アソース タイムズ

防犯カメラ映像について

　前回にも少し言及したとおり、撮影される側にプライバシーや肖像権があるので、施設管理権者であっても無制限に来訪者を撮影できるわけではありません。しかし、施設管理に必要な撮影が全く許容されないと、適切に管理することができません。

　特に問題になるのが、防犯目的の撮影です。個人情報保護委員会は、公的な見解として、「個人情報取扱事業者は、カメラにより特定の個人を識別することができる画像を取得する場合、個人情報を取り扱うことになるため、利用目的をできる限り特定し、当該利用目的の範囲内でカメラ画像を利用しなければなりません。」としています。利用目的の通知・公表は、カメラの設置状況から防犯目的であることが明らかであるため不要としていますが、「防犯カメラが作動中であることを入口や、カメラの設置場所等に掲示する等の措置を講じること」が望ましいと併せて言及しています。1ただし、これは従来型の顔認証を行わないタイプのカメラに限定され、顔認証機能がついたカメラを設置する場合には、利用目的の通知・公表、認証範囲を目的に応じて絞り込むことが求められています。

　一方で、病室等に設置している監視カメラについては、その目的上、特定の患者を対象とし、プライバシー侵害の程度が高いことが想定されるため、防犯カメラとは考え方が全く異なります。個人情報保護委員会の公的見解があるわけではないですが、生命・身体の安全管理上、緊急性や必要性が認められれば、撮影期間および保存期間を必要最低限にする等、一定の厳格な要件を充足することで限定的に許容される場合もあると考えられます。いずれにしても慎重な運用が必要です。

手術動画について

●個人情報の該当性

　2022年に報道され、ご承知の方もいらっしゃると思いますが、眼科手術動画が患者の同意なく医療機器メーカーに提供された事案を機に、個人情報の第三者提供に該当するとして、個人情報保護委員会は注意喚起を発出しています。

　眼科のみならず、手術動画は全般的に映像だけでは必ずしも特定個人と結びつかず、一見個人情報に該当しないようにも思えます。しかし、手術の行われた日時等の記録と照合すれば、容易に個人を特定できることから、個人情報に該当するとしています。

　この考え方に従うと、患者に無断で手術を撮影し、データを所持することは、個人情報保護法20条2項の「個人情報取扱事業者は、（中略）あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならない。」に違反しますので、予め当該患者の同意を得なければなりません。

　したがって、医療機関内での撮影、保管、利用のルールを策定し、運用する必要があります。

　例えば、専門医資格取得のための学会への提供は、学術研究目的とされ、人を対象とする生命科学・医学系研究に関する倫理指針に従って、各学会によりインフォームドコンセントの要否等、定められた運用が行われています。

　他方、注意を要するのは、概括的な学術利用の同意を得たとしても医療機器メーカーは学術研究機関に該当しない点です。したがって、学術目的の範囲外となり、第三者（当該案件で言えば、医療機器メーカー）への提供には本人の個別同意が必要とされています。

●個人データの管理責任

　多くの場合、手術動画はID等を用いて体系的に管理されており、個人を検索することが可能であるとして、個人データに該当するともされています。この場合、個人データの管理責任は医療機関にあり、職員が無断で映像を持ち出して、第三者提供できる状況にあれば、安全管理措置および従業員の監督責任を問われる場合も想定されます。電子カルテの管理と同じように、勝手にUSBにデータを書き出して持ち出すことは、物理的にできない、あるいは禁止されていることが一般的です。

　また、事前に患者から医療機関に対する同意を得たとしても、個人的な目的で私物のカメラで撮影することの同意とはなりませんので、そのような状況を許容していれば、管理責任を問われる可能性があることを認識する必要があります。

状況に応じて情報を適切に取得・管理

　昨今、録音や動画の撮影はとても容易かつ日常的な記録方法になり、容易に拡散、氾濫する状況にあります。院内での撮影は、単に医療機関と患者という二者間だけではなく、第三者や公衆送信といった要素や利害も密接に絡んできますが、目的や態様が多様なため、一律に禁止したり放置することは適切ではないことはお分かりいただけたと思います。特に、医療機関では機微に触れる情報が氾濫しており、法律上、要配慮個人情報として特別の保護の対象となる情報が取得・管理されています。

　したがって、”なぜ問題になるのか”、”誰が誰を記録するのか”、”何の目的で記録されるのか”、”誰に対してその情報が提供されるのか”という要素を整理し、個別に判断することが重要です。医療機関の管理者は、利害関係者間の権利の調和を取りつつ適切にルールを策定し、管理する必要があります。

1 個人情報保護委員会　FAQ
（https://www.ppc.go.jp/all_faq_index/faq1-q1-13_/）

2 個人情報保護委員会　「医療機関における個人情報の取扱い」に関する注意喚起
（https://www.ppc.go.jp/files/pdf/221102_houdou_2_2.pdf）