概要
- Kmart Australia が顧客の顔認識データを無断収集し、プライバシー法違反と認定
- 通知や同意なし で顔認識技術（FRT）を導入
- プライバシー侵害が 過度で代替手段あり
- OAIC が同様のケースでBunningsも調査
- 技術導入時は 透明性・比例性・ガバナンス が重要
Kmartによる顔認識技術（FRT）利用とプライバシー侵害
-
Kmart Australia は2020年6月～2022年7月、28店舗で 顔認識技術（FRT） を導入
-
すべての来店者と返品カウンター利用者の 顔データ（生体情報） を無差別に収集
-
プライバシー法 上、顔データは特に保護される 機微な個人情報 に該当
-
顧客への 通知や同意取得 を一切実施しなかった事実
-
返品詐欺対策を理由に 同意不要の例外適用 を主張
-
しかし、 プライバシーコミッショナー はこの主張を否定
- すべての来店者の情報を無差別収集
- 他に プライバシー侵害の少ない代替手段 が存在
- FRTの詐欺防止効果は限定的
- 多数の無関係な顧客のプライバシーを侵害し 過剰な措置 と判断
プライバシー保護と技術活用のバランス
- プライバシー保護 と 事業活動 のバランスの重要性
- 顔認識技術の導入には 社会的利益 や 人権保護 も考慮
- 返品詐欺による損失額・FRTの効果・プライバシーへの影響を総合判断
- FRT導入の利益がプライバシー侵害を正当化しない と結論
他企業・業界への影響
- OAIC による小売業界での2例目のFRTプライバシー違反認定
- 2024年10月、 Bunnings Group にも同様の認定（現在審査中）
- 今回の決定は FRTの全面禁止ではない
- 安全確保や詐欺防止 は正当な理由だが、 プライバシー法遵守が必須
- 新技術導入時の 比例性・透明性・バイアスリスク・ガバナンス の重要性を強調
- OAIC公式ガイド 「Facial recognition technology: a guide to assessing the privacy risks」も公開中
今後の指針と小売業界へのメッセージ
- Kmart は2022年7月以降FRT運用を停止し、調査に全面協力
- KmartとBunnings の事例はFRT利用目的が異なる点に注意
- プライバシー法は技術中立 であり、特定技術の使用自体を禁止しない
- 新技術導入時はプライバシーリスク評価が不可欠
- Commissioner Kind による追加の見解・指針もブログで公開