ワシントン州議会がデータプライバシーと顔認識を規制する計画をチラ見せ

ワシントン州議会議員らは来年、データプライバシーと顔認識を規制する新たな規制を推進する予定だが、GeekWire が入手した法案草案からは、彼らがどのような計画を持っているのか垣間見ることができる。

この新法案は、上院を通過したものの前回の下院会期で廃案となった法案を基にしている。法案提出者はその経験から教訓を得ていると述べているが、前回の法案廃案につながったいくつかの問題点は依然として残っている。

ワシントンの民主党は2度目の試みとして、消費者にデータの所有権を与えること、消費者データを処理する企業に新たな透明性要件を確立すること、そして顔認識技術に対する新たな安全策を実施することを望んでいる。

「指針は非常に似ていますが、より厳格な定義や、より明確な執行基準の必要性に関する懸念に耳を傾けるよう、真剣に取り組みました」と、法案の提案者であるルーベン・カーライル上院議員は述べた。同氏は、新版では「消費者が自身のデータにアクセスし、修正し、削除する基本的な権利をより明確に規定している」と述べた。

この法案が成立すれば、ワシントン州はカリフォルニア州と欧州連合（EU）に追随することになる。両州はそれぞれ独自のプライバシー規制を制定している。物議を醸している顔認識技術は、カリフォルニア州やEUの法律では明確に規定されていないため、ワシントン州は顔認識規制の先駆者となるだろう。世界で最も強力なテクノロジー企業2社、アマゾンとマイクロソフトの本拠地であるワシントン州では、新たな規制が州境をはるかに越えて影響を及ぼす可能性がある。

法案草案の主要な条項の概要は次のとおりです。

• 消費者には、自分のデータにアクセスし、削除し、修正し、移動する権利があります。
• 消費者はデータ収集を拒否することができます。
• 消費者データを管理する企業は、情報の使用について透明性を保ち、情報の収集を最小限に抑え、収集の目的を明記する必要があります。
• 消費者データを管理する企業は、定期的にリスク評価を実施する必要があります。
• 州政府および地方自治体の機関は、令状または差し迫った危険の脅威がない限り、継続的な監視のために顔認識を使用することは禁止されています。
• 顔認識ソフトウェアを開発する企業は、正確性と偏りについて第三者によるテストを許可する必要があります。
• 公共の場で顔認識を使用する機関は同意を得る必要があります。
• 顔認識技術を利用したい州政府機関は、説明責任報告書を公表し、データ管理ポリシーを確立する必要がある。
• 知事室は、顔認識技術の潜在的な乱用や脅威を報告するためのタスクフォースを設置することができる。
• 司法長官にはこの法案に違反した企業を訴える権限があるが、個人消費者にはその権限はない。

マイクロソフトは、前回の議会でワシントン州におけるプライバシー規制の制定に向けた取り組みにおいて、中心的な役割を果たしました。ワシントン州レドモンドに本社を置くこのソフトウェア大手は、ワシントン州内外におけるデータプライバシー法と顔認識技術の積極的な推進者です。マイクロソフトは今月、カリフォルニア州の新しいデータプライバシー法で求められる変更を、米国の全顧客に提供すると発表しました。

アマゾンはこの考えに賛同しつつある。9月、アマゾンCEOのジェフ・ベゾス氏は、同社の公共政策チームが顔認識技術に関する一連の規制案に取り組んでいると述べた。これは、アマゾンの弁護士アンドリュー・デボア氏が2018年の公聴会で米国上院議員に対し、煩雑なプライバシー規制のリスクについて警告していた状況とは大きく異なる。

マイクロソフトとアマゾンはどちらも顔認識技術を開発し、膨大な量の消費者データを扱っています。カーライルの法案草案に概説されている規制は、両社に加え、10万人以上の消費者の個人データを管理または処理するあらゆる企業に適用されます。

これらの規則は、ワシントン州に所在する企業およびワシントン州の顧客を対象としたサービスを提供する企業に適用されます。収益の50%以上を個人データの販売または処理から得ている企業も、顧客数が10万人未満であっても、この規制の対象となります。

前回の会期で成立した法案をめぐる議論における論点の一つは、「民事訴訟権」と呼ばれるものに関するものです。これは、法案に定められた規則に違反した企業を個人消費者が訴えることができる権利です。この権利は前回の会期で成立した当初の法案にも、今回の法案にも含まれていません。もし法案が成立すれば、一部の例外を除き、ワシントン州の司法長官のみが企業を法律違反で訴えることができるようになります。

「テクノロジーに関して、包括的な民事訴訟権を認めるのは危険な道だ」と、この法案の共同提案者であり、マイクロソフト社にもフルタイムで勤務するジョー・グエン上院議員は述べた。「だからこそ、司法長官事務所の管轄下に置かれているのだ」

グエン氏は、個人にプライバシー侵害を訴える権限を与えることは、法的措置を講じるリソースを持たない中小企業にとって負担が大きすぎると述べた。マイクロソフトのシニアプログラムマネージャーであるグエン氏は、独自の立場にある。ワシントンD.C.の新たなデータプライバシー法の策定に携わっているほか、大手テクノロジー企業によるEUの新規則「一般データ保護規則（GDPR）」の導入支援にも携わった。

「これは1年にわたるプロセスで、エンジニアリングチームを全面的に巻き込みました。それに伴う費用は、相対的に見て天文学的な額でした」とグエン氏は述べた。「こうしたものの一部を導入するのは容易ではありません。」

グエン氏はまた、プライバシー法案が行き詰まった場合でも顔認識規制が確実に前進するよう、同規制を別の法案として分離することを計画している。

「顔認識技術が確実に導入されることに強い関心を持っています。なぜなら、それが今まさに地域社会に影響を与えていると信じており、政治的な争いに巻き込まれたくないからです」とグエン氏は語った。

ポートランドのデータガバナンス作業部会は先週、市政府機関による顔認識技術の取得・利用を禁止する条例案を発表した。また、公共空間における民間による顔認識技術の利用を禁止する条例も策定中である。

カーライルとグエンは、法案を正式に提出する前に、ひそかに意見を求めている。ワシントン州の新たな立法会期は1月14日に始まる。