百貨店などの防犯カメラ画像は、原則として、一定期間が経過すると自動的に削除されるが、例外として、万引などの犯罪行為が撮影された場合には、保存されることになる。保存される映像には、明らかな犯罪行為はもとより、犯罪行為であることが客観的に強く疑われる場合も含む（例えば、二人組の客の片方が防犯カメラの画角を遮っているが、その陰で万引が行われていると強く疑われるような場合）と解される。店舗によっては、来店客の顔画像と保存した万引犯の顔画像を照合するシステムを導入しているところもある。

では、客が店舗に対して、「私は万引犯人として登録されていますか？」と尋ねたとき、店舗は情報開示義務を負うだろうか。個人情報保護法28条1項は、「本人は、個人情報取扱事業者に対し、当該本人が識別される保有個人データの開示を請求することができる」と定め、2項は「個人情報取扱事業者は、前項の規定による請求を受けたときは、本人に対し、政令で定める方法により、遅滞なく、当該保有個人データを開示しなければならない」と定めている。

個人情報保護委員会のQ&Aによれば、防犯カメラの画像は、そのままでは検索できないので「個人情報データベース」に該当しないとされている。個人情報データベースを構成しない個人情報は「個人データ」に該当しない（個人情報保護法2条2項6号）ので、開示請求の対象にならない。もっとも、デジタルビデオカメラの録画像は検索が可能なので、この解釈の当否は疑問である。

では、防犯カメラ画像そのままではなく、万引犯またはその疑いありとして切り取られ保存された画像はどうか。個人情報保護法2条2項7号は、個人データのうち、「その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの又は１年以内の政令 で定める期間（6ヶ月）以内に消去することとなるもの以外のものをいう」と定めており、これを受けて個人情報保護法施行令4条2号は「当該個人データの存否が明らかになることにより、違法又は不当な行為を助長し、又は誘発するおそれがあるもの」は「保有個人データ」から除外されると規定している。

この条項の解釈について、個人情報保護委員会のガイドライン2－7は、「事例 1）暴力団等の反社会的勢力による不当要求の被害等を防止するために事業者が保有している、当該反社会的勢力に該当する人物を本人とする個人データ 事例 2）不審者や悪質なクレーマー等による不当要求の被害等を防止するために事業者が保有している、当該行為を行った者を本人とする個人データ」を例として挙げている。だが、この事例は、本人が「暴力団等の反社会的勢力」であることや、「不審者や悪質なクレーマー等」であることを前提としているから、これらに該当するか否か分からない者からの要求は想定していない。

また、万引犯人として登録されているか否かという開示請求に対しては、告訴するか否か未定の時点では個人情報保護法施行令4条4号の「当該個人データの存否が明らかになることにより、犯罪の予防、鎮圧又は捜査その他の公共の安全と秩序の維持に支障が及ぶおそれがあるもの」に該当するといえようが、店側で保存するだけで告訴する意思のない場合には、同条項にあたらない。また、「あなたは万引犯として登録されていますよ」と回答し、それがその通りであれば、開示請求者が今後その店舗で万引を行うことは通常ないと考えられるから、「違法又は不当な行為を助長し、又は誘発するおそれがある」とはいえないだろう。

また、「保有個人データ」に該当する場合であっても、「当該個人情報取扱事業者の業務の適正な実施に著しい支障を及ぼすおそれが ある場合」（個人情報保護法28条2項2号）には開示請求を拒否できるが、万引犯として登録されている者からの開示請求に対して、この条項をもとに一律に拒否ができるとはいえないように思われる。

したがって、万引犯（又はそれを強く疑わせる）画像が「保有個人データ」に該当し、開示請求の対象となることは、ありうるものと考えるべきであろう。