英国における顔認識
英国では、個人を識別する目的で用いる生体データはUK GDPR第9条の特別カテゴリーデータにあたります。取扱いには適法性の根拠に加えて第9条の要件が別途必要で、導入前のデータ保護影響評価（DPIA）が義務づけられています。監督機関は情報コミッショナー事務局（ICO）です。
英国で顔認識を規律するのはどの法律か
二つの法令が組み合わさって適用されます。EU離脱後も維持されたUK GDPRと、それを補完するデータ保護法2018です。UK GDPR第9条1項により、個人を一意に識別する目的で取り扱う生体データは特別カテゴリーデータにあたり、第9条2項の要件のいずれかに該当しない限り、その取扱いは禁止されます。
これは第一の要件に代わるものではなく、追加の要件です。運用者は取扱い全体について第6条の適法性の根拠を必要とし、さらに生体データの部分について第9条2項の要件を必要とします。民間では明示的な同意によることが多く、公共部門では実質的な公共の利益によることが多くなります。後者はデータ保護法2018の附則1に、一般的な権限としてではなく、個別に列挙された形で定められています。
監督機関は情報コミッショナー事務局（ICO）です。ICOは生体認証に関する指針を公表しており、十分な根拠なく導入された顔認識に対して執行措置を行った例もあります。
英国の顔認識にDPIAは必要か
実務上、常に必要です。UK GDPR第35条は、個人の権利に高いリスクを生じさせるおそれがある取扱いについてデータ保護影響評価を求めており、顔認識が通常該当する二つの要件、すなわち特別カテゴリーデータの大規模な取扱いと、公衆がアクセスできる区域の系統的な監視を挙げています。
- 取扱いの内容、目的、適法性の根拠を記述する。第9条の要件も別途明記する。
- 必要性と比例性を評価する。特に、より侵害の少ない方法で同じ目的を達成できないかを検討する。
- 顔を取り扱われる本人にとってのリスクを特定する。組織にとってのリスクではない。
- 保存期間、照合結果に対する人による確認、異議申立ての手段を含む低減措置を記録する。
- 低減措置を講じてもなお高い残存リスクがある場合は、実施前にICOに諮問する。
DPIAは提出書類ではなく、運用とともに更新し続ける文書です。カメラの位置、照合リストの出所、保存期間が変われば、DPIAが評価した取扱いそのものが変わっています。
顔データはどこで処理・保存できるか
英国にデータ所在地の要件はありません。個人データの国外移転は可能ですが、UK GDPR第5章の移転メカニズムのいずれかによる必要があります。具体的には、移転先国に対する英国の十分性規則、国際データ移転協定（IDTA）、または欧州委員会の標準契約条項に対する英国追加条項であり、いずれも移転リスク評価を伴います。
オンプレミスまたはエアギャップでの運用であれば、評価すべき移転が存在しないため、この論点自体が生じません。Ayonixの顔認識は運用者自身のハードウェア上で動作します。ATLAS BOX、既存のサーバー環境、あるいはカメラ側のエッジ機器です。顔の特徴量は運用者の環境内で生成、照合、削除され、ベンダーのサービスに届くことはありません。
- エアギャップ：外部への通信経路を一切持たない構成。方針としてそれを求める拠点向け。
- オンプレミス：運用者自身のデータセンターで、運用者自身の保存期間に従う。
- エッジ：カメラの近くで処理し、結果だけを機器の外へ送る。
- クラウド：選択可能。ただし第5章の論点が現実に生じるのはこの構成です。
公共空間の監視と警察の利用はどうか
公的機関には別の層が重なります。2012年自由保護法に基づく監視カメラ実務規範は、イングランドおよびウェールズの警察と地方自治体を拘束し、その原則は顔認識を含む監視カメラシステムの利用に及びます。法執行目的の取扱いにはデータ保護法2018の第3部が適用され、UK GDPRとは別の規律が働きます。
イングランドおよびウェールズにおける警察のライブ顔認識は、裁判所の審査を受けています。R (Bridges) 対 南ウェールズ警察事件で、控訴院は2020年に当該運用を違法と判断しました。理由は法的枠組みの精度が不十分であったことやバイアスの評価が不十分であったことなどであり、ライブ顔認識それ自体が違法だとされたわけではありません。
英国の導入検討者が契約前に確認すべきこと
- 第6条のどの適法性の根拠と、第9条2項のどの要件に依拠するのかを文書化しているか。
- 顔の特徴量がどこに、どの形式で保存され、誰が持ち出せるのか。
- 特徴量と照合記録の保存期間、およびそれを実際に強制する仕組み。
- 照合結果に何らかの結果が伴う前に、人が確認する工程があるか。
- 本人がアクセス、異議、消去の権利をどのように行使できるか。
- 精度を、運用者自身のカメラと現場条件でどのように測定したか。
Ayonixは英国向けにもその他の市場向けにも、見出しとなる精度の数値を掲げていません。他者のカメラで測った数値は、英国のデータ管理者がDPIAで説明できる数値ではないからです。代わりに公表しているのは、米国国立標準技術研究所（NIST）が実施する顔認識評価への参加です。評価は独立して実施され、結果は公開されています。なお、NISTがベンダーを認証、承認、推奨することはありません。
本ページは、記載した各法令が何を求めているかを、根拠となる法令名を挙げて説明するものです。法的助言ではなく、個別の導入が適法であることを示すものでもありません。その判断は、貴社の法務およびデータ保護当局の領分です。
よくある質問
- 英国で顔認識は合法ですか。
- UK GDPR第6条の適法性の根拠と第9条2項の要件を別途満たし、データ保護影響評価を完了していれば合法です。禁止されてはいませんが、既定で許されているわけでもありません。両方の要件を満たすまで、その取扱いは違法です。
- 英国で顔認識を使うには同意が必要ですか。
- 常に必要というわけではありません。明示的な同意は第9条2項の要件の一つであり民間では一般的ですが、唯一の要件ではありません。データ保護法2018の附則1に定める実質的な公共の利益は、同意を求めることが意味をなさない公共部門の多くの運用を支えます。
- 英国のデータは英国内に置く必要がありますか。
- いいえ。英国にデータ所在地の要件はありません。国外移転には第5章のメカニズム、すなわち十分性規則、国際データ移転協定、または標準契約条項への英国追加条項と、移転リスク評価が必要です。オンプレミス運用であれば、そもそも移転が生じません。
- 英国で顔認識を監督するのはどの機関ですか。
- データ保護の監督機関は情報コミッショナー事務局（ICO）で、生体認証に関する指針を公表しています。イングランドおよびウェールズの警察と地方自治体のカメラシステムには、2012年自由保護法に基づく監視カメラ実務規範が加えて適用されます。
- 英国でインターネット接続なしにAyonixを導入できますか。
- できます。Ayonixの顔認識は、ATLAS BOXを含む運用者指定のハードウェア上で、オンプレミス、エッジ、または完全なエアギャップ構成で動作します。エアギャップ構成では外部への通信経路がないため、顔の特徴量が拠点の外に出ることはなく、国外移転も生じません。
- AyonixはUK GDPRの認証を受けていますか。
- 受けていません。製品をUK GDPRに適合させる認証というものは存在せず、それを掲げるベンダーは別のものを指しています。適合性は、根拠、DPIA、保存期間、統制といった運用の性質であって、ソフトウェアの性質ではありません。Ayonixが提供するのは、それらの選択を可能にする運用形態です。