2026年個人情報保護法改正と顔識別機能付き防犯カメラー「万引き犯ブラックリスト」の利用停止等請求問題はどうなるのか : なか2656のblog

１．はじめに
2026年4月7日に閣議決定・国会提出された「個人情報の保護に関する法律等の一部を改正する法律案」（令和8年改正個人情報保護法）は、2026年7月10日、参議院本会議で可決・成立しました。施行は公布の日から起算して2年を超えない範囲内で政令が定める日とされています。今回の改正の柱の一つが、顔識別機能付き防犯カメラの顔特徴データ等の生体データを対象とする「特定生体個人情報」という新しい概念の創設です。

顔識別機能付き防犯カメラについては、本ブログでも以前からたびたび取り上げてきました。ジュンク堂書店が来店客すべての顔を撮影し顔認証データベースを構築していた問題や、JR東日本が約8000台の防犯カメラと顔認識システムを連携させ出所者・仮出所者・不審者等を監視していた問題などです。

本ブログ記事は、これらの過去記事とも関わる、いわゆる「万引き犯のブラックリスト」の開示・利用等停止請求の問題が、2026年法改正でどう変わるのかを検討します。

結論を先取りしてしまうと、今回の法改正は、「特定生体個人情報」を新設し、事前周知義務や第三者提供規制を設けたことは前進です。しかし、万引き犯のブラックリストの誤登録の被害者にとっては、施行令５条の保有個人データ対象外化と、共同利用スキームが残ることにより、救済の実効性はなお限定的ではないかと考えられます。以下順に見てみたいと思います。

２．新設される「特定生体個人情報」の概要
今回の改正法は、顔特徴データ等の生体情報を対象とする「特定生体個人情報」という区分を新たに設けました（改正法16条5項）。

（個人情報保護委員会「個人情報保護法等の一部を改正する法律について」より）

これは、現行法の「個人識別符号」（現行法2条2項1号）のうち、①特別の技術又は多額の費用を要しない方法で取得できる身体的特徴に係る情報であって、②当該情報が取得されていることを本人が容易に認識できないもの、の2要件を満たすものを指します。単なる顔写真は含まれず、識別のために変換された「顔特徴データ」が典型例とされています。

特定生体個人情報に該当する場合、事業者にはつぎの3つの新たな規律が課されます。

第一は、利用目的等を取得前にあらかじめ本人に通知・周知する事前周知義務（改正法21条の2）です。

第二は、オプトアウトによる第三者提供の禁止（改正法27条2項）で、第三者提供には本人同意が必須となります。

第三は、保有個人データに含まれる特定生体個人情報について、違反行為の有無を問わず利用停止等を請求できる利用停止請求権（改正法35条7項・8項）です。防犯カメラの顔認証データもこの特定生体個人情報に含まれ得ることから、以下ではこの新設規律が、これまで指摘されてきた「万引き犯ブラックリスト」の開示・削除請求の問題にどのような影響を与えるかを検討します。

３．現行法上の「ブラックリスト問題」－施行令5条の壁
個人情報保護法上、事業者が保有する個人データのうち、本人が開示・訂正・利用停止等を請求できるのは「保有個人データ」に限られます（法33条〜35条）。ところが「保有個人データ」の定義規定（法16条4項）には、次のようなただし書きがあります。

個人データであって、…その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のもの（法16条4項ただし書き）

そしてこの「政令で定めるもの」を定めているのが個人情報保護法施行令5条です。同条各号には、次のようなものが列挙されています。

・本人または第三者の生命、身体または財産に危害が及ぶおそれがあるもの（施行令5条1号）
・違法または不当な行為を助長し、又は誘発するおそれがあるもの（施行令5条2号）
・国の安全、他国等との信頼関係が害されるおそれがあるもの（施行令5条3号）
・犯罪の予防、鎮圧または捜査その他公共の安全と秩序の維持に支障を及ぼすおそれがあるもの（施行令5条4号）

この点、個人情報保護委員会が2023年3月に公表した「犯罪予防や安全確保のための顔識別機能付きカメラシステムの利用について」という報告書は、顔識別機能付きカメラシステムに関するものですが、照合用データベース（＝万引き犯人か否かを判別するために照合するデータベース）の登録情報が保有個人データに該当しない場合の根拠として、施行令5条1号（生命・身体・財産への危害）と2号（違法・不当な行為の助長・誘発）の両方を並べて挙げています。

その結果、誤って万引き犯として登録されてしまった、誤登録の方々（いわゆる「防犯カメラの冤罪被害者」の方々が、事業者に対して自分のデータの開示や削除を求めても、法律上、事業者にはこれに応じる義務がない、という構造的な問題が長年指摘されてきました。ネット上などにおいて「顔認証万引冤罪被害者の会」等が存在するのも、この問題の根深さを物語っています。

（なお、個人情報保護委員会の「カメラに関するQ&A」Q9-13は、顔識別機能付きカメラシステムに登録された顔特徴データ等が保有個人データに該当する場合には、事業者は開示・訂正・利用停止等の請求に適切に対応しなければならないとしています。裏を返せば、施行令5条によって保有個人データに該当しないと判断された場合には、この対応義務も生じないことになります。）

４．万引き犯のブラックリストの誤登録問題は解決するのか
この点、当初、専門家の解説の中には「保有個人データに該当することを要しない点でも対象範囲が拡張されている」とするものもありました。

しかし、実際の改正法の条文を確認すると、法35条7項の対象は「当該本人が識別される特定生体個人情報（保有個人データに含まれるものに限る。）」とされており、括弧書きで明確に保有個人データであることが要件とされています。つまり、この新しい利用停止請求権も、あくまで保有個人データに含まれる特定生体個人情報のみを対象としており、保有個人データ性そのものを不要とするものではありませんでした。

そうすると、顔認証データを用いた万引き犯データベースが施行令5条2号（又は1号）によって保有個人データから除外されている場合には、改正法35条7項の新しい利用停止請求権によっても、そのデータは利用停止等請求の対象外のままということになります。誤登録被害者にとっての構造的な問題は、残念ながら今回の改正でも実質的には解消されない、というのが結論となってしまっています。

５．手放しでは喜べない留保点
なお、仮に施行令5条による除外を受けず「保有個人データ」に該当する特定生体個人情報であったとしても、次の点には留意が必要です。

第一に、改正法35条7項に「一定の場合を除き」というただし書きがあり、その除外事由の具体的内容は、現時点の法案要綱上は明らかにされていません。今後の政令・個人情報保護委員会規則やガイドラインの策定過程で、施行令5条2号と同趣旨の除外事由が形を変えて盛り込まれないか、注視する必要があります。

第二に、この規律が及ぶのはあくまで「特定生体個人情報」、すなわち顔特徴データのように識別用に変換された生体データに限られます。氏名や単なる生データの顔写真だけで構成されたブラックリストは対象外であり、施行令5条の壁は従来どおり残ります。事業者側が「当社は顔特徴データへの変換を行わず、生データの画像のみで管理している」と主張してくる可能性も否定できません。

６．残された抜け穴－「共同利用」スキームの手当ては見送り
ところで、今回の改正でも積み残された論点があります。それが個人データの「共同利用」スキームです。個人情報保護法上、事業者があらかじめ利用目的や管理責任者等を本人に通知又は公表しておけば、当該提供先は「第三者」に該当しないとされ、本人の同意なしに個人データを共有することができます（法27条5項3号）。

実務上、万引き犯情報や顔認証データの事業者間での共有の多くは、第三者提供＋オプトアウトという構成ではなく、この「共同利用」スキームで構成されていると考えられます。個人情報保護法ガイドラインQ&A7-50も、防犯目的で取得したカメラ画像・顔特徴データ等を共同利用する際は、共同利用する範囲を真に必要な範囲に限定すべきとしており、この共同利用スキームの存在を前提とした整理となっています。

ところが、今回新設された特定生体個人情報のオプトアウトによる第三者提供の禁止（改正法27条2項）は、あくまで法27条1項の「第三者提供」を前提とした規律です。共同利用は法律上そもそも「第三者提供」に該当しないという整理になっているため（法27条5項3号）、この禁止規定は共同利用スキームには及びません。共同利用として構成されている限り、業種・業界をどこまで広げても、あらかじめ通知・公表さえしていれば本人同意は依然として不要という現行の建付けは変わらないことになります。

この「共同利用の裏口化」ともいうべき問題については、今回の3年ごと見直しに向けた検討過程でも、共同取得・共同利用に関する規律を第三者提供の例外という消極的な位置づけのまま放置するのではなく、独立した規律として明確化すべきとの問題提起がなされてきたとされます（「東京大学　宍戸常寿教授　令和６年12月4日議事概要」個人情報保護法のいわゆる３年ごと見直しの検討の充実に向けた事務局ヒアリング｜個人情報保護委員会）。

しかし、2026年4月の法案要綱・法案概要資料等のいずれにも、共同利用制度（法27条5項3号）自体を見直す条文は含まれておらず、この点は今回の改正でも実質的に手付かずのまま残されたといえます。今回の法改正に関する施行令やガイドライン等に関するパブコメや、次の法改正に関する3年ごと見直しに向けて、改めてパグコメ等に意見を出す価値のある論点ではないでしょうか。

７．まとめ
今回の改正は、顔特徴データ等につき「特定生体個人情報」という新しいカテゴリーを設け、事前周知義務やオプトアウト提供禁止など、本人関与を強化する規律を新設した点で評価できるものです。

しかし、条文を丁寧に確認すると、肝心の万引き犯ブラックリスト問題については、新設された利用停止請求権（改正法35条7項）が「保有個人データに含まれるものに限る」とされているため、施行令5条によって保有個人データから除外されているデータには及ばず、長年指摘されてきた構造的な問題は実質的に手つかずのまま残されたというのが実情です。加えて、共同利用スキーム（法27条5項3号）という抜け道も今回は見直し対象外となっています。