特定生体個人情報とは？定義や具体例、企業に求められる対応など

　本稿は、令和8年改正個人情報保護法の成立・公布後の2026年8月26日時点で公表されている情報に基づく一般的な解説です。特定生体個人情報の対象となる身体特徴の範囲や周知・掲示の水準は、今後、政令 ¹、個人情報の保護に関する法律施行規則（以下「委員会規則」といいます）、ガイドライン等により具体化され、施行日を含め、具体的な取扱いが変わり得ます。最新の情報をご確認ください ²。

　なお、本稿における「法」とは個人情報保護法を指し、また、特に断りのない場合、同法の条文は改正後のものを示します。

特定生体個人情報とは

法律上の定義と新設の背景

（1）定義・要件

　特定生体個人情報は、法16条5項に新設される定義で、「特定生体個人識別符号が含まれる個人情報」をいいます。中心となる「特定生体個人識別符号」は、次の要件を満たすものとされています。

　かみ砕くと、次の①〜④を満たすものです。

　個人情報保護委員会事務局は、2026年8月26日、「政令・規則等で定める事項の全体像（案）」（以下「全体像（案）」といいます）を公表し、特定生体個人情報（同資料では「顔特徴データ等に関する規律」と表記）について、下位法令への委任事項を次のとおり整理しています ³。

特定生体個人情報に関する政令・委員会規則への委任事項

　すなわち、上記要件①〜③を満たす身体特徴情報の範囲そのものが政令によって画定される構造であり、どの身体特徴が規律対象になるかは、政令の内容を待って初めて確定します。

　要件の中心にあるのは、「本人が気づきにくい形で、比較的容易に取得される身体特徴」という点です。したがって、想定されているのは主として顔特徴データ（防犯カメラ映像等から抽出される顔の特徴量のテンプレート）です。生体情報一般ではなく、見えにくく取り返しのつかない生体識別情報を「狙い撃ち」する規律といえます。

（2）特定生体個人情報が新設された背景

　特定生体個人情報の新設の背景には、本人が認識しにくい生体情報（特に顔特徴データ）の収集が進展する一方で、現行法にはこれを対象とする専用の保護ルールがなく、顔特徴データのテンプレートの扱いが実務上わかりにくかったという事情があります。
　顔特徴データ等は、本人が知らないうちに取得されやすく、識別・追跡・プロファイリングに使われやすく、一度流通すると変更が難しいという特性があるため、取得時の適法性だけでなく、取扱いの透明性・流通の制限・本人による離脱可能性を法的に担保する必要があると考えられました。

「個人情報」「要配慮個人情報」との関係

　特定生体個人情報は、識別符号を含むものであるため、当然に「個人情報」に当たります。その上で、三本柱の規律が上乗せされる、という関係にあります。以下、本稿では、通常の個人情報の規律に上乗せされる規律を「特別規律」といいます（特別規律の詳細は3-2をご参照ください）。

　注意が必要なのは、特定生体個人情報は「要配慮個人情報」の一類型ではない、という点です。要配慮個人情報については取得時の同意取得（法20条2項）等の規律がかかりますが、特定生体個人情報は、これとは別建ての特別規律（法21条の2、法27条2項、法35条7項・8項）で規律されます。
　つまり、「顔データ＝要配慮個人情報」と単純に整理するのではなく、別建ての三本柱で規律される点を正確に押さえる必要があります。

個人情報の中での特定生体個人情報の位置付け

　なお、オプトアウトによる第三者提供の禁止は、特定生体個人情報に固有の規律ではなく、要配慮個人情報にも共通する規律です（要配慮個人情報は従来からオプトアウト提供の対象外とされてきました）。特定生体個人情報に特徴的なのは、取扱時の周知義務（法21条の2）と、要件を問わない利用停止等請求権（法35条7項・8項）です。

特定生体個人情報の具体例

該当するもの／しないもの

　特定生体個人情報の該当性を判断する際の入口となるポイントは、単に「顔が写っている」ことではなく、「本人識別を目的として、身体特徴を識別符号に変換しているか」です。
　国会審議でも、顔特徴データとは、目・鼻・口等の特徴情報を、本人識別目的の装置・ソフトウェアで本人識別できるようにしたものをいう、と整理されています ⁴。

特定生体個人情報に該当し得るもの／該当しないもの

　本人識別を目的としない画像処理（たとえば混雑度の推計）は、特別規律ではなく通常の個人情報の規律に服することになります。

該当性についての補足

　単なる顔写真・防犯カメラ映像そのものは、それが個人情報に当たる場合でも、本人識別のための特徴量変換を伴わなければ、特定生体個人情報の特別規律の対象ではありません（通常の個人情報の規律に服します）。
　本人が取得を容易に認識できる形で取得される生体情報は、上述1-1（1）の要件③を満たさない可能性があります。もっとも、どこまでが「容易に認識できない」に当たるかは政令で具体化されるため、範囲の確定には注意が必要です。
　生体情報であっても、特定生体個人情報に当たらないものは、通常の個人情報（場合により要配慮個人情報）の規律で判断することになります。

特定生体個人情報に関する規定

現行法の規定の振り返り

　上述のとおり、現行法には「特定生体個人情報」という類型はなく、生体情報は一般的な個人情報の規律が適用されるにとどまっていました。顔認証データ等は政令で定める個人識別符号として個人情報に該当し得るものの、専用の保護ルールはなく、テンプレートの取扱いが実務上わかりにくい状況でした。オプトアウトによる第三者提供も、要配慮個人情報を除けば一般に可能とされていました。

改正法の規定との比較

　改正法における特定生体個人情報に関する主な規律を、通常の個人情報と要配慮個人情報と比較しながら整理したのが下表です。

規律の対照表（通常の個人情報／特定生体個人情報／要配慮個人情報）

凡例：◯＝適用あり、×＝直接の規定なし

※特定生体個人情報は、要配慮個人情報とは異なり「取得同意」ではなく「周知・オプトアウト禁止・停止等請求」で規律される点が特徴。

　改正法により、特定生体個人情報について、次の三本柱の特別規律が新設されます。

（1）取扱時の周知義務（法21条の2）

　事業者は、特定生体個人情報を取り扱うにあたり、あらかじめ、委員会規則で定めるところにより、本人に通知し、または本人が容易に知り得る状態に置く義務を負います。

　周知すべき事項は、次のとおりです（法21条の2第1項）。

　周知の方法および周知事項の詳細は、いずれも委員会規則で定められます（法21条の2第1項柱書・同項6号）。
上記⑥「その他委員会規則で定める事項」が追加されるだけでなく、そもそも「どのような方法で周知すれば足りるか」という点自体が委員会規則に委ねられている点に注意が必要です。カメラ設置施設の入口等への掲示を求める方針が国会審議で示されていることからすれば、委員会規則において掲示の場所・様式・記載事項がある程度具体的に定められる可能性があります。

　一定の場合には周知義務の適用除外があります（法21条の2第2項各号。本人・第三者の権利利益を害するおそれ、事業者の正当な利益を害するおそれ、国等の事務遂行への協力、および政令で定める場合（同項4号））。
　もっとも、「顔認証使用中」といった抽象的な掲示のみでは周知の水準を満たさず、何を・どう使うのかがわかる周知が必要と考えられます。カメラ設置施設の入口等へのわかりやすい掲示を委員会規則で求める方針が、国会審議において示されています（国会の附帯決議で示された掲示の方向性は、4-5をご参照ください）。

（2）オプトアウト第三者提供の禁止（法27条2項ただし書）

　特定生体個人情報は、要配慮個人情報と同様に、オプトアウト（本人の求めがあれば停止することを前提に、同意なく第三者提供する方法）による第三者提供の対象から除外されます。第三者提供には、原則として本人の同意または法定の例外が必要になります。

　あわせて注意したいのが、漏えい等報告との関係です。8月26日に公表された全体像（案）では、違法な個人データの第三者提供についても報告対象事態とすることを委員会規則で定める方針が示されています（法26条1項）。
　仮に特定生体個人情報をオプトアウトによって第三者提供した場合、法27条2項違反となるだけでなく、報告対象事態として個人情報保護委員会への報告および本人への通知の対象となり得ます。提供の適法性が、そのまま報告義務の要否に跳ね返る構造になる点に留意が必要です（報告対象事態の具体的な範囲は、今後の委員会規則によります）。

（3）利用停止等請求権の拡張（法35条7項・8項）

　本人は、自身が識別される特定生体個人情報（保有個人データに含まれるものに限る）が取り扱われているとき、原則として利用停止等または第三者提供の停止を請求できます。通常の利用停止等請求（違法な取扱い等の要件が必要）と異なり、違法行為の有無を問わずに請求できる点に特徴があります。
　事業者は、本人からの請求に理由があると判明したときは、遅滞なく利用停止等を行わなければなりません（法35条8項）。

　ただし、この利用停止等請求権には一定の例外があり、次のような場合には請求できません（法35条7項各号）。

　これらの例外事由のうち、9号（取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合）は委員会規則で、10号は政令で、それぞれ具体化されます。 事業者が適法に顔認証システムを運用している場面でどこまで請求を拒めるかは、この2つの号の内容に大きく左右されるため、下位法令の整備動向のなかでも特に注視すべき箇所といえます。

　なお、同じ法35条には、16歳未満の子どもの保有個人データについて、違法行為等の有無を問わない利用停止等請求権が別途新設されています（法35条9項）。特定生体個人情報（7項）と子どもの個人情報（9項）とで、要件緩和型の請求権が二本立てで設けられている点は、条文を読む際の注意点です。

　このほか、施行前に行われた通知・同意等が改正法の水準に相当する場合のみなし規定など、経過措置（附則）も設けられます。

企業に求められる対応

改正法の施行に向けたタイムライン

　改正法（個人情報の保護に関する法律等の一部を改正する法律）は、2026（令和8）年7月10日に参議院本会議で可決・成立し、同月17日に公布されました。施行日は、一部を除き、公布日から2年以内の政令で定める日とされています。

　特定生体個人情報については、対象となる身体特徴の範囲 ⁵、周知義務の方法や掲示の水準、利用停止等請求の手続などが、政令・委員会規則・ガイドラインによって具体化されます。事業者としては、これら下位法令の整備状況やパブリックコメントの動向を注視しながら、段階的に準備を進めることが現実的です。

成立から施行までのタイムライン（イメージ）

政令・規則等の整備に関する今後の進め方

　個人情報保護委員会事務局は、上述の全体像（案）とあわせて、下位法令整備の進め方を示しています。2026年9月以降、次の流れで議論が進められる想定です。

　特定生体個人情報（顔特徴データ等）は「リスクに適切に対応した規律」に分類されています。パブリックコメントは上記④の最終段階であり、そこから対応を始めたのでは間に合いません。自社が関係するテーマがどの回で取り上げられるかを特定し、①の「基本的な考え方」が示された段階から社内検討を始めることが、実務上は現実的な構えといえます。事業者団体を通じて②の意見交換に参加する余地がある点も、あわせて検討に値します。

　なお、「個人情報の保護に関する基本方針」（平成16年4月2日閣議決定）についても、必要な見直しが行われる予定とされています。

施行までに求められる実務対応

　改正法が施行されるまでの間に、特定生体個人情報に関して企業として対応すべき項目としては、次のようなものが挙げられます。

（1）顔認証・防犯カメラ連携システムの棚卸し

　店舗・ビル・空港・イベント・オフィス等で顔認証や防犯カメラ連携分析を行っている場合、本人が認識困難な形で取得していないか、どの身体特徴を扱っているか、どこまで提供しているかを再点検します。

（2）周知（掲示・プラポリ）の水準点検

　入口等の掲示・プライバシーポリシー・説明資料が、法21条の2の周知水準を満たすかを点検します。具体的には、上述3-2（1）で列挙した特定生体個人情報を取り扱うにあたり周知すべき事項の①〜⑤（事業者名等、特定生体個人情報を取り扱うこと、利用目的、身体特徴情報の内容、開示等請求手続）に加え、⑥その他委員会規則で定める事項です。
　周知にあたっては、「顔認証使用中」といった抽象的な掲示のみでは足りない点に注意が必要です。

（3）利用停止等請求への対応フロー整備

　事業者が適法に顔認証システム等を導入・運用した場合であっても、本人から利用停止等の請求を受けることはあり得ます。そのため、法務・情報システム・現場が連携して利用停止等請求対応フローを整備するのが望ましいでしょう。
　利用停止等請求のために本人の顔データと保有データの照合が必要になる場面（いわゆる「照合パラドックス」）については、照合用データの取得・保管・削除のログを残し、消去以外の目的での利用を技術的に遮断する設計が求められます。

（4）オプトアウト提供モデルの見直し

　顔特徴データ等をオプトアウトで第三者提供することはできなくなります。つまり、「本人の同意を得ているか」「法27条1項各号の法定例外に当たるか」をその都度確認せず、オプトアウト届出の仕組みだけを根拠に流通させる運用は成り立たなくなります。
　なお、委託・事業承継・共同利用（法27条5項各号）は「第三者提供」に当たらないため、この禁止の射程外です。 顔認証システムをベンダーに運用委託している場合と、データを外部に提供している場合とを切り分けたうえで、提供の枠組みを見直す必要があります。

（5）既存運用・経過措置の確認

　施行前の通知・同意等が改正法の水準を満たすかを再評価します。経過措置のみなし規定があっても、既存の運用が改正法水準に達しているかの確認が必要です。

その他の留意点

　上述2-1のとおり、特定生体個人情報の該当性を判断する上では、「本人識別を目的として、身体特徴を識別符号に変換しているか」がポイントとなります。つまり、「本人識別を目的としているか」で規律の入口が決まります。本人識別を目的としない人流・混雑把握等は、特別規律の対象ではありません。

　法令に基づく取扱いや、国の機関等の法令事務への協力等については、周知義務・利用停止等請求の例外が設けられます。民間監視カメラの顔認証データを捜査に協力提供することは、現行の例外規定が維持されるため妨げられないと整理されています。
　国会審議では、停止等請求のために本人が顔データを提供する必要が生じ得る点などから、本人にとって請求のハードルが高く実効性に乏しいとの批判も示されました ⁶。今後の政令・規則・ガイドラインの整備動向を注視する必要があります。

衆議院・参議院の附帯決議で示された方向性

　改正法の成立に際し、衆議院・参議院の各特別委員会は、それぞれ附帯決議（各14項目）を付しました。附帯決議は法的拘束力を持つものではありませんが、今後整備される委員会規則・ガイドラインの内容を方向づける「予告」として実務上重要です。
　特定生体個人情報については、両院とも第9項で言及しています。両院に共通する要請は、次のとおりです。

　参議院の附帯決議は、これに加えて、掲示場所について「当該機器の検知対象者が十分認識できる場所等」を明記し、衆議院の決議を一歩進めています。つまり、カメラ等の機器のすぐそばだけでなく、顔特徴データを取得される人（検知対象者）が実際に認識できる位置にも掲示することが求められる、という方向性です。

特定生体個人情報に関する衆参附帯決議の比較

　これらの附帯決議は、周知（特に掲示）の水準・場所が、今後の委員会規則・ガイドラインで具体化されることを強く示唆しています。
　実務上は、「顔認証使用中」といった抽象的な掲示では足りず、①特定生体個人情報を取り扱っている旨、②利用停止等請求の手段を、③検知対象者が実際に認識できる場所に、わかりやすく掲示する運用を前提に準備することが望ましいといえます。
　なお、附帯決議は特定生体個人情報以外にも、プロファイリング規制の在り方の継続検討（第5項）などに言及しており、顔特徴データの追跡・プロファイリング利用にも関わる論点として、中期的な制度動向にも留意が必要です。

違反した場合のペナルティ

特定生体個人情報の特別規律に違反した場合

　上述3-2の特定生体個人情報に関する特別規律（周知義務・オプトアウト提供の制限・利用停止等）に違反した場合、個人情報保護委員会による監督の対象となります。

課徴金制度

　改正法で初めて導入される課徴金制度（法148条の3以下）は、個人情報・個人データに関する一定の違反行為を対象とするものです。周知義務（法21条の2）違反や利用停止等義務（法35条8項）違反そのものは、課徴金の直接の対象とはされていません。

　もっとも、特定生体個人情報を本人の同意なく違法に第三者提供した場合（法27条1項違反）などは、個人データの違法な提供として課徴金の対象となり得ます。
　ただし、課徴金納付命令には、①違反行為またはこれをやめることの対価として財産上の利益を得ていること、②違反行為を防止するための相当の注意を怠った者でないと認められる場合に当たらないこと、③本人の数が1,000人を超えないとき等、個人の権利利益を害する程度が大きくない場合に当たらないこと、という要件・適用除外があり（法148条の3第1項・2項）、違反があれば直ちに課徴金が課されるわけではありません。
　8月26日公表の全体像（案）では、課徴金額の算定方法および③の「個人の権利利益を害する程度が大きくない場合」を政令で（法148条の3第1項ただし書・2項ただし書）、②の「相当の注意を怠った者でないと認められる場合」の考え方をガイドライン・Q&Aで、それぞれ示す方針が明らかにされています。顔認証システムを運用する事業者としては、取引先の適法性確認や社内検討過程の文書化が、②の適用除外の判断材料になり得る点を意識しておくべきでしょう。

　加えて、顔特徴データ等は本人の監視・追跡・差別につながり得る機微性の高い情報であり、行政上の措置や罰則にとどまらず、レピュテーションの毀損や民事上の責任といったリスクも大きくなります。「顔認証を使っているか」だけでなく、「どう説明し、どう止められるか」を設計として作り込むことが求められます。