アラブ首長国連邦における顔認識

UAEではどのデータ保護法が適用されるか

三つの制度はいずれも、個人の識別に用いる生体データを特別または機微な区分として扱い、通常の個人データより強い根拠を求めます。DIFCとADGMの制度は欧州の一般データ保護規則を強く参照しているため、GDPR対応の経験がある体制であれば構造は把握しやすいはずです。

連邦PDPLの実施規則は、運用上の細部を定めるものですが、法律本体より遅れています。ある論点について未施行である場合、実務はフリーゾーンの制度や業界所管当局の運用に導かれることが多く、要約に依拠せず現時点の状況を確認すべき理由になります。

連邦PDPLは生体データに何を求めるか

PDPLは生体データを機微個人データに分類しています。個人データの取扱いには原則としてデータ主体の同意が必要ですが、法律に例外が列挙されています。公共の利益の保護に必要な場合、法的請求のため、公衆衛生のため、あるいは雇用法上の管理者の義務を履行するための取扱いなどです。

• 同意は明確かつ曖昧でないものであり、撤回できる必要がある。
• 取扱いは特定された目的のためであり、その目的に必要な範囲に限られる。
• データ主体はアクセス、訂正、消去、異議の権利を有する。
• 侵害はUAEデータオフィスへ通知し、本人のプライバシーまたは安全を害するおそれがある場合は本人にも通知する。
• 機微個人データを大規模に取り扱う場合などには、データ保護責任者の選任が必要となる。

データはどこに置けるか

PDPLは、UAEデータオフィスが十分な保護水準を有すると判断した法域への移転、同等の保護を課す契約または拘束力ある約束に基づく移転、あるいは条件を満たしたうえでのデータ主体の明示的同意による移転を認めています。

実務では、この地域の政府、航空、港湾、重要インフラの案件において、生体データを国内に、多くの場合は拠点内にとどめる仕様が一般的です。これは普遍的な法的要件というより調達上の方針です。Ayonixはこれに直接対応します。ATLAS BOXおよびエッジ構成では、検出、特徴量の抽出、照合を拠点のハードウェア上で実行し、ベンダーのサービスへ送信することはありません。

• エアギャップ運用：通信経路を持たないことを拠点の方針とする場合。
• オンプレミス運用：UAE国内にある運用者自身のデータセンター内。
• エッジ運用：カメラ側で処理し、結果だけを機器の外へ送る。
• 航空、港湾、政府など、所管分野ごとに追加の監督上の要請が加わる場合がある。

UAEの導入検討者が事前に確認すべきこと

• 何よりもまず、拠点を規律するのが連邦PDPLか、DIFCか、ADGMか。
• 機微個人データの取扱いに依拠する根拠。同意による場合は、その取得と撤回の方法。
• 取扱いの規模に照らしてデータ保護責任者の選任が必要か。
• 特徴量の保存が物理的にどこにあり、国外に出ることがあるか。
• 特徴量と照合記録の保存期間、およびそれを強制する仕組み。
• 精度を、ベンダーのベンチマークではなく運用者自身のカメラと現地条件でどう測定したか。

Ayonixはこの市場についても他の市場についても、見出しとなる精度の数値を掲げていません。公表しているのは、米国国立標準技術研究所（NIST）が実施する顔認識評価への参加です。評価は独立しており結果も公開されているため、宣伝上の数値ではなく確認可能な記述になります。なお、NISTがベンダーを認証、承認、推奨することはありません。

本ページは、記載した各法令が何を求めているかを、根拠となる法令名を挙げて説明するものです。法的助言ではなく、個別の導入が適法であることを示すものでもありません。その判断は、貴社の法務およびデータ保護当局の領分です。