LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

個人データの規制は、たいてい「何人分を扱っているか」で適用が決まります。ところが生体識別子だけは、その数え方の外に置かれることがあります。1件でも扱えば対象になる、という設計です。

米国コロラド州の下院法案24-1130「個人の生体データのプライバシーの保護に関する法律」は、2025年7月1日に施行されました*1。コロラドプライバシー法（同州改正法典第6編第1条第13部）に第6-1-1314条を新設し、定義と適用範囲の条文も書き換える構成です*1。

生体認証や画像照合を実装する立場に向けて、どこから対象になるのか、何を書面で決めるのか、いつ削除するのか、従業員から同意を取れる範囲はどこまでかを、成立した法文から整理します。

取扱量のしきい値が、生体情報だけ外れる

まず、適用の入口が変わった点を押さえます*1。

コロラドプライバシー法の従来の入口は、他州と似た形でした*1。コロラド州で事業を行うか、同州の住民に意図的に向けた商業上の製品もしくはサービスを生産または提供することに加え、暦年中に10万人以上の消費者の個人データを管理もしくは処理するか、個人データの販売から収益を得るか価格の割引を受けており、かつ2万5千人以上の消費者の個人データを処理もしくは管理するかのいずれかを満たすことが条件です*1。

そこへ、別の入口が足されました*1。第6-1-1304条(1)(b)は年間に管理または処理する生体識別子もしくは生体データの量にかかわらず、いかなる量の生体識別子または生体データを管理または処理する者を対象に含めます*1。人数の条件が付いていません*1。

ただし、範囲の切り分けも置かれています*1。この(1)(b)の要件を満たすが(1)(a)の要件を満たさない管理者は、自らが収集し処理する生体識別子または生体データの目的に限ってこの第13部を遵守するとされました*1。全社の個人データ運用が丸ごと規制対象になるのではなく、生体の系統だけが入る構造です*1。

立法の理由も条文に書かれています*1。議会は生体識別子は、たとえば社会保障番号とは異なり変更できないため、いったん侵害されると個人には手立てがなく、なりすましの危険が高まると述べました*1。顔認識についても肌の色、女性、子ども、高齢者、トランスジェンダーおよびノンバイナリーの人々の顔に用いられたとき、誤認および誤分類の割合が高いことが示されてきたとし、店舗が万引きの疑いのある人物の写真と誤って「一致」させ、入店やサービスを断った事例が挙がっています*1。

写真は、照合に回した瞬間に対象へ入る

定義の切り方が、実装の判断に直結します*1。

生体識別子は広めに定義されました*1。消費者の生物学的、身体的、または行動上の特徴を技術的に処理し、測定し、または分析することによって生成されたデータであって、個人を一意に識別する目的で処理されうるものとされ、例として指紋、声紋、眼の網膜もしくは虹彩のスキャンまたは記録、顔のマップ・顔の幾何・顔のテンプレート、その他の固有の生物学的・身体的・行動上のパターンまたは特徴が並びます*1。

一方の生体データは、目的で線を引いています*1。単独で、相互に組み合わせて、または他の個人データと組み合わせて、識別の目的で使用される、もしくは使用されることが意図される、1つ以上の生体識別子という定義です*1。

そして除外が明示されました*1。識別の目的で使用される場合を除き、デジタルまたは物理的な写真、音声または声の録音、デジタルもしくは物理的な写真または音声もしくは映像の録音から生成されたあらゆるデータは生体データに含まれません*1。

ここが実務でいちばん効きます。同じ画像ファイルでも、記録として保管しているだけなら外れ、照合や本人確認に回した時点で対象に入る、という読み方になります*1。監視カメラの映像や応募者の顔写真を、あとから照合機能に繋いだ瞬間に適用範囲が動くという意味で、機能追加の判断が法の判断と直結します。実装側の論点は生体認証・パスキーの実装で扱う設計と重なります。

「行動上のパターン」が含まれている点も見落とせません*1。打鍵の癖や操作の癖から本人を推定する仕組みは、指紋や顔とは違う技術ですが、一意の識別を目的にするなら同じ枠に入る書き方です*1。

書面の方針は3要素、削除は最も早い日

次に、文書として持つべきものです*1。

生体識別子を1つ以上管理または処理する管理者は、書面による方針を採用しなければならないとされ、入れる要素は3つです*1。生体識別子および生体データの保持のスケジュールを定めること、生体識別子または生体データのセキュリティを損ないうるデータセキュリティ事案に対応する手順（第6-1-716条に基づき、消費者の生体識別子または生体データのセキュリティが侵害されたときに消費者へ通知する手続を含む）を含めること、そして削除を求めるガイドラインを含めることです*1。

その削除の期限が、この法律のいちばん細かい部分です*1。次の日付のうち最も早い日までに削除することが求められます*1。

「最も早い日」という指定なので、24か月を保持上限と読むと足りません*1。目的が先に達成されればそこが期限になり、年1回の見直しで不要と判断すればそこから45日が期限になります*1。裏を返せば、年1回以上の見直しそのものが義務の一部として組み込まれているということです*1。保持年限の運用設計は記録管理と保存年限で扱う考え方が土台になります。

公開の扱いには例外があります*1。方針は公衆が利用できるようにしなければならないのが原則ですが、管理者の現在の従業員のみに適用される方針、管理者の運営のために管理者の従業員および代理人によってのみ用いられる方針、データセキュリティ事案に対応するための内部の手順は公開しなくてよいとされました*1。対応手順を公開しなくてよい点は、攻撃側に手口を渡さないための整理です*1。

処理者にも義務が及びます*1。生体識別子または生体データの処理者は、データセキュリティ事案に対応する手順を持たなければならず、そこには消費者の生体識別子または生体データのセキュリティが侵害されたときに管理者へ通知する手続を含めるとされています*1。受託側で処理を担う立場なら、自社側にも手順の実体が要るという意味です*1。

収集前に4つを伝え、開示できるのは4つの場合

取得と共有の条件も、数が決まっています*1。

収集の前に伝えることは4つです*1。管理者は第6-1-1308条が求めるすべての義務を満たすことに加え、生体識別子が収集されていること、収集する具体的な目的と、管理者がその生体識別子を保持する期間、そして処理者へ開示・再開示その他の形で提供するか否かと、処理者と共有する具体的な目的を、それぞれ明確で、合理的に利用しやすく、理解できる方法で知らせなければなりません*1。

売却は端的に禁じられました*1。いかなる主体に対しても、生体識別子を販売し、貸与し、または取引してはならないという書き方です*1。

開示できる場合は4つに絞られます*1。消費者または法的に権限を持つ代理人が開示に同意した場合、金融取引を完了する目的で消費者または代理人が要求もしくは承認した場合、処理者に対する開示であって、生体識別子を収集した目的のために必要であり、かつ消費者または代理人が同意した目的の範囲内である場合、州法または連邦法により求められる場合です*1。

同意しない消費者の扱いにも線が引かれました*1。管理者は生体識別子の収集・使用・開示・移転・販売・保持・処理への同意を消費者が拒んだことを理由に、商品またはサービスの提供を拒んではならないとされ、例外はその商品またはサービスを提供するために必要な場合に限られます*1。さらにこの第13部に基づく権利を行使した消費者に対して、異なる価格もしくは料率を課し、または異なる品質の水準の商品もしくはサービスを提供してはならないとも定められています*1。

保管と送信については、業界の水準が基準になりました*1。管理者または処理者は、すべての生体識別子を、管理者の業界における注意の水準に従い、かつ第6-1-1305条(4)および第6-1-1308条(5)に従って、保管し、送信し、開示から保護しなければならないとされます*1。特定の暗号方式を指定せず、業界の水準に委ねる書き方です*1。

アクセス権も加わりました*1。請求に応じて無償で、生体データの区分または説明に加え、収集元、収集または処理した目的と関連する個人データ、開示した第三者の身元と開示の目的、第三者へ開示する具体的な生体データの区分または説明を示します*1。この請求権は10万人または2万5千人という従来のしきい値を満たす事業者などに適用が限られており、生体だけで入った事業者には及びません*1。

雇用条件として同意を求められるのは4つの用途

従業員を対象にする場合、条文は用途で縛りました*1。

雇用主は、従業員または従業員となる見込みの者の生体識別子を収集し処理することへの同意を、雇用の条件として求めることができるとされますが、次の目的のためにのみという限定が付きます*1。

①の但し書きが、いちばん実務に刺さります*1。入退室や端末のログインに指紋や顔を使うことは雇用条件にできても、その生体データを位置の追跡やアプリの使用時間の追跡に使うために保持することについては、雇用条件としての同意を取れません*1。同じ仕組みから採れるデータでも、用途によって根拠が変わるという建て方です*1。

4つ以外の用途はどうなるか*1。雇用主およびその処理者は、(6)(a)に記載された用途以外のために、従業員または見込みの者の生体識別子を、当該従業員または見込みの者の同意がある場合にのみ収集し処理できるとされ、あわせて雇用主は、そうした収集または処理への同意を雇用の条件として求めてはならず、同意しない従業員または見込みの者に対して報復してはならないと定められました*1。

「従業員」の定義が広いことも重要です*1。フルタイム、パートタイム、もしくはオンコールで雇用される個人、または契約者、下請者、インターン、フェローとして受け入れられる個人を含みます*1。業務委託や派遣の要員が入退室の生体認証を使う現場は、この条文の射程に入ります*1。

逆に、制限されない範囲も置かれました*1。従業員の職務内容もしくは役割に基づく従業員の合理的な期待、または合理的な経歴調査、応募、もしくは本人確認の要件に基づく見込みの者の合理的な期待に沿う用途については、収集と処理の能力を制限しないとされています*1。

州の法務部門による規則制定の余地も残されました*1。法務部門は、情報技術局および規制機関部門と協議のうえ、この条に定める要件よりも厳しい、生体識別子および生体データに関する適切なセキュリティ基準を定める規則を含め、この条の実施のための規則を制定することができるとされています*1。条文が上限ではないという意味です*1。

自社の実装に置き換えて整えること

コロラド州の法律ですが、生体認証を持つ製品の設計論点として読み替えられます。

第一に、識別に使っているかどうかでデータを分けることです。写真や音声は識別の目的で使用される場合を除き対象外とされました*1。逆に言えば、同じ保管庫に識別用と記録用を混ぜていると、全体が対象として扱われかねません。テーブルや保管先を最初から分けておくと、範囲の説明が短くなります。

第二に、削除の起点を3つとも実装することです。期限は最も早い日です*1。最終アクセスから24か月というタイマーだけを実装すると、目的達成による削除と、年1回の見直しによる45日の削除が抜けます。目的の達成を記録するフラグと、見直しの結果を書き込む欄が必要になります。保持期間とローテーションで扱う仕組みに、目的側の条件を足す形です。

第三に、用途ごとに同意の根拠を分けて持つことです。入退室のための生体認証は雇用条件にできても、位置や使用時間の追跡のための保持には同意を取れません*1。同意フラグを1つで持つと、この区別を表現できません。用途を列にして、根拠ごとに可否を持たせる設計が要ります。

第四に、処理者としての手順を自社に置くことです。処理者にもデータセキュリティ事案に対応する手順と管理者へ通知する手続が求められます*1。委託先として受けている場合、発注元の方針を参照するだけでは条文を満たしません。自社の手順書として持ち、通知の宛先と時間の目安まで書いておく必要があります。

第五に、業務委託の要員を数に入れることです。「従業員」には契約者、下請者、インターン、フェローが含まれます*1。入退室の生体認証を常駐の委託要員にも使っているなら、その同意と保持の扱いは自社従業員と同じ枠で考えることになります。

誤解されやすいのは、小規模なら適用されないという読み方です。生体識別子については年間に管理または処理する量にかかわらず対象に入ります*1。ただし範囲は生体の目的に限られ、アクセス権のように従来のしきい値を満たす事業者だけに及ぶ義務もあります*1。適用されるかどうかではなく、どの義務がどこまで及ぶかを分けて見るほうが実態に合います。同じ州の自動処理の規制はコロラド州のADMT法で扱う枠組みが対応します。

まとめ：コロラド州の生体情報法で押さえる3つの視点

米国コロラド州の下院法案24-1130は2025年7月1日に施行され、コロラドプライバシー法に第6-1-1314条を新設しました。押さえたい視点は三つあります。第一に、適用の入口。従来はコロラド州で事業を行うなどの条件に加えて年10万人以上、または2万5千人以上とデータ販売による収益というしきい値が必要でしたが、生体識別子と生体データについては年間に管理または処理する量にかかわらず対象に入ります。ただし、この入口だけで入った管理者は、自らが収集し処理する生体識別子または生体データの目的に限って遵守します。第二に、文書と削除。生体識別子を1つ以上扱う管理者は、保持のスケジュール、データセキュリティ事案への対応手順（第6-1-716条に基づく消費者への通知手続を含む）、削除のガイドラインを含む書面の方針を持ち、原則として公開します。現在の従業員のみに適用される方針、運営のために従業員と代理人のみが用いる方針、内部の対応手順は公開しません。削除は、当初の目的が達成された日、消費者が最後にやりとりしてから24か月後、少なくとも年1回の見直しで保存が不要と判断してから45日以内（さらに45日まで延長可）のうち最も早い日が期限です。第三に、従業員の扱い。雇用条件として同意を求められるのは、区域と機器へのアクセス、勤務の開始と終了の記録、職場の労働安全と警備、緊急時の公共の安全という4つの用途に限られます。区域と機器へのアクセスであっても、位置の追跡やアプリの使用時間の追跡に用いる生体データの保持については同意を取得できません。「従業員」には契約者、下請者、インターン、フェローが含まれます。

よくある質問

出典

1. *1　参考：コロラド州議会 下院法案24-1130「Concerning protecting the privacy of an individual’s biometric data.」（成立法文PDF・2025年7月1日施行）（https://leg.colorado.gov/bills/hb24-1130）。成立した法文（12ページ）の一次情報として。第6-1-1314条の新設内容（書面の方針の3要素、削除期限の3つの起点と45日の延長、公開義務の3つの例外、処理者の対応手順、収集前の4つの説明、販売の禁止と開示できる4つの場合、提供拒否と価格差別の禁止、業界の注意の水準、アクセス権とその適用範囲、雇用条件として同意を求められる4つの用途と位置追跡等の但し書き、報復の禁止、従業員の定義、合理的な期待に沿う用途、法務部門の規則制定権）、第6-1-1303条に追加された生体データと生体識別子の定義と除外、第6-1-1304条(1)(b)による取扱量を問わない適用と生体の目的に限る旨、ならびに立法趣旨（変更できない識別子であること、顔認識の誤認と誤分類）を確認した。確認日は2026年9月7日。（2026年9月確認）

Tweet