「防犯カメラを増やしたい。でも映像は個人情報だと聞いた。掲示は必要なのか、何日保存していいのか、警備会社に映像を見せていいのか」。ビル・商業施設・工場・工事現場の管理者からよく聞く声です。

個人情報保護法は①「個人情報」に当たるか、②さらに「個人データ」に当たるかでかかる義務が段階的に変わります。この切り分けを飛ばすと、必要な措置が抜けたり不要な手間をかけたりします。

この記事では「近くの警備会社ナビ」編集部が発注者の目線で整理し、他の解説が触れていない「警備会社に映像を扱わせるときの委託先の監督」に踏み込みます。

前提｜映像はどこから「個人情報」になるのか

個人情報保護法第2条第1項は「個人情報」を、生存する個人に関する情報であって、含まれる記述等により特定の個人を識別できるもの（他の情報と容易に照合でき、それにより識別できることとなるものを含む）、または個人識別符号が含まれるものと定義します。ガイドライン（通則編）は該当事例として「防犯カメラに記録された情報等本人が判別できる映像情報」を挙げています。顔や姿がはっきり写る位置のカメラなら、個人情報を取り扱う前提で設計するのが安全策です。

もう一段の線引き｜「個人情報」と「個人データ」は別物です

「個人データ」とは個人情報データベース等を構成する個人情報（法第16条第3項）で、「個人情報データベース等」とは特定の個人情報を検索できるように体系的に構成したもの等をいいます（同条第1項）。委員会Q&A（Ａ1-41）はこう述べます。

特定の個人を識別することができる映像情報であれば、個人情報に該当しますが、特定の個人情報を検索することができるように「体系的に構成」されたものでない限り、個人情報データベース等には該当しないと解されます。

つまり日時でしか検索できない録画映像は、「個人情報」ではあるが「個人データ」には当たらないのが通常です。一方、顔特徴データを登録した顔識別機能付きカメラシステムや、入退館記録・会員IDと紐づけて人物単位で引ける仕組みは個人データに当たり得ます。義務の違いは次のとおりです。

義務（条文） 対象 日時検索のみの録画映像 顔特徴データDB等
利用目的の特定・制限（第17条・第18条）／適正な取得（第20条第1項） 個人情報 かかる かかる
利用目的の通知・公表（第21条） 個人情報 かかる（例外あり・後述） かかる
安全管理措置・従業者の監督（第23条・第24条） 個人データ 直接は適用外 かかる
委託先の監督（第25条） 個人データ 直接は適用外 かかる
第三者提供の制限（第27条） 個人データ 直接は適用外 かかる
開示等の請求への対応（第33条ほか） 保有個人データ 直接は適用外 かかる場合がある

ただし「適用外」＝何もしなくてよい、ではありません。法定義務かどうかにかかわらず、安全管理措置に準じた運用を敷くのが実務の標準です（具体像は後述）。

なお顔特徴データは法第2条第2項の個人識別符号に当たり得ます（政令第1条第1号ロ）。顔識別機能付きカメラシステムでは、利用目的に顔識別機能を用いていることも明らかにして特定したうえで通知又は公表が必要になり（外観から機能の使用を認識するのは困難で、後述の適用除外に当たらないため）、照合用データベースの登録基準も文書化した統一的なものが求められます（委員会Q&A Ａ1-14）。

【チェックリスト】設置前・運用中・映像を渡すとき

設置前にやること

  • □ 利用目的を文書で決める（法第17条第1項「できる限り特定」）。例：「当施設における犯罪の防止及び事故発生時の事実確認のため」
  • □ 顔識別機能を使うならその旨も利用目的に明記する
  • □ 撮影範囲を絞る。公道・隣地・他人の住居の窓が入らないか画角を確認する
  • □ 作動中である旨の掲示を出入口・設置場所に用意する
  • □ 保存期間と閲覧できる人をあらかじめ決め、取扱規程に落とす
  • □ 所在する都道府県・市区町村の条例やガイドラインの有無を担当課に確認する（大規模施設に届出を求める自治体もあります）

運用中にやること

  • □ 決めた利用目的の範囲内でのみ使う（法第18条第1項）。防犯目的の映像を勤怠管理や販促分析に転用しない
  • □ 保存期間が来た映像は確実に消去する（法第22条）
  • □ 閲覧・書き出しのたびに日時・実施者・目的・提供先を記録する
  • □ 録画装置の施錠管理、ネットワークカメラのパスワード・アクセス制御を維持する
  • □ 委託先（警備会社・設備業者）の取扱状況を定期的に確認する
  • □ 漏えい等が起きたら、法第26条の報告・通知の要否をただちに判断する

映像を外部に渡すときにやること

  • □ 渡してよい根拠を先に確認する（本人の同意／法令に基づく場合／人の生命・身体・財産の保護 など）
  • □ 渡す範囲を必要最小限の日時・カメラ・人物に限定し、無関係な第三者の写り込みを確認する
  • □ 口頭の求めだけで渡さない。書面での求めを原則とする
  • □ 提供先・提供日時・根拠・決裁者を記録に残す

「掲示」は義務なのか｜条文で確認する

「防犯カメラを設置したら掲示が義務」という説明を見かけますが、条文に「掲示せよ」という規定はありません。2つの義務から掲示という実務が導かれている構造です。

(1) 利用目的の通知・公表（法第21条）——同条第1項は取得時の通知・公表を求めますが、第4項第4号が「取得の状況からみて利用目的が明らかであると認められる場合」を適用除外としています。委員会Q&A（Ａ1-13）は従来型防犯カメラについて、設置状況等から防犯目的が明らかなら同号に当たり通知・公表は不要としています。

(2) 適正な取得（法第20条第1項）——同項は「偽りその他不正の手段により個人情報を取得してはならない」と定めます。同じＡ1-13は、カメラの設置状況等から自らの個人情報が取得されていることを本人において容易に認識可能といえない場合には、容易に認識可能とするための措置を講じなければならないとし、例として作動中である旨を入口やカメラの設置場所等に掲示することを挙げています。

つまり「防犯カメラ作動中」の掲示は、利用目的の公表ではなく、法第20条第1項の適正取得を満たす措置です。同Q&Aは存在が明らかな場合でも掲示が「望ましい」としているので、迷ったら掲示するのが原典に沿った結論。ドーム型・天井埋込み型ではとくに必要性が高まります。なお防犯目的の映像をマーケティング等の商業目的に使うには、あらかじめ本人の同意が必要です（法第18条第1項・Ａ1-15）。

保存期間・アクセス権限・持ち出しの管理

保存期間に法令上の日数の定めはありません。委員会Q&A（Ａ5-4）は、法第22条に基づき利用の必要性を考慮して保存期間を設定し、利用する必要がなくなったときは遅滞なく消去するよう努めなければならないとしています。「業界の相場」ではなく自社の利用目的から逆算して決め、決めた期間を守るのが答えです。逆算の観点は、被害の発覚までにかかる時間（棚卸しで判明する在庫差異など）、クレームや事故の申告サイクル、録画装置の上書き周期との整合です。

安全管理措置の具体像として、委員会Q&A（Ａ10-8）はカメラ画像等について①組織的（従業者の限定・責任者・規程）②人的（研修）③物理的（カメラ・記録媒体の盗難紛失防止）④技術的（アクセス制御・漏えい防止策、アクセスログ分析による不正利用の監視。IPカメラでとくに重要）⑤外的環境の把握（外国で個人データを扱う場合は当該国の制度等を把握する）——の5分類を例示しています。

⑤はクラウド録画で見落とされがちです。保存先サーバーの所在国を契約前に確認してください。また、個人データの漏えい等で個人の権利利益を害するおそれが大きい事態が生じたときは委員会への報告と本人への通知が必要です（法第26条第1項・第2項）。誰が判断し誰が報告するかを事前に決めておきましょう。

🔴 警備会社に映像を扱わせるとき｜委託先の監督が最大の論点

防犯カメラは多くの現場で警備会社と組み合わせて運用されます。映像を警備会社のモニターに送る、異常時に警備会社が確認して駆けつける——このとき自社の管理下にあった映像を外部事業者に扱わせることになります。

法第25条はこう定めています。

個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

あわせて法第27条第5項第1号は、利用目的の達成に必要な範囲内で個人データの取扱いを委託することに伴って提供される場合、提供先は「第三者」に該当しないと定めます。つまり警備会社に映像を扱わせること自体は「委託」の枠組みで処理され、監督責任は委託元（施設側）に残るという構造です。

なお法第25条の対象は「個人データ」なので、日時でしか検索できない録画映像には同条が直接適用されるとは限りません。しかし顔識別機能付きカメラシステムや、警備会社側で人物単位に検索できる仕組みは個人データに当たり得ます。直接適用の有無にかかわらず、他人に自社施設の映像を扱わせる以上、取扱いルールを契約で決めておく必要があることに変わりはありません。

ガイドラインが求める3つの措置

ガイドライン（通則編）が委託先の監督として挙げる3つです。選定時の質問項目にそのまま使えます。

措置 ガイドラインの内容 発注者が確認すること
(1) 適切な委託先の選定 委託先の安全管理措置が、少なくとも法第23条とガイドラインで委託元に求められるものと同等であることをあらかじめ確認しなければならない 取扱規程の有無、教育の実施状況、映像を扱う要員の限定
(2) 委託契約の締結 双方が同意した安全管理措置の内容とともに、委託先における取扱状況を委託元が合理的に把握することを盛り込むことが望ましい 契約書・覚書に個人情報条項があるか、報告を求められる建て付けか
(3) 取扱状況の把握 定期的に監査を行う等により契約内容の実施の程度を調査し、委託の内容等の見直しの検討を含め適切に評価することが望ましい 年1回の報告・立入確認の仕組みが回っているか

再委託についてもガイドラインは、委託元が再委託の相手方・業務内容・個人データの取扱方法等について委託先から事前報告を受け又は承認を行うこと、及び定期的な監査等により委託先が再委託先を適切に監督することを十分に確認することが望ましいとしています。警備業務は協力会社への再委託があるため、必ず契約で押さえてください。

警備業法第19条の契約書面との関係を整理する

警備会社と契約すると、警備業法第19条により締結前の概要書面と締結後の契約書面が交付されます。「警備の契約書があるから個人情報の取り決めも済んでいる」という誤解が多いのですが、別物です。

警備業法施行規則第33条が定める概要書面の記載事項は、警備員の人数・担当業務、使用する機器、鍵の管理、報告の方法、再委託に関する事項、免責、損害賠償など。機械警備業務の契約ではこれに加えて基地局及び待機所の所在地、感知機器の設置場所・種類その他警備業務用機械装置の概要、待機所から対象施設までの路程（記載困難なときは受信から現場到着までに通常要する時間）、送信機器の維持管理の方法が必要です。

これらは警備業務の内容を明らかにする記載で、個人情報の取扱いを定めるものではありません。個人情報保護法上の委託の取り決めは、別途「個人情報の取扱いに関する覚書」等で定めるのが実務です。盛り込む項目の例です。

  • 取り扱う情報の範囲：どのカメラの、どの区画の、どの期間の映像か
  • 利用目的の限定：委託業務の範囲を超えて利用しない旨
  • アクセスできる者の限定と担当者名簿の提出
  • 複製・持ち出しの可否：コピーや記録媒体の持ち出しを認めるか
  • 再委託の可否と、行う場合の事前承認・報告の手続
  • 取扱状況の報告：頻度と様式、委託元による確認・監査の受け入れ
  • 漏えい等が発生した場合の連絡：連絡先・時限・協力義務
  • 契約終了時の措置：映像・複製物の返還または消去と証跡の提出
  • 捜査機関等から警備会社に直接照会があった場合：委託元への連絡を経ることを原則とするか

最後の項目は重要です。映像の外部提供の判断は管理権限を持つ施設側が行うと決めておかないと、現場判断で映像が出ていきかねません。警備計画書への落とし込みは警備計画書とはもご覧ください。

カメラを置くだけなら「警備業」ではありません

警備業法第2条第1項は、警備業務を「他人の需要に応じて行うもの」と定義しています。したがって自社の施設に自社でカメラを設置し、自社の従業員が監視するのは規制対象外です（いわゆる自主警備。詳しくは自主警備とは）。

これに対し「機械警備業務」とは、警備業務用機械装置（対象施設に設置する機器により感知した盗難等の事故の発生に関する情報を当該施設以外の施設に設置する機器に送信し、及び受信するための装置）を使用して行う第1項第1号の警備業務をいいます（同条第5項）。ポイントは「施設の外へ情報を飛ばす」点で、映像を施設内のモニターで見るだけの構成は、それ自体では機械警備業務に当たりません。

機械警備業者には、基地局または送信機器を設置する施設の所在する都道府県ごとの公安委員会への届出（第40条）、基地局ごとの機械警備業務管理者の選任（第42条）、事故発生情報の受信時に速やかに警備員が事実確認等を行えるよう必要な警備員・待機所・車両等を適正配置する即応体制の整備（第43条）が求められます。これらが概要書面に書かれているかを確認し、あわせて公安委員会の認定を受けた業者かも確認してください（第4条。方法は警備業の認定番号の確認方法）。

映像を外部に提供するとき｜判断フロー

映像が個人データに当たる場合、第三者提供には原則としてあらかじめ本人の同意が必要です（法第27条第1項。同項各号に例外あり）。個人データに当たらない場合も、以下を社内ルールにしてください。

  1. 誰が、何のために求めているかを書面で確認する（口頭のみでは応じない）
  2. 法令に基づく求めかを確認する。ガイドライン（通則編）は事例として警察の捜査関係事項照会（刑事訴訟法第197条第2項）、裁判官の発する令状に基づく捜査（同法第218条）、弁護士会からの照会（弁護士法第23条の2）などを挙げています
  3. そうでない場合、人の生命・身体・財産の保護のために必要で、本人の同意を得ることが困難か（法第27条第1項第2号）を検討する。いずれにも当たらなければ本人の同意が必要と考える
  4. 提供する場合も必要最小限の範囲（日時・カメラ・区画）に絞り、誰に・いつ・何を・どの根拠で渡したかを記録に残す

被害者本人や保険会社からの求めは「法令に基づく場合」には当たりません。本人の同意を取るか、人の生命・身体・財産の保護に当たるかを個別に検討してください。安易に「事故対応だから」で渡さないことです。

本人から「自分が映った映像を見せてほしい」と言われたら

開示請求（法第33条第1項）の対象は保有個人データなので、録画映像が個人情報データベース等を構成していなければ対象になりません。顔特徴データ等を登録して保有個人データとした場合は、例外事由に該当しない限り開示・訂正等・利用停止等の請求に適切に対応する必要があります（委員会Q&A Ａ9-13）。例外は法第33条第2項ただし書の①本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合、②業務の適正な実施に著しい支障を及ぼすおそれがある場合、③他の法令に違反することとなる場合で、防犯カメラ映像は他の来訪者の写り込みが多く①に当たり得ます。開示しない旨を決定したときは遅滞なく本人に通知します（同条第3項）。

カメラだけで足りるのか｜機械警備・常駐警備との組み合わせ

次は「カメラで何ができて、何ができないか」です。カメラは記録と検知に強い一方、その場で声をかける、来訪者を誘導する、負傷者に対応することはできません。なお個人情報保護法とは別に自治体が防犯カメラの条例・ガイドラインを定めている場合がある点にも注意してください。

手段 強み できないこと 向くケース
防犯カメラのみ（自主設置） 記録が残る／運用コストが小さい その場での対応・駆けつけ まず記録を確保したい施設
機械警備 異常を施設外の基地局で受信し警備員が駆けつける 常時その場にいるわけではない 夜間無人になる施設、拠点が分散する場合
常駐警備（1号・施設警備） 受付・出入管理・巡回・初動対応まで人が担う 費用は配置時間分かかる 来訪者管理と即時対応が必要な施設
巡回警備 常駐より低コストで定期的に人の目が入る 巡回していない時間帯の対応 営業時間外の見回り、複数拠点

実務では「営業時間中は常駐、閉店後は機械警備＋カメラ」「カメラで検知し警備員が確認に向かう」といった組み合わせが一般的です。なお、警備の導入で被害の抑止が期待できる場面はありますが、事故や被害の発生を防ぐことを保証するものではありません。区分の違いは警備業務の種類まるわかり、費用は施設警備の費用相場、巡回は巡回警備とは、比較の手順は警備の相見積もりの取り方、見極め方は警備会社の見極めチェックリストをご覧ください。

まとめ｜「個人情報」と「個人データ」を分けると、やることが決まります

日時でしか検索できない録画映像は「個人情報」ではあるが「個人データ」には当たらないのが通常で、安全管理措置（法第23条）や委託先の監督（法第25条）が直接適用されるとは限りません。顔識別機能付きカメラシステムや人物単位で検索できる仕組みは個人データに当たり得て、義務が一段重くなります。

実務の要所は3点です。①利用目的を文書で特定し、その範囲でのみ使う（法第17条・第18条）。②掲示により、撮影されていることを本人が容易に認識できるようにする（法第20条第1項）。③警備会社に映像を扱わせるときは、選定・契約・取扱状況の把握という3つの監督を実行する（法第25条）。とくに③は警備業法第19条の契約書面とは別に定める必要があります。まずは条件を整理して、対応できる警備会社にご相談ください。

【出典・参考】
・個人情報の保護に関する法律（第2条・第16条〜第18条・第20条〜第27条・第33条）／同施行令（第1条第1号ロ）
・警備業法（第2条・第4条・第19条・第40条・第42条・第43条）／同施行規則（第33条）／刑事訴訟法（第197条第2項・第218条）
・個人情報保護委員会「ガイドライン（通則編）」（個人情報の事例／個人識別符号／法令に基づく場合／委託先の監督）／同ガイドラインに関するQ&A（Ａ1-13・Ａ1-14・Ａ1-15・Ａ1-41・Ａ5-4・Ａ9-13・Ａ10-8）／同「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」（2023年3月）
※法令・ガイドラインは2026年7月時点でe-Gov法令検索および個人情報保護委員会の公表資料と照合しています。自治体の条例・指針は改正されるため、所在自治体の最新の公表内容をご確認ください。本記事は一般的な情報提供であり、個別の事案に関する法的助言ではありません。具体的な判断が必要な場合は弁護士等の専門家、または個人情報保護委員会にご相談ください。