社員の感情をAIで監視？イタリアのプライバシー監視当局がスタートアップに警告

もしあなたの上司が、あなたが書いたSlackメッセージから心の状態を読み取っていたら？　そんなディストピアが現実になりかけています。イタリアのプライバシー監視当局（Garante Privacy）が、従業員の感情やストレスをAIで分析するプラグインを提供するスタートアップに警告を発しました。このプラグイン、名前は「Emotech」？　いや、実際のとこは伏せますが、要は「メンタルを測定します」という触れ込みです。

プライバシーの「感情」は誰のもの？

Garante Privacyの警告は、このプラグインが従業員の言語データから感情を推測し、ストレスレベルを数値化する点に焦点を当てています。まるで職場にテレパシーセンサーを置くようなもの？　でも違います。これはあくまで書かれたテキストをAIが解析するだけ。ただし、そのデータがGDPRの「特別なカテゴリーの個人データ」（健康状態など）に該当する可能性が高いのです。

GDPRでは、感情データの扱いについて明確なルールがあります。従業員の同意は、雇用関係の非対称性ゆえに「自由に与えられたもの」とみなされにくい。つまり、会社が「同意しますか？」と聞いても、断れない空気が流れるわけです。これ、まさに「見せかけの同意」問題。イタリア当局はそこを突きました。

面白い？　いや、こわい話

このニュースを読んで、ふと「利用規約を読むのが好き」という人に出会ったことがありますか？　私にはいません。だって、あれは歯磨き粉の成分表を読むより退屈で、しかも隠れた危険が潜んでいるからです。この感情監視プラグインも同じ。表面上は「社員の健康を守る」という美名ですが、裏ではプライバシー侵害のリスクがうようよ。

ちなみに、この手のツールはすでに海外で波紋を呼んでいます。例えば、Amazonの倉庫従業員のモニタリングや、某大手企業のメールスキャン。イタリア当局の警告は、日本企業にとっても他人事ではありません。

GDPRが求める「透明性」と「必要最小限」

では、企業が感情データを扱う際の正しい道は？　GDPRの原則に戻りましょう：

• 明確な目的と法的根拠（業務上の必要性？　法律上の義務？）
• データ最小化（本当に感情まで必要なの？）
• 透明性（何を、どう使うか、社員に通知）
• 影響評価（プライバシーリスクを事前評価）

このプラグインの場合、感情データが「労働安全衛生」目的なら、労働法とGDPRの両方をクリアする必要があります。ただし、イタリア当局は現時点で違反の疑いありと判断。スタートアップは再設計を迫られるでしょう。

注目スニペット: なぜイタリアのデータ保護当局はこのプラグインを警告したのか？　理由は、AIによる感情分析が従業員の「健康データ」に該当し、適切な法的根拠なしに処理されていたからです。GDPRでは、感情データは機微情報とみなされ、厳格な規制対象となります。

参考: GDPR全文（EUR-Lex）

FAQ

このプラグインは具体的に何をするのですか？

従業員が業務中に送信するメールやチャットのテキストをAIで解析し、語調や単語の選択から感情（喜び、怒り、ストレスなど）を推定します。結果はダッシュボードで可視化され、管理者がチームのメンタル状態を把握できると謳っています。

GDPRの観点から、この監視はなぜ問題なのですか？

感情データは「健康に関するデータ」と解釈される可能性が高く、GDPR第9条で特別な保護対象です。処理には明示的な同意または労働法上の義務などが必要ですが、雇用関係では同意の自由が疑わしく、またプラグインの目的が「福利厚生」としてもデータ最小化の原則に反する恐れがあります。

企業は従業員の感情データを扱う際、どうすれば法的に準拠できますか？

まず、データ保護影響評価（DPIA）を実施し、リスクを特定します。次に、従業員代表との協議、明確なポリシーの策定、そして可能な限り匿名化または疑似匿名化を行います。さらに、法的根拠として労働安全衛生法に基づく義務を検討し、同意に依存しない設計が望ましいです。