フランス・生徒管理のための顔認証について同意要件不備の判決


フランス・生徒管理のための顔認証について同意要件不備の裁判

フランス・マルセイユ行政裁判所は、マルセイユとニースの高校2校で予定されている、生徒管理のための顔認証技実験実施に関するプロバンス・アルプ・コート・ダジュール地域評議会の決定を棄却した。

プロバンス・アルプ・コート・ダジュール地域では、学校内の生徒の安全確保と管理のため、顔認証技術を使用したセキュリティ実験を、マルセイユ及びニースの高校2校で実施することを決定した。しかし、フランス監督機関(CNIL)は、学校側から送られたデータ保護影響評価(DPIA)を検討した結果、この実験がEU一般データ保護規則(GDPR)の「比例性とデータ最小化原則」を満たさないという見解を、昨年10月に表明していた。また、データ保護市民団体であるLa Quadrature du Netなど4団体は、この実験の差し止めを求めて行政裁判を提起していた。

裁判では、高校におけるセキュリティ実験の実施の決定権は、教育関係法上地域評議会ではなく学校の指揮監督権に属するとした。そして、昨年10月のCNILの見解を踏まえ、学校での生徒の安全確保と管理はバッジの使用などの代替手段によってもその目的を達成しうるとして、この実験がGDPRの原則に違反するものであると認定した。

実験に対する同意の取得についても、判決は同意取得の方法が保護者から署名入りの同意書を取得しただけに過ぎず、GDPRが要求している同意の条件(十分な情報提供、自由な同意の意思表明、目的の特定等)を満たすものではないと判断した。判決はまた、地域評議会が原告4団体に対し計1000ユーロを支払うことも命じている。同地域評議会議長はこの判決に対し不満を表明するとともに、監督機関であるCNILを厳しく非難している。

この事案は、フランスにおけるGDPR違反に対し、司法機関である裁判所が判断を示したものであり、強制力を持つ決定である点が注目される。また、一般市民が司法判断を通じてGDPR違反に対する法執行を求めることができることを示したものであることも注目される。

FIRST EVER DECISION OF A FRENCH COURT APPLYING GDPR TO FACIAL RECOGNITION
https://ai-regulation.com/first-decision-ever-of-a-french-court-applying-gdpr-to-facial-recognition/
マルセイユ行政裁判所の判決文
https://forum.technopolice.fr/assets/uploads/files/1582802422930-1090394890_1901249.pdf

関連記事