なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:高木浩光

display_monitor_computer
このブログ記事の概要
アメリカ・日本のプライバシーに関する自己情報コントロール権に対応する欧州の「情報自己決定権」は、アメリカで生まれた自己情報コントロール権をもとにドイツの1983年の国勢調査判決で「新しい基本権」(新しい人権)として生まれました(国勢調査法違憲判決・1983年12月15日連邦憲法裁判所第1法定判決・BVerfGE 65,1, Urteil v.15.12.1983)。

このブログ記事では、国勢調査事件判決と欧州の情報自己決定権、日本の自己情報コントロール権の発展と、これらの権利への高木浩光先生の批判などについて簡単に説明したいと思います。

1.ドイツ国勢調査事件の事案の概要
ドイツの1982年の国勢調査法に基づき、1983年4月に実施が予定されていた人口、職業、住宅、事業所の国勢調査について、原告は、国勢調査法は西ドイツ基本法1条1項(人間の尊厳)に関連づけられた2条1項(人格の自由な発展の権利)などの基本権(人権)を侵害しているとして、連邦憲法裁判所に対して憲法異議の申し立てを行った。

主な争点となった、国勢調査法9条は、国勢調査の調査事項の利用について規定していたが、同法9条1項は届出記録簿(=日本の住民票に相当する)との照合を認め、同法同条2項は連邦およびラント(州)の所管の最上級行政庁への提供を可能とし、同法同条3項は一定の行政執行上の利用目的のために市町村等の利用を認める規定となっていた。

これに対して連邦憲法裁判所は、1983年12月15日に本判決を出した。

2.判旨
(1)一般的人格権について
(a)まず、審査の基準となるのは、基本法1条1項に関係づけられた2条1項によって保護された一般的人格権である。基本法的秩序の中核となるのは、自由な社会の要としての自由な自己決定において作用する個人の価値と尊厳である。これまでの判例によって具体化されてきた人格権の内容は、完結的ではない。それは、これまでの判決が示しているように、自己決定の思想から引き出される、個人的生活実態をいつ、どこまで公開するかを、基本的に自身で決定する個人の権能を含むのである。

 個人の自己決定は、現代の情報処理技術の諸条件の下でも、個人にこれから行うか中止しようとしている行動について、実際にその決定に従って行動する可能性を含めて、決定の自由が与えられていることが前提となる。自己に関するどのような情報が自分を取り巻く一定範囲の社会的環境において知られているのかについて十分な確実性をもって見通すことができない者や、コミュニケーションの相手方となりうる者がどのような知識を持っているかをある程度評価査定することができない者は、自分自身の自己決定を基にして計画を立て、判断を下す自己の自由を著しく阻まれることもある。逸脱した行動が、常に記録され、情報として永続的に蓄積され、利用され、伝達されることに不安を抱く者は、そのような行動によって目立つことを控えようとするであろう。このことは、個人のそれぞれの発展の機会を妨げるだけでなく、公共の福祉をも害する。なぜなら、自己決定は、市民の行動及び協業能力に基づく自由で民主的な国家共同体の基本的な機能条件であるからである。

(b)この情報自己決定権は、無制限に保障されているのではない。個人は、共同体の中で発展し、コミュニケーションに依存している人格である。情報は、個人に関係していても、社会的事実の描写であり、当該個人だけのものではない。基本法は、個人の共同関係性及び共同体被拘束性という意味において個人対共同体の緊張関係について決定してきたのであるから、個人は、その情報自己決定権について、原則として優越する公益による制限を受忍しなければならない。  この制限は、基本法2条1項に従い、その制限の要件と範囲が明らかで市民が認識することができ、それにより規範の明確性という法治国家の要請に応える(憲法に適合した)法律の根拠を必要とする。その規制に際して、立法者は、さらに比例原則を遵守しなければならない。このような憲法上の原則は、基本権が国家に対する市民の一般的自由権の表現として、公益を保護するための不可欠な限度においてのみ、その都度公権力によって制限できるという、基本権自体の本質から引き出されるものである。

 自動的データ処理の利用による既述の危険に鑑み、立法者は、人格権の侵害の危険に対抗できる組織的及び手続的な予防措置を講じなければならない。データが人格権法上有する意味を確認するためには、その利用可能性に関する知識を必要とする。申告が何の目的のために要求され、どんな結合及び利用の可能性があるのかが明らかになって初めて、許容しうる情報自己決定権の制限の問題に答えることができる。その際、個別化され、匿名化されていない形式で調査され、処理される個人に関連するデータと、統計目的用に確定されたそれとの間の区別が必要である。 

(c)個別化され、匿名化されていない個人に関連するデータの申告を強制するには、立法者が、領域を特定し、かつ、正確にその利用目的を規定すること、この目的のために申告項目が適切かつ必要であることが前提となる。匿名化されないデータを、不特定の又は特定することができない目的のために取集し、蓄積することは、このことと相いれないであろう。データの利用は、法律で規定された目的に制限される。自動データ処理の危険に関しては、伝達禁止及び利用禁止により、目的転用に対する保護が必要である。手続的予防措置としては、説明義務、情報提供義務及び消去義務が必要である。

(d)統計目的のためのデータの調査と処理は、憲法判断にとって軽視することができない特殊性を有する。データが様々な、予め規定することができない任務のために利用されることは、統計の本質に属する。統計の性質上、様々な利用及び結合の可能性を予め特定することができない以上、情報システムの内部において、情報の調査及び処理に、これを保障するだけの制限を設けなければならない。個人に関する申告の自動的な調査及び処理については、個人が、単なる情報客体として扱われないようにするための明確に定義された処理要件が定められなければならない。データ処理の多機能性に鑑み、あらゆる申告が求められてはならず、公的任務を充足する補助としてのみなされなければならない。立法者は、申請義務を定めるに際しても、それが該当者に社会的なレッテル(例えば、麻薬常習者、前科者、精神病者、はみだし人間)を貼ることにならないか、調査の目的が、匿名の調査によって達成することができないかどうかを吟味しなければならない。(後略)

(2)1983年国勢調査法9条の違憲性
(a)1983年国勢調査法9条1項は「2条1号及び2号に基づく国勢調査の申告は、届出記録簿と照合し、その訂正に利用することができる。この申告から得られる知識は、個々の申告義務者への対抗措置のために利用してはならない」とし、市町村にそのような利用権限を認めているが、この規定は、基本法1条1項に関連付けられた2条1項で保障される情報自己決定権を侵害する。なぜなら、1983年国勢調査から選び出される個人データは、統計目的だけでなく、具体的な目的拘束を受けない行政執行のためにも利用することができるし、さらに届出記録と照合する官庁は、届出法大綱法などによってその任務上、そうしたデータを他の官庁に伝達することができるから、どの官庁がどんな目的のためにデータを利用するかを予測することができないからである。(後略)

(b)国勢調査法9条2項も、基本法1条1項に関係づけられた2条1項に違反している。この規定は、個人に関係する個別的申告を連邦及び州の統計局から専門的権限を有する最上級の連邦及び州官庁並びにそれらに指定された機関に、これらの機関がその権限に属する任務を合法的に遂行するために必要である限り、伝達することを認めている。この規定は、連邦統計法11条5項(匿名化された個別事項の伝達を許容している)・6項を逸脱している。なぜなら、この規定によると、データは、単に氏名と9条2項2文による宗教団体への所属・非所属を削除すれば伝達することができるから、当該者を容易に識別することができるからである。伝達は単に統計目的のためにだけなのか、それとも行政執行のためにも許されるのかを、規定から認識することができない。この規定から、行政目的のための伝達が予定されているのか、匿名化されていないデータが提供される場合に必要なように、どのような具体的に明確に定義された目的が問題となるのかを、明確に認識することができない以上、それは市民の情報自己決定権を侵害している。

(c)国勢調査法9条3項は、基本法1条1項に関係づけられた2条1項に違反している。9条3項1文によれば、市町村の助けを借りて調査された個人関係項目は、名前を付すことなく、地方自治体の領域において特定の行政目的のために利用することができる。すなわち所得の額と宗教法人への所属・非所属を除く、国勢調査法2条ないし4条によって把握された個人に関係する個々の申告は、広域地方計画、測量業務、市町村の計画及び環境保護の目的のために、伝達することができる。しかしデータがどのような具体的目的のために伝達されるのか、特に統計目的のためだけなのか、行政執行目的も含まれるのか、その場合どのような具体的に明確に定義された目的が問題となるのかを、十分に認識することができない。規定された目的の不明瞭性についていえば、連邦及び州の統計庁も、それぞれの目的を達するための市町村又は市町村連合への伝達が、匿名化された項目でも十分でないのかどうかも確定することができない。(後略)

3.検討
(1)情報自己決定権
当時の西ドイツ基本法(現在のドイツ基本法)の2条1項(人格の自由な発展の権利)は、「何人も、…自らの人格の自由な発展を求める権利を有する。」と日本の憲法13条後段の幸福追求権のような規定を置いています。この基本権2条1項により、国民は他人の権利を侵害せず、憲法的秩序(=基本権(=基本的人権)など、憲法に適合した法秩序)または道徳律に違反しない限り、国民は一般的行動の自由を保障されるという「一般的行動の自由」が認められてきました。

ドイツ基本法
第1条 [人間の尊厳、基本権による国家権力の拘束]
(1) 人間の尊厳は不可侵である。これを尊重し、および保護することは、すべての国家権力の義務である。

第2条 [人格の自由]
(1) 何人も、他人の権利を侵害せず、かつ憲法的秩序または道徳律に違反しない限り、自らの人格の自由な発展を求める権利を有する。

日本国憲法
第13条 すべて国民は、個人として尊重される。生命、自由及び幸福追求に対する国民の権利については、公共の福祉に反しない限り、立法その他の国政の上で、最大の尊重を必要とする。

また、基本法1条1項(人間の尊厳)は「人間の尊厳は不可侵である。これを尊重し、および保護することは、すべての国家権力の義務である。」と日本の憲法13条前段の「すべて国民は個人として尊重される」に似た規定を置いています。そしてドイツ連邦憲法裁判所は、基本権1条1項の価値内容(人間の尊厳)を2条1項(人格の自由な発展の権利)で補充することにより、一般の行動の自由とは区別された、より限定された人格領域を「一般的人格権」として保障しているとしました。

一般的人格権の具体的な保障対象は、私的・秘密・内密領域、個人の名誉、個人の人格的表現、自己の肖像・発言に関する権利などであるとされています。個人はその私的な問題を自分で決定することができますが、これが一般的人格権に由来する「自己決定権」です。国勢調査事件判決は、この自己決定権と一般的人格権から、個人に自己の個人情報に対する自己決定権を「情報自己決定権」として認めたものです。

この情報自己決定権において重要なのは、個人情報の有用性と利用可能性であり、これらが永続性を有し、同質的に組み立てられた情報の集積として処理される点です。本判決はこの点を「些末な情報はもはや存在しない」と表現しています。そのため、個人情報保護の目的は、これまでなかった方法で個人の行動が監視・観察され、影響を与えられる方法が拡大されたことによる心理的圧迫を阻止することであるとされています。

(2)情報自己決定権の内容やその制約
この国勢調査判決においてドイツ連邦憲法裁判所は、情報自己決定権を「自己の個人データの放棄および使用について、原則として自ら決定する権限」と定義し、その制約については、①優越した一般的利益、②規範の明確性の要請を満たした法律上の根拠、③比例原則、④人格権侵害を予防するための組織的・手続的予防措置を要求しました。また、⑤統計目的のデータ取得については、統計目的で取得したデータを法執行目的で利用する場合には、限定的で具体的な利用目的による拘束が不可欠であり、規範の明確性の要請が特に重要であるとしました。

ドイツ憲法裁判所は国勢調査判決において、個人情報・個人データについて「(公権力からの)申告の性質だけに照準を合わせることはできない。決定的であるのは、(個人情報・個人データの)その有用性や利用可能性である。これらは、一方における取得の目的、他方における情報技術に固有の処理可能性および結合可能性に左右される。それにより、それだけを見れば些末な情報が、新たな位置・価値を取得する。その限りで、自動化されたデータ処理という前提のもとでは、「些末な」情報はもはや存在しない。」と述べ、情報自己決定権の必要性を説明しています(小山剛「なぜ「情報自己決定権」か」『日本国憲法の継承と発展』320頁)。

日米の自己情報コントロール権とヨーロッパの情報自己決定権との違いは、情報自己決定権に対する公権力などからの制約には、上の①から⑤までの要件・歯止めがある一方で、自己情報コントロール権にはそのような公権力からの制約に関する要件・歯止めが不十分であることにあるとされています。

例えば、警察のNシステムによる自動車のナンバープレート情報や、公道に設置された防犯カメラ・監視カメラによる人の容貌や顔などの情報など、それ自体は外部に公開されている情報の、法的強制を伴わない取得・保存・利用において顕著に表れるとされています。

Nシステムについて2009年の日本の裁判例(東京高裁平成21年1月29日判決)は、「わが国においては警察法2条1項の規定により任意の捜査は許容されており、公道上の何人でも確認し得る車両データを収集・利用することは適法」としています。

一方、ドイツ連邦裁判所は「自動車ナンバープレートの自動記録に関する法律は、法律による授権の特定性および明確性という法治国家の要請を充足しなければならない。」「不特定の広範さゆえに、この法律の規定は憲法上の比例原則の要請も満たしていない」として違憲としています(2008年3月11日ドイツ連邦憲法裁判所第一法廷判決・BVerfGE 120.378[407.427]、小山・前掲)。

このドイツをはじめとするヨーロッパの情報自己決定権は、アメリカの自己情報コントロール権に影響されてドイツ等で生み出されたものとされています(藤原静雄「「西ドイツの国勢調査判決における「情報の自己決定権」」一橋論叢94巻5号728頁)。

(3)欧州基本権憲章・GDPRなど
欧州の基本権憲章(いわゆるEU憲法)は、欧州各国の2007年のリスボン条約批准で成立し、2009年より発効し法的拘束力を持つものとなっています。この欧州基本権憲章は7条で古典的プライバシー権や通信の秘密などについて規定し、8条は個人情報保護に関する規定を置いています。この8条の個人情報保護の土台となるのが上でみた情報自己決定権であり、欧州は個人情報保護の問題について、古典的プライバシー権と情報自己決定権を組み合わせて問題を処理しているとされています。そして情報自己決定権、欧州基本権憲章7条・8条を土台としてGDPR(EU一般データ保護規則)などが制定されています。

(4)日本の自己情報コントロール権の状況
日本においては、プライバシー権と個人情報保護法(個人データ保護法)については、アメリカで「ひとりで放っておいてもらう権利」として生まれた従来からの古典的なプライバシー権を包含する形で自己情報コントロール権が生まれ、佐藤幸治教授などにより日本に輸入され、日本においては自己情報コントロール権が通説的な見解とされています。

つまり、個人の私的領域に他者を無断で立ち入らせないという自由権的なプライバシー権は、情報化社会の進展に伴い、「自己に関する情報をコントロールする権利」(自己情報コントロール権)としてとらえられ、自由権的側面だけでなく、プライバシーの保護を公権力に対して積極的に要求してゆく側面が重視されるようになってきているとされています。すなわち、個人に関する情報(個人情報)が行政機関などに集中的に管理されるようになった現代社会においては、個人が自己に関する情報を自らコントロールし、自己に関する情報についての閲覧・訂正ないし抹消請求を求めることが必要であると考えられています(芦部信喜・高橋和之補訂『憲法 第7版』123頁)。そしてこの考え方は、棟居快行教授の「自己イメージコントロール権」や、山本龍彦教授の「構造審査とコミュニケーションの相手方や媒体などにより自己の情報を出し入れする自己情報コントロール権」などに発展しています。

このような日本の自己情報コントロール権に状況について、宍戸常寿教授らの『憲法1基本権』121頁は、自己情報コントロール権は「漠然としている」などの問題点を指摘しつつも、個人情報の開示・訂正等の請求権は基本権(人権)であるとしています。

一方、情報セキュリティやITの専門家である情報法制研究所の高木浩光氏(工学博士)は、個人情報保護法の立法目的は「データによる人の選別」を防ぐことであるとして、日米の自己情報コントロール権や欧州の情報自己決定権を批判しています。
・高木浩光さんに訊く、個人データ保護の真髄 ——いま解き明かされる半世紀の経緯と混乱|JILIS

このブログ記事が面白かったら、ブックマークやシェアをお願いします!

■関連する記事
・ドイツ・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権について
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング

■参考文献
・平松毅「自己情報決定権と国勢調査-国勢調査法一部違憲判決」『ドイツの憲法判例(第2版)』60頁
・小山剛「なぜ「情報自己決定権」か」『日本国憲法の継承と発展』320頁
・藤原静雄「西ドイツ国勢調査判決における「情報の自己決定権」」『一橋論叢第』94巻第5号728頁
・渡辺康行・宍戸常寿・松本和彦・工藤達郎『憲法1基本権』121頁
・山本龍彦・横大道聡『憲法学の現在地』139頁
・曽我部真裕「自己情報コントロールは基本権か?」『憲法研究』2018年11月号71頁
・高木浩光さんに訊く、個人データ保護の真髄 ——いま解き明かされる半世紀の経緯と混乱|JILIS

















このエントリーをはてなブックマークに追加 mixiチェック

最高裁

2022年1月20日、Coinhive事件について、東京高裁判決で不正指令電磁的記録保管罪(刑法168条の3)10万円の罰金の有罪判決を受けていた被告人のウェブデザイナーのモロ氏に対して、最高裁は東京高裁判決を破棄自判し無罪との判決を出したとのことです。これは非常に画期的な判決です。

1.Coinhive事件の事案の概要
ウェブデザイナーの被告人(モロ氏)は自らが運営する音楽ウェブサイトAの維持運営費捻出のため、2017年9月から11月にかけてウェブサイトAの閲覧者が使用するコンピュータについて閲覧者本人の同意を得ることなく仮想通貨のマイニング(採掘作業)を実行させるコインハイブ(coinhive)というプログラムコード(スクリプト)が設置された海外のサーバーにアクセスさせ、コインハイブのプログラムコードを取得させマイニングをさせるために、ウェブサイトAを構成するファイル内にコインハイブを呼出すタグを設置したところ、2018年に神奈川県警に不正指令電磁的記録保存罪(刑法168条の3)に該当するとして起訴された。

第一審判決(横浜地裁平成31年3月27日判決)は、不正指令電磁的記録保存罪(刑法168条の3)について、その構成要件の「反意図性」は認めたものの、「不正性」(=社会的許容性)は満たしていないとして被告人を無罪とした。

これに対して検察側が控訴した第二審判決(東京高裁令和2年2月7日判決)は、「プログラムの反意図性は、当該プログラムの機能について一般的に認識すべきと考えられるところを基準とした上で、一般的なプロブラム使用者の意思から規範的に判断されるべきものである」としつつも、「本件プログラムコードで実施されるマイニングは、…閲覧者の電子計算機に一定の負荷を与えるものであるのに、このような機能の提供に関して報酬が発生した場合にも閲覧者には利益がもたらされないし、マイニングが実行されていることは閲覧中の画面等には表示されず、閲覧者に、マイニングによって電子計算機の機能が提供されていることを知る機会やマイニングの実行を拒絶する機会も保障されていない。」として、「反意図性を肯定した原判決の結論に誤りはない」としています。

そして本高裁判決は、「刑法168条の2以下の規定は、一般的なプログラム使用者の意に反する反意図性のあるプログラムのうち、不正な指令を与えるものを規制の対象としている。」とし、「本件プログラムコードは、…知らないうちに電子計算機の機能を提供させるものであって、一定の不利益を与える類型のプログラムと言える上、その生じる不利益に関する表示等もされないのであるから、このようなプログラムについて、プログラムに対する信頼保護という観点から社会的に許容すべき点は見あたらない」として「不正性」があるとして、被告人を有罪として罰金10万円としています。これに対して被告人側が上告したのが本最高裁判決です。

2.最高裁の判断
これに対して2022年1月20日の最高裁第一小法廷(山口厚裁判長)は、罰金10万円を命じた2審・東京高裁判決を破棄自判し、無罪との判決を出しました。裁判官5人全員一致の判断だったとのことです。

弁護士ドットコムニュースによると、最高裁はおおむねつぎのように述べたとのことです。

第一小法廷はマイニングによりPCの機能や情報処理に与える影響は、「サイト閲覧中に閲覧者のCPUの中央処理装置を一定程度使用するに止まり、その仕様の程度も、閲覧者がその変化に気付くほどのものではなかった」と指摘。

ウェブサイトの運営者が閲覧を通じて利益を得る仕組みは「ウェブサイトによる情報の流通にとって重要」とし、「広告表示と比較しても影響に有意な差異は認められず、社会的に許容し得る範囲内」と述べ、「プログラムコードの反意図性は認められるが不正性は認められないため、不正指令電磁的記録とは認められない」と結論づけた。
(「コインハイブ事件の有罪判決、破棄自判で「無罪」に最高裁」『弁護士ドットコムニュース』2022年1月20日付より)
・コインハイブ事件の有罪判決、破棄自判で「無罪」に 最高裁|弁護士ドットコムニュース

3.最高裁判決の評価
この最高裁判決の概要をみると、最高裁はウェブサイトの運営者が閲覧を通じて利益を得る仕組みは「ウェブサイトによる情報の流通にとって重要」とし、「広告表示と比較しても影響に有意な差異は認められず、社会的に許容し得る範囲内」と判示していることは非常に画期的であると思われます。

東京高裁判決は、マイニングソフトによるサイト閲覧者の「損得勘定」に非常に敏感で、サイト閲覧者がウェブサイトを閲覧して少しでも経済的負担を受けるであるとか、PC等が少しでも摩耗することは絶対に許されないという、サイト閲覧者は絶対的な「お客様」という価値判断をもとに判決を行っていました。

これに対しては、「東京高裁判決はサイト閲覧者の側からの視点でしか物事を考えておらず、これは不正指令電磁的記録の罪は一般的・類型的な一般人の判断を元に「反意図性」や「不正性」が判断されるべきところ、東京高裁判決はサイトを作り運用する側の人間からの視線が欠けている」などと批判されているところでした(渡邊卓也「不正指令電磁的記録に関する罪における版「意図」性の判断」『情報ネットワーク・ローレビュー』19巻16頁など)。

しかし本最高裁判決は、ウェブサイトの作成者・運営者の視線も取り入れ、「ウェブサイトの運営者が閲覧を通じて利益を得る仕組みは「ウェブサイトによる情報の流通にとって重要」とし、「広告表示と比較しても影響に有意な差異は認められず、社会的に許容し得る範囲内」としており、非常にバランスのとれた、まともな判決であると思われます。

「ネット広告はサイト閲覧者に表示されているから合法だが、閲覧者の見えないところでマイニングソフトが稼働していることは違法で許されない」としていた東京高裁の裁判官や、神奈川県警サイバー犯罪本部、「マイニングソフトが稼働していることをサイト運営者はサイト閲覧者に明示しなければ不正指令電磁的記録作成罪等に該当するおそれがある」などの注意喚起の資料を作成していた警察庁・警視庁は、ITリテラシーや情報セキュリティ、個人情報保護法などの基礎を今一度勉強しなおすべきです。

また、東京高裁は、「本マイニングソフトは50%などの負荷の設定が可能であり、サイト閲覧者のPCへの負担は重大で違法性は高い」等としていました。

さらに、第一審の横浜地裁で被告人側の証人として出頭した高木浩光先生のcoinhiveがサイト閲覧者のPCにおよぼす負荷が低いことや、PCの使いごこちは低下しないとの証言について、最高検の検事達は「証人の再現実験による証言は、証人のPCがMacbook Proであることから信用できない」等とこれも非常にITリテラシーのない主張や、被告人のモロ氏が自らのサイトにcoinhiveを設置したのに、最高検の検事達は「これはクリプトジャッキングであり、弁護人たちはサラミ法も知らないのか」などと見当はずれな主張をしていたことについても、本最高裁判決は、「マイニングによりPCの機能や情報処理に与える影響は、「サイト閲覧中に閲覧者のCPUの中央処理装置を一定程度使用するに止まり、その仕様の程度も、閲覧者がその変化に気付くほどのものではなかった」と判示していることも非常に正当であり、まともな判決であるといえます

4.高木浩光先生の見解
情報法と情報セキュリティが専門の産業技術総合研究所主任研究員の高木浩光先生は、”coinhive事件の東京高裁判決は、コンピュータ・プログラムの「機能」と「動作」を混同している(例えばマイニングは「機能」であり、「サーバーから与えられた値に乱数を加えてハッシュ計算を繰り返し、目標の結果が出たらサーバーに報告する処理」は「動作」である)と指摘しています(高木浩光「コインハイブ不正指令事件の控訴審逆転判決で残された論点」『Law&Technology』91号46頁))。

その上で高木先生は、東京高裁判決の「機能」と「動作」を整理しなおすと、①閲覧に必要なものでない点と、②無断で電子計算機の機能を提供させて利益を得ようとする、という2点を問題視するが、これは「刑法の判例・通説が「利益窃盗」は処罰できない」としていることを覆すものであるが、不正指令電磁的記録作成罪に関する法務省の法制審でも国会でも、そのような視点からの検討や議論はまったくなされておらず、東京高裁判決は違法・不当であると批判されています(高木・前掲46頁、岡部節・岡部天俊「不正指令電磁的記録概念と条約適合的解釈 : いわゆるコインハイブ事件を契機として」『北大法学論集』70巻6号155頁)。

5.まとめ
このCoinhive事件は、被告人のモロ氏に対して神奈川県警サイバー犯罪担当の警官たちが「お前のやってることは犯罪なんだよ!」などと罵倒するなど、高圧的な取り調べなどが問題となりました。

また、上でもふれたとおり、「犯罪当時、coinhiveが違法か合法か両方の意見があったのなら違法と判断すべきである」との判決や、サイト閲覧者は「お客様」であるかのような価値観に基づいて有罪判決を出した東京高裁の裁判官達や、最高検の検事達の「これはクリプトジャッキングであり、「常識」でダメだとわかるでしょ。サラミ法も知らんの?」などの発言も、ITリテラシーがなく、また「疑わしきは被告人の利益に」「刑法の謙抑制」などの刑法の大原則に反しています。

警察庁はサイバー犯罪への対応を強化するために、東京にサイバー犯罪対応の専従部門を設置し、また国民のSNSをAIで捜査するシステムの導入などを発表していますが、そのような取り組みの前に、まずは警察・検察・裁判官のITリテラシーや情報セキュリティ、個人情報保護法、刑法の「疑わしきは被告人の利益に」などの教育を、法務省や最高裁、国家公安委員会などは再検討すべきなのではないでしょうか。なお、「デジタル化」を国策として推進している政府与党も、司法試験の試験科目にいい加減そろそろ個人情報保護法などを含めるべきではないでしょうか。

さらに、このCoinhive事件においては、不正指令電磁的記録の罪(刑法168条の2、同168条の3)の「反意図性」や「不正性」などの構成要件が専門家や裁判所にすら判断がわかれるあいまい・漠然とした難解なものであることが明らかになりました。

憲法31条は適正手続きの原則を定め、法的手続きが適正であるだけでなく法律の内容も適正であることが要求され、法律の条文には「明確性の原則」が求められます。そのため法律の条文には「通常の判断能力を有する一般人の理解」で法律の内容が理解できることが要求されます(最高裁昭和50年9月10日判決・徳島市公安条例事件)。そのため、本最高裁判決を踏まえて、政府与党や国会は、不正指令電磁的記録の罪の刑法の条文の改正作業を開始すべきです。

(なおサイバー犯罪関連としては、平成29年に警察のGPS捜査についても最高裁から「警察の内規ではなく国会の立法によるべき」との判決が出されました。国会はGPS捜査についても立法を行うべきです。)

加えて、警察庁は「仮想通貨を採掘するツール(マイニングツール)に関する注意喚起」というサイトにて、マイニングツール設置者に対して「マイニングツールが設置されていることを明示しないと犯罪になるおそれがある」と注意喚起していますが、警察庁は本最高裁判決を受けてこの注意喚起や警察の捜査などに関する内規などを見直す必要があると思われます。
・仮想通貨を採掘するツール(マイニングツール)に関する注意喚起|警察庁
警察庁マイニング
(警察庁サイトより)

■追記(2022年1月21日)
裁判所ウェブサイトが早くもこのコインハイブ事件の最高裁判決を掲載しています。裁判所もこの判決が重要な判例であると考えているのだと思われます。
・最高裁判所第一小法廷令和4年1月20日判決(令和2(あ)457  不正指令電磁的記録保管被告事件)  

このブログ記事が面白かったらブックマークやシェアをお願いします!

■関連する記事
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件
・コインハイブ事件の最高裁の弁論の検察側の主張がひどいことを考えた(追記あり)
・コインハイブ事件について横浜地裁で無罪判決が出される
・警察庁のSNSをAI解析して人物相関図を作成する捜査システムを法的に考えた-プライバシー・表現の自由・GPS捜査・データによる人の選別
・【最高裁】令状なしのGPS捜査は違法で立法的措置が必要とされた判決(最大判平成29年3月15日)

■参考文献
・大塚仁『大コンメンタール刑法 第3版 第8巻』340頁
・西田典之・橋爪隆補訂『刑法各論 第7版』411頁
・高木浩光「コインハイブ不正指令事件の控訴審逆転判決で残された論点」『Law&Technology』91号46頁
・渡邊卓也『ネットワーク犯罪と刑法理論』263頁
・岡田好史「自己の運営するウェブサイトに閲覧者の電子計算機をして暗号資産のマイニングを実行させるコードを設置する行為と不正指令電磁的記録に関する罪-コインハイブ事件控訴審判決」『刑事法ジャーナル』68号159頁
・岡部天俊「不正指令電磁的記録概念と条約適合的解釈 : いわゆるコインハイブ事件を契機として」『北大法学論集』70巻6号155頁
・「コインハイブ事件の有罪判決、破棄自判で「無罪」に最高裁」『弁護士ドットコムニュース』2022年1月20日付
・不正指令電磁的記録罪の構成要件、最高裁判決を前に私はこう考える|高木浩光@自宅の日記
・懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」|高木浩光@自宅の日記
・渡邊卓也「不正指令電磁的記録に関する罪における版「意図」性の判断」『情報ネットワーク・ローレビュー』19巻16頁

















このエントリーをはてなブックマークに追加 mixiチェック

log4j

このブログ記事の概要
「Log4jの脆弱性などの情報をSNSやウェブサイトなどでやり取りしたり情報共有したりすることはウイルス作成罪に該当するおそれがある」との日本ハッカー協会などの見解は、ウイルス作成罪に関する法務省の立案担当者の「いわゆるコンピュータ・ウイルスに関する罪について」や刑法の教科書における、「人の電子計算機における実行の用に供する目的」、「正当な理由がなく」および「反意図性」・「不正性」に関するバグの問題などの解説から疑問の余地がある。

1.Log4jの脆弱性の情報をネット上でやり取りしたり共有するとウイルス作成罪に該当する?
Javaのログ出力ライブラリ「Apach Log4j」ゼロデイ脆弱性があることが発覚し、12月10日(金)ごろからTwitterなどネット上で大きな話題となり、システム関係の方々は対応に追われています。

ところで、このLog4jの脆弱性に関して、日本ハッカー協会(@JapanhackerA)は12月13日昼につぎのようなTwitter上のツイートを行いました。

日本ハッカー協会1
日本ハッカー協会2
(日本ハッカー協会のTwitterより)
https://twitter.com/JapanhackerA/status/1470229222681878530

また、これを受けてITmedia NEWSも12月13日夜に「「Log4j」の脆弱性を突く攻撃手段の情報共有は違法?日本ハッカー協会に聞いた」との記事を掲載しました。
・「Log4j」の脆弱性を突く攻撃手段の情報共有は違法?日本ハッカー協会に聞いた|ITmedia NEWS

このITmedia NEWSの記事を読むと、取材に対して、日本ハッカー協会の杉浦隆幸理事は、『「log4jの脆弱性をつく攻撃を実際に実行して、成功してしまうと不正アクセス禁止法に該当する」と前置きした上で「そのコードを共有する行為は不正指令電磁的記録に関する罪に問われる可能性は十分にある。」「そもそも警察が検挙するのかは分からない」(同)としつつも、現状の法整備では共有などの行為でも法に触れるリスクがあるという。』』と回答したとのことです。

また、取材に対して日本ハッカー協会の杉浦理事は、『「画像が直接不正指令を与えるわけではないため、文字を画像に変えたものは問題ない。情報を共有するには一工夫を加えるなど、うまくやる必要がある」』と回答したとのことです。

たしかにウイルス作成罪(不正指令電磁的記録作成罪・刑法168条の2、168条の3)に関しては、現在、最高裁でCoinhive事件が係争中であり、とくにその構成要件の「不正性」(=社会的許容性)にcoinhiveが抵触するのか否かが争点となり、12月9日には最高裁で弁論が行われ、最高検の検察側の主張がITリテラシーに欠けるなどと大きな批判がネット上に寄せられ、社会的注目が集まっているところです。しかし、日本ハッカー協会の主張は妥当といえるのでしょうか?

2.ウイルス作成罪(不正指令電磁的記録作成罪)から考える
刑法のウイルス作成罪(不正指令電磁的記録作成罪)の条文はつぎのようになっています。

(不正指令電磁的記録作成等)
第168条の2 正当な理由がないのに人の電子計算機における実行の用に供する目的で、次に掲げる電磁的記録その他の記録を作成し、又は提供した者は、三年以下の懲役又は五十万円以下の罰金に処する。
 人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録
 前号に掲げるもののほか、同号の不正な指令を記述した電磁的記録その他の記録
 正当な理由がないのに、前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供した者も、同項と同様とする。
 前項の罪の未遂は、罰する。

(不正指令電磁的記録取得等)
第168条の3 正当な理由がないのに、前条第一項の目的で、同項各号に掲げる電磁的記録その他の記録を取得し、又は保管した者は、二年以下の懲役又は三十万円以下の罰金に処する。

つまり、ごくおおまかにいうと、不正指令電磁的記録作成罪とは、「正当な理由」がないのに、「人(=他人)の電子計算機(=コンピュータやスマホなど)における実行の用に供する目的」で、「人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせる(=「反意図性」)べき不正(=「不正性」)な指令を与える電磁的記録(=いわゆるコンピュータ・ウイルス)」を、他人の電子計算機(=コンピュータ、スマホなど)に実行させるために「作成」または「提供」「取得」または「保管」することを処罰する罪です(刑法168条の2,168条の3)。

3.「人の電子計算機における実行の用に供する目的」
不正指令電磁的記録作成罪は、2001年(平成13年)にサイバー犯罪条約が制定され日本が批准したことを受けて、2011年(平成23)年6月に国会で「情報処理の高度化等に対処するための刑法等の一部を改正する法律」が制定されたことを受けて刑法に新設された罪です。この法改正においては、参議院法務委員会で「犯罪の構成要件などを国民に周知すること」が付帯決議され、法務省の立案担当者「いわゆるコンピュータ・ウイルスに関する罪について」との文書を作成し、法務省サイトで公表されています。
・いわゆるコンピュータ・ウイルスに関する罪について|法務省

不正指令電磁的記録作成罪は、上で条文をみたとおり、「人(=他人)の電子計算機における実行の用に供する目的」がある必要があります。つまり、本罪は単にウイルスのプログラムを作成等するだけでなく、「他人の電子計算機における実行の用に供する目的」がないと犯罪が成立しないいわゆる「目的犯」です。

この点、この法務省「いわゆるコンピュータ・ウイルスに関する罪について」は、「人の電子計算機における実行の用に供する目的」についてつぎのように解説しています。

すなわち、他人のコンピュータ上でプログラムを動作させる行為一般を指すものではなく,不正指令電磁的記録であることの情を知らない第三者のコンピュータで実行され得る状態に置くことをいうものである。このように 「実行の用に供する」に当たるためには,対象となる,不正指令電磁的記録が動作することとなる電子計算機の使用者において,それが不正指令電磁的記録であることを認識していないことが必要である。

不正指令電磁的記録提供罪は,後記のとおり,それが不正指令電磁的記録等であることを認識している者に取得させる行為であるが,この場合も,提供の相手方以外の第三者(使用者)が不正指令電磁的記録であることを認識していないのにこれを当該第三者の電子計算機で実行され得る状態に置く目的があることを要する。

法務省文書1
法務省文書2
(法務省「いわゆるコンピュータ・ウイルスに関する罪について」6頁、7頁より)

つまり、ウイルス作成罪は、「人の電子計算機における実行の用に供する目的」を要する目的犯であるため、他人・第三者のパソコンやスマホのユーザーが、ウイルスがウイルスであると知らないこと、認識していないことが必要です。

この点、日本のエンジニア等の方々が、Log4jのソースコードやプログラムなどにおける脆弱性の部分などの情報をTwitterなどのSNSやウェブサイト、ブログなど、ネット上でやり取りしたり情報共有することは、Log4jの脆弱性の対策、セキュリティ対策をする目的であると思われ、「人の電子計算機における実行の用に供する目的」が欠けるので、ウイルス作成罪の犯罪は成立しないのではないでしょうか。

(もちろん逆に、ウイルスであると知らない他人・第三者のパソコン・スマホなどでウイルスを動作させる目的で、Log4jのプログラム、ソースコードの脆弱性の部分をSNSやウェブサイトなどでやり取りしたり情報共有したりした場合には、「人の電子計算機における実行の用に供する目的」があるとして、本罪が成立する可能性があります。)

4.「正当な理由がないのに」
つぎに、上で条文を確認したとおり、ウイルス作成罪は、「正当な理由がない」ことが犯罪成立に必要となります。つまり、ウイルス作成罪の「反意図性」「不正性」などの構成要件が満たされたとしても、「正当な理由」があった場合には、違法性がないことになり(違法性阻却)、本罪は成立しません。

この点、法務省「いわゆるコンピュータ・ウイルスに関する罪について」8頁は、つぎにように開設しています。
「正当な理由がないのに」とは「違法に」という意味である。ウイルス対策ソフトの開発・試験等を行う場合には,自己のコンピュータで,あるいは,他人の承諾を得てそのコンピュータで作動させるものとして,コンピュータ・ウイルスを作成・提供することがあり得るところ,このような場合には 「人の電子計算機における実行の,用に供する目的」が欠けることになるが,さらに,このような場合に不正指令電磁的記録作成・提供罪が成立しないことを一層明確にする趣旨で 「正当な理由がないのに」との要件が規定されたものである。

つまり、セキュリティ会社などがウイルス対策ソフトなどを研究開発したり作成・試験することは違法性が欠けるので、ウイルス作成罪に該当しないことを明確化するために、この「正当な理由がないのに」の文言が条文に置かれたと法務省の本文書は解説しています。

そして法務省の本文書はつぎのように解説を続けています。

このほか,コンピュータ・ウイルスを発見した人が,ウイルスの研究機関やウイルス対策ソフトの製作会社に対しウイルスの研究ウイルス対策ソフトの更新に役立ててもらう目的で,ウイルスであることを明らかにした上で,そのウイルスを提供し,ウイルスの研究機関やウイルス対策ソフトの製作会社が,そのような目的で用いるためにこれを取得する場合なども 「人の電子計算機における実行の用に供する」目的による提供や取得とはいえないので,不正指令電磁的記録提供罪や同取得罪は成立しないが,それぞれ「正当な理由がある」場合にも該当するといえる(なお,この例の場合には 「人の電子計算機における実行の用に供する」行為に当たらないから,不正指令電磁的記録供用罪も成立しない 。)

法務省文書3
法務省文書4
(法務省「いわゆるコンピュータ・ウイルスに関する罪について」8頁より)

すなわち、法務省「いわゆるコンピュータ・ウイルスに関する罪について」8頁は、ウイルスを発見した人が、研究機関やセキュリティ会社などに、ウイルスの研究や対策に役立ててもらう目的、つまりセキュリティ対策の目的で、当該ウイルスを研究機関やセキュリティ会社などに提供などすることや、ウイルス対策の目的で研究機関やセキュリティ会社などが当該ウイルスをセキュリティ対策の目的で当該ウイルスを取得する場合などは、「正当な理由がある」ので、違法性が欠けて、ウイルス作成罪や提供罪、収集罪、保管罪などは成立しないと明記しています。

したがって、今回発覚したLog4jの脆弱性について、その脆弱性をつくウイルス・マルウェアや攻撃の方法や結果などを発見し、Log4jの脆弱性への対策や、Log4jの脆弱性をつくウイルスや攻撃などへの対策を議論し研究・開発等するなどの各種のセキュリティ対策を行うために、Log4jの脆弱性への対策や脆弱性をつくウイルスや攻撃などの情報をSNSやウェブサイトなどでやり取りしたり情報共有などすることは、まさに法務省のウイルス作成罪の立案担当者の本文書の「「正当な理由がある」場合に該当する」に当たるといえるので、違法性が欠けて、ウイルス作成罪、提供罪、取得罪、保管罪などは犯罪不成立となるのではないでしょうか。

5.「バグ」の問題-「反意図性」と「不正性」
上で条文を確認したとおり、ウイルス作成罪は、パソコンやスマホなどのユーザーの「意図に反する」(反意図性)、かつ、「不正」(不正性)な動作をさせるプログラムを作成・提供・収集・保管した場合に成立する犯罪です。

つまりウイルス作成罪の「ウイルス」とは、パソコン・スマホなどのユーザーの「意図」に反し、かつ「不正」な動作をさせるものとされています。そしてこの「不正」とは、「社会的許容性がないこと」とされています(西田典之・橋爪隆補訂『刑法各論 第7版』413頁)。

この点、この「不正性」(=社会的許容性)とプログラムのバグとの関係について、法務省の本文書はつぎのように解説しています。

いわゆるバグについては,プログラミングの過程で作成者も知らないうちに発生するプログラムの誤りないし不具合をいうものであり,重大なものも含め,コンピュータの使用者にはバグは不可避的なものとして許容されていると考えられることから,その限りにおいては,「意図に沿うべき動作をさせず、又はその意図に反する動作をさせる」との要件も 「不正な」との要件も欠くこととなり,不正指令電磁的,記録には当たらないこととなる。

他方,プログラムの不具合が引き起こす結果が,一般に使用者がおよそ許容できないものであって,ソフトウエアの性質や説明などに照らし,全く予期し得ないものであるような場合において,実際にはほとんど考えられないものの,例えば,プログラムにそのような問題があるとの指摘を受け,その不具合を十分認識していた者が,この際それを奇貨として,このプログラムをウイルスとして用いて他人に害を与えようとの考えの下に,あえて事情を知らない使用者をだましてダウンロードさせたようなときは,こうしたものまでバグと呼ぶのはもはや適当ではないと思われ,不正指令電磁的記録供用罪が成立し得ることとなる。

もっとも,不正指令電磁的記録に関する罪が成立し得るのは,そのプログラムが不正指令電磁的記録であることを認識した時点以降に行った行為に限られ,それより前の時点で行った行為についてはこれらの罪は成立しない。

つまり、法務省の本文書は、プログラムのバグは、「コンピュータの使用者(=ユーザー)にはバグは不可避的なものとして許容されていると考えられることから」「反意図性」もなく、社会的許容性があり「不正性」もないので、原則として、「重大なものも含め」ウイルス作成罪等は成立しないとしています。

ただし、あるプログラムのバグが一般にユーザーがおよそ許容できない重大なもので、プログラムの性質などから全く予期できないものであるような場合であって、そのようなプログラムのバグを奇禍として、その重大なバグのあるプログラムを、他人・第三者のユーザーに害を与える目的で、当該ユーザーをだまして当該重大なバグのあるプログラムをダウンロードさせるなどの行為はウイルス作成罪に該当し得るとしています。

しかし法務省の本文書は、その場合であっても、ウイルス作成罪が成立するためには、その犯人・行為者は、当該プログラムがウイルスに相当するプログラムであることを認識した後であることが必要であり、それ以前にダウンロードや提供などをした場合には犯罪は成立しないとしています(目的犯)。

したがって法務省の立案担当者は、一般論としてウイルス作成罪との関係では、重大なものも含めプログラムのバグは、原則として、「反意図性」と「不正性」がないため、ウイルス作成罪の「ウイルス」(不正指令電磁的記録)に該当しないとしています。

また、今回のLog4jの脆弱性・バグは、「一般にユーザーがおよそ許容できない重大なもので、プログラムの性質などから全く予期できないものであるような場合」という例外的な場合に該当するとも考えられますが、しかし仮にそうであっても、Log4jの脆弱性・バグについてウイルス作成罪が成立するためには、行為者・犯人には、「他人・第三者のユーザーに害を与える目的」で、Log4jの脆弱性・バグがウイルスに相当するものであることを認識した後に、提供・保管などを行う必要があります。

したがって、「反意図性」と「不正性」、バグの問題との関係においても、エンジニアや研究者などの方々が、Log4jの脆弱性への対策や、Log4jの脆弱性をつくウイルスや攻撃などへの対策を議論し研究・開発等するなどの各種のセキュリティ対策を行う目的で、Log4jの脆弱性への対策や脆弱性をつくウイルスや攻撃などの情報をSNSやウェブサイトなどでやり取りしたり情報共有などすることは、法務省の本文書が説明するように、他人に害を与える目的があるという例外的な場合を除いて、原則としてウイルス作成罪、提供罪、取得罪、保管罪などは犯罪不成立となるのではないでしょうか。

6.保護法益
法務省の「いわゆるコンピュータ・ウイルスに関する罪について」は、ウイルス作成罪の保護法益(罪の趣旨・目的)を、『本罪は,電子計算機のプログラムが 「人が電子計算機を使用するに際してその意図に沿うべき動作をさせず,又はその意図に反する動作をさせるべき不正な指令」を与えるものではないという,電子計算機のプログラムに対する社会一般の者の信頼を保護法益とする罪であり文書偽造の罪(刑法第17章)などと同様、社会的法益に対する罪である』と解説しています。

この点、刑法の教科書は、「現代社会においては、世界的な規模でコンピュータネットワークが政治、経済、社会活動の重要なインフラとなっていることを考慮すると、コンピュータプログラムが健全に機能していることに対する社会一般の信頼を保護法益とする」と解説しています(西田・橋爪・前掲412頁)。

このウイルス作成罪の、「コンピュータのプログラムは反意図性や不正性のあるものではないという、コンピュータプログラムへの社会一般の信頼」や、「政治・経済・社会の重要インフラのコンピュータネットワーク等のコンピュータプログラムが健全に機能していることに対する社会一般の信頼」などの社会的法益がウイルス作成罪の保護法益であることを考えると、「「政治・経済・社会の重要インフラのコンピュータネットワーク等のコンピュータプログラムが健全に機能」するために、多くのエンジニアの方々などがLog4jの脆弱性の対策のためにネット上や職場などで日夜連日、活躍・奮闘なさっていることに対して、さすがのcoinhive事件の神奈川県警サイバー犯罪対策本部などでも、ウイルス作成罪などで検挙などすることはあまり考えにくいのではないでしょうか。

7.ウイルスの「画像」
なお、ITmedia NEWSの記事によると、日本ハッカー協会は、画像が直接不正指令を与えるわけではないため、文字を画像に変えたものは問題ない。情報を共有するには一工夫を加えるなど、うまくやる必要がある』と取材に回答しているとのことです。

しかし、法務省の「いわゆるコンピュータ・ウイルスに関する罪について」5頁、6頁や刑法の教科書は、本罪の刑法168条の2第1項2号の「不正な指令を記述した電磁的記録その他の記録とは、「内容としてはコンピュータウイルスとして実質的に完成しているが、そのままではいまだコンピュータにおいて動作させる状態にないもの、たとえば、不正なプログラムのソースコードを記録した電磁的記録や、そのソースコードを紙媒体に印刷したものなどがこれにあたる」(西田・橋爪・前掲413頁)としています。
法務省文書7
(法務省「いわゆるコンピュータ・ウイルスに関する罪について」5頁、6頁より)

つまり、法務省の本文書などは、ウイルスのソースコード等を紙にプリントアウトしたもの等も、本罪の刑法168条の2第1項2号の「不正な指令を記述した電磁的記録その他の記録」に該当する可能性があるとしています。

ウイルスのソースコード等を紙にプリントしたものなどでも「不正な指令を記述した電磁的記録その他の記録」に該当する可能性があるのですから、ウイルスのソースコードやプログラム等を仮にPCやスマホ画面のスクリーンショットやハードコピーにより「画像」にしたとしても、その画像が「内容としてはコンピュータウイルスとして実質的に完成しているが、そのままではいまだコンピュータにおいて動作させる状態にないもの」、つまり「不正な指令を記述した電磁的記録その他の記録」に該当すると判断される余地もあるように思われるので、ウイルスのソースコード等を画像にしたからウイルス作成罪との関係で安全であるとは必ずしもいえないのではないでしょうか。この点には疑問が残ります。

8.まとめ
このように、ウイルス作成罪・不正指令電磁的記録作成罪について、法務省の立案担当者の「いわゆるコンピュータ・ウイルスに関する罪について」を基に、「人の電子計算機における実行の用に供する目的」、「正当な理由がなく」および「反意図性」・「不正性」つまりバグの問題、保護法益の問題などの各論点を検討してみましたが、少なくとも法務省の立案担当者の考え方によれば、今回のLog4jの脆弱性やそれをつくウイルスや攻撃などの情報をセキュリティ対策目的でSNSやウェブサイトなどでやり取りしたり情報共有したりすることは、原則としてウイルス作成罪は成立しないのではないでしょうか。(日本ハッカー協会のご見解は、同協会の「弁護士費用助成サービス」を宣伝する意図もあるのではないでしょうか。)

とはいえ、このウイルス作成罪はとくに「不正性」の部分があいまい・漠然としており、Coinhive事件では、coinhiveが社会的に妥当なプログラムなのか否か、意見が分かれていた2018年当時に、神奈川県警と神奈川県の検察は、自らのウェブサイトにcoinhiveを設置していただけのモロ氏を立件・起訴してしまい、現在、coinhive事件は最高裁で係争中です。また、ITmedia NEWSも指摘するとおり、2017年のWizard Bible事件も、警察が不正アクセス禁止法とウイルス作成罪の容疑で逮捕・略式起訴を行ってしまっており、警察・検察当局によるウイルス作成罪の解釈や運用は以上にグレーな部分が大きいといえます。

そもそも犯罪と刑罰については、国家が犯人・被告人に刑罰という不利益な処分を科すものですから、「刑法の謙抑性」「疑わしきは被告人の利益に」との大原則があり、また罪刑法定主義とともに、刑法などの法律の条文には「通常の判断能力を有する一般人の理解」で法律の条文が理解できる必要があるという「規定の明確性」が要求されます(憲法31条、最高裁昭和50年9月10日判決・徳島市公安条例事件)。そのため、ウイルス作成罪の「不正性」の部分の構成要件が非常にあいまい・漠然としており、警察・検察当局が恣意的ともいえるグレーな運用を行っていることは、憲法31条との関係で違法・違憲の可能性があります。

そのため、coinhive事件においては、事件が係属している最高裁第一小法廷はぜひまともな判断を示していただきたいと思っています。裁判長は刑法学の重鎮の東大名誉教授の山口厚先生でありますし。

また、先日、本記事について、ITmedia NEWSにLog4jの脆弱性の件は不正指令電磁的記録作成罪の「正当な理由」がある等として同罪は成立しないと考える余地もあるのではないか、セキュリティや刑法の専門家に取材してほしいとの趣旨の意見を同社サイトの入力フォーマットからお伝えしてみたところ、ITmedia NEWS編集部より、「本記事は大きな反響をいただいており、さらにセキュリティの専門家や弁護士などに取材することを検討中」との返信をいただきました。

ITmedia NEWS編集部におかれては、セキュリティや情報法の専門家の産業技術総合研究所主任研究員の高木浩光先生や、刑法・刑事訴訟法のサイバー犯罪に詳しい成城大学の指宿信教授や筑波大学の渡邊卓也准教授などの学者・研究者や、法務省、警察庁・警視庁、検察庁などのサイバー犯罪の担当部署などに取材をして、ぜひ続報を報道していただきたいと思います。

このブログ記事が面白かったら、ブックマークやいいね、シェアをお願いします!

■関連する記事
・西田典之・橋爪隆補訂『刑法各論 第7版』412頁、413頁
・高木浩光「コインハイブ不正指令事件の控訴審逆転判決で残された論点」『Law&Technology』91号46頁
・いわゆるコンピュータ・ウイルスに関する罪について|法務省
・懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」|高木浩光@自宅の日記
・「Log4j」の脆弱性を突く攻撃手段の情報共有は違法?日本ハッカー協会に聞いた|ITmedia NEWS

■関連する記事
・コインハイブ事件の最高裁の弁論の検察側の主張がひどいことを考えた(追記あり)
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件
・コインハイブ事件について横浜地裁で無罪判決が出される

・飲食店の予約システムサービス「オートリザーブ」について独禁法から考えた
・LINE Pay の約13万人の決済情報がGitHub上に公開されていたことを考えた
・練馬区が親子に家庭のSNSルールを作成させ学校に提出させるプリントにパスワードの記入欄があることを考えた(追記あり)-セキュリティ・プライバシー・不正アクセス
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて(追記あり)
・コロナ禍の就活のウェブ面接での「部屋着を見せて」などの要求や、SNSの「裏アカ」の調査などを労働法・個人情報保護法から考えた
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える





























このエントリーをはてなブックマークに追加 mixiチェック

最高裁
1.コインハイブ事件
■追記
2022年1月22日に最高裁第一小法廷(山口厚裁判長)でこのコインハイブ事件について無罪判決が出されました。詳しくはこちらをご参照ください。
・【速報】コインハイブ事件の最高裁判決で無罪判決が出される

あるウェブデザイナーの方(モロ氏、以下「被告人」)が、自身のウェブサイトに仮想通貨採掘アプリ「coinhive」を設置していたことが、不正指令電磁的記録等罪(いわゆるウイルス罪・刑法168条の2以下)に問われたいわゆるコインハイブ事件において、2018年の横浜地裁平成30年3月27日判決は、不正指令電磁的記録等罪の構成要件における、「反意図性」の該当は認めたものの、「不正性」(社会的許容性)の該当は認められるとはいえないとして、被告人を無罪としました。

ところが、控訴審の東京高裁令和2年2月7日判決(栃木力裁判長)は、「反意図性」および「不正性」の両方が成立するとして、被告人を罰金10万円の有罪とし、ネット上では高裁判決に対して、多くの批判が沸き起こりました。

(関連)
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件

とくに、本高裁判決は、「不正性(社会的許容性)」について、『『本件プログラムコードは、(略)、その使用によって、プログラム使用者(閲覧者)に利益を生じさせない一方で、知らないうちに電子計算機の機能を提供させるものであり、一定の不利益を与える類型のプログラムといえる上、その生じる不利益に関する表示等もされないのであるから、(略)、プログラムに対する信頼保護という観点から社会的に許容すべき点は見当たらない。』という文章を何回もコピペで使いまわしてcoinhiveの不正性を強調しています。

この東京高裁に対して、被告人のモロ氏と弁護人の平野敬弁護士が最高裁に上告を行ったところ、最高裁は弁論を行うことを決定し、本日(2021年12月9日)、その弁論が最高裁で行われました。

2.最高裁での弁論
本日の最高裁の弁論について、弁護士ドットコムニュースはつぎのように報道しています。
・コインハイブ事件で最高裁弁論、弁護側改めて無罪主張 判決期日は追って指定|弁護士ドットコムニュース

弁護側は憲法上、刑法上、刑事訴訟法上の問題があると指摘。1審と2審で判断が分かれた不正性について「コインハイブが社会的に許容されていなかったと断じることはできない」などと述べ、無罪を主張した。

検察側は「クリプトジャッキングに相当する行為で、国際的にもサイバー犯罪として取り締まられている。今回の行為の違法性を否定するならCPU等の無断使用を解禁することになり、日本を世界中からの草刈り場に置くことと等しい」などと上告棄却を求め、結審した。

また、弁護士ドットコムニュースによると、弁論後の記者会見で、平野敬弁護士とモロ氏はつぎのように述べたとのことです。

モロ氏
「これがもし有罪となってしまった場合、クリエイターの方々がやりにくい世の中になってしまうと思うので、無罪という形で正しい判決がいただけることを願っています」

平野敬弁護士
「クリプトジャッキングと言うのは他人のウェブサイトを不正に改ざんして、仮想通貨採掘ツールを埋め込む行為をいう。今回のケースのように、自分のウェブサイトにJavaScriptを設置して、仮想通貨を採掘する行為とはまるで違うものだ。たしかに、世界ではクリプトジャッキングが問題になっていて、刑事的な訴追対象になっているのは事実だが、それと今回のケースを意図的に混同しようとする検察官の主張は悪質で、誤導的な説明だったと思う

つまり、平野弁護士は、「他人のウェブサイトを不正に改ざんして、仮想通貨採掘ツールを埋め込む行為(クリプトジャッキング)と、自らのサイトにツールを設置した本件はまったく異なるのに、両者を混同させる主張をしている検察側の主張は悪質」と述べておられますが、このご見解は非常に正当であると思います。

3.サラミ法?一厘事件ではないのか?
また、本日の最高裁の弁論を傍聴した、寿司アイコン様(@mecab)のツイートによると、弁論はおおむねつぎのような感じだったようです。
mecab様のツイート
(寿司アイコン様(@mecab)のTwitterより)
https://twitter.com/mecab/status/1468823606742634496

このツイートによると、検察側はおおむねつぎのように主張したそうです。
「他人のコンピュータリソース無断でつかうのは不正なことは常識である。影響は軽微だというが、「サラミ法」を知らないのか。」
この点、「サラミ法」とは「犯罪や不正行為の手口の一つで、一回あたりの数量や影響を発覚しにくい小さな値に抑え、数多くの対象や回数に分散して繰り返す手法」です(e-words.jpより)。

しかし、本事件において、モロ氏がcoinhiveを設置したサイトは自らの一つのウェブサイトであり、しかもcoinhiveで得られた収益は数百円程度で、しまもcoinhiveの仕様で1000円未満は支払対象外だったため、モロ氏が実際に受け取った収益は0円です。

このような事実を、「一回あたりの数量や影響を発覚しにくい小さな値に抑え、数多くの対象や回数に分散して繰り返す手法」の「サラミ法」として弁論で主張を行った検察側は、事実を不当に大きく表現し、今回のcoinhive事件があたかも日本のIT業界やデジタル業界を揺るがすような凶悪な重大事件であると裁判官に訴えようとしているように思われますが、このような誇大妄想的な主張は、法曹三者の法律家の一人である検察官の主張としてどうなのでしょうか。

モロ氏が得たcoinhiveの収益が実際には0円であり、設置したサイトも自身のサイト一つであったことを考えると、最高検の検察官達は、サラミ法でなく、明治時代の大審院の一厘事件(煙草一厘事件、大審院明治43年10月11日判決)の判決に思いを致すべきだったのではないでしょうか。

つまり、ある農家がタバコに関して非常に軽微な違法行為をしたところ、当時の最高裁にあたる大審院は、形式的には法律違反で刑罰の構成要件に該当するとしても、あまりにも軽微な違法行為は可罰的違法性が欠ける、すなわち違法性が阻却されるとして無罪の判決を出しています。

本件の最高検の検察官達も、被告人が自らのサイトで一人で設置したcoinhiveで得られた収益が実際には0円だったのですから、仰々しく「サラミ法」などを持ち出すのではなく、「一厘事件」の判例の可罰的違法性の問題を検討すべきだったのではないでしょうか。

4.刑法違反とならないためにパソコンやスマホのスタンドアローンでの利用が要求される?
また、検察側は本日の弁論で、「今回の行為の違法性を否定するならCPU等の無断使用を解禁することになり、日本を世界中からの草刈り場に置くことと等しい」と主張したそうです。

しかし、エンジニアなどの専門家ではない、我われ一般人のユーザーにとって、自分のパソコンのCPU等が、とくにネットに接続して使用している状態においては、ネットワークやISP、その先のサーバー等とさまざまな情報のやり取りをした上でネットを閲覧したりメールを授受したり、クラウドのサービスを利用しているわけであり、エンジニアなどの専門家ではない一般人のユーザーにとっては、自分のパソコンのCPC等がある程度は「無断使用」されている状況は当たり前なのではないでしょうか?

本事件の東京高裁判決の裁判官達も「ウェブサイト上のバナー広告は表示されているから不正性はない」と判示していますが、東京高裁の裁判官達や本件の最高検の検察官達は、パソコンのモニター画面の裏側のCPU等で、さまざまなプログラムやソースコードなどが稼働し、ネットやISPやさまざまなサーバーとやり取りをしている、そのそれらの多くのプログラムやソースコード、各種のサーバーなどの目的等を逐一把握し、それらをすべて同意や合意のもとに利用できているのでしょうか?

近年は、スマホやパソコンにおけるcookieやFlocなどを利用したネットの行動ターゲティング広告において、DMP業者などがユーザー・国民のネットの閲覧履歴や位置情報・移動履歴や購入履歴などを収集・分析・加工・販売している個人データの取扱が、個人情報保護法の観点から違法・不当なのではないかと、例えば2019年の就活生の内定辞退予測データの販売などに関するリクルートキャリアやトヨタなどの「リクナビ事件」において大きな社会的問題となりました。リクルートキャリアやトヨタなどは、同年に個人情報保護委員会や厚労省から、個人情報保護法違反、職業安定法違反であるとして行政指導を受けています。

ネット上の広告にはこのような個人の尊重やプライバシー、人格権などの基本的人権(憲法13条)に関する大きな問題があるのに、最高検の検事達や東京高裁の裁判官達は、「ネットの広告はユーザーに表示されているから合法で、coinhiveはユーザーに表示されていないから違法で犯罪」と主張するのでしょうか。しかしそれはあまりにも個人情報保護法などの国会の制定した法律や、一般国民の感覚とかけ離れているのではないでしょうか?

(参考)
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える

あるいは、最高検の検察官の主張のように、国民や企業などが不正指令電磁的記録作成罪などの刑法に違反しないためには「CPU等の無断使用を禁止すべき」などと言い出したら、それこそクラウドサービスや5Gどころか、1980年代、90年代のパソコン通信だけでなく、そもそも冷戦下に生み出されたインターネットへの接続すら放棄し、パソコンをスタンドアローン「鎖国」の状態で利用することが必要となるのではないでしょうか。

しかし、近年、クラウドや5Gの時代となり、「日本社会のデジタル化」が国策の一つとなりデジタル庁が設置され、ますますスマホやパソコンなどをネットに接続し、官民がデジタル社会における経済活動などを推進しようとしている世の中なのに、「CPU等の無断使用」を禁止せよと主張する最高検の検察官達や本事件の東京高裁の裁判官達の考え方は、さすがにあまりにも時代錯誤であり、ITリテラシーが無さすぎなのではないでしょうか。

かりにそれで検察官や裁判官の方々は刑法的に満足だとしても、それでは「刑法守ってデジタル敗戦」となってしまい、日本社会のITやデジタルが1970年代以前に逆戻りしてしまうのではないでしょうか。

5.まとめ
そもそも、検察官は裁判所に対して「法の正当な適用を請求」する職責を負っており(検察庁法4条)、「法と正義の実現を目指して公平・公正でならねばならない」という「検察官の客観義務」を負っており、かりに訴訟の経緯がそう要求する場合には、検察官は無罪を主張しなければならないとされています(田宮裕『刑事訴訟法 新版』24頁)。

この検察官の客観義務の観点からは、「とにかく神奈川県警が立件した以上は有罪としたい」という本件における検察官側の姿勢には大きな疑問を感じます。また繰り返しになりますが、裁判官や検察官や神奈川県警サイバー犯罪担当などのITリテラシーの低さを感じます。

(一般人の私が述べてもしかたのないことですが、「デジタル社会」が国策となる現在、さすがにそろそろ司法試験にも個人情報保護法やITパスポート的なものも試験科目に加えたり、あるいは検察官、警察官や裁判官の職場研修などに個人情報保護法やIT・情報セキュリティの初歩などを導入することを、最高裁や法務省、検察庁などは検討すべきなのではないでしょうか。)

同時に、本日の弁論後の記者会見でモロ氏が述べておられたように、「これがもし有罪となってしまった場合、クリエイターの方々がやりにくい世の中になってしまう」、つまりITやデジタル関係のエンジニアの方々や法人などが、自分達の研究開発しているプログラムやIT関係の先端技術が、いつ裁判所や検察官、警察などから不正指令電磁的記録作成罪などに抵触する違法なものであると判断されるか分からないという、IT技術、先端のテクノロジーの研究開発に予測可能性がなくなってしまうという大問題があります。これでは日本のITやデジタルに関する企業やエンジニア、学者・研究者の方々などは委縮して、自由に研究開発や学問研究、企業活動を行うことができなくなってしまいます。

そのため、本事件について、最高裁はぜひまともな判決を出してほしいと思います。本事件の最高裁第一小法廷の裁判長は、刑法学の重鎮の山口厚・東大名誉教授です。ぜひとも、山口厚先生のまともなご判断を期待したいところです。

(余談)
本日の平野敬弁護士(@stdaux)のツイートにつぎのようなものがあったのですが、一番下は冗談ではなく本当なのでしょうか。いくらサイコーな最高裁とはいえ、ちょっと演出過剰というか、エヴァのゼーレの会議や、サンダーバードの会議などを連想してしまいます・・・。

スドー先生ツイート
(平野敬弁護士のTwitterより)
https://twitter.com/stdaux/status/1468841211637399560

しかし、本日の最高裁の弁論の前の平野先生のツイートは、サイコーにカッコいいとしかいいようがありません。
スドー先生ツイート2

■追記(2021年12月10日)
12月9日の最高裁の弁論について、小野マトペ様(@ono_matope)がTwitter上で、詳細な傍聴メモを公開なさっています。
小野マトペ様ツイート
(小野マトペ様(@ono_matope)のTwitterより)
・https://twitter.com/ono_matope/status/1468858327094657028

この傍聴メモをみると、「第一審の横浜地裁の証人の高木浩光氏の、coinhiveが作動した際にもパソコンの快適性などは損なわれないとの主張は、高木氏がMacBook Pro を使用した再現実験を元にした主張であるので信用できない」などと最高検の検察側が主張しているのは、これも検察官のITリテラシーのなさを表しており、思わず笑ってしまいます。

ところで、モロ氏・平野弁護士側は、憲法31条は、法律の明確性を要求しているが、不正指令電磁的記録作成罪の「不正性」は専門家でも判断が困難であるなど明確性を欠き違法・違憲である」とも弁論で主張されていたとのことです。

憲法31条は「何人も、法律の定める手続によらなければ、その生命若しくは自由を奪はれ、又はその他の刑罰を科せられない。」と、いわゆる適正手続きの原則を定めています。

これは、警察や行政などの公権力を手続き的に拘束し、国民の人権を手続き的に保障するものですが、これは法律で定められた手続きが適正であることだけでなく、法律の実体の規定の内容自体も適正でなければならないことを要求していると判例・通説は解しています。この法律の実体の適正性には、罪刑法定主義や、法律の「規定の明確性」(犯罪の構成要件の明確性、表現の自由の規制立法の明確性など)が含まれていると解されています(芦部信喜・高橋和之補訂『憲法 第7版』252頁)。

この「規定の明確性」に関して裁判所は、「通常の判断能力を有する一般人の理解」で法律や条例の規定の内容が理解できることが必要であるとしています(徳島市公安条例事件・最高裁昭和50年9月10日判決)。

この点、本事件で争点になっている不正指令電磁的記録作成罪(刑法168条の2)のとくに「不正性(社会的許容性)」に関する構成要件は、まさに本事件が最高裁まで争われ、文献などをみても刑法学者などの専門家の間でも意見が分かれているなど、非常に難解であいまい・漠然としたものとなっており、「通常の判断能力を有する一般人の理解」で本罪の「不正性」を理解することは困難であり、本罪の構成要件は明確性を欠くので、憲法31条に照らして違法・違憲とのモロ氏・平野弁護士側の主張は正当であると思われます。(本事件の最高裁判決が出されたら、国会はその判決を踏まえて、不正指令電磁的記録作成罪の条文の見直しなどを実施すべきであると思われます。)

上でもみたとおり、コンピュータウイルス等に関するこの不正指令電磁的記録作成罪の構成要件が明確性を欠き、まさにモロ氏の本事件のように、警察・検察側の恣意的な判断や運用でITに関するエンジニアやIT企業が立件・逮捕などされてしまうことは、エンジニアの方やIT企業などの予測可能性を害し、ITに関する自由な研究開発や企業経営が委縮してしまうことになりかねません。憲法31条の観点からも、本事件について最高裁のまともな判断が望まれます。

このブログ記事が面白かったらブックマークやいいねをお願いします!

■参考文献
・西田典之・橋爪隆補訂『刑法各論 第7版』411頁
・田宮裕『刑事訴訟法 新版』24頁
・芦部信喜・高橋和之補訂『憲法 第7版』252頁
・高木浩光「コインハイブ不正指令事件の控訴審逆転判決で残された論点」『Law&Technology』91号46頁
・懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」|高木浩光@自宅の日記
・いわゆるコンピュータ・ウイルスに関する罪について|法務省
・コインハイブ事件で最高裁弁論、弁護側改めて無罪主張 判決期日は追って指定|弁護士ドットコムニュース
・寿司アイコン様(@mecab)のTwitterのツイート
・小野マトペ様(@ono_matope)のTwitterのツイート

■関連する記事
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件
・コインハイブ事件について横浜地裁で無罪判決が出される
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える

・飲食店の予約システムサービス「オートリザーブ」について独禁法から考えた
・LINE Pay の約13万人の決済情報がGitHub上に公開されていたことを考えた
・練馬区が親子に家庭のSNSルールを作成させ学校に提出させるプリントにパスワードの記入欄があることを考えた(追記あり)-セキュリティ・プライバシー・不正アクセス
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて(追記あり)
・コロナ禍の就活のウェブ面接での「部屋着を見せて」などの要求や、SNSの「裏アカ」の調査などを労働法・個人情報保護法から考えた
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング




























このエントリーをはてなブックマークに追加 mixiチェック

xidトップ画面2
(xID社サイトより)

■追記(2021年11月11日)
渋谷区は、11月10日付で施設予約システムの開発業務の委託先を、xID社でなく別の企業にすることを決定したとのことです。詳しくは本ブログ記事下部の追記をご参照ください。

このブログ記事の概要
xID社は11月4日付のプレスリリースで、12月から提供開始としている新しいxIDについて、マイナンバーから「確認要素」を生成することを止めて、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用するとしているが、xIDの法的性質が「広義の個人番号」(法2条8項かっこ書き、いわゆる「裏番号」「裏個人番号」)であることは従来と同じであり、xID社がxIDを法9条の定める税・社会保障・災害対応の3つの利用目的以外に利用しようとしていることに変わりはないので、やはり12月以降のxIDもマイナンバー法9条違反の違法なサービスである。

1.はじめに
このブログでは、以前、初期登録時にマイナンバーの入力が必要であるxID社のデジタルID・共通IDのxIDが、「個人番号に対応し、当該個人番号に代わって用いられる番号、記号その他の符号」つまりマイナンバーと法的に同等の性質を持つ「広義の個人番号」(いわゆる「裏番号」・「裏個人番号」)であり、そのようなxIDをマイナンバー法9条が定める税・社会保障・災害対応以外の利用目的に利用することは法9条等に違反する違法なものではないかとの問題を取り上げました。
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)

この問題に関して11月4日に、xID社は、xIDに関する新たなプレスリリースを公表しました。そのため、本ブログ記事では、このxID社の新しいプレスリリースをみてみたいと思います。

しかし、結論を先取りしてしまうと、xID社が12月から提供を開始するとしている新しいxIDサービスも、マイナンバー法9条などに違反する違法なサービスであることに変わりはないと思われます。

・xIDアプリの個人番号入力を伴う仕様に関するご指摘への回答と当社の今後の対応について|xID
・違法性指摘のxIDアプリが一時停止へ、社長が明かした「マイナンバー入力仕様」のわけ|日経XTECH

リリース3

リリース6
(xID社プレスリリース「xIDアプリの個人番号入力を伴う仕様に関するご指摘への回答と当社の今後の対応について」(2021年11月4日)より)

2.なぜxIDの初回登録でマイナンバーの入力が必要なのか?
xID社のリリースによると、xID社はxIDサービスを11月4日から一旦中止とし、12月中旬から仕組みを変えた新しいxIDサービスの提供を行うとしています。

xID社のリリースによると、共通ID・デジタルID・アカウントIDであるxIDそのものは、マイナンバーとは関係なくランダムに生成される番号であるとのことです。

それでは何故、初回登録時にマイナンバーの入力が必要となるかについて、日経XTECHの記事はつぎのように説明しています。

『初回登録時は、ユーザーがスマートフォンにマイナンバーカードをかざすと、xIDアプリがJPKI(=マイナンバーカードのICチップ部分の公的個人認証サービス)の署名用電子証明書を読み取り、マイナンバーカードとxIDアプリをひも付ける。具体的には、署名用電子証明書に含まれる基本4情報(氏名、生年月日、性別、住所)を暗号化し、xID社のサーバーに送信・保管する。』

そして、初回登録時になぜ利用者がマイナンバーの入力を要求されるかについて、日経XTECHの記事はつぎのように記述しています。

『xID社の日下光社長は次のように説明する。「マイナンバーの一部と他の情報を使い、アカウント作成者が新規登録者であるか、それとも過去にアカウントを登録した人物であるかを確認するための(xIDアプリ独自の)要素である『確認要素』を生成している」。

『確認要素を生成する具体的な手順はこうだ。まず、入力させた12桁のマイナンバーと、マイナンバーカードから読み取った8桁の生年月日を加えた20桁の数字をつくる。これをハッシュ化したうえでバイト配列に変換し、さらにそこから数カ所のバイトを抽出・変換して確認要素とする。ここまでの過程はxIDアプリ内で実行する。』

『xIDアプリは生成した確認要素のみを、xID社のサーバーに送信し、サーバー側で確認要素とアカウントIDとをひも付けて保管する。同一のユーザーが異なるメールアドレスや異なるスマホを使って、新規にアカウントを登録したとしても、登録時に確認要素を生成することで、1人が複数のアカウントを登録することを防げるというわけだ。ただし、確認要素は一意となるデータではなく、「他人の確認要素と一定確率で衝突する可能性はある」(日下社長)。』(「違法性指摘のxIDアプリが一時停止へ、社長が明かした「マイナンバー入力仕様」のわけ」日経XTECH2021年11月4日より)

つまり、デジタルID・共通IDのxIDそのものはxIDアプリがマイナンバーとは関係なくランダムに生成する番号である一方で、利用者に入力させたマイナンバーと8桁の生年月日を加えた20桁の番号をハッシュ化し、それをバイト配列に返還し、さらにそこから数か所のバイトを抽出・変換して「確認要素」を生成し、この「確認要素」とxIDをセットでxID社のサーバーに保管していたとのことです。

そしてこの「確認要素」は、同一の利用者がメールアドレスやスマホ端末などを変えて登録作業を行うことにより、同じ人間が複数のxIDを持てないように、つまり一人一つのxIDを付与するために利用していたとのことです。

しかし、10月22日に個人情報保護委員会は、「マイナンバーを元にハッシュ化するなどして不可逆的に生成した番号も「広義の個人番号」(マイナンバー法2条8項かっこ書き、いわゆる「裏番号」「裏個人番号」)に該当するので、マイナンバーをハッシュ化するなどして生成した番号を法9条の定める税・社会保障・災害対応の3つの利用目的以外に利用することは法9条違反のおそれがある。」とのプレスリリースを出しました。
・番号法第2条第8項に定義される個人番号の範囲について(周知)|個人情報保護委員会

これを受けてxID社の今回のリリースは「マイナンバーから生成された「確認要素」は法2条8項かっこ書きの「広義の個人番号に該当する」との個人情報保護委員会の見解を受けて、12月中旬以降の新しいxIDサービスにおいては、マイナンバーから「確認要素」を生成するスキームを止めるとし、その上で、次のような新しい仕組みを導入するとしています。

同一の個人が複数のアカウントを持てない仕組みを提供するために、新たにマイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用します。』『 「新旧シリアル番号の紐付けサービス」は、J-LIS(地方公共団体情報システム機構)が提供する⺠間事業者向けの付加サービスです。マイナンバーカードの電子証明書が更新された場合に、更新前と更新後それぞれの電子証明書を紐づけ、保有者の同一性を確認できるようになります。』(xID社のリリースより)

つまり、xID社は、あくまでも利用者・国民に一人一つの共通IDであるxIDを付与するために、マイナンバーをハッシュ化するなどして「確認要素」を生成するかわりに、12月中旬以降は、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用する方針であるとのことです。

ここで、このマイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」について地方公共団体情報システム機構(J-LIS)サイトの説明ページをみると、たしかに平成29年1月開始の民間向けの新サービスとして、『利用者証明用電子証明書が更新された場合に、更新前と更新後それぞれの利用者証明用電子証明書の保有者の同一性を確認できないことに対応するため、民間事業者向けの付加サービスとして、新しい利用者証明用電子証明書のシリアル番号を用いて公的個人認証サービスに問い合わせると、1世代前の利用者証明用電子証明書のシリアル番号を提供するサービスを、平成29年1月から開始しました 。』と解説されています。
新たに開始したサービス
(地方公共団体情報システム機構(J-LIS)サイトより)
・民間事業者が公的個人認証サービスを利用するメリット|地方公共団体情報システム機構(J-LIS)

3.マイナンバーカードの公的個人認証サービス
総務省サイトのマイナンバーカードの民間利用の説明ページのなかの説明資料「個人番号カードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について(参考資料)」には、マイナンバーカードのICチップ部分の電子証明書のシリアル番号等を利用して、例えば銀行口座の新規開設などの場面でマイナンバーカードの電子証明書のシリアル番号等が「なりすまし」や「改ざん」防止のための本人確認として利用できることが説明されています。
・マイナンバー制度とマイナンバーカード>公的個人認証サービスによる電子証明書(民間事業者向け)|総務省
・個人番号カードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について(参考資料)(PDF)|総務省

公的個人認証サービス1
公的個人認証サービス3
(総務省「個人番号カードの概要及び公的個人認証サービスを活用したオンライン取引等の可能性について(参考資料)」より)

しかし、総務省サイトやその説明ページの資料の解説などを読むと、このマイナンバーカードのICチップ部分の公的個人認証サービスは、あくまでも「なりすまし」や「改ざん」などを防ぐための本人確認のための機能です。つまり例えば銀行口座の開設の場面でいえば、銀行口座の新規開設をしたいという利用者・国民が確かに当該利用者・国民の本人であることの確認を行って「なりすまし」や「改ざん」を防止することが「本人確認」です。この「本人確認」は、この銀行口座の新規開設の場合における銀行口座番号を作った利用者・国民が本人であることを確認するための仕組みであって、当該銀行口座番号が国民に一人一つの唯一無二性を証明する機能ではないはずです。

そのため、利用者・国民の「本人確認」をして「なりすまし」「改ざん」を防ぐという目的のための機能である、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を、現行のマイナンバーをハッシュ化等して「確認要素」を生成し、当該「確認要素」により利用者・国民に付与するxIDを利用者・国民に一人一つの番号であること(唯一無二性・悉皆性)を担保することの代わりに利用することは、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」や、マイナンバーカードの電子証明書の「本人確認」という利用目的を逸脱した脱法的なものなのではないでしょうか?

4.なぜxID社は国民一人に一つの共通IDのxIDに執着するのか?
そもそも、xID社はなぜここまでして、xIDを国民に一人一つの番号とすることに異常なまでに執着するのでしょうか。今回のプレスリリースでもxID社はマイナンバーカードの「新旧シリアル番号の紐付けサービスを利用」する目的を「同一の個人が複数のアカウントを持てない仕組みを提供するため」として、xIDを国民に一人一つ(唯一無二性・悉皆性)の性質を持つ共通IDとする方針は継続する方針です。

この点、xID社はこのブログでも取り上げたとおり、2020年10月2日の経産省の「第5回インフラ海外展開懇談会」に提出されたxID社のxIDに関する資料(「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」)」において、『Society 5.0の社会においては、パーソナルデータ(個人情報)を活用した個人最適なサービスの提供などを実現するにはデジタル世界で、あらゆるサービスを利用するAさんがどのサービスにおいても同一の人物である。と特定すること=”ユーザーの同一性・一意性担保”が重要です。利便性・信頼性と透明性を担保しながら利用できるデジタルIDがあれば、ユーザー同意に基づくパーソナルデータの活用が実現できます。』とxIDの趣旨・目的を説明しています。
xIDの概要1

xidの概要2
(2020年10月2日の経産省「第5回インフラ海外展開懇談会」の「資料3 xID 日下様 ご提供資料(第5回インフラ海外展開懇談会 日本で唯一の次世代デジタルIDアプリ「xID」)」より)
・第5回 インフラ海外展開懇談会|経済産業省

つまり、xIDとは「民間企業や各自治体、各官庁などがばらばらに保有している国民の個人データを、本人の同一性・一意性が担保できるデジタルIDであるxIDにより、官民のさまざまなサービスを利用する個人の個人データを一元管理・集中管理して国民の個人データの利活用を実現するもの」であり、すなわち、xIDとは一言で言うならば、「さまざまな行政機関・自治体やさまざまな民間企業がばらばらに保有する国民の個人データを、国・大企業が一元管理・集中管理して、国・大企業がマイナバー法に縛られずに自由な用途に利用できる唯一無二性・悉皆性の性質を持つ「民間版マイナンバー」」(=裏個人番号・裏マイナンバー・「広義の個人番号」、マイナンバー法2条8項かっこ書き)と言えます。

しかしそのような、国・自治体やさまざまな民間企業などがばらばらに保有する国民の個人情報を、国・大企業などがxIDなどの国・企業などの保有する個人情報を名寄せ・突合できるマスターキーの共通IDで一元管理・集中管理することは、国民のあらゆる分野・項目の個人情報・個人データが国・大企業により一元管理・集中管理され、いわば「国民個人個人が国家・大企業の前であたかも丸裸にされるがごとき状況」(住基ネット訴訟・金沢地裁平成17年5月30日判決)が発生することとなってしまいます。

そのような状況下では、国民のプライバシーや私的領域(憲法13条)、表現の自由(21条1項)、内心の自由(19条)、信仰の自由(20条)などの国民の基本的人権が国家・大企業の前でゼロとなってしまい、国民が国家や大企業による監視・モニタリングにおびえ、日々の生活における行動や表現行為などが委縮し、安心して人間らしいのびのびとした生活を送れなくなってしまう危険があります。つまり「国民総背番号制」の危険や、中国、北朝鮮やかつてのソ連やその衛星国家などの旧共産圏、あるいはジョージ・オーウェルのSF小説「1984」、最近のアニメ「PSYCHO-PASS サイコパス」などのような「超監視国家」・「超監視社会」の危険があります。

マイナンバー法は、行政の効率化や行政のコストダウン等の目的のために、国民すべてに割り当てられ(悉皆性)、国民一人に一つの番号(唯一無二性)の性質を有するマイナンバー(個人番号)という、行政が保有するあらゆる個人情報・個人データを名寄せ・突合できる究極のマスターキーとしてのマイナンバーを創設する一方で、同法9条はマイナンバーの利用目的を税・社会保障・災害対応の3つに限定し、利用できる行政機関・民間企業も限定的に定めてそれ以外の利用を罰則付きで禁止しています。

また、本人や行政機関・民間企業等も法9条の定める利用目的以外にマイナンバーを提供することを禁止しており、かりに「本人の同意」があったとしても、法9条の定める利用目的以外のマイナンバーの提供・利用・保存などは禁止されています(法19条)。

マイナンバー法はこのような厳しい法制度により、行政の効率化とともに、マイナンバーが国や大企業などに悪用され、日本社会が中国や北朝鮮などのような超監視国家となるリスクを防止しているのです。

にもかかわらず、xID社が実施している「さまざまな行政機関・自治体やさまざまな民間企業がばらばらに保有する国民の個人データを、国・大企業が名寄せ・突合できるようにして一元管理・集中管理して、国・大企業が自由な用途に利用できる「民間版マイナンバー」」というxIDサービスは、つまり、国・自治体・大企業等がマイナンバー法を潜り抜けて、あらゆる用途に好き勝手に国民のあらゆる個人情報・個人データを名寄せ・突合して利活用できるようにするために、日本社会の「超監視国家」化を防止するためのマイナンバー法9条を潜脱するための脱法的なサービスが目的であると思われ、これはマイナンバー法9条違反として許されないものなのではないでしょうか。

xID社は、今回のプレスリリースで、マイナンバーをハッシュ化等して「確認要素」を生成するスキームは止めて、12月中旬以降は、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」を利用した新サービスを提供する方針であるそうです。

しかし上でみたように、この電子証明書の「新旧シリアル番号の紐付けサービス」の利用は、マイナンバーカードの電子証明書機能の「本人確認」という本来の目的を逸脱した脱法的な利用です。

また、そもそも12月中旬以降の新しいxIDも、マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」の利用により、「国民一人に一つで国民すべてに割り当てられた番号」という「唯一無二性・悉皆性」というマイナンバー(個人番号)の法的性質(宇賀克也『番号法の逐条解説 第2版』24頁)が担保された、マイナンバーに代わる番号(=「広義の個人番号」「裏番号」「裏個人番号」、法2条8項かっこ書き)であることに変わりはないので、新しいxIDを税・社会保障・災害対応という法9条が規定する利用目的以外の、自治体の施設予約システムのIDや、自治体の各種の行政サービスへの電子申請のIDに利用・提供・保存などをすることは、やはりマイナンバー法9条違反や、法19条違反となると思われます。

5.まとめ
xID社は、「マイナンバーカードの電子証明書の「新旧シリアル番号の紐付けサービス」の利用」などというマイナンバー法を潜脱するための手段を考案することに力を入れるのではなく、「デジタル世界で、あらゆるサービスを利用するAさんがどのサービスにおいても同一の人物であると特定すること=”ユーザーの同一性・一意性担保”」という「広義の個人番号」(「裏番号」「裏個人番号」「民間版マイナンバー」)のxIDというマイナンバー法を潜脱する脱法的なサービス自体を断念する経営判断を行うべきではないでしょうか。

日本は個人の尊重や個人の基本的人権の確立を掲げる近代立憲主義憲法を持つ民主主義国であり、そのような近代民主主義国家においては、主権者たる国民の基本的人権を守るために、国民から負託された国会において制定された法律を遵守して行政や民間企業等が行政活動や経済活動を行う「法の支配」法治主義が大原則です。(最近、社会的に注目されているSDGsの「17の目標」も、「公正」を目標の一つに掲げています。)

xID社は日本社会の「良き企業市民」として、マイナンバー法や個人情報保護法などの法律や社会倫理・モラルを遵守するというコンプライアンス意識を持った企業活動が求められます。法律の抜け道を探すことに力を注ぎ、脱法的な企業活動を行うことは、「Gov-tech」を標榜する「良き企業市民」のやることではありません。

■追記(11月5日)
産業技術総合研究所主任研究員の高木浩光先生も11月5日にTwitterで、xIDのプレスリリースについて次のように批判する投稿をしておられます。

この期に及んで(何度変換しようが照合させようが対応して変わって用いられる限りそれが法の個人番号の定義だと言われているのに)まだこんなこと言うのですね。思考力の弱い自治体相手ならまだまだこれで通せそうでしょうか?

ひろみつ先生2
(高木浩光先生(@HiromitsuTakagi)のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1456333854680092695

サイバートラストはこんな用途(1人1アカウントを実現)に新旧シリアル番号ひも付け機能を使わせちゃダメだよ。利用者が自ら証明書更新時にアカウントを継続するときに使うものだからね。

ひろみつ先生1
(高木浩光先生(@HiromitsuTakagi)のTwitterより)
https://twitter.com/HiromitsuTakagi/status/1456339328137789440

■追記(11月11日)
11月10日に、渋谷区議会議員須田賢様より、渋谷区は施設予約システム開発の業務委託先をXID社ではない企業に委託することを決定したとの情報提供をTwitterにていただきました。また須田様は、まだxID社のシステム導入を渋谷区が検討中の段階で、xID社が「渋谷区からxIDが問題ないと認定を受けた」趣旨の投稿をTwitterで行っていたことは、民間IT企業の宣伝活動・広報活動のあり方として問題がある旨も指摘しておられます。須田賢・渋谷区議様、情報提供をいただき誠にありがとうございました。
須田賢氏1
須田賢氏2
(須田賢・渋谷区議会議員(@sudaken_shibuya)のTwitterより)
https://twitter.com/sudaken_shibuya/status/1458401780027432961

この点、渋谷区11月10日付プレスリリース「令和3年度施設予約システム再構築に係る設計・開発業務委託の公募型プロポーザルの選考結果について公表します」は、令和3年度施設予約システム再構築に係る設計・開発業務委託について、xID社ではなく、ぴあ株式会社を業務委託先の選定事業者に決定したと公表しています。
・令和3年度施設予約システム再構築に係る設計・開発業務委託の公募型プロポーザルの選考結果について公表します|渋谷区

渋谷区をはじめとする自治体・行政機関について憲法15条2項、地方公務員法32条などは行政サービスの公平性・中立性や法令遵守を要求しており、法律の抜け穴を探すことばかりに熱心でコンプライアンス意識が希薄な企業風土のxID社との業務提携を行わない決定した渋谷区や渋谷区議会の判断は、極めて正当であると思われます。

面白かったらブックマークなどをお願いします!

■参考文献
・水町雅子『Q&A番号法』10頁、56頁
・宇賀克也『番号法の逐条解説 第2版』24頁

■関連する記事
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中(追記あり)
・東京都のLINEを利用したコロナワクチン接種啓発の「TOKYOワクション」は個人情報保護法制や情報セキュリティの観点から違法・不当でないのか?(追記あり)
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)-個人情報・公務の民間化
・デジタル庁の事務方トップに伊藤穣一氏との人事を考えた(追記あり)
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える-ビッグデータ・AIによる「教育の個別最適化」
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた-AI・教育の平等・データによる人の選別
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・令和2年改正の個人情報保護法ガイドラインQ&Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた-「委託の混ぜるな危険の問題」
・河野太郎大臣がTwitterで批判的なユーザーをブロックすることをトランプ氏の裁判例や憲法から考えたー表現の自由・全国民の代表(追記あり)
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた(追記あり)-貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた







































このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ