日本における顔認識

日本の法律は顔データをどう位置づけるか

個人情報保護法は個人識別符号という区分を定めています。身体的特徴を電子計算機の用に供するために変換した符号、すなわち顔の特徴量はここに含まれます。帰結は明確です。氏名、社員番号その他の識別子が付いているかどうかにかかわらず、特徴量それ自体が個人情報にあたります。

これは設計上、見かけ以上に重要です。氏名がないから同法の対象外である、という整理は取れません。符号そのものが識別だからです。利用目的は特定して通知または公表する必要があり、その範囲を超える利用には同意が必要です。

監督機関は個人情報保護委員会です。実務上の細部を定めるガイドラインを発出し、勧告および命令の権限を有します。

2022年施行の改正で何が変わったか

• 個人の権利利益を害するおそれがある漏えい等について、個人情報保護委員会への報告と本人への通知が義務化されました。
• 外国にある第三者への提供では、移転先国の制度に関する情報提供など、開示すべき事項が増えました。
• 本人による利用停止・消去の請求が認められる範囲が広がりました。
• 仮名加工情報の区分が新設され、再識別の禁止と引き換えに一部の義務が緩和されました。

顔の特徴量は、氏名を外しただけでは仮名加工情報になりません。仮名加工情報には法律上の定義があり、個人識別符号はラベルを外したからといって個人識別符号でなくなるわけではありません。

顔データは日本国内に置く必要があるか

その必要はありません。日本に一般的なデータ所在地の要件はありません。外国への提供は、同等の水準にあると認められた国の事業者である場合、委員会規則で定める基準に適合する体制を整備している場合、または移転先国の制度に関する情報提供を受けた本人の同意がある場合に認められます。

実務上は、官公庁、交通事業者、金融機関をはじめ、データを拠点の外に出さないことを望む運用者が多く見られます。これは法的な要件ではなく調達上の選好です。Ayonixの顔認識はこれに直接対応します。ATLAS BOXまたは運用者自身のサーバー上で、検出、特徴量の抽出、照合をローカルに実行し、処理経路にベンダーのサービスは入りません。

Ayonixが日本企業であることの意味

確認可能な事実として三点あります。2007年に日本で創業し、本社は東京にあります。公開している導入事例には、日本国内での導入および日本の組織との実証が含まれます。そして自社技術を、米国国立標準技術研究所（NIST）が実施する顔認識評価に提出しています。評価結果は独立して作成され、公開されています。なお、NISTがベンダーを認証、承認、推奨することはありません。

一方で、これは適法性の保証ではありません。日本企業であるかどうかにかかわらず、ベンダーが運用者を個人情報保護法に適合させることはできません。利用目的の特定、通知、保存期間、利用停止請求への対応は運用者のものであり、ソフトウェアの性質ではなく運用上の判断です。

本ページは、記載した各法令が何を求めているかを、根拠となる法令名を挙げて説明するものです。法的助言ではなく、個別の導入が適法であることを示すものでもありません。その判断は、貴社の法務およびデータ保護当局の領分です。