employee-biometric-data

従業員の生体データ

概要

生体データは、自然人を一意に識別する目的で処理される場合、GDPR 第 9 条第 1 項に基づき、特別な種類の個人データに分類されます。従業員の勤怠管理やアクセス制御を目的とした生体データの処理は、欧州の監督当局が最も頻繁に精査する活動の一つです。第 9 条第 1 項に基づく特別な種類のデータの処理に対する一般的な禁止規定により、雇用主は第 9 条第 2 項に規定された特定の例外を特定し、比例性の要件を満たし、より侵襲性の低い代替手段が存在しないことを示し、強固な保護措置を実施する必要があります。各国の DPA は、これらの要件を満たさない生体データの処理に対して多額の制裁金を科しており、画期的な Clearview AI に対する執行措置や、職場の指紋認証システムに関する業界固有の決定が含まれます。

法的枠組み

第 4 条第 14 項 — 生体データの定義

「生体データとは、自然人の身体的、生理的、または行動上の特性に関連する特定の技術的処理から生じ、顔画像や指紋データなど、その自然人を一意に識別する、またはその識別を確認することを可能にする個人データを意味します。」

第 9 条第 1 項 — 一般的な禁止規定

「自然人を一意に識別する目的で行う……生体データの処理は禁止されます。」

重要な区別：一意の識別以外の目的で処理される生体データは、第 9 条第 1 項に基づく特別な種類のデータに分類されない場合があります。ただし、雇用の場面では、勤怠管理やアクセス制御を目的とした生体データの処理は、ほぼ常に識別を目的としています。

第 9 条第 2 項 — 雇用に適用される例外

例外	条項	雇用における生体データへの適用可能性
明示的な同意	第 9 条第 2 項 (a)	雇用関係における力関係の不均衡により、ほとんどの場合有効ではありません（employment-consent-limits スキルを参照）
雇用法上の義務	第 9 条第 2 項 (b)	国内法が雇用目的での生体データ処理を具体的に義務付ける、または許可している場合に有効です
重要な公共の利益	第 9 条第 2 項 (g)	国内法が重要インフラに対する生体認証によるアクセス制御要件を定めている場合に有効です
適用不可	第 9 条第 2 項 (e)	データが「明白に公開されている」場合 — 従業員が自身の生体データを明白に公開することはありません

主要な国内特例

フランス — 労働法典 L.1121-1 条＋CNIL の枠組み：

• CNIL は専用のガイダンス「Règlement type biométrie」（決定第 2019-001 号、2019 年 1 月 10 日）を公表しました
• 状況に照らして正当化できる場合、施設、デバイス、アプリケーションへのアクセスに生体認証によるアクセス制御を利用できます
• 保存方法の優先順位：（1）従業員が所持する個人用デバイス（バッジ）、（2）従業員が管理できる集中データベース、（3）従業員が管理できない集中データベース（最も強い正当化が必要）
• 従業員に通知し、生体認証を使わない代替のアクセス方法を提供する必要があります

ドイツ — BDSG 第 26 条第 3 項：

• 生体認証を含む特別カテゴリーのデータは、労働法、社会保障法、または社会保護法に基づく権利や義務を行使するために必要な場合、雇用目的で処理することが認められています
• BetrVG 第 87 条第 1 項第 6 号に基づく事業所委員会の共同決定権が適用されます

オランダ — UAVG 第 29 条：

• 必要な場合、生体認証データの処理は認証またはセキュリティ目的で認められています
• オランダの DPA（Autoriteit Persoonsgegevens）は、生体認証データの処理を高度なセキュリティが求められる状況に限定する具体的なガイダンスを発行しています

イタリア — 労働者憲章第 4 条＋Garante のガイダンス：

• 生体認証によるアクセス制御には、労働組合との合意、または労働監督官庁の許可が必要です
• Garante は、生体認証による勤怠管理を特定の業種に限定する複数の決定を発行しています

スウェーデン — Datainspektionen の決定：

• スウェーデンの DPA は、出席状況の監視に顔認識を使用した学校に 200,000 SEK の罰金を科しました（DI-2019-2221）。これにより、より簡単な代替手段が存在する場合、出席状況の生体認証による監視は過剰であるという強い先例が確立されました

雇用における生体認証技術

指紋認識

ユースケース：勤怠管理（出退勤の打刻）、物理的なアクセス制御、デバイス認証。

技術的な処理：指紋スキャナーで隆線の画像を取得 → 画像を処理して細部点を抽出 → 細部点のテンプレートを保存済みのテンプレートと照合 → 一致／不一致の結果を出力。

プライバシーに関する考慮事項：

• テンプレートの保存：集中データベース（より侵襲的）ではなく、従業員が所持する個人用スマートカードにテンプレートを保存してください（侵襲性が低い）。
• 変更可能性：パスワードと異なり、指紋が漏えいした場合、変更できません
• 誤受入率（FAR）と誤拒否率（FRR）を記録する必要があります
• 皮膚疾患、けが、または障害により指紋に影響がある従業員には、代替のアクセス方法を用意する必要があります

Atlas Manufacturing Group の事例：Atlas は、独自の配合を開発する研究開発ラボへのアクセス用に指紋スキャナーを設置しました。DPO は、研究開発ラボのみに限定することを条件として、Art. 9(2)(b)（ドイツ BDSG 第 26 条第 3 項）に基づき導入を承認しました。条件は以下のとおりです：（1）指紋テンプレートを集中データベースではなく従業員 ID バッジに保存する、（2）異議を申し立てる従業員や健康上の理由がある従業員向けに、代替の PIN アクセスを用意する、（3）導入前に DPIA を完了する、（4）事業所委員会と協議し、合意を得る。

顔認識

ユースケース：非接触型アクセス制御、勤怠管理、セキュリティゾーン。

技術的な処理：カメラが顔画像を撮影 → 顔の形状（目の間隔、鼻の形、顎の輪郭）を測定 → 形状データを数学的なテンプレートに変換 → 登録済みの画像とテンプレートを照合します。

プライバシーに関する考慮事項：

• 顔認識は、従業員の積極的な協力や認識がなくても動作するため、指紋スキャンよりも大幅に侵襲性が高くなります（受動的な生体認証と能動的な生体認証の違い）。
• 職場で継続的に顔認識を行うと、体系的な監視に該当し、DPIA に関する追加要件が発生する可能性があります。
• 目的の拡大のリスクがあります。アクセス制御のために導入された顔認識が、感情の検出、注意力の監視、行動分析にまで拡張される可能性があります。
• バイアスと精度：顔認識システムでは、特定の人口統計グループに対してエラー率が高くなることが文書化されており、差別のリスクが生じます。

監督機関の見解：多くの欧州の DPA は、バッジ、PIN、指紋など、より簡易な代替手段が利用できる場合、一般的な勤怠管理に顔認識を用いることは過度であるという立場を取っています。顔認識が正当化されるのは、非接触での確認が必要な高セキュリティのアクセス制御（クリーンルーム環境、原子力施設など）に限られる場合があります。

虹彩スキャン

ユースケース：高セキュリティのアクセス制御、手を使った生体認証が実用的でない環境（手袋の着用が必要なクリーン環境など）での認証。

プライバシーに関する考慮事項：

• 生体認証方式の中でも特に精度が高いものの一つです（FAR は 0.0001% 未満）。
• 指紋よりも環境要因の影響を受けにくい方式です。
• 通常は、侵襲性の高さが正当化される高セキュリティの状況に限って利用されます。

音声認識

ユースケース：電話による認証、コールセンター担当者の確認、音声起動システム。

プライバシーに関する考慮事項：

• 音声データから健康情報（疲労、酩酊、感情状態）が明らかになる可能性があり、第 9 条に関する追加の問題が生じるおそれがあります。
• 音声テンプレートは、他の生体認証方式よりもなりすましの影響を受けやすくなります。
• 周囲の騒音や声の変化（病気、加齢）が精度に影響します。

行動生体認証

ユースケース：キーストロークの動態、歩行分析、マウスの動きのパターン。

プライバシーに関する考慮事項：

• 従業員が明示的な操作をしないまま、受動的に収集されることがよくあります。
• 健康状態（震え、認知機能障害）が明らかになる可能性があります。
• EDPB は、雇用における行動生体認証に関する具体的なガイダンスをまだ公表していませんが、比例性と透明性に関する既存の原則が適用されます。

必要性の評価フレームワーク

生体認証システムを導入する前に、雇用主は、生体情報の処理が真に必要であり、同じ目的を達成できる侵襲性のより低い代替手段がないことを証明しなければなりません。

ステップ 1：具体的な目的を定義する

目的は具体的で、文書化され、限定されていなければなりません。

• 「独自の配合を含む研究開発研究所へのアクセスを管理する」—許容可能
• 「従業員管理を改善する」—曖昧すぎます
• 「正確な勤怠記録を確保する」—この目的に生体情報の処理が必要となる可能性は低いです

ステップ 2：より侵襲性の低い代替手段を評価する

目的	生体認証ソリューション	より侵襲性の低い代替手段	生体認証の必要性
高セキュリティ区域への物理的なアクセス	指紋スキャナー	スマートカード＋PIN	便乗侵入やカードの共有が、文書化されたセキュリティ上の懸念事項である場合、生体認証が正当化されることがあります
一般的な建物へのアクセス	顔認証	バッジ／近接カード	生体認証は不釣り合いです。バッジで同等のセキュリティを確保できます
勤怠管理	指紋認証式タイムレコーダー	バッジ、PIN コード、上司の承認	生体認証は不釣り合いです。監督によって代理打刻に対処できます
デバイス認証	指紋／顔認証によるロック解除	パスワード、スマートカード	パスワードのリスクが文書化されている、高い機密性を持つデバイスでは、生体認証が正当化されることがあります
クリーンルームへのアクセス	虹彩スキャン	バッジ＋エアロック	非接触での識別が運用上必要な場合、生体認証が正当化されることがあります

ステップ 3：比例性の評価

生体情報の処理が必要性のテストを通過した場合でも、比例性も満たす必要があります。

• 特別カテゴリーのデータ処理を正当化できるほど、セキュリティリスクは重大ですか？
• 生体認証システムは対象が限定されていますか（特定の区域／役割のみ）、それとも一律に適用されますか（全従業員）？
• 適切な保護措置（テンプレートの保存、保持期間、アクセス制御）が講じられていますか？
• 異議を唱える従業員が利用できる、生体認証を使わない代替手段はありますか？

従業員の異議申し立て手続き

適法な根拠にかかわらず、雇用主は実効性のある異議申し立ての仕組みを設ける必要があります。

異議申し立ての手順

1. 登録時の情報提供：従業員に生体情報の登録を求める際は、以下を知らせる必要があります。

   • 生体情報を処理する具体的な目的
   • 適法な根拠（第 9 条第 2 項の条件および第 6 条第 1 項の根拠）
   • 生体認証を使わない代替手段が利用できること
   • 異議申し立てまたは同意の撤回を行う権利（同意が根拠である場合）
   • データの保持期間と削除手続き

2. 代替アクセス方法：生体認証を使わない代替手段を常時利用できるようにする必要があります。

   • アクセス制御には、PIN コード＋近接バッジ
   • 勤怠管理には、手書きの出勤簿または上司の確認
   • デバイス認証には、パスワードまたはスマートカード

3. 不利益な取り扱いの禁止：代替手段を利用する従業員が不利益を被ってはなりません。

   • 代替手段の利用に余分な時間がかからない
   • 勤怠管理システムで特別なフラグが付けられない
   • 人事記録に否定的な注記が記載されない

4. 正式な異議申し立てへの対応：異議申し立ては、以下のとおり取り扱う必要があります。

   • プライバシー管理システムに記録する
   • 5 営業日以内に受領を確認する
   • 直ちに対応する（代替手段に切り替える）
   • DPO が審査する

特別な状況

• 障害：生体的特徴に影響する状態（皮膚疾患、義肢、顔の特徴の違い）がある従業員には、その状態を開示するよう求めることなく、利用しやすい代替手段を提供する必要があります
• 宗教上の異議：生体情報の収集に宗教上の理由で異議を唱える従業員もいます。代替手段はその異議に対応できるものでなければなりません
• 労働組合の代表者：従業員代表機関の構成員は、国内の共同決定権に基づき、代表する従業員に代わって異議を申し立てることがあります

データ保護の安全措置

テンプレートの保存階層（CNIL Règlement Type Biométrie に準拠）

保存方法	リスクレベル	適切な場合
従業員が保有する個人用デバイス（バッジ、トークン）	最低	すべての生体認証導入における、標準として推奨される方法
従業員が管理するアクセスキーを用いた集中型データベース	中程度	個人用デバイスへの保存が技術的に実現不可能な場合
従業員の管理下にない集中型データベース	最高	最も強い正当化根拠を伴う、具体的かつ文書化されたセキュリティ要件がある場合に限る

技術的な保護措置

• 生体認証テンプレートは、保存時には最低 AES-256、転送時には TLS 1.3 で暗号化する必要があります
• 生の生体データ（指紋画像、顔写真）を保存してはならず、派生テンプレートのみを保持する必要があります
• システム間で照合されるのを防ぐため、テンプレート形式はシステム固有のものにする必要があります
• なりすまし対策（生体検知）を実装する必要があります
• 生体認証システムは、一般の IT ネットワークから分離する必要があります
• 生体認証データベースへのアクセスは、多要素認証を使用する許可されたセキュリティ担当者に制限する必要があります
• 生体認証システムへのすべてのアクセスについて、監査ログを維持する必要があります

保持と削除

• 雇用終了時には、生体認証テンプレートを直ちに削除する必要があります
• 従業員が異議を申し立てた場合、または同意を撤回した場合は、生体認証テンプレートを直ちに削除する必要があります
• 処理目的がなくなった時点で、生体認証テンプレートを削除する必要があります（例：従業員が、保護区域へのアクセスを必要としない役職に異動した場合）
• 削除を検証し、廃棄証明書とともに記録する必要があります

執行事例

当局	事例	罰金／結果	主な問題
Datainspektionen（スウェーデン）	DI-2019-2221	SEK 200,000	学校が生徒の出欠確認に顔認識を使用。相応性を欠き、より簡便な代替手段が利用可能だった
CNIL（フランス）	Clearview AI, 2022	EUR 20,000,000	法的根拠または DPIA を欠いた生体認証処理（顔認識）
AEPD（スペイン）	PS/00218/2021	EUR 20,000	雇用主が、必要性の評価も代替手段もないまま、勤怠管理に指紋認証を義務付けた
Garante（イタリア）	Provvedimento 9832838, 2021	処理禁止	雇用主が、必要性の分析または第 9 条第 2 項の条件を満たさずに、アクセス管理に顔認識を導入した
Autoriteit Persoonsgegevens（NL）	2020 Investigation	警告＋停止命令	雇用主が勤怠管理に指紋認証を使用。AP は、出欠確認の目的には相応性を欠くと判断した
ICO（UK）	Enforcement notice, 2022	処理停止命令	雇用主が、DPIA を実施せずに一般的なアクセス管理に手のひら静脈スキャンを導入した

統合ポイント

• 従業員モニタリング DPIA：生体認証システムには DPIA を実施する必要があります（employee-monitoring-dpia スキルを参照）。
• 雇用における同意の制限：生体認証処理への同意は、雇用関係における力の不均衡によって制約されます（employment-consent-limits スキルを参照）。
• HR システムのプライバシー設定：生体認証を HR／勤怠管理システムと統合するには、プライバシー設定が必要です（hr-system-privacy-config スキルを参照）。
• バックグラウンドチェックのプライバシー：アクセス管理のために収集した生体データは、バックグラウンドチェックデータから分離する必要があります（background-check-privacy スキルを参照）。