詳細 | 顔認識が蔓延していますが、あなたの顔データを奪う権利は誰にあるのでしょうか?

記者 | 周一雪

8月中旬のある日、北京市昌平区回龍観のコミュニティに住む王毅さんは、所有者グループの近隣委員会から通知を受け取りました。

通知によると、新型コロナウイルス感染症対策が常態化するにつれ、自宅隔離中の人々の管理を強化し、輸入感染リスクを効果的に低減するため、コミュニティはスマートコミュニティアクセス制御システムを導入する予定。住民は携帯電話のアプリまたは近隣委員会を通じて携帯電話番号、身分証明書、顔写真などの情報をアップロードし、新しいアクセス許可を申請する必要がある。

王毅氏が所属するオーナーグループには、コミュニティの所有者や入居者など約500人が所属している。このグループは、今年初めに国内で新型コロナウイルスが流行したことを受けて、近隣の委員会によって設立されたもので、流行に関連した情報を伝えるのが主な役割です。

この通知を見て、インターネット企業でデータ分析の経験を持つ王毅さんは少し不安を感じた。同氏は、通知にはスマートコミュニティアクセス制御システムを導入した後は顔認識（「フェイススワイプ」とも呼ばれる）または携帯電話のアプリを使用してドアを開けることができると記載されていたが、許可を申請する際には顔写真を入力する必要があることを発見した。

また、顔認証入退室管理システムの導入を担当した第三者企業がネガティブな情報にさらされていることにも気づき、個人情報、特に顔写真が収集された後、どのように保管・利用されるのか、情報セキュリティ上の問題はないかと自然と不安になり始めた。

王毅氏と他の住民は所有者グループでこれらの疑問を提起した。近隣委員会は、新しいスマートアクセス制御機器は公安局に登録されており、公安局に接続される予定であると回答し、住民の懸念を和らげようとしている。しかし、関連する証拠書類を提出することができなかった。

個人情報の安全性に関する懸念に加え、所有者らはコミュニティ内に顔認識装置を設置する必要性と実現可能性についても疑問を呈した。住民の一人が、コミュニティにはすでにカードスワイプによるアクセス制御システムがあるのに、なぜ顔認識があるのですかと尋ねました。さらに、このシステムはコミュニティに住む住民の情報のみを収集します。では、宅配業者や配達員はコミュニティに入るために顔をスキャンする必要があるのでしょうか?

王毅さんの経験と同様に、12月中旬、北京市東二環路の嘉成有樹工業団地で働いていた劉環さんも、新型コロナウイルス感染症の予防と管理が常態化したため、同工業団地では新たな顔認証アクセス制御システムを導入する必要があると告げられた。

機器設置業者が主催した説明会で、劉環氏らは、新システムでは公園で働く人々の携帯電話、身分証明書、顔情報を収集する必要があると説明された。システムが稼働すると、顔をスキャンすることでのみオフィスエリアに入ることができるようになる。

劉環氏と他の出席者は、収集した個人情報の機密性をどのように管理するのか、また、会社が関連する資格を有しているかどうかを質問しました。 「設備側の担当者は、関係のない回答をしたり、複数の担当者が相互に確認したりして、該当する資格が取得され次第、当社に送付すると伝えました。しかし、現在まで、当社は資格書類を見ていません」と劉環氏はインターフェースニュースに語った。

「あなたの顔をコントロールする者は、あなたのアイデンティティもコントロールする」

王毅氏と劉環氏の懸念は孤立した事例ではない。近年、ディープラーニングを中核とする人工知能技術が急速に発展しており、その中でも視覚認識技術は中国で最も成熟しており、最も広く応用されています。ビジネスの見通しを考慮すると、大手インターネット企業、従来のセキュリティ企業、新興の人工知能技術企業はいずれもこの分野に多額の投資を行っています。

中国における顔認証（視覚認識技術の応用）の応用は、おおむね公安分野から商業分野へと拡大している。当初、この技術は空港、高速鉄道駅、ホテルなどで個人の身元を確認するために使用されていましたが、その後、商業銀行も顔認識を使用して遠隔口座開設を可能にし始めました。その後、顔スキャン決済や顔スキャンアクセス制御も次々と登場し、顔認識は限られた場面から徐々に人々の日常生活に浸透していきました。

中国における顔認識の急速かつ広範な応用は、公共の安全を維持するという政府の要求、効率性の向上とコスト削減のために新しい技術を適用する商業組織の必要性、そしてビジネスの成長を求める人工知能技術企業の衝動によって推進されている。今年発生した新型コロナウイルス感染症の流行により、このプロセスはさらに加速した。

ショッピングモールやオフィスビルなどの入り口に体温測定装置が設置されているのを、皆さんももう見慣れているのではないでしょうか。通常、このタイプの機器は顔検出と赤外線温度測定技術を組み合わせ、「非接触温度測定」を実現でき、防疫および制御に広く導入されています。

[[359429]]

この技術が無制限に使用されていることに、多くの人が気づき始めています。今年10月に2万人を対象に行われた調査では、回答者の60％以上が顔認識技術が悪用される傾向があると考えていることがわかった。その中で、交通安全チェック、実名登録、口座開設・解約、支払い振替、入退室管理・出勤管理などの場面で「強制使用」の問題が顕著に表れています。

一方で、回答者が最も懸念している問題のいくつか、例えば、元の顔情報が収集者によって保持されるかどうか、どのように処理されるか、収集された顔情報のセキュリティを確保するためにデータ収集者がどのような技術的および管理的措置を講じているか、顔情報は現在どのようなシナリオで使用されているか、使用目的は変更されているかなど、ほとんどの場合不透明であり、現在、それらを規制する関連法規制はありません。

顔情報は他の個人情報とは異なり、生体認証情報であり、固有のものです。 「これは、一度漏洩したら修復できないパスワードとは違う。将来、人間の顔がインターネットの世界への入り口になれば、ある程度、あなたの顔を知っている人はあなたのアイデンティティも知っていることになる」と北京安利法律事務所のシニアパートナー、王新鋭氏はインターフェースニュースに語った。

彼は、現在では多くの場合、この技術の利便性が強調されすぎていて、顔データの漏洩によって起こり得る結果を十分に考慮していないと考えています。 「もし誰かがあなたの銀行カードのパスワードを尋ねたら、あなたは間違いなく非常に警戒するでしょう？ しかし、顔情報を尋ねられたら、多くの人は大したことないと思うようですが、実際には、多くの場合、両者の間に違いはありません。」

今年2月、浙江省衢州市中級人民法院が下した判決によると、2018年7月以降、浙江省紹興市の大学卒業生、張福が違法ルートで市民の身分情報2000万件を購入し、ソフトウェアを使って写真を3Dアバターに変換していた。事件当時、張福は顔認証を通じて少なくとも547の実名アリペイアカウントを登録することに成功していた。

顔認識技術を使用するすべてのデバイスが顔のオリジナル写真を収集するわけではないことに注意する必要があります。技術的に先進的な企業の中には、顔の特徴値を抽出して元の写真と置き換えるところもあります。これらの特徴値は匿名データであり、暗号化された後では、たとえ漏洩しても特定の人物に再配置することはできません。このアプローチにより、個人情報をある程度保護することができます。

しかし現実には、大企業がディープラーニングのアルゴリズムフレームワークをオープンソース化した後、顔認識技術の敷居は大幅に下がった。平均的な技術力を持つ多くの企業はオープンソース プラットフォームを通じてアルゴリズム機能を獲得していますが、データの収集と保存において同様のセキュリティを保証することはできません。これらの企業は、多くの場合、生の顔情報を直接収集して保存します。

観光業界のデジタル化に携わる人物はインターフェースニュースに対し、新型コロナウイルスの流行後、業界では非接触入場を提唱し、多くの観光地が顔認識装置を設置したと語った。観光客は観光地の入口で顔情報を入力した後、顔をスキャンすることでさまざまな観光地に入ることができる。訪問者の顔情報はローカルサーバーに保存されますが、そのようなサーバーのセキュリティは極めて低いです。

「これまでに明らかになった顔写真データ漏洩事件の一部は、写真が保存されているデータベースへの攻撃によるもので、これは技術的な理由によるものです。しかし実際には、非技術的な理由もあります。例えば、犯罪者がデータベースにアクセスできれば、情報をコピーして利益のために販売する可能性もあります」と北京瑞来智能科技有限公司の副社長、唐佳宇氏は述べた。 Ruilai Intelligence は、セキュリティに重点を置いた人工知能テクノロジー企業です。

唐佳宇氏はインターフェースニュースに対し、現在の顔認識アルゴリズムには抜け穴が内在していると語った。工業情報化部および公安局と共同で実施した複数のテストで、瑞来知能は写真だけで携帯電話、ゲート、出席管理機などのアクセス制御システムを「突破」することができた。 「ディープラーニングアルゴリズムに基づくモデルはブラックボックスであり、本質的に脆弱であり、攻撃者は常に抜け穴を見つけることができます。」

個人情報のセキュリティに関する懸念に加え、特定のシナリオにおける顔認識技術の適用は個人のプライバシーを侵害するのではないかとも疑問視されている。昨年、中国薬科大学（江蘇省南京市）は、学生が授業をサボっているか、携帯電話で遊んでいるか、居眠りしているかを識別できる顔認識システムを導入し、顔認識技術の使用の限界についての議論を巻き起こした。

上記の調査では、回答者が最も受け入れ難い顔認識の使用シナリオとして、「ショッピングモールが顔認識技術を使用して顧客の行動や購入方法を収集する」、「大学が顔認識技術を使用して授業中の学生の頭を上げる率、微妙な表情、姿勢を収集する」などが挙げられました。相対的に言えば、公衆は公共の安全のシナリオにおいて顔認識技術をより受け入れています。

安全と責任の基準は明確であるべきである

顔認識の普及に抵抗する人々もいる。最も注目すべき事例は、浙江理工大学の著名な准教授である郭兵氏が杭州野生動物公園を訴えた「初の顔認識訴訟」である。

グオ・ビンさんは昨年4月、杭州野生動物公園の年間パスを購入した。このパスと指紋があれば、1年間何度でも公園を訪れることができる。しかしその後、動物園から顔認証情報の登録を求めるショートメッセージが届き、「指定日までに顔認証情報を登録しないと、通常通り入園できません」と告げられた。

その後、郭兵さんは動物園を訴え、年間パスの申請時に提出した顔情報を削除するよう命じ、動物園のテキストメッセージの内容が無効であることを確認するよう裁判所に求めた。今年11月、杭州阜陽裁判所は第一審判決を下し、動物園に対し、契約変更によって郭氷さんに生じた経済的損失を賠償し、個人の顔情報を削除するよう命じたが、郭氷さんのその他の請求は却下した。郭兵はこれに対して控訴した。

「杭州野生動物世界が、標準条件で公園に入場する唯一の方法として指紋認証または顔認証を定めているのは不公平で不合理だと思います。これが私の訴訟の核心であり、控訴でさらに判断するよう裁判所に求めている訴訟の要求でもあります」と郭兵氏は控訴の理由を説明する際、インターフェースニュースに語った。

今年初めから、地方の立法活動では顔認識の応用シナリオに注目し始め、すでに一定の制限を課し始めている。

つい先日、天津市人民代表大会は「天津市社会信用条例」を可決したが、その第16条では、市場信用情報提供者は自然人の生体情報を収集してはならないと規定している。杭州市は最近、「杭州不動産管理規則（改訂草案）」を公表した。この規則では、不動産サービス提供者は、指紋や顔認識などの生体認証情報を通じて、所有者に共有施設や設備の使用を強制してはならないと規定されている。この草案は現在、杭州市人民代表大会常務委員会に提出され、審議されている。

「これらの規制は顔認識技術の応用を具体的に規制するものではないが、地方議会が生体認証情報には特別な保護が必要であることを認識していることを示している」と郭兵氏は述べた。

中国情報通信研究院インターネット法研究センターの研究員ヤン・ジエ氏はインターフェースニュースに対し、中国は顔認識技術に関する法規制をまだ具体的には発行していないものの、顔データを敏感な個人情報として分類し、厳しく規制するという国際慣行を採用していると語った。

今回審議される「個人情報保護法案（案）」（以下「法案」という。）は、我が国初の個人情報保護に関する特別立法となるものである。草案では、センシティブ個人情報は、特定の目的があり十分な必要性がある場合にのみ処理できること、センシティブ個人情報の収集は個人の個別の同意を得る必要があること、センシティブ個人情報の処理の必要性と個人への影響を個人に通知する必要があることが規定されている。

王新鋭氏は、草案は敏感な個人情報（顔を含む生体認証情報を含む）に対して非常に厳しい規制を設けており、別途同意と事前評価が必要であると考えている。これは、個人の生体認証情報を収集するためのハードルが非常に高いことを意味し、ほとんどの企業は諦めるかもしれない。

顔認識技術に関する法案第27条には、「公共の場所における画像収集および個人識別装置の設置は、公共の安全の維持に必要なものとする…収集された個人画像および個人識別特徴情報は、公共の安全の維持の目的にのみ使用され、他者に開示または提供されてはならない…」と規定されている。

「この規制は公共安全分野における画像収集に関するものであり、商業的な顔認識に関するものではない」と郭兵氏はインターフェース・ニュースに語った。同氏は、顔の特徴情報を収集する顔認識関連技術を行政ライセンスの対象に含めることを提案した。「対応するライセンスがあれば、対応する技術に携わったり提供したりすることができ、顔スキャンの悪用に対して一定の抑止効果を発揮できる」

楊潔氏は、次のステップでは、一方では法律で顔認識技術の安全性と責任の下限を明確にする必要があり、他方では、さまざまな場面における顔認識の応用の違いを解決することも必要だと考えている。たとえば、さまざまな業界の主管部門は、さまざまなシナリオでの顔認識技術の適用の必要性、セキュリティレベルの要件、その他の具体的な問題を明確にするなど、使用シナリオに基づいて顔認識技術の適用に関する実施規則を発行する必要があります。

所有者らが異議を唱えた後、嘉城有樹工業団地の運営者は、顔認証に加えて、携帯電話でQRコードをスキャンする新しい入園方法を追加しました。この方法では、顔情報ではなく基本情報の入力のみが必要です。劉環氏はインターフェースニュースに対し、現在、個人情報の収集量が少ないICカード入場プランの追加に取り組んでいると語った。

（インタビュー対象者の要請により、王毅と劉歓は仮名です）