近年では、店舗やビル、マンション等、不特定多数の者が出入りする多くの建物に防犯カメラが設置されています。
本稿では、個人情報保護法に関連し、防犯カメラ映像の扱いについて、個人情報保護法ガイドラインの内容等を中心に解説します。
第１ 個人情報保護法に関する基礎知識
１ 個人情報保護法とは
個人情報保護法（正式名称：個人情報の保護に関する法律）は、平成15年に成立した法律です。
この法律は、個人情報の適切な取り扱いに関し、個人情報の有用性に配慮しつつ、個人の権利利益の保護を図ることを目的としています。
平成28年には、国の機関として個人情報保護委員会が設立され、個人情報保護法のガイドラインの策定・公表や、事業者に対する監督などを行っています。
２ 個人情報とは（概要）
個人情報保護法では、「個人情報」とは、生きている個人に関する情報であることを前提に、①特定の個人であると分かるもの（氏名、住所、生年月日等）及び他の情報と紐づけることで容易に特定の個人であると分かるもの、または、②個人識別符号が含まれるものと定義されています（個人情報保護法第２条第１項）。
したがって、亡くなった方の情報は、個人情報保護法における「個人情報」にはあたりません。
また、法人（企業や団体など）は生きている個人ではないため、法人情報は「個人情報」に含まれません（もっとも、法人の情報であっても、法人の役員の氏名といった情報は、「個人情報」に含まれることになります。）。
第２ 防犯カメラの映像が個人情報にあたるか
個人情報保護法第２項第１項第１号では、「個人情報」について、生存する個人に関する情報であることを前提に、以下のように規定しています。
「当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第２号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。）」
長くて読みづらい条文ですが、かっこ書きの部分を飛ばして読むと、要するに、
「当該情報に含まれる氏名、生年月日その他の記述等により特定の個人を識別することができるもの」
が「個人情報」に該当するということになります。
なお、他の情報と容易に照合することができ、それにより特定の個人を識別することができるものも、「個人情報」に含まれることになります。
また、亡くなった個人に関する情報は、個人情報にはなりません。
そして、防犯カメラに記録された映像ですが、これは「個人情報」に該当します。
顔や容貌は一人一人異なるものであり、特定の個人を識別することができるからです。
第３ 防犯カメラに関する個人情報保護法上の問題点
１ 利用目的の特定
防犯カメラは、その性能の向上にともない、いくつかのパターンが考えられます。
① 顔認証システムが無い、従来型の防犯カメラの場合
顔認証のデータを取り扱わないような、従来型の防犯カメラの場合には、利用目的は誰の目にも明らかといえます。
したがって、利用目的の通知・公表は不要と考えられています（個人情報保護法第２１条第４項第４号）。
ただし、防犯カメラにより自分の個人情報が取得されていることについて、容易に認識できるようにしておく必要があります（個人情報保護法第２０条第１項）。
防犯カメラの設置状況によっては、防犯カメラが作動中であることを店舗入口や防犯カメラの設置場所などにおいて示し、防犯カメラで自らの個人情報が取得されていることを本人が容易に認識できるようにしておくことが望ましいといえます。
② 顔認証データを利活用できる防犯カメラの場合
一方で、設置した防犯カメラから画像を取得し、そこから顔認証データを抽出して、防犯目的で利用できるような防犯カメラもあります。
また、顔認証データは、マーケティングなどの他の目的にも利用することが可能です。
これらの場合には、本人は、自分の個人情報がどのように利用されるのか、一見して明らかではありません。
したがって、防犯等の目的で、カメラ画像及び顔認証技術を用いた顔認証データの取り扱いが行われることについて、利用目的を特定したうえで、これをあらかじめ公表するか、取得したあと速やかに通知・公表する必要があると考えられています。
２ 映像の保存期間
防犯カメラの映像は、どの程度の期間、保存して良いのでしょうか。
個人情報保護法第２２条は、次のように規定しています。
「個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。」
防犯カメラ映像についても、この法律の規定から、「利用する必要のある最低限の期間」にする必要があります（期間は一概に決まっているわけではありません。）。
また、必要以上に長く映像を保管することは、その分、個人情報の流出のリスクを高めることにもなりかねません。
したがって、事業者は、いつまで防犯カメラ映像を保管しておくのか、その必要性を検討したうえで、期間を定めておくことが重要です。
３ 安全管理措置
個人情報の管理体制について、個人情報保護法第２３条は、次のように規定しています。
「個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又は毀損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。」
このように、事業者は、個人データについて、安全管理措置を講ずる必要があります。
個人情報保護委員会が公表している個人情報保護法のQ＆Aでは、以下のような措置が例示されています。
①組織的安全管理措置
例：カメラ画像等を取り扱う情報システムを使用できる従業者を限定する、事業者内の責任者を定める、管理者及び情報の取扱いに関する規程等を整備する等
②人的安全管理措置
例：従業者に対する適切な研修（個人情報保護法の適用範囲・義務規定、カメラ画像の取扱いに関する講義等）等を実施する等
③物理的安全管理措置
例：カメラ及び画像データを保存する電子媒体等の盗難又は紛失等を防止するために、設置場所に応じた適切な安全管理を行う等
④技術的安全管理措置
例：情報システムを使用してカメラ画像等を取り扱う場合や、IPカメラ（ネットワークカメラ、WEB カメラ）のようにネットワークを介してカメラ画像等を取り扱う場合に、必要とされる当該システムへの技術的なアクセス制御や漏えい防止策等を講ずる（アクセス制御には適切な場合にはパスワード設定等の措置も含む。）等
⑤外的環境の把握
例：外国において個人データを取り扱う場合、当該外国の個人情報の保護に関する制度等を把握した上で、個人データの安全管理のために必要かつ適切な措置を講ずること
なお、カメラ画像等が保有個人データに該当する場合には、上記の安全管理のために講じた措置の内容について、本人の知り得る状態に置く必要があります。本人の求めに応じて遅滞なく回答することでも構いません。
ただし、本人の知り得る状態に置くことによって、安全管理に支障を及ぼすおそれがあるものについては、この限りではありません。
第４ まとめ
今ではどこにでもある防犯カメラですが、個人情報保護法の観点では、相応の対応を講じておく必要があります。
個人情報の取り扱いについてのご相談がある場合は、ぜひ当事務所までお問い合わせください。
