Monはじめに「顔認証」を始めAIによる画像認識の技術が様々なシーンで利用されていますが、法律上どのような問題があるか理解している事業者は少ないのではないでしょうか。顔認証の文脈での画像認識は、被写体が「人」であるため、その関係での法律問題、特に個人情報保護の問題を避けては通れません。ビジネススキームを構築する検討段階から知っておくべきルールがあります。実際にビジネスを運用する段階でも、法律上課せられるルールを理解していないせいで、トラブルとなりたくないですよね。そこで今回は、AIによるカメラ画像の認識技術・ビジネスについて、法律上どのような問題があるのかをITに強い弁護士が解説します。Intelligence)」とは、人間のような知能を人工的に作ったもの(人工知能)のことをいいます。AIは、高度な技術によって人間のように「学習」し、学習したデータに基づいて「判断」することができます。AIは大きく分けて2種類あります。1つ目は、「汎用型AI」や「強いAI」と呼ばれるもので、ドラえもんのように感情や高度な知性を持ったロボットのことをいいます。2つ目は、「特化型AI」や「弱いAI」と呼ばれるもので、今まで人がやってきた作業を代替的に行うロボットのことをいいます。「強いAI」が活用されるようになるのはまだまだ先の話で、現在の日本で使われているのはほぼ「弱いAI」になります。Helloを使ってセキュリティのロック解除をしている人も多いのではないでしょうか。ビジネス目的それぞれの活用事例を図で見ていきましょう。(1)防犯・公共目的このように、迷子や不審者、トラブルなどを検出することで防犯に役立てたり、イベントの入場の本人確認にカメラ画像を用いることで不正な転売を防いだり、道路の混み具合や、通行人の移動履歴を確認することでインフラ整備に役立っています。(2)ビジネス目的ビジネス目的では、マーケティングなどにAIによる画像認識を活用しています。以上からもわかるように、AIによる画像認識は様々な方法で活用されており、認識に用いるカメラ画像には、被写体として「人」が映り込んでいます。そこで、被写体となっている「人」との関係でどのような法律規制があるのかなどについて慎重に考える必要があります。事業としては何に注意し、どういったルールを守らなければいけないのかなど分からない点が多いですよね。このように、事業者が撮影した情報を活用する場合には、自身の利益のみならず、撮影された人の権利にも配慮しなければいけません。ついて詳しく見ていきましょう。事業者を対象として「個人情報」の取扱いに関するルールを定めた法律です。4つに分類されています。保有する個人情報がどの情報にあたるかで、事業者に課される義務や必要とされる対応が変わってくるため、まずは「個人情報」の内容を正確に知っておく必要があります。この項目では、それぞれの概念と事業者に課される義務について、簡単に確認しておきましょう。詳細は後ほど説明します。以下のどちらかにあてはまる情報のことをいいます。生存する個人に関する情報であって、当該情報に含まれる氏名、生年月日、その他の記述等により、特定の個人を識別できるもの(他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む)個人識別符号を含むものそれぞれ順番に見ていきましょう。1生存する個人に関する情報であって、特定の個人を識別できるもの「特定の個人を識別できるもの」とは、分かりやすく説明すると、個人を特定できる情報のことをいいます。「2000年1月1日生まれ」という情報だけでは、それが誰のことを指しているのかわかりません。氏名が加わり、「2000年1月1日生まれの〇×さん」という情報であれば、誰のことか特定できるようになります。それでは、「他の情報と容易に照合することができ」とはどういった場合のことをいうのでしょうか。生年月日のリストと氏名のリストが別々に保管されている場合を想像してください。生年月日のリストだけでは誰のことだか分かりませんね。この場合でも、生年月日のリストと氏名のリストそれぞれにNo.1、No.2・・・と管理番号が書かれていて、相互に紐づけられていれば、2つのリストを照合することで、個人を特定することができます。このように照合することで個人を特定できる場合も、「特定の個人を識別できるもの」に含まれることになります。以上のように、生きている個人に関する情報で、個人を特定できるものが「個人情報」にあたります。2個人識別符号を含むもの「個人識別符号」とは、その情報自体から個人を特定できるものをいいます。態様、マイナンバー、パスポート番号などが挙げられます。そのため、顔などの容貌や歩き方など、「あれは〇×さんである」と個人を特定できる情報が含まれている画像は、「個人情報」にあたることになります。カメラ画像においては、特にこの「個人識別符号」が重要となります。12のどちらかに当てはまる「個人情報」を取得する場合、その事業者は、情報の利用目的を特定し、個人に対してそれを公表・通知することが義務となっています。「個人情報」が最も広い概念となります。次に、個人情報を一段階狭めた概念である「個人データ」について見ていきましょう。(2)個人データ「個人データ」とは、特定の個人を検索することができるように構築したデータベースに含まれる「個人情報」のことをいいます。個人を特定できる顔の画像が特定の個人を検索できるようにデータベース化されていれば、「個人データ」となります。取り扱う個人情報が「個人データ」にあたる場合、その取扱事業者には、個人データが漏えい、滅失しないよう適切な安全管理措置を取ることが求められたり、個人データの第三者提供の制限等を受けたりといったように、「個人情報」を取り扱う事業者よりも重い義務を課されることになります。次に、個人データよりもさらに狭い概念である「保有個人データ」について見ていきましょう。義務を負うことになります。ついて見ていきましょう。経歴、犯罪被害を受けた事実その他本人に対する不当な差別、偏見等が含まれた「個人情報」のことをいいます。あたる情報は、その取得に際し、本人から同意を得る必要があります。このように、「個人情報」は細かく4つに分けることができ、概念が狭くなるにつれて事業者に課される義務も重くなります。項目から、それぞれのフェーズごとに、詳しく解説していきます。画像の「取得」フェーズの法的問題点これまで見てきたとおり、例えば、個人を特定できる顔の画像は「個人識別符号」として、「個人情報」にあたります。「個人情報」にあたるような画像であっても、その画像を「取得」していなければ、個人情報保護法の規制を受けることはありません、そのため、まずは、どんな場合に個人情報を「取得」したといえるのかが問題となります。(1)個人情報の「取得」とは個人情報の「取得」とは、個人情報を自己の管理しているデータサーバーに保管することをいうと考えられています。個人を特定できる顔の画像を含むカメラ画像を、一瞬でも録画保存した場合には、個人情報を「取得」したことになります。そのため、監視のみをリアルタイムで行い、録画保存を一切行わないのであれば、「取得」にはあたらないとされる余地があります。画像の活用方法によっては、録画保存を一切行わないという方法をとれない場合もあるため、そのような場合はやはり個人情報を取得したことになります。それでは、個人情報を「取得」したといえる場合、その事業者は個人情報保護法上どのような義務を課されるのでしょうか。以下で、見ていきましょう。「個人情報」の取得に際し課される義務は以下の2つとなります。利用目的の公表・通知それぞれ、確認していきましょう。個人情報の取得にあたっては、その利用目的を出来る限り特定する必要があります。ここでいう、「出来る限り特定」というのは、個人情報が最終的にどのような事業・サービスに、どのような目的で使われるか個人が想定できる程度に具体化することを意味します。以下に具体例を挙げます。〇〇事業における新商品に関する情報のお知らせのため「特定できていない例」を見るとわかるように、抽象的かつ一般的な目的にとどまっているため、これを見ても、どの事業・サービスに用いられるのか、どのように個人情報が使われるのか分かりません。そのため、「特定できている例」にあるように、できる限り具体的に特定する必要があります。特定された利用目的は、以下のように、個人に対して公表・通知する必要があります。取得した場合には、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、または公表する必要があります。自社のホームページから1回程度の操作で到達できる場所への提示、ポスターによる提示、パンフレットの配布等がここでいう「公表」にあたります。例外的に、防犯カメラによって個人を撮影・録画するような場合には、利用目的の公表・通知は不要です。いった撮影・録画は、犯罪予防を利用目的としていることが明らかだからです。防犯カメラでの撮影・録画に加えて、AIの画像認識によって個人を追跡する場合、通常の防犯カメラが担う機能を超えており、利用目的が明らかであるとまではいえません。そのため、個人情報の利用目的の公表・通知が必要になると考えられます。以上のように、個人情報を取得するときは、出来る限り具体的に利用目的を特定するとともに、その利用目的を本人に公表・通知することが必要です。して「取得」した画像であっても、その後の加工処理によっては、個人情報にあたらないものと考えることもできます。いえ、画像の加工処理には、いくつかの方法がありますので、まずは、その点から確認しましょう。画像の加工処理方法は、以下の5つに分類することができます。特徴量データ属性情報カウントデータ動線データ処理済みデータ以下で、順番に見ていきましょう。1特徴量データ「特徴量データ」とは、画像から個人の目、鼻、口の位置関係等の特徴を抽出し、数値化するという処理方法によって得られたデータのことをいいます。「特徴量データ」は、顔認証データともいいます。顔の画像そのものではなく、数値化したデータも「個人識別符号」にあたるため、「個人情報」にあたります。画像から抽出した個人の容貌を元にAIが推定した性別・年齢などをデータにしたものをいいます。「属性情報」だけでは、個人を特定できないため、「個人情報」にはあたりません。抽出元の画像と「属性情報」が容易に照合できる場合、個人を特定できるようになるため、この場合には「個人情報」にあたることになります。3カウントデータ「カウントデータ」とは、人の形のみを判別して、その数量を計測する処理方法により得られたデータのことをいいます。人数をカウントするだけのため、特定の個人を識別することはできないデータとなります。そのため「個人情報」にはあたりません。4動線データ「動線データ」とは、個人がどのように移動したかを示すデータです。どこにいたかという座標値を時系列にそって蓄積することで生成されます。「動線データ」だけでは、個人を特定することはできないため、「個人情報」にはあたりません。個人の移動経路の確認のために「動線データ」と「特徴量データ」を紐づけている場合には、これらを容易に照合して個人を特定できるようになるため、「個人情報」にあたります。5処理済みデータ「処理済みデータ」とは、画像にモザイク処理等を施して、個人を特定できないようにする処理をしたデータのことをいいます。処理済みデータも個人を特定できないため、「個人情報」にはあたりません。人の歩き方は「個人識別符号」として「個人情報」にあたるため、顔にしかモザイク処理をしないといった不十分な処理や、復元が可能な処理がなされていた場合は、「個人情報」にあたる可能性があります。以上のように、画像の加工処理によりそれ単体では「個人情報」にあたらないデータとなっていても、抽出元の画像や、他のデータと容易に照合して個人を特定できる場合には、「個人情報」と判断される可能性があります。「個人情報」にあたる場合において、特定の個人を検索できるようにその個人情報をデータベース化しているような場合、その個人情報は「個人データ」にあたります。「個人データ」にあたる場合、その取扱事業者は「個人情報」のみを取扱う事業者に比べ重い義務を負うことになります。そのため、「個人情報」にあたらないように画像を加工処理したり、個人が特定できる他の情報(個人識別符号や会員情報など)と紐づけずにデータベース化するなど、ビジネススキーム構築段階から情報の取扱いをどのように行うか十分に検討する必要があります。それでは、「個人データ」を取扱う事業者に課せられる義務はどのようなものなのでしょうか。次の項目で、見ていきましょう。「個人データ」の取扱事業者に課せられる義務は以下の4つです。以下で、順に見ていきましょう。1【義務1】:内容の正確性の確保など「個人データ」を取り扱う事業者は、利用目的の達成に必要な範囲内で、個人データを最新かつ正確な内容に保ち、利用する必要がなくなった個人データは遅滞なく消去することに努めなければなりません(努力義務)。離婚などで姓が変わったにもかかわらず、以前の姓でダイレクトメールが届くことにいい気持ちがしない人もいるかもしれません。「内容の正確性を確保」するとは、このように個人データを更新する必要が発生した際に、事業者が本人に更新手続の案内をしたり、個人データそのものを更新することをいいます。個人データを取扱う事業者は、「個人データ」が漏えい、滅失しないよう「安全管理措置」を取らなければなりません。具体的に「安全管理措置」には、以下の4つの側面があります。順に見ていきましょう。設置や、個人データの取扱台帳の作成、事故発生時の対応手順の整備など、社内体制を整備することをいいます。従業員などに対して、内部規程の周知を行ったり、情報セキュリティの教育・訓練を実施することをいいます。個人データが持ち出されないよう入退室管理を実施したり、PCが持ち出されないようセキュリティワイヤーをつけたりなどといった対策のことをいいます。アクセス制御をかけて個人データにアクセスできる者を制限したり、アクセス状況の監視をしたり、不正ソフトウェア対策を施すことをいいます。事業の規模や個人データの取扱い状況によって、求められる内容・程度に違いがあることに注意が必要です。「個人情報の保護に関する法律についてのガイドライン(通則編)」の「8(別添)講ずべき安全管理措置の内容」をご参照ください。事業者は、「個人データ」を従業員や委託先に取り扱わせる場合、必要かつ適切な「監督」をする必要があります。ここでいう「監督」とは、「個人データ」の取扱いに際し、従業員や委託先が負うこととなる安全管理措置義務を契約書に盛り込むこと、従業員や委託先が安全管理措置義務を遵守していることを定期的に確認することを指します。クラウドサービス事業者の間の契約において、「個人データ」を取り扱わないことが定められ、適切にアクセス制御がなされている場合には、クラウドサービス事業者は「委託先」にあたらず、その監督も不要になるものと考えられます。事業者が保有する「個人データ」をその事業者以外の者に提供することをいいます。「個人データ」を第三者に提供する場合には、原則として、あらかじめ本人から同意を得る必要があります。事業者が自分の知らないところで自由に「個人データ」をやり取りできるとしたら、「個人データ」が誰にどのように使われているか分かりません。そのため、あらかじめ本人から同意を得た場合にのみ個人情報の第三者提供を認めているのです。以下の場合には例外的に同意を得る必要はありませんが、第三者提供がビジネス目的である場合には、基本的にあてはまりませんので注意が必要です。(i)法令に基づく場合(ii)人の生命、身体または財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき(iii)公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき(iv)国の機関もしくは地方公共団体またはその委託を受けた者が法令に定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき以上のように、「個人データ」を取り扱う事業者には多くの義務が課せられることになります。その「個人データ」を6か月保有する場合には、そのデータは「保有個人データ」にあたり、「個人データ」の取扱事業者に課される義務に加え、さらに2つの義務が課されることになります。以下で、詳しく見ていきましょう。「保有個人データ」を取り扱う事業者に追加的に課される義務は以下の2つです。以下で、順に見ていきましょう。1【義務5】:通知義務など「保有個人データ」を取り扱う事業者は、以下の事項を自社HPに掲載するなどして、本人の知り得る状態に置いておく必要があります。手続き(iv)保有個人データの取扱いに関する苦情の申出先このように、本人が確認できる状態に置くことで、長期間にわたる個人データの利用が適正に行われているか確認することができます。請求を受けたときには、遅滞なくこれらに応じなければなりません。ここでいう「開示」とは、請求者本人の保有個人データの内容そのものを本人に示すことをいい、「訂正」とは、保有個人データの内容が事実でない場合に、事実に合致するように修正することを指します。「利用停止等」とは、以下に挙げる違反を是正することを目的として、保有個人データの利用の停止または消去の請求を受けたときに、必要な限度で遅滞なく、保有個人データなどの利用を停止することを意味します。保有個人データが目的外利用された保有個人データが不正の手段により取得された同意なく要配慮個人情報が取得された保有個人データが同意なく第三者に提供された以上のように、取り扱う情報によって、事業者に課される義務の内容も変わります。「個人データ」を6か月を超えて保管することの必要性などについて、十分に検討することも重要になってきます。データベース化されていない単なる「個人情報」であれば、本人の同意なく、第三者に提供できますが、検索可能な「個人情報データベース等」を構成する「個人データ」は、本人の同意がなければ原則として第三者に提供することはできません。グループ会社(親会社・子会社)間であっても、それぞれは別会社であるため、親会社から見て子会社、または子会社から見て親会社は、自社以外の事業者(第三者)にあたることになります。そのため、グループ会社間でも本人の同意がなければ原則として個人データを提供することはできません。この原則を貫くと、グループ会社の各店舗における購買履歴や動線データを共有し、全ての店舗の品揃えや店舗レイアウトを最適化するといったような場合に、個人データの第三者提供をする都度に本人から同意をもらう必要があり、不都合性が生じます。そこで、個人情報保護法は以下のように、提供先が【「第三者」にあたらない場合】と【「第三者」にはあたるが例外的に提供が許される場合】とに分けて、例外的な扱いを認めています。以下で、順番に見ていきましょう。「委託」とは、自社の業務を他社にお願いすることをいいますが、業務に必要な個人データを委託先に提供する場合には、第三者提供にあたらず、本人の同意なく個人データの提供をすることができます。商品の配送を行うために宅配業者に個人データを提供する場合といったケースが挙げられます。委託先は委託を受けた業務の範囲を超えて個人データを利用することは許されていないため、委託元が自ら個人データを利用しているのと変わらないからです。委託に際しては以下のような「委託先を監督する義務」が委託元に課されます。委託先における個人データの取扱い状況の把握これらの監督義務が課されるのは、ずさんな情報管理体制を取っているなど、リスクのある委託先に個人データが渡らないよう個人データを守るためです。個人データを複数の事業者で共同で利用したり管理することをいいます。観光地の店舗や駐車場の管理者が、観光客がストレスを感じることなく観光できるように、自分たちで設置したカメラにより、人・車などの混雑状況を共有するようなケースが「共同利用」にあたります。このように、人や車のナンバーといった個人情報をデータベース化して共同で利用する場合には、本人の同意の代わりに、あらかじめ以下の5点について本人に通知するか、本人が容易に知り得る状態に置くことにより、共同利用者に個人データを提供することができます。個人データを管理する責任者(法人の場合は法人名)これらの事項を本人に通知などで知らせることにより、自分の個人データを、誰が、なんのために、どのような目的で使っているかが分かるようになるため、本人の同意を求める必要はなくなります。より事業が別会社に承継されることを「事業承継」といいます。事業を承継する場合、承継先の会社が、元の会社で利用していた個人データをそのまま利用したいと考えるのはごくごく自然のことであり、本人も承継先で自身の個人データが利用されることについては同意していると考えることができます。事業を承継している以上、個人情報の利用目的についても従前と変わらないと考えられるからです。そのため、合併などにより、事業を承継した承継先も第三者にあたらないとされています。事業が承継された途端、個人データの利用目的が変わってしまっては、本人にとって、自分の個人データがどのように利用されているか分からなくなってしまいます。そのため、個人データの利用目的を変更する場合には、あらためて本人の同意を得る必要があります。(2)「第三者」にはあたるが例外的に提供が許される場合(オプトアウト方式)「オプトアウト方式」とは、一定の要件のもとで、本人に事後的な拒否権を与えて個人データを第三者に提供することをいいます。これに対して「オプトイン」は、あらかじめ本人から同意を取得し第三者に提供する場合をいいます。オプトアウトの方式で第三者に個人データを提供する場合、以下の要件をすべてみたす必要があります。届出などの負担が生じます。このように、個人情報保護法は、本人の同意を得ることなく個人データを第三者に提供することができる例外的な扱いを認めていますが、あくまで例外的な扱いであるため、原則を担保するために事業者に対して特別の義務を課しているのです。個人データの第三者提供の局面においては、以上に挙げた義務とは別の観点から、「トレーサビリティの確保」という義務が事業者に課されます。届出手続の具体的な方法、届出書の書式については、「オプトアウトによる第三者提供の届出」をご参照ください。法律の悩みを迅速に解決します。スタートアップ、IT、先端技術の法律相談なら私たちにお任せください!豊富な契約書雛形もご用意していますので、IT企業に関わらずお気軽にお問い合わせください。「トレーサビリティ」とは、個人データの流通経路を明らかにし、後から追跡が可能な状態にすることをいいます。トレーサビリティの確保は、本人からの同意の有無にかかわらず必要です。「トレーサビリティの確保」を分かりやすく図で説明すると以下のような流れになります。以上のようなトレーサビリティを確保するために、個人データの提供者・受領者にはそれぞれに以下のような義務が課されます。同事件では、無断で持ち出された個人情報が複数の名簿業者を通じて広く流通してしまいました。このような個人情報の流通を抑止するため、必要に応じて個人情報の流通経路を辿ることができるように記録の作成・保存や取得経緯の確認が義務付けられたのです。この「トレーサビリティの確保」は名簿業者だけでなく、AIによる画像認識をビジネスにしている事業者とっても、大きな負担となります。トレーサビリティの確保義務は、仮に本人の同意があっても、「第三者」に個人データを共有する際には必ず課される義務だからです。以上に見てきたとおり、これまでは様々な個人データの提供方法やそれに伴い事業者に課される義務などについて見てきました。これらを踏まえて、次の項目では、実際のケースにあてはめて、見ていきましょう。具体的なケースの検討(1)事業者間で共有したいケースグループ会社の各店舗における購買履歴や動線データ、来店履歴を共有し、品揃えや店舗レイアウトの最適化を図りたいというケースを考えてみましょう。この場合、購買履歴や動線データだけを共有するということであれば、これらの情報は個人を特定できる情報ではないため、個人情報にはあたりません。来店履歴や来店時の行動を分析する目的で、特徴量データと、購買履歴や動線データを紐づけていた場合、照合することにより個人を特定できるようになるため、購買履歴や動線データも個人情報にあたることになります。購買履歴や動線データを特徴量データと紐づけてデータベース化していた場合には、その個人情報は、個人データにあたることになります。グループ会社としては、このような個人データを共有しようとする場合、以下のいずれかの方法で共有することが考えられます。順番に見ていきましょう。「オプトイン」は本人からあらかじめ第三者提供の同意を得る方法です。このようにあらかじめ同意を得ている場合も、トレーサビリティを確保するための記録の作成・保存などが必要です。本人からあらかじめ同意を得ていたとしても、共有したいグループ企業が加わるたびに、提供先に変更が生じることになります。提供先を変更する場合には、再び同意を取得しなおす必要がありますが、再度同意を取得することは困難であり、実務上この方法を選択することは難しいと考えられます。「オプトアウト」は、一定の要件のもとで、本人に事後的な拒否権を与えて個人データを第三者に提供する方法です。届出、トレーサビリティを確保するための記録の作成・保存などが義務付けられます。委託先は第三者に当たらないため、第三者提供を行う際にトレーサビリティを確保する必要はありません。そのため、記録の作成・保存や取得経緯の確認は不要となり、事務負担は軽くなるといえます。自社の業務をお願いすることが前提として必要となります。グループ会社間でどのような業務を委託するのか、その業務は個人情報の取扱いが必要な業務なのか慎重に検討する必要があります。共同利用の相手方は第三者に当たらないため、第三者提供を行う際にトレーサビリティを確保する必要はありません。利用目的などを通知・公表することは必要になりますが、「委託先への提供」とは異なり、監督義務も発生しません。オプトイン方式と同様に、共有したいグループ企業の範囲が変更となる場合、再び同意を取得しなおす必要があります。以上のように、いずれの方法においても長所と短所があります。そのため、事業者間で行うビジネスを踏まえて、適切な方法を選択することが必要です。(2)万引犯のカメラ画像を共有したいケースたとえば、事業者Aが複数の小売店事業者から防犯カメラ画像の提供を受け、万引犯の顔を照合できるデータベースを構築したとします。そのデータベースを事業者Aが小売事業者に提供して、データベースにヒットする人物が来店した際に従業員にアラートがあがるようにするというケースを考えてみましょう。このケースにおいて、個人情報は、以下の2つの局面で提供されることになります。順に見ていきましょう。1複数の小売店事業者から事業者Aへの防犯カメラ画像の提供この局面でのカメラ画像の提供については、「委託先への提供」という方法がベストだと考えられます。いう方法の中で、当事者に課される義務が最も軽い方法が「委託先への提供」だからです。「委託先への提供」を選択する場合、個人情報の取り扱いが必要な業務を委託する必要があるところ、このケースでは、たとえば、各小売店事業者は、事業者Aに防犯カメラ画像から万引犯の顔のデータを抽出し、データベース化する業務を委託することが考えられます。これらの業務を行うためには、委託先である事業者Aに防犯カメラ画像を提供する必要があります。「委託先への提供」であれば、各小売店事業者は、事業者Aに対する監督義務のみを負担すればよく、ベストな選択だと考えられます。事業者Aから小売店事業者へのデータべースの提供の局面については、以下の4つの方法を順に検討していきましょう。事業者間で共有するケースと異なり、万引犯の場合、(i)オプトイン方式は使えないと考えられます。万引犯からあらかじめ個人データを利用することについて同意を得るなんてことは通常しないからです。次に、(ii)オプトアウト方式による方法を検討すると、万引き自体が、要配慮個人情報とされている「犯歴等」にあたる可能性があり、もし、要配慮個人情報にあたる場合、オプトアウト方式での第三者提供はできないということになります。要配慮個人情報は、情報の性質上、慎重な取り扱いが必要なため、個人情報保護法により、オプトアウト方式での第三者提供が禁止されているからです。この方法を選択することも難しいでしょう。(iii)委託先への提供を行うためには、事業者Aが小売店事業者に何かしらの業務を委託することが必要になります。小売店事業者に、畑違いの画像分析などといった業務をお願いすることはできません。万引犯のデータベースを利用することが必要などのような業務を委託するのか、という問題をクリアできなければ、この方法を選択することはできません。問題点を図解すると以下のとおりとなります。このように見てくると、このケースの場合には、利用目的などの必要事項を通知・公表することで第三者提供が可能となる(iv)共同利用を選択するのがベターであると考えられます。以上のように、「個人データ」を共有する場合には、個人情報保護法が様々な義務を事業者に課しています。持っている情報をビジネスに活かさないことには、宝の持ち腐れとなってしまいます。そこで、個人情報保護法では、少しでも多くの情報を活用できるようにするために「匿名加工情報」という概念を設けています。次の項目で、詳しく見ていきましょう。(3)「匿名加工情報」に加工して共有するケース「匿名加工情報」とは、個人を特定できないよう個人情報を加工することをいいます。適切に加工することで、一定のルールのもとで、本人の同意を得ることなく、目的外利用や第三者提供をすることができるようになります。それでは、どのように画像を処理すれば「匿名加工情報」といえるのでしょうか。画像の処理方法について見ていきましょう。見てきたように、画像の処理方法は、以下の5つに分類することができます。特徴量データ属性情報カウントデータ動線データ処理済みデータこれらの処理方法により得られたデータを「匿名加工情報」として扱うことができるのでしょうか?1特徴量データについては、顔のデータを数値化しているものの、その数値自体が、個人の特定が可能な個人識別符号であるため、匿名加工情報として利用することはできません。することが可能となります。それぞれ、順に見ていきましょう。作成したとき(加工の作業を完了したとき)、作成した事業者は、ホームページなどを通して、匿名加工情報に含まれる個人に関する情報の項目を公表する必要があります。第三者に提供するときは、あらかじめホームページなどで第三者に提供する匿名加工情報に含まれる項目および匿名加工情報の提供の方法を公表する必要があります。これらのことを公表することで、個人情報を提供した本人は、匿名加工情報に自身の個人情報が使われているか、適切な加工がなされているかを確認することができるようになります。取り扱う事業者は、個人を特定する目的で、以下のことを行うことは禁止されています。自らが作成した「匿名加工情報」を、個人を特定するために他の情報と照合すること受領した「匿名加工情報」の加工方法を取得すること受領した「匿名加工情報」を、個人を特定するために他の情報と照合すること「匿名加工情報」として個人を特定できないように加工したにもかかわらず、特定目的で照合されてしまっては、加工した意味がなくなってしまうため、これらの行為は禁止されています。加工する事業者は、安全管理措置として、加工方法などの情報が漏えいしないようにする必要があります。加工方法が漏れ、個人が特定されることを防止するためです。以上のように、これまでは、カメラ画像のAI活用について、主に個人情報保護法との関係で詳しく見てきましたが、これとは別に、「プライバシー」への配慮も必要となります。この点について、次の項目で詳しく見ていきましょう。昨今のAIやITの発展に伴い、「プライバシー」は、何の理由もなく私生活を公開されることのないという消極的な権利から、自分の情報をコントロールするという積極的な権利へと概念が変わりつつあります。「自分の情報をコントロールする」とは、不当に自分の情報を取得・収集されないという意味を含んでいます。現代においては、カメラでの撮影目的が多様になっており、防犯目的だけでなく、ビジネス目的での撮影も急速に増えています。そのため、設置されているカメラがどういった目的で撮影しているのか、撮影されたカメラ画像はどのように使われるのか、などといったように、撮影目的や利用方法がわからない状況が生まれています。このような状況であるからこそ、カメラで撮影を行う際にはプライバシーに配慮し、、以下のような点を店舗に掲載するなどして、これまで以上にプライバシーへの配慮を強めることが重要であると考えられます。ように、プライバシーに配慮することはもちろんのこと、、撮影したカメラ画像やそこから生成・抽出したデータを適切に管理することも極めて重要です。ずさんな管理をしてしまうと、情報漏えいなどのリスクがあり、最悪の場合、事業の継続が困難になる可能性すらあります。このような事態にならないためにも、事業者にはしっかりとしたセキュリティ管理が求められます。最後の項目で、セキュリティの問題について確認しておきましょう。※カメラ画像の活用について経済産業省が、「カメラ画像利活用ガイドブック」に見解をまとめています。個人情報やそこから生成・抽出したデータは、絶対に漏えいすることがないように適切に管理する必要があります。そのためにも、セキュリティ対策は必須といえます。NPO日本ネットワークセキュリティ協会がまとめた「2017年情報セキュリティインシデントに関する調査報告書」では、2017年における個人情報の漏えいに関するデータが紹介されています。漏えい件数の多かったトップ10の事例の漏えい原因は、10件中7件が不正アクセスによるものであるという結果がでています。今後は、セキュリティとしてのログ監視などにAIが用いられる一方、不正アクセスをする側でもAIを用いることが想定されます。そのため、より一層、外部からの不正アクセスに対するセキュリティ対策を強化する必要があります。き忘れ」、「不正アクセス」、「管理ミス」によるものも多く、これらは全体のうちの4分の3を占めています。外部からの不正アクセスだけでなく、内部情報の管理体制やルールの見直し、従業員への教育も重要になってきます。小括AIによる画像認識を行うためには、個人情報保護法による規制を検討することが最も重要です。ビジネススキームを構築する段階からカメラ画像を「個人情報」として残しておく必要があるのか、個人情報をデータベース化する必要があるのか(個人情報にあたらないよう加工したうえでデータベース化できないのか)、などといったように検討しなければならない事項は多岐にわたります。事業を適切に展開していくためにも、個人情報保護法などによる法律規制を十分に理解したうえで、、ルールをしっかりと守ることが重要です。まとめこれまでの解説をまとめると、以下のようになります。個人情報_顔認識データ法律の悩みを迅速に解決します。スタートアップ、IT、先端技術の法律相談なら私たちにお任せください!豊富な契約書雛形もご用意していますので、IT企業に関わらずお気軽にお問い合わせください。