第三者提供を受けた顔画像を利用する場合に必要な対応

質問

顔画像を第三者から取得して、顔認証技術の実証実験を行うことを考えています。この場合、日本の個人情報保護法上、どのような対応が必要になりますか。

回答

貴社が、第三者から特定の個人を識別できる顔画像の提供を受け、顔認証技術の実証実験等で利用する場合、顔画像は「個人情報」（個人情報保護法（以下「法」）2条1項））に該当します。
また、提供元である第三者が、顔画像を体系的に構成して個人情報データベース等を構築していることが想定されるため、提供を受ける個々の顔画像は「個人データ」（法2条6項）に該当します。
さらに、顔画像データは、貴社において開示、内容の訂正、追加・削除、利用停止、消去及び第三者への提供の停止を行う権限を有しているため、「保有個人データ」（法2条7項）に該当します。
以上から、貴社は、日本の個人情報保護法の「個人情報」「個人データ」「保有個人データ」に関する規律を受け、以下の対応が必要となります。

①　利用目的の特定（法15条1項）

貴社は、顔画像の利用目的をできる限り特定する必要があります。
なお、ガイドライン（通則編）3-1-1が、利用目的をできる限り特定していない例として「事業活動に用いるため」「マーケティング活動に用いるため」を挙げていることから、利用目的を「実証実験に用いるため」とすることは、「利用目的をできる限り特定」している場合に該当しない可能性があります。どのような場合が「利用目的をできる限り特定」しているといえるかについては、末尾の資料が参考となります．．．