データ活用の前提となるのが個人情報保護法です。まず、法律上の用語の違いを正確に押さえましょう。個人情報は、生存する個人に関する情報で、氏名や生年月日などにより特定の個人を識別できるもの（他の情報と容易に照合でき、それにより識別できるものを含む）、または個人識別符号を含むものです。個人識別符号には、指紋や顔の特徴などの身体的特徴をデータ化したものや、マイナンバー・旅券番号など公的に割り振られる番号があります。

個人情報取扱事業者には、利用目的をできる限り特定し、その範囲内で取り扱うこと、取得時に利用目的を通知・公表すること、個人データの漏えい等を防ぐ安全管理措置（組織的・人的・物理的・技術的な措置）を講じること、従業者や委託先を監督することなどが求められます。具体的な解釈は、個人情報保護委員会のガイドラインで示されています。

関連する規格・法律として、個人情報保護マネジメントシステムの要求事項を定めたJIS Q 15001（プライバシーマーク制度の基準）や、マイナンバーを含む特定個人情報の取扱いを定めるマイナンバー法（利用できる事務が法律で限定されている）があります。海外の文脈では、個人を識別できる情報を総称してPII（個人識別可能情報）と呼ぶこともあります。

個人データを第三者に提供するには、原則としてあらかじめ本人の同意を得る必要があります。事前に明示的な同意を得る方式をオプトインといいます。例外として、法令に基づく場合や、人の生命・身体・財産の保護のために必要で本人の同意を得ることが困難な場合などがあります。

また、次の場合は提供先が「第三者」に当たらないとされています。

本人の求めがあれば提供を停止することを前提に、一定の事項を本人が知り得る状態にし、個人情報保護委員会に届け出たうえで同意なしに提供する方式をオプトアウトといいます。ただし、要配慮個人情報はオプトアウトによる第三者提供ができません。

オンラインサービスで同意を得る際には、通知の内容や示し方が重要です。JIS X 9252はオンラインにおけるプライバシーに関する通知及び同意について定めた規格で、利用者が理解したうえで判断できる通知と同意の取得を求めています。データ活用の企画段階から、どの目的で、どのデータを、誰に提供するのかを整理しておくことが、後の手戻りを防ぎます。

個人情報をより安全に活用するための制度として、仮名加工情報と匿名加工情報があります。両者は名前が似ていますが、目的と規律が大きく異なります。

仮名加工情報を作成する際に削除した氏名や、置換に使った対応表などの削除情報等は、安全に管理しなければなりません。匿名加工情報では、加工方法に関する情報の安全管理や、作成した情報に含まれる項目の公表が求められます。

シラバスの中分類8-8（データ流通・トラスト管理）にも、機密レベルに応じた提供データの秘匿化としてデータマスキングや仮名化が挙げられています。技術的な「仮名化」と法律上の「仮名加工情報」は同じものとは限らないため、法律上の要件を満たすかどうかは別途確認する必要があります。

データを秘匿化・匿名化する一般的な手法には、氏名などの識別子の項目を削除する項目削除、特異なレコードを除くレコード削除、特定のセルの値だけを削除するセル削除、年齢「27歳」を「20代」のように粗くする一般化、一定値以上・以下をまとめるトップコーディング／ボトムコーディング（例：年収2,000万円以上を「2,000万円以上」に丸める）があります。

高度な手法としては、k-匿名化があります。年代や居住地のように、組み合わせると個人を推定できる項目（準識別子）について、同じ値の組合せを持つレコードが必ずk件以上存在するよう加工する考え方です。次の表は、準識別子（年代・居住地）の組合せがそれぞれ2件ずつあるので、2-匿名性を満たしています。

ただし、同じグループ内の機微な属性がすべて同じ値だと、個人が特定できなくても属性は推定されてしまいます。k-匿名化だけで安全とは限らない点も理解しておきましょう。

統計値などの出力に適切なノイズを加え、特定の個人のデータが含まれるかどうかが出力結果からほとんど分からないようにする考え方が差分プライバシーです。また、データを1か所に集めず、各組織や端末で学習したモデルの更新情報だけを集約してモデルを作る連合学習は、生データを外部に出さずに機械学習を行う手法です。

新しいシステムやデータ活用を始める前に、プライバシーへの影響を洗い出して評価し、対策を講じる取組みがPIA（プライバシー影響評価）です。プライバシー保護の枠組みと原則を定めたJIS X 9250、PIAのためのガイドラインであるJIS X 9251が参考になります。設計の初期段階から取り組むことで、後からの大きな手戻りを防げます。

EUのGDPR（一般データ保護規則）は、EU域内の個人データ保護を定めた規則で、EU域外の事業者であっても、EU域内の個人に商品やサービスを提供する場合などには適用されることがあります。本人の権利として、自分の個人データの消去を求める消去権（忘れられる権利）などが定められています。

個人データを国外へ移す越境移転には各国でルールがあります。GDPRでは、EU域外への移転は原則として制限され、欧州委員会が十分なデータ保護水準があると認めた国・地域（十分性認定）への移転などが認められています。日本はEUから十分性認定を受けており、日本側もEUを個人の権利利益の保護に関して同等の水準にある地域として扱っています。日本の個人情報保護法でも、外国にある第三者へ個人データを提供する場合には、本人の同意を得るなど、国内提供より厳しい規律が設けられています。

組織の枠を越えてデータを共有・流通させるには、トラスト（信頼）の確保が欠かせません。シラバスの中分類8-8では次のような用語が挙げられています。

外部データを分析やAIの学習に使う際には、利用許諾の範囲を確認し、来歴を記録しておくことで、後から問題が見つかったときにも影響範囲をたどれるようにします。