Tech Lawアップデート(2024年1月1日~3月8日)

2024年1月1日~3月8日のテクノロジー関係の政府の動きをまとめます。筆者コメントは(区別した方が分かりやすい場合には)青字としています。

 

 

サマリー

今回のトピックは、概ね、①個情委・総務省による情報漏洩に関する行政上の措置、②個人情報保護法3年ごと見直し、③213回通常国会提出法案、④AI関係に分けられます。

①個情委・総務省による情報漏洩に関する行政上の措置は、(a)ビジネスプランニングほかに対する指導、(b)NTTマーケティングアクトProCX・NTTビジネスソリューションズに対する指導、(c)NTTドコモNTTドコモネクシアに対する勧告・指導、(d)長野県教育委員会に対する指導、(e)四谷大塚に対する指導(以上個情委)、(f)NTT西日本に対する指導、(g)LINEヤフー株式会社に対する指導(以上総務省)が含まれます。

このうち(b), (c), (e), (f)は内部不正に関するものです。これらは実際に漏洩等が生じたために当局による調査の対象となり、その結果様々な不備が指摘されたものですが、依然として産業界全体として内部不正を防止しうる体制の整備が不十分であることが窺われます。

(b), (f)では、コールセンター業務の再委託(ProCXが委託先、BSが再委託先。委託元はNTT西日本ほか多数)が行われていたところ、NTT西日本、ProCXにおいてそれぞれ委託先の監督の不十分が指摘されています。これについても、産業界全体として不十分であることが窺われます(しばしばGDPRが求めるProcessor/sub-processorの管理の水準が高すぎるという不満を耳にしますが、日本法も実はそれほど緩い訳ではないのだと思われます)。

(g)はLINEは認証基盤を含むシステム・ネットワークを委託先であるNAVER Cloudに強く依存していたところ、マルウェアを利用した攻撃によりNAVER CloudのActive Directoryサーバの管理者権限が奪取され、LINEの通信情報が流出等したものです。(f)では(指定電気通信役務に関する)利用者情報が漏洩したのに対し、(g)では通信の秘密の漏洩が認定されています。

(c)ではドコモがぷららを吸収合併した際に基準不適合リスクが判明し、追加的運用ルールを策定したが不徹底であったこと、(g)ではLINEがNAVERの資本的支配を受けており、かつ、システム上もLINEがNAVER Cloudのインフラに強く依存しており、監督が機能していなかったことが問題とされています。現在のM&A実務でも、個人情報保護法はほとんどケースの事案で調査対象となっており、内部統制・監査実務でも同様だと思われますが、具体的な安全管理措置まではチェックできていない(せいぜい内部規程をチェックし、インタビューでインシデントが発生していないことを確認するにとどまる)のが現状だと思われます。

(d)はサポート詐欺に関するもので、高校教師が誘導に乗せられマルウェアをインストールしたために漏洩のおそれが生じたものです。サポート詐欺は近時流行しており、昨年後半にサイバー警察局IPAが注意喚起を行っています。

(a)はオプトアウト届出事業者の一斉調査後の個別調査に基づくもので、不適正利用・確認記録義務違反が認定されています。

個人情報保護法3年ごと見直しでは、(a)個人の権利利益のより実質的な保護の在り方(個人情報等の適正な取扱いに関する規律の在り方、第三者提供規制の在り方、こどもの個人情報等に関する規律の在り方、個人の権利救済手段の在り方)、(b)実効性のある監視・監督の在り方(課徴金、勧告・命令等の行政上の監視・監督手段の在り方、刑事罰の在り方、漏えい等報告・本人通知の在り方)、(c)データ利活用に向けた取組に対する支援等の在り方(本人同意を要しない公益に資するデータ利活用等の在り方、民間における自主的な取組の促進)が検討課題とされています。いずれも適切な方向性が示されているのではないかと思います(なお、通則編ガイドラインとQAは不十分かつ時代遅れなので、そろそろ抜本的に見直す必要があるのではないかと思います)。

③213回通常国会提出法案としては、(a)地方自治法(サイバーセキュリティ方針策定義務等)、(b)プロ責法改正法、(c)NTT法改正法、(d)放送法改正法、(e)経済安保推進法改正法(港湾を追加)、(f)重要経済安保情報保護・活用法案があります。(b)は誹謗中傷等の投稿の削除に関するものです(令和元年改正で発信者情報開示関係の改正がされましたが、削除は引き続き検討することとされていました)。(f)はセキュリティクリアランス法案として議論されてきたものですが、特定秘密保護法に近い構成になっています。

④AI関係では、経産省総務省のAI事業者ガイドライン案が公表される一方、自民党でAI規制法が検討されています。ガイドラインは広くAIを開発・利用・利用する事業者を対象とするソフトロー(ただし業法に基づく行政上の措置等において参考とされることは考えられます)である一方、AI規制法は、基盤モデル等の開発者を対象とし、政府の関与と制裁による裏付けの下に確実なエンフォースメントを図るものだと思われます。

 

個人情報保護委員会

 

総務省

  • 総務省|報道資料|西日本電信電話株式会社に対する行政指導 (2/9)

    • 「貴社(注:NTT西日本)は、貴社のテレマーケティング業務を株式会社NTTマーケティングアクトProCX(以下「ProCX社」という。)※1に委託していたところ※2、同社が当該委託業務を実施するに当たり利用していたコールセンタシステムを提供するNTTビジネスソリューションズ株式会社(以下「BS社」という。)※1の運用保守業務従事者が、システム管理者アカウントを悪用して貴社の顧客データが保管されているサーバへアクセスする手口で、2014年から約8年にわたって、当該顧客データを不正に持ち出し第三者へ漏えいさせていた。ProCX社は、2022年に貴社以外の委託元の一つから個人データの漏えいに関する調査依頼を受け、調査を実施したが、個人データの第三者への漏えいに関する事実を把握することができず、これを是正できなかった。その後、当該委託元からの捜査依頼を受けた警察により、BS社に対して捜査が実施されたことを発端として、顧客データの不正な持ち出しが発覚した。漏えいした顧客データは、貴社からProCX社に交付された顧客データのうち約120万件であり、指定電気通信役務電気通信事業法(昭和59年法律第86号。以下「事業法」という。)第20条に規定する指定電気通信役務をいう。)に係る顧客データ(氏名/住所/電話番号等)であった。」。
    • 委託先監督の不十分を認め、電気通信事業法1条、NTT法1条~3条の「趣旨に鑑み、適切ではない」として指導。通秘漏洩事案ではないため業務改善命令の要件に該当しなかったものと思われる。
    • NTT西は個情委の勧告等の対象とはされていない。なお、個人情報保護法に基づく指導・助言及び勧告・命令は総務省に委任されていない(個情法150条1項)。
  • 総務省|報道資料|LINEヤフー株式会社に対する通信の秘密の保護及びサイバーセキュリティの確保に係る措置(指導)(3/5)

    • 「貴社(注:LINEヤフー株式会社)のITインフラの運用に係る業務委託先であるNAVER Cloud社及び貴社が、それぞれセキュリティに係るメンテナンス業務を委託していた会社(以下単に「業務委託先会社」という。)においてマルウェア感染が生じたことを契機として、NAVER Cloud社のAD(注:Active Directory)サーバがマルウェアに感染し、同社の管理者権限が奪取されるとともに、同社のADサーバに保存されていた貴社のADサーバへのアクセスに係る認証情報等が悪用され、NAVER Cloud社とネットワーク接続のあった貴社の旧LINE株式会社(以下「旧LINE社」という。)環境内の各種サーバやシステムに対して不正アクセスが行われ、これにより、旧LINE社環境内に保存されていた、貴社の提供する「LINE」サービスに係る利用者の通信情報が外部に流出等したとのことである。これは、電気通信事業法(昭和59年法律第86号)第4条第1項に規定する通信の秘密の漏えいであると認められる。」
    • 原因として①システムやネットワーク構成等に係るNAVER社側への強い依存(認証基盤共通化等)、②不十分な技術的安全管理措置、③業務委託先の不適切な管理監督、④セキュリティガバナンスの不備(「これまでの旧LINE社における社内ネットワークやシステム構築がNAVER社側による技術的支援を大きく受けて複雑に形成され、現在でも、その保守運用等をNAVER社側に頼らざるを得ないという関係が存在している」、「貴社からみるとNAVER社側は委託先として委託元である貴社から管理監督を受ける立場であるにもかかわらず、現在でも、貴社の親会社であるAホールディングス社資本の半数をNAVERグループが保持しているなど、貴社とNAVER社側との間には資本的な支配を相当程度受ける関係が存在している」)を認定。
  • 総務省|国会提出法案

    • 地方自治法の一部を改正する法律案
      • 第2編第10章(公の施設)の後ろに第11章(情報システム)を追加。情報システムの利用に係る基本原則、サイバーセキュリティを確保するための方針等(議会の長・執行機関が定める。総務大臣が指針を示す)を規定。
        • 自治体が自主的にサイバーセキュリティを確保することは期待できないが、総務大臣が指針を示すことは助言(法的根拠が必要である)に当たり、そのまま内部規程化されると思われる指針を示すことが技術的助言(地方自治法上授権されている)にとどまるかは疑義がある、あるいは是正を求めるための法的根拠が必要と考えたのかもしれない。
    • 特定電気通信役務提供者の損害賠償責任の制限及び発信者情報の開示に関する法律の一部を改正する法律案
      • プロ責法を改正し、大規模プラットフォーム事業者に対応の迅速化(削除申出窓口・手続の整備・公表、削除申出への対応体制の整備、削除申出に対する判断・通知)、運用状況の透明化(削除基準の策定・公表、削除した場合の発信者への通知)を定め、法律名を「特定電気通信による情報の流通によって発生する権利侵害等への対処に関する法律」(「情プラ法」)に改める。
      • プラットフォームサービスに関する研究会 第三次とりまとめの第1部を法案化したもの。第2部はデジタル空間における情報流通の健全性確保の在り方に関する検討会において検討中。
      • 策定・公表した基準に従わない削除(送信防止措置)を原則として禁止していること(改正後法26条1項)が注目される。導入される規律はEUのDSAの違法コンテンツに関するを参考にしたものと思われるが、プラットフォームとは全く関係ない法律名(実際引き続き開示請求の対象となるISPは「情報プラットフォーム」ではないだろう)の通称を「情プラ法」とするのはどうなのかと思わなくもない。
    • 日本電信電話株式会社等に関する法律の一部を改正する法律案
      • ①NTTのの研究推進・研究成果普及責務を廃止し、②外国役員規制を緩和し、③役員選解任決議を認可制から事後届出制に緩和し、③剰余金処分決議の認可制を廃止し、⑤NTT持株・東西が会社法の定めるところにより商号変更できるようにするもの。
      • 情報通信審議会|通信政策特別委員会の検討事項のうち、大きな対立が生じなかった部分を法案化したもの。
    • 放送法の一部を改正する法律案
      • NHKの同時配信、見逃し配信、番組関連情報の配信を必須業務化し、②これらに関する業務規程の策定、公表、実施状況の評価等を義務付け、③NHKが必須業務として行う放送番組等の配信の受信を開始した者を契約締結義務の対象とする等の改正を行うもの。

 

NISC

なし

 

内閣官房内閣府(経済安全保障関係)

 

公正取引委員会(デジタル市場競争本部を含む)

なし

 

金融庁

なし

 

警察庁(サイバー犯罪、マネロン関係)

なし

 

法務省

なし

 

経済産業省

  • AI事業者ガイドライン案(METI/経済産業省)(1/19)

    • 総則的事項(基本理念、原則、共通の指針、高度なAIシステムに関する事業者に共通の指針、AIガバナンスの構築)を示した上で、AI開発者、提供者、利用者に関する事項を示している。概要資料から見るのがよいと思う。
    • 「高度なAIシステム」は、最先端の基盤モデル及び生成AIシステムを含む、最も高度なAIシステムを指すものとされている。正直なところ、何を言っているのか分からないが、EUにおける議論を参考にすると、概ね、①ハイリスクなAIの利用(金融、医療、教育、運輸、課税・公的給付、法執行といった分野における、生命・健康・財産を侵害したり、行動を萎縮させたり、不当な差別や統計的差別を生じさせたりするリスクのある利用)と、②様々なサービスに組み込んで使用されている基盤モデルの2つを指すのではないかと思われる。
    • 本編と別添が分けられているのは「本編はどんな社会を目指すのかという基本理念やどんな取り組みをするのかという指針のみとし、具体的にどのように取り組むのかという実践方法は別添の付属資料に記載した」とのこと(総務省と経産省が「一心同体で」作成した、AI事業者ガイドライン案3つのポイント(2ページ目) | 日経クロステック(xTECH))。正直なところ、別添と概要資料だけでよいのではないかと思う。

 

内閣府(科学技術関係(AI戦略を含む))

なし

 

厚生労働省(健康・医療戦略推進本部を含む)

なし

 

防衛省・防衛装備庁

なし

 

自由民主党

  • 自民党AIの進化と実装に関するプロジェクトチーム|衆議院議員 塩崎彰久(あきひさ)

    • 「責任あるAI推進基本法(仮)」が検討されている。特定AI基盤モデル開発者を指定し、体制整備義務(①ハイリスク領域における安全性テスト、②リスク情報の共有、③サイバーセキュリティ投資、④第三者による脆弱性の検出・報告の促進、⑤生成AI利用の透明化、⑥AIの能力・限界の公表、⑦社会的リスクの研究)を課し、履行状況の報告義務を課し、政府は評価・その結果の公表、是正措置、報告徴求・立入検査、課徴金・罰則賦課を行うとするもの。
    • 上記素案は殿村桂司弁護士(NOT。塩崎議員はNOT出身)、岡田淳弁護士(MHM)、生貝直人一橋大学教授、丸田颯人弁護士(NOTアソ)、小谷野雅晴弁護士(神楽坂総合法律事務所、塩崎議員政策スタッフ)の名義。生貝教授はAI事業者ガイドライン検討会(総務省経産省)委員、各弁護士同WG委員と兼任。
    • AI事業者ガイドラインの「高度なAIシステム」の箇所と重複するのではないかと思われるところであるが、素案は開発者のみを対象とし(ハイリスクなユースケースにおいては提供者・利用者にも一定の責務が課されると思われるが、このような場面ではAI事業者ガイドラインのみが適用されることになる)、政府の関与と制裁による裏付けの下に確実なエンフォースメントを図ることに主眼があるのではないかと思う。