最高裁判所は顔認識に関する新たな規制を発表：顔情報の収集には「個別の同意」が必要

[[414466]]

7月28日、最高人民法院は「顔認識技術を用いた個人情報処理に関する民事訴訟における法律適用の若干の問題に関する規定」（以下、「規定」という）を公布し、顔認識の適用場面、利用目的、責任の確定などを規定した。

現在、顔認識は空港、ホテル、銀行などの場面で徐々に普及しつつあるが、非知覚顔認識も販売所やショッピングモールなどの場所でひっそりと登場し、その論争は「3.15ガラ」にまで及んだ。

北京理工大学法学院教授で、国家標準「個人情報セキュリティ規格」起草グループのリーダーである洪延清氏は、民法とサイバーセキュリティ法はともに、個人情報の処理における主な法的根拠として個人の同意を位置付けていると述べた。しかし、実際の顔認識の適用にはさまざまな不規則性があり、個人の同意が形式的なものになってしまうことがよくあります。 「規定」は、民法第1035条に基づき、個人情報保護法制の重要な成果を全面的に取り入れ、「同意」を「個別同意」へとさらに洗練させ、顔情報の保護を強化し、個人が顔情報処理の意思決定にさらに全面的に参加できるようにすることを目的としています。

「3.15ガラ」で暴露された事件は、自然人の個人の権利と利益を侵害する行為として定義されました。

楊万明最高人民法院副院長は「条例」記者会見で、今回の司法解釈の公布と実施は最高人民法院が各級人民法院に関連事件を正しく審理し、裁判基準を統一し、法律の統一的かつ正確な執行を維持し、質の高い司法を実現するよう指導する上で、重大かつ実際的な意義を有すると指摘した。

楊万明氏は、民法典の公布後、最高人民法院は「民事訴訟事件規定」を改正し、個人情報保護紛争の新たな訴訟原因を追加したと述べた。民法典の施行以来、6月30日現在、各級人民法院は個人情報保護紛争を理由に正式に192件の第一審事件を提起し、103件の事件を終結させた。 「初の顔認識事件」も今年4月9日に二審で判決が下され、法律に基づいて自然人の顔情報やその他の生体情報が保護された。民法典の施行が継続的に深化され、個人情報保護法が間もなく公布・施行されることに伴い、人民法院は司法判決を通じて国民の個人情報権益を保護するための強固な司法障壁をさらに構築していくことになる。

顔認識は人工知能の重要な応用であることが理解されています。スマートシティの構築からモバイルクライアントのログインやロック解除まで、顔認識はあらゆるところで見られます。しかし、社会生活に利便性をもたらす一方で、顔認識技術がもたらす個人情報保護の問題も顕著になってきています。例えば、一部の有名店は「無意識」の顔認識技術を利用して、消費者の同意なしに顔情報を収集し、性別、年齢、気分などを分析して、さまざまなマーケティング戦略を採用しています。一部の不動産サービス会社は、所有者がコミュニティやユニットのドアに出入りするための唯一の確認方法として顔認識を強制し、所有者に顔の入力と関連する個人情報のバインドを要求し、識別されていない所有者はコミュニティに入ることを許可していません。一部のオンラインプラットフォームまたはアプリケーションソフトウェアは、ユーザーの顔情報を強制的に要求し、一部の販売者はソーシャルプラットフォームやウェブサイトで顔認識ビデオを公然と販売し、顔情報を売買しています。顔情報などの個人情報の漏洩により、「強制融資」「詐欺」、プライバシー権や名誉権の侵害などのトラブルも多発しています。

楊万明氏は、「この規定」は実際に反映されているより顕著な問題を対象としており、不法行為責任、契約ルール、訴訟手続きに関して16条を規定していると述べた。このうち、条例第2条から第9条までは、主に人身権と不法行為責任の観点から、顔認識技術を悪用して顔情報を処理する行為の性質と責任を明確にしています。

楊万明氏によると、条例第2条は自然人の私権と利益を侵害する行為の特定について規定している。この条文では、今年の「3.15ガラ」で摘発された、オフライン店舗が顔認識技術を悪用して営業所内で顔認識や顔分析を行う行為や、社会的に大きな反響を呼んだいくつかの典型的な行為を列挙し、これらを自然人の私権と利益を侵害する行為として明確に定義している。一部の事業者が、一回限りの一括許可、他の許可との一括処理、「同意がなければサービスしない」などの不当な手段で自然人の顔情報を処理していることを受けて、第 2 条と第 4 条では、自然人の顔情報の処理は、自然人またはその保護者の個別の同意を得る必要があると明確に規定されています。個別の同意に違反したり、自然人に顔情報の処理に同意するよう強制したり、ひそかに強制したりすることは、自然人の人格権益を侵害する行為を構成します。第5条は民法第1036条をさらに改良し、顔情報の処理に関する免責事由を明確にし、第6条から第9条はそれぞれ立証責任、複数の情報処理者の権利侵害責任、財産的損失の範囲の定義、人格権侵害禁止の適用について規定している。

顔情報は、無断で収集したり、無差別に収集したり、強制的に収集したりしてはなりません。

洪延卿氏の見解では、民法とサイバーセキュリティ法はともに、個人情報の処理に関する主な法的根拠として個人の同意を位置づけている。しかし、実際の顔認識の適用にはさまざまな不規則性があり、個人の同意が形式的なものになってしまうことがよくあります。

現在、よくある状況としては、「気づかないうちに収集」、つまり、知らないうちに顔認識エリアに入り、通知や同意なしに自然人の顔情報を直接収集すること、「パッケージ収集」、つまり、顔認識技術の使用と顔情報の処理規則が、プライバシーポリシーやユーザー契約書に他の個人情報の許可と処理規則と一緒に記載され、ユーザーの同意が一度に得られることなどが挙げられます。ユーザーは顔情報の処理についてまったく選択の余地がありません。「強制収集」、つまり、顔情報が製品やサービスに必要な情報ではないのに、特定の製品やサービスをインストールしたり、継続して使用したりするために、個人が顔認識を受け入れることを強制することです。これは自発性の原則に沿わないだけでなく、「合法、正当、必要」の原則にも違反しています。

洪延清氏は、「同規定」は民法第1035条に基づき、個人情報保護立法の重要な成果を全面的に取り入れ、「同意」を「個別同意」へとさらに洗練させ、顔情報の保護を強化し、個人が顔情報処理の意思決定にさらに全面的に参加できるようにすることを目的としたと述べた。

条例第2条によれば、自然人またはその保護者の個別の同意を得ずに、または法律や行政法規の規定に従って自然人またはその保護者の書面による同意を得ずに、個人の同意に基づいて顔情報を処理した場合、それは自然人の人格権益を侵害する行為とみなされる。

洪延青氏は、いわゆる「個別同意」とは顔情報の処理とその規則を指し、個人は他の個人情報処理行為や規則とは独立して自由に同意できると述べた。つまり、個人の同意を得るために、顔情報の処理を他の個人情報の処理と組み合わせることはできません。十分な知識、自発性、明確性、個性の強力なサポートにより、「個人の同意」は顔認識技術の無秩序な使用を効果的に抑制することができます。

「客観的に言えば、どんな技術にもリスクはあります。顔認識技術のリスクは技術自体にあるのではなく、人間による応用にあります。この技術の持続的かつ安定した発展には、それを守るための厳格で科学的なルールが必要です。情報処理者の立場の境界を明確にし、違法で乱用的な行為を規制することで、良質なエコシステムの形成を促進することができます。顔認識の問題を緊急に規制する必要がある現在の状況に直面して、「規制」を適時に公布することで、顔情報などの個人情報の権利と利益の保護を運用レベルで実施し、個人情報処理活動を法的レベルで規制し、デジタル経済の健全な発展を促進する次のステップに優れた司法実務サンプルを提供します。」と洪延青氏は述べた。