顔特徴データ等とは、顔から抽出した本人識別用の特徴情報のことです。

顧問先から、うちの防犯カメラは改正法の対象になるのかと聞かれたとき、事務所として即答できる整理を持っているでしょうか。令和8年改正個人情報保護法は、課徴金や統計特例といった話題が先行しましたが、実務の現場で先に効いてくるのは顔特徴データ等と16歳未満の個人情報という2つの規律です。この記事では、公表資料から読み取れる改正の骨格と、士業事務所が顧問先に説明するときの論点整理、そして説明資料の下ごしらえに生成AIをどう噛ませるかを扱います。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。改正法は令和8年7月17日に公布され、施行期日は原則として公布日から起算して2年を超えない範囲内で政令で定める日とされています（出典: 個人情報保護委員会 個人情報保護法等の一部を改正する法律について）。

課徴金の陰に隠れた2つの規律が、先に顧問先の現場を動かす

令和8年改正は、個人情報保護委員会が公表した概要資料で4本の柱に整理されています。適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等防止、規律遵守の実効性確保の4つです。世間の関心は4つ目の課徴金に集まりましたが、顧問先の日常業務に手触りのある変化をもたらすのは2つ目の柱に置かれた顔特徴データ等と子どもの個人情報の規律です。

その理由は対象事業者の広さにあります。課徴金の対象は、概要資料によれば対象行為に係る本人の数について1,000人を基準とする大規模事案に限定され、しかも不適正な利用の禁止（個人情報保護法第19条）、適正な取得（同法第20条第1項）、第三者提供の制限（同法第27条第1項）の違反と統計特例違反という限られた行為類型が想定されています。中小企業の顧問先の大半は、この射程には普段は入りません。

一方で、顔識別機能付きのカメラを店舗や工場の入退室管理に入れている顧問先、あるいは未成年者を会員として抱えるスクール・塾・スポーツクラブ・オンラインサービスの顧問先は、規模を問わず新しい規律の射程に入ってきます。改正法は顔特徴データ等について、取扱いに関する一定の事項の周知を義務とする規定を新設し、オプトアウト制度に基づく第三者提供を禁じ、利用停止等請求の要件を緩めるという3点セットの手当てを置きました。16歳未満についても、同意取得や通知等に法定代理人の関与を求める規定と、利用停止等請求の要件緩和、最善の利益を優先して考慮する責務規定が置かれます。

士業事務所の立場で押さえておきたいのは、いずれも直ちに違反になる話ではなく、施行までに社内の運用と掲示物と規程を作り替える話だという点です。公布から2年以内という猶予は、顧問先が自力で気づいて動くには長すぎ、事務所が声をかけずに放置すると直前に殺到する程度の長さでもあります。課徴金の話題で顧問先の関心が高いうちに、この2つの規律まで一緒に説明しておくのが実務的です。課徴金そのものの説明の組み立ては個人情報保護法の課徴金制度を顧問先にどう説明するかにまとめてあります。

顔特徴データ等の3点セットを顧問先の現場言語に翻訳する

概要資料が示す顔特徴データ等の想定は、顔の骨格や皮膚の色、目・鼻・口その他の顔の部位の位置と形状から抽出した特徴情報を、本人を識別する目的の装置やソフトウェアで識別できるようにしたものです。単なる顔写真ではなく、個人情報保護法第2条第2項の個人識別符号のうち顔特徴データを想定していると読めます。ここが顧問先との会話で最初にずれるポイントです。映像を録画しているだけの顧問先と、顔認証で入退室を管理している顧問先では、改正の当たり方が変わってきます。

事務所からの一次質問は3つに絞ると話が早く進みます。第一に、カメラ映像から特徴量を抽出して照合しているか。第二に、抽出した特徴量をデータベースとして保持しているか。第三に、その特徴量を外部に提供しているか。この3つがすべて「いいえ」であれば、当面は現行のカメラ運用の掲示と利用目的の公表の話に戻ります。ひとつでも「はい」があれば、改正法の第21条の2として新設される周知義務の設計に入る、という順番です。

周知の内容として概要資料が挙げているのは、事業者の名称・住所・代表者の氏名、顔特徴データ等を取り扱うこと、その利用目的、元となった身体的特徴の内容、利用停止請求に応じる手続などです。具体的な周知の方法は委員会規則等で定めることが想定されているため、現時点で掲示物の最終形を作り込むのは早すぎます。事務所が今できるのは、この5項目を埋めるための情報を顧問先の側で確定させておくことです。とくに利用停止請求に応じる手続の項目は、受付窓口・本人確認の方法・社内の判断ルート・回答期限を決めないと書けません。ここは規程整備の仕事そのものであり、士業が入る価値が最も出る部分です。

3点セットの2つ目、オプトアウト制度に基づく第三者提供の禁止は、名簿事業に近い運用をしている顧問先に効きます。3つ目の利用停止等請求の要件緩和は、違法行為等の有無を問わず請求を可能とする方向の改正で、同法第35条の利用停止等の枠組みが広がる形になります。本人の同意を得て作成・取得した顔特徴データ等である場合など、例外も置かれる想定です。顧問先には、請求が来る前提で窓口を作る、という言い方をすると伝わりやすくなります。

16歳未満で分岐する4つの確認ポイント

子どもの個人情報については、現行法では法定代理人の関与に関する法律上の年齢基準がなく、ガイドラインとQ&Aの記載で運用されてきました。概要資料は、一般には12歳から15歳までの年齢以下の子どもの場合に法定代理人等から同意を得る必要があるとされてきた経緯を示したうえで、年齢基準を16歳未満として明文化する方向を示しています。参照されているのは委員会のQ&A（Q1-62）と、欧州の一般データ保護規則における同種の年齢基準です。

顧問先との確認は4つに分けると漏れません。第一に、16歳未満の本人から直接情報を取得する場面があるか。第二に、あるとして、その場面で法定代理人の関与をどう設計するか。第三に、法定代理人の関与を求めない例外に当たる余地があるか。第四に、利用停止等請求が来たときにどう処理するか。

第三の例外について、概要資料は3つを挙げています。本人が16歳未満であることを事業者が知らないことについて正当な理由がある場合、法定代理人が本人の営業を許可しており事業者が当該営業に関して個人情報を取得した場合、本人に法定代理人がない又はそのように事業者が信ずるに足りる相当な理由がある場合です。オンラインサービスの顧問先では、第一の例外に寄りかかった設計をしたくなりますが、年齢確認の実装を怠ったまま「知らなかった」と主張できるかは論点になります。

第四の利用停止等請求については、違法行為の有無等を問わない請求を可能とする方向で、例外として法定代理人の同意を得て取得された保有個人データである場合、要配慮個人情報の取得に係る例外要件と同種の要件に該当する場合、本人が16歳以上であると信じさせるために詐術を用いた場合、法定代理人が本人の営業を許可している場合などが並びます。加えて、未成年者の個人情報等の取扱いについて、年齢と発達の程度に応じて最善の利益を優先して考慮したうえで、権利利益を害することのないよう必要な措置を講ずる努力義務の責務規定が置かれます。この責務規定は、具体的な行為義務というより社内の判断基準に落とす性質のもので、規程やプライバシーポリシーの前文に反映させる作業になります。

顧問先資料をAIに入れる前に決めておく3つのこと

ここまでの整理を顧問先向けの説明資料に落とす作業は、生成AIが得意な領域です。ただし、この作業には顧問先の実在する業務フローや会員データの構造が混ざります。守秘義務との関係を先に決めないまま手を動かすと、事務所の側が説明できない状態になります。

決めるべきことの1つ目は、入力してよい情報の粒度です。改正法の条文と委員会の公表資料は公開情報なので、そのまま入力できます。一方、顧問先の名称、会員数、カメラの設置場所、システムのベンダー名は顧問先固有の情報です。事務所として業種と業態の抽象化までは入力してよい、固有名詞と実データは入力しない、といった線を先に引きます。この線引きの作り方はプロンプトに個人情報を入れる前に 士業事務所が決める運用ルール7項目で詳しく扱っています。

2つ目は、使うツールの入力データの取扱いです。API経由の入力を既定で学習に用いない旨はOpenAIのAPI Data Usage Policiesに、ゼロデータ保持を含む商用利用時の扱いはAnthropicの商用利用規約に記載があります。事務所として採用するプランと、その設定を誰が確認して記録するかまで決めておくと、顧問先から質問が来たときに事実で答えられます。

3つ目は、士業ごとの守秘義務の根拠を自分の言葉で説明できるようにしておくことです。弁護士については弁護士法第23条が秘密保持の権利および義務を、社会保険労務士については社会保険労務士法第21条が秘密を守る義務を、行政書士については行政書士法第12条が秘密を守る義務を、それぞれ定めています。顧問先に対してクラウドAIへの資料投入の可否を説明する場面では、個人情報保護法の第三者提供の枠組み（同法第27条）と、士業側の守秘義務の条文を分けて説明すると議論が整理されます。

なお、AI開発向けの統計特例（改正法の第30条の2、第31条の3として新設される想定）が入ったことで、AI学習に使うなら同意は要らない、という誤解が顧問先側に生まれやすくなっています。特例には公表や書面合意といった担保の規律が付き、違反は課徴金の対象行為に含まれる想定です。統計特例の読み方は個人情報保護法が2026年7月に公布 士業事務所が読む課徴金と統計特例の7論点にまとめました。

説明資料の下書きをAIで作る5ステップ

ここからは実装です。顧問先向けの説明資料を作る手順を5つに分けます。有資格者が最終確認する工程を、意図的に第4ステップに固定してあります。

第1ステップは、素材の確定です。委員会の令和8年改正個人情報保護法のページと概要資料のPDFを手元に置き、引用する箇所に印を付けます。生成AIに要約させる前に、人間が一次情報を読む工程を省かないのが前提です。

第2ステップは、顧問先の業態プロファイルの抽象化です。実名と実数を落とし、業種・規模帯・データの持ち方だけを残した記述に置き換えます。この置き換え自体は事務所内で手作業で行います。

第3ステップは、生成AIによる論点マップの作成です。抽象化したプロファイルと、改正の論点リストを与えて、その顧問先に当たる論点と当たらない論点を仕分けさせます。

あなたは日本の個人情報保護実務に詳しい編集アシスタントです。
以下の「改正論点リスト」と「顧問先プロファイル」を突き合わせ、
(1)当たる可能性が高い論点 (2)当たらないと整理できる論点
(3)情報不足で判断できない論点 の3分類で出力してください。

制約:
- 法的な結論は書かず、確認すべき事実を箇条書きで挙げること
- 各論点には、根拠となる公表資料の該当箇所を必ず引用符なしで示すこと
- 推測で条番号を書かないこと。分からない場合は「要確認」と書くこと

改正論点リスト:
{委員会概要資料から抜き出した論点を貼り付け}

顧問先プロファイル:
{業種／規模帯／取得している情報の種類／未成年会員の有無／カメラの有無}

第4ステップは、有資格者による確認です。第3ステップの出力から、条番号・施行時期・例外要件の3点を一次情報に当てて突き合わせます。生成AIは条番号を作文することがあるため、この工程は省けません。改正で新設される条番号は現行のe-Gov本文にはまだ載らないので、委員会の概要資料の該当ページを根拠にします。

第5ステップは、顧問先向けの文面化です。確認済みの論点だけを渡して、説明資料の本文に整えます。

以下の「確認済み論点」だけを使って、顧問先の経営者向け説明資料の本文を作ってください。

条件:
- 対象読者は法務の専門部署を持たない中小企業の経営者
- 断定的な法的結論を書かず、「確認が必要な事項」として提示する
- 全体を800字程度、見出し3つ、箇条書きは各見出し3行まで
- 施行時期は「公布日から起算して2年を超えない範囲内で政令で定める日」と書く
- 確認済み論点に無い事項は追加しない

確認済み論点:
{第4ステップで有資格者が承認した論点のみを貼り付け}

このプロンプトのポイントは、第5ステップで新しい情報を足させないことです。生成AIに文章を整えさせる工程と、事実を調べさせる工程を分けると、事務所として検証できる範囲に成果物が収まります。

つまずきやすい3つの失敗と回避策

1つ目は、条番号の作文です。改正法で新設される条番号は現行のe-Gov本文に存在しないため、生成AIに改正後の条番号を尋ねると、それらしい番号を返してくることがあります。回避策は、条番号を尋ねないことです。委員会の概要資料に括弧書きで示された条番号だけを転記し、それ以外は書かない運用にします。

2つ目は、顧問先の資料をそのままクラウドに投入することです。顔識別機能付きカメラの設置図面や、未成年会員の名簿サンプルは、匿名化したつもりでも復元可能な情報が残りがちです。回避策は、入力前に事務所内で抽象化する工程を必須にすること、そして誰が抽象化したかを記録に残すことです。

3つ目は、施行前なのに対応が済んだと顧問先が誤解することです。委員会規則やガイドラインは今後整備される想定なので、現時点の説明資料はあくまで暫定版です。回避策は、資料の冒頭に作成時点と、規則・ガイドラインの公表後に見直す旨を明記することです。事務所側でも、委員会の新着情報を定期的に確認する担当を決めておくと取りこぼしが減ります。

費用と工数、そして誰が持つか

この取り組みの費用は、生成AIのライセンスと人件費に分かれます。ライセンスは事務所で既に契約しているプランの範囲で足りることが多く、追加の設備投資は基本的に不要です。工数の中心は第1ステップの一次情報の読み込みと、第4ステップの有資格者による確認に寄ります。逆に言えば、生成AIが削るのは第3ステップと第5ステップの下書き工数であって、確認工数は削れません。ここを誤って見積もると、事務所内でAIを入れたのに楽にならないという評価になります。

体制としては、一次情報のウォッチ担当、抽象化と入力の担当、最終確認の有資格者の3役を分けるのが扱いやすい形です。小規模な事務所では兼務になりますが、役割として分けておくと、後から記録を追えます。顧問先への案内は、既存の顧問契約の枠内でのフォローとして出すか、規程整備の個別業務として見積もるかで分かれます。カメラ運用や会員規約の見直しまで踏み込むなら、後者の設計にしたほうが工数と報酬が合います。

施行までの2年で何が決まっていくか

今後の焦点は委員会規則とガイドラインです。顔特徴データ等の周知の方法、対象となる顔特徴データの具体的範囲、16歳未満の例外要件の運用、統計特例の公表事項など、実務が動く部分の多くが下位法令に委ねられています。事務所としては、規則案のパブリックコメントが出た段階が、顧問先向けの説明資料を暫定版から改訂版に上げるタイミングになります。

もうひとつの論点は、生成AI事業者側の動きです。統計特例がAI開発を念頭に置いた設計になっている以上、国内のAI事業者がデータ調達の枠組みをどう作り替えるかが、顧問先のベンダー選定に跳ね返ってきます。事務所が顧問先のAI導入に関与しているなら、ベンダーとの契約書に特例依拠の有無を明記させるかどうかが、次の実務論点になります。

よくある質問

防犯カメラを設置しているだけの顧問先も対象になりますか

対象になるかどうかは、顔特徴データ等を取り扱っているかで分かれます。委員会の概要資料は、単なる顔写真ではなく個人識別符号のうち顔特徴データを想定していると読めるため、映像を録画しているだけで照合していない運用は、改正の中心的な射程からは外れると整理できる余地があります。ただし現行のカメラ運用に関する掲示や利用目的の公表の話は別途残るため、顧問先には両者を分けて説明すると混乱が減ります。

16歳未満の年齢基準は、いつから適用されますか

改正法の施行日からです。施行期日は原則として公布の日から起算して2年を超えない範囲内で政令で定める日とされています（出典: 個人情報保護委員会）。政令が出るまで具体的な日付は確定しないため、顧問先には2年以内に来るという粒度で伝え、確定次第に案内する運用が現実的です。

課徴金は中小企業の顧問先にも及びますか

概要資料が示す設計では、大規模事案に限定する趣旨で本人の数について1,000人を基準とすることが想定されています（出典: 個人情報保護委員会 概要資料）。加えて、対象行為も限られた類型に絞られています。中小企業の通常の運用が直ちに射程に入る設計ではありませんが、対象行為の類型そのものは規模を問わず適用される規制なので、そちらの遵守の話として説明するのが筋が通ります。

生成AIに顧問先の名簿を入れて分析させてよいですか

事務所として先に線を引く問題です。個人データを外部サービスに渡す行為は第三者提供の枠組み（個人情報保護法第27条）と、士業側の守秘義務の両面から検討する論点になります。委託として整理する場合でも、委託先の監督や、改正で新設される委託先自身の義務の議論が絡みます。実務上は、名簿そのものを入れず、構造だけを抽象化して入れる運用にしておくと検討が単純になります。

説明資料に条番号を書いても大丈夫ですか

改正法の条番号は、委員会の概要資料に括弧書きで示されているものを転記する範囲であれば、出所が明確です。一方、現行のe-Gov本文にまだ反映されていない条番号を生成AIに推測させて書くのは避けたほうが安全です。現行法の条番号を引く場合は、e-Gov法令検索の原文を開いて確認したうえで、リンクを添えて書きます。

顧問先から今すぐ何をすればよいかと聞かれたら何と答えますか

情報の棚卸しから、と答えるのが実務的です。顔特徴データ等を扱っているか、16歳未満の情報を取得しているか、この2点の事実確認が起点になります。規則やガイドラインが出ていない段階で掲示物や規程を作り込んでも、後で作り直しになります。棚卸しの結果を一覧にしておけば、規則が出た時点で差分だけを埋められます。

士業事務所自身も対象になりますか

事務所が個人情報取扱事業者である以上、改正法の規律は事務所にも及びます。顔認証で事務所の入退室を管理している場合や、未成年の相談者・依頼者の情報を扱う業務がある場合は、顧問先向けの整理をそのまま自事務所に当てる作業が必要になります。顧問先に説明する前に自事務所を点検しておくと、説明の説得力が変わります。

参考文献

• 個人情報保護委員会 個人情報保護法等の一部を改正する法律について（令和8年7月）
• 個人情報保護委員会 令和8年 改正個人情報保護法について
• 個人情報保護委員会 個人情報の保護に関する法律等の一部を改正する法律の公布について
• e-Gov法令検索 個人情報の保護に関する法律
• e-Gov法令検索 弁護士法
• e-Gov法令検索 社会保険労務士法
• e-Gov法令検索 行政書士法

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/