ウォータールー大学、自販機の顔認識エラーメッセージで個人情報懸念が拡大
(kitchener.ctvnews.ca)- University of Waterloo キャンパスのスマート自販機で顔認識アプリケーションのエラーが表示され、学生たちは案内なしに生体情報・人口統計情報の検知が行われていた可能性を懸念
- 問題の機器は M&M デザインのチョコレート・キャンディー自販機で、Modern Languages 棟や Hagey Hall などキャンパス内の複数箇所に設置されていた
- エラー画面の写真がオンラインで拡散した後、学生たちは小さな穴をカメラまたはセンサーと見なし、sticky tack、ガム、付箋などで塞ぎ始めた
- 供給サービス会社 Adaria は機器の所有・製造やデータへのアクセスを否定し、製造元 Invenda はソフトウェアがローカル処理のみを行い、画像や個人識別情報を保存・送信しないと回答
- University of Waterloo は該当の自販機をできるだけ早く撤去し、それまで関連ソフトウェアを無効化するよう要請
エラーメッセージで明らかになったキャンパス自販機問題
- University of Waterloo のスマート自販機は、学生の個人情報への懸念を受けてキャンパスから撤去される予定
- これらの自販機には M&M の画像が貼られており、チョコレートやその他のキャンディーを販売している
- 設置場所には Modern Languages 棟と Hagey Hall が含まれる
- 2月初め、ある学生が Modern Languages 棟の自販機でエラーメッセージを発見
- メッセージは顔認識アプリケーションの問題を示しているようだった
- 4年生の River Stanley は、このエラーがなければ学生たちは気づかなかっただろうし、現場には警告もなかったと述べた
学生の反応とオンラインでの拡散
- エラーメッセージの写真がオンラインに投稿された後、学生の間で急速に共有された
- 多くの学生が自販機の小さな穴をカメラの位置だと見て塞ごうとした
- 使われた物には sticky tack、ガム、付箋などが含まれる
- 学生の Dilpreet Sandhu は、自販機に顔認識が必要だとは思わず驚いたと語った
- Sandhu は、この事実を知ってから他の場所でも同様の技術が使われているのではないかと疑問を抱くようになったと付け加えた
- University campus の一般的な利用者は10代後半から20代前半の若い成人だとも述べた
Adaria、MARS、Invenda の立場
- 自販機提供会社の Adaria Vending Services Limited は、メールで自社は fulfillment service provider だと説明
- 機器を所有・製造していない
- 機器から得られるその種のデータにはアクセスできない
- 自販機は MARS が所有し、製造元は Invenda
- MARS は CTV のコメント要請に応じていない
- Invenda も CTV のコメント要請には応じなかったが、Stanley に送ったメールで、自販機内の人口統計検知ソフトウェアは完全にローカルで動作すると回答
- 画像や個人識別情報は保存しない
- 画像や個人識別情報を通信・送信しない
Invenda のWebサイトにある検知機能の説明
- Invenda のWebサイトによると、Smart Vending Machines は人の存在、推定年齢、性別を検知できる
- Webサイトでは、ソフトウェアが USB 光学センサーからのデジタル画像マップをリアルタイムでローカル処理すると説明している
- そのデータは永続的な保存媒体には保存されない
- インターネット経由でクラウドに送信されない
- Invenda は Stanley に対し、当該ソフトウェアは欧州連合の個人情報保護法である GDPR に準拠していると回答
- Stanley は、この技術がカナダで合法なのか疑問を呈している
カナダの個人情報事例と大学の対応
- 2020年のカナダ連邦プライバシー委員会の調査では、Cadillac Fairview のデジタル案内キオスクに内蔵されたカメラが、ショッピングモール利用者の認知や同意なしに500万枚以上の画像を記録していたことが確認された
- そのキオスクは顔認識技術を使用していた
- Stanley は、明示的で意味のある同意がなければ個人情報関連法規への違反となり得るという事例を学生に知らせるべきだと考えている
- University of Waterloo は状況に対応中だと明らかにした
- 大学は該当の自販機をできるだけ早くキャンパスから撤去するよう要請
- それまでの間、ソフトウェアを無効化するよう求めている
- Stanley は、大学が自販機の撤去を実行しなければ、オンタリオ州情報・プライバシー委員会に苦情を申し立てると述べた
1件のコメント
Hacker Newsのコメント
販売会社のブローシャーを見つけたところ、自販機がこの情報を何に使うのかがかなり露骨に書かれていた。
誰が何を買うかというデモグラフィック情報を性別・年齢などで収集し、それを広告ターゲティングに使うとのこと。さらに「パートナーのメディアブローカー」とも共有すると書かれている。
アプリを入れると「ゲーミフィケーション」で売上を増やせる点も自慢している: https://a.storyblok.com/f/184550/x/e7435c019e/brochure-svm_g...
購入者の立場では何一つ良くなっていない。全在庫をひと目で確認できないし、残数も分からないし、機械側もそれを安定して把握できていない。あらゆる操作は遅く、その見返りに広告とミニゲームを押しつけられる。
夜遅くに腹が減っていて、電車は2分後に出るのに、ただSnickersを1本買いたいだけなんだ。こういう会社は害悪に近い
本物だとは思うけど、悪ふざけで誰かがいたずらしている状況も想像してしまう。ダイアログのタイトルにせよアプリ名にせよ、わざとそう作ったように見える。
2000年代後半に勤めていた会社が自動小便器のあるオフィスへ移転したのだが、当時はかなり珍しい代物だった。つや消しの黒いプラスチック製の装置に洗浄レバーがあり、暗い赤外線透過プラスチックの光沢ある窓が付いていた。
どう見ても自動洗浄用の近接センサーだったのに、誰かが公式の案内文のように「カメラに触れないでください」と貼り紙をして、何人かを本気で不安にさせていた
ウェブサイトの「USB optical sensorから派生したdigital image mapをリアルタイムでローカル処理する」という文言を見ると、USB optical sensorは実は隠しカメラで、「digital image maps」はそのカメラ画像のことなのではと疑ってしまう。
もしそうなら、「そのデータを恒久的な記憶媒体に保存したり、インターネット経由でクラウドに送信したりはしない」という残りの文も、逃げ道を作るための表現かもしれない
画像や生の深度マップをインターネットに送っていないという話は信じられる。データ量も多いし、そんな生データを何に使うのかもあまり思いつかない。
ただし、デモグラフィック情報、ひょっとすると個々のユーザーまでを特定の購買パターンと結びつけようとしているのは、ほぼ確実に見える
2018年にRenesasが「Facial Expression Kit Giveaway」コンテストをやっていて、そのうちの1台をもらった。「RZ Omron Facial Expression Kit giveaway」で、RZは当時比較的新しいマイクロコントローラーのラインの1つだった。
景品を受け取るには陳述書への署名が必要で、実際に署名したが、結局使わず、後で地元のHamfestに流した。サンプルコードは自販機だった。
今日見つけられた関連資料はこれくらい: 「OMRON Develops Real-Time Facial Expression Estimation Technology」 https://www.omron.com/media/press/2012/10/e1023.html
以前働いていた場所の自販機では、SSNの下4桁を入力させられた。本当に嫌だった
アメリカでは、まだ顔認識はそんなに普及していないのか？
イギリスではもうどこにでもある。ほとんどの店舗や決済システムに入っているし、全国のCCTVでも使われていて、警察はデモ参加者の特定に利用している。自分の住む地域の学校では、子どもたちや家族を監視するために、子どものスマホへスパイウェアまで入れている。
ここでは、自販機が自分を識別していると知っても、気にする人がいるのかあまり想像できない。何が危険なんだ？
世界中へ広がりうる情報を集めて、広告をより上手く売るための収集装置なんだ。
毎週金曜の05:00に炭酸飲料を買う、みたいな分類が作られるかもしれない。「パーティー好き」みたいに。そうでないかもしれないが、わざわざソフトウェアやカメラに追加コストをかけたのが、本当に損をしたいからだとは思えない
公益のために命懸けで政府の監視カメラを破壊したり撤去したりする人たちを、ますます尊敬するようになった
こういうものは本当に気が狂いそうになるが、記事の結末は思ったほど絶望的ではない。学生たちが草の根で立ち向かい、大学がおそらく対処し、人々が法の下で何かできると感じられるのは良いことだ
こうしたことがますます当たり前として受け入れられないよう、引き続き圧力をかける必要があるし、処罰もますます厳しくなるべきだ。そうしてこそ人々はより力を得て、立ち向かえる
こうした装置を「破壊」する権利があることも、法律で明確にすべきだ。個人的には、こういう物を 野球バットで叩き壊す行為 は少なくとも法廷で弁護可能であるべきだと思う
人々がどの追跡は「許容できる」と感じ、どの追跡は「許容できない」と感じるのか、その境界がどこにあるのか気になる
ここでは、学生たちはほぼ例外なく 顔認識 を嫌っているようだ。一方で、オンライン追跡については気にしないという人も多く見てきた
おそらく追跡が現実世界に持ち込まれ、より「現実的」に感じられるとき、人はより敏感になるのだろう
だが、医師から送られてきた血液検査の PDF を集めて保険会社に売っていると知ったら、それは客観的に見て合理的な同意の範囲を外れている
M&M を売る状況であれば、私が適切だと考える データ収集の許容範囲 は非常に低い
しかしこの場合は、自販機会社かその流通網のどこかが、自販機の利用者に 人口統計ベースの広告 を見せるために使っている。しかも製品代は引き続き自分が払うし、従来の非ターゲティング広告がターゲティング広告に変わるわけでもない。そもそも広告はなかった
広告収益の一部を自分に還元してくれるわけでもなく、近くの自販機はどれも同じ会社の所有である可能性が高く、競争もない。結局は会社にとっての追加収益源にすぎず、利用者には何の役にも立たない
こういうときに必要な ヴァンダル たちは、いったいどこへ行ってしまったのか？
瞬間接着剤を少し使えば済む話だ