画像解析技術の進歩により、カメラ画像から人流統計情報を作成することが可能になっている。

具体的には、「カメラＡ」の画角を右から左に歩いて行った人と、「カメラＢ」の画角を上から下に歩いて行った人の画像から抽出された特徴量情報同士を突き合わせ、同一の特徴量であれば、その人が「カメラＡ」の撮影範囲から「カメラＢ」の撮影範囲に移動したとみなし、この作業を多数人について統合することによって、人流統計情報を作成するものである。

この場合、画像は特徴量情報抽出後直ちに消去するので個人情報の取得にあたらない、との立場はとりうるとしても、特徴量情報が個人識別符号として個人情報にあたることは疑いない。ただ、カメラの運用者が最終的に取得するのは人流統計情報であって、個人情報ではない。この場合、個人情報保護法の定める利用目的の通知（18条）は必要なのだろうか。

この点に関し、個人情報保護委員会が公表するQ&Aの2－5には、「個人情報を統計処理して特定の個人を識別することができない態様で利用する場合」には、「利用目的の特定は「個人情報」が対象であるため、個人情報に該当しない統計データは対象となりません。また、統計データへの加工を行うこと自体を利用目的とする必 要はありません。」と記載されている。これによれば、人流統計情報作成目的で撮影していることは、通知する必要がないことになる。

これに対して、「ＪＲ大阪駅ビル事件」における第三者委員会報告書は、画像や特徴量情報の取得が個人情報の取得にあたるとしたうえで（当時は個人情報保護法の改正前なので、解釈の余地があった）、目的の特定や告知が必要であるとしている。

私は、個人情報保護委員会のQ&Aは、法律の解釈として間違っていると考える。

こちらのエントリで述べたとおり、撮影画像から年代や性別などの個人を特定しない属性情報を抽出し、直ちに画像を消去する場合、規範的にみて個人情報を取得していないとみなすことは可能だし、利用目的の通知も必要ないと考える。しかし、今回のエントリで述べた事例では、人物画像を突き合わせ同一人物と同定するために特徴量情報という個人識別符号を抽出し、利用している。これは明らかに、「個人情報を取得したとき」（個人情報保護法18条1項）にあたるのだから、利用目的の通知公表が必要だ。

個人情報保護委員会に対し、このQ&Aの意味を確認したところ、「『個人情報』に該当するけれども、特定個人の情報として利用するのではない場合には、利用目的の公表・告知は不要」と整理している、との回答に接した。しかし、個人情報保護法18条1項が例外を定めていないにもかかわらず、Q&Aが「個人情報を取得しても、個人情報として利用しないとき」を除外しているのは、明らかに解釈の範囲を逸脱しているというべきであろう。