（東京都「TOKYOワクション」サイトより）

このブログ記事の概要

東京都のLINEを利用したコロナワクチン啓発のための「TOKYOワクション」は、東京都個人情報保護条例に違反し、また、2021年4月30日付の内閣官房・個人情報保護委員会・金融庁・総務省の「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」などにも違反している。

具体的には、同ガイドラインは、国・自治体がLINEの行政サービスで国民の個人情報や機微情報を取扱う場合には、（１）監督官庁のセキュリティーポリシーに適合することと、（２）LINE社以外の事業者にシステムを構築させ、当該システム上で個人情報・機微情報の保存などをすることを要求しているところ、東京都の「TOKYOワクション」は、（１）（２）のどちらも満たしておらず、同ガイドラインに違反している。

そのため、東京都の「TOKYOワクション」は、個人情報保護法制や情報セキュリティの観点から非常に問題である。

１．東京都の「TOKYOワクション」政策
東京都は、2021年10月15日付のプレスリリース「新型コロナウイルスワクチン接種促進キャンペーン「TOKYOワクションアプリ」を開始します」によると、都民の新型コロナワクチンの接種を促進するために、「TOKYOワクション」という施策を11月１日から開始したようです。
・新型コロナウイルスワクチン接種促進キャンペーン「TOKYOワクションアプリ」を開始します｜東京都（2021年10月15日付）

このプレスリリースによると、この「TOKYOワクション」とは、「１．TOKYOワクションアプリ特設ホームページでの情報発信、２．スマートフォンアプリ（LINEアプリ）を活用した接種記録の登録と特典の提供」を内容とするものであるそうです。

つまり一言でいうと、この東京都の「TOKYOワクション」とは、都民のコロナワクチン接種を促進すると同時に、ワクチン接種済の住民に協賛企業からの特典等を提供することにより協賛企業の売上をアップさせる「町おこし」のために、コロナワクチンの接種を受けた都民がLINEの「TOKYOワクション」に「友達登録」し、運転免許証などの「本人確認書類」と医療機関や自治体などが発行したワクチンの「接種済証」等の画像をLINEの「TOKYOワクション」にアップロードし、当該画像を確認した東京都の事務局がワクチン登録済の住民として登録し、当該住民は「TOKYOワクション」のワクチン接種済の登録画面を提示して、「TOKYOワクション」の協賛企業（イオングループの飲食店など）から特典を受けられるという施策であるそうです。
・TOKYOワクション 公式サイト｜東京都

しかし、LINEについては本年３月に個人情報と通信の秘密に関する不祥事が発覚し、また本年９月も渋谷区がLINEとeKYCにより住民票の写しの申請を行うスキームを導入しようとしたところ、総務省から技術的な安全が確保されていないとダメ出しが行われたばかりですが、この東京都の「TOKYOワクション」は、個人情報保護法や情報セキュリティの観点から大丈夫なのでしょうか？

そこで東京都ウェブサイトに設置された「TOKYOワクション」サイトをみると、「TOKYOワクション」サイトは、たしかに大きく４つの機能があるようです。
・TOKYOワクション｜東京都

つまり、「１．ワクチンを知る」として、「そもそも予防接種とは何か」等のコロナワクチンに関するQAが用意されており、つぎに「２．ワクチンを接種する」として、ワクチン接種に関連する注意事項などのQAが用意されています。さらに、「３．TOKYOワクションアプリに登録する」という項目と、「４．ワクションに協賛する」という項目がありますが、とくにこの３番目の「３．TOKYOワクションアプリに登録する」が法的あるいは情報セキュリティ的に大丈夫なのか気になります。

２．LINEの「TOKYOワクション」の仕組み
そこで、不肖・私めが人柱として、スマホのLINEの「TOKYOワクション」に友達登録をしてみました。すると次のようなトップ画面が出てきました。


そしてこの画面左下の「アプリを開く」を押すと、「LINEで応募 TOKYOワクション キャンペーン概要」という説明ページが現れました。そこでこの「キャンペーン概要」の説明ページを読み進めてゆくと、「情報の取り扱いについて」という記述が現れました。



そこでこの「情報の取り扱いについて」を読むと、「本キャンペーンは東京都が主催するものであり、LINE社の「LINEで応募」機能を利用しています。」となっています。そして、「「LINEで応募」機能のサービス提供のために、本キャンペーンへの参加状況等の情報をLINE社が取得し、当該情報は東京都に提供されます（ただし、本人確認書類とコロナワクチンの接種記録の情報は含まない）。」と説明されています。そして「LINE社は本キャンペーンへの参加状況等から応募者の「ワクチン接種の事実」の情報を取得し、LINE社は応募者の「ワクチン接種の事実」の情報を「LINEで応募」の機能提供に利用し、東京都はLINE社から提供された応募者の「ワクチン接種の事実」の情報を、本キャンペーンの実施および「TOKYOワクション」LINE公式アカウントからの当キャンペーンに関する情報の案内に利用し、さらに東京都は個人が特定できない形で、応募者の居住地・年齢の統計情報を特典提供者に提供する場合があります。」と説明されています。

「LINEで応募 TOKYOワクション キャンペーン概要」の「情報の取り扱いについて」の概要

①本キャンペーンは東京都が主催するものであり、LINE社の「LINEで応募」機能を利用する。

②「LINEで応募」機能のサービス提供のために、本キャンペーンへの参加状況等の情報をLINE社が取得し、当該情報は東京都に提供されます（ただし、本人確認書類とコロナワクチンの接種記録の情報は含まない）。

③LINE社は本キャンペーンへの参加状況等から応募者の「ワクチン接種の事実」の情報を取得し、LINE社は応募者の「ワクチン接種の事実」の情報を「LINEで応募」の機能提供に利用する。

④東京都はLINE社から提供された応募者の「ワクチン接種の事実」の情報を、本キャンペーンの実施および「TOKYOワクション」LINE公式アカウントからの当キャンペーンに関する情報の案内に利用する。

⑤東京都は個人が特定できない形で、応募者の居住地・年齢の統計情報を特典提供者に提供する。

この「LINEで応募 TOKYOワクション キャンペーン概要」の「情報の取り扱いについて」を読むと、東京都の「TOKYOワクション」は、LINE社の「LINEで応募」機能を利用して実施するとされています。そして、この「TOKYOワクション」キャンペーンにより協賛企業から特典を受けたりLINEポイントを受けるために、ワクチン接種済の都民がLINEの「TOKYOワクション」に友達登録しLINE社は当該都民を「LINEアカウント認証」を行い、当該都民はLINEの「TOKYOワクション」に運転免許証などの本人確認書類の画像と、医療機関や自治体が発行したワクチンの「接種済証」等の画像をスマホのカメラ機能で読み取り、LINEの「TOKYOワクション」に当該画像をアップロードするとなっています。そしてLINE社は「TOKYOワクション」に登録した都民のLINEアカウント情報や、本人確認書類の画像とワクチンの接種済等の書類の画像を東京都に提供するとなっています。

（なお、「情報の取り扱いについて」には、「（ただし、本人確認書類とコロナワクチンの接種記録の情報は含まない）」とのかっこ書きがありますが、「TOKYOワクション」サイトの説明を読むと、LINE社から「TOKYOワクション」に登録した都民のアカウント情報や本人確認書類とコロナワクチンの接種記録の情報をもとに東京都当局（あるいはその委託先企業）が原則24時間以内に情報を確認し、登録したワクチン接種済で「TOKYOワクション」に申し込んだ住民の情報をデータベースに登録し、協賛企業から店頭で特典を受けるための証明画面などを提供するとされているので、LINE社が本人確認書類とコロナワクチンの接種記録の情報をスマホのLINEアプリから収集し、東京都に当該情報を提供しないと東京都は「TOKYOワクション」の住民の確認と特典提供などのためのデータベースに登録できないので、このこのかっこ書きは虚偽か間違いではないかと思われます。）

■追記（2021年11月3日）
この「情報の取り扱いについて」の「（ただし、本人確認書類とコロナワクチンの接種記録の情報は含まない）」とのかっこ書きに関する私の上の説明について、ネット上で「認証しているだけなので技術的に正しくない」とのご指摘をいただきました。

上でも書いたとおり、東京都の公式サイトの説明では、利用者は本人確認書類とコロナワクチン接種済の証明書をスマホのカメラで撮影し、この２つの画像をLINEアプリにアップロードせよとなっています。そして、つぎに「登録内容をTOKYOワクション事務局が確認後、「LINEで応募」アカウントより登録完了の通知を行います。＊原則として24時間以内に通知します。登録が集中した場合、お時間をいただくことがあります。」と説明されています。



「登録内容をTOKYOワクション事務局が確認後、登録完了の通知を送ります」とあり、また「＊原則として24時間以内に通知します。登録が集中した場合、お時間をいただくことがあります。」とも記載されていることから、LINEアプリにアップロードされた本人確認書類とワクチン接種済証の画像が、LINE社サーバーに送信され、LINE社サーバーから東京都事務局に提供され、東京都事務局の職員等が目視で、あるいはAIなどで登録の確認を行っているのではないかと私は思いました。

しかし、この点指摘をいただいたので、ある情報システムの専門家の方に質問したところ、東京都のこの公式サイトの説明が正しいかどうかあやしく、LINEアプリ上で本人確認書類とワクチン接種済証の画像を認証していて、LINE社のサーバーには本人確認書類とワクチン接種済証の画像が送信されず、東京都の事務局にも本人確認書類とワクチン接種済証の画像は提供されていない可能性もあるとのご回答をいただきました。そしてどちらが正しいかは、システムの仕様書を見ないとわからないとのことでした。

３．LINEをこのような用途に利用して大丈夫なのか？
この「LINEで応募 TOKYOワクション キャンペーン概要」の「情報の取り扱いについて」に基づく東京都とLINE社の「TOKYOワクション」にはいくつかの疑問がわきます。つまり、まず第一は、都民・国民のセンシティブな個人データであるコロナワクチン接種に関する個人情報をLINE等で東京都などが取り扱ってよいのかという問題、第二に、本年９月に渋谷区で問題になった、渋谷区のLINEにより本人確認手段の「eKYC」を利用した住民票の写し交付申請は総務省から「技術的に安全を確保できない」として違法と判断されたわけですが（現在、渋谷区は総務省に対して訴訟を提起中）、東京都のこの「TOKYOワクション」のLINEを利用した本人確認とワクチン接種済の確認は法的に大丈夫なのか？という問題、さらに第三にこのような用途に自治体である東京都がLINEを利用してよいのか？という問題、などが個人情報保護法的に、あるいは情報セキュリティ的に大丈夫なのかという疑問がわきます。

４．都民・国民のセンシティブな個人データであるコロナワクチン接種に関する情報の取扱いについて
東京都の個人情報保護条例４条２項は、「実施機関は、思想、信教及び信条に関する個人情報並びに社会的差別の原因となる個人情報については、収集してはならない。ただし、法令又は条例(以下「法令等」という。)に定めがある場合及び個人情報を取り扱う事務の目的を達成するために当該個人情報が必要かつ欠くことができない場合は、この限りでない。」と規定しています。

東京都個人情報保護条例

(収集の制限)
第４条　実施機関は、個人情報を収集するときは、個人情報を取り扱う事務の目的を明確にし、当該事務の目的を達成するために必要な範囲内で、適法かつ公正な手段により収集しなければならない。

2　実施機関は、思想、信教及び信条に関する個人情報並びに社会的差別の原因となる個人情報については、収集してはならない。ただし、法令又は条例(以下「法令等」という。)に定めがある場合及び個人情報を取り扱う事務の目的を達成するために当該個人情報が必要かつ欠くことができない場合は、この限りでない。

つまり、東京都個人情報保護条例は、センシティブな個人情報である、「思想、信教及び信条に関する個人情報並びに社会的差別の原因となる個人情報」については原則、収集を禁止しています。

この点、民間企業などに対する一般法である個人情報保護法２条３項は、要配慮個人情報を「本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等が含まれる個人情報をいう。」と定義しています。

この「病歴」とは「病気に罹患した経歴を意味するもの、または特定の病歴を示したものなどが該当する」とされており（岡村久道『個人情報保護法 第３版』89頁）、また、「その他本人に対する不当な差別、偏見その他の不利益が生じないようにその取扱いに特に配慮を要するものとして政令で定める記述等」に関する個人情報保護法施行令２条２項は「本人に対して医師その他医療に関連する職務に従事する者（次号において「医師等」という。）により行われた疾病の予防及び早期発見のための健康診断その他の検査（同号において「健康診断等」という。）の結果」と規定し、同施行令２条３項は「健康診断等の結果に基づき、又は疾病、負傷その他の心身の変化を理由として、本人に対して医師等により心身の状態の改善のための指導又は診療若しくは調剤が行われたこと。」と規定しているので、国民がコロナワクチンの接種を受けたという情報は、個人情報・個人データに該当することは当然としても、個人情報保護法上の「要配慮個人情報」には該当しないということになってしまっています。（これは正直、法律の不備ではないかと思われます。コロナワクチンなどの「予防接種」も、厚労省などが準備し接種を奨励するコロナワクチンを、コロナの予防のために医師や看護師などの問診を受けた上で医師または看護師の注射によるワクチン接種という医療行為が行われるのですから、「予防接種」も、施行令2条3項の医師などの「指導」・「診療」・「調剤」と同等に、要配慮個人情報とすべきではないでしょうかうか。）

とはいえ、ある個人が新型コロナワクチン接種を受けた、あるいは受けないという事実は、国民・個人の自分はコロナワクチン接種を受ける／受けないという、自らの生命のあり方や医療に関する自己決定権（憲法13条）や、自分はコロナワクチン接種を受ける／受けないという、個人の思想・良心などの内心の自由（憲法19条）や、宗教的な理由でワクチン接種を受けない個人にとっては信仰の自由（憲法20条）などに直結する極めてセンシティブな個人情報・個人データです。

とくにコロナワクチン接種を受けないとの判断をした個人のワクチン接種に関する個人情報・個人データは、「本人に対する不当な差別、偏見その他の不利益」が生じるおそれのある情報であると思われ、東京都や厚労省などの国・行政は、コロナワクチン接種に関する接種を受けた／受けていないとの情報、接種の年月日・時間、接種を受けた場所・医療機関、接種を受けたコロナワクチンの種類・メーカー名・シリアル番号などは、要配慮個人情報に準じたセンシティブな個人情報として、国や自治体などは特に厳格な取扱いが必要であると思われます。

５．本人確認の問題
渋谷区のLINEによる住民票の写し交付申請の事例は、渋谷区から委託を受けたBot Express社がLINE上に住民票の写し交付申請のためのチャットボットのアプリを準備し、スマホのカメラ機能で申請者の本人確認書類に添付された顔写真から顔写真の画像データを取得し、また、同じくスマホのカメラ機能で申請者本人の顔の画像データを取得し、これらの画像データをAIが照合して本人確認を行うという「eKYC」と呼ばれる本人確認の手法が、「なりすまし」のリスクを防止できないとして総務省から違法と指摘されたものです。

つまり、市区役所窓口などにおける市や区の職員による対面の本人確認と異なり、渋谷区のLINEによる申請スキームでは、申請者が本人確認書類を偽造するなどして「なりすまし」をして申請を行うリスクが回避できないので、官民のさまざまな手続きにおいて公的な本人確認書類として重要な役目を果たす住民票の写しの交付のためには、「eKYC」だけでは足りず、電子証明書などの利用も必要であるというのが総務省の見解です。
・「総務省は常識を逸脱」　渋谷区と総務省が対立の“住民票LINE交付”巡り、技術提供会社が国を提訴｜ITmediaニュース

この点、今回の東京都の「TOKYOワクション」における本人確認は、渋谷区の事例と異なり、運転免許証などの本人確認書類の画像データはスマホのカメラ機能でLINE社が取得し東京都に提供されるものの、渋谷区のように申請者本人の現実の顔画像をスマホアプリで収集するプロセスが存在しません。

東京都は、LINE社によるアカウント認証で本人確認を補っていると主張するかもしれませんが、そもそもLINEのアカウントを利用者・国民が開設する際には、携帯電話番号やメールアドレスなどによる本人確認が行われるだけであり、LINE社のアカウント認証は非常に弱い本人確認といえます。

そのため、この東京都の「TOKYOワクション」の本人確認は、渋谷区のLINEによる住民票の写し交付申請の「eKYC」方式よりも脆弱な本人確認であり、悪意のある第三者による「なりすまし」のリスクを回避できないので、情報セキュリティの観点から問題なのではないでしょうか。

また、東京都の個人情報保護条例（東京都個人情報の保護に関する条例）７条は、第１項が「実施機関は、保有個人情報を取り扱う事務の目的を達成するため、保有個人情報を正確かつ最新の状態に保つよう努めなければならない。」と規定し、同条２項は「実施機関は、保有個人情報の漏えい、滅失及びき損の防止その他の保有個人情報の適正な管理のために必要な措置を講じなければならない。」と規定し、民間企業向けの一般法である個人情報保護法19条と同等の「個人データの内容の正確性の確保」と、個人情報保護法20条の安全管理措置と同様の、「適正管理措置」を東京都の各行政機関・部局は講じなければならないと規定しています。

東京都個人情報保護条例

(適正管理)
第７条　実施機関は、保有個人情報を取り扱う事務の目的を達成するため、保有個人情報を正確かつ最新の状態に保つよう努めなければならない。
２　実施機関は、保有個人情報の漏えい、滅失及びき損の防止その他の保有個人情報の適正な管理のために必要な措置を講じなければならない。

したがって、東京都が「TOKYOワクション」においていい加減な本人確認を行うことは、東京都個人情報保護条例７条１項および２項に抵触する違法・不当なものであると思われます。

さらに、「eKYC」方式による本人確認は、上の総務省の見解のように、第三者による「なりすまし」を防止できないため、金融機関が自社の口座開設など、自社が「なりすまし」によるリスクを負いきれる場面だけに利用されるものです。

この点、東京都の「TOKYOワクション」は、都民・国民のコロナワクチン接種というセンシティブな個人情報に扱うものであり、また、協賛企業から店舗での特典や、LINE社の「LINEポイント」の提供などを協賛企業やLINE社に求める仕組みであり、東京都のみが「なりすまし」が発生した場合のリスクを負いきれないスキームとなっています。

もし「なりすまし」を受けて偽造した「TOKYOワクション」のワクチン接種済の証明画面の提示などにより特典などを提供した協賛企業やLINE社などは、当該特典の相当額の損害賠償を東京都に請求することになり、杜撰な本人確認のスキームを導入していた東京都は、協賛企業に対する支援金だけでなく、その損害賠償請求に応じて損害額相当の金銭を支払わねばならない法的リスクを負うことになります（民法415条、709条）。

したがって、東京都は「TOKYOワクション」を一旦中止し、本人確認の方法などについて再検討を行うべきではないでしょうか。

６．東京都はこのような用途にLINEを利用してよいのか？
LINE社の通信アプリLINEは、2021年３月に朝日新聞の峯村健司氏などによるスクープ記事で、中国の関連会社に日本のユーザーのLINEの個人データへのアクセス権を付与していた問題や、日本のユーザーの画像データ・動画データなどの個人データのすべてを韓国の関連会社のサーバーに保管していた問題などが発覚し、個人情報保護法20条の安全管理措置の違反や同22条の委託先の監督の違反、憲法21条２項や電気通信事業法４条が定める「通信の秘密」を侵害していることが、「経済安全保障」という概念とともに大きな社会問題となりました。
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた

この事件を受けて、個人情報保護委員会と総務省は同年４月にLINE社に対して行政指導を実施しました。そして、同年４月30日付で内閣官房・個人情報保護委員会・金融庁・総務省は「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」を制定し公表しました。
・「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」の公表について｜金融庁

この「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」は、国・自治体の行政機関に対して、LINEによる行政サービスにおいては、原則、機密情報や個人情報などのやり取りは禁止とし、原則、国・自治体からの国民への単なる広報などに用途を限るものとして、おおむね、つぎの３点を規定しています。

内閣官房・個人情報保護委員会・金融庁・総務省「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」（2021年4月30日）の概要

①個人情報や機密情報に関する取扱いは原則禁止とする。

②相談業務サービスなどをLINE上で実施する場合には、大前提として各政府機関・地方公共団体等のセキュリティポリシーへの合致が必要であり、その上で、LINE社とは別の委託先に適切にセキュリティが確保されたシステムを構築させること。

④国・自治体等が個人アカウントで機密情報・個人情報等を取扱うことは禁止。

今回の東京都の「TOKYOワクション」におけるLINEの利用は、この「「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」の「②相談業務サービスなどをLINE上で実施する場合には、大前提として各政府機関・地方公共団体等のセキュリティポリシーへの合致が必要であり、その上で、LINE社とは別の委託先に適切にセキュリティが確保されたシステムを構築させること。」が問題になると思われます。

この点、「各政府機関・地方公共団体等のセキュリティポリシーへの合致が必要」の点に関しては、「TOKYOワクション」が、都民・国民のコロナワクチンの接種という医療に関する個人データを取扱うものであるため、厚労省の「医療情報システムの安全管理に関するガイドライン　第5.1版（令和3年1月）」などへの合致が要求されると思われます。そこで厚労省の同ガイドラインをみると、「6.11.外部と個人情報を含む医療情報を交換する場合の安全管理」（77頁以下）の「③「なりすまし」の危険性への対応」（79頁）において、医療関係の個人データを扱う情報システムについては、「なりすまし」のリスクを防止するために、「公開鍵方式や共有鍵方式等の確立された認証の仕組み」や「電子署名」を導入することが求められています。

ところが上でみたように、東京都の「TOKYOワクション」は、LINE経由で住民・国民の本人確認を行う際に、本人確認書類の画像をスマホのカメラ機能で収集し、LINE社のLINEアカウント認証を利用しているだけであり、公開鍵方式などや電子署名などの「なりすまし」防止のための仕組みを導入していないため、「各政府機関・地方公共団体等のセキュリティポリシーへの合致」に違反しています。

また、東京都の「TOKYOワクション」サイトやLINEの「TOKYOワクション」の「LINEで応募 TOKYOワクション キャンペーン概要」の「情報の取り扱いについて」などを読む限り、東京都は「TOKYOワクション」について、都民・国民のコロナワクチン接種というセンシティブな個人情報・個人データを取扱うにもかかわらず、LINE社の「LINEで応募」機能で都民のコロナワクチン接種に関する個人データを取扱うこととし、「LINE社とは別の委託先に適切にセキュリティが確保されたシステムを構築させること」を実施していないようです。

このように、東京都の「TOKYOワクション」は、内閣官房・個人情報保護委員会・金融庁・総務省の「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」に完全に違反しています。

７．まとめ
したがって、東京都の「TOKYOワクション」のスキームは、東京都個人情報保護条例に違反し、情報セキュリティの観点からも問題があり、さらに「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」に違反した、違法・不当なものです。

個人情報保護委員会や総務省などは、東京都に対して報告徴求や立入検査などを行うとともに、東京都に対して「TOKYOワクション」を中止する等の対応を行うべきではないでしょうか。

（なお、この東京都の「TOKYOワクション」サイトに掲載されているプライバシーポリシー（個人情報保護方針）も、「個人情報」の定義が明らかに間違っていたり、「個人情報の利用目的」の明示がなかったり、個人情報の開示・訂正・利用停止などの請求の手続きがまったく規定されていない等、個人情報保護法制的にツッコミどころ満載です。東京都の「TOKYOワクション」の担当部署は、厚労省のCOCOAの担当部署やデジタル庁などのように、個人情報保護法制や情報セキュリティの素人の人々の集まりなのでしょうか・・・。）
・「TOKYOワクション」の個人情報保護方針｜東京都

面白かったらブックマークなどをお願いします！

■関連する記事
・LINEの個人情報事件に関するZホールディンクスの有識者委員会の最終報告書を読んでみた
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中（追記あり）
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・「幸福追求権は基本的人権ではない」／香川県ゲーム規制条例訴訟の香川県側の主張が憲法的にひどいことを考えた
・令和２年改正の個人情報保護法ガイドラインQ＆Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた－「委託の混ぜるな危険の問題」
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた（追記あり）－個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた（追記あり）－貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた－AI・教育の平等・データによる人の選別
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)－個人情報・公務の民間化
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える－ビッグデータ・AIによる「教育の個別最適化」

タグ ：

TOKYOワクション

東京都

LINE

コロナワクチン

個人情報

privacy

security

eKYC

峯村砲

これはひどい

１．LINEの個人情報・通信の秘密に関する不祥事が発覚
2021年10月18日に、LINEの個人情報の事件に関するZホールディングスの有識者委員会の最終報告書が公表されました。

・「グローバルなデータガバナンスに関する特別委員会」最終報告書受領および今後のグループガバナンス強化について｜Zホールディングス

朝日新聞の編集委員の峰村健司氏などによる2021年3月17日付のスクープ報道により、通信アプリ大手LINE（国内の月間利用者約8900万人・2021年9月現在）を運営するLINE社が、中国の関連会社にシステム開発やユーザーから通報を受けた投稿等に問題がないかどうかのチェックなどの業務を委託し、中国関連会社の技術者らが日本のLINEのサーバーの個人情報にアクセスすることができる状態にあったことや、日本のユーザーの画像データ、動画データなどのすべての個人データがLINE社の韓国の関連会社のサーバーに保存されていることが発覚し、LINE社とその親会社のZホールディングス社には大きな社会的非難が起きました。
・【独自】LINEの個人情報管理に不備　中国の委託先が接続可能｜朝日新聞

■参考
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた

このLINEの事件に関しては、日本の約8900万人の個人データが中国の関連会社からアクセス可能であったことや、日本のユーザーの膨大な個人データが韓国の関連会社のサーバーに保管されていたこと等が、国民の個人情報保護やプライバシー保護の問題だけでなく、政府与党の要人や大企業の経営陣などの挙動が海外に密かに知られてしまうリスクや、国家の機密や大企業などの営業秘密などが海外に漏洩してしまうリスクとして、「経済安全保障」という新しいリスクとして社会的な大きな注目を集めました。

このLINEの事件を受けて総務省など国の官庁や多くの自治体は、LINEを利用した行政サービスを中止する事態となりました。

このLINE事件に関しては4月23日付で個人情報保護委員会がLINE社に対して行政指導を実施し、4月26日付で総務省がLINE社に行政指導を実施しました。また、個人情報保護委員会・総務省・金融庁・内閣官房は4月30日付で、「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」を制定・公表しました。しかし個人情報保護委員会はプレスリリースで、現在もLINE社に対する調査は続行中であることを公表していました。
・個人情報の保護に関する法律に基づく行政上の対応について(LINE株式会社・令和3年4月23日）｜個人情報保護委員会
・LINE株式会社に対する指導｜総務省
・「政府機関・地方公共団体等における業務でのLINE利用状況調査を踏まえた今後のLINEサービス等の利用の際の考え方（ガイドライン）」の公表について｜金融庁

これに対してZホールディングス社はLINEの問題に関する有識者による調査委員会（「グローバルなデータガバナンスに関する特別委員会」、座長・宍戸常寿・東大教授（憲法・情報法））を設置し、調査を開始し、6月11日付で第一次報告書を公表しました。
・LINEの個人情報事件に関する有識者委員会の第一次報告書をZホールディンクスが公表

２．最終報告書
その後、2021年10月18日付でZホールディングス社の有識者委員会はLINEの事件に関する最終報告書を公表し、また同日、有識者委員会は座長の宍戸教授と川口洋委員（株式会社川口設計代表取締役）が記者会見を行いました。

・「グローバルなデータガバナンスに関する特別委員会」最終報告｜Zホールディングス

このブログでは、LINEの個人情報などに関する不祥事について何回か取り上げてきましたが、本ブログ記事では、この最終報告書を簡単にみてみたいと思います。

３．中国の関連会社について
本最終報告書20頁以下を読むと、LINE社の情報セキュリティ部門は、外部の法律事務所に委託して中国のリーガルリスクの検討を行っていたが、2015年頃に中国向けアプリサービスを中止したことを受け、法律事務所に委託して中国のリーガルリスクを検討することが中断したとされています。そのため、「中国の国民や法人は中国政府の情報活動に協力する法的義務がある」（中国国家情報法７条）との規定がある2017年に中国で制定された中国国家情報法のリーガルチェックがLINE社において会社組織として漏れていたとされています（本最終報告書20頁）。


（Zホールディングス社サイトより）

また、本最終報告書によると、有識者委員会の技術部会がログなどから調査を行ったところ、中国の関連会社の職員によるシステムの保守・開発や通報を受けたメッセージや画像などの確認のために、日本のサーバーにアクセスした件数は、2021年3月23日にLINE社が行った個人情報保護委員会及び総務省への報告においては、LINEアプリのトークに関して通報されたメッセージに係る情報を閲覧し得る権限によるアクセスについては132件、そのうちLINEアプリのトークに関して通報されたメッセージの内容を直接閲覧できるURLへのアクセスは32件としていたところ、その後の調査で、LINE社は、LINEアプリのトークに関して通報されたメッセージに係る情報を閲覧し得る権限によるアクセスについては132件から139件に、LINEアプリのトークに関して通報されたメッセージの内容を直接閲覧できるページ（URL）へのアクセスについては32件から35件が確認されたとしています（本最終報告書24頁注18）。

ただし、ログは一部しか保管がされていなかったことや、ページ（URL）へのアクセスのログはあっても、そのアクセスで具体的にどのような操作を行ったかのログは残っていないこと等も、本最終報告書には記載されており（本最終報告書24頁）、これらのアクセスの数字がどこまで正確なのか不明であり、また中国関連会社の職員等が具体的にアクセスしたメッセージに対して中国当局の諜報活動に協力する等のために当該メッセージをコピー等して別の端末などに保存した等の行為があったか否かについては不明のままです。

また、法律事務所などによる詳細なリーガルチェックは中断していたものの、その期間中もLINE社の情報セキュリティ部門は、「中国に関するサイバーセキュリティリスクとして、例えば、Huaweiに代表される中国企業の製品利用に関わるリスクや、中国のハッカー集団による攻撃リスク等、中国企業や政府に絡んだサイバー攻撃のリスクを認識し、分析・対応」しており、中国にはサイバーセキュリティリスクがある旨を経営陣に報告していたが、経営陣はそのような中国のセキュリティリスクを経営上の課題として適切に取り上げ、対応をしていなかったと本報告書は記述しています（本最終報告書24頁）。

ところが、本最終報告書は、技術部会によるログのチェックなどから、「これらは、開発及び保守プロセスにおける正規の作業であるということが確認された。このことから、技術検証部会におけるこれらの調査による限り、調査対象期間（2020年3月19日から2021年3月19日）において、LINE China社から外部の組織に対して、LMPに関する情報の漏えいは認められなかった。」（本最終報告書24頁）との、「情報漏洩は発生していない」との結論を導き出していますが、これは不祥事に対する有識者委員会の報告書としてあまり正しくないのではないでしょうか。


（Zホールディングス社サイトより）

ただし、情報セキュリティ部門からの中国のセキュリティ上のリスクの報告があったにもかかわらず経営陣が適切な対応をとらなかったことに関して、本最終報告書は「このように経営陣がLINE社に求められるガバメントアクセスのリスクの検討やそれへの対応を怠ったと考えられ、結果、通信内容である送受信されたテキスト、画像、動画及びファイル（PDFなど）のうち、ユーザーから通報されたものについて、個人情報保護法制が著しく異なる中国の委託先企業からの継続的なアクセスを許容していたことは、極めて不適切であったと、本委員会は判断する。」（本最終報告書26頁）としていることは正当な評価であると思われます。

この点、中国の国家情報法については、制定された2017年前後においては、日本のマスメディアなどもこれを大きく取り上げ、同法７条により中国の個人・法人が中国当局の諜報活動・情報活動に協力する義務があることは国・大企業の役職員などにおいて公知の事柄であったにもかかわらず、かつ、社内の情報セキュリティ部門からの報告・進言があったにもかかわらず、LINE社の経営陣がLINEのシステムの保守・開発や通報のあったメッセージなどの監視・モニタリングなどの業務の委託を中国関連会社に漫然と継続し、中国関連会社からの日本のサーバーへのアクセス権の見直しなどの対応を実施していなかったことは、LINE社の個人情報取扱事業者としての安全管理措置（個人情報保護法20条）や、委託先の監督（同法22条）の明確な違反であると思われます。

個人情報保護法

（安全管理措置）
第２０条　個人情報取扱事業者は、その取り扱う個人データの漏えい、滅失又はき損の防止その他の個人データの安全管理のために必要かつ適切な措置を講じなければならない。

（委託先の監督）
第２２条　個人情報取扱事業者は、個人データの取扱いの全部又は一部を委託する場合は、その取扱いを委託された個人データの安全管理が図られるよう、委託を受けた者に対する必要かつ適切な監督を行わなければならない。

つまり、個人情報保護委員会の「個人情報保護法ガイドライン（通則編）」の「8（別添）講ずべき安全管理措置の内容」の「8-3　組織的安全管理措置」は、「（5）取扱状況の把握及び安全管理措置の見直し」として「個人データの取扱状況を把握し、安全管理措置の評価、見直し及び改善に取り組まなければならない。」と規定しています。


（個人情報保護委員会「個人情報保護法ガイドライン（通則編）8-3 組織的安全管理措置」より）

また、同ガイドラインの「8-6　技術的安全管理措置」は「（1）アクセス制御」として「担当者及び取り扱う個人情報データベース等の範囲を限定するために、適切なアクセス制御を行わなければならない。」と規定しており、LINE社の経営陣はこれらの安全管理措置を完全に怠っているからです。


（個人情報保護委員会「個人情報保護法ガイドライン（通則編）8-6 技術的的安全管理措置」より）

４．韓国の関連会社について
また有識者委員会の第一次報告書でも、LINE社は日本の国・自治体に対して、「LINEの個人情報を扱う主要なサーバーは日本国内にある」との虚偽の説明を2013年、2015年、2018年の3回実施していたことを公表しましたが、今回の最終報告書も同様の記述をしています。

LINE社の公共政策・政策渉外部門の担当者達は「「LINEアプリの日本ユーザーに関する全てのデータが『日本に閉じている』」旨の説明を国・自治体にしていたとされています。

しかしその理由について、本最終報告書は「本委員会による調査の範囲においては、公共政策・政策渉外部門の役職者が、上記の説明に反して、LINEアプリの画像や動画、ファイル（PDFなど）が韓国に保管されている事実を認識していたことを示す事実は確認されなかった」という不可解な結論を本文で示しています（本最終報告書46頁）。

しかし本最終報告書は同時に、脚注部分で、「公共政策・政策渉外部門の役職者のみが韓国サーバーに個人データが保存されていることを知らなかったとは考え難い」との委員の反対意見を付記しています（本最終報告書46頁注35）。

また、有識者委員会は、公共政策・政策渉外部門の役職者達が「「LINEアプリの日本ユーザーに関する全てのデータが『日本に閉じている』」旨の説明を国・自治体にしていたことの理由をLINE社の経営陣にヒアリングしたところ、「出澤代表取締役社長CEO（ChiefExecutiveOfficer）をはじめとするLINE社の経営陣（取締役）は、いずれも画像、動画及びファイル（PDFなど）は韓国で保管されていると認識していた一方、このような説明が行われていた事実を認識していなかったと説明した。このほか、本委員会による調査の範囲においては、LINE社の経営陣が公共政策・政策渉外部門の役職員が当該説明を行っていたことについて関与した事実は認められなかった。」と本文では結論づけられてしまっています（本最終報告書47頁）。

しかしこの点に関しても、本最終報告者は脚注部分で、「本委員会では、本文の結論に対し、以下のとおり反対意見があった。公共政策・政策渉外部門の役職員による「日本に閉じている」との説明は、本文記載のとおり、地方公共団体、中央省庁、政党等の公的機関に対し繰り返してなされたものであり、本委員会の委員の中にも直接これを耳にしたことがある者が複数名存在した。「日本に閉じている」という説明は、まさに公然と繰り返されていたと評価しうるのである。それにもかかわらず、LINE社の上級役員らがこの説明のことを知らなかったとは、およそ信じがたいところである。むしろ、上級役員らはこの説明を知っており、上級役員らの「韓国色を隠す」という意向・方針に沿ってこのような説明が繰り返されたと考えるのが自然である。」との委員からの反対意見を付加しています（本最終報告書47頁注37）。


（本最終報告書47頁注37より）

これは、ここ最近の10年、20年の日韓関係が冷え込んでいる状況から、LINE社が、LINEがもともと韓国のものであるという「韓国色」を明確にすると、日本の利用者・ユーザーからの不評を買い、LINEサービス利用の低下などの風評リスクが発生することを恐れたLINE社の経営陣や役職員達が、「韓国色隠し」を全社的に行っていた結果、日本の国・自治体や一般国民や企業などへの説明も、「LINEアプリの日本ユーザーに関する全てのデータが『日本に閉じている』」という趣旨の虚偽のものになってしまったと考えるのが自然なのではないでしょうか。

本最終報告書がこのように切り込み不足・踏み込み不足で、結果としてLINE社やZホールディングス社に有利となるような結論ばかりが目につくのは、この報告書のための調査や作成を行った委員会は外部の弁護士などによる第三者委員会ではなく、あくまでも有識者委員会であることの限界なのではないでしょうか。

現に、本有識者委員会の座長の宍戸常寿教授は、LINE社の傘下団体である一般財団法人 情報法制研究所（JILIS）の参与であり、この有識者委員会の報告書は自然とLINE社やZホールディングスに忖度した内容となってしまっているのではないでしょうか。
・メンバー紹介｜情報法制研究所

（なお、このように特定のIT企業と関係の深い情報法制研究所に、日本の著名な情報法や情報セキュリティの学者・研究者の先生方のほとんどが所属しておられる状況は、日本の情報法学の健全な発展や学問の自由（憲法23条）を阻害しないのか懸念が残ります。）

いずれにせよ、上でみた、中国の国家情報法によるセキュリティ上のリスクへの対応を漫然と放置していたことや、日本の国・自治体や国民・法人・ユーザーに対して「韓国色隠し」の虚偽の説明を行っていたこと等について、LINE社の出澤剛社長をはじめとする経営陣は今後、取締役の善管注意義務・忠実義務などの法的責任や経営責任について、株主代表訴訟なども含めて、会社や株主、ユーザー・利用者、監督官庁・国民などから厳しく責任を追及されるのは必至であろうと思われます。(会社法355条、423条、429条、847条、民法644条など、江頭憲治郎『株式会社法 第７版』434頁、469頁)。

会社法
（忠実義務）
第３５５条　取締役は、法令及び定款並びに株主総会の決議を遵守し、株式会社のため忠実にその職務を行わなければならない。

（役員等の株式会社に対する損害賠償責任）
第４２３条　取締役、会計参与、監査役、執行役又は会計監査人（以下この章において「役員等」という。）は、その任務を怠ったときは、株式会社に対し、これによって生じた損害を賠償する責任を負う。

民法
（受任者の注意義務）
第６４４条　受任者は、委任の本旨に従い、善良な管理者の注意をもって、委任事務を処理する義務を負う。

５．LINEpayの問題
さらに、LINEpayについては、LINE社は資金決済法39条に基づき、資金移動業を行うための申請書類として、商号及び住所、資本金の額、「資金移動業の一部を第三者に委託する場合にあっては、当該委託に係る業務の内容並びにその委託先の氏名又は商号若しくは名称及び住所」（同法38条１項９号）などを金融庁・財務局に申請し、金融庁・財務局は登録簿（資金移動業者登録簿）に登録する必要があるところ、LINE社は韓国、台湾及びタイの子会社にも資金移動業を委託していたにもかかわらずその申請を怠っており、金融庁の登録簿と現実に齟齬が発生していたことが本最終報告書では明らかにされています（本最終報告書70頁）。

キャッシュレス決済の資金移動業という金融機関の業務に関する申請書類において、金融庁への申請漏れがあったということは、金融業としては重大なミスであり、金融庁・財務局はヒアリングや報告徴求や立入検査などを実施し（資金決済法54条）、業務改善命令（同55条）などの行政処分をLINE社に対して発出すべき事態ではないでしょうか（堀天子『実務解説 資金決済法 第３版』160頁、167頁、177頁）。

こういったところにも、LINE社がベンチャー企業として急成長した企業にありがちなように、利益の追求や業務の拡大には熱心な一方で、コンプライアンスやガバナンスなどをおろそかにしている傾向がみられます。

６．LINEヘルスケア・LINEドクターなどの問題
本年３月には、LINE社は韓国の関連会社のサーバーに保管されている日本のユーザーの画像データ・動画データなどの個人データを日本のサーバーに移動させる方針を発表しました。この点に関して、本最終報告書はおおむね予定通り進んでいるとしています（本最終報告書27頁）。

しかし、LINEヘルスケア・LINEドクターに関して本最終報告書を読んでみると、LINEヘルスケア・LINEドクター等に関連する決済関係の情報（医療機関名称、所在地、担当者氏名、決済情報等）が、現在でも、韓国のLINEグループの財務情報システムに保存されており、このデータに関しては日本に移転するか否か検討中となっています（本最終報告書71頁、72頁）。


（Zホールディングス社サイトより）

医療に関連するデータがまだ韓国の関連会社のサーバーに残っていて、しかもLINE社は当該データを日本に移転させるか否か検討中としている点については、医療データはセンシティブな個人情報であることに鑑み、厚労省や個人情報保護委員会は、これらのデータも日本に移転させるように行政指導などを実施すべきではないでしょうか。

欧州のGDPR（EU一般データ保護規則）などでは、医療データ・健康データや生体データなどは「特別カテゴリーの個人データ」（GDPR９条）として厳格な取扱いが要求され、クレジットカードなどの金融関連のデータも個人データの取扱の安全性を規定するGDPR32条により厳格な取扱いが要求されます。

これに対して日本は、平成27年の個人情報保護法の改正で思想・信条や病歴、犯罪歴などに関する「要配慮個人情報」（法２条３項）という用語を新設しました。しかし、最近のJR東日本の防犯カメラ・顔認証技術による犯罪歴のある人物や不審者などの監視の問題などに見れれるように、日本は医療データや金融データなどのセンシティブな個人データの企業などによる取扱に関して中央官庁の対応が非常に甘すぎるのではないかと強く懸念されます。

７．虚偽の報告の罰則の可能性？
今回の最終報告書では、中国などの委託先企業からのアクセス件数がこれまでの報告書よりさらに増加したことや、LINE社の出澤社長ら経営陣が「日本の個人データは日本にある」との国・自治体や国民・法人への3回の虚偽の説明に関して「関与していない」等と主張してる件などについて、個人情報保護法85条は、個人情報保護委員会が報告徴求や立入検査をした場合(法40条)に事業者が虚偽の報告や検査忌避などをした場合の罰則を規定しているところ、この罰則が発動されるのか個人的には気になるところです。

LINE社内のコンプライアンスやガバナンスが極めて低いレベルであることから、個人情報保護委員会による追加の報告徴求・立入検査や、追加の行政指導等は必至と思われますし、金融庁や厚労省等も少しは行政指導・行政処分を実施すべきではないかと一般国民としては考えます。

８．「通信の秘密」について
なお、本最終報告書も個人情報保護法や情報セキュリティに関する検討がほとんどで、憲法21条２項が明記し、電気通信事業法４条や同179条が罰則付きで明示する「通信の秘密」に関して、有識者委員会がほとんど検討を行っていないことが気になります。座長の宍戸教授などをはじめ、憲法・情報法の専門家の先生方が委員を務めておられるにもかかわらずです。

日本国憲法
第２１条　集会、結社及び言論、出版その他一切の表現の自由は、これを保障する。
２　検閲は、これをしてはならない。通信の秘密は、これを侵してはならない。

電気通信事業法
（秘密の保護）
第４条　電気通信事業者の取扱中に係る通信の秘密は、侵してはならない。
２　電気通信事業に従事する者は、在職中電気通信事業者の取扱中に係る通信に関して知り得た他人の秘密を守らなければならない。その職を退いた後においても、同様とする。

（【追記】　LINE社は、総務省に届出を行い通信事業を行っている電気通信事業者です（届出番号A－20－9913）。そのためLINE社は電気通信事業法が定める「通信の秘密」（法４条）などを遵守する義務を負っています。）

電気通信事業法４条の「通信の秘密」には、通信の内容や本文が保護対象となるのは当然として、宛先や差出人、通信をした年月日、通信の有無、電子メールやネットなどの場合にはヘッダー情報、メタデータなどの通信の外形的な事項も含まれるとされています。そして「通信の秘密」については、「緊急避難」、「正当業務行為」あるいは利用者の「本人の同意」などがあった場合には、通信の秘密侵害は例外的に許容されるとされています（曽我部真裕・林秀弥・栗田昌裕『情報法概説 第２版』53頁、大阪高裁昭和41年2月26日判決、實原隆志『新・判例ハンドブック 情報法』（宍戸常寿編）140頁）。

しかし、今回のLINEの事件については、中国の関連会社が日本のサーバーにアクセス可能であったことや、日本のユーザーの画像データ・動画データなどのすべてが韓国のサーバーに保存されていたこと等は、緊急避難、正当業務行為、本人の同意、のいずれにも該当せず、やはりLINE社の日本のユーザーの情報の雑然とした取扱いは、個人情報保護法上問題となるだけでなく、電気通信事業法の観点からも違法となり罰則などが適用されるべき状況なのではないでしょうか。

ところが、総務省が2021年4月26日付で行ったLINE社に対する行政指導においては、個人情報保護法上の安全管理措置や情報セキュリティなどに関する指導が行われている一方で、「通信の秘密」に関しては何故かほとんどスルーされています。
・LINEの通信の秘密の問題に対して総務省が行政指導を実施

総務省は、2021年9月30日にはインターネットイニシアティブ（IIJ）に対しては、通信の秘密侵害があったとして行政指導を実施していますが、LINE社に対しては通信の秘密侵害について行政指導等を実施しないことは、行政の公平性・中立性（憲法15条２項、国家公務員法96条１項）が害される不公平な状況なのではないでしょうか。
・株式会社インターネットイニシアティブに対する通信の秘密の保護及び個人情報の適正な管理に係る措置（指導）｜総務省

(なお、本最終報告書はその他にも、警察等からの照会へのLINE社の対応や、LINE社と情報法制研究所（JILIS）との関係などについても調査・検討しているのは興味深いものがあります。)

面白かったらブックマークなどをお願いします！

■参考文献
・岡村久道『個人情報保護法 第３版』87頁、218頁、220頁、227頁
・曽我部真裕・林秀弥・栗田昌裕『情報法概説 第２版』53頁
・實原隆志『新・判例ハンドブック 情報法』（宍戸常寿編）140頁
・小向太郎・石井夏生利『概説GDPR』64頁、105頁
・江頭憲治郎『株式会社法 第７版』434頁、469頁
・堀天子『実務解説 資金決済法 第３版』160頁、167頁、177頁

■関連する記事
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・LINEの個人情報事件に関する有識者委員会の第一次報告書をZホールディンクスが公表
・LINEの通信の秘密の問題に対して総務省が行政指導を実施
・xIDのマイナンバーをデジタルID化するサービスがマイナンバー法違反で炎上中（追記あり）
・JR東日本が防犯カメラ・顔認証技術により駅構内等の出所者や不審者等を監視することを個人情報保護法などから考えた
・「幸福追求権は基本的人権ではない」／香川県ゲーム規制条例訴訟の香川県側の主張が憲法的にひどいことを考えた
・令和２年改正の個人情報保護法ガイドラインQ＆Aの「委託」の解説からTポイントのCCCの「他社データと組み合わせた個人情報の利用」を考えた－「委託の混ぜるな危険の問題」
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた（追記あり）－個人情報・プライバシー・労働法・GDPR・プロファイリング
・令和2年改正個人情報保護法ガイドラインのパブコメ結果を読んでみた（追記あり）－貸出履歴・閲覧履歴・プロファイリング・内閣府の意見
・欧州の情報自己決定権・コンピュータ基本権と日米の自己情報コントロール権
・トヨタのコネクテッドカーの車外画像データの自動運転システム開発等のための利用について個人情報保護法・独禁法・プライバシー権から考えた
・小中学校のタブレットの操作ログの分析により児童を評価することを個人情報保護法・憲法から考えた－AI・教育の平等・データによる人の選別
・デジタル庁がサイト運用をSTUDIOに委託していることは行政機関個人情報保護法6条の安全確保に抵触しないのか考えた(追記あり)
・デジタル庁のプライバシーポリシーが個人情報保護法的にいろいろとひどい件(追記あり)－個人情報・公務の民間化
・健康保険証のマイナンバーカードへの一体化でカルテや処方箋等の医療データがマイナンバーに連結されることを考えた
・文科省が小中学生の成績等をマイナンバーカードで一元管理することを考える－ビッグデータ・AIによる「教育の個別最適化」

タグ ：

LINE

個人情報

通信の秘密

security

出澤剛

宍戸常寿

峯村健司

峯村砲

Zホールディングス

経済安全保障

１．台湾の政府要人のLINEアカウントがハッキング攻撃を受ける
台湾の政府要人がイスラエル企業のマルウェア・スパイウェアの「Pegasus」（ペガサス）により通信アプリLINEのアカウントにハッキング攻撃を受けていた事件が報道されています。「Pegasus」は、標的のスマートフォンなどのデータへのアクセスや、スマホのカメラやマイクの機能を強制的にオンにして情報を収集するとされています。

それらの報道のなかで、7月29日付の産経新聞の「スパイウエア取り締まり困難　政府要人は自衛を」という記事が、神戸大学の森井昌克教授（電気通信工学）の「こうした監視ツールは昔からある。法的に禁止することは難しい」等のコメントを掲載していますが、この森井教授のコメントにはネット上でさまざまな疑問の声が寄せられています。またこの産経新聞記事は、「スパイウエアは…国際社会でも使用を禁止する動きはない。」としている点もよくわかりません。
・スパイウエア取り締まり困難　政府要人は自衛を｜産経新聞

２．不正指令電磁的記録作成罪（ウイルス作成罪）
神戸大学の森井教授は「法的に禁止することは難しい」とコメントを寄せれおられますが、しかし、2011年（平成23年）にはわが国の国会では、「情報処理の高度化等に対処するための刑法等の一部を改正する法律」が制定され、コンピュータ・ウイルスに関する罪の不正指令電磁的記録作成等罪（いわゆるウイルス作成罪）が刑法に新設されました（刑法168条の２、168条の３）。

刑法
（不正指令電磁的記録作成等）
第168条の２　正当な理由がないのに、人の電子計算機における実行の用に供する目的で、次に掲げる電磁的記録その他の記録を作成し、又は提供した者は、三年以下の懲役又は五十万円以下の罰金に処する。
一　人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録
二　前号に掲げるもののほか、同号の不正な指令を記述した電磁的記録その他の記録
２　正当な理由がないのに、前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供した者も、同項と同様とする。

つまり、新設された不正指令電磁的記録作成等の罪である刑法168条の２第１項１号は、コンピュータやスマホなどのユーザーに対して「正当な理由がないのに」、「意図に反する動作」をさせる「不正な指令」を与えるプログラムを作成したり提供したり、他人のコンピュータ等で実行させることを犯罪として３年以下の懲役または50万円以下の罰金という罰則の対象としています。

法務省の「いわゆるコンピュータ・ウイルスに関する罪について」は、この「意図」について、「当該プログラムの機能の内容や機能に関する説明内容、想定される利用方法等を総合的に考慮して、その機能につき一般に認識すべきと考えられるところを基準として判断する」としており、スマホ内のデータへアクセスし、またスマホのカメラやマイクの機能を強制的にオンにしてデータを収集する「Pegasus」などのスパイウェアの挙動は「意図に反する動作」に該当します。

また、法務省の同文書は、「不正な指令」について、「その機能を踏まえ、社会的に許容し得るものであるか否かという観点から判断する」とし、例えばコンピュータのストレージのデータを消去するためのプログラムがストレージ内のデータを消去することは「不正な指令」に該当しないが、例えば官庁の通知・通達などの文書ファイルを偽装した実はストレージ内のデータを消去させるファイル等は「不正な指令」に該当するとしています。そのため、「Pegasus」などのスパイウェアは社会的許容性もなく「不正な指令」に該当します。

さらに、「正当な理由がないのに」とは、例えばウイルス対策ソフトの研究開発のためにウイルス対策ソフト会社がコンピュータウイルスを作成などする行為に本罪が成立しないことを明確化するために国会審議で追加されたものです（西田典之・橋爪隆補訂『刑法各論 第７版』412頁）。「Pegasus」などのスパイウェアが一般人や政府要人のスマホ等に導入され動作することはこれに該当しないので、「Pegasus」などは「正当な理由がないのに」に該当します。

したがって、「Pegasus」などのスパイウェアについては、もしこれが日本の一般国民や政府要人などのスマホ等にインストールされ動作した場合、不正指令電磁的記録作成等の罪が成立するといえるので、「法的に禁止することは難しい」としている森井教授や産経新聞は正しくないと考えられます。

そもそもこの不正指令電磁的記録作成等の罪・ウイルス作成罪などは、2004年に日米欧など約50か国が批准し成立したサイバー犯罪条約への対応として制定されたものです。日本だけでなく、例えばイギリスでは「コンピュータ不正利用法」の３A条にウイルス作成罪が設けられ、イタリアの刑法615条の５もウイルスに関する罪を規定しています。さらにロシアや中国などの刑法にもウイルス罪の規定は設けられています（財団法人社会安全研究財団「諸外国における不正アクセスの助長行為等を規制する関連法令に係る調査報告書」（平成23年10月）５頁より）。
・諸外国における不正アクセスの助長行為等を規制する関連法令に係る調査報告書（平成23年10月）｜財団法人社会安全研究財団

また、ドイツでは最近、国や州が疑わしい国民のパソコンやスマホなどにスパイウェアを導入して監視を行うための法律案が準備中であるそうですが、同様の内容の法律が2008年にドイツ連邦憲法裁判所で国民の「コンピュータ基本権」という「新しい人権」に抵触する違憲なものであり無効とする判決（オンライン監視事件・2008年２月27日連邦裁判所第一法定判決 BVerfGE 120.274.Urteil v.27.2.2008）が出されたことは、このブログでも取り上げたとおりです。
・ドイツで警察が国民のPC等をマルウェア等で監視するためにIT企業に協力させる法案が準備中－欧州の情報自己決定権と日米の自己情報コントロール権－なか2656のblog

そのため、「スパイウエアは（略）、国際社会でも使用を禁止する動きはない。」としている産経新聞記事のこの部分も正しくありません。

３．個人情報保護法から
さらに、この産経新聞記事は、森井教授の「（スパイウェアを）法的に禁止することは難しい」というコメントの理由として、「個人情報を監視するソフトの定義が明確でないのが一因。もし、利用者のデータ収集を禁じれば、ネット通販や交流サイト（ＳＮＳ）などのアプリも規制を受けることになってしまうからだ。」と記述しています。

この説明が、森井教授か産経新聞記者のどちらの見解なのかは不明ですが、しかし、SNSやネット通販サイトなどは、一応は、個人情報保護法に基づき、それぞれの運営会社において、プライバシーポリシーで個人データの利用目的や個人データの第三者提供先、委託先、個人データの開示・訂正・削除・利用停止などの手続きなどを規定し、会社サイトなどで公表するなどして、個人情報・個人データの収集・管理などが（一応は）法律に則り実施されているのが一般的です。

したがって、「もし、利用者のデータ収集を禁じれば、ネット通販やＳＮＳなどのアプリも規制を受けることになってしまう」ので「スパイウェアなどを法的に禁止できない」という説明は無茶苦茶であり、この点は個人情報保護法からもまったく正しくありません。

４．まとめ
このように、この産経新聞の記事は、刑法や個人情報保護法などの観点から正しくない点が多く存在します。産経新聞は多くの国民が記事などを読むマスメディアなのですから、スパイウェアなどについて報道するにあたり、もう少し刑法や個人情報保護法、情報法などに関する法的知識や情報リテラシーを持った上で取材や報道を行うべきではないでしょうか。

■関連する記事
・「内閣府健康・医療戦略推進事務局次世代医療基盤法担当」のPPC・令和２年改正個人情報保護法ガイドラインへのパブコメ意見がいろいろとひどい件
・デジタル庁の事務方トップに伊藤穣一氏とのニュースを考えた
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件
・ドイツで警察が国民のPC等をマルウェア等で監視するためにIT企業に協力させる法案が準備中－欧州の情報自己決定権と日米の自己情報コントロール権
・「法の支配」と「法治主義」－ぱうぜ先生と池田信夫先生の論争（？）について考えた
・「幸福追求権は基本的人権ではない」/香川県ゲーム規制条例訴訟の香川県側の主張が憲法的にひどいことを考えた
・LINEの個人情報・通信の秘密の中国・韓国への漏洩事故を個人情報保護法・電気通信事業法から考えた
・個人情報保護法ガイドラインは図書館の貸出履歴なども一定の場合、個人情報や要配慮個人情報となる場合があることを認めた！？
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた－個人情報・プライバシー・労働法・GDPR

■参考文献
・西田典之・橋爪隆補訂『刑法各論 第７版』412頁
・いわゆるコンピュータ・ウイルスに関する罪について｜法務省
・諸外国における不正アクセスの助長行為等を規制する関連法令に係る調査報告書（平成23年10月）｜財団法人社会安全研究財団
・イスラエル企業開発のスパイウェア　世界中の記者や活動家を監視か｜NewsWeek
・懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」｜高木浩光@自宅の日記

タグ ：

産経新聞

森井昌克

スパイウェア

Pegasus

LINE

不正指令電磁的記録罪

ウイルス作成罪

個人情報

security

これはひどい