コラム

COLUMN

プライバシーマークと顔認証でおさえる個人情報保護のポイント

近年、オフィスや工場、医療施設などでは、顔認証を活用した入退室管理システムの導入が広がっています。一方で、顔認証で扱う顔データは個人情報にあたるため、その取り扱いに不安を感じる企業も少なくありません。とくに、従業員や来訪者の顔データをどこまで記録し、どう保管するか、判断に迷う場面は多いものです。プライバシーマークの取得や更新を目指す企業では、顔データを適切に管理できる体制づくりが課題となります。顔認証を安全に活用するには、プライバシーマークの基準を踏まえた個人情報保護への対応が欠かせなくなっています。

◎企業の信頼につながるプライバシーマークの基礎知識

プライバシーマークとは、事業者が個人情報を適切に扱う体制を整えていることを、第三者が評価して示す制度です。運営は一般財団法人日本情報経済社会推進協会（JIPDEC）で、1998年から続いています。現在、プライバシーマークを取得している事業者は17,700社を超えています。多くの業種で、プライバシーマークが信頼の目安とされています。プライバシーマークが重視される背景には、個人情報の取り扱いに対する社会の目の厳しさがあります。ひとたび情報漏えいが起きれば、企業の信用は大きく損なわれます。プライバシーマークがあれば、取引先や利用者に対して、個人情報保護へ継続的に取り組む姿勢を客観的に示せます。近年は、取引を進めるうえでの前提として、プライバシーマークの取得が求められる場面も少なくありません。

プライバシーマークの審査は、2つの基準にもとづいて行われます。ひとつはプライバシーマーク付与適格性審査基準、もうひとつは日本産業規格であるJIS Q 15001:2023に準拠した構築・運用指針です。プライバシーマークの基準は法改正や規格の改正にあわせて見直されるため、取得や更新を目指す企業は、最新の基準にそって体制を整える必要があります。プライバシーマークの中心にあるのが、PMSと呼ばれる個人情報保護マネジメントシステムです。PMSは、個人情報を取得してから削除するまでの流れを一貫して管理し、各段階に潜むリスクに対策する仕組みです。プライバシーマークの審査では、このPMSが実際に機能しているかどうかが見られます。そのため、仕組みを整えるだけでなく、継続的に運用していくことがプライバシーマーク取得の条件となります。

◎本人確認をスムーズにする顔認証の特長

顔認証とは、カメラで捉えた顔の情報を読み取り、本人かどうかを判定する認証方式です。目や鼻の位置、輪郭の形といった特徴点を手掛かりに、その位置関係や距離を数値へと変換します。この数値化されたデータは、顔特徴データやテンプレートと呼ばれます。顔認証は、あらかじめ登録した顔特徴データと照合することで、目の前の人物が本人かどうかを見分けます。多くの顔認証システムでは、顔画像そのものではなく、この顔特徴データをもとに照合します。映像を記録し続ける防犯カメラとは、扱うデータの性質が異なります。顔認証の大きな特長は、手ぶらで本人確認ができる点にあります。カードや鍵のように持ち歩く必要がなく、紛失や盗難、貸し借りといったリスクが起こりにくくなります。暗証番号のように、番号を忘れたり、入力を盗み見られたりする心配も少なくなります。カメラに顔を向けるだけで認証が済むため、両手がふさがっている場面でもスムーズに通れます。近年では、写真や動画によるなりすましを見抜く技術も進み、認証の精度は着実に高まっています。

顔認証はさまざまな現場で活用されており、たとえばオフィスでは、社員証を取り出す手間なく出入りができ、受付や解錠の負担を減らせます。工場や物流倉庫のように人の出入りが多い現場でも、通行の流れを止めずに本人確認ができます。医療施設や介護施設では、非接触で認証できるため、衛生面に配慮した運用がしやすくなります。マンションや商業施設のエントランスでは、居住者や利用者だけを通しながら、部外者の立ち入りを見分けやすくなります。出入りの時刻が自動で残るため、勤怠管理と組み合わせれば、打刻の手間なく就業時間を把握できます。このように顔認証は、多くの現場で人の出入りを支える仕組みとして定着しつつあります。

◎顔認証で扱う顔データとプライバシーマークの関係

顔認証を導入するうえで、まず理解しておきたいのが、扱う顔データの性質です。顔認証のために登録する顔情報は、単なる画像ではなく、個人を識別できる情報です。この性質をおさえておくことが、プライバシーマークとの関係を理解するうえで重要なポイントになります。顔データを扱う以上、プライバシーマークが重視する管理の目が、そのまま顔認証にも向けられるからです。

顔データの位置づけは、法律のうえでも明確です。個人情報保護法では、身体の特徴を本人確認に使えるよう変換した符号を、個人識別符号と定めています。顔認証のために登録した顔情報は、特定の個人を識別できる形になっているため、個人識別符号にあたるとされています。個人情報保護委員会も、顔認証データを個人識別符号の例として示しています。つまり顔データは、氏名や住所と同じように扱うべき個人情報です。顔認証の導入は、新たな個人情報を取得し、保管する行為でもあり、プライバシーマークの取得や更新を目指す企業にとって見過ごせません。

登録した顔情報データは、検索や照合ができる状態でまとめて保管され、個人情報保護法上の個人情報データベース等にあたると考えられています。従業員や利用者の顔データを一元管理する顔認証システムは、こうしたデータベースを社内に持つことを意味します。氏名や社員番号と同じように、顔データもプライバシーマークが求める管理の対象に含まれます。プライバシーマークでは、扱う個人情報を管理台帳などで把握し、その範囲を明確にすることが求められます。顔認証を新たに導入する場合は、この台帳にも顔データを位置づけ、プライバシーマークの基準にそって整理しておく必要があります。

近年は、個人情報を扱う仕組みそのものへの目配りも求められます。JIS Q 15001の2023年の改訂では、リスクを特定する観点として、個人情報のライフサイクルと、それを扱う情報システムそのものが明示されました。顔認証システムも、この情報システムにあたります。しかも扱うのは、生体情報という取り扱いに注意を要する個人情報です。そのため、プライバシーマークの観点でも、慎重な管理が求められる対象となります。顔認証は入退室管理の利便性を高める一方で、顔データという新たな個人情報を、プライバシーマークの管理下に置くことにもなります。導入の際は、顔データの取得から保管、廃棄までの扱いを、あらかじめ整理しておくことが大切です。

◎プライバシーマーク取得・更新を後押しする顔認証導入のメリット

顔認証は入退室管理を便利にするだけでなく、プライバシーマークの取得や更新を進めるうえでも力を発揮します。プライバシーマークは、個人情報を適切に管理する体制が整っていることを求める制度です。顔認証による入退室管理は、その体制づくりと相性がよく、プライバシーマーク対応の面でもいくつかのメリットがうまれます。

まずあげられるのが、人の出入りの記録が自動で残ることです。プライバシーマークでは、個人情報を扱うエリアへの入退室を、正確に記録・管理することが求められます。顔認証による入退室管理を導入すれば、誰がいつどこに入ったかが自動で記録されます。紙の台帳のように記入漏れや書き間違いが起こりにくく、後から確認したいときにもすぐにたどれます。個人情報を保管するサーバー室や書庫といった重要なエリアほど、この記録の正確さがプライバシーマークの評価につながります。審査の際に入退室の記録を求められても、必要な期間の履歴をすぐに取り出して示せます。なりすましや不正な立ち入りを防ぎやすくなる点も、大きなメリットです。カードや暗証番号は、貸し借りや盗み見によって本人以外に使われる余地があります。顔認証は身体的な特徴を使うため、本人でなければ認証が通りません。そのため、権限のない人物が個人情報を扱うエリアに入り込むリスクをおさえられます。プライバシーマークが重視する個人情報保護の体制を、入り口の段階から固められます。

来訪者の情報を含めた管理がしやすくなることも見逃せません。プライバシーマークの審査では、従業員だけでなく、来客の記録を適切に残しているかも問われます。顔認証による入退室管理では、事前に登録した来訪者の入退室も記録として残せます。受付での記帳に頼るよりも、正確で改ざんされにくい記録を保てます。来客対応の負担を減らしながら、プライバシーマークが求める個人情報保護の水準にも近づけます。管理業務の負担を軽くできる点も、プライバシーマークの運用でのメリットです。プライバシーマークの取得や更新では、体制を整えるだけでなく、継続的に運用していく必要があります。顔認証による入退室管理は、記録の作成や集計を自動で行えるため、担当者が手作業でまとめる手間を減らせます。鍵やカードの発行・回収といった管理も不要になります。退職や異動があっても、登録データを更新するだけで通行の権限を切り替えられます。限られた人員でプライバシーマークの運用を続けていくうえで、こうした省力化は大きな助けになります。もっとも、顔認証を導入すれば自動的にプライバシーマークが取得できるわけではありません。プライバシーマークは、あくまで個人情報を管理する仕組み全体を評価する制度です。顔認証はその仕組みを支える有力な手段のひとつであり、記録の正確さや不正防止といった面でプライバシーマークの取得・更新を後押しします。

◎顔認証を取り入れたプライバシーマーク取得までの流れ

プライバシーマークの取得は、いくつかの段階を踏んで進みます。それぞれの段階で顔認証がどう関わるかをおさえておくと、導入後の運用がイメージしやすくなります。まず取り組むのが、扱う個人情報の洗い出しです。自社がどの個人情報を、どこで取得し、どう使っているかを把握します。この棚卸しが、プライバシーマークにもとづく管理の土台になります。顔認証を導入する場合は、この段階で顔データも対象に加え、その利用目的を特定して従業員や利用者に明示します。利用目的の明示は、プライバシーマークの取得や更新でも基本となる項目です。目的をあいまいにしたまま顔データを集めると、プライバシーマークの基準から外れた運用になりかねません。

次の段階が、リスクの分析と安全管理措置の整備です。顔データは、盗み見や持ち出し、不正アクセスといったリスクから守る必要があります。プライバシーマークでは、こうしたリスクに応じた対策を講じることが求められます。顔認証システムを使う場合は、顔データにアクセスできる担当者を限定し、いつ誰が扱ったかを記録に残します。こうした記録は、プライバシーマークが求める安全管理措置の証跡としても役立ちます。

あわせて検討したいのが、顔データの保管と廃棄のルールです。保管の方法には、自社内に機器を置くオンプレミス型と、外部のサーバーに預けるクラウド型があります。オンプレミス型は、顔データを自社の管理下に置くため、外部への流出リスクをおさえやすい傾向があります。プライバシーマークの観点では、どちらを選ぶ場合も、顔データを管理する責任の所在を明確にしておくことが欠かせません。必要な期間だけ保管し、不要になったら廃棄するという保管期間のルールも定めます。こうした取り決めは、プライバシーマークの運用でも確認されます。

顔認証システムの運用を外部の業者に任せる場合は、委託先の管理も重要です。委託先が顔データを適切に扱っているかを確認し、契約のなかで取り扱いのルールを定めます。プライバシーマークでは、委託先の監督も事業者の責任とされています。こうして体制を整えたうえで審査機関の審査を受け、基準を満たしていると認められればプライバシーマークが付与されます。取得後も、プライバシーマークを維持するための見直しと更新が続きます。もっとも、これらの手続きや文書の整備には専門的な知識が必要で、自社だけで進めるのは負担が大きい場合もあります。必要に応じて専門家の支援を受けながら進めると、無理なく整えていけます。

◎プライバシーマークの観点で見る顔認証リーダーFE-500の特長

顔認証リーダーは、顔データを安全に扱える製品を選ぶことが大切です。プライバシーマークの取得や更新を意識する企業にとって、製品選びは運用の土台になります。KJ TECH japanの顔認証リーダーFE-500は、個人情報保護に配慮した運用に向く機能を備えています。顔認証リーダーFE-500は、登録した顔を数値化し、1ユーザーあたり25kbほどの顔テンプレートとして保存します。顔画像そのものを保持しない仕組みは、万が一情報が外部に漏れた場合のリスクをおさえることにつながります。最大50,000件の顔データをリーダー側に登録できるため、外部のサーバーに預けず、自社の管理下で運用できます。そのため、顔データの流出リスクをおさえたい企業や、プライバシーマークの観点で管理の範囲を明確にしたい企業に向いています。

最大200,000件のイベントログを保存でき、認証履歴を記録として残せるため、プライバシーマークが求める安全管理措置にも役立ちます。FE-500は3D認証とライブ検出に対応し、写真や動画によるなりすましを防ぎます。顔認証とカードやQRコードを組み合わせた二重認証にも対応しています。顔認証率は99.99％で、最大2メートルの距離から認証できます。人の往来が多い時間帯でも、スムーズな入退室と正確な本人確認を両立できます。こうしたFE-500は、プライバシーマークが求める個人情報保護と顔認証の利便性を両立したい企業にとって、検討しやすい選択肢といえます。

◎まとめ

顔認証を活用した入退室管理は、プライバシーマークを重視する企業にとっても、業務の効率化や防犯性の向上につながります。一方で、顔データという個人情報を適切に管理することが欠かせません。顔認証を導入する際は、利用目的や保管方法、保管期間を整理し、プライバシーマークの基準にそった運用体制を整えることが大切です。こうした体制づくりは、取引先や利用者からの信頼にもつながります。プライバシーマークに配慮した顔認証の導入をご検討の際は、KJ TECH japanまでお問い合わせください。

コラム一覧