生体認証決済が不可逆的な本人確認詐欺のリスクを生む

連邦政府の監視なしには代替不可能なデータが永続的なリスクを生む

手のひらや顔を使って商品代金を支払うことは便利ですが、プライバシー専門家は、これには深刻かつ永続的なリスクが伴うと警告しています。クレジットカード番号が盗まれた場合、キャンセルして再発行することができます。しかし、指紋、手のひらの静脈パターン、顔の幾何学的形状などの生体認証識別子は個人に固有のものであり、変更することはできません。この情報がデータ侵害によって露呈した場合、個人は救済手段がなく、生涯にわたるなりすましや本人確認詐欺に対する脆弱性を抱えることになります。

この危険性は、米国の規制環境が脆弱であることによってさらに増幅されます。企業が生体認証データをどのように収集、使用、保持するかを規定する包括的な連邦法が存在しません。イリノイ州のような州は、生体認証情報プライバシー法（BIPA）を通じて強力な保護措置を実施していますが、国内のほとんどの地域は法的なグレーゾーンで運用されています。明確な保護策の欠如は、企業が独自のポリシーを設定することを可能にし、これらのポリシーは多くの場合、専門用語だらけのプライバシー規約の中に隠されており、データの保持期間や共有相手を曖昧にしています。

裁判所がアマゾンに「Just Walk Out」のソースコード開示を命令

この規制されていない分野では、企業のデータ収集の境界を試す法廷闘争が始まっています。イリノイ州のBIPAに基づき提起された訴訟で、米国地方裁判所はアマゾンに対し、その小売技術「Just Walk Out」（JWO）のソースコードの提出を命じました。2023年9月に提起されたこの訴訟は、システムが買い物客の同意なしに生体認証の手の幾何学的形状を収集したと主張しています。アマゾンは、自社の技術は商品のインタラクションをリンクするために手の位置を追跡するものであり、BIPAで定義されているような生体認証識別子を使用して個人を特定するものではないと反論しました。

裁判所はアマゾンの意味論的な主張を退け、原告はソースコードを調査して、分析される幾何学的特徴が法律に基づく生体認証識別子に該当するかどうかを判断する権利があると判決しました。この決定は、大手テクノロジー企業に一定の透明性を課し、企業が生体認証システムを展開する際に直面する法的監視の強化を浮き彫りにしています。この訴訟における証拠開示プロセスは8月まで続く見込みであり、生体認証プライバシー訴訟にとって潜在的に重要な先例となるでしょう。

生体認証セキュリティフレームワークにおける各国の違い

米国が断片的な規制アプローチに苦慮する一方で、他の国々はより厳格で集中的な管理を導入しています。ナイジェリア中央銀行は、6859万人の登録銀行顧客をカバーする銀行検証番号（BVN）システムの規則を強化しています。5月1日に発効する新規則は、BVN登録を18歳以上の個人に限定し、詐欺対策のために電話番号の変更を1回のみに制限しています。同様に、スリランカは、国家主権と能力移転に焦点を当てた国家デジタルIDプログラムSLUDIを設計しており、長期的なベンダーロックインを回避し、政府が市民のデータを管理することを確保することを目指しています。