弁護士が解説！【カメラ画像情報を利活用するときの注意点】

当事務所では、LINEでのお問い合わせも受け付けております。お気軽にご相談ください。
登録はこちらから

取得または利用しようとしている情報は個人情報？

まず、カメラ画像から取得・利用する情報が個人情報に該当する場合、取得・利用に際して個人情報保護法を順守する必要があります。

個人情報を取り扱う上で遵守すべき義務は多岐にわたりますので、詳細は別途確認が必要ですが、主なポイントとして、個人情報の取得に際しては利用目的の通知・公表等をする必要があり、利用する場合は通知・公表した利用目的の範囲内である必要があります。

《個人情報の取得及び利用する場合に必要とされる対応》

また、「個人情報データベース等」など、個人情報保護法の定める各種の情報等に該当する場合、それぞれ遵守すべき義務が定められています。
そこで、防犯カメラ等の設置、画像の取得、画像の処理・保存に際して、どのような場合が個人情報保護法上の「個人情報」等の取得または利用となるのか、みてみましょう。

ビデオカメラ等設置に際して

防犯カメラ等のビデオカメラで、特定の個人の識別が可能な状態で画像を取得する場合、個人情報を取得することになります。
そのため、個人情報保護法に基づき、利用目的の通知又は公表する等の対応（場合によっては、開示請求等への対応）が原則として必要です。

撮影画像の取得に際して

防犯カメラ等で撮影した画像が、特定の個人を識別できるものであれば「個人情報」に該当します。
また、写り込みに関しても同様で、特定の個人を識別できるものであれば「個人情報」です。そのため、取得にあたっては、利用目的を通知または公表をする必要があります。

ただ、防犯カメラのように時間に沿って記録した映像が保存されているだけの場合、特定の個人の画像情報を検索できるように体系的に構成されておらず、特定の個人の画像を検索することはできません。

そのため、そのままでは「個人情報データベース等」には該当しません。この場合、個人データ、保有個人データの規制は受けず、情報開示や訂正請求の義務はありません。

他方、顔認証装置を備えた「防犯カメラ」などは、通常、特定の個人の画像情報を検索できるように体系的に構成されており、「個人情報データベース等」に該当してしまうため、注意が必要です。
この場合、個人データ、保有個人データの規制を受け、情報開示や訂正請求の義務もあります。

撮影画像の処理・保存に際して

実際には、画像をそのままで利活用する事業者は少なく、多くの場合、利活用の目的に応じ分析等ができるよう、数値化するなど別の形式データに置き換えられます。

このように数値化などして別の形式データに置き換えられた情報は、IoT 推進コンソーシアム・総務省・経済産業省編「カメラ画像情報の利活用ガイドブック令和４ 年 3 月ver3.0」によれば、次のように分類できます。

特徴量データ

取得した画像から骨格、輪郭、人物の目、鼻、口の位置関係等の特徴を抽出し、数値化したデータを「特徴量データ」といいます。特徴量データにより特定の個人の識別が可能なものは、「個人識別符号」に該当し、「個人情報」として扱う必要があります。

そのため、当該情報の利用は、通知または公表した目的の範囲内に限られます。

個人情報であるそれぞれの特徴量データにID 等を割り振ったデータベースを保存または利用する場合、検索可能なので「個人情報データベース等」になり、当該個人情報は「個人データ」に該当します。
また、個人情報データベース等を保存する場合は「保有個人データ」に該当します。
（なお、令和2年改正により、「保有個人データ」の対象が拡大し、6カ月以内に消去されるデータも対象となりました。）

属性情報

取得した画像から機械処理により推定した、性別・年代等の情報を「属性情報」といいます。
このような推定された情報のみでは特定の個人を識別できないため、「個人情報」には該当しません。

ただし、この属性情報は、特定の個人には紐づかない場合でも、ID 等に紐づけるなど「個人に関する情報」として管理している場合、「個人関連情報」（生存する個人に関する情報であって、個人情報、仮名加工情報及び匿名加工情報のいずれにも該当しないもの）にあたる可能性があります。
その場合、この個人関連情報を、特定の個人関連情報を検索することができる形で体系的に構成したデータベースは「個人関連情報データベース等」に該当します。

この個人関連情報データベース等に含まれる個人関連情報を、他の情報などと紐付けて特定の個人を識別できる状態にすることが想定される第三者に提供する場合、あらかじめ、本人の同意が得られていることを確認しなければならないことに注意が必要です（個人情報保護法第 31 条）。

カウントデータ

カメラ画像から人の形を判別し、人数などの数量を計測したデータを、「カウントデータ」といいます。
統計情報として保管されるもので、特定の個人は識別できないため、カウントデータ単体では個人情報ではありません。

動線データ

カメラ画像に写った人物が、どの時間にどこで何をしていたかを示す座標値を時系列に蓄積することによって生成される情報を「動線データ」といいます。

座標値を取得する際、対象となる個人を識別するために特徴量データを用いることが前提となります。そのため、特徴量データを保持し、当該特徴量データと動線データを紐づけ、特定の個人の行動履歴として保存した場合は「個人情報」となります。そのため、当該情報の利用は、通知または公表した目的の範囲である必要があります。

他方、個々の座標値を取得する都度、特徴量データを破棄し、動線データと特徴量データを紐付けて管理しない場合、当該動線データ単体は、原則として「個人情報」には該当しません。

なお、取得する情報に位置情報（座標値が緯度経度等の位置を特定できる情報）が含まれる場合、位置情報を蓄積していくことで特定の個人を識別することが可能となる場合があります。その場合、当該情報は個人情報となる点、注意が必要です。

リピート分析で取扱う情報

リピート分析とは、店舗等の特定空間に設置されたカメラで、利用目的に応じた期間、保持する特徴量データ（個人識別符号）に対応する人物が来店した際にそれを認識し、同一の事業主体が運営する単一又は複数の店舗での当該客の来店履歴、店舗内での動線、購買履歴、推定される属性（性別や年代など）等を取得して分析することを言います。

リピート分析では、同一人物のリピート判定を行うために特徴量データを利用することを前提としており、当該特徴量データと紐づいた情報全てが「個人情報」となります。

そのため、当該情報の利用は、通知または公表した目的の範囲である必要があります。ただし、目的に応じて定めた期間中又は期間後に、特徴量データを破棄し、特徴量データに紐づけられていた動線データ、属性情報、購買履歴等を、特定の個人を識別できないよう加工（統計化する、匿名加工を行う、個人情報でない仮名加工情報へ仮名加工を行う等）した場合には、当該情報そのものは原則として「個人情報」ではありません。

情報の種類 個人情報該当性

利用目的の通知・公表等

前述のとおり、カメラ画像から取得・利用する情報が個人情報に該当する場合、取得に際しては利用目的の通知・公表等、利用については通知・公表した利用目的の範囲内である必要があります。

では、個人情報であるカメラ画像を取得する場合、どのように利用目的を通知・公表したらよいのでしょうか。

防犯目的での利用

防犯カメラの映像に顔が映るなどして特定の個人を識別できるのであれば、個人情報であり、原則として利用目的を通知等しなければなりません。

顔認証データは取り扱わない、従来型の防犯カメラの場合

顔認証データは取り扱わない、従来型の防犯カメラの場合で、防犯目的で利用するだけの場合、隠しカメラなどでなければ、通常、防犯カメラで撮影されていることがわかります。

そのため、防犯目的の利用は「取得の状況から見て利用目的が明らか」であり、利用目的を通知等する必要はありません。

ただし、個人情報保護委員会によれば、「防犯カメラが作動中であることを店舗の入口に掲示する等、本人に対して自身の個人情報が取得されていることを認識させるための措置を講ずることが望ましい」とされています（ガイドラインQ&A「Q１−１２」）ので、できる限り掲示するようにしましょう。

顔認証データを取り扱う防犯カメラの場合

店舗等に設置した防犯カメラによりカメラ画像を取得し、そこから顔認証データを抽出してこれを防犯目的で利用する場合、本人にとっては、このような取扱いを予測・想定することは難しいです。
また、顔認証データは、マーケティング等他の目的の場合にも利用されるやすいものです。そのため、どのような目的でカメラ画像と顔認証データが取扱われるのか、本人が予測・想定できるよう、原則通り、利用目的を特定し、あらかじめ公表又はその取得後速やかに通知・公表する必要があります。

商用目的等の利用

マーケティング等の商業目的で利用する場合、「取得の状況からみて利用目的が明らか」ではありません。
そのため、利用目的の通知・公表等が必要です（ガイドラインQ&A「Q1−12」）。

具体的な公表方法

新たに個人情報を取得する場合

被写体となる個人にとっては、カメラで撮影されていることがわからない場合はもちろん、撮影されていることがわかったとしても、その利用目的や加工方法などわからないため、不安を感じることが多いです。

そこで、

• カメラが作動中であることを店舗等の入口や設置場所等に掲示する等して、個人情報が取得されていることを簡単に認識できるような措置をとる必要があります。
  

特に、電光掲示板等に内蔵したカメラで撮影した本人の顔画を取得するような場合のように本人からカメラが認識しづらいような場合、偽りその他不正の手段による取得とならないよう、注意しましょう。

加えて、

• カメラ画像（一定の目的をもって設置されているカメラによって撮影された、特定の個人の識別につながる可能性のある画像。）の取得主体、* カメラ画像の内容、
• カメラ画像及び顔認証データの利用目的、
• 問い合わせ先等を本人が確認できるよう、店舗等の入口や設置場所等に明示又はこれらを掲載したWEBサイトのURL又はQRコード等を示す

ことが考えられます。

また、カメラ画像利活用ガイドブックでは、プライバシーへ配慮の観点から、次のような内容を、撮影及び利活用を開始する前に、十分な期間をおいて、撮影対象の場所にポスター掲示又は自社のホームページ等ウェブサイトに掲載等の方法で告知することが提唱されています。

• カメラ画像の内容及び利用目的
• 運用実施主体の名称及び一元的な連絡先
• カメラ画像の利活用によって生活者（※）に生じるメリット （※生活者：“カメラ画像”に写る、又は写る可能性がある人々。）
• カメラの設置位置及び撮影範囲
• カメラ画像から生成又は抽出等するデータの概要
• 生成又は抽出等したデータからの個人特定の可否
• 生成又は抽出等したデータを第三者への提供の有無、及び提供する場合、その提供先
• カメラ画像やカメラ画像から生成又は抽出等するデータの安全管理のために講じる措置
• データ利活用の開始時期

等たとえば、電光掲示板の内蔵カメラで撮影した本人の顔画像から属性情報（性別や年齢等）を抽出し、当該本人にあった広告を、その電光掲示板に表示する場合で、顔画像は属性情報を抽出後に即座に削除していた場合、どのような告知が必要か検討してみましょう。

このような場合、顔画像は直ちに削除していても、当該顔画像にもとづき、特定の個人を識別した上で、広告配信を行っていると解されます。そのため、個人情報取扱事業者は、顔画像から抽出した属性情報に基づき広告配信が行われることを本人が予測・想定できるように利用目的を特定し、これを通知・公表しなければなりません。

匿名加工

カメラ撮影画像や特徴量データのように特定の個人を識別できる個人情報を加工して、特定の個人を識別することができず、当該個人情報を復元することができないようにしたものを匿名加工情報といいます。
例えば、リピート分析で取り扱った情報を、特徴量データを破棄した上で、特徴量データに紐づけられていた動線データ、属性情報、購買履歴等を、特定の個人を識別できないよう匿名加工した場合、匿名加工情報となります。

匿名加工情報を作成したときは、その作成後、遅滞なく、インターネットの利用その他の適切な方法により、当該匿名加工情報に含まれる「個人に関する情報の項目」を公表する必要があります（個人情報保護法43条3項・個人情報保護法規則36条1項）。

第三者に提供する場合

個人データの第三者提供には、原則として本人の同意が必要となります。
また、あらかじめ、個人情報を第三者に提供することを想定している場合には、利用目的で、そのことを特定しなければなりません。

同意取得に際しては、必ずしも第三者提供のたびに同意を得なければならないわけではなく、個人情報の取得時に、その時点で予測される個人データの第三者提供について、包括的に同意を得ておくことも可能です。事業の規模及び性質、個人データの取扱状況（取扱う個人データの性質や量を含む。）等に応じて、本人が同意に係る判断をするために必要と考えられる合理的かつ適切な範囲の内容を明確に示す必要があります。

提供先の氏名や名称まで明示することは不要ですが、想定する提供先の範囲や属性を示すことが望まれます。

また、匿名加工情報を第三者に提供する場合、あらかじめ次の事項を公表する必要があります。

• 第三者に提供される匿名加工情報に含まれる個人に関する情報の項目

例：性別、生年、購買履歴

• その提供の方法

例：第三者が匿名加工情報を利用できるようサーバーにアップロード

また、提供先の第三者に対して、提供される情報が匿名加工情報であることを明示しなければなりません（個人情報保護法43条4項、同44条）。

新たな利用目的の追加をする場合

新たな利用目的を追加する場合には、前述の「①新たに個人情報を取得する場合」の告知と同様の告知が必要となります。
この場合、取得済の個人情報を新たな利用目的で利用することはできないので注意が必要です。

既に撮影・保存済みの画像データを新たな目的で利活用する場合、当該画像の被写体となった個人から改めて同意を取得する必要があります（ガイドラインＱ＆Ａ「１－１３」）。

その他の注意点

このように、個人情報に該当する情報の取扱いにあたっては、個人情報保護法を遵守するべきなのはもちろんです。

しかし、プライバシー意識が高まるなか、プライバシー保護に対して適切な対応ができない場合、社会からの信頼が揺らぐ恐れもあり、当該事業や、組織全体への悪影響につながる可能性もあります。

プライバシー侵害とならないよう、カメラ画像の利活用を推進するためには、プライバシーに十分に配慮し、事業者がカメラ画像に写る、又は写る可能性がある人々等との信頼関係を構築することが重要です。
また、カメラ画像に写る、又は写る可能性がある人々のみならず、取引相手（ベンダー企業等、カメラ設置場所の空間管理者、カメラの設置管理者、データ利用者、データ分析者等）、関係行政機関、業界団体、従業員などと十分なコミュニケーションを図り、理解を得ることも大切です。

このように、カメラ画像に写る、又は写る可能性がある人々等の人格的な権利・利益を損なわないよう、プライバシー保護の観点にも配慮するため、カメラ画像利活用ガイドブックでは以下のような基本原則を掲げており、事業者による対応が望まれます。

1. 運用実施主体を明確にし、運用実施主体は、カメラ画像利活用に関し、配慮事項の内容を実施する責任（Accountability）を有すること。
2. 社会的なコンテキスト（関係法令や規制の動向・判例・報道等）、技術進展等による生活者のプライバシーへの影響等、外部環境の変化を常に分析すること。
3. サービスにおける、カメラ画像を利活用する目的を明確にし、その目的が正当であることを確認すること。
4. 目的を達成するために、カメラ画像を利活用する必要性を確認し、撮影方法・手段や、カメラ画像の利用方法が、生活者が社会生活を営む上で受忍限度を超えない相当なものであるかを確認すること。
5. 違法又は不当な行為を助長し、又は誘発するおそれがある方法により情報が利用されないことを確認すること。
6. カメラ画像の利活用は、目的を達成するために必要な範囲（カメラ設置台数、撮影範囲、取得・生成するデータの種類、データの保存期間、閲覧・利用できるメンバー等）に限定すること。
7. 生活者のプライバシー侵害のリスク分析を適切に実施し、低減等のリスク対応を行うこと。
8. カメラ画像の利活用に当たり、合理的な安全管理対策をとること。
9. 生活者のプライバシー侵害が生じた際又はそのおそれのある際には、迅速に是正措置をとること。
10. カメラ画像利活用の結果を評価し、運用の改善につなげること。
11. カメラ画像利活用の目的の正当性、実施方法、生活者のプライバシーへの影響、適切な安全管理対策等について、生活者へ説明すること。
12. カメラ画像を取得していることを生活者に一目瞭然とすること。
13. 生活者からの問合せや苦情を受け付けるための一元的な連絡先を設置、公表すること。
14. 適切な運用を徹底するためのルールを策定し、関係する従業員やステークホルダー等に周知・徹底すること。15. その他適用される法令やルールを遵守すること。

（出典　IoT 推進コンソーシアム・総務省・経済産業省編「カメラ画像情報の利活用ガイドブック令和４年 3 月ver3.0」２９頁）

特に、取得した情報やデータの管理が重要です。
次のような点にも注意をしましょう。

• 仮名加工情報、匿名加工情報の形で利用する場合は、法の求める要件に従って処理しましょう。
• カメラ画像から利用目的の達成に必要なデータを生成・抽出した後の元データや特徴量データ等は速やかに破棄しましょう。
• カメラ画像から生成又は抽出等したデータに対し、合理的な安全管理対策を講じましょう。

事業者自身が設置するサーバーなどのネットワーク周縁（エッジ）部分でデータを保管する場合、ネットワーク機器としての対策はもちろん、機器の盗難にも注意が必要ですクラウドサービスを利用する場合には、次のような点を確認するようにしましょう。

①利用するクラウドサービスで、預けた個人データをベンダが取り扱うか否かについて
→契約書を確認
→アクセス制御等を確認

②クラウドサービスの利用が委託にあたらない場合
→自社が管理するものとして、安全管理措置を果たしているか確認

③海外のクラウドサービスを利用する場合
→本人の同意が必要になるか否か確認

• カメラ画像に写る、又は写る可能性がある人々からの問い合わせや開示請求等に適切に対応しましょう。

その他Q＆A

万引き画像の公表

撮影された者の画像をホームページや店頭等で公開した場合、名誉毀損罪などの刑事罰や、プライバシー侵害による損害賠償請求や差止請求をされる可能性があります。
えん罪の場合もありますので、慎重な対応が求められます。公表する前に、まずは警察や弁護士等へ相談するようにしましょう。

直法律事務所へのお問い合わせはこちらから。

ドローンで無人配達サービス

企業による撮影で特定の個人を識別できる場合（ex.表札の氏名が判読可能な状態で映っている場合等）には個人情報の取得といえます。
そして、このような情報をデータベース化すれば「個人情報データベース等」になります。

宅配などの場合には、離着陸時に個人情報を取得してしまう可能性が高いため、利用者に対して、撮影される可能性があることを通知または公表しておくようにしましょう。

貴社が個人情報データベース等を事業の用に供している「個人情報取扱事業者」であれば、利用目的の特定や利用目的による制限などに対応する必要もあり、注意が必要です。

【関連記事】
位置情報を活用するときの注意点！【個人情報・プライバシー保護】
【企業向け】個人情報漏洩の対策と対応マニュアル（令和2年改正個人情報保護法にも対応 ）

直法律事務所では、IPO（上場準備）、上場後のサポートを行っております。
その他、プラットフォーム、クラウド、SaaSビジネスについて、ビジネスモデルが適法なのか（法規制に抵触しないか）迅速に審査の上、アドバイスいたします。お気軽にご相談ください。
ご面談でのアドバイスは当事務所のクライアントからのご紹介の場合には無料となっておりますが、別途レポート（有料）をご希望の場合は面談時にお見積り致します。

アカウントをお持ちの方は、当事務所のFacebookページもぜひご覧ください。記事掲載等のお知らせをアップしております。