オランダにおける職場と小売店でのCCTV：プライバシーに関する規則

オランダでは多くの企業が、建物や従業員の安全を守るためにCCTVカメラを設置しています。しかし、どこにでもカメラを設置できるわけではありません。

オランダのプライバシー法は、職場や小売店における監視カメラの使用方法や使用場所について明確な制限を設けている。

オランダでは、CCTVを使用するには正当な法的理由が必要であり、本当に必要であることを確認し、撮影されていることを人々に通知し、映像の保管と保護に関する厳格な規則を遵守しなければなりません。また、従業員のプライバシー権を侵害するため、従業員を監視する目的でカメラを使用することはできません。

間違った対応をすると、オランダのデータ保護当局から厳しい罰則を受ける可能性があります。

このガイドでは、オランダでCCTVを合法的に使用するために必要な情報を説明します。法的要件、特別な評価が必要な場合、適切な通知方法、従業員や顧客がカメラ監視に関してどのような権利を持つかについて学びます。

オランダにおけるCCTV使用に関する法的枠組み

オランダにおける CCTV の使用は、現地では AVG (Algemene Verordening Gegevensbescherming) として知られる一般データ保護規則(GDPR) によって管理されており、Autoriteit Persoonsgegevens の監督を受けています。

防犯カメラの使用にあたっては、正当な事業上の利益と、従業員のプライバシー権および顧客の個人データ保護とのバランスを取る必要があります。

適用されるプライバシー関連法規およびGDPR

GDPRは、オランダの職場や小売店におけるCCTV監視を規制する主要なプライバシー法です。AVGは、この規則自体のオランダ語名です。規則が加盟国に委ねている部分を補完する国内法はUitvoeringswet AVG（UAVG）であり、そこには、とりわけ、刑法データ処理に関する規則が記載されています。

このプライバシー法の下では、監視カメラの映像は個人を特定できるため、個人データとみなされます。カメラを設置する前に、正当な法的根拠が必要です。

最も一般的な法的根拠は「正当な利益」ですが、撮影する理由が、撮影対象者のプライバシー権を上回るものでなければなりません。従業員の業務遂行能力や生産性を監視するためにカメラを使用することはできません。

目的は、盗難防止、財産の保護、安全の確保など、具体的かつ正当なものでなければなりません。また、CCTV の設置が不可欠であり、目的を達成するために、それより侵入的な代替手段が存在しないことを実証する必要があります。

Autoriteit Persoonsgegevens (オランダ DPA) の役割

Autoriteit Persoonsgegevensは、オランダのデータ保護機関であり、プライバシー関連法およびGDPR（一般データ保護規則）の遵守を執行する役割を担っています。この機関は、苦情の調査、監査の実施、プライバシー法違反に対する罰金の賦課を行う権限を有しています。

データ保護影響評価（DPIA）の結果、軽減できない高いプライバシーリスクが判明した場合は、事前協議手続きを経てオランダのデータ保護機関（DPA）に相談する必要があります。オランダデータ保護庁（Autoriteit Persoonsgegevens）は、カメラ監視に関する規制に関するガイダンスを提供し、義務を明確にする政策規則を公表しています。

GDPRの要件を満たさない場合、オランダDPAは警告、譴責、または多額の罰金を科す可能性があります。CCTVシステムが現行のオランダ法に準拠していることを確認するために、公開されているガイダンス文書をご確認ください。

基本的なプライバシー権と利益のバランス

オランダ法に基づくプライバシー権に基づき、従業員と顧客の個人データを尊重することが義務付けられています。監視目的を説明する目立つ標識やステッカーを掲示し、カメラが使用されていることを人々に明確に知らせる必要があります。

従業員には、撮影の目的、録画の保存期間、映像にアクセスできる人物について知る権利があります。カメラ映像は必要な期間のみ保存する必要があります。

事件を記録した場合、問題が解決するまでその映像を保管できます。カメラによる監視が広範囲かつ継続的に行われている場合、またはプライバシーリスクが高い場合は、DPIAを実施する必要があります。

会社に労働組合がある場合、CCTVを設置する前に必ず同意を得てください。正当な利益がより高いことを証明できない限り、従業員のプライバシーが優先されます。

職場および小売店におけるCCTVの設置条件と要件

オランダの職場や小売店にCCTVを設置するには、GDPRおよびオランダのプライバシー法に基づく特定の法的条件を満たす必要があります。有効な法的根拠を証明し、監視が適切かつ必要であることを確認し、必要に応じて労働評議会の関与を得る必要があります。

正当な利益と法的根拠を確立する

防犯カメラを設置する前に、明確な法的根拠が必要です。ほとんどの雇用主は、正当な利益を法的根拠としており、これは財産の保護、盗難の防止、または安全の確保のために監視を行うことを認めるものです。

自社の正当な利益が従業員や顧客のプライバシー権よりも優先されることを証明する必要があります。そのためには、カメラの使用を正当化する具体的なセキュリティ上の懸念事項やリスクを文書化する必要があります。

より優れたセキュリティを求めるという一般的な主張だけでは不十分です。データ管理者（通常は雇用主または事業主）が、この法的根拠を確立する責任を負います。

職場における監視カメラ設置の法的根拠として同意を用いることはできません。なぜなら、雇用主と従業員の間には力関係の不均衡が存在するため、同意は自由に与えられるものではないからです。雇用関係において同意が適切であることは稀です。

公的機関はより厳しい要件に直面しており、CCTVの使用を許可する具体的な法的規定を特定する必要があります。正当な利益のみに頼ることはできません。

必要性、比例性、補完性

監視カメラシステムは、3つの重要な原則を満たす必要があります。必要性とは、カメラが監視によって解決する必要のある、現実的で具体的な問題に対処するものであることを意味します。

「万が一のために」とか、具体的なリスクを特定せずにカメラを設置することはできません。比例原則とは、セキュリティ上のニーズとプライバシー侵害とのバランスを取ることを意味します。

カメラの撮影範囲は必要不可欠なエリアのみに限定してください。トイレ、更衣室、休憩エリアなど、プライバシーが重視される場所にカメラを向けることは避けてください。

補完性の原則によれば、CCTVは最終手段であるべきです。まずは、照明の改善、警備員の配置、入退室管理など、より侵襲性の低い代替策を検討し、試してみる必要があります。

カメラを導入する前に、これらの代替手段が不十分であった理由を文書化してください。また、保存期間は本当に必要な期間に限定する必要があります。通常、ほとんどの業務目的において、保存期間は4週間以内です。

労働評議会の参加と同意

組織に労働評議会（ondernemingsraad）がある場合は、CCTVを設置する前に必ず評議会に諮問する必要があります。カメラ設置計画において問題となるのは同意権であり、同意なしに導入された計画は、労働評議会の要請により無効とされる可能性があります。

労働評議会法（Wet op de ondernemingsraden）第27条は、労働評議会に対し、従業員の在席状況、行動、または業務遂行状況を観察または監視するための設備に関するあらゆる取り決めについて、単なる助言ではなく、同意する権利を与えています。カメラシステムはそのような取り決めに該当します。つまり、評議会が反対すれば、CCTV設置計画を阻止することができるということです。

合意に達するか、正式な紛争手続きを踏まない限り、先に進めることはできません。労使協議会は、あなたの計画が従業員のプライバシー権を尊重し、比例性の要件を満たしているかどうかを評価します。

カメラの設置場所、閲覧アクセス、保存期間の変更を要求される可能性があります。労使協議会がない場合でも、カメラを設置する前に従業員にカメラの使用について通知する必要があります。

この通知要件は、規模に関係なくすべての職場に適用されます。

実施：透明性と通知

オランダの雇用主は、従業員と顧客にCCTV監視について、目立つ標識と適切な文書を通じて通知する必要があります。この透明性要件は、データ主体の権利を保護し、GDPR規制への準拠を確保します。

明確な標識と情報を提供する

防犯カメラが設置されているすべての入口および場所に、目立つ標識またはステッカーを掲示する必要があります。これらの標識には、そのエリアで監視カメラが作動していることを明記する必要があります。

標識には監視に関する具体的な情報を含める必要があります。これには、盗難防止や財産保護といったカメラの目的も含まれます。

また、CCTVシステムの責任者と、質問がある場合の連絡方法も明記する必要があります。監視エリアに入る前に、標識が容易に見える場所に設置する必要があります。

これにより、従業員と顧客に適切な通知が行われ、録画されていることを理解してもらえるようになります。隠しカメラのような非常に厳しい条件がない限り、監視が行われているという事実を隠すことはできません。

CCTVのプライバシーに関する通知と文書

防犯カメラの設置方針を説明する詳細なプライバシー通知を作成する必要があります。これらの文書には、カメラを設置する理由、収集する映像、録画の保存期間を明記する必要があります。

プライバシーに関する通知では、データ主体の権利について明記する必要があります。これには、個人データへのアクセス権、訂正要求権、処理への異議申し立て権などが含まれます。

これらの権利を行使し、リクエストを提出する方法を説明する必要があります。CCTVシステムとその目的に関する社内記録を保管する必要があります。

労働組合がある場合は、カメラ監視計画について労働組合と協議し、同意を得る必要があります。文書には、CCTVの必要性と、プライバシーを侵害する可能性のある代替手段が存在しないことを明記する必要があります。

データ保護、セキュリティ対策、およびデータ保持

防犯カメラの映像を保護するには、強力な技術的安全対策と、録画の保存期間に関する明確なポリシーが必要です。個人データを不正アクセスから保護すると同時に、必要な期間のみ映像を保管する必要があります。

個人データの安全な処理

防犯カメラの映像をデータ漏洩から保護するために、適切な技術的および組織的対策を講じる必要があります。防犯カメラシステムによる個人データの処理には、関連するリスクに応じた保護対策が必要です。

セキュリティ対策は、物理的な脅威とデジタル的な脅威の両方に対応する必要があります。サーバーとストレージデバイスは、施錠されアクセス制御された部屋に保管してください。

サイバー攻撃から身を守るために、ファイアウォールとマルウェア対策ソフトウェアを使用してください。セキュリティ対策手順は文書化する必要があります。

これには、映像の取り扱い、データ侵害への対応、システムメンテナンスの管理に関するプロトコルが含まれます。定期的なセキュリティ監査は、問題が発生する前に脆弱性を特定するのに役立ちます。

監視カメラ映像を取り扱うすべてのスタッフに対し、データ保護に関する要件について研修を実施してください。スタッフは自身の責任と、個人データの取り扱いを誤った場合の結果を理解していなければなりません。

特定の職務に基づいてスタッフの映像へのアクセスを制限します。

アクセス制御、暗号化、および監視

アクセス制御により、許可された担当者のみがCCTV映像を閲覧または取得できます。各ユーザーには固有のログイン認証情報を割り当て、誰がいつシステムにアクセスしたかを記録しておく必要があります。

暗号化は、映像の保存時と送信時の両方でデータを保護します。保存時（ストレージデバイス上）と転送時（システム間で転送する際）の両方でデータを暗号化します。

業界標準の暗号化プロトコルを使用し、不正な閲覧を防止します。CCTVシステムへのアクセスには多要素認証を導入してください。

これはパスワードに加えて、セキュリティをさらに強化するものです。高度なセキュリティ環境では、生体認証やセキュリティトークンの利用を検討してください。

CCTVシステムを継続的に監視し、異常なアクティビティがないか確認します。不正アクセスの試み、システム障害、改ざんなどが発生した場合にアラートを設定します。

定期的なシステム監査は、セキュリティ上の弱点を検出し、データ保護ルールへの準拠を確保するのに役立ちます。

映像の保存期間と削除

監視カメラの映像は、本来の目的を超えて保管することはできません。日常的な監視映像は、特別な理由がない限り、1～4週間以内に削除する必要があります。

カメラの保存期間は、設置目的によって異なります。一般的に、防犯目的の映像は、特定の事件を記録する映像よりも短い保存期間で済みます。

盗難、破壊行為、または職場での事故が映像に記録されている場合は、問題が解決するまで映像を保管することができます。ただし、明確な削除手順を確立する必要があります。

保存期間が経過すると、古い映像が自動的に上書きされるようにCCTVシステムを設定してください。通常の保存期間を超えて映像を保存する場合は、その旨を文書化してください。

さまざまな種類の映像の保存期間を規定する保存スケジュールを作成してください。この情報をプライバシー通知に記載することで、ユーザーが自分のデータがどれくらいの期間保存されているかを把握できるようになります。

保持期間が適切であり、GDPR 要件に準拠していることを確認するために、保持期間を定期的に確認してください。

影響評価と高リスク処理

職場や小売環境におけるCCTVシステムは、GDPR規則の下では高リスク処理とみなされることが多いです。企業はカメラを設置する前にデータ保護影響評価（DPAIA）を完了する必要があり、状況によってはオランダデータ保護局に相談する必要がある場合もあります。

データ保護影響評価（DPIA）

CCTVシステムが従業員や顧客に高いプライバシーリスクをもたらす場合は、DPIAを実施する必要があります。この要件は、カメラ監視を大規模、長期、または恒久的に使用する場合に常に適用されます。

DPIA（データ保護影響評価）は、撮影を開始する前にプライバシーリスクを特定し、文書化するのに役立ちます。カメラが本当に必要かどうか、また、より侵害性の低い代替手段がないかどうかを評価する必要があります。

評価では、収集するデータの種類、そのデータが必要な理由、そしてそのデータをどのように保護するかを説明する必要があります。DPIAには、以下の重要な要素を含める必要があります。

• カメラシステムの目的と範囲
• 撮影の必要性と比例性
• 録画される個人のプライバシーリスク
• それらのリスクを軽減または排除するための対策

隠しカメラは必ずDPIAが必要です。一時的な設置であっても、この手順を省略することはできません。

オランダのデータ保護機関との事前協議

DPIA（データ保護に関する包括的情報アクセス計画）によって、軽減できない高いプライバシーリスクが示された場合、カメラを設置する前にオランダデータ保護局（Autoriteit Persoonsgegevens）に相談する必要があります。このプロセスは事前相談と呼ばれます。

隠しカメラの使用を計画しており、DPIA（個人情報保護法）で深刻なプライバシーに関する懸念が示された場合は、事前の協議が必須です。当局は計画を審査し、実施の可否について助言いたします。

回答が得られるまで撮影を開始することはできません。この要件は、従業員と顧客を過度な監視から保護するためのものです。

CCTV の設置を計画する際には、この相談プロセスに追加の時間を考慮する必要があります。

特別な考慮事項：秘密裏に行われる組織的なカメラ監視

オランダの法律では、隠しカメラや常時監視システムに厳しい制限を設けており、雇用主はそうした措置を実施する前に例外的な状況を証明し、特定の手続き要件に従うことが義務付けられている。

隠しカメラおよび秘密カメラに関する規則

オランダの職場における隠しカメラの使用は極めて稀であり、その制約はデータ保護だけにとどまりません。隠しカメラで他人を密かに撮影することは、それ自体が犯罪行為です。刑法第139条f項は非公開の場所で違法に撮影された画像を対象とし、第441条b項はカメラの存在が明示されていない公共の場所で撮影された画像を対象としています。したがって、事前の告知なしに従業員や顧客を撮影する雇用主は、監督当局からの罰金以上のリスクを負うことになります。

オランダのデータ保護当局が認める方法は限定的だ。雇用主は、カメラに関する方針や就業規則の中で、具体的な疑いがある場合に隠しカメラを一時的に設置する可能性があることを事前に明記し、実際にその状況下でのみカメラを設置する。こうした可能性を一般的に告知することで、カメラ設置が刑事罰の対象とならずに済むのだが、この手順は最も省略されがちだ。

重大な違法行為の具体的な疑いがあり、証拠を収集するための他の適切な手段が存在しない場合にのみ、隠しカメラ監視を展開することができます。

秘密監視に関する厳格な要件：

• 犯罪行為または重大なポリシー違反の疑いが具体的に文書化されている必要があります。
• 監視は対象を絞り、時間を限定して行う必要があります。
• 従業員のパフォーマンスを日常的に監視するために隠しカメラを使用することはできません。
• 可能な場合は、事前に労働組合または従業員代表に通知する必要があります。

オランダのデータ保護当局は、秘密の監視はプライバシー権への重大な侵害であると考えている。

正当な理由を徹底的に文書化し、監視が不正行為の疑いに比例していることを確認する必要があります。

体系的なカメラ監視（従業員の継続的かつ自動的なモニタリング）にも同様の制限があります。

明確なセキュリティ上の根拠と透明なポリシーがなければ、あらゆる動きや活動を追跡するシステムを実装することはできません。

窃盗または詐欺の疑いのある事案への対応

盗難や詐欺の疑いがある場合、特定の条件下で隠しカメラ監視を行うことができます。

疑いは、損失に関する一般的な懸念ではなく、具体的な証拠に基づいたものでなければなりません。

まず、在庫監査、証人へのインタビュー、アクセス制御のレビューなど、代替の調査方法をすべて試す必要があります。

目に見えるカメラやその他の手段が効果がない、または捜査に支障をきたす理由を文書化します。

主な法的要件：

• 疑わしい活動が発生するエリアにのみカメラの設置を制限します。
• 秘密監視期間に定められた時間枠を設定します。
• 映像へのアクセスを指定された調査担当者に制限します。
• 調査が終了したら直ちに録音を削除してください。

オランダの裁判所は秘密監視事件を慎重に審査し、適切な手続きに従わなかった場合は証拠として認められないと判断する可能性がある。

隠しカメラ監視を通じて取得された映像は、すべての法的要件を遵守している場合に限り、懲戒手続きや刑事告訴に使用できます。

従業員およびデータ主体の権利

CCTV に映った従業員と顧客には、GDPR に基づく特定の法的権利があります。

映像へのアクセス要求をどのように処理するかを理解し、録画の異議申し立てや削除要求の権利を尊重する必要があります。

個人情報開示請求（SAR）および映像へのアクセス

従業員は、自分が映っている監視カメラ映像を閲覧するために、情報開示請求を提出する権利を有する。

SAR には、リクエストを受け取ってから 1 か月以内に応答する必要があります。

従業員が CCTV 映像を要求した場合は、要求者の姿が映っている部分のみを提供する必要があります。

プライバシーを保護するために、録画中の他の人物をぼかすか編集する必要があります。

映像に複数の人物が映っている場合、この作業には時間がかかることがあります。

要求が明らかに過剰または繰り返しでない限り、標準 SAR に対して料金を請求することはできません。

すべてのアクセス要求とその応答の詳細な記録を保管してください。

映像に映っている人物を特定できない場合、または録画がすでに削除されている場合は、従業員にその旨を説明する必要があります。

異議申し立て、消去、その他のデータに関する権利

データ主体は、正当な利益がプライバシー権を上回らないと考える場合、CCTV 監視に異議を申し立てることができます。

それぞれの異議を真剣に評価し、説得力のある正当な理由を示せない限り、異議のあるデータの処理を停止する必要があります。

消去権とは、従業員が特定の状況下で監視カメラ映像の削除を要求する権利である。

録音は、作成目的のために不要になった場合、および異議申し立てが認められて保存の根拠がなくなった場合には、削除しなければなりません。

ただし、法的請求のため、または法的義務を遵守するために映像が必要な場合は、消去を拒否することができます。

従業員には、不正確な関連データの訂正を求める権利もあります。一方、データポータビリティの権利は、正当な利益に基づいて保持されているカメラ映像には適用されません。この権利は、処理が同意または契約に基づいている場合にのみ存在します。

カメラの近くに明確なプライバシー通知を表示して、すべてのデータ主体に権利について通知する必要があります。

音声録音と特別なケース

オランダの職場での音声録音には、ビデオ監視のみよりも厳格なコンプライアンスが必要です。

特定の種類の個人データは、GDPR規制の下で追加の保護措置を必要とする。

監視における音声録音の制限

オランダのほとんどの職場では音声を録音することはできません。

音声録音による個人データの処理は、個人の個人的な詳細を明らかにする会話や音声パターンをキャプチャするため、ビデオ監視のみの場合よりもはるかに侵害的です。

GDPR に準拠したオランダのプライバシー法では、音声録音はプライバシー権の重大な侵害として扱われます。

同意はここではほとんど役に立ちません。雇用関係における力関係の不均衡のため、従業員による同意は自由意思に基づくものとはみなされず、雇用主はそれに基づいて音声録音を行うことはできません。残るのは正当な利益のテストですが、音声がこれを通過することは非常に稀です。干渉が大きく、セキュリティ目的はほぼ常に画像だけで達成できるからです。実際、小売店や職場環境での音声監視は非現実的です。

刑法はこれとは異なる線引きをしており、しばしば誤解されている。刑法第139条a項および第139条b項は、会話に参加していない者が技術的な機器を用いて会話を録音することを禁じている。会話の参加者は録音することができ、録音しても犯罪には当たらない。そのため、たとえ雇用主が反対したとしても、従業員が上司との会議を録音しても、犯罪行為には当たらないのである。

雇用主ができないことは、従業員同士の会話であれ、従業員と顧客間の会話であれ、雇用主が当事者ではない会話を録音することである。

通信を不正に傍受すると、罰金や懲役を含む刑事罰が科せられる可能性があります。

オランダのデータ保護当局 (Autoriteit Persoonsgegevens) は、適切な法的正当性と透明性のある通知がある特別な状況を除き、職場での音声録音を一貫して禁止してきました。

特別なカテゴリーの個人データの取り扱い

特別カテゴリーデータとは、GDPR第9条に基づき強化された保護を受ける機密情報を指します。

CCTV システムは誤ってそのようなデータを取得する可能性があるため、追加の安全対策を実装する必要があります。

特別なカテゴリには次のものが含まれます:

• 人種的または民族的起源
• 宗教的または哲学的信念
• 労働組合への加入
• 健康情報
• 識別に使用される生体認証データ

医療室、祈祷室、労働組合の会合などで従業員が映る可能性のある場所にカメラを設置することは避けなければなりません。

CCTV システムで顔認識やその他の生体認証処理を使用する場合は、明示的な同意または第 9 条の別の免除が必要です。

特別なカテゴリーのデータの収集を最小限に抑えるための対策を文書化してください。

これには、カメラの配置の決定、視野角の制限、プライバシー マスキング テクノロジが含まれます。

機密性の高い個人データを処理する可能性のあるシステムを導入する前に、データ保護影響評価 (DPIA) を実施する必要があります。

よくある質問

オランダの雇用主と小売業者は、CCTV を使用する際に厳格な GDPR 要件に従う必要があります。

これには、正当な利益の確立、高リスク監視の影響評価の実施、カメラが作動中であることを目に見える標識で人々に明確に知らせることなどが含まれます。