【動画公開】特定生体個人情報とは何か。顔特徴量データ規制の実務ポイント｜Part2

顔認証等に利用される顔特徴量データ等に対する公表等・利用停止等義務・オプトアウト不可（個人情報保護法2026年改正への企業対応）

個人情報保護法改正2026年では、顔認識・顔認証等に利用される顔特徴量データ等について新たな規制が導入される。結論から述べると、企業は規制対象データの取扱有無を確認したうえで、公表等事項の整備、利用停止等請求対応フローの構築、提供根拠の確認（、本人同意取得方法の見直し）を進める必要がある。本記事では、改正前後の法的位置付けと企業実務への影響を整理する。

なお、本記事はPart2であり、既にPart1にて顔特徴量データ等がなぜ規制強化されるのか、顔特徴量データ等のリスクについて解説しているので、Part1も合わせてごらんいただきたい。

【動画公開】顔特徴量データ（顔認証・顔認識）の識別子リスクと個人情報保護法2026年改正での規制強化の理由

動画解説

本記事の内容は以下の動画でも解説している。

顔特徴量データとは何か

顔特徴量データとは、顔認証や顔認識等に利用される、顔画像等から抽出された特徴点（目・鼻・輪郭等）を数値化したデータである。

顔写真との違い

顔写真が必ず顔特徴量データに該当するわけではない。スナップ写真や証明写真がそのままの状態であれば、顔特徴量データには該当しない。今回の規制強化の対象となるのは、顔画像等から抽出された特徴点を用いて個人認証を可能とする情報である。単純化して述べると、顔認証や顔認識に利用されるデータとイメージされたい。

個人情報保護委員会「個人情報保護法ガイドライン（通則編）」

https://www.ppc.go.jp/personalinfo/legal/guidelines_tsusoku/#a2-2

ロ　顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの

個人情報保護法改正2026年前の法的位置付け

個人識別符号としての位置付け

改正前においても顔特徴量データは個人識別符号（個人情報保護法２条２項１号）に該当すると整理されていた。 個人識別符号（個人情報保護法２条２項）とは、氏名等が付随しなくても、それ単体で個人を識別できる情報として法令上定義された情報である。

ゲノム情報やマイナンバー等と同様に、顔特徴量データも個人識別符号として取り扱われている。

個人情報保護法２条２項
２　この法律において「個人識別符号」とは、次の各号のいずれかに該当する文字、番号、記号その他の符号のうち、政令で定めるものをいう。
一　特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの
二　個人に提供される役務の利用若しくは個人に販売される商品の購入に関し割り当てられ、又は個人に発行されるカードその他の書類に記載され、若しくは電磁的方式により記録された文字、番号、記号その他の符号であって、その利用者若しくは購入者又は発行を受ける者ごとに異なるものとなるように割り当てられ、又は記載され、若しくは記録されることにより、特定の利用者若しくは購入者又は発行を受ける者を識別することができるもの

改正前は通常の個人情報規制

しかし、改正前の顔特徴量データは個人識別符号に該当するだけであり、要配慮個人情報のような一段上の規制は存在していなかった。 したがって、通常の個人情報と同じ規制に服していただけであった。

個人情報保護法2026年改正で新設される特定生体個人情報

新カテゴリーの創設

2026年改正では、顔特徴量データは従来どおり個人識別符号であることに加えて、「特定生体個人情報」（個人情報保護法１６条５項）という新たなカテゴリーに該当することとなる。

特定生体個人情報は改正法によって新設された概念であり、具体的な対象範囲は政令を確認する必要がある。

顔特徴量データのみとなる見込み

現時点で公表されている改正資料からは、顔特徴量データが特定生体個人情報になると考えられ、他の生体認証情報が含まれる見込みは薄い。但し、改正政令を待たなければ確定しない点に要留意。

特定生体個人情報に課される3つの義務

1.公表等義務

企業は特定生体個人情報の取扱いについて公表等を行わなければならない（個人情報保護法２１条の２第１項）。 実務上はプライバシーポリシーによる公表が中心になると考えられるが、必ずしもプライバシーポリシーによらなければならないものではなく、通知又は容易に知り得る状態に置けばよい。

主な公表事項は次の通り。

• 事業者名、住所、代表者氏名
• 特定生体個人情報を取り扱うこと
• 利用目的
• 情報の内容
• 開示等請求手続（手数料含む）
• 委員会規則で定める事項

今回の改正は、本人に対する透明性向上を重視した規制強化である。

2.オプトアウトによる第三者提供の制限

特定生体個人情報については、オプトアウトを根拠とした第三者提供が認められない（個人情報保護法２７条２項但書）。

外部提供を実施している企業は、第三者提供の法的根拠を再確認する必要がある。

3.利用停止・消去・第三者提供停止への対応

今回の改正で最も実務的影響が大きいのが本人請求への対応である。

本人から請求があった場合、企業は以下の対応を行わなければならない（個人情報保護法３５条）。

• 利用停止
• 消去
• 第三者提供停止

これまでよりも本人の権利保護が強化される点が大きな特徴である。

本人同意が重要になる理由

利用停止等請求に対する例外として、以下などが規定されている。

• あらかじめ本人同意を得て作成・取得（個人情報保護法３５条７項１・２号）
• 多額の費用を要するその他の事情により利用停止等や第三者提供停止が困難で代替措置をとるとき（個人情報保護法３５条８項但書）

もっとも、実務上は同意の内容や説明方法が争点になる可能性が高い。

本人が認証目的のみを想定して同意していた場合と、分析・識別等まで含めた利用に同意していた場合では評価が異なり得る。

そのため企業は取得時等の説明内容や同意取得方法を慎重に設計する必要がある。

また、代替措置もどこまでやれば適切かどうかがまだ実務上詰まってきていないため、安易に考えると、利用停止等不要な場合はあくまで例外であり、原則は本人権利の保障であるため、利用停止等請求が認められる可能性も十分考えられるため、慎重に検討する必要がある。

利用停止等請求への対応体制を整備する

企業は次のような社内フローを整備することが望ましい。

• 請求受付窓口の設定
• 本人確認手続の整備
• 対象データの特定
• 法務部門による判断
• 回答・記録管理

既存の保有個人データに関する開示請求等対応フローを基礎として構築すると効率的である。

企業が最初に確認すべき事項

1.対象データの有無を確認する

最優先事項は、自社が顔特徴量データを取り扱っているかどうかを確認することである。

対象データが存在しなければ、顔特徴量データ規制対応は不要である。

2.リスクを認識する

顔特徴量データは強力な識別子となり得る。 そのため情報漏えい時や不適切利用時のリスクを把握し、利用の必要性と保有範囲を再検討することが重要である。

3.対応を検討する

• 取得にかかる法的根拠を確認
• 公表等内容を検討
• 利用停止等請求フローの整備
• 政令・委員会規則のウォッチ

動画解説

Part1　顔特徴量データ等の識別子リスクと規制強化理由

Part2　個人情報保護法2026年改正での3つの規制強化と企業実務対応

Q&A

Q1 顔写真は特定生体個人情報に該当するのか

A1 単なる顔写真は該当しない。認証可能な顔特徴量データが対象である。

Q2 オプトアウトによる第三者提供は可能か

A2 特定生体個人情報についてはオプトアウト提供が認められない。

Q3 企業が優先的に対応すべき事項は何か

A3 対象データの把握、公表等事項の整備、利用停止等請求対応フローの整備、取得・提供にかかる法的根拠の再確認である。

まとめ

個人情報保護法2026年改正により、顔特徴量データは特定生体個人情報として新たな規制対象となる。企業は対象データの把握、公表事項の整備、本人同意の見直し、利用停止等請求対応体制の構築、取得・提供にかかる法的根拠の再確認を進める必要がある。今後公表される政令および個人情報保護委員会規則の内容も継続的に確認することが重要である。