資料2

顔識別機能付き防犯カメラの利用に関する法的整理と検討課題

令和4年1月28日※条文番号、ガイドライン及びQAは令和4年4月1日時点のもの
また、QA中の条文番号は令和4年4月1日時点のものである

Ⅰ.本検討会の概要
1. 本検討会の目的
 顔識別機能付きカメラの高性能化及び低価格化により、事業者が犯罪予防や安全確保のため容易に顔識別機能付きカメラを利用することが可能になった。
 顔識別機能付きカメラは犯罪予防の観点からは有効であるが、遠隔で個人を識別できるという技術的特性上、受忍限度を超える個人のプライバシー侵害を生じさせるリスクをはらむ。
 犯罪予防や安全確保のためのカメラ画像の利用については、国内外で適切な利用の在り方が模索されている。
 本検討会では、公共空間における犯罪予防や安全確保のためのカメラ画像の適正な利用の在り方について包括的に整理。
2. 本検討会における検討事項
 顔識別システムの利用が有効かつ必要であると考えられる場面
 個人情報保護法に基づいて求められる対応
 事業者の自主的取組として推奨される対応
 その他推奨される取組(認定個人情報保護団体制度の活用等)
1Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等
1.カメラ画像の取得・利用[個人情報]

3.カメラ画像の提供[個人データ](1) 利用目的の特定(法第17条第1項)• 本人が合理的に予測・想定できるように特定(2) 利用目的等の通知・公表(法第21条)及びその他の事項の掲示• カメラ画像の取得主体、内容、利用目的、問い合わせ先等を設置場所等に明示(3) 利用目的の通知・公表の例外(法第21条第4項)(4) 適正取得(法第20条第1項)• 防犯カメラ作動中の掲示(5) 要配慮個人情報の取得(法第20条第2項)(1) 原則同意取得(法第27条第1項)(2) 法第27条第1項例外• 法令に基づく場合• 人の生命、身体又は財産の保護のために必要がある場
合であって、本人の同意を得ることが困難であるとき 他(3) 共同利用(法第27条第5項第3号)• 共同利用される画像を利用目的に照らして真に必要な範囲に限定• 登録条件を整備し犯罪行為等に関わらない者の情報を共有しない(6) 不適正利用の禁止(法第19条)

4.開示等請求[保有個人データ]

2.カメラ画像の保管[個人データ](1) 顔識別システムへ登録する個人データ(法第22条)• 利用目的の達成のために必要最小限の個人データを登録• 登録基準の社内ルールを設定• 客観的に犯罪・迷惑行為が確認される事例に限定• 責任者による登録の必要性と正確性の確認• 保有期間を必要最小限とする(2) 安全管理措置(法第23条)(1) 開示等請求(法第33～35条)• 開示請求• 保有個人データが事実でないときの内容の訂正、追加又は削除の請求• 利用停止等請求(2) 苦情処理(法第40条)
5.認定個人情報保護団体•業界・事業分野ごとの個人情報の保護の推進を図る自主的な取組を行うことを目的とした認定制度

6.事業者の自主的取組み•

PIA、責任者設置、第三者検証、運用状況の公表
2Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等１．カメラ画像の取得・利用[個人情報]

 顔画像や顔識別データは個人情報に該当するため、防犯カメラを用いて顔画像や顔識別データを取得することは、個人情報の取得に当たる。
(1) 利用目的の特定(法第17条第1項)
 個人情報を取り扱う場合は、利用目的をできる限り特定 本人が、自らの個人情報がどのように取り扱われることになるか、利用目的から合理的に予測・想定できるようにしなければならない(通則GL3-1-1)。
 特に、顔識別機能付き防犯カメラを利用する場合は、防犯のために顔識別技術を用いた顔識別データの取扱いが行われることを本人が予測・想定できるように利用目的を特定
Q1-12 店舗に防犯カメラを設置し、撮影したカメラ画像やそこから得られた顔認証データを防犯目的で利用することを考えています。個人情報保護法との関係で、どのような措置を講ずる必要がありますか。
A1-12 本人を判別可能なカメラ画像やそこから得られた顔認証データを取り扱う場合、個人情報の利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像や顔認証データを利用しなければなりません。また、個人情報の利用目的をあらかじめ公表するか、又は個人情報の取得後速やかに本人に通知若しくは公表する必要があります。
具体的には、店舗に設置した防犯カメラによりカメラ画像を取得し、そこから顔認証データを抽出してこれを防犯目的で利用する場合、本人においてかかる取扱いが行われるとは合理的に予測・想定できないと考えられ、また、顔認証データはマーケティング等他の目的にも利用され得る個人情報であることから、防犯のためにカメラ画像及び顔認証技術を用いた顔認証データの取扱いが行われることを本人が予測・想定できるように利用目的を特定し、これをあらかじめ公表又はその取得後速やかに通知・公表する必要があると考えられます。

3

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

１．カメラ画像の取得・利用[個人情報](2) 利用目的の通知・公表(法第21条第1項)及びその他の事項の掲示
 前頁で特定した顔識別機能付き防犯カメラの利用目的に加え、カメラ画像の取得主体、内容、問い合わせ先等を設置場所等に明示するか、これらを掲載したWEBサイトのURL又はQRコードを示すことが考えられる。
A1-12 店舗に設置した防犯カメラによりカメラ画像を取得し、そこから顔認証データを抽出してこれを防犯目的で利用する場合、…防犯のためにカメラ画像及び顔認証技術を用いた顔認証データの取扱いが行われることを本人が予測・想定できるように利用目的を特定し、これをあらかじめ公表又はその取得後速やかに通知・公表する必要があると考えられます。
カメラ画像の取得主体、カメラ画像の内容、カメラ画像及び顔認証データの利用目的、問い合わせ先等を本人が確認できるよう、これらを店舗の入口や設置場所等に明示するか、又は、これらを掲載した WEB サイトの URL 又は QR コード等を示すことが考えられます。

4

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

１．カメラ画像の取得・利用[個人情報](3) 利用目的の通知・公表の例外に該当し通知・公表が不要な場合(法第21条第4項)
 以下の場合等は利用目的の通知・公表が不要となる。
法第21条第4項① 利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合② 利用目的を本人に通知し、又は公表することにより当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合③ 国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。
④ 取得の状況からみて利用目的が明らかであると認められる場合(※)※顔識別データを取り扱わない従来型の防犯カメラの場合「取得の状況からみて利用目的が明らか」(法第21条第4項第4号)であるから利用目的の通知・公表は不要と考えられるが、この場合であっても防犯カメラが作動中であることを設置場所等に掲示する等、防犯カメラにより自らの個人情報が取得されていることを本人において容易に認識可能とするための措置を講ずることが望ましい。

(4) 適正取得(法第20条第1項)
 顔識別機能付き防犯カメラにより取得する顔画像
 自らの個人情報が取得されていることを容易に認識できるよう防犯カメラが作動中であることを掲示する必要がある。
A1-12（店舗に設置した防犯カメラによりカメラ画像を取得し、そこから顔認証データを抽出してこれを防犯目的で利用する場合、）…防犯カメラが作動中であることを店舗の入口や設置場所等に掲示する等、防犯カメラにより自らの個人情報が取得されていることを本人において容易に認識可能とするための措置を講ずる必要があります。
5

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

1．カメラ画像の取得・利用[個人情報](5) 要配慮個人情報の取得(法第20条第2項)
 本人を被疑者又は被告人として、逮捕、捜索、差押え、勾留、公訴の提起その他の刑事事件に関する手続が行われたこと等は要配慮個人情報に当たる(法第2条第3項、施行令第2条第4号)。
 防犯カメラの映像等に犯罪行為が疑われる映像が映ったのみでは要配慮個人情報に該当しない。
Q1-31 ある人の犯罪行為を撮影した防犯カメラ映像は、要配慮個人情報に該当しますか。
A1-31 単に防犯カメラの映像等で、犯罪行為が疑われる映像が映ったのみでは、犯罪の経歴にも刑事事件に関する手続が行われたことにも当たらないため、要配慮個人情報に該当しません。

 要配慮個人情報を取得する場合、原則として本人の同意が必要だが、以下の場合は例外として本人の同意なく取得ができる 。
法第20条第2項① 法令に基づく場合② 人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。
③ 公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。
④ 国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。
⑤ 当該個人情報取扱事業者が学術研究機関等である場合であって、当該要配慮個人情報を学術研究目的で取り扱う必要があるとき（当該要配慮個人情報を取り扱う目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）。
⑥ 学術研究機関等から当該要配慮個人情報を取得する場合であって、当該要配慮個人情報を学術研究目的で取得する必要があるとき（当該要配慮個人情報を取得する目的の一部が学術研究目的である場合を含み、個人の権利利益を不当に侵害するおそれがある場合を除く。）（当該個人情報取扱事業者と当該学術研究機関等が共同して学術研究を行う場合に限る。）。
⑦ 当該要配慮個人情報が、本人、国の機関、地方公共団体、学術研究機関等、第57条第1項各号に掲げる者その他個人情報保護委員会規則で定める者により公開されている場合⑧ その他前各号に掲げる場合に準ずるものとして政令で定める場合
施行令第9条 法第20条第2項第8号の政令で定める場合は、次に掲げる場合とする。
① 本人を目視し、又は撮影することにより、その外形上明らかな要配慮個人情報を取得する場合② 法第27条第5項各号（法第41条第6項の規定により読み替えて適用する場合及び法第42条第2項において読み替えて準用する場合を含む。）に掲げる場合において、個人データである要配慮個人情報の提供を受けるとき。

6

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

1．カメラ画像の取得・利用[個人情報](6) 不適正利用の禁止(法第19条) (令和2年改正で新設(令和4年4月1日施行))
 防犯カメラにより取得した個人情報を違法又は不当な行為を助長し、又は誘発するおそれがある方法により利用することの禁止。
 違法又は不当な行為
 個人情報保護法その他の法令に違反する行為
 直ちに違法とはいえないものの個人情報保護法その他の法令の制度趣旨又は公序良俗に反する等、社会通念上適正とは認められない行為
 助長し、又は誘発するおそれ 「おそれ」の有無は、個人情報取扱事業者による個人情報の利用が、違法又は不当な行為を助長又は誘発することについて、社会通念上蓋然性が認められるか否かにより判断される。
 この判断に当たっては、個人情報の利用方法等の客観的な事情に加えて、個人情報の利用時点における個人情報取扱事業者の認識及び予見可能性も踏まえる必要がある。

7

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

2．カメラ画像の保管[個人データ]

 カメラ画像や顔識別データを体系的に構成して個人情報データベース等を構築した場合、個々のカメラ画像や顔識別データを含む情報は個人データに該当する(1) 顔識別システムへ登録する個人データ(法第22条関連)
 利用目的の達成のために必要最小限の範囲内とする
 登録基準について社内ルールを設定
 誤登録を防ぐため客観的に犯罪・迷惑行為が確認されるケースに限定する
 責任者による登録の必要性と正確性が確認される体制を整える
 利用する必要がある最小限の期間を保存期間として設定する
Q1-15 防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入しようとする場合にどのような注意が必要とされますか。
A1-15 …防犯目的のために、万引き・窃盗等の犯罪行為や迷惑行為に対象を限定した上で、顔認証システムを導入して顔認証データを含む個人データを用いようとする場合には、特定された利用目的の達成のために必要最小限の範囲内において顔認証システムへの登録を行い、個人データを正確かつ最新の内容に保つ必要があります。
具体的には、各事業者においてどのような基準でデータベースに登録するか社内ルールを設定し、誤登録等を防ぐための適切な措置として、例えば被害届の有無により判断を行うなど客観的に犯罪・迷惑行為が確認されるケース等に限定するとともに、事業者内で責任を有する者により登録の必要性と正確性について確認が行われる体制を整えること等が重要です。
Q5-4 防犯カメラにおけるカメラ画像や顔認証データなどの個人データの保有期間についてはどのように考えれば良いですか。
A5-4 個人情報取扱事業者は法第 22 条に基づき個人データをその利用目的を達成する範囲内において保有することとされており、その保有期間については、利用する必要がある最小限の期間とする必要があります。
個人情報取扱事業者は、利用目的の達成に必要な範囲内において、保存期間の設定等を行う必要があります。
8

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

2．カメラ画像の保管[個人データ](2) 安全管理措置(法第23条)
 個人データが漏えい等をした場合に本人が被る権利利益の侵害の大きさを考慮し、事業の規模及び性質、個人データの取扱状況(取り扱う個人データの性質及び量を含む。)、個人データを記録した媒体の性質等に起因するリスクに応じて、必要かつ適切な内容としなければならない。

 カメラ画像が個人データでなくとも画像が漏えい等することがないよう適切に取り扱うことが望ましい。
 カメラ画像及び顔識別データの取扱いを委託する場合、委託先に対し法第23条に基づき自らが講ずべき安全管理措置と同等の措置が講じられるよう監督を行わなければならない(通則GL34-4)。

9

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

2．カメラ画像の保管[個人データ]

Q10-8 防犯カメラを設置して個人データを取り扱う場合には、安全管理措置として特にどのような点に注意すれば良いですか。
A10-8 個人情報取扱事業者は法第 23 条に基づき個人データについて安全管理措置を講ずることが義務付けられています。カメラ画像や顔認証データなどの個人データについては、当該個人データの漏えい、滅失又は毀損の防止その他の安全管理のために必要かつ適切な措置を講じる必要があり、具体的には組織的安全管理措置、人的安全管理措置、物理的安全管理措置、技術的安全管理措置として、例えば以下のような措置が考えられます。
①組織的安全管理措置：カメラ画像等を取り扱う情報システムを使用できる従業者を限定、事業者内の責任者を定める、管理者及び情報の取扱いに関する規程等を整備する 等②人的安全管理措置：従業者に対する適切な研修（個人情報保護法の適用範囲・義務規定、カメラ画像の取扱いに関する講義等）等を実施する 等③物理的安全管理措置：カメラ及び画像データを保存する電子媒体等の盗難又は紛失等を防止するために、設置場所に応じた適切な安全管理を行う 等④技術的安全管理措置：情報システムを使用してカメラ画像等を取り扱う場合や、IP カメラ（ネットワークカメラ、WEB カメラ）のようにネットワークを介してカメラ画像等を取り扱う場合に、必要とされる当該システムへの技術的なアクセス制御や漏えい防止策等を講ずる（アクセス制御には適切な場合にはパスワード設定等の措置も含む。）
等
なお、カメラ画像がデータベースを構築していない場合には、個人データとして法第 23条の安全管理措置を講ずる義務が直接適用される対象ではないものの、当該画像が漏えい等することがないよう、上記の各種安全管理措置を参考として適切に取り扱うことが望ましいと考えられます。

10

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

3．カメラ画像の提供[個人データ](1) 同意取得(法第27条第1項)
 個人データであるカメラ画像を第三者に提供するには原則本人の同意が必要。
(2) 法第27条第1項例外
 以下の場合等は本人の同意なく個人データの第三者提供ができる。
① 「法令に基づく場合」
 警察の捜査関係事項照会に対応する場合
 裁判官の発する令状に基づく捜査に対応する場合 等(通則GL3-1-5)② 「人の生命、身体又は財産の保護のために必要がある場合であって、本人の同意を得ることが困難であるとき。」
 事業者間において、暴力団等の反社会的勢力情報、振り込め詐欺に利用された口座に関する情報、意図的に業務妨害を行う者の情報について共有する場合 等(通則GL3-15)③ 「公衆衛生の向上又は児童の健全な育成の推進のために特に必要がある場合であって、本人の同意を得ることが困難であるとき。」④ 「国の機関若しくは地方公共団体又はその委託を受けた者が法令の定める事務を遂行することに対して協力する必要がある場合であって、本人の同意を得ることにより当該事務の遂行に支障を及ぼすおそれがあるとき。」(※) 学術研究機関等に関する第5号～第7号は省略

11

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

3．カメラ画像の提供[個人データ](3) 共同利用(法第27条第5項第3号)
 共同利用によりカメラ画像を本人の同意なく提供することができる。
 一定の事項を本人に通知又は容易に知り得る状態に置く必要がある。
 共同利用されるカメラ画像・顔識別データ、共同利用する者の範囲は目的の達成に照らして真に必要な範囲に限定
 データベースへの登録条件を整備し犯罪行為等に関わらない者の情報は登録・共有しない
Q7-50 防犯目的のために取得したカメラ画像・顔認証データ等について、防犯目的の達成に照らして真に必要な範囲内で共同利用をすることは可能ですか。その場合には、どのような点に注意する必要がありますか。
A7-50 一般に個人データを共同利用しようとする場合には、法第 27 条第５項第３号に基づき、①共同利用をする旨、②共同して利用される個人データの項目、③共同して利用する者の範囲、④利用する者の利用目的、⑤当該個人データの管理について責任を有する者の氏名又は名称及び住所並びに法人にあっては、その代表者の氏名をあらかじめ本人に通知又は容易に知りうる状態に置く必要があります。
防犯目的のために取得したカメラ画像・顔認証データを共同利用しようとする場合には、共同利用されるカメラ画像・顔認証データ、共同利用する者の範囲を目的の達成に照らして真に必要な範囲に限定することが適切であると考えられます。
防犯目的の達成に照らし、共同利用される個人データを必要な範囲に限定することを確保する観点からは、例えば共同利用するデータベースへの登録条件を整備して犯罪行為や迷惑行為に関わらない者の情報については登録・共有しないことが必要です。
また、共同利用は、本人から見て、当該個人データを提供する事業者と一体のものとして取り扱われることに合理性がある範囲で当該個人データを共同して利用することを認める制度です。このため、共同利用する者の範囲は、本人がどの事業者まで現在あるいは将来利用されるか判断できる程度に明確にする必要があります。
さらに、個人データの開示等の請求及び苦情を受け付けその処理に尽力するとともに個人データの内容等について開示、訂正、利用停止等の権限を有し安全管理等個人データの管理について責任を有する管理責任者を明確に定めて、必要な対応を行うことが求められます。

12

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

4．開示等請求[保有個人データ]

 開示等請求に応じる権限を有する個人データを保有個人データという。
(1) 開示等請求(法第33条～法第35条)
 以下に応じる義務がある。
 開示請求(法第33条)
 保有個人データが事実でないときの内容の訂正、追加又は削除の請求(法第34条)
 法違反の場合（目的外利用、不適正利用、不正取得、第三者提供義務違反）、利用する必要がなくなった場合、漏えい等報告の報告対象事態が生じた場合、その他本人の権利又は正当な利益が(※下線部は令和2年改正法に害されるおそれがある場合の利用停止等請求(法第35条)(※)
より追加(令和4年4月1日施行))
 ただし、以下に当たる場合は開示等請求に応じる義務がない。
【保有個人データに該当しない場合(施行令第5条)】① 当該個人データの存否が明らかになることにより、本人又は第三者の生命、身体又は財産に危害が及ぶおそれがあるもの② 当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの③ 当該個人データの存否が明らかになることにより、国の安全が害されるおそれ、他国若しくは国際機関との信頼関係が損なわれるおそれ又は他国若しくは国際機関との交渉上不利益を被るおそれがあるもの④ 当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの【全部または一部を開示しないことができる場合(法第33条第2項)】① 本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合② 当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれがある場合③ 他の法令に違反することとなる場合(2) 苦情処理(法第40条)
 個人情報の取扱いに関する苦情の適切かつ迅速な処理に努めなければならない。
13

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

5．認定個人情報保護団体

 事業者における個人情報等の適正な取扱いについて、民間の主体的取組を促進するために設けられた認定制度。
 対象事業者の個人情報等の適正な取扱いの確保を目的として、個人情報保護法の趣旨に沿った自主的なルールとして個人情報保護指針を作成し、対象事業者に情報提供や指導等を行い、対象事業者による個人情報等の適正な取扱いを促進する。
 また公正な第三者としての立場から、対象事業者の個人情報等の取扱いに関する消費者からの苦情に、簡易・迅速に対応する。
 令和2年改正法により企業単位だけでなく企業の特定部門を対象とした団体も認定可能に。

認定個人情報保護団体の役割
業界特性等に応じた自主ルール（個人情報保護指針）を作成するよう努める義務

情報提供
指導・勧告

国認定

対象事業者の個人情報の取扱いに関する苦情を処理する義務

認定個人情報保護団体（民間団体）
漏えい等事案
対象事業者の報告*
への苦情

対象事業者
*令和4年4月から認定団体の自主的取組へ変更

苦情処理

消費者
14

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等(参考)認定個人情報保護団体（41団体）
団体名称

対象事業者とする者の事業分野※令和４年１月現在
対象事業者とする者の事業分野

団体名称

一般社団法人 全国警備業協会

警備業

一般社団法人 全日本ギフト用品協会

ギフト用品に関する事業

一般社団法人 全日本指定自動車教習所協会連合会

指定自動車教習所業

一般社団法人 日本クレジット協会

クレジット事業日本証券業協会

証券業

公益社団法人 東京グラフィックサービス工業会印刷・グラフィックサービス工業

一般社団法人 生命保険協会

保険業

一般社団法人 日本専門店協会

小売業

一般社団法人 日本損害保険協会

保険業

一般社団法人ＪＡＰＨＩＣマーク認証機構

全般

一般社団法人 外国損害保険協会

保険業

公益社団法人 日本消費生活アドバイザー・コンサルタント・相談員協会

全般

全国銀行個人情報保護協議会

銀行業

一般社団法人 結婚相談業サポート協会

結婚情報サービス業

一般社団法人 信託協会

信託業

一般社団法人 日本結婚相手紹介サービス協議会

結婚情報サービス業

一般社団法人 投資信託協会

投資信託委託業及び投資法
人資産運用業株式会社ＩＢＪ(日本結婚相談所連盟)

結婚情報サービス業

一般社団法人 日本投資顧問業協会

投資運用業及び投資助言・代理業

大阪毎日新聞販売店事業協同組合

新聞販売業

日本貸金業協会

貸金業

ＪＥＣＩＡ 個人情報保護協会

葬祭業

一般社団法人 金融先物取引業協会

金融先物取引業

全国こころの会葬祭事業協同組合

葬祭業

一般財団法人 放送セキュリティセンター

放送

一般社団法人 医療データベース協会

医療一般財団法人 日本データ通信協会

電気通信事業

一般社団法人 全国自動車標板協議会

自動車登録番号標交付代行業

一般財団法人 日本情報経済社会推進協会

全般

一般社団法人 中小企業個人情報セキュリティー推進協会

全般

日本製薬団体連合会

製薬業

一般社団法人 モバイル・コンテンツ・フォーラム

モバイルコンテンツ関連事業

公益社団法人 全日本病院協会

医療公益社団法人 日本通信販売協会

通信販売業

特定非営利活動法人 医療ネットワーク支援センター

医療・介護

一般社団法人 日本情報システム・ユーザー協会

全般

一般社団法人 国際情報セキュリティーマネジメント研究所

医療工業会 日本万引防止システム協会

セキュリティシステム業

特定非営利活動法人 日本手技療法協会

手技療法

特定非営利活動法人 全国万引犯罪防止機構

全般

一般社団法人 日本個人情報管理協会

全般

15

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等(参考)認定個人情報保護団体制度にかかる令和2年改正法の概要
 認定団体制度について、個人情報を用いた業務実態の多様化やIT技術の進展を踏まえ、企業の特定分野(部門)を対象とする団体を認定できるようにする。
現 行

改正後団体を認定し、自主ルールに基づく企業単位での個人情報全般（企業のすべての分野（部門）が対象）の適正な取扱いを促す（法第47条第1項）

現行制度に加え、企業の特定分野(部門)を対象とする団体を認定できるようにする（法第47条第2項）

○○業協会
（金融系）

××業協会
（通信系）

A銀行（すべての部門）

X会社（すべての部門）

B証券（すべての部門）

Y産業（すべての部門）

C金融（すべての部門）

Z興業（すべての部門）

・・・

・・・

現行、例えば、認定団体は対象となる企業のすべての分野の苦情に対応する必要。

○×協会
A銀行 （広報部門）
X会社 （広報部門）
K電気 （広報部門）
N百貨店（広報部門）
・・・
特定分野での認定を受けることにより、分野ごとのより高い水準の個人情報保護の推進に資する。

16

Ⅱ.顔識別機能付きカメラの利用に関する個人情報保護法の規律等

6．事業者の自主的取組み

 個人情報保護法は、一般法であるという法の性格上必要最小限度の規律であることから、顔識別機能付きカメラの利用においては、透明性を確保し本人からの信頼を得るため、個人情報保護法だけでなく、取り扱う個人情報の性質、利用方法、取扱いの実態等に即した、より高い水準の自主的な取組が求められる。
 自主的な取り組みの例(1)PIAの実施
 PIA(Privacy Impact Assessment、個人情報保護評価)とは、個人情報等の収集を伴う事業の開始や変更の際に、プライバシー等の個人の権利利益の侵害リスクを低減・回避するために、事前に影響を評価するリスク管理手法
 個人情報保護委員会は、令和3年6月、「PIAの取組の促進について―PIAの意義と実施手順に沿った留意点―」を公表し、PIAの意義や手順を示しPIAの促進を行っている。
(2)個人データの取扱に関する責任者の設置
 個人データの取扱いに関する責任者の設置については、体制整備の一環として、個人情報の取扱いに関して、部署横断的・専門的な立場から各部署・従業員の指導・監督等を行うことは有効(令和元年12月13日「個人情報保護法いわゆる３年ごと見直し制度改正大綱」)(3)第三者による検証
 多様なステークホルダーを含む外部からの監査等(4)運用状況の公表
 透明性レポート 捜査機関からの情報提供要請への対応方針及び対応件数等を公表する
 顔識別機能付きカメラの導入による効果
 利用目的への効果を公表する17

Ⅲ.今後の検討課題（案）1. カメラ画像の取得・利用••

顔識別機能付きカメラの利用目的の特定の在り方
セキュリティの確保とのバランスを考慮しながら、
 公共空間で顔識別機能付きカメラを利用する場合の利用目的等の通知・公表の在り方
 登録基準や取得方法、運用ルールその他の事項に関する透明性確保の在り方 利用目的の通知・公表が不要である場合に透明性確保の観点から考えられる対応 等

2. カメラ画像の保管••登録基準、運用ルールとして定めておくべき事項
安全管理措置の在り方 等

3. カメラ画像の提供••

法第27条第1項例外に基づき第三者提供を行う場合の考え方や透明性確保の観点から考えられる対応
共同利用により提供する場合の留意事項 等

4. 開示等請求••

開示等請求への対応方法
苦情及び本人からの問い合わせへの対応方法 等

5. 認定個人情報保護団体•

顔識別機能付きカメラの利用に関し認定個人情報保護団体に求められる活動 等

6. 事業者の自主的取組•

PIA実施、個人データの取扱に関する責任者の設置、第三者による検証、運用状況の公表 等

7. その他•国民の理解を得るための周知、情報発信 等

18