「顔」情報を、建物等における人物の動線把握、マーケティング、混雑解消に活用する場合の留意点
IT・情報セキュリティ
「顔」情報について、建物等における人物の動線を把握し、マーケティングや、混雑解消に活用することを考えています。その際に撮影した顔画像は削除することを前提としています。どのような点に気を付ける必要がありますか。
想定する利用内容を本人が認識できるように、できるかぎり具体的に利用目的を特定する必要があります。また、建物等における顔画像の撮影は、特定した利用目的を本人が認識し得るような合理的かつ適切な方法によって公表し、利用目的の通知等（個人情報保護法18条1項）に対応するとともに、適正に取得しなければなりません（個人情報保護法17条1項）。なお、元の顔画像を削除して建物内での動線（場所、滞留時間）のみ保存、利用する場合であっても、個人情報を取得して利用することから、適正取得（個人情報保護法17条1項）等の個人情報保護法に定められる適切な取扱いが求められることに注意が必要です。
解説
※本QAの凡例は以下のとおりです。
- 個人情報保護法：個人情報の保護に関する法律（平成15年法律第57号）
- GL（通則編）：個人情報の保護に関する法律についてのガイドライン（通則編）（平成28年11月30日（平成29年3月一部改正）個人情報保護委員会告示第6号）
- Q&A：「個人情報の保護に関する法律についてのガイドライン」及び「個人データの漏えい等の事案が発生した場合等の対応について」に関するQ&A（平成29年2月16日（平成29年5月30日更新）個人情報保護委員会）
建物内での人物の動線を把握すること等への顔認識データの活用
氏名、住所、電話番号、クレジットカード情報等を登録して諸々の手続に利用し、また、ポイント還元やクーポンの発行等の優待を行う会員制度を設けている企業は多くあります。この場合、実店舗やウェブサイト等で会員の情報を集積し、利用することは容易です。
これに比べて、会員ではない人物の情報を集積することは難しいことがあります。たとえば、駅構内や商業施設に立ち入る人物について、この人物が、これらの建物の管理者の提供するサービスの会員であればIDで情報を管理できますが、そうではない場合に建物内で行われる複数の購買行動等に関する情報を紐づけることは難しいところです。また、仮にIDが割り当てられていたとしても、建物内での動作を把握することは困難です。
このような場合に活用が期待される情報として顔認識データがあります。顔認識データは、顔の特徴を数値化して作成するデータであり、同一人物の顔画像・映像があれば同一のデータを作成することができます。そして、建物内に複数のカメラを設置してこれを作成して照合することによって、建物内での人物の動線を把握すること等への活用が期待されています。
建物の管理者が、建物内における人物の動線を把握し、マーケティングや、混雑解消に活用するための個人情報保護法に従った対応の留意点は以下のとおりです。
取得・利用に際しての留意点
利用目的の特定
個人情報の取扱いにあたっては、利用目的をできるかぎり特定しなければなりません（個人情報保護法15条1項）。
個人情報取扱事業者が個人情報をどのような目的で利用するのかを、目的を確認する本人が一般的かつ合理的に想定できる程度に特定することが求められるところ（GL（通則編）3-1-1参考）、顔認識データを用いた動線把握と集積されるデータの活用については、「顔認識データの作成・照合によって○○内での利用者の行動（移動履歴、滞留時間）を把握し、○○におけるマーケティングに利用します」とすることが考えられます。
建物内での撮影は、一般的には防犯目的の下に行われることが多く、また、単に録画され検索や、同一人物のデータを紐づけて集積することとはされていなかったことを踏まえて、一定の範囲でのマーケティング利用する旨のみならず、これに利用する個人情報の内容、利用態様を含めて利用目的を特定するなど、具体的にその目的を認識できるようにすることが求められます。
適正な取得、利用目的の通知・公表
建物の管理者が、カメラを設置して建物内にある人物を撮影する場合、撮影の場所、範囲、態様、目的、必要性、映像管理方法等を総合考慮し、社会生活上の受忍限度を越える権利・利益侵害がなされないようにしなければなりません。また、受忍限度を越えるような態様での撮影を含め、個人情報保護法は、不適正な個人情報の取得を禁止しています（個人情報保護法17条1項）。
そして、撮影によって得られる人物の画像は個人情報に該当し得ることから、前記2の利用目的の特定と共に、取得にあたって通知・公表を行う必要があります（個人情報保護法18条1項）。
カメラによる撮影の適正さと、個人情報保護法の各規律に則った対応が求められるところ、防犯カメラのように広く行われている場合とは異なり、いまだ一般的とはいえない顔認識データを用いた動線把握と集積されるデータの活用については、本人が撮影の事実と利用目的を認知し得るような措置を工夫しなければなりません。
たとえば、カメラが作動中であることとともに、利用目的を店舗の入口に掲示する等、本人に対して自身の個人情報が取得されていることを認識させるための措置を講ずることが考えられます。また、掲示に際しては、併せてデータの取扱いに関する説明をウェブサイト上に設け、このURL等を表示することも考えられます。
参考：IoT推進コンソーシアム・総務省・経済産業省「カメラ画像利活用ガイドブックVer1.0」（平成29年1月）
人物の動線に関するデータの取扱い
なお、撮影する映像を削除し、人物の動線を把握した後は顔認識データを削除するとしても、前記2の対応は必要です。
ただし、人物の動線に関するデータの取扱いについては、これが単体で特定の個人を識別することができず、かつ、氏名、顔認識データ等のその他の個人情報と紐づけて管理されていないのであれば、個人情報に該当しないものとなることが考えられ1、これについては個人情報保護法の適用がありません。
三浦法律事務所