金融個人情報保護オフィサー2級 開示等の請求・加工情報・監督 練習問題 第10問: X銀行は、クレジットカードの利用データ（氏名・カード番号・利用日時・加盟店・金額）から、行内の分析に使う仮名加工情報を作成する。カード番号の扱いに関する記述とし

「不正利用で財産的被害が生じるおそれのある記述等なので、削除するか、復元できる規則性のない方法で置き換える」が適切です。個人情報保護法第41条第1項は、仮名加工情報を作るときは規則の基準に従って加工することを義務づけ、施行規則第31条第3号は、不正に使われると財産的被害が生じるおそれのある記述等の削除（元に戻せる規則性のない方法での置き換えを含む）を基準にしています。

仮名加工情報・匿名加工情報編のガイドラインは、この加工の例にクレジットカード番号の削除を挙げています。「各桁を一定の規則で並べ替えた値」は、元に戻せる規則性のある置き換えなので基準を満たしません。

「利用目的に分析への利用を書いておけば残せる」は、加工の基準は利用目的の書き方で外れない点で誤りです。「個人識別符号に当たるので削除する」は、削除の結論は同じでも、カード番号は施行令第1条の個人識別符号（旅券の番号など、それだけで本人を特定できる番号）に挙がっておらず、根拠が違う点で誤りです。

仮名加工情報を作るときは、カード番号のような財産的被害のおそれがある記述等を、削除するか復元できない値に置き換えます。