個人情報保護法（個人情報の保護に関する法律）では、生体認証として用いられる一般的技術に関し、一定の要件を満たすものを個人識別符号として規定し（２条２項１号）、個人情報と同様の取扱いをしています（２条１項２号）。生体認証技術が個人情報保護法上どのように取り扱われるか見ていきたいと思います。
目次
１．生体認証技術に関連する個人識別符号の種類
１－１．個人情報保護法の規定（２条２項１号）
個人情報保護法２条２項１号は、「特定の個人の身体の一部の特徴を電子計算機の用に供するために変換した文字、番号、記号その他の符号であって、当該特定の個人を識別することができるもの」のうち「政令で定めるもの」を個人識別符号として定義しています。
１－２．政令の規定（１条）
政令１条では、以下に次に掲げる身体の特徴のいずれかを電子計算機の用に供するために変換した文 字、番号、記号その他の符号であって、特定の個人を識別するに足りるものとして個人情報保護委員会規則で定める基準に適合するものを個人識別符号としています。 イ 細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列 ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によっ て定まる容貌 ハ 虹彩の表面の起伏により形成される線状の模様 ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化 ホ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様 ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるそ の静脈の形状 ト 指紋又は掌紋
１－３．個人情報保護委員会規則の規定（２条）
規則２条では、「個人情報の保護に関する法律施行令（以下「令」という。）第 1 条第 1 号の個人情報保護委員会規則で定める基準は、特定の個人を識別することができる水準が確保されるよう、適切な範囲を適切な手法により電子計算機の用に供するために変換することする。」と規定しています。これによると、結局のところ以下のものが個人識別符号に該当すると個人情報保護委員会が公表している個人情報保護ガイドライン（通則編）に示されています。 イ 細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列 ゲノムデータ（細胞から採取されたデオキシリボ核酸（別名 DNA）を構成する塩基の配列を文字列で表記したもの）のうち、全核ゲノムシークエンスデータ、全エクソームシークエンスデータ、全ゲノム一塩基多型（single nucleotide polymorphism：SNP）データ、互いに独立な 40 箇所以上の SNP から構成されるシークエンスデータ、9 座位以上の 4 塩基単位の繰り返し配列（short tandem repeat：STR）等の遺伝型情報により本人を認証することができるようにしたもの ロ 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状によって定まる容貌 顔の骨格及び皮膚の色並びに目、鼻、口その他の顔の部位の位置及び形状から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの ハ 虹彩の表面の起伏により形成される線状の模様 虹彩の表面の起伏により形成される線状の模様から、赤外光や可視光等を用い、抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの ニ 発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化によって定まる声の質 音声から抽出した発声の際の声帯の振動、声門の開閉並びに声道の形状及びその変化に関する特徴情報を、話者認識システム等本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの ホ 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様 歩行の際の姿勢及び両腕の動作、歩幅その他の歩行の態様から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの ヘ 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状 手のひら又は手の甲若しくは指の皮下の静脈の分岐及び端点によって定まるその静脈の形状等から、赤外光や可視光等を用い抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの ト 指紋又は掌紋 （指紋）指の表面の隆線等で形成された指紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの （掌紋）手のひらの表面の隆線や皺等で形成された掌紋から抽出した特徴情報を、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの チ 組合せ 政令第 1 条第 1 号イからトまでに掲げるものから抽出した特徴情報を、組み合わせ、本人を認証することを目的とした装置やソフトウェアにより、本人を認証することができるようにしたもの
１－４．個人識別符号となる具体的な情報
生体認証を行う際、例えば人間であれば、Ｘ氏の顔を顔写真データベースと比較して、誰と一致するかを検出します。しかし、コンピュータにおいては、画像にしろ音声にしろ保存されたデータは人間にとって便利なようにデータ化された情報であって、必ずしもコンピュータにとって比較に適した形ではありません。 一般的には、テスト対象とされるデータＸがデータベース内のどれと一致するかを検証する際には、 ・前処理（ノイズを除去するためのフィルタにかけるなど） ・特徴変換（音声であれば、ケプストラム領域（フーリエ変換を２回行った領域）に変換したりリニアスケールからログスケールないしメルスケールに変換するなど／画像であれば、減色処理、エッジ強調などのフィルタにかけた上で特徴部分を抽出するなど） ・その他処理等（正規化等） を行った上で一般的に「特徴量」と言われる認証に適した特徴的なデータを抽出するものと思います。規則ではＤＮＡ情報を除いていずれも「特徴情報」とされていることから、生データを個人識別符号として扱うのではなく、上記のように生体認証のために抽出した特徴情報を個人識別符号として扱っているものと考えられます。（ただ最近はＣＮＮ（畳み込みニューラルネットワーク）の登場によって生データからの認証も可能なように思われるため、今後は改正等により運用が変わっていくかもしれません。）
１－５．生体認証技術との対応
個人情報保護法における生体認証に関連する個人識別符号と、一般的な技術としての個人認証技術の対応関係は以下のようになると考えられます。 イ ＤＮＡ認証 ロ 顔認証・耳介認証（耳形認証） ハ 虹彩認証 ニ 音声認証（声帯認証・声紋認証） ホ 歩行認証（歩容認証） ヘ 静脈認証 ト 掌紋認証・指紋認証 ただし、検索をしていくと、他にも生体認証技術はあるようですので、以下検討してみたいと思います。 眼球血管認証…目の白目部分にある血管の特徴を利用した認証技術とのことです。目の白目部分にある血管は、「その他顔の部位」として解釈可能と思われ、血管の特徴は、「位置及び形状から抽出」と考えられますので、上記ロに該当し得るものと考えられます。 耳音響認証…日本電気㈱の技術のようですが、イヤホン型のデバイスから外耳道方向に検査音を送出し、反射した音から個人性を測定する技術とのことです。拡大解釈すれば、耳（顔の部位）の形状から抽出した特徴情報と言えなくもないですが、実際には、形状に基づいて決まる「反射音」から抽出した特徴情報ですので、上記ロに該当するとは言いにくいと考えられます（今後法改正される可能性はあると思いますが） 体臭認証…人の固有の体臭を用いる認証技術とのことで、研究段階のようです。これは上記のいずれにも該当しませんね。体臭を図るためにどのようなセンサがあるのか気になるところです。 心拍認証…心拍パターンを用いた認証技術とのことで、上記のいずれにも該当しませんね。 まばたき認証…まばたき前後の黒目領域の変化量を用いる認証技術とのことです。黒目部分は「その他顔の部位」として解釈可能と思われ、黒目領域は「位置及び形状から抽出」として解釈可能と考えられますので、上記ロに該当し得るものと考えられます。 キーストローク認証…パソコンのキーボードの打ち方の特徴を用いた認証技術とのことで、これも上記のいずれにも該当しませんね。
２．個人情報保護法における基本的項目
２－１．用語の定義
以下、個人情報保護法で定義されている重要な用語について簡単に示します。個人情報保護法では、「個人情報」、「個人データ」、「個人情報データベース等」といった用語を使い分けているので注意が必要です。 個人情報（２条１項）： この法律において「個人情報」とは、生存する個人に関する情報であって、次の各号のいずれかに該当するものをいう。 一 当該情報に含まれる氏名、生年月日その他の記述等（文書、図画若しくは電磁的記録（電磁的方式（電子的方式、磁気的方式その他人の知覚によっては認識することができない方式をいう。次項第二号において同じ。）で作られる記録をいう。以下同じ。）に記載され、若しくは記録され、又は音声、動作その他の方法を用いて表された一切の事項（個人識別符号を除く。）をいう。以下同じ。）により特定の個人を識別することができるもの（他の情報と容易に照合することができ、それにより特定の個人を識別することができることとなるものを含む。） 二 個人識別符号が含まれるもの 個人データ（１６条３項）： この章において「個人データ」とは、個人情報データベース等を構成する個人情報をいう。（個人情報保護法１６条３項） 個人情報データベース等（１６条１項）： この章及び第八章において「個人情報データベース等」とは、個人情報を含む情報の集合物であって、次に掲げるもの（利用方法からみて個人の権利利益を害するおそれが少ないものとして政令で定めるものを除く。）をいう。 一 特定の個人情報を電子計算機を用いて検索することができるように体系的に構成したもの 二 前号に掲げるもののほか、特定の個人情報を容易に検索することができるように体系的に構成したものとして政令で定めるもの
２－２．規制の内容
以下、個人情報保護法における規制の内容で重要なものを簡単に示しておきます。 ・規制を受ける主体： 個人情報保護法では、個人情報取扱事業者が守るべき内容を規定していることがほとんどで、１６条２項により、個人情報取扱事業者とは、個人情報データベース等を事業の用に供している者をいうとされています。ただし、事業を行い従業員を抱えていれば、少なくとも従業員名簿等の存在によって該当するものと思いますので、なかなかこの要件から外れることは難しいものと思います。 ・利用目的の通知・公表等： 個人情報取扱事業者となる以上、個人情報の取扱いに際して利用目的を特定し（１７条１項）、通知・公表等を行い（２１条１項）、利用目的を超えた取扱いをしてはならないとされています（１８条１項）。これは、「個人情報データべース等」ではなく、「個人情報」ですので、広範囲に及ぶことに注意が必要です。 ・第三者提供： 個人情報の第三者提供については、個人情報ではなく「個人データ」とされておりますので、個人情報データベース等を構成するデータの一部（全部）に対して規制が及んでいることに留意が必要です（２７条）。 個人情報保護法１６条２項 この章及び第六章から第八章までにおいて「個人情報取扱事業者」とは、個人情報データベース等を事業の用に供している者をいう。 個人情報保護法１７条１項 個人情報取扱事業者は、個人情報を取り扱うに当たっては、その利用の目的（以下「利用目的」という。）をできる限り特定しなければならない。 個人情報保護法１８条１項 個人情報取扱事業者は、あらかじめ本人の同意を得ないで、前条の規定により特定された利用目的の達成に必要な範囲を超えて、個人情報を取り扱ってはならない。 個人情報保護法２１条１項・３項 １ 個人情報取扱事業者は、個人情報を取得した場合は、あらかじめその利用目的を公表している場合を除き、速やかに、その利用目的を、本人に通知し、又は公表しなければならない。 ３ 個人情報取扱事業者は、利用目的を変更した場合は、変更された利用目的について、本人に通知し、又は公表しなければならない。 個人情報保護法２７条 個人情報取扱事業者は、次に掲げる場合を除くほか、あらかじめ本人の同意を得ないで、個人データを第三者に提供してはならない。 個人情報保護法３２条１項 個人情報取扱事業者は、保有個人データに関し、次に掲げる事項について、本人の知り得る状態（本人の求めに応じて遅滞なく回答する場合を含む。）に置かなければならない。 ※「保有個人データ」＝個人情報取扱事業者が、開示、内容の訂正、追加又は削除、利用の停止、消去及び第三者への提供の停止を行うことのできる権限を有する個人データであって、その存否が明らかになることにより公益その他の利益が害されるものとして政令で定めるもの以外のものをいう（個人情報保護法１６条４項）。
３．具体例
３－１．仮想事例１：生体認証装置
仮想事例として、生体認証装置を考えてみましょう。スマートフォンでも指紋認証や顔認証が普及しているところですが、例えば、指紋認証によってゲートを開く装置を考えてみます。このとき、ゲートを開くためには、予めゲートを開く対象者の指紋認証用の特徴情報を含むデータベースが構築されています。この特徴情報は個人識別符号に該当し、また、指紋認証時に取得した特徴情報と一致するかどうか検索可能となっているため、当該データベースは個人情報データベース等に該当することになります。このように、個人識別符号に含まれる特徴情報を用いた生体認証装置は、基本的に個人情報データベース等を取扱っていることになります。
３－２．仮想事例２：防犯カメラ
次に、仮想事例設定として、防犯カメラを考えてみましょう。 まず、事業を行っていれば何らかの形で個人情報データベース等を取扱うと思われますので、主体は個人情報取扱事業者であるとします。 防犯カメラで撮影するデータに顔画像が含まれ、それが誰か識別可能である場合、「個人情報」を取得することになりますので、防犯カメラを設置して録画するに際し、録画される者に対して、利用目的の特定と通知又は公表が必要になります。 ただし、防犯カメラが設置されていることが明らかであり、利用目的も防犯目的に限られる場合、取得の状況から見て利用目的が明らかと言えますので、法２１条４項４号の例外規定により、利用目的を通知又は公表する必要はないということになります。このとき、防犯カメラが設置されていることが分かるように、「防犯カメラ設置中」などを見えやすいところに表示して認識させることが望ましいでしょう。 次に、防犯カメラの使い方を少し変えてみます。例えば、コンビニのレジには防犯カメラが設置されていることがほとんどですが、これをマーケティングに利用すべく、客の顔と購入商品が写るように設置したとします。この場合は、防犯以外のマーケティング目的が発生するため、録画される対象者に対して、利用目的を通知又は公表する必要があります。個人情報保護委員会が公表している個人情報の保護に関する法律についてのガイドラインＱ＆Ａ１－１２にも関連する内容が示されており、「カメラ画像の取得主体、カメラ画像の内容、カメラ画像及び顔認証データの利用目的、問い合わせ先等を本人が確認できるよう、これらを店舗等の入口や設置場所等に明示するか、又は、これらを掲載した WEB サイトのURL 又は QR コード等を示すことが考えられます。」とされています。 なお、防犯カメラの映像自体は、個人情報には該当しますが（個人情報の保護に関する法律についてのガイドライン（通則編）法２条１項に関する記載部分）、個人情報データベース等には該当しないと解されています（個人情報の保護に関する法律についてのガイドラインＱ＆Ａ１－４１）。 一方で、防犯カメラの映像から、購入者の顔画像データと購入商品を対応付けてデータベースを構築すれば、特定の個人の情報を顔画像から検索可能となるため、個人情報データベース等に該当するものと考えられます。
３－３．仮想事例３：セルフレジ
仮想事例として、マーケティングも目的としたセルフレジを考えてみましょう。 実際にこんなことがあるのか分かりませんが、このセルフレジは、購入者が「スタート」と発話すると、それを音声認識して会計処理を進めるものとします。（これは、特定の個人を示す符号と購入商品を対応させるために必要な部分ですので、発話に限らず、会計の過程で指紋や虹彩を取得するなどであっても構いません。） 上記事例において、「スタート」の発話音声データと購入商品の組合せでデータベースを構築したとします。この場合、「スタート」という発話データ自体では、特定の個人を識別することはできませんし、また、特徴情報でもないので、個人情報には該当しないと考えられます。したがって、このようなデータベースは個人情報データベース等には該当しないものと考えられます。 次に、一歩踏み込んで、「スタート」の発話を生体認証可能な特徴情報に変換するとともに、購入日時、購入商品と組み合わせてデータベースを構築したとします（音声認証可能な特徴情報＋購入日時＋購入商品の組合せ）。この場合、音声認証可能な特徴情報は個人識別符号となりますので、個人情報として取り扱われる結果、このようなデータベースは個人情報データベース等に該当するものと考えられます。 マーケティングの観点では、例えばこの商品を買った人が他にどのような商品を買ったかという分析が一つの視点になりますので、違う時点において同一人物がどのような商品を購入しているかという情報を知りたいという要望が出てくると思います。このとき、単に発話データと商品の組合せであれば、個人情報データベース等には該当しないと思われる一方、音声認証可能な特徴情報と購入商品の組合せであるときには個人情報データベース等に該当すると思われます。つまり、前者のデータベースから後者のデータベースには、コンピュータの処理時間をかければ技術的に変換可能と思われますが、個人情報保護法上の取扱いは現状異なることに留意が必要です。 先に述べた防犯カメラについても同様で、大量の防犯カメラ映像から、顔認証を行うことで、顔認証可能な特徴情報と購入商品の組合せのデータを構築することは技術的には可能と思われますが、前者（防犯カメラ映像のデータ）は個人情報は取り扱っていても個人情報データベース等には該当しない一方で、後者は個人情報データベース等に該当することに留意が必要です。
４．参考情報
個人情報保護委員会の個人情報保護法に関する情報ページ 個人情報の保護に関する法律についてのガイドライン（通則編） 個人情報の保護に関する法律についてのガイドラインＱ＆Ａ
５．まとめ
生体認証に利用可能な技術を用いる場合、それを直接本人認証のために用いなくとも、データの取扱い方によっては、個人情報に該当し、又は個人情報データベース等に該当することがあります。また、何を取扱うかにより、個人情報保護法上求められる対応も異なりますので、留意が必要です。