映像IoT時代に求められる信頼の設計とは？
明大・菊池浩明教授に聞く「戦略的ガバナンス」

映像IoTは、AIカメラなどの普及を背景に、防災・防犯から顧客行動の分析まで、さまざまな分野で新たな価値を生み出す技術として注目を集めています。一方で、プライバシー侵害への懸念も根強く、映像データの利活用に踏み切れない企業・団体も少なくありません。こうした課題に対し、企業はいかにして映像データの価値創出と生活者からの信頼を両立すべきなのでしょうか。総務省・経産省の協力のもとに設立されたIoT推進コンソーシアムのワーキンググループで「カメラ画像利活用ガイドブック」の制作にも携わった、プライバシーガバナンスの専門家・明治大学の菊池浩明教授に、今企業に求められる映像データ活用の考え方と、その鍵となる「戦略的ガバナンス」のあり方を伺いました。

---

AIカメラの利用拡大に立ちはだかる壁

——スマートシティ構想やDXの文脈における映像IoTの可能性とその利活用を阻む壁について教えてください。

菊池浩明氏（以下、菊池氏）：映像IoT活用という点で代表的なのは、防犯カメラなどネットワークカメラのデータ活用です。特に、撮影した対象物を認識して情報を収集できる「AIカメラ」はコンビニやショッピングモール、空港をはじめ、すでにあらゆるところで使われていますし、今後さらに広がっていくでしょう。

その中の一つである店舗の来店履歴を取得する「リピート分析」は、技術は確立しており、法的にも適法です。しかし、まだ本格的に実施している事業者は多くありません。一番大きな理由は、レピュテーションリスクへの懸念でしょう。法律で明確に守られている領域と、解釈の余地が残るグレーな領域が存在し、そのグレーゾーンに踏み込んだ結果、炎上してしまった企業の事例も少なくないのが現状です。

——AIカメラについては、「監視社会ではないか」という警戒感も根強いように感じます。生活者の不安の本質はどこにあるのでしょうか。

菊池氏：過去に大阪駅へAIカメラが設置された際に問題視された事例では、私は第三者委員会のメンバーを務めましたが、そのときに最も大きかった不安は、「いつ、どのような個人の属性が、どのような形でデータベースに登録されているのかわからない」という点でした。

ただし最近では、監視カメラそのものに対する人々の“慣れ”も進み、かつてほどの強い抵抗感は薄れてきています。その一方で、逆に目立つようになってきたのが、「自分の個人情報が知らないうちに使われているのに、そこから何の見返りも得られない」という不満です。

制度面でも不透明さは残っています。欧州では、公共空間におけるAIを用いた犯罪捜査が禁止されている一方、日本には現時点で同様の明確な規制はありません。事業者にとっては、新しいサービスを始めた後に、突然ルールが変わり、違法と判断される可能性がある。この不確実性も映像データの利活用に踏み出せない大きな要因になっているのではないでしょうか。

ユーザーから信頼を得るための設計が不可欠

——2020年頃には、鉄道会社によるカメラ映像データの活用が議論を呼びました。映像IoTにおけるプライバシー問題を象徴する出来事だと思いますが、改めて何が問題だったのでしょうか。

菊池氏：この事例では、鉄道会社が顔画像のデータベースを用い、通行者を検出するシステムを導入しました。過去に犯罪歴のある人や、トラブルを起こした人物を検知するという目的自体は、防犯の観点から理解できるものだったと思います。

しかし問題となったのは、検出対象のカテゴリーの中に「不審者」という項目が含まれていた点です。この「不審者」に該当する基準は、独自に設定されたものであり、客観性や透明性が十分に担保されていませんでした。

その結果、「自分の顔画像や属性情報が、本人の知らないところで、しかも誤っ て登録されているかもしれない」という不安が、報道をきっかけに一気に広がることになったのです。

——通知や公表は行われていたとのことですが、それでも不安が解消されなかったのはなぜでしょうか。

菊池氏：このケースでは、通知や公表を丁寧に行っていたと思いますし、個人情報保護委員会にも事前に相談するなど、計画的に取り組んでいました。その点だけを見ると、決して拙速な進め方ではありません。ただし、問題は大きく二つあったと考えています。

一つ目は、「事後」を見据えた仕組みがなかったことです。現在の日本の法律では、実施前に利用目的を通知・公表することは求められていますが、事業開始後の運用について定期的に説明・報告する義務はありません。仮に、データベースの運用状況や見直し結果を継続的に公表するような仕組みがあれば、社会からの受け止め方は違った可能性があります。

二つ目は、生活者とのコミュニケーションのあり方です。事業者は、国や個人情報保護委員会に対しては十分に説明や相談を行う一方で、サービスを受ける生活者に対しては、Webサイト上での掲示にとどまることが少なくありません。この事例も同様でした。結果として、「説明はされているが、理解や納得には至らない」という状態が生まれてしまったのです。

こうした課題に対する解決策の一つが、事前に第三者委員会やステークホルダーからなる会議体を設置するというアプローチです。問題が起きてから対応するのではなく、あらかじめ法律やデジタル技術の専門家、さらには実際に個人情報を提供する側である生活者も交えて議論しながら、プロセスを設計していく。これが、映像IoTの利活用における信頼形成の一つの鍵になります。

映像IoTデータの可能性と「匿名化」の限界

——それでも、映像IoTデータは、他のデータにはない強みがありますよね。

菊池氏：はい。映像データの最大の強みは、取得できる情報の幅が非常に広い点にあります。単なる個人の識別にとどまらず、健康状態や性別、さらには感情の変化まで読み取れる可能性がある。近年急速に進化したAI技術と組み合わせることで、映像から得られる情報量は飛躍的に増えていますし、専門的な知識がなくても扱える環境が整いつつあります。

一方で、この「情報の豊かさ」は、一歩扱いを誤れば深刻なプライバシー侵害という弊害を生みかねません。個人が特定されるリスクや、属性が推定されるリスク、さらには取得した映像データが流出するリスクなどが常につきまといます。至るところにカメラが設置された社会において、その情報が悪用されないのかという生活者の不安は、極めて自然なものと言えるでしょう。

なかでも特に注意すべきなのが、「目的外利用」です。映像データはマルチモーダルに多様な情報を取得できるがゆえに、当初の目的を超えた活用への誘惑が生まれやすい。しかし、あらかじめ示した利用目的を逸脱したデータ活用は、明確に違法となります。例えば、防犯や安全確保のために設置した監視カメラの映像を、マーケティング目的で活用するといったケースです。

もっとも、例外的に認められた事例もあります。コロナ禍において、監視カメラを用いて体温を検出する取り組みが行われましたが、これは個人情報保護委員会の判断のもと、特別な通知が出されたうえで実現したものです。こうした事例が示しているのは、映像IoTの活用には、常に明確な目的設定と社会的な合意形成が不可欠だということです。

——この種のデータは、よく「匿名化していれば大丈夫では」という声も聞きますが、それはどの程度有効なのでしょうか。

菊池氏：まず前提として押さえておいていただきたいのは、「匿名化」と「匿名加工情報」は、法的には別の概念だという点です。匿名加工情報は個人情報保護法で定義された制度で、所定の方法に従って通知・公表を行えば、本人の同意なく第三者提供も可能になります。一方で、企業が安全管理措置として行う一般的な「匿名化」は、これとは異なります。

例えば、顔にモザイクをかける処理は、よく行われる匿名化の一例ですが、法律上の匿名加工情報の要件は満たしません。その理由は、歩容認証（※）をはじめ、顔を隠しても手足の動きや体格などの情報から個人を特定できる可能性があるためです。法制度上は、顔や声、歩き方、静脈といったマルチモーダルな生体情報は、すべて「個人識別符号」と整理されています。これらの情報が一部でも含まれていれば、匿名加工情報とは認められません。そのため、現行のルールのもとで、映像データを完全に匿名加工情報として扱うことは、極めて難しいのが実情です。

もちろん、事前に本人の同意を取得できれば問題は解決します。しかし、それも簡単ではありません。多くの企業のプライバシーポリシーは、法令用語で書かれた長文になりがちで、正しく読めば提供先や利用内容は記載されていますが、それを隅々まで理解したうえで同意している生活者は、決して多くないでしょう。

※ 歩容認証…人の歩き方の個性を利用して、個人を識別する方法

「カメラ画像利活用ガイドブック」の成果と残された課題

——菊池教授が作成に携わられた、総務省・経産省協力の「カメラ画像利活用ガイドブック」は、プライバシーにも配慮したカメラ画像の利活用についてまとめたものです。どのような理由で作成されたのでしょうか。

菊池氏：当初のモチベーションは大きく2点ありました。事業者がグレーゾーンの中でどうしていいかわからないということ、そしてどのように通知・公表すればいいかわからないということです。

そこで「配慮事項を組み込んだ適用ケース」として6つのユースケースに分類し、通知や公表の例を盛り込みました。その内容は個人情報保護委員会にも確認を取り、この通りにすれば法的にも問題ないだろうというお墨付きがあるものです。事業者からも非常に参考になったという声をいただいています。

——その一方で、現在も残っているグレーゾーンや、企業・自治体が抱える課題にはどのようなものがありますか。

菊池氏：代表的なものとして、監視カメラで撮った映像を商用やマーケティングにも使うといった、1つのカメラが複数の目的を持つ「マルチユース」があります。ガイドブックで少し触れているものの、実際に運用している事例はまだありません。共同利用や第三者提供をどこまで行ってよいかも、まだ明確ではない部分があります。

自治体の場合は、十分な専門スタッフがいない中で、大学やスタートアップとコンソーシアムを組んで共同実施するケースが多いのですが、個人情報の取り扱いに対する自治体や大学、独立行政法人のルールがそれぞれ異なります。法改正を重ねて整理は進みましたが，まだ十分とは言えないでしょう。

生活者の視点でも混乱が生じます。例えば、自治体が商店街にカメラを設置してサービスを提供しているように見えても、実際に実施しているのは自治体と民間企業のコンソーシアムかもしれないからです。住民は自治体なら安心だと思っていても、民間企業がそのデータをマーケティングなどに活用している可能性もあるわけです。

しかも一般の方にとって「共同利用」と「委託」と「同意による提供」の違いはわかりませんから、生活者全員にその違いを説明した上で同意を取らなければならず、非常に難しいところです。

——技術的なアプローチによる解決の可能性もあると思いますが、どのような状況でしょうか。

菊池氏：PETs（Privacy Enhancing Technologies）と呼ばれる技術が、世界的に注目されています。PETsという広い呼称の中には、匿名加工や差分プライバシー（※）、暗号化したまま処理を行う秘匿計算など、いろいろな技術が混在しています。

こららは、論文レベルですが映像データへの応用が進んでいます。例えば、レントゲン写真から腫瘍を検出する際にプライバシーを守ってモデルの学習だけを行うといったことが一部できるようになってきています。

まだ、法的に認可されておらず、広く使える状態にはなっていない技術も多いですが、生活者にとっても事業者にとっても徐々に便利なツールが開発されつつあります。

※ 差分プライバシー…データから個人を識別・特定されないようにしながら、統計解析やAIの学習を可能にする技術

映像IoT推進とプライバシー保護を両立するポイントは？

——映像IoT推進とプライバシー保護を両立するために、企業や自治体はどのような取り組みを進めるべきでしょうか。

菊池氏：3つの提言をさせていただきます。1つ目は、プライバシーポリシーによらない新しい同意の取り方です。長文の法令用語を読ませて形式的に同意を取るのではなく、生活者が本当に理解した上で納得できる仕組みが必要です。

2つ目は、常に生活者の立場で判断するために、第三者委員会やプライバシー影響評価（PIA）、そしてPETsの利用を検討することです。PIAとは、映像データを使って新しいサービスを実施する際に、万一情報が漏れた場合の影響やリスク・脅威の発生確率を事前に評価するもので、欧州では必須となっています。日本では任意のため、実施しなくても違法ではありませんが、強化することは重要な方向性だと考えています。

3つ目は、企業によるボトムアップでの取り組みです。法律を作らなくても、企業がコンソーシアムを組んでプライバシー保護技術の導入を宣言するのです。カメラ画像利活用ガイドブックも、まさにそうした動きの延長線上にありました。

すべての企業が法律やプライバシー技術の専門家を抱えることは現実的ではありません。大きな企業のさまざまな部門が協力して実施した内容を、ぜひグッドプラクティスとして公開してほしいと期待しています。

「信頼」という優位性で映像IoT分野をリードする

——今後、企業にはどのような説明責任や透明性の確保が求められていくとお考えですか。

菊池氏：インシデント発生後の場当たり的な対応ではなく、プライバシー保護を設計段階から織り込み、先を見越したプロアクティブな取り組みが求められます。さらに、運用開始後も、データ取得や第三者提供の状況を定期的に公表し、透明性を高める努力を継続すべきです。

海外の先進的な企業を見ると、プライバシーレポートや透明性レポートを積極的に公開する動きが広がっています。今後、日本でも、こうした海外の良い事例を企業が自発的に取り入れていくのか、あるいは個人情報保護委員会などが規制によって後押しするのか、いずれかの形で対応が進んでいくと考えられます。

加えて、生活者が「納得して使ってもらえる」仕組みづくりも欠かせません。形式的な同意ではなく、意味のある同意をどう設計するかが、これからの大きなテーマになります。

私たちが実施したアンケート調査では、スマートフォンから取得したヘルスケアデータについて、「どこに提供するなら許容できるか」を尋ねたところ、最も支持が高かったのは大学病院、次いで国であり、製薬会社は最も低い結果となりました。「自分のスマートフォンのデータでビジネスをしないでほしい」という声がある一方で、疾患の治療法開発など、社会的に意義のある用途には役立ててほしいという期待も見て取れます。

——最後に、スマートシティ推進やDXに取り組む読者に向けて、映像IoTデータ活用において今最も意識すべきことについてメッセージをお願いします。

菊池氏：日本は、諸外国と比べて規制が比較的緩やかで、新しい技術や仕組みに対する人々の抵抗感も小さい。その意味で、映像IoTの利活用に取り組みやすい土壌を持っている国だと言えます。この強みを活かしながら、新しいビジネスの創出や、透明性を確保するための仕組みを、より積極的に導入していくことが重要です。

規制が緩やかな環境でも社会が成り立っているのは、日本には信頼できる企業が多く、企業に対する生活者の信頼が比較的高いことの表れでもあります。ただし、その期待を裏切れば、社会的な反発を招き、結果として新たな規制が生まれてしまうでしょう。

だからこそ、日本企業が持つ「信頼」という優位性を、自ら手放してはいけません。その信頼を土台に、プライバシーへの配慮と価値創出を両立させながら、映像IoTを起点としたイノベーションを推進していってほしいと思います。

■NTTドコモビジネスのIoTカメラ活用事例はこちら