顔認証で入退室を管理している、店舗に顔識別機能付きのカメラを置いている、顔での本人確認をサービスに組み込んでいる。こうした事業者に新しい義務がかかります。何が決まっていて、何がこれから政令・規則で決まるのかを分けて書きます。
1. 定義として示されているもの
改正法の概要資料は、規律の対象を次のように説明しています。
「顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を識別することを目的とした装置やソフトウェアにより、本人を識別することができるようにしたもの」を想定する、というものです。
つまり単なる顔写真ではなく、顔から特徴情報を抽出し、本人を識別できる状態にしたデータが対象です。規律を設ける理由として、本人が関知しないうちに容易に、それゆえに大量に入手でき、一意性および不変性が高く、特定の個人を識別する効果が半永久的に続くことが挙げられています。
2. 課される3つの義務
概要資料は、顔特徴データ等に対して次の3つの規律を設けるとしています。
(1) 一定の事項の周知の義務付け
次の事項を周知することが義務付けられます。
- 個人情報取扱事業者の名称・住所・代表者の氏名
- 顔特徴データ等を取り扱うこと
- その利用目的
- 顔特徴データ等の元となった身体的特徴の内容
- 利用停止請求に応じる手続 など
(2) オプトアウト制度に基づく第三者提供の禁止
本人の同意を得ずに届出だけで第三者に提供するオプトアウト制度は、顔特徴データ等には使えなくなります。
(3) 利用停止等請求の要件緩和
本人は、違法行為等の有無を問わず、利用停止等を請求できるようになります（例外あり）。
3. 現行制度と何が違うか
現行の制度では、生体データとしての「個人識別符号」（顔特徴データを含む）も、利用目的を自社のウェブサイトなどに掲載して公表すれば取得できました。令和5年に委員会が「犯罪予防や安全管理のための顔識別機能付カメラシステムの利用について」で掲示の例などを示し、Q&Aに一定の記載はありましたが、法律上の特別な規律はありませんでした。
今回の改正で初めて、法律の条文として、周知の義務・オプトアウト提供の禁止・利用停止等請求の要件緩和という3つの特別な規律が置かれます。
4. いつから
この規律は本体部分に含まれ、「公布の日から起算して2年を超えない範囲内において政令で定める日」から施行されます。上限は2028年7月16日で、実際の施行日は政令で指定されます。決定タイムラインで追記していきます。
5. 自社が該当するかを考える順序
個別の判断はできませんが、確認の順序は示せます。
- 顔写真や映像を保存しているだけか、そこから特徴情報を抽出して本人を識別しているか。後者であれば規律の対象になりうる。
- 識別を行っているのが自社か、委託先（カメラやシステムの提供事業者）か。委託先で行っている場合は、委託先の個人データ取扱いの規律も併せて見る。
- 現在の周知の状態（掲示・ウェブサイトへの記載）を書き出しておく。委員会規則で周知方法が示された時点で、差分がすぐ分かる。
- オプトアウトの届出をして顔特徴データ等を第三者に提供していないか。していれば、施行までにやめる必要がある。
出典
- S-09/S-13/S-14/S-15個人情報保護委員会「個人情報の保護に関する法律等の一部を改正する法律について」（PDF） 第2の2「顔特徴データ等に関する規律」（確認日 2026-09-04）
- S-16個人情報保護委員会事務局「政令・規則等で定める事項の全体像」（PDF・2026年8月26日）（確認日 2026-09-04）
- S-02個人情報保護委員会「令和8年改正個人情報保護法」（確認日 2026-09-04）