顔特徴データ等の規律とは、生体データの取扱いに周知義務を課す仕組みのことです。

顔認証で入退室を管理している事務所や、顧問先にその導入を勧めた事務所は、対応の見直しが必要になる可能性があります。令和8年の個人情報保護法改正で、顔特徴データ等の取扱いに周知の義務が加わり、16歳未満の本人については法定代理人の関与が明文化されました。本記事では、個人情報保護委員会が公表した改正法の説明資料を出発点に、士業事務所が自所と顧問先で動かす工程を整理します。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、行政の見解は各府省庁の公表資料で確認しています。

令和8年改正で何が変わり、いつから効くのか

先に時間軸を押さえます。前掲の個人情報保護委員会の資料によると、個人情報の保護に関する法律等の一部を改正する法律は、第221回国会において令和8年7月10日に成立しました。施行期日は、原則として公布の日から起算して2年を超えない範囲内、と同資料に記載されています。日付が固まっていない部分があるため、顧問先への案内では、施行日は今後の政令等で確定する旨を添えておくのが安全側です。

改正の柱は4つに整理されています。同資料は、適正なデータ利活用の推進、リスクに適切に対応した規律、不適正利用等防止、規律遵守の実効性確保、という区分を示しています。本記事が扱う顔特徴データ等と16歳未満の規律は、2番目のリスク対応の柱に置かれています。

顔特徴データ等について、同資料は、生体データのうち顔特徴データ等は本人が関知しないうちに容易に大量に入手可能であり、一意性および不変性が高く特定の個人を識別する効果が半永久的に継続するため、取扱いが本人のプライバシー等の侵害につながる可能性がある、という問題意識を示しています。半永久的という言葉が使われている点が、この規律の性格をよく表しています。パスワードは変えられますが、顔は変えられません。

16歳未満については、現行の枠組みからの変化が大きい部分です。同資料は、現行規定では子供の個人情報の取扱い等に係る事業者の義務がガイドラインやQ&Aにおける記載のみであるとし、一般的には12歳から15歳までの年齢以下の子供の場合に法定代理人等から同意を得る必要があるとされてきた、と説明しています。改正では年齢基準が16歳未満と示され、法令上の位置づけになります。

課徴金と罰則の強化も同時に入っています。この部分は個人情報保護法の課徴金制度を顧問先にどう説明するかで扱っているので、実効性確保の側から見たい場合はそちらを参照してください。

見落とされやすいのが、緩和と強化が同じ改正に同居している点です。前掲の資料は、統計情報等の作成にのみ利用される場合について本人同意を不要とする措置や、取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合の同意不要化、そして漏えい等発生時に本人の権利利益の保護に欠けるおそれが少ない場合の本人通知義務の緩和を挙げています。顧問先向けの案内を「規制強化」の一色で書くと、実態からずれます。

もう1点、事業者側の負担が増える箇所として、オプトアウト制度の確認義務があります。同資料は、オプトアウト制度に基づく第三者提供時に、あらかじめ提供先の身元と利用目的を確認しなければならないこととする、と説明しています。背景として、いわゆる闇名簿の問題が深刻化する中で、届出事業者が悪質な名簿屋に名簿を提供する事案が発生している、という記載も置かれています。名簿を扱う顧問先を抱える事務所では、ここも同時に見る箇所になります。

顔特徴データ等の規律を7工程で棚卸しする

結論から言うと、事務所がまずやるのは自所と顧問先の顔特徴データ等の洗い出しです。規律の細目より、どこで使っているかの把握が先に来ます。

第1工程は、対象の特定です。前掲の資料は、顔特徴データ等について、顔の骨格および皮膚の色ならびに目、鼻、口その他の顔の部位の位置および形状から抽出した特徴情報を、本人を識別することを目的とした装置やソフトウェアにより本人を識別できるようにしたもの、を想定していると注記しています。単なる顔写真ではなく個人識別符号のうち顔特徴データを想定し、具体的な範囲は政令以下で定めることを想定する、とも書かれています。防犯カメラの映像を保存しているだけなのか、特徴量を抽出して照合しているのかで、扱いが分かれる可能性があります。

第2工程は、周知事項の確認です。同資料は、周知を義務付ける事項として、個人情報取扱事業者の名称・住所・代表者の氏名、顔特徴データ等を取り扱うこと、その利用目的、元となった身体的特徴の内容、利用停止請求に応じる手続等を挙げています。周知の具体的な方法は委員会規則等で定めることを想定する、とされています。現行の利用目的の公表だけでは足りない項目が並んでいる点が要点です。

第3工程は、オプトアウトの棚卸しです。同資料は、顔特徴データ等について、オプトアウト制度に基づく第三者提供を不可とする、と明記しています。オプトアウト制度そのものは個人情報保護法第27条第2項に定めがあり、本人の求めに応じて提供を停止することとしている場合に、あらかじめ本人に通知するか本人が容易に知り得る状態に置き、委員会に届け出たときは同意なく第三者提供ができる建て付けになっています。顔特徴データ等はこの経路から外れます。

第4工程は、利用停止等請求への備えです。同資料は、顔特徴データ等について、違法行為等の有無を問わず利用停止等請求を可能とする、としたうえで、本人の同意を得て作成または取得された顔特徴データ等である場合などを例外として挙げています。現行の利用停止等の枠組みは個人情報保護法第35条に置かれており、違反があるときに請求できる構造ですが、そこが緩和される方向です。事務所や顧問先に請求が来たときの受付窓口と対応手順を、先に決めておく作業になります。

第5工程は、16歳未満の判定です。同資料は、同意取得や通知等に係る規定に法定代理人の関与を義務付けるとし、例外として、本人が16歳未満であることを事業者が知らないことについて正当な理由がある場合、法定代理人が本人の営業を許可しており事業者が当該営業に関して個人情報を取得した場合、本人に法定代理人がない場合等を挙げています。事務所側の実務では、Webフォームや申込書に年齢確認の欄があるか、あるとして何をもって正当な理由と言えるかの整理が要ります。

第6工程は、未成年者に関する責務規定への対応です。同資料は、未成年者の個人情報等の取扱い等について、当該未成年者の年齢および発達の程度に応じて、その最善の利益を優先して考慮したうえで、未成年者の権利利益を害することのないように必要な措置を講ずるよう努めなければならない旨の責務規定を設ける、と説明しています。努力義務の形ですが、方針として文書に残しておくと、後から説明ができます。

第7工程は、委託先の見直しです。同資料は、取扱いを委託された個人データ等を、当該委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務を委託先に明文規定により課す、としています。顔認証システムのベンダーやクラウド事業者との契約を確認する作業がここに入ります。

顧問先の状況を短時間で洗い出すには、聞き取りの型を作っておくと進みます。

あなたは士業事務所の実務補助です。以下の聞き取りメモから、
顔特徴データ等の取扱いに関する棚卸し項目を整理してください。

出力（箇条書き。表は使わない）:
1. 取得している画像・特徴量の種類
2. 照合を行っているか（行っている場合、その目的）
3. 保存場所と保存期間
4. 第三者提供の有無と経路
5. 本人への説明の現状（掲示・Webサイト・書面のいずれか）
6. 委託先の有無と契約書の該当条項の有無
7. 「要確認」と判断した箇所

法的評価や当てはめは書かず、事実の整理と不足情報の抽出にとどめてください。

聞き取りメモ:
"""
{ここに顧問先からの聞き取り内容を貼る}
"""

年齢確認まわりの現状把握も、同じ要領で下書きが作れます。

あなたは士業事務所の実務補助です。以下のフォーム項目一覧から、
16歳未満の利用者が混在し得る箇所を洗い出してください。

出力:
1. 年齢または生年月日を取得している項目の有無
2. 年齢を取得していない場合、16歳未満が申し込み得るかの推定と根拠
3. 法定代理人の同意欄の有無
4. 取得後の通知・公表の方法
5. 改修が要りそうな箇所の一覧（優先度つき）

助言や法的評価は書かず、現状の整理と論点の列挙にとどめてください。

フォーム項目一覧:
"""
{ここに項目を貼る}
"""

いずれの出力も下書きです。顧問先へ出す前に有資格者が内容を確認する工程を、手順の中に固定しておきます。

顧問先資料をAIに通すときの線引きをどう決めるか

判断の起点は、顧問先から預かった資料に顔画像や生年月日が含まれているかどうかです。今回の改正は、まさにその種のデータの扱いを厚くする方向なので、事務所自身の運用も同じ物差しで見直す機会になります。

守秘義務の根拠は士業ごとに異なります。税理士であれば税理士法第38条に、正当な理由がなくて税理士業務に関して知り得た秘密を他に洩らし、又は窃用してはならない、と定めがあります。弁護士については弁護士法第23条に、職務上知り得た秘密を保持する権利を有し、義務を負う、と規定されています。この条文が事務所の判断の土台になります。

そのうえで、決めておきたい項目は4つです。ひとつ目は、顔画像を含む資料をクラウドのAIサービスに投入しない、という線を引くかどうか。改正が顔特徴データ等に周知義務を課す方向であることを踏まえると、事務所側でも扱いを慎重にする理由が増えています。証拠写真や社員名簿の写真が資料に混ざる場面は、思ったより多くあります。

ふたつ目は、生年月日と年齢の扱いです。16歳未満の判定に使うために取得した情報を、別の目的で使わない整理を先にしておきます。取得目的を絞るほど、後の説明が楽になります。

みっつ目は、投入先サービスの条件確認です。入力データの学習利用の有無、保持期間、保存先を公式ドキュメントで確認し、確認日とともに保存します。法人プランと個人プランで記載が分かれる例が多い点は生成AIの法人プランと学習利用の比較に整理しています。

よっつ目は、顧問先への説明です。改正内容を案内する際、事務所自身がどう扱っているかを併せて示せると、助言の説得力が変わります。依頼者に対するAI利用の伝え方は依頼者へのAI利用の説明と告知で扱っています。

規程に落とすなら、投入不可データの列挙、投入前の承認者、記録の保存期間、そして改正の施行に合わせた見直し時期の4項目を骨格にしている例が見られます。体制の組み方全体はNIST AI RMFを士業事務所に落とすで骨格を整理しました。

顧問先対応でつまずきやすい3つの場面

ひとつ目は、施行日を確定した日付として案内してしまう場面です。前掲の資料が示すのは、原則として公布の日から起算して2年を超えない範囲内、という枠だけです。顧問先向けの資料に具体日を書くと、後で訂正が要ります。時期の幅で書き、確定したら更新する運用にしておくほうが手戻りが少なくなります。

ふたつ目は、防犯カメラをすべて対象と決めつける場面です。前掲の資料は、対象として個人識別符号のうち顔特徴データを想定し、具体的な範囲は政令以下で定めることを想定する、と書いています。映像を録画しているだけの機器と、特徴量を抽出して照合する機器を同列に扱うと、顧問先に過大な負担を求めることになります。現時点では、機器の仕様を確認したうえで、範囲は今後の政令等で確定すると添えるのが実態に合います。

みっつ目は、AIに委員会資料を読ませて、そのまま顧問先向け資料にしてしまう場面です。改正法の説明資料は注記が多く、例外要件が細かく並びます。要約の過程で例外が落ちると、助言としての精度が下がります。原典の該当箇所を横に置いて確認する工程を挟む形が要ります。この種の検証工程の設計は生成AIの架空判例・架空条文を止めるで扱った考え方が応用できます。

費用と工数を見積もる 顧問先50社規模の場合

以下は実測値ではなく、工程から逆算した参考値です。根拠となる費用は、顧問先の業種構成と機器の導入状況で変わります。

最も工数がかかるのは、顧問先ごとの該当有無の判定です。顔認証や入退室管理を導入している顧問先は限られるので、まず一斉のアンケートで絞り込み、該当した先だけ個別に聞き取る二段構えが効率的です。一方、16歳未満の論点は、対象顧客に未成年者が含まれる業種で広く効いてくるため、絞り込みの軸が変わります。

案内資料の作成は、業種別に分けると流用が効きます。小売・サービス業向け、教育・スポーツ関連向け、医療・福祉向けのように分けると、例示が具体化して読まれやすくなります。汎用の一枚ものは作りやすい反面、読み飛ばされやすいところがあります。生成AIで業種別の書き分けを下書きさせる場合も、原典の記載を横に置いて確認する工程は残しておきます。

継続的にかかるのは、政令や委員会規則の動きを追う工数です。前掲の資料が、周知の方法や対象範囲について委員会規則等で定めることを想定すると繰り返し書いているため、細目はこれから出てきます。追う担当と頻度を決めておくと、更新のたびに慌てずに済みます。

委員会規則で細目が固まるまでの動き方が論点になる

改正法が成立しても、実務で必要な細目はまだ確定していません。前掲の資料には、周知の具体的な方法、顔特徴データ等の具体的な範囲、統計作成等の対象範囲や公表事項など、複数の箇所で委員会規則等または政令以下で定めることを想定する、という記載が並んでいます。

士業事務所の立ち位置としては、ここを待つか、先に動くかの判断になります。細目が固まるのを待つと、顧問先の準備期間が短くなります。先に動くと、確定後の手戻りが出る可能性があります。実務的な折衷案としては、細目に依存しない部分から着手する形です。棚卸し、窓口の設置、契約書の該当条項の確認は、細目が変わっても無駄になりにくい作業です。

もうひとつの論点は、AI開発との関係です。前掲の資料は、統計情報等の作成にのみ利用される場合に本人同意を不要とする特例を挙げ、そこに統計作成等であると整理できるAI開発等を含む、と注記しています。顧問先がAI関連のデータ提供を検討している場合、この特例の要件と、顔特徴データ等の規律の両方を見る必要が出てきます。緩む方向と締まる方向が同じ改正に同居しているので、片方だけを見た案内にならないよう注意が要ります。

よくある質問

顔特徴データ等の規律はいつから適用されますか

施行日は現時点で確定していません。前掲の個人情報保護委員会の資料は、施行期日について、原則として公布の日から起算して2年を超えない範囲内、と記載しています。同法は令和8年7月17日に公布されているため、その日を起点とした期間内に施行される枠組みです。具体日は今後の政令等で示されます。

防犯カメラを設置しているだけで対象になりますか

対象範囲は今後の政令以下で定めることが想定されており、現時点では確定していません。前掲の資料は、対象として単なる顔写真ではなく個人識別符号のうち顔特徴データを想定する、と注記しています。特徴量を抽出して本人を識別する仕組みかどうかが判断の分かれ目になる見込みです。

16歳未満の年齢基準はどこから来ていますか

前掲の資料は、年齢基準を16歳未満とし、その参照として個人情報保護委員会のQ&AのQ1-62と、欧州の一般データ保護規則であるGDPRの第8条を挙げています。現行の運用では、一般的に12歳から15歳までの年齢以下の子供について法定代理人等から同意を得る必要があるとされてきたと同資料は説明しており、そこから位置づけが変わります。

年齢を聞いていないサービスはどうなりますか

前掲の資料は、例外の1つとして、本人が16歳未満であることを事業者が知らないことについて正当な理由がある場合を挙げています。何が正当な理由に当てはまるかは個別の事情で変わるため、顧問先には、現在の申込導線で年齢が把握できるかどうかの確認から入る案内が実務的です。

顔特徴データ等はオプトアウトで第三者提供できますか

前掲の資料は、顔特徴データ等についてオプトアウト制度に基づく第三者提供を不可とする、と明記しています。現行のオプトアウト制度は個人情報保護法第27条第2項に定めがありますが、顔特徴データ等はこの経路から外れる方向です。該当する運用がある顧問先は、提供の枠組みそのものの見直しが必要になります。

委託先との契約は何を確認すればよいですか

前掲の資料は、委託を受けた事業者に対し、委託された個人データ等を業務の遂行に必要な範囲を超えて取り扱ってはならない旨の義務を明文規定により課す、としています。既存の契約書に、目的外利用の禁止と、漏えい等が生じた際の報告義務が書かれているかの確認から入る形が実務的です。

顧問先への案内はいつ出すのがよいですか

細目が固まるのを待たず、棚卸しの依頼を先に出す進め方があります。前掲の資料が示す論点のうち、該当有無の把握、窓口の設置、契約書の確認は、委員会規則の内容に左右されにくい作業です。細目が出た段階で第2報を出す二段構えにすると、顧問先の準備期間を確保できます。

参考文献

• 個人情報保護委員会 個人情報保護法等の一部を改正する法律について（令和8年7月）
• 個人情報保護委員会 令和8年 改正個人情報保護法について
• 個人情報保護委員会 いわゆる3年ごと見直しの経緯
• e-Gov法令検索 個人情報の保護に関する法律
• e-Gov法令検索 税理士法
• e-Gov法令検索 弁護士法

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/