正解：エ
各選択肢の解説
アデータ全体の件数がk件以上あることを確かめ、足りなければ件数を増やしてから渡す。
誤り。k-匿名化が見るのは、全体の件数ではなく、属性の組合せごとの件数です。 全体が何万件あっても、ある組合せに1件しかなければ、その1人は絞り込めます。 「全体で何件か」と「組合せごとに何件か」を取り違えないことが要点です。
イ集計結果に統計的なノイズを加え、特定の1人の有無が結果に表れにくくする。
誤り。これは差分プライバシーの考え方です。どちらも個人の特定を防ぐ手法ですが、 差分プライバシーは出力（集計結果）にノイズを加えるもので、データの組合せごとの 件数を揃えるk-匿名化とは、手を入れる場所が違います。
ウ氏名に加えて会員番号も取り除けば、どの組合せでもk件以上になったものとして扱う。
誤り。氏名や会員番号は単独で本人を示す識別子で、消すのは前提の作業です。 k-匿名化が問題にするのは、残った年代・性別・居住地のように、組み合わせると 本人に迫れる属性で、識別子を消しても組合せごとの件数は変わりません。
エ組合せごとの件数を数え、k件未満の組合せは居住地を都道府県にまとめるなどして解消する。
正解。k-匿名化は、同じ属性の組合せをもつレコードが少なくともk件あるように加工する 手法です。少ない組合せを見つけて属性を粗くすれば、組合せから1人に絞り込みにくくなります。
理解を深めるために
「同じ組合せの人がk人以上いる」状態にする
氏名を消したデータでも、「40代・女性・○○町」の組合せに当てはまる人が1人しかいなければ、 その人だと分かってしまいます。年代・性別・居住地のように、単独では誰か分からないが 組み合わせると本人に迫れる属性を、準識別子と呼びます。k-匿名化は、準識別子の どの組合せにも同じ値のレコードが少なくともk件あるように加工する手法です。 k=5なら、どの組合せから見ても「少なくとも5人のうちの誰か」までしか絞れません。
確かめ方と加工のしかた
- 準識別子の組合せごとに件数を数え、k件未満の組合せを見つける
- 居住地を市区町村から都道府県へ、年齢を年代へ、のように属性を粗くしてまとめる
- それでも残る少数の組合せは、該当するレコードを削除するなどの手当てを検討する
kを大きくするほど絞り込みにくくなりますが、分析に使える細かさは失われます。 また、k-匿名化は「組合せからの絞り込み」に対する手当てなので、識別のおそれがなくなる わけではありません。たとえば同じ組合せの全員が同じ機微な値を持っていれば、誰か分からなくても その値は推測されます。k-匿名化をしたことだけで、法律上の匿名加工情報の加工基準を 満たしたことにもなりません。
混同しやすいものとの違い
| 手法・作業 | 何に手を入れるか | 防げること |
|---|---|---|
| k-匿名化 | 準識別子の組合せごとの件数 | 組合せからの1人への絞り込み |
| 識別子の削除 | 氏名・会員番号など | 単独で本人を示す記述 |
| 差分プライバシー | 集計などの出力 | 特定の1人の有無が結果に表れること |
| 全体件数の確認 | データ全体の量 | k-匿名化の確認にはならない |
試験では、「全体で何件か」ではなく「組合せごとに何件か」を見ているかで判断すると、 k-匿名化の選択肢を見分けられます。