カメラに関するＱ&Ａ
以前、事業者の方から、事業所内に防犯カメラを設置して、画像を保存することについて相談を受けたことがあります。
現在では、私がこの相談を受けた時とは違い個人情報保護法が制定されましたので、カメラ画像の取り扱いについて注意すべき点が多くあります。
カメラの設置に関しては、個人情報保護員会から発表されている「個人情報の保護に関する法律についてのガイドラインに関するＱ&Ａ」（ガイドライン）にも記載されています。
そこで、今回と次回の２回にわたり、令和５年５月に更新されたカメラに関するＱ&Ａを踏まえて、個人情報保護法上の問題点についてお届けします。
Ｑ＆Ａ更新の理由
顔写真付きカメラシステムに関しては、令和５年３月に「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書」が取りまとめらました。
そのうえで、令和５年３月３０日、個人情報保護員会から「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」が公表されました。
ここでは、個人情報取扱事業者が、犯罪予防や安全確保のために顔写真を取り扱うことについて、事前に本人の同意を得ることが困難な不特定多数の者が出入りする大規模な空間において、顔識別機能付きカメラシステムにより顔画像および顔特徴データを取り扱う場合を主な対象としています。
これを踏まえて、同年５月２５日、「個人情報の保護に関する法律についてのガイドラインに関するＱ&Ａ」のカメラに関するＱ＆Ａが更新されました。
個人情報に該当するか
まず、カメラ画像が個人情報に該当するかどうかが問題となります。
この点について、ガイドラインＱ&Ａ1-12では次のような事例が記載されています。
Ｑ１−１２ カメラ画像から抽出した性別や年齢といった属性情報や、人物を全身のシルエット画像等に置き換えて作成した店舗等における移動軌跡データ（人流データ）は、個人情報に該当しますか。
（個人情報保護法の規律）
個人情報保護法では、
①生存する個人に関する情報であって、特定の個人を識別することができるもの(個人情報保護法2条1項1号・個人情報該当性）
②当該情報を取り扱う事業者が内部において、他の情報と容易に照合することで特定の個人を識別できる情報
が個人情報に該当します。
そのため、①カメラ画像が、特定の個人を識別することができるものであれば、個人情報保護法が規律する個人情報に該当することになります。
もっとも、Ｑ1−12ではカメラ画像を、性別・年齢といった属性情報や人物を全身のシルエット画像等に置き換えて作成した店舗等における移動軌跡データ（人流データ）としていますので、それのみで特定の個人を識別することができない場合には、個人情報には該当しないことになります。
ただし、Ｑ1−12のような場合でも、②その抽出元のカメラ画像や個人識別符号等、特定の個人を識別することができる情報と容易に照合することで特定の個人を識別できる場合には、個人情報に該当することになります。
防犯目的（顔特徴データの抽出を行わないもの）でのカメラ設置
では、従来型防犯カメラ（防犯目的で設置されているカメラのうち、撮影した画像から顔特徴データの抽出を行わないもの）について、どのような注意が必要でしょうか。
ガイドラインＱ&Ａ1-13では次のような事例が記載されています。
Ｑ１−１３ 店舗や、駅・空港等に従来型防犯カメラ（防犯目的で設置されているカメラのうち、撮影した画像から顔特徴データの抽出を行わないもの）を設置し、撮影したカメラ画像を防犯目的で利用することを考えています。個人情報保護法との関係で、どのような点に留意する必要がありますか。
個人情報保護法において、個人情報取扱事業者は、個人情報を取り扱うに当たって、以下のような規律があります。
・その利用の目的をできる限り特定する（同法17条1項・利用目的の特定）
・当該利用目的の範囲内で個人情報を利用する（同法18条1項・利用目的の範囲内での利用）
・個人情報の利用目的は本人に通知し、または公表する（同法21条1項・利用目的の通知又は公表）
・個人情報の取得にあたっては、偽りその他不正の手段によって個人情報を取得してはならない（同20条1項・不適正取得の禁止）
もっとも、利用目的の通知又は公表に関して、
・個人情報取得の状況からみて利用目的が明らかであると認められる場合には、通知又は好評の必要はありません（同法21条4項4号）。
そのため、A1-13においては、概ね以下のように記載されています。
カメラにより特定の個人を識別することができる画像を取得する場合、
個人情報を取り扱うことになるため、利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像を利用しなければなりません。
また、カメラの設置状況等から利用目的が防犯目的であることが明らかである場合には、
個人情報取得の状況からみて利用目的が明らかであると認められる場合に当たり、利用目的の通知・公表は不要と考えられます。
不正取得禁止の関係では、カメラにより自らの個人情報が取得されていることを本人において容易に認識可能といえない場合には、
容易に認識可能とするための措置を講じなければなりません。
例えば、防犯カメラが作動中であることを店舗や駅・空港等の入口や、カメラの設置場所等に掲示する等の措置を講じることが考えられます。
また、外観上、カメラであることが明らかである等、カメラにより自らの個人情報が取得されていることを本人において容易に認識可能であったとしても、
上記例で示した掲示等の措置を講じることにより、より容易に認識可能とすることが望ましいと考えられます。
防犯目的（顔特徴データの抽出を行うもの）でのカメラ設置
では、従来型防犯カメラと違い、顔識別機能付きカメラシステムを防犯目的で設置する場合には、どのような点に注意する必要があるのでしょうか。
ガイドラインＱ&Ａ1-14では次のような事例が挙げられています。
Ｑ１−１４ 店舗や、駅・空港等に設置したカメラにより画像を取得し、そこから顔特徴データを抽出して、これを防犯目的で利用する（顔識別機能付きカメラシステムを利用する。）ことを考えています。個人情報保護法との関係で、従来型防犯カメラを利用する場合の留意点（Ｑ1-13）に加えて、どのような点に留意する必要がありますか。
顔識別機能付きカメラシステム
顔識別機能付きカメラシステムとは、
①検知対象者を定め、その者の顔画像から顔特徴データを抽出し、照合用データベースに登録する。
②そのうえで、検知したい場所にカメラを設置し、通行者を撮影
③撮影された顔画像から顔特徴データを抽出
④上記③で抽出した顔特徴データを、照合用データベースに登録された顔特徴データと照合
⑤上記③で抽出した顔特徴データと同一人物である可能性が高い顔特徴データが照合用データべースに登録されていた場合にシステムが検知（アラート通知等）する
ものとなります。
顔識別機能付きカメラシステムを利用する場合、その利点として、
撮影範囲に入った者の顔特徴データ取得が容易であり、顔特徴データは不変性が高く、一位性があるため、
犯罪予防や安全性確保に効果的であることが挙げられます。
その反面で、懸念点として権利利益（肖像権やプライバシー権）を侵害するおそれが高まることが指摘されています。
具体的には、例えば広範囲にわたり複数箇所に設置したカメラで撮影した顔画像を利用して照合を行う場合、
かなり広い範囲にわたって特定の個人の行動を追跡することが可能となります。
また、撮影範囲に入った人が自動的に撮影されるため、
被撮影者は撮影されていることを認識しないまま顔特徴データが取得され、どのような分析や照合がされているかを認識することも困難です。
さらには、個人のプロファイリングにも繋がります。
そのため、A1-14では以下のように記載されています。
A１−１４
個人情報取扱事業者は、顔識別機能付きカメラシステムにより特定ん個人を識別することができるカメラ画像やそこから得られた顔特徴データを取り扱う場合、個人情報を取り扱うことになるため、利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像や顔特徴データ等を利用しなければなりません。
具体的には、どのような個人情報の取扱いが行われているかを本人が利用目的から合理的に予測・想定できる程度に利用目的を特定しなければならないため、従来型防犯カメラの場合と異なり、犯罪防止目的であることがだけではなく、顔識別機能を用いていることも明らかにして、利用目的を特定しなければなりません。
顔識別機能付きカメラシステムを利用する場合は、設置されたカメラの外観等から犯罪防止目的で顔識別機能が用いられていることを認識することが困難であるため、「取得の状況からみて利用目的が明らかであると認められる場合」（個人情報保護法21条4項4号）に当たらず、個人情報の利用目的を本人に通知し、又は公表しなければなりません。また、顔識別機能付きカメラシステムに登録された顔特徴データ等が保有個人データに該当する場合には、保有個人データに関する事項の公表等（個人情報保護法32条）をしなければなりません。
加えて、上記のとおり利用目的の通知・公表をしなければならず、また、本人から理解を得るためできる限り分かりやすく情報提供を行うため、顔識別機能付きカメラシステムの運用主体、同システムで取り扱われる個人情報の利用目的、問い合わせ先、さらに詳細な情報を掲載したWebサイトのURL又はQRコード等を店舗や駅・空港等の入口や、カメラ設置場所等に掲示することが望ましいと考えられます。
さらに、照合のためのデータベース（検知対象者のデータベース）に個人情報を登録するための登録基準を作成するに当たっては、対象とする犯罪行為等をあらかじめ明確にし、当該行為の性質に応じ、利用目的の達成に必要な範囲を超えて、個人情報が登録されることのないような登録基準としなければなりません(法18条第1項)。
さらに、利用目的の通知・公表に関しては、A1-14で以下のように記載されています。
A１−１４ 加えて、上記のとおり利用目的の通知・公表をしなければならず、また、本人から理解を得るためできる限り分かりやすく情報提供を行うため、顔識別機能付きカメラシステムの運用主体、同システムで取り扱われる個人情報の利用目的、問い合わせ先、さらに詳細な情報を掲載したWebサイトのURL又はQRコード等を店舗や駅・空港等の入口や、カメラ設置場所等に掲示することが望ましいと考えられます。 さらに、照合のためのデータベース（検知対象者のデータベース）に個人情報を登録するための登録基準を作成するに当たっては、対象とする犯罪行為等をあらかじめ明確にし、当該行為の性質に応じ、利用目的の達成に必要な範囲を超えて、個人情報が登録されることのないような登録基準としなければなりません(法18条第1項)。
これに関し、「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」では、以下の内容が記載されています。
| 施設内での掲示事項例 |
| ・顔識別機能付きカメラシステムの運用主体 ・顔識別機能付きカメラシステムで取り扱われる個人情報の利用目的 ・問合せ先 ・後述のWebサイトのURL及びQRコード等を掲示 |
| Webサイト等への掲示事項例 |
| ・顔識別機能付きカメラシステムを導入する必要性 ・顔認識機能付きカメラシステムの仕組み ・顔認識機能付きカメラシステムで取り扱われる個人情報の利用目的 ・運用基準（登録基準、登録される情報の取得元、誤登録防止措置、保存期間等） ・他の事業者への提供（委託、共同利用等） ・安全管理措置 ・開示等の請求の手続き、苦情申出先等 |
このような掲示事項例を参考に、利用目的の通知・公表することが望まれます。
