dpia-biometric-systems

生体認証システムのDPIA

概要

自然人を一意に識別するための生体データ処理は、GDPR第9条第1項の特別カテゴリーのデータに該当し、第35条第3項(b)の「特別カテゴリーのデータの大規模な処理」に基づくDPIAの実施が必須となります。欧州データ保護会議（EDPB）のDPIAに関するガイドラインでは、生体データ処理は本質的に高リスクな活動として挙げられており、規模にかかわらず評価が必要です。このスキルでは、生体識別・認証システムに特化した、体系的なDPIAの方法論を提供します。

生体認証システムでDPIAが必須となる場合

EDPB WP248rev.01に基づき、9つの基準のうち2つ以上に該当する処理では、DPIAが必要です。生体認証システムでは、一般的に次の基準に該当します。

EDPBの基準	生体認証との関連性
特別カテゴリーのデータ（基準4）	一意の識別に使用する場合の第9条第1項に基づく生体データ
体系的な監視（基準3）	顔認識CCTV、継続的な歩行分析
大規模な処理（基準5）	組織全体への指紋スキャナーの導入
革新的な技術（基準8）	行動的生体認証、感情検出、マルチモーダル生体認証
脆弱なデータ主体（基準7）	従業員（力関係の不均衡）、子ども、患者
自動化された意思決定（基準2）	人による確認を伴わない、生体認証に基づくアクセス判断

各国のDPAが定めるブラックリストには、例外なく生体データ処理が含まれています。

• CNIL（フランス）：Deliberation 2018-327、List 11 — 識別を目的とする生体データ処理
• ICO（英国）：規模を問わず、生体データ処理にはDPIAが必要
• AEPD（スペイン）：アクセス管理を目的とする生体データ処理をリストに掲載
• BfDI（ドイツ）：従業員の生体データ処理にはすべてDPIAが必要

DPIAの評価構成

セクション1：処理の説明（第35条第7項(a)）

生体認証システムについて、詳細に記録します。

システムアーキテクチャ：

• 生体認証の種類：指紋、顔認識、虹彩、音声、行動、またはマルチモーダル
• 読み取りデバイスの仕様：センサーの種類、解像度、生体検知機能
• テンプレート抽出アルゴリズム：ベンダー、バージョン、ISO/IEC 19795への準拠
• テンプレートの保存先：デバイス上（トークン／バッジ）、ローカルサーバー、集中管理型データベース、クラウド
• 照合アーキテクチャ：1:1の検証、または1:Nの識別
• 統合先：アクセス管理、勤怠管理、人事システム、CCTV

データフロー：

• 生の生体データの取得（画像、音声、行動信号）
• 特徴抽出とテンプレートの作成
• テンプレートの保存場所と暗号化
• 照合と判断のプロセス
• 監査ログの記録
• テンプレートの削除とライフサイクル

データ主体と規模：

• 登録済み個人の数
• 1日あたりの生体認証取引数
• データ主体のカテゴリー（従業員、訪問者、請負業者、顧客）
• 影響を受ける脆弱なグループ（力関係の不均衡がある従業員、子ども）

セクション 2：必要性と比例性（Art. 35(7)(b)）

適法な根拠の評価：

根拠	Art. 6(1)	Art. 9(2)	評価
同意	Art. 6(1)(a)	Art. 9(2)(a)	従業員の場合は問題があります（力関係の不均衡があるため）。顧客が任意にオプトインする場合は有効となる可能性があります
法的義務	Art. 6(1)(c)	Art. 9(2)(b)	国内法で生体認証による本人確認が義務付けられている場合（原子力施設、医薬品製造）に有効です
正当な利益	Art. 6(1)(f)	利用できません	Art. 9(2)には正当な利益が含まれていないため、別の Art. 9(2) の条件と組み合わせる必要があります
公共の利益	Art. 6(1)(e)	Art. 9(2)(g)	加盟国の法律上の根拠がある場合、国境管理や法執行に有効です
雇用法	Art. 6(1)(b)	Art. 9(2)(b)	国内雇用法が適切な保護措置とともに生体認証データの処理を許可している場合に有効です

必要性のテスト：

1. 具体的かつ明確な目的を定義します（「セキュリティ」ではなく、「医薬品のクリーンルームへのアクセスを管理する」）
2. 生体認証データの処理が代替手段よりも効果的に目的を達成できることを示します
3. より侵襲性の低い代替手段では不十分である理由を記録します（バッジの貸し借りが発生した事例、PIN のセキュリティ侵害）
4. 処理が必要な範囲に限定されていることを確認します（目的の拡大や二次利用がないこと）

比例性の評価：

• セキュリティリスクの深刻度と、生体認証データ処理の侵襲性との比較
• 適用範囲：対象を絞った導入（特定の区域／職務）と一律の導入との比較
• 異議を唱える人が利用できる非生体認証方式の有無
• 特別カテゴリーのデータに伴う高いリスクに見合った保護措置

セクション 3：リスクの特定と評価（Art. 35(7)(c)）

生体認証固有のリスクカテゴリー：

リスク ID	リスクカテゴリー	説明	典型的な深刻度
BIO-R1	テンプレートの侵害	生体認証テンプレートデータベースへの不正アクセス。パスワードとは異なり、生体的特徴は変更できません	非常に高い
BIO-R2	目的の拡大	アクセス管理用に収集した生体認証データが、監視、感情検知、業績追跡に転用されます	高い
BIO-R3	差別	生体認証システムの精度が人口統計上のグループ（肌の色、年齢、障害）によって異なり、特定のグループで誤拒否が不均衡に発生します	高い
BIO-R4	秘密裏の収集	データ主体が積極的に関与せず、認識もしていない状態で、顔認識や行動生体認証データが収集されます	高い
BIO-R5	システム間の照合	生体認証テンプレートが無関係なシステム間で照合され、当初の目的を超えた追跡が可能になります	非常に高い
BIO-R6	なりすましと詐欺	生体認証データを使用して合成表現（ディープフェイク、人工指紋）が作成されます	高い
BIO-R7	萎縮効果	生体認証による監視を認識した従業員が行動を変え、表現の自由や結社の自由に影響します	中程度
BIO-R8	変更不可能性	侵害された生体認証データはパスワードのようにリセットできず、データ主体に生涯にわたる影響を及ぼします	非常に高い

セクション 4：軽減措置（Art. 35(7)(d)）

技術的な保護措置：

措置	標準の参照先	実施内容
生体情報テンプレートの保護	ISO/IEC 24745:2022	テンプレートから元データをリバースエンジニアリングできないよう、キャンセラブル生体認証または生体情報の暗号化を実施
デバイス上でのテンプレート保存	CNIL Reglement Type Biometrie	テンプレートは従業員が所持するバッジ／トークンに保存し、中央データベースは使用しません
ライブネス検知	ISO/IEC 30107	3D深度センシング、脈拍検知、チャレンジレスポンスなどのなりすまし対策
保存データの暗号化	AES-256以上	すべての生体情報テンプレートと監査ログを暗号化します
転送中データの暗号化	TLS 1.3	キャプチャデバイスと照合エンジン間で転送されるすべての生体情報を暗号化します
テンプレートの不可逆性	ISO/IEC 24745 Section 6	元の生体情報を復元できない一方向変換を実施します
システムの分離	ネットワークセグメンテーション	生体認証システムを専用 VLAN に配置し、インターネット接続を遮断します
監査ログの記録	改ざん不可能なログ	登録、照合、管理者アクセスに関するすべてのイベントを記録します

組織的な保護措置：

措置	実施内容
DPIA のレビュー周期	年次で再評価するか、システム変更時に再評価します
代替アクセス方法	すべてのデータ主体が生体認証を使わない代替手段（PIN＋バッジ）を利用できます
従業員の異議申立て手続き	不利益を受けることなく異議を申し立てられる正式な仕組みを設けます
雇用終了時の削除	雇用終了から24時間以内に生体情報テンプレートを削除します
アクセス制限	生体情報データベースへのアクセスを、MFA を使用する指名済みのセキュリティ管理者に限定します
ベンダーデューデリジェンス	生体認証ベンダーについて、Art. 28 の遵守状況、サブプロセッサーの構成、国際移転を評価します
トレーニング	すべての運用担当者に、生体認証システムの運用とデータ保護義務に関するトレーニングを実施します
インシデント対応	復元不能性のリスクに関する通知を含む、生体情報の侵害に特化した手順を定めます

DPO への相談要件

Art. 35(2) に基づき、管理者は DPIA の実施にあたり DPO の助言を求める必要があります。生体認証システムについて、DPO は特に以下を評価します。

1. Art. 9(2) の例外が確実に適用されることを立証できているか
2. 必要性のテストが厳格に適用されているか
3. より侵襲性の低い代替手段が実際に評価されているか（形式的な理由で退けられていないか）
4. 提案された保護措置が、高まったリスクに対して十分か
5. 監督機関への Art. 36 に基づく事前相談が必要か

Art. 36 に基づく事前相談の要件

すべての軽減措置を講じた後も残存リスクが高いと DPIA が結論づけた場合、管理者は処理を開始する前に Art. 36(1) に基づいて監督機関に相談する必要があります。生体認証システムでは、通常、以下の場合に事前相談が必要です。

• 公共または半公共の空間で大規模な顔認識を導入する場合
• 明示的な法的根拠がないまま、脆弱な集団（子ども、患者）の生体情報を処理する場合
• 10,000人を超える個人のテンプレートを中央生体情報データベースに保存する場合
• 複数の拠点にまたがり、生体認証システムを1:N識別モードで運用する場合
• 異議を申し立てる個人に対して、生体情報処理に代わる適切な手段を提供できない場合

連携ポイント

• 従業員の生体情報：雇用における生体情報処理の詳細なガイダンス（employee-biometric-data スキルを参照）
• DPIA リスクスコアリング：DPIA の所見に対するリスクスコアリングの方法（dpia-risk-scoring スキルを参照）
• DPIA 軽減計画：体系的な軽減計画の策定（dpia-mitigation-plan スキルを参照）
• DPIA ステークホルダー協議：データ主体への相談要件（dpia-stakeholder-consult スキルを参照）
• 従業員モニタリング DPIA：従業員モニタリングに関するより広範な評価（employee-monitoring-dpia スキルを参照）