AI規則の概要

3月13日、欧州議会がAI規則を可決しました。同議会が採択した法案が公開されていますので（Texts adopted - Artificial Intelligence Act - Wednesday, 13 March 2024）、それに基づいて、AI規則の概要を説明します。なお、本記事では、事業者の義務に関係する箇所に絞り、かつ、例外や細目的・手続的事項をかなり省略した説明を行いますので、ご留意ください。

 

 

概要

  • 本規則の目的は、人間中心の信頼できる（human-centric and trustworthy）AIの導入を促進し、AIシステムの弊害から健康、安全、民主主義、法の支配、環境保護等のEU基本権憲章が定める基本権を保護し、イノベーションを支援することである。
  • 本規則は、①特定のAIの使用方法の禁止（Prohibited AI Practices. 2章）、②ハイリスクAIの規制（3章）、③特定のAIシステムに関する透明性義務（4章）、④汎用AIモデルの規制（5章）を定める。
  • ①特定のAIの使用方法の禁止は、許容できないリスクを有すると考えられた9種類のAIの提供、使用を具体的に列挙し、これらを禁止するものである。
  • ②ハイリスクAIの規制は、AIの使用目的に基づいてハイリスクなAIを定義し、7種類の要求事項を定め、これを担保するため、提供者（Provider）を中心に、導入者（Deployer. 欧州委員会案ではUserと命名されていた）、輸入者（Exporter）、販売者（Distributor）に各種の義務を課すものである。
  • ③特定のAIシステムに関する透明性義務は、5種類のAIについて、提供者又は導入者に、AIを使用していることが分かるようにする措置を求めるものである。
  • ④汎用AIモデルの規制は、汎用AI全般の提供者に4種類の義務を課すとともに、システミックリスクを有する汎用AIの提供者にさらに4種類の義務を課すものである。この規制は欧州議会・理事会により追加されたものであり、②が対象とするAIとはリスクの性質が異なるため（汎用AIは文字通り使用目的がない）、別枠で規制される。
  • ①の違反は前年度全世界売上高の7%、②③④の違反は前年度全世界売上高の3%の制裁金の対象となる。①②③は加盟国が、④は欧州委員会が執行する。

 

なお、欧州委員会はかねてから以下の図を使用しており、オレンジが①、パープルが②、バイオレットが③、ターコイズが規制対象外のAIを表しているが、②の規制と③の規制は相互に排他的なものではなく、それぞれの要件に該当する限り両方の規制が適用されることに留意する必要がある（④もパープルに位置付けられると思われるところ、同様に③の規制と両立する）。

pyramid showing the four levels of risk: Unacceptable risk; High-risk; limited risk, minimal or no risk

 

規制対象者の種類と適用範囲

  •  本規則の主たる規制対象者は、提供者、導入者、輸入者、販売者である（3条(3)以下）。
    • 提供者は、①AIシステム・汎用AIモデルを開発する者と、②他者に開発させたAIシステム・汎用AIモデルを自己の名称又は商標の下に提供する者である。
    • 導入者は、その管理下でAIシステムを使用する者である。
    • 輸入者は、域外に拠点を有する者の名称・商標が付されたAIシステムをEU域内の市場に置く者である。
    • 販売者は、AIシステムをEU域内の市場に置く者で、提供者・輸入者以外の者である。
  • 本規則は、以下の者に適用される（2条1項）。
    • ①EU域内に拠点を有し又は所在するか否かにかかわらず、EU域内で提供を行う提供者。
    • ②EU域内に拠点を有し又は所在する導入者。
    • ③第三国に拠点を有し又は所在する提供者又は導入者で、その提供又は導入するAIシステムが生成したアウトプットがEU域内で使用される者。
    • ④AIシステムの輸入者及び販売者

 

禁止されるAIの使用方法

本規則は、以下の9種類のAIの使用方法を禁止する（5条各号）。これらの禁止に対する違反は、加盟国による前年度全世界売上高の7%の制裁金の対象となる（99条3項）。

  • サブリミナル技法等による行動の歪曲
    • ①人の意識を超えたサブリミナル技法又は操作的若しくは欺瞞的な技法を使用し、人の意思決定を著しく損なうことにより、②その人又は集団の行動を実質的に歪曲し、③それにより、その人、他者又は集団に重大な損害を与え又はそのおそれがあるAIシステムの提供又は使用。
  • 社会的・経済的状況による脆弱性の利用による行動の歪曲
    • ①人の社会的・経済的状況による脆弱性を利用し、②その人又は集団の行動を実質的に歪曲し、③それにより、その人、他者又は集団に重大な損害を与え又はそのおそれがあるAIシステムの提供又は使用。
  • 社会的スコアリング
    • ①人の特定時点における社会的行動又は（知られた、推測された若しくは予測された）パーソナリティに基づいて、②人を社会的底あをもって評価又は格付けし、③それにより、(a)データが生成又は収集されたのとは関連しない文脈おける不利益に取扱い又は(b)正当化されない若しくは当該社会的行動に釣り合わない不利益取扱いをするAIシステムの提供又は使用。
  • 犯罪リスクの評価・予測
    • ①専らプロファイリング又は人の性格や特徴のアセスメントに基づき、②その人が犯罪行為に出るかどうかを予測するための、③リスクアセスメントを行うAIシステムの提供又は使用。
  • 無差別スクレイピングによる顔認識データベースの作成等
    • ①インターネット又は監視カメラから顔画像を無差別にスクレイピングし、②顔認識データベースを作成し又は拡張するAIシステムの提供又は使用。
  • 職場・教育機関における感情推測
    • ①職場又は教育機関において、②人の感情を推測するAIシステムの提供又は使用。ただし、③医療又は安全のための利用を除く。
  • センシティブ事項を推測して行う生体分類
    • ①生体データに基づき、②人種、政治的見解、労働組合への加入、宗教上又は哲学上の（religional or philosophycal）信念、性生活又は性的指向を推測して、③個人を分類する、④生体分類システムの提供又は使用。
    • 生体データ（Biometric data）人の物理的、心理的、行動的特徴の技術的処理により得られる個人データをいい（2条(34)）、生体分類システム（Biometric categorisation system）とは、生体データに基づいて人に一定の分類（category）を割り当てるAIシステムをいう（同条(40)）。
  • 法執行目的でのリアルタイム遠隔生体識別
    • ①公共空間における、②法執行目的での、③リアルタイム遠隔生体識別システムの使用。ただし、④(a)特定の誘拐、人身売買、性的搾取の被害者又は行方不明者の捜索、(b)一定の人の生命若しくは物理的安全に対する具体的、実質的かつ切迫した脅威又は明白かつ現在の又は明白かつ予測可能なテロの防止、(c)テロ、人身売買、児童の性的搾取・児童ポルノ、麻薬・向精神薬の違法取引、武器等の違法取引、殺人・重大な傷害、臓器等の違法取引、誘拐等の被疑者の居場所の特定又は識別のために行う場合を除く。
    • 例外に基づきリアルタイム遠隔生体識別システムを使用する際は、①利益衡量を行い、②適切な保護措置及び条件に従い、基本権影響評価を経て、EUデータベースへの登録を行い、③緊急の場合を除き司法当局又は独立行政機関が事前の許可を得、④市場監視当局及びデータ保護当局に通知した場合にのみ行うことができる（5条2項以下）。

 

ハイリスクAIの規制

ハイリスクAI該当性

AIシステムは、以下の2つの場合にハイリスクAIとみなされる（6条1項）。

  • ①当該AIシステムが別表1のEU法令に定める製品の安全コンポーネント又は当該製品それ自体であり、それらのEU法令に基づき第三者認証を受ける必要がある場合。
    • 別表1のEU法令に定める製品とは、機械、玩具、娯楽用船舶、リフト、爆発性雰囲気下で使用される設備、無線機器、圧力設備、索道設備、個人防護具、ガス製品、医療機器、体外診断用医療機器、航空、自動車、農林用車両、船舶設備、鉄道等である。 
  • ②別表3に記載された以下のAIシステムである場合。なお、欧州委員会には、この別表3を修正する権限が与えられる（7条）。
    • 生体関連技術：①遠隔生体識別システム（専らある自然人がその主張するとおりの人であることを確認するための生体検証システムを除く）、②センシティブ又は保護された属性又は特徴の推測に基づき生体分類を行うことを目的とするAIシステム、③感情認識を目的とするAIシステム
    • 重要インフラ：重要なデジタルインフラ、道路交通又は水・ガス・暖房・電気の供給・管理・運用において安全コンポーネントとして使用することを目的とするAIシステム
    • 教育・職業訓練：①教育機関・職業訓練機関へのアクセス、受入れ、割当てを決定するためのAIシステム、②学習成果を評価することを目的とするAIシステム、③教育機関・職業訓練機関において個人が受け又は受けることができる教育レベルの評価を目的とするAIシステム、④試験中の不正行為を監視・検知することを目的とするAIシステム
    • 雇用・従業者管理・自営業へのアクセス：①自然人の採用・選抜を目的とするAIシステム、②(i)雇用条件等に影響する決定、昇格、雇用契約関係の終了に関する決定、(ii)個人の行動又は個人的特性若しくは特徴に基づく業務の割当て、(iii)雇用等の関係における個人のパフォーマンスと行動の監視・評価を目的とするAIシステム
    • 重要な民間サービス・公共サービスの利用：①公的機関等による重要な公的給付・公共サービスの受給資格の評価を目的とするAIシステム、②自然人の信用力を評価することを目的とするAIシステム（詐欺を検知するためのものを除く）、③生命保険・健康保険における自然人のリスク評価・価格設定を目的とするAIシステム、④緊急通報の評価・分類を目的とするAIシステム
    • 法執行：①法執行機関等による自然人が犯罪被害者となるリスクの評価を目的とするAIシステム、②法執行機関等によるポリグラフ等としての使用を目的とするAIシステム、③法執行機関等による証拠の信用性の評価を目的とするAIシステム、④法執行機関等による再犯可能性を評価するためのAIシステム、⑤法執行機関等によるプロファイリングに使用されるAIシステム
    • 移民・亡命・国境管理：①公的機関によるポリグラフ等としての使用を目的とするAIシステム、②公的機関等による特定の自然人の入国によるリスクの評価を目的とするAIシステム、③公的機関等による亡命申請の審査を目的とするAIシステム、④公的機関等による移民、亡命、国境管理における自然人の検知・認識・識別を目的とするAIシステム（渡航文書の検証を除く）
    • 司法・民主主義過程：①司法当局等による事実・法律の調査・解釈、法律の適用を目的とするAIシステム、②選挙・住民投票の結果又は自然人の投票行動に影響を与えることを目的とするAIシステム

 

ハイリスクAIの要求事項

ハイリスクAIには、以下の7種類の要求事項が課される。

  • リスク管理体制（9条）
    • リスク管理システムの確立、実装、文書化、維持が行われなければならない。
    • リスク管理システムは、ハイリスクAIシステムのライフサイクル全体を通じて計画・実行され、定期的・体系的な評価・更新が行われなければならない。
    • 適切なリスク管理措置を特定し、使用目的に対して一貫した動作と本規則の要求事項への準拠を確保するため、ハイリスクAIシステムのテストが行われなければならない。
  • 訓練、検証、テスト用データの品質（10条）
    • 訓練、検証、テスト用のデータセットは、①設計上の選択、②収集プロセス・収集源、③前処理、④データが測定ないし表現する情報に関する仮定、⑤必要なデータの利用可能性、量、適合性、⑥バイアス、⑦データの欠落を考慮し、十分な品質のものが使用されなければならない。
    • 訓練、検証、テスト用のデータセットは、使用目的との関係で、関連性があり、十分に代表的であり、可能な限り誤りがなく、完全なものでなければならない。
  • 技術文書（11条）
    • サービス提供前に技術文書が作成され、最新に保たれなければならない。
    • 技術文書は、ハイリスクAIシステムが本規則の要求事項に準拠していることを証明し、準拠状況を評価するために必要な情報を明確かつ包括的に記載するものでなければならない。
  • ロギング（12条）
    • ハイリスクAIシステムは、運用期間中、自動的にイベントを記録（ロギング）するものでなければならない。
    • ログは、①AIシステムが人々の健康、安全、基本的権利に対するリスク等を生じさせるおそれのある状況、②市販後モニタリングの促進、③導入者による監視活動に関連するイベントを含むものでなければならない。
  • 導入者に対する透明性・情報提供（13条）
    • ハイリスクAIシステムは、十分な透明性を備え、導入者がそのアウトプットを解釈し、適切に使用できるものでなければならない。
    • 適切なデジタル形式の、アクセス可能で、理解しやすく、完結で、完全で、正確で、明確な情報を含む使用説明書を添付しなければならない。
    • 使用説明書には、①提供者（及び代理人）の連絡先、②使用目的、③正確性、堅牢性、サイバーセキュリティのレベル、④想定される誤った使用方法、⑤「人間による監視」措置（導入によるAIシステムのアウトプットの解釈を容易にするために取った措置を含む）、⑥必要な計算・ハードウェア資源、ハイリスクAIシステムの予想寿命、必要なメンテナンス（アップデート等）の方法等を記載しなければならない。
  • 人間による監視（14条）
    • ハイリスクAIシステムは、人間が実効的な監視ができるよう、適切なヒューマンインターフェースを持たなければならない。
    • 人間による監視は、使用目的に従って又は予想される誤った使用方法で使用された場合に生じうるリスクを防止又は最小化することを目的とし、提供者によってハイリスクAIに組み込まれる対策と、ユーザーが実施する対策の適切な組み合わせによってなされなければならない。
  • 正確性、堅牢性、サイバーセキュリティ（15条）
    • ハイリスクAIシステムは、適切なレベルの正確性、堅牢性、サイバーセキュリティを備えなければならない。
    • これには、以下の事項が含まれる。①人間や他のシステムとの相互作用の結果生じる可能性のあるエラー等からの回復力、②バックアップ、フェイルセーフ計画等の冗長性確保、③フィードバックループの排除（サービス提供開始後も学習を続けるAIシステムの場合）、④脆弱性を利用した攻撃（データポイズニング、モデルポイズニング、敵対的サンプル等）に対する回復力。

 

ハイリスクAIに関係する事業者の義務

ハイリスクAIに関係する事業者には、主として以下の義務が課される。これらの義務に対する違反は、加盟国による前年度全世界売上高の3%の制裁金の対象となる（99条4項）。

  • 提供者（16条～22条）
    • ハイリスクAIシステムが要求事項に準拠していることの保証
    • 品質管理システムの導入
    • 技術文書、品質管理システム、EU適合宣言等に関する文書の保管
    • 生成されたログの保管
    • サービス提供後の是正措置
    • 監督当局への協力
    • EU代理人の選任（EU域外に拠点を有する提供者の場合）
    • 内部統制又は第三者認証による適合性評価を行うこと（43条）
    • EU適合宣言書の作成・保管（48条）
    • CEマーキングを行うこと（49条）
    • ハイリスクAIデータベースへの登録（別表3のハイリスクAIシステムのみ）（51条）
    • 市販後モニタリングシステムの確立、文書化（72条）
    • 重大インシデントの報告（73条）
  • 輸入者（23条）
    • ハイリスクAIシステムが要求事項に準拠していることの保証
    • ハイリスクAIシステムが自らの管理下で要求事項に準拠しなくなることがないようにすること
    • 使用説明書等の保管
    • CEマークが付いていること、EU適合宣言書、使用説明書等が添付されていることの確認
    • 監督当局への協力
  • 販売者（24条）
    • CEマークが付いていること、EU適合宣言書、使用説明書等が添付されていることの確認
    • ハイリスクAIシステムが自らの管理下で要求事項に準拠しなくなることがないようにすること
    • サービス提供後の是正措置
    • 監督当局への協力
  • 導入者（26条）
    • 使用説明書に沿ってハイリスクAIシステムを使用するよう技術的・組織的措置を取ること
    • 必要な能力、訓練、権限、サポートを備えた者に「人間による監視」を行わせること
    • インプットデータが使用目的に関連し、十分に代表的なものであることを確保すること
    • 使用説明書に基づいてハイリスクAIシステムの動作を監視し、必要に応じて提供者に情報提供を行うこと
    • 生成されたログの保管
    • 基本権影響評価の実施（禁止規定の例外に基づき法執行目的でのリアルタイム遠隔生体識別を行う場合）（27条）

 

特定のAIシステムに関する透明性義務

透明性義務が課されるAIシステムの種類、義務者、義務の内容は以下のとおりである（50条）。これらの義務に対する違反は、加盟国による前年度全世界売上高の3%の制裁金の対象となる（99条4項）。

  • 自然人と直接対話することを目的とするAIシステムの提供者は、AIシステムと対話していることが分かるようにすること。
  • 音声、画像、ビデオ、テキストを生成・操作する汎用AIシステムを含むAIシステムの提供者は、AIシステムのアウトプットに機械可読なマーキングを行い、人工的に生成・操作されたものであることを検知できるようにすること。
  • 感情認識システム、生体識別分類システムの導入者は、システムが動作していることを自然人に通知し、GDPR等に従って個人データを処理すること
  • ディープフェイクを構成する画像、音声、ビデオを生成・操作するAIシステムの導入者は、コンテンツが人為的に生成・操作されたものであることを開示すること。
  • 公共の利益に関する事項を公衆に知らせることを目的として公開されるテキストを生成・操作するAIシステムの導入者は、テキストが人為的に生成・操作されたものであることを開示すること（ただし、生成されたコンテンツが人間によるレビュー等を受けている場合を除く）。

 

汎用AIモデルの規制

システミックリスクを有する汎用AIモデル該当性

汎用AIモデルは、以下の場合にシステミックリスクを有する汎用AIモデルとみなされる（51条1項）。

  • 適切な技術的ツールや方法に基づき、記録された最も先進的な（the most advanced）汎用AIモデルと同等又はこれを超える能力（高影響能力、high-impact capabilities。3条(65)）を持つと評価される場合（この場合、当然に規制を受ける）。
  • 欧州委員会が職権により、又は科学パネルの警告に従って、AIモデルが上記と同等の能力を持つと決定した場合。

なお、訓練に10の25乗（10Y＝10ヨタ）FLOPS以上の計算能力が使用された汎用AIモデルは、高影響能力を持つと推定される（51条2項）。

 

汎用AIモデルの提供者の義務

汎用AIモデルの提供者には、以下の義務が課される。これらの義務に対する違反は、欧州委員会による前年度全世界売上高の3%の制裁金の対象となる（101条1項）。

  • 全ての汎用AIモデルの提供者の義務（53条）
    • 訓練、テストのプロセスを含むモデルの技術文書を作成し、最新の状態に保つこと
    • 汎用AIモデルをAIシステムに組み込もうとする提供者向けの情報・文書を作成し、最新の状態に保つこと
    • EU著作権法を尊重するポリシーを導入すること
    • 訓練に使用するコンテンツの概要の作成、公開
    • EU代理人の選任（第三国に拠点を有する提供者の場合）（54条）
  • システミックリスクを有する汎用AIモデルの提供者の義務（55条）
    • システミックリスクの特定・軽減のためのモデル評価の実施
    • システミックリスクの特定・軽減
    • 重大インシデントとそれに対する対処に関する情報を収集し、文書化し、AI室等に報告すること
    • システミックリスクを有する汎用AIモデルとその物理的インフラについて適切な水準のサイバーセキュリティを確保すること

 

WP29・EDPBの意見書・ガイドライン（まとめ）

GDPRの解釈にあたって参考となる、WP29（EDPBの前身）、EDPB、欧州委員会の意見書、ガイドライン、Webページのまとめです。

基本的にGDPRの体系に沿って配列していますが、より関連性の強いと思われる箇所がある場合にはそちらに配列しています。

 

総則

 

基本原則

 

処理の法的根拠

 

個人の権利

 

コントローラー・プロセッサー

 

越境移転

 

監督当局、救済・責任・罰則

十徳ナイフを携帯する行為を無罪とした判決について

十徳ナイフを携帯する行為を無罪とした判決が出たとのことで、思うところがあったので書くことにします。

 

1

報道によれば以下のとおりです。

十徳ナイフを車内に置いていたとして、軽犯罪法違反の罪に問われた３０代男性を無罪とした新潟簡裁の差し戻し審の判決が１５日、確定した。控訴期限の１４日までに新潟区検が控訴しなかった。

　男性は簡裁での一審の有罪判決を受けて控訴し、東京高裁が原判決を破棄し、簡裁に差し戻した。２月２８日の差し戻し審の判決は、男性の主張通り、十徳ナイフの携帯は災害用で「社会通念上相当と認められる」としていた。

（十徳ナイフ携帯の男性、無罪が確定 新潟区検控訴せず | 新潟日報デジタルプラス）

ちなみに新潟簡裁の判決を東京高裁が破棄しているのは、刑事控訴審は常に高裁が扱うためです（裁判所法16条1号）。

 

2

軽犯罪法1条2号は、以下のとおり規定しています。

左の各号の一に該当する者は、これを拘留又は科料に処する。

二　正当な理由がなくて刃物、鉄棒その他人の生命を害し、又は人の身体に重大な害を加えるのに使用されるような器具を隠して携帯していた者

近時、警察は十徳ナイフをバッグ等に入れて持ち歩く行為を同法を用いて摘発しています。以下は警視庁のページの記載です。

Aくん：護身用としてカッターナイフを持って行こうかな。いざとなったとき役に立つかなあ。まっ、パッケージを開けるのにもカッターナイフは役に立つし、いろいろ使えるよね。使えるって言えば、このツールナイフも、アクセサリーとしてもオシャレだし、いろんなツールがあって楽しいよ！
Bくん：ちょっとちょっと、Aくん、それ、やばいよ。カッターナイフもツールナイフも持っていたら、取締りの対象になることがあるんだぜ。

Aくん：えーそうなの？でもツールナイフは買ったとき、お店の人が「刃体の長さが短いやつだから、銃刀法違反にはならないよ」って言ってたんだけど。

Bくん：銃刀法に該当しなくても、軽犯罪法という法律があって、場合によっては取締りの対象になるんだよ。とにかくそんなものは絶対持ち歩かないことだよ。

（刃物の話 警視庁）

 

3

実は修習中に同種事案について検討したことがあるのですが、刃物の性状、所持の態様、所持の経緯等の事情を見てもおよそ危険性が認められず、普通に出歩いていたところたまたま警察の職質キャンペーンに引っかかってしまったような事案だったので、この種の事案に刑事罰を使う必要があるのかと決裁権者に尋ねたところ、「人々が十徳ナイフを持ってそのへんをうろついているような社会は危険だ」という、答えになっているかよく分からない答えが返ってきたことがありました（ちなみにその前には、主任検事に取調べを終えたい旨伝えたところ、反省が見られないからもっと調べるべきだと言われ、客観的事情だけで処分を決めるに十分であり、反省の有無が処分を左右することはないと思うが、どういう意味で反省を求める必要があるのかと尋ねたところ、やはり答えになっているかよく分からない答えが返ってきたため、やむを得ず第2回の取調べを行ったことがありました）。

最高裁もこの点に無頓着なわけではなく、2009年の判決において、以下のように述べて、被告人を無罪としています。

本号にいう「正当な理由」があるというのは，本号所定の器具を隠匿携帯することが，職務上又は日常生活上の必要性から，社会通念上，相当と認められる場合をいい，これに該当するか否かは，当該器具の用途や形状・性能，隠匿携帯した者の職業や日常生活との関係，隠匿携帯の日時・場所，態様及び周囲の状況等の客観的要素と，隠匿携帯の動機，目的，認識等の主観的要素とを総合的に勘案して判断すべきものと解されるところ，本件のように，職務上の必要（注：経理を担当し有価証券や現金を運搬していた）から，専門メーカーによって護身用に製造された比較的小型の催涙スプレー１本を入手した被告人が，健康上の理由で行う深夜路上でのサイクリングに際し，専ら防御用としてズボンのポケット内に入れて隠匿携帯したなどの事実関係の下では，同隠匿携帯は，社会通念上，相当な行為であり，上記「正当な理由」によるものであったというべきであるから，本号の罪は成立しないと解するのが相当である。

この基準は、催涙スプレーのような加害以外の用途がない物品を、実際に加害意思をもって携帯していた事案の判断基準としては適切だと思いますが、加害以外の用途がある物品（いわばデュアルユース品）を、加害意思なく携帯していた事案では、別段の考慮が必要であるように思います。すなわち、そのような物品は、物品の客観的性質のみからは国民の自由を奪うことを正当化するだけの危険性が認められず、加害意思をもって携帯する場合に初めてそのような危険性が認められると考えるべきではないかと思います。そして、「凶器」要件は加害に使うことが想定できさえすれば（≒他の用途を考慮することなく）充足されることからすると、そのことは「正当な理由なく」要件で考慮するほかなく、そのような意思が立証されて初めて「正当な理由がない」と評価すべきではないかと思います（そのように解することで初めて軽犯罪法1条2号は憲法13条1項に適合するのではないかと思います。刑法上の凶器準備集合罪も、用法上の凶器を含むと解されていますが、明文で加害目的を要求していることが、過剰規制に対する一つの歯止めとなっていると考えられます）。

なお、以上は個人的な見解です。専ら加害目的の物品とデュアルユース品の区別は、2017年の広島高裁判決に表れていますが、同判決も、加害意思の立証を要求することまではしていませんし、今回の東京高裁・差戻し後の新潟簡裁はもそうなのではないかと思います。

 

4

ところで、軽犯罪法の規定は、もちろん、予防的な介入を授権することにより治安維持を促進する効果ももちろんあると思いますが、その運用が適切にコントロールされなければ、国民の自由を不当に制約するだけでなく、警察を大して治安維持効果を持たない―しばしばなされる言い方によれば「点数稼ぎ」のための―行動に誤って誘導してしまい、警察という税金によって運用される組織・活動のアウトプットが最大化されない事態を招いてしまうように思います。このようなコントロールは第一次的には立法・予算・行政機関監督の権限と政策決定の能力を有する国会の役割ですが、裁判所も法令の解釈・適用の範囲内で配慮してよいのではないかと思います。

Tech Lawアップデート（2024年1月1日～3月8日）

2024年1月1日～3月8日のテクノロジー関係の政府の動きをまとめます。筆者コメントは（区別した方が分かりやすい場合には）青字としています。

 

 

サマリー

今回のトピックは、概ね、①個情委・総務省による情報漏洩に関する行政上の措置、②個人情報保護法3年ごと見直し、③213回通常国会提出法案、④AI関係に分けられます。

①個情委・総務省による情報漏洩に関する行政上の措置は、(a)ビジネスプランニングほかに対する指導、(b)NTTマーケティングアクトProCX・NTTビジネスソリューションズに対する指導、(c)NTTドコモ・NTTドコモネクシアに対する勧告・指導、(d)長野県教育委員会に対する指導、(e)四谷大塚に対する指導（以上個情委）、(f)NTT西日本に対する指導、(g)LINEヤフー株式会社に対する指導（以上総務省）が含まれます。

このうち(b), (c), (e), (f)は内部不正に関するものです。これらは実際に漏洩等が生じたために当局による調査の対象となり、その結果様々な不備が指摘されたものですが、依然として産業界全体として内部不正を防止しうる体制の整備が不十分であることが窺われます。

(b), (f)では、コールセンター業務の再委託（ProCXが委託先、BSが再委託先。委託元はNTT西日本ほか多数）が行われていたところ、NTT西日本、ProCXにおいてそれぞれ委託先の監督の不十分が指摘されています。これについても、産業界全体として不十分であることが窺われます（しばしばGDPRが求めるProcessor/sub-processorの管理の水準が高すぎるという不満を耳にしますが、日本法も実はそれほど緩い訳ではないのだと思われます）。

(g)はLINEは認証基盤を含むシステム・ネットワークを委託先であるNAVER Cloudに強く依存していたところ、マルウェアを利用した攻撃によりNAVER CloudのActive Directoryサーバの管理者権限が奪取され、LINEの通信情報が流出等したものです。(f)では（指定電気通信役務に関する）利用者情報が漏洩したのに対し、(g)では通信の秘密の漏洩が認定されています。

(c)ではドコモがぷららを吸収合併した際に基準不適合リスクが判明し、追加的運用ルールを策定したが不徹底であったこと、(g)ではLINEがNAVERの資本的支配を受けており、かつ、システム上もLINEがNAVER Cloudのインフラに強く依存しており、監督が機能していなかったことが問題とされています。現在のM&A実務でも、個人情報保護法はほとんどケースの事案で調査対象となっており、内部統制・監査実務でも同様だと思われますが、具体的な安全管理措置まではチェックできていない（せいぜい内部規程をチェックし、インタビューでインシデントが発生していないことを確認するにとどまる）のが現状だと思われます。

(d)はサポート詐欺に関するもので、高校教師が誘導に乗せられマルウェアをインストールしたために漏洩のおそれが生じたものです。サポート詐欺は近時流行しており、昨年後半にサイバー警察局、IPAが注意喚起を行っています。

(a)はオプトアウト届出事業者の一斉調査後の個別調査に基づくもので、不適正利用・確認記録義務違反が認定されています。

②個人情報保護法3年ごと見直しでは、(a)個人の権利利益のより実質的な保護の在り方（個人情報等の適正な取扱いに関する規律の在り方、第三者提供規制の在り方、こどもの個人情報等に関する規律の在り方、個人の権利救済手段の在り方）、(b)実効性のある監視・監督の在り方（課徴金、勧告・命令等の行政上の監視・監督手段の在り方、刑事罰の在り方、漏えい等報告・本人通知の在り方）、(c)データ利活用に向けた取組に対する支援等の在り方（本人同意を要しない公益に資するデータ利活用等の在り方、民間における自主的な取組の促進）が検討課題とされています。いずれも適切な方向性が示されているのではないかと思います（なお、通則編ガイドラインとQAは不十分かつ時代遅れなので、そろそろ抜本的に見直す必要があるのではないかと思います）。

③213回通常国会提出法案としては、(a)地方自治法（サイバーセキュリティ方針策定義務等）、(b)プロ責法改正法、(c)NTT法改正法、(d)放送法改正法、(e)経済安保推進法改正法（港湾を追加）、(f)重要経済安保情報保護・活用法案があります。(b)は誹謗中傷等の投稿の削除に関するものです（令和元年改正で発信者情報開示関係の改正がされましたが、削除は引き続き検討することとされていました）。(f)はセキュリティクリアランス法案として議論されてきたものですが、特定秘密保護法に近い構成になっています。

④AI関係では、経産省・総務省のAI事業者ガイドライン案が公表される一方、自民党でAI規制法が検討されています。ガイドラインは広くAIを開発・利用・利用する事業者を対象とするソフトロー（ただし業法に基づく行政上の措置等において参考とされることは考えられます）である一方、AI規制法は、基盤モデル等の開発者を対象とし、政府の関与と制裁による裏付けの下に確実なエンフォースメントを図るものだと思われます。

 

個人情報保護委員会

 

総務省

  • 総務省｜報道資料｜西日本電信電話株式会社に対する行政指導 （2/9）

    • 「貴社（注：NTT西日本）は、貴社のテレマーケティング業務を株式会社NTTマーケティングアクトProCX（以下「ProCX社」という。）※１に委託していたところ※２、同社が当該委託業務を実施するに当たり利用していたコールセンタシステムを提供するNTTビジネスソリューションズ株式会社（以下「BS社」という。）※１の運用保守業務従事者が、システム管理者アカウントを悪用して貴社の顧客データが保管されているサーバへアクセスする手口で、2014年から約８年にわたって、当該顧客データを不正に持ち出し第三者へ漏えいさせていた。ProCX社は、2022年に貴社以外の委託元の一つから個人データの漏えいに関する調査依頼を受け、調査を実施したが、個人データの第三者への漏えいに関する事実を把握することができず、これを是正できなかった。その後、当該委託元からの捜査依頼を受けた警察により、BS社に対して捜査が実施されたことを発端として、顧客データの不正な持ち出しが発覚した。漏えいした顧客データは、貴社からProCX社に交付された顧客データのうち約120万件であり、指定電気通信役務（電気通信事業法（昭和59年法律第86号。以下「事業法」という。）第20条に規定する指定電気通信役務をいう。）に係る顧客データ（氏名／住所／電話番号等）であった。」。
    • 委託先監督の不十分を認め、電気通信事業法1条、NTT法1条～3条の「趣旨に鑑み、適切ではない」として指導。通秘漏洩事案ではないため業務改善命令の要件に該当しなかったものと思われる。
    • NTT西は個情委の勧告等の対象とはされていない。なお、個人情報保護法に基づく指導・助言及び勧告・命令は総務省に委任されていない（個情法150条1項）。

  • 総務省｜報道資料｜LINEヤフー株式会社に対する通信の秘密の保護及びサイバーセキュリティの確保に係る措置（指導）（3/5）

    • 「貴社（注：LINEヤフー株式会社）のITインフラの運用に係る業務委託先であるNAVER Cloud社及び貴社が、それぞれセキュリティに係るメンテナンス業務を委託していた会社（以下単に「業務委託先会社」という。）においてマルウェア感染が生じたことを契機として、NAVER Cloud社のAD（注：Active Directory）サーバがマルウェアに感染し、同社の管理者権限が奪取されるとともに、同社のADサーバに保存されていた貴社のADサーバへのアクセスに係る認証情報等が悪用され、NAVER Cloud社とネットワーク接続のあった貴社の旧LINE株式会社（以下「旧LINE社」という。）環境内の各種サーバやシステムに対して不正アクセスが行われ、これにより、旧LINE社環境内に保存されていた、貴社の提供する「LINE」サービスに係る利用者の通信情報が外部に流出等したとのことである。これは、電気通信事業法（昭和59年法律第86号）第４条第１項に規定する通信の秘密の漏えいであると認められる。」
    • 原因として①システムやネットワーク構成等に係るNAVER社側への強い依存（認証基盤共通化等）、②不十分な技術的安全管理措置、③業務委託先の不適切な管理監督、④セキュリティガバナンスの不備（「これまでの旧LINE社における社内ネットワークやシステム構築がNAVER社側による技術的支援を大きく受けて複雑に形成され、現在でも、その保守運用等をNAVER社側に頼らざるを得ないという関係が存在している」、「貴社からみるとNAVER社側は委託先として委託元である貴社から管理監督を受ける立場であるにもかかわらず、現在でも、貴社の親会社であるAホールディングス社資本の半数をNAVERグループが保持しているなど、貴社とNAVER社側との間には資本的な支配を相当程度受ける関係が存在している」）を認定。

  • 総務省｜国会提出法案

    • 地方自治法の一部を改正する法律案
      • 第2編第10章（公の施設）の後ろに第11章（情報システム）を追加。情報システムの利用に係る基本原則、サイバーセキュリティを確保するための方針等（議会の長・執行機関が定める。総務大臣が指針を示す）を規定。
        • 自治体が自主的にサイバーセキュリティを確保することは期待できないが、総務大臣が指針を示すことは助言（法的根拠が必要である）に当たり、そのまま内部規程化されると思われる指針を示すことが技術的助言（地方自治法上授権されている）にとどまるかは疑義がある、あるいは是正を求めるための法的根拠が必要と考えたのかもしれない。
    • 特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律の一部を改正する法律案
      • プロ責法を改正し、大規模プラットフォーム事業者に対応の迅速化（削除申出窓口・手続の整備・公表、削除申出への対応体制の整備、削除申出に対する判断・通知）、運用状況の透明化（削除基準の策定・公表、削除した場合の発信者への通知）を定め、法律名を「特定電気通信による情報の流通によって発生する権利侵害等への対処に関する法律」（「情プラ法」）に改める。
      • プラットフォームサービスに関する研究会 第三次とりまとめの第1部を法案化したもの。第2部はデジタル空間における情報流通の健全性確保の在り方に関する検討会において検討中。
      • 策定・公表した基準に従わない削除（送信防止措置）を原則として禁止していること（改正後法26条1項）が注目される。導入される規律はEUのDSAの違法コンテンツに関するを参考にしたものと思われるが、プラットフォームとは全く関係ない法律名（実際引き続き開示請求の対象となるISPは「情報プラットフォーム」ではないだろう）の通称を「情プラ法」とするのはどうなのかと思わなくもない。
    • 日本電信電話株式会社等に関する法律の一部を改正する法律案
      • ①NTTのの研究推進・研究成果普及責務を廃止し、②外国役員規制を緩和し、③役員選解任決議を認可制から事後届出制に緩和し、③剰余金処分決議の認可制を廃止し、⑤NTT持株・東西が会社法の定めるところにより商号変更できるようにするもの。
      • 情報通信審議会｜通信政策特別委員会の検討事項のうち、大きな対立が生じなかった部分を法案化したもの。
    • 放送法の一部を改正する法律案
      • ①NHKの同時配信、見逃し配信、番組関連情報の配信を必須業務化し、②これらに関する業務規程の策定、公表、実施状況の評価等を義務付け、③NHKが必須業務として行う放送番組等の配信の受信を開始した者を契約締結義務の対象とする等の改正を行うもの。

 

NISC

なし

 

内閣官房・内閣府（経済安全保障関係）

 

公正取引委員会（デジタル市場競争本部を含む）

なし

 

金融庁

なし

 

警察庁（サイバー犯罪、マネロン関係）

なし

 

法務省

なし

 

経済産業省

  • AI事業者ガイドライン案（METI/経済産業省）（1/19）

    • 総則的事項（基本理念、原則、共通の指針、高度なAIシステムに関する事業者に共通の指針、AIガバナンスの構築）を示した上で、AI開発者、提供者、利用者に関する事項を示している。概要資料から見るのがよいと思う。
    • 「高度なAIシステム」は、最先端の基盤モデル及び生成AIシステムを含む、最も高度なAIシステムを指すものとされている。正直なところ、何を言っているのか分からないが、EUにおける議論を参考にすると、概ね、①ハイリスクなAIの利用（金融、医療、教育、運輸、課税・公的給付、法執行といった分野における、生命・健康・財産を侵害したり、行動を萎縮させたり、不当な差別や統計的差別を生じさせたりするリスクのある利用）と、②様々なサービスに組み込んで使用されている基盤モデルの2つを指すのではないかと思われる。
    • 本編と別添が分けられているのは「本編はどんな社会を目指すのかという基本理念やどんな取り組みをするのかという指針のみとし、具体的にどのように取り組むのかという実践方法は別添の付属資料に記載した」とのこと（総務省と経産省が「一心同体で」作成した、AI事業者ガイドライン案3つのポイント（2ページ目） | 日経クロステック（xTECH））。正直なところ、別添と概要資料だけでよいのではないかと思う。

 

内閣府（科学技術関係（AI戦略を含む））

なし

 

厚生労働省（健康・医療戦略推進本部を含む）

なし

 

防衛省・防衛装備庁

なし

 

自由民主党

  • 自民党AIの進化と実装に関するプロジェクトチーム｜衆議院議員 塩崎彰久（あきひさ）

    • 「責任あるAI推進基本法（仮）」が検討されている。特定AI基盤モデル開発者を指定し、体制整備義務（①ハイリスク領域における安全性テスト、②リスク情報の共有、③サイバーセキュリティ投資、④第三者による脆弱性の検出・報告の促進、⑤生成AI利用の透明化、⑥AIの能力・限界の公表、⑦社会的リスクの研究）を課し、履行状況の報告義務を課し、政府は評価・その結果の公表、是正措置、報告徴求・立入検査、課徴金・罰則賦課を行うとするもの。
    • 上記素案は殿村桂司弁護士（NOT。塩崎議員はNOT出身）、岡田淳弁護士（MHM）、生貝直人一橋大学教授、丸田颯人弁護士（NOTアソ）、小谷野雅晴弁護士（神楽坂総合法律事務所、塩崎議員政策スタッフ）の名義。生貝教授はAI事業者ガイドライン検討会（総務省・経産省）委員、各弁護士同WG委員と兼任。
    • AI事業者ガイドラインの「高度なAIシステム」の箇所と重複するのではないかと思われるところであるが、素案は開発者のみを対象とし（ハイリスクなユースケースにおいては提供者・利用者にも一定の責務が課されると思われるが、このような場面ではAI事業者ガイドラインのみが適用されることになる）、政府の関与と制裁による裏付けの下に確実なエンフォースメントを図ることに主眼があるのではないかと思う。

那須翔「電子計算機使用詐欺罪における「虚偽の情報」の解釈・適用」の紹介

司法修習中に原案を書いた論文「電子計算機使用詐欺罪における『虚偽の情報』の解釈・適用」が、早稲田大学法科大学院のローレビューであるLaw and Practiceの第17号に掲載されましたので、紹介させていただきます。

 

電算機詐欺罪は、昭和62年（インターネットすらほぼない時代です）の刑法改正により新設され、近時、様々なサービスのオンライン化に伴って（組織犯罪対策や公安警察の動きなどにも影響されつつ）適用範囲が拡大されています。

このような傾向に対して、刑法学者からは懸念が示されており、最高裁調査官（本罪に関する最高裁判例はわずかに1件です）や法務省刑事局関係者おいても一定の問題意識は共有されているものの、何らかの理論が合意されるには至っていません。

本論文では、このような状況にあって、詐欺罪に関する判例法理（重要事項性）を応用するという、既に提案されたアプローチに依拠しつつも、詐欺罪が対象とする対人取引と電算機詐欺罪が対象とする自動取引の構造の違い（端的に言えば、詐欺罪における虚偽告知は人の意思決定を歪めるものである一方、電算詐欺罪における虚偽入力はシステム設計時になされた意思決定の実現過程に介入するものだということです。電算機詐欺罪はしばしば詐欺罪の補充類型と呼ばれますが、体系的には交付罪ではなく盗取罪に属します）に着目し、電算機詐欺罪に固有の限界づけを試みており、また、その帰結として、誤振込みに関する2023年の山口地裁判決（控訴審係属中で来月公判のようです）と暗号資産NEMに関する2022年の東京高裁判決（最高裁係属中）を批判しています。

 

問題意識は「I はじめに」に書いてありますので、以下に引用します。

　電子計算機使用詐欺罪（以下「電算機詐欺罪」という）は、1987年、窃盗罪と詐欺罪の処罰の間隙を埋めるべく新設された。当時、銀行のオンラインシステムに架空の振込みを入力して自己の口座残高を増やす行為、他人のキャッシュカードをATMに挿入して自己の口座に振込みをする行為、偽造したプリペイドカードを利用してサービスの提供を受ける行為などが想定されていた。その後、最高裁は、盗品であるクレジットカードをオンラインで使用して電子マネーを購入した行為に本罪を適用した。決定文は簡潔であったが、調査官解説が「虚偽の情報」を規範的に判断すべきことを示した。その後の下級審は、調査官解説が示した手法を応用し、様々な行為に本罪の成立を認めてきた。このような傾向に対し、学説からは、処罰拡大への懸念が示されてきた。

　このような中で、近時、電算機詐欺罪に関する2つの裁判例が現れた。一つは、サイバー攻撃により暗号資産NEMに係る秘密鍵を入手し、それを利用して当該NEMを外部に移転した行為に本罪の成立を認めた判決である（以下「令和4年東京高判」という）。もう一つは、いわゆる誤振込に係る預金を（決済代行サービスを通じて）オンラインカジノで費消した行為に本罪の成立を認めた判決である（以下「令和5年山口地判」という）。しかし、私見によれば、両判決は、少なくとも理由付けにおいて不当である。

　本稿では、電算機詐欺罪の「虚偽の情報」要件について、立案担当者見解と判例を分析した上で（Ⅱ）、詐欺罪に関する議論を参照しつつ、対人取引（人が介在する取引）と自動取引（そうでない取引）の異同も意識した限定付けを提案し（Ⅲ）、その上で、令和5年山口地判及び令和4年東京高判を含む、これまで問題とされてきた事例について検討する（Ⅳ）。これらの検討の概要は、Ⅴに示す。

 

【最高裁】「宮本から君へ」助成金不交付決定の取消判決について

昨日付の映画「宮本から君へ」に対する助成金不交付決定を取り消した判決について書いていきます。

本ノートはディスカッションを目的としており、かなり簡略な表現によっています（画面分割して横に判決文を開いた上でお読みいただくのがよいと思います）。

https://www.asahi.com/articles/ASRCJ62RYRCHUTIL02R.html

https://www.courts.go.jp/app/hanrei_jp/detail2?id=92502


1

  • 裁判体は第2小法廷（尾島、三浦、草野、岡村の各裁判官。戸倉長官は関与しません）で、全員一致です。補足意見もありません。

  • 事実関係は判決文のとおりです。

  • 本判決の実質的判断部分は、以下からなっています。

    • 裁量の有無・内容に関する部分（4の(1)）、

    • 裁量の行使として公益を考慮できるか・その重み付けに関する部分（4の(2)）、

    • 理事長（行政庁としての）が公益を重み付けを誤った（過大評価した）ことを示す部分（4の(3)）、

    • 裁量の逸脱・濫用したものであり違法であるとの結論を示す部分（4の(4)）

  • 以下、主に「2」で判決のテキストについて書いた上で、「3」で少しだけ判決全体について書くことにします。

2

a

  • 裁量の有無・内容に関する部分（4の(1)）の結論は以下です。

    • 本件助成金の「交付に係る判断は、理事長の裁量に委ねられており、裁量権の範囲を逸脱し又はこれを濫用した場合に違法となる」。

  • その理由として以下が挙げられています。

    • ①「振興会法や補助金等適正化法に具体的な交付の要件等を定める規定がないこと」

    • ②「芸術の創造又は普及を図るための活動に対する援助等により芸術その他の文化の向上に寄与するという本件助成金の趣旨ないし被上告人の目的（振興会法３条）を達成するために限られた財源によって賄われる給付であること」

    • ③「上記の趣旨ないし目的を達成するためにどのような活動を助成の対象とすべきかを適切に判断するには芸術等の実情に通じている必要があること」

  • コメント

    • 判決は、法律の文言と処分の性質（専門的・政策的判断）を踏まえて裁量を導いており、オーソドックスな判断だと思いました。

    • 判決は、裁量の範囲について特に述べていません。理由②③を合わせて読むと一定の内容は読み取れるように思いますが、いずれにしても、重み付けの審査を行う場合、端的に特定の重み付けが趣旨に照らして合理的か（不合理でないか）を検討すれば十分であり、かつ、そのほうが裁量全般ではなく特定の事情の特定の評価を問題にできるといった意味で精緻であるため、裁量の範囲のような中間項を設ける必要性は小さいのかもしれません。

      • 【追記】言い換えれば、裁量全般の広狭を問題にする考え方は、単純な社会観念審査の時代のものであり、最高裁が社会観念審査を判断過程審査に具体化した現在では、個々の重み付けの合理性の問題に解消してしまってよいのかもしれません。

b

  • 裁量の行使として公益を考慮できるか・その重み付けに関する部分（4の(2)）の結論は以下です。

    • ①「芸術的な観点からは助成の対象とすることが相当といえる活動についても、本件助成金を交付すると一般的な公益が害されると認められるときは、そのことを、交付に係る判断において、消極的な事情として考慮することができる」が、

    • ②「本件助成金の交付に係る判断において、これを交付するとその対象とする活動に係る表現行為の内容に照らして一般的な公益が害されるということを消極的な考慮事情として重視し得るのは、当該公益が重要なものであり、かつ、当該公益が害される具体的な危険がある場合に限られる」

  • その理由として以下が挙げられています。

    • 上記①（公益を考慮できるか）に関して

      • 「被上告人は、公共の利益の増進を推進することを目的とする独立行政法人であり…、理事長は、本件助成金が法令及び予算で定めるところに従って公正かつ効率的に使用されるように努めなければならないこと」

    • 上記②（重み付け）に関して

      • 「本件助成金は、公演、展示等の表現行為に係る活動を対象とするものであるところ…、芸術的な観点からは助成の対象とすることが相当といえる活動につき、本件助成金を交付すると当該活動に係る表現行為の内容に照らして一般的な公益が害されることを理由とする交付の拒否が広く行われるとすれば、公益がそもそも抽象的な概念であって助成対象活動の選別の基準が不明確にならざるを得ないことから、助成を必要とする者による交付の申請や助成を得ようとする者の表現行為の内容に萎縮的な影響が及ぶ可能性がある。」

      • 「このような事態は、本件助成金の趣旨ないし被上告人の目的を害するのみならず、芸術家等の自主性や創造性をも損なうものであり、憲法２１条１項による表現の自由の保障の趣旨に照らしても、看過し難い」

  • コメント

    • 判決は、①(a)本件助成金の公益性から、(b)一般的な公益が害されることを考慮すること自体は認めつつ、②(a)「これを交付するとその対象とする活動に係る表現行為の内容に照らして一般的な公益が害されるということ」による交付拒否は、表現行為の内容に対する萎縮効果が強く、(b)このような事態は本件助成金の目的（文化の向上）を害し、かつ、表現の自由の保障の趣旨に照らして看過し難いことから、(c)上記事情を重視しうるのは、公益が重要であり、かつ、当該公益が害される具体的な危険がある場合に限られることを導いています。

    • ②は、直接的には、助成対象たる活動に係る「表現行為の内容に照らして」一般的な公益が害される場合を対象としています。表現の自由の制約に関して、一般に、内容による規制と内容中立的な規制の区別がなされていますが、最高裁は、本件助成金の交付拒否による萎縮効果についても同様の観点を持ち込み、内容による交付拒否について特に強い萎縮効果を認めたのだと思います。

    • ②の「一般的な」が何を意味するのかはこの部分だけからは分かりませんが、「公益」のイメージを形作ってきた（？）取消訴訟の原告適格に関する一連の判例を想起したとき、「個人の権利としても構成することができない」くらいの意味なのではないかと思います。

    • ②の「重視」が何を意味するのかはこの部分だけからは分かりませんが、「当てはめ」も考慮すると、結論を左右するような態様で考慮することといった意味なのではないかと思います（「判決に影響を及ぼすべき」のように）。

    • ②に関し、判決は、表現行為の内容に対する萎縮効果を、本件助成金の目的（文化の向上）と表現の自由の保障の趣旨の両方の観点から問題としています。個人的には、近時の最高裁においては、実際の判断過程においては当然憲法上の権利の制約・その正当化を考慮しつつ、判決理由においては個別法の解釈として解決できるものは個別法の解釈で解決するという考え方が確立しつつあると考えていたため（堀越事件と千葉補足意見、タトゥー医師法違反事件と草野補足意見、ディオバン事件と山口補足意見など参照）、表現の自由に明示的に言及していることは意外に感じました。表現の自由に関しては、平成後半は大きな事件が少なかったところ、2010年代後半になり、「表現の不自由展かんさい」に関し大阪府の指定管理者が施設使用許可を取り消し、その執行停止が申し立てられたり、「あいちトリエンナーレ」に関し名古屋市が負担金の支払いを拒否し提訴されたり、金沢市庁舎前広場事件で政治的中立性の評価が問題となったりと、対話を拒否する政治的雰囲気の余波が裁判所にも少し遅れて押し寄せた感じがあり、それらに対する裁判官の問題意識が反映されたという背景が、もしかしたらあるのではないかと思います。

    • ②に関し、一定の処分をすること又はしないことにより影響を受ける権利の性質・その影響の程度（制約というと限定的なので「影響」と書いています）は、従来の教科書的には、主として裁量を導く場面での考慮要素でしたが、本判決は、「重み付け」を制約する要素として位置づけています。aでそのほうが精緻なのかもしれない旨書きましたが、さらに、そのように位置づけることで権利に至らない利益（ここでは本件助成金の目的である文化の向上。薬物乱用防止も公益ですが、文化の向上もそれはそれで別の公益です）と並べて使いやすいという面もあるのかもしれません。

c

  • 理事長が公益を重み付けを誤ったことに関する部分の結論は以下です（4の(3)）。

    • （前提として、判決文によれば、「被上告人は、本件出演者が出演している本件映画の製作活動につき本件助成金を交付すると、被上告人が「国は薬物犯罪に寛容である」といった誤ったメッセージを発したと受け取られて薬物に対する許容的な態度が一般に広まるおそれが高く、このような事態は、国が行う薬物乱用の防止に向けた取組に逆行するほか、国民の税金を原資とする本件助成金の在り方に対する国民の理解を低下させるおそれがあると主張」しています。）

    • ①「薬物乱用の防止という公益が害される具体的な危険があるとはいい難い。」

    • ②「被上告人のいう本件助成金の在り方に対する国民の理解については、公金が国民の理解の下に使用されることをもって薬物乱用の防止と別個の公益とみる余地があるとしても、このような抽象的な公益が薬物乱用の防止と同様に重要なものであるということはできない。」

    • ③（①②から公益が害されることを重視することはできないところ）「前記事実関係等によれば、理事長は基金運営委員会の答申を受けて本件内定をしており、本件映画の製作活動を助成対象活動とすべきとの判断が芸術的な観点から不合理であるとはいえないところ、ほかに本件助成金を交付することが不合理であるというべき事情もうかがわれないから、本件処分は、重視すべきでない事情を重視した結果、社会通念に照らし著しく妥当性を欠いたものであるということができる」

  • 上記①（薬物乱用防止に関し具体的危険がない）の理由として以下が挙げられています（②③は特に上記以上の言及なし）。

    • 「本件出演者が本件助成金の交付により直接利益を受ける立場にあるとはいえないこと等からすれば、本件映画の製作活動につき本件助成金を交付したからといって、被上告人が上記のようなメッセージを発したと受け取られるなどということ自体、本件出演者の知名度や演ずる役の重要性にかかわらず、にわかに想定し難い」

    • 「これにより直ちに薬物に対する許容的な態度が一般に広まり薬物を使用する者等が増加するという根拠も見当たらない」

  • コメント

    • 判決は、表現行為の内容に照らして一般的な公益が害されることを重視できるのは、当該公益が重要かつそれが害される具体的危険がある場合に限られるとしましたが、①薬物乱用防止に関しては、公益としての重要性は認めつつ、被上告人が主張する因果経過に即して、それが害される具体的危険性がないとし、②国民の理解に関しては、抽象的であるとして重要性を否定し、それらの上で、③理事長が基金運営委員会の答申を受けて内定をしていた経緯から、出演者の逮捕等の過大評価を認めています。

    • ①に関し、行政庁側が主張する因果経過（公益が害されるメカニズム）を丁寧に検討し、その発生率が具体的危険のレベルに至っていないことを指摘するやり方は、薬事法違憲判決に似ているなと思いました（同判決の結論を決めたのは許可制を相当とするような関連性ないし適合性がなかったことであり、LRAの存在ではありません）。

    • ②に関し、国民の理解に関する記述には、bで書いたのと同様、裁判官の問題意識が反映されているのかもしれないなと思います。

    • ③に関し、最高裁の判断に目を瞑って本件を見たとき、内定をしていたことがどのように影響するのかが問題となるだろうと思います。映画製作には資金調達が必要であり、一度決めた助成金交付を後からなかったことにするのはひどいのではないか（発想としては宜野座村工場誘致事件など）という議論はありえますし、一方で、行政処分というスキームが採用されている以上、授益的処分をする意向を示したからといって権利が発生するわけではない（発想としては東京都内定取消事件など）という議論もありえます。判決文は、内定により裁量が制約されるとはしておらず、後者と考えられるものの、過大評価と妥当性欠如の因果関係（あるいは過大性そのもの）を認める根拠として位置づけています（ただ、そうすると場合によっては過大評価の立証は難しいことになります。そのための理由提示義務なのだろうと思いますが）。

3

最後に少しだけ判決全体について。

  • 複雑な問題について最高裁が従来発展させてきた法理に依拠してリベラルかつクリアな回答を与えたという意味で、経産省トイレ使用制限事件を想起しました。

  • 本判決は、近時様々な場面で問題となってきた表現行為を対象とする給付について、判断過程審査を厳格化する形で統制を試みた、重要な判決として位置づけられるだろうと思います。

  • 「表現の自由の趣旨に照らしてより踏み込んだ重み付け審査を行った」という理解は、それ自体として不適切とは言えませんが、判決文は内容規制相当の場合に限定したロジックを採用していること、表現行為の内容の萎縮は助成金の目的をも害するとしている（むしろそれが厳格な審査を導いた主たる要素だと思われる）ことには留意する必要があるのではないかと思います。

  • 本判決を金沢市庁舎前広場事件と比べた場合、問題となった給付対象物が、表現行為を支援することを本来の目的としているか、他に本来の目的を持っており、表現行為の支援にも使えるものなのかが審査密度を分けていると考えられます。

4

Twitterでの議論を見ていて、本判決の新規性について若干思ったことがあるので追記します。

  • 判断過程審査は、呉市中学校施設使用拒否事件において、社会観念審査の一手法として位置付けられましたが、「重視すべきでない事情」かどうかはどのようにして決まるのか、どのような場合に「重視した」とされるのかは明らかでなく、その結果、判断過程審査もまたブラックボックス性を払拭されていなかったと思います。実際、同判決は、考慮事情が多かったこともあり、関係する事情を列挙した上で、「上記の諸点その他の前記事実関係等を考慮」して過大評価・考慮不尽である旨述べる構造になっており、結論部分を除いて社会観念審査との距離はあまり大きくないように見えます。そうすると、判断過程審査で審査密度が向上するかどうかは、「当てはめ」にかかっているのだと思います。

  • また、裁量審査において被侵害利益の重大性を考慮することは、例えば昭和女子大事件、神戸高専事件において示されていましたが、両事件では教育目的上必要な考慮を尽くしたどうかが主たる問題となっていたので、他事考慮型のケースで被侵害利益の重大性をどのように「使う」かについてはあまりヒントを与えるものではありませんでした。

  • 本判決は、このような状況の下で、他事考慮型のケースについて、助成金の目的と表現の自由の保障の趣旨を参照することで、ある（助成金の目的からすると関連性の薄い）事情を重視しうる条件を示し、その当てはめを行うという形で、重視すべきでない事情を重視したことを比較的客観的に（≒検証可能な形で）示したという意味で新規性があるのではないかと思います。


Webスキミングでの初の逮捕例（不正指令電磁的記録供用罪・割賦販売法違反）について

「Webスキミング」について、不正指令電磁的記録供用罪と割賦販売法違反による逮捕がなされたようです。

https://mainichi.jp/articles/20231114/k00/00m/040/338000c

1

記事によれば以下のとおりです。

捜査関係者によると、男性は2022年、音楽コンサートのチケットやグッズを販売する通販サイトに何らかの方法で侵入。特殊なプログラムを仕掛け、利用客数人のカード情報を不正に抜き取った疑いが持たれている。カード情報が悪用された疑いもあり、府警は裏付け捜査を進めている。…府警は、ネット上の闇サイトに特定のカード情報が掲示されているのを見つけて捜査を開始。闇サイトへのアクセス記録などの解析を進めた結果、男性が関与した疑いが浮上した。

「闇サイト」が何を指すのかよく分かりませんが、被疑者は恒心教生徒を自称しているようで、普通にアクセス可能な掲示板なのではないかと思います。検索すると既に威力業務妨害罪、私電磁的記録不正作出・同供用罪、窃盗でも起訴されているようで、その「余罪」の一つとして本罪が出てきたのだろうと思います。

2

手口はXSSだろうと思いますが、いずれにせよ、クレジットカード情報のWebスキミングにおいては、攻撃者は通常、

  1. クレジットカードを扱うサイトのCMSの脆弱性を利用し、

    1. クレジットカード情報をサーバに保存するスクリプトを埋め込む（ちなみにPCI/DSSで非保持化が求められているので「正常」であれば保存しません）とともに、

    2. 上記により保存されたデータにインターネット経由でアクセスするためのバックドアを埋め込み（合わせて「改ざん行為」）、

  2. バックドアを利用して定期的にクレジットカード情報をダウンロードし（「取得行為」）、

  3. 適当なWebサイト、店舗等でクレジットカード情報を利用し、サービス、金銭、物品等を取得する（「利用行為」）、

ことを行います。

今回のケースでは、改ざん行為を捉えて不正指令電磁的記録供用罪を、取得行為を捉えて割賦販売法違反の罪（同法49条の2第2項2号のクレジットカード番号等不正取得罪だと思います）を適用したものと考えられます。これらの行為にはそれぞれ不正アクセスの罪も成立する可能性がありますが、これらが適用されていない理由はよく分かりません（どのみち一罪と扱われる可能性があり、報道に出てきていないだけでしょうか）。

現在では有体物としてのクレジットカードはあまり重要な意味を持たなくなっていますが（個人的にもQuicPayが使えないお店でしか使いません）、刑法上は、クレジットカードの偽造は支払用カード電磁的記録に関する罪で厳重に禁止されている（文書偽造のアナロジーで作られたので準備罪まであります）のに対し、クレジットカード番号等の不正取得については刑法上の手当はされていません。割賦販売法上のクレジットカード番号等不正取得罪はこれを補う機能を果たしているのではないかと思います。

より専門的な議論：上記のケースで不正アクセスの罪が成立するかは、実はそれほどクリアではない気がします。該当しうるとすれば、不正アクセス禁止法2条4項2号ですが、同号は、「アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能による特定利用の制限を免れることができる情報…又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為」と規定しています。入力する「情報…又は指令」は「アクセス制御機能による特定利用の制限を免れることができる」ものであることが必要であり、上記の改ざん行為・取得行為がこれに当たるかについては、議論の余地があるように思います。成立前提で説明するとすれば、
①改ざん行為（具体的にはインターネット経由でバックドアにアクセスし、CMSのXSS脆弱性を利用した不正注文をする行為）は、本来Webサーバの管理者権限がなければできないHTML編集等の操作を可能とするものだから「アクセス制御機能による特定利用の制限を免れることができる…指令」に当たる、
②取得行為は、本来Webサーバの管理者権限がなければできない不正に保存させたデータのダウンロード等の操作を可能とするものだから「アクセス制御機能による特定利用の制限を免れることができる…指令」に当たる、
ということになるのだと思います。ちなみにここに警視庁の解説があり、6ページ以下に不正アクセス行為に関する記載があります。

3

ところで、利用行為には、

  • 窃盗罪（オンライン決済かつ物品を取得する場合）、

  • 電子計算機使用詐欺罪（オンライン決済かつサービス、電子マネー等を取得する場合）、

  • 詐欺罪（店頭決済の場合。番号等だけでは使用できないので、カードを偽造するか電子マネー等を経由する必要あり）

が成立する可能性があり、これらは上記と比べて圧倒的に法定刑が重いのですが、取得行為の段階でこれらの（既遂はもちろん）実行の着手を認めることは困難と思われます。今回のケースでは、既に悪用の疑いは生じているようなので、今後既遂でも立件するつもりなのだろうと思われます。

4

今回のケースは近時流行しているWebスキミングの初の逮捕例として注目を集めています（複数の新聞がそのような報じ方をしているので、京都府警の担当者がそうアピールしたのだろうと思われます）。もっとも、実際のWebスキミングの大半は海外から収益目的で組織的に行われており、それゆえに摘発が難しいのだと考えられます。これと対比すると、今回のケースで被疑者を摘発できたのは、国内から興味本位で個人的に行われた犯行であり、したがってたまたま捜査上の障害が少なかったことによるものと考えられます。そうすると、刑事罰による抑止力にはあまり期待できない状況が続くと思われ、ECサイト運営者には適切な対策（といってもまずはちゃんとアップデートをするとかそのレベルのことなんですが）が求められることになります。