の年齢は15歳未満は各歳)

5歳階級(リコーディング)（15歳以上）

年齢区分 85歳以上トップコーディング 85歳以上トップコーディング 85歳以上トップコーディング 85歳以上トップコーディング 85歳以上トップコーディング

世帯人員 8人以上世帯削除 8人以上世帯削除 8人以上世帯削除 8人以上世帯削除 8人以上世帯削除

子ども 三つ子（同一年齢3人)以上世帯削除 三つ子（同一年齢3人)以上世帯削除 三つ子（同一年齢3人)以上世帯削除 三つ子（同一年齢3人)以上世帯削除 同一年齢階級3人以上世帯削除

住宅規模等一定水準未満ボトムコーディング一定水準以上トップコーディング

- -一定水準未満ボトムコーディング一定水準以上トップコーディング

-

年間収入等一定金額以上トップコーディング内訳削除

- - - -

(共通事項)

(調査別)

出所 http://rcisss.ier.hit-u.ac.jp/Japanese/micro/anonym02.html

参考 イギリスおける政府統計の匿名化ミクロデータの作成―人口センサスを例に―

イギリスでは、人口センサスが10年ごとに実施されており、1991年人口セ

ンサスより匿名化標本データ(Samples of Anonymised Records=SARs)が

作成・提供されている。

1991年人口センサスの匿名化標本データの提供においては、ミクロデータ

の提供に伴う露見リスク(disclosure risk)を定量的に評価するための体系

的な研究を行った上で、リスクは極めて低いと結論付けた(Marsh et al.

(1991))。

SARsにおける個体情報の露見リスクについてのTim Holt教授による議会答弁

(1992年3月11日)

｢しかるべき統計的検定の結果、露見のリスクは大多数の人口について無視できる程

度のものであり、その他の者についても極めて小さいものと考えることができる。国際

的な経験の示すところによれば、リスクのレベルは、SARの提供に踏み切る決断を行う

のにふさわしいものであり、私はこのように助言する｣と回答している(森(2000，54頁))

12

SARsに適用された匿名化技法

1991年SARsにおける匿名化技法

1）レコードの標本抽出

2）データの削除(suppression)

3）地域属性の制限

4）個人・世帯属性の分類区分の統合

*2001年SARsの作成においては、攪乱的手法(perturbation)として、

PRAM(Post Randomization Method)が適用されている(De Kort and

Wathan(2009))。

13

・イギリスの場合、人口センサスのSAR等のセンサスミクロデータに関しては，End User Licenseを取得することによって，(イギリス国内の教員・学生は)無料でダウンロードを行うことが可能である(ライセンス型ミクロデータ(End User License data))。

↓

ライセンス型ミクロデータは、イギリス統計法における「個人情報(personal information)」の対象外であって、個体情報が露見しないように十分な匿名化処理を行い、露見の制御(disclosure control)を行うことによって、提供可能⇒「disproportionate effort」ルールに基づく匿名化処理(伊藤(2012))

「disproportionate effort」ルール「データの利用者(intruder)が、公表された情報を利用して、ある統計単位が誰なのかを特定するか、あるいは、公共の場(public domain)では入手できない統計単位に関する情報を暴露するには見合わない(disproportionate)ほどの時間、労力と専門的技術を必要とすることをデータの提供者が保証すべきだということである。」

出所 GSS Disclosure Control Policy for Microdata Produced from Social Surveys

14

「disproportionate effort」ルールは、ドイツにおける「事

実上の匿名性」概念に類似しているようにも思われる。

事実上の匿名性：「著しく大きな時間、経費および労力

の支出によってしか個別データから回答者を突きとめる

ことができない」こと

→ 1987年ドイツ連邦統計法には、ミクロデータが「事実上匿名」

であれば、政府統計ミクロデータが学術研究のために提供され

てもよいことが、明記されている(濱砂(2000))。

15

3．匿名化ミクロデータと統計表

公表される統計表(あるいは集計結果表)は、一般的に基本的と考えられる調査事項をクロスさせた集計表であり、低次元の集計表として調査票情報から作成される (山口他(2013, 5～6頁))。

統計表：いくつかの変数値区分の組み合わせの各セルごとに、対応する観測単位数、あるいは観測単位のもつ値の平均値や比率などの統計量を表示した、表形式の集計データ(竹内啓編(1989)『統計学辞典』, 284頁)

＊集計結果表≠調査票情報

匿名データは、統計法36条によれば調査票情報を加工したものと規定されているから、調査票情報の一種と考えられる。

↓統計制度の下で作成された集計結果表と匿名データは、作成方法の点で基本的に異なる。

16

＊データ構造の観点から見れば、集計結果表と匿名化ミクロデータが対応関係を持つ場合がある。

Ex. 個別データとミクロアグリゲートデータ(個別データ

にミクロアグリゲーションを適用することによって作成されたデータ)

17

18

参考 個別データとミクロアグリゲートデータとの関係(伊藤(2009))(1)個別データ(属性群として性別，雇用形態，週間就業時間と (2)性別，雇用形態と週間就業時間に関する同質属性値年間収入のみが配列されていると想定) レコード群 一連番号 性別 雇用形態 週間就業時間 年間収入(千円) 一連番号 性別 雇用形態 週間就業時間 年間収入(千円)

1 1 1 4 1500 2 1 1 2 23002 1 1 2 2300 1 1 1 4 15003 1 1 4 2100 3 1 1 4 21004 1 3 1 1500 4 1 3 1 15005 1 3 2 2700 5 1 3 2 27006 1 3 3 1800 6 1 3 3 18007 2 2 3 3600 7 2 2 3 36008 2 4 4 4000 9 2 2 3 28009 2 2 3 2800 8 2 4 4 4000

性別　1: 男　2:女雇用形態　1:正規の職員・従業員　2:パート　3:アルバイト　4:派遣社員 対応関係週間就業時間　1:35時間未満　2:35～48時間　3:49～59時間　4:60時間以上

(3)性別，雇用形態，週間就業時間別クロス集計表

　性別 　　　　　　　男 　　　　　　　　女 計雇用形態 正規の職 　パート 　アル 派遣 正規の職 　パート 　アル 派遣週間就業時間 員・従業員 　バイト 社員 員・従業員 　バイト 社員35時間未満 0 0 1 0 0 0 0 0 135～48時間 1 0 1 0 0 0 0 0 249～59時間 0 0 1 0 0 2 0 0 360時間以上 2 0 0 0 0 0 0 1 3計 3 0 3 0 0 2 0 1 9

19

(３)性別，雇用形態，週間就業時間別クロス集計表

　性別 　　　　　　　男 　　　　　　　　女 計雇用形態 正規の職 　パート 　　アル 派遣 正規の職 パート アル 派遣週間就業時間 員・従業員 　　バイト 社員 員・従業員 バイト 社員35時間未満 0 0 1 0 0 0 0 0 135～48時間 1 0 1 0 0 0 0 0 249～59時間 0 0 1 0 0 2 0 0 360時間以上 2 0 0 0 0 0 0 1 3計 3 0 3 0 0 2 0 1 9

(4)ミクロアグリゲートデータ

　性別 雇用形態週間就業

時間 総数(N) 年間収入の総計

ミクロアグリゲーション後の一連番号

性別 雇用形態週間就業

時間年間収入

1 1 2 1 2300 1 1 1 2 23001 1 4 2 3600 2 1 1 4 18001 3 1 1 1500 3 1 1 4 18001 3 2 1 2700 4 1 3 1 15001 3 3 1 1800 5 1 3 2 27002 2 3 2 6400 6 1 3 3 18002 4 4 1 4000 7 2 2 3 3200

8 2 2 3 32009 2 4 4 4000

クロス集計表についてはn次元に拡張することが概念的には可能

20

図 超高次元クロス集計表のイメージ

(世帯主の)就業・非就 (世帯主の) 性別 業の別 企業規模 職業符号 ・・・ 総数(N)

　　　 1 　　　 ― 　　　 ― 　　　 ― 506642 　　　 ― 　　　 ― 　　　 ― ・・・ 4392

1つの属性を選択 　　　 ― 1 　　　 ― 　　　 ― 40783　 　　　 ― 2 　　　 ― 　　　 ― 1895

すべての属性にかんするクロス集計表 　　　 ― 3 　　　 ― 　　　 ― 11721就業・非就 　　　 ― 4 　　　 ― 　　　 ― 657

性別 業の別 企業規模 職業符号 ・・・ 総数(N) 　　　　　 ・ ・ 　　　　　 ・ 　　　　　 ・ ・・・ 　　 ・1 1 1 1 1 　　　　　 ・ ・ 　　　　　 ・ 　　　　　 ・ 　　 ・1 1 1 1 ・・・ 11 1 1 2 2

・ ・ ・ ・ ・ (世帯主の)就業・非就 (世帯主の) ・ ・ ・ ・ ・ 　2つの属性を選択 性別 業の別 企業規模 職業符号 ・・・ 総数(N) ・ ・ ・ ・ ・ 1 1 　　　 ― 　　　 ― 38578

1 4 5 12 2 1 2 　　　 ― 　　　 ― ・・・ 9081 4 5 12 ・・・ 1 1 3 　　　 ― 　　　 ― 10644

・ ・ ・ ・ ・ 1 4 　　　 ― 　　　 ― 534 ・ ・ ・ ・ ・ 2 1 　　　 ― 　　　 ― 2205 ・ ・ ・ ・ ・ 　　　　　・ 2 2 　　　 ― 　　　 ― 987

2 1 1 1 1 　　　　　・ 2 3 　　　 ― 　　　 ― 10772 1 1 1 1 　　　　　・ 2 4 　　　 ― 　　　 ― 1232 1 1 2 ・・・ 2 　　　　　 ・ ・ 　　　　 ・ 　　　　 ・ ・・・ 　 ・2 1 1 3 3 　　　　　 ・ ・ 　　　　 ・ 　　　　 ・ 　 ・

・ ・ ・ ・ ・ 　　　　 ・ ・ ・ ・ ・ ・ 　　　　　 ・ ・ ・ ・ ・ ・ 　　　　　 ・

就業・非就 性別 業の別 企業規模 職業符号 ・・・ 総数(N)

1 1 1 1 11 1 1 1 ・・・ 1

　すべての属性を選択 1 1 1 2 2 ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・

1 4 5 12 21 4 5 12 ・・・ 1

・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・

2 1 1 1 12 1 1 1 12 1 1 2 ・・・ 22 1 1 3 3

・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・ ・

　性別を選択

就業・非就業の別を選択

性別と就業・非就業の別を選択

超高次元クロス集計表：個別データが有するすべての属性群を集計事項の対象とした上で作成されるn次元の多重クロス集計表(伊藤(2009))

・公表される統計表は、統計表の集計事項として用いられる属性の数だけでなく、属性の種類や分類区分の制約を受ける。

・さらに、統計表の秘匿性の担保は、セルに含まれる結果数値(度数、平均値、比率、重みつきの度数等)にも依存している。

→パーソナルデータにおいて統計データを位置付ける場合、こうした条件も考慮することが必要だと思われる。

21

4．まとめ

・わが国の匿名データは、統計法および匿名データの作成・提供に関するガイドラインに基づいて作成され、統計委員会において秘匿性に関する検討が行われた上で提供されている。

・ミクロデータにおける秘匿性を確保するために、様々な匿名化技法が適用されるだけでなく、匿名化ミクロデータの提供に関して法制度的措置がとられている。

・個体識別リスクがきわめて低く、秘匿性が担保されていると考えられる場合、匿名化ミクロデータの作成・提供が可能

→パーソナルデータにおいて、「再識別不可能」ではなく、「再識別が事実上困難」という考え方は成立するか。

・匿名化ミクロデータと統計表においてデータ構造の観点から明示的な線引きを行うのは困難である。

→パーソナルデータにおいても、属性の数と種類、属性の分類区分の数、さらにはセルに含まれる結果数値を考慮することによって、パーソナルデータから作成された統計データの提供可能性を議論することができると思われる。

22

主要参考文献De Kort, S., and Wathan, J.(2009) “Guide to Imputation and Perturbation in the Samples of Anonymised Records”.http://www.ccsr.ac.uk/sars/resources/imputation.doc. GSS Disclosure Control Policy for Microdata Produced from Social Surveyshttp://www.ons.gov.uk/ons/guide-method/best-practice/disclosure-control-policy-for-social-survey-microdata/index.html.濱砂敬郎(2000)「事実上の匿名性の原則」松田芳郎・濱砂敬郎・森博美編『講座ミクロ統計分析①統計調査制度とミクロ統計の開示』日本評論社, 109～128頁伊藤伸介(2009)「匿名化技法としてのミクロアグリゲーションについて」熊本学園大学『経済論集』第15巻第3・4号合併号, 197～232頁伊藤伸介(2010)「ミクロデータにおける秘匿性の評価方法に関する一考察」，明海大学『経済学論集』Vol.22, No.2, 1～17頁伊藤伸介(2012)「政府統計ミクロデータの提供における匿名化措置―イギリス統計法における法制度的措置と攪乱的手法の適用可能性を中心に―」，明海大学『経済学論集』第24巻第3号, 1～14頁Marsh, C., Skinner, C., Arber, S., Penhale, B., Openshaw, S., Hobcraft, J., Lievesley, D., Walford, N. (1991) “The Case for Sample of Anonymized Records from the 1991 Census”, Journal of the Royal Statistical Society, Series A, Vol. 154, No.2, pp.305-340. 森 博美(2000)｢イギリスにおけるミクロデータの提供｣ 松田芳郎・濱砂敬郎・森博美編『講座ミクロ統計分析① 統計調査制度とミクロ統計の開示』日本評論社, 48～83頁Müller, W., Blien, U., Wirth, H.(1995) “Identification Risks of Micro Data: Evidence from Experimental Studies”, Sociological Methods and Research, Vol.24, No.2, pp.131-157.山口幸三・伊藤伸介・秋山裕美(2013)「教育用擬似ミクロデータの作成―平成16年全国消費実態調査を例として―」，『統計学』104号，1～15頁

23