|
電子情報通信学会 - IEICE会誌 試し読みサイト
© Copyright IEICE. All rights reserved.
|
|
|
電子情報通信学会 - IEICE会誌 試し読みサイト
© Copyright IEICE. All rights reserved.
|
解説
カメラ映像を学術研究で利用するためのプライバシーを考慮したガイドラインについて
About Privacy Guidelines for Using Camera Images in Academic Research
abstract
カメラを利用して映像を取得し，学術研究に利用する際，データ主体となる被撮影者に対し撮影データの利用目的等を通知・公表することが法的，倫理的に求められる．筆者らは，このような通知・公表に用いることを目的としたプライバシーポリシーのひな形を作成した．更に，近時プライバシーポリシーの実効性には疑問が持たれていることから，カメラの撮影場所に掲出するポスター及び研究概要等を簡潔に示すWebサイトの例も同時に作成した．本稿ではこれらについて解説を行った．
キーワード：プライバシーポリシー，個人情報保護，情報法，情報と倫理
学術研究においてカメラで撮影された映像を利用する際，我が国の個人情報保護法制を遵守する必要がある．また「情報を利活用する企業や団体が個人に関する情報を適切な範囲で利活用していることや情報の持ち主が同意した利用目的以外で利用しないと『信頼』できること」の重要性が増しており（文献(１)，pp.267-268），単に法的な義務を果たすだけでなく，撮影される者（データ主体）に対する倫理的義務も果たす必要がある．
個人情報保護法の規定では，個人情報を取得する際には利用目的を特定した上で（個人情報保護法（以下，個情法）15条）個人情報を取得している旨を事前に公表あるいは通知している必要がある（個情法18条）とされている．また，政府の施策としてカメラの利用のユースケースを基にいかにプライバシーに配慮してカメラ画像を利活用するかという観点から，IoT推進コンソーシアムによる「カメラ画像利活用ガイドブック」が2017年から発行されており，2018年にはそのver2.0が発行されている．
他方で，データ主体に対して利用目的を通知または公表する手段としては一般にプライバシーポリシーが利用されるが，プライバシーポリシーは可読性が低い．このような手段を基にデータ主体の自由意思による選択（通知―選択アプローチ）のみに通知・公表を委ねることを批判し，代替手段の検討や「同意」を確保するための規制強化の検討を行う研究が国内外で散見されるようになってきた（文献(２)～(４)等）．
政策的にも，通知―選択アプローチからの前進が見られる．大きなものとしてはEUの一般データ保護規則（GDPR: General Data Protection Regulation）は同意に関して規制強化がなされており，適法なデータの利用にはデータ主体の同意が必要としている．日本では経済産業省「パーソナルデータ利活用ビジネスの促進に向けた，消費者向け情報提供・説明の充実のための『評価基準』と『事前相談評価』の在り方について」においてプライバシーポリシーのデザインによる分かりやすさの重要性が挙げられている．2019年には，前述のカメラ利活用ガイドブックver2.0に付随する文書として，特に「事前告知」，「通知」について評価すべき事例及びコミュニケーション上の工夫について紹介する「カメラ画像利活用ガイドブック 事前告知・通知に関する参考事例集」(注1)（以下，事例集）が発行されている．
筆者らはこのような制度的及び倫理的背景を鑑み，カメラを利用した研究プロジェクト遂行時の適切な通知手段として，プライバシーポリシーのテンプレートと，付随して実験時に掲出する視認性の高い張り紙及びWebサイトのひな形を作成した．本稿ではこのプライバシーポリシーについて解説する．なお，当該プライバシーポリシーは，脚注掲載のURLにて入手することができる(注2)．
それでは，実際に作成したプライバシーポリシーについて解説を行っていこう．
本プライバシーポリシーは，■撮影実施場所（○○駅，○○病院，○○県内）■において実施する■何々（研究を簡潔に説明する文言）のための■研究（以下，「本研究」という）及び本研究に関する撮影（以下，「撮影」という）に関して，実施主体である■（組織名）○○大学，○○研究所■（以下，実施主体という）が遵守する事項を定めることにより，被撮影者のプライバシー等の権利及び法律上の利益を保護することを目的とします．
本条の目的は，個情法15条1項に定められる「個人情報の利用目的の特定」を基に，個人情報を扱う目的を当該研究における範囲に定め，本プライバシーポリシーに基づいて扱うことを宣言することにある．ここで実施主体とは，例えば企業との共同研究の場合にはその企業も含む全ての研究を行う主体全体のことを指す．
本プライバシーポリシーにおける用語の定義は，本条次項以降に定めるものを除き，■法令名■の定めるところによります．
2 本プライバシーポリシーにおいて「撮影データ」とは，本研究においてカメラにより撮影された特定個人を識別できる画像データのことをいいます．
3 本プライバシーポリシーにおいて「特徴量データ」とは，撮影データを解析して抽出した，特定個人を識別できるデータのことをいいます．
4 本プライバシーポリシーにおいて「属性データ」とは，データ又は特徴量データから被撮影者の性別，年代，体格等の属性を抽出したデータであって，特定の個人を識別できないデータのことをいいます．
本条は対象となる範囲の個人情報について，個情法2条を始めとする関連法規の定義に関する規定を参考に定めたものである．
2条1項の目的は，本プライバシーポリシーにおいて用いられる用語の定義が個人情報保護法をはじめとする関連法令に従うことを宣言することにある．
2条2項で定める撮影データは，個情法2条の個人情報の定義等を念頭に，カメラで撮影された個人データについて定義したものである．個情法2条では，個人情報を生存する個人の情報であって，特定個人識別性があるものあるいは容易に照合することで特定個人識別可能となるもの（個情法2条1項1号）または個人識別符号が含まれるものとしている．（なお，国立大学等が対象となる独立行政法人個人情報保護法等の定義では「容易に」という要件が外れているが，カメラで撮影されるデータの特徴を鑑み照合性に関する規定を設けていない．）個人識別符号とは，個人を識別できる「個人の身体の一部の特徴を電子計算機の用に供するために変換した」符号か個人に割り当てられる文字や番号の符号とされている．容貌や歩容といったカメラで記録されるデータの中で特定の個人を識別可能なものはこれに該当する．2条3項に定める特徴量データは，この個人識別符号の定義に含まれるもので，特に本プライバシーポリシーの目的において重要な概念であるため特別に定義している．
2条4項に定める属性データとは，個情法2条9項における匿名加工情報や独立行政法人個人情報保護法2条8項における非識別加工情報を念頭に定義される等，特定個人識別性を取り除く加工した情報について定義したものである．
本研究では，被撮影者の■撮影される個人情報の項目（顔画像，歩容，等）■が含まれる撮影データを取得します．
3条は研究で取得される撮影データにはどのような個人識別符号が含まれるのかを具体的に示す条項である．ここでは，研究で必要な情報に限らず，撮影で取得される全ての情報を示す．
本研究は，■技術の具体例（性別，年齢，歩容，グループなどの情報を自動的に取得する，等）■技術を開発することによって，■公益の具体例（混雑緩和，災害時の避難誘導支援，マーケティング支援による経済活動の効率化，等）■に資することを目的とします．
ここでは，カメラによって取得する撮影データの利用目的を明確化している．特定の「技術を開発すること」が目的の文言として定められているのは，当該研究において取得されたデータを用いることで，具体的にいかなる技術的発展に寄与するのかデータ主体に説明するためである．例えば研究プロジェクト全体の究極的な目的が若手研究者の育成という点にあったとしても，それはデータ取得のための目的とはならない．
個情法15条1項では，利用目的はできる限り特定しなければならないとされているが，どこまで具体的に特定すべきかは「個人情報の種類・性質，個人情報取扱事業者の事業の種類・性質によって異な」るとされ（文献(５)，p.131），一概に定義されているわけではない．宇賀(5)はその上で「法人の目的と照らし合わせて，本人が自分の個人情報の利用結果を合理的に予測しうる程度の具体性」が求められるとする．この観点から，上記のような具体的な技術的に貢献することを明記する文言となっている．
また，法令の規定上はデータ主体や社会に対する便益を説明する義務はないが，データ主体にとってデータ取得を伴う研究がいかなる便益のために行われるのかを説明することは当該実施主体に対する信頼に影響するため，条項に加えている．
実施主体は，■どこどこ（カメラの設置場所．多数に及ぶ場合は，別紙に記載の旨）に■カメラを設置し，当該カメラの設置場所付近を通過する人を撮影します．
ここでは，データ主体にカメラの設置場所を明示する．また，設置するカメラが複数に及ぶ場合，可読性の観点から別紙に具体的な場所を記載することを定めている．
実施主体は，本研究の実施にあたり，個人情報の取得等が第4条所定の目的を達成するため必要最小限のものとなるよう配慮し，かつ本研究により取得した個人情報の漏洩，意図しない滅失またはき損の防止その他個人情報を安全に管理するため，■大学など実施主体が定める個人情報保護規則■に基づいた管理体制のもとで安全管理措置を講じます．
2 実施主体は，管理体制としてデータ収集管理責任者を定めます．
ここでは，実施主体の果たすべき義務を宣言している．注意すべきは，1条と同様に，実施主体が複数に及ぶ場合は，その全てに同様の義務がかかるという点である．本条は，特に個情法16条の利用目的の制限及び20条の安全管理措置を念頭においたものであるが，具体的な管理体制などの手立てについては，その実施主体自身の定める規則（大学の個人情報保護規則等）に依存している．
2項では，実施主体の中からデータ収集管理責任者を定めることとし，実施主体において誰が個人情報の管理に責任を持つのか明確化することを求めている．
データ収集管理責任者は，撮影当日，■場所■に，撮影中である旨，研究題目，実施主体並びに問い合わせ窓口を，少なくとも1枚のポスターを貼付する方法により公示します．
2 データ収集管理責任者は，撮影の少なくとも2週間前より，撮影当日までの間，■場所■において，撮影の実施予定日，研究題目，実施主体及び問い合わせ方法を，少なくとも1枚のポスターの貼付及びウェブサイトによって告知します．
3 データ収集管理責任者は，本研究の実施中及び終了後1年間，本プライバシーポリシー及び本研究の概要を，実施主体の運営するウェブサイト上に掲示します．
ここではデータ収集管理責任者の具体的な義務を定めている．個情法18条では，事前の利用目的の公表ができれば個人の権利利益の保護の観点からは望ましいものの，その義務付けを行うことは事業体への弊害があり，また個人情報保護関連法制の基準たるいわゆるOECD8原則でも求められていないことなどから事前の公表が義務付けられているわけではない（文献(５)，p.148）．しかしながら，研究活動においては研究計画にのっとってデータを取得することや，日常的に利用される公共の場で通行人を撮影することがあることを考慮して事前の公表を行うこととした．具体的にここでは，データ収集管理責任者は，撮影によりデータを取得する旨とともに題目や実施主体，問合せ先の情報を当日（7条1項）及び事前に下記に示すような視認性のあるポスターにて通知することを求めており（7条2項），また本プライバシーポリシーと研究概要を下記に例示したようなWebページにて公表し続けることを求めている（7条3項）．
本研究の撮影データは，実施主体に所属し本研究にかかわる者のみがアクセスできます．
2 実施主体は，本研究により取得した撮影データを本研究の目的達成のために必要最小限の範囲で利用します．
3 実施主体は，他の法令に定める場合を除き，本研究により取得した撮影データ又は特徴量データを第三者に提供しません．
4 実施主体は，本研究により取得された個人情報を，本研究終了後，■具体的な年数■以内に完全に消去します．
5 実施主体は，本研究から得た知見を利用した研究成果の発表又は公開若しくは公表（以下，「学術発表」という）を行うことがあります．その際，撮影データを属性データにするなど匿名化した上で必要最小限の範囲で論文・講演資料の図表として含めることがあります．
本条では，撮影データの管理について，データへのアクセス，利用範囲，第三者提供，保存期間について取り決め，研究成果の公表時における匿名化を宣言している．
1項の「本研究にかかわる者」とは，当該研究の実施主体である．
第三者提供については事前に提供範囲を明確に限定することで，行わないことを明確にしている．
5項は，研究結果の公表時において個人を特定できないように匿名加工をした上で公表することを定めている．個情法36条では，「特定の個人を識別すること及びその作成に用いる個人情報を復元することができないようにするために必要なものとして個人情報保護委員会規則で定める基準に従い，当該個人情報を加工しなければならない」とされ「個人情報の保護に関する法律についてのガイドライン（匿名加工情報編）」ではこの基準について「加工対象となる個人情報が，個人識別符号を含む情報であるときは，当該個人識別符号単体で特定の個人を識別できるため，当該個人識別符号の全部を削除又は他の記述等へ置き換えて，特定の個人を識別できないようにしなければならない」としている．
実施主体は，本プライバシーポリシーに定めるほか，日本国の個人情報の保護に関する法律，独立行政法人等個人情報保護法，各地方自治体の定める条例及び各種ガイドラインを遵守します．
本条は，実施主体が本プライバシーポリシーの遵守を前提としつつ，法令及びガイドラインを遵守する旨を宣言するためのものである．当然ながら実施主体には，プライバシーポリシーを遵守した上で個人情報保護関連の法令を遵守する義務があり，それを明確に宣言することで信頼を醸成するためのものである．
本研究で取得した個人情報の取扱いに関するご意見及びお問い合わせ等については，下記に記載するデータ収集管理責任者まで，■（連絡手段）電話やメールなど■によりご連絡ください．
［お問い合わせ先］
実施主体：（組織名）○○大学，○○研究所
担当部署：（部署）○○研究科，○○センター
データ収集管理責任者：（研究プロジェクトリーダーの名前）○○大学○○学部 教授○○
連絡先：（電話番号やメールアドレスなど）
本条では，当該研究における実施主体及び責任者，連絡先を明記することで，データ主体からの苦情や削除の申請などの問合せ先を明確化している．これは，個情法27条から32条で規定される本人にからの要求及び本人とのコミュニケーションの窓口について考慮したものである．
冒頭で述べたように，情報の取得と利用に関する公表・通知手段はプライバシーポリシーでは不十分である．そこでカメラ設置場所に掲出するポスターのひな形も作成した．
ポスターのひな形は，事前に掲出するもの（図1）と，撮影中掲出するもの（図2）の2種類を作成した．事例集においては「カメラ画像の内容や利用目的を明確に記載するとともに，運営実施主体の名称及び連絡先，生活者に生じるメリット，カメラの設置位置及び撮影範囲，生成又は抽出等したデータの保存期間，生成又は抽出等したデータの概要，生成又は抽出等したデータからの個人特定の可否，第三者提供の可否などを明記する」ことが適切とされており（事例集，p.2），「イラストを活用し，生活者が一目で理解できるような表現に配慮する．また，必要に応じて多言語化に対応する（事例集p.3）」といった例や「実際のカメラの撮影箇所の案内看板などにQRコードやURL等を記載し，Webサイトへ誘導，生活者が詳しく内容を知ることができるようにする（事例集，p.7）」といった例を肯定的に紹介しているが，本ポスター案はこれらの要素が含まれたものとなっている．
ポスターに掲載したQRコードからは，プライバシーポリシーにリンクが張られるのではなく，図3の画面例に準じた研究概要Webページを表示することとした．
これはプライバシーポリシー7条3項の定めに基づいたものであり，また「カメラ画像利活用を行うプロジェクトや実証実験の開始前や開始時に，自社のWebサイトからプレスリリースを行うなど，生活者が，容易に情報にたどりつけるようにする（事例集，p.8）」として事例集でも取り上げられている試みである．このページの目的は，当該研究の目的やカメラの設置場所，記録内容等研究の実施に関する概要情報が端的に分かるように示したものである．更に，問合せ窓口を記載するほか，より詳細なプライバシーポリシーへのリンクも掲載している．
以上のように，カメラを利用したプライバシーポリシーと，付随して掲出するポスター及びWebサイトのひな形を作成した．
ところで，個人情報の取扱いにおいては，EU圏とのデータ移転を含む場合，国内法のみならずGDPRの規定も考慮する必要がある場合がある．GDPRと日本の個人情報保護法制については，2019年1月に相互に個人データの移転を行うことができるだけの十分なデータ保護水準を持つと認められる，いわゆる十分性認定が発効されるに至った．これにより，日本のみに拠点がある場合には日本の個人情報保護法制を遵守していれば，EU圏内にもデータを移転することができる．しかしながら，EU域内に拠点（GDPR 3条）がある場合でその拠点の活動に関連する個人データを取り扱う場合はGDPRの規律対象になる．また，日本のデータ保護基準はEUにより監視され，2年後に再審査となり，我が国の規定に影響を及ぼすかもしれない．冒頭でも述べたとおり，GDPRではデータの取扱いにおいてデータ主体が同意した場合に適法に個人情報を用いることができるという規制強化を行っているため，今後はGDPRの規定における同意概念も意識する必要があるだろう．
(１) 川口嘉奈子，“プライバシー保護のための信頼概念の整理(１)，”信学技報，SITE 2015-75, IA 2015-107, pp.267-272, March 2016．
(２) R. Calo, “Against notice skepticism in privacy (and elsewhare),” NOTRE DAME L. Rev., vol.87, pp.1027-1072, 2012.
(３) 山本龍彦，“インターネット時代の個人情報保護：実効的な告知と国家の両義性を中心に，”慶應法学，no.33, pp.181-219, 2015．
(４) 松前恵環，“個人情報保護法制における「通知・選択アプローチ」の意義と課題：近時の議論動向の分析とIoT環境に即したアプローチの考察，”InfoCom Review, vol.72, pp.30-46, 2019．
(５) 宇賀克也，個人情報保護法の逐条解説［第6版］，有斐閣，2018．
（2019年6月20日受付 2019年7月17日最終受付）
(注1) IoT推進コンソーシアム，経済産業省及び総務省「カメラ画像利活用ガイドブック 事前告知・通知に関する参考事例集」（https://www.meti.go.jp/press/2019/05/20190517001/20190517001-1.pdf）
オープンアクセス以外の記事を読みたい方は、以下のリンクより電子情報通信学会の学会誌の購読もしくは学会に入会登録することで読めるようになります。 また、会員になると豊富な豪華特典が付いてきます。
電子情報通信学会 - IEICE会誌はモバイルでお読みいただけます。
電子情報通信学会 - IEICE会誌アプリをダウンロード
