英国情報コミッショナー事務局（ICO）は、顔認識技術を使用する警察に対し、データ保護に関する勧告をより厳格に遵守するよう求めた。この技術が全国の警察活動の日常的な一部となる中での動きである。規制当局の介入は、顔認識の展開ペースが、収集される個人データを保護するための安全策を上回っているという懸念の高まりを示している。

顔認識技術は、公共イベントや市中心部でのライブ顔認識（LFR）として、または保管画像に対する遡及的な検索として展開されることが多く、実時間または映像から顔をスキャンし、警察の監視リストと照合する仕組みである。英国のデータ保護法で最も機微なカテゴリーの一つである生体データを処理するため、そのデータの収集、保存、共有におけるいかなる過失も、過大なプライバシーリスクを伴う。ICOがより強力なガバナンスを求める背景には、強力な監視ツールにはそれに見合う強力な説明責任の仕組みが必要であるという単純な現実がある。

ICOが警察に求めていること

英国の独立したデータ保護規制当局として、ICOは英国GDPRおよびデータ保護法に基づき、警察を含む公的機関が個人情報をどのように取り扱うかを監査する権限を持つ。警察への最新のガイダンスはデータガバナンスに焦点を当てている。すなわち、顔認識を使用する理由、生体データの保持期間、監視リストへのアクセス権限、そしてこの技術を用いて行われた決定をどのように見直し、異議を申し立てることができるかについての明確な文書化である。

これは顔認識を完全に放棄せよという要求ではない。むしろICOは、警察に対し、その技術の使用を一般市民と規制当局の双方に対して透明かつ防御可能なものにする内部統制を構築するよう求めている。強力なガバナンスは、データが不適切に取り扱われたり、必要以上に長く保持されたり、元の目的を超えて使用されたりする機会を減らす。

なぜデータガバナンスが技術自体よりも重要なのか

顔認識アルゴリズムの精度や公平性に注目しがちだが、ICOがガバナンスを強調するのは別の脆弱性、すなわちデータが収集された後に何が起こるかを指摘している。生体識別子はパスワードのように変更することはできない。顔認識データが安全でない方法で保存されたり、適切な承認なしに共有されたり、無期限に保持されたりした場合、漏洩や悪用の結果は、漏洩したメールアドレスよりもはるかに深刻である。

この懸念は英国の警察活動にとって仮定の話ではない。機微な法執行データが攻撃者にとって魅力的な標的であることはすでに証明されている。ExfilSquadによる警察全国法律データベースからの1.9GBの漏洩は、内部の法的参照用に設計されたシステムでさえ、ガバナンスが不十分だと標的となり、負債となり得ることを示した。顔認識データベースは、実在の身元に結びついた極めて機微な生体記録を集中管理するものであり、同様のセキュリティ慣行の欠陥が放置されれば、さらに価値の高い標的となるだろう。

機微な個人データを大規模に集中管理するリスクは、警察活動の枠を超えて顕在化している。50万人のボランティアに影響を与えたUKバイオバンクのハッキングは、正当な研究目的で構築された大規模な個人データリポジトリでさえ、保護が収集規模に追いつかなければ、暴露され売買され得ることを実証した。警察の顔認識システムも同様の課題に直面している。監視リストやデータベースに追加される顔が多ければ多いほど、ガバナンスの欠陥による潜在的な影響は大きくなる。

執行の歴史も、ICOが事後ではなく早期に介入する理由を裏付けている。規制当局によるサウス・スタッフォードシャー・ウォーターへの約100万ポンドの罰金は、数十万件の顧客記録が漏洩した侵害を受けてのものであり、ICOは組織がデータ保護義務を果たさない場合に行動を起こすこと、そして顔認識データガバナンスの失敗が警察にも同様の結果をもたらし得ることを思い出させる。

これがあなたにとって意味すること

警察が顔認識を配備している地域に住んでいる、働いている、またはイベントに参加している場合、この技術はすでにあなたの生体データをあなたが直接知らないうちに処理している可能性がある。ライブ顔認識は通常、監視リストに載っている人物だけでなく、カメラの範囲内の全員をスキャンするためである。ICOがより良いガバナンスを求めているのは、最終的には、スキャニングが無制限の監視能力ではなく、比例的で、時間制限があり、説明責任を果たすものであることを確保するためである。

ほとんどの人にとって、実際的な教訓は、顔認識の監視がまだ展開に追いついていないということである。そのギャップは、お住まいの地域でこれらのシステムがどのように、どこで使用されているかに注意を払い、保持期間、監視リストの基準、独立した監査に関する透明性を求める声を支持する価値があることを意味する。

重要なポイント

  • 顔認識は、英国法で最も機微な個人データカテゴリーの一つである生体データを処理するため、ガバナンスの失敗は通常のデータ取り扱いミスよりも重大である。
  • ICOの勧告は、文書化、保持期間の制限、説明責任に焦点を当てており、技術を完全に禁止するものではない。
  • 生体、法務、医療を問わず、集中管理されたデータベースは、セキュリティとガバナンスがデータ収集に追いつかない場合、繰り返し魅力的な標的となってきた。
  • 一般市民は、顔認識の配備と保持慣行について地元警察の透明性を求め、安全策が不足していると思われる場合はICOに直接懸念を提起することができる。

顔認識が英国の警察活動においてより恒久的な存在となるにつれ、その技術的精度だけでなく、データガバナンスの強固さが、この技術が永続的な国民の信頼を得られるかどうかを決定づけるだろう。