Q：　当社では、防犯を目的として店内に防犯カメラを設置しています。防犯カメラの映像が個人情報に含まれことはありますか。また、個人情報に該当する場合、防犯カメラ設置上の注意点や、映像の管理の方法等を教えてください。

A：　結論として、防犯カメラの映像も個人情報として保護対象になる場合がありますので、①情報の取得目的及び利用方法の周知、②当該情報管理に関する措置を定めておく必要があります。

具体的には、①取得目的及び利用方法を通知したり、店舗入り口に貼りだしたりすることで顧客に認識させることや、②情報アクセスにはパスワードが必要にしたうえで、一定期間経過後には削除するなどという方針を決定しておくことが必要になります。

1 個人情報とは

そもそも、法的に保護される個人情報とは、生存する個人に関する情報であって、氏名や生年月日等により特定の個人を識別することができるものをいい、他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものも含むとされています。

すなわち、例えば防犯カメラに顔が映っていれば、（個人を識別できるため）原則として個人情報に該当すると考えられますし、顔が映っていないとしても、情報を照合することで個人を識別できるようなものが含まれればそれも個人情報に該当しうるということになります。映像は、視覚的情報を大量に含みますので、個人情報を含むことが必然的に多くなると考えられます。

個人情報に該当する場合、個人情報保護法上の規制が及ぶことになりますので、取得の方法や情報の管理について留意が必要です。

2 ①個人情報の取得と利用目的の明示

個人情報保護法上、個人情報の取得時には、当該個人情報の利用目的を明示することが必要になります。これは、個人情報を提供する側が、意図しない目的に個人情報を利用させることを防ぐことを目的としています。

例えば、Webサービスに入会する際、個人情報を入力した後に個人情報の使用について同意したことがある人は多いでしょう。特定のページを通過するなどが想定される場合、利用者に情報の取得を認識してもらい、同意を得ることは比較的容易です。他方で、防犯カメラの場合には、利用者が個人情報を取得されているという意識が希薄であることや、防犯カメラ自体に個人情報取得の目的を書いておくことは現実的でないのは明らかです。

そこで、防犯カメラにおける利用目的の明示は、通知・公表することで行うことが個人情報保護法において認められています。個別の顧客に対して通知を行うことはせずとも、例えばインターネット上でプライバシーポリシーとして掲載しておく方法でも代替することができます。

しかし、ホームページで掲載をしていたとしても、実店舗を営んでいる場合には店舗に来ている顧客がプライバシーポリシーを確認しているかはわかりません。そこで、実店舗を営んでいる場合には、例えば店舗の入り口に同様の内容を記載したポスターを掲示しておくなど、実店舗を訪れた顧客が確認する機会を提供することが望ましいと考えられます。事実、防犯カメラは対象とはされていないものの、「カメラ画像利活用ガイドブックver.2.0」（経済産業省）においても、可能な限り事前告知に配慮することが求められており、情報を取得される者が利用目的に関する情報を得る機会を確保するようにすることを求めています。

また、近年では情報分析手法の多様化などに伴い、カメラでの撮影は防犯のみではなく顧客の行動分析・マーケティングなどにも利用されることがあります。これは、上記の利用目的に含まれるものですので、防犯目的に加えて、行動分析等が目的に含まれることを明示する必要があります。

なお、利用目的が追加される場合、その旨を明示する前に取得した過去の映像については、追加された利用目的との関係で使用することはできませんので留意を要します。

3 ②取得した映像・画像の管理

個人情報保護法において、取得した個人情報について必要かつ適正な措置を講じることで、第三者への漏洩などが生じないように組織的、人的、物理的および技術的な措置をとる必要があるとされています。

組織的・人的な措置としては、例えば、当然当該情報を処理する人員の数が多ければ多いほど情報漏洩の危険性が高まるのは明らかですので、パスワードやアクセス制限等を貸すことが考えられます。

また、物理的・技術的な措置としては、管理する必要のある情報が多ければ多いだけ管理のコストはかかります。そのため、一定期間が経過した場合（例えば1ヶ月など）に、当該映像データは破棄するなどと定めておくことが考えられます。

4 個人情報とプライバシー

個人情報保護法が保護の対象としているのは、上記の通り「個人情報」であり、その規制は個人情報の取得方法と管理方法にあります。

プライバシーという言葉は、個人情報と混同して使用されることがありますが、個人情報保護法はプライバシーを直接的に保護しているわけではありません。

プライバシーという言葉には法的には定義がありませんので、文脈により細かな意味は異なりますが、一般的に個人情報よりも広い意味で使用されます。すなわち、個人を特定することに関連しない、個人情報に該当しないような情報であっても、人によっては他人に知られたくない情報であると感じる情報がプライバシーという言葉に包含されることが多いのです。

言葉の意味が異なることもあり、企業としては個人情報を適切に管理していたとしても、上記の個人情報に含まれない「プライバシー」という情報によって顧客と紛争になることがあります。

そういった意味で、必ずしも個人情報に含まれない情報であっても、顧客の意思等を尊重しつつ、プライバシーにも配慮をして情報の管理を行うことが肝要です。