なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:防犯カメラの冤罪被害者

bouhan_camera
1.防犯カメラ・顔識別機能付きカメラシステムに関する個人情報保護法ガイドラインQAの一部改正
個人情報保護委員会(PPC)は、本年3月30日に有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」を公表したこと等を踏まえて、5月25日に個人情報保護法ガイドラインQ&Aについて、防犯カメラや顔識別機能付きカメラシステムに関して一部改正等を行ったことをウェブサイトで公表しています。このブログ記事ではこの一部改正を見てみたいと思います。

・令和5年5月25日 個人情報保護委員会「「個人情報の保護に関する法律についてのガイドライン」に関するQ&Aの更新」(PDF)

2.従来型防犯カメラ(QA1-13)
01
02
改正個人情報保護法ガイドラインQ&A(以下「QA」)は、防犯カメラを「従来型防犯カメラ」(QA1-13等)と「顔識別機能付きカメラシステム」(QA1-14等)の2つに分けて解説しています。

顔識別機能付きカメラシステムとは、「顔識別機能付きカメラシステムは、検知対象者の顔画像12 及び顔特徴データをあらかじめ照合用データベースに登録しておき、カメラにより取得した画像から抽出した被撮影者の顔特徴データと照合し、被撮影者がデータベースに登録された者と同一人物である可能性が高いと検知した場合にアラート通知等がなされるシステムである。 」と解説されています(PPC「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書(令和5年3月)」8頁)。

そしてPPCは従来型防犯カメラについて「防犯目的で設置されているカメラのうち、撮影した画像から顔特徴データの抽出を行わないもの」と定義しています(QA1-13)。この顔識別機能付きカメラシステムについて大きく取り上げたことが、今回のQAの改正の大きな目玉であるといえます。

QA1-13は、従来型の防犯カメラについて個人情報保護法上の留意点を解説しています。すなわち、従来型防犯カメラの設置状況などから個人情報の「取得の状況からみて利用目的が明らか」な場合には個人情報保護法21条4項4号により国民個人への利用目的の通知・公表は不要とする一方で、「偽りその他不正の手段」による個人情報の取得を禁止する法20条1項との関係で、「カメラの設置状況等から、カメラにより自らの個人情報が取得されていることを本人において容易に認識可能といえない場合には、容易に認識可能とするための措置を講じなければなりません」として、「例えば、防犯カメラが作動中であることを店舗や駅・空港等の入口や、カメラの設置場所等に掲示する等の措置を講じることが考えられます。」としています。

さらに、「「カメラの設置状況等から、カメラにより自らの個人情報が取得されていることを本人において容易に認識可能」な場合であっても、同様の措置をとることが望ましいとしています。

3.顔識別機能付きカメラシステムによる防犯カメラ(QA1-14)
05
06

QA1-14は顔識別機能付きカメラシステムによる防犯カメラについて解説しています。この点、顔識別機能付きカメラシステムは顔画像だけでなく顔識別データを取得していることが「取得の状況からみて利用目的が明らか」な場合には該当しないので(法21条4項4号)、事業者は「従来型防犯カメラの場合と異なり、犯罪防止目的であることだけではなく、顔識別機能を用いていることも明らかに」しなければならないと明記されていることは非常に重要であると思われます。またQA1-14は、事業者は顔識別機能付きカメラシステムを設置する場合は、保有個人データに関する事項の公表等(法32条)などの義務も果たさなくてはならないとしています。その上で法20条1項(不正な個人情報の取得の禁止)に関する部分はQA1-13を参照のこととしています。

さらにQA1-14は、本人へ分かりやすく情報提供を行うために、①顔識別機能付きカメラシステムの運用主体、②同システムで取り扱われる個人情報の利用目的、③問い合わせ先、④さらに詳細な情報、を掲載したサイトのURLまたはQRコード等を店舗や駅・空港等の入り口やカメラの設置場所に掲示することが望ましいとしています。この点に関しては上述の有識者検討会報告書33頁以下に詳しい解説があります。(ただ、この部分に関しては、書面等に上の事項を列挙して掲示するのではなく、サイトのURLやQRコードなどの掲示としてしまうことは、本人への分かりやすさとして大丈夫なのかと個人的に疑問です。)

03

04
(PPC有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」35頁、36頁より)

加えて、QA1-14は、顔識別機能付きカメラシステムによる防犯カメラを設置・運用するにあたっては、同システムの濫用を防止するために、事業者は「登録基準」や運用の「文書化された統一的な基準」を制定し、それらを運用するための組織内の「体制を整備」しなくてはならないと明記していることも非常に重要であると思われます。

4.カメラ画像・顔特徴データの共同利用
07
08

QA7-50は、顔識別機能付きカメラシステムの防犯カメラによるカメラ画像・顔特徴データの共同利用について解説していますが、「組織的な窃盗の防止」などを例に挙げて、「全国的」な共同利用も「利用目的に照らして真に必要」な場合には許容されると記述したことが大きな改正点であろうと思われます。(有識者検討会の会議では、全国レベルでの共同利用を行う場合には「事業者に事前にPPCに相談させるべきである」趣旨の議論も行われていたのですが、報告書の段階ではカットされたようです。)

この点に関してはこのブログでも取り上げてきた通り、個人情報保護法に関する教科書は、共同利用の最大限度・外延は県などの一つの地域や一つの業界と解説するものが一般的であると思われ(宇賀克也『新・個情法の逐条解説』275頁、園部逸夫・藤原静雄『個情法の解説 第二次改訂版』187頁など)、このQA7-50の改正は大きく踏み込んだものであるといえます。

このQA7-50も指摘するとおり、事業者あるいは事業団体等は、かりに全国レベルで顔識別機能付きカメラシステムの防犯カメラによるカメラ画像・顔特徴データの共同利用を行うとしても、利用目的の達成に必要な最低限度の慎重な運用が必要であると思われます。

この点、QA7-50においてPPCは、QA1-14の登録基準などに加えて、事業者・事業団体に「共同利用する全ての者が同様の取扱いを行うための統一的な運用基準(登録基準や保存期間等)を作成すること」等を求めています。

5.顔識別機能付きカメラシステムのカメラ画像や顔特徴データ等は個人情報データベース等に該当しないのか?(QA1-41)
09

QA1-41は「防犯カメラ等で収集されたカメラ画像等は個人情報データベース等に該当しますか?」というQに対して、「個人情報に該当し得るが、特定の個人を検索できない状態であれば「体系的に構成」されたと言えないので、個人情報データベース等には該当しない」とのみ解説してしまっています。しかしこれはやや説明が足りないのではないでしょうか。

すなわち仮に個人情報データベース等に該当しない場合には、当該データベースに含まれるデータは保有個人データではなく、事業者は本人からの開示・利用停止等の請求に応じる必要がなくなってしまいます。

この点、従来型防犯カメラで収集されたカメラ画像などは個人情報データベース等に該当しないとしても、顔識別機能付きカメラシステムで収集されたカメラ画像や顔特徴データは個人情報データベース等(および保有個人データ)に該当すると思われます。

すなわち、PPCの有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」30頁以下には顔識別機能付きカメラシステムの仕組み等が解説されていますが、同システムの照合用データベースは、例えば①ID、②顔画像、③顔特徴データ、④発生日時、⑤犯行の状況(ドアをこじ開け立入禁止地区に侵入など)、⑥犯人の特徴(男性/40代/スーツ姿など)などの情報で構成されていると解説されています。

照合用データベースの図
(PPCの有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」31頁より)

つまり、日時などだけでなく、顔写真、犯行の状況、犯人の特徴などさまざまな項目から照合用データベースは検索可能なのですから、これは「体系的に構成」されており、照合用データベースつまり顔識別機能付きカメラシステムは個人情報データベース等に該当します。したがってそれを運用している事業者は、本人からの開示等の請求に応じる法的義務があります(法33条以下)。

6.開示・利用停止等の開示請求
10

QA9-13は、防犯カメラに関する保有個人データの開示について説明しています。すなわち「顔識別機能付きカメラシステム等に登録された顔特徴データ等が保有個人データに該当する場合、法令に基づき開示請求等に適切に対応しなければなりません。」と解説しています。

しかしその次の1行は、「すなわち、開示請求がなされた場合には、保有個人データの開示義務の例外事由に該当しない限り、開示請求に適切に対応しなければなりません。」と説明しています。

この点、防犯カメラに関するいわゆるブラックリストについては、個人情報保護法施行令5条1号などの「本人又は第三者の生命、身体または財産に危害がおよぶおそれがあるもの」に該当し、保有個人データの開示義務の除外事由に該当する可能性があります。

施行令5条
(PPCのパブコメ「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書(案)」より)

ここについてはPPCの有識者委員会報告書「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」のパブコメでも多くの見直しを求める意見が寄せられていました。これらの意見に対してPPCはパブコメ結果において、「施行令第5条の該当性は個別の事案に応じて慎重に判断されるべきものであり、防犯目的であれば直ちに施行令第5条に該当するということを述べるものではありません。」等と回答しています(パブコメ結果45など)

そのため、事業者は誤登録の被害者などから開示等の請求があった場合には、例外事由に該当するからと一律に請求への対応を拒否するのではなく、開示等の請求に誠実に対応する姿勢が求められます。(PPCはこのパブコメ結果45の回答の趣旨をQA1-13にも盛り込むべきだったのではないでしょうか。疑問が残ります。)

なお、PPCは今回のQA改正において、誤登録されてしまった本人が読んで分かりやすい開示・利用停止等の請求のやり方をもQAに載せるべきだったのではないでしょうか(例えば、誤登録していると思われる小売店や警備会社のウェブサイトに掲載されているプライバシーポリシーの開示等の請求手続きに従って書面で請求を行う等)。

このブログ記事が面白かったらシェアやブックマークをお願いします!

■関連するブログ記事
・個人情報保護委員会の「犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会報告書(案)」に関するパブコメ結果を読んでみた
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた(追記あり)
・防犯カメラ・顔認証システムと改正個人情報保護法/日置巴美弁護士の論文を読んで

人気ブログランキング

PR




このエントリーをはてなブックマークに追加 mixiチェック

bouhan_camera
2022年にはいってから、個人情報保護委員会(PPC)で「防犯予防や安全確保のためのカメラ画像利用に関する有識者検討会」が開催されています。そこで、PPCサイトで公表されている同検討会の資料を読み、気がついたところを簡単にまとめてみました。

・犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会(第1回)
・犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会(第2回)
・犯罪予防や安全確保のためのカメラ画像利用に関する有識者検討会(第3回)

Ⅰ.資料2「顔識別機能付き防犯カメラの利用に関する法的整理と検討課題」について
1.2頁の3.カメラ画像の提供の(3)共同利用について
(1)防犯カメラの個人データが際限なくどんどん広範囲に共同利用されてしまうおそれへの歯止めが必要ではないか。学者の先生方の教科書をみると、共同利用の限界は「書店業界」など「〇〇業界」のなかが限界(外延)であるように読めるが(園部逸夫・藤原静雄『個人情報保護法の解説 第二次改訂版』187頁)、もし防犯カメラの個人データが「日本の小売業全体」で共同利用されてしまったら、それは範囲が広すぎではないか。立法などで歯止めをかけるべきではないか。

(2)また第三者提供の例外である委託、事業承継、共同利用のなかで、共同利用は一番抽象的で事業者にいかようにも利用されてしまうリスクが高い。(例、TポイントのCCCの個人データの管理が当初、共同利用とされていたことなど)この点は、今後の個人情報保護法の改正などで明確化を図るべきではないか。

2.2頁の開示等請求について
(1)いわゆる「防犯カメラの冤罪被害者」の方々がスーパーや警備会社などに開示等請求をしても、一番多い対象は「うちはそういうことはやってない」「そういうデータは保存していない」と対応を断られることである。この場合、個人情報保護法上は開示等請求の民事訴訟を提起するしか対応方法がないが、これは一般市民にはハードルが高すぎる。例えば個人情報保護委員会(PPC)への相談、申告などの手続きを経て、PPCから事業者に対して助言・指導を行わせるなど、PPCが関与して紛争解決をするための手続きがあったほうがよいのではないか。

3.3頁の(1)利用目的の特定について
(1)PPCの個人情報保護法QA1-12は、ただの防犯カメラは個人情報保護法21条4項4号との関係で事業者は「防犯カメラ作動中」との掲示・表示さえすればよしとされているが、顔識別機能付き防犯カメラの場合は「防犯のために顔識別技術を用いた顔識別データの取扱が行われていること」を示す掲示・表示が必要としているが、現状ではほとんどの事業者が後者を遵守していない。遵守させるために、ガイドラインやQAだけでなく立法が必要なのではないか。

4.12頁のカメラ画像の提供の(3)共同利用、個人情報保護法ガイドラインQA7-50について
(1)共同利用する個人データは「真に必要な範囲に限定」、「データベースへの登録条件を整備」とあるが、特にいわゆる「防犯カメラの冤罪被害者」の人々が被る権利利益の侵害、個人の尊重と基本的人権(プライバシー権など)の侵害は重大であるため、この部分を事業者や認定個人情報保護団体のブラックボックスとさせないように、登録条件・基準や保存期間、開示等請求の手続き、問合せ窓口などを事業者に制定させ公開させ遵守を義務付けるための立法が必要なのではないか。ガイドラインやQAなどでは足りないのではないか。個人情報保護法は事業者による個人情報の利用と国民の権利利益の保護や人権保障のバランスをとる法律であることを考えると、PPCは国民の個人の尊重と基本的人権を守るための行政活動や立法活動がより必要なのではないか(個人情報保護法1条、3条)。

5.13頁の開示等請求の施行令5条各号について
(1)一般論としては、事業者側の対犯罪対応、反社対策、警察などの対テロ対応、安全保障対策のためにこのような除外規定があることは理解できるが、しかしいわゆる「防犯カメラの冤罪被害者」のように間違ってデータベースに登録された人々の権利救済のためには、施行令5条にも、本人が異議申し立てをできる場合を明記するような方向で、個人情報保護法を改正すべきではないか。施行令5条が事業者の免罪符になっている現状は問題である。(例えば施行令5条に該当する場合でも、冤罪被害のおそれが高い場合には、PPCや裁判所の関与のもとにインカメラ手続きなどを利用して本人の権利救済を図るなど。)

個人情報保護法施行令5条
(個人情報保護法施行令5条。PPCの資料2より)

6.企業の特定分野を対象とする団体を認定する認定個人情報保護団体の創設について
(1)この法改正により、あまりにも広い範囲で個人データの共同利用がなされてしまった場合、本人の合理的な予測ができず、本人の権利利益の侵害となってしまうのではないか。(例えば業界をまたぐ個人データの共同利用などは認めるべきではないのでは。)認定個人情報保護団体や事業者の利便性とは別に、本人・国民の側の権利利益の保護も図られるべきではないか。

7.17頁の事業者の自主的な取り組みについて
(1)これらの事業者の自主的な取り組みを事業者に実施させるために、自主的な取り組みの制定・公表を事業者や認定個人情報保護団体に義務付け、遵守させるために、枠組み立法が必要なのではないか。

Ⅱ.資料3「顔識別機能付き防犯カメラの利用に関する国内外動向」について
(1)EUのGDPR22条だけでなく、同22条のプロファイリング拒否権やAI規制法案も検討すべきではないか。また、GDPR22条については、日本の2000年の旧労働省の「労働者の個人情報保護のための行動指針」第2第6(6)もプロファイリング拒否権を明記していたことをもっと注目すべきではないか。

(2)ドイツは憲法擁護庁など諜報機関の防犯カメラなどの統制のために「テロ対策データベース法」などを制定して諜報機関の防犯カメラなどの運用を第三者機関などがチェックしているそうなので、日本も同法を検討してはどうか(日弁連『監視社会をどうする』95頁以下に概要あり。)。また、米オレゴン州ポートランドは2020年9月に、民間企業も公共空間での防犯カメラの利用を禁止する法律を制定し、2020年8月にはアメリカの連邦裁判所が警察による防犯カメラの利用に違憲判決を出しているので、個人情報保護委員会は本検討会でこれらの法律や判決を検討すべきではないか。

Ⅲ.第1回議事録について
1.5頁開示請求について
(1)万引き犯などのブラックリストは施行令5条により保有個人データに該当しないとなると、事業者側は一切開示等請求に応じなくてよいことになってしまい、いわゆる防犯カメラの冤罪被害者の人権侵害を救済できない。施行令5条で一律に保有個人データに該当しないのではなく、ブラックリストに載せられた人を救済できるための何らかの手当が必要ではないか。

2.5頁GDPRについて
(1)DGPR9条だけでなく、同22条やAI規制法案も検討すべき。また、例えばドイツの憲法擁護庁など諜報機関に関する対テロ法など、諜報機関の情報管理を第三者がチェックするための法律なども検討すべき。本検討会の射程に収まるかは別として、PPCはプロファイリング拒否権やAI規制法を日本にも導入するために検討をすべきではないか。また、欧米は2000年代に制定した遺伝子差別禁止法なども日本も早く立法化すべきではないか。

Ⅳ.第2回議事録について
1.2頁目の真ん中の〇の部分
(1)「制定当初の個人情報保護法は…個人情報の中に機微性における区別はなかった」は、事実誤認である。制定当初の個人情報保護法に基づいて制定された、金融庁の金融分野における個人情報保護ガイドラインなどは、センシティブ情報に関する規定を置いている。また、2000年の旧労働省の「労働者の個人情報保護の行動指針」もプロファイリング拒否権の条文を置いている。

(2)3頁目の3番目の〇の「立法者意思説でなく法律意思説でいくべき」について 賛成である。立法者の意思も重要であるが、現在の社会情勢や判例・学説の動向を勘案の上、機動的に個人情報保護(個人データ保護)、個人の尊重や基本的人権の確立のための行政活動・立法活動を行うべきである。

2.6頁の顔識別機能付きカメラについて
(1)顔識別機能付きカメラにより個人のプロファイリングがなされてしまうとの問題意識に賛成である。この点をさらに深堀りし、国民の個人の尊重と基本的人権を守る方向で議論をすすめていただきたい。

3.7頁目の「検討すべき事項」について
(1)経産省・総務省の商用カメラに関する「カメラ画像利活用ガイドブック」と個人情報保護法や同ガイドラインの防犯カメラに関する部分との統一化が必要ではないか。カメラを利用し個人の顔識別やプロファイリングなどを行う面では同じ問題なのであるから。また、国民の個人の尊重と基本的人権の保護のために、これらを規制する枠組み立法が必要である。

(2)8頁目の「カメラ画像の第三者提供や共同利用」を広げていく議論に関しては、慎重な議論が必要である。個人情報保護法17条(利用目的の特定)の背後にある、「必要最低限の原則」に180度反する可能性が高いので、慎重な議論が必要である。同様に、デジタル庁等が現在推進している、「学習データ利活用ロードマップ」や「行政の保有する子供の個人データの共有化」「スーパーシティ構想・デジタル田園都市構想」などの政策も、この「必要最低限の原則」に180度反しているので、PPCは個人情報保護法の所管官庁として、しかるべき対応をすべきではないか。

(3)その他、就活生のSNSの「裏アカウント」を採用企業や調査会社などが調査し分析している問題や、ネット系人材紹介会社が本人の承諾なしに勝手にSNSやGithubなどの個人データを収集・分析して人材紹介ビジネスを行っている問題など、労働法(職安法など)と個人情報保護法が交錯する分野についても、PPCは厚労省と共担でしかるべき対応を行うべきではないか。また、最近、警察庁が国民のSNSをAIで捜査するシステムを導入したとのことであるが、これらについてもPPCは個人情報保護法(個人データ保護法)の担当所管としてしかるべき対応をすべきではないか。

(参考)
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた(追記あり)
・防犯カメラ・顔認証システムと改正個人情報保護法/日置巴美弁護士の論文を読んで
・ジュンク堂書店が防犯カメラで来店者の顔認証データを撮っていることについて
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・デジタル庁「教育データ利活用ロードマップ」は個人情報保護法・憲法的に大丈夫なのか?
・Github利用規約や労働法、個人情報保護法などからSNSなどをAI分析するネット系人材紹介会社を考えた
・警察庁のSNSをAI解析して人物相関図を作成する捜査システムを法的に考えた-プライバシー・表現の自由・GPS捜査・データによる人の選別
・遺伝子検査と個人情報・差別・生命保険/米遺伝子情報差別禁止法(GINA)
・日銀『プライバシーの経済学入門』の「プロファイリングによって取得した情報は「個人情報」には該当しない」を個人情報保護法的に考えた(追記あり)













このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ