国の 役所が 出して いる ようすでは、ふつうの ぼうはんカメラは、うつった 画ぞうから 顔の とくちょうを 取りださない ものと されて います［1］。

お店に 入って カメラを 見れば、「ぼうはんの ためだな」と わかります。だから、なんの ために とって いるかを わざわざ しらせなくて よいと 考えられて います。ただし、とられて いると 気づきにくい ときは、「さつえい中」の はり紙などが いります［1］。

顔で だれか あてる カメラは ちがいます。外から 見ても、ふつうの カメラと 見分けが つきません。だから、個人情報こじんじょうほうを あつかう 事業者じぎょうしゃ（お店や 会社かいしゃなど）の うち、「個人情報保護法こじんじょうほうほごほう」という 法律ほうりつを まもる 義務ぎむが ある ところが つかう ばあい、ぼうはんの ためだけでなく「顔で あてて います」と いう ことも、しらせなければ ならないと されて います［1］。

個人情報保護委員会（PPC）のQ&Aは、防犯目的で置かれ、撮った画像から顔の特徴データを取り出さないものを「従来型防犯カメラ」と呼んでいます。これに対し、顔画像を撮るカメラと、そこから顔の特徴データを取り出して顔識別を行うしくみをあわせたものを、「顔識別機能付きカメラシステム」と呼びます［1］。

従来型では、設置状況から防犯が目的だと明らかなら、利用目的の通知や公表はいらないと考えられます。ただし、撮られていることを本人が簡単には気づけない場合は、作動中であることの掲示などが必要です［1］。

顔識別つきは、カメラの外観から「顔識別が使われている」とは分かりません。そのため、個人情報取扱事業者が個人情報保護法上の義務を負う場合、犯罪防止のためであることに加えて、顔識別を使っていることも示して、利用目的を特定しなければならないとされています。入口などに、運営者・目的・問い合わせ先・詳しい説明のサイトへのQRコードを掲示するのが望ましい、という書き方です［1］。

PPCのQ&Aは、「従来型防犯カメラ」を、防犯目的で設置され撮影画像から顔特徴データの抽出を行わないものとし、「顔識別機能付きカメラシステム」を、顔画像を撮影するカメラと、撮影した顔画像から顔特徴データを抽出して顔識別を行うシステムとして区別している［1］。

従来型では、個人情報取扱事業者の場合、設置状況から目的が防犯だと明らかなら、利用目的の通知・公表は不要と考えられる。ただし、撮影を本人が容易に認識できない場合は、作動中の掲示などの措置が要る。外観上カメラと分かる場合も、掲示でより認識しやすくすることが望ましい（Q1-13）［1］。

顔識別つきは、外観から顔識別の利用を認識するのが難しいため、個人情報取扱事業者が個人情報保護法上の義務を負う場合には、利用目的の通知・公表が必要になる。利用目的は、犯罪防止だけでなく顔識別機能を用いていることも明らかにして特定する。運用主体・目的・問い合わせ先・詳細サイトのURLやQRコードの掲示は「望ましい」とされる（Q1-14）［1］。

だれの 顔か わかる 写真は、個人情報こじんじょうほうに あたります。名前が 書いて なくても、そうです［1］。

顔で だれか あてる カメラは、顔の ほねの 形や、目・鼻・口の いちと 形を、数や きごうの ならびに かえます。この 数の ならびも、個人情報こじんじょうほうの ひとつと されます［1］。

学校で、名ふだを つけて いない 友だちを、顔だけ 見て 思いだす ことが ありますね。カメラは、思いだすかわりに、この 数の ならびを くらべて 見わけます。ただし ほんとうは、どこまで 正しく 見わけられるかは、カメラの しくみに よって ちがいます。

顔写真そのもの、つまり特定の人が分かる画像は、個人情報にあたります。さらに、顔の骨格や皮膚の色、目・鼻・口などの位置と形から決まる見た目を、特定の人を識別できる水準の符号に変えたもの、すなわち顔特徴データも、個人情報保護法でいう「個人識別符号」にあたります［1］。

学校で、名札のない友だちを顔だけ見て思い出す場面を想像してみてください。カメラは、思い出す代わりに、顔の特徴をもとにした数字の並びをあらかじめ登録された並びと比べて、同じ人かどうかを探します。ただし、実際の精度はしくみによって違い、たとえ話のように人間と同じ判断をしているわけではありません。

ここで大事なのは、名前や住所がなくても、顔そのものが個人を特定する手がかりになりうる点です。

特定の個人が識別できる顔画像は個人情報に当たる。加えて、顔の骨格・皮膚の色、目・鼻・口などの部位の位置と形によって定まる容貌を、特定の個人を識別できる水準に変換した符号（顔特徴データ）は、個人情報保護法上の「個人識別符号」に当たる［1］。

この扱いは、氏名・住所のような書かれた情報がなくても、顔そのものが識別の手がかりになりうることを前提にしている。顔識別カメラが問題になるのは、撮影という行為が、そのまま個人識別符号の取得につながりうるためだ。

パスワードは、もれたら 新しく 作りなおせます。でも 顔は、かんたんには かえられません。

国の 役所の ぶんしょでも、顔の とくちょうの 数は、かわりにくく、どこに いたかなど、その人の うごきを 追える ように なる ことが ある、と 書かれて います。だから、しっかり まもるように もとめて います［1］。

とって おく 期間も、なんの ために いる かを 考えて 決めます。いらなく なったら、すぐ 消すように つとめる ことと されて います［1］。

パスワードは、漏れたら変えられます。顔の特徴は、そうはいきません。PPCのQ&Aは、顔特徴データが変わりにくく、個人の行動を追うことが可能になる性質をもつと述べ、その性質をふまえて安全管理の措置を講じるよう求めています［1］。

「変わりにくい」は、指紋と同じように簡単には変えられないという意味です。一生まったく変わらないとまでは書かれていません。

保存の期間についても、利用の必要性を考えて決め、不要になったら遅れずに消すよう努める、とされています［1］。この記事では、撮られる側が「いつ、何のために撮られ、いつまで残るのか」を知る手がかりを、次の章から順に見ます。

PPCのQ&Aは、顔特徴データが、不変性が高く個人の行動の追跡が可能となること等の性質を持つことを踏まえて、安全管理措置を講じるよう求めている（Q10-8）［1］。ここでの「不変性」は、変更しにくいことを指し、生涯まったく変化しないとまでは書かれていない。

保存期間は利用の必要性を考慮して定め、不要になれば遅滞なく消去するよう努める（Q5-4）［1］。パスワードのように更新で被害を止めにくい情報だから、取得の段階での通知と、保存の限定が対になる。

ぼうはんの ために とった 画ぞうを、お店の 商ばいに 使いたい ときは、先に 本人の どうい が いります［1］。

たとえば、電光けいじ板の カメラで 顔から 年れいや せいべつを あてて、広告こうこくを 出す ばあいです。顔の 画ぞうを すぐ 消しても、個人情報こじんじょうほうを あつかって いると 考えられます。だから、なんの ために 使うかを しらせ、「さつえい中」の けいじも いります［1］。

いっぽう、年れいや せいべつの 数だけや、体ぜんぶを かげのように した 人の ながれの データだけなら、もとの 画ぞうと かんたんに つき合わせられない かぎり、個人情報こじんじょうほうには あたりません［1］。

防犯目的で集めたカメラ画像や顔特徴データを、マーケティングなど商業目的に使うには、あらかじめ本人の同意が必要です［1］。

電光掲示板に付けたカメラで、顔から年齢や性別を推定して広告を出す場合はどうでしょう。顔画像をすぐに削除しても、個人情報を取り扱って広告を出していると解されるため、目的の特定・通知・公表と、撮影中であることの掲示が必要です［1］。

一方で、性別や年齢といった属性情報だけ、あるいは全身のシルエット画像に置き換えた人の流れのデータだけなら、元のカメラ画像や個人識別符号と容易に照合できる場合を除いて、個人情報にはあたりません［1］。

顔識別の照合用データベースに誰を載せるかも、決まりがあります。対象とする犯罪行為を先に明確にし、目的に必要な範囲を超えて載せないこと、犯罪防止が目的なら、その行為をする可能性が高い人に厳しく限ることが望ましいとされています［1］。

防犯目的で取得したカメラ画像・顔特徴データをマーケティングなどの商業目的に使うには、あらかじめ本人の同意が必要とされる（Q1-15）［1］。電光掲示板のカメラで顔から年齢・性別を推定して広告を出す場合、顔画像を直ちに削除しても、個人情報を取り扱って広告配信を行っていると解され、目的の特定・通知・公表と、撮影中の掲示が必要になる（Q1-16）［1］。

性別・年齢などの属性情報や、全身のシルエット画像に置き換えた人流データだけであれば、元のカメラ画像や個人識別符号と容易に照合できる場合を除き、個人情報には該当しない（Q1-12）［1］。抽出の途中で顔画像を扱うかどうかが、分かれ目になる。

照合用データベースの登録基準は、対象とする犯罪行為等を事前に明確にし、目的に必要な範囲を超えて登録されないようにする。犯罪防止目的なら、登録対象は、その行為を行う蓋然性が高い者に厳格に限定することが望ましい（Q1-14）［1］。

2023ねん3がつに、国の 役所は、顔で だれか あてる カメラを はんざいの よぼうや あんぜんの ために 使う ときの 考え方を まとめました［2］。

2026ねん7がつには、個人情報こじんじょうほうを まもる 法律ほうりつを あらためる きまりが、国会で 決まりました。7がつ17にちに 公ふ されて います。子どもの 個人情報こじんじょうほうや、顔などの データに ついて、あぶなさに 合わせた 決まりを 作るのが 柱の ひとつです［3］。

ただし、まだ すぐには かわりません。使われ はじめるのは、公ふの 日から 2ねん いない(2028ねん7がつまで)に なる 見こみです［3］。

PPCは2023年3月に、犯罪予防や安全確保のために顔識別機能付きカメラを使うときの留意点を公表しました。有識者の検討会の報告書をふまえ、肖像権・プライバシー、個人情報保護法での注意点、事業者の自主的な取り組みの3つを整理したと紹介されています［2］。

2026年7月10日には、個人情報保護法を改める法律が成立し、7月17日に公布されました。子どもの個人情報や生体データなど、リスクに応じた決まりを整えることが柱の1つです［3］。

顔特徴データについては、法案の段階の解説で、「特定生体個人情報」という区分の中心例とされています。特別な技術や多額の費用なしに取得できて、取得されていることを本人が容易に気づけない身体の特徴が対象で、取り扱っている事実や利用目的の通知、または本人が容易に知りうる状態に置くことなどが盛り込まれていました［4］。ただし、ここで紹介したのは法案段階の内容です。

施行はまだ先です。罰則に関わる部分は2027年1月17日、そのほかは公布から2年以内に施行される見込みです［3］。今すぐ変わったわけではありません。

PPCは2023年3月に「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」を公表した。2022年1月設置の有識者検討会の報告書を踏まえ、肖像権・プライバシー、個人情報保護法上の留意点、事業者の自主的取組の3点を整理している。内容は紹介記事の要約に基づく［2］。

「個人情報の保護に関する法律等の一部を改正する法律」（令和8年法律第56号）は、2026年7月10日に成立し、7月17日に公布された。子どもの個人情報や生体データなど、リスクに応じた規律の整備が柱の1つとされる。罰則関係は2027年1月17日、その他は公布から2年以内（2028年7月まで）に施行される見込みである［3］。

2026年4月7日閣議決定の法案の解説では、顔特徴データを中心例とする「特定生体個人情報」（特別の技術・多額の費用を要せず取得でき、取得を本人が容易に認識できない身体の特徴に係る情報）について、取扱事実や利用目的などの通知または容易に知り得る状態、オプトアウトによる第三者提供の禁止、利用停止等請求の拡充が盛り込まれた［4］。法案段階の内容であり、最終条文は原文で確認していない。政令・規則の詳細は今後の整備事項である。

ヨーロッパの EUには、AIの 決まりを 定めた きまりが あります。その 5じょうは、2025ねん2がつ2かから、ネットや ぼうはんカメラの えいぞうから、あいてを しぼらずに 顔の 画ぞうを 集めて、顔の データベースを 作る AIを きんし しました［5］。

ドイツの 役所は、これを「そうじきで むさべつに すいこむ ように 集める」と せつめい して います［6］。

もうひとつ、けいさつなどが 町の 公きょうの 場で、その 場で すぐに 顔を あてる ことも、げんそくとして きんじられました。ただし、行方ふめいの 人を さがす ときなど、れいがいは あります。ふつうは 先に きょかが いりますが、すぐ 動かないと あぶない ときは、先に 使って、あとから 24じかん いないに きょかを もとめる ことも あります［6］。お店の カメラは、この きまりの 対しょうでは ありません。

ですから「EUは 顔で あてる カメラを ぜんぶ きんし」では ありません。

EUのAI法5条は、インターネットや防犯カメラの映像から、対象を絞らずに顔画像を集めて、顔認識のデータベースを作ったり広げたりするAIシステムを禁止しています。禁止は2025年2月2日から適用されています［5］。ドイツの規制当局の解説では、これを「掃除機のように無差別に吸い上げる」行為として説明しています［6］。

もう1つは、法執行のために公共の場で行うリアルタイムの遠隔生体識別です。原則として禁止で、例外は、行方不明者や誘拐被害者の捜索、差し迫った生命の危険やテロの防止、重大犯罪の容疑者の特定などで、厳格に必要な場合に限られます。許可は原則として事前に司法などから得ます。正当化された緊急時に限り、先に使い、遅滞なく（最長24時間以内）許可を求める例外もあります［6］。

民間の店舗が置く顔識別カメラは、この条文の対象ではありません。「EUは顔認証を全面禁止した」という説明は正確ではなく、禁止の対象は、無差別な収集と、法執行目的のリアルタイム識別です。

EU AI法5条は、インターネットやCCTV映像から対象を絞らず（untargeted）顔画像を収集して顔認識データベースを作成・拡大するAIシステムを禁止する。禁止規定は2025年2月2日から適用されている［5］。ドイツの連邦ネットワーク庁は、untargetedの意味を「掃除機のように無差別に吸い上げる」ことだと説明している［6］。

もう1つは、法執行目的で公共の場で行うリアルタイムの遠隔生体識別の原則禁止である。例外は、行方不明者・誘拐被害者の捜索、差し迫った生命の脅威やテロの防止、重大犯罪の容疑者の特定などで、厳格に必要な場合に限り、原則として事前の司法等の許可が要る（正当化された緊急時は、先に使用し遅滞なく＝最長24時間以内に許可を求める例外がある、5条3項）［6］。

民間の店舗が設置する顔識別カメラは、この5条の対象ではない。「EUは顔認証を全面禁止」という要約は誤りで、禁止の対象は、無差別収集と、法執行目的のリアルタイム識別である。

Clearview AIと いう アメリカの 会社は、ネットに 公開された 顔写真を たくさん 集めて、顔で だれか さがせる データベースを 作って いました。

イタリアの 役所は 2022ねん2がつ10かの 決定で、会社が もって いると 言った 100おくまい いじょうの 画ぞうに ついて、顔の データを あつかう 正しい 理由が ないと しました。ばっきんは 2000まん ユーロと つたえられて います［7］。カナダでも 2021ねんに、国と 3つの 州の 役所が いっしょに しらべ、30おくまい いじょうの 画ぞうを、本人の どうい なく 集めたと みとめました。しじを 出したのは 3つの 州の 役所です［8］。

アメリカの イリノイ州には、顔などの データを 集める 前に、書めんの どうい を もとめる きまりが あります。写真に 名前を つける はたらきが、どういなく 顔の データを 作ったと された ことで、2021ねん2がつに、6おく5000まん ドルの わかいが みとめられました［9］。

これは、どの 国でも 同じ こたえに なると いう 話では ありません。「ネットに 出した 写真でも、集め方には 決まりが ある」と 考える 国や 州が ある、という ことです。

米国のClearview AI社は、公開ウェブ上から集めた顔画像で、顔で人を探せるデータベースを作っていたとされます。これについて、イタリアのデータ保護当局は2022年2月10日付の決定で、同社が保有すると申告した100億枚超の顔画像について、当局は、生体データの処理に有効な法的根拠がないと判断し、違反を認めました。制裁金は2000万ユーロで、イタリア居住者のデータの削除と収集の禁止も命じています。発表は2022年3月です［7］。制裁金の額は報道による情報です。

カナダでは、連邦とブリティッシュコロンビア・アルバータ・ケベックの3州の当局が合同で調べ、2021年、30億枚を超える画像を同意なく集めたと認定しました。命令を出したのは3州の当局です［8］。

米国では、イリノイ州の生体情報プライバシー法（BIPA、2008年制定）が、顔などの生体情報を集める前に、内容を知らせたうえでの書面による同意を求める最初期の州法とされます。写真のタグ付け提案機能が、同意なしに顔のテンプレートを作ったとされた裁判で、2021年2月26日に6億5000万ドルの和解が承認されました。対象はイリノイ州のユーザーです［9］。この説明は、原告側の弁護士事務所の資料に基づく二次的な情報です。

Clearview AI社（米国）は、公開ウェブから収集した顔画像をもとに顔識別のデータベースを構築していた。イタリアのデータ保護当局（Garante）は2022年2月10日付の決定で、同社が保有すると申告した100億枚超の顔画像について、生体データの処理に有効な法的根拠がないと判断し、違反を認定した。報道によれば制裁金は2000万ユーロで、イタリア居住者のデータ削除と収集禁止を命じた（発表は2022年3月）［7］。金額はGarante原文でなく報道で確認した。

カナダでは、連邦とBC州・アルバータ州・ケベック州の合同調査が2021年、Clearview AIが30億枚超の画像を同意なく収集したと認定し、命令を出したのは3州の当局である。オーストラリア当局も、SNS等の顔画像を別目的の顔識別のために同意なく収集することへの懸念を表明している［8］。

米イリノイ州の生体情報プライバシー法（BIPA、2008年制定）は、顔などの生体情報の収集前に、告知を受けたうえでの書面同意を求める。Facebookの写真タグ提案機能が同意なく顔テンプレートを作成したとされた集団訴訟で、2021年2月26日に6億5000万ドルの和解が承認された（イリノイ州のユーザー対象）［9］。州法の条文自体は取得できておらず、内容は原告側弁護士事務所の解説による二次情報である。米国全体の法ではなく、州の法である点にも注意したい。

おうちの 人と 出かけた ときに、お店の 入口を 見て みましょう。「さつえい中」の はり紙は ありますか。だれが とって いるか、聞きたい ときの ばしょが 書いて ありますか。QRコードは ありますか。

気を つけて ほしい ことが あります。はり紙が 見あたらなくても、顔を あてて いないとは かぎりません。カメラの 見た目では、顔を あてる カメラかどうかは わからないからです。

ほかの 人の 顔や、お店の 人を 写真に とるのは やめましょう。見るだけです。

お店の入口や、駅などの出入り口に、撮影中の掲示があるかどうか探してみてください。運営者の名前、撮る目的、問い合わせ先、詳しい説明を読めるQRコードがあるかどうかを見比べると、この記事で読んだ「望ましい掲示」の中身が、実際にどこまで書かれているかが見えてきます。

ただし、掲示があるかないかだけで、顔識別が使われているかどうかは判断できません。掲示が見当たらなくても、顔識別をしていないとは言い切れません。外観からは分からないことが、この問題の出発点でした。

人の顔や店の人を撮影したり、店に迷惑をかけたりしないようにしてください。原典を読むなら、PPCの「カメラに関するQ&A」が日本語で公開されています［1］。

身近な確認方法として、店舗や施設の入口で、撮影中の掲示、運営者・目的・問い合わせ先の記載、QRコードの有無を観察できる。ただし掲示の有無だけでは、顔識別の有無は外から分からない。掲示がなくても利用していないとは断定できず、この観察は、通知が「見える形」になっているかを見るものにとどまる。人物や従業員の撮影、施設への迷惑は避ける。

原典に当たるなら、PPC「カメラに関するQ&A」（日本語）のQ1-13・Q1-14・Q1-15を比べたい［1］。改正法の進み具合はPPCの特設ページ［3］で確認できる。EU AI法5条は欧州委員会のサービスデスクで読める［5］。EU AI法5条は英語で読める。難しければ、本記事の説明を手がかりにするとよい。Clearview AI事案やイリノイ州の和解は、報道・弁護士事務所の解説を入口にして、Garanteやカナダ当局の一次資料へ進むことができる［7］［8］［9］。