人流データにおける個人情報の取り扱い

データや情報を取り扱う際には個人情報の問題に留意が必要です。ここでは人流データの取り扱いにおける個人情報保護などについて解説します。データ管理が不安な方やこれから人流データを取り扱う予定の方はぜひチェックして下さい。

個人情報保護とは

個人情報の定義

個人情報といってもその内容はさまざまで、どこまでが保護対象となる情報でどこからが保護対象とならないかの線引きは難しいです。一般的に個人情報とは「生存する個人に関する情報で、その情報に含まれる氏名や生年月日などにより特定の個人を識別できる情報」のことをいい、氏名のみや氏名と社名を含むメールアドレス、防犯カメラに録画されている顔画像なども個人情報として取り扱われます。

匿名加工情報

個人情報はそのまま出すと個人を特定できてしまいますが、加工することで特定の個人を識別できなくすることも可能です。こういった加工を施した情報を匿名加工情報といい、加工した情報を復元できないようにして提供されます。これは一定のルール下において本人の同意を得ることなく、事業者間におけるデータ取引・連携を含むさまざまな利活用を促進するべく個人情報保護法の改正に伴い新たに導入されたものです。

仮名加工情報

仮名加工情報も個人情報保護法において新たに設けられたもので、「他の情報と照らし合わさない限り特定の個人を識別できないよう個人情報を加工して得られる個人に関する情報」のことをいいます。加工することで一定の安全性を確保しながら匿名加工情報よりもデータの有用性を保つことができる、という情報として需要が高まりつつあります。

オプトアウト

個人情報におけるオプトアウトとは、個人情報を第三者へ提供するに際してその個人情報を持つ本人が反対しない限り個人情報の第三者提供に同意をみなしたものとする、という仕組みのことをいいます。ただし、オプトアウト方式でデータを第三者提供する場合、事前にオプトアウト手続きを行っていることを個人情報保護委員会に届け出る必要があります。

改正された個人情報保護法

令和4年4月1日から施行されている「令和2年改正法」に関しては、個人情報の取扱いに次のような留意事項があります。個人情報を取り扱う事業者の方は、民間・公的機関に関わらず知っておくことをおすすめします。

個人関連情報の第三者提供規制

提供元においては個人データに該当しないような場合でも、提供先においては個人データとして取り扱われることが想定される場合があります。そういった第三者提供については、提供元が提供先に対して「本人同意を得ていること」の確認をする義務があります。

オプトアウト規定

先に少し触れた通り、第三者にデータ提供を行う「オプトアウト」についても規定が強化されています。また、このオプトアウト規定は「不正取得された個人データ」や「オプトアウト規定によって提供された個人データ」については対象外となりますので気を付けましょう。

令和3年改正

令和3年改正において、今までは国の行政機関や地方公共団体などそれぞれで分かれていた規律を個人情報保護法に一覧的に規定されました。さらに個人情報保護委員会が一元的にこの規律を解釈・運用することになった点も変更点として挙げられています。

個人情報の取得に該当するケースは？

該当しないケース

個人情報の定義は先に述べた通りの認識ですが、顔面や骨格など計測者の特徴などを詳細にスキャンする場合を除いた「センサーで計測する場合」、「スマートフォンなどの機器を判別するMACアドレスの取得」などは個人情報の取得に該当しないといわれています。

配慮が必要なケース

特に線引きがあいまいで難しい場合、「個人情報取得には該当しないが配慮した方がよい」というケースがみられることがあります。例えば定点カメラなどで継続的に個人の住宅が映り込む場合やカメラ画像は即座に削除するものの通行人などにカメラ撮影していることが分かるような場合、取得サンプルが少ないため特定の人物の行動履歴が明らかになる場合などがそれに該当します。

個人情報データベース等として取扱いが必要なケース

人流データを作成するにあたって取得したカメラ画像を保存する場合やスマホアプリにおいてユーザー登録の目的で氏名などを取得する場合においては、個人情報データベースなどとして取り扱いに注意する必要があります。

その他の注意事項

最近では技術の発達に伴い、AIカメラなど防犯目的と人流取得目的の両方を兼ね備えた機器などが提供されていることもありますが、「防犯カメラとしては画像を蓄積するが陣流データとしてはカメラ画像を保存しない」といったマルチユースをする場合、利用目的や各画像・データの管理主体を明確にする必要があります。

位置情報における個人情報の該当性

「電気通信事業における個人情報保護に関するガイドライン 解説」（2022 年 1 月、パブリックコメント実施中）では、位置情報の個人情報該当性について、「一般的に、ある個人の位置情報それ自体のみでは個人情報には該当しないものではあるが、個人に関する位置情報が連続的に蓄積されるなどして特定の個人を識別することができる場合には、個人情報に該当し、個人関連情報には該当しないことになる。」とされています。

個人情報保護委員会のQ＆Aを紹介

Q

カメラ画像から抽出した性別や年齢といった属性情報や、人物を全身のシルエット画像に置き換えて作成した移動軌跡データ（人流データ）は、個人情報に該当しますか。

A

個人情報とは、特定の個人を識別することができる情報をいいます。性別、年齢、又は全身のシルエット画像等による移動軌跡データのみであれば、抽出元の本人を判別 可能なカメラ画像や個人識別符号等本人を識別することができる情報と容易に照合する ことができる場合を除き、個人情報には該当しません。

引用元：個人情報保護委員会 FAQ（https://www.ppc.go.jp/all_faq_index/faq1-q1-14/）