匿名アンケートの作り方｜再識別を防ぐ設計とツール選びを4手順で解説

最終更新日: 2026-09-04 最終確認日: 2026-09-04

匿名アンケートは、氏名欄やメールアドレス欄を消すだけでは完成しません。部署、役職、回答時刻、自由記述を組み合わせれば、回答者を推測できることがあります。先に「誰に対して、どの情報からも識別しにくくするのか」を決め、収集項目、ツールの記録、閲覧権限、集計の公開単位を一続きで設計します。

この記事では、ツールを問わず使える作り方を4手順で説明します。個人情報保護委員会の法令上の「匿名加工情報」と、日常的に呼ぶ「匿名アンケート」は同じとは限りません。本記事は一般的な設計・運用情報であり、法的助言や完全匿名の保証ではありません。

最初に「匿名・機密・記名」を分ける

仮の回答IDへ氏名を置き換えても、対応表を持っていれば「仮名化」です。ICOは、追加情報を使えば個人へ戻せる仮名化データを匿名データと混同しないよう案内しています。個人情報保護委員会も、法令上の匿名加工情報を、個人を識別できず元の個人情報を復元できないよう所定の加工をした情報として説明しています。

現場で「匿名アンケート」と呼ぶ場合も、この法的区分を満たすと自動的に判断しないでください。調査の性質や地域、組織の規程に応じて、法務・個人情報保護の担当者へ確認します。

手順1: 目的を決め、識別子を棚卸しする

最初に「回答を使って何を決めるか」と「個別連絡が本当に必要か」を1文にします。部署別の傾向だけを知りたいなら、氏名や社員番号は不要かもしれません。個別対応が必要なら、匿名ではなく機密扱いの記名調査か、回答と連絡先を分ける方式を選びます。

識別子は3群で確認します。

• 直接識別子: 氏名、メールアドレス、電話番号、社員番号、顧客ID、顔写真
• 間接識別子: 少人数の部署、役職、勤務地、年代、入社年、担当案件、回答日時
• 内容から分かる情報: 自由記述の固有名詞、独特な出来事、添付ファイルの本文やメタデータ

一つずつは一般的でも、組み合わせると一人に絞れることがあります。たとえば「地方拠点・管理職・入社20年以上」が1人しかいなければ、氏名欄がなくても回答者を推測できます。ICOの匿名化ガイダンスも、明示的な識別子だけでなく、別データ、内部知識、公開情報を使った識別可能性を評価するよう求めています。

質問ごとに「この項目がなければ意思決定できないか」を確認し、不要なら削除します。年齢は5歳刻みではなく広い年代、部署は細分化せず部門、回答日は日単位ではなく集計期間だけ残すなど、分析に必要な範囲で粒度を粗くします。一般的な質問の順番や誘導を避ける方法はアンケートの質問設計ガイドへ分けて確認してください。

手順2: ツールの回答者識別と技術的な記録を確認する

ツール選びでは、画面に「匿名」と表示されるかではなく、次を公式資料とテスト回答で確認します。

1. メールアドレス、アカウント名、ユーザーIDを回答へ付ける設定がないか
2. ログイン必須、1人1回、組織内限定が、所有者に見える識別情報とどう関係するか
3. 回答時刻、IPアドレス、端末・ブラウザ情報、監査ログを誰が処理・閲覧できるか
4. 連携先、エクスポート、通知メール、Webhookへ識別情報が複製されないか
5. データの保存地域、保持期間、削除方法、契約終了後の扱い

Googleフォームでは、公式ヘルプ上、メールアドレスの収集を有効にしない限り、1回制限でログインが必要でもユーザー名は回答へ記録されません。ただし、これはフォーム所有者の回答データにおける説明です。Googleフォーム固有の設定、ファイルアップロード、Sheets列の確認はGoogleフォームを匿名で回答してもらう方法にまとめています。

Microsoft Formsでは、Anyone can respondの回答は名前を記録せず、組織内限定ではRecord nameを外せます。一方、Microsoft公式自身が、質問で個人情報を聞く場合、対象者が少ない場合、タイムスタンプを他情報と照合できる場合は、名前を記録しない意図が崩れる可能性を挙げています。

どのサービスでも、「所有者の回答一覧に氏名列がない」と「サービス提供者やネットワークを含め誰も技術情報を処理しない」は別です。IPを保存しないなどの明示的な公式契約を確認できない限り、回答者へ「IPも含め一切記録されない」と説明しないでください。プライベートブラウズで開けることも、完全匿名の証明にはなりません。

手順3: 回答者への説明と生データの運用を決める

フォーム冒頭には、少なくとも次の内容を短く示します。

このアンケートは、サービス改善の優先順位を決めるために実施します。
氏名、メールアドレス、社員番号は質問項目として収集しません。
自由記述には、ご本人や第三者を特定できる氏名・案件名を書かないでください。
生の回答を閲覧するのは調査担当2名です。結果は10件未満の区分を統合して共有します。
回答データは集計完了から90日後に削除します。

実際の設定や運用と違う説明は載せません。「匿名」と一語で済ませず、何を収集しないか、誰が生データを見るか、何人未満をまとめるか、いつ削除するかを具体化します。個別連絡が必要なら、匿名回答の末尾から別の連絡フォームへ案内し、連絡先データと回答本体を容易に結び付けない運用にします。

閲覧権限は必要最小限にします。フォーム編集者、回答閲覧者、エクスポートファイルの受領者、連携先の管理者を一覧にし、退職・異動時の権限解除も決めます。共有用には生データではなく、少人数区分をまとめた集計表を作ります。匿名性が重要な社内調査では、上司と部下の利害関係、通知、未回答者フォロー、結果の返し方も影響するため、社内アンケートの匿名性と回答率ガイドも参照してください。

保持期間は「念のため無期限」にしません。収集、分析、報告、異議対応に必要な期間を決め、期限後にフォーム回答、エクスポート、ローカルコピー、連携先を削除する担当者と確認日を記録します。バックアップや監査ログの保持はサービス契約や組織規程と照合します。

手順4: テスト回答で再識別し、集計単位を調整する

公開前に、実際の回答者と同じ条件でテストします。回答者画面だけでなく、所有者の個別回答、CSVやExcelの列、通知内容、連携先まで確認してください。

テスト担当者を伏せた状態で、回答閲覧権限を持つ別の人に「誰の回答か推測できるか」を見てもらいます。氏名列がなくても、時刻、部署、役職、自由記述の語り方から分かるなら、項目を削る、選択肢をまとめる、自由記述の注意を強める、タイムスタンプを報告から除くなど調整します。

集計公開には最小人数の基準を設けます。全体100件でも、ある部署が3件なら、その部署の比率や自由記述は個人に結び付きやすくなります。何件未満を非表示または上位区分へ統合するかを事前に決め、都合のよい結果だけ基準を変えないよう記録します。数値を公開するときは母数を添え、自由記述は固有名詞、案件、日付、文体などの識別材料を確認してから要約します。

広い意味での集計、自由記述の分類、改善へのつなげ方はアンケートフォームの集計・分析ガイドが担当範囲です。本記事では、分析手法そのものより、分析前後に匿名性を壊さない境界を扱います。

FORMLOVAで匿名アンケートを設計する場合

FORMLOVAでは、作成者が質問項目を選び、公開フォームURLで回答を受け付けられます。氏名やメールアドレスを質問項目に置かない設計は可能です。回答後は回答検索、new・in_progress・resolved・spamのステータス管理、CSV／Excel／JSON出力を利用できます。現行の料金定義では、フォーム作成・公開、回答受付、CSV／Excel出力、回答検索は無料プランを含む全プランの共通機能です。

ただし、FORMLOVAはフォームへ氏名欄を置かなければ完全匿名になると保証するものではありません。回答時刻や自由記述、少人数属性、エクスポート後の共有、ホスティングや不正利用対策を含む技術処理は別の確認事項です。利用前に現行のプライバシー情報と契約、フォーム所有者自身の説明、組織規程を確認してください。

公開前は、回答者向けアカウントを前提にしない公開URLを別ブラウザで開き、設問、プライバシー説明、送信後表示を確認します。回答管理画面とエクスポートもテストし、想定外の識別項目がないか確認してから配布します。

公開前チェックリスト

[ ] 匿名・機密・記名のどれにするか決めた
[ ] 個別連絡が必要なら回答本体と連絡先を分けた
[ ] 直接識別子と不要な間接識別子を削除した
[ ] 自由記述に氏名・案件名を書かない注意を入れた
[ ] メール、アカウント名、回答時刻、技術情報の扱いを公式資料で確認した
[ ] 生データを見られる人とエクスポート先を限定した
[ ] 何件未満の集計を統合・非表示にするか決めた
[ ] 保持期間、削除対象、削除担当を決めた
[ ] 回答者と同じ条件でテストし、所有者側の列も確認した
[ ] 「完全匿名」「誰にも分からない」と保証していない

よくある質問

メールアドレスを取らなければ匿名アンケートですか？

それだけでは判断できません。部署、役職、回答時刻、自由記述、添付ファイルなどから本人を推測できる場合があります。メール収集の有無と、設問・技術情報・閲覧権限・集計単位を分けて確認します。

1人1回に制限すると匿名ではなくなりますか？

サービスによって異なります。ログインを重複防止に使っても、所有者の回答データへアカウント名を記録しない製品設定はあります。ただし、提供者側の処理、組織管理者、質問内容による再識別まで消えるとは限りません。公式仕様とテスト回答を確認してください。

少人数の部署を集計しても大丈夫ですか？

少人数ほど、比率や自由記述から個人を推測しやすくなります。万能な人数基準はありません。対象の性質と既知情報を踏まえ、一定件数未満を上位区分へ統合または非表示にする基準を公開前に決めます。

匿名アンケートで個別フォローするには？

同じ回答にメールアドレスを必須にすると匿名とは説明しにくくなります。回答本体とは別の任意連絡フォームを用意し、容易に照合しない運用を検討してください。匿名ではなく機密扱いの記名調査として目的と閲覧者を説明する選択肢もあります。

IPアドレスを収集しないツールなら完全匿名ですか？

いいえ。IPは確認点の一つです。自由記述、少人数属性、回答時刻、連携先、アクセス権、別データとの照合でも識別され得ます。ツールの公式契約と組織の運用を合わせて評価します。

公式資料

• 個人情報保護委員会：個人情報保護法ガイドライン（仮名加工情報・匿名加工情報編）
• ICO：How do we ensure anonymisation is effective?
• ICO：Pseudonymisation
• Google Docs Editors Help：Publish & share your form with responders
• Google Docs Editors Help：View & manage form responses
• Microsoft Support：Set up your survey so names aren't recorded

執筆・確認情報

筆者はFORMLOVAの開発者です。匿名性の考え方は個人情報保護委員会とICO、製品設定はGoogleとMicrosoftの公式資料を2026年9月4日に確認しました。FORMLOVAについては、現行リポジトリの公開フォーム、項目、回答保存、検索・ステータス管理、CSV／Excel出力、料金定義を照合しています。特定の利用が法令上の匿名加工情報に当たること、IPを含む技術情報を一切処理しないこと、完全匿名になることは保証していません。

まとめ

匿名アンケートは、匿名設定のスイッチではなく、収集する情報、技術・運用上の記録、生データの権限、集計公開の4層で作ります。氏名やメールを外した後に、間接識別子、自由記述、タイムスタンプ、少人数区分を点検し、回答者へ具体的な扱いを説明してください。

FORMLOVAで収集項目を絞った公開フォームを作り、回答検索・ステータス管理・CSV／Excel出力まで試す場合は、無料でFORMLOVAを始めるから下書きを作成できます。公開前に必ず自分の説明、権限、保持・削除方針と実際の挙動を照合してください。