ケニア：「SIM登録に生体情報提出の義務化」がもたらす混乱

Access Now

ケニア市民は数ヶ月前から「遮断されたくなければ、SIM登録情報を更新しましょう」というメッセージを見かけるようになった。ケニアの通信会社は、加入者が顔画像などのプライベートかつ変更不可能な生体情報を新たに提出しなければ、携帯電話やインターネット接続サービスから遮断されると警告している。各社は2015年ケニア情報通信（SIMカード登録）規則の遵守のために必要だと主張する。だが、それは極めて捻じ曲げられた法律の解釈に過ぎない。SIMカード登録に生体情報を必須にすれば、プライバシー侵害、データ漏洩、不正使用、さらにはなりすましなどの危険にさらされることになる。ケニア市民はこうした危険をもたらす規制にノーを突きつけるべきだ。

ケニアでは、プライバシー侵害が横行している。Access Nowが以前に取り上げたように、Safaricomなどの通信事業者は、加入者の個人情報を保護しなかっただけでなく、データ侵害に対する説明責任を果たすことすら拒んできた。本稿では、これまでの経緯、生体情報収集の容認に向けた動き、そしてそれに反対するためにケニア市民ができることについてお伝えしたい。

これまでの経緯

法律は何を定めているのか

2015年ケニア情報通信（SIMカード登録）規則第5条(1)は、SIM登録の要件について規定している。だが、この規定は生体情報・データの収集を義務づけてはない。つまり、SIMカード再登録のために顔写真の提出を義務づけることは法的根拠がないのである。これはケニア憲法第31条および2010年ケニア情報通信（消費者保護）規則で保護されるプライバシー、とりわけ通信の文脈におけるプライバシーの侵害である。

当初、バイオメトリクス・データの収集を指示したCAKは、最終的に間違いを認め修正した。だが、その被害はすでに大規模に生じている。切断をおそれた多数の消費者が、すでに通信事業者に生体情報を提出してしまっていたのだ。

2019年ケニアデータ保護法は、生体情報をセンシティブなパーソナルデータと定義し、その処理に際してデータ保護の原則を適用するよう義務づけている。顔生体情報の収集は、この原則に反している。だが、データ保護委員会（ODPC）は、この一連の騒動を通じて、データ主体への権利侵害についてまったくの沈黙を貫き、関心を示すこともなかった。

何が起きているのか、なぜプライバシーと人権が危険に晒されているのか

ICT省は現在、2015年「ケニア情報通信（SIMカード登録）規則」を、生体情報の収集を可能にする新たな規則「ケニア情報通信（電気通信サービス加入者の登録）規則」（2022年案）に置き換え、失効させようとしている。

SIMカード登録の前提条件としての生体情報の収集は、論理的・法的な根拠を有していない。顔生体情報がセキュリティを強化し、犯罪を防止するという通信事業者の主張は誤りだ。実際、国連人権高等弁務官が説明するように、生体情報がその人のアイデンティティと表裏一体であるため、データ漏えいやなりすましの際に復旧が難しくなる。パスワードは変更できても、顔は変えられないためだ。

また、生体情報データベースは、ClearView AIのスキャンダルが示すように、国家による監視のリスクを増大させる。ケニアでは、法執行機関による市民の通信の監視が、すでに人権擁護者たちを危険にさらしている。大規模な生体情報収集を許可すれば、それが悪用されるリスクがさらに高まることになるだろう。

ケニア市民が生体情報収集と戦い、自分たちの権利を守るにはどうすればよいか

ケニアには法律によってデータが保護されている。つまり、ケニアは現在、データ保護を十世しなければならないのである。データ保護委員会は、通信事業者によるプライバシーとデータ主体の権利の侵害を調査し、ICT省に生体情報の収集をSIMカード登録の必須条件としないよう助言し、すでにデータが違法に収集されている加入者に救済措置を講じるよう、つまり違法に収集されたデータを削除させるよう、直ちに行動を起こさなければならない。

Access Nowとケニアの市民社会はすでに反撃に出ている。

• ARTICLE 19 Eastern Africaは、通信事業者各社が保管する生体情報を確認するため、情報公開請求書を送付した。現時点で、Safaricomからの回答はない。
• Katiba Instituteは、ケニア高等裁判所に司法審査申請書を提出し、Safaricomに違法に収集された生体情報の削除命令など、多くの法的要請を求めている。
• 市民社会と学術界は、加入者登録規則の草案から生体情報収集の要件を削除するよう求める共同覚書をICT省に提出した。

次はあなたの番だ。

あなたの権利を守るためにできること

• ステップ1：情報へのアクセス要求を提出する――2019年データ保護法第26条（a）、（b）は、あなたのデータにアクセスする権利を与えている。(提出要件については、2021年データ保護（一般）規則第9条を参照)。
• ステップ2：削除要求の提出――2019年データ保護法第40条（1）（b）は、データが違法に収集された場合、データの削除を要求する権利を与えている。(提出要件は、2021年データ保護（一般）規則第12条を参照)
• ステップ3：ODPCに対応を要求する――データ保護委員会事務局がその使命を果たすよう、ケニア人のプライバシー保護を求める我々の呼びかけに加わってほしい。