最初に確かめるのは「誰がそのデータを触れるか」です
保存先が国内か国外かを先に調べるのではなく、そのサービスを提供する事業者が映像データを取り扱う立場にあるのかどうかを確かめます。判断の分かれ目はサーバの場所ではありません。個人情報保護委員会のQ&Aでは、クラウドサービス提供事業者が当該個人データを取り扱わないこととなっている場合には、利用する側は個人データを提供したことにならないため本人の同意を得る必要はないとされています (個人情報保護委員会 Q&A)。
触れる人を3つに分けて書き出す
導入を検討している製品について、映像データに触れる人を次の3つに分けて書き出します。
| 区分 | 具体 |
|---|---|
| 自社の中 | 画面を見る人、録画を取り出す人、設定を変える人 |
| サービスの提供側 | 保守や障害対応で中を見る可能性のある担当者 |
| それ以外 | 分析を委託している別の事業者、機器のメーカ |
この表を埋めようとすると、ほとんどの場合2行目が空欄になります。製品の説明には「クラウドに保存されます」とだけ書かれていて、誰が触れるのかは書かれていないためです。空欄のまま進めないことが、この記事の出発点です。
サーバの場所だけでは決まらない
よくある誤解は、国内のデータセンタであれば確認は終わるという理解です。委員会のQ&Aでは、外国の事業者が実際にデータを取り扱っている場合は、サーバが国内にあっても外国にある第三者への提供に該当するとされています (同上)。場所と、取り扱う主体は別の質問として分けて確かめます。
確認の結果を1枚にまとめる
確認は、製品ごとに1枚の表にまとめます。項目は、保存先、保存期間、取り扱う主体、アクセス経路、削除の方法の5つです。この5項目は後の章で外注先への要件としてそのまま使うため、最初からその形で書きます。
つまずきやすい点は、営業担当者の口頭の回答だけで埋めてしまうことです。公開文書に書かれているのか、質問して回答を得たのか、まだ確認できていないのかを区別して記録します。所要時間の目安は、1製品あたりの文書確認と表の作成で半日です。
なお、防犯や安全確保の目的で顔を識別する機能を使う場合は、個人情報保護委員会が2023年3月29日に公表した「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」が参照先になります。内容は3つの区分に分かれており、後の章で触れます。
製品の公開情報から保存先を調べる手順
製品サイトの機能説明ではなく、利用規約、プライバシーポリシー、セキュリティに関する技術文書の3点を順に読むと、保存先の記述に行き当たります。機能の紹介ページには保存先が書かれていないことが多く、探す場所を間違えると「書かれていない」という結論になりがちです。
- 公開文書を3点そろえる (所要半日) 利用規約、プライバシーポリシー、セキュリティやアーキテクチャに関する技術文書を集めます。日本語のページに無い場合でも、提供元の本国のサイトには置かれていることがあります。つまずきやすい点は、日本語の紹介ページだけで判断してしまうことです。
- 保存先と保存期間の記述を抜き書きする 見つけた記述は、要約せずにそのまま抜き書きします。「地域を選択できる」と書かれている場合は、既定値がどこなのかまで確認します。保存期間についても、既定の保持日数と、変更できる範囲を分けて記録します。
- 記述が無い項目を質問票にする 抜き書きで埋まらなかった項目を、そのまま質問票にします。質問は、保守の作業で映像にアクセスする経路があるか、分析を別の事業者に委託しているか、削除を依頼したときに何日で消えるか、のように動作を尋ねる形にします。方針を尋ねると方針の文章が返ってくるだけで、確認になりません。
- 回答を確度つきで記録する 当社がAIカメラ製品のデータ所在を調べたときは、確度を3段階 (公式確認、複数一致、未検証) のラベルで記録しました (当社の調査手法)。公式文書に明記されているものだけを公式確認とし、複数の公開情報が一致しているものは複数一致、回答が得られていないものは未検証として分けています。
この分け方の利点は、社内で判断するときに「分かっていないこと」が消えないことです。すべてを1つの表に平らに書くと、営業担当者の口頭の回答と公式文書の記述が同じ重さに見えてしまいます。
実装の側から見ると、見落としやすいのは映像そのものではなく特徴量データの行き先です。映像は拠点内の機器に残し、特徴量だけをクラウドへ送る製品があり、その場合は保存先の質問を映像と特徴量で2回する必要があります。次の章では、保存先が外国になる場合に増える確認を扱います。
保存先が外国になる場合に増える確認
外国の事業者がデータを取り扱う場合は、サーバが国内にあっても外国にある第三者への提供に該当するとされているため、確認する範囲が広がります。逆に、外国にあるサーバへ保存していても、その事業者がデータを取り扱わないのであれば提供には当たらないとされています (個人情報保護委員会 Q&A)。
サーバの場所と取扱いの有無を分けて見る
この2つの質問を分けて並べると、組み合わせは次のようになります。
| サーバの場所 | 事業者が取り扱うか | 外国にある第三者への提供か |
|---|---|---|
| 国内 | 取り扱わない | 該当しない |
| 国内 | 外国の事業者が取り扱う | 該当する |
| 外国 | 取り扱わない | 該当しない |
| 外国 | 取り扱う | 該当する |
製品の資料には1列目しか書かれていないことが多く、2列目は質問して確かめる項目になります。前の章の質問票に、保守の作業で映像にアクセスする経路があるかという質問を入れておく理由はここにあります。
外国の制度を把握する作業が残る
提供に当たらない場合でも、利用する側の義務は残ります。個人情報保護委員会のQ&Aでは、外国にある第三者が提供するクラウドサービスを利用してサーバに保存する場合、自ら果たすべき安全管理措置の一環として、当該外国の個人情報の保護に関する制度等を把握したうえで措置を講じる必要があるとされています (特定個人情報に関するQ&A)。この作業は、国名が分かっていなければ始められません。
所在国が特定できない場合の扱い
同じQ&Aでは、サーバの所在国が特定できない場合は、その旨と理由を示す必要があるとされています (同上)。つまり、分からないことを分からないままにして進める選択は用意されていません。
実務上の判断としては、次の順序になります。
- 所在国を公開文書で確認する
- 書かれていなければ、提供元に照会して回答を文書で得る
- 回答が得られない場合は、その旨と理由を記録し、社内の判断に残す
つまずきやすい点は、2番目で「複数のリージョンから選べます」という回答を得て終わりにしてしまうことです。選べることと、自社の契約で実際にどこを使っているかは別です。契約後に設定画面で選択されている地域を確認し、記録に残します。所要時間の目安は、照会と回答の受領で1週間から2週間を見ておきます。
契約書の文言だけでは足りません
個人情報保護委員会は2024年3月25日に注意喚起を公表しており、規約でデータを利用できる余地があり保守用のIDでアクセスでき、アクセス制御も十分でなかった事例では、当該事業者が個人情報取扱事業者に当たると判断されています (個人情報保護委員会「クラウドサービス提供事業者が個人情報保護法上の個人情報取扱事業者に該当する場合の留意点について (注意喚起)」)。契約書に「個人データを取り扱わない」と書いてあることと、実際に触れない状態であることは別だという指摘です。
保守の経路を質問する
確認すべきは、保守や障害対応のときにどの経路で映像にアクセスするのかです。質問は次の形にします。
- 保守の作業で、お客様の映像データを参照する場面はありますか
- 参照する場合、どのような権限で、誰の承認を得て行いますか
- 参照した記録は残りますか。利用者側から確認できますか
「参照しません」という回答が返ってきた場合は、技術的にできないのか、運用上しないのかを分けて確かめます。運用上の約束だけであれば、担当者が変わったときに守られる保証はありません。
アクセス制御の実装を確かめる
上の注意喚起が挙げた事例では、利用規約にデータを利用できる余地があったこと、保守用のIDで個人データにアクセスできたこと、技術的なアクセス制御も十分でなかったことが重なっていました (同上)。発注側として確かめるのは、この3点に対応する次の項目です。
| 確かめる対象 | 具体的な質問 |
|---|---|
| 規約の文言 | 二次利用や学習への利用を認める条項があるか |
| 保守の権限 | 保守用のIDが利用者のデータに到達できるか |
| 技術的な制御 | 権限の分離と操作ログの保存がどう実装されているか |
つまずきやすい点は、1行目です。映像を機械学習の改善に使う旨が規約に書かれている製品があり、その場合は「取り扱わない」前提が崩れます。規約の該当箇所を抜き書きして保存しておきます。
確認した内容を記録に残す
回答は、口頭ではなくメールや書面で受け取ります。担当者の交代や契約の更新のときに、同じ内容を確かめ直す手間を省けます。委託先の監督をどう契約条項に書くかは別の記事で扱います。所要時間の目安は、質問の送付から書面の回答の受領までで2週間です。