顔認証やAIカメラで自分の顔が登録されている？顔のデータは個人情報で、登録の有無は運営者に開示を求められる

お店や駅で顔識別カメラの掲示を見て、自分の顔も登録されたのではと不安になった。そんな人に向けて整理します。顔から作ったデータは、個人情報保護法では個人情報にあたります。個人情報保護委員会の考え方では、防犯のために顔識別カメラを使う事業者は、そのことを利用目的として知らせる必要があります。登録されているかどうかは、運営者に問い合わせ、開示を求めることができます。

01結論から言うと

顔特徴データは個人情報です。防犯の顔識別カメラを使う事業者は、顔識別を使うことを含めて利用目的を知らせる必要があり、登録の有無は運営者への開示請求で確かめる仕組みがあります。

ふつうの防犯カメラは録画するだけです。顔識別機能付きカメラは、映った人の顔からデータを取り出し、登録した人のデータと自動で照らし合わせます。

見た目は同じカメラです。だから個人情報保護委員会は、「防犯のため」だけでなく、顔識別機能を使っていることも利用目的として明らかにする必要があるとしています。

ただし、あなたの顔が登録されているか、その扱いが法律に合っているかは、この記事では判断できません。

02研究とデータでわかっていること

顔特徴データは法律で個人識別符号と定められています。個人情報保護委員会は2023年に、防犯の顔識別カメラの掲示や登録基準、保存期間の考え方を示しました。精度に顔の属性で差が出ることも、米国の国立研究所の試験で確かめられています。

個人情報保護法は、身体の一部の特徴をコンピュータで扱えるように変換した符号で、特定の個人を識別できるものを「個人識別符号」としています。施行令はその一つに、顔の骨格や皮膚の色、目・鼻・口などの位置と形で決まる容貌を挙げています。名前がついていなくても、顔特徴データだけで個人情報にあたるということです。[4][5]

個人情報保護委員会の資料をもとに、似て見える3つの仕組みを表にまとめました。

仕組み	何をするか	委員会の考え方
従来型の防犯カメラ	録画するだけ。顔特徴データは取り出さない	防犯目的が明らかなら利用目的の通知・公表は不要。カメラとわかりにくいときは作動中の掲示などが必要
顔識別機能付きカメラ（防犯）	映った大勢の顔を、登録された人のデータと自動で照合する	顔識別を使うことを含めて利用目的を通知・公表する。運営者・利用目的・問合せ先などを入口に掲示することが望ましい
顔認証（本人確認）	本人が求めたときに、その人かどうかを1対1で確かめる	報告書は顔識別とは別の言葉として定義している

報告書は、入口に掲示することが考えられる事項として、運営主体、利用目的、問合せ先、WebサイトのURLやQRコードの4つを挙げています。Webサイトには、登録基準、保存期間、誤登録を防ぐ方法、開示などの請求の手続を載せることが考えられるとしています。保存期間は一律の日数ではなく、対象の犯罪の性質などを考えて事業者が決める形です。[1]

報告書は、本人ができる請求をわかりやすく示す例として、「自分のデータが照合用データベースに登録されているか確認することを請求できる」「誤って登録された自分のデータを消去することを請求できる」を挙げています。事業者が顔特徴データしか持っていない場合は、請求した人に顔画像を出してもらって照合する方法も考えられるとしています。[1]

報告書は、システムは同じ人である可能性を推測するものだとして、検知された人が本当に対象者か目で確かめるなど、慎重な対応が望ましいとしています。[1]

空港の顔認証ゲートは仕組みが違います。出入国在留管理庁によると、IC旅券内の顔画像とその場で撮った顔を照らし合わせ、撮影した顔写真は照合にだけ使われ保存されません。[7]

03まだわかっていないこと

国内で防犯の顔識別カメラがどれだけ使われ、どのくらい誤って登録・検知されているかを示す公的な統計は、今回の調査では見つかりませんでした。法改正の細かいルールも、これから決まります。

04今日からできること

掲示を見たら、運営者と問合せ先を控え、Webサイトで利用目的と登録基準を確かめます。気になるときは問合せ先に開示を求め、扱いがわからなければ国の相談ダイヤルに聞けます。

顔写真がAIで加工されて広まった場合は、ディープフェイク被害のあとは「証拠・報告・相談」の3つで手順を整理しています。AIに入力した個人情報の行き先は、ChatGPTに個人情報や会社の情報を入力しても大丈夫？にまとめています。

05よくある質問

顔の写真や顔のデータは個人情報になるの？

なります。個人情報保護法と施行令は、顔の骨格や目・鼻・口の位置と形などをコンピュータで扱えるように変換した符号で、特定の個人を識別できるものを個人識別符号としています。名前がなくても個人情報にあたります。

顔識別カメラがあるか、どうやってわかるの？

個人情報保護委員会は、顔識別機能を使っていることを利用目的として通知・公表する必要があるとし、運営者・利用目的・問合せ先・WebサイトのURLやQRコードを入口などに掲示することが望ましいとしています。掲示とWebサイトが手がかりです。

自分の顔が登録されているか、調べてもらえる？

個人情報保護委員会のQ&Aでは、登録されたデータが保有個人データにあたる場合、事業者は開示請求に法令に沿って対応しなければならないとしています。ただし報告書によると、存在が明らかになると犯罪予防に支障が出るおそれがあるなどの例外があります。結果は事業者の判断になります。

関連記事

プライバシー・個人情報

ChatGPTに個人情報や会社の情報を入力しても大丈夫？入力したデータの行き先と、学習を止める設定

プライバシー・個人情報

会社の情報や個人情報をAIに入力してしまった。あとからできるのは、会話の削除と社内への早めの報告

子ども・学校

レポートや宿題にAIを使ったら不正？国の指針では「そのまま提出」が不適切、使える範囲は授業ごとに決まる