特定生体個人情報とは、改正法第16条第5項で新設された、特定生体個人識別符号を含む個人情報です。個人情報保護委員会は、顔特徴データ等が含まれる個人情報を念頭に、新しい規律を説明しています。このページでは、定義と3つの規律、政令・委員会規則でまだ決まっていない範囲を分けて整理します。「顔認証データ」「生体情報」など別の言い方との対応は用語の対応表にあります。
- 定義: 特定生体個人情報は、政令で定める身体的特徴を変換した特定生体個人識別符号が含まれる個人情報です（法第16条第5項）。顔特徴データ等が中心に想定されています。
- 3つの規律: 周知の義務付け、オプトアウト制度による第三者提供の禁止、利用停止等請求の要件緩和が設けられます。
- 施行時期と未確定の範囲: 本体部分は公布の日から2年を超えない範囲内で政令が定める日に施行されます。対象となる身体的特徴の範囲は政令で定められるため、未確定です。
顔特徴データとは
顔特徴データとは、顔の骨格や皮膚の色、目・鼻・口などの位置や形状から特徴情報を抽出し、本人を識別できるようにしたデータのことです（改正法の概要資料の説明。現行施行令第1条第1項ロの個人識別符号に当たる顔の容貌に関するものです）。
- 身近な例: 顔認証で入退室や勤怠を管理するシステム、顔識別機能付きのカメラ、本人確認書類の画像と顔を照合するオンライン本人確認（eKYC）、顔認証決済などで、顔から特徴情報を作って照合に使う場面です。
- 顔写真との違い: 顔写真や防犯カメラの映像は、保存しているだけでは顔特徴データではありません。顔から特徴情報を抽出し、本人を識別できる状態にしたときに、顔特徴データに当たります。
- 未確定の点: 規律の対象となる範囲は政令で定められるため、確定していません。
| 用語 | 意味 | このページでの扱い |
|---|---|---|
| 顔特徴データ | 顔から抽出した特徴情報で、本人を識別できるようにしたもの | 規律の対象として中心に想定されているもの |
| 特定生体個人情報 | 特定生体個人識別符号（政令で定める身体的特徴を変換したもの）が含まれる個人情報。改正法第16条第5項の用語 | 規律の名宛てになる法律上の用語。顔特徴データ等が含まれる個人情報を中心に説明されています |
| 顔写真・防犯カメラの映像 | 顔が写っている画像・映像そのもの | 保存しているだけでは顔特徴データではありません。特徴情報を抽出して本人を識別できる状態にしたときに、顔特徴データに当たります |
| 生体データ | 顔に限らず、身体の特徴に関する情報を指す一般的な呼び方 | 法律上の規律の対象かどうかは、政令で定める範囲によります。顔以外が含まれるかは未確定です |
1. 定義として示されているもの
改正法の概要資料は、規律の対象を次のように説明しています。
「顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を識別することを目的とした装置やソフトウェアにより、本人を識別することができるようにしたもの」を対象に想定する、という案です。
つまり単なる顔写真ではなく、顔から特徴情報を抽出し、本人を識別できる状態にしたデータが対象です。規律を設ける理由として、次の3点が挙げられています。1つ目は、本人が気づかないうちに容易に、したがって大量に入手できること。2つ目は、その人だけに当てはまる性質（一意性）が高く、時間が経っても変わりにくい性質（不変性）が高いこと。3つ目は、特定の個人を識別する効果が半永久的に続くことです。
① 政令で定める対象として、現行の施行令が個人識別符号として挙げる身体の特徴のうち、顔の骨格・皮膚の色や目鼻口などの位置・形状によって定まる容貌に当たる顔特徴データ（現行施行令第1条第1項ロ）を対象としてはどうか。
② 上のほかに、法律が定める性質（特別の技術や多額の費用を要しない方法で取得でき、本人が取得を容易に認識できないこと）を備え、規律の対象とすべきものがあるか。
概要資料が「想定」として示した上の説明は、政令の文言そのものではありません。顔以外の生体情報が含まれるかどうかは、政令が出るまで確定しません。
2. 特定生体個人情報の規律（新しく設けられる3つ）
概要資料は、顔特徴データ等に対して次の3つの規律を設けるとしています。
| 規律 | 何が変わるか | まだ決まっていないこと |
|---|---|---|
| (1) 周知の義務付け | 名称・住所・代表者の氏名、特定生体個人情報を取り扱うこと、利用目的、元となった身体的特徴の内容、開示等請求の手続を周知する（法第21条の2） | 周知方法、法律が列挙した事項に加える周知事項（委員会規則）、法律の3つに加える例外事由（政令） |
| (2) オプトアウト提供の禁止 | 本人の同意なく届出だけで第三者に提供するオプトアウト制度は、特定生体個人情報には使えなくなる | 対象となる身体的特徴の範囲（政令） |
| (3) 利用停止等請求の緩和 | 違法行為等の有無を問わず、保有個人データに含まれる特定生体個人情報の利用停止等を請求できる（例外あり。法第35条第7項） | 「本人の意思に反しない場合」（委員会規則、同項第9号）、法律の9つに加える例外事由（政令、同項第10号） |
3つの規律はいずれも、顔特徴データ等が含まれる個人情報（特定生体個人情報）が対象です。どの身体的特徴まで含まれるかは政令で定められるため未確定です。
(1) 一定の事項の周知の義務付け
次の事項を周知することが義務付けられます。
- 個人情報取扱事業者の名称・住所・代表者の氏名
- 特定生体個人情報を取り扱うこと
- その利用目的
- 顔特徴データ等の元となった身体的特徴の内容
- 開示等請求に応じる手続
① 周知方法は、カメラやセンサー等の機器の周辺に分かりやすく掲示するなど、機器の検知対象者が十分認識できる場所に分かりやすく掲示することが重要ではないか。
② 周知事項は、本人の不安感を和らげ、必要な場合に本人が利用停止等の請求などの対応を取れるようにするために必要な事項としてはどうか。
③ ①②は、令和5年3月の「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」と、それを踏まえたQ&Aの周知方法・周知事項を参考に具体化してはどうか。
④ 法律で定めた3つの例外に加えて、政令で定めるべき例外事由はあるか。
国会審議では、令和8年6月17日の参議院の委員会で国務大臣が、周知の具体的な方法として、カメラを設置する施設の入口に掲示するなど、原則として本人が訪れると想定される場所に掲示しなければならない旨を規定することを想定している、と答弁しています。ただしこれも規則そのものではなく、掲示で足りるのか、ウェブサイトへの掲載も要るのか、どの粒度で書くのかは、規則が出るまで確定しません。
施設内の掲示とウェブサイトに載せる周知事項を並べた表は顔識別機能付きカメラの周知事項の対応表にあります。
(2) オプトアウト制度に基づく第三者提供の禁止
取り扱う情報が特定生体個人情報に当たる場合、本人の同意を得ずに届出だけで第三者に提供するオプトアウト制度は使えなくなります。オプトアウト制度そのものにも別途、提供先の確認を義務付ける改正が入ります（オプトアウト制度の強化）。
(3) 利用停止等請求の要件緩和
本人は、保有個人データに含まれる特定生体個人情報について、違法行為等の有無を問わず利用停止等を請求できるようになります（例外あり）。
① 規則で定める「特定生体個人識別符号の作成の状況または取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合」（同項第9号）は、目的外利用等の規律緩和の論点と同様でよいか（目的外利用等の規律緩和）。
② 法律で定めた9つの例外事由に加えて、政令で定めるべき例外事由はあるか（同項第10号）。
3. 現行制度と何が違うか
現行の制度では、生体データとしての「個人識別符号」（顔特徴データを含む）も、利用目的を自社のウェブサイトなどに掲載して公表すれば取得できました。令和5年に委員会が「犯罪予防や安全確保のための顔識別機能付カメラシステムの利用について」で掲示の例などを示し、Q&Aに一定の記載はありましたが、法律上の特別な規律はありませんでした。
今回の改正で初めて、法律の条文として、周知の義務・オプトアウト提供の禁止・利用停止等請求の要件緩和という3つの特別な規律が置かれます。
4. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
5. 自社が該当するかを考える順序
- 顔写真や映像を保存しているだけか、そこから特徴情報を抽出して本人を識別しているか。後者であれば規律の対象になりうる。
- 識別を行っているのが自社か、委託先（カメラやシステムの提供事業者）か。委託先で行っている場合は、委託先の個人データ取扱いの規律も併せて見る。
- 現在の周知の状態（掲示・ウェブサイトへの記載）を書き出しておく。委員会規則で周知方法が示された時点で、差分がすぐ分かる。
- オプトアウトの届出をして顔特徴データ等を第三者に提供していないか。取り扱う情報が特定生体個人情報に当たる場合は、施行までに提供方法の見直しが必要になる。
6. 子供の顔特徴データ等を扱う場合はどうなるか（法第35条第7項・第9項の関係）
顔特徴データ等の利用停止等請求（法第35条第7項）と、子供〈16歳未満〉の利用停止等請求（法第35条第9項）は、どちらも「違法行為等の有無を問わない」という点で共通し、例外事由の一部を政令・委員会規則に委ねている点も共通します。決まっていることと、これから決まる範囲を条文の号番号で分けると次のとおりです。
| 顔特徴データ等（第35条第7項） | 子供・16歳未満（第35条第9項） | |
|---|---|---|
| 法律で決まっていること | 違法行為等の有無を問わない利用停止等請求権そのもの。例外事由も法律上9類型が列挙されている | 同左。例外事由は法律上11類型が列挙されている |
| 委員会規則で決まるのを待つ例外 | 特定生体個人識別符号の作成・取得の状況からみて本人の意思に反しないため権利利益を害しないことが明らかな場合（同項第9号） | 取得の状況からみて子供本人の権利利益を害しないことが明らかな場合（同項第8号）、一定の主体により公開されていた場合の公開主体（同項第9号） |
| 政令で決まるのを待つ例外 | 法律上の9類型に準じる例外事由として追加すべきもの（同項第10号） | 法律上の11類型に準じる例外事由として追加すべきもの（同項第12号） |
7. 防犯カメラ・監視カメラを置いている場合の考え方
店舗や施設に置く防犯カメラ・監視カメラが顔特徴データ等の規律の対象になるかどうかは、撮影した画像から顔特徴データを抽出しているかどうかで分かれます。
(1) 従来型防犯カメラ（顔特徴データの抽出を行わないもの）
撮影した画像から顔特徴データの抽出を行わない従来型の防犯カメラは、このページで整理している顔特徴データ等の規律の対象ではありません。個人情報保護委員会のFAQ「Q1-13」（令和5年5月追加。今回の改正前の現行法についての回答）は、店舗や駅・空港等に従来型防犯カメラを設置し防犯目的で画像を利用する場合の留意点を次のように整理しています。
- カメラにより特定の個人を識別できる画像を取得する場合は個人情報を取り扱うことになり、利用目的をできる限り特定し、その範囲内で利用する必要がある。
- 利用目的が防犯目的であることがカメラの設置状況等から明らかな場合は、利用目的の通知・公表は不要と考えられる（法第21条第4項第4号）。
- カメラにより自らの個人情報が取得されていることを本人が容易に認識できない場合は、容易に認識できるようにする措置（例: 作動中である旨の掲示）を講じる必要がある（法第20条第1項）。
(2) 顔識別機能付きカメラ（顔特徴データを抽出するもの）
撮影した画像から顔の特徴情報を抽出し、本人を識別できる状態にするカメラ（顔識別機能付きカメラ、万引き防止目的の顔認証システムなどを含む）は、このページで整理している顔特徴データ等の規律の対象になりえます。対象になる場合は、次の3つの規律が及びます（上の「2. 新しく設けられる3つの規律」）。周知の義務付け、オプトアウト提供の禁止、利用停止等請求の要件緩和です。
8. 用途別の早見: 勤怠管理・入退室管理・オンライン本人確認（eKYC）・無人店舗の顔認証決済
このページで整理している3つの規律が関係するかを確かめる最初の手掛かりは、顔から特徴情報を抽出し、本人を識別できる状態にしているかです。ただし、法律上の対象は政令で定める範囲によって決まります。防犯カメラに限らず、次の業務用途でも同じ順序で確認します。
(1) 勤怠管理（顔認証タイムレコーダー等）
ICカードや指静脈認証ではなく顔認証で従業員の出退勤を打刻する仕組みは、打刻のたびに撮影した顔画像から特徴情報を抽出し従業員本人を識別しているのであれば、顔特徴データ等の規律の対象になりえます。
(2) 入退室管理（オフィス・工場等への社員の入退室）
社員証やICカードの代わりに顔認証でオフィス・工場等への入退室を管理する場合も同じ基準で考えます。業種別入口ページの入退館・入場管理カテゴリは会員・利用者向けの入退館・入場管理を扱っていますが、従業員の入退室管理は対象者が従業員である点が異なるだけで、顔特徴データを抽出して本人を識別しているかどうかという判断の軸は共通します。
(3) オンライン本人確認（eKYC）
本人確認書類の画像と利用者の顔を照合して本人確認を行う手法（eKYCと呼ばれます）も、顔から特徴情報を抽出して本人を識別しているのであれば対象になりえます。カーシェアリング・レンタカー事業者やオンライン資格試験・遠隔監督サービス事業者で扱っている顔認証による本人確認も同じ枠組みに入ります。
(4) 無人店舗の顔認証決済
無人店舗のレジで、事前に登録した顔情報と照合して本人を識別し決済する仕組みも同じ基準で考えます。上の「7. 防犯カメラ・監視カメラを置いている場合の考え方」で扱った顔識別機能付きカメラは店舗側が来店客を受動的に識別する運用ですが、顔認証決済は利用者本人が決済のために顔情報を能動的に登録・利用する点で、周知や同意の取得方法という実務上の論点が異なります。
9. 3つの規律の決まり具合
| 規律 | 法律で決まっていること | 未確定のこと |
|---|---|---|
| 周知の義務付け | 名称・住所・代表者の氏名、特定生体個人情報を取り扱うこと、利用目的、元となる身体的特徴の内容、開示等請求に応じる手続を周知すること | 周知の方法と法律列挙事項に加える事項（委員会規則）、例外事由の追加（政令） |
| オプトアウト提供の禁止 | 特定生体個人情報にはオプトアウト制度による第三者提供が使えないこと | 特定生体個人情報に含まれる身体的特徴の範囲（政令） |
| 利用停止等請求の要件緩和 | 保有個人データに含まれる特定生体個人情報について、違法行為等の有無を問わず請求できること（例外あり） | 例外事由のうち、政令で定めるもの（法第35条第7項第10号）と委員会規則で定めるもの（同項第9号） |
よくある質問
顔特徴データとは何ですか。
顔の骨格や皮膚の色、目・鼻・口などの位置や形状から特徴情報を抽出し、本人を識別できるようにしたデータです。単なる顔写真ではなく、顔認証などで照合に使える状態にしたものを指します。規律の対象となる範囲は政令で定められるため、確定していません。
特定生体個人情報とは何ですか。顔特徴データと同じですか。
特定生体個人情報は、法律上の用語で、特定生体個人識別符号（政令で定める身体的特徴を変換したもの）が含まれる個人情報です。顔特徴データは、その中心として想定されている例で、両者は完全に同じ意味ではありません。どの身体的特徴が政令で定められるかは確定しておらず、顔以外が含まれるかも未確定です。
顔写真や防犯カメラの映像を保存しているだけでも、顔特徴データ等に当たりますか。
改正法の概要資料は、単なる顔写真ではなく、顔から特徴情報を抽出し、本人を識別できる状態にしたデータを対象に想定しています。抽出を行わない従来型の防犯カメラは、顔特徴データ等の規律の対象ではありません。対象となる範囲は政令で定められるため、確定していません。
周知しなければならない事項は何ですか。
法律は、事業者の名称・住所・代表者の氏名、特定生体個人情報を取り扱うこと、その利用目的、特定生体個人識別符号の元となる身体的特徴の内容、開示等請求に応じる手続を周知事項として列挙しています。周知の方法と、法律が列挙した事項に加える事項は委員会規則で定められる予定で、まだ公布されていません。
オプトアウトの届出をして、顔特徴データ等を第三者に提供していた場合はどうなりますか。
取り扱う情報が特定生体個人情報に当たる場合は、本人の同意を得ずに届出だけで第三者に提供するオプトアウト制度を利用できなくなります。現在この方法で提供している事業者は、施行までに提供方法の見直しが必要です。
いつから義務になりますか。
本体部分に含まれ、公布の日から起算して2年を超えない範囲内で政令で定める日から施行されます。実際の施行日は、政令で指定されるまで確定しません。
顔特徴データ等を扱う業種の節
自社の業種での扱いは、業種別の入口ページの各節にまとめています。次の21業種の節で、顔特徴データ等への関わり方を確認できます。
- 小売店舗・商業施設運営者
- 顔認証で入退館・入場を管理する施設
- ホテル・宿泊施設
- カーシェアリング・レンタカー事業者
- オンライン資格試験・遠隔監督サービス事業者
- 警備会社・入退場管理システム導入支援事業者
- eKYC・本人確認サービス事業者
- 建設現場の入退場管理事業者
- 写真館・フォトスタジオ
- マンション管理組合・自治会・町内会
- 飲食店・飲食チェーン
- 自動車ディーラー・整備工場
- 自動車教習所
- 自宅に入る生活サービス事業者
- 民泊・マンスリー賃貸・シェアハウスの運営者
- 結婚式場・ブライダル事業者
- 古物商・リユース買取店
- コワーキングスペース・貸会議室・レンタルオフィス運営者
- 家庭教師派遣・オンライン家庭教師仲介
- ドローン空撮・測量・点検事業者
- スマート家電・IoT機器・見守りカメラのメーカー・販売事業者
出典
- S-44個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律」本文（PDF） 第16条第5項・第21条の2・第27条第2項・第35条第7項（台帳確認日 2026-10-03、ページ再確認日 2026-10-10）
- S-09/S-13/S-14/S-15個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第2の2「顔特徴データ等に関する規律」（確認日 2026-09-04）
- S-16個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF・2026年8月26日）（確認日 2026-09-04）
- S-30個人情報保護委員会事務局「政令・規則の整備に向けた基本的な考え方について①」（PDF・2026年9月16日） 2-②「顔特徴データ等に関する規律」の論点と方向性（確認日 2026-09-21）
- S-31個人情報保護委員会事務局「読替表（16歳未満の者の個人情報等の取扱いの規定関係）」（PDF・2026年9月16日）（確認日 2026-09-21）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（台帳確認日 2026-09-04、ページ再確認日 2026-10-10）
- S-32個人情報保護委員会「よくある質問（FAQ）」Q1-13（令和5年5月追加。確認日 2026-09-23）