情報セキュリティ関連法規(サイバーセキュリティ基本法・個人情報保護法・不正アクセス禁止法)

本章では、科目Aの法務分野で最頻出のサイバーセキュリティ基本法・個人情報保護法・不正アクセス禁止法の3法を扱う。サイバーセキュリティ基本法は2014年（平成26年）に成立した、我が国のサイバーセキュリティ施策の基本理念と推進体制を定める法律である。同法第2条は「サイバーセキュリティ」を、電磁的方式により記録・発信・伝送・受信される情報の漏えい・滅失・毀損の防止その他の安全管理のために必要な措置、並びに情報システム及び情報通信ネットワークの安全性・信頼性の確保のために必要な措置が講じられ、その状態が適切に維持管理されていることと定義する。同法に基づき内閣にサイバーセキュリティ戦略本部が置かれ、政府はサイバーセキュリティ戦略を定める。本法は個別の攻撃行為を罰則で取り締まる法律ではなく、国の施策の方向性を定める基本法である点をまず押さえるべきである。

サイバーセキュリティ基本法の出題の中心は、各主体の責務の書き分けである。国は基本理念にのっとり総合的な施策を策定・実施する責務（第4条）、地方公共団体は国との適切な役割分担を踏まえた自主的な施策を策定・実施する責務（第5条）を負う。電気・ガス・金融・鉄道等の重要社会基盤事業者（重要インフラ事業者）は、その役務を安定的かつ適切に提供するため、サイバーセキュリティの確保に努め、国等の施策に協力するよう努めるものとされる（第6条）。サイバー関連事業者その他の事業者（第7条）や教育研究機関（第8条）にも同様の規定が置かれ、国民も「サイバーセキュリティの重要性に関する関心と理解を深め、その確保に必要な注意を払うよう努める」ものとされる（第9条）。国民・事業者側はいずれも努力規定であり罰則はない。なお2018年（平成30年）改正では、官民の多様な主体が情報共有を行うサイバーセキュリティ協議会の創設が定められた。

個人情報保護法（個人情報の保護に関する法律）は、個人情報の有用性に配慮しつつ、個人の権利利益を保護することを目的とする。「個人情報」とは、生存する個人に関する情報であって、氏名・生年月日等により特定の個人を識別できるもの（他の情報と容易に照合でき、それにより特定の個人を識別できるものを含む）、又は個人識別符号を含むものをいう（第2条1項）。個人識別符号には、DNA・顔・虹彩・声紋・指紋等の身体的特徴をコンピュータ処理用に変換した符号と、旅券番号・運転免許証番号・マイナンバー・基礎年金番号等の公的番号が政令で定められている。携帯電話番号・クレジットカード番号・メールアドレス単体は個人識別符号に該当しない点が頻出である。また、人種、信条、社会的身分、病歴、犯罪の経歴、犯罪により害を被った事実等を含む「要配慮個人情報」（第2条3項）は、取得に原則として本人の同意を要し、オプトアウト方式による第三者提供が認められない。

個人情報データベース等を事業の用に供する者は、営利・非営利や規模を問わず「個人情報取扱事業者」として義務を負う。主な義務は、①利用目的をできる限り特定し（第17条）、取得時に通知・公表すること（第21条）、②偽りその他不正の手段による取得の禁止（第20条）、③個人データの安全管理措置と従業者・委託先の監督（第23〜25条）、④本人の同意のない第三者提供の原則禁止（第27条）である。第三者提供は、法令に基づく場合（警察の捜査関係事項照会等）や、人の生命・身体・財産の保護に必要で本人の同意取得が困難な場合等には同意なく行える。また委託・事業承継・共同利用に伴う提供は第三者提供に該当しない。令和2年改正（2022年4月全面施行）では漏えい等報告が義務化され、①要配慮個人情報の漏えい、②財産的被害のおそれ、③不正の目的によるおそれ、④1,000人超の漏えいの4類型では、個人情報保護委員会への報告（速報は速やかに、確報は原則30日以内・不正目的の場合60日以内）と本人への通知が義務となった（第26条）。

令和2年改正では、データ利活用と権利保護の両面が強化された。「仮名加工情報」は、他の情報と照合しない限り特定の個人を識別できないように加工した情報で、原則として事業者内部での分析等に利用が限られる一方、漏えい等報告や開示請求対応の義務が緩和される。「匿名加工情報」は、特定の個人を識別できず、かつ元の個人情報を復元できないように加工した情報であり、作成時の加工基準の遵守や情報項目の公表等のルールの下で、本人の同意なく第三者提供や目的外利用ができる。両者の違いは頻出の比較論点である。Cookie等の「個人関連情報」は、提供先で個人データとして取得されることが想定される場合、提供元に本人同意が得られていること等の確認義務が課される（第31条）。罰則も強化され、個人情報保護委員会の措置命令への違反や個人情報データベース等の不正提供等では、両罰規定により法人に最高1億円の罰金が科され得る。保有個人データの開示請求では、電磁的記録による提供の方法も本人が指示できるようになった。

不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）は、①電気通信回線（ネットワーク）を通じて、②アクセス制御機能を有する特定電子計算機に対し、③他人の識別符号（ID・パスワード等）又はアクセス制御による制限を免れる情報・指令を入力し、制限されている利用をし得る状態にさせる行為を「不正アクセス行為」として禁止する（第2条4項・第3条）。なりすまし型とセキュリティホール攻撃型の2類型があり、情報の窃取や改ざん等の実害がなくても、ログインし得る状態にさせた時点で成立する。罰則は3年以下の拘禁刑（2025年6月の拘禁刑一元化前は懲役）又は100万円以下の罰金である（第11条）。このほか、他人の識別符号の不正取得（第4条）・不正保管（第6条）、識別符号を無断で第三者に提供する不正助長行為（第5条）、正規サイトになりすまして識別符号の入力を求めるフィッシング行為（第7条）も処罰される。ネットワークを介さないスタンドアロン機への直接入力や、DoS攻撃・ウイルス作成（刑法の不正指令電磁的記録に関する罪）は本法の対象外である。アクセス管理者には防御措置を講じる努力義務がある（第8条）。