biometric-dpia

生体認証処理のプライバシー評価

概要

自然人を一意に識別する目的で処理される場合、生体データは GDPR 第9条第1項に基づく特別カテゴリーの個人データに分類されます。大規模な生体データの処理には、第35条第3項(b)に基づき DPIA の実施が義務付けられています。このスキルでは、顔認証、指紋識別、音声認識、虹彩スキャン、静脈パターン分析、行動生体認証（歩行、タイピングパターン、署名の動態）など、生体認証システムを対象とする包括的な DPIA の方法論を提供します。

生体データに関する法的枠組み

GDPR の定義 — 第4条第14項

「『生体データ』とは、自然人の身体的、生理的または行動上の特性に関する特定の技術的処理によって得られる個人データであり、顔画像や指紋データなど、その自然人を一意に識別する、またはその識別を確認することを可能にするものをいいます。」

第9条第1項 — 特別カテゴリーのデータ処理の禁止

自然人を一意に識別する目的での生体データの処理は、第9条第2項の例外のいずれかが適用されない限り禁止されています。

重要な区別：第9条が適用されるのは、生体データが人物を「一意に識別する目的で」処理される場合に限られます。説明用に使用される写真は第9条の対象データではありませんが、同じ写真を顔認証ソフトウェアで処理して人物を識別する場合は、第9条の対象データとなります。

生体データ処理に適用される第9条第2項の例外

例外	参照条項	生体データへの適用
明示的な同意	第9条第2項(a)	力関係の不均衡により、従業員の同意は自由意思によるものと認められないことがよくあります（WP29 意見書2/2017）。消費者の生体データ処理への同意は、第7条の基準を満たす必要があります。
雇用、社会保障、社会保護法	第9条第2項(b)	加盟国の法律により、雇用の場面での生体データ処理が認められる場合があります（例：高度なセキュリティが必要な区域への生体認証によるアクセス制御）。
生命に関わる利益	第9条第2項(c)	生体認証による識別が人命保護に必要となる緊急事態に限定されます。
重要な公共の利益	第9条第2項(g)	加盟国の法律上の根拠が必要です。特定の法律で認められている法執行機関による生体認証に適用される場合があります。
医療または社会福祉	第9条第2項(h)	医療現場における患者の生体認証による識別。
公衆衛生	第9条第2項(i)	保健上の緊急事態における生体認証による接触者追跡（比例性の原則に従うこと）。
アーカイブ、科学研究、統計	第9条第2項(j)	第89条第1項の保護措置を講じた生体データ研究（例：医用画像分析）。

第35条第3項(b) — DPIA の実施が義務付けられる条件

生体データを含む、第9条第1項に定める特別カテゴリーのデータを大規模に処理する場合、DPIA の実施が必要です。WP248rev.01 に基づく「大規模」の判断要素：

• データ主体の数（絶対数または関連する人口に占める割合）
• データの量および／またはデータ項目の範囲
• 処理の期間または永続性
• 地理的な範囲

映像監視に関する EDPB ガイドライン3/2019

顔認証 CCTV に関する主な規定：

• 公共空間での顔認証は通常、大規模な生体データ処理（第35条第3項(b)）に加え、一般に公開されている区域の体系的な監視（第35条第3項(c)）に該当します。
• アクセス制御のための顔認証は、公共空間での識別より侵襲性が低いものの、DPIA が必要です。
• 目的の限定：アクセス制御のために作成された生体テンプレートを、勤怠管理や業績管理に転用してはなりません。
• 保存期間の制限：可能な場合、生体テンプレートは中央データベースではなく、データ主体が管理するデバイス（例：アクセスカード）に保存する必要があります。

生体認証システムの種類とリスク評価

照合（1:1 マッチング）

本人確認を主張する人物について、取得した生体サンプルと保存済みテンプレートを1対1で照合します。アクセス制御、デバイスのロック解除、決済認証に使用されます。

リスク要因	評価
データ主体	定義済みで、登録された個人
データ量	登録対象者に限定
比例性	一般に、識別よりも比例性が高い
保存に関する推奨事項	ユーザーのデバイスまたはカードにテンプレートを保存（分散型）
Art. 35(3)(b) の適用条件	登録対象者の規模によります

識別（1:N マッチング）

取得した生体サンプルをテンプレートのデータベースと1対多で照合し、本人を特定します。法執行、国境管理、監視に使用されます。

リスク要因	評価
データ主体	潜在的に無制限（撮影範囲内のすべての人物）
データ量	非常に大きくなる可能性があります（全人口のデータベースなど）
比例性	侵襲性が非常に高く、強い正当化が必要です
保存に関する推奨事項	1:N マッチングには通常、集中型データベースが必要です
Art. 35(3)(b) の適用条件	ほぼ常に該当します

分類

個人を一意に識別することなく、生体的特徴（年齢、性別、民族、感情）に基づいてグループに分類します。分析、ターゲティング広告、視聴者測定に使用されます。

リスク要因	評価
Art. 9 の適用可能性	一意の識別に使用されない場合、Art. 9 の対象外となる可能性がありますが、それでもリスクは高いです
AI Act による分類	職場や教育機関での感情認識は禁止されています（Art. 5(1)(f)）
差別のリスク	人種、民族、感情による分類は、平等に関する法令上の懸念を引き起こします

生体認証システムの DPIA の内容

体系的な説明

生体認証システムでは、Art. 35(7)(a) に基づく体系的な説明に、以下を含める必要があります。

項目	必要な詳細
生体認証モダリティ	顔、指紋、虹彩、音声、静脈、歩容、またはマルチモーダル
処理モード	照合（1:1）、識別（1:N）、または分類
取得環境	管理環境（センサー／スキャナー）または非管理環境（CCTV、周囲カメラ）
テンプレートの保存	集中型データベース、分散型（ユーザーデバイス／カード）、または暗号化エンクレーブ
テンプレート形式	独自テンプレート、ISO 19794 標準、または生の生体データ
照合アルゴリズム	ベンダーのアルゴリズム（具体的に明記）、オープンソースのアルゴリズム、または独自開発
精度指標	誤受入率（FAR）、誤拒否率（FRR）、等誤り率（EER）
生体検知	なりすまし対策（提示攻撃検知）
フォールバックの仕組み	生体認証に失敗した場合の代替識別方法
保持期間	テンプレートの保持期間、生の生体データの保持期間、監査ログの保持期間

生体データ処理の必要性と比例性

生体認証システムの比例性評価は厳格に行う必要があります。生体データには次の特性があるためです。

• 永続性がある（パスワードとは異なり、生体情報が漏えいしても変更できません）
• 個人を一意に特定できる（生体データは本質的に個人と結び付いています）
• 目的外利用のリスクが高まる（生体テンプレートは別の目的に転用されるおそれがあります）
• 漏えいした場合の影響が甚大である（生体データは再発行できません）

比例性に関する質問	評価基準
生体データ処理は必要ですか。それとも、生体認証を使わない代替手段で同じ目的を達成できますか。	バッジ／カードによるアクセス、PIN、パスワード、または生体認証を使わない多要素認証
生体認証方式は、最も侵襲性の低い選択肢ですか。	一般に、指紋認証は顔認証より侵襲性が低く、デバイス上での照合は中央集約型の識別より侵襲性が低いです
生体データ処理の規模は比例性を満たしていますか。	エリア内の全員を処理する（識別）より、登録に同意したボランティアを処理する（照合）ほうが比例性を満たします
生体データの保持は最小限に抑えられていますか。	中央集約型データベースよりカード上のテンプレート保存を推奨します。テンプレート抽出後は、生の生体画像を保持すべきではありません

生体データ処理に関するDPIAのリスク登録簿

生体データ処理に共通するリスク

リスクID	リスク	発生可能性	重大度	典型的なレベル
BIO-R1	生体データの漏えい — テンプレートまたは生データが権限のない第三者に流出する	可能性あり	最大	非常に高い
BIO-R2	目的外利用 — アクセス管理のために収集した生体データが、監視や出勤状況の確認に転用される	起こりやすい	重大	高い
BIO-R3	精度の差による差別 — 顔認証の性能が特定の人口統計グループ（肌の色、年齢、性別）で低下する	起こりやすい	重大	高い
BIO-R4	誤拒否による正当なアクセスの拒否 — 障害のある人、高齢者、または皮膚疾患のある人の拒否率が高くなる	可能性あり	重大	高い
BIO-R5	なりすましまたは提示型攻撃 — 不正な生体サンプル（写真、マスク、人工指紋）によってセキュリティが回避される	可能性あり	重大	高い
BIO-R6	萎縮効果 — 生体監視を認識することで、公共空間や職場での行動が変化する	起こりやすい	限定的	高い
BIO-R7	不可逆性 — パスワードとは異なり、漏えいした生体データは変更も再発行もできない	ほぼ確実	最大	非常に高い
BIO-R8	第三者の偶発的な撮影 — システムによって未登録者の生体データが偶発的に取得される	起こりやすい	限定的	高い

生体データ処理の緩和策

対策	種類	対応するリスク
デバイス上またはカード上でのテンプレート保存（中央集約型データベースを使用しない）	技術的（DPbD）	BIO-R1、BIO-R7
テンプレート保護：取消可能な生体認証、または生体認証の暗号化（BioHashing、fuzzy vault）	技術的	BIO-R1、BIO-R7
生体検知／提示型攻撃検知（ISO 30107への準拠）	技術的	BIO-R5
技術的なアクセス制御による目的制限の徹底	技術的＋組織的	BIO-R2
肌の色、年齢、性別の各グループを対象とした人口統計別の精度テスト（NIST FRVTベンチマーク）	技術的	BIO-R3
生体認証を使わない代替手段（PIN、カード、ヘルプデスクによる上書き）	組織的	BIO-R4
撮影エリアでの標識および透明性に関する通知	組織的（透明性）	BIO-R6、BIO-R8
テンプレート抽出後の生の生体画像の自動削除	技術的（データ最小化）	BIO-R1
生体認証システムの定期的な侵入テスト	技術的（セキュリティ）	BIO-R5

執行措置の先例

• CNIL vs Clearview AI（2022）：同意、透明性、DPIAを欠いたまま、インターネット上の顔画像を大量に収集して生体認証識別データベースを作成したことに対し、2,000万ユーロの罰金。
• ICO vs Clearview AI（2022）：同じ生体認証処理に対し、750万ポンドの罰金。英国居住者の生体データを削除するよう命じる執行通知も発出。
• Swedish DPA vs Skelleftea Municipality（2019）：学校が生徒の出席状況を追跡するために顔認識を使用したことに対し、20万スウェーデンクローナの罰金。権力の不均衡があったため、依拠した同意は自由意思によるものではありませんでした。より侵襲性の低い代替手段も利用可能でした。
• ICO vs Serco Leisure（2022）：レジャー施設での勤怠管理のために従業員に顔認識の使用を義務付けたことに対する執行通知。DPIAは実施されておらず、より侵襲性の低い代替手段も提供されていませんでした。
• CNIL vs Clearview AI（2023）：2022年の命令に従わなかったことに対する520万ユーロの追加制裁。執行措置に違反して生体認証処理を継続した場合の結果を示しています。
• French Conseil d'Etat vs Presto（2020）：従業員向けの生体認証による勤怠管理システムに対するCNILの執行措置を支持。バッジシステムが利用可能である以上、勤怠管理のための指紋スキャンは不釣り合いであると判断しました。
• Italian Garante vs P&G (Gillette)（2022）：DPIAも有効な同意もないまま、小売店で顔分析を用いた自動年齢推定システムを使用したことに対する執行措置。