顔で運賃を払うと、移動まで記録される？ 路線バス実証から考える生体決済の境界線
顔認証決済を使っただけで、街中の行動が無条件に追跡されるわけではありません。ただし、事業者の設計次第では、顔の特徴データ、決済情報、利用日時や場所を同じ利用者にひも付けられる可能性があります。
便利さを判断する際は、認証精度だけでなく「何を保存するか」「誰が使うか」「いつ消せるか」を確かめる必要があります。
この記事で分かることは次の4点です。
- 顔認証決済で記録され得る情報
- 顔写真と顔特徴データの違い
- 現行の個人情報保護法で守られる範囲
- 利用前に確認したい具体的な項目
荻窪の路線バスで始まった「顔を運賃箱にする」実証
顔認証決済は、実験的な展示から日常の交通へ移り始めています。
東京都は2026年2月2日から3月17日まで、関東バスの荻51系統（荻窪駅南口―シャレール荻窪）で顔認証キャッシュレス決済を実証しました。利用者は顔画像とクレジットカード情報を事前登録し、車内の端末に顔を向けて運賃を支払います。
対象は大人普通運賃のみで、開始時は230円、3月1日から240円。定期券、小児運賃、障害者割引などは対象外でした。東京都は、乗客の利便性だけでなく、運賃の支払いに対応する運転士の負担軽減も目的に挙げています。
実証の関係者は次の通りです。
- 実施主体：東京都
- 運行事業者：関東バス
- 委託先：三菱総合研究所
- 決済基盤：DGフィナンシャルテクノロジーのサービス
財布やスマートフォンを取り出さずに乗れる仕組みは、荷物を持っている人や端末操作が難しい人に役立ちます。一方、顔はカードのように簡単には交換できません。この違いが、通常のキャッシュレス決済にはない論点を生みます。
「顔を見せる」と「追跡される」は同じではない
監視の度合いは、カメラの存在より、取得したデータをどこまで結び付けるかで決まります。
顔認証決済では、一般に登録時の顔から特徴を数値化したデータを作り、支払い時にカメラが読み取った顔の特徴と照合します。照合が成立すると、登録された決済手段へ処理が進みます。
この仕組みだけなら、目的は「目の前にいる人が登録者本人か」の確認です。しかし、認証結果に日時、車両、店舗、購入品などを付ければ、利用履歴になります。複数の施設で共通IDを使えば、別々だった行動も一人分の記録としてつながり得ます。
記録される可能性があるもの
サービスによって範囲は異なりますが、確認対象になるのは次の情報です。
- 登録時の顔画像
- 顔から抽出した特徴データ
- 氏名、連絡先、会員ID
- クレジットカードに関連する登録情報
- 認証に成功・失敗した日時と端末
- 乗車区間、店舗、購入内容などの利用履歴
- 不正利用の検知記録や端末ログ
重要なのは、顔画像を削除しても、照合に使う顔特徴データが残る場合があることです。「写真は保存しません」という説明だけでは、判断材料として十分ではありません。
決済用カメラと街中の防犯カメラは別物
事前登録した人が自ら端末へ顔を向ける決済と、不特定多数を撮影する防犯カメラでは、取得の状況も目的も異なります。
顔認証決済に登録したからといって、別の防犯カメラが自動的にその登録データへアクセスできるわけではありません。追跡が可能になるのは、データベースや識別子が共有・連携される場合です。
そのため、「顔認証だから危険」「暗号化しているから安全」と一言で評価するのではなく、次を分けて見る必要があります。
- 決済用データと防犯用データを分離しているか
- 別店舗や別サービスで共通利用するか
- 行動分析や広告配信に転用するか
- 委託先や提携先へ渡すか
ここがポイント: 問うべきなのは「カメラに映るか」だけではなく、映った顔を誰のデータと照合し、その結果を何の履歴へ結び付けるかです。
顔特徴データは個人情報として扱われる
本人を認証できる顔特徴データは、単なる画像処理の結果ではありません。
個人情報保護委員会のガイドラインでは、本人を判別できる顔画像は個人情報に当たります。さらに、顔の骨格や目、鼻、口などの特徴を変換し、本人を識別できる符号は「個人識別符号」に該当します。
暗号化されていても、それだけで個人情報ではなくなるわけではありません。事業者には、利用目的の特定・通知または公表、安全管理、第三者提供に関するルールなどが適用されます。
現行法で利用者が求められること
顔特徴データが事業者の「保有個人データ」に該当する場合、利用者は法令に基づいて次の手続きを求められます。
- 保有データの開示
- 誤りがある場合の訂正
- 一定の要件を満たす場合の利用停止や消去
- 一定の要件を満たす場合の第三者提供停止
ただし、現行法の下で「退会を申し出れば、あらゆる関連記録が直ちに消える」とは限りません。決済記録などに別の保存義務や正当な保管理由があれば、顔特徴データとは異なる期間で保持される可能性があります。
2026年改正で生体データの停止請求を強化
2026年7月17日には改正個人情報保護法が公布されました。改正法は、身体的特徴に関する一定の個人情報について、違法な取扱いがなくても本人が利用停止などを請求できる仕組みを盛り込んでいます。
一部を除く施行日は、公布から2年以内に政令で定められる予定です。2026年8月時点では、対象となる情報の範囲や実務手続きについて、政令、規則、ガイドラインの整備が続いています。
つまり、権利は強化される方向ですが、利用者がどの窓口へ何を示せば削除・停止を求められるのかは、今後の細則も確認しなければなりません。
東京都の説明で分かること、まだ見えないこと
「適切に管理する」という説明の先に、利用者が判断できる具体性が必要です。
東京都は荻51系統の実証について、取得する顔画像などを関連法令に従って管理し、実証の検証・分析目的だけに利用すると説明しました。目的外利用を広げないという方針は重要です。
一方、公開された報道発表だけでは、次の点を十分に読み取れません。
- 顔画像と顔特徴データをそれぞれ保存したか
- 保存場所が端末内か、国内のサーバーか、クラウドか
- 東京都、関東バス、三菱総合研究所、システム事業者の責任分担
- 認証ログと乗車履歴をどの粒度で結び付けたか
- 実証終了後の削除時期と削除確認の方法
- 誤認証や第三者によるなりすましが起きた際の補償手順
これらが直ちに不適切だったという意味ではありません。問題は、利用者が公開情報だけで安全性を比較しにくいことです。本格導入を判断するなら、認証成功率や決済時間と同じように、保存期間や削除件数、誤認証時の対応も検証結果として示す必要があります。
便利さを必要とする人が対象外になる矛盾
顔認証の利便性は、代替手段を残してこそ生活上の利益になります。
荻51系統の実証では、定期券、小児運賃、障害者割引が対象外でした。実証範囲を絞る事情はあるものの、手やスマートフォンを使わずに支払える仕組みを必要とする人ほど、制度上は参加できない場合があります。
本格導入時には、次の二つを同時に満たせるかが焦点です。
- 顔認証を選ぶ人には、速く簡単な支払いを提供する
- 顔を登録したくない人には、現金、ICカード、乗車券などの実用的な代替手段を残す
顔登録を拒むと運賃が高くなる、列が大幅に遅くなる、必要な割引を受けられない――こうした差が生じれば、形式上は任意でも、実際には登録を迫る仕組みになりかねません。
また、加齢、けが、医療上の事情、照明条件などで認証しにくい場面もあります。認証失敗時に乗務員へ負担が集中すれば、省力化という導入目的にも反します。
利用前に見るべき7つの質問
規約を全文読み込まなくても、最低限この7点は確認できます。
- 顔写真と顔特徴データのどちらを保存するのか
- 認証ログに日時、場所、購入内容を結び付けるのか
- データを扱う事業者と委託先は誰か
- 広告、分析、防犯など別の目的に使う可能性があるか
- 保存期間は何日・何年か
- 退会後、どのデータがいつ消えるのか
- 顔を登録しない場合も同じサービスや割引を利用できるか
説明が「安全に管理します」「AIで高精度です」だけなら、一歩立ち止まるべきです。精度の高さは誤認証を減らしますが、目的外利用や過剰保存を防ぐものではありません。
次に注目すべきは「実証後の数字」
顔認証決済の評価は、使えた人数や処理速度だけでは決まりません。今後の本格導入を判断するには、次の情報が必要です。
- 認証の成功率と失敗時の平均対応時間
- 世代や利用条件による使いやすさの差
- 誤決済、なりすまし、返金の件数
- 実際に保存したデータ項目と保存期間
- 実証終了後に削除したデータの範囲
- 顔認証を選ばなかった人への代替手段
顔は、財布を忘れた日にも持っている便利な認証手段です。同時に、漏えいしても番号のようには変更できません。
次の実証や本格導入で見るべきなのは、「何秒早く乗れたか」だけではなく、利用をやめた人の顔データを何日で、どこまで消せるのかです。