「顔認識」に反対する教授：最大の受益者がリスクの責任を負う

劉玉秀、ザ・ペーパーの研修記者

ラオ・ドンヤン氏の抵抗により、コミュニティ内で顔認識によるアクセス制御を使用する計画は棚上げされた。

2020年3月、彼女が住んでいたコミュニティは、顔認識アクセス制御システムを設置するための通知を掲示し、所有者に不動産証明書、身分証明書、顔認識などの情報を提供するよう要求しました。彼女は清華大学の法学教授であり、顔認識情報が悪用されるリスクが高いこと、そして不動産管理会社にこの個人情報を収集する権利がないことを十分に認識している。

彼女は真剣に取り組むことを決意した。まず、顔認識のリスクについて収集した報告書と法的根拠を、それぞれ数百人の不動産所有者がいる2つのWeChatグループに送信し、次に法的文書を書いて、それぞれ近隣委員会と不動産管理会社に送った。こうして、所有者である彼女は、通り、不動産管理委員会、不動産管理会社との4者による「交渉」を行った。

最終的に、通り側は、所有者がコミュニティに出入りする際にアクセスカード、携帯電話、または顔認識を使用するかどうかを自主的に選択できることに同意した。しかし、現在、顔認識システムは有効になっていません。

ラオ・ドンヤン氏は、コミュニティ所有者グループにおける顔認識のリスクに関する報告書と法的根拠を共有しました。写真提供：インタビュー対象者

その年の9月、老冬艶さんは学術会議で自身の権利保護の経験を発表し、世間の注目を集めた。このことから、彼女は学者は象牙の塔に閉じ​​こもるのではなく、法理論と現実の生活が密接に関係し合うべきだと深く感じるようになった。現在、彼女が指導している博士課程の学生のうち 3 人が、将来の研究方向としてデータ保護を選択する予定です。

ビッグデータはこの時代の波ですが、その波は人を飲み込んでしまう側面も持っています。老東岩氏は顔認識のさまざまなリスクについて何度も言及しており、これは学者の想像ではないと述べた。ロシアンルーレットと同じように、弾丸は必ず発射されますが、誰に当たるかはわかりません。

彼女は、現在の個人情報保護法案は個人の権利を多数列挙しているものの、それに相当する救済条項がなく、それが紙の上だけの「事実上の」権利になっていることを懸念している。

「リスクを生み出す者は、対応するリスクに対して責任を負うべきであり、リスクから最大の利益を得る者は、主にリスクに対して責任を負うべきである。」ラオ・ドンヤン氏の見解では、データ収集者とユーザーは個人情報を保護する責任を負うべきだ。

[以下はラオ・ドンヤンとの会話です]

ザ・ペーパー：あなたの権利保護の取り組みの後、コミュニティの顔認識システムは進歩や改善されましたか？

ラオ・ドンヤン：実際のところ、具体的な状況はよく分かりません。私たちのコミュニティの門に顔認識機械が設置されているのですが、一度も使われたことがないのです。ユニットのアクセス コントロールについては、元のユニット アクセス コントロールが古くて壊れているため、新しいものをインストールする必要があります。しばらく前に不動産管理会社からインストールする必要があると通知されましたが、インストールされる内容はわかりません。近くのいくつかのユニット ビルディングではまだインストールされていないことに気付きました。

論文:あなたはこれを「真実」と比較しています。実際、人生で同様の状況に遭遇した多くの人は、それについて不満を言うだけで、自分の権利を守ったり、関連する部署やコミュニティを見つけたりするための措置を講じようとはしません。当時これをやろうと決めた理由は何だったのでしょうか?

ラオ・ドンヤン：私は2019年後半から顔認識の問題に注目し始めましたが、顔認識は実はセキュリティ面で比較的大きな問題を抱えていることを知っています。したがって、これが私たちのコミュニティに導入された場合、私はこの問題にさらに注意を払うことになります。また、私は法律を勉強していたので、法律意見書を書くことは私にとって難しくありませんでした。そこで、この偶然に基づいて、もう少し「本物」になろうと決心しました。

The Paper:ほとんどの一般人にとって、法的意見を書いたり、権利を保護するために関係部署を見つけたりすることは、比較的難しい作業かもしれません。権利を保護するために、皆さんに何かアドバイスはありますか?

ラオ・ドンヤン：個人にとって、自分自身の権利や利益に関しては、自分の声を届けることが非常に重要だと思います。声を上げることが必ずしもうまくいくとは限りませんが、声を上げなければ何も変わりません。コメントやいいねなど、さまざまな形で、すべてポジティブな意味を持っています。 （このようにしてのみ）この社会に共同の力が形成され、この共同の力が関係部門の注目を集めることができるのです。

論文：この事件はあなたの人生、考え、そして将来物事に対処する方法に何らかの影響を与えるでしょうか？

Lao Dongyan:私の私生活にどのような影響がありますか?実はまだ気づいていないんです。しかし、それは私のアイデアや将来の計画に相応の影響を与えると思います。学者として、私は象牙の塔に完全に閉じこもって純粋な学術研究を行うことはできないかもしれないと思っています。特に、私は学科法の研究をしているので、法律そのものが実生活と非常に密接に結びついています。私たち学者は、法律に関わるこのような社会問題にも注目する必要がある。

将来の計画に関しては、私が指導している博士課程の学生のうち、ポスドク研究員を含む少なくとも 3 名が、将来の研究計画の一環として個人データ保護を活用する予定です。

[[383449]]

2019年、中国薬科大学の一部の試験教室では、日常の出欠や教室規律管理のために顔認識カメラを設置し、授業をサボったり「クラスメイトの代わりに出席する」といった現象をなくそうとしたが、この動きも物議を醸した。 IC 図

論文：民法は今年1月1日に正式に施行されました。民法には個人情報の保護に関する規定がありますが、我が国の現行法制度は個人の生体情報の権利を保護するのに十分だと思いますか？

Lao Dongyan：これは2つの側面に分けられると思います。一方で、個人データや個人情報の保護に関する問題は、まさにインターネット時代に浮上した新たな問題です。そして、私たちの法制度全体がこの問題に対してまだ積極的な準備ができていないことは明らかです。これは中国だけでなく、他の国でも同様です。現在、法制度全体の方向性には、個人の生体認証情報の保護に関する明確な前向きな兆候が見られ、これは肯定する価値があると思います。

一方、既存の法制度は依然として模索の過程にあり、例えば、個人情報をどのように保護するか、産業の発展、経済の発展、さらにはインターネット経済の発展の動向とどのようにバランスをとるかなど、真剣に検討する価値のある問題です。

このような状況下では、現行法には、さまざまな側面で利益と損失のバランスをとる方法についての明確で明確な枠組みが存在しないことは明らかです。立法レベルでは、まだ検討段階にあります。司法および法執行レベルでは、既存の法律規定をどのように実施し、施行すべきでしょうか?実際のところ、対応する規則や規制が発行されていないため、多くの法的規定はまだ表面的なものにとどまっている可能性があります。

したがって、現在の法制度の発展の方向性は前向きであると考えます。しかし同時に、全体的な枠組み、特に具体的な実装においては、依然として欠陥や欠点があることに気付かなければなりません。

論文：では、現在の法制度の欠陥や欠点を改善し、発展させるためには、どのような方法を用いるべきだとお考えですか?

老東彦：個人情報保護法案の前回の草案を見ると、情報保護における個人の権利に関する規定が実はかなり多いように思います。情報保護の観点から、個人の権利に関する対応する規制やリストが存在することは良いことだと私は思います。

しかし同時に、この権利は法律でのみ規定されていることにも気づきました。しかし、権利が侵害された場合、どのように救済を求めることができるのでしょうか?現在の救済条項は比較的不十分です。法律を勉強した人なら誰でも、救済がなければ権利はないことを知っています。対応する救済条項がない場合、権利は事実上空であるか、または単に書面上のみとなります。例えば、民法や行政法など現行法では、個人情報を取得する際には同意を得なければならないと規定されています。ここで問題となるのは、ユーザーの同意を得ずに個人情報を収集した場合、または通知する関連コンテンツやリスクが規定のレベルに達しなかった場合はどうなるかということです。個人は自分の権利を守るためにどのような権利を持っていますか?

一方、個人情報保護に関する第一義的な責任や義務を個人に課すことができない場合があります。つまり、個人の同意が必要であり、同意が得られれば、人々はそれを利用できるようになります。インターネット時代において、この法的責任の焦点は、実際にはインターネット以前の時代とは異なるはずです。少なくとも現在の開発動向では、個人情報を保護する主な責任はデータ収集者とユーザーに課されるべきだというのが私の個人的な考えです。原則として、リスクを生み出した者は、そのリスクとそれが引き起こす結果に対して責任を負うべきです。これは、法的責任においてリスクをどの当事者に割り当てるかを決定する際の主要な考慮事項の 1 つでもあります。

2 番目の要素は、全体の中で誰が最も利益を得たかということです。ユーザーは一定の利便性を得られますが、この利便性は、企業が得る商業上の利益や政府機関が得る規制上の利益と比較すると、実際にはごく一部にすぎません。全体から最大の利益を得る者が、主にリスクの責任を負うべきである。

3 番目の要素は、対応するリスクの発生を防ぐ能力を誰が持っているかという点です。従来の法制度では、主なリスクは個人に割り当てられ、個人が自分の情報を保護することが求められます。簡単に同意すべきではありません。しかし、インターネット時代においては、実際にはそれがまったく現実的ではないことがしばしばあることに気づくでしょう。

したがって、今後は、例えば企業が個人情報保護に関する規制をどう遵守していくかということについて、収集者や利用者に情報保護の義務が課せられることになるのではないかと思います。

2020年10月1日に施行予定の「情報セキュリティ技術 個人情報保護仕様」では、個人情報を収集する際の認可と同意が追加されます。

新聞：昨年9月、広西チワン族自治区南寧市で、不動産業者を装い、顔認証技術を使って住宅の所有権を譲渡したが、売主は代金を受け取れなかった。この事件は、ある程度、私たちのような一般人が顔認証技術の影響や結末を認識していないために起きた。この問題をどう防ぐことができるとお考えですか？

老東彦：私もこのニュースを見ましたが、この事件に関わった仲介人は実は嘘つきです。また、地方政府は一般の人々が手続きをしやすくすることを検討しており、所有権のオンライン移転を推進しています。しかし、このような事例が出てくると、実はリスクが非常に高いことがわかります。

人の顔を安易に利用すべきではないと思います。高速鉄道や飛行機に乗るときに顔情報をスキャンすることがありますが、顔データを収集するのは公的機関なので、悪用や漏洩のリスクは小さくなります。しかし、不動産会社、財産回収を含む一般企業にとっては、このリスクは飛躍的に増大するでしょう。誰がデータベースを使用できるのか、誰がアクセスできるのか、どのように保管されるのか、どこで使用されるのかが不確実だからです。

政府機関にとって、住宅譲渡など多額の財産が絡み、ハイテク化が進む案件は、国民の利便性を考慮しつつ、法的リスクも考慮する必要がある。住宅譲渡と同様に、住宅が第三者に売却された場合、第三者はそれを知りません。実際、規制当局や公安機関が介入したとしても、家を回収して被害者に返すことは不可能だ。被害者の損失は、被告がお金を浪費したかどうかによって決まります。もしすべてを浪費したのであれば、被告は逮捕される程度でしょう。あなたの財産、あなたの不動産を騙し取られたら、騙されたことになります。第三者が善意で住宅を取得し、時価で購入した場合には、第三者から住宅を取り戻し、被害者に返還することが不可能となるからです。

このような事件では双方が反省する必要がある。個人の観点からは、より警戒を強める必要があるが、実施主体である企業は特に顔情報の収集に慎重になるべきだ。政府の規制部門としては、このような大規模な資産移転に関しては、リスクを管理すべきだ。

論文：企業は利益と利便性を得るために顔認識技術を使用することがあります。以前、各地の販売店で顔認証技術を使って、顧客が自分で来たのか、仲介業者が連れてきたのかを判別し、住宅購入時に価格差が生じているというニュースが報道されました。このような事態をどう防ぐべきか、あるいは規制当局はどのような規制を導入すべきだとお考えですか。

ラオ・ドンヤン氏：これは、不動産開発業者が同意なしに個人の生体認証情報を違法に収集するという問題だけでなく、商業的な場面での差別的使用の問題も含んでいます。この 2 つの側面が、対応する法的関心を引き起こす可能性があると思います。

まず、顧客の同意なしに顔情報を収集することは、既存の法的枠組みでは実際には違法です。 2 回目の収集後、それはまた、ビジネス取引における誠実さと公平性の問題を含む差別的な方法で使用されるようになりました。

顔認識監視装置の設置は、特定の業界ではかなり一般的に行われています。一部の地元メディアはこの問題に注目し、規制当局は不動産会社に関連設備の撤去を求めたが、他の地域ではこのような世論の事件が起きていないため、規制当局は圧力をかけないだろう。このようなシナリオでは、個人の生体認証データが不可解に収集されるだけでなく、さまざまなチャネルにより住宅購入時に対応する損失を被る可能性もあります。価格差は数万元ではなく、数十万元になることもあります。このような事件はすべての人の注意を必要とし、業界に変化を迫ります。

[[383450]]

米国国立標準技術研究所（NIST）は顔認識ベンダーテストを開始しました。画像出典: NIST公式サイト

論文：しかし、最新の民法では、個人の生体情報の収集には本人の同意が必要であると規定されています。一部の企業が個人の生体情報を本人の同意なしに収集し、一般の人が訴訟を起こした場合、勝てる可能性はあるのでしょうか？

ラオ・ドンヤン：一般の人が訴訟を起こす方法はないと思います。例えば、私がその場所に行ってカメラを見つけたとして、今相手を訴えたい場合、相手が私のデータを収集したという証拠をどのように提示して証明できるでしょうか？相手が私の同意なしに収集したデータを提供することを期待するのは、虎の皮を剥ごうとするようなものです。

前回、実務部門の同志が会議で、この種の訴訟では原告のほとんどが敗訴すると言っているのを聞いた。先ほど申し上げたように、法律上、ある権利が規定されていても、それに対応する救済措置条項がなければ、その権利は書類上だけのもので、見た目はいいけれども、本当に享受することができないということになります。したがって、インターネット時代において、個人情報の侵害（訴訟）に関しては、現行の訴訟ルールや立証責任の規定に従うだけでは、個人は権利を守る術がないことになります。

「情報セキュリティ技術個人情報セキュリティ仕様」では、生体認証情報の保存に関する新たな要件が提示されています。

論文：現実世界では、顔認識システムの使用を拒否すると、生活に多くの不便が生じます。一般の人々は、この状況にどのように対処すべきだとお考えですか？

ラオ・ドンヤン：便利かどうかは、情報収集者がユーザーに対して行う宣伝であるべきだと私は思います。顔認識技術の応用から最も恩恵を受けるのは、間違いなくユーザーではないことがわかるでしょう。

1か月前、清華大学の研究室が次のような実験を行った（と報じられた）。彼らは20台の携帯電話を選び、印刷した写真を使い、15分以内にそのうち19台のロックを解除した。私はパスワードやカードをスワイプするなどの他の方法を使用していますが、私にとっては不便ではありません。ここで、リスクとメリットを比較検討する問題があります。少しの利便性のために、財産の安全を含む個人の安全を放棄することになります。そのような放棄は本当に価値があるのでしょうか?

顔認識のリスクは学者が想像していたものではない。 （現実には）顔データの闇市場での売買を含め、多くの違法および犯罪的な状況で使用されています。顔データ 1 個の価格は 1 ドルか 2 ドル、あるいはそれよりも安い場合があります。これは実際にすでに大規模に起こっています。自分に起こっていないからといって、このリスクはあり得ないと考えることはできません。それはロシアンルーレットの問題のようなもので、弾丸は確実に発射されますが、それが自分に向けて発射されるかどうかはわかりません。

[[383451]]

国際赤十字は人道支援の効果的な分配を確実にするために生体認証技術を使用しているが、このデータを「金鉱」とは考えておらず、集中型データベースの構築を断念している。画像出典：国際赤十字公式サイト