eKYCは危険なのか。顔画像の行き先から考える

「本人確認のために顔を撮影します」と表示された瞬間に手が止まるユーザーは少なくありません。この不安に「暗号化しているので安全です」と答えても、ほとんど響きません。ユーザーが気にしているのは通信経路ではなく、撮った画像がその後どこへ行き、いつまで残るのかだからです。本記事は、eKYCの利用に不安を持つユーザーと、その不安に説明責任を負うサービス提供事業者の双方に向けて、方式ごとに「何を渡しているのか」を分解し、リスクの所在を保存・削除・委託の設計として捉え直します。導入を検討する開発責任者にとっては、そのまま方式選定とプライバシー設計の判断材料になります。確認日: 2026年8月23日。

この記事の要点

• eKYCで渡すデータは方式によってまったく違います。券面画像と顔動画を渡す方式もあれば、公的個人認証（JPKI）のように画像を一切渡さない方式もあります
• リスクの本体は「送ること」ではなく「送った後」です。何が・どこに・何か月保存され、いつ消えるかが安全性の実質を決めます
• 顔画像から作られる特徴量（テンプレート）も個人情報です。個人情報保護委員会は保護措置を講じたテンプレートについても漏えい時の考え方を示しており、「特徴量だから軽い」という整理は成立しません
• 2027年4月の犯収法改正で画像送信型が廃止されるのは偽造対策が主目的ですが、結果としてユーザーが渡す生体データが減る方向の変化でもあります

「eKYCは危険か」は方式を分けないと答えられない

不安の解像度を上げる最初の一手は、「eKYC」というひとくくりの言葉を方式に分解することです。同じ本人確認でも、事業者側に届くデータの中身はまったく異なります。

方式	渡すデータ	画像は渡るか
画像送信型（現行ホ方式・2027年3月31日まで）	券面の写真＋顔の動画/写真	渡る（両方）
IC読み取り＋顔（ヘ方式）	ICチップ内の券面情報＋顔の写真	顔は渡る。券面は画像でなくデータ
公的個人認証（JPKI・カ方式）	電子証明書と署名（基本4情報を含む）	画像は渡らない
デジタル認証サービス	認証結果（必要に応じて属性）	画像は渡らない（顔写真は明示的なスコープ）

この表から読み取れる最も直接的な答えは、「顔写真を撮られるのが嫌だ」という不安に対しては、マイナンバーカードのJPKI方式にはそもそも撮影という工程がない、というものです。JPKIは電子証明書と署名の検証で本人性を確かめる仕組みであり、顔画像も券面画像も事業者側に渡りません。方式ごとの適用条件や技術的な違いはeKYCの方式一覧、JPKIと画像系eKYCの選び分けはeKYCとJPKIの比較にまとめています。

なお、2027年4月の犯収法改正で画像送信型が廃止される主目的は偽造券面への対策ですが、副次的な効果として「ユーザーが渡す生体データが減る」方向の変化でもあります。制度変更後に何が残るかは2027年以降のeKYC方式で整理しています。

「12桁の番号を知られるのでは」は誤解

マイナンバーカードを読み取らせることへの抵抗として頻出するのが、「12桁のマイナンバーを事業者に知られるのではないか」という懸念です。これは誤解です。民間事業者が個人番号（12桁）を取得することは、法定の事務を除いてそもそも禁止されています。そしてJPKIは電子証明書を使う仕組みであり、個人番号そのものを使いません。カードを読み取ってもマイナンバーは事業者に渡らない、というのが正確な説明です。ユーザー向けの説明文面では、この点を撮影・読み取り画面に一文添えるだけで抵抗感が大きく変わります。

リスクの本体は「送った後」にある

通信がTLSで暗号化されているのは今や当然の前提で、そこが破られる想定でリスクを語るのは現実的ではありません。実際のリスクは送信時ではなく、送った後の保存フェーズに集中します。分解すると4つです。

1. 漏えい

事業者本体、またはeKYCベンダーからの流出です。券面画像と顔画像は、なりすましや不正契約の材料として悪用価値が高く、単なる氏名・住所の流出とは被害の質が異なります。

2. 目的外利用

本人確認のために撮影した顔データが、同意の範囲を超えて別目的（マーケティング分析など）に使われることです。取得時の利用目的の書き方が曖昧だと、社内で「使ってよいデータ」と誤解される余地が残ります。

3. 保存の長期化

法定保存（確認記録は7年）を超えて、画像がなんとなく残り続けるパターンです。削除の設計がないシステムでは、データは黙って増え続けます。保存期間の考え方は本人確認記録の保存要件で詳しく扱っています。

4. 特徴量（テンプレート）の扱い

顔画像から作った特徴量も、個人識別符号として個人情報にあたります。個人情報保護委員会のQ&Aは、保護措置を講じたテンプレートについても漏えい等の際の考え方を示しており、「元画像ではなく特徴量だから扱いは軽い」という整理は成立しません。特徴量に変換したから匿名化された、という説明は誤りです。

裏を返せば、この4点に具体的に答えられる事業者のeKYCは相応に安全だと言えます。

ユーザー側のチェックポイント

利用者の立場で確認するなら、次の3点が実用的です。

• プライバシーポリシーに、取得するデータの種類・利用目的・保存期間・委託先（eKYCベンダー）が書かれているか
• 顔情報を本人確認以外に使わないと明言しているか
• 問い合わせ窓口に、削除依頼の導線があるか

いずれもポリシーを読めば数分で確認できます。逆に、これらが書かれていないサービスは、社内でも保存・削除の設計が定まっていない可能性があります。

事業者側——「安全です」は宣言ではなく構造で示す

導入する側の視点に切り替えます。ユーザーの不安に対する答えは、「厳重に管理しています」という宣言ではなく、設計として提示できる構造で用意します。

データ最小化

そもそも画像を取得しない方式（JPKI・デジタル認証サービス）を選べないかを最初に検討します。取得する場合も、必要な項目だけに絞ります。ここが最も効果の大きい対策で、持たないデータは漏えいしません。スマートフォンだけで読み取りを完結させる構成はスマホでのマイナンバーカードeKYCを参照してください。

分離保存と暗号化

業務DBと個人情報の保管を分け、暗号鍵も分離します。具体的なPII Vaultと監査ログの設計はeKYCの証跡設計で扱っています。

保存期間と削除

法定保存の対象分と、それ以外（途中離脱データ、再撮影で不要になった画像など）の保持期間を分けて定めます。期限が来たら消し、消したという記録を残します。削除記録がないと、監査で「消したこと」を証明できません。

委託管理

eKYCベンダー側の保存場所・保存期間・削除手順・再委託の有無を、契約で確認します。この観点はeKYCサービスの選び方・20項目の項目15・16に対応します。自社のポリシーに書いた保存期間より、委託先の保存期間が長いという不整合は珍しくありません。

公表と画面上の説明

以上をプライバシーポリシーと本人確認画面の説明文に反映します。「なぜ撮影が必要か」「いつ消えるか」を撮影画面で説明するだけで、離脱率も下がります。プライバシー設計はコンプライアンス対応であると同時に、コンバージョン施策でもあります。

なりすまし対策は別の論点

ここまで扱ってきたのは「自分のデータが漏れないか」という方向のリスクです。他人があなたの写真を使ってeKYCを通過しようとする、なりすまし方向のリスクは論点が異なり、PADに通れば安全、ではないで扱っています。プライバシー保護となりすまし耐性は、どちらか一方を強めれば済むものではなく、両方を別々に設計する必要があります。

導入前の確認リスト——ユーザーに説明できる状態か

企画・要件定義の段階で、次の項目に答えられるかを確認してください。ベンダーへの質問リストとしても使えます。

• 画像を取得しない方式（JPKI・デジタル認証サービス）を検討したうえで方式を選んだか
• 取得するデータの項目を、法令上必要な範囲まで絞り込んだか
• 券面画像・顔画像・特徴量それぞれの保存場所と保存期間を定義したか
• 法定保存対象と、それ以外（途中離脱データ等）の保持期間を分けて定めたか
• 削除の実行と、削除した記録の保存を設計に含めたか
• eKYCベンダーの保存場所・期間・削除・再委託を契約書面で確認したか
• 自社ポリシーの保存期間と、委託先の保存期間に矛盾がないか照合したか
• 顔情報を本人確認以外に利用しないことを、利用目的として明記したか
• 撮影画面に「なぜ必要か」「いつ消えるか」の説明を入れたか
• 削除依頼を受け付ける窓口と、社内の対応手順を用意したか

まとめ

• 「eKYCは危険か」への答えは方式次第です。JPKI・デジタル認証サービスは画像を渡さず、画像送信型は券面と顔の両方を渡します
• 民間事業者が12桁のマイナンバーを取得することは禁止されており、JPKIは番号を使いません。「カードを読ませると番号を知られる」は誤解です
• リスクの本体は保存後にあります。何が・どこに・何か月・いつ消えるか、が安全性の実質です
• 顔の特徴量も個人情報です。保護措置を講じたテンプレートについても漏えい時の考え方が示されており、「特徴量だから軽い」とは扱えません
• 事業者はデータ最小化・分離保存・削除設計・委託管理・画面上の説明という構造で答えます。宣言ではなく設計がユーザーの不安に応えます
• 2027年の制度変更は、偽造対策であると同時に、渡す生体データが減る方向への変化でもあります

よくある質問

Q. eKYCで顔写真を送るのは危険ではありませんか？

危険かどうかは方式と、事業者の保存設計によって決まります。通信自体はTLSで暗号化されるのが前提なので、現実のリスクは送信時ではなく保存後に集中します。何が・どこに・何か月保存され、いつ消えるかがプライバシーポリシーに明記されているかを確認してください。そもそも顔画像を渡したくない場合は、撮影工程のない公的個人認証（JPKI）方式を採用しているサービスを選ぶという選択肢があります。

Q. マイナンバーカードを読み取らせると12桁の番号を知られますか？

知られません。民間事業者が個人番号（12桁）を取得することは法定の事務を除いて禁止されており、JPKI（公的個人認証）は電子証明書と署名を使う仕組みで、個人番号そのものを使いません。カードのICチップを読み取る方式であっても、事業者に渡るのは本人確認に必要な情報であって、マイナンバーではありません。

Q. eKYCの方式によって渡すデータはどう違いますか？

画像送信型（現行ホ方式・2027年3月31日まで）は券面の写真と顔の動画/写真の両方を渡します。IC読み取り＋顔（ヘ方式）は、券面は画像ではなくICチップ内のデータになりますが顔写真は渡ります。公的個人認証（JPKI・カ方式）は電子証明書と署名（基本4情報を含む）のやり取りで、画像は渡りません。デジタル認証サービスは認証結果と必要に応じた属性のみで、顔写真は明示的なスコープとして扱われます。

Q. 顔画像から作った特徴量（テンプレート）なら個人情報ではないのですか？

個人情報にあたります。顔画像から作られた特徴量は個人識別符号として扱われ、個人情報保護委員会のQ&Aは、保護措置を講じたテンプレートについても漏えい等が生じた際の考え方を示しています。「元画像ではなく特徴量に変換しているから匿名化された」「だから扱いが軽い」という整理は成立しません。保存・削除・委託の管理は元画像と同じ水準で設計してください。

Q. eKYCで取得した画像はいつまで保存されますか？

法令上の確認記録は7年間の保存が必要ですが、そこで問題になるのは「法定保存の対象ではないデータ」です。途中離脱した申込みの撮影データや、再撮影で不要になった画像が削除設計のないまま残り続けるケースがあります。事業者側では法定保存分とそれ以外の保持期間を分けて定め、期限到来時に削除し、削除したという記録を残す設計が必要です。ユーザーはプライバシーポリシーの保存期間の記載を確認してください。

Q. 事業者としてユーザーの不安にどう答えればよいですか？

宣言ではなく構造で答えます。(1)そもそも画像を取得しない方式を検討するデータ最小化、(2)業務DBと個人情報の分離保存と鍵の分離、(3)法定保存分とそれ以外を分けた保存期間と削除記録、(4)eKYCベンダーの保存場所・期間・削除・再委託の契約上の確認、(5)これらをプライバシーポリシーと撮影画面の説明に反映すること、の5点です。撮影画面で「なぜ必要か」「いつ消えるか」を説明すると離脱率も下がります。

Q. 2027年の制度変更でプライバシー面は改善しますか？

改善する方向の変化です。2027年4月の犯収法改正で画像送信型が廃止される主目的は偽造券面への対策ですが、券面画像と顔動画を送る方式が使えなくなる結果として、ユーザーが事業者に渡す生体データは減ります。IC読み取りやJPKIへの移行は、偽造耐性の向上とデータ最小化が同時に進む変更だと捉えられます。

主な参考資料: 個人情報保護委員会 ガイドラインQ&A（個人識別符号・生体情報関連）、個人情報保護委員会 顔識別機能付きカメラシステムの利用について、警察庁 2026年3月公表の改正Q&A（PDF）、デジタル庁 デジタル認証サービス

TodoONada株式会社は、マイナンバーカード認証（JPKI・eKYC）を組み込んだWebサービス・スマホアプリの受託開発を行っています。データ最小化を前提にした方式選定（JPKI・IC読み取り・画像方式）から、分離保存・削除設計を含むプライバシー設計、開発・運用までワンストップで支援します。料金の目安は認証機能組込みプラン150万円〜、認証込みアプリ開発プラン400万円〜、大規模・個別要件は1,000万円〜です。詳しくはマイナンバーシステム導入支援、ご相談はお問い合わせからどうぞ。

---

この記事に関連するサービス

TodoONada株式会社では、マイナンバーカード認証を組み込んだシステム開発を行っています。

• マイナンバーシステム導入支援 — JPKI・eKYC対応の本人確認をワンストップで

導入・開発のご相談はお問い合わせからお気軽にどうぞ。検討段階のご相談も歓迎です。