店舗や施設に設置したカメラの映像を、混雑状況の把握や動線の分析に活用したい。そう考えたときに立ち止まる理由の多くは、技術的な問題ではありません。「この映像は個人情報に当たるのか」「どこまでなら使っていいのか」という線引きが曖昧なまま、判断を保留しているケースが少なくないのではないでしょうか。

その線引きが、2026年の法改正で動きました。2026年7月10日に「個人情報の保護に関する法律等の一部を改正する法律」が成立し、7月17日に公布されています。カメラ映像に直接関わる規律も新設されました。

本記事では、カメラ映像がどの時点から「個人情報」として扱われるのかを3つの境界線に整理し、それぞれを越えた場合に企業が負う義務と、対応しなかった場合のリスクまでを解説します。

1. なぜ今「カメラ映像はどこからが個人情報か」が問われているのか

1-1. 2026年改正個人情報保護法の成立と施行スケジュール

2026年（令和8年）4月7日に国会へ提出された改正法案は、同年7月10日に可決・成立し、7月17日に公布されました。個人情報保護委員会は、円滑な施行に向けて政令・規則・ガイドライン等の検討を継続するとしています。

※出典：個人情報保護委員会「令和８年 改正個人情報保護法について」

施行日は一律ではありません。一部の規定を除き、公布の日から起算して2年を超えない範囲内で政令が定める日から施行されます。つまり、遅くとも2028年7月16日までに施行されることになります。

ここで押さえておきたいのは、施行までの期間は「まだ先の話」ではなく、政令や委員会規則の内容を確認しながら準備を進める期間だという点です。実際、委員会は2026年8月26日に政令・規則等で定める事項の全体像を、9月9日には整備の進め方を順次決定しており、細部は現在も検討が続いています。自社の運用が改正後の規律に触れるかどうかを先に把握しておかなければ、規則が固まってから慌てて対応することになります。

1-2. 12項目の改正のうち、カメラを扱う企業に関係するのは4つ

今回の改正は、いわゆる「3年ごと見直し」に基づくもので、改正項目は12に及びます。内容は「適正なデータ利活用の推進」「リスクに適切に対応した規律」「不適正利用等防止」「規律遵守の実効性確保のための規律」の4つに整理されており、規制の強化だけでなく緩和も含まれている点が特徴です。

このうち、カメラ映像を扱う企業に関係するのは主に次の4項目です。

このうち上2つは、これまで存在しなかった線を新たに引く改正です。自社のカメラがその線の内側に入るのかどうかが、最初に確認すべきポイントになります。

2. カメラ映像が「個人情報」になる3つの境界線

2-1. 前提：個人情報・個人データ・保有個人データの違い

境界線の話に入る前に、用語を整理しておきます。個人情報保護法では、似た言葉が入れ子の関係で使い分けられています。

個人情報は、生存する個人に関する情報のうち、特定の個人を識別できるものです。個人データは、そのうち検索できるように体系的に整理された「個人情報データベース等」を構成するものを指します。保有個人データは、個人データのうち事業者が開示や削除などの権限を持つものです。

重要なのは、内側の段階に進むほど、事業者に課される義務が増えるという構造です。個人情報の段階では利用目的の特定や通知が中心ですが、個人データになると安全管理措置や第三者提供の制限が加わり、保有個人データになると本人からの開示・訂正・利用停止の請求に応じる義務が生じます。

カメラ映像を扱う際も、そのデータがこのうちどれに当たるかによって、求められる対応が変わります。

2-2. 今までの境界線：映像から特定の個人を識別・検索できるか

1本目は、改正前から存在する線です。カメラ映像を扱う上で、まず確認すべき基本になります。

映っている人が誰か判別できるか（個人情報に当たるか）

人物の顔や姿が判別できる程度に映っていれば、その映像は個人情報に当たります。氏名が分からなくても、映像から本人を識別できれば該当します。この段階では、何の目的でカメラを設置しているかを特定し、本人が分かる形で示しておくことが求められます。店舗や施設の入口に掲示を出す運用は、この義務に対応するものです。

特定の人物を検索できる状態か（個人データに当たるか）

特定の人物を検索できるかどうかです。特定の個人を識別できる映像情報であっても、特定の個人情報を検索できるように体系的に構成されていなければ、個人情報データベース等には該当しないと解されています。記録した日時で検索できるとしても、特定の個人に係る映像を検索できない場合は該当しません。逆に、人物ごとに映像を紐づけて後から呼び出せる仕組みを持たせれば、個人データとして安全管理措置や第三者提供の制限がかかります。

※出典：個人情報保護委員会「防犯カメラやビデオカメラなどで記録された映像情報は、特定の個人を識別することができる映像であれば、個人情報データベース等に該当しますか。」

録画映像を日時順に保存しているだけであれば前者に近く、人物単位でタグ付けして検索可能にしていれば後者に当たります。同じカメラでも、映像をどう保存し、どう取り出せるようにしているかで扱いが変わるという点が、この境界線の要点です。

2-3. 新たな境界線①：顔特徴データを生成しているか【2026年改正で新設】

2本目は、今回の改正で新たに引かれた線です。カメラを扱う企業にとって、影響が最も大きい部分になります。

改正法では、顔特徴データ等の取扱いについて新たな規律が設けられました。ここでいう顔特徴データ等として想定されているのは、顔の骨格や皮膚の色、目・鼻・口その他の顔の部位の位置や形状から抽出した特徴情報を、本人を識別することを目的とした装置やソフトウェアにより、本人を識別できるようにしたものです。

ここで押さえるべきなのは、規制の対象が映像そのものではないという点です。 個人情報保護委員会の資料でも、単なる顔写真ではなく、個人識別符号のうち顔特徴データを想定していることが明記されています。単に人の顔が映っているだけの映像は、この境界線の外側にあります。

こうした規律が設けられた背景には、生体データの性質があります。顔特徴データ等は本人が関知しないうちに容易に、それゆえ大量に入手でき、一意性および不変性が高く、特定の個人を識別する効果が半永久的に継続します。複数の地点にカメラを設置して顔特徴データ等を取得し、これを名寄せに用いれば、本人が関知し得ないまま行動を追跡することも可能になります。

ただし、具体的な範囲は政令以下で定めることが想定されており、現時点では確定していません。委員会は2026年8月に政令・規則等で定める事項の全体像を示しており、細部は今後の検討で固まっていきます。

※出典：個人情報保護委員会事務局「個人情報保護法等の一部を改正する法律について」（令和８年７月）

2-4. 新たな境界線②：16歳未満が映っているか【2026年改正で新設】

3本目も、今回の改正で新設された線です。

改正法では、16歳未満の個人情報等を取り扱う場合、原則として法律上の「本人」を「本人の法定代理人」と読み替えて適用することになりました。これまで年齢の基準は法律上定められておらず、委員会のQ&Aで示されるにとどまっていましたが、16歳未満という線が条文に明記された形です。併せて、16歳未満の本人は原則として利用停止等を請求できることとされ、未成年者の個人情報を扱う際に年齢や発達の程度に応じて最善の利益を優先して考慮する努力義務も新設されました。

カメラにとって難しいのは、映る人の年齢を選べないという点です。商業施設、小売店舗、教育施設、屋外の公共空間など、子どもが映り込む可能性のある場所は数多くあります。すでに2つの境界線を越えている場合、そこに16歳未満が含まれていれば、同意や通知の相手方が保護者になり、対応の手順が変わります。

なお、16歳未満であることを知らないことに正当な理由がある場合など、読み替えが適用されない例外も定められています。この例外がどこまで認められるかも、今後のガイドライン等で具体化される見込みです。

3つの境界線と、越えた場合に発生する主な義務

自社のカメラがどこまで越えているかを確認すると、次章で見る義務のうちどれが自社に関係するかが絞り込めます。

3. 境界線を越えた場合に発生する義務

3-1. 今までの境界線を越えた場合：利用目的の明示と安全管理措置

個人情報に当たる映像を扱う場合、利用目的をあらかじめ特定し、本人が分かる形で公表または通知する必要があります。カメラの場合、設置場所に掲示を出す方法が一般的です。

個人データに当たる場合は、これに安全管理措置が加わります。アクセス権限の管理、保存期間の設定、持ち出しの制限といった具体的な運用が必要です。併せて、本人の同意なく第三者へ提供することが原則として制限されます。グループ会社への提供や、分析を目的とした外部への提供も、条件を満たさなければこの制限にかかります。

3-2. 新たな境界線①を越えた場合：取扱いの周知義務

顔特徴データ等を取り扱う場合、あらかじめ次の事項を本人に通知するか、本人が容易に知り得る状態に置く必要があります。

1. 事業者の氏名または名称、住所、法人の場合は代表者の氏名
2. 顔特徴データ等を取り扱うこと
3. その利用目的
4. 符号に変換される身体の一部の特徴に係る情報の内容
5. 利用停止請求に応じる手続
6. その他委員会規則で定める事項

注意したいのは4番目です。単に「顔認証を行っています」と掲示するだけでは足りず、何をどのように変換しているかまで示すことが求められます。 現在カメラを運用している事業者の掲示内容が、そのまま要件を満たすとは限りません。周知の具体的な方法は委員会規則で定められるため、規則の公表後に掲示やプライバシーポリシーを見直す必要が出てくる可能性があります。

3-3. 新たな境界線①を越えた場合：利用停止等の請求への対応

今回の改正で、実務上の負担が最も変わる可能性があるのがこの部分です。

通常の利用停止等の請求は、目的外利用や不正取得といった違反があった場合などに限って認められます。これに対して顔特徴データ等については、違反がなくても本人が原則として利用停止等を請求できることとされました。事業者は請求に理由があると判明したときは、遅滞なく対応しなければなりません。

例外として、あらかじめ本人の同意を得て作成または取得した場合が定められています。ただし、施設に設置したカメラの映像から顔特徴データを抽出するという場面で、映る人すべてから事前に同意を得ることは現実的ではありません。多くのケースでは、請求に応じる前提で体制を整えておく必要があります。

たとえば来店客から「先週そちらの店舗に行ったが、自分の顔のデータを消してほしい」と連絡が入った場合、その人物が自社の保有するデータのどこに含まれているかを特定し、該当する分だけを利用停止にする必要があります。

押さえておきたいのは、この作業量が保有しているデータの持ち方に左右されるという点です。 システム全体を止めるわけではなく、請求した本人の分を特定して利用停止にする作業であるため、個人単位でデータを保持している範囲が広いほど、特定と対応にかかる手間は大きくなります。

3-4. 新たな境界線①を越えた場合：オプトアウトによる第三者提供の禁止

オプトアウト制度は、本人の求めに応じて提供を停止することを条件に、同意を得ずに個人データを第三者へ提供できる仕組みです。今回の改正で、顔特徴データ等はこの制度に基づく第三者提供ができないこととされました。

オプトアウトによる提供を行っている事業者は限られますが、実施している場合は、顔特徴データ等とそれ以外を分けて管理する必要が生じます。

3-5. 新たな境界線②を越えた場合：16歳未満への対応

16歳未満が映る場所にカメラを設置している場合、同意や通知の相手方は原則として法定代理人になります。また、16歳未満の本人からの利用停止等の請求にも原則として応じる必要があります。

カメラでは相手の年齢を事前に確認できないため、子どもが映り込む可能性のある場所では、そもそも年齢に関わらず対応できる運用を設計しておくほうが現実的です。学校や塾、子ども向け施設のように16歳未満が来訪者の中心となる施設では、特に整理が必要になります。

3-6. 外部に委託している場合：契約内容の見直し

映像の保存や解析を外部のサービスに任せている場合、今回の改正は委託関係にも影響します。

改正法では、委託を受けた事業者は、原則として委託された個人データ等の委託を受けた業務の遂行に必要な範囲を超えて取り扱ってはならないことが、明文の規定として設けられました。

併せて、委託先が自ら取扱いの方法を決定しないケースについては、委託先の義務を免除する仕組みも設けられています。委託契約において取扱いの方法の全部について合意し、かつ委託先における取扱い状況を委託元が把握するために必要な措置等について合意した場合には、委託先に対する各義務規定の適用が原則として免除されます。ただし、必要な範囲を超えて取り扱ってはならない義務と、安全管理に係る義務は引き続き適用されます。

ここで注意したいのは、この免除が想定しているのは、委託元から指示された方法で機械的にデータを取り扱うだけの場合だという点です。映像の解析方法をベンダー側が設計しているような委託関係では、この免除の対象にならない可能性があります。 現在の契約がどの類型に当たるのかを確認しておく必要があります。契約に定めるべき具体的な事項は委員会規則で示される予定のため、規則の公表を待って見直しに入る流れになります。

4. 対応しなかった場合に企業が負うリスク

4-1. 命令が出やすくなり、違反事実の公表を命じられる可能性

改正法では、個人情報保護委員会が命令を出せる場面が広がりました。

現行法では、勧告を経ることなく直ちに命令（緊急命令）を出せるのは、個人の重大な権利利益が既に侵害されている場合に限られていました。改正後は、これに加えて、個人の権利利益の侵害が切迫している場合にも、勧告を前置せずに命令を発出できるようになります。

さらに、命令や勧告の内容も広がりました。従来は違反行為の中止その他の是正措置に限定されていましたが、本人に対する違反行為に係る事実の通知や公表といった、本人の権利利益の保護のために必要な措置を勧告・命令の内容にできるようになります。 カメラとプライバシーに関わる問題は社会的な関心が高く、公表による影響は行政上の手続にとどまりません。

4-2. 使用しているサービスが停止される可能性

改正法では、委員会が違反事業者に対して命令を発出した場合に、その違反行為に関与する第三者に対して、違反行為の中止のために必要な措置等をとるよう要請できる根拠規定が設けられました。想定されているのは、クラウドサービス事業者、サーバーのホスティング事業者、検索サービス提供事業者などです。

この要請は任意のものですが、要請に応じて役務の提供を停止した第三者は、命令を受けた事業者に対する損害賠償責任を負わないこととされています。 サービス提供側から見れば、要請に応じやすい仕組みになっているといえます。

発動するのは委員会が命令を発出した場合に限られるため、いきなりサービスが止まるわけではありません。ただし、是正に応じないまま事態が進んだ場合、映像の保存や解析を行っている基盤そのものが使えなくなる可能性はあります。

4-3. 課徴金の対象になる場合

今回の改正では課徴金制度が導入されました。違法な取扱いによって財産上の利益を得た場合に、委員会がその額に相当する納付を命じる制度です。

ここは誤解が生じやすい部分なので、正確に押さえておく必要があります。課徴金の対象となる行為は限定されており、周知義務や安全管理措置の違反は含まれません。 対象となるのは、違法な行為や不当な差別的取扱いを行うことが想定される状況にある第三者への提供、第三者提供の制限に違反した提供、統計作成等の特例に関する違反、不正に取得した個人情報の利用といった類型です。いずれも、その行為によって金銭その他の財産上の利益を得たことが要件になります。

なお、違反行為の防止のために相当の注意を怠っていないと認められる場合や、対象となる本人の数が1,000人を超えない場合などは、課徴金の対象から除かれることとされています。

カメラを扱う企業にとって現実的に注意すべきなのは、悪意なく該当してしまうケースです。

たとえば、同じグループだからという理由で、店舗のカメラから得た人物データを関連会社へ提供し、対価を受け取っていた場合。共同利用や委託の要件を満たしていなければ、第三者提供の制限に違反する可能性があります。

また、今回新設された統計作成等の特例で提供を受けたデータを、当初公表した統計作成の範囲を超えて個別のマーケティング施策に転用した場合も、違反にあたる可能性があります。特例に依拠して取得したデータは、利用できる範囲が限定されるという点に注意が必要です。

4-4. 漏えいが起きたときの本人通知

改正法では、漏えい等が発生した場合の本人通知について例外が追加されました。本人への通知が行われなくても本人の権利利益の保護に欠けるおそれが少ない場合として委員会規則で定める場合には、通知が不要になります。想定例として挙げられているのは、利用者の社内識別子のように、それ単体では意味を持たない情報だけが漏えいしたケースです。

ここで注意したいのは、緩和されるのは本人への通知であって、委員会への報告義務そのものがなくなるわけではないという点です。

カメラの場合、この論点には固有の難しさがあります。たとえば映像を保存しているサーバーが不正アクセスを受け、一定期間分の映像が流出した場合、映っているのはその期間に来店した不特定多数の人です。本人へ通知しようにも、事業者は氏名も連絡先も把握していません。

一方で、漏えいしたものが匿名化された集計データだけであれば、位置づけは変わり得ます。保有しているデータから個人をどの程度特定できるかが、漏えい時の対応の重さを左右するという関係になります。ただし具体的な対象範囲は委員会規則で定められることとされており、現時点では確定していません。

5. 施行までに確認しておくこと

政令や委員会規則の内容が固まるまでは、細部まで作り込む段階ではありません。一方で、どこを変える必要があるかを特定しておく作業は、今から進められます。

5-1. 自社のカメラがどの境界線まで越えているかの確認

第2章の3つの境界線に照らして、自社のカメラがどの段階にあるかを確認します。特に、顔特徴データを生成する機能を使っているかどうかは、必要な対応が大きく変わる分岐点です。使用しているシステムのベンダーに、どのようなデータを生成し保持しているかを確認しておくとよいでしょう。

5-2. 保有しているデータの棚卸し

何を、どこに、どれくらいの期間保存しているかを整理します。映像そのもの、解析結果、個人単位のログなど、種類ごとに把握しておくと、請求対応や漏えい時の判断がしやすくなります。

5-3. 掲示・プライバシーポリシーの現状確認

現在掲示している内容が、改正後の周知事項を満たしているかを確認します。規則の公表後に修正することを前提に、現状を把握しておく段階です。

5-4. ベンダーとの契約内容の確認

映像の保存や解析を外部に委託している場合、現在の契約にどのような事項が定められているかを確認します。こちらも規則の公表後に見直す前提で、現状の整理を進めておきます。

6. 境界線を越えないという選択肢｜OPTiM AI Camera

ここまで見てきた義務の多くは、ある共通点を持っています。個人を特定できるデータを保持しているからこそ発生する、という点です。

利用停止等の請求への対応の負担が大きくなるのは、請求した本人のデータを特定する必要があるからです。漏えい時の本人通知が問題になるのも、漏えいしたデータから個人が特定できるからです。逆にいえば、映像を解析した後に個人を特定できるデータを残さない仕組みであれば、これらの負担の前提そのものが成立しません。

「OPTiM AI Camera」は、カメラ映像をAIが解析した上で、映像を即時に破棄する設計になっています。個人を特定できるデータは保存されず、画面上の人物は匿名化された形で表示されます。

その状態でも、人流解析によるエリアごとの人数や滞在時間の把握、混雑状況のリアルタイムな可視化、曜日・時間帯別の傾向の蓄積といった分析は行えます。小売業や商業施設での動線の把握、製造業での安全管理など、映像を活用する目的の多くは、個人を特定しなくても達成できるものです。

改正法への対応を考えるとき、「どう義務を果たすか」だけでなく「個人を特定しない形で今まで通り運用できないか」という観点も選択肢に入ります。カメラ映像の活用を検討していて、個人情報の扱いに懸念をお持ちの方は、まず資料で仕組みをご確認ください。

▶ OPTiM AI Cameraの資料ダウンロード・お問い合わせはこちら