2000万ユーロの区別
GDPR第83条は、最も重大な違反に対して最大罰金を2000万ユーロまたは世界全体の年間収益の4％のいずれか高い方に設定しています。匿名化と擬似匿名化の区別は、GDPRがデータセットに適用されるかどうか、また最大罰金のリスクが適用されるかどうかを決定します。
GDPRの前文26は、匿名化の閾値を定義しています：「データ保護の原則は、特定されたまたは特定可能な自然人に関連しない情報、またはデータ主体が特定されない、またはもはや特定されない方法で匿名化された個人データには適用されないべきである。」重要なフレーズ：「特定されない、またはもはや特定されない」 — データ管理者、処理者、または第三者によって合理的に使用される可能性のある手段によって。
GDPR第4条第5項は擬似匿名化を定義しています：「個人データを、追加情報を使用せずに特定のデータ主体に帰属できない方法で処理すること。ただし、その追加情報は別々に保持されること。」擬似匿名化されたデータは明示的に匿名ではありません — 「追加情報を使用せずに帰属できなくなります。」擬似匿名化されたデータはGDPRの下で依然として個人データです。
実際的な意味：自組織がその分析データセットが「匿名化されている」（GDPR外）と信じている場合、実際には「擬似匿名化されている」（GDPR内）場合、誤った第30条ROPAのエントリ、不十分なデータ主体の権利手続き、不適切な保持期間、国境を越えた分析処理のためのデータ転送保護策の欠如、消去権要求に応じるメカニズムの欠如が生じます。これらの各欠陥は独立したGDPR違反です。
CEF施行シグナル
EDPBの2025年調整施行フレームワークは、「削除の代替として使用される非効率的な匿名化技術」を繰り返しのコンプライアンス失敗として特定しました。この発見は、DPAが匿名化の質を評価していることを示しています — 単に匿名化ステップの存在または不在だけではありません。
オランダのデータ分析会社のユースケースは、正しいアプローチを示しています：第三者の研究者に「匿名化された」顧客データセットを提供する会社は、Redactメソッド（トークンマッピングなしでのPIIの恒久的な削除）を使用しています。結果として得られたデータセットには再特定の経路がありません — キーなし、トークンテーブルなし、ハッシュ前画像なし — GDPRの前文26の閾値を満たしています。DPOはこの決定をDPIAに文書化します：使用されたメソッド、カバーされる識別子の種類、不可逆性の根拠、残存する再特定リスク評価。このデータセットはGDPRの範囲外です。GDPRの義務（データ主体の権利、保持制限、転送保護を含む）は、第三者の研究コピーには適用されません。
コンプライアンス目標によるメソッド選択
GDPRの範囲外（真の匿名化）： Redact（恒久的な削除）またはHash（高エントロピー、推測不可能な値）を使用します。匿名化の根拠を文書化します。出力にはGDPRの義務が適用されません。
GDPRの範囲内でリスクを低減（擬似匿名化）： Replace、Mask、またはEncryptを使用します。すべてのGDPRの義務が引き続き適用されます。擬似匿名化は、不正アクセスからの危害のリスクを低減しますが、GDPRの範囲を除外することはありません。
制御された可逆性（研究、監査、発見）： クライアントが保持するキーでEncryptを使用します。GDPRが適用されます。キー保管の取り決めは、EDPBガイドライン05/2022のキー分離要件を満たさなければなりません。擬似匿名化のドメインを文書化します。
出典：