すでに取得して取り扱っている「顔」情報をAIの学習用データとして活用する場合の留意点

IT・情報セキュリティ
日置 巴美弁護士

 「顔」情報について、すでに取得して取り扱っているデータをAIの学習用データとして活用することを考えています。どのような点に気を付ける必要がありますか。

 個人情報取扱事業者が取得した個人情報を学習用データとして活用することについては、統計データの作成と同じく、利用目的の特定が不要とされる場合があります。したがって、取得時に学習データとしての利用を目的として特定していない場合であっても、本人同意を得ないで活用できる場合があり得ます。ただし、学習用データに利用される個人情報自体については、適正取得(個人情報保護法17条1項)等の個人情報保護法に定められる適切な取扱いが求められることに注意が必要です。

解説

※本QAの凡例は以下のとおりです。


複数社間で個人情報を含むデータが取り扱われる場合の留意点

 個人情報を含むデータの取扱いは、社内に限定される場合に限られず、複数社間で取り扱われる場合が多くあります。たとえば、データの収集を伴うサービスを提供する主体(以下「データ取得者」といいます)と、これを活用する技術を有する主体(以下「技術保有者」といいます)が別々に存在する場合、両社の間でデータを共有するニーズが生じます。

 実務では、データ取得者と技術保有者との間でなされる業務委託・提携に伴って個人情報が共有されるなど、個人情報保護法の第三者提供の制限が適用の無い形で対応されることがあります(個人情報保護法23条5項3号)。このとき、技術保有者は、データ取得者が特定した利用目的の範囲内でのみ、個人情報を利用することができます1

 このように、委託によるデータ共有の場合(個人情報保護法23条5項3号)、利用目的との関係で活用の幅に制約があるところ、仮に、新たな利用目的の下にデータを取り扱う場合は、利用目的の変更(個人情報保護法15条2項)を行うか、その要件を満たさない場合には目的外利用への本人同意取得(個人情報保護法16条1項)が必要となります

 一方で、一定の場合には、そもそも利用目的として特定する必要が無いとされている場合があります。個人情報保護委員会は、Q&AのQA2-5 2 で、個人情報に該当しない統計データへの加工を行うこと自体については、利用目的とする必要はないとしています。よって、統計利用については、利用目的の特定、変更、目的外利用の制限を受けないこととされています

設例について

 設例の「AIの学習用データとして活用する場合」については、データ取得者が、元々学習用データとして使用することを想定していない場合であっても、学習済みモデルが個人情報に該当しないことから、統計利用と同様に、利用目的として特定する必要がないものと考えられます。

 したがって、データの収集にあたって特定した利用目的に関わらず、すでに取得して取り扱っているデータであっても、AIの学習用データとして活用可能です

 なお、学習済みモデルの作成について利用目的制限の対象とならないとしても、学習用データ自体は個人情報に該当するため、適正な取得(個人情報保護法17条1項)等の個人情報保護法に定められる適切な取扱いが求められることに注意が必要です3


  1. 仮に、技術保有者が、特定した利用目的の達成に必要な範囲を超えた取扱いを行う場合、データ取得者は、①そもそもそのような取扱いがなされることを承知している場合、第三者提供の本人同意を得なければならず(個人情報保護法23条1項)、また、第三者提供を利用目的としていない等、別の目的で利用されることについて目的外利用の本人同意を得なければならない(個人情報保護法16条1項)ことから、これらの義務に違反することとなります。また、データ提供の時点では問題が無かったとしても、②知らぬ間に目的外利用されている場合であっても、目的外利用の本人同意取得に違反することとなります。
    そして、技術保有者は、データ取得者が義務違反を問われればデータの活用が中断することや、第三者提供の制限や、目的外利用の本人同意取得に違反することを知りながらデータの共有を行っている場合、不適正取得(個人情報保護法17条1項)を問われ得ることに注意が必要です。 ↩︎

  2. 「Q2-5 個人情報を統計処理して特定の個人を識別することができない態様で利用する場合についても、利用目的として特定する必要がありますか。」との問いに対して、「A2-5 利用目的の特定は「個人情報」が対象であるため、個人情報に該当しない統計データは対象となりません。また、統計データへの加工を行うこと自体を利用目的とする必要はありません。」とされています。 ↩︎

  3. 具体的な人物を識別可能な顔画像・映像を取得し、シルエット画像や男女の判別といった個人情報に該当しないデータを作成して、元の顔画像・映像を削除するような場合、そもそも個人情報を取得していないのではないかとの疑問が呈されることがあります。しかしながら、取得したデータの記録がシステム上可能であって、削除するか否かを取得する者が恣意的にコントロールできるような場合等、必ずしも個人情報の取得自体は否定できないと考えられます。 ↩︎

コンテンツの更新情報、法改正、重要判例をもう見逃さない!メールマガジン配信中!無料会員登録はこちらから
  • facebook
  • Twitter

関連する特集