セキュリティ関連法規

2-1サイバーセキュリティ基本法

相棒の返事は「起きたことごとに、関わる法律が違う」というものでした。他人のIDで入ったこと、入ったあとに何をしたか、会員の情報を店がどう守るべきだったか、ネットの投稿にどう対処できるか。それぞれに別の法律があります。それらとは別に、国がサイバー攻撃にどう備えるかを定めた法律もあります。

それがサイバーセキュリティ基本法です。2014年に制定された法律で、国のサイバーセキュリティに関する施策の基本理念を定め、国と地方公共団体の責務、電力・金融・鉄道のように止まると社会が困る事業を担う重要社会基盤事業者の責務、ほかの事業者や大学などの役割、国民の努力を明らかにしています。誰かを罰するための法律ではなく、国の施策の向きと役割分担を決める法律です。こむぎ堂のような事業者にも、自主的にセキュリティの確保に努め、国の施策に協力するよう求めています。

この法律が確保しようとしているサイバーセキュリティは、第2条で定義されています。電子的・磁気的な方式など、人の目や耳では直接とらえられない形で記録され、送られ、受け取られる情報について、漏えい・滅失・毀損を防ぐ措置と、情報システムや情報通信ネットワークの安全性・信頼性を確保する措置がとられ、その状態が適切に保たれていること。対策をとることだけでなく、とった対策が保たれている「状態」までを含めているのが、この定義の特徴です。

人の知覚では直接認識できない方式で作られ、コンピュータで処理するために使われる記録を、法律では電磁的記録と呼びます。刑法の第7条の2がこの定義を置いていて、ほかの多くの法律も同じ意味で使います。サーバに保存された会員名簿も、交通系ICカードの残高も電磁的記録です。紙の文書を前提にした決まりを、データにも当てはめるための言葉です。

基本法には、こむぎ堂の管理画面に入った人を罰する条文はありません。具体的な行為を禁じて罰を定めているのは、次の節から見る個別の法律です。

2-2不正アクセス禁止法

なります。不正アクセス禁止法（正式名称は「不正アクセス行為の禁止等に関する法律」）は、他人のIDとパスワードを勝手に使ってコンピュータに入ることそのものを禁じています。中のデータを盗んだり壊したりしていなくても、入っただけで罰せられる。これがこの法律の大きな特徴です。

禁じられている中心の行為が不正アクセス行為です。IDとパスワードなどで利用を制限しているコンピュータに、ネットワークを通じて入り込み、本来は使えない機能を使える状態にする行為をいい、型は大きく2つに分かれます。1つは、他人のIDとパスワードを入力して入る型です。もう1つは、ソフトウェアの弱点を突く情報や命令を送り込み、IDの確認そのものをすり抜ける型です。条文（第2条第4項）は、後者のうち別のコンピュータが受け持つIDの確認をすり抜ける場合を独立した号にしているので、号の数は3つです。日曜の深夜に管理画面へ入った友だちは、店の承諾なく他人のIDを使っているので、1つめの型にあたります。違反すると、3年以下の拘禁刑または100万円以下の罰金です。

この法律は、守る側にも努力を求めています。IDやパスワードを適切に管理し、IDの確認の仕組みが役に立っているかを確かめ続けることです。辞めた人のIDを消さずに残していたのは、こむぎ堂の側の落ち度でした。退職のたびにIDを止める、IDを共有しない、パスワードを人に教えないといった日々の管理が、不正アクセスを防ぐ手立ての中心になります。

2-3刑法とコンピュータ犯罪

不正アクセス禁止法が罰するのは、入ることと、その準備にあたる行為です。入ったあとでデータを書き換えたり、店の仕事を止めたり、ウイルスを送りつけたりする行為は、それとは別に、犯罪と刑罰の基本を定めた刑法の罪として罰せられます。1つの出来事が、2つの法律の両方に触れることもあります。

添付ファイルの中身が、開いた人の意図に反してパソコンを動かすプログラムだったとします。そうしたプログラムを、正当な理由なく、他人のコンピュータで実行させる目的で作ったり人に渡したりする行為、実際に他人のコンピュータで実行させる行為、同じ目的で手に入れたり保管したりする行為を罰するのが不正指令電磁的記録に関する罪で、ウイルス作成罪とも呼ばれます。2011年の刑法改正で設けられた罪です（第168条の2・第168条の3）。誰かのパソコンで動かす前、作った段階や持っている段階でも罪になりうるのが特徴です。一方で、「正当な理由がないのに」「他人のコンピュータで実行させる目的で」という条件があるので、ウイルス対策ソフトを作る会社が、調べるために検体を保管することまでは罰の対象にしていません。

2-4個人情報保護法

会員の名簿は、まぎれもなく個人情報です。個人情報保護法（個人情報の保護に関する法律）は、個人情報を扱う事業者や行政機関が守る義務と、本人がとれる手段を定めた法律です。この法律でいう個人情報とは、生きている個人に関する情報のうち、氏名や生年月日などで特定の個人を識別できるものをいいます。ほかの情報と簡単に照らし合わせて識別できるものも含みます。会員番号だけが書かれた注文の記録も、店の中で名簿と照らし合わせれば誰の注文か分かるなら、個人情報です。

名前を含まなくても、それだけで個人を識別できる符号があります。これを個人識別符号といい、政令で決められています。種類は2つで、指紋や顔の特徴をコンピュータで扱うために変換したデータのように体の特徴から作る符号と、マイナンバー、旅券番号、運転免許証番号のように一人ひとりに割り当てられた公的な番号です。個人識別符号が含まれる情報は、それだけで個人情報になります。

個人に関する情報の呼び方は、範囲の広い順に3つあります。法律で定義されていない広い呼び名がパーソナルデータで、個人情報にあたらない購買の記録や位置の情報なども含めた、個人に関する情報全般を指します。その中で、特定の個人を識別できるものが個人情報です。さらに、名簿のデータベースのように、検索できるよう体系的に整理された集まり（個人情報データベース等）を構成する個人情報を個人データといいます。こむぎ堂の会員名簿に入っている一人ひとりの情報は、個人データです。

個人情報データベース等を事業に使っている者を個人情報取扱事業者といいます（国の機関や地方公共団体などは除きます）。以前は扱う人数の少ない事業者を対象から外す決まりがありましたが、いまは件数の条件がありません。600人の会員名簿を持つこむぎ堂も、個人情報取扱事業者です。利用目的をできるだけ特定して、その範囲で使うこと、だまして取得しないこと、個人データを安全に管理すること、本人の同意なく第三者に渡さないこと、本人から開示などを求められたら応じることが、主な義務です。

個人情報の中でも、扱いに特に配慮が要るものがあります。本人の人種、信条、社会的身分、病歴、犯罪の経歴、犯罪の被害にあった事実など、知られると不当な差別や偏見を受けるおそれがあるものを含む個人情報を要配慮個人情報といいます。取得するには、法令にもとづく場合などを除いて、あらかじめ本人の同意が必要です。注文のメモ欄に「持病があるので塩分を控えています」と書いてもらったら、その記録は病歴を含む要配慮個人情報になります。

この法律を所管するのが個人情報保護委員会です。内閣府の外局として置かれた独立性の高い機関で、事業者に報告を求めたり立入検査をしたりし、指導・助言・勧告・命令を行います。マイナンバーの扱いの監視や、事業者向けの指針づくりも担います。

こむぎ堂がまず確かめるべきは、委員会への報告が要るかどうかです。個人データの漏えいのうち、要配慮個人情報を含むもの、不正に使われると財産の被害が出るおそれがあるもの、不正の目的をもった行為によるもの、本人が1,000人を超えるものは、漏えいが「起きたおそれ」の段階でも、委員会への報告と本人への通知が義務になります。他人のIDで入った人が名簿を見られる状態にあった今回は、不正の目的をもった行為によるおそれがある場合にあたると考え、店長は報告の準備を始めました。

2-5安全管理措置とプライバシーマーク

個人情報取扱事業者は、扱う個人データの漏えい・滅失・毀損を防ぐなど、安全な管理のために必要で適切な措置をとらなければなりません（第23条）。これを安全管理措置といいます。何をすればよいかはガイドライン（通則編）の別添にまとめられていて、基本方針を決めること、取扱いの決まりを整えることに続いて、4つの区分の措置が並びます。外国で個人データを扱う場合は、その国の制度を把握すること（外的環境の把握）も加わります。

今回の出来事を4つの区分に当てはめると、抜けは1つではありません。辞めた人のIDが有効なままだったのは技術的な措置の抜けで、そのパスワードが友だちに渡ったのは人的な措置の抜けです。誰が退職者のIDを止めるのか決まっていなかったのは、組織的な措置の抜けでした。

こうした決まりを文書にしたものが個人情報保護規程です。個人データを取得し、使い、保管し、渡し、消すまでの各段階で、誰が何をするかを定めた社内の規則で、ガイドラインも、取扱いの決まりを整える手立てとして取扱規程を作ることを挙げています。規程を現場で守れるよう、具体的な手順をまとめた手引が個人情報保護マニュアルです。法律やガイドラインが名前を決めている文書ではなく、事業者が自分で作る手引の呼び名で、「退職者が出たら、その日のうちに管理画面でIDを無効にする」のように、操作の手順まで書きます。

個人情報をきちんと扱う体制があることを、外から見える形で示す制度もあります。プライバシーマーク（Pマーク）は、一般財団法人日本情報経済社会推進協会（JIPDEC）が運営する制度で、個人情報保護の体制を審査し、適切と認めた事業者にマークの使用を認めます。審査の基準は、日本産業規格のJIS Q 15001（個人情報保護マネジメントシステム－要求事項）にもとづいた指針です。マークは法人単位で与えられ、有効期間は2年で、更新の審査を受けて使い続けます。

2-6加工と第三者提供

個人データを、本人と自分の店以外の者に渡すことを第三者提供といいます。個人情報保護法は、法令にもとづく場合や、人の命や財産を守るために必要で本人の同意を得るのが難しい場合などを除き、あらかじめ本人の同意を得ずに個人データを第三者に提供することを禁じています（第27条）。カフェは、こむぎ堂の会員から見れば第三者です。なお、配送を宅配業者に頼むときのように、取扱いを委託して渡す場合は、第三者提供にはあたりません。

本人の同意の取り方には、2つの方式があります。本人があらかじめ「提供してよい」「受け取りたい」と意思を示した場合だけ行うのがオプトイン、本人が「やめてほしい」と申し出ない限り行い、申し出があったら止めるのがオプトアウトです。個人情報保護法の第三者提供は、オプトインが原則です。オプトアウトで提供するには、提供することや渡す項目、止めてほしいときの方法などを、本人が簡単に知ることができる状態にしたうえで、個人情報保護委員会に届け出なければなりません。要配慮個人情報は、オプトアウトでは提供できません。

同意を集める代わりに、データの側を加工する道もあります。個人を特定できないように情報を加工することを匿名化といいます。氏名を消し、生年月日を「10代」のような年代に、住所を市区町村までに丸めるといった加工です。ただし、珍しい組み合わせが残っていると、ほかの情報と合わせて本人が分かることもあります。

個人情報保護法は、この加工に一定の基準を設けています。委員会の規則で決めた基準に従って、特定の個人を識別できず、元の個人情報に戻すこともできないように加工した情報が匿名加工情報です。匿名加工情報は、本人の同意がなくても第三者に提供できます。その代わり、作ったときに含まれる項目を公表し、渡すときは項目と渡し方を公表して、相手に匿名加工情報であることを明示します。受け取った側が、元の本人を割り出そうとすることは禁じられています。

戻せないようにする加工とは別に、氏名などを番号や記号に置き換え、対応表のようなほかの情報と照らし合わせない限り特定の個人を識別できないようにする加工があり、仮名化と呼ばれます。対応表を持っている人なら元に戻せるのが、匿名化との違いです。EUのGDPR（2-8で見ます）でも、仮名化は個人データを守る手立ての1つとして挙げられています。

カフェの相談に、店長とミナトが出した答えは、どちらの加工でもありませんでした。曜日と時間帯ごとに、どのパンが何個売れたかを数えた集計表です。一人ひとりの記録をまとめて数にしてしまえば、もう個人に関する情報ではありません。カフェの店主は、それで十分だと喜びました。

2-7マイナンバー法

住民票のある一人ひとりには、12桁の個人番号（マイナンバー）が割り当てられています。この番号の使い方を定めた法律がマイナンバー法で、正式名称は「行政手続における特定の個人を識別するための番号の利用等に関する法律」です。マイナンバーを使えるのは、社会保障・税・災害対策の分野で法律が決めた事務に限られます。事業者は、給与の源泉徴収票や社会保険の手続きのためにスタッフの番号を集めますが、それ以外の目的では、本人が同意しても番号を求めたり集めたりできません。会員名簿と同じファイルに入れて、会員の管理に使い回すことはできないのです。

マイナンバーを含む個人情報は特定個人情報と呼ばれ、一般の個人情報より厳しく扱われます。必要な事務が終わり、法律で決められた保存の期間が過ぎたら、できるだけ速やかに廃棄することも求められています。

マイナンバーカードのICチップには、オンラインで本人であることを確かめるための電子証明書が入っています。地方公共団体情報システム機構（J-LIS）が発行するこの電子証明書を使って、行政の手続きなどをインターネットで行うときに本人確認をする仕組みが公的個人認証サービス（JPKI）です。電子証明書は2種類あり、署名用電子証明書は、電子文書を作ったのが本人で、改ざんされていないことを示すのに使います。利用者証明用電子証明書は、ログインしようとしているのが本人であることを示すのに使います。

マイナンバーカードの前に使われていたICカードが住民基本台帳カード（住基カード）です。公的個人認証サービスの電子証明書を入れることもできました。2015年12月に新しい交付を終え、2016年1月からマイナンバーカードの交付が始まりました。有効期限は交付から最長10年だったので、いまは使えなくなっています。

2-8海外の個人データ保護

個人データの守り方は国ごとに法律で決められていますが、データは国境を越えて行き来します。国ごとの決まりがばらばらでは困るので、共通の原則が作られてきました。

EU（欧州連合）で個人データの扱いを定めているのがGDPR（General Data Protection Regulation、一般データ保護規則）です。2016年に採択され、2018年5月25日から適用されています。EUの中での個人データの処理と、EUの外へのデータの移転について厳しい条件を定め、EUの外にある事業者でも、EUにいる人に商品やサービスを提供する場合などには適用されることがあります。GDPRでは、仮名化したデータはまだ個人データとして扱われ、本人を識別できないよう匿名化したデータは対象の外になります。

フランスの人が備考欄に書いた願いは、GDPRの第17条が定める忘れられる権利（消去権）にあたります。使う目的に必要なくなったときや、本人が同意を取り下げたときなどに、本人が事業者に自分の個人データの消去を求められる権利です。日本の法律には、この名前の権利はありません。ただ、個人情報保護法でも、事業者が使う必要のなくなった保有個人データなどについては、本人が利用の停止や消去を求められます。こむぎ堂は、配送の記録として残す必要のある分を除いて、その人のデータを消すことにしました。

2-9電子署名法と特定電子メール法

新作のお知らせのように、営業のための広告や宣伝として送るメールの決まりを定めたのが特定電子メール法で、正式名称は「特定電子メールの送信の適正化等に関する法律」です。会社やお店のように営利を目的とする送信者が、広告・宣伝のために送るメールを特定電子メールと呼び、原則として、あらかじめ受け取ることに同意した人などにしか送れません。2-6で見たオプトインの方式です。送るときは、送信者の氏名や名称と、受け取りを拒否するための連絡先などを表示し、拒否されたらそれ以上送ってはいけません。送信者のアドレスなどを偽って送ることも禁じられています。会員登録の画面の「受け取る」に本人がチェックを入れていれば、それが同意の記録になります。

情報を守る法律には、国の秘密を対象にしたものもあります。特定秘密保護法（特定秘密の保護に関する法律）は、防衛、外交、スパイ活動などの特定有害活動の防止、テロリズムの防止に関する情報のうち、漏れると国の安全保障に著しい支障を与えるおそれがあり、特に秘匿が必要なものを、行政機関の長が特定秘密に指定する法律です。特定秘密を扱える人を調査で絞り込み、業務で知った特定秘密を漏らした人には10年以下の拘禁刑を科します。こむぎ堂が直接関わる法律ではありません。

2-10情報流通プラットフォーム対処法

インターネットの掲示板やSNS、口コミサイトに書き込まれた情報で権利を侵害されたとき、被害を受けた人と、サイトを運営する事業者（プロバイダ）が何をできるかを定めた法律が情報流通プラットフォーム対処法です。正式名称は「特定電気通信による情報の流通によって発生する権利侵害等への対処に関する法律」です。もとは2001年に制定された「特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律」で、プロバイダ責任制限法（プロバイダ責任法）と呼ばれていました。2024年の改正（2025年4月1日施行）で、大規模なサービスを運営する事業者への義務が加わり、名前も変わりました。旧名で書かれた問題を見たら、いまの情報流通プラットフォーム対処法と同じ法律だと読み替えます。

根拠のない「カビが入っていた」という投稿は、店の社会的な評価を下げる書き込みとして、権利の侵害にあたる可能性があります。被害を受けた側がとれる手立ては2つです。

1つは、投稿が載っているサイトの運営者に、その情報の送信を止める、つまり削除などをするよう求める送信防止措置依頼です。法律は、運営者が権利の侵害を知りながら放置した場合などを除き、運営者に被害者への賠償の責任を負わせないとしています。削除した場合も、侵害だと信じる相当の理由があったときや、依頼を受けて投稿者に削除に同意するかを問い合わせ、7日たっても反対がなかったときは、投稿者への賠償の責任を負いません。運営者が、どちらの側からも責任を問われにくい形で判断できるようにしてあるわけです。

もう1つは、投稿した人が誰かを知るための発信者情報開示請求です。権利の侵害が明らかで、損害賠償を請求するためなど開示を受ける正当な理由があるとき、被害を受けた人は、サイトの運営者や通信事業者に、投稿者の氏名や住所などの開示を求めることができます。2022年10月からは、裁判所が1つの手続きで開示を命じる発信者情報開示命令の仕組みも使えるようになりました。

2024年の改正で加わったのが、削除手続の迅速化及び運用状況の透明化です。利用者の多いサービスを総務大臣が大規模特定電気通信役務提供者に指定し、削除の申出を受け付ける窓口の公表、申出の調査、申出から14日以内の総務省令で定める期間内に削除するかどうかを申出者に知らせること、削除の基準と実際の対応状況の公表などを義務づけました。申出が放っておかれないようにし、運営者がどんな基準で削除しているのかを外から確かめられるようにする仕組みです。