なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:誤登録

bouhan_camera
1.防犯カメラ・顔識別機能付きカメラシステムに関する個人情報保護法ガイドラインQAの一部改正
個人情報保護委員会(PPC)は、本年3月30日に有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」を公表したこと等を踏まえて、5月25日に個人情報保護法ガイドラインQ&Aについて、防犯カメラや顔識別機能付きカメラシステムに関して一部改正等を行ったことをウェブサイトで公表しています。このブログ記事ではこの一部改正を見てみたいと思います。

・令和5年5月25日 個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&Aの更新」(PDF)

2.従来型防犯カメラ(QA1-13)
01
02
改正個人情報保護法ガイドラインQ&A(以下「QA」)は、防犯カメラを「従来型防犯カメラ」(QA1-13等)と「顔識別機能付きカメラシステム」(QA1-14等)の2つに分けて解説しています。

顔識別機能付きカメラシステムとは、「顔識別機能付きカメラシステムは、検知対象者の顔画像12 及び顔特徴データをあらかじめ照合用データベースに登録しておき、カメラにより取得した画像から抽出した被撮影者の顔特徴データと照合し、被撮影者がデータベースに登録された者と同一人物である可能性が高いと検知した場合にアラート通知等がなされるシステムである。 」と解説されています(PPC「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書(令和5年3月)」8頁)。

そしてPPCは従来型防犯カメラについて「防犯目的で設置されているカメラのうち、撮影した画像から顔特徴データの抽出を行わないもの」と定義しています(QA1-13)。この顔識別機能付きカメラシステムについて大きく取り上げたことが、今回のQAの改正の大きな目玉であるといえます。

QA1-13は、従来型の防犯カメラについて個人情報保護法上の留意点を解説しています。すなわち、従来型防犯カメラの設置状況などから個人情報の「取得の状況からみて利用目的が明らか」な場合には個人情報保護法21条4項4号により国民個人への利用目的の通知・公表は不要とする一方で、「偽りその他不正の手段」による個人情報の取得を禁止する法20条1項との関係で、「カメラの設置状況等から、カメラにより自らの個人情報が取得されていることを本人において容易に認識可能といえない場合には、容易に認識可能とするための措置を講じなければなりません」として、「例えば、防犯カメラが作動中であることを店舗や駅・空港等の入口や、カメラの設置場所等に掲示する等の措置を講じることが考えられます。」としています。

さらに、「「カメラの設置状況等から、カメラにより自らの個人情報が取得されていることを本人において容易に認識可能」な場合であっても、同様の措置をとることが望ましいとしています。

3.顔識別機能付きカメラシステムによる防犯カメラ(QA1-14)
05
06

QA1-14は顔識別機能付きカメラシステムによる防犯カメラについて解説しています。この点、顔識別機能付きカメラシステムは顔画像だけでなく顔識別データを取得していることが「取得の状況からみて利用目的が明らか」な場合には該当しないので(法21条4項4号)、事業者は「従来型防犯カメラの場合と異なり、犯罪防止目的であることだけではなく、顔識別機能を用いていることも明らかに」しなければならないと明記されていることは非常に重要であると思われます。またQA1-14は、事業者は顔識別機能付きカメラシステムを設置する場合は、保有個人データに関する事項の公表等(法32条)などの義務も果たさなくてはならないとしています。その上で法20条1項(不正な個人情報の取得の禁止)に関する部分はQA1-13を参照のこととしています。

さらにQA1-14は、本人へ分かりやすく情報提供を行うために、①顔識別機能付きカメラシステムの運用主体、②同システムで取り扱われる個人情報の利用目的、③問い合わせ先、④さらに詳細な情報、を掲載したサイトのURLまたはQRコード等を店舗や駅・空港等の入り口やカメラの設置場所に掲示することが望ましいとしています。この点に関しては上述の有識者検討会報告書33頁以下に詳しい解説があります。(ただ、この部分に関しては、書面等に上の事項を列挙して掲示するのではなく、サイトのURLやQRコードなどの掲示としてしまうことは、本人への分かりやすさとして大丈夫なのかと個人的に疑問です。)

03

04
(PPC有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」35頁、36頁より)

加えて、QA1-14は、顔識別機能付きカメラシステムによる防犯カメラを設置・運用するにあたっては、同システムの濫用を防止するために、事業者は「登録基準」や運用の「文書化された統一的な基準」を制定し、それらを運用するための組織内の「体制を整備」しなくてはならないと明記していることも非常に重要であると思われます。

4.カメラ画像・顔特徴データの共同利用
07
08

QA7-50は、顔識別機能付きカメラシステムの防犯カメラによるカメラ画像・顔特徴データの共同利用について解説していますが、「組織的な窃盗の防止」などを例に挙げて、「全国的」な共同利用も「利用目的に照らして真に必要」な場合には許容されると記述したことが大きな改正点であろうと思われます。(有識者検討会の会議では、全国レベルでの共同利用を行う場合には「事業者に事前にPPCに相談させるべきである」趣旨の議論も行われていたのですが、報告書の段階ではカットされたようです。)

この点に関してはこのブログでも取り上げてきた通り、個人情報保護法に関する教科書は、共同利用の最大限度・外延は県などの一つの地域や一つの業界と解説するものが一般的であると思われ(宇賀克也『新・個情法の逐条解説』275頁、園部逸夫・藤原静雄『個情法の解説 第二次改訂版』187頁など)、このQA7-50の改正は大きく踏み込んだものであるといえます。

このQA7-50も指摘するとおり、事業者あるいは事業団体等は、かりに全国レベルで顔識別機能付きカメラシステムの防犯カメラによるカメラ画像・顔特徴データの共同利用を行うとしても、利用目的の達成に必要な最低限度の慎重な運用が必要であると思われます。

この点、QA7-50においてPPCは、QA1-14の登録基準などに加えて、事業者・事業団体に「共同利用する全ての者が同様の取扱いを行うための統一的な運用基準(登録基準や保存期間等)を作成すること」等を求めています。

5.顔識別機能付きカメラシステムのカメラ画像や顔特徴データ等は個人情報データベース等に該当しないのか?(QA1-41)
09

QA1-41は「防犯カメラ等で収集されたカメラ画像等は個人情報データベース等に該当しますか?」というQに対して、「個人情報に該当し得るが、特定の個人を検索できない状態であれば「体系的に構成」されたと言えないので、個人情報データベース等には該当しない」とのみ解説してしまっています。しかしこれはやや説明が足りないのではないでしょうか。

すなわち仮に個人情報データベース等に該当しない場合には、当該データベースに含まれるデータは保有個人データではなく、事業者は本人からの開示・利用停止等の請求に応じる必要がなくなってしまいます。

この点、従来型防犯カメラで収集されたカメラ画像などは個人情報データベース等に該当しないとしても、顔識別機能付きカメラシステムで収集されたカメラ画像や顔特徴データは個人情報データベース等(および保有個人データ)に該当すると思われます。

すなわち、PPCの有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」30頁以下には顔識別機能付きカメラシステムの仕組み等が解説されていますが、同システムの照合用データベースは、例えば①ID、②顔画像、③顔特徴データ、④発生日時、⑤犯行の状況(ドアをこじ開け立入禁止地区に侵入など)、⑥犯人の特徴(男性/40代/スーツ姿など)などの情報で構成されていると解説されています。

照合用データベースの図
(PPCの有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」31頁より)

つまり、日時などだけでなく、顔写真、犯行の状況、犯人の特徴などさまざまな項目から照合用データベースは検索可能なのですから、これは「体系的に構成」されており、照合用データベースつまり顔識別機能付きカメラシステムは個人情報データベース等に該当します。したがってそれを運用している事業者は、本人からの開示等の請求に応じる法的義務があります(法33条以下)。

6.開示・利用停止等の開示請求
10

QA9-13は、防犯カメラに関する保有個人データの開示について説明しています。すなわち「顔識別機能付きカメラシステム等に登録された顔特徴データ等が保有個人データに該当する場合、法令に基づき開示請求等に適切に対応しなければなりません。」と解説しています。

しかしその次の1行は、「すなわち、開示請求がなされた場合には、保有個人データの開示義務の例外事由に該当しない限り、開示請求に適切に対応しなければなりません。」と説明しています。

この点、防犯カメラに関するいわゆるブラックリストについては、個人情報保護法施行令5条1号などの「本人又は第三者の生命、身体または財産に危害がおよぶおそれがあるもの」に該当し、保有個人データの開示義務の除外事由に該当する可能性があります。

施行令5条
(PPCのパブコメ「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書(案)」より)

ここについてはPPCの有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」のパブコメでも多くの見直しを求める意見が寄せられていました。これらの意見に対してPPCはパブコメ結果において、「施行令第5条の該当性は個別の事案に応じて慎重に判断されるべきものであり、防犯目的であれば直ちに施行令第5条に該当するということを述べるものではありません。」等と回答しています(パブコメ結果45など)

そのため、事業者は誤登録の被害者などから開示等の請求があった場合には、例外事由に該当するからと一律に請求への対応を拒否するのではなく、開示等の請求に誠実に対応する姿勢が求められます。(PPCはこのパブコメ結果45の回答の趣旨をQA1-13にも盛り込むべきだったのではないでしょうか。疑問が残ります。)

なお、PPCは今回のQA改正において、誤登録されてしまった本人が読んで分かりやすい開示・利用停止等の請求のやり方をもQAに載せるべきだったのではないでしょうか(例えば、誤登録していると思われる小売店や警備会社のウェブサイトに掲載されているプライバシーポリシーの開示等の請求手続きに従って書面で請求を行う等)。

このブログ記事が面白かったらシェアやブックマークをお願いします!

■関連するブログ記事
・個人情報保護委員会の「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書(案)」に関するパブコメ結果を読んでみた
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた(追記あり)
・防犯カメラ・顔認証システムと改正個人情報保護法/日置巴美弁護士の論文を読んで

人気ブログランキング

PR




このエントリーをはてなブックマークに追加 mixiチェック

bouhan_camera
1.はじめに
「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書(案)」に関するパブコメが2023年1月12日から2月12日まで行われていたところ、その結果が3月23日に公表されたので、誤登録の問題の部分を中心にざっと読んでみました。

・犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書を公表しました。|個人情報保護委員会

結論からいうと、本パブコメ結果は、個人情報保護委員会の回答をみると、つぎの回答7にあるような「本報告書案では、顔識別機能付きカメラシステムを導入する際に、個人情報保護法の遵守や肖像権・プライバシー侵害を生じさせないための観点から少なくとも留意するべき点や、被撮影者や社会からの理解を得るための自主的な取組について整理を行っています。 まずは、事業者において、本報告書を踏まえて適切な運用を行うことが期待されます。」という形式的な回答が多く、誤登録の問題にあまり前向きでないと感じました。どこか他人事のように見えます。

【意見7】
(略)ガイドラインやQ&Aに示されていても改善されない。よって、第三者機関によるチェック体制が必要である。 運用基準は国会で議論し立法化して欲しい。 【個人】

【PPCの回答7】
本報告書案では、顔識別機能付きカメラシステムを導入する際に、個人情報保護法の遵守や肖像権・プライバシー侵害を生じさせないための観点から少なくとも留意するべき点や、被撮影者や社会からの理解を得るための自主的な取組について整理を行っています。 まずは、事業者において、本報告書を踏まえて適切な運用を行うことが期待されます。

2.誤登録の問題
とはいえ、いわゆる「誤登録」の問題、「防犯カメラの万引き犯の冤罪被害者」の問題について、つぎの個人情報保護委員会(PPC)の回答は比較的丁寧に回答しています。

すなわち、誤登録された本人は、「個人情報取扱事業者に対して、法第33条に基づく開示請求、法第34条に基づく訂正等請求及び法第35条に基づく利用停止等請求を行うことができ」るとし、そして「個人情報取扱事業者は、これらの条文に従って対応する必要があります。」としています。またPPCは、本報告書案においては、「自らの個人情報が誤登録されていると考える者から、開示等の請求やその他問合せがあった際に、請求者の請求に応じた対応や、誤登録の有無を直ちに確認し、誤登録の場合には消去するための体制をあらかじめ整えておくことが望ましい。」と明記したとしています。

【意見272】
防犯カメラの顔認証登録について、誤登録の可能性と、登録された本人には認知も抗議もできない一方的な現状に抗議する。(略)【個人】

【PPCの回答272】
照合用データベースに登録されているデータが保有個人データである場合には、当該保有個人データの本人は、個人情報取扱事業者に対して、法第33条に基づく開示請求、法第34条に基づく訂正等請求及び法第35条に基づく利用停止等請求を行うことができ、個人情報取扱事業者は、これらの条文に従って対応する必要があります。 また、本報告書案においては、「自らの個人情報が誤登録されていると考える者から、開示等の請求やその他問合せがあった際に、請求者の請求に応じた対応や、誤登録の有無を直ちに確認し、誤登録の場合には消去するための体制をあらかじめ整えておくことが望ましい。」と示しています。

3.施行令5条の問題
個人情報保護法施行令5条各号に該当すれば当該データは保有個人データではなくなり、個人情報取扱事業者は保有個人データに関する義務を負わなくてよい(個情法16条4項)と現行制度がなってしまっているところにはつぎのように多くの意見が寄せられていました。

施行令5条
(個人情報保護法施行令5条。PPCの本有識者検討会議の資料2より)

しかしこれに対してもPPCの意見は形式論が目立ちます。PPCは「なお、施行令第5条の該当性は個別の事案に応じて慎重に判断されるべきものであり、防犯目的であれば直ちに施行令第5条に該当するということを述べるものではありません。」と説明していますが、しかし誤登録の人々がスーパーや警備会社などに申し出を行っても「当店ではそのようなDBはない」等と回答されてしまっている実務を変えるものとはなっていません。

【意見45】
(意見内容)
定義コに以下の注釈を加える。 注釈:誤検知は本人が認識できない可能性があることも考慮されるべきである。また、防犯目的では省令5条で保有個人データとして扱わなくて良いと書いてあるが、問い合わせに対して該当なしとの回答を安易に返すべきではない。

(理由)
本人が誤登録されていることをどのような手段で認識するかは大きな問題であり、指摘すべき項目である。 また、防犯目的では省令5条で保有個人データとして扱わなくて良いと書いてある。そうすると、該当なしとの回答になってしまい、誤登録された場合の濡れ衣被害が継続することになる可能性がある。 【一般社団法人MyData Japan】

【PPCの回答45】
第2章は用語の定義を行っているものであり、顔識別機能付きカメラシステムの利用の在り方について述べるものではありませんので原案どおりとさせていただきます。 なお、施行令第5条の該当性は個別の事案に応じて慎重に判断されるべきものであり、防犯目的であれば直ちに施行令第5条に該当するということを述べるものではありません。


【意見94】
32頁7行目以下について、個情法第4章の個人情報取扱事業者の顔データの取扱いの各義務が検討されているが、そのような法の運用をするためには、個情法16条4項や個情法施行令5条の改正が必要なのではないか。 個情法第4章の個人情報取扱事業者の顔データの取扱い等が検討されているが、しかし顔識別機能付き防犯カメラによる顔データは、個情法施行令5条のいずれかの号に該当し、当該顔データは保有個人データではないということになり(個情法16条4項)、結局、顔識別機能付き防犯カメラを運用する個人情報取扱事業者は個情法を守る必要がないということになってしまうが、そのような結論はいわゆる「防犯カメラの万引き犯の冤罪被害者」の被害との関係で妥当とは思えない。そのため個情法16条4項や施行令5条の法改正などの法的手当が必要なのではないか。 【個人】

【PPCの回答94】
施行令第5条の該当性は個別の事案に応じて慎重に判断されるべきものであり、防犯目的であれば直ちに施行令第5条に該当するということを述べるものではありません。 また、保有個人データには該当しない場合であっても、個人情報取扱事業者は、個人情報又は個人データを取り扱う場合は、個人情報保護法の定めに基づき取り扱わなければなりません。

4.個情法19条
なお、スーパーや警備会社等が誤登録の人々からの申し出に誠実に対応しないことは個情法19条(不適正利用の禁止)や個情法23条(安全管理措置)違反となるのではないかとの意見に対してもPPCは答えをはぐらかしてゼロ回答です。

個人情報保護法
(不適正な利用の禁止)
第十九条 個人情報取扱事業者は、違法又は不当な行為を助長し、又は誘発するおそれがある方法により個人情報を利用してはならない。

(安全管理措置)
第二十三条 個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

【意見112】
誤登録された人、いわゆる「防犯カメラの万引き犯の冤罪被害者」の人からの苦情や開示請求・削除等の請求に個人情報取扱事業者が誠実に対応しないことも個情法19条違反または法23条違反となることを明記すべきではないか。 誤登録された人、いわゆる「防犯カメラの万引き犯の冤罪被害者」の人からの苦情や開示請求・削除等の請求に個人情報取扱事業者が誠実に対応しないことも「違法又は不当な行為を助長し、又は誘発するおそれがある方法」による個人情報の利用または安全管理措置違反であるといえる。 【個人】

【PPCの回答112】
照合用データベースに登録されているデータが保有個人データである場合には、当該保有個人データの本人は、個人情報取扱事業者に対して、法第33条に基づく開示請求、法第34条に基づく訂正等請求及び法第35条に基づく利用停止等請求を行うことができ、個人情報取扱事業者は、これらの条文に従って対応する必要があります。
また、第5章6(3)において、法令上の開示等の請求に該当しないような法令上対応する義務がない問合せについても、信頼醸成の観点から、できる限り丁寧に対応していくことが重要であると示していますので、原案どおりとさせていただきます。

5.共同利用の問題
さらに、個人データの共同利用(個情法27条5項3号)においてどの範囲までを認めるのか、全国レベルの共同利用も認めてよいのかについては、本有識者検討会でも長く議論がなされ、「全国レベルでの共同利用には事前に個人情報保護委員会への相談を求めるべき」などの意見が出されていたにもかかわらず、本報告書はその点をスルーしてしまっています。この点に関するPPCの回答も木で鼻をくくったような形式的なものとなっています。

【意見210】
顔識別機能付きカメラシステムによる顔データの共同利用については、全国レベルや複数の県をまたがる等の広域利用を行う場合には、事前に個人情報保護委員会に相談を求めることを明記すべきではないか。そのために必要であれば個情法の法改正等を行うべきでないか。 第6回目の「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会」の議事録5頁に、「そういった観点から、一つ地域というのがメルクマールになると理解している。広域利用に関しては相当の必要性がなければできないとしつつ、個人情報保護委員会に相談があったような場合に対応していくのが1つの落としどころかと感じた。」との議論がなされているから。 また、宇賀克也『新・個情法の逐条解説』275頁、園部逸夫・藤原静雄『個情法の解説 第二次改訂版』187頁などにおいても、共同利用が許される外延・限界は「一つの業界内」、「一つの地域内」などと解説されており、全国レベルの共同利用や県をまたぐ広域利用、業界をまたぐ共同利用などは法が予定していないと思われるから。

【PPCの回答210】
個人情報保護法には、個人情報取扱事業者における個人情報の取扱いについて、事前審査に係る規定は設けられておりません。(後略)

6.防犯カメラについて立法を求める意見などについて
さらに防犯カメラの運用に関して規制法を国会で立法すべきとの意見も非常に多く寄せられていましたが、これに対してもPPCは「本報告書案では、顔識別機能付きカメラシステムを導入する際に、個人情報保護法の遵守や肖像権・プライバシー侵害を生じさせないための観点から少なくとも留意するべき点や、被撮影者や社会からの理解を得るための自主的な取組について整理を行っています。 まずは、事業者において、本報告書を踏まえて適切な運用を行うことが期待されます。」という形式論で退けてしまっています。(本有識者検討会のメンバーの一人の山本龍彦・慶大教授は「防犯カメラについて事業者等や行政にガイドライン等を遵守させるための枠組み立法が必要」とのお考えだったのですが、残念です。)

7.まとめ
このように本パブコメ結果はおおむね、NECや全国万引犯罪防止機構などの防犯カメラの利活用を行う事業者や団体の意向に沿う一方で、誤登録の被害を受けた個人や、これからそのような被害を受けるかもしれない国民の意思を不当に軽視したものといえます。

EUでは2021年にAI規制法案が公表され、警察当局等による公共空間での防犯カメラの利用は禁止となっています。またEUのGDPR22条はコンピュータの個人データの自動処理のみによる法的決定等を拒否する権利を規定しています。日本でも近年、情報法制研究所の高木浩光先生が、個人情報保護法(個人データ保護法)の立法目的は「データによる人間の選別・差別」を防止することであると主張し、注目を集めています。(防犯カメラの誤登録の問題は「データによる人間の選別・差別」の問題そのものと思われます。)このような世界や日本の近年の動向に、誤登録の問題に消極的な日本のPPCの本パブコメ結果は大きく逆行しています。顔識別機能付き防犯カメラの問題は、引き続き国会などで議論が行われてほしいと思います。

※なお、本パブコメ結果後のPPCの予定が不明だったので、PPCに電話にて問い合わせを行ったところ、「本パブコメ結果を踏まえて、個人情報保護法ガイドラインQ&Aの見直しを行う」とのことでした。

このブログ記事が面白かったらシェアやブックマークをお願いします!

■関連するブログ記事
・個人情報保護委員会の「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書(案)」に関するパブコメに意見を書いてみた
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた(追記あり)

■参考文献
・宇賀克也『新・個情法の逐条解説』275頁
・園部逸夫・藤原静雄『個情法の解説 第二次改訂版』187頁
・成原慧「プライバシー」『Liberty2.0』187頁
・高木浩光「高木浩光さんに訊く、個人データ保護の真髄」 | Cafe JILIS



[広告]






このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ