GDPRでは、事業所内でのCCTVの使用は個人データの処理に該当し、データ保護の原則と義務の遵守が求められます。ただし、適切なデータ保護機関（DPA）への通知は、DPAが明示的に要求している場合、またはCCTVが事前協議を必要とする高リスクの処理を伴う場合を除き、企業がCCTVを使用する前に行うべき手順ではありません。GDPRの遵守を確実にするためには、以下の手順が必要です。
データ保護影響評価（DPIA）の実施は、公共エリアの大規模または体系的な監視など、個人の権利と自由に高いリスクをもたらす可能性のあるあらゆる種類の処理において必須です。DPIAは、CCTVの使用に伴う潜在的なプライバシーリスクを特定し、軽減し、それらに対処するために講じられた対策を文書化するプロセスです。DPIAには、処理の内容、その目的と必要性、リスクとメリット、安全対策とセキュリティ対策、そして利害関係者との協議内容を含める必要があります。DPIAは、CCTVシステムの設置またはアップグレード前に実施し、定期的に、または処理内容に大きな変更があるたびに見直す必要があります。
CCTVシステム運用者向けの情報保持ポリシーを作成することは、CCTVによって収集された個人データが収集目的に必要な期間を超えて保持されることを防ぎ、不要になった時点で安全に削除または匿名化されることを保証するための良い方法です。保持期間は、CCTVを使用する具体的な目的と状況に基づいて決定する必要があり、法的または契約上の義務、そしてデータ主体の期待と権利を考慮する必要があります。保持ポリシーには、CCTV映像の管理と削除の責任者、そして削除プロセスの検証と文書化の方法も明記する必要があります。
映像への不正アクセスを防止するための安全対策を確実に講じることは、GDPRの完全性と機密性の原則を遵守するための必須要件です。この原則では、個人データは、不正または違法な処理、偶発的な紛失、破壊、または損傷からの保護を含む、適切なデータセキュリティを確保する方法で処理されなければならないと規定されています。安全対策には、暗号化、アクセス制御、ログ記録、監査、トレーニング、ポリシー、手順など、CCTV映像を伝送中および保管中の不正または違法なアクセス、開示、改ざん、または破壊から保護することを目的とした技術的および組織的な対策が含まれる場合があります。参考：GDPR第35条、GDPR第36条、GDPR第5条、CCTVおよびビデオ監視｜ICO、CCTVがGDPRに準拠しているかどうかを確認するための5ステップガイド

GDPR第35条によれば、データ処理が自然人の権利と自由に重大なリスクをもたらす可能性がある場合、特に新しい技術を使用する場合、データ保護影響評価（DPIA）の実施が義務付けられています。DPIAは、処理の特性、リスク、およびそれらを軽減するために講じられた措置を示すことになっています。GDPRでは、DPIAが必要となる処理業務の例もいくつか示されています。例えば、
プロファイリングを含む自動処理に基づく個人的側面の体系的かつ広範な評価、およびデータ主体に法的または重大な影響を及ぼす決定の根拠となる評価、特別なカテゴリのデータまたは犯罪歴や犯罪に関連するデータの大規模な処理、または公的にアクセス可能なエリアの大規模な体系的な監視。
回答の選択肢のうち、最初の例に該当するのは選択肢Cのみです。これは、位置情報データと第三者情報源からのデータに基づく、個人的側面の体系的かつ広範な評価を伴うため、プロファイリングやマッチングに利用される可能性があります。これは、データ主体のプライバシー、人間関係、そして評判に重大な影響を及ぼす可能性があります。したがって、この処理業務にはDPIAが必要となります。
オプションAは、必ずしも個人情報に関する体系的かつ広範な評価を伴うものではなく、データ主体に法的または重大な影響を及ぼすものでもありません。データの最小化、目的の限定、透明性の原則を尊重する限り、よりパーソナライズされたサービスを提供することは、企業の正当な利益とみなされる可能性があります。
オプションBは、処理に基づく決定を伴わず、データ主体に法的または重大な影響を及ぼすこともありません。これはダイレクトマーケティングの一形態とみなされる可能性があり、GDPRおよびeプライバシー指令に基づく特定の規則の適用を受けます。
オプションDは、自然人に関する個人データではなく、配送トラックに関する個人データです。したがって、自然人の権利と自由に対する重大なリスクは発生しません。
参照：
GDPR第35条
DPIAに関するガイドライン
GDPR第35条 - データ保護影響評価 - GDPR.eu

一般データ保護規則（GDPR）は、職場における従業員の監視を禁止していません。ただし、雇用主は、個人データを処理する際に従業員の権利と自由が保護されるように、特別な規則に従う必要があります。GDPRは、処理がEU内で行われるか否かに関わらず、EU域内に設置された管理者または処理者の活動に関連する個人データの処理に適用されます。また、GDPRは、EU域内に設置されていない管理者または処理者による、EU域内に居住するデータ主体の個人データの処理にも適用されます。この場合、処理活動は、EU域内のデータ主体への商品またはサービスの提供、またはEU域内で行われる限りにおけるその行動の監視に関連しています。
GDPRでは、個人データの処理は合法、公正、かつ透明性があり、規則に定められた6つの法的根拠のいずれかに基づいて行われなければならないと規定されています。従業員監視の最も関連性の高い法的根拠は、雇用主の正当な利益、従業員との契約の履行、または法的義務の遵守です。また、GDPRでは、個人データの処理は、処理の目的に必要な範囲に限定されなければならないこと、そしてデータ主体には、処理の目的と法的根拠、そしてデータ主体の権利とデータ保護のための安全対策について通知されなければならないことも規定されています。
GDPRは、人種や民族的出身、政治的意見、宗教的信念、哲学的信念、労働組合への加入状況を明らかにする生体認証データ、あるいは自然人を一意に識別する目的で処理される生体認証データなど、特別なカテゴリーの個人データの処理に関して、具体的な義務と制限を課しています。これらのデータの処理は、規則に列挙されている10の例外のいずれかに該当する場合を除き、禁止されています。従業員監視に関する最も重要な例外は、データ主体の明示的な同意、雇用、社会保障、社会保障法の分野における管理者またはデータ主体の義務の履行および特定の権利の行使のために必要な場合、または重大な公共の利益のための必要性です。
GDPRは、適切なデータ保護水準が確保されていない第三国または国際機関への個人データの移転に関する規則と要件も定めています。このようなデータの移転は、管理者または処理者が拘束力のある企業準則、標準契約条項、行動規範、認証メカニズムなどの適切な保護措置を講じており、かつデータ主体が執行可能な権利と効果的な法的救済手段を有している場合にのみ許可されます。
このシナリオに基づくと、24時間365日体制のカメラ監視の主な問題は、ジェントル・ヘッジホッグの事業の文脈において、それを実施するための有効な法的根拠がないことです。この選択肢は、以下の理由から、GDPRの原則と要件に最も合致しています。
個人データの処理は、雇用主の正当な利益、従業員との契約の履行、または法的義務の遵守に依拠していないため、有効な法的根拠に基づいていません。従業員が行う仕事の生産性、品質、および安全性を確保するという雇用主の正当な利益は、従業員の権利と自由、そして24時間年中無休のオンライン会議と調整されなければなりません。
24時間365日のカメラ監視は、特に業務に関連しない活動やコミュニケーションを対象とする場合、不均衡かつ侵入的となる可能性があります。従業員との契約の履行は、24時間365日のカメラ監視を正当化するものではありません。これは、従業員または雇用主の契約上の義務の履行に必要ではないためです。また、ジェントル・ヘッジホッグの事業において、そのような措置を義務付ける具体的な法律や規制がないため、法的義務の遵守は24時間365日のカメラ監視には適用されません。
監視の目的に必要な範囲に限定されず、カメラやマイクの監視など、従業員の業務の範囲を超えて従業員の私的または個人的な領域に侵入する、過剰で無関係な個人データの収集と処理が含まれます。
24時間365日のカメラ監視では、顧客、サプライヤー、訪問者などの第三者の個人データが収集される可能性もあります。監視には第三者の同意が必要であり、処理によって第三者の権利と自由が影響を受ける可能性があります。
従業員にとって透明性が欠けており、監視内容とその正確な範囲が従業員に通知されず、監視への異議申し立てやオプトアウトの機会も提供されていません。監視はデフォルトで非表示に設定されているため、従業員はいつ、どのように監視されているのか、どのような個人データが収集・処理されているのかを把握できません。監視内容とその正確な範囲について、すべてのユーザーに定期的かつ目立つ形で通知する、いわゆる「透明モード」も不十分です。GDPRで義務付けられている明確かつ包括的な情報通知や、有効かつ具体的な同意書が従業員に提供されていないためです。
生体認証データ、政治的意見や労働組合員資格を明らかにするデータなど、監視の目的に必要または相当とみなされない特別なカテゴリーの個人データの処理を含み、規則に記載されている例外のいずれにも該当しません。監視システムで使用される顔認識技術は、データ主体が明示的な同意を与えている場合、または雇用、社会保障、社会保障法の分野における管理者またはデータ主体の義務の履行および特定の権利の行使に必要な場合、または相当な公共の利益のために処理が必要な場合を除き、GDPRで禁止されている生体認証データ処理の一種です。これらの例外はいずれもこのシナリオには適用されません。顔認識技術はこれらの目的ではなく、従業員がログインするたびに本人確認を行うために使用されるためです。カメラとマイクによる監視では、政治的意見や労働組合員資格を明らかにする個人データも取得される可能性があります。これらも個人データの特別なカテゴリーであり、監視の目的に関連または相当とみなされません。
適切なレベルのデータ保護が提供されず、従業員の権利と自由にさらなるリスクをもたらす可能性のある、中国などの第三国への個人データの転送が含まれます。
顔認識データを含む監視データは、物理的にはフランスにあるSauron Eyeが運営するMicrosoft Azureクラウドサーバーに安全に保存されます。しかし、Sauron Eyeは従業員監視ソフトウェアを提供する中国のベンダーであり、欧州本社はドイツにあります。つまり、Sauron Eyeは監視データにアクセスしたり、中国の親会社やその他の関連会社に転送したりする可能性があるということです。欧州委員会によると、中国は適切なデータ保護レベルを確保していない第三国です。個人データの中国への転送は、管理者または処理者が拘束的企業準則、標準契約条項、行動規範、認証メカニズムなどの適切な保護措置を提供し、データ主体が執行可能な権利と効果的な法的救済手段を持っている場合にのみ許可されます。しかし、このシナリオではこれらの保護措置や救済手段が実施されていることが示されておらず、したがって中国への個人データの転送はGDPRに違反する可能性があります。
質問に記載されているその他のオプションは、24時間365日のカメラ監視の主な問題ではありません。
GDPRの原則や要件とは直接関係がなく、むしろ加盟国の国内法や規則に関係しており、監視の具体的な状況や状況によって異なる場合があります。GDPRはカメラ監視の運用に正確な期限を定めておらず、処理の性質、範囲、状況、目的、およびデータ主体の権利と自由に対するリスクを考慮した上で、監視の適切な条件と保護手段を決定するのは加盟国の国内法や規則に委ねられています。GDPRはまた、カメラ監視に関して労働組合の承認や国内DPAからのライセンスを要求していませんが、従業員、労働組合、労使協議会、DPA、裁判所などの関係者との協議や関与のための適切な手順やメカニズムを確立するのは加盟国の国内法や規則に委ねられています。
24時間365日のカメラ監視の根本的な問題はそこにあるのではなく、むしろその根本的な問題がもたらす結果や影響、つまり監視の法的根拠が欠如していることにあります。業務時間外や従業員の休暇中にカメラ監視が作動したり、監視に同意が必要な第三者が偶発的に撮影されたりすることは根本的な問題ではなく、むしろ根本的な問題の結果であり、従業員の業務範囲を超えて、彼らの私生活や個人的な領域にまで踏み込んでくる、過剰かつ不均衡な個人データの収集と処理が問題となっています。労働組合の承認や国家DPAからのライセンスは根本的な問題ではなく、むしろ根本的な問題に対する潜在的な解決策や改善策、つまり監視の透明性と説明責任の欠如、つまり従業員に監視の内容とその正確な範囲が通知されず、監視への異議申し立てやオプトアウトの機会も与えられていないことにあります。
参考文献:
GDPR、第5条、第6条、第7条、第8条、第9条、第10条、第12条、第13条、第14条、第15条、第16条、第17条、第18条、第19条、第20条、第21条、第22条、第23条、第44条、第45条、第46条、第47条、第48条、および第49条。
ビデオ機器による個人データの処理に関するEDPBガイドライン3/2019、5、6、7、8、9、10、11、12ページ
13、そして14。
[GDPRにおける管理者と処理者の概念に関するEDPBガイドライン07/2020]