分析イリノイ州最高裁判所は金曜日、低価格帯のディズニーランド・シックス・フラッグスが米国の州の生体認証プライバシー法に違反したと主張する家族の訴訟を進めることができるとの判決を下した。
この判決は、原告が具体的な損害を主張していないことを理由に訴訟を棄却した先の控訴裁判所の判決を覆すものとなる。
消費者およびプライバシー擁護団体からは歓迎され、業界団体からは非難されている最高裁判所の判決[PDF]は、イリノイ州のプライバシー主張に大きな影響を与え、おそらくは全米の将来の州および連邦のプライバシー規制にも影響を与えるだろう。
この法律は、生体認証データを収集したい企業に対し、インフォームド・オプトインによる同意を得ることを義務付けています。また、生体認証によるプライバシー侵害は、たとえ個人情報窃盗のような侵害による被害が発生していない場合でも、法的に訴追の対象となることを認めています。
この判決は、州法に基づいて訴訟を起こされ、長年にわたり撤回を求めてロビー活動を続けてきたFacebookやGoogleなどの企業にとって、暗い兆しとなる。イリノイ州議会では、この法律が商業的に有害であると考える業界団体が支持する法案が審議されている。可決されれば、同法によるプライバシー保護は制限されることになる。
2008年に制定された生体認証プライバシー法は、個人がプライバシー保護のために訴訟を起こすことを認めているため、米国で最も強力なプライバシー法の一つと考えられています。他のプライバシー法は、政府機関に対する訴訟権を制限しています。
私の子供の指に手を出さないで！
この訴訟（ローゼンバック対シックス・フラッグス・エンターテインメント社）は、14歳のアレクサンダー君の母親であるステイシー・ローゼンバック氏によって提起されたもので、同テーマパークが彼女の息子の指紋データを収集したのは、書面による同意も、法律で義務付けられているデータ取り扱いの開示もないままだったと主張している。
シックス・フラッグスは、家族が実際の被害を主張していないことを理由に家族の訴訟に異議を唱えたが、プライバシー訴訟ではそれを証明するのは難しいため、州控訴裁判所もこれを認めた。
しかし、イリノイ州最高裁判所は、生体認証プライバシー法は「企業による生体認証の利用増加によってもたらされるリスクと、個人の生体認証識別子または生体認証情報が漏洩した場合に有効な救済措置を提供することの難しさ」に対処するために制定されたと述べ、その判決を覆した。
いいえ、大勢の人々に指紋や顔のスキャンで携帯電話のロックを解除するよう強制する令状は存在しません
続きを読む
「控訴裁判所の見解とは反対に、個人が『被害者』として認定され、同法に基づく損害賠償金や差止命令を求める権利を得るためには、同法に基づく権利の侵害を超える実際の損害や悪影響を主張する必要はない」と裁判所は結論付けた。
12月、イリノイ州シカゴの裁判官は、Googleフォトにおける顔データ収集をめぐり、2016年にGoogleに対して提起された訴訟を、原告が「具体的な損害」を被っていないとして棄却した。今回の判決がこの訴訟の復活につながるかどうかは不明である。Facebookは現在、顔認識技術の使用をめぐり、イリノイ州で集団訴訟に直面している。
生体認証プライバシー法が、社会保障番号などの個人情報よりも生体認証データに対して企業に高い保護基準を課す根拠となっているのは、生体認証データは簡単に変更できないという点です。
「生体認証情報は特に機密性が高い」とイリノイ州PIRG教育基金のディレクター、アブラハム・スカー氏は声明で述べた。
クレジットカードは解約できますが、顔認証は解約できません。イリノイ州の生体認証プライバシー法は、権利が侵害された際に個人に法執行権を与えている点で、他に類を見ないものです。イリノイ州最高裁判所が、消費者が自らの権利を効果的に守る能力を再確認したことを称賛します。
千件の訴訟が花開く
「イリノイ州最高裁判所は、EPICが長年、訴訟適格事件のアミカスとして主張してきた見解を採用した。つまり、プライバシー法違反は訴訟適格を与えるのに十分である、という見解だ」と電子プライバシー情報センターの上級顧問アラン・バトラー氏はThe Register宛ての電子メールで述べた。
原告が追加的な賠償対象となる損害を証明する必要はないはずです。イリノイ州の裁判所が州の生体認証プライバシー法に関して説明したように、それは「同法の予防および抑止の目的に完全に反する」ことになります。
一方、企業寄りのイリノイ商工会議所のトッド・マイシュ会長兼最高経営責任者（CEO）は、懸念の声明を発表し、「本日の判決により、イリノイの商業の健全性が犠牲となり、将来的に訴訟が急増する恐れがある」と述べた。
2018年11月、ナショナル・ロー・レビュー誌は、イリノイ州の住民が生体認証データの取り扱いをめぐって企業を相手取り、過去2ヶ月間で少なくとも32件の訴訟を起こしたと報じました。また、アラスカ州、コネチカット州、マサチューセッツ州、ニューハンプシャー州の州議会も同様の法案を検討していると報じています。®
