顔で識別していることを、本人に知らせる義務

顔で識別する仕組みが、オフィスの入退室ゲートや店舗のカメラに入っていることがあります。その仕組みを使うときに何を知らせるかが、令和8年の改正個人情報保護法で変わります。

いまの条文は、公表でも足りることにしている

顔の画像も、そこから取り出した顔特徴データも、個人情報です。いまの法律が求めているのは、利用目的の通知等です。「個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない」（法第21条第1項）（現行法）。

個人情報保護委員会は2023年3月に、犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用についての文書を出しています。そこには「個人情報保護法上、顔画像や顔特徴データを取得する際に原則としてあらかじめ本人の同意を得る必要はない」と書かれています（顔識別カメラの文書）。

同じ文書は、適正な取得の観点から「カメラにより自らの個人情報が取得されていることを、被撮影者において容易に認識可能とするための措置を講じなければならない」とも書いています（顔識別カメラの文書）。ただし利用目的そのものは、条文の上では公表でも足ります。同じ文書は、別紙で施設内での掲示案も示しています。

この文書は、言葉も分けています。カメラに映った人の中から、照合用データベースに登録された特定の個人を見つけ出すのが顔識別。当人の要請に応じて、本人であることを確認するのが顔認証で、入退館システムが例に挙がっています（顔識別カメラの文書）。改正法の条文がかかるのは、このどちらかを問わず、特定生体個人情報を取り扱う場合です。

改正で、特定生体個人情報という区分ができる

改正法は、第16条に定義を一つ足します。特定生体個人情報です（改正法）。

中身は、第2条第2項第1号に該当する個人識別符号のうち「特別の技術又は多額の費用を要しない方法により取得することができる身体の一部の特徴に係る情報であって当該情報が取得されていることを本人が容易に認識することができないもの」として政令で定めるものを変換したものが含まれる個人情報です（改正法）。

なぜ分けるのかも書かれています。顔特徴データ等は本人が関知しないうちに容易に、それゆえに大量に入手可能であり、一意性及び不変性が高く特定の個人を識別する効果が半永久的に継続するため、取扱いが本人のプライバシー等の侵害につながる可能性がある（改正の概要）。

脚注にはこうもあります。カメラ等の計測機器を複数の地点に設置して顔特徴データ等を入手し、これを名寄せに用いることで、本人が関知し得ないまま行動を追跡することも可能（改正の概要）。

想定されているのは顔特徴データ等で、単なる顔写真ではありません。具体的な範囲は政令以下で定めることが想定されています（改正の概要）。

六つの事項を、本人が知り得る状態に置く

新しく置かれるのが第21条の2です。条文はこうです。「個人情報取扱事業者は、特定生体個人情報を取り扱うに当たっては、次に掲げる事項について、個人情報保護委員会規則で定めるところにより、あらかじめ、本人に通知し、又は本人が容易に知り得る状態に置かなければならない」（改正法）。

「公表」が入っていません。いまの第21条第1項は「本人に通知し、又は公表」ですが、こちらは「本人に通知し、又は本人が容易に知り得る状態に置く」です（改正法）。ホームページに載せておく形は、この条文の選択肢に入っていません。

四つ目は、いまのプライバシーポリシーにはまず書かれていない項目です。何を撮って、そこから何を取り出しているかを書くことになります。

例外もあります。周知することで本人や第三者の権利利益を害するおそれがある場合、その事業者の権利または正当な利益を害するおそれがある場合、国や地方公共団体が法令の定める事務を遂行することに協力する必要がある場合であって周知が支障を及ぼすおそれがあるとき、そしてこれらに準ずるものとして政令で定める場合です（改正法）。

オプトアウトでの提供が禁じられ、利用停止も請求できる

変わるのは周知だけではありません。本人の求めがあれば提供を止めることを条件に、必要な事項を本人が知り得る状態に置いたうえで委員会に届け出れば、同意なく第三者提供ができる制度があります。オプトアウト制度です（現行法）。特定生体個人情報は、この制度では提供できなくなります（法第27条第2項ただし書）（改正法）。

第35条に第7項が置かれます。その特定生体個人情報で識別される人は、違法な取扱いがあったかどうかを問わず、利用の停止や消去、第三者への提供の停止を請求できます（改正法）。対象は、その事業者が開示や消去を行える権限を持つ個人データ、つまり保有個人データに含まれるものに限られます。

ただし除かれる場合が並びます。あらかじめ本人の同意を得て特定生体個人識別符号を作成した場合と、あらかじめ本人の同意を得て取得した場合。法令に基づく場合。生命、身体または財産の保護のために必要がある場合。公衆衛生の向上または児童の健全な育成の推進のために特に必要がある場合。国や地方公共団体の事務への協力。学術研究の目的。本人との間の契約の履行のために必要やむを得ないことが明らかである場合など、規則で定める場合。そして、これらに準ずるものとして政令で定める場合です（改正法）。

つまり先に同意を取って使っている場面と、不特定多数を撮っている場面で、ここが分かれます。2023年の文書も、事業所の入退館のように事前に同意を得ることが容易な場合を、その文書が扱う範囲の外に置いていました（顔識別カメラの文書）。

どこに掲示するかは、これから決まる

個人情報保護委員会は令和8年8月26日に、政令・規則等で定める事項の全体像を示しました。顔特徴データ等の欄で、周知方法及び周知事項は委員会規則で定めるとされています（全体像）。規律の対象となる身体の一部の特徴に係る情報と、周知義務の例外事由は政令です。

参議院の附帯決議には、もう少し踏み込んだ書き方があります。特定生体個人情報が取り扱われている旨と本人からの利用停止請求等の手段について、監視カメラやセンサー等の機器の周辺及び当該機器の検知対象者が十分認識できる場所等に分かりやすく掲示する等の方法による周知を徹底させること（附帯決議）。

掲示の場所まで挙がっています。ただしこれは決議であって、条文でも規則でもありません。衆議院の決議には「検知対象者が十分認識できる場所等」の部分がなく、機器の周辺までです（附帯決議）。実際に何をどこに置くかは、委員会規則を待つことになります。

施行の時期も日付では決まっていません。改正の資料に書かれているのは、原則として公布の日から起算して2年を超えない範囲内、ということだけです（改正の概要）。公布は令和8年7月17日です。

明日からできること

決めるのは、社内のどのカメラがこの条文の対象になるかです。

まず、顔で識別している場所を書き出します。入退室のゲート、店舗や倉庫のカメラ、勤怠の打刻。顔を撮っているだけか、そこから特徴を取り出して照合しているかで分かれます。2023年の文書は、防犯目的で設置されているカメラのうち撮影した画像から顔特徴データの抽出を行わないものを従来型防犯カメラと呼んで、分けて扱っています（顔識別カメラの文書）。

次に、六つのうち何が書けているかを見ます。見る先は、ホームページに載せた利用目的、入口に貼った掲示、契約書の条項です。四つ目の、元になった身体の一部の特徴に係る情報の内容は、まず書かれていないはずです。

最後に、開示等の請求が来たときに誰が受けるかを決めます。周知する六つに、その手続が入っています（改正法）。請求の宛先が決まっていないと、六つ目まで書けません。

委員会規則の意見募集は令和9年に置かれています。書く場所も方法もそこで決まりますが、どのカメラが対象かは、そこには書かれません。