１．「渋谷100台AIカメラ設置プロジェクト」
最近、X（Twitter）上で「渋谷100台AIカメラ設置プロジェクト」というものが話題となっています。これは、報道によると、Intelligence Design株式会社が、一般社団法人渋谷未来デザイン、一般社団法人渋谷再開発協会と共に、渋谷駅周辺に100台のAIカメラを設置して、リアルタイムで人流データなどの取得・解析を行い、それらのデータをオープンデータ化するものであると説明されています。本プロジェクト開始は、2023年7月開始を予定しているとのことです（exciteニュース「渋谷駅周辺にAIカメラ100台設置！人流データを解析し、イベント混雑時の警備問題の解決へ」より）。

つまり本プロジェクトは、防犯対策や事業者のマーケティングのために幹線道路の交通量や各種商業施設への入店客数などのリアルタイムの利用者の属性情報や滞在時間などの人流データを複合的に分析・可視化したデータを利用するものであり、このデータを各協賛事業者が利用できる形で渋谷の事業者や商店街などに還元するものであるそうです。

２．これは個人情報・個人データなのでは？
個人情報保護委員会（PPC）の個人情報保護法ガイドラインQ&A1-12は、人流データについて「特定の個人を識別することができる情報と容易に照合することができる場合を除き、個人情報には該当しません。 」と規定しています。そのため人流データは原則として個人情報ではありません。

しかし「渋谷100台AIカメラ設置プロジェクト」サイトをみるとつぎのような図が掲げられています。

（「渋谷100台AIカメラ設置プロジェクト」サイトより）

つまり、「オフライン顧客の見える化」として「カメラ100台（による）通年の行動データがリアルタイムで蓄積」とあり、ある男性の画像の下に「40代男性、同席者有り（30代女性）、ブランドAを着用/所持、休日12時より渋谷に銀座線で到着、ヒカリエでランチ、明治通りを通り宮下パークへ低速で移動（ショッピング目的を想定）、月３回目・・・」等と記述があります。

このようにAIカメラにより、属性情報が連続的に蓄積されれば、たとえその本人の氏名などは分からないとしても、「あの人、この人」と特定の個人を識別できるので、これは個人情報であるといえます（個情法2条１項１号）。またこの属性情報には顔画像も添付されているので、これも特定の個人を識別できるといえます。（なおID社サイトをみるとAIカメラで取得した顔画像はすぐに廃棄するとありますが、そうであるとしてもAIカメラで顔画像から取得された顔識別データは個人情報・個人データです。）

ところが「渋谷100台AIカメラ設置プロジェクト」サイトのあるIntelligence Design社（ID社）のプライバシーポリシーの「利用目的」の部分をみると、「渋谷100台AIカメラ設置プロジェクト」で収集されたデータについては何の記載もありません。
（ID社のプライバシーポリシーより）

つまり、ID社はこれを個人情報と認識していないのではないかと思われます。しかしこれは上でみたように個人情報であり、体系的に構成されたDBに収録された場合には個人データです。個人データであるとした場合、ID社には安全管理措置の責務（法23条）やデータを第三者提供する際の本人同意の取得の義務（法27条１項）などが課されます。この点、ID社の認識には誤りがあるのではないかと思われます。

また、このAIカメラは顔識別機能付きカメラシステムであり、マーケティング目的および防犯目的であることからPPCの個人情報保護法ガイドラインQ&A1-14や経産省・総務省の商用カメラ向けの「カメラ画像利活用ガイドブックver3.0」に準拠して、「利用目的、運用主体、同システムで取り扱われる個人情報の利用目的、問い合わせ先、さらに詳細な情報を掲載したWebサイトのURL又はQRコード等を店舗の入口や、カメラの設置場所等に掲示すること」等が要請されますが（個情法21条１項）、少なくとも「渋谷100台AIカメラ設置プロジェクト」サイトを見る限りは、ID社はこれらの責務を果たしていないようです。

３．カメラやAIに関する立法措置などが必要なのではないか
この渋谷100台AIカメラ設置プロジェクトについてX（Twitter）上では「まるで中国のようだ」「もう渋谷には行きたくない」などの声が多く寄せられています。

この点EUはAI規制法案で、警察などの行政機関による公共空間でのAIを用いた防犯カメラの利用を原則禁止の「禁止のAI」の分類にカテゴライズしています。また欧州評議会は2021年に「顔認証に関するガイドライン」を策定・公表しましたが、同ガイドラインは「顔認証は、管理された環境下でのみ行われるべきであり、マーケティング目的や私的なセキュリティ目的のために、ショッピングモールのような管理されていない環境では、顔認証技術を使用すべきではない」としています（個人情報保護委員会「顔識別機能付き防犯カメラの利用に関する国内外動向」より）。

日本では上でみたように防犯カメラ・商用カメラはPPCおよび経産省・総務省のガイドラインを遵守すれば合法な状況ですが、この「渋谷100台AIカメラ設置プロジェクト」などにみられるような現在の状況に合っていないのではないでしょうか。日本でもEUのようなAIやカメラに関する立法やガイドライン・指針の策定が求められるように思われます。

このブログ記事が面白かったらシェアやブックマークをお願いします！

■追記（9月6日）
Intelligence Design社（ID社）が9月5日付で「HP記載内容の修正について」とのリリースを公表しています。同リリースは「当社が収集するデータは、総務省の定める「カメラ画像利活用ガイドブック」に従った人流に関する属性情報およびこれに基づく統計情報となります。よって、個人情報保護法の定義する個人情報には該当しないものと認識しております。」等と記載されており、同社は自社が収集しているデータは個人情報ではないとの考えのようです。

・HP記載内容の修正について｜Intelligence Design

ところでID社は同社のシステムは経産省・総務省の「カメラ画像利活用ガイドブックver3.0」に準拠していると主張しているわけですが、にもかかわらず同社サイトを見る限り、「カメラ画像利活用ガイドブックver3.0」が求めている、”商用カメラの利用にあたっては事業者はつぎのような事項を掲示やウェブサイトなどで通知・公表せよ”としている事項の通知・公表を行っていないことは、同ガイドブック違反であると思われます。


（経産省・総務省「カメラ画像利活用ガイドブックver3.0」35頁より）

なお、上の9月5日付のリリースではID社は同社のAIカメラによる取組みはあくまでも商用が目的であると主張しています。しかし、9月6日のFNNプライムオンラインの「【物議】渋谷に“AIカメラ”100台設置し行動を検知　防犯に期待の一方“懸念”も…若狭弁護士「個人情報保護法違反になりかねない」」では、同社の取引先である渋谷センター商店街振興組合の幹部の方は、「（繁華街は）騒動が起きやすい場所なので、そういう点では防犯上の抑止力になるのではないかと。」と防犯が目的でもあると発言しています。

この点は矛盾であり、ID社のこの渋谷のAIカメラを利用した取組みは法的に大丈夫なのか疑問が残ります。

■関連するブログ記事
・防犯カメラ・顔識別機能付きカメラシステムに関する個人情報保護法ガイドラインQAの一部改正について
・個人情報保護委員会の「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書（案）」に関するパブコメ結果を読んでみた
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた（追記あり）

■関連するニュース記事
・渋谷に「AIカメラ」100台設置→通行人の行動履歴監視？　IT企業施策に「完全にストーカーやん」と物議　サイト表記訂正



PR

タグ ：

#渋谷100台AIカメラ設置プロジェクト

#IntelligenceDesign

#個人情報

#security

#privacy

#AI

#顔識別

#カメラ

#防犯カメラ

#これはひどい

■追記（2023年６月20日）
OpenWork（オープンワーク）社は６月16日付で本件が個人情報漏洩事故であるとして、システム対応、被害者への連絡、個人情報保護委員会への報告などを行う旨のプレスリリースを公表しています。
・「リアルタイム応募状況」機能における個人情報の不適切利用に関するお詫びとご報告

１．はじめに
Twitter上で、「なんかopenworkで他人のリアルタイム応募状況が見れるようになっててバリおもろいwwwww」というつぎのような興味深いツイートを見かけました。


（Twitterより）

２．職業安定法・個人情報保護法
これは、氏名は分からなくても年齢や年収等の情報や応募履歴等から特定の個人を識別できるのだから個人情報であり（個情法２条１項１号）、その情報が誰でも閲覧できる状態（全世界への第三者提供つまり個人情報漏洩）になっているのは安全管理措置違反（個情法27条１項、２３条）で職業安定法5条の5違反なのではと気になります。

職業安定法は個人情報保護を強化する等の方向で2022年に法改正が行われたばかりの法律であり、同法５条の５は、職業紹介事業者（人材会社など）や求人者（求人企業）などは求職者などの個人情報保護をしっかりしなくてはならないと規定しています。

職業安定法
（求職者等の個人情報の取扱い）
第５条の５　公共職業安定所、特定地方公共団体、職業紹介事業者及び求人者、労働者の募集を行う者及び募集受託者、特定募集情報等提供事業者並びに労働者供給事業者及び労働者供給を受けようとする者（次項において「公共職業安定所等」という。）は、それぞれ、その業務に関し、求職者、労働者になろうとする者又は供給される労働者の個人情報（以下この条において「求職者等の個人情報」という。）を収集し、保管し、又は使用するに当たつては、その業務の目的の達成に必要な範囲内で、厚生労働省令で定めるところにより、当該目的を明らかにして求職者等の個人情報を収集し、並びに当該収集の目的の範囲内でこれを保管し、及び使用しなければならない。ただし、本人の同意がある場合その他正当な事由がある場合は、この限りでない。
２　公共職業安定所等は、求職者等の個人情報を適正に管理するために必要な措置を講じなければならない。

３．プライバシーポリシー・利用規約など
ここでこのOpenWork（オープンワーク）社サイトを見てみました。


（OpenWork社のプライバシーポリシー、同社サイトより）


（OpenWork社の安全管理措置方針、同社サイトより）

立派なプライバシーポリシーや安全管理措置方針などが策定・公表されていますが、実際の運用がこれでは絵に描いた餅ではないでしょうか。プライバシーポリシーの部分においても、利用目的において「ユーザーの入力した応募履歴などを当社サイトで誰でも閲覧できるようにする」等の記載はなく、やはりこれは本人の同意のない第三者提供（個人情報漏洩）であって問題であるように思えます（個情法27条１項、２３条）。

さらにOpenWork社サイトの利用規約をみると、ここでも「ユーザーの入力した応募履歴などを当社サイトで誰でも閲覧できるようにする」等の記載はなく、ユーザー本人の同意は得られていません。

また同利用規約９条（免責）２項（b）（d）などをみると、「当社サービスでユーザーが入力した情報で本人が特定された場合」・「当社の故意・過失によらずユーザー本人以外が本人を識別できる情報を入手した場合」も「当社は一切の責任を負いません」と規定しているのはちょっと酷いのではないかと思いました。


（OpenWork社の利用規約、同社サイトより）

これは職業安定法５条の５や個人情報保護法の面からOpenWork社に責任があった場合にもかかわらず同社に責任はないとしている点で悪質に思えます。民法548条の2第2項は利用規約などの定型約款における不当条項は無効とする規定をおいていますが、同法同条との関係で問題があるように思えます。

４．まとめ
このようにOpenWork社はプライバシーポリシーや安全管理措置方針などは一見しっかりしたものを制定・公表していますが、実際の業務運用においては職業安定法や個人情報保護法をよく理解していないのではないかと心配です。2019年には就活生の内定辞退予測データに関するリクナビ事件が発覚し大きな社会問題となり、リクルートキャリアやその取引先のトヨタなどの求人企業は厚労省および個人情報保護委員会から行政指導を受けたばかりなのですが・・・。

このブログ記事が面白かったらシェアやブックマークをお願いします！



PR

タグ ：

#openwork

#職業安定法

#個人情報保護法

#個人情報

#security

#privacy

#リクナビ事件

#オープンワーク

#個人情報漏洩

#これはひどい

１．老人ホームなどで施設職員が入居者に「誕生日おめでとうございます」と声を掛けることは許されない？
5月20日付でYahoo!ニュースに、「「誕生日おめでとうございます」は禁止？　過剰な「高齢者の個人情報保護」がもたらすデメリット｜オトナンサー」という興味深い記事が掲載されていました。この記事によると、個人情報保護法を遵守する目的で、施設職員が入居者に「誕生日おめでとうございます」と声を掛けるのを禁じている高齢者住宅や高齢者施設があるとのことです。これはいわゆる「個人情報保護法の過剰反応」と呼ばれる問題ですが、これはなかなかまずい問題だなと思いました。

２．個人情報保護委員会・厚労省の個人情報保護法ガイドラインQA
この点、例えば個人情報保護委員会（PPC）の個人情報保護法ガイドラインQA1-35を見ると、「Ｑ１－35 障害福祉サービス事業者等において個人情報を取り扱う際に、留意すべきことはありますか。 」というQに対して、「施設利用者の特性に応じて、個人情報の取扱いについて分かりやすい説明を行うことが望ましい」等の趣旨のAが解説されているだけで、別に福祉施設等に対して一律に利用者本人の氏名・生年月日などを声にだすことを禁止する等のことは記載されていません。


（PPCの個人情報保護法ガイドラインQA１－３５より）

あるいは個人情報保護委員会・厚労省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」 に関するＱ＆Ａ（事例集）」の各論3-10は、「外来患者を氏名で呼び出したり、病室における入院患者の氏名を掲示したりする場合の留意点は何ですか。（後略）」というQに対して、「患者から、他の患者に聞こえるような氏名による呼び出しをやめて欲しい旨の要望があった場合には、医療機関は、誠実に対応する必要がある」とのAを解説していますが、一律に氏名で呼び出すことは禁止などとはしていません。


（医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンスQA各論3-10より）

このように個人情報保護委員会や厚労省のQAを見てみると、やはり冒頭の記事にあった、施設職員が入居者に「誕生日おめでとうございます」と声を掛けるのを禁じている高齢者住宅や高齢者施設があるということは過剰な対応であり、望ましくないと思われます。

３．個人情報保護法の立法目的
なお、個人情報保護法の立法目的については日本の多数説的な見解は自己情報コントロール権としますが、その伝統的な見解は、その立法目的の核心部分は個人の思想・信条や内心などが保護されるべきものであると考えています。この考え方からは老人ホームなどの福祉施設や医療機関などで誕生日や氏名などを呼ぶことは一律禁止にすることは「個人情報保護法の過剰反応」であり的外れであると思われます。

あるいは、産業技術総合研究所主任研究員の高木浩光先生などは近年、個人情報保護法の立法目的はAIやコンピュータの「個人データによる人間の選別」の防止であるとの見解（つまり個人情報保護法が真に保護しようとしているのは「個人」であって、「氏名・住所・生年月日」などの個人情報ではない）を主張されておられますが、この見解にたてば、福祉施設や医療機関などで利用者本人の氏名や誕生日などを声に出すことを一律に禁止することなどは、これも完全に的外れになると思われます。

このブログ記事が面白かったらシェアやブックマークをお願いします！



PR

タグ ：

#security

#privacy

#個人情報

#個人情報保護法の過剰反応

#PPC

#厚労省

#福祉施設

#医療機関

#高木浩光

#これはひどい