会議を録音してAIに文字起こしさせる。もう当たり前の運用になりました。ただ、どこから気をつければいいのかは、はっきりしないまま使っていないでしょうか。公表されているガイドラインには、音声の扱いが具体例つきで書かれていました。
本記事は法令の解説ではありません。また、会議を録音してよいかどうかを判断する記事でもありません。録音の可否そのものは、就業規則や相手との関係、契約の内容で決まる話であり、ここでは扱いません。扱うのは、録音した音声を個人情報保護法の観点からどう見るかについて、個人情報保護委員会が公表しているガイドライン（通則編）とそのQ&Aに書かれている記載だけです。実際の取り扱いの可否は個別の事情で変わります。最終的な判断は、自社の法務部門や専門家にご確認ください。内容は公式に公開されている記載にもとづきます。
結論：録音したことより、何が入ったか
先に結論を置きます。ガイドラインの書き方を読むかぎり、問題になるのは録音という行為そのものではなく、その音声から誰のことか分かるかどうかでした。判断の分かれ目が、事例として具体的に示されていました。まず、そこを読むところから始めます。
音声も対象に入ると明記されている
ガイドライン（通則編）の「個人情報」の説明に、こう書かれています。評価情報、公刊物等によって公にされている情報や、映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わない。文字でも音声でも扱いは変わらない、という整理です。そして暗号化していても対象から外れないことも、同じ一文の中に書かれています。文字起こしの前の音声ファイルだから大丈夫、という線引きは、この記載からは出てきません。ここから先は実務の感覚ですが、録音データと文字起こし後のテキストを別物として管理している職場は多いと思います。この記載を読むかぎり、その2つを分けて考える理由は見当たりませんでした。
分かれ目は「誰のことか分かるか」
では、どの音声が対象になるのか。ガイドラインは個人情報に該当する事例をいくつも挙げていて、その4番目がこうです。本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報。音声録音情報そのものが一律に該当するのではなく、特定の個人を識別できるものが挙げられています。そして、識別できる理由の例として最初に書かれているのが本人の氏名が含まれることです。会議の録音で、名前が出ないことはまずありません。開始の挨拶、発言の指名、議事の確認。名前を呼んだ時点で、この事例に近づきます。録音するかどうかを議論する前に、ここを前提に置くことになります。
ガイドラインが分けている4つ
最終的な判断は自社の法務部門や専門家へ。
音声録音情報が個人情報に当たる場合
前の節で触れた事例を、もう少し丁寧に見ます。ガイドラインは「個人に関する情報」の範囲を広く取ったうえで、該当する例を並べる書き方をしていました。会議の録音がどこに当たるのかが読み取りやすくなっています。
「個人に関する情報」の範囲が広い
まず前提として、ガイドラインは「個人に関する情報」とは、氏名、住所、性別、生年月日、顔画像等個人を識別する情報に限られず、ある個人の身体、財産、職種、肩書等の属性に関して、事実、判断、評価を表す全ての情報としています。事実、判断、評価を表す全ての情報という書き方です。会議で話される内容の多くが、誰かについての事実か判断か評価だと思います。人事の話、評価の話、担当者の力量の話。雑談として流れていく発言も、この定義からは外れません。そのうえで、氏名等により特定の個人を識別できるかどうかが問われる構造になっています。
該当する事例の並びを見る
個人情報に該当する事例として並んでいるものを見ると、位置づけが分かります。事例3）防犯カメラに記録された情報等本人が判別できる映像情報、事例4）本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報。映像の次に音声が来ています。防犯カメラの映像と同じ枠で語られている、ということです。ここは実務の感覚ですが、防犯カメラの映像は「扱いに気をつけるもの」という共通認識があるのに、会議の録音にはそれがない職場が多いように思います。ガイドライン上は隣り合って書かれていました。
要配慮情報が混ざる場面もある
もう一つ、注意したい記載があります。要配慮個人情報については、あらかじめ本人の同意を得ないで、要配慮個人情報を取得してはならないとされています。会議では、体調や通院、家庭の事情といった話が出ることがあります。ただ、ガイドラインには続きがありました。個人情報取扱事業者が要配慮個人情報を書面又は口頭等により本人から適正に直接取得する場合は、本人が当該情報を提供したことをもって、当該個人情報取扱事業者が当該情報を取得することについて本人の同意があったものと解される。本人が自分で話した場合の整理が書かれています。逆にいえば、本人以外が誰かについて話した場合は、この整理には当たりません。どちらに当たるかは個別の事情によります。判断に迷う場面が出たら、自社の法務部門にご確認ください。
声そのものは、別の枠で書かれている
ここは混同されやすいところです。声には「個人識別符号」という別の枠があり、指紋や虹彩と並んで挙げられています。ただ、書かれている条件を読むと、会議の録音がそのまま当てはまるわけではありませんでした。条件の付き方に特徴があります。
条件が「認証を目的とした」で絞られている
個人識別符号の一つとして挙げられているのが、発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる声の質です。そして説明がこう続きます。音声から抽出した発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化に関する特徴情報を、話者認識システム等本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの。条件が2つ重なっています。特徴情報を抽出していることと、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたものであることです。録音ファイルがそのままこれに当たると読める書き方にはなっていません。
同じ条件が、他の符号にも付いている
この「認証することを目的とした」という条件は、声だけの話ではありません。顔については顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの、虹彩や静脈、歩行の態様についても同じ言い回しが繰り返されています。書かれ方が揃っているということは、この条件が枠を決めている部分だと読めます。写真が一律に個人識別符号になるわけではないのと同じ構造です。
ただし、外れても個人情報の話は残る
ここで安心して終わると、話が逆になります。個人識別符号に当たらないとしても、前の節で見たとおり、氏名が含まれる等の理由により特定の個人を識別できる音声録音情報は個人情報の事例として挙げられています。入口が2つあって、片方を外れてももう片方が残る構造です。ここは実務の提案ですが、社内で説明するときは「声紋だから危ない」という説明をしないほうが誤解が少ないと思います。危ないのは声そのものではなく、誰のどんな話が入っているかという説明のほうが、実際の運用に近くなります。なお、この整理はガイドラインの記載から読めることを書いたもので、個別の判断は自社の法務部門や専門家にご確認ください。
口頭で取得した場合も、同じと書かれている
次が「社内に何を伝えるか」に直結する部分です。書面で集めた場合の話だと思われがちな利用目的の扱いについて、ガイドラインは口頭の場合にも触れていました。一文だけですが、見落とせない書き方になっています。
利用目的は、公表か通知が求められている
まず原則です。ガイドラインには、個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならないとあります。そして、個人情報取扱事業者は、個人情報を取得する場合は、あらかじめその利用目的を公表していることが望ましいとも書かれています。あとから通知するより、先に公表しておくほうが望ましいという順序です。先に決めて先に出す。これが基本の形として示されています。
「口頭により取得する場合についても同様」
そのうえで、直接取得についての説明の中に、こう書かれています。口頭により個人情報を取得する場合についても同様である。直前で名刺の扱いが説明されたあと、続けてこの一文が置かれています。ここでいう「同様」は、名刺と同じくあらかじめ利用目的を明示する義務までは及ばず、法第21条第1項の側、つまり公表または通知の対象になるという意味です。書面やフォームだけの話ではない、という整理になります。会議で話された内容を録音するのは、口頭のやりとりからの取得に近い場面だと思います。紙もフォームも介していないから関係ない、とは書かれていません。ここは実務の提案になりますが、社内で運用を整えるなら、録音と文字起こしの利用目的を先に決めて、社内規程や説明資料の形で出しておくほうが、あとから説明する手間が減ります。
同意の形も、例が挙げられている
関連して、本人の同意についての事例も参考になります。ガイドラインには本人の同意を得ている事例として、本人からの同意する旨の口頭による意思表示、書面（電磁的記録を含む。）の受領、メールの受信、確認欄へのチェック、ホームページ上のボタンのクリック、音声入力、タッチパネルへのタッチ、ボタンやスイッチ等による入力が並んでいます。口頭による意思表示が最初に挙げられているのが要点です。なお、これは同意が必要な場面での同意の取り方の例であり、会議の録音に同意が必要かどうかを示したものではありません。場面ごとの要否は、自社の法務部門にご確認ください。
通知がいらない場合も示されている
すべての場面で通知や公表が要るわけではない、という記載もあります。例外が4つ挙げられていて、そのうちの1つが実務でよく出てくる形でした。ただし、自社の場面が当てはまるかどうかの判断は、また別の話になります。
「取得の状況からみて明らか」な場合
例外の4つ目がこうです。取得の状況からみて利用目的が明らかであると認められる場合は、法第21条第1項から第3項までの適用を受けず、当該利用目的の通知等は不要である。そして事例が2つ挙げられています。事例1）商品・サービス等を販売・提供するに当たって住所・電話番号等の個人情報を取得する場合で、その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合、事例2）一般の慣行として名刺を交換する場合です。どちらもその場で目的が分かりきっているやりとりが挙げられています。
「明らか」の範囲は、目的の中身で決まる
注意したいのは、事例1の書き方です。その利用目的が当該商品・サービス等の販売・提供のみを確実に行うためという利用目的であるような場合と、目的の中身まで条件に入っています。同じ場面で集めた情報でも、別の用途に回すなら「明らか」の範囲から外れる読み方になります。会議の録音でいえば、その場の議事録を作るために録るのと、あとで別の目的に使うのとでは、同じ録音でも位置づけが変わりうるということです。当てはまるかどうかは個別の事情で決まります。この記事では、例外が示されているという事実までを書いています。判断は自社の法務部門や専門家にご確認ください。
他の3つも、限定的な書き方になっている
残る3つも見ておきます。利用目的を本人に通知し、又は公表することにより本人又は第三者の生命、身体、財産その他の権利利益を害するおそれがある場合、当該個人情報取扱事業者の権利又は正当な利益を害するおそれがある場合、国の機関又は地方公共団体が法令の定める事務を遂行することに対して協力する必要がある場合であって、利用目的を本人に通知し、又は公表することにより当該事務の遂行に支障を及ぼすおそれがあるとき。いずれも害するおそれや支障を及ぼすおそれという条件が付いています。面倒だから省く、という形では書かれていません。ここは読み方を間違えやすい部分だと思います。
クラウドに送ることは「提供」なのか
AI文字起こしでいちばん聞かれるのが、この論点だと思います。外部のサービスに音声を送ることが第三者提供に当たるのか。Q&Aに、判断の基準がはっきり書かれていました。しかも、多くの人が思っているものとは違う基準でした。
判断の基準が明示されている
Q&Aにはこうあります。クラウドサービスには多種多様な形態がありますが、クラウドサービスの利用が、本人の同意が必要な第三者提供（法第27条第1項）又は委託（法第27条第5項第1号）に該当するかどうかは、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となります。基準がデータの中身ではないと、はっきり書かれています。個人データが入っているかどうかで決まると思っていると、ここで読み違えます。見るのは相手側が取り扱うこととなっているかどうかです。
「取り扱わないこととなっている場合」の条件
では、取り扱わないこととなっている場合とは何か。それも書かれています。当該クラウドサービス提供事業者が、当該個人データを取り扱わないこととなっている場合とは、契約条項によって当該外部事業者がサーバに保存された個人データを取り扱わない旨が定められており、適切にアクセス制御を行っている場合等が考えられます。条件が2つです。契約条項で定められていることと、適切にアクセス制御を行っていること。どちらも確認できる形のものです。ここは実務の提案ですが、文字起こしサービスを選ぶときに読むべきなのは、機能の一覧ではなく利用規約とデータの取り扱いに関する記載のほうになります。当てはまるかどうかの判断は、自社の法務部門にご確認ください。
該当しなくても、やることは残る
ここが大事な続きです。Q&Aには、クラウドサービスの利用が、法第27条の「提供」に該当しない場合、法第25条に基づく委託先の監督義務は課されませんが、クラウドサービスを利用する事業者は、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要がありますと書かれています。提供に当たらない、で話が終わらない構造です。相手を監督する義務がなくなるだけで、自分の側の安全管理措置は残ります。関連して、保守サービスについても個人データを用いて情報システムの不具合を再現させ検証する場合や個人データをキーワードとして情報を抽出する場合は取り扱うこととなる例として挙げられており、何をするサービスなのかで分かれる整理が示されています。
録音をいつまで持つか
最後が保存期間です。会議の録音は、消さないかぎり増え続けます。ガイドラインには、消去についての記載がありました。努力義務としての書き方ですが、いつまで持つかを決めるときの軸になります。起点の置き方が書かれていました。
「利用する必要がなくなったとき」が起点
ガイドラインの引く条文にこうあります。個人情報取扱事業者は、利用目的の達成に必要な範囲内において、個人データを正確かつ最新の内容に保つとともに、利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならない。起点が日数ではなく利用する必要がなくなったときである点が要点です。解説では、利用目的が達成され当該目的との関係では当該個人データを保有する合理的な理由が存在しなくなった場合や、利用目的が達成されなかったものの当該目的の前提となる事業自体が中止となった場合が挙げられています。議事録を作るために録ったのなら、議事録が確定して見直しの期間が過ぎた時点が、この説明に近い形になります。
消去の意味も定義されている
消すという言葉の中身も書かれていました。「個人データの消去」とは、当該個人データを個人データとして使えなくすることであり、当該データを削除することのほか、という説明です。削除することのほかと続いているとおり、削除だけが方法として挙げられているわけではありません。ここは実務の提案ですが、録音ファイルを消しても、文字起こしのテキスト、議事録の下書き、共有リンク、ゴミ箱の中身と、同じ内容が複数の場所に残ります。消すと決めるなら、どこに置いたかを先に決めておくことになります。置き場所が決まっていないものは、あとから消せません。
法令の定めがある場合は別と書かれている
ただし例外もあります。なお、法令の定めにより保存期間等が定められている場合は、この限りではないと書かれています。業種によっては、記録の保存が別の法令で求められている場合があります。消すことだけを社内ルールにすると、別の要請とぶつかる可能性があるということです。ここは実務の提案ですが、録音の保存期間を決めるときは、情報システムの担当だけで決めずに、自社の法務部門を交えるほうが安全だと思います。なお本記事は法令の解説ではありません。保存期間の設定については、自社の法務部門や専門家にご確認ください。
まとめ
会議の録音をAIで文字起こしするとき、個人情報保護法の観点で見る場所は、録音という行為ではありませんでした。ガイドライン（通則編）は、個人情報について映像、音声による情報も含まれ、暗号化等によって秘匿化されているかどうかを問わないとしたうえで、該当する事例として本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報を挙げています。名前が出る会議の録音は、ここに近づきます。一方、個人識別符号としての声の質は、話者認識システム等本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたものと条件が付いており、録音そのものを指す書き方にはなっていません。
社内に何を伝えるかについては、利用目的の扱いが手がかりになります。個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならないとされ、取得する場合は、あらかじめその利用目的を公表していることが望ましいとも書かれています。そして、口頭により個人情報を取得する場合についても同様であるという一文があります。例外として取得の状況からみて利用目的が明らかであると認められる場合も示されていますが、事例では目的の中身まで条件に入っていました。
外部サービスについては、保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかが判断の基準となりますと書かれています。取り扱わないこととなっている場合とは、契約条項によって…取り扱わない旨が定められており、適切にアクセス制御を行っている場合等です。そのうえで、提供に該当しない場合でも、自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要がありますとされています。保存については利用する必要がなくなったときは、当該個人データを遅滞なく消去するよう努めなければならないが起点です。本記事は法令の解説ではありません。最終的な判断は、自社の法務部門や専門家にご確認ください。
よくある質問（FAQ）
この記事の内容だけで、自社の運用を決めてよいですか
いいえ。本記事は法令の解説ではなく、個人情報保護委員会が公表しているガイドライン（通則編）とそのQ&Aの記載を、会議の録音とAI文字起こしの場面に置き直して整理したものです。実際の取り扱いの可否は個別の事情で変わります。最終的な判断は、自社の法務部門や専門家にご確認ください。
会議を録音してよいかどうかは、この記事で分かりますか
いいえ。録音の可否そのものは、就業規則や相手との関係、契約の内容によって決まる話であり、本記事では扱っていません。本記事が扱うのは、録音した音声を個人情報保護法の観点からどう見るかについて公表されている記載です。
録音ファイルは、それだけで個人情報になりますか
ガイドラインは個人情報に該当する事例として「本人の氏名が含まれる等の理由により、特定の個人を識別できる音声録音情報」を挙げています。音声録音情報が一律に該当すると書かれているわけではありません。個別の判断は自社の法務部門にご確認ください。
声紋は個人識別符号だと聞きました
ガイドラインには個人識別符号の一つとして「発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる声の質」が挙げられ、「話者認識システム等本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの」と説明されています。条件が付いた書き方になっています。
外部の文字起こしサービスを使うのは第三者提供ですか
Q&Aには、判断の基準は保存している電子データに個人データが含まれているかどうかではなく、クラウドサービスを提供する事業者において個人データを取り扱うこととなっているのかどうかである、と書かれています。取り扱わないこととなっている場合の例として、契約条項で定められており適切にアクセス制御を行っている場合等が挙げられています。
提供に当たらなければ、他に何もしなくてよいですか
Q&Aには、提供に該当しない場合、委託先の監督義務は課されないが、利用する事業者は自ら果たすべき安全管理措置の一環として、適切な安全管理措置を講じる必要がある、と書かれています。
原典で記載を確認する
ガイドラインとQ&Aは更新されます。運用を決める前に、個人情報の保護に関する法律についてのガイドライン（通則編）（個人情報保護委員会）で最新の記載をご確認ください。