https://www.ppc.go.jp/files/pdf/180720_APPI_QA.pdf

3ページから引用
Ｑ１−11
店舗に防犯カメラを設置し、撮影した顔画像やそこから得られた顔認証デー
タを防犯目的で利用することを考えています。個人情報保護法との関係で、どのよう
な措置を講ずる必要がありますか。
Ａ１−11
〜中略〜
防犯カメラにより、防犯目的のみのために撮影する場合、「取得の状況からみて利用
目的が明らか」（法第18条第４項第４号）であることから、利用目的の通知・公表は不要と解されます
〜中略〜
また、カメラ画像や顔認証データを体系的に構成して個人情報データベース等を構築
した場合、個々のカメラ画像や顔認証データを含む情報は個人データに該当するため、
個人情報保護法に基づく適切な取扱いが必要です。
引用終わり

個人情報保護法に基づく適切な取扱いが必要です。とあるがこれは23条の2，3に基づいて例外の拡大解釈
でもOKということになる