米国における顔認識

米国で顔認識を規律するのはどの法律か

単一の法律はありません。連邦議会は一般的な生体情報プライバシー法を制定しておらず、義務は各州法から生じます。求める内容も、誰が執行するかも州ごとに異なります。

その後も複数の州が包括的なプライバシー法を制定し、生体データを機微情報と位置づけて取扱い前の同意を求めています。複数州で運用する事業者にとっての実務的な帰結は、最も厳格な州が設計を決めるということです。州ごとに別のシステムを作ることは現実的ではありません。

イリノイ州BIPAは具体的に何を求めるか

1. 保存期間と永久破棄の指針を定めた書面の方針を策定し、公衆が参照できる形で公表する。
2. 生体識別子を取得していること、その具体的な目的と期間を、本人に書面で通知する。
3. 取得前に、本人から書面による承諾を得る。
4. 生体識別子を販売、賃貸その他の方法で利益を得る目的に用いない。
5. 業界の合理的な注意基準で保管し、少なくとも他の機密情報と同等以上に保護する。

BIPAは生体識別子とそこから導かれる情報に及び、写真から抽出した顔の特徴量も含みます。写真を削除しただけでは、特徴量についての義務は果たされません。

米国の調達でNIST評価はどう位置づけられるか

米国国立標準技術研究所（NIST）は顔認識アルゴリズムの基準となる評価を実施しており、米国の調達では提出実績の有無がしばしば問われます。評価は独立して行われます。NISTは提出されたアルゴリズムを自ら管理する非公開データセットで試験し、結果を公表します。

Ayonixは自社技術がNISTの評価を受けたことを明示し、数値を再掲するのではなく公表資料へ案内しています。NISTによる認証、承認、推奨を主張することはありません。NISTはそのいずれも発行していないからです。NISTは測定機関であり、測定の報告は認定ではありません。なお、NISTがベンダーを認証、承認、推奨することはありません。

「NIST認証取得」を掲げるベンダーは、存在しないものを指しています。問うべきなのはより具体的で、答えられる事項です。どの評価の、どのトラックで、どの報告書の、いつの時点か。

データはどこに置くのか、なぜそれが問題になるのか

米国に商業目的の生体データに関するデータ所在地の要件はありません。問題になるのは所在地ではなく統制です。BIPAをはじめとする州法が課す義務は、事業者が実際にデータへ到達できて初めて果たせます。特徴量がベンダーのクラウドでベンダーのライフサイクルに従っているなら、公表した破棄方針は意味を持ちません。

• オンプレミスまたはエアギャップ運用なら、特徴量は事業者の環境内にとどまり、保存方針を実際に強制できる。
• エッジ処理なら、顔は撮影した機器から出ず、結果だけが送られる。
• クラウドを選ぶ場合、破棄方針は前提ではなく契約条項にする必要がある。
• 連邦政府向けの案件にはFISMAや関連するNIST Special Publicationなど別の要件が伴う。これらは統制のフレームワークであって顔認識の法律ではない。

本ページは、記載した各法令が何を求めているかを、根拠となる法令名を挙げて説明するものです。法的助言ではなく、個別の導入が適法であることを示すものでもありません。その判断は、貴社の法務およびデータ保護当局の領分です。