個人情報保護法 — あだ名で呼ぶ段階と、完全に切り離す段階です
会員データを分析用に加工して、氏名を仮のIDに置き換えました。この加工データを取引先に渡してよいでしょうか。答えは「加工の程度」によって変わります。似た名前の2つの加工——仮名加工情報と匿名加工情報——は、外部に出せるかどうかの一線を挟んで、まったく違う扱いを受けます。
仮名加工情報と匿名加工情報は何が違い、それぞれ外部に提供できるのでしょうか。
あだ名で呼ぶ段階と、完全に切り離した段階です
職場で「山田さん」を仮に「Aさん」と呼び変えても、名簿を見れば誰のことか分かります。これが仮名加工情報です——他の情報と照合すれば本人に戻れる状態で、社内利用に限定され、第三者提供は原則禁止です。一方、その人の情報を統計データに完全に溶け込ませ、誰の情報かもう分からなくしたものが匿名加工情報です——識別も復元も不可能で、本人同意なしに第三者提供が可能です。
個人情報の定義と、第三者提供のルールを押さえます
個人情報保護法上の「個人情報」（2条1項）は、生存する個人に関する情報で、特定の個人を識別できるものです。死者の情報は対象外です（ただし遺族に関する個人情報に該当する場合は別途保護されます）。
「要配慮個人情報」（2条3項）は、人種・信条・病歴・犯罪歴等の特に配慮を要する情報で、取得には原則本人の同意が必要です。通常の個人情報はオプトアウト（本人が事前に拒否すれば同意なしで第三者提供できる仕組み）が利用できますが、要配慮個人情報にはオプトアウトが使えず、第三者提供には必ず個別の本人同意が必要です。
第三者提供の制限は27条に定められています。安全管理措置（漏えい等の防止措置）は23条で、条文が異なる点に注意してください。まとめると、通常の個人情報はオプトアウト可、要配慮個人情報はオプトアウト不可・個別同意必須、仮名加工情報は第三者提供原則禁止、匿名加工情報は本人同意なしに提供可能です。
「仮名も匿名も同じように提供できる」が最頻出の誤りです
第一の手口は仮名加工の格上げです。「仮名加工情報は匿名加工情報と同様に、第三者提供が可能である」は誤りです。仮名加工情報の第三者提供は原則禁止です。
第二の手口は死者の情報の混入です。「死亡した顧客の個人情報も、個人情報保護法の保護対象となる」は誤りです。個人情報は生存する個人の情報に限られます。
第三の手口は要配慮情報のオプトアウト許容です。「病歴や犯罪歴を含む情報も、オプトアウトの手続きをとれば本人同意なしに第三者提供できる」は誤りです。要配慮個人情報にオプトアウトは使えません。
「顧客データを分析会社に渡したいのですが、個人情報保護法上問題ありませんか」という相談は、行政書士が企業法務のサポートで扱いうる場面です。仮名加工なのか匿名加工なのかで結論がまったく変わるため、加工の程度（照合による復元が可能かどうか）を正確に確認することが最初の一歩です。個人情報保護法の実務対応（規程整備・プライバシーポリシー作成）は行政書士の業務範囲に含まれ、条文知識がそのまま実務に直結する数少ない分野です。
答えです。仮名加工情報は社内専用で提供禁止、匿名加工情報は復元不可能で外部提供可です。要配慮個人情報にはオプトアウトが使えません。次は、似た「利用範囲の限定」という構造を持つマイナンバー法です。