FATF DeFi Targeted Reportメモ

FATFから"Targeted Report on Regulatory Challenges from Decentralised Finance"が公表されていたので、背景と、実務上参照する機会が多そうな箇所についてメモしておきます。

 

  • 前提
    • FATF勧告15 para. 2は、「仮想資産から生じるリスクを管理および軽減するために、国は、仮想資産サービスプロバイダーがAML/CFT目的で規制され、免許を取得し又は登録され、FATF勧告で要求される関連措置の遵守を監視し確保するための効果的なシステムの対象となることを確保すべきである。」としている。
    • FATF勧告一般用語集は、仮想資産(VA)は、「デジタルで取引又は移転でき、支払い又は投資目的で使用できるデジタル価値の表現である。仮想資産には、FATFの勧告の他の箇所で既にカバーされているフィアット通貨、証券及びその他の金融資産のデジタル表現は含まれない。」、仮想資産サービスプロバイダ(VASP)は「仮想資産サービスプロバイダーとは、勧告の他の箇所でカバーされていないあらゆる自然人又は法人で、ビジネスとして他の自然人又は法人のために又はその代わりに以下の活動又は操作の一つ以上を行うものを意味する: i. 仮想資産と法定通貨間の交換; ii. 一つ又は複数の形態の仮想資産間の交換; iii. 仮想資産の移転; iv. 仮想資産又は仮想資産に対する支配を可能にする手段の保管及び/又は管理; v. 発行者の仮想資産の募集及び/又は販売に関連する金融サービスへの参加及び提供。」と定義している。
    • 2021年VA/VASPガイダンスは、「DeFiアプリケーション(すなわちソフトウェアプログラム)は、基準が基礎的なソフトウェア又は技術には適用されないため、FATF基準におけるVASPではない。しかし、DeFiアレンジメントにおいてコントロール又は十分な影響力を維持する創設者、所有者及び運営者又はその他の者は、たとえ当該アレンジメントが分散化しているように見える場合であっても、VASPサービスを提供し又は積極的に促進する(providing or actively facilitating)場合には、FATFのVASPの定義に該当する可能性がある。」としていた(para. 67)。
  • Targeted Report 5.2は、DeFiアレンジメントの支配者、すなわち「コントロール又は十分な影響力」を有する者とは、「実務上、主要なプロトコルの運用若しくは利用者へのサービスの提供を決定し、若しくはこれに重大な影響を及ぼす権限を有する人、及び/又はかかる活動から重大な経済的利益を得る人であり得る」とした上で、支配力の徴憑として、以下を挙げている(para. 34)。
    • i. 利用者又は参加者への経済的報酬、手数料若しくは発行の分配を含むがこれに限られない、プロトコルレベルの行動の実行を指示し、承認し、又は影響を及ぼすこと
    • ii. アップグレードキー、管理上の特権、緊急機能又はガバナンスメカニズムを通じるか否かを問わず、プロトコル又はそのスマートコントラクトの構成要素のいずれかを変更し、アップグレードし、一時停止し、又は終了させること
    • iii. アレンジメントに代わって資産を展開し、再配分し、又は処分する権限を含め、プロトコルの資産又はトレジャリー資源を決定し、割り当て、又は管理すること
    • iv. 最終的に金融サービスの提供を促進する、DeFiプロトコル又はその構成要素と相互作用する参加者、バリデーター又はその他の重要な利用者を追加し、除去し、ホワイトリストに登録し、又はその他の方法で決定すること
    • v. 開発者、マルチシグネチャー署名者[40]、オラクル運用者又はガバナンス代表者を含む、主要なガバナンス上、運用上又は管理上の役割を果たす人を任命し、解任し、又はこれらに影響を及ぼすこと。
  • Targeted Report 5.3は、より具体的な指標の例として、以下を挙げている(para. 37)。
    • オンチェーンコントロール指標:
      • i. アップグレード可能性及びバックドアの特権:アップグレード可能なコントラクト、プロキシパターン又はキルスイッチ機能の存在は、特にかかる権限が特定の人若しくはグループによって保持されている場合、中央集権的な支配を示し得る。安全性及びセキュリティの目的で保持される透明に開示された緊急機能(例えば、サイバー攻撃への対応として資産を保護すること)は、それ自体では支配を示す場合と示さない場合があるが、悪用された場合に重大なリスクをもたらし得る、特定の人が保持する開示されていない又は一方的なアクセス権(例えば、バックドアアクセス)は、しばしば支配を示す
      • ii. パラメータの設定:リスク限度額、手数料、報酬、担保係数又は類似の経済的若しくは運用上の設定を含む、主要なプロトコルのパラメータを一方的に設定し、又は変更する人若しくはグループが保持する権利は、支配の重要な指標である
      • iii. オラクル支配:価格その他のオラクルフィードを選択し、設定し、又は変更する能力(手動での価格設定への切替え又はオラクル入力の上書きを含む。)は、支配を示し得る
      • iv. プロトコルにとって重要なスマートコントラクトインフラに対する支配:展開キー、コントラクトレジストリ又はコアコントラクトの依存関係(自動化されたキーパー、実行者ネットワーク、決済コントラクト等)に対する排他的又は支配的な支配は、プロトコルの健全性及び継続性に対する直接的な運用上の影響力を示し得る
      • v. 手数料フロー及び利益:特定のアドレスが、手数料、最大抽出可能価値(MEV)リベート、清算ペナルティ又はトークン発行(すなわち、新たに発行されたトークン)といったプロトコルレベルの経済的フローを受け取る場合、支配が推認され得る。かかるフローは、受領者による継続的な影響力又は支配を示し得る
      • vi. 管理者/ゲートキーパー:流動性プール又はプロトコル機能がパーミッション制である場合、すなわちアクセスが承認された又はホワイトリストに登録された参加者に制限されている場合、これらの許可を管理し、及びアクセス権を決定する人が、支配者として特定され得る
      • vii. ガバナンスの集中及び議決権:ガバナンストークン保有の集中、影響力のある委任された投票ブロック、又は少数の主体が統治上の成果、アップグレード及びトレジャリーの配分を決定することを可能にする低い参加率は、戦略的な決定に対する事実上の支配を示し得る。
    • オフチェーンコントロール指標:
      • viii. カストディ及び運用:ガバナンス上又は管理上の決定の署名者として指定された人、アップグレードキーを支配する人、又はアレンジメントに代わって資産のためのカストディアルサービスを調整し若しくは取得する人は、重要な運用上又はセキュリティ関連の機能に影響を及ぼす能力を有することに鑑み、支配者として合理的に識別され得る。[42] ix. フロントエンドの運用及び流通:公開ウェブフロントエンド(モバイルアプリを含む。)及び関連するコンテンツ又はツール(ウォレット等)に対する支配は、これらのインターフェースを運用し、維持し、又は流通させる者が利用者のDeFiアレンジメントへのアクセス及びこれとの相互作用の方法を形作り得るため、中央集権的な影響力を示し得る
      • x. 法人:コア・コントリビューターを雇用し、知的財産権を保有し、トレジャリーを管理し、又はサービスプロバイダーに支払を行う企業、財団、ラボ、事業会社又はその他の法人は、中央集権的な支配を行使している場合がある。支配の程度は、プロトコルからのこれらの実際の独立性、及びガバナンス、開発又は運用にこれらが及ぼす影響力の程度に依存する
      • xi. 開発、ロードマップ又はオフチェーンインフラに対する支配:開発の優先順位を決定し、リリースを支配し、又は不可欠なオフチェーンインフラ(インデクサー、データサービス、自動化システム等)を管理する人は、DeFiアレンジメントの方向性及び機能に対する実質的な影響力を行使し得る。この指標は、実際の支配を示すことなくDeFiアレンジメントのインフラに貢献する個々の開発者とは別個のものであり得る
      • xii. ブランディング、コミュニケーション及び利用者への方向付け:公式ブランディング、公的メッセージング、文書、リスク開示又は教育資料に対する支配は、影響力を示し得る。
  • Targeted Report 5.5は、「コントロール又は十分な影響力を有する者」が存在せず、DeFiアレンジメント及び関係者がVASPに該当しない場合について、「代わりに、これらのアレンジメントと相互作用することのリスクについて規制対象事業体にガイダンスを発出すること、並びにこれらのアレンジメントとの関与がいつ、及びどのような条件下(例えば、強化されたAML/CFT管理の適用)で適切であり得るかを明確化することを含む、より広範でホリスティックなリスクベースの軽減措置を検討すべきである。」とし、当該事業体の例として、以下を挙げている(para. 43)。
    • i. 真に分散化されたDeFiプロトコルで用いられるステーブルコインを凍結し、及び焼却する能力を保持するステーブルコイン発行者
    • ii. DeFiエコシステムへのオン及びオフランプを提供し、KYC及びCDDの責任、並びに疑わしい取引についてSTRを提出する義務を有するVASP
    • iii. 識別可能な支配者及びAML/CFT義務を有し得る、基盤となるDeFiアレンジメントへのアクセスに用いられるフロントエンドプラットフォーム(訳注:例えばDeFi接続機能を有するウォレットアプリ)
    • iv. DeFiアレンジメントと相互作用する金融機関
  • Targeted Report 5.8は、金融機関がDeFiアレンジメントと相互作用する場合について、以下のとおり、リスクアセスメントを求めている。
    • 「DeFiアレンジメントと相互作用する金融機関及びVASPは、R.15第1項に沿って、商品のリスク評価を実施し、かつ、これらのアレンジメントがもたらすリスクを管理し、及び軽減するための適切な措置を講じることを求められるべきである。金融機関及びVASPがDeFiアレンジメントにサービスを提供する場合、これらは勧告10(DeFiアレンジメントが顧客となろうとし、又は既に顧客である場合の顧客デューデリジェンス)及び勧告13(DeFiアレンジメントがコルレス銀行関係の確立を求める場合)も遵守すべきであり、これらの具体的な義務がFATF基準の下で満たされ得ない場合には、DeFiアレンジメントとの相互作用を控えるべきである。これらはまた、自らのAML/CFT枠組みの健全性を維持し、及び自らのエコシステム内で予防措置の効果的な適用を確保する一般的な義務を負う。金融機関及びVASPは、リスクベースかつ比例的な方法でDeFiアレンジメントを評価し、及び様々なシナリオにおいて適切な軽減措置を実施すべきである。
      • i. 中央集権型DeFiアレンジメント:金融機関及びVASPは、コルレス銀行業務に関するFATF基準に沿って、当該アレンジメントが免許付与若しくは登録され、及び適切な監督に服しているか否かの判定を含め、DeFiアレンジメントについてCDDを実施すべきである。金融機関及びVASPは、適切なデューデリジェンスを行い、又は勧告10及び13に沿って当該アレンジメントがAML/CFT管理を実施していることを確認すべきである。
      • ii. 支配者を容易には識別できない中央集権型DeFiアレンジメント及び真に分散化されたDeFiアレンジメント:金融機関及びVASPは、身元確認、並びに適切な場合には、当該プロトコルの健全性及びセキュリティの継続的な監視を含め、DeFiアレンジメントの基盤となる顧客に対し適切なAML/CFT措置を適用すべきである。金融機関及びVASPは、かかるアレンジメントとの相互作用がAML/CFT要件に適合することを確保する責任を引き続き負う。監督当局は、法域上のリスク並びにセクター別及び事業体別の考慮事項を考慮に入れつつ、規制対象事業体に対しさらなるガイダンスを提供すべきである。」(para. 59)
    • 「金融機関及びVASPのDeFiアレンジメントとの相互作用は、堅固なリスク軽減措置と組み合わされるべきである。AML/CFT管理を全く伴わずに利用者の無制限のアクセスを認めるDeFiアレンジメントは、潜在的な不正主体との直接的な相互作用を促進し得るため、より高リスクとみなされうる。金融機関及びVASPは、コンプライアンス義務に違反することなくかかるアレンジメントと相互作用するために、自らのコンプライアンス枠組み内で適切なAML/CFT軽減措置を実施できるか否かを慎重に評価すべきである。」(para. 60)
    • 「DeFiアレンジメントのガバナンス構造、監査及びサイバーセキュリティ管理を理解することはグッドプラクティスであるが、規制対象事業体は、当該アレンジメントによって実施されるAML/CFT管理の適切性及び有効性を評価すること、並びにその基盤となる利用者を効果的に識別し、及びその本人確認を行うための堅固な枠組みを確立することに優先順位を付けるべきである。これらはまた、適切な場合には、追加的な軽減措置(例えば、ブロックチェーン分析ツールを通じたリアルタイム監視)も適用すべきである。」(para. 61)
    • 規制及び監督当局は、真に分散化されたDeFiアレンジメントがプロトコルレベルで効果的なAML/CFTリスク軽減措置を組み込んでいる場合には、個別化されたより柔軟なアプローチを採用することを検討することができる。かかる措置には、サードパーティのKYC/CDDプロバイダーへの依拠、組み込み型のKYC/CDDソリューション、並びにスマートコントラクト若しくはフロントエンドレベルでの許可リスト若しくは拒否リストの利用が含まれ得る。かかる場合、DeFiアレンジメントに関連する残存リスクはより低くなる可能性があり、金融機関及びVASPがDeFiアレンジメントの基盤となる顧客に適用するAML/CFT管理は、リスクが効果的かつ継続的に軽減されることを条件に、調整され得る。」(para. 62)

```

シンガポール控訴裁判所Quoine対B2C2事件判決―AIエージェント取引に関連して

AIエージェント取引について考えていたところ、シンガポール控訴裁判所のQuoine判決というのを見つけたのでメモです。

 

  • 事案・判決について
    • 暗号資産取引所Quoineにおいて、取引所の誤操作により注文板が徐々に薄くなり、信用取引を行っていたPulsarらのポジションの強制決済(買い注文)が発動し、アルゴリズム取引を行っていたB2C2の売り注文とマッチし、相場価格の250倍の価格での取引が成立した。翌日、Quoineが異常な取引として取引を取り消したところ、B2C2がQuoineを契約違反で提訴した。
    • Quoineは抗弁の1つとして、Pulsarらの取引所の作動状況に関する錯誤とそれによる取引の無効を主張したが、裁判所は、①契約条項ではなく取引の状況に関する錯誤なので(この点の評価が一審と控訴審で異なる。)無効事由とならず、②仮にそうでないとしてもB2C2のアルゴリズム開発者がそのことを認識しておらず、異常な取引から利益を得る設計も不正・非良心的なものとまでは言えないため、やはり無効とならないとした。
    • 暗号資産の板取引における誤発注の事案だが、誤発注がシステムエラーにより生じた点が、ジェイコム株誤発注事件とは異なる。また、Quoineが実行した強制決済についてPulsarらの錯誤が問題とされ、かつそれをQuoineが主張している点で特殊な事案。
  • 日本法に関するメモ
    • 仮に本件が日本法準拠で、かつPulsarらが取消しを主張したと仮定した場合、B2C2は、①基礎事情錯誤ではあるが表示がない、②仮に表示があるとしても錯誤を知らずかつそのことに重過失がないと主張するだろう。SG控訴裁がアルゴリズム開発者の認識を基準とした点は異なる判断もありうる(この点につき反対意見あり)。
    • 当該枠組みの下では、表示の有無に加えて、アルゴリズムがそのような表示を無視するものとなっていた(表示に反応する機構を設けていなかった)ことが重過失と言えないかが争われるだろう。もっとも、取引所取引では重過失とされることはまずないだろう。
    • 一方で、今後例えばECサイトにおけるAIエージェント取引で同種の問題が生じた場合、重過失とされる可能性は上がるかもしれない。実務上はそうならないようなインターフェース設計が重要であり(AIエージェントの資格証明・検証などはここに関わる)、そうすることが結果的に重過失がなかったことの立証に役立つだろう。
  • 関連文献

匿名化/スクレイピング/ブロックチェーンに関するEDPBガイドラインについて

EDPBが匿名化・生成AI開発目的のスクレイピングに関する2ガイドラインのパブコメ版と、ブロックチェーン技術を用いた個人データ処理に関するガイドラインの最終版を公表していたので*1、それについて書いていきます(別の箇所からの転載なので文章が荒削りなのはご容赦ください。)。

 

匿名化関係

  • 匿名性は、自然人に「関する」か(関連性)、自然人が「識別され又は識別可能」か(識別性)で判断する;①関連性の判断に当たっては内容、目的、効果を考慮する;識別性は、②合理的手段により、③その自然人を他者から区別し、異なる取扱いを可能にできるか("To identify a natural person means to distinguish them from others within a given context, consequently making it possible to treat them differently from those other people.")によって判断される;とする。
  • ②はRecitalにも書かれており、CJEU判例でも繰り返されてきたことだが、①③は実質的にWP29の2007年意見書*2が述べていたことをEDPB名義で再度オーソライズするものと言え、重要な意義を持つ可能性がある(なお、前提として、GDPRにおいて、匿名性とは個人データ該当性の否定である)。
  • SRB判決*3に沿って個人データ該当性の相対性を認めている。もっとも、これは、欧州の実務的には大きなことなのだと思われるが、日本では自明と考えられていることである*4
  • 匿名性(したがって識別性)に関して、No Record Isolation; No Linkage; No Inferenceの3つの累積的基準(ただし例外が全く許容されないわけではないよう)を示している。これらはWP29の2014年意見書を実質的に踏襲したもの*5
  • 本ガイドラインは、AIが背景とされているが、AI特有の記載はほぼない。一方で、AIモデルが個人データかという必ずしも合理的ではない問題設定(2024年意見書*6で示されたもの。HmbBfDIディスカッションペーパー*7への反論の必要性に引きずられている節がある。)は維持されているようである。

 

スクレイピング関係

  • 生成AIモデル開発のためのWebスクレイピングについて、透明性のほか、データ最小化、正確性を強調しているが、生成AIモデル開発だけが目的なのであれば、なぜそれらが個人の権利保護のために必要なのかは、やはり疑問に感じる。他の目的に転用された場合、もちろんリスクは生じるのだが、それは法的根拠欠如や目的制限違反(incompatibleな目的のための処理)として捕捉するのがGDPRの体系ではないのか。
  • 生成AIモデルの出力による権利侵害については、仮に個人データ処理(イメージ的には個人データの「生成」ということになろうか)に該当するとしても、リスク低減措置として、必ずしもモデルの訓練(正確にはそれに先立つデータの前処理)が必須であるわけではないことに留意する必要がある(ガイドラインが挙げるリスク低減措置はあくまで検討しうる候補と考えるべきだろう)。
  • 特別カテゴリデータについて、GC&Others判決*8を援用している。ケルン高等裁判所決定*9に倣ったものだと思われるが*10、やはり特別カテゴリデータ規制が合理的とは言えなくなっていることを裏付けているように思われる。

 

ブロックチェーン関係

  • 昨年4月にパブコメされていたもの。修正履歴付き版が公表されているが、実質的な変更は行われていないようである(Glossaryにsmart contractの定義が追加されているが、本文のsmart contractに関する記載自体は元々あった)。
  • パブコメ版の時点でそうだったが、GDPRの一般的内容を繰り返し、個人データ(直接識別性のあるものが念頭にあるのだろう。)をブロックチェーン上に保存してはいけないといった当然のことを確認するにとどまっているように思われる。
  • 「ブロックチェーンを用いた個人データ処理」においては、その分散的性質に起因して、誰をControllerとするかが重要な問題であり、特にIAB Europe判決*11を踏まえたとき、この問題は極めて重要だと思われるが、関連箇所は2021年ガイドライン*12を引用するにとどまっており、何ら新規の考え方を示していないように思われる。

*1:Guidelines 02/2026 on Anonymisation, Version 1.0, Adopted on 07 July 2026
Guidelines 03/2026 on web scraping in the context of generative AI, Version 1.0, Adopted on 07 July 2026
Guidelines 02/2025 on processing of personal data through blockchain technologies, Version 2.0, Adopted on 07 July 2026
https://www.edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping-for-generative-ai-and-adopts-final-version_en

*2:WP29, Opinion 4/2007 on the concept of personal data, Adopted on 20th June, https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2007/wp136_en.pdf

*3:Case C-413/23 P, European Data Protection Supervisor v Single Resolution Board, ECLI:EU:C:2025:645 (Sep. 4, 2025), https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:62023CJ0413
同判決の簡易な解説として、那須翔, デジタルオムニバスGDPR改正法案の理論的意義, https://researchmap.jp/snasu/published_works, 3

*4:那須, 4

*5:WP29, Opinion 05/2014 on Anonymisation Techniques, Adopted on 10 April 2014, https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp216_en.pdf

*6:EDPB, Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models, Adopted on 17 December 2024, https://www.edpb.europa.eu/documents/opinion-of-the-board-art-64/opinion-282024-on-certain-data-protection-aspects-related-to_en

*7:HmbBfDI, Discussion Paper: Large Language Models and Personal Data, https://datenschutz-hamburg.de/fileadmin/user_upload/HmbBfDI/Datenschutz/Informationen/240715_Discussion_Paper_Hamburg_DPA_KI_Models.pdf

*8:Case C-136/17, GC and Others v Commission nationale de l’informatique et des libertés (CNIL), EU:C:2019:773 (Sep. 24, 2019), https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:62017CJ0136

*9:Oberlandesgericht Köln, 15 UKl 2/25, ECLI:DE:OLGK:2025:0523.15UKL2.25.00 (May 23, 2025), https://nrwe.justiz.nrw.de/olgs/koeln/j2025/15_UKl_2_25_Urteil_20250523.html

*10:那須, 12

*11:C-604/22, IAB Europe v Gegevensbeschermingsautoriteit, ECLI:EU:C:2024:214 (Mar. 7, 2024), https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:62022CJ0604

*12:EDPB, Guidelines on the concepts of controller and processor in the GDPR, Ver. 2.0, Adopted on 7 July 2021, https://www.edpb.europa.eu/documents/guideline/guidelines-072020-on-the-concepts-of-controller-and-processor-in-the-gdpr_en

令和8年個情法改正法案における統計作成等特例について

統計作成等特例について、雑駁ですが書いていきます。法案公表段階で書いた「統計等特例の条文の読み方」も合わせてご参照ください。

 

改正の内容・背景

  • 統計等特例は、前回記事で述べたとおり、①要配慮個人情報の取得制限の特則、②利用目的による制限・第三者提供制限の特則、③通則からなる。①②は、特例の要件としての当初公表→特例に基づき取得・提供を行った場合の継続公表義務→公表事項の変更時の公表義務→目的外利用禁止という構成である。③は、特例に基づき取り扱うデータの再提供の禁止等を定める。
  • 令和7年3月5日「考え方」では、以下のように述べられていた。
    • 統計情報等の作成(注1)のために複数の事業者が持つデータを共有し横断的に解析するニーズが高まっていること、特定の個人との対応関係が排斥された統計情報等の作成や利用はこれによって個人の権利利益を侵害するおそれが少ないものであることから、このような統計情報等の作成にのみ利用されることが担保されていること等(注2)(注3)を条件に、本人同意なき個人データ等の第三者提供(注4)(注5)及び公開されている要配慮個人情報の取得を可能としてはどうか(注6)。」
    • 「注1:統計作成等であると整理できるAI開発等を含む。」
    • 「注2:本人同意なき個人データ等の第三者提供については、当該個人データ等が統計情報等の作成にのみ利用されることを担保する観点等から、個人データ等の提供元・提供先における一定の事項(提供元・提供先の氏名・名称、行おうとする統計作成等の内容等)の公表、統計作成等のみを目的とした提供である旨の書面による提供元・提供先間の合意、提供先における目的外利用及び第三者提供の禁止を義務付けることを想定している。」
    • 「注3:本人同意なき公開されている要配慮個人情報の取得については、当該要配慮個人情報が統計情報等の作成又は本規律に基づく本人同意なき個人データ等の第三者提供にのみ利用されることを担保する観点等から、公開されている要配慮個人情報の取得者における一定の事項(取得者の氏名・名称、行おうとする統計作成等の内容又は本規律に基づく本人同意なき個人データ等の第三者提供を行う目的である旨等)の公表、取得者における目的外利用及び第三者提供(本規律に基づく本人同意なき個人データ等の第三者提供を行う目的である場合における当該第三者提供を除く。)の禁止を義務付けることを想定している。」
    • 「注4:法第17条の規定により特定された利用目的の達成に必要な範囲を超える第三者提供を含む。」
    • 「注5:当該提供により提供先が本人同意なく要配慮個人情報を取得することも可能とすることを想定している。」
    • 「注6:具体的な対象範囲や公表事項等は、制度が円滑に運用されるよう、改正の趣旨を踏まえつつ、個人情報保護委員会規則(以下「委員会規則」という。)等で定めることを想定している。」
  • この点について、筆者は、JILISレポートで、以下のように述べていた。
    • [統計等特例]は、評価・決定の適切性との関係では、第一[義的]に、個人データが評価・決定に用いられるかが問題であり、それに用いられないこと(非決定利用)が確保される場合には、そもそも第三者提供制限(やその一般法である利用目的による制限)を課す必要がないことを根拠に、非決定利用を確保するための代替的なセーフガードと引き換えに、同意を不要とするものである(評価・決定の利益に優越する他の利益が存在するからではない。)。このような考え方は、事業者内部における統計利用や仮名加工に係る規律との関係では、既に採用されていたものであり、それ自体としては適切だと思われるが、仮名加工情報に係る規律との関係について、さらに検討を要すると思われる。/すなわち、仮名加工は、個人との対応関係を維持しつつ、他の情報と照合しない限り個人を識別できないようにすることであり(法2条5項)、仮名加工後に委託先に提供した場合、委託先にとっては識別性がないため、委託先には個人情報・個人データに係る規制は適用されないものと解されている。[統計等特例]の下でも、(非決定)利用の目的に反しない限り、提供者側で仮名化を行うことは望ましいが、そうすることで、提供先に規制が及ばなくなってしまう可能性がある。これは、識別性解釈が保護法益に対して十分なものとなっていないことに起因するものであるが、識別性解釈を修正するのであれば、仮名加工に係る規律を併せて見直す必要があり、それを先送りするのであれば、受領者に適切な義務を課す必要がある(※)。」。
      • ※について、その後公表された条文案は、識別性解釈の修正を先送りし、「受領者に適切な義務を課す」ことを選んだものといえる。
    • 「個情委は、AI開発を含む非決定利用のための要配慮個人情報の取得を認めることを提案している。しかし、…(a)データベース化しない場合(LLM開発のために収集するテキストデータは通常ここに含まれる。)と(b)データベース化するが決定に利用しない場合は区別すべきであり、(a)はそもそも取得に関する規制の対象としないことが、個情法の体系に適合的である。(b)は、LLMを含む生成AIというよりは、信用スコアリングのような識別AI(非生成AI)の開発において問題となるが、要配慮個人情報の取得制限の保護法益(必ずしも第三者提供制限のそれとは同一ではないと思われる。)に照らした検討が必要である。」
      • 関連する脚注:「要配慮個人情報の保護法益は、必ずしも明らかではない。評価・決定の適切性との関係では、何のために情報を利用するのかが重要であり、情報の性質は重要ではない。プライバシーとの関係でも、Webに公開された情報は、非公知性を欠き、少なくとも収集に対しては保護されない可能性が高い。要配慮個人情報の出力(第三者提供制限の対象とならないと思われる。)の予防のために学習を規制することは考えられないではないが、要配慮個人情報を学習させなかったからといって、要配慮個人情報を出力しなくなるわけではない(LLMにおいて特定の学習用データが特定のパラメータの重みに与える影響は極めて小さく、特定のパラメータが出力に与える影響もまた極めて小さい。)。さしあたり、法的根拠による規制を一般的には行っていない日本法にあって、経験的に不適切に評価されやすい情報について、法的根拠を要求したものと理解した上で…、個別の場面ごとに保護法益を特定し、それに沿って規制を合理化していくほかないと思われる。」
      • 関連する記載(散在情報の規制):「「個情法17条~21条は、文言上、「個人情報」を対象としており、データベース化を予定していない個人情報にも適用されるものと解されている。/もっとも、立案担当者は、データベースは、「…特定の個人が検索可能なものについては、いったん不適正な処理がなされると、個人の権利利益に重大な侵害をもたらしたり、社会問題を引き起こす可能性が高い」とした上で、個情法第4章は、「基本的に…個人情報データベース等を対象としている」とし、「いずれ個人情報データベースに記録され「個人データ」となるものであっても、取得段階では「個人情報」の状態である」ことから、(例外的に、)取得に関する規制は「個人情報」を対象とすることとした、と説明していた。取得に関する規制が個人情報を対象とする理由が、このようなものであるとすれば、データベース化を予定していない個人情報の取得に規制を及ぼす必要はないはずであり、事務局ヒアリングでは、規制の対象を、個人データ(個人データとして「取り扱」うことが予定された個人情報を含む。)に統一することが議論されている。」
      • 関連する記載(体系的構成要件に関する日EUの違い):「LLMの提供について、個情委は直接的には見解を明らかにしていないが、OpenAIに対する注意喚起においては、要配慮個人情報の取得制限及び利用目的の通知・公表のみを問題とされているため、…体系的構成要件を欠き、[個人データ]の「取扱い」(第三者提供)に該当しないと判断されている可能性がある。一方、EUでは、イタリアのデータ保護当局が、同社が個人データ処理を行っていたことを前提に、同社に制裁金を課している。」

 

コメント

  • 【特例が対処する2つの問題】統計等特例は、①要配慮個人情報の取得制限の特則と②利用目的による制限・第三者提供制限の特則を合わせて規定しているが、JILISレポートにも一部書いたとおり、この条文は、2つの問題に対処しようとしている。すなわち、1つは、LLMを開発する事業者が無差別にWebスクレイピングを行うと、たまたま要配慮個人情報が混入してしまう可能性が否定できず、厳格な取得制限が適用されてしまうという問題である(OpenAIの件で問題となった)。もう1つは、複数の事業者が保有する個人データを突合して、よりリッチなデータセットとした上で、統計やAIモデル(生成モデルというよりは識別モデル)を作成する場合、委託(事業者の一方が委託者となり、他方が受託者となる)では行えず、同意が必要になるという問題である。
  • 【散在的取得と体系的取得の並存】ここで重要なことが2つある。1つは、LLMのケースでは、事業者は取得した要配慮個人情報を体系化(=個人に着目して体系的に構成すること。つまり、個人データとして取り扱うこと。)するつもりはないが、統計作成・識別AIモデル開発のケースでは、少なくとも提供者側においては体系化が前提となっているということである(そうでなければ個人データに該当せず、第三者提供制限が適用されない)。もう1つは、統計作成・識別AIモデル開発のケースでも、提供される個人データに要配慮個人情報が含まれていた場合には、「考え方」の注5にあるとおり、受領者は要配慮個人情報を(多くの場合体系化されたな形で)取得することになるということである。これらの結果、要配慮個人情報の取得制限の特則は、散在的・非意図的な要配慮個人情報の取得と、体系的・非意図的な「要配慮個人データ」の取得の双方に適用される。本来2つの異なる場面を対象とする規定が、同じ1つの「特例」としてまとめられているのは、このためなのかもしれないが、そのことが、本来2つの異なる場面を対象としていることを分かりにくくし、議論を混乱させているように思われる。
    • 体系化されているかどうかは、本人の権利との関係でも重要である。本人の権利は保有個人データを対象としているからである。このため、散在的な要配慮個人情報の取得について、特例の要件に従って公表を行わせたとしても、事業者が統計目的を逸脱して、要配慮個人情報を体系化している(ひいては個人に対する評価・決定に使用している)ような場合を除いて、権利行使は認められない。
    • 大臣は、6月5日の閣議後会見で、「音声データ内や医療機関で身体を測定した画像データなどの例を挙げ「(氏名を)一枚一枚を削除していくというのは大変な作業だ」と述べ、対応は困難だとの認識を示した」と報じられているが、(そもそものやり取りの文脈がよく分からないものの、)体系化されたデータとそうではないデータで「大変な作業」かどうかやその度合いは異なるのではないか。
  • 【要配慮個人情報:体系性による解決という選択肢】本来、個人データ保護とは、個人に着目した体系的なデータ処理による権利侵害(意図的に行われたものか、リスクを適切に識別・評価し、低減する能力が欠けているがゆえに生じたものかにかかわらず)を防止するための法体系なので、散在的な情報取得を規制する必然性はなく、立案担当者も、適正取得義務の文脈で、「個人情報」の語を使ったのは取得段階ではデータベースに入力されていないからと説明しているに過ぎなかった。ここからは、取得制限は、体系化を予定している個人情報の取得にのみ適用されるとの解釈も可能であったが、個情委はそのようには解していないようであった。適正取得義務に関する限りでは、このことの弊害は、それほど大きくなかったが、より厳格な要配慮個人情報の取得制限との関係では、弊害が大きくなっていた。このような背景に照らせば、LLMの問題は、要配慮個人情報(に限らないが)の取得制限の適用範囲の合理化によって解決した上で、統計に絞って(要配慮個人情報の取得制限・個人データの第三者提供制限の)特例を設けるという選択肢もあり得たが、そうはされなかった。前者の解決は、規制対象を「個人データの処理」に統一することで達成するのが本筋だという考慮によるのかもしれない。
  • 【第三者提供:「第三者」からの除外という選択肢】第三者提供制限の特例に関しては、契約締結義務と二次提供の禁止が定められており、委託・共同利用に類似の「統制された提供」であるとの指摘がある。この発想からすると、なぜ(委託・共同利用と同様に)第三者からの除外(これが合理的であることは、板倉先生もどこかのタイミングで言及されていた。)にしなかったのかは分からないが、①適用除外要件として書くには長すぎる、②要配慮個人情報の取得制限の特例と合わせて書きたかった、③関連する義務(目的外利用禁止)を課徴金の対象とするためには、積極的な義務として規定する必要があった、といった考慮によるのかもしれない。なお、共同利用で足りるとの指摘もなされているが、個情委が共同利用を積極的に推しにくいのは、共同利用の規律密度が低すぎることによるのではないかの裏返しなのではないか(この点に限らず、平成27年以降の改正は、個情法の脆弱な基本構造を放置して、それによって生じる個別の問題について、弥縫策の寄せ集めによって対応してきたようなところがある。次回の見直しでは、抜本的な見直しが不可欠である。)。
  • 【特例業務を適正に実施するための体制整備】統計等特例業務の適正な実施(ひいては信頼の醸成)をどのようにして図るかは難しい。ひとまず考えられることは、「統計等特例を信頼される形で適用するためにはどうすればよいか」に書いたが(すなわち、①DPOの選任と実効的な内部統制、②実効的な内部監査、③安全管理措置を適切に適用すること、④確認・記録義務を確実に履行すること、⑤DPIAの実施、⑥問い合わせ、苦情処理、権利行使への対応のための体制整備・対応の記録、⑦以上の枠組みの取締役会による統治、⑧当局届出・年次報告、⑨当局の監督)、もう少し場面を分け、かつ、法律事項、委員会規則事項、ガイドライン事項(ベースライン/ベスプラ)を分けて考える必要があろう。
  • 【次世代医療基盤法との関係/提供側のデューデリジェンス】後知恵だが、次世代医療基盤法との関係は、もう少し丁寧に検討する必要があったのかもしれない。例えば、要配慮個人情報である個人データについては特例の対象から外したり(オプトアウト制度と同様に)、次世代医療基盤法のような特別法が規律する領域については特例の対象から外すことは、少なくとも選択肢として考慮されてもよかった(公表資料に出てきていないだけで、事務局では一定の検討はしてたのだろうが)。一方で、ヘルスケアデータの収集過程を考えると、医療機関がヘルステック企業にデータを提供する場面が典型的であり、当該場面に関する限り、提供元にゲートキーパーとしての役割を期待しうる。当該役割を法的に強制する根拠は直ちには見当たらないが(拡張的に解釈するのだとすれば、安全管理措置のうちの組織的安全管理措置だろうか)、いずれにせよ、GDPR24条1項のような包括的な義務を課し、第三者提供時のデューデリジェンス(もちろん、その内容・手続は場面によって異なってよい。)を法令上も明確に求めるべきではないか。
  • 【次回の見直しに向けて:法的根拠規制とコンプライアンス】一連の反応を見て思ったのは、要配慮個人情報の取得制限の単純な廃止は困難だということである。近時、要配慮個人情報の取得制限(を含むセンシティブデータ規制)の不合理性が指摘されており(要するに、個人データ保護の目的からすれば、個人データ処理のリスクは処理の目的・態様から生じるのであって、内容から生じるのではないということである。「GDPRの基本概念に関するメモ:個人データ、コントローラー、法的根拠」「デジタルオムニバスGDPR改正法案の理論的意義」参照)、筆者はそれを支持するが、単純な廃止は受け入れられない可能性が高い。現状、要配慮個人情報の取得と第三者提供にのみ適用されている「法的根拠規制」を個人データ処理全体に及ぼし、不適正利用禁止をネガティブリストからポジティブリストに転換するというナラティブで、それらを法的根拠規制に置き換えることによって合理化するほかないように思われる。なお、この場合、個情委のエンフォースメント・企業のコンプライアンス実務(EUの言う「アカウンタビリティ」とはそういうことである。)をどのような内容・方法で形成していくかが決定的に重要である(DPO、DPIA、制裁金はそのためのツールに過ぎない)。「統計等特例を信頼される形で適用するためにはどうすればよいか」「個情法の安全管理措置・体制整備に関するメモ」に書いたことは、そのための試論でもある。

統計等特例の条文の読み方

注:本記事は4月8日にNoteに投稿した記事を、Noteの整理に伴い再投稿するものです。

昨日公表された「個人情報の保護に関する法律等の一部を改正する法律案」に含まれる統計等特例(30条の2)について、条文を転記した上で、現時点で気づいたことを書いていきます。理論的な分析・批判というよりは、文言の分析が中心です。一読してのメモに過ぎないので、その前提でお読みください。

 

条文

(定義)

第2条

13 この法律において「統計作成等」とは、統計の作成その他の大量の情報から当該情報を構成する要素に係る情報を抽出して分類、比較その他の解析を行うことにより、当該大量の情報の傾向又は性質に係る情報(個人に関する情報であるものを除く。)を作成する行為のうち、個人の権利利益を害するおそれが少ないものとして個人情報保護委員会規則で定めるものをいう。

 

(個人情報に係る統計作成等の特例)

【要配慮個人情報の取得制限の特則】

第30条の2 個人情報取扱事業者は、統計作成等を行う目的(以下この項及び第5項並びに第31条の3第1項において「統計作成等目的」という。)又は第5項本文の規定による提供を行う目的で現に公開されている要配慮個人情報を取り扱う必要がある場合(当該要配慮個人情報を取り扱う目的の全部が統計作成等目的又は当該提供を行う目的である場合に限る。)であって、インターネットの利用その他の個人情報保護委員会規則で定める方法により当該個人情報取扱事業者の氏名又は名称、取得した要配慮個人情報を用いて行おうとする統計作成等の内容又は同項本文の規定による提供を行う目的で当該要配慮個人情報を取り扱う旨その他個人情報保護委員会規則で定める事項を公表しているときは、第20条第2項の規定にかかわらず、当該現に公開されている要配慮個人情報を本人の同意を得ないで取得することができる。

2 前項の規定により要配慮個人情報を取得した個人情報取扱事業者(次項及び第4項並びに第72条の3第1項において「特例要配慮個人情報取得者」という。)は、前項の個人情報保護委員会規則で定める方法により、当該要配慮個人情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報を取り扱っている期間、同項に規定する事項(当該事項を次項本文の規定により変更した場合又は同項ただし書の場合にあっては、変更後の当該事項)を継続して公表しなければならない。

3 特例要配慮個人情報取得者は、前項の規定により公表している事項を変更するときは、あらかじめ、第1項の個人情報保護委員会規則で定める方法により、その旨及び当該変更の内容を公表しなければならない。ただし、当該特例要配慮個人情報取得者の氏名又は名称その他個人情報保護委員会規則で定める事項を変更するときは、当該変更をした後、速やかに、同項の個人情報保護委員会規則で定める方法によりその旨及び当該変更の内容を公表すれば足りる。

4 第1項の規定により取得された要配慮個人情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報(第6項に規定する提供統計作成等用個人情報等であるものを除く。以下「統計作成等用要配慮個人情報等」という。)を取り扱う個人情報取扱事業者は、第18条の規定にかかわらず、法令に基づく場合及び人命の救助、災害の救援その他非常の事態への対応のため緊急の必要がある場合(以下この章において「法令に基づく場合等」という。)を除くほか、当該統計作成等用要配慮個人情報等を、次の各号に掲げる場合の区分に応じて、当該各号に定める行為を行うために必要な範囲を超えて取り扱ってはならない。

 当該統計作成等用要配慮個人情報等に係る特例要配慮個人情報取得者が第2項の規定により当該統計作成等用要配慮個人情報等に係る要配慮個人情報を用いて行おうとする統計作成等の内容を公表している場合(第3号に掲げる場合を除く。) 当該公表されている内容の統計作成等

 当該統計作成等用要配慮個人情報等に係る特例要配慮個人情報取得者が第2項の規定により次項本文の規定による提供を行う目的で当該統計作成等用要配慮個人情報等に係る要配慮個人情報を取り扱う旨を公表している場合(次号に掲げる場合を除く。) 当該提供

 当該統計作成等用要配慮個人情報等に係る特例要配慮個人情報取得者が第2項の規定により当該統計作成等用要配慮個人情報等に係る要配慮個人情報を用いて行おうとする統計作成等の内容及び次項本文の規定による提供を行う目的で当該要配慮個人情報を取り扱う旨を公表している場合 当該公表されている内容の統計作成等及び当該提供

【利用目的による制限・第三者提供制限の特則】

5 個人情報取扱事業者は、第三者(個人情報取扱事業者又は行政機関の長等(第63条に規定する行政機関の長等をいう。第9項第2号、第12項並びに第31条の3第5項第2号及び第8項において同じ。)(これらの者が外国にある者である場合にあっては、個人情報、仮名加工情報、匿名加工情報及び個人関連情報(以下「個人情報等」という。)の取扱いについてこの章の規定により個人情報取扱事業者、仮名加工情報取扱事業者、匿名加工情報取扱事業者及び個人関連情報取扱事業者(以下「個人情報取扱事業者等」という。)が講ずべきこととされている措置に相当する措置(第13項及び第31条の3第9項において「相当措置」という。)を継続的に講ずるために必要なものとして個人情報保護委員会規則で定める基準に適合する体制(第13項及び第31条の3第9項において「基準適合体制」という。)を整備している者に限る。第12項及び第31条の3第8項において同じ。)である者に限る。以下この項、次項並びに第31条の3第1項及び第2項において同じ。)が個人情報(統計作成等用要配慮個人情報等を含む。以下この項から第7項まで及び第13項並びに第72条の3第2項及び第3項において同じ。)を統計作成等目的で取り扱う必要がある場合(当該個人情報を取り扱う目的の全部が統計作成等目的である場合に限る。)であって、次の各号のいずれにも該当するときは、第18条及び第27条第1項の規定にかかわらず、当該個人情報を本人の同意を得ないで当該第三者に提供することができる。ただし、当該個人情報が他の個人情報取扱事業者又は個人関連情報取扱事業者からこの項本文又は第31条の3第1項本文の規定により提供されたもの(その全部又は一部を複製し、又は加工したものを含む。)である場合は、この限りでない。

 当該個人情報取扱事業者及び当該第三者が、インターネットの利用その他の個人情報保護委員会規則で定める方法により、当該個人情報取扱事業者及び当該第三者の氏名又は名称、行おうとする統計作成等の内容その他個人情報保護委員会規則で定める事項を公表していること。

 当該第三者との間の書面(電磁的記録を含む。)による合意により、当該提供がこの項本文の規定によるものである旨が明確に定められていること。

6 前項本文の規定により個人情報の提供を受けた第三者(個人情報取扱事業者である者に限る。以下この条及び第72条の3第5項第1号において「特例個人情報受領者」という。)は、前項第1号の個人情報保護委員会規則で定める方法により、当該個人情報又はその全部若しくは一部を複製し、若しくは加工した生存する個人に関する情報(以下「提供統計作成等用個人情報等」という。)を取り扱っている期間、同号に規定する事項(当該事項を次項本文の規定により変更した場合又は第8項の場合にあっては、変更後の当該事項)を継続して公表しなければならない。

7 特例個人情報受領者は、第5項第1号の個人情報保護委員会規則で定める方法により当該特例個人情報受領者及び同項本文の規定により当該特例個人情報受領者に対する個人情報の提供を行った個人情報取扱事業者の双方が前項の規定により公表されている事項を変更する旨及び当該変更の内容をあらかじめ公表する場合に限り、当該事項を変更することができる。ただし、当該特例個人情報受領者の氏名又は名称その他個人情報保護委員会規則で定める事項を変更するときは、この限りでない。

8 前項ただし書の場合においては、特例個人情報受領者は、当該変更をした後、速やかに、第5項第1号の個人情報保護委員会規則で定める方法により当該変更をした旨及び当該変更の内容を公表しなければならない。

9 提供統計作成等用個人情報等を取り扱う個人情報取扱事業者は、第18条の規定にかかわらず、法令に基づく場合等を除くほか、当該提供統計作成等用個人情報等を、次の各号に掲げる場合の区分に応じて、当該各号に定める統計作成等を行うために必要な範囲を超えて取り扱ってはならない。

 当該提供統計作成等用個人情報等に係る第5項本文の規定による提供が特例個人情報受領者に対して行われたものである場合 当該特例個人情報受領者が第6項の規定により公表している内容の統計作成等

 当該提供統計作成等用個人情報等に係る第5項本文の規定による提供が行政機関の長等に対して行われたものである場合 当該行政機関の長等が第72条の3第2項の規定により公表している内容の統計作成等

【通則】

10 統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等を取り扱う個人情報取扱事業者は、第27条第1項及び第2項並びに第28条第1項の規定にかかわらず、次に掲げる場合を除くほか、当該統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等である個人データを第三者に提供してはならない。この場合において、第27条第5項中「は、前各項」とあるのは「(個人情報取扱事業者又は第63条に規定する行政機関の長等(これらの者が次条第1項に規定する外国にある者である場合にあっては、第30条の2第5項に規定する基準適合体制を整備している者に限る。)である者に限る。)は、第30条の2第10項」と、同項第3号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第6項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と、第29条第1項ただし書中「同条第1項各号又は第5項各号のいずれか(前条第1項の規定による個人データの提供にあっては、第27条第1項各号のいずれか)」とあるのは「第30条の2第4項に規定する法令に基づく場合等又は第27条第5項各号のいずれか」と、前条第1項ただし書中「第27条第1項各号又は第5項各号のいずれか」とあるのは「次条第4項に規定する法令に基づく場合等又は第27条第5項各号のいずれか」とする。

 法令に基づく場合等

 当該個人情報取扱事業者が、第1項の規定により要配慮個人情報を取得し、かつ、第2項の規定により第5項本文の規定による提供を行う目的で当該要配慮個人情報を取り扱う旨を公表している場合であって、当該個人情報取扱事業者が当該要配慮個人情報に係る統計作成等用要配慮個人情報等を同項本文の規定により提供するとき。

11 統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等を取り扱う個人情報取扱事業者は、第31条第1項の規定にかかわらず、前項各号に掲げる場合を除くほか、当該統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等(これらのうち個人データであるものを除く。次項において同じ。)を第三者に提供してはならない。

12 第27条第5項及び第6項の規定は、統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等の提供を受ける者(個人情報取扱事業者又は行政機関の長等である者に限る。)について準用する。この場合において、同条第5項中「前各項」とあるのは「第30条の2第11項」と、同項第3号中「、本人に通知し、又は本人が容易に知り得る状態に置いて」とあるのは「公表して」と、同条第6項中「、本人に通知し、又は本人が容易に知り得る状態に置かなければ」とあるのは「公表しなければ」と読み替えるものとする。

13 第5項本文の規定により個人情報を基準適合体制を整備している外国にある第三者に提供し、又は統計作成等用要配慮個人情報等若しくは提供統計作成等用個人情報等を当該第三者に提供した個人情報取扱事業者は、個人情報保護委員会規則で定めるところにより、当該第三者による相当措置の継続的な実施を確保するために必要な措置を講ずるとともに、当該必要な措置に関する情報を公表しなければならない。この場合においては、第28条第3項の規定は、適用しない。

14 第23条から第25条までの規定は個人情報取扱事業者による統計作成等用要配慮個人情報等又は提供統計作成等用個人情報等(これらのうち個人データであるものを除く。)の取扱いについて、第29条第1項本文及び第2項の規定は第5項本文の規定により個人情報取扱事業者が統計作成等用要配慮個人情報等(第31条第1項に規定する個人関連情報であるものに限る。)を特例個人情報受領者に提供する場合(当該特例個人情報受領者が当該統計作成等用要配慮個人情報等を個人データとして取得することが想定される場合に限る。)について、それぞれ準用する。この場合において、第23条中「漏えい、滅失又は毀損」とあるのは、「漏えい」と読み替えるものとする。

 

コメント

  • 30条の2は、1項〜4項、5項〜9項、10項〜14項の3グループに分かれる。第1グループが要配慮個人情報の取得制限の特則、第2グループが利用目的による制限・第三者提供制限の特則、第3グループが通則的なものである。
  • 第2グループで「個人データ」ではなく「個人情報」の文言が使われているのは、27条1項だけでなく18条1項を適用除外する必要があるからだと思われる。
  • 第1・第2グループは、それぞれ、特例の要件としての当初公表→特例に基づき取得・提供を行った場合の継続公表義務→公表事項の変更時の公表義務→目的外利用禁止という構成となっている。第1グループは一者で完結するのでより単純で、第2グループは提供者と受領者が関与する(かつ外国や委託等が関わる)のでより複雑である。
  • 目的外利用禁止は、公表された内容の統計作成に紐づけられている。特例の趣旨からすれば、統計作成目的を逸脱しない限り(さらに言えば、評価・決定に使用しない限り)、取扱いを許容してもよいはずだが、そうしなかったのは、公表義務のエンフォースメントに主眼があるのだろう。
  • 目的外利用禁止は、特例に基づき取得された/提供を受けた(要配慮)個人情報だけでなく、その複製・加工物も対象となる(統計作成等用要配慮個人情報等、提供統計作成等用個人情報等の定義にそれらが含まれており、これらの概念が使われている場合には、そのことを念頭に置く必要がある)。
  • 要配慮個人情報に関する統計等特例(第1グループ)と、第三者提供制限等に関する統計等特例(第2グループ)は、併用できる。30条の2第1項の「又は第5項本文の規定による提供を行う目的で」と、5項の「統計作成等用要配慮個人情報等を含む。」がこのことを表現している。
  • 30条の2第5項は、「第三者」を個人情報取扱事業者又は行政機関の長等に限定しているので(同項第1かっこ書き)、データセットの一般公開のようなことはできない。
  • 27条1項は、外国にある者にも適用されうるが(基準適合体制を整備した者がそれに該当する。28条1項本文第3括弧書き、ただし書き)、統計等特例は、この場合にも適用される(30条の2第5項の第1かっこ書き中の第2かっこ書き参照)。
  • 特例に基づき提供を受けた個人情報等の第三者提供(二次提供)は、禁止される。個人データであるものについては30条の2第10項前段、そうでないものについては30条の2第11項が根拠である。この場合でも、委託、共同利用等は認められる。個人データについては、30条の2第10項後段で読み替えの上適用される27条5項が根拠、非個人データについては、30条の2第12項で読み替えの上準用される27条5項が根拠。
  • 些末だが、「基準適合体制」はこれまでガイドラインの用語だったが、法律上定義される。
  • 30条の2第13項は、基準適合体制を整備している外国第三者への提供時の、相当措置の継続実施確保のための措置義務と、公表義務を定める。本項は、個人データ以外の個人情報や、個人情報ではない統計作成等用要配慮個人情報等・提供統計作成等用個人情報等との関係では、新規の規定であり、個人データとの関係では、28条3項を上書きする規定である。上書きするのは、取るべき措置の内容・公表すべき事項が異なりうるからかもしれない(規則委任されている)。
  • 30条の2第14項は、統計作成等用要配慮個人情報等・提供統計作成等用個人情報等のうち、個人データでないものについて、安全管理義務を準用している。準用に当たって、「漏えい、滅失又は毀損」が「漏えい」と読み替えられているが、これは、統計等作成目的のデータセットは、漏洩により権利侵害が生じる可能性はあるものの、滅失・毀損により権利侵害が生じる可能性は小さい(統計が不正確なものとなりうるに過ぎない)ことによるものと思われる。
  • 課徴金制度においては、①27条1項違反の個人データの第三者提供、②30条の2第4項・9項(統計作成等用要配慮個人情報等・提供統計作成等用個人情報の目的外利用の禁止)に違反する個人情報の取扱い、③30条の2第10項・11項(統計作成等用要配慮個人情報等・提供統計作成等用個人情報である個人データの第三者提供の禁止)に違反する個人情報の提供が、課徴金対象行為とされている(148条の3第1項3号、4号、5号)。提供が特例の要件を満たさない場合(例えば、当初公表を行わなかった場合には)、単なる27条1項違反となるので、①が適用され、特例の要件を満たして提供を受けた個人情報を、30条の2の義務に違反して取り扱った場合には、②又は③が適用されることになる。
  • 本人の権利との関係でも、利用停止請求等ができる場合に、30条の2第4項・9項、30条の2第10項の違反が追加されている(35条1項、3項)。30条の2第11項の違反が追加されていないのは、利用停止請求権等は、基本的に、保有個人データを対象としており、非個人データに関する違反を対象とすることは整合しないからであろう。

令和8年個情法改正法案における第三者提供制限の例外事由について

個情法27条1項各号の改正案について書いていきます。この論点は、統計作成等特例(30条の2)と比べてあまり注目されていませんが、実務上、重要な論点を生じさせるものであり、かつ、「個情法のパラダイムシフト」に向けた重要な意義を有すると思います。

 

改正の内容

  • 個情法27条1項は、個人データの第三者提供について、原則として同意を要求し、例外として、①法令に基づく場合、②生命・身体・財産の保護に必要かつ同意取得困難な場合、③公衆衛生向上・児童健全育成に特に必要かつ同意取得困難な場合、④国等の事務遂行の協力する必要があり、かつ、同意取得により事務遂行に支障を及ぼすおそれがある場合、⑤学術研究、を定めている。
  • 法案27条1項2号(正確には法案成立・施行による改正後の個情法27条1項2号だが、便宜上このように記載する。)・3号は、「本人の同意を得ることが困難であるときその他本人の同意を得ないことについて相当の理由があるとき。」とし(下線部が追加部分)、同意取得困難性を緩和する。
  • 法案27条1項8号は、「本人との間の契約の履行のために必要やむを得ないことが明らかである場合その他当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合として個人情報保護委員会規則で定める場合」を定める(新設)。

 

背景

  • EU法では、個人データの収集を含む処理全般について法的根拠が必要とされており、民間企業が広く依拠しうるものとしては、①データ対象者が1つ又は複数の具体的な目的のための処理に同意した場合、②データ対象者が当事者となっている契約の履行又は契約締結に先立ってデータサブジェクトの要求に応じて行われる対応に処理が必要な場合、③コントローラー又は第三者が追求する正当な利益のために処理が必要な場合(ただし、データサブジェクトの利益が当該正当利益に優越する場合を除く。)が定められている。
  • 令和7年3月5日「考え方」では、
    • 契約履行について、「個人データの第三者提供等が契約の履行のために必要不可欠な場合を始め、目的外利用、要配慮個人情報取得又は第三者提供が本人の意思に反しないため本人の権利利益を害しないことが明らかである場合(注7)について、本人の同意を不要としてはどうか。」とされ、注7で、「例えば、本人が、事業者Aの運営するホテル予約サイトで事業者Bの運営するホテルの宿泊予約を行ったため、事業者Aが事業者Bに当該本人の氏名等を提供する場合や、金融機関が海外送金を行うために送金者の情報を送金先の金融機関に提供する場合が想定される。具体的な対象範囲は…委員会規則等で定めることを想定している。」とされていた。
    • 同意取得困難性について、「…事業者・本人の同意取得手続に係る負担を軽減し、個人情報のより適正かつ効果的な活用及びより実効的な個人の権利利益の侵害の防止につなげる観点から、「本人の同意を得ることが困難であるとき」のみならず、「その他の本人の同意を得ないことについて相当の理由があるとき」(注8)についても、上記例外規定に依拠できることとしてはどうか。」とされ、注8で、「例えば、(公衆衛生の向上のために特に必要である一方で、)本人のプライバシー等の侵害を防止するために必要かつ適切な措置(氏名等の削除、提供先との守秘義務契約の締結等)が講じられているため、当該本人の権利利益が不当に侵害されるおそれがない場合等が想定される。具体的な事例については…ガイドライン等において明確化することを想定している。」とされていた。
  • なお、この点について、筆者は、JILISレポートで、以下のように述べていた。
    • 契約履行について、「…必ずしも活発な議論の対象となっていないが、次のような効果があると思われる。すなわち、従前、日本法においては契約履行のための提供が許容されていなかったため、契約履行に必要な提供について、利用規約やプライバシーポリシーに記載し(ただし提供先や提供先での利用目的は記載せず)、同意ボタンを押させることで包括的に同意を取得することが広く行われていた。契約履行を同意から分離することで、契約履行に必要な提供については、真に必要な提供なのかを厳密に判断し、同意に基づく提供については、同意の任意性(例えば、必要な情報提供がなされているか、契約との「抱き合わせ」や複数の利用目的の「抱き合わせ」がなされていないか、力の不均衡がないかや提供が同意の範囲に含まれるかを、厳密に判断することができるようになる。
    • 同意取得困難性について、「公衆衛生例外及び学術研究例外については、[統計等特例]との関係を整理する必要がある。すなわち、現にニーズのある公衆衛生目的の提供及び学術研究目的の提供の少なくない部分は非決定利用であると思われるところ、そのような利用は、[統計等特例]によって統制すべきである。この場合、公衆衛生例外及び学術研究例外(なお、これらが重複しうることにも留意すべきである。)は、決定利用に適用されることになるが、この場合、研究倫理指針などの代替的セーフガードが必要である。」、「生命等保護例外(及び公衆衛生等例外)については、(i)人格権が含まれるか明らかではない、(ii)財産の処分が含まれない(この結果、債権譲渡の文脈では、推定的同意すら認められている。)、(iii)(必ずしも個々に権利保護を目的としたものとは言い難い)犯罪対策において、提供できる場合が限定されるといった問題が生じている。正当利益による第三者提供を認めないのであれば、(i)(ii)については、別途権利行使のための提供を認め、(iii)については、公衆衛生等例外の拡張や別途情報共有のルールを定めるといったことを検討する必要があると思われる。」

 

コメント

  • 契約履行関係
    • 現在、利用規約やプライバシーポリシーによる同意取得が広く行われているが、同意は、具体的な対象に対して、十分な情報に基づいて与えられない限り、端的に言って無意味である。JILISレポートで述べたとおり、契約履行を独立の例外事由とし、同意から分離することで、同意に本来求められる任意性(具体性、情報に基づくこと、抱き合わせの不存在はその要素である。)を求めることができるようになる。
    • 一方で、契約履行の範囲は、GDPR第6条1項(b)よりも相当程度広いことに留意する必要がある。GDPRにおける契約履行については、Bundeskartellamt判決により、処理が、「データ対象者のために意図された契約上の給付(注:英語版ではobligationとされているが、文脈や独仏語版を考慮すると「給付」が正しいと思われる。)に不可欠な(integral to)目的のために客観的に不可避(objectively indispensable)」でなければならないとされている。同事件では、Meta社は、コンテンツのパーソナライゼーションやFacebook / Instagram / WhatsAppのシームレスな使用(当該事案ではサービス横断的な突合が問題となっていた。)を主張したが、これらについては、上記の意味での不可欠性は認められなかった。日本法について言えば、「本人との間の契約の履行のために必要やむを得ないことが明らかである場合」はある程度限定的と言えるが、「その他当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しないことが明らかである場合」は相当に広い(委員会規則次第であるが)。
    • ところで、GDPRでは、正当利益(の利益衡量テスト)に関して、データ対象者の予測可能性(reasonable expectation. 米国の修正4条のreasonable expectation (of privacy)が保護のexpectationなのに対して、GDPRのそれは処理が行われることへの expectationであることに留意。このため、「予測可能性」と訳す。)を重要な考慮要素としている。この点の解釈は確立していないが、ひとまず、感覚としては、予測可能性がある場合には正当利益が優越し、ない場合にはデータ対象者の利益が優越する方向に傾くが、予測可能性があってもデータ対象者に重大な不利益をもたらす場合には、例外的に処理が適法化されない余地があり、逆に、予測可能性がなくても正当利益が強固なものである場合には、例外的に処理が適法化される余地がある、ということだと思われる。「その他当該個人データの取得の状況からみて本人の意思に反しないため本人の権利利益を害しない」とは、このうち、予測可能性があり、かつ、データ対象者に重大な不利益をもたらさない場合をカバーしているように見える。具体的なことは、委員会規則の案を見なければ分からないが、ひとまず、このような視点を持っておく必要がある。
  • 同意取得困難性
    • こちらについては、JILISレポートで述べたようなことへの考慮はあまりなされなかったようである。公衆衛生例外については、Q&A 7-25で、コストを理由とする同意取得困難性が(すら)認められており、「相当の理由」を正面から認め、「考え方」注8のような措置を要求することは、それを適正化する意味があったはずだが、別途統計等特例が設けられたことにより、その意義が減殺されている(さらに、統計等特例との関係で言えば、統計等特例の比較的厳格な規律に対する抜け穴となってしまっている)ように思われる。
    • 一方、JILISレポートで述べたような犯罪対策(財産保護例外に依拠するのが通常であろう。)との関係では、「相当の理由」として、同意取得により財産保護の目的を阻害するおそれがあることが示されれば、多少使いやすくはなるかもしれない。
    • GDPRとの比較で言えば、2号・3号は、正当利益の一部を限定列挙したものと言える。2号と3号を対比すると、2号は権利保護目的(=特定の者の利益を図る)、3号は公益目的(=不特定者の利益を図る)の提供に関する一般規定と言えるが、特に3号の列挙する公益は極めて限定的である。正当利益を正面から導入すべきだと考えるが、そのためには、強力なコンプライアンス体制と執行体制が不可欠であり(いかに実務を形作るかが重要であり、権限強化はその第一歩に過ぎない。)、次回の3年ごと見直しまでに当局、企業、消費者団体等、専門職(≒個人データ保護を専門とする弁護士)、研究者の間で共通認識を形成していく必要がある。

個情法の安全管理措置・体制整備に関するメモ

世古先生の単著『個人情報保護法に基づくインシデント対応の実務』をレビューさせていただく中で、安全管理措置・体制整備に関していくつか思ったことがあるので、書いていきます。

 

個情法通則ガイドライン関係

  • 個情法通則ガイドライン10は、個情法のガイドラインであるにもかかわらず、情報セキュリティが中心の内容となっており、個人データ保護に関する記載が十分ではないように思われる。10-3(3)は、データマッピングのようなことを述べているが、データマッピング・ツールキットも合わせて読むと、情報セキュリティにおける情報資産台帳に個情法に関連する項目を付け足す発想で書かれている節があり、個人の権利保護や、そのためのリスクアセスメントに役立つ内容には必ずしもなっていない。この点については後述する。
  • 個情法通則ガイドライン10を情報セキュリティに関するガイドラインとして見た場合、まず、経営者のリーダーシップという基本的な要素が抜けている。この点については、経産省サイバー経営ガイドライン、IPA中小企業ガイドライン、金融庁サイバーガイドラインが参考になる。
  • それ以外の点については、項目レベルではそれなりに網羅的だが、具体的な管理策に関しては、全く十分ではない(そもそも管理策のリストとして使われることは想定していないものと思われる。)。IPA中小企業ガイドライン、金融庁サイバーガイドライン、ISO/IEC 27001 / 27002、NIST CSF / SP 800-53などによる補完が必要である。
  • なお、それらのガイドラインを参照して具体的な管理策を設計した上で、法令遵守の観点から通則ガイドラインを参照することは考えられるが、以下の点には留意が必要である。
    • 通則ガイドラインは、個人情報の取扱いと部署が概ね対応関係にあり、かつ、部門横断的なデータ利活用がそれほど多くない、伝統的企業を念頭に置いている節がある。そのような条件が当てはまらない企業においては、当該企業の業務・組織に応じた体制整備が必要である(無理に通則ガイドラインに合わせる必要はない)。
    • 通則ガイドラインの物理的安全管理措置の箇所は、オンプレミスサーバやリムーバブルメディアなどの伝統的なIT機器を念頭に置いている節がある。クラウドサービスが中心の環境においては、必ずしも物理的安全管理措置は必要ないが、逆に、委託先管理や技術的安全管理措置(特に認証・認可)は、より慎重に行う必要がある。
    • 些末だが、通則ガイドライン10-6の「(1)アクセス制御」と「(2)アクセス者の識別と認証」の記載は適切ではない。(1)は、実際には、認可(authorization)を意味しているようであり、アクセス制御は認証(authentication)と認可の総称である。また、順番的には、認証→認可が自然である。
    • 「中小規模事業者における手法の例示」は、従業者数100人以下の事業者を対象とした上で、そこから個人データの対象者数が5000人以上の者が除かれているが、実際には、後者が重要である。CtoCオンラインサービスを提供するスタートアップの場合、正社員は10人以下、業務委託を含めても20〜30人だが、個人データの対象者数は数万人、ということが容易にありうるが、このような場合、「中小規模事業者」レベルでは足りない(M&Aなら、レッドフラッグとは言わないが、PMIにおける重要な改善事項となろう)。

 

セキュリティ関係

  • 政府系ガイドライン
    • 経産省サイバー経営ガイドラインは、サイバーセキュリティにおける経営者の責務を説いており、経営者や取締役会を説得する材料になると思われる。
    • IPA中小企業ガイドラインは、中小企業向けとはされているものの、第2部の「4. より強固にするための方策」まで含めると、相当しっかりしたことが書かれており、規模にかかわらず、これから真面目に(特に経営レベルで)セキュリティに取り組もうという組織のほとんどは、まずはここから入るのがよいと思われる。
    • 金融庁サイバーガイドラインは、後述のNIST CSFベースで書かれており、経営者の責務、フレームワーク、具体的な管理策(基本/応用)をカバーしている。金融機関特有の記載は実はそれほど多くはないので、金融機関以外でも、IPA中小企業ガイドラインの次のステップとして参考にしてもよいかもしれない。
  • 技術標準
    • 基本的には、国際標準であるISO/IEC 27001 / 27002や、米国の連邦政府向けだがより詳細であり、民間においても参考にされることの多いNIST CSF / SP 800-53を参照することになると思われる。
  • なお、個情法通則ガイドライン10にも共通することであるが、これらのセキュリティ基準は汎用的なものであり、個別のサービス・プロダクトや、個別の業務に関連するセキュリティについては、別途検討する必要がある。この点については、例えば、IPA中小企業ガイドライン、IPAの「安全なウェブサイトの作り方」、デジ庁のデジタルアイデンティティガイドライン解説書、総務省の「クラウドサービス利用・提供における適切な設定のためのガイドライン」「クラウドの設定ミス対策ガイドブック」が参考になる。

 

個人データ保護関係

  • 個人データ保護は、セキュリティと比べると未成熟であり、かつ、考え方や必要な知識も相当異なるので、まずセキュリティ管理体制を整備した上で、「差分」を考えるのがよいと思われる。
  • 個人データ保護の観点から必要な体制整備としては、必ずしも安全管理の枠組みに収まらないが、①内部統制(DPOを含む)、②内部監査、③苦情・権利行使への対応のための体制、④インシデントへの対応のための体制、⑤リスクアセスメント(DPIA)、⑥委託先管理が考えられる。これらは個人データ保護以外の目的(例えば金商法の開示規制・東証規則、会社法、業法、サイバーセキュリティ)との関係でも必要とされるものであり、そこに個人データ保護を組み込むのが通常だと思われるが、その場合でも、個人データ保護の観点がおざなりにならないようにする必要がある。
  • これらについて、個情委が「個人データの取扱いに関する責任者・責任部署の設置に関する事例集」「データマッピング・ツールキット」「PIAの取組の促進について-PIAの意義と実施手順に沿った留意点-」と、関連する委託調査報告書を公表している。
  • 一方で、EU法は、個情法よりも強力なコンプライアンスを求めているところ、特にDPOとDPIAに関する文書は、日本における実務の参考にもなると思われる。
    • 内部統制については、ICOのDPOガイダンスや、EDPBのDPOガイドラインが参考になる。EU法では、公的機関や一定のハイリスク処理を行うコントローラーには、DPOの選任が義務付けられる。DPOは、個人情報保護に関する知識・経験を有し、経営者に直接レポーティングし、必要な権限とリソース(DPO自身が職務を遂行するのに十分な時間、必要な場合DPOを補助する内部管理部門を含む。)の割り当てを受け、個人データ処理業務からの独立性が保障される(=利益相反の防止)ものでなければならない。日本では、証券会社の内部管理について、このような責任者の選任が義務付けられている。
    • リスクアセスメントについては、ICOのDPIAガイダンステンプレートEDPBのガイドラインテンプレート案が参考になる。EU法では、一定のハイリスク処理を行う場合には、DPOの助言の下でのDPIAの実施と、当局への事前協議が義務付けられている。当局は、当該協議を契機として、調査や是正勧告を行っている。
  • 上記の6つの体制整備事項のうち、①〜④は、ここで挙げた文書を参考に、自組織の状況を考慮すれば、どの程度のものを整備すべきかはある程度明らかになるものと思われる。一方、⑤のリスクアセスメントや、⑥の委託先管理は、特に実務が未成熟で、悩みが多いものと思われる。
  • ⑤リスクアセスメントに関しては、
    • 個情委が「データマッピング・ツールキット」を公開しているが、先に述べたとおり、情報資産台帳的な発想で作られており、「PIAの取組の促進について-PIAの意義と実施手順に沿った留意点-」も、個情法遵守チェックリストと(ISO 31000的な意味での)リスク管理一般の説明を組み合わせたような内容になっており、個人の権利利益の保護という観点からは、十分なものになっていないと思われる。
    • DPIAは、本来、処理業務を個人データ保護適合的に設計する(data protection by design)過程を、文書という側面から表現したものであり、アセスメントシートは、IT・ビジネス部門とコンプライアンス・プライバシー部門の対話を促進し、事後的に説明可能にするものであって初めて意味がある。そのような観点からは、どのような個人データが存在しているかよりも、どのような個人データ処理を行うのか、例えば、誰のどのようなデータを、どのような目的のために、どのような方法で収集・処理し、その際、どのようなセーフガードを採用し、データ対象者とどのように関わり合う(情報提供、同意取得)のかを記述することが重要なはずである。ICO・EDPBのテンプレートは、このような観点から有用なものとなっていると思われる。なお、テンプレートは、ICO・EDPBのものを参考にしつつも、自組織に合ったものを作成すればよいが(基本的にはコンプライアンス・プライバシー部門が作成することになろう。)、一般的には、ICOのもの(抽象的)とEDPBのもの(具体的)の間くらいが使い勝手がよいことが多いのではないか。
    • なお、これとは別に、安全管理措置の設計や委託先管理、インシデント対応の前提として、データマッピングを行うことは行うことは考えられる。もっとも、その場合、情報資産台帳的なデータマッピングシートを作成する(往々にしてその後活用されない。)よりも、データマネジメント/データガバナンスの設計に当たってそれらの観点を組み込むほうが現実的であるように思われる。
  • ⑥委託先管理に関しては、
    • 個情法通則ガイドライン上、委託先の選定、委託契約の締結、取扱状況の把握が必要とされているが、どのレベルでそれを行うのかが問題である。この点については、リスクアセスメント以上に実務が未成熟であるが、GDPRのProcessorに関する規律、(EUの)DORAICTサードパーティリスク管理に関する委任規則を参考にすると、例えば、委託先の選定・委託契約の締結に関して言えば、①処理されるデータの性質・量に応じた基準を設け、それほど重要ではない委託先については、利用規約やホワイトペーパーで済ませ、重要な委託先については、SOC2 Type IIレポート等を入手して評価を行い、特に重要な委託先については、レポート等では確認できなかった事項について、個別に質問を行う等の対応を定めておき、②不明又は不充足となった場合の代替的コントロールの評価方法を(基準化まではできないにせよ)検討し、③最終的に不明又は不充足な点が残る場合のリスク許容の基準・手続を定めておく、といったことが考えられるのではないか。
    • なお、繰り返しになるが、重要なのは、どのレベルで委託先の選定、委託契約の締結、取扱状況の把握を行うかであり、これらを放棄することはできないし、無理に委託先非該当として統制の外に置くべきではない(クラウド例外に関して言えば、そもそもクラウド例外が適用されるかどうかで安全管理の水準は変わらないので、仮に統制を免れることができるように見えるとすれば、そのような整理自体が不適切である可能性がある。)。逆に言えば、委託先管理基準が硬直的すぎる(例えば委託先は全て個別に交渉可能な前提で書かれている)ゆえにそうなっているのであれば、そのような委託先管理基準自体を見直すべきである。

統計等特例を信頼される形で適用するためにはどうすればよいか

統計等特例はまじめな企業には使えない旨のコメントを見たのですが、それは良くないことだなと思ったので、考えられる対応を書いてみます。

なお、このテーマを考えるにあたっては、GDPRに関するCJEU判例、EDPBガイドライン、オプトアウト事業者の監督における先例、番号法、次世代医療基盤法が参考になると思います。当局関与については、委員会規則やガイドラインでも相当のことはできるように思います。

 

  1. DPOの選任と実効的な内部統制。DPOは個人情報保護に関する知識・経験を有し、経営者に直接レポーティングし、必要な権限とリソース(DPO自身が職務を遂行するのに十分な時間、必要な場合DPOを補助する内部管理部門を含む。)の割り当てを受け、統計等特例の適用を受ける個人データ処理の業務からの独立性が保障されたものであること。
  2. 実効的な内部監査。
  3. 安全管理措置を適切に適用すること。有効かつ適切な場合には、統計等特例に基づき処理する個人データについて、仮名化を行うこと。
  4. 確認・記録義務を確実に履行すること。第三者提供を受けたり、自らこれを行う場合には、相手方について情報収集(身元確認、情報源の確認、利用目的の確認を含むがこれに限られない。)と審査を行い、その結果を記録すること。
  5. 統計等特例の適用を受ける個人データ処理について、リスクアセスメント(DPIA)を行うこと。その際、DPOの助言と承認を受けること。
  6. 問い合わせ、苦情処理、権利行使への対応のための体制を整備し、対応を記録すること。
  7. 16の体制の枠組みは、取締役会等が社内規則として決定し、対応状況について定期的に報告を受けること。
  8. 統計等特例の適用を受ける個人データ処理について、DPIAを添付して、当局に届出を行うこと。また、確認記録・苦情処理記録を添付して、当局に年次報告を行うこと。
  9. 当局は、事業者から収集した情報と、苦情処理窓口等を通じて自ら収集した情報を、リスクベースで統合的に分析し、問題が認められた場合には、報告を求め、改善を促すこと。
  10. 19は、
    • 統計等特例に基づき要配慮個人情報を取得するが、個人データとしては処理しない事業者には適用しないこと。ただし、その場合、個人データとして処理することがないよう、安全管理措置を適切に適用すること。
    • 小規模/反復継続的でない非要配慮個人情報の第三者提供(例えば、年間当たり5000件以下の非要配慮個人情報の第三者提供)のみを行う事業者には適用しないこと。

令和8年犯罪収益移転防止法改正の概要(ChatGPT生成)

改正犯収法の条文を読むのが面倒だったので関連資料をChatGPTに入れて解説を書かせたところ、思いの外よいものが出てきたので、一部手を加えた上で、サンプルとして公開します。

特定の捜査手法について、(令状によらない)詳細な組織的統制を定めている点は、サイバー対処能力強化法整備法による警職法改正を想起しました。

 

プロンプト

添付資料をよく調べて、改正法の解説をドラフトして。条文と背景・趣旨などが分かる形にして。概要(全体像)→改正項目ごとの概要(背景、趣旨、目的、項目ごとの全体像など)→具体的な条文の解説、という流れにして。条文を引用するときは、「(●条)」という形で番号を明示して。条文番号は原則として「第」を省略するが、枝番のため、「第」を省略してしまうと次のレベルの数字との区別がつかなくなる箇所に限って「第」を付けて。

(添付ファイル:法律案、新旧対照表、懇談会報告書、資金決済WG報告書)

GPT 5.5のThinking modeです。相当量のカスタムプロンプトを事前に設定しています。

 

資料

 

目次

 

概要

本改正は、金融サービスを悪用したマネー・ローンダリング対策として、主に次の4つを内容とする。

  1. 預貯金通帳等の不正譲渡等に係る罰則の引上げ
    預貯金通帳、キャッシュカード、暗号資産交換用情報、電子決済手段等取引用情報等の不正な譲受け・譲渡し等について、法定刑を引き上げる。
  2. 「送金バイト」を利用する行為に対する新たな罰則の創設
    他人に報酬を支払って、その者自身の口座等を利用させて財産を移転させる行為について、新たに処罰規定を設ける。
  3. 「架空名義口座」を利用した口座等犯罪利用防止措置の創設
    警察官が、金融機関等の協力を得て犯罪利用防止措置用口座等を開設し、口座売買や送金バイトの募集者に対して措置を行い、犯罪利用口座等への財産移転を防止する制度を設ける。
  4. 特定信託受益権に係るトラベルルールの整備
    受益証券発行信託に係る特定信託受益権のうち無記名受益権に該当しないものについては、従前どおり電子決済手段のトラベルルールの対象から除外する一方、受益証券発行信託によらない特定信託受益権については、送付人・受取人情報を把握する必要があるため、トラベルルールの対象とする。

改正の背景には、特殊詐欺、SNS型投資・ロマンス詐欺等の被害拡大、振込型被害の増加、他人名義口座や暗号資産等を利用したマネー・ローンダリングの増加がある。懇談会報告書は、令和6年の財産犯被害額が約4,021億円、詐欺被害額が約3,075億円に達したこと、特殊詐欺及びSNS型投資・ロマンス詐欺の被害がさらに増加していることを指摘している。

なお、特定信託受益権については、資金決済WG報告書が背景である。従来、特定信託受益権は、トラベルルールの対象から除外されていたが、受益証券発行信託によらない特定信託受益権の発行が検討されるようになった。この場合、受益権原簿による送付人・受取人情報の把握ができず、電子決済手段等取引業者等に送付人及び受取人の情報を把握させる必要があることが指摘されていた。

1. 預貯金通帳等の不正譲渡等に係る罰則の引上げ

1.1 概要

現行法は、預貯金通帳、キャッシュカード、暗号資産交換用情報、電子決済手段等取引用情報等について、不正な譲受け、譲渡し、提供、勧誘等を処罰している。本改正は、これらの行為について、基本類型の法定刑を「1年以下の拘禁刑若しくは100万円以下の罰金」から「3年以下の拘禁刑若しくは500万円以下の罰金」に、業として行う類型を「3年以下の拘禁刑若しくは500万円以下の罰金」から「5年以下の拘禁刑若しくは1,000万円以下の罰金」に引き上げる。

対象は、預貯金通帳等に限られず、高額電子移転可能型前払式支払手段利用情報、為替取引カード等、電子決済手段等取引用情報、電子決済等利用情報、暗号資産交換用情報にも及ぶ。

1.2 背景・趣旨

懇談会報告書は、預貯金口座等が特殊詐欺等の前提となる犯罪に利用されていること、令和6年の犯罪収益移転防止法28条違反の検挙件数が4,362件に達し、平成23年の検挙件数1,260件の約3.5倍となっていること、金融機関による預貯金口座の利用停止・強制解約等も令和6年度に128,301件に上っていることを指摘している。

同報告書は、預貯金通帳等の不正譲渡等について、特殊詐欺等の前提となり得る犯罪であり、近年の特殊詐欺等の被害拡大により当罰性が一層高まっているとする。また、預貯金口座等の利用の適正という社会的法益の保護の重要性も増しているとして、法定刑の引上げを方向性として示している。

1.3 具体的な条文の解説

改正後の本人特定事項隠蔽目的の本人確認義務違反については、法定刑が「3年以下の拘禁刑若しくは500万円以下の罰金又は併科」に引き上げられる(25条)。

預貯金通帳等については、他人になりすまして預貯金契約に係る役務の提供を受ける目的で、預貯金通帳等を譲り受ける行為、交付を受ける行為又は提供を受ける行為が「3年以下の拘禁刑若しくは500万円以下の罰金又は併科」とされる。有償で預貯金通帳等を譲り受ける行為等も同様である(26条1項)。また、相手方に当該目的があることを知って譲り渡す行為等、及び正当な理由なく有償で譲り渡す行為等も同様に処罰される(26条2項)。業としてこれらの罪に当たる行為をした者は、「5年以下の拘禁刑若しくは1,000万円以下の罰金又は併科」とされる(26条3項)。

同様の罰則引上げは、高額電子移転可能型前払式支払手段利用情報(27条)、為替取引カード等(28条)、電子決済手段等取引用情報(29条)、電子決済等利用情報(30条)、暗号資産交換用情報(31条)にも及ぶ。これにより、預貯金口座だけでなく、前払式支払手段、資金移動、電子決済手段、電子決済等、暗号資産交換に係る各種金融サービスの不正利用防止が一体的に強化される。

2. 「送金バイト」を利用する行為に対する新たな罰則

2.1 概要

本改正は、他人に報酬を支払い、その者自身の預貯金口座等を利用して財産を移転させる行為を「特定役務利用財産移転行為」として定義し、正当な理由なく有償でその行為を依頼し、誘引し、引き受け、又は実行する行為を処罰する新設規定を設ける(32条)。

2.2 背景・趣旨

懇談会報告書は、匿名・流動型犯罪グループが、SNS等を通じて送金代行の名目で者を募集し、応募者本人の預貯金口座等に入金された財産を別の口座や暗号資産口座等に送金させる手口を「送金バイト」として説明している。典型的には、口座名義人が自己名義口座の管理を継続したまま、報酬を得て入金財産を別口座へ移転する。

現行の犯罪収益移転防止法28条等は、他人になりすまして口座等の役務提供を受けることを目的とする預貯金通帳等の譲受け・譲渡し等を処罰対象としている。しかし、「送金バイト」では、送金行為者自身が自己名義口座を用いて送金しており、送金依頼者が口座名義人になりすまして役務提供を受けているとはいえない。また、送金依頼者に提供される情報は通常、口座番号等にとどまり、キャッシュカード暗証番号やネットバンキングID・パスワードのような口座内資金を直接移動させるための情報ではない。このため、現行法の適用は基本的に困難とされている。

懇談会報告書は、「送金バイト」を利用する行為が、実質的には他人名義の銀行口座等を不正に利用する行為であり、現行28条等に該当する行為と実質的に同価値である一方、現行法では処罰が困難であるとして、新たな罰則の創設を方向性として示している。

2.3 具体的な条文の解説

新設される32条1項は、通常の商取引又は金融取引として行われることその他の正当な理由がないのに、自己又は第三者が管理し、又は管理しようとする財産を移転する目的で、人に有償で特定役務利用財産移転行為を依頼した者を処罰する。法定刑は「2年以下の拘禁刑若しくは300万円以下の罰金又は併科」である。また、同じ目的で、有償で特定役務利用財産移転行為をするよう広告その他これに類似する方法により人を誘引した者も同様に処罰される(32条1項)。

32条2項は、依頼を受ける側を処罰する。通常の商取引又は金融取引として行われることその他の正当な理由がないのに、他人の依頼を受け、その依頼者に32条1項前段の目的があることを知って、有償で特定役務利用財産移転行為をした者が処罰される。また、特定役務利用財産移転行為を引き受けることを示して、有償での実施を自己に依頼するよう人を勧誘し、又は広告等により誘引した者も処罰対象となる(32条2項)。

32条3項は、業として32条1項前段又は32条2項前段の罪に当たる行為をした者について、法定刑を「3年以下の拘禁刑若しくは500万円以下の罰金又は併科」とする(32条3項)。

32条4項は、「特定役務利用財産移転行為」を定義する。対象となる行為は、次の3類型である。

  1. 預貯金契約等役務を利用して自己以外の者に財産を移転する行為である(32条4項1号)。
  2. 預貯金契約等役務を利用して受け取った財産に相当する財産の全部又は一部を自己以外の者に移転する行為である(32条4項2号)。
  3. 預貯金契約等役務を利用して財産を受け取ることを約し、当該財産に相当する財産の全部又は一部を自己以外の者に移転する行為である(32条4項3号)。

「預貯金契約等役務」には、預貯金契約、高額電子移転可能型前払式支払手段利用契約、電子決済手段等取引契約、電子決済等利用契約、暗号資産交換契約に係る役務のほか、預貯金取扱事業者又は資金移動業者との間における為替取引による送金又は受取に係る役務が含まれる(32条4項1号イからホまで)。

この規定は、有償性、目的、正当な理由の不存在を要件とすることで、食事代の立替精算、家族間の送金代行、法令上認められた為替取引など、正当な社会経済活動として行われる送金代行行為を処罰対象から除外する構造を採っている。懇談会報告書も、正当な社会経済活動等の一環で行われる送金代行行為を規制対象から除く必要性を示している。

3. 「架空名義口座」を利用した口座等犯罪利用防止措置の創設

3.1 口座等犯罪利用防止措置の創設

3.1.1 概要

本改正は、犯罪収益移転防止法に「第四章の二 口座等犯罪利用防止措置」を新設し、警察官が、警察本部長の指揮を受けて、金融機関等に犯罪利用防止措置用口座等の開設又は設定を求めることができる制度を設ける(19条の2)。その上で、口座売買や送金バイトを募集・誘引する者に対し、警察官が身分等を秘して犯罪利用防止措置用通帳等を譲渡・提供し、又は口座等関係情報を提供するなどの措置を行うことができる(19条の3)。

3.1.2 背景・趣旨

懇談会報告書は、これまでの対策として、本人確認方法の厳格化、インターネット上の口座売買勧誘情報の削除、在留外国人の在留期間満了後の口座管理の厳格化、犯罪利用口座の凍結、金融機関のモニタリング強化等を挙げた上で、預貯金口座等が悪用されて行われる特殊詐欺等の情勢は悪化していると指摘している。

このため、罰則の見直しだけではなく、預貯金口座等が犯罪に利用されることを防止する新たな施策として、警察が金融機関等の協力を得て開設する「架空名義口座」を利用した措置を導入する必要があるとされている。懇談会報告書は、この措置を、預貯金口座等の犯罪利用を防止する行政上の目的を有する行政警察活動と位置付けている。

3.1.3 具体的な条文の解説

19条の2は、警察官が、口座等犯罪利用防止措置を実施するため、警察本部長の指揮を受けて、特定事業者に対し、犯罪利用防止措置用口座等を開設又は設定するよう求めることができると定める(19条の2)。対象となる特定事業者は、預貯金取扱事業者、高額電子移転可能型前払式支払手段発行者、資金移動業者、電子決済手段等取引業者、電子決済等取扱業者等、暗号資産交換業者である(19条の2第1号から第6号まで)。

「犯罪利用防止措置用口座等」とは、警察本部長と特定事業者との契約により開設又は設定される口座等であり、当該口座等が口座等犯罪利用防止措置のために用いられるものであることが相手方等に推知されないようにする措置が講じられるものをいう(19条の2)。

19条の3は、警察官が、預貯金口座等の犯罪利用を防止するため必要があると認めるとき、犯罪利用防止措置用通帳等を譲り渡し、交付し、又は提供すること、特定役務利用財産移転行為を受託して財産受取に必要な口座等関係情報を提供すること、その他犯罪利用防止措置用口座等又は犯罪利用防止措置用通帳等を用いた措置を講ずることができると定める(19条の3)。

同条は、警察官が当該措置を的確に実施するために必要な範囲で、氏名、身分、犯罪利用防止措置用通帳等又は口座等関係情報が犯罪利用防止措置用口座等に係るものであること等を隠し、又は偽ることができるとする(19条の3)。対象となる相手方は、預貯金通帳等、電子決済手段等取引用情報、暗号資産交換用情報等を譲渡・提供するよう勧誘又は誘引する者、及び有償で特定役務利用財産移転行為を依頼又は誘引する者であり、正当な理由があると認められる者は除かれる(19条の3第1号・第2号)。

19条の4は、警察官が口座等犯罪利用防止措置を講じた場合に、必要があると認めるときは、特定事業者に対し、犯罪利用防止措置用口座等に係る取引情報の提供その他必要な協力を求めることができるとする(19条の4)。

3.2 犯罪利用防止措置用口座等に移転された財産の返還

3.2.1 概要

本改正は、口座等犯罪利用防止措置の結果、犯罪利用防止措置用口座等に財産が移転された場合、その財産を警察本部長が保管し、原則として移転を行った者に返還する制度を設ける(19条の5、19条の6)。

3.2.2 背景・趣旨

懇談会報告書は、「架空名義口座」に移転された財産は、本来警察にとって取得原因のないものであり、警察は入金者に返還する必要があるとしている。その一方で、入金者が犯罪グループである場合や、入金財産が犯罪収益である場合には、返還が犯罪捜査や犯罪収益の剝奪を妨げるおそれがあるため、一定の場合に返還手続を留保できる仕組みが必要であるとしている。

3.2.3 具体的な条文の解説

19条の5は、口座等犯罪利用防止措置が講じられた場合に、犯罪利用防止措置用口座等への財産移転があったとき、又は犯罪利用防止措置用通帳等の譲渡等の対価その他の事由により警察官へ財産移転があったとき、警察本部長が当該財産を保管しなければならないと定める(19条の5第1項)。保管財産が滅失・毀損するおそれがある場合又は保管・返還に過大な費用等を要する場合には、換価して金銭を保管できる(19条の5第2項)。

19条の6は、警察本部長が、保管原因行為を行った者に対し、保管財産を返還するものとする。ただし、この節の規定の施行又は犯罪捜査に支障を及ぼすおそれがある場合、犯罪利用防止措置用口座等に係る払戻請求訴訟や強制執行・仮差押え・仮処分手続がある場合、国家公安委員会規則で定める事情がある場合には、事情がやんだ後に返還する(19条の6第1項)。

返還に要する費用は返還を受ける者の負担とされ(19条の6第3項)、返還財産には利息を付さない(19条の6第5項)。これは、懇談会報告書が示す「本制度の持続可能性の確保」と「より多くの被害者の救済」の観点に対応する。

19条の7は、返還のため、警察本部長に必要な調査義務を課し、公務所又は公私の団体に照会して必要事項の報告を求める権限を認める(19条の7第1項・第2項)。返還を受けるべき者を認めたときは、その者に返還手続を通知しなければならない(19条の7第3項)。

19条の8は、調査しても返還を受けるべき者又はその所在が判明しない場合に、警察本部長が警察庁長官に公告を求め、警察庁長官が必要事項を公告する制度を定める(19条の8)。19条の9は、返還時に返還を受けるべき者であることを確認し、受領書と引換えに返還すること、返還のため必要があるときは報告・資料提出を求め、又は警察官に質問させることができることを定める(19条の9)。

19条の10は、公告の日から6月を経過しても返還を受けるべき者又はその所在が判明しない場合、又は返還請求権が放棄された場合に、返還請求権が消滅すると定める(19条の10)。

3.3 特定被害回復給付金制度

3.3.1 概要

本改正は、返還請求権が消滅した保管財産について、一定の場合に、特殊詐欺等の被害者に対する「特定被害回復給付金」の原資とする制度を設ける。これにより、犯罪利用防止措置用口座等に直接入金した者への返還ができない場合でも、当該財産を被害回復に活用することが可能となる(19条の11以下)。

3.3.2 背景・趣旨

懇談会報告書は、公告しても返還できない保管財産について、何らかの詐取金や被害金に由来する蓋然性が高いことを踏まえ、「架空名義口座」に直接財産を移転した被害者以外の被害者の被害回復のための給付金原資とすることが望ましいとしている。

また、支給対象については、振り込め詐欺救済法における振込利用犯罪行為の被害者を参考に、預貯金口座等を通じて被害金を移転させた被害者を中心とする方向性が示されている。現金手交型などは、保管財産との追跡が実務上困難であるため、支給対象から除くこともやむを得ないとされている。

3.3.3 具体的な条文の解説

19条の11は、「特定被害回復給付金」「給付資金」「支給対象犯罪行為」「費用」を定義する。支給対象犯罪行為は、詐欺その他の人の財産を害する罪の犯罪行為であって、人に移転元預貯金口座等に対する財産移転を行わせることにより財産を害したものとされる(19条の11第3号)。

19条の12は、公安委員会が、支給対象犯罪行為により財産を失った対象被害者又はその一般承継人に対し、特定被害回復給付金を支給すると定める(19条の12)。

19条の13は、支給を受けることができない者を定める。損害の全部について塡補又は賠償がされた者、支給対象犯罪行為を実行した者、共犯として加功した者、関連して不正な利益を得た者、財産喪失について自己に不法な原因がある者、その他支給を受けることが社会通念上適切でない者等は、給付を受けることができない(19条の13)。

19条の14は、返還請求権が消滅した保管財産について、移転元預貯金口座等がある場合、警察本部長が公安委員会に対し、特定被害回復給付金支給手続の開始を求めなければならないとする(19条の14第1項)。公安委員会は、求めがあったときは、遅滞なく支給手続開始決定をし、当該保管財産を給付資金として保管する(19条の14第2項・第4項)。

3.4 適用除外及び振り込め詐欺救済法との関係

3.4.1 概要

本改正は、口座等犯罪利用防止措置を円滑に実施するため、犯罪利用防止措置用口座等に係る一定の取引について、特定事業者の取引時確認等の義務の適用を除外する。また、警察官が措置又は準備のために行う行為について、預貯金通帳等の不正譲渡等に係る罰則や「送金バイト」関連罰則の一部を適用しないことを明記する(19条の28)。

3.4.2 背景・趣旨

懇談会報告書は、協力する金融機関が法令違反や訴訟リスクにさらされないよう、法的な立場を安定させる必要があると指摘している。また、犯罪利用防止措置用口座等に入金された財産については、振り込め詐欺救済法による手続の対象ではなく、本制度による返還又は給付金原資等となることを明確にすべきとされている。

3.4.3 具体的な条文の解説

19条の28第1項は、犯罪利用防止措置用口座等に係る取引について、取引時確認、確認記録の作成・保存、疑わしい取引の届出等に係る一定規定を適用しないと定める(19条の28第1項)。

19条の28第2項は、警察官が口座等犯罪利用防止措置又はその準備のために行う行為について、預貯金通帳等、高額電子移転可能型前払式支払手段利用情報、為替取引カード等、電子決済手段等取引用情報、電子決済等利用情報、暗号資産交換用情報に係る不正譲渡等の罰則、及び32条2項前段の規定を適用しないと定める(19条の28第2項)。

19条の28第3項は、特定事業者が、警察の求めに応じて開設・設定した犯罪利用防止措置用口座等に係る通帳等を警察官に交付又は提供する行為について、不正譲渡等の罰則を適用しないと定める(19条の28第3項)。

19条の28第4項は、犯罪利用防止措置用口座等について、振り込め詐欺救済法2章から4章までの規定を適用しないと定める(19条の28第4項)。これにより、犯罪利用防止措置用口座等に入金された財産は、振り込め詐欺救済法上の被害回復分配金手続ではなく、本改正で新設される返還手続及び特定被害回復給付金手続によって処理される。

4. 特定信託受益権に係るトラベルルールの整備

4.1 概要

本改正は、電子決済手段等取引業者が外国所在電子決済手段等取引業者との間で電子決済手段の移転を継続的又は反復して行う契約を締結する際の確認義務について、特定信託受益権の除外範囲を見直すものである(10条の2)。具体的には、従来「特定信託受益権」全体が除外されていたところ、除外対象を、信託法185条3項に規定する受益証券発行信託に係るものであって、同法110条3項に規定する無記名受益権に該当しないものに限定する(10条の2)。

4.2 背景・趣旨

2022年の犯罪収益移転防止法改正では、電子決済手段等取引業者に対し、電子決済手段の移転時に送付人及び受取人の情報を取得し、受取人が利用する電子決済手段等取引業者に通知する義務、すなわちトラベルルールが新設された。特定信託受益権については、当時、受益証券発行信託の信託受益権として発行され、譲渡の際に受益権原簿の書換えが行われることが想定されていたため、発行者である信託会社等が受益権原簿により受益者情報及び取引経路を把握できるものとして、トラベルルールの対象から除外された。

その後、受益証券発行信託の仕組みによらない特定信託受益権の発行を検討する動きがみられ、この場合には、受益者情報を把握できる受益権原簿が存在せず、信託会社等が特定信託受益権の送付人及び受取人の情報を把握できない。このため、受益証券発行信託によらない特定信託受益権については、トラベルルールの適用等を通じて電子決済手段等取引業者等に送付人及び受取人の情報を把握させる必要があるとされた。

4.3 具体的な条文の解説

10条の2は、電子決済手段等取引業者が外国所在電子決済手段等取引業者との間で、電子決済手段の移転を継続的又は反復して行うことを内容とする契約を締結する際に、当該外国所在電子決済手段等取引業者について所定事項を確認しなければならない旨を定める規定である(10条の2)。

本改正では、まず、10条の2の適用主体である「電子決済手段等取引業者」の範囲について、資金決済法62条の8第2項により電子決済手段等取引業者とみなされる特定事業者の参照対象に、2条2項25号に掲げる特定事業者を追加する(10条の2)。

次に、「電子決済手段」の定義部分について、除外される特定信託受益権を、信託法185条3項に規定する受益証券発行信託に係るものであって、同法110条3項に規定する無記名受益権に該当しないものに限定する(10条の2)。この結果、受益証券発行信託によらない特定信託受益権、又は無記名受益権に該当する特定信託受益権は、10条の2における「電子決済手段」から除外されず、外国所在電子決済手段等取引業者との契約締結時確認の対象となる(10条の2)。

さらに、電子決済手段の移転から除外される「電子決済手段の交換等」について、従前の「同条10項」という参照を、「資金決済に関する法律2条10項」に改める(10条の2)。これは、10条の2内部で資金決済法2条5項の電子決済手段、同条9項の特定信託受益権、同条10項の電子決済手段の交換等を参照する構造を明確にする技術的整備である。

5. 監督違反等の罰則整理、関連法令改正及び施行期日

5.1 監督違反等の罰則整理

改正法は、既存の罰則規定を整理し、条番号を移動させる。18条の規定による命令違反は33条に置かれ、法定刑は「2年以下の拘禁刑若しくは300万円以下の罰金又は併科」とされる(33条)。報告・資料提出義務違反、虚偽報告、質問への不答弁、虚偽答弁、検査拒否等については、34条に置かれ、法定刑は「1年以下の拘禁刑若しくは300万円以下の罰金又は併科」とされる(34条)。

法人両罰規定についても、条番号の整理と罰金額の調整が行われる。新旧対照条文では、31条が35条へ移動し、命令違反等に係る法人罰の対象条文・罰金額が改められている。

5.2 関連法令改正

特定複合観光施設区域整備法については、犯罪収益移転防止法の罰則条文の移動に伴い、引用条文の整備が行われる(附則3条・4条)。

5.3 施行期日

本改正は、公布の日から起算して1年を超えない範囲内で政令で定める日から施行される。ただし、第一条、附則2条及び附則3条の規定は、公布の日から起算して1月を経過した日から施行される(附則1条)。施行に関し必要な経過措置は、罰則に関する経過措置を含め、政令で定める(附則2条)。

CDNプロバイダの過失責任とDNSブロッキング・本人確認義務―KADOKAWAほか対Cloudflare事件一審判決の示唆

Cloudflare判決に関するメモを公開します(2025年12月8日脱稿)。2万字超の原稿なので、先に「まとめ」を引用しておきます。

本稿で行った本判決の分析を整理すると、以下のとおりである。

第1に、本判決は、①95%以上のキャッシュヒット率、②本人確認プロセスの欠如、③DMCA通知を考慮して、情プラ法2条1項による免責を認めず、かつ過失による出版権侵害の幇助を認めた。①②は適法なコンテンツにおいても同様であることからすれば、決定的なのは③である。このように「中立的な道具」の提供者の責任が主観により左右される状況は、Winny事件決定に類似する。

第2に、CDNは他人の通信を媒介する電気通信役務であると解されているが、権利侵害通知への対応を義務付けることは、通信の秘密を侵害しない。本判決が注意義務を設定する上で通信の秘密に言及していないのは、単にそれが問題とならない場面だからである。

第3に、不法行為法上の過失(注意義務)という形であれ、CDNプロバイダにサービスの提供停止を義務付けることは、コンテンツの発信者の表現の自由の制約となる。本件で表現の自由が問題とならなかったのは、情プラ法3条1項が適用される場面では、同項の要件に、既に媒介者としての役割への配慮が織り込まれているからである。

これらの分析を前提に、関連政策への示唆を整理すると、以下のとおりである。

第1に、CDNプロバイダに情プラ法第5章を適用し、迅速化規律・透明化規律を及ぼすことは、合理的な選択肢である。そのような選択肢がある限り、「滑りやすい坂道」であり、通信サービスの信頼性を毀損する可能性の高いDNSブロッキングは、憲法上正当化されない。このことは、オンラインカジノとの関係でも同様である。

第2に、本人確認については、第三者への萎縮効果を考慮して、その要否と範囲の双方について、慎重な検討が必要である。

 

 

はじめに

KADOKAWA対Cloudflare判決は、インターネット上の権利侵害について、CDN(コンテンツ配信ネットワーク)の責任を認めた我が国で最初の裁判例である。CDNは、後述のとおり、現代のインターネットにおいて重要な役割を担っており、本判決は、実務的にも理論的にも重要な意義を有する。

また、総務省においては、現在、オンラインカジノを巡って、ブロッキングの議論の「第3ラウンド」が行われている。DNSブロッキングは、そもそも有効性が疑わしい上、「滑りやすい坂道」であり、通信サービスの信頼性を毀損する可能性が高い。そうであればこそ、本判決の含意を正確に読み取り、ブロッキングとの関係を整理する必要がある。

本稿では、このような問題意識から、主として通信の秘密・表現の自由に焦点を当てて、本判決を分析する。具体的には、まず、事実の概要と判旨を紹介した上で、CDNとは何かと、本判決の構造を確認する。そして、本判決による情プラ法3条1項の解釈適用及び過失による幇助の認定の分析と、脅迫電報事件判決・DNSブロッキング、Google事件決定、Winny事件決定との比較を通じて、本判決が通信の秘密・表現の自由とどのようにして両立しているかを明らかにする。その上で、DNSブロッキングに対するLRAとしてのCDNプロバイダに対する規律の余地を検討する。

事実の概要

原告KADOKAWA、原告講談社、原告集英社及び原告小学館は、いずれも書籍出版事業を営む株式会社であり、各原告は、判決別紙著作物目録記載1~4の各漫画について、電磁的記録物を用いた公衆送信を含む出版権の設定を受けている。

海賊版サイトFの運営者(本件運営者)は、原告らの許諾を得ることなく、同サイトに対応するサーバ(本件オリジンサーバ)に本件各著作物の複製データ(本件コンテンツ)を記録し、そのURLを有する複数のウェブサイト(本件各ウェブサイト)を通じて、日本国内のエンドユーザを含む不特定多数の者がストリーミング方式で原作どおり本件各著作物を閲読できる状態に置いた。

本件各ウェブサイトは、合計4082タイトル・12万3631話のコンテンツ(本件各著作物を含む。)を、全てのエンドユーザに対して無料で配信していた。配信されていた本件各著作物の話数は、本件著作物1が46話、本件著作物2が141話、本件著作物3が1027話、本件著作物4が122話であった。コンテンツ名称欄には一律に「Raw-Free」との表示がされ、「Raw」は海賊版を意味するインターネット用語であると認められたほか、各ページには「(省略).com」との透かしが挿入されていた。これらを除き、サイトの言語は日本語であった。

被告Cloudflare, Inc.は、世界各地(東京・大阪を含む)に設置した自社サーバ(被告サーバ)を用いて、オリジンサーバに代わりコンテンツを配信するCDNサービス(被告サービス)を提供する米国法人である。本件運営者は遅くとも令和2年4月7日までに被告との間で本件各ウェブサイトにつき被告サービス利用契約を締結し、レジストラにおいて被告をネームサーバとして指定するなどの設定を行った結果、本件各ウェブサイトへのアクセスは、地理的に近接する被告サーバに向かうよう構成された。

本件各ウェブサイトのエンドユーザが本件コンテンツのページにアクセスすると、DNSの名前解決により被告サーバが窓口となり、被告サーバに当該コンテンツのキャッシュデータ(本件キャッシュデータ)が存在しない場合には、被告サーバが本件オリジンサーバに送信を要求し、オリジンサーバから送信された本件コンテンツを被告サーバがエンドユーザに送信するとともに、そのデータを記録媒体に自動的にキャッシュする(ホスト型配信)。本件キャッシュデータが記録されている場合には、被告サーバは当該キャッシュデータをエンドユーザに自動送信することにより配信を行い(キャッシュ型配信)、一定期間経過後にはキャッシュデータが自動削除され、再度ホスト型配信が行われる仕組みであった。

被告は、被告サービスの利用契約締結時の本人確認手続につき簡略な方法による運用を行っており、本件運営者との間で締結された本件利用契約の締結時も同様であった。

原告らは、各自が出版権を有する本件各著作物について、本件各ウェブサイトが無断配信を行っているとして、令和2年4月7日(小学館分)、同年12月7日(集英社分)、令和3年11月12日(KADOKAWA及び講談社分)に、DMCA第512条に基づく著作権侵害通知(本件通知)を代理人弁護士名義で被告の電子メールに送付したが、その後も本件各ウェブサイトにおいて本件各著作物の配信が継続した(なお、送付先電子メールアドレスがDMCA通知用のものであったか等は、判決文には明示されていない。)。その後、被告は令和3年2月2日に本件ウェブサイト1、令和4年3月10日に本件ウェブサイト2についてキャッシュサービス停止措置を実施し、さらに令和4年3月16日に本件ウェブサイト2、同月19日に本件ウェブサイト1について被告サービスの提供を終了した。

原告らは、被告が本件各ウェブサイトに対して被告サービスを提供し、被告サーバから本件コンテンツ又は本件キャッシュデータを日本国内のエンドユーザに自動公衆送信したことにより、各原告の出版権(公衆送信権)が侵害されたと主張し、主位的に被告を公衆送信の主体とする不法行為責任に基づき、予備的に本件運営者による出版権侵害の幇助者としての共同不法行為責任に基づき、各原告につき1億2650万円及びこれに対する遅延損害金の支払を求めて訴えを提起した。

訴訟では、【争点1】日本の裁判所の国際裁判管轄の有無、【争点2-1】被告の公衆送信主体性、【争点2-2】特定電気通信役務提供者の責任制限規定の適用の有無、【争点2-3】出版権侵害の幇助の成否、【争点2-4】キャッシングに係る権利制限規定の適用の有無、【争点3】損害額が問題となった。

判旨

判決は、国際裁判管轄を認めた上で、被告の公衆送信主体性を否定しつつ、出版権侵害の幇助を認め、主張された損害額の大部分の賠償を命じた(請求一部認容)。以下、争点2-1から争点2-3に関する判示を引用する。

【争点2-1】被告の公衆送信主体性(消極)

「自動公衆送信が、装置に入力される情報を受信者からの求めに応じ自動的に送信する機能を有する装置の使用を前提としていることに鑑みると、その主体は、当該装置が受信者からの求めに応じ情報を自動的に送信することができる状態を作り出す行為を行う者と解するのが相当である。そして、当該装置が公衆の用に供されている電気通信回線に接続しており、これに継続的に情報が入力されている場合には、当該装置に情報を入力する者が送信の主体であり、また、公衆の用に供されている電気通信回線に接続している当該装置の公衆送信用記録媒体に情報が記録されている場合には、当該記録媒体に情報を記録する者が送信の主体であるものと解される」。

「…被告サーバはインターネットに接続されることにより、本件エンドユーザの求めに応じ、被告サーバに入力された情報(ホスト型配信における本件コンテンツ)及び被告サーバの記録媒体に記録された情報(キャッシュ型配信における本件キャッシュデータ)を自動的に送信しているといえる。/送信の主体が被告であるとしても本件運営者であるとしても、送信の相手方である本件エンドユーザが公衆に当たることは明らかであるから、被告サーバを用いて行われる自動送信は、公衆によって直接受信されることを目的とするものであり、被告サーバは自動公衆送信装置に当たる(著作権法2条1項9号の5)。そうすると、ホスト型配信においては被告サーバへの入力をする者、キャッシュ型配信においては被告サーバの記録媒体に記録をする者が、自動公衆送信の主体である。/そこで、まず、ホスト型配信における被告サーバから本件エンドユーザへの送信について検討するに、…ホスト型配信における被告サーバへの本件コンテンツの入力は、本件エンドユーザからの求めに応じ、本件オリジンサーバから被告サーバに本件コンテンツが自動送信されることにより行われている。そして、…このような自動送信は、本件運営者が、自ら本件コンテンツを本件オリジンサーバに記録し、被告サービスを利用するための設定をすることにより可能になったものといえるから、被告サーバへの入力をする者は本件運営者であるというべきである。/次に、キャッシュ型配信について、…キャッシュ型配信において送信される本件キャッシュデータは、ホスト型配信の際に被告サーバに入力された本件コンテンツが、被告サーバの記録媒体に自動的に記録(キャッシュ)されたものである。…ホスト型配信において被告サーバに本件コンテンツを入力する者は本件運営者であるといえること、上記の記録(キャッシュ)は、被告サーバのキャッシュ機能によって自動的にされるものであることに照らせば、被告サーバの記録媒体に本件キャッシュデータを記録する者も本件運営者であるというべきである。/以上によれば、ホスト型配信及びキャッシュ型配信における自動公衆送信の主体は被告ではなく本件運営者であったといえる。」。したがって、被告による出版権侵害は認められない。

【争点2-2】特定電気通信役務提供者の責任制限の適用の有無(消極)

情プラ法3条1項2号の要件について、「…本件通知の内容からすれば、本件通知により、①日本の弁護士が通知人であり、通知人が原告らを代理し、原告らが本件各著作物の著作者を代理していること、②本件各著作物が著作権者及び原告らの許諾なく違法に本件各ウェブサイトにおいて掲載されているとして著作権侵害を通知するものであることを理解することができる。/また、電子メールによる本件通知には、本件各ウェブサイト上の本件コンテンツのページのURLも記載されていたのであるから、当該ページにアクセスすれば、本件コンテンツのタイトル欄に無料の海賊版であることを示す「Raw-Free」という記載があり、各頁に本件各ウェブサイトのドメイン名の透かしが挿入されていることを、さらに、同ページを起点とすれば、本件各ウェブサイトにおいて、本件コンテンツを含む多数(4000タイトル以上)のコンテンツが全て無料で配信され、全てのコンテンツについて「Raw-Free」の記載やドメイン名の透かしが挿入されていることを読み取ることができたといえる…。/そして、通常、これほど多数のタイトルの漫画の複製データが全てのエンドユーザに対して無料で配信されることは考え難いから、上記記載や透かしと相まって、本件各ウェブサイトがいわゆる海賊版サイトであることは一見して明らかであったといえる。/以上によれば、被告は、通常の注意を払っていれば、被告サービスを利用する本件各ウェブサイトにおける本件コンテンツの配信により、本件各著作物に係る他人の著作権法上の権利(公衆送信権)が侵害されていることを知ることができたと客観的に考えられるから、「当該特定電気通信による情報の流通を知っていた場合であって、当該特定電気通信による情報の流通によって他人の権利が侵害されていることを知ることができたと認めるに足りる相当の理由があった」」といえ、同号の要件を満たす。

情プラ法3条1項柱書の要件について、「同項所定の送信防止措置とは、特定電気通信による情報の流通による権利の侵害を防止するために必要な限度において、関係役務提供者が当該措置を講ずることが技術的に可能なものを指す」。「まず、被告サービスの提供を停止すれば、本件コンテンツ(4タイトル)のみならず、本件各ウェブサイト上の他の4000タイトル以上のコンテンツについても、被告サービスを通じた配信が停止される。しかし、…海賊版サイトである本件各ウェブサイトにおいて、本件コンテンツ以外のコンテンツについて、権利者の許諾を得ていたとは通常考えられないところ、海賊版サイトでは、多くのコンテンツが配信されていることにより、より多くのアクセスを集め、その結果、各コンテンツを単体で配信するよりもアクセス数が増加するという関係にあるものといえる。そうすると、本件コンテンツ以外のコンテンツの配信は本件コンテンツの配信による出版権の侵害を助長するものであり、それらのコンテンツについて被告サービスを通じた配信を停止することになったとしても、まったく無関係な情報の配信を停止するものとまではいえない。/また、被告サービスの提供が停止されれば、本件各ウェブサイトからの被告サービスを通じた情報の送信は、その内容を問わず、将来にわたってできなくなる。しかし、本件運営者は、本件各ウェブサイトについて、引き続き、本件オリジンサーバからコンテンツの配信をすることは妨げられない…から、本件運営者の表現の自由を不当に制限するものであるとはいえない。以上によれば、被告サービスの提供の停止は、ホスト型配信及びキャッシュ型配信による原告らの出版権の侵害を防止するために必要な限度の措置であったというべきであり、「技術的に可能」(同項柱書)といえる。」。したがって、被告の出版権侵害の幇助による損害賠償責任について、責任制限規定の適用はない。

【争点2-3】出版権侵害の幇助の成否(積極)

幇助の事実について、「…被告サービスにより、本件運営者は多数の分散配置された被告サーバから本件キャッシュデータを送信することが可能となったといえるところ、本件各ウェブサイトのアクセス数は最大で月間合計3億回を超え…、これに対するキャッシュヒット率は95~99パーセントであった…のであるから、被告サービスの利用による本件オリジンサーバの負荷の分散の程度は大きく、本件運営者は、被告サービスにより、多くの配信を効率的に行うことができたものといえる。/そして、被告は、被告サービスの利用契約を締結する際の本人確認手続を簡略化する方針を採用していたところ…本件情報開示命令に対する開示結果に照らせば、本件利用契約に際して何らの本人確認手続が行われなかったものと推認され、これを覆す的確な証拠は見当たらない。そうすると、本件運営者は、オリジンサーバのIPアドレスが明らかにならないというリバースプロキシが一般に備える匿名性に加え、本件利用契約に関する法的な開示手続がされたとしても権利行使を受けるおそれがないという強度な匿名性が確保された状況下で、上記のような効率的な配信をすることができたものといえる。/以上によれば、被告は、本件各ウェブサイトについて被告サービスを提供することにより、本件運営者による原告らの出版権の侵害を容易にしたということができ、これは、本件運営者による原告らの出版権の侵害の幇助行為に当たるといえる。」

過失について、「被告は、本件通知により、本件各著作物に係る著作権法上の権利(公衆送信権)が侵害されていることを知ることができ、…被告は、被告サービスの提供を停止することによって、原告らの出版権の侵害を回避することが可能であったといえる。/そして、本件通知の受領から被告サービスの提供を停止するまでに必要な期間については、本件通知の受領後、その内容を確認して権利の侵害を判断し内部的な手続をするために必要な期間を考慮し、1か月と認めるのが相当である。/以上に照らせば、被告は、本件通知の受領から1か月を経過した時点(以下「本件時点」という。)で、被告サービスの提供を停止することができたと認められるから、同時点で被告サービスの提供を停止する義務を負うところ、これを怠ったものといえる。」したがって、被告の出版権侵害の過失による幇助が認められる。

解説

CDNとは何か*1

CDNは、エンドユーザーの近くでコンテンツをキャッシュする地理的に分散したサーバ群である。ユーザー(=コンテンツの発信者)は、自らWebサーバを設置するか、ホスティングサービスプロバイダが提供するWebサーバを利用してコンテンツをインターネット上に公開するが(これらのサーバはオリジンサーバと呼ばれる。)、地理的に遠くにいるエンドユーザー(=コンテンツの受信者)がアクセスする場合、伝送に起因する遅延が生じる。また、アクセスが集中した場合、オリジンサーバとその周辺のネットワークの処理能力に起因する遅延が生じたり、応答不能となることがある(逆に、それに耐えるようにしようとすれば、広い帯域の回線が必要になる。)。CDNを使うことで、大半のアクセスに対してはキャッシュサーバのみが応答し、キャッシュサーバにキャッシュが存在しない場合やキャッシュの有効期限が切れた場合にのみ、キャッシュサーバからオリジンサーバへのアクセスが発生するようになるため、ロード時間が短縮され、可用性が向上する。なお、CDNのキャッシュサーバを含め、あるサーバに代わって他のサーバが応答することや、そのようなサーバを、リバースプロキシと呼ぶ。

通常、我々がWebサイトにアクセスする場合、我々は、ドメイン名を入力し、DNSサーバに名前解決を要求し、DNSサーバが応答したIPアドレスにアクセスすることで、当該Webサイトに係るリソースを取得する。CDNを使用する場合、オリジンサーバとキャッシュサーバには、当然ながら異なるIPアドレスが割り当てられるが、CDNプロバイダにDNSの機能の一部を委譲する(Akamai等の場合)か、CDNプロバイダが提供するDNSを使用し(Cloudflareの場合)、CDNプロバイダが名前解決要求に対し最適なキャッシュサーバのIPアドレスを応答することで、エンドユーザーは、キャッシュサーバにアクセスするよう誘導される。

このことは、ユーザーからは、オリジンサーバのIPアドレスが隠蔽されることを意味する。すなわち、海賊版サイトによって権利を侵害された者は、キャッシュサーバのIPアドレスしか観測できないが、当該IPアドレスを管理しているISPに照会しても、CDNプロバイダが契約者であることしか分からない。CDNプロバイダに対しては、契約者情報やオリジンサーバのIPアドレスの開示を要求することが考えられるが、これらによってコンテンツの発信者の身元を特定できるかは、CDNプロバイダや(オリジンサーバに係る)ホスティングサービスプロバイダが本人確認を実施しているか等に依存する。

なお、このことは、必ずしもCDN固有の問題ではない。オリジンサーバ(ホスティングサーバ)のみを使う場合でも、ホスティングサービスプロバイダが適切に本人確認を実施していなければ、発信者の身元を特定することはできない(ISP経由での身元特定の余地はある。)。しかしながら、漫画の海賊版サイトのように大量のトラフィックを処理する必要がある場合、単なるホスティングサービスだけでは足りず、CDNが不可欠である。

法的背景と本判決の構造*2

出版権は、著作権の支分権である複製権(著作権法21条)又は公衆送信権(同法23条1項)の保有者(「複製権等保有者」と総称される。)が出版又は公衆送信(≒オンラインパブリッシング)を引き受ける者に設定することができる、制限物権的な権利である(同法79条1項)。出版権者は、設定行為で定めるところにより、著作物について、原作のまま公衆送信を行う権利の全部又は一部を専有する(同法80条1項2号)。出版権が侵害されたときは、出版権者は、侵害者に対し、不法行為に基づく損害賠償請求(民法709条)及び差止請求をすることができる(著作権法112条1項)。本件は、出版社が出版権侵害を主張し、損害賠償を請求した事案である。

本件で、原告は、損害賠償請求の根拠として、①被告(Cloudflare)自らが公衆送信を行ったという主張と、②公衆送信を行ったのは海賊版サイトの運営者だが、被告はこれを幇助したという主張の2つを行った。幇助とは、他人の不法行為を容易にすることであるが、その効果は、当該他人と連帯して損害賠償債務を負うことであり(民法719条1項)、少なくとも本件のような事案では、①との間で認められる賠償額に変わりはない。裁判所は、①について、まねきTV事件判決*3を引用してこれを否定し*4(争点2-1)、②について、CDNによる負荷分散の度合いと本人確認のプロセスの欠如に基づいて幇助の事実を認め、DMCA通知に基づいて過失を認めた(争点2-3)。

もっとも、本件では、キャッシング(caching)という行為態様に起因して、被告は、①情プラ法(旧プロ責法)上の関係役務提供者の損害賠償責任の制限(情プラ法3条1項)、②著作権法上の電子計算機における著作物の利用に付随する利用に係る権利制限(著作権法47条の4第1項)という、2つの特別な主張をなし得た。裁判所は、①について、DMCA通知とそこにURLが記載されたサイトの外観から、免責の要件を満たさないとし(争点2-2)、②について、キャッシュされたデータの自動公衆送信が権利制限の対象となるのは、それが記録に際して行われる場合に限られるが、CDNによるコンテンツ配信はそれを満たさない*5として(争点2-4)、いずれも否定した。

以上のとおり、裁判所は、出版権侵害の過失による幇助を認め、ライセンス料相当額による損害額算定規定(著作権法114条3項)に基づき算定される損害額の賠償を被告に命じた。

情プラ法3条1項の解釈・適用及び過失による幇助の認定と通信の秘密・表現の自由

判決の読解

情プラ法3条1項柱書及び2号は、「①特定電気通信による情報の流通により他人の権利が侵害されたときは、②当該特定電気通信の用に供される特定電気通信設備を用いる特定電気通信役務提供者(…関係役務提供者…)は、これによって生じた損害については、③権利を侵害した情報の不特定の者に対する送信を防止する措置を講ずることが技術的に可能な場合であって、次の各号のいずれかに該当するときでなければ、賠償の責めに任じない。…」「二 当該関係役務提供者が、当該特定電気通信による情報の流通を知っていた場合であって、当該特定電気通信による情報の流通によって他人の権利が侵害されていることを知ることができたと認めるに足りる相当の理由があるとき。」とされている。本件では、柱書の「技術的に可能」要件と、2号の要件が問題となった。

裁判所は、2号の要件に関して、DMCA通知の内容が、弁護士が著作者を代理して著作権侵害を通知するものであったこと、コンテンツのページのURLが記載されており、当該ページにアクセスすれば海賊版サイトであることは一見して明らかであったことから、「相当の理由」があったと認めた。柱書の要件に関しては、従来、「関係役務提供者に期待される措置は、あくまで権利の侵害を防止するために必要な限度にとどまる」、「例えば、問題とされる情報の送信を防止するためには他の関係ない大量の情報の送信を停止しなければならないような場合や、インターネットへの接続自体をさせない等、当該情報の発信者の情報発信のすべてを停止するしかない場合には、関係役務提供者がその措置を講ずることが「技術的に可能」とは言えない」と解されてきたが*6、裁判所は、これを踏襲しつつ、本件では、ドメイン全体のキャッシングを止めることになるとしても*7、CDNの提供停止は「技術的に可能」な措置に当たるとした。このような判断方法は、情プラ法3条1項の解釈に照らして不合理なものではないと思われる。

また、裁判所は、過失による出版権侵害の幇助に関して、①(a)95%以上のキャッシュヒット率から推認される負荷分散の度合いと、(b)本人確認(身元確認)プロセスの欠如による匿名性を理由に、幇助の事実(すなわち、被告が出版権侵害を容易にしたこと)を認めた上で、②DMCA通知から1か月が経過した時点で、CDNサービスの提供を停止することで出版権侵害を回避できたとして、幇助に係る過失を認めている。この点についても、(読み方には注意する必要があるにせよ)不合理なところはないと考えられる。

以下、通信の秘密*8及び表現の自由との関係について、関連する3つの判例との関係を検討する。

脅迫電報事件判決・DNSブロッキングからの検討

脅迫電報事件判決*9は、闇金業者から脅迫電報を受けた債務者が、NTT東西に対し、当該電報を受け付け、配送したことが不法行為に当たるとして慰謝料を請求した事案において、「原告が作為義務の内容としている被告らの行為は、要するに、被告らが受付ないし配達を行おうとする電報の電文が脅迫を内容とすることを覚知した場合に、当該電報の受付ないし配達を差し止めるべきとするものであるが、仮にそのような作為義務を認めるとすれば、被告らがそのような行為を行うためには、被告らの取り扱う電報全てにつき、事前にその内容を個別的に審査せざるを得ないことになる」、「電気通信事業者ないしその従業者が電気通信役務を提供するに際し、その取扱いの過程において通信内容を事実上覚知することがあり得るとしても、その通信に係る情報の内容面については全く関知せず、受信者にそのまま伝達することが当然に求められている」、「原告らの主張するような作為義務を電気通信事業者である被告らに課するとすれば、被告らとしては、…取り扱う全ての電報についてその内容を個別的に把握し、審査しなければならないことになるところ、このことによる社会的な悪影響は極めて重大であり、ひいては電報、葉書といった社会的に有用な通信手段の存立を危うくする」などとして、NTT東西の注意義務を否定した。これらのことは、基本的にDNSブロッキングにも当てはまると考えられる*10

DNSブロッキングと比較すると、CDNの提供停止には、いくつかの重要な違いがある。

まず、事実関係として、DNSブロッキングにおいては、コンテンツの受信者とISPの契約関係は継続し、当該契約に基づくサービスの提供に際してブロッキングが行われ、このことが、通信の秘密の侵害(知得・窃用)に当たるとされる*11。一方、CDNの提供停止においては、コンテンツの発信者とCDNの契約関係は解消され、サービスの提供が終了する。これまでのところ、通信の秘密は、通信サービスの提供それ自体を求める権利を含むとは(憲法上も電気通信事業法*12上も)考えられていない。このような事実関係の違いは、DNSブロッキングは、受信者側のサービス提供者(ISP)が実施するのに対して、CDNの提供停止は、発信者側のサービス提供者が実施するという違いに起因するものといえる。

もちろん、サービス提供の停止それ自体が通信の秘密の侵害とならないとしても、サービス提供を停止すべきコンテンツをキャッシングしていないか体系的に監視することは、通信の秘密を侵害するか、少なくとも自由な表現を損なうことになる。例えば、CDNは、「正規版」のコンテンツ配信サイトの運営にとっても不可欠な存在であるが、CDNプロバイダがコンテンツの体系的な監視に基づいて「ブロッキング」を実施したり、ブロッキングを実施する能力を背景にコンテンツの取り下げを求めるようになるとすれば、決済において既に生じている*13のと同様の大きな問題が生じる。しかしながら、本判決が設定した注意義務は、実質的には、権利者からの個別の通知に誠実に対応すべきというものであり、そのような体系的監視を求めるものではない。情プラ法3条1項は、米国の通信品位法、デジタルミレニアム著作権法(DMCA)、EUの電子商取引指令などと同様に、まさしくそのような体系的監視を回避しつつ、個別の権利侵害に対応するインセンティブは損なわないようにするという思想の下で規定されたものであり*14、通信の秘密や表現の自由への配慮は、同項が定める具体的な要件に織り込み済みであるといえる。したがって、同項の要件を満たす以上、通信の秘密や表現の自由との関係は問題とならないと考えられる。

Google事件決定からの検討

Google事件決定*15は、逮捕されその事実を報道された者が、Googleに対し、検索エンジンの検索結果からの関係記事のURL等の削除を求めた事案において、「検索事業者による検索結果の提供は、公衆が、インターネット上に情報を発信したり、インターネット上の膨大な量の情報の中から必要なものを入手したりすることを支援するものであり、現代社会においてインターネット上の情報流通の基盤として大きな役割を果たして」おり、「検索事業者による特定の検索結果の提供行為が違法とされ、その削除を余儀なくされるということは、上記方針に沿った一貫性を有する(注:検索事業者自身の)表現行為の制約であることはもとより、検索結果の提供を通じて果たされている上記役割に対する制約でもあるといえる」として、「検索事業者が、ある者に関する条件による検索の求めに応じ、その者のプライバシーに属する事実を含む記事等が掲載されたウェブサイトのURL等情報を検索結果の一部として提供する行為が違法となるか否かは、…当該事実を公表されない法的利益と当該URL等情報を検索結果として提供する理由に関する諸事情を比較衡量して判断すべきもので、その結果、当該事実を公表されない法的利益が優越することが明らかな場合には、検索事業者に対し、当該URL等情報を検索結果から削除することを求めることができる」とし、当該事案において、削除を否定した。

Google事件決定では、検索エンジンの「情報流通の基盤」としての役割が、「明らか」要件を導いている*16。別の言い方をすれば、検索エンジンが多くの人々の情報発信や情報摂取*17に貢献しているという事実が、「天秤」をデフォルトで検索エンジン側に傾けている*18。CDNは、現代のインターネットにおいて極めて重要な役割を担っており*19、検索エンジンと同様の「情報流通の基盤」と言って差し支えないと思われる。

もっとも、このことが、直ちにCDNの責任を緩和すべき(例えば、情プラ法3条1項の要件を緩和すべき)ことを意味するわけではない。この点について議論の蓄積は乏しいが、法体系に即して考えると、情プラ法第2章及び第3章は、コンテンツの媒介者(法律上は特定電気通信役務提供者)を対象としているが、検索エンジンにおける検索結果は、検索事業者自身が発信するコンテンツであり*20、Google事件決定は、このことを前提に、媒介者に類似する側面を考慮して*21、「明らか」要件を課したものと言える。これに対し、CDNの提供者は、まさしく媒介者であり、媒介者としての側面は、情プラ法3条1項の立法に当たって考慮済みである。同項は、典型的には個別のホスティングサービスにも適用されるものであり、CDNの重要な役割を考慮していないようにも思われるが、同項は、CDNと比べても中立的な媒介者としての側面がより強いと思われるISPにも同様に適用されるものであり(その結果、CDNと異なり、ISPに責任が認められる可能性はほぼなくなる。)、CDNを特別扱いしないことも必ずしも不合理ではない(言い換えれば、立法に当たって考慮済みであると考えてよい)と思われる。

Winny事件決定からの検討

Winny事件決定*22は、「Winny」が海賊版コンテンツの共有に使われ、その開発者が著作権侵害罪の幇助(故意が必要である。)で起訴された事案において、「新たに開発されるソフトには社会的に幅広い評価があり得る一方で、その開発には迅速性が要求されることも考慮すれば、かかるソフトの開発行為に対する過度の萎縮効果を生じさせないためにも、単に他人の著作権侵害に利用される一般的可能性があり、それを提供者において認識、認容しつつ当該ソフトの公開、提供をし、それを用いて著作権侵害が行われたというだけで、直ちに著作権侵害の幇助行為に当たると解すべきではない」として、「かかるソフトの提供行為について、幇助犯が成立するためには、一般的可能性を超える具体的な侵害利用状況が必要であり、また、そのことを提供者においても認識、認容していることを要する」、「①(a)ソフトの提供者において、当該ソフトを利用して現に行われようとしている具体的な著作権侵害を認識、認容しながら、その公開、提供を行い、実際に当該著作権侵害が行われた場合や、(b)当該ソフトの性質、その客観的利用状況、提供方法などに照らし、同ソフトを入手する者のうち例外的とはいえない範囲の者が同ソフトを著作権侵害に利用する蓋然性が高いと認められる場合で、提供者もそのことを認識、認容しながら同ソフトの公開、提供を行い、②実際にそれを用いて著作権侵害(正犯行為)が行われたときに限り、当該ソフトの公開、提供行為がそれらの著作権侵害の幇助行為に当たる」とし、当該事案において、幇助犯の成立を否定した。

Winny事件決定では、Winnyがいわゆる中立的な道具であることが、故意(=認識・認容)の内容として、上記①(a)(b)のとおり具体的なものを要求する解釈を導いている。CDNも中立的な道具であり、同様な解釈が必要ではないかとも思われるが、私見を述べれば、このことも、情プラ法3条1項に織り込み済みであると思われる。Winny事件決定は、相当に具体的な認識・認容を要求しているのに対し、情プラ法3条1項(2号)は「相当の理由」で足りるとしており、情プラ法のほうがCDNプロバイダに不利にも見えるが、これは、Winny事件では、ソフトウェアの公開が問題となっており、その提供に当たってユーザーを選択したり、後から提供を停止することはできなかったのに対し、CDNではサービス(特定電気通信役務)の提供が問題となっており、その提供に当たってユーザーを選択したり、後から提供を停止することができた、という事案の違いに基づくものであり、不合理なものではないと考えられる。

小括

以上のとおり、本判決は、(基本的には)通信の秘密や表現の自由に直接には言及していないが、情プラ法3条1項という枠組みや、注意義務の設定を通じて、これらの権利・自由への配慮を織り込んでいると言える。本判決を他の事件に応用したり、政策立案において参照するに当たっては、このような背景に十分留意する必要があると思われる。

なお、判決が出版権幇助を認定するに当たって、本人確認プロセスの欠如を考慮しているが、このことは、CDNによる負荷分散それ自体が違法とは言えないのと同様に、本人確認を行わなかったこと自体を違法とするものではないと解される。被告は、適法なコンテンツの発信者に対しても、本人確認なしにCDNによる負荷分散を可能にしていたのであり、違法性を基礎づけているのは、あくまで通知に誠実に対応しなかったことである。

関連政策への含意―DNSブロッキングのLRAとしてのCDN「ブロッキング」

海賊版ブロッキングを巡っては、2019年、政府が法律に基づかないDNSブロッキングを慫慂し、通信事業者が実質的に敗訴する事態が生じた*23。また、現在、オンラインカジノに係るアクセス抑止のあり方が検討されており、DNSブロッキングやCDNの提供停止も選択肢とされている*24。後者に係る検討会の中間整理(2025年9月)では、ブロッキングについて、有効性(手段が目的を促進するか*25)、必要性(より権利制限的でない他の手段(LRA)が存在しないか)、許容性(狭義の比例性)、実施根拠(立法の必要性)、妥当性(制度的枠組み)が論点とされている。

LRAに関して、(エンド)ユーザーへの影響度は、これまで述べたDNSブロッキングやCDNの仕組みに照らすと、大まかに言えば、DNSブロッキング>CDNプロバイダへのコンテンツの監視の義務付け>CDNプロバイダの通知への対応の義務付け(通知に適切に対応するための体制整備義務)であり、これらとは別次元の問題として、CDNにユーザーの本人確認義務を課すかどうかという問題があると思われる。このため、IP通信というより低い(つまり、基層的な)レイヤーに働きかけるものであり、そのため「滑りやすい坂道」であり、長年にわたり築かれてきた通信サービスの信頼性を毀損する可能性の高いDNSブロッキングに踏み込む前に、決済サービス(オンラインカジノの場合。既に令和7年資金決済法改正が行われたところである。)やインターネット広告(海賊版サイトの場合)*26と合わせて、まずはCDNプロバイダへの働きかけを検討する必要があると思われる。

CDNへの働きかけとして、最も端的なのは、まずは、情プラ法施行規則8条6項を改正した上で、情プラ法第5章の大規模特定電気通信役務提供者として指定することだと思われる。すなわち、CDNプロバイダはコンテンツの媒介者であり、現状においても、権利侵害通知に適切に対応することが期待されている。コンテンツの媒介者に対する規律としては、もともと、私法上のセーブハーバールールとしてのプロ責法3条のみが置かれてきたが、テラスハウス事件を契機として*27、令和6年プロ責法改正が行われた。具体的には、同改正においては、①大規模SNS・掲示板の提供者を総務大臣が「大規模特定電気通信役務提供者」(以下「指定役務提供者」と略称する。)として指定し(同法21条)、②指定役務提供者に、(a)権利者からの通知(法律上は被侵害者からの申出)を受け付ける方法の公表(同法22条)、(b)当該方法により通知を受けた場合の調査の実施(同法23条)*28、(c)調査専門員の選任(同法24条)、(d)7日以内の権利者に対する通知(同法25条、情プラ法施行規則16条)、(e)投稿の削除等(法律上は送信防止措置の実施)の基準の公表とそれによらない削除等の禁止(同法26条)、(f)削除等を行った場合の発信者に対する通知(同法27条)、(g)削除等の実施状況等(いわゆる透明性レポート)の公表(同法28条)を義務付け((a)-(d)が迅速化規律、(e)-(g)が透明化規律と呼ばれる。)、③総務大臣に行政的な監督権限を付与することとされた(裏を返せば、体制整備義務ないし手続的な行為規制というアプローチを通じて、総務大臣の介入を構造的・手続的なものに限定し、個別のコンテンツの削除は裁判所のみが命令できることとする配慮が行われた。)。情プラ法施行規則8条6項は、指定役務提供者の指定要件として、「不特定の利用者間の交流を主たる目的としたもの」であることを定めており、それ自体は、誹謗中傷対策という令和6年プロ責法改正の本来の文脈に即したものであるが*29、基本的な指定要件である「情報の流通について侵害情報送信防止措置の実施手続の迅速化及び送信防止措置の実施状況の透明化を図る必要性」(情プラ法21条1項柱書)や、情プラ法施行規則8条6項の委任の趣旨である「その利用に係る特定電気通信による情報の流通によって権利の侵害が発生するおそれ」(同法21条1項3号)(当該権利には当然知的財産権も含まれる。)の観点からは、CDNをカテゴリカルに除外する理由はなく、具体的な義務規定に照らしても、指定は一定の効果があると思われる(実際、EUのデジタルサービス法の「通知と対応」メカニズムは、CDNにも当然に適用される*30。同法前文28項、29項、16条、17条参照。)。なお、この場合、大規模SNS・掲示板と大規模CDNでは、「大規模」性を測定するために適切な指標は異なると思われることには留意する必要がある。

現行の迅速化規律は、専ら権利侵害情報を対象としているが*31、現在、法令違反情報の通知についても、迅速化規律に相当する規律を設けることが検討されている*32。仮にそのような規律を設けることとなった場合、オンラインカジノのような必ずしも権利侵害を伴わない違法サイトについても、サイト全体が違法コンテンツである限り、CDNプロバイダを通じたアクセス抑止が可能になると思われる。

一方、本人確認については、第三者への萎縮効果を考慮すると、慎重に検討する必要があり*33、仮に導入する場合でも、料金やトラフィック量によって対象を合理的な範囲に限定できないかも検討する必要があろう。例えば、(サブ)ドメインを単位として、明らかに商業ベースのもののみを対象とすることでも実効性が確保できるのであれば、萎縮効果を最小限に抑えることができる可能性がある。

まとめ

本稿で行った本判決の分析を整理すると、以下のとおりである。

第1に、本判決は、①95%以上のキャッシュヒット率、②本人確認プロセスの欠如、③DMCA通知を考慮して、情プラ法2条1項による免責を認めず、かつ過失による出版権侵害の幇助を認めた。①②は適法なコンテンツにおいても同様であることからすれば、決定的なのは③である。このように「中立的な道具」の提供者の責任が主観により左右される状況は、Winny事件決定に類似する。

第2に、CDNは他人の通信を媒介する電気通信役務であると解されているが、権利侵害通知への対応を義務付けることは、通信の秘密を侵害しない。本判決が注意義務を設定する上で通信の秘密に言及していないのは、単にそれが問題とならない場面だからである。

第3に、不法行為法上の過失(注意義務)という形であれ、CDNプロバイダにサービスの提供停止を義務付けることは、コンテンツの発信者の表現の自由の制約となる。本件で表現の自由が問題とならなかったのは、情プラ法3条1項が適用される場面では、同項の要件に、既に媒介者としての役割への配慮が織り込まれているからである。

これらの分析を前提に、関連政策への示唆を整理すると、以下のとおりである。

第1に、CDNプロバイダに情プラ法第5章を適用し、迅速化規律・透明化規律を及ぼすことは、合理的な選択肢である。そのような選択肢がある限り、「滑りやすい坂道」であり、通信サービスの信頼性を毀損する可能性の高いDNSブロッキングは、憲法上正当化されない。このことは、オンラインカジノとの関係でも同様である。

第2に、本人確認については、第三者への萎縮効果を考慮して、その要否と範囲の双方について、慎重な検討が必要である。

*1:Cloudflare, What is a content delivery network (CDN)?, https://www.cloudflare.com/learning/cdn/what-is-a-cdn/

*2:本件類似の仮想事例を検討したものとして、丸橋透「プロバイダ責任制限法」ジュリスト1573号78頁(2022)。

*3:最判平成23年1月18日民集65巻1号121頁。

*4:本判決が、規範的侵害主体論をこのように簡単に排斥したことの評価は分かれうる(東京高判平成17年3月3日判時1893号126頁(罪に濡れたふたり事件)、知財高判平成24年2月14日判時2161号86頁(Chupa Chups事件)参照)。

*5:本判決は、争点2-4に関し、①フォワードプロキシによるキャッシングは著作権法47条の4第1項2号、リバースプロキシによるキャッシングは同項柱書の問題とした上で、②いずれにおいても、自動公衆送信が権利制限の対象となるのは、それが「記録に際して」行われる場合に限られるとし(松田政行編『著作権法コンメンタール 別冊 平成30年・令和2年改正解説』48頁(勁草書房、2022)〔澤田将史〕参照)、③CDNにおいては、「記録に際して」公衆送信が行われるのではないとして、同項の適用を否定した。しかしながら、仮に規範的侵害主体論が認められるのでない限り、そもそも被告の行為に出版権の権利制限規定である47条の4第1項を適用する余地はないのではないか。

*6:総務省総合通信基盤局消費者行政第二課「プロバイダ責任制限法逐条解説」(2023年3月)14頁。「技術的に可能」というと、比較衡量を許さない趣旨にも見えるが、むしろ逆である。

*7:出版権は著作物ごとに設定されるものであり、同一ドメインに他者の出版権を侵害するコンテンツが存在するとしても、そのことが原告との関係で違法となるわけではないことに留意すべきである。

*8:通信の秘密に関する基本的文献としては、以下がある。概説書として、曽我部真裕ほか『情報法概説〔第2版〕』(弘文堂、2019)の3章2節(曽我部真裕)、小向太郎『情報法入門〔第7版〕』(NTT出版、2025)の3-1節。電気通信事業法上の通信の秘密について、多賀谷一照監修・電気通信事業法研究会編著『電気通信事業法逐条解説〔再訂増補版〕』74頁以下(情報通信振興会、2024)、鎮目征樹ほか編『情報刑法Ⅰ―サイバーセキュリティ関連犯罪』(弘文堂、2022)の5章(西貝吉晃)。論文として、宍戸常寿「通信の秘密について」企業と法創造9巻3号14頁(2013)、宍戸常寿「通信の秘密に関する覚書」高橋和之先生古稀記念487頁(有斐閣、2013)、曽我部真裕「通信の秘密の憲法解釈論」Nextcom 16号14頁(2013)、曽我部真裕「通信の秘密」法学セミナー786号(2020)、神足祐太郎「通信の秘密をめぐる議論の諸相」レファレンス834号43頁(2020)。

*9:大阪地判平成16年7月7日判例時報1882号87頁。

*10:安心ネットづくり促進協議会児童ポルノ対策作業部会法的問題検討サブワーキング「法的問題検討サブワーキング報告書」(2010年3月30日公開)4頁、オンラインカジノに係るアクセス抑止の在り方に関する検討会「オンラインカジノに係るアクセス抑止の在り方に関する検討会 中間論点整理」(2025年9月)(「オンカジ中間整理」)3頁、14頁。

*11:安心ネットづくり促進協議会児童ポルノ対策作業部会法的問題検討サブワーキング・前掲注(10)4頁。

*12:CDNは、他人の通信を媒介する電気通信事業であるとされている( 総務省「電気通信事業参入マニュアル[追補版]」(2023年1月30日最終改訂)20頁)。ただし、このことが直ちにCDNプロバイダがISP類似の機能を果たしていることを意味するわけではないことについて、石田慶樹ほか「インターネットにおけるCDNの役割に関する考察」情報法制レポート2号41頁(2021)。

*13:例えば、落合早苗「「金融検閲」から生まれつつある「言葉狩り」」コピライト770号1頁(2025)。

*14:媒介者責任全般に関して、神足祐太郎「諸外国におけるインターネット媒介者の「責任」」レファレンス839号131頁(2020)、丸橋透「媒介者の責任―責任制限法制の変容」ジュリスト1554号(2021)。

*15:最決平成29年1月31日民集71巻1号63頁。

*16:比較衡量テスト自体は、逆転事件(最判平成6年2月8日民集48巻2号149頁)、長良川事件(最判平成15年3月14日民集57巻3号229頁)を通じて形成されてきたものである。

*17:最大判昭和56年4月14日民集35巻3号620頁。

*18:博多駅事件決定(最大決昭和44年11月26日刑集23巻11号1146頁)との関係を含め、曽我部真裕「「インターネット上の情報流通の基盤」としての検索サービス」論究ジュリスト25号47頁(2018)参照。タトゥー医師法違反事件(最判令和2年9月16日刑集74巻7号805頁)における草野補足意見も参照。

*19:石田ほか・前掲注(12)42頁。

*20:したがって、仮に検索事業者に(差止めではなく)損害賠償を請求した場合、情プラ法3条1項ただし書きに該当し、同項の責任制限は適用されないと考えられる。その上で、不法行為法上、検索事業者にどのような注意義務が課されるのか(例えば、民法709条の解釈として、情プラ法3条1項が適用される場合と同等の水準まで緩和された注意義務が課されるのか)は、別途問題となりうる。

*21:成原慧「検索エンジンをめぐる表現の自由と人格権―平成29年最高裁決定及び同決定以降の検索結果削除に関する裁判例の検討」情報法制研究7号50頁(2020)。

*22:最決平成23年12月19日刑集65巻9号1380頁。

*23:東京高判令和元年10月30日公刊物未登載(令元(ネ)2753 号)(オンカジ中間整理25頁注19に引用されている。)。成原慧「海賊版サイトのブロッキングをめぐる法的問題」法学教室453号45頁(2018)、曽我部真裕「2018年情報通信法制タスクフォース 著作権侵害サイトのブロッキングに対する意見表明」情報法制レポート1号118頁(2021)も参照。

*24:オンカジ中間整理。

*25:オンカジ中間整理18頁〜20頁において、iCloudプライベートリレーに言及があるが、プライベートリレーは、AppleとCloudflareを含むCDNプロバイダの連携によって構築されている。すなわち、ユーザー→Apple管理下の入口プロキシ(Ingress Proxy)→CDNプロバイダ管理下の出口プロキシ(Egress Proxy)→接続先サーバ、という順でリレーし、AppleとCDNプロバイダの間で情報を遮断することで、Appleに対しては接続先サーバが隠蔽され、CDNプロバイダに対してはユーザーが隠蔽される(言い換えれば、通常のVPNサーバを入口サーバと出口サーバに分離することで、VPNプロバイダによる検閲を不可能にしているといえる。)。名前解決には、CDNプロバイダのDNSサーバが使用される(したがって、ISPのDNSブロッキングが回避される。)。本稿執筆時点で、プライベートリレーは、iCloud+(オンラインストレージ、プライベートリレーなどからなり、月額150円からである。)に加入している全てのユーザーが利用でき、設定も極めて容易である。Apple, iCloudプライベートリレーについて, https://support.apple.com/ja-jp/102602; Cloudflare, iCloud Private Relay: information for Cloudflare customers, https://blog.cloudflare.com/icloud-private-relay/.

*26:デジタル空間における情報流通の諸課題への対処に関する検討会 デジタル広告ワーキンググループ「デジタル空間における情報流通の諸課題への対処に関する検討会 デジタル広告ワーキンググループ 中間取りまとめ」(2025年9月17日)。

*27:なお、テラスハウス事件は、第一義的には、放送事業者の「システミックリスク」ないしガバナンスの問題である。

*28:調査義務が課されるのは、「被侵害者から前条第一項の方法(注:指定役務提供者が定め、公表した方法)に従って侵害情報送信防止措置を講ずるよう申出があったとき」に限られる。通知の窓口の一本化は、実務上重要である。

*29:なお、情プラ法施行規則8条6項は、「不特定の利用者間の交流を主たる目的としたものであって前号の特定電気通信役務に専ら付随的に提供されるもの」(同項2号)を規制対象から除外している。例えば、ヤフーコメント(ヤフーニュースのコメント欄)が該当すると考えられる。

*30:Cloudflare自身の対応として、Cloudflare, All you need to know about the Digital Services Act, https://blog.cloudflare.com/digital-services-act/; Cloudflare’s 2024 Transparency Reports - now live with new data and a new format, https://blog.cloudflare.com/cloudflare-2024-transparency-reports-now-live-with-new-data-and-a-new-format/; EU Digital Services Act, https://www.cloudflare.com/ja-jp/eu-digital-services/.

*31:総務省「特定電気通信による情報の流通によって発生する権利侵害等への対処に関する法律第26条に関するガイドライン」(令和7年9月25日最終改訂)のうち法令違反情報に関する部分は、迅速化規律とは関係がない。

*32:デジタル空間における情報流通の諸課題への対処に関する検討会 デジタル空間における情報流通に係る制度ワーキンググループ「デジタル空間における情報流通の諸課題への対処に関する検討会 デジタル空間における情報流通に係る制度ワーキンググループ 中間取りまとめ」(2025年9月17日)。

*33:デジタル空間における情報流通の諸課題への対処に関する検討会 デジタル空間における情報流通に係る制度ワーキンググループ・前掲注(31)67頁〜68頁。