【2026年】顔と声のデータの新しい規律｜集める前に決めること

「顔や声を使った仕組みを検討しているが、何を決めておくべきか分からない」「同意を取れば足りるのか判断できない」——新しい技術を導入しようとする企業が直面する論点です。顔や声のデータは、変更できない情報です。漏れたときに、本人が差し替えることができません。この記事では、集める前に決めておくべき点を整理します。

顔や声を扱う場面が急に増えた

かつて生体の情報を扱うのは、入退室の管理や金融の本人確認といった限られた領域でした。それが今では、受付の効率化、来場者の分析、録画の自動的な要約、音声の合成といった形でマーケティングの現場にまで入り込んでいます。

導入が進んだ理由は単純です。以前は専用の機器と大きな投資が必要だった処理が、汎用の端末と月額のサービスで実現できるようになったためです。展示会の受付に置く端末、会場に設置する小型のカメラ、録画から話者を分けて文字にする仕組み。いずれも導入の障壁が下がりました。

問題は、導入の判断が情報の取り扱いの観点を通らずに進むことです。受付の待ち時間を短くしたい、来場者の動きを知りたいという運営上の要望から始まり、何を記録し、どこに保存し、いつ消すのかが決まらないまま運用が始まります。

この状態は、法の改正が進む中で特に危うい形になります。規律が強まる方向にあるのに、何を扱っているかを社内で把握できていないと、施行の時期に間に合いません。まず棚卸しから始める必要があります。

現行の法律での位置づけ

現行の法律では、顔の認識のためのデータや、指紋、声の特徴などを電子計算機で扱えるように変換した符号は、その符号だけで個人を識別できる情報として扱われます。氏名がなくても、個人情報に該当するという整理です。

重要なのは、写真そのものと、そこから特徴を抜き出して変換した符号を区別する点です。単に写真を撮って保存しているだけであれば、誰が写っているか分かる限り個人情報にはなりますが、符号としての扱いとは別の議論になります。

実務で判断が難しいのは、使っているサービスが内部で何をしているかが見えない場合です。「人数を数えるだけ」と説明されていても、内部で顔の特徴を符号に変えて同一人物かどうかを判定していることがあります。同一人物の判定をしているなら、符号を扱っていると考えるのが自然です。

したがって、サービスを選ぶ段階で内部の処理を説明してもらう必要があります。特徴を符号に変えるのか、変えた符号を保存するのか、保存するならどこに置くのか。この3点を答えられない提供者は、選定から外すのが安全です。

2026年の改正で何が加わるのか

2026年7月10日に成立し、同月17日に公布された改正では、顔の特徴などの生体に関する情報について新たな取り扱いの決まりが設けられました。これまでは個人情報の一般的な決まりの中で扱われていたものに、固有の規律が加わる形です。

改正の全体像は、リスクが比較的低い取り扱いについては同意の求め方を緩め、一方で慎重な扱いが必要な情報については規律を強める、という二方向の構成になっています。生体に関する情報は後者に含まれます。

具体的にどこまでが対象になり、どういう義務が課されるのかは、今後定められる政令や規則で具体化される部分があります。記事や解説だけで判断せず、公表される正式な内容を確かめてください。特に対象の範囲は実務への影響が大きい部分です。

方向性として押さえておくべきは、「今は明示の同意なしで運用できている取り扱いが、施行後には同意や別の手当てを要する可能性がある」という点です。既存の運用を変える必要が出るかもしれない、という前提で準備します。

施行はいつからか

公布は2026年7月17日ですが、施行は公布の日から2年を超えない範囲内で政令が定める日からとされています。つまり、遅くとも2028年の夏までには施行されるという枠が定まっている状態です。

2年という猶予は、長いようで短い期間です。既存の運用の棚卸し、委託先との条件の見直し、同意の取り方の変更、社内の規程の改訂、そして担当者への周知。この一連の作業には半年から1年はかかります。

さらに、施行の時期が部分ごとに分かれる可能性もあります。過去の改正でも、内容によって施行の時期が段階的に設定された例があります。自社に関係する部分がいつから効くのかを個別に確かめる必要があります。

現時点で確実にできるのは、施行を待たずに始められる準備です。何を集めているかの一覧化、保存の場所と期間の整理、委託先の把握。これらは法が変わっても無駄にならない作業です。

マーケの現場で該当しうる場面

該当しうる場面を洗い出しておきます。第1に、イベントの受付で顔の認証を使う運用。第2に、会場や店舗に設置したカメラで来場者を数えたり属性を推定する運用。第3に、ウェビナーや取材の録画とその音声の記録。第4に、生成の技術で声や姿を作る運用です。

第5に、動画の出演者の映像と音声を保管し続ける運用。第6に、名刺の情報を読み取る際に顔写真まで取り込んでいる場合。第7に、問い合わせの電話の録音を分析に使っている場合です。

場面	扱う可能性のある情報	確かめること
顔で受付を通す	顔の特徴を変換した符号	符号を保存するか、保存先はどこか
会場のカメラで数える	映像、場合により符号	同一人物の判定をしているか
録画と音声の保管	映像、音声	保存の期間と社外への提供の有無
声や姿を生成する	元にした音声や映像	本人の許諾の範囲と記録
電話の録音を分析する	音声、話者の判定	分析の目的の明示と保存の期間

この一覧を作る作業自体が、多くの会社にとって初めての取り組みになります。部署ごとに独立して導入されている仕組みがあり、全社で何を扱っているかを誰も把握していない状態が普通です。まず現状を可視化してください。

イベントの受付で顔を使うとき

顔の認証で受付を通す運用は、待ち時間の短縮に効きます。一方、確かめるべき点が多い運用でもあります。第1に、事前に登録した顔のデータをどこに保存するのか。第2に、イベントが終わったあとそのデータをどうするのか。第3に、認証を使わない選択肢を用意しているかです。

第3の点は見落とされがちです。顔のデータを提供したくない参加者がいる場合、別の方法で受付できる形を用意しておかないと、参加の機会そのものを制限することになります。従来の名前での受付を並行して残すのが実務的な対応です。

保存の期間は、イベントの終了後に消すのが原則です。次回も使えるようにと残しておきたくなりますが、残すのであれば次回も使うことを事前に伝えて同意を得ている必要があります。黙って残すのは避けてください。

提供者の側にデータが残る形も要注意です。サービスの提供者のサーバーに保存される構成の場合、自社が消したつもりでも残っている可能性があります。契約の中で、終了後の削除と削除の証跡の提出を求めておくのが備えになります。

来場者を映すカメラの扱い

会場に設置したカメラで来場者の数や動きを把握する運用は、展示会の効果の測定に使われます。この場合、映像を保存するのか、集計した数値だけを残すのかで扱いが大きく変わります。

集計した数値だけを残し、映像は即座に破棄する構成であれば、残るのは個人を識別できない情報になります。反対に、映像を保存する構成では写っている人が識別できる情報として残ります。設計の段階でどちらにするかを決めます。

同一人物の判定をしているかどうかも確かめます。「延べ人数ではなく実人数を出す」機能があるなら、同じ人かどうかを判定しているということです。この判定には特徴を符号に変える処理が伴うのが通例です。提供者に処理の内容を確かめてください。

撮影していることの掲示も必要です。会場の入口に、撮影の目的と範囲を示す表示を出す。見えない位置に置いた小さな掲示では伝えたことになりません。来場者が気づける場所と大きさで示してください。

録画と音声の記録をどう扱うか

ウェビナーや取材の録画は、映像と音声の両方を含みます。参加者が映る形で録画する場合、参加者の映像と音声を記録することを事前に伝える必要があります。案内の文面に1行入れるだけで足ります。

二次利用の範囲も伝えます。録画を後から見られる形で公開するのか、社内の記録としてのみ残すのか、編集して営業の資料に使うのか。使う範囲を伝えずに録画し、後から公開すると信頼を損ねます。

参加者の質問の音声が入る場合は特に注意が要ります。質問の中に所属や実名が含まれることがあり、公開の録画にそのまま残ると本人の意図を超えた開示になります。公開の前に該当の部分を編集する工程を入れておきます。

保存の期間も決めておきます。録画は容量が大きく、残しておくことに費用がかかる一方で、消す判断は誰もしたがりません。公開の終了から一定期間で削除する、という決めごとを先に作るのが現実的な運用です。

声や姿を生成の技術で作るとき

音声の合成や映像の生成の技術を使い、自社の担当者の声で案内を作る、経営者の姿で挨拶の動画を作る、といった運用も現れています。この場合、元にした音声や映像の提供について本人の許諾が必要です。

許諾を得るときは、用途と範囲を明示します。どの目的で使うのか、どの媒体で公開するのか、いつまで使うのか、そして退職した後はどうするのか。この4点を書面で決めておかないと、後で必ず揉めます。

特に4点目が抜けやすい部分です。在職中に作った合成の音声を、退職後も使い続けてよいのか。本人の同意の範囲を超えた利用になる可能性があります。作る時点で終了の条件を決めておいてください。

他人の声や姿を無断で使う運用は、情報の保護の問題を超えて人格に関わる権利の問題になります。この点については、2026年8月に公表された解釈の指針が判断の枠組みを示しています。生成の技術を使う運用を始める前に必ず確かめてください。

委託先に預けるときの確認

生体に関する情報の処理を外部のサービスに任せる場合、委託先の管理が求められます。確かめるのは、保存の場所、保存の期間、アクセスできる人の範囲、そして削除の方法の4点です。

保存の場所は、国内か国外かで扱いが変わります。国外に移転する場合は、移転先の国の制度についての情報の提供など追加の対応が求められることがあります。海外の提供者を使う場合は特に確かめてください。

アクセスできる人の範囲も確認します。提供者の従業員が自社が預けたデータを見られる構成なのか。運用や保守のために見られる構成であれば、その旨を把握しておく必要があります。契約書の記載だけでなく、実際の運用を聞いてください。

削除の方法については、契約の終了時に何が起きるのかを確かめます。自動で消えるのか、依頼すれば消してもらえるのか、一定期間は保管されるのか。削除したことを証明する書面を出してもらえるかも確かめておきます。

取得の同意の取り方

同意を得るときは、何を、何のために、どこまで扱うのかを分かる言葉で伝えます。「サービスの向上のため」という抽象的な書き方では、本人が一般的かつ合理的に想定できる程度に具体的とは言えません。

生体に関する情報の場合、特に伝えるべきは3点です。第1に、顔や声の特徴を符号に変えて保存すること。第2に、その符号を何の判定に使うこと。第3に、いつまで保存し、いつ削除すること。

同意を得た記録も残します。誰が、いつ、どの説明を読んだうえで同意したのか。記録がなければ、同意を得たことを後から示せません。申込の様式で同意の欄を設けるなら、その時点の説明文も一緒に保管してください。

同意を撤回する方法も用意します。「登録した顔のデータを削除してほしい」という求めに、どこで、誰が、どう対応するのか。窓口と手順を決めておかないと、求めが来たときに止まります。

保管の期間と削除の運用

生体に関する情報は、必要な期間を超えて保管しないのが基本です。しかし実務では、消す判断をする人がいないために残り続けます。期間を決めて自動で消える仕組みにしておくのが最も確実な対処です。

期間の決め方は、使う目的から逆算します。イベントの受付なら会期の終了まで。来場者の分析なら集計が終わるまで。録画の公開なら公開の終了から一定期間まで。目的が終わった時点が、保管の終わりです。

削除の記録も残します。いつ、何を、誰が消したのか。この記録があると、本人から問い合わせがあったときにすでに削除済みであることを示せます。記録がないと、残っているかどうかを答えられません。

• 人数を数えるだけと聞いて導入し、内部で同一人物の判定をしていることを把握していない
• イベントの終了後も顔のデータを残し、次回も使うことを本人に伝えていない
• 録画の公開時に、参加者の質問の音声をそのまま残す
• 委託先の保存の場所と削除の方法を確かめずに契約する
• 合成した音声や映像の利用の終了の条件を決めていない

この5つは、いずれも現場で実際に起きている形です。共通するのは、運用を始める前の確認が足りないことです。導入の判断の段階で確認の工程を1つ挟むだけで、大半は防げます。

課徴金の仕組みがもたらす影響

今回の改正では、個人情報の保護に関する法律として初めて課徴金の仕組みが導入されました。対象となるのは、本人の数が1,000人を超える不正な取得、不適正な利用、違法な第三者への提供などに限られると整理されています。

生体に関する情報を扱う運用が直ちにこの対象になるわけではありません。しかし、同意を得ずに大量の顔のデータを取得していた、目的の範囲を超えて他社に渡していた、といった事態は対象になりうる形です。

この仕組みの実務上の意味は、経営が関心を持つ論点になったことです。これまでは「気をつけましょう」で済んでいた話が、金額として示される可能性のある論点になりました。社内の予算と体制を得るには、むしろ好機と言えます。

説明の材料としては、対象となる違反の類型が限定されている点も併せて伝えます。全ての違反が対象になるわけではないという正確な情報を示したうえで、自社の運用が対象の類型に触れていないかを確かめるという順序で話を進めてください。

今から着手できる準備

施行を待たずに始められることは3つあります。第1に、何を扱っているかの一覧を作る。第2に、保存の場所と期間、委託先を整理する。第3に、同意の取り方と削除の窓口を決める。いずれも、法の詳細が固まる前に着手できます。

一覧を作るときは、部署をまたいで聞きます。イベントの運営、広報、営業、情報システム。それぞれが独立に導入した仕組みがあるので、1つの部署の中だけを見ても全体は分かりません。

整理の結果として、「実は使っていない仕組みが残っていた」「同じ用途の仕組みが2つある」といったことが見つかります。使っていないものを止めるだけでも、扱う情報の量は減ります。減らせるものは減らすのが、最も確実な対処です。

第3の同意と削除の窓口は、催しの案内の様式から手を入れます。申込の画面に置く説明の文面と、「登録した情報の削除を希望する場合の連絡先」の一文。この2つを標準の様式に組み込んでおけば、催しごとに考える必要がなくなります。運営の担当が変わっても、様式に残っている限り運用は続きます。細かい規程を作るより、様式を直すほうが実効性があります。

導入を決める前の手順

新しい仕組みを入れるとき、運営の要望から始まってそのまま契約に進むのが一般的な流れです。ここに確認の工程を1つ挟みます。提供者への質問と、社内での判断を分けて行うだけで、後戻りの大半は防げます。

2つ目の質問で答えが濁る提供者は、選定から外す判断も含めて検討します。自社の運用の説明ができない提供者に預けると、責任は自社に残ります。書面での回答を求めておくと、後から確かめられます。

• 目的を1文で書けないうちは契約に進まない
• 提供者の回答は口頭ではなく書面で受け取る
• 生体の情報を使わない受付や参加の方法を必ず併設する

この手順は、既存の運用の点検にも使えます。すでに動いている仕組みについて、同じ4つを順に確かめる。答えられない項目が見つかったら、それが直すべき箇所です。

確認する項目一覧

最後に、確認の一覧をまとめます。新しい仕組みを導入するときと、既存の運用を点検するときの両方で使えます。答えられない項目が残るなら、その運用はまだ整っていません。

• 顔や声の特徴を符号に変えて保存しているかを、提供者に確認したか
• 同一人物の判定をしているかどうかを把握しているか
• 保存の場所（国内か国外か）と、アクセスできる人の範囲を把握しているか
• 保存の期間を決め、期間が来たら消える仕組みにしているか
• 取得の目的を、本人が想定できる程度に具体的に伝えているか
• 同意を得た記録と、その時点の説明文を保管しているか
• 削除の求めに応じる窓口と手順を決めているか
• 生体の情報を使わない選択肢を用意しているか

この8点のうち、1点目と8点目が特に見落とされます。提供者の説明を鵜呑みにせず処理の内容を確かめること、そして使いたくない人の選択肢を残すこと。この2つは、法の要請というより信頼の問題でもあります。

一覧は導入の申請の様式に組み込みます。新しい仕組みを入れたいという申請が上がってきたら、この8点への回答を添えてもらう。回答を書く過程で、申請する側が自ら問題に気づきます。審査する側が指摘するより、申請する側が気づくほうが早く直ります。運用の負担も、様式に組み込んでしまえば増えません。

まとめ

顔や声の特徴を変換した符号は、現行の法律でも個人を識別できる情報として扱われます。2026年7月17日に公布された改正では、こうした生体に関する情報に新しい取り扱いの決まりが設けられ、施行は公布から2年以内の政令で定める日からとされています。マーケの現場では、顔での受付、来場者を映すカメラ、録画と音声の保管、声や姿の生成が該当しうる場面です。今から着手できるのは、何を扱っているかの一覧化、保存の場所と期間と委託先の整理、そして同意の取り方と削除の窓口の決定です。詳細は政令や規則で具体化されるため、公表される正式な内容を必ず確かめてください。

※本記事にはAIが活用されています。編集者が確認・編集し、可能な限り正確で最新の情報を提供するよう努めておりますが、情報の完全性、正確性、最新性、有用性等について保証するものではありません。本記事の内容に基づいて行動を取る場合は、読者ご自身の責任で行っていただくようお願いいたします。