Windows 11に「OneDrive Photos」が同意なしで自動追加か　顔認識機能と削除不可の仕様に懸念

先週、Windows 11ユーザーのスタートメニューに、ユーザーがインストールしていない新しいアプリ「OneDrive Photos」が追加されていることが発見された。このアプリは顔認識機能を備えたフル機能の写真管理ツールであり、単独でのアンインストール手段が用意されていない。企業にとっては、顔分析の処理場所が明示されていないため、欧州のプライバシー法に基づくコンプライアンス要件を満たすことが不可能になるという重大な問題が生じている。

■既存アプリの機能アップデートではない

現在Windows Searchやスタートメニューに「Microsoft フォト」と並んで表示されているこのアプリは、既存のものとは異なる。Windows 11の標準画像ビューアである「Microsoft フォト」は全く別のアプリケーションである。OneDrive Photosは、コアとなるOneDrive同期クライアント（OneDrive.exe）とは別の実行ファイル（C:\Program Files\Microsoft OneDrive\OneDrive.App.exe）を通じて動作する。MicrosoftのWebView2フレームワーク上に構築されており、Windows 11のアクリル調のデザインに合わせたデスクトップシェル内で提供されるWebアプリケーション（具体的にはOneDrive.comの写真インターフェースのバージョン）である。

このアーキテクチャにより、ソフトウェアインベントリツールでは単独の項目として表示されない。Microsoft IntuneのデバイスコンプライアンスレポートやサードパーティのITAMプラットフォームを含む標準的な企業資産管理システムは、登録されたインストーラーのエントリによってインストール済みアプリケーションをカタログ化する。既存のアプリケーションの実行ファイルツリーの一部として実行されるサブプロセスは、通常、新規インストールイベントとして登録されない。SOC 2、ISO 27001、またはカスタムのソフトウェアガバナンスインベントリを運用している組織では、コンプライアンスダッシュボードにその事実が表示されないまま、管理下のすべてのエンドポイントにOneDrive Photosが存在している可能性がある。Microsoftは、OneDrive同期を完全に削除することなく、Intuneやグループポリシーを通じてOneDrive Photosの表示を単独で抑制するガイダンスをまだ公開していない。

■Microsoftアカウントなしでローカルの写真を読み込む

OneDrive Photosを開くと、サインインを必要とせずに、ローカルドライブに保存されている画像が即座に表示される。7月29日に公開されたWindows Latestのハンズオンテストでもこの挙動が確認されており、OneDriveは存在するがMicrosoftアカウントや職場アカウントが接続されていないWindows 11環境でも、OneDrive Photosはローカルの写真ライブラリを検出して表示した。写真サービスとしてOneDriveを意図的に利用したことがないユーザーであっても、インストールした覚えのない新しいアプリによってすでに画像がカタログ化されていることに気づくことになる。

Microsoftアカウントでサインインすると、AIを活用したクラウド検索（意味的なクエリで写真を検索する機能）と、画像内のテキストを抽出する光学文字認識（OCR）機能が追加される。インターフェースには、Moments、Gallery、People、Albums、Favorites、およびローカルの「This PC」ビューのセクションが含まれている。

■Peopleセクション：生体認証の同意に実際に求められるもの

アプリのPeopleセクションは、ユーザーの写真ライブラリ全体から似た顔をグループ化する。Microsoftはこの機能を有効にする前に明示的な許可を求め、同意プロンプトの中で、関連するデータが「一部の地域では生体認証データと見なされる可能性がある」と警告している。Microsoft自身の公式サポートドキュメントはさらに踏み込み、この機能が「顔のスキャンと生体認証情報を収集、使用、保存する」と明記している。

これらは率直な開示であるが、ユーザーの知らないうちにシステムに配置されたアプリの中で提示される。法的にはこの順序が重要となる。

GDPR（EU一般データ保護規則）の第9条の下では、「自然人を一意に識別する目的で処理される」生体認証データは特別なカテゴリの個人データ（同規則で最も制限の厳しい分類）であり、その処理には少なくとも、通常のCookie通知をはるかに超える基準を満たす明示的な同意が必要となる。同意は「自由に与えられ、特定され、情報に基づいた、データ主体の意思の明白な表示」でなければならない。EU全域の規制当局は一貫して、個人がインストールを選択していないユーザーインターフェースに埋め込まれた同意要求は、その基準を満たさないと判断している。なぜなら、代替案（同意の拒否）に不釣り合いな運用コスト（この場合はOneDrive同期を完全にアンインストールすること）が伴う場合、「自由に与えられた」という条件が損なわれるからである。

米国では、イリノイ州の生体情報プライバシー法（BIPA）により、「顔の形状のスキャン」を明示的に含む生体識別子を収集する事業者は、スキャンを開始する前に、収集の書面による通知を提供し、目的と保持期間を明記し、書面による同意を得ることが義務付けられている。この法律により、驚くほど似た事実関係を持つ企業に対して和解が成立している。Googleは2022年、Googleフォトの顔グループ化機能をめぐるBIPAの集団訴訟を解決するために1億ドル（約161億円、1ドル=161円換算）を支払った。Facebookは2020年、写真タグ付け機能をめぐって6億5000万ドル（約1046億5000万円、1ドル=161円換算）を支払っている。Microsoft自身も、Microsoft Teamsがイリノイ州のユーザーの声紋を必要な書面による同意なしに不法に取得・保存したと主張する、2026年2月に提起されたBIPAの集団訴訟に直面している。2022年の別のBIPA訴訟では、既存の「Microsoft フォト」アプリが、アプリに「どこに顔があるかを知る」ために、ユーザーが顔のグループ化を有効にする前であっても、すべての画像に対して顔認識を実行していたと主張されている。OneDrive Photosは、ユーザーの選択なしに配信された新しいアプリで同じ機能を導入している。

Microsoftは、People機能は個々のユーザーにのみ表示され、顔のグループ化データは第三者と共有されたり、同社のより広範なAIモデルのトレーニングに使用されたりすることはなく、機能を無効にしてから30日以内にすべてのデータが完全に削除されると述べている。これらは意味のあるコミットメントである。しかし、アプリが先に到着し、生体認証のプロンプトがそれに続いたという根本的な同意の順序を解決するものではない。

■People機能はペナルティなしで無効にできるか

この質問に対する答えは複雑である。Microsoftの現在のドキュメントとプレビュー版の報告によると、ユーザーは顔のグループ化機能を無効にできるが、無効化のオプションには制限が伴うことが記録されている。ユーザーが機能をオフにできるのは年に限られた回数（プレビュービルドでは年3回と報じられている）だけである。Microsoftはこの上限について、技術的な説明を公開していない。Slashdotの取材に対し、同社の広報担当者は「OneDriveは、該当する場合、Microsoft 365およびSharePointからプライバシー機能と設定を継承する」と回答したが、具体的な制限についての言及は避けた。

WindowsForum.comのコミュニティ分析と報告によると、この上限は、ユーザーが機能を繰り返し切り替えた際にMicrosoftのサーバー上で生体認証データを削除および再生成する計算コストを反映している可能性がある。これは、少なくとも一部の処理がデバイス上ではなくサーバー側で行われていることを示唆している。GDPRの下では、同意を撤回する能力に対する意味のある制限は、その同意の「自由に与えられた」性質を弱める。規制当局は、GDPRの同意に関する問題として、取り消しに対する制限を明確に挙げている。

■顔データは実際にどこで処理されるのか

これはMicrosoftが回答していない質問であり、コンプライアンスの目的で最も重要な点である。

本メディアが確認したコミュニティの分析によると、最新のOneDriveとフォトの機能は「ハードウェアがサポートしている場合、プライバシーのためにデバイス上での推論を言及することが増えているが、NPUを搭載していないデバイスのためのクラウドフォールバックも残している」と記録されている。これは、アーキテクチャが分岐している可能性が高いことを意味する。専用のNPU（Neural Processing Unit）を搭載したCopilot+ PCでは、顔分析はおそらくローカルで実行される。一方、NPUを搭載していない標準的なWindows 11 PC（企業のエンドポイントの大部分）では、処理はおそらくMicrosoftのクラウドインフラストラクチャ上で行われる。処理がクラウドベースである場合、写真（またはそこから派生した顔の形状）はデバイスを離れてMicrosoftのデータインフラストラクチャに渡るため、GDPRのデータローカライゼーション原則の下で事業を行う組織にとって、データレジデンシーの疑問が生じる。

Microsoftは、OneDrive Photosに特化してこのアーキテクチャを確認または否定するドキュメントを公開していない。対照的にAppleは、写真アプリの顔認識をすべてのユーザーに対して完全にデバイス上で実行しており、iCloud同期が有効になっている場合でも、暗号化された幾何学的メタデータのみがデバイスを離れ、生の画像は送信されない。

Microsoftのドキュメントの欠如がもたらす実際の結果は、単なる不確実性にとどまらない。GDPR第35条の下では、「自然人の権利および自由に高いリスクをもたらす可能性が高い」処理（これには大規模な生体認証データの体系的な処理が含まれる）を行う場合、処理を開始する前にデータ保護影響評価（DPIA）を完了することが義務付けられている。企業は、処理が組織の管轄区域内で行われるのか、管理するデバイス上で行われるのか、あるいはサードパーティのクラウドインフラストラクチャ上で行われるのかを知らなければ、DPIAを完了することができない。Microsoftがそのドキュメントを公開するまで、GDPRの規制対象国にある組織は、この必須の処理前要件を満たすことができない。つまり、EU諸国で現在OneDrive Photosを実行しているすべての管理対象エンドポイントは、組織自身が取ることができるいかなる行動によっても是正できないGDPR違反の状態にある可能性がある。

■Microsoftのサイレントソフトウェア展開のパターン

OneDrive Photosは、Microsoftが事前の発表やユーザーの明示的な同意なしに、更新チャネルを通じてWindows 11のエンドポイントにソフトウェアを展開するという、記録されたパターンの最新の事例である。

2025年後半、MicrosoftはすでにMicrosoft 365デスクトップソフトウェアを実行しているデバイスにMicrosoft 365コンパニオンアプリのスイートを自動インストールし、IT管理者からの即座の反発を招いた。2026年初頭には、苦情を受けてWindows 11へのMicrosoft 365 Copilotアプリの強制インストールを一時停止したが、2026年6月にはOffice Click-to-Runチャネル（標準のWindows Updateブロッカーとは明確に分離された配信ベクター）を使用してデフォルトのインストールを再開した。デスクトップのスクリーンショットを継続的に撮影して検索可能な履歴を構築するMicrosoftのAI搭載機能「Recall」は、プライバシーに関する大きな反発を受けて延期され、デフォルトでオプトインにするよう同社が強制された後、ゼロから再構築された。

毎回、外部の研究者やジャーナリストが変更を特定した後にのみ、公の開示が行われてきた。OneDrive Photosも同じ順序をたどっている。

■企業のIT部門が今できること

MicrosoftがOneDrive同期とは独立したOneDrive Photosの具体的なポリシー制御を公開するまで、利用できる選択肢は限られている。

バンドルの問題を念頭に置いてソフトウェアインベントリを監査する。OneDrive Photosは、単独のインストール済みアプリケーションとして表示されるのではなく、OneDrive.App.exeの下で実行される。標準の「プログラムの追加と削除」のエクスポートや、基本的なIntuneアプリインベントリのクエリには表示されない。アプリが環境全体に存在するかどうかを確認するには、手動でのエンドポイント検証が必要である。

プロンプトがエンドユーザーに届く前に、Peopleセクションに関する書面によるポリシーを確立する。生体認証の同意プロンプトは現在、ユーザーがインストールを選択していないアプリ内に存在する。GDPRとBIPAの両方の下で、関連する法的な問題は同意が自由に与えられたかどうかであり、求められていないアプリに埋め込まれたプロンプトは、どのように表現されていても構造的な同意の問題を抱えている。組織の立場を事前に定義し、イリノイ州またはGDPRの規制対象国にいる従業員は、法務およびコンプライアンスチームからの明示的な指示なしにこの機能を有効にすべきではない。

部分的な抑制のためにIntuneとグループポリシーのOneDrive制御を評価する。本稿執筆時点では、Microsoft Intuneおよびグループポリシーの既存のOneDriveポリシーには、OneDrive Photosの表示に対する具体的な制御は含まれていない。ただし、OneDrive同期を企業アカウントのみに制限している組織、または特定のデバイスクラスに対してOneDrive同期を完全に無効にしている組織は、親アプリケーションを制限することでOneDrive Photosのエクスペリエンスを制限できる可能性がある。

GDPRの規制対象国にある組織の場合：Microsoftが処理場所のドキュメントを公開するまで、アプリを評価不能として扱う。アーキテクチャが公開されていない処理活動について、GDPR第35条のデータ保護影響評価を完了することはできない。その状態をデータ処理登録簿に明示的に記録する。エンタープライズサポートチャネルを通じてMicrosoftに情報を要求する。

BIPAのリスクが従業員に適用されるかどうかを検討する。組織内の従業員が物理的にイリノイ州にいる場合、OneDrive PhotosのPeople機能は、ユーザーがグループ化機能を有効にする前に顔分析（顔の位置を検出するためのバックグラウンド処理を含む）を実行していれば、BIPAに基づく生体識別子の収集を構成する可能性がある。2022年のMicrosoft フォトに関するBIPA訴訟では、前身のアプリでまさにこの挙動があったと主張されている。

■Microsoftは声明を出していない

2026年7月30日現在、MicrosoftはOneDrive Photosの展開に関する公式声明を出しておらず、顔分析の処理場所に対処するためのプライバシードキュメントも更新しておらず、アプリの単独の削除パスやポリシーガイダンスも提供していない。この沈黙は、過去のサイレントインストールの各エピソードで起こったことと一致している。つまり、公式の承認よりも前に外部からの開示が行われたのである。

■注目ポイントQ&A

●OneDrive Photosとは何ですか？なぜ許可なくWindows 11 PCに表示されたのですか？

OneDrive Photosは、2026年7月下旬にWindows 11 PCに表示され始めた新しいMicrosoftの写真管理ツールです。個別のダウンロードとしてではなく、Windows UpdateまたはOneDriveクライアントのアップデートを通じて配布されました。既存の「Microsoft フォト」アプリとは異なり、OneDrive同期クライアント内にバンドルされた別の実行ファイル（OneDrive.App.exe）を通じて動作します。単独のアプリケーションではないため、「設定」>「インストールされているアプリ」からOneDriveを完全にアンインストールしない限り削除できません。Microsoftは、このアプリに関する発表や個別のポリシー制御を公開していません。

●OneDrive Photosは私の生体認証データを収集しますか？私の権利は何ですか？

写真ライブラリ内の似た顔をグループ化するOneDrive PhotosのPeopleセクションには、生体認証データの収集が含まれます。Microsoft自身のドキュメントには、この機能が「顔のスキャンと生体認証情報を収集、使用、保存する」と記載されており、機能を無効にしてから30日以内にそのデータを削除することを約束しています。Microsoftは、データは同社のより広範なAIモデルのトレーニングには使用されず、ユーザー本人にのみ表示されると述べています。イリノイ州にお住まいの場合、生体情報プライバシー法（BIPA）により、収集前の書面による通知の権利や、これらの要件が満たされない場合の訴訟提起の権利など、特定の権利が与えられます。EU諸国にお住まいの場合、GDPR第9条により、生体認証処理が開始される前に、明示的で自由に与えられた同意が必要です。どちらの場合も、インストールを選択していないアプリ内で同意プロンプトを受け取ることは、その同意が法的に要件を満たしているかどうかについて疑問を投げかけます。

●なぜ組織はOneDrive PhotosのGDPRコンプライアンスチェックを完了できないのですか？

GDPR第35条は、個人に「高いリスクをもたらす可能性が高い」処理（体系的な生体認証データ処理を含むカテゴリ）の前に、データ保護影響評価（DPIA）を要求しています。DPIAには、とりわけ、データがどこで処理され、どのインフラストラクチャを通過するかを知ることが必要です。Microsoftは、OneDrive Photosが顔分析をデバイス上（PCのプロセッサまたはNPUを使用）で行うのか、Microsoftのクラウドサーバー上で行うのか、あるいはデバイスのハードウェアによって異なるハイブリッドアプローチを通じて行うのかを指定するドキュメントを公開していません。コミュニティの分析によると、アーキテクチャはデバイスの機能によって分岐しているとのことですが、MicrosoftはOneDrive Photosに特化してこれを確認していません。その開示がなければ、GDPRの規制対象国にある組織は法的に義務付けられた処理前評価を完了できず、自らの行動によらずコンプライアンス違反の状態に陥る可能性があります。

●顔認識のプロンプトを拒否して、アプリの残りの部分を安全に使用することはできますか？

Peopleセクションで顔のグループ化の同意プロンプトを拒否すると、生体認証機能を有効にできなくなります。ローカル写真の閲覧、OneDriveクラウドギャラリーへのアクセス、サインイン後の意味的検索、画像編集など、アプリの他の機能は顔データの収集を必要としません。しかし、Microsoftの前身であるフォトアプリに対する2022年のBIPA集団訴訟では、ユーザーがグループ化機能を有効にする前であっても、顔の位置を特定するためにすべての画像に対して顔分析が実行されていたと主張されています。OneDrive Photosが同じように動作するかどうかは確認されておらず、本稿執筆時点でMicrosoftはこの問題に公に対処していません。イリノイ州にお住まいで確実性を求める場合、最も安全な方法は、その質問に対する答えが出るまでアプリを完全に避けることです。

元記事: OneDrive Photos Silently Installs on Windows 11 With Biometric Scan Capability, No Removal Path