生体認証サービス届出

この届出の位置づけ

指紋・虹彩・顔・静脈・声紋などの生体情報は、特定の技術で本人を識別できる符号に変換された段階で、個人情報保護法上の「個人識別符号」に該当します(法2条・施行令1条)。つまり生体認証データは、氏名と結びつかなくても、それ単体で「個人情報」として扱われます。

注意すべき点として、生体認証サービスを始めること自体に対する単独の「事前許可・事前届出制度」は、現行の個人情報保護法には存在しません。ここでいう「届出」とは、サービス内容に応じて個人情報保護委員会に対して行う特定の届出・報告手続きを指します。何を届け出るべきかは事業設計によって変わるため、自社のデータの流れを整理することが出発点になります。

委員会への届出・報告が必要になる主な場面

• オプトアウト方式による第三者提供を行う場合:あらかじめ個人情報保護委員会への届出が必要です(法27条2項)。ただし生体情報のような要注意度の高いデータは、本人同意を取得する設計が一般的で、オプトアウトに馴染まない場合があります。
• 漏えい・滅失・毀損が発生し、本人の権利利益を害するおそれが大きい場合:委員会への報告と本人通知が義務付けられます(法26条)。生体情報は不正利用リスクが高く、報告対象となりやすい類型です。
• 外国にある第三者へ提供する場合や、共同利用する場合:本人への情報提供・公表事項が加重されます。

実務上やるべきこと

1. データフローの棚卸し:取得する生体情報の種類、保存場所、保持期間、提供先を文書化する。 2. 取得時の同意設計:利用目的を特定し、明示したうえで同意を取得する仕組みを作る。 3. プライバシーポリシー・利用規約の整備:生体情報の取扱いを具体的に記載する。 4. 安全管理措置:暗号化、アクセス制御、テンプレート(特徴量)の不可逆化など技術的対策を講じる。 5. 該当する届出・報告手続きの特定と提出。

費用の内訳

個人情報保護委員会への届出・報告そのものに行政手数料はかかりません。提示されている50,000〜300,000円は、主に専門家への委託費用と整備コストです。

• プライバシーポリシー・規程類の整備:数万円〜
• 安全管理措置の体制構築・社内規程作成:十数万円〜
• 行政書士・弁護士によるリーガルチェックや届出書面作成代行:案件規模により変動

具体的な金額は事業者の規模・データの複雑さにより異なります。

つまずきやすい点

• 「顔写真は個人情報だが顔認証データは別」と誤解し、安全管理を怠るケース。特徴量データも個人識別符号です。
• 利用目的の特定が曖昧で、後から用途を拡大できず再同意が必要になるケース。
• 委託先(クラウド・SaaS)管理が不十分で、委託先での漏えい責任を問われるケース。

関連して確認すべき事項

• 要配慮個人情報の該当性:生体情報単体は要配慮個人情報ではありませんが、用途次第で人種・健康情報等と結びつく場合は別途配慮が必要です。
• 業種別の上乗せ規制:金融・医療・通信など分野によっては所管省庁のガイドラインが加わります。詳細は所管庁により異なるため、自社業種の監督官庁を必ず確認してください。

体制や規程は一度作って終わりではなく、サービス内容の変更・提供先の追加・法改正のたびに見直しが必要です。