中国における顔認識

個人情報保護法は顔データに何を求めるか

2021年11月施行の個人情報保護法は、漏えいまたは違法な利用があった場合に人格の尊厳の侵害や身体・財産の安全への危害を容易に招きうる情報を機微個人情報と定義しています。生体データはこの区分に明記されています。

1. 生体データを取り扱う特定された目的と十分な必要性を確立する。
2. プライバシーポリシーへの包括的な同意とは別に、個別の同意を取得する。他の法令が求める場合は書面による同意を得る。
3. 取得に先立ち、必要性と本人の権利への影響を説明する。
4. 事前に個人情報保護影響評価を実施し、記録を保存する。
5. データの機微性に見合った厳格な保護措置を講じる。

個別同意は法律上の概念です。一般的なプライバシーポリシーへの同意に含める形では要件を満たしません。生体データの取扱いには、それ自体に対する同意の行為が必要です。

中国の公共の場所で顔認識を使えるか

個人情報保護法第26条が制限しています。公共の場所に設置する画像取得機器および個人識別機器は、公共の安全の維持に必要な範囲でのみ設置でき、国の関連規定に従い、かつ明示的な表示を伴わなければなりません。そこで取得した個人の画像および識別情報は、個別の同意を得た場合を除き、公共の安全の維持の目的にのみ利用できます。

これは商業的な運用者が通常望む範囲よりも狭い許容です。公衆がアクセスできる区域で、公共の安全以外の目的に顔認識を用いたい小売事業者は個別同意に依拠することになり、その取得方法を示せる必要があります。

顔データは中国国内に置く必要があるか

一部の事業者には求められます。重要情報インフラ運営者、および国家インターネット情報弁公室が定める基準を超える量を取り扱う個人情報取扱者は、中国国内で取得した個人情報を国内に保存しなければなりません。国外に出す必要がある場合は、定められた経路のいずれかによります。

• 国家インターネット情報弁公室が実施する安全評価。
• 認定機関による個人情報保護認証。
• 越境移転に関する中国標準契約の締結と、必要な届出。
• あるいは移転を行わないこと。オンプレミスまたはエアギャップ運用はこの状態を作ります。

Ayonixの顔認識は運用者自身のハードウェア上で動作するため、検出、特徴量の抽出、保存、照合はいずれも運用者の施設内で行われます。個人情報の国外移転が生じなければ、越境移転の手続を用いる必要自体がありません。

中国の導入検討者が事前に確認すべきこと

• 個別同意をどのように取得し記録するか、取得前に本人へ何を説明するか。
• 設置場所が公共の場所にあたるか、あたる場合にどの公共安全目的に資するか。
• 必要な表示が掲出され、視認できる状態にあるか。
• 自社が重要情報インフラ運営者にあたるか。該当すれば国内保存の判断が変わります。
• 個人情報保護影響評価を完了し、記録を保存しているか。
• 特徴量データベースの所在と、施設外へ送信する構成要素の有無。

輸出管理および輸入規制は、データ保護法とは独立してソフトウェアおよびハードウェアに適用され、内容も変わります。供給時点で有効な規則に照らした、別個の評価が必要です。

本ページは、記載した各法令が何を求めているかを、根拠となる法令名を挙げて説明するものです。法的助言ではなく、個別の導入が適法であることを示すものでもありません。その判断は、貴社の法務およびデータ保護当局の領分です。