導入ガイド

バーチャル試着とプライバシー：顔写真の扱いと個人情報保護法対応チェックリスト【2026年版】

読了目安: 約13分
Try-oooon!! 編集部
#プライバシー#個人情報保護法#法務#同意取得#バーチャル試着#セキュリティ

バーチャル試着の導入検討が止まる理由は、精度でもコストでもなく「写真の扱い」であることが少なくありません。EC担当者が社内稟議に上げた段階で法務部門からデータの取り扱いについて確認が入り、ベンダーへの照会と回答待ちで数週間が過ぎる——こうした足踏みは、確認すべき論点をあらかじめ把握しておけば大幅に短縮できます。

しかも2026年は、この領域のルールが動いた年でした。7月17日に令和8年改正個人情報保護法が公布され、16歳未満のこどもの個人情報に関するルールと課徴金制度が導入されます。

本記事では、バーチャル試着をECサイトに導入する事業者が押さえるべき法的論点を、実務で使えるチェックリストの形に整理します。

バーチャル試着の写真の扱いで押さえるべき点は？ — 特定の個人を識別できる顔写真は個人情報保護法上の「個人情報」にあたります。EC事業者が確認すべきは、(1) 利用目的の特定と通知・公表、(2) 取得時の同意とUI設計、(3) 委託先であるベンダーの監督、(4) 保存期間と削除、の4点です。加えて2026年は、令和8年改正個人情報保護法（こどもの個人情報・課徴金）という新しい論点が加わりました。

※本記事は一般的な情報提供を目的としたものであり、法的助言ではありません。個別の実装における適法性の判断は、必ず自社の法務部門または弁護士にご確認ください。

前提整理：顔写真と「顔特徴データ」はまったく別物

議論が噛み合わなくなる最大の原因が、この2つの混同です。法務レビューで「顔認証と同じ扱いが必要では」という論点が出た場合、まずここを切り分けます。

顔写真：識別できるなら個人情報

個人情報保護委員会のガイドライン（通則編）は、「個人に関する情報」に顔画像が含まれることを明示しています。正面から写した顔写真のように具体的な人物を判別できる画像は、個人情報に該当します。 ユーザーがセルフィをアップロードする以上、この点に議論の余地はありません。

一方で、顔写真それ自体は、原則として要配慮個人情報（人種、信条、病歴など）にはあたらないと考えられています。ガイドライン（通則編）では、外形から人種等が推知される場合であっても、推知させるにすぎない情報は要配慮個人情報に含まれないとされているためです。したがって、要配慮個人情報の取得に必要な原則同意（法第20条第2項）が直ちに適用されるわけではない、という整理になります。

顔特徴データ：本人認証ができる水準に変換したもの

これに対して「顔特徴データ」は、顔の骨格や皮膚の色、目・鼻・口の位置および形状から抽出した特徴情報を、本人を認証することができるようにしたもの を指します。これは個人情報保護法上の「個人識別符号」にあたり、それ単体で個人情報として扱われます（法第2条第2項、施行令第1条第1号ロ、施行規則第2条）。

空港やオフィスの顔認証ゲート、店舗の顔識別カメラなどが典型例です。ここで重要なのは、「本人を認証する目的で、認証できる水準に変換したか」 が分かれ目になるという点です。

バーチャル試着はどちらに該当するのか

一般的なバーチャル試着は、アップロードされた写真から体型やポーズを推定し、その上に商品を合成した画像を生成します。目的は画像生成であって本人照合ではなく、同一人物を後から突合するための特徴量データベースも作りません。この設計であれば、扱っているのは「個人情報である顔写真」であって「個人識別符号である顔特徴データ」ではない、という整理になります。

項目顔写真（バーチャル試着で扱うもの）顔特徴データ（顔認証システム）
法的位置づけ個人情報個人識別符号を含む個人情報
目的画像生成本人認証・同一人物の照合
突合用の特徴量DB作成しない作成する

ただし、この整理はあくまで一般的な実装を前提としたものです。「試着履歴を本人単位で紐づけて分析したい」といった要件を追加すると位置づけが変わりうるため、ベンダーに対して「本人認証可能な特徴量を生成・保存しているか」を明示的に確認してください。 回答は口頭ではなく、契約書または仕様書に落とすことを推奨します。

EC事業者が押さえる4つの実務論点

ここからは、導入時に実際に手を動かして確認・設計すべき4点です。法務レビューに提出する資料は、この4項目に沿って作れば漏れがありません。

1. 利用目的の特定と通知・公表

個人情報保護法は、個人情報を取り扱うにあたって利用目的をできる限り特定し（法第17条）、取得時に本人に通知するか公表することを求めています（法第21条）。

自社のプライバシーポリシーに「バーチャル試着機能の提供のため、お客様がアップロードした写真を利用します」といった記載があるかを確認してください。既存のポリシーが「商品の発送」「問い合わせ対応」といった項目しか列挙していない場合、試着機能の追加に合わせた改定が必要です。

記載時のポイント：

  • 「サービスの提供のため」だけでは特定として不十分。何に使うかを具体的に書く
  • 不適切画像の検知などモデレーション処理も利用目的に含める
  • 生成した画像をSNSシェア機能で利用する場合は、その旨も明記する

2. 取得時の同意とUI設計

個人情報の取得それ自体に一律の同意義務はありませんが、実務上は明示的に同意を得る設計が広く採られています。写真という機微性の高いデータを扱う以上、ユーザーが何に同意したか理解できる設計が信頼につながります。

同意画面に含めるべき要素：

  • 写真を何に使うか（試着画像の生成、不適切画像の検知）
  • 写真がどこに送信されるか（自社サーバーか、外部の試着サービス事業者か）
  • 保存されるかどうか、される場合の期間
  • AIの学習に利用されるかどうか
  • プライバシーポリシーへのリンク
  • 他人の写真をアップロードしないよう求める注意書き

避けるべきなのは、同意ボタンをあらかじめチェック済みにする、拒否の選択肢を著しく見つけにくくする、といったダークパターン的な設計です。法第20条第1項は「偽りその他不正の手段」による取得を禁じており、誤認を誘う導線はこの観点からも問題になりえます。

3. 委託先（ベンダー）の監督

外部の試着サービスを利用する場合、写真の処理をベンダーに委託する構成になるのが一般的です。個人データの取扱いを委託する場合、委託元には受託者を監督する義務があります（法第25条）。

確認・整備すべきもの：

  • 委託契約またはDPA（データ処理契約）における取扱い範囲の限定
  • 再委託の可否と、再委託先の管理方法
  • 安全管理措置の内容（暗号化、アクセス制御、ログ管理）
  • 漏えい発生時の報告フローと連絡先
  • 契約終了時のデータの返却・削除方法

なお令和8年改正法では、委託を受けた事業者自身が、委託された業務の遂行に必要な範囲を超えて個人情報を取り扱ってはならない義務を法律上の直接の義務として負うことになりました（改正法第30条の3）。従来は委託元の監督義務やQ&Aを通じて律せられていた内容が格上げされた形で、ベンダー側の責任が明確化されています。

4. 保存期間と削除

法第22条は、利用する必要がなくなった個人データを遅滞なく消去するよう努めることを求めています。努力義務ではありますが、写真を扱うサービスにおいては、ユーザーへの説明責任という意味でも保存方針の明確化が欠かせません。

確認すべき3つの質問：

  1. アップロードされた写真はサーバーに保存されるのか、保存されないのか
  2. 保存される場合、何日で削除されるのか。ユーザーからの削除要求に応じられるか
  3. 生成された試着画像はどう扱われるのか

「保存しない」設計であれば説明はシンプルになり、法務レビューも通りやすくなります。逆に、履歴機能やお気に入り機能のために保存する設計なら、期間と削除手段をセットで設計する必要があります。

論点主な根拠条文確認事項
利用目的の特定・通知法第17条・第21条プライバシーポリシーに試着機能の記載があるか
適正な取得法第20条第1項同意UIに誤認を誘う設計がないか
安全管理措置法第23条暗号化・アクセス制御・ログ管理の実装状況
委託先の監督法第25条DPAの締結、再委託の管理
消去法第22条保存の有無と期間、削除手段

Try-oooon!!のデータ取り扱いについてご相談ください — 処理フローや保存方針など、導入検討時のご質問にお答えします。お問い合わせフォームからお気軽にどうぞ。

令和8年改正個人情報保護法で何が変わるか

2026年7月10日に成立し、同月17日に公布された改正個人情報保護法は、一部を除き公布日から起算して2年以内の政令で定める日に施行されます。つまり2028年7月までに全面施行される見込みで、詳細は今後の政令・委員会規則・ガイドラインで具体化されます。

バーチャル試着に関係するのは、主に次の2点です。

16歳未満のこどもの個人情報

改正法では、16歳未満の者の個人情報を取り扱う場合、原則として「本人」を「本人の法定代理人」に読み替えて法を適用することが明文化されました（改正法第40条の2）。同意取得や通知の相手方が保護者になる、ということです。

ファッションECは10代の利用者が一定数存在する領域です。試着機能の同意画面において年齢確認をどう設計するか、保護者の同意をどう扱うかは、施行を待たずに検討を始めておく価値があります。

課徴金制度の導入

違反行為によって金銭等の利益を得た場合、その額に相当する課徴金の納付が命じられる制度が導入されます（改正法第148条の3）。ただし対象となるのは、不正に取得した個人情報を利用するといった限定的な類型で、違反行為の対価として財産上の利益を得ていること、対象となる本人の数が1,000人を超えることといった要件も課されています。試着機能を適切に運用している限り、通常のEC事業で直ちに課徴金のリスクが生じるものではありません。

施行までにやるべきこと

全面施行は2028年7月までと見込まれますが、待つ理由はありません。次の3つは今から着手できます。

  1. 自社が扱う画像データの棚卸し（何を、どこに、どれだけの期間保持しているか）
  2. プライバシーポリシーと同意画面の記載内容の点検
  3. ベンダーとの契約における取扱い範囲・保存方針・学習利用の有無の明確化

生成AIならではの2つの論点

個人情報保護法の枠組みだけでは拾いきれない、生成AI固有の論点も押さえておく必要があります。

1. 他人の写真のアップロードとなりすまし

ユーザーが自分以外の人物の写真をアップロードするリスクは、設計段階で必ず想定すべきものです。有名人の写真で試着画像を作りSNSに投稿する、といった使われ方はブランド毀損に直結します。

対策の組み合わせ：

  • 利用規約と同意画面で「本人の写真のみ」を明記する
  • コンテンツモデレーションによる不適切画像の自動検出・ブロック
  • ユーザー単位のレート制限による大量生成の抑止
  • 生成画像がAIによるものである旨の表示

2. モデル着用画像の権利処理

見落とされがちなのが、入力側である商品画像の権利です。モデルが着用している商品画像をバーチャル試着の素材として使う場合、その画像の改変やAIによる生成利用が、モデル事務所や撮影者との契約で許諾されているかを確認する必要があります。契約条件によっては、AI生成の素材としての利用が制限されている場合があります。

平置き画像やマネキン着用画像であればこの論点は生じにくいため、権利処理の確認が難しい場合は素材の選び方で回避するという判断もありえます。商品画像の要件については「バーチャル試着ツール導入の流れと準備するもの」も参考にしてください。

ベンダーに投げるべき確認質問リスト

法務レビューを一度で通すために、ベンダーへの照会は最初にまとめて行うのが効率的です。以下をそのまま送付できる形に整理しました。

データフローについて：

  • 写真は自社サイトを経由しますか、ブラウザから直接そちらに送信されますか
  • 処理経路は暗号化されていますか

保存と削除について：

  • アップロードされた写真は保存されますか。される場合の保存期間は
  • 生成された試着画像は保存されますか。される場合の保存期間は
  • ユーザーからの削除要求に応じる手段はありますか

利用範囲について：

  • 写真や生成画像をAIモデルの学習に利用しますか
  • 試着画像の生成とモデレーション以外の目的で利用することはありますか
  • 本人認証が可能な水準の顔特徴データを生成・保存していますか

契約とガバナンスについて：

  • DPA（データ処理契約）の雛形はありますか
  • 再委託先はありますか。ある場合の管理方法は
  • 漏えい発生時の通知フローとSLAはどうなっていますか
  • 第三者認証（ISMS等）を取得していますか

表示と運用について：

  • 不適切画像の検知・ブロック機能はありますか
  • ユーザー単位の利用制限は設けられますか

安全性以外の評価軸（生成品質、UXのシンプルさ、導入の容易さ、コストモデル）も含めた総合的な選定フレームワークは「AI試着ツールの選び方：EC担当者が比較すべき5つのポイント」にまとめています。

Try-oooon!!のデータ取り扱いの考え方

シルバーエッグ・テクノロジーが提供するTry-oooon!!では、写真の取り扱いを可能な限りシンプルにすることで、導入企業の説明負担を軽くする設計を採っています。

  • 保存しない設計： アップロード画像・生成画像ともに、画像生成のためにサーバー上で一時的に保持したうえで、処理後にサーバーから削除します。永続的な保存は行いません
  • 利用範囲の限定： 写真は、不適切な画像の検知などサービス提供に必要な確認処理と、試着画像の生成にのみ使用します
  • 安心・安全な運用管理： コンテンツモデレーションによる不適切画像の自動検出・ブロック、ユーザー単位のレート制限、月間利用量の予算管理を標準で提供します
  • 入力データの最小化： 身長・体重・スリーサイズといった身体データの入力を求めません。扱うデータが少ないほど、リスクも説明コストも小さくなります

「保存しない」（処理後に削除し、永続保持しない）という設計は、保存期間の設定、削除要求への対応、保持データの漏えいリスクといった論点をまとめて小さくします。法務レビューで論点が減ることは、導入判断までのリードタイムに直結します。

データ処理フローや保存方針に関するご質問は、お問い合わせフォームよりお寄せください。

よくある質問（FAQ）

Q. バーチャル試着でアップロードする顔写真は個人情報にあたりますか？

はい。特定の個人を識別できる顔写真は、個人情報保護法上の「個人情報」に該当します。個人情報保護委員会のガイドライン（通則編）も、「個人に関する情報」に顔画像が含まれることを明示しています。

Q. 試着機能を入れる場合、ユーザーから同意を取る必要はありますか？

個人情報保護法は、個人情報の取得そのものに一律の同意を求めてはいません。ただし、利用目的を特定して通知または公表する義務があります（法第17条・第21条）。実務上は、写真の用途と保存の有無を示したうえで、ユーザーの明示的な操作によって同意を得る設計を採るのが一般的です。

Q. 令和8年改正個人情報保護法は、バーチャル試着に影響しますか？

主な変更点は、16歳未満のこどもの個人情報について「本人」を「法定代理人」に読み替える規律が明文化されたこと（改正法第40条の2）と、課徴金制度が導入されたこと（改正法第148条の3）です。試着機能では、同意画面での年齢確認と保護者の同意の扱いが検討事項になります。施行日は今後の政令で定められ、2028年7月までに施行される見込みです。

Q. ユーザーの写真がAIの学習に使われることはありますか？

サービス提供者のポリシーによります。個人情報保護委員会は、生成AIサービスに個人データを入力する場合、提供事業者がそのデータを機械学習に利用しないことを十分に確かめるよう注意喚起しています。契約書やDPAに「学習利用しない」旨が明記されているかを確認してください。

まとめ

バーチャル試着の法務対応は、論点さえ整理できていれば決して重い作業ではありません。本記事の要点を再掲します。

  • 顔写真と顔特徴データは別物。 試着で扱うのは前者であり、顔認証と同じ規律が当然に適用されるわけではない
  • 押さえるべきは4点。 利用目的の特定・通知、取得時の同意とUI、委託先の監督、保存期間と削除
  • 2026年は令和8年改正個人情報保護法という新しい論点が加わった。 16歳未満のこどもの個人情報の扱いと、課徴金制度の導入
  • 「保存しない」設計は法務レビューを軽くする。 扱うデータが少ないほど、説明すべきことも減る
  • ベンダーへの照会は最初にまとめて行う。 データフロー、保存と削除、利用範囲、契約、表示と運用の5カテゴリで質問リストを作る

プライバシーへの配慮は、コンプライアンス上の要請であると同時に、ユーザーが安心して写真をアップロードできるかどうかという体験品質の問題でもあります。同意画面での説明が丁寧なサービスほど利用率が高くなるという関係は、セルフィ試着のUXを考えるうえでも見逃せません。

Try-oooon!!のデータ取り扱いや導入時の論点について、ご質問があればお気軽にお問い合わせください。導入検討の初期段階でも構いません。

出典・参考

Try-oooon!!で
試着体験を始めませんか？

セルフィ1枚でリアルな試着体験を提供。
ECサイトの購買率アップとSNS認知拡大を実現します。

導入相談・お問い合わせ
この記事をシェア: X LinkedIn