合成的に新たなアイデンティティを術策する詐欺(Synthetic Identity Theft：SIT)対策をめぐる信用情報機関、行政監督機関等の具体的取組みと更なる課題(その1)

Last Updated: Marh 15 ,2019

2017年7月26日付けの米国連邦議会の連邦行政機関のWatchdogである「行政監査局(GAO)」が参加した「Combating Synthetic Identity Fraud：Forum」の概要報告が手元に届いた。 

　過去にさかのぼるが、GAOは2017年3月30日付けで「Identity Theft Services：Services Offer Some Benefits but Are Limited in Preventing Fraud」 (注1)と題する報告を連邦議会あてに行っている。

　この犯罪類型は、犯罪者が実在（通常は盗んだ）ID情報と偽のID情報を組み合わせて新しいアイデンティティを作成する詐欺の一種である。不正に銀行口座を開設し、詐欺的な商品やサービス等を購入、不正に受給をするために使用される。この合成身元情報の詐称は、犯罪者が偽のIDに基づいてクレジットカード会社や貸し手から金銭を違法に盗むことを可能にするだけでなく、国の給付金の不正受給、テロ資金のマネローンダリング等、その適用範囲は極めて広い。したがって、GAOや連邦取引委員会(FTC)などの危機感が極めて高まっていることがその背景にある。 

　当時、筆者は、(1) そこで指摘された問題の大きさを十分理解できなかったこと、(2) 日本の場合、マイナンバーを利用する際には厳格な本人確認が義務付けられており、マイナンバーに加えて、運転免許やパスポート、健康保険証などで身元を確認することで、マイナンバーが漏えいした場合もなりすましを防止しうるという点等から、当面わが国での同様のリスクがあり得ないと感じたこともあり、あえて本ブログでは取り上げなかった。 

　しかし、マイナンバーの利用範囲が立法時に想定した範囲から次第に広がるリスクもありうる。すなわち金銭的なりすまし詐欺にあうリスク(勝手にクレジットカードが作られて引き落としされる、引き落としを止めようにも止められない、他人の借金を背負わされる)は比較的少ないものの、例えば、次のような詐欺犯罪に巻き込まれるリスクが広がる可能性は依然高い。

①知らぬ間に「会ったこともないし名前すら知らない外国人と入籍していた」、離婚しようにも相手がどこにいるのか分からないし、とにかく何が起こっているのか不気味である。

②勝手に自分名義の車が契約されていて、その車を使った犯罪が発生。勤務中に警察から呼び出しがかかり、会社を早退。弁明や後処理にも多大な時間がかかった上に、会社からの信用も失う。

③知らぬ間に住民票が移転されていて、気付いた時には、自分名義でアパートが契約されていて見知らぬ外国人が多数、そのアパートに住んでいる。家賃の未納が溜まっていて、支払う羽目に。外国人を追い出すのにも、弁護士等に依頼し、多大な金額や労力を使う。 

　米国(筆者注2)の場合と同様ではないが、SNS等で不用意に自分自身のマイナンバーを含む個人情報を渡したり、不審な先からの照会、通知があったときは必ず関係機関への直接確認は必須といえる。また、行政の立場から見た場合、米国で多く見られるなりすましによる社会保険、失業保険等の不正給付の問題が根強くあり、また、マネー・ローンダリングを通じて暴力団やテロ組織に資金が流れたときの被害者の責任を考えると、この問題は単に外国でのリスクという話では済まないといえる。その意味で、従来厳しく取り締まりを行ってきた「なりすまし詐欺」 (筆者注3)と一部重複するものの更なる対策強化が必要であろう。 

　本ブログは、まず(1)2014.10.28付け　IBM securityintelligence.サイトの解説「合成による新アイデンティティ詐欺(Synthetic Identity Theft：SIT)の手法：3つの方法 」および(2)Revere Bankの「Synthetic Identity Fraudの検出と予防」を仮訳し、”Synthetic Identity Theft”(Synthetic Identity Fraudと同義)詐欺手口、被害の範囲等を正確に解説するとともに被害の重大性、この詐欺の検出のむずかしさなどを認識し、次に(3)3月30日のGAOレポートの要旨(信用モニタリング、アイデンティティのモニタリング、アイデンティティの復元および個人情報盗難保険等の効果とその限界等を紹介し、最後に(4)7月のFGAO 参加Forumの内容を概観する。 (筆者注4) 

　なお、GAOが使用している”Identity Theft Services”という用語はいまいち言葉足らずの感がある。その意味内容からすると、連邦取引委員会(FTC)が使用している”Identity Theft Protection Services”のほうが的確と思えるため、本ブログではFTCの用語を併記する。 

　今回は、2回に分けて掲載する。 

１．合成的に新たな身元(アイデンティティ)を術策する詐欺(Synthetic Identity Theft：SIT)の手法：3つの手口 

　2014.10.28付けIBM securityintelligence.サイトの解説「Synthetic Identity Theft: Three Ways Synthetic Identities Are Created」を以下、仮訳する。 

　合成的なID詐欺は、架空のID情報の使用を伴う詐欺である。このID詐欺師は、実際の情報と加工された情報を組み合わせ、あるいは時にはまったく架空の情報を使って新しい身元(identity)を作り出す。この詐欺師は、この架空の身元を使って個人信用(クレジット)を取得し、預金口座を開設し、また運転免許証やパスポートを取得する。 

　通常、詐欺師はSIT(Synthic Identity Theft)において実際の社会保障番号（SSN）を使用し、その番号に関連付けられていない名前と組み合わせる。詐欺師は、子供や死者のような積極的に使用されていないSSNを探す。場合によっては、身元詐欺師は、偽のSSN、名前、住所で完全に偽の身元(Identity)を作成することがある。これは、盗難に関与していないため、身元識別詐欺に分類されるが、本レポートでは目的上、「合成的な個人情報の盗難」または「合成的な個人情報詐欺」を同じものとして扱う。 

(1) なぜ合成的なりすましは重要な問題なのか？  

　この種の盗難は、米国において過去5〜7年間に大きな詐欺行為として浮上してきた。合成的な個人情報窃盗被害の規模は、北米で年間10億ドル(約1,090億円)と推定されている。カナダのメデイアCBC によると、毎月の症例数は5年前と比べて数千にものぼり、月に約100件が見られた。  

　SITの指数関数的伸び、特に子供の身元への影響は、将来若者にとって悲惨な結果をもたらすであろう。 Carnegie Mellon大学のCyLab Security and Privacy Instituteが実施した調査によれば、子供のSSNは、研究対象の人口の成人よりも合成詐欺の被害にあうことが51倍も高い可能性がある。 CyLabはその発見が一般の人口に外挿することはできないと明言しているが、子供に対する脅威は明らかである。  

　総合的なアイデンティティの盗人は、活動しておらず、一般的に2018年までチェックされていないため、子供のSSNを対象としている。 子供たちは一般に、彼らのSSNに関連する公開情報を一切持っていないので、SSNを主要なターゲットにしている。被害を受けた未成年者の両親が請求書収集者に釈放されない限り、郵便でクレジットカードの提供を受け始めるか、または子供が運転免許証や大学ローンを拒否された場合、詐欺は発見されない可能性がある。 

　過去10年間で増加している児童の個人情報盗難の真の影響は、犠牲になった若者が大学時代に近づいたり、大学学費等の援助を申請したり、高校時代の負の情報が会社の背景スクリーニング時に明らかになる。  

(2) クレジット・ファイルの作成方法 

　サイバー犯罪者が自分にとって有利なようにシステムをコントロールする前に、そもそもクレジットファイルの作成方法を理解することが重要である。  

　信用履歴は、「信用調査機関（credit reporting agencies (CRAs)）」またはいわゆる「個人信用情報機関(credit bureaus)」によって収集され、維持される。米国には、Equifax、TransUnion、Experianの3つの主要なCRAがある。これらの機関は、クレジットカード会社、銀行、住宅ローン会社およびその他の債権者からの消費者の信用履歴を収集し、詳細な信用報告書を作成する。  

　消費者があるタイプのクレジットカードまたはローンの申請を完了すると、すべての申請情報がCRAに送信される。CRAは、申請者の個人識別可能な情報を収集し、信用報告書が存在するかどうかを判断する。 また、倒産や差し押えからの裁判所記録などの財務情報について、公的記録を精査する。一致するものが見つからない場合、CRAはクレジットファイルを確立することによって照会の記録を保持しなければならない。 一致するものが見つかった場合、貸出しファイル情報が貸し手に返され、与信決定が行われる。 

　理解すべき重要な概念は、CRAに提出されたクレジット要求は、要求前には存在しないクレジットファイルが作成されることである。 

　毎月、貸出機関およびその他の債権者は、最新の消費者信用情報をCRAに送信する。 この情報には、個々の消費者がどれだけ借りているか、時間通りに支払いを行っているかどうかが含まれる。  

　この問合せには、厳格なものとソフトなものの2種類がある。厳格な照会は、クレジットカード会社、住宅ローンの貸し手、小売企業、賃貸住宅の貸主などの機関債権者からの要請である。ソフトな問い合わせは、雇用者の採用時のスクリーニングの一環として、消費者または雇用者によって行われる。 倒産、差し押え、償却などの否定的な出来事は、7〜10年間は信用調査報告書に載っていますが、オンタイムの住宅ローン支払いなどの積極的な出来事はさらに長く続くことがある。  

◎　アイデンティティ詐欺師が信用プロセスを利用して合成アイデンティティーを確立し、不正行為を実行する主な方法

　以下のとおり、3つある。すなわち、貸し手に直接クレジットを申請する、承認されたユーザーのほとんどのクレジットカードアカウントまたはデータ提供者スキームを使用するものである。  

(1) 詐欺師による直接的な与信申請  

　詐欺師は、合成IDを作成し、クレジットカード発行会社などの貸し手に直接クレジットを申請してクレジットプロファイルを作成する。 最初の申請は拒否されるが、新しいクレジットファイルが作成される。 

　新しく設定されたクレジットファイルで、詐欺師はクレジットカード発行会社にクレジットを申請する。 カード会社がクレジット照会を実行すると、CRAは、プロファイルが存在するという情報をカード会社に返す。プロファイルには、それに関連するクレジット履歴はないが、一般的に、詐欺師は、履歴がない申請者に300〜500ドルのクレジットラインを提供するカード発行者を対象とする。  

　新しいクレジットアカウントで武装した詐欺師は、クレジットアカウントを正当に使用して支払いを行い、良い履歴を確立する。 詐欺師は、より多くのクレジットカード、小売店のクレジットアカウント、および自動車ローンを得るために、問題ない肯定的な信用履歴を活用する。  

　このプロセスは簡単で簡単に実行できまるが、確かな信頼性の高いプロファイルを作成するのに時間がかかるため、あまり好ましくない。  

(2) 承認されたユーザープロセスを利用  

　承認されたユーザープロセスは、ほとんどの合成IDがどのように作成されるかである。 承認されたユーザーをアカウントに追加することは合法であり、クレジットカード発行者が許可する。これは通常、配偶者や子供の追加などの正当な目的で使用される。 

　詐欺師は、承認されたユーザープロセスを利用し、カード所有者を積極的に募集して、未知の人物/身元をカードに追加する。正当なカード所有者は、この技術を使用して、「ピギーバック(piggybacking)」 (筆者注5)と呼ばれることがある。正当なカード所有者は、承認されたユーザーIDを自分のアカウントに追加するための手数料を受け取る。 承認されたユーザーにクレジットカードは発行されない。ある期間クレジットアカウントに座り、カード所有者のクレジット履歴を「継承」する。 

　credit line (クレジットライン：信用与信額)がCRAに報告されると、承認されたユーザーとしてアカウントから合成アイデンティティを削除できるが、クレジット履歴は保持される。 詐欺師は複数のカード発行者にクレジットを申請する。 複数のクレジットラインを獲得することで、詐欺師はギフトカードやスマートフォンなどの貴重な商品や簡単に売れるエレクトロニクスなどの商品を購入することで、すべてのクレジットラインを最大限に活用する。 

　この例では、詐欺師はまた、クレジットラインが最大化され、価値のないまたは偽造品の小切手で払い戻され、その小切手の支払いがなされる前に再び融資額を最大化される「バスト・アウト・スキーム(bust-out scheme)」(筆者注5-2)を実行することができる。これにより、クレジット会社には元の与信限度の2倍のエクスポージャー(無返済リスク)が発生する。よく組織化された犯罪者は、このプロセスを複数回繰り返すのである。 

　承認されたユーザーを追加するために募集されたカードの所有者は、一度に50人までアカウントに登録される。 カード所有者は、他の人が信用を確立したり修復するのを助けるために、良き信用履歴を寄付していると信じているかもしれない。ドナーとクレジット・アシスタンスを必要とする多くのクレジット・リペア/ピギーバック・ブローカーがいる。不正行為に結びついたアイデンティティを継続的に生成するアカウントは、受粉者アカウント(pollinator accounts)と呼ばれる。 

　たとえば、合成IDには2014年6月にクレジットファイルが作成され、小売ショッピングセンターに関連付けられた住所が使用されていた。8月には、信用限度額$ 55,000の熟練した取引ラインが合成IDに追加された。承認されたユーザーを追加してから2ヶ月以内に、合成IDは140,000ドルをうまくやり、無担保のクレジットで200,000ドルを蓄えた。 

• 銀行A：10,000ドル 

• 銀行B：10,000ドル 

• 銀行C：50,000ドル 

• 銀行D：$ 5,700 

• 銀行E：$ 20,000 

• リテール1：16,000ドル 

• リテール2：20,000ドル  

　この調査では、ほとんどの購入品に小売ギフトカードとハイエンド(最高級)商品が含まれていることが明らかになった。1人のCRAの調査官は、Verizon Wirelessや他の同様の業者がスマートフォン、特にiPhoneをターゲットにしていることを示した。 

******************************************************************************

(筆者注1) Identith Theft Procection Servicesについては連邦取委員会(FTC)が4頁ではあるが簡潔に整理している。 

(筆者注2) カナダでも大きな社会問題となっている。 2014..3.3 カナダCBC news「How 'synthetic' identity fraud costs Canada $1B a year：'Server Froze' among list of implausible fake ID names」

 (筆者注3) 米国の金融機関を対象とする「なりすまし詐欺」については2008年11月に筆者のブログ「米国の金融機関等の『なりすまし詐欺犯罪』対応規制強化の最新動向」(その1)、 (その2)、 (その3完) で詳しく論じている。 

(筆者注4) 全米州議会議員連盟(NCSL)は、2014時点の30州およびプエルトリコ自治連邦区のODなりすまし犯罪に関する刑事立法動向を「Identity Theft 2014 Legislation」として集約している。 

(筆者注5) ピギーバッキング:正当に通行許可を得ている人が、通行許可を得ていない人を連れて、セキュリティーシステムによって通行制限がかけられているドアやゲートを一緒に通り抜けること。

(筆者注5-2)”bust-out scheme”につき、2011.4.6 FBI Okrahoma City Divisinのリリースをもとに具体例で説明する。

　被告コルサイード・ガイル( Khawer Saeed Ghill：別称 Ghill)とアッサン・ウーラ(Ahsan Ullah ：別称“Ibrahim Khan”および“Shawn Ullah”)は、2003年3月から2007年4月の間に、ローンの返済する意図を持たずに不正にローンを取得することを狙って、金融機関や商業ビジネスに対する詐欺を企てた。さらに、両被告は、銀行、信用組合、クレジットカード会社、小売店を含む様々なクレジットカード発行会社から、銀行やクレジットカード会社、および小売店へ返済を意図しないままでクレジットカードの「意図的債務破たん(bust-out)」活動を通じてクレジットカードのキャッシング目的で金銭や財産を得たとされている。このbust-outの犯行手口の過程で、50を超える別々のクレジットカードが発行され、クレジットカード発行者と銀行は合計で約50万ドル(約5550万円)の損失を被ったと言われている。

　この手口では、GhillとAhsan Ullahは、「銀行詐欺(bank fraud)」(筆者注5-3)およびマネーロンダリングを行うための陰謀を図ったとされた。 有罪判決を受けた場合、これら2人の男性はそれぞれ最高30年の拘禁刑および100万ドル(1億1,100万円)の罰金に直面することになる。

　なお、bust -out fraudからいかに金融機関が被害を受けないかにつき、Experian Decision Analyticsの白書「バストアウト詐欺：何を狙うべきかを知っていれば、金融機関は収益を守ることができるか(Bust-out Fraud：Knowing what to kool for can safegurd the bottom line)」が詳しく、かつ専門的に解説している。

(筆者注5-3)わが国で”bank fraud”につき定まった訳語さえない。「銀行詐欺」では銀行が犯罪者になってしまう。そこで簡潔な解説サイトを引用、仮訳する。

　銀行等金融機関向け詐欺(いわゆるbank Fraud)は米国の連邦ホワイトカラー犯罪であり、虚偽または詐欺的なふりをして金銭、資産、クレジットまたは証券を金融機関から詐欺または詐欺しようとするものである。また 詐欺的なローン文書の作成、クレジットカードの発行申請および資金不足小切手(writing bad check)の作成も、他の刑法とともの長期にわたる銀行詐欺犯罪者として訴求される可能性がある。

　同詐欺により保護される金融機関は、米国内で認可され、かつFDIC、National Credit Union Association、および連邦政府により支援されている住宅ローン会社による保証を受けているものである。

　Bank Fraudの処罰に関連する法律は、合衆国法典第18 USC 1344 条に概説されている。これは、金銭、証券または財産の金融機関に対する詐欺行為を特に禁止しており、複数の預金口座を巧みに利用して、実際以上に資金が多くあるように見せ掛ける「チェック・キッティング(check kiting)」の場合にも適用されることを意図している。

 ****************************************************************** 

Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only.You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

 

合成的に新たなアイデンティティを術策する詐欺(Synthetic Identity Theft：SIT)対策をめぐる信用情報機関、行政監督機関等の具体的取組みと更なる課題(その2完)

(2) 承認されたユーザープロセスを利用 

 　承認されたユーザープロセスは、ほとんどの合成IDがどのように作成されるかである。 承認されたユーザーをアカウントに追加することは合法であり、クレジットカード発行者が許可する。これは通常、配偶者や子供の追加などの正当な目的で使用される。  

　詐欺師は、承認されたユーザープロセスを利用し、カード所有者を積極的に募集して、未知の人物/身元をカードに追加する。正当なカード所有者は、この技術を使用して、「ピギーバック(piggybacking)」 (筆者注5)と呼ばれることがある。正当なカード所有者は、承認されたユーザーIDを自分のアカウントに追加するための手数料を受け取る。 承認されたユーザーにクレジットカードは発行されない。ある期間クレジットアカウントに座り、カード所有者のクレジット履歴を「継承」する。 

　credit line (トレード・ライン)がCRAに報告されると、承認されたユーザーとしてアカウントから合成アイデンティティを削除できるが、クレジット履歴は保持される。 詐欺師は複数のカード発行者にクレジットを申請する。 複数のクレジットラインを獲得することで、詐欺師はギフトカードやスマートフォンなどの貴重な商品や簡単に売れるエレクトロニクスなどの商品を購入することで、すべてのクレジットラインを最大限に活用する。 

　この例では、詐欺師はまた、クレジットラインが最大化され、価値のないまたは偽造品の小切手で払い戻され、小切手の支払いが返される前に再び最大化されるバスト・アウト・スキーム (筆者注5-2)を実行することができる。これにより、元の与信限度の2倍のエクスポージャーが発生する。よく組織された犯罪者は、このプロセスを複数回繰り返すことができる。 

　承認されたユーザーを追加するために募集されたカードの所有者は、一度に50人までアカウントに登録される。 カード所有者は、他の人が信用を確立したり修復するのを助けるために、良き信用履歴を寄付していると信じているかもしれない。ドナーとクレジット・アシスタンスを必要とする多くのクレジット・リペア/ピギーバック・ブローカーがある。 不正行為に結びついたアイデンティティを継続的に生成するアカウントは、受粉者アカウント(pollinator accounts)と呼ばれる。 

　たとえば、合成IDには2014年6月にクレジットファイルが作成され、小売ショッピングセンターに関連付けられた住所が使用されていた。8月には、信用限度額$ 55,000の熟練した取引ラインが合成IDに追加された。承認されたユーザーを追加してから2ヶ月以内に、合成IDは140,000ドルをうまくやり、無担保のクレジットで200,000ドルを蓄えた。 

• 銀行A：10,000ドル 

• 銀行B：10,000ドル 

• 銀行C：50,000ドル 

• 銀行D：$ 5,700 

• 銀行E：$ 20,000 

• リテール1：16,000ドル 

• リテール2：20,000ドル  

　この調査では、ほとんどの購入品に小売ギフトカードとハイエンド(最高級)商品が含まれていることが明らかになった。1人のCRAの調査官は、Verizon Wirelessや他の同様の業者がスマートフォン、特にiPhoneをターゲットにしていることを示した。  

(3) データ提供スキームの利用 

　データ提供は非常に効果的な戦術であるが、より洗練された組織化が必要であり、中小企業では謀略的な内部関係者を必要とする場合がある。この方法では、CRAによって審査され、顧客に提供されたクレジットアカウントで支払い履歴を提供または提供することが承認された「ダミー会社(front company)」を不正行為者として使用する必要がある。 

　これらのダミー会社は、 不正行為の目的で作成された新会社でも、組織内の所有者または個人（例えば、信用または財務管理者）が組織化された不正行為によって損なわれている既存の企業でもよいといえる。  

　データ提供スキームでは、合成IDを作成することができ、既存の合成IDのクレジットファイルを充実させることができる。 典型的な方式は次のように動作する。 

•  ①「申請者」は、中古車などのビジネス製品の架空の購入に対してクレジットを申請し、認可される。 

• ②毎月、事業者は、ファントムクレジットを提供した合成IDに関連するクレジットアカウントの支払いを報告する。 

• ③数ヶ月にわたり、合成IDの信用スコアが向上し、詐欺師が犠牲者たるカード発行者からより多くの無担保信用を得ることができる。その結果、被害が広がる。 

　 CRAがデータ提供者の製品価値をはるかに上回る金額のクレジット・アカウントなどの異常を特定するため、合成ID活動に従事するデータ提供者を特定することができる。 さらに、CRAは、複数の合成IDを特定のデータ供給者にリンクすることができる。  

２．合成によるアイデンティティ詐欺：米国Revere Bank「SIFの検出と予防

  米国Revere Bank「SIFの検出と予防Synthetic Identity Fraud: Detection and Prevention (2015年9月7日)から関係部を抜粋のうえ、仮訳する。

 (1) Synthetic Identify Fraudとは如何なるものか？ 

　合成による新たなアイデンティティ作成詐欺（SIF）には、盗難された社会保障番号（SSN）を実際の情報と加工された情報の組み合わせで頻繁に使用して架空の身元を作成することが含まれる。検出を遅らせるために、多くの組織化された犯罪者リングは、子供、高齢者および他の脆弱な集団のように、活発に使用されていないSSNを選び、ID偽造の対象とする。 

　合成アイデンティティ詐欺は伝統的な「なりすまし詐欺」とは異なるが、同様な損害を与える。 伝統的ななりすまし詐欺の際、加害者はあなたの情報を使ってあなたを偽装する。一方、SIFでは、詐欺師はあなたの情報を取り込んで新しいアイデンティティを作る。偽装自体はない。それにもかかわらず、詐欺師がいったんこれらの「架空の身元」を作成すると、クレジットの申請、預金口座の開設、保険契約の購入、医療給付の登録、運転免許証やパスポートの取得など広い範囲の不正が行える。

 (2) なぜSIFは検出が難しいのか？ 

　個人情報の盗難を検出するコンピュータシステムは、個人情報（名前、住所、SSNなど）を確立するために複数の個人情報に一致するように設計されている。 システムがこれらの要素のすべてに一致するものがなければ、その検知システムは動かない。一方、 SIFは実際のデータと架空のデータを組み合わせているため、従来の検出システムでは問題が検出されない場合がある。 

SSNが盗まれた場合、SSNのみで検索を行う収集機関によって簡単に検出されるが、名前と住所が作成されていれば、犯罪者を追跡することは困難である。 

(3) SIFの危険性は何なる点か？ 

　SIFは検出するのが難しいため、詐欺師は詐欺的な購入や不正な信用供与ラインを開くまでに時間がかかる。 検出に時間がかかるほど、疑わしい犠牲者にはより多くの被害を与えることができる。すなわち、詐欺手口の例としては、① 即時クレジットマックスの利用：詐欺師はクレジット口座を開設、すぐに機関、小売業者、およびその他の貸し手から可能な最大額の与信を引き出す。② 睡眠口座(sleeper account)： これらの口座はすぐに活性化され、信用限度額を増やすために良好な状態を維持することができるが、時間が経つとデフォルトにすることができます。 アカウントが存在する時間が長くなればなるほど、架空のカード保有者は現実のように見え、信用枠の追加対象となる。 

(4)自分を守る方法とは？ 

① 個人の口座番号またはSSNを含む文書は常にシュレッダーする。

② SSNカード、パスポートなどの安全なロックボックスに正式な身分証明書を保管する。

③ 施錠可能なメールボックスを取得する。

④ SSA があなたに毎年通知している公的年金ステートメント（Social Security statement）に記載した給与支払額等に誤りがないか確認する。 

　ほとんどの場合、このような人為的な個人情報の盗難(SIF)は何年間も検出されない。そして犠牲者は、詐欺師が不正支払いを履行しなくなった後でしか検出できず、 かつ犠牲者はSSNに基づいて債務者から嫌がらせを受けるようになる。 これらの脅威から身を守るためには、常に金融機関等からの警告サインを探し、あなたの個人情報の内容に常に注意を払ってください。  

３．アイデンティティ・セフトからの本人保護サービス

　GAOは、 2017年3月30日に連邦議会あて報告「Identity theft (Protection )services：いくつかの利点を提供しするが、他方でこの新型詐欺防止には限界がある」を行った。

　以下、ハイライト資料を以下、仮訳するが、詳しい個々の内容は報告全文(70頁)を参照されたい。 

(1) GAOが明らかにした点 

　アイデンティティ盗難サービス (筆者注1)にはいくつかの利点があるが、一方で制限がある。個別に論じる。 

① 信用モニタリング(credit montoring)：ユーザーに警告することにより、新規口座詐欺（新しい未承認口座の開設）を検出するのに役立つが、他方で詐欺を防止したり、盗難されたクレジットカード番号の不正使用など既存口座に対する詐欺に対処できない。 消費者は、消費者の信用報告へのアクセスを制限することにより、新規口座詐欺を防止することができる低コストの信用凍結を要求しており、信用モニタリングにかわる信用監視の代替手段を持つべきである。 

② 「アイデンティティのモニタリング(identity Monitoring)」は、公的な記録や不正なウェブサイトなどのソースを監視することによって、特定の個人情報を悪用されることを消費者に警告することができるが、なりすまし詐欺を緩和する効果という点では、なお不明である。

 ③ 「アイデンティティの復元(Identity restoration )」：なりすまし詐欺の影響を改善しようとするが、サービスのレベルは異なる。一部のプロバイダは、消費者の側に立って債権者とやりとりするなどの実践的な支援を提供する一方で、大部分のプロバイダーは、より限られた給付のため自立救済情報を提供するのみである。

 ④ 「個人情報盗難保険(identity Theft insurance)」：個人情報の盗難の是正のプロセスに関連する特定の費用をカバーするが、一般的に直接的な金銭的損失は排除されるため、クレームの数と金額は実際より低くなっている。

　これらのサービスは、通常、医療上のアイデンティティや税金払い戻しの詐欺など、いくつかの種類の詐欺被害の脅威に対応していない。  

　様々な要因が、なりすまし詐欺保護対策サービス(Identity theft (protection) services)の提供に関する政府および民間部門の意思決定に影響を及ぼし、これらのサービスに関連する連邦政府の指導が改善される可能性がある。 連邦部門では、特定の機関になりすまし詐欺被害支援対策サービスを提供するよう法律が要求している。

 　たとえば、人事管理局（OPM）は、2015年のデータ違反(筆者注6)の影響を受けた個人に10年間サービスを提供するとともに、500万ドル(約5億4,500万円)の個人情報盗難保険を提供することを法律で要求している。  

　しかし、支払保険金が数千ドルを超えることはめったにないため、この保険金のレベルは不必要である可能性が高い。このような要件は、不必要に連邦政府の費用を増加させ、消費者にそのような保険範囲の恩恵について誤解を与え、市場での不当な補償範囲の拡大を引き起こす可能性がある。 

　OMBは、情報漏えいに対する政府機関の対応についてのガイダンスを持っているが、このガイダンスは、OMBのリスク管理と内部統制ガイダンスに沿った、より低コストの代替案に対するこれらのサービスの有効性については言及していない。 

　さらに、OPMは、2015年の違反の両方によって影響を受ける約360万人の人々に対して重複した個人情報盗難サービスを提供し、OMBは連邦政府機関が潜在的に無駄な重複を避けるためのオプションを探究していない。 

 　また、OPMは個人情報侵害対応ポリシー.には、GAOによって以前に特定された主要な業務慣行とは対照的に、ID盗難サービスの提供時期を決定するための基準や手順は含まれておらず、OPMは、将来の情報に基づく意思決定を妨げる可能性のある過去の違反行為の対応策についてつねに文書が出せない。 民間部門では、企業は、責任を回避したり、州法を守るなど、個人情報の盗難のリスクを軽減する以外の理由で、データ侵害の無料の個人情報盗難サービスの影響を受ける消費者を提供する。  

４．GAO のSynthetic identity fraud（SIF)Forum に関するreport 　

　レポート内容のハイライト文を以下、仮訳する。 

　Synthetic identity fraud（SIF）は、加害者が社会保障番号（SSN）や名前などの実在情報や架空の情報を組み合わせて、金融機関、政府機関、個人を不正にする可能性のある身元を作成する犯罪である。 2017年7月現在、SIFの規模は不明であったが、パネリストはこの種の不正行為が広範な影響を及ぼしていることに同意した。 例えば、あるパネリストは、銀行がSIF関連の未払い債務により年間約5,000万ドル〜2億5,000万ドルを失った可能性があると指摘した。 政府機関もこれら損失に直面する可能性がある。 例えば、あるパネリストは、ある州がSIF関連の失業保険金詐欺罪で推定2億ドルを支払ったと述べた。また、あるパネリストは、SIF犯罪者がマネー・ローンダリングを通じてテロ組織に資金を提供した例についても説明した。 

(1) SIFが原因となる広範な脅威

 

 

　パネリストは、公的機関と民間機関がSIFと闘う際に直面する多くの課題を特定し、いくつかの課題に取り組むための選択肢を以下のとおり特定した。 

(1)SIFの被害の予防(Prevention)：金融機関のプライバシー法の解釈は、詐欺的不正行為についての情報共有や法執行機関との情報共有を制限する。追加的な明確な法規制ガイダンスの策定等により、金融機関同士の情報共有を改善できる可能性がある。 

(2)•SIFの検出：民間および公的機関は、SIFを識別するために従来の不正検出手法（犠牲者の自己申告など）を使用する傾向がある。SIFでは、犯罪を報告する犠牲者はいないかもしれない。見かけ上は関連付けられていない複数の銀行口座（例えば、同一の顧客電話番号を有する異なる口座を識別するデータ・マイニング）を検出する高度なデータ分析は、従来の方法よりもSIFを検出する方が効果的である。

(3) SIF行為の訴追：社会保障庁（SSA）は、法執行機関の努力を遅らせることができるSSN検証の外部要求に対して、SSA給付に関連する詐欺事件に関するその資源に優先順位を付けた。 

　しかし、支払保険金が数千ドルを超えることはめったにないため、この保険金のレベルは不必要である可能性が高い。 このような要件は、不必要に連邦政府の費用を増加させ、消費者にそのような保険範囲の恩恵について誤解を与え、市場での不当な補償範囲の拡大を引き起こす可能性がある。

 (2) GAOがこの研究を行った理由 

　データ漏えいを経験した民間企業や政府機関は、影響を受ける消費者に、通常、信用調査(credit monitoring)、身元調査(identity monitoring,)、身元の復旧(identity restoration)、個人情報盗難保険などの個人情報盗難サービスを提供します。  2015年のデータ侵害に対応して、OPMはID盗難サービスに約2億4000万ドルの義務を負う2件の契約を授与した。  

　 GAOは、ID盗難サービスとその有用性に関連する問題を検討するよう議会から要請を受けた。 このレポートは、他の目的の中でも、（1）ID盗難サービスの潜在的利益と限界、および（2）政府および民間部門の意思決定に影響を及ぼす要因を調査します。  GAOは製品、研究、法律、規制、連邦指導および契約を見直し、大規模な市場参加者であったため、連邦政府機関、消費者団体、業界関係者、選出された8名のプロバイダーにインタビューした。  

(3) GAOが推奨した事項 

　連邦議会は、データ漏洩後に提供される個人情報盗難保険の適切な保険適用範囲レベルを、連邦機関が決定することを認めなければならない。 OMBは、アイデンティティ盗難サービスの代替案に対する有効性を分析し、連邦政府機関のこれらのサービス提供における重複に取り組むための選択肢を検討すべきである。OPMは、これらのサービスを提供する際の違反対応方針を取り上げ、その意思決定プロセスを文書化する必要がある。 OPMは、同連邦機関に対するGAOの勧告に同意した。 

******************************************************************************

(筆者注5-2)「バスト・アウト」の定義をあげておく。

クレジットカード詐欺の一種で、個人がクレジットカードを申請し、当初は通常の使用パターンと堅実な返済履歴を確立するが、次に請求書の金額を支払うつもりはないのに、数多くかつ限度額までを利用する。 バスト・アウトは、個人がカード発行者の信頼を発展させる初期段階と、多数の口座を開設し、クレジットラインの増加を受けて詐欺の第2段階でより多くの資金が利用できるようにする強い信用プロファイルを備えようとするもので、当該個人は、返済する予定のないクレジットカード取引を行うものである。

(筆者注6) 2015.7.11 日経ITpro記事「米政府人事管理局、2000万人以上の個人情報が流出」 参照。

**************************************************************************

Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only.You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

 

 

「中国のサイバーセキュリティ監視機関が国内人気オンラインサービス10社のプライバシーポリシーの監査計画を発表」(その4完)

5．当社は、あなたの個人情報を如何に管理するか。(您如何管理您的个人信息。)

5.1 高徳は、あなたの個人情報の最重要扱いし、および個人情報を管理する方法を提供する。あなたは、問い合わせ、修正、管理、あなたの情報を削除し、またあなたのプライバシーとセキュリティを保護する権利を有する。 

5.2 法律や規則に定める例外的な場合を除き、当社はそのサービスを使用するときは常に、あなたの個人情報へのあなたがスムーズにアクセスできるよう努める。あなたは、次のようにアクセスする権利を行使することができる。 

（1）アカウント情報：あなたは、あなたのアカウントにアクセスしたり、プロファイルを、編集したり、パスワードを変更、セキュリティ情報を追加したり、アカウントの閉鎖など、を欲した時は、あなたが使用する製品では、以下のような操作を行うことができる。 

（2）情報の使用：あなたは表示または検索履歴、ナビゲーション記録および運転実績をクリアすることができる。 

（3）注文にかかる情報：あなたは製品等にかかる注文の記録、取引記録や請求書記録をチェックしたりクリアすることができる。 

5.3 あなたが自身の個人情報を更新したり、当社の個人情報の処理をにエラーを見つけたときに、修正や更新を行う権利を持つ。あなたは製品に修正を自分で作ることができ、またはフィードバックおよび誤り訂正を行うことができる。あなたが更新または訂正する前に、当社は最初の要求内容を処理する前に、あなたの身元を確認をお願いすることがある。 

5.4 次の場合、あなたは当社に対しあなたの個人情報の削除要求を提出することができる。

（1）当社が法律や規則に違反して個人情報を取り扱う場合。  

（2）当社が収集した場合、あなたの個人情報を使用したが、あなたの同意を持っていなかった場合。  

（3）当社があなたとの契約に違反して個人情報を取り扱う場合。  

（4）あなたがアカウントナンバーを取り消した場合。  

（5）当社が、生産活動やサービスを終了した場合。  

5.5 あなたは、アカウントの取り下げ操作による退会、同意の撤回、並びに継続した個人情報の収集・使用の取り下げ、または一部ライセンスの撤回、非拘束化(unbinding)、削除、アカウントの閉鎖等を行いうる。あなたは、一度同意または認可を取り下げたら、当社はあなたにあなたの同意または認可の取下げにかかるサービスを提供し続けることができないで、あなたの個人情報をもはや処理しない。しかし、あなたの同意または認可を撤回するというあなたの決定は、あなたの同意または認可の前に実行された個人情報には影響を及ぼさない。  

5.6 あなたは上述の方法により個人情報にアクセス、修正、削除することができないとき、またはあなたが高徳がいかなる法律、行政法規またはあなたとの合意に違反にしてあなたの個人情報が使用されたと信じる場合、その他の問題があるという場合、あなたは当社に連絡するために、高徳のカスタマーサービス窓口を通してそうすることができる。セキュリティ上の理由により、当社は、文書による要請を求めるか、他の方向であなたの身元を証明することをあなたに要求するかもしれない。当社は、あなたのフィードバックを受けて、かつあなたの身元を確かめるため30日以内に、あなたの要請に応じる。  

5.7 あなたは、製品やサービスで登録されるアカウントを取り消すことができる。さもなければ法律や規則によって提供される場合を除いて、当社はあなたのアカウントを取り消して、あなたの要請によってあなたの個人情報を削除した後にあなたに製品・サービスを提供するのを止める。アカウントの取り消しは重要な変化のあなたの使用にとって重要な変更に当たるので、あなたがこの活動を使うことを勧めない。あなたが手紙を書く必要があるならば、高徳のカスタマーサービスチャンネルを通して当社に連絡してほしい。当社は、あなたの高徳アカウントの取り消しにかかるためあなたの身元情報を確認する。 

5.8 あなたの合理的な要求に関し、当社は原則として費用は要求しないが、合理的な要求の限界を超えて繰り返す時は、当社は状況に応じて費用を請求する。 

5.9 当社は、質問、訂正、管理、削除とアカウントの取り消し要求に関し、あなたの個人情報に合致すべく合理的なビジネス上の努力を行う。しかしながら、、無防備な重複のために、過剰な技術的な手段が必要な場合（たとえば、新しいシステムを開発するとか、基本的に既存の実務を変える必要があるなど）、リスクまたは法的権利や利益として非現実的な要求(たとえば、バックアップテープに格納される情報の提供等)については、当社はあ

・・・・・・

 

(1）国家安全保障、国防にかかる場合。  

(2）公共の安全、公衆衛生、重要な公共の利益にかかる場合。  

（3）犯罪捜査、起訴および裁判にかかる場合。  

（4）あなたが主観的に悪意または権利の濫用を行っているとする十分な証拠がある場合。  

（5）あなたの要求を拒否するかもしれない。 

5.10 以下の事例では、わが国の法律および規則の要件に従い、当社はあなたの要求に応えることができなくなる。 

（1）国家安全保障、国防にかかる場合。  

(2）公共の安全、公衆衛生、重要な公共の利益にかかる場合。  

（3）犯罪捜査、起訴および裁判にかかる場合。  

（4）あなたが主観的に悪意または権利の濫用を行っているとする十分な証拠がある場合。  

（5）あなたの要求に応じることが、あなたや他の個人にとって正当な権利および組織の利益にとって深刻な損失を被る場合。  

 6．あなたの個人情報を誰と共有するか。(您共享的信息。) 

6.1 あなたは、当社のサービスに基づきあなたの位置情報を他人と共有し、かつあなたの検索、共有、情報交換等関係する情報を見うる第三者と通信するために他の人とあなたの情報を共有できる。 

6.2 もし、他の人とソーシャルネットワークを行ったり、または第三者サービスプロバイダと対話するとき、あなたの位置、場所またはその他の個人情報を共有し、また第三者サービスまたは第三者のサービスへのリンクの使用の組み合わせを共有するときは、第三者はあなたの個人情報へのアクセス、および広告目的で、ランダムな匿名IDを取得することがある。 

6.3 当社は、このようなソーシャルネットワークや第三者サービスプロバイダーがプライバシーステートメントにおいてあなたの個人情報をいかに処理しているかにつきをレビューすることを勧める。個人情報を他に提供するか、共有するために第三者サービスの利用から生じる結果は、あなた自身のリスクであり、法律の範囲内で当事者がぞれが負うべき責任である。  

6.4   あなたが製品またはサービスにおいて公に情報を共有するとき、誰もが写真、評価、その他アップロードしたその他の情報につき高徳で使用したりしなかった場合でも、閲覧、アクセスができる。あなたが当社のサービスを利用する際、任意で共有するの個人情報は、あなたまたはその他の人から得た個人機微情報が含まれる点を記してほしい。あなた自身個人情報の慎重な扱いと自己責任に留意されたい。 

7．個人情報の取扱いの準拠法および紛争解決方法(适用法律与争议解决。)    

7.1 抵触法にかかわらず、このポリシーの適用、解釈および和解手続きは中華人民共和国の法律による。 

7.2本ポリシーの内容および紛争時の適用において、あなたおよび高徳の両者は  解決に向け友好的協議を行うべきであり、仮に両当事者が紛争を解決するために交渉することができない場合、両当事者は、被告の住所地を管轄する人民法院の判決(people’s court ruling)を仰ぐことに同意するものとする。  

8．未成年者の保護施策。(未成年人保护。)  

8.1 当社は、未成年者(筆者注28)の個人情報保護の重要性に重きを置く。もし、あなたが未成年者であるときは、あなたの保護者(guardian)が当社のサービス利用にあたり、このプライバシーポリシーを注意深く読みかつあなたの保護者による同意のもとで当社に個人情報を提供するよう勧奨する。

8.2 あなたは保護者の同意を得ることができないか、またはあなたが保護者の当社のサービスおよび情報の当社への提供に同意しない場合、ただちに当社のサービスの使用を停止し、当社と連絡を取ってください。 

8.3 あなたの書面による通知の受領にもとづき、あなたは高徳が保護者に事前の同意なしに収集した関係する個人情報をただちに削除することを理解されたい。 

9．本ポリシーの改正(变更)   

9.1 このプライバシーポリシーは、それ以外の場合は明らかでない限り時々変更されるが、その改正ポリシーは遡及効果がある。  

9.2 あなたの明示的な同意がなければ、当社は、このプライバシーポリシーの下であなたの権利を減らすことはない。 

9.3 重要な改正については、当社はそのような製品の通知書の中やウェブサイトでの告知等、合理的かつ効果的な方法で発表を行う。 このポリシーの重要な変更は、以下に限定されない。 

（1）当社のサービスモデルを重大な変更。 

（2） 個人情報の変更の公表の主要目的。  

(3）個人情報の処理や実施する方法へのあなたの参加についての重大な変更。  

（4）当社の連絡先情報や苦情窓口の変更。  

9.4 当社は、またあなたの参照のためにこのプライバシーポリシーの古いバージョンを保管する。  

10．問い合わせ窓口(联系我们。) 

　以下は略す。 

***********************************************************

(筆者注28) 中国における未成年は、18歳未満である。 

*********************************************************

Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

 

「中国のサイバーセキュリティ監視機関が国内人気オンラインサービス10社のプライバシーポリシーの監査計画を発表」(その３)

2.当社はクッキーおよび同様の技術を如何に使用するか (我们如何使用Cookie和同类技术) 

2.1 あなたが高徳の製品やサービスを利用するとき、当社はあなたをよりアクセスしやすいと感じさせるために情報を集め、格納するためにいろいろな技術を使用しうる。そして、この匿名識別子(Anonymous identifiers)の手続中において、あなたのデバイス装置に一つ以上のクッキーを送りうる。そうすることであなたのアクセス慣習を理解し、またあなたを繰り返し登録情報を入力するためにステップを保存するか、あなたのアカウント・セキュリティを決定するのを支援する。  

2.2 あなたが高徳の製品やサービスを利用するとき、当社はあなたの嗜好を理解したり、行動面の助言やデータ分析の分析、さらに製品やサービスならびにユーザー経験の改善、公告宣伝効果の向上、セキュリティリスクの回避や、ユーザーやパートナーにとってより良いサービスを提供するために情報を収集する。 

2.3 当社は、このポリシーに記載した目的以外の目的のためにクッキーを使用することはない。また、あなたはあなたの好みに従いクッキーを保持または削除することができる。あなたは、ソフトウェア中の保存されたすべてのクッキーを削除でき、あなたのクッキー情報は手動でクリアーされたときに削除される。(我们不会将Cookie用于本政策所述目的之外的任何用途，您可根据自己的偏好留存或删除Cookie。您可清除软件内保存的所有Cookie，当您手动清除后您的相关信息即已删除。) 

３．当社は、あなたの個人情報を如何に共有、移転および公開するか。(我们如何共享、转让、公开披露您的个人信息)  

3.1 共有(共享) 

3.1.1 当社は、次にあげる例外を除いて、高徳およびその関連会社外の企業、団体、個人とあなたの個人情報を共有することはない。(我们不会与高德及其关联公司以外的任何公司、组织和个人分享您的个人信息，但以下情况除外)  

（1）あなたの明示的な事前の承認または同意を得た場合。  

（2）適用法令、法的手続または強制力をもった政府の要求または司法判断が必要となるため提供せざるをえない場合。  

（3）高徳のユーザーまたは公衆にとっての法的要求や認可された範囲の利益、財産や安全を保護するため提供に必要がある場合。  

（4）学術研究の目的がある場合。 

（5）法令等の遵守のため社会、公共の利益に基づく場合。  

（6）あなたが署名（これらの条件に関する）したその他の法的文書の条件に従う場合。  

(7) 当社のサービスのいくつかは、承認されたパートナーにより提供されるが、高徳はこのようなパートナーとして第三者に個人情報を提供することができる。当社のパートナーは、その他の目的のために個人情報を共有する権利はない。

 　「アフィリエイト会社(关联公司)」 (筆者注26)とは、関連会社であり、法的相続人たる会社、法的機関および管理下に置かれるまたは関係して管理する会社をいう。ここでいう「関連(控制)」とは直接または間接に議決権の過半数を保有する手段を持つ場合、または（2）を直接または間接的に配当可能利益(distributable profits)の大部分を有する場合、または（3）以上の直接的または間接的な制御が半分取締役会のメンバーで構成される場合、または（4）に直接または間接的に登録資本金の半分を保持している場合をいう。 

3.1.2 当社が認可したパートナーとは、具体的に次の種類が含まれる。  

(1） サプライヤー、サービスプロバイダーおよび他のパートナー： 

　当社は、事業を世界規模で支える供給元、サービスプロバイダーおよびその他のパートナーに個人情報を送る。これら情報には技術的な基盤サービス（製品/製品の範囲内の機能的なサービスが、宣伝効果とサービスを測るために当社のサービス・ウェイの利用を分析して、カスタマーサービスを提供するために、支払いを容易にするためにつながると定めているか、アカデミックな研究と調査のための）を提供することも含む。 

(2）広告のパートナー、通信サービスクラスパートナーとして承認したパートナー 

　当社は、あなたの許可がない限り、広告、分析目的でパートナーとあなたの個人情報を共有することはない。ただし、当社はあなたから直接得られた個人情報から形成した肖像画を形成し、またパートナーが、広告、アナリティクス・パートナー共有サービスを提供するために、あなたの間接的個人情報を使用することがあるので、ご了承ください。 当社は、これらのパートナーにその広告カバレッジ(筆者注27)と広告の効果に情報を提供するが、それはその個人そのものを特定しない。  

(3) 調査・コンサルティング、パートナーのタイプ別信用調査(credit investigation)

　関連したパートナーとの合意または文書、法令、法的手続きまたは義務的な政府の要求または司法判断、金融機関、信用情報機関、法的必要性と免許内容を理解されたい。当社は、あなたの信用状況や関連する能力の判断のため、包括的な統計、解析、処理その他の処理のためこれらパートナーとあなたの個人情報を統合、共有するであろう。 

3.1.3 当社は、個人情報の共有に関し、企業、団体、個人と厳格な秘密保持契約の締結するとともに、当社の指示に従うことを求め、このプライバシーポリシーおよび個人情報に対処するための他の適切な機密性とセキュリティ対策を求める。 

3.2 個人情報の転送および開示の制約 

3.2.1 当社は、高徳およびその関連会社ならびに次の例外を除いて、団体、個人にあなたの個人情報を移送しない。 

（1）あなたの明示的な事前の承認または同意を得た場合。  

（2）法令、法的手続きまたは強制的な政府の要求に応じる場合、または司法判断が必要となる場合に提供する場合。  

（3）あなたが署名（これら条件につき）その他の法的文書に従う場合。  

（4）当社が移転、合併、買収または清算に関わるとき、当社はあなたの個人情報を保持するための新会社を必要とするであろう。また、その新会社は、このプライバシーポリシーに拘束されることを継続するとともに、再編成につきあなたに承認を求めることになろう。 

3.2.2 当社は以下の状況でのみ、あなたの個人情報を開示する。 

（1）あなたの明示的な同意を得た場合、  

 （2）当社は、法律や規制、法的手続き、訴訟や政府当局の要求の下で、あなたの個人情報を開示することがある。 

4.当社は、あなたの個人情報を如何に保存、保護するか。(我们如何保存及保护您的个人信息。)  

4.1 高徳は、適切な業界標準のセキュリティ対策および紛失、誤用、不正なアクセスや漏えい、改ざんや破壊行為からあなたの個人情報を保存し、保護するための技術的手段を取る。あなたの個人情報は、パスワードにより制御されたサーバに格納され、アクセスが制限されている。 

4.2 あなたの個人情報は、高徳の製品またはサービスを使用する場合を除き、中華人民共和国の領土内に格納される。その個人情報のクロスボーダーの移送については、当社はあなたの承認を求める。(您的个人信息将储存于中华人民共和国境内，除您使用高德产品或服务时，如需跨境传输，我们将会单独征得您的授权同意。)  

4.3 当社は、この情報につき系列会社（個人情報にアクセスして、彼らの守秘義務を果たすことを彼らに要求するパートナー会社と他の第三者と同様に）の知りうる立場の従業員のみにアクセスを許す。彼らがこれらの義務に合致しないなら、説明責任を負うか当社とのパートナーシップを終了することになる。 

4.4 あなたの個人情報のセキュリティを保護するために 、、あなたが自身の身元を確認するために合理的な措置を取った後、あなたは情報にアクセスまたは変更することができる。この個人情報に誤りがある場合は、高徳は、あなたが正当な理由のために個人情報を個人情報を保持しなければならない場合を除き、はすぐに個人情報を更新または削除することができるさまざまな方法を試す。高徳は、偶発的または悪意のある破壊からあなたの個人情報を保護するため、製品やサービスのメンテナンスを改善することに務める。 したがって、別段の合意がない限り、あなたは、あなたが高徳の製品またはサービスの使用を継続するかどうかにかかわらず、高徳は製品やサービス情報の安全な保持に努める。 

 4.5 法律や規則またはこのポリシーの条項1.6の規定に基づき定められている場合を除き、当社は以下の場合にあなたの個人情報を保存する。  

（1）あなたが高徳の製品とサービスを継続して利用する間は、当社はあなたが個人情報を削除したりアカウントをキャンセルしない限りこれらを保存する。 

(2）あなたが、あなたの個人情報を削除またはアカウントのキャンセルしたとき、当社は36ヶ月以内はあなたの情報を保持するために継続する権利を留保する。 

（3） あなたの個人情報が匿名で処理されるとき、あなたのデータを使いまた配信することができる点に理解と確認を行ってください。そのような匿名データの保存と処理は、あなたに知らせかつあなたの同意を得ることはない。(请您了解并确认，当您的个人信息经匿名化处理后将形成可以使用及流通的数据，高德对此类数据的保存及处理将无需另行向您通知并征得您的同意。) 

4.6 インターネットは完全に安全な環境ではなく、電子メール、インスタントメッセージング、ソーシャル・ネットワーキング・ソフトウェアと暗号化は、あなたが対話をする際に、完全な暗号化されているか否かは決定できない。個人情報のセキュリティを確保するために相互に確認するために注意を払ってほしい。 

4.7 インターネットは100％安全な環境ではなく、当社はあなたから送られてきた情報の安全性の保護と維持に最善を尽くす。当社は、物理的、技術的または管理保護施設が被害を受けた時、不正アクセスの場合、またはあなたの法的権利に損害をもたらす、情報情報公開、改ざんや破壊の結果につき、当社はその対応する法的責任を負う。 

4.8 もし、あなたが不幸にも個人情報のセキュリティ不具合事故等に遭遇したときは、当社は法律や規則の必要条件に従って、ただちにあなたに通知する。基本的な状況やセキュリティ事故等の影響の可能性は、当社がとったかまたはとるであろう行為が、あなたの独立したリスクを防止し、軽減するとともの救済手段をとることになる。当社は、私たちは、迅速に、電子メール、手紙、プッシュ通知、電話等により情報提供するが、当社が合理的かつ効果的な方法をとったときはあなたとの間で、お互いにその情報のやり取りが困難な場合がある。  

********************************************************************

(筆者注26) ”Affiliates Company”についてポリシーの文言と離れ、解説文として一般的な補足をここで行う。

　「ある企業の議決権ある株式の20%超50%未満を保有する場合、または重大な影響力（Significant influence）を保持している場合、その企業のことを関連会社と呼ぶ。英語では、Affiliated company（単にAffiliate）や、Associated company（単にAssociate）と呼ぶ。なお、50%超100%の議決権を保有する場合は、持ち株会社(Holding Company)、子会社(Subsidiary Company)という。」 

(筆者注27) 送り手側が出した広告を受けとめることができる地域や、そこの世帯数などをいう。広告媒体の到着可能地域ともいう。 

*********************************************************

Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

 

「中国のサイバーセキュリティ監視機関が国内人気オンラインサービス10社のプライバシーポリシーの監査計画を発表(その2)」

Last Updated: feburary 13 ,2019

３．CAC,MIIT,SAC等による個人情報保護の改善キャンペーン

 　7月26日の新華社通信は、中国サイバースペース管理局（国家互联网信息办公室：Cyberspace Administration of China (以下「CAC」という)、産業・情報・技術部(中华人民共和国工业和信息化部：Ministry of Industry and Information Technology：MIIT）、公安部(中华人民共和国公安部)（Ministry of Public Security：MoPS）)、国家標準化委員会(国家标准化管理委员会：SAC) は、個人情報の保護を改善するための政府キャンペーンを開始する計画であると報じた。

　「個人情報保護を改善する行動計画」と呼ばれるこのキャンペーンは、中国で最も人気のある10のオンラインサービス会社のプライバシー・ポリシーの監査から始まる。 

　CACのサイバーセキュリティー調整局の担当官吏は、プライバシーポリシー監査は、2017年6月1日に発効した中国の新しい「サイバーセキュリティー法(中华人民共和国网络安全法：以下「CL」という)」を実施するための重要なステップであると指摘した。このプロセスを通じて、規制当局は個人情報の保護と中国のユーザーの情報使用によるサービス改善とのバランスをとることになろうと述べている。

 　今回の計画の導入は、政府機関における企業のデータ保護実務への関心の高まりを示している。中国で事業を行う企業は、法的要件やベスト・プラクティスに合致するため、プライバシー・ポリシーとデータ取扱実務(data protection practices)を見直し、検討することを行う必要がある。

(1) CACの行動の背景：個人情報標準化ドラフト 

　前回のInside Privacy記事 (第２節)で説明したように、CACは包括的なデータ保護の国家規格、すなわち情報セキュリティ技術－個人情報セキュリティ仕様 （「個人情報標準化草案）を開発する努力面でリードしている。CACは、2017年1月に個人情報標準草案に関する一般市民等のコメントを公募しており、この標準化草案は間もなく完成する予定である。 

　EU「一般データ保護規制(GDPR)」などの他の最新のデータ保護基準に相当する範囲で、個人情報標準化草案は、個人情報の「収集(collection)」、「使用(use)」、「保管(storage)」および「処理(processing)」を規制する。個人情報管理者(personal information controllers)および処理者(personal information processors )は、そこに規定されている諸原則、プロトコル、およびセキュリティ要件を遵守することが求められる。とりわけ、個人情報標準化草案では、個人情報管理者がプライバシー・ポリシーを策定のうえ、公開することが求められており、具体的に企業のプライバシーポリシーを評価するため、この監査で使用される可能性が高いプライバシーポリシー・テンプレートが提供される。 

 (2) 主要10社のプライバシーポリシーの監査 

新華社通信(Xinhua)の記事によると、微信(WeChat)(筆者注11)、新浪微博(Sina Weibo ) (筆者注12)、(筆者注13)、(筆者注14)、淘宝网(Taobao)  (筆者注15)、京东JD.com  (筆者注16)、支付宝(Alipay)(筆者注17)、高德地图：AMAP (筆者注18)、百度地图：Baidu Maps  (筆者注19)、滴滴出行：Didi Chuxing  (筆者注20)、航旅纵横(Umetrip) (筆者注21)、携程(Ctrip )  (筆者注22)の10社の中国のオンラインサービス会社が最初に監査されることになる。これらの企業のサービスは、ソーシャルメディア、電子商取引、オンライン決済、デジタル・マッピング、チケット予約サイトなど、個人情報が積極的に収集される分野を対象としている。

　監査項目としては、「個人情報がどのように収集され、どのような個人情報がどのように収集されているか」、「ユーザーのデータ利用の状況（たとえば、ユーザープロファイリングの目的に使用されるかどうか」、「個人情報へのアクセス権や削除権、およびこれらの権利に制限があるかどうかについてユーザーにどの程度明確に通知されているか」などの情報が含まれている。 

　CAC等の規制当局は、2017年9月中旬〜後半にかけて今回の監査の結果を要約し、公表することを目指し、個人情報の保護を業界全体で推進することを奨励している。  

　監査の結果、不十分なプライバシーポリシーに対する罰則は現在予想されていないが、オンラインサービスを提供する中国の大企業はプライバシーポリシーにもっと注意を払うようである。例えば、、中国最大のデジタル地図プロバイダーである高德地图(AMAP)(筆者注18)は、7月28日に個人情報保護草案の最新版に従って、プライバシーポリシーの新しいバージョンをリリースした。

４．附則：「高德地图(AMAP：autonavi) の隐私权政策(プライバシーポリシー)」

　2017年7月27日付けの改正「高德地图(AMAP：autonavi) の隐私权政策(プライバシーポリシー)」を全仮訳する。なお、AMAPのプライバシーポリシーは2019年3月4日付けで改正8/11(40)されている。

　なお、原文における下線の箇所および筆者においてキーワードと思われる箇所はこの仮訳では極力原文を併記した。

　また、(筆者注16)で述べた「京東商城（JD.com）」のプライバシーポリシーも高徳のものに近い内容であり、ここではあえて訳さないが中国語に自信のある読者はチャレンジされたい。 

　このプライバシーポリシーは、コンピュータ、携帯モバイル情報端末、カーナビゲーション・システム、スマート・ミラー(smart mirrors) (筆者注23)、運転記録機器およびサービスおよびオープンプラットフォーム製品とサービスを含むがこれらに限定されないソフトウェア、ウェブサイトおよびサービス（総称して「高德の製品またはサービス」という）に適用する。 

 このポリシーは、以下のことを理解するのに役立つであろう。  

(1）当社は、あなたの個人情報を如何に収集および使用するか。(我们如何收集和使用您的个人信息)

(2）当社は、クッキーおよび同様の技術を如何に使用するか(我们如何使用Cookie和同类技术。) 

(3）当社は、あなたの個人情報を如何に共有、移転および公開するか。(我们如何共享、转让、公开披露您的个人信息。)  

(4) 当社は、あなたの個人情報を如何に保存、保護するか。(我们如何保存及保护您的个人信息。)  

(5）当社は、あなたの個人情報を如何に管理するか。(您如何管理您的个人信息。)

(6) あなたの個人情報を誰と共有するか。(您共享的信息。) 

(7) 個人情報の取扱いの準拠法および紛争解決方法。(适用法律与争议解决。)

(8) 未成年者の保護施策。(未成年人保护。) 

(9) 本ポリシーの改正(变更。) 

(10) 問い合わせ窓口(联系我们。) 

  あなたが高德の高品質の製品またはサービスを利用する場合、あなたは当社があなたの個人情報をどのように扱うかにつき信頼する。高德は個人情報の重要性を理解し、あなたの個人情報を安全かつ制御可能なよう適切なセキュリティ対策を講ずるように努める。あなたは、注意深くこのポリシーを読み、完全に理解し、同意を確認した後に高德の製品またはサービスの使用されたい。あなたが高德の製品またはサービスの利用を開始したときは、このポリシーに同意し、また当社の本ポリシーに従い、収集、使用、共有、転送、公開およびて個人情報の保護につき「同意」したものとする。(请您务必认真阅读本政策，在确认充分了解并同意后使用高德产品或服务。一旦您开始使用高德产品或服务，即表示您已同意本政策并同意我们按照本政策收集、使用、共享、转让、公开及保护您的信息) 

**************************************************************************************************************** 

(筆者注11) 微信（中国語読み：ウェイシン、WeChat）は中国大手IT企業テンセント（中国名：騰訊）が作った無料インスタントメッセンジャーアプリである。「微信」とは、微少の文字数の手紙を意味する。(Wikipedia から一部抜粋)

　なお、WeChatの日本法人サイトのプライバシー・ポリシーを必ず参照されたい。ここで指摘すべき基本的問題点をあえて挙げる。

① 技術・専門用語が多すぎる。

② 利用者の同意条件が多すぎる。 

(筆者注12) 新浪微博（シナウェイボー、NASDAQ: WB）は、中華人民共和国・新浪公司の運営するミニブログサイトである。TwitterとFacebookの要素を併せ持ち、中国全体のミニブログユーザーのうちの57%、投稿数にして87%を占める。現在、中国で最も人気のあるウェブサイトの一つ。SINA Corporationは2009年8月に発足し、2016年9月時点で全世界6億人以上ユーザーを抱える中国圏最大のソーシャル・メディアである｡(Wikipedia から一部抜粋) 

(筆者注13) 2017年7月７日『新浪日本微博』サイトは、以下の告示を行った。中国のソーシャルメディアのわが国への浸透度を測るうえで見逃がせないメッセージ例である。 

『新浪日本微博』は強力なインターネットメディア「新浪（SINA）」の日本における広告・PRの独占販売権と「微博（Weibo）」の日本における広告・PRの販売権を取得し事業を開始いたしました。

さらに「新浪（SINA）」の＜海外旅行サイト＞＜海外不動産サイト＞などの、日本情報サイトを日本国内で編集し運用する権利を獲得。

企業や自治体のみなさまのPRや広告、プロモーションのご要望を日本国内でお聞きし中国語で編集。中国の新浪サイトにダイレクトにアップすることが可能になりました。中国の人々への効果的なコミュニケーションツールとしてスポットの当たるインターネットメディアにワンストップで応えられるサービスを目指してまいります。

637万人※を超える訪日中国人の日本の観光やショッピング、スポーツやエンターティンメントへの関心が高まっています。訪日前の情報収集を行うタイミングでの効果的な広告・PRや、KOL（キー・オピニオン・リーダー）による「微博（Weibo）」投稿を通じた第三者評価の拡散が、より日本の商品・サービス・文化への深い共感を作っています。また百貨店やドラッグストア店頭で見られる、商品購入に伴う口コミ、撮影した写真の発信・拡散が大きな力、ブームを作っていることも事実です。

訪日時の購買だけにとどまらない、帰国後の越境ECでのリピート購入促進など、ターゲットの各ステージに合わせて総合的にコミュニケーションを図っていくことを可能にするサービスなどを企画しています。

私達『新浪国際・日本グループ』は、求められる日本発の質の高い最新の情報を、「新浪（SINA）」と「微博（Weibo）」という膨大な利用者数を誇る中国最大級のインターネットメディアを通じて「日本と中国をつなげるインターネットメディア」会社として中国と訪日中国人に向け発信してまいります。 

(筆者注14) 新浪微博日本法人サイト(新浪微博株式会社)のプライバシー・ポリシーを見ておく必要がある(一部のみここで引用する、原文に当たられたい)。

(筆者注15) 淘宝網（Taobao、タオバオ）は、中華人民共和国のオンラインモール。2003年にジャック・マーが創業したアリババ・グループによって設立された。本社は浙江省杭州市。法人名は浙江淘宝網絡有限公司（簡体字：浙江淘宝网络有限公司）(Wikipediaから一部抜粋)

(筆者注16) 京東商城 （JD.com）は、中国で360buyを経営していた劉強東が設立したWebサービス会社。中国北京市朝陽区に本社を置き、同社のECサイトである「JD.com」では、家電・PC・家具・衣類・食品・書籍などの商品をネット販売している。(Wikipediaから一部抜粋)

(筆者注17) 中国では2018年モバイル決済金額が約4,709兆円にものぼり、2013年からの5年間で約27倍に規模が拡大しています。そのうち、アリペイが占める決済額シェアは54％に達しており、中国消費者に最も使われているモバイル決済サービスとなっています。ショッピング・食事代・交通費はもちろん、屋台でのお買い物やお小遣いのやりとりまで、生活のあらゆるシーンでアリペイが浸透しています。(出典：新華網ニュース （2019年3月21日）から抜粋)

(筆者注18) 高徳地図は中国のアリババグループが運営している地図アプリで、今では中国でシェアがNo.1の地図アプリとも言われている。.「百度地図」アプリより多く利用されているようだ。

(筆者注19)「百度地図（バイドゥマップ）」は、中国の大手検索エンジンである「百度（バイドゥ）」が提供する地図検索サービスである。

Web、アプリの両方で利用可能で、ユーザーは百度地図で地図を検索できるほか、混雑状況や交通情報、気象情報、周辺の施設情報など、さまざまな情報を得られる。

(筆者注20) 滴滴出行 - DiDi、は、北京に本社を置き、5億5000万人以上のユーザーと数千万人のドライバーを抱える中国のハイヤー企業である。 以前の名称は 嘀嘀打车と、滴滴快的。滴滴

 (筆者注21)中国の民間航空情報の公式リアルタイム航空券旅程管理である、世界中の710,933便に関するリアルタイム情報を提供する。 信頼できるデータ、タイムリーな情報、および包括的なカバレッジ。 飛行機に乗る人、乗車する人、旅行する人、旅行する人には、完全な旅程管理、チケット検索、フライト状況、空港情報、地図ナビゲーションなどの機能が必要である。

 (筆者注22) 携程（Ctrip）は中国最大のオンライン旅行エージェンシー（OTA）。中国国内でCtripのブランドで認知されるが、海外ではTrip.comでブランド展開する。スカイスキャナー、Qunar（去哪儿）も運営する。

(筆者注30)で引用した微信（ウェイシン、WeChat)に比べ、内容、構成等がわが国や欧米のプライバシーポリシーに比較的類似しているが、技術的な面からみると説明不足の感はある。

************************************************************************************************

Copyright © 2006-2021 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

「中国のサイバーセキュリティ監視機関が国内人気オンラインサービス10社のプライバシーポリシーの監査計画を発表」(その１)

　中国のサイバーセキュリティ面やプライバシー保護面の国際化・標準化をめぐる関係機関の具体的動きが昨年末以降急速に進んでいる。その１つが先週に筆者が紹介した米大手ローファームの北京事務所の弁護士 罗嫣 (Yan Luo:ヤン・ロウ)氏の紹介ブログ「中国のサイバーセキュリティ法の施行と重大な情報インフラ等の保護に関する規制草案等の公表と今後の課題」である。 

　これと関連し、同氏は7月27日の国営新華社通信にもとづき中国の中央機関が中心となる個人情報保護強化キャンペーン開始計画の概要の紹介記事を載せている。その内容は、中央の規制強化が即民間企業の強化につながるかという疑問、規制対象となるデジタル・マッピングビジネスと個人情報との関係がいまいち理解しがたい点等疑問点があり、同氏の明晰な分析を期待したが、今回はその点は期待外れであった。

 　しかし、本ブログで述べるとおり、昨年12月21日同氏は「中国、7つの草案のサイバーセキュリティとデータのプライバシーに関するコメントを求める」というレポートを投稿し、さらに同氏の2017年1月6日付け「中国の個人情報保護に関する国家基準の新案」レポートを読む限り、中国の個人情報保護の法制整備等を踏まえた国際的なITスタンダード化の取組姿勢の意図は間違いない。(筆者注1） 

　今回のブログは、まず2016年12月レポートと2017年１月レポートの内容を概観したうえで、7月26日新華社通信の記事内容を見る。 

　国家リード型経済を進める中国が、短時間に欧米レベルの達すべくいかなる展開を見せるか、わが国としてもビジネス面の深い関係があるがゆえに見逃せない重要な課題と考える。

　また、言うまでもないが今回監査対象となる中国企業のほとんどは無料インスタントメッセンジャーアプリやソーシャルメディア等企業であり、その多くは日本法人があり、わが国国民の多くがユーザーでもあることから、これらの規制内容の正確な理解は極めて重要といえる。 (筆者注2)(なお、本ブログで引用する主要情報IT企業につき、中国の大学の日本語教師がまとめた「中国の【無料アプリ】中国で役立つもの厳選8 」は簡単なものであるが、中国の日常生活には十分参考にしうると思われる内容である) 

　これに関し、2017年7月27日に改定したAMAP(高德地图)のプライバシーポリシー(高德服务条款)(筆者注3)の内容は、他の大手ソ―シャルメディアに比してきわめて大部、かつ専門的、精緻な内容と思われるため、おそらく中国のサイバースペース管理局（CAC)等のプライバシーポリシー監査でも一定の評価が出てくるであろう。その監査結果は9月以降、米国ローファーム等で取り上げられるであろうことから、改めて本ブログで取り上げたい。その意味で今回のブログで最後に附則として長文ではあるがあえてほぼ全文の仮訳を行った。

  今回は、4回に分けて掲載する。 

１．中国はサイバーセキュリティとデータのプライバシーに関する7つの草案につきパブリック・コメントを求める

　2016年12月21日「中国はサイバーセキュリティとデータのプライバシー保護に関する7つの草案につき意見を公募」というInside Privacyの解説記事を仮訳する。筆者はティモシーP.ストラットフォード(Timothy P. Stratford )とヤン・ロウ(Yan Luo)である。 

　中国標準化管理局（国家标准化管理委员会:SAC）と中国のサイバースペース管理局（CAC）が共同で監修した標準化委員会である中国の国家情報セキュリティ標準化委員会（全国信息安全标准化技术委员会 NISSTC:China’s National Information Security Standardization Technical Committee）は、2016年12月21日にパブリックコメントによりサイバーセキュリティとデータのプライバシーを保護する旨告示した。パブリックコメント期間は、2017年2月2日までであった。

　これらの新しい基準草案の内容は、次のとおりである。

① 情報セキュリティ技術 - 個人情報セキュリティ仕様

② 情報セキュリティ技術 - サイバーセキュリティの分類保護のための実装ガイド

③ 情報セキュリティ技術 - ビッグデータ・サービスのセキュリティ機能要件

④ 情報セキュリティ技術 - 産業制御システムのセキュリティリスク・アセスメントガイド(筆者注4)

⑤ 情報セキュリティ技術 - 産業制御システムネットワーク監視のためのセキュリティ技術要件とテスト評価手法

⑥ 情報セキュリティ技術 - 産業制御システム脆弱性検出の技術要件とテストおよび評価アプローチ

⑦ 情報セキュリティ技術 - ハードコピー装置のセキュリティのためのテストと評価方法  

　一旦採用されると、新しい基準は2010年以降に開発された "情報セキュリティ技術"標準（「TC260(China's National Information Security Standards Technical Committee (TC260))標準」という)」の大規模なグループに加わることになる。これまでのところ、「情報セキュリティ技術」の傘下には240以上の国家基準がある。このような標準は、クラウドコンピューティング、産業制御システム、電子政府および大規模データサービスのセキュリティ基準など、幅広いサイバーセキュリティ関連の問題をカバーしている。TC260標準には、個人情報の保護に関する基準や、CPU、オペレーティングシステム、オフィス・スイート(筆者注5)などの情報技術製品に対する「安全で制御可能な」要件に関する基準も含まれている。 

「情報セキュリティ技術」の一族ファミリーは、中国の自主基準であり、法的拘束力はない。しかし、新しいサイバーセキュリティー法が、中国独自のサイバーセキュリティ関連の標準の開発を明示的に支持していることから、政府はますますその基準を重視することが予想される。また、そのような基準は、しばしば曖昧に言及された法律や規制機関における解釈の重要な指標となりうる。 

　今後、当事務所が予定されている2つのブログ記事(本ブログにおける第2節、第3節をさす)では、「個人情報セキュリティ仕様」の新基準案と、クラウドコンピューティング、産業用制御システム、および大規模データサービスに関連する他のいくつかのサイバーセキュリティ基準について説明する予定である。

 

２．中国の個人情報保護に関する国家基準の新案  

　2017年1月6日、弁護士ヤン・ロウは、Inside Privacyの記事「China’s New Draft National Standards on Personal Information Protection 」で以下の解説を行った。

　前回(本ブログの第1回目第1節)の当事務所の投稿記事では、筆者は2016年12月21日に「中国標準化管理局（SAC）」と「中国サイバースペース管理（CAC）」が共同で監修した標準設定委員会である中国の「NISSTC」によって発表された7つのサイバーセキュリティとデータ保護の国家規格を引用、議論した。 

　【中国の国家標準化機関・委員会】(本ブログの筆者(芦田勝)が独自に作成)

 

　「情報セキュリティ技術(“Information Security Technology) - 個人情報セキュリティ仕様 (Personal Information Security Specification)」（以下「標準化案」という）は、提案されている最も重要な標準である。これらは法的拘束力を持たず、また法的強制力を欠いているが、CACが作成したそのような国家標準は、中国における企業データ保護の慣行を判断するためのCACおよびその他の規制当局の参照ポイントとして役立つ可能性があり、また中国のデータ保護体制が進化する方向性を反映しているともいえる。 

　本記事では、この(1)草案策定の背景、(2)その構造、そしてそれが(3)提案する一般原則の内容について解説する。今後取り上げる記事では、データ管理者とデータ処理者に対する主要な要求要件と、データ主体の権利と保護について説明する。  

(1) 草案策定の背景

　国内における何年にもわたる議論と複数回にわたる起草作成の努力にもかかわらず、中国には統一された情報保護法がない。個人情報の処理を規定する多数の条項が、特に過去5年間に一連の法律および規制を超えて浮上している。

 　その意味で2016年に中国で最も注目された発展の1つは、「サイバーセキュリティー法」の成立、公布であった。この新しい法律は、「ネットワークの所有者と管理者、ネットワークサービス・プロバイダー」と同様にネットワーク事業者に一定のデータ保護義務を課している(第22条)。ネットワーク事業者は、合法的な法的処理、個人情報の収集及び使用についての必要性原則に従わねばならない。彼らは、収集した市民の個人情報を開示、改ざん、または毀損することはできず、不正に収集された情報を削除し、不正確な情報を修正する義務がある。個人情報が特定の個人を特定できないように不可逆的に個人化されていない場合を除き、市民の個人情報を同意なしに他者に提供することはできない。最後に、この新しい法律は、個人情報漏えい時にデータ主体への通知義務を課している。(第25条) 

　しかし、新サイバーセキュリティー法は、情報保護の包括的な規制の枠組みを設定していなかった。ネットワーク事業者以外の企業が保有する個人情報の収集、使用、処理は、中国ではまだ規制されていない。スタンダード・ドラフトのような国家基準は、権力の内容を空白を埋め、かつ中国の規制当局が何が個人情報を保護するベストプラクティスとして考えるかにつき、会社に知らせることを意図している。 

　この分野における以前のバージョンの国家標準（すなわち、 情報セキュリティ技術、- 「2012年公共および商業サービス情報システム内の個人情報保護のためのガイドライン 信息安全技术公共及商用服务信息系统个人信息保护指南）」 (筆者注6)と比較して、スタンダード草案はより包括的であり、近代的なデータ保護に相当する「EUの一般データ保護規制（「GDPR」）」、「EU-米国プライバシーシールド(EU-U.S. Privacy Shield)」、関連するものといえるISO (筆者注7) / IEC(筆者注8)、NIST(筆者注9) 、CWA(筆者注10)規格などの規則や基準に準拠している。 

＊スタンダード草案(スタンダード・ドラフト)の構造 (Structure of the draft Standard)

　スタンダード草案は、9章と5つの附属書に分かれる。最初の3章では、標準の草案、その参照文書、および定義された用語の範囲を定めている。スタンダード草案は、10人未満の従業員（または100万人民元(約1,600万円)未満の収入）を有する事業体には適用されず、また、過去12ヶ月間に10,000人未満の個人情報が処理される事業体も非適用の予定である。

 残りの実質的な6つの章は、以下の側面に焦点を当てている。

①個人情報保護の原則 

② 個人情報保護に関する一般的な要件 

③個人情報の収集 

④個人情報の保管 

⑤個人情報の利用 

⑥個人情報の移動と開示 

　実質的な規定に加えて、スタンダード草案は、4つの附属書において個人情報、機微個人情報、プライバシー通知/ポリシー、個人情報セキュリティリスク評価の枠組につきサンプルを提供している。 

  ＊重要な用語と諸原則 

　スタンダード草案は、サイバーセキュリティー法の用語定義に一致する形で「個人情報」を定義している。すなわち、「自然人を識別するために個別にまたは他の情報と組み合わせて使用できるさまざまな種類の電子的またはその他の記録された情報」と記載しているが、スタンダード草案は、さらに情報の範囲内に「自然人の生物学的識別データ」、「地理的位置データ」および「行動データ」を明示的に含む。  

　他の多くの国のプライバシー法と同様に、「機微性の高い(sensitive)」個人情報は、標準草案の下で異なって扱われる。機密情報とは、「身体的危害、財産的・物的損害、風評被害(reputational harm)、個人的な健康情報、または情報の開示、漏洩、虐待があった場合の差別的扱いにつながる可能性のある個人情報」と定義される。機密情報としては国民識別番号、銀行取引情報、医療記録および生物学的識別情報も挙げられている。

 スタンダード草案では、「個人情報管理者」、「同意」、「開示」、「移転」、「匿名化/仮名化(anonymization/pseudoymisation)」などの用語も定義している。 

　スタンダード草案では、以下の8つの重要な原則が国際的な基準と並行させることを意図して明記している。 

1.責任：個人情報管理者は、情報の収集方法にかかわらず、処理する個人情報のセキュリティについて責任を負う。

2.収集、処理目的：個人情報は合法で正当かつ特定の目的のためにのみ処理されなければならない。 個人情報が他の目的のために処理される場合は、さらにデータ主体の「同意」が必要となる。 

3. データの最小化：個人情報管理者は、データ主体の別段の合意がない限り、個人情報の処理を特定の目的を達成するために必要なものに限定し、その目的が達成されるときはただちにその情報を削除する必要がある。

4. 同意と選択：個人情報管理者は、データ主体が個人情報の処理に同意するかどうかを選択できるようにする必要がある。データ管理者は、収集された個人情報にサービスが依存している場合を除き、データ主体が同意を拒否する根拠にもとづきサービスの提供を拒否したり、サービス品質を低下させることはできない。

5. 情報の品質：個人情報管理者は、処理する個人情報が正確で、真正で、最新のものであり、使用可能であることを保証する必要がある。 

6. データセキュリティ：個人情報管理者は、データセキュリティを確保するための適切な技術的および組織的措置を実施するものとする。 

7.データ主体の参加：個人情報管理者は、データ主体に対し、自身の個人情報へのアクセス、修正または削除、または同意を取り消したり、アカウントを取り消したりする方法を提供しなければならない。

8.透明性：データ主体は、明確で包括的かつ合理的な方法で、個人情報の処理の範囲、目的、規則について周知されなければならない。 そのような処理は、必要に応じて外部監督の対象となる可能性がある。  

３．CAC,MIIT,SAC等による個人情報保護の改善キャンペーン

 　7月26日の新華社通信は、中国サイバースペース管理局（国家互联网信息办公室：Cyberspace Administration of China (以下「CAC」という)、産業・情報・技術部(中华人民共和国工业和信息化部：Ministry of Industry and Information Technology：MIIT）、公安部(中华人民共和国公安部)（Ministry of Public Security：MoPS）)、国家標準化委員会(国家标准化管理委员会：SAC) は、個人情報の保護を改善するための政府キャンペーンを開始する計画であると報じた。

　「個人情報保護を改善する行動計画」と呼ばれるこのキャンペーンは、中国で最も人気のある10のオンラインサービス会社のプライバシー・ポリシーの監査から始まる。 

　CACのサイバーセキュリティー調整局の担当官吏は、プライバシーポリシー監査は、2017年6月1日に発効した中国の新しい「サイバーセキュリティー法(中华人民共和国网络安全法：以下「CL」という)」を実施するための重要なステップであると指摘した。このプロセスを通じて、規制当局は個人情報の保護と中国のユーザーの情報使用によるサービス改善とのバランスをとることになろうと述べている。

 　今回の計画の導入は、政府機関における企業のデータ保護実務への関心の高まりを示している。中国で事業を行う企業は、法的要件やベスト・プラクティスに合致するため、プライバシー・ポリシーとデータ取扱実務(data protection practices)を見直し、検討することを行う必要がある。

(1) CACの行動の背景：個人情報標準化ドラフト 

　前回のInside Privacy記事 (第２節)で説明したように、CACは包括的なデータ保護の国家規格、すなわち情報セキュリティ技術－個人情報セキュリティ仕様 （「個人情報標準化草案）を開発する努力面でリードしている。CACは、2017年1月に個人情報標準草案に関する一般市民等のコメントを公募しており、この標準化草案は間もなく完成する予定である。 

　EU「一般データ保護規制(GDPR)」などの他の最新のデータ保護基準に相当する範囲で、個人情報標準化草案は、個人情報の「収集(collection)」、「使用(use)」、「保管(storage)」および「処理(processing)」を規制する。個人情報管理者(personal information controllers)および処理者(personal information processors )は、そこに規定されている諸原則、プロトコル、およびセキュリティ要件を遵守することが求められる。とりわけ、個人情報標準化草案では、個人情報管理者がプライバシー・ポリシーを策定のうえ、公開することが求められており、具体的に企業のプライバシーポリシーを評価するため、この監査で使用される可能性が高いプライバシーポリシー・テンプレートが提供される。 

 (2) 主要10社のプライバシーポリシーの監査 

新華社通信(Xinhua)の記事によると、微信(WeChat)(筆者注11)、新浪微博(Sina Weibo ) (筆者注12)、(筆者注13)、(筆者注14)、淘宝网(Taobao)  (筆者注15)、京东JD.com  (筆者注16)、支付宝(Alipay)(筆者注17)、高德地图：AMAP (筆者注18)、百度地图：Baidu Maps  (筆者注19)、滴滴出行：Didi Chuxing  (筆者注20)、航旅纵横(Umetrip) (筆者注21)、携程(Ctrip )  (筆者注22)の10社の中国のオンラインサービス会社が最初に監査されることになる。これらの企業のサービスは、ソーシャルメディア、電子商取引、オンライン決済、デジタル・マッピング、チケット予約サイトなど、個人情報が積極的に収集される分野を対象としている。

　監査項目としては、「個人情報がどのように収集され、どのような個人情報がどのように収集されているか」、「ユーザーのデータ利用の状況（たとえば、ユーザープロファイリングの目的に使用されるかどうか」、「個人情報へのアクセス権や削除権、およびこれらの権利に制限があるかどうかについてユーザーにどの程度明確に通知されているか」などの情報が含まれている。 

　CAC等の規制当局は、2017年9月中旬〜後半にかけて今回の監査の結果を要約し、公表することを目指し、個人情報の保護を業界全体で推進することを奨励している。  

　監査の結果、不十分なプライバシーポリシーに対する罰則は現在予想されていないが、オンラインサービスを提供する中国の大企業はプライバシーポリシーにもっと注意を払うようである。例えば、、中国最大のデジタル地図プロバイダーである高德地图(AMAP)(筆者注18)は、7月28日に個人情報保護草案の最新版に従って、プライバシーポリシーの新しいバージョンをリリースした。

 

***********************************************************

(筆者注1）今回の中国の情報保護体制強化や標準化の関係ブログを検索している中で、ロシア語のブログ(筆者はロシアの著名な上級記録・情報管理の専門家であるナターシャ・クラムフォスキー女史(Natasha Khramtsovsky)

がロシア国内向けのブログでこの問題につき大手国際ローファームであるメイヤーブラウンJSM LLPのメンバーであるガブリエラ・ケネディ(Gabriela Kennedy)とXiaoyan Zhangの解説を引用している点を見つけた。ロシアの中国のサイバー戦略への関心の高さがうかがえる。 

(筆者注2) 中国の企業とりわけIT分野のわが国への企業進出は著しい。 

(筆者注3) AMAP(高德地图)は、2001年以来の中国のウエブマッピング、ナビゲーション、位置情報サービスのプロバイダーである。Amap Software Co., Ltd高德软件が配信する地図/旅行アプリである。少なくとも中国国内の情報はGoogle等に比べ使い勝手が各段に優れている。 

(筆者注4) 今回取り上げている各標準化の内容は、米国国立標準技術研究所(NIST )のSpecial Publication 800-82 Revision 2：Guide to Industrial Control Systems (ICS) Security 」セキュリティリスク・アセスメントガイド等を直接引用する内容であることは言うまでもない。 

(筆者注5) オフィス・スイート（Office suite）とは、デスクトップパソコン、ノートパソコン、タブレット、スマートフォンにインストールされて使用、または、クラウドサービスで使用する、オフィス業務に必要なソフトウェアをセットにした、ソフトウェアスイートの一種。スイートとは、「ひと揃え」という意味。より一般的にはオフィスソフトとも呼ばれる。ワープロ、表計算、プレゼンテーション、メールクライアント、個人情報管理、パブリッシング、データベースなどのアプリケーションが組み合わされる。(Wikipediaから一部抜粋) 

(筆者注6)  筆者がブログ作成に当たり参照した北京大学の中国法検索サイトは、中国語原文と英訳が併記されている。 

(筆者注7) ISOは正式名称を国際標準化機構（International Organization for Standardization）といい、各国の代表的標準化機関から成る国際標準化機関で、電気・通信及び電子技術分野を除く全産業分野（鉱工業、農業、医薬品等）に関する国際規格の作成を行っている。 

(筆者注8) IECは、正式名称を国際電気標準会議（International Electrotechnical Commission）といい、各国の代表的標準化機関から成る国際標準化機関であり、電気及び電子技術分野の国際規格の作成を行っている。 

(筆者注9) アメリカ国立標準技術研究所（National Institute of Standards and Technology: NIST）は、アメリカ合衆国の国立の計量標準研究所であり、アメリカ合衆国商務省配下の技術部門であり非監督（non-regulatory ）機関である。 

(筆者注10)  EUワークショップ合意書(CEN Workshop Agreement):オープンワークショップでの早期合意文書 

(筆者注11) 微信（中国語読み：ウェイシン、WeChat）は中国大手IT企業テンセント（中国名：騰訊）が作った無料インスタントメッセンジャーアプリである。「微信」とは、微少の文字数の手紙を意味する。(Wikipedia から一部抜粋)

　なお、WeChatの日本法人サイトのプライバシー・ポリシーを必ず参照されたい。ここで指摘すべき基本的問題点をあえて挙げる。

① 技術・専門用語が多すぎる。

② 利用者の同意条件が多すぎる。 

(筆者注12) 新浪微博（シナウェイボー、NASDAQ: WB）は、中華人民共和国・新浪公司の運営するミニブログサイトである。TwitterとFacebookの要素を併せ持ち、中国全体のミニブログユーザーのうちの57%、投稿数にして87%を占める。現在、中国で最も人気のあるウェブサイトの一つ。SINA Corporationは2009年8月に発足し、2016年9月時点で全世界6億人以上ユーザーを抱える中国圏最大のソーシャル・メディアである｡(Wikipedia から一部抜粋) 

(筆者注13) 2017年7月７日『新浪日本微博』サイトは、以下の告示を行った。中国のソーシャルメディアのわが国への浸透度を測るうえで見逃がせないメッセージ例である。 

『新浪日本微博』は強力なインターネットメディア「新浪（SINA）」の日本における広告・PRの独占販売権と「微博（Weibo）」の日本における広告・PRの販売権を取得し事業を開始いたしました。

さらに「新浪（SINA）」の＜海外旅行サイト＞＜海外不動産サイト＞などの、日本情報サイトを日本国内で編集し運用する権利を獲得。

企業や自治体のみなさまのPRや広告、プロモーションのご要望を日本国内でお聞きし中国語で編集。中国の新浪サイトにダイレクトにアップすることが可能になりました。中国の人々への効果的なコミュニケーションツールとしてスポットの当たるインターネットメディアにワンストップで応えられるサービスを目指してまいります。

637万人※を超える訪日中国人の日本の観光やショッピング、スポーツやエンターティンメントへの関心が高まっています。訪日前の情報収集を行うタイミングでの効果的な広告・PRや、KOL（キー・オピニオン・リーダー）による「微博（Weibo）」投稿を通じた第三者評価の拡散が、より日本の商品・サービス・文化への深い共感を作っています。また百貨店やドラッグストア店頭で見られる、商品購入に伴う口コミ、撮影した写真の発信・拡散が大きな力、ブームを作っていることも事実です。

訪日時の購買だけにとどまらない、帰国後の越境ECでのリピート購入促進など、ターゲットの各ステージに合わせて総合的にコミュニケーションを図っていくことを可能にするサービスなどを企画しています。

私達『新浪国際・日本グループ』は、求められる日本発の質の高い最新の情報を、「新浪（SINA）」と「微博（Weibo）」という膨大な利用者数を誇る中国最大級のインターネットメディアを通じて「日本と中国をつなげるインターネットメディア」会社として中国と訪日中国人に向け発信してまいります。 

(筆者注14) 新浪微博日本法人サイト(新浪微博株式会社)のプライバシー・ポリシーを見ておく必要がある(一部のみここで引用する、原文に当たられたい)。

(筆者注15) 淘宝網（Taobao、タオバオ）は、中華人民共和国のオンラインモール。2003年にジャック・マーが創業したアリババ・グループによって設立された。本社は浙江省杭州市。法人名は浙江淘宝網絡有限公司（簡体字：浙江淘宝网络有限公司）(Wikipediaから一部抜粋)

(筆者注16) 京東商城 （JD.com）は、中国で360buyを経営していた劉強東が設立したWebサービス会社。中国北京市朝陽区に本社を置き、同社のECサイトである「JD.com」では、家電・PC・家具・衣類・食品・書籍などの商品をネット販売している。(Wikipediaから一部抜粋)

(筆者注17) 中国では2018年モバイル決済金額が約4,709兆円にものぼり、2013年からの5年間で約27倍に規模が拡大しています。そのうち、アリペイが占める決済額シェアは54％に達しており、中国消費者に最も使われているモバイル決済サービスとなっています。ショッピング・食事代・交通費はもちろん、屋台でのお買い物やお小遣いのやりとりまで、生活のあらゆるシーンでアリペイが浸透しています。(出典：新華網ニュース （2019年3月21日）から抜粋)

(筆者注18) 高徳地図は中国のアリババグループが運営している地図アプリで、今では中国でシェアがNo.1の地図アプリとも言われている。.「百度地図」アプリより多く利用されているようだ。

(筆者注19)「百度地図（バイドゥマップ）」は、中国の大手検索エンジンである「百度（バイドゥ）」が提供する地図検索サービスである。

Web、アプリの両方で利用可能で、ユーザーは百度地図で地図を検索できるほか、混雑状況や交通情報、気象情報、周辺の施設情報など、さまざまな情報を得られる。

(筆者注20) 滴滴出行 - DiDi、は、北京に本社を置き、5億5000万人以上のユーザーと数千万人のドライバーを抱える中国のハイヤー企業である。 以前の名称は 嘀嘀打车と、滴滴快的。滴滴

 (筆者注21)中国の民間航空情報の公式リアルタイム航空券旅程管理である、世界中の710,933便に関するリアルタイム情報を提供する。 信頼できるデータ、タイムリーな情報、および包括的なカバレッジ。 飛行機に乗る人、乗車する人、旅行する人、旅行する人には、完全な旅程管理、チケット検索、フライト状況、空港情報、地図ナビゲーションなどの機能が必要である。

 (筆者注22) 携程（Ctrip）は中国最大のオンライン旅行エージェンシー（OTA）。中国国内でCtripのブランドで認知されるが、海外ではTrip.comでブランド展開する。スカイスキャナー、Qunar（去哪儿）も運営する。

 *********************************************************

Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

 

中国のサイバーセキュリティ法の施行と重大な情報インフラ等の保護に関する規制草案等の公表と今後の課題(その4完)

(4)重要データの国境を越えた移転

　しかし、重要なデータの国境を越えた移転は、異なって評価される。 CACは、「重要なデータ」を完全には定義していないが、それは中国の「中华人民共和国国家安全法」 (筆者注9)の下で徹底した概念である中国の国家安全保障に関するデータとして一般に理解されている。 (筆者注10) 

 　他の2つの分野における中国の法律および規制は、どのデータがその範囲に入るかを明確に判断することは困難であるが、当局がこの用語をどのように解釈するかについての手がかりを提供する可能性がある。 「重要なデータ」の適用範囲の近い将来の評価は、ケースバイケースで行われなければならない。 

　最初の関連する法律は、国家秘密を守るための中国の法律（中华人民共和国保守国家秘密法、以下「国家秘密法」という）である。(筆者注11) この法律およびその実施規則の下で、「国家の秘密」は中国を離れることが禁じられている。国家秘密法は、例えば、国防建設と軍隊の活動、外交・外交活動、国家安全保障に関連する活動を含む「国家の秘密」とみなされるカテゴリーの非排他的リストを提供する調査を定める。過去において政府が「国家の秘密」と考えた情報の例としては、特定の政府統計、インフラストラクチャーに関する地理的データ、特定の法執行活動および特定の天然資源に関する情報が含まれる。 

　第2番目の規則は、中国の輸出管理制度に関するものである。他の多くの国と同様に、中国は、軍需品、軍事用品、その他の二重使用品や技術の輸出を管理するシステムを維持している。 輸出管理制度が対象とする製品や技術に関連するデータの移転は禁止される予定であり、厳格な監視の対象となる予定である。 

(5)グローバルなデータ転送にかかるコンプライアンス戦略(対中国においてどのように法的に適合させるか？)

 中国が国境を越えたデータの流れを規制する国のグループに加わったことで、法律第37条の対象となる可能性のある企業のコンプライアンスの問題がさらに深刻化する。 

　ケースバイケースの評価を受ける可能性が高い「重要なデータ」の移送を除いて、中国市民のデータを定期的に中国内外に転送する企業は、我々が中国の国家機関からの公式なガイダンスがまだ不足しているにもかかわらず、潜在的な中国政府の要件を守らねばならない。

 　例えば、企業が最初にデータ収集と中国内外への流入をよく理解していることが重要である。次に、中国の新しい要求要件を見越して、特定の側面で既存のデータ保護コンプライアンス・プログラムを補完する必要があるかどうかを評価すべきである。 

　中国を越えて、グローバルなデータ転送戦略の実施を検討する際にも、潜在的な中国の要求事項を考慮に入れることを勧める。将来の中国の移転メカニズムと他の制度との間に（重要な）相違がある可能性を排除することはできないが、そのようなメカニズムは、BCR(Binding企業規則)やCBPR(Cross Borderプライバシールール)のような「現代の」データ移転制度の特定の原則と特徴をよく共有するかもしれない。 したがって、外国企業は同時に、中国および他の管轄地域の規制要件を同時に満たす単一のグローバルなデータ・ガバナンス・プロセスを展開すべきである。 オフショア処理のために中国のデータを後で転送する必要が生じた場合には、中国人のために複雑なデータ保護ポリシーを採用することを余儀なくされるよりも、事前の投資がより良い戦略になる可能性がある

Ⅴ.中国のサイバースペース管理局(CAC)等がネットワーク製品の第一次バッチをリリース 

　CAC( 国家互联网信息办公室)、産業・情報・技術部(中华人民共和国工业和信息化部)、公安部(中华人民共和国公安部)、中国国家认证认可监督管理委员会 (筆者注12)連名のカタログ公告の内容につき、Dechert LLPの解説文「中国のサイバースペース管理局(CAC)がセキュリティレビューの対象となるネットワーク製品の第一次のバッチをリリース」が詳細に内容を引用しているので仮訳する。なお、言うまでもないがカタログ内容はIT専門用語が頻繁に出てくる。筆者が理解している範囲で備考欄に注記を加えた。

 

***************************************************************

Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

中国のサイバーセキュリティ法の施行と重大な情報インフラ等の保護に関する規制草案等の公表と今後の課題(その3)

Ⅳ．サーバーセキュリティ法の規則案(CCII Regulation)の内容と問題点

(1) Norton Rose Fulbright LLP のCII Regulationの解説「China Seeks Comment on Draft Regulation on Critical Information Infrastructure」が”7月10日付けCII Regulation”の内容を体系的に解説しているので、以下、仮訳する。 

① CIIの規制当局 (Regulatory Authorities of CII)

 CIIの下では、CACは重要情報インフラストラクチャ（CII）のセキュリティ保護の計画と調整を担当する。公安部(Public Security Authority)、国家安全部(National Security Authority)　(筆者注3)、国家保密局( State Secrets Authority )(筆者注4)、国務院の 国家密码管理局(.State Cryptography Administration, i.e. the Office of the Central Leading Group for Cryptography Work (中央密码工作领导小组办公室) Wikipedia) (筆者注5)は、CIIの規制当局となる。 郡レベル以上の地方自治体の関連部門は、CIIに関連してセキュリティ保護業務を実施する責任を負う。  

② CIIの範囲 

 CII規制に含まれるCIIの範囲は、サイバーセキュリティ法上のCIIの範囲に比べて広い。 以下の部門は、CII規則案で具体的に言及されている。 

1. 政府機関、エネルギー、金融、交通、水質保全、医療、教育、社会保障、環境保護および公益事業。
2. 通信ネットワーク、ラジオおよびテレビネットワーク、インターネットおよびその他の情報ネットワーク、クラウドコンピューティング、大容量データおよびその他の大規模な公共情報ネットワークサービス。 
3.  国防科学技術、大規模機器、化学薬品、食品および薬物。
4.  ラジオ局、テレビ局、通信社(news agencies)。 

　上記の多くのセクターは、ヘルスケア、教育、環境保護、クラウドコンピューティング、ビッグデータなどのサイバーセキュリティー法では言及されていなかった。CII規則の下でのCIIの広範な範囲は、中国の一部の事業が次のような適用可能性を高める可能性がある。（1）CII事業者とみなされるもの、（2）中国法に基づくCII事業者の厳しい法的要件に従う。  

　重要な点は、CAC、通信当局および公安当局は、CIIの識別のためのガイドラインを共同で作成し公表する点である。産業監督当局は、これらのガイドラインに基づいて各部門のCIIを特定し、その結果を関係当局に報告する。各業界の専門家はこれらのプロセスの途上で相談を受ける。  

③ II事業者が購入する製品やサービスの追加要件  

　 CII規則は、中国の国家安全保障に脅威を与えるとみなされるCII事業者が購入した製品やサービスのサイバーセキュリティレビューの観点から、サイバーセキュリティ法の要件に繰り返し言及している。 これらの製品・サービスは、５．で述べる 2017年6月1日付け（カタログ）のCACおよび他の当局によって発行された主要なネットワーク機器および専用ネットワークセキュリティ製品のカタログ（最初のバッチ）に掲載される。 サイバーセキュリティレビューは、2017年5月2日にCACが発行したネットワーク製品およびサービス（トライアル実施）のセキュリティ評価に関する措置に基づいて実施されるべきである。 

 　CII規則では、CII事業者は、オンラインアプリケーションに先立ってCII事業者が使用するアウトソーシングされたシステム、ソフトウェア、および寄贈された/贈与されたネットワーク製品に関するセキュリティ検査とテストを行う必要がある。これにより、カタログの範囲が拡大され、カタログに掲載されていないネットワークシステムや製品がサイバーセキュリティレビューの対象となる可能性がある。CII事業者は、ネットワーク製品/サービスの使用に関して実質的なリスクが特定されている場合には、是正措置を講じ、管轄当局に報告することが求められる。  

 　CII規則は、またCIIの運用と保守が中国の領土内で行われることを要求している。 事業上の理由で遠隔保守が必要な場合、遠隔保守に着手する前にCII事業者はこれを産業監督官庁及び公安機関に報告しなければならない。CII規制が現在の形態で発行されている場合、このローカリゼーション要件は、中国内で実施されなければならないため、外国企業（クラウドサービスプロバイダーなど）がCIIの運営にサービスを提供することを禁止する可能性がある。しかし、現在言及されているように、この条項は完全には明確ではなく、その意味合いはまだ残っている。 

 CII規則は、CACと国務院の関連部門が、CIIに対して以下のサービスを提供する事業者に特定の要件を共同で発行することを想定している。 

① サイバーセキュリティ検査、テストおよび評価

② システム脆弱性、コンピュータウィルス、サイバー攻撃を含むサイバーセキュリティ脅威情報のリリース

③ クラウドコンピューティングサービスと情報技術アウトソーシングサービス。なお、これらの要件がどのようなものになるのか、いつ公開されるのかは不明である。

④ CIIのサイバーセキュリティ保護担当者  

　CII規則の下では、CIIオペレータの責任者がCIIのセキュリティ保護の第一の責任を引き受ける。CII事業者は、CIIのサイバーセキュリティ保護の責任者を任命することができ、その職務には次のものが含まれる。 

① サイバーセキュリティ・ルールとシステム、運用手順の策定を組織し、同じ手順の実施を監督する。 

② 主要職種の職員の技能評価を調査する。 

③ サイバーセキュリティ教育及び訓練プログラムの策定及び実施を組織する。 

④ サイバーセキュリティ検査と緊急訓練を組織し、サイバーセキュリティ・インシデントを処理する。

⑤ 重要なサイバーセキュリティの問題と事件・出来事を関係当局に報告する。  

　CII規則は、またCIIのサイバーセキュリティの主要職の技術職員にライセンス要件を導入する。CACと中国の人事・社会保険局は、これらの免許要件に関する特定の規則をさらに発行する。  

 CIIのモニタリング、緊急事態対応および検査の枠組み  

　CII規制は、セキュリティ保護CIIのための以下の3つの主要システムの枠組みを概説している。

① モニタリング、早期警告、情報共有 

② 緊急時対応と処分

③ 試験、試験、評価 

  CACは、産業規制当局または他の監督当局と協力して、CIIの保護のためにこれらの3つのシステムを確立し、実施する。 

　 CII規則は、工業監督当局がCII事業者に対して以下の点を評価するための恣意的な査察を行う際の措置との関連で、より詳細な情報を提供している。（1）CIIに関連するセキュリティリスク。（2）CII事業者による法令遵守（サイバーセキュリティー法第39条に規定）に関す次の点を明記する。

① CII事業者の関係者に説明を要求する。

② サイバーセキュリティの保護に関する文書と記録を見直し、入手し、コピーする。

③ サイバーセキュリティ管理システムの策定と実施、CIIのサイバーセキュリティ技術措置の計画、構築、運用を検証する。

④ 検査ツールを利用するか、サイバーセキュリティサービス・プロバイダーに技術検査を実施する権限を与える。

⑤ CIIの運営者と合意した他の必要な措置を実施する。 

⑥ 国家の秘密と暗号化法規を遵守 する。 

  CII規則は、CIIの国家秘密情報の保管と処理が中国の国家秘密法を遵守しなければならず、CIIの暗号の使用と管理は中国の暗号法律（ Cryptography Lawが公表された2017年4月13日に国家商用暗号管理局の官報によって公表された）。 さらに、軍事CIIの保護のための規制は、中国中央軍事委員会によって別途発行される。 

＊潜在的な示唆すべき点 

　 CII規制は、CII関連の規定に関する更なる詳細を提供することによりサイバーセキュリティ法を実施するためのもう1つの重要なステップである。  

　しかし、CII規制の下では、CIIの範囲は広範な分野に及んでおり、CII規制は具体的には次のようなものを指す。(1）中国当局によって策定され発行されるCII識別ガイドライン。  （2）産業規制当局またはその他の監督当局によって実施されるCII識別プロセス。 そのような詳細を後でこのように残すと、CIIを構成するものを決定する際にあいまいさや不確実性が生じる可能性があります。 また、CIIの識別プロセスが完了するまで、サイバーセキュリティー法のCII規制およびCII関連の規定が実際に実施されることは考えにくい。  

　 CII規則はまた、CII事業者が購入した製品/サービスに一定の追加要件を課している。これは、CII事業者のサービスプロバイダに大きな影響を与える可能性がある。 したがって、中国の企業は、現在の製品、サービス、中国の顧客を見直し、CII規則の下でこれらの追加的な義務/要件を受けるリスクを評価することが推奨される。 

(2) 前述したCovington＆Burling LLPの特別弁護士(special counsel) Yan Luo 氏が、新サイバーセキュリティ法で提案された変更点を説明するとともに、海外の企業が新しい中国のデータ移転要件に準拠するために取るべきデータ移転に関する法令遵守戦略について2017年2月14日 付けEURObizで以下のとおり解説を加えているので、以下、一部抜粋のうえ仮訳する。((1)から(2)の内容は割愛する) 

(3)中国国民の個人情報の国境を越えた移転

　CACは、外国人、組織または個人が中国市民の個人情報を「喜んで守る」能力を持っているかどうかをどのように評価するかについての詳細はまだ述べていない。CACが、近い将来、特定の国が適切な水準の保護を提供し、自動的にそのような国へのデータの移転を許可できることをCACが認識することも示していない。 

　CACは、中国以外の他の国のデータ保護体制を認識していないため、CII事業者の約束や契約上の義務に依拠したデータ転送メカニズムを考案して、中国以外での個人情報の保護を十分に確保する可能性がある。現在のところ具体的な内容が不明であるにもかかわらず、このメカニズムの少なくともいくつかの要素は、「欧州連合（EU）のモデル契約条項」 (筆者注6)および「Binding企業規則 （BCR）」 (筆者注7)またはアジア太平洋経済協力（APEC）の「Cross Borderプライバシールール （CBPR）システム」 (筆者注8)等との比較することとなろう。 

　また、CACは、企業が中国国外の中国人の個人情報を堅固に保護する必要がある場合、どのような契約や会社の社内規則や手続きが政府認証機関の要件を満たすことができるかについての詳細を提供していない。 1つの潜在的な認証基準(ベンチマーク)は、CACによって提案された新しい国家規格である情報セキュリティ技術 - 個人情報セキュリティ規格仕様 （ 以下「基準(Standard)」という ）である 。この基準は、情報の収集、保管、使用、移転（中国内での）および個人情報の開示を規制する包括的なデータ保護の枠組みを確立し、 経済協力開発機構（OECD）のプライバシーに関する原則 。 法的拘束力はないが、そのような国家基準は、中国の規制当局が個人情報保護のベストプラクティスと考えるかもしれないものについて、企業に有用な洞察を提供することができる。 企業が中国以外の個人情報の取り扱いが規格に明記されている要件を満たしていることを確実にするならば、データが処理される場所であれば、中国人の個人情報の保護が適切であると主張することは容易である。

 *************************************************************

 (筆者注3) 国務院を構成する行政機関の1つ。 

(筆者注4) 中华人民共和国保守国家秘密法の本文

同法は、1988年9月5日第7回全国人民代表大会常任委員会第3回会合で採択され、1988年9月5日に中華人民共和国首相令第6号によって公布、1989.年5月1日施行）、改正法(中华人民共和国保守国家秘密法(2010修订))が2010年4月29日公布、2010年10月１日施行。 

(筆者注5) 中国の認証・認定業務の統一的な指導と監督管理を行う国家機関で、マネジメントシステム認証機関、製品認証機関等の認定を行う主管機構。 

(筆者注6) EUのモデル契約条項に関する詳しい解説としては、①欧州委員会・司法・情報保護担当の解説「Model Contracts for the transfer of personal data to third countries」、②2010年3月7日筆者ブログ「欧州委員会が非EU/EEA国のデータ処理者への個人情報移送に関する改正標準契約条項を決定（その１）、同(その2完)」、③マイクロソフトの「EU標準契約条項」の日本語解説等があげられる。 

(筆者注7) 「Binding企業規則 （BCR）に関する詳しい解説としては、2015年11月8日の筆者ブログ「欧州委員会はEU司法裁判所のシュレムス事件判決（セーフ・ハーバー協定の無効）を受けたガイダンス等を発布」を参照されたい。 

(筆者注8) About the APEC CBPR system 参照。なお、わが国は2014年4月28日「日本国政府は、米国、メキシコに次いで、APEC越境プライバシールールシステムへの参加が認められた」旨リリースした。また、これを受けて2016年12月20日にわが国初のAPEC越境プライバシールールシステム（CBPRシステム）認証取得事業者が誕生した旨報じた。経済産業省「APEC-越境プライバシールール(CBPR)システム」図解参照。

************************************************************

 Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

中国のサイバーセキュリティ法の施行と重大な情報インフラ等の保護に関する規制草案等の公表と今後の課題(その2)

Ⅲ．中国の国境を越えたデータ移転にかかる新しいサイバーセキュリティ―立法等による法規制のあり方の大きな変化を概観

　１．Morgan、Lewis＆Bockius LLPのReport

　2017年7月17日Morgan、Lewis＆Bockius LLPは「中国、国境を越えた個人情報の移送に関する立法諸ルールを制定(China Drafts Legislative Rules Regarding Cross-border Data Transfers)」と題するレポートを公表している。

　このレポートは、CSLと(1)国境を越えた個人情報の移転と重要なデータの安全性評価のための措置（協議草案） （具体的評価の尺度）、(2)国境を越えたデータ移転のセキュリティ評価のためのガイドライン（協議草案） （評価ガイドライン）、(3) 重要情報インフラの安全保障のための規則（協議規則案）（CII Regulation)を比較しながら実務面からみた検討課題を整理している。 

　同レポートを以下、仮訳する。 

　2017年6月1日施行の中国が最近制定した「サイバーセキュリティー法（中华人民共和国网络安全法：CSL」は、中国の重要情報インフラストラクチャー（CII）事業者が収集、生産する重要な個人情報とデータを中国内に保管することいわゆる「ローカル・ストレージ(データ・ローカリゼーション)」を要求し、また CSLは個人情報および重要なデータが中国国外の企業または個人（国境を越えたデータ移転）に提供される前に、セキュリティ・アセスメントが実施することを要求している(CSL：37条)(筆者注2-2)。中国は、CSLとともに、個人情報の国内保持(local storage)および国境を越えた個人データ移送の要件とパブリックコメントに対応するその他の法案を公表している。 CSLを受けた新しい3つの実施規則・ガイダンスとしては、以下が挙げられる。

 ① 国境を越えた個人情報の移転と重要なデータの安全性評価のための措置（協議草案） （具体的評価の尺度）。

② 国境を越えたデータ移転のセキュリティ評価のためのガイドライン（協議草案） （評価ガイドライン）。 

③ 重要情報インフラの安全保障のための規則（協議規則案） （CII Regulation)。 

 　これらの草案は、国境を越えたデータ移送に必要なセキュリティ評価に関する詳細と同様に、CSLの下での主要概念の定義と範囲を提供する。 中国からデータを収集、移転する多国籍企業は、法案が発効した時点でデータの保管と移送に関して実施しなければならない具体的な措置を準備するために、この法律等の草案を検討し、立法動向を理解する必要がある。このレポート(LawFlash)では、以下のとおり、この規則案やガイドラインのハイライトを述べ、CL法と比較する。 

(1) ローカル・ストレージおよびセキュリティ評価要件の対象者とは？ 

　CSLはCII事業者に「個人情報」と「重要データ」の国境を越えたデータ移送に必要なローカル・ストレージとセキュリティ評価の要件のみを適用するが、評価尺度の現在の草案ではすべての「ネットワーク事業者」は一般的に義務付けられている。データに「個人情報」または「重要なデータ」が含まれている場合は、国境を越えたデータ転送のセキュリティ検証を実施する。 そのようなデータは中国国内に保存されなければならないとされる。アセスメント・ガイドライン草案は、アセスメント手続きに続き、すべての「ネットワーク事業者」に適用されるセキュリティ評価プロセスを提供する。 

　しかし、2017年5月に、CSLの実施に関する公式報道ブリーフィング中、CACのネットワークセキュリティ調整室長によると、国境を越えたデータ移転のためのローカル・ストレージとセキュリティ評価の要件は、CII事業者評価尺度が確定して公表されるまで、これは不確実なままであると述べた。 

(2) CIIの定義

　CSL第31条は、CIIを「損害、機能の喪失またはデータ漏洩の場合に、国家の安全保障、国家の福祉または国民の生計または公益を重大に危険にさらす可能性のあるインフラ」と定義している。またCSLは、CIIの例として公共サービス、情報サービス、エネルギー、交通、水道、金融、公共サービス、電子政府の分野のネットワーク事業者を含むとしているが、CIIの特別な定義は国務院による規則に委ねている。 

　CII規則(CII Regulation)は、CIIの範囲を次の特定の産業と明記している。

① エネルギー、金融、運輸、水質保全、医療、教育、社会保障、環境保護、公共事業部門の政府機関および団体 

② 通信ネットワーク、放送テレビネットワーク、インターネットなどの情報ネットワーク、クラウドコンピューティング、大規模データなどの大規模な公共情報ネットワークサービスを提供する事業体(entities)

③  国防、大型機器製造、化学工業、食品医薬品分野の科学技術などの分野の研究および製造事業体 

④ 放送局、テレビ局、報道機関などのプレス・ユニット 

　規制当局が、情報システムのデータ漏えいや機能不全が国家の安全保障、国家の福祉、国民生活および公益に影響を及ぼす可能性があると判断した場合、製造業、IT、食品、医療、医療分野の多国籍企業はそのような広い定義に含めることができる。(CII Regulation 第18条)  

(3) 「ネットワーク事業者」の定義 

　CSLにいう「ネットワーク事業者(CII Operator)」の定義は、CII事業者の定義に比べてはるかに広い。 ネットワークオペレータには、「ネットワークの所有者と管理者、ネットワークサービスプロバイダ」が含まれる。(CSL第76条) インターネットや電子メールなど、オフショアでデータを送信する中国の特定のネットワークを使用する多国籍企業は、潜在的に「ネットワーク事業者」とみなすことができる。 

(4) 個人情報と重要なデータ

　CSLの下での国境を越えたデータ転送のためのローカル・ストレージおよびセキュリティ評価要件は、「個人情報」および「重要なデータ」を保護します。継続的な法的努力は、次のとおりさらに「個人情報」および「重要なデータ」を定義する。 

i.「個人情報」の定義

　CSLの「個人情報」の定義には、名前、生年月日、ID番号、個人の生体識別情報、住所、および自然人の電話番号が含まれるが、これらに限定されない。アセスメントガイドラインは、具体的にアカウントとパスワード、財務ステータス、位置情報および行動情報をCSLの定義に追加する。 CSLの定義が記載されている種類の個人情報に限定されていないことを考慮すると、評価ガイドラインの定義はCSLと一貫しているため、規制当局は将来、位置情報および行動情報を「個人情報」として扱う可能性がある。 

ⅱ.クロスボーダーの個人情報および例外の移転に必要な同意

　評価尺度は、ネットワークオペレータが国境を越えた情報の転送に関連する目的、範囲、内容、受信者、および受領者の国について個人情報を所有者に通知することを要求し、ネットワーク事業者は、国境を越えた情報伝達が行う。 

　アセスメント・ガイドラインは、データ主体の同意を得ることの原則に例外を設けている。市民の生活や財産の安全を脅かす緊急事態が発生した場合、同意を得る必要はない。 

　特に、CSLは、特定の人が特定されないように不可逆的に処理された個人情報の例外を提供する。CSLは、そのように処理された情報を、所有者の同意を得ずに他人に開示することができる。 コメント要求は、この例外が中国における大規模データおよびクラウドビジネスの開発の便宜のために設計されたことを示唆している。 

　企業は、国際電話が行われた場所、電子メールやインスタントメッセージが海外の個人や組織に送信され、国境を越えた電子商取引やその他の活動が開始されるなど、評価措置の特定の状況下で推論されたデータ主体の同意が認識されるよう要求している。ただし、そのような例外が評価尺度に含まれるかどうかは不明である。 

ⅲ.「重要なデータ」の定義

　CSLは「重要なデータ」を具体的に定義していない。①国境を越えた個人情報の移転と重要なデータの安全性評価のための措置（協議草案）は、「重要なデータ」を国家の安全保障、経済発展、そして公益に密接に関連するデータと定義する。 ②評価ガイドラインは、「重要なデータ」につき次のとおり具体的な定義を提供する。 

　国家の秘密を伴わないが、国家の安全保障、経済発展、または公益に密接に関連している、中国の領土内の中国政府、企業、および個人によって収集された（元データと派生したデータを含む）紛失、濫用、不正使用、破壊、または集計、統合および分析後に開示された場合、国家安全保障、国家経済および財政保障、社会的公共利益、および正当な権利と利益に関連する重大な結果を引き起こす可能性がある。 

　評価ガイドラインは、27業種および部門の重要なデータの包括的な例と、中国の平和、繁栄、または社会的福祉に影響を与える可能性がある他の地域のその他のデータの包括的なカテゴリを提供している。 アセスメントガイドラインは、これらの27業種の業界規制当局を規定し、これらの主要産業における重要なデータの定義、範囲、および識別基準が、業界の規制当局によってさらに規定されることを規定している。

 　たとえば、「人口統計的健康」カテゴリの下では、評価ガイドラインには次の8つの重要なデータが含まれている。 

① 特定の公衆衛生サービスの管理で得られた患者およびその家族の個人情報（薬物および避妊装置の副作用の監視、公衆衛生緊急事態、流行状況など）

② 電子的医学の履歴

③ 医療機関および保健管理サービス機関が保有する健康記録およびその他の診断およびヒースデータ

④ ヒト臓器移植医療サービスを通じて得られたヒト臓器移植者の受診者および応募者の個人情報

⑤ 精子および卵子提供者の個人情報ならびに人間支援繁殖技術サービスの利用者および応募者

⑥ 家族計画サービスを通じて得られた個人情報

⑦ 個人および家族の遺伝情報; 

⑧ 人生の登録情報 

ⅳ.セキュリティ評価

　評価尺度および評価ガイドラインによれば、CACではなく業界の監督当局が国境を越えたデータ転送のセキュリティ評価を担当する。 CACは、セキュリティ評価の努力を導き、調整する。 

　評価尺度および評価ガイドラインに従って、業界監督当局の定期的な試験の対象となるネットワーク事業者がセキュリティ評価を実施することができる。 しかし、以下の移転については、業界監督当局によってセキュリティアセスメントを実施すべきである。 

① 50万人以上の中国人市民の個人情報を含むデータ

② 海外に送信される1,000ギガバイト以上のデータ量

③ 「核施設、化学生物学、国防または軍隊、人口および医療など」に関するデータ

④ 「大規模な工学的活動、海洋環境、および敏感な地理情報」に関するデータは、システムの脆弱性やセキュリティ対策など、中国のCII事業者のサイバーセキュリティに関する情報

⑤ CIIオペレータが個人情報と重要なデータを海外に提供する場合

⑥ 中国の国家安全保障と公共の利益に潜在的に影響を与えるかもしれないその他の移転 

　評価尺度はまた、データを海外に転送することができない以下のような状況を提供する。 

① 国境を越えた移動が、個人情報の所有者によって承認されない場合、またはそのような移転は個人的利益を危険にさらす可能性がある。

② 国境を越えた移転は、国家の安全に影響を及ぼし、社会的および公共的利益を危険にさらす可能性のある場合、国家の政治、経済、技術、および/または防衛に対する安全保障上のリスクを引き起こす場合。

③ 国のサイバースペース管理、公安当局、または他の関係機関は、データが海外に送信されることを禁じている。  

　評価ガイドラインは、評価プロセス、主要な評価要因、評価手法などの自己評価と業界規制当局による評価の両方に使用される手順の詳細を提供する。 ネットワーク事業者が考慮しなければならない要因には、情報の機密性のタイプと程度、 情報の量と範囲であり、 情報が減感されたか否かに関わらず、 その移転の可能な影響; 国家の安全保障と公益への影響があるとき、送付者がとった安全上の予防措置、レシピエントの安全機能; 受取人の現地の法的風土が含まれる。 

　中国国民の個人情報と重要なデータを中国国外に移転しようとする企業は、国境を越えたデータフローを積極的に自己評価し、中国政府のセキュリティ評価に対処すべく準備をすることを検討すべきである。 

***************************************************************************

 Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.

 

中国のサイバーセキュリティ法の施行と重大な情報インフラ等の保護に関する規制草案等の公表と今後の課題(その1)

　2017年7月11日、中国サイバースペース管理局（国家互联网信息办公室：Cyberspace Administration of China (以下「CAC」という） は、 「サイバーセキュリティ法(中华人民共和国网络安全法：以下「CSL」という)」 (筆者注0)第31条にもとづき重要情報インフラストラクチャーの保護に関する規則草案（draft Regulation on the Protection of Critical Information Infrastructure (以下「規則草案：CII Regulation」という）に対するパブリックコメントの公募を行った。このコメント期間は、2017年8月10日に終了する。 

　もともとCACは、2017年6月1日の、サイバーセキュリティ法の施行日に合わせて2017年4月11日に個人情報および重要データの国外移転におけるセキュリティ評価にかかる規則草案(Draft circulated by the Cyberspace Administration of China (CAC) on April 11, 2017.)を、パブリックコメントに付した。この規則草案は、国際社会から激しい批判を受けたが、大きな変更がないまま2017年6月1日に発効する見込みであった。注目すべきは、この規則草案によって、データ・ローカリゼーション要件(筆者注1)が適用される企業の範囲がさらに拡大し、中国においてコンピュータシステムを用いる企業に広く適用される可能性があるという点である。第一次のパブリックコメントの提出期限は2017年5月11日と、新法の施行のわずか3週間前という問題も指摘されていた。

　このような立法手続きの不手際問題はもとより、保護法の立法内容がわが国はじめ海外企業にとっていかなる影響があるかを考えるのが今回のブログの主な目的である。

　なお、サイバーセキュリティ法の内容についての解説は企業実務的にみると、本文で述べるとおり日本語解説としてはデロイト・トーマス事務所のものが参考になるし、またCII Regulationの内容については、Norton Rose Fulbright LLP のCII Regulation解説文「China Seeks Comment on Draft Regulation on Critical Information Infrastructure」、さらに法律および規則・ガイダンスの内容面からの問題指摘はCovington＆Burling LLPの特別弁護士(special counsel)  

罗嫣 Yan Luo 氏 (同弁護士のプロファイルの中国語版 )が2017年7月17日付けInside Privacy「China Seeks Public Comments on Draft Regulation on the Protection of Critical Information Infrastructure」などで多くを述べており、本ブログでも積極的に引用した。 

　一方、中国の個人情報保護法制、個人情報保護評価認証(PIPA)ガイダンス、運用の理解いたが実務的にはもっとも重要な点であり、それには大連ソフトウェア産業協会サイト (筆者注2)の日本語解説がもっとも有用であり、本ブログでも適宜引用した。同時に、中国のサイバーセキュリティ法と緊密な関係にある個人情報保護法体系についても筆者が知りうる範囲で中国内に拠点をもつ海外の主要ローファーム(DWT)の解説をも引用した。 

　さらに重要な点は、中国が取り組んでいる重要視している点が規則案の策定にとどまらず、中国の新しいサイバーセキュリティー法の下で審査された特定のネットワーク製品のリストである「カタログ」の第一次のバッチ・カタログをリリースした点である。CACが中国のサイバーセキュリティ・レビュー・メカニズムの特定の規定に関する最新情報を提供し続けているため、これらの新しい機器の規定内容を理解することが企業実務にとって最も重要であることから、わが国では皆無といって良いこの問題の解説を試みた。 

　最後に多くのレポートを各観点から取り上げ引用、紹介したため、内容に一部重複が生じた。機会を改めて整理したい。 

　今回は、4回に分けて掲載する。 

Ⅰ.中国の「サイバーセキュリティ法(中华人民共和国网络安全法)」の概観

　翻訳した網羅的逐条解説資料としては、2017年4月デロイトトーマツ「中国サイバーセキュリティ法の概要と日本企業に望まれる対応：季刊誌「企業リスク」（第43号2017年4月号）「研究室」のサイトから資料をダウンロードのうえ参照されたい。 

Ⅱ.新サイバーセキュリテイ法成立前の中国の越境データ移転にかかる規制内容

　Covington＆Burling LLPの特別弁護士(special counsel) Yan Luo 氏が、新サイバーセキュリティ法で提案された変更点を説明するとともに、海外の企業が新しい中国のデータ移転要件に準拠するために取るべきデータ移転に関する法令遵守戦略について2017年2月14日 付けEURObizで以下のとおり解説を加えている。

 (1) 中国が2016年11月7日に新しいサイバーセキュリティー法を制定する以前は、国境を越えたデータ移転は政府によってほとんど規制されていなかった。多くの中国の法律や規則がデータの収集、使用、保管（データ・ローカリゼーションを含む）に適用されていたが、拘束力のある法律や規制に適用される法的要件や中国国境を越えたデータ移送の制約はなかった。

 (2)サイバーセキュリティー法の立法の前後に見る中国の施策の大きな変化

　2017年6月1日にサイバーセキュリティ法が施行されれば、国境を越えたデータ移転の規制状況は完全に変わるであろう。中国は国際的なデータ移転空間でとるべき別の重要な法的管轄概念を取り込んだ。

 　法律が公布される前にも、中国はすでに業界固有の多くの規制においてデータのローカリゼーション要件を課すことにより、データに対する管轄権の統合を開始した。しかし、国境を越えたデータフローを規制する包括的な枠組みは存在しなかった。

 　2012年に「公共および商業サービス情報システム （GB / Z 28828-2012）（ 以下「ガイドライン 」という）(筆者注2)における個人情報保護のためのガイドラインが自主的で拘束力のない国家規格として発布された。  

　このガイドラインは、「個人情報主体の明白な同意、明示的な法的または規制上の許可がない場合、または権限のある政府機関の承認がない場合、個人情報の管理者(administrator of personal information)は、個人情報を海外に所在する個人または海外に登録された組織または機関への個人情報の移送を禁止する」と規定していた。しかし、このガイドラインは法的強制力がなく、実際には解釈上の牽引力をもっていなかった。 

************************************************************

(筆者注0) 中国日本商会(The Japanese Chamber of Commerce and Industry in China)のサイトが「中国サイバー セキュリティ法」仮訳(仮訳作成：JEITA/JLMC(電子情報技術産業協会 北京事務所 )でCLの全条文を仮訳している。 

(筆者注1) 2017年5月11日、 ジョンズ・デイ法律事務所の東京事務所の解説文から「データローカリゼーション」に関する解説を以下、抜粋する。

「データローカリゼーション：新法でおそらく最も議論を呼んでいる規定は、中国で収集または生成された「国民の個人情報および重要データ」を中国国内で保管することをCII事業者に要求している第37条(筆者注2-2）である。「重要データ」という用語は、新法において定義されていないが、第76条では、「個人情報」を、電子的にまたはその他の手段で記録された、単独でまたはその他の情報とともに、自然人の身元を特定するのに十分なあらゆる種類の情報と広範に定義しており、個人名、生年月日、身分証明書番号、個人生体認証情報、住所、電話番号等を含むが、これらに限定されない。

　新法ではさらに、「正当な業務上の理由」により、かかる情報を中国国外に移転する必要がある場合には、CII事業者は、国務院および国のサイバースペース部門が共同で制定した「セキュリティレビュー」（定義されていない用語）を行わなければならないと規定している。規定に従わなかった場合の罰則としては、所得の没収、罰金（違反した組織および担当者個人の両方）ならびに業務の停止が挙げられる。

　これらのデータローカリゼーションの新たな要件は、世界でも最も厳しいデータローカリゼーション要件に属する。後で「規則案によりデータローカリゼーションおよび国外移転の要件を拡大」で説明するように、中国のサイバースペース部門による2017年4月11日の規則案では、データローカリゼーションの要件がさらに拡大され、この義務が他のネットワーク事業者にも適用されている。・・・・・」

 (筆者注2) 2012年11月5日、中国の品質監督検疫総局と中国の標準化管理総局が共同で公的商業サービス情報システム（GB / Z 28828-2012）で公表した「2013年個人情報保護ガイドライン」をさす)。大連ソフトウェア産業協会の「中華人民共和国国家標準化指導性技術書GB/Z 28828—2012　发布时间：2015-8-7　作者：PIPA管理事務室　点击次数：876

情報セキュリティー技術の公共・商用サービス情報システムにおける個人情報保護ガイドライン」の日本語解説参照。 

(筆者注2-2） 第37条の英訳・原文・和訳(和訳は筆者が仮訳した)をchina law translate .comサイトから引用する。

＊Article 37: Personal information and other important data gathered or produced by critical information infrastructure operators during operations within the mainland territory of the People's Republic of China, shall store it within mainland China. Where due to business requirements it is truly necessary to provide it outside the mainland, they shall follow the measures jointly formulated by the State network information departments and the relevant departments of the State Council to conduct a security assessment; but where laws and administrative regulations provide otherwise, follow those provisions.

＊第三十七条  关键信息基础设施的运营者在中华人民共和国境内运营中收集和产生的个人信息和重要数据应当在境内存储。因业务需要，确需向境外提供的，应当按照国家网信部门会同国务院有关部门制定的办法进行安全评估；法律、行政法规另有规定的，依照其规定。

＊第37条 中華人民共和国の本土内での業務中に重要な情報インフラストラクチャ事業者によって収集または作成された個人情報およびその他の重要なデータは、中国本土内に保管しなければならない。ビジネス要件のために本土外に提供することが本当に必要な場合は、国家ネットワーク情報部門と国務院の関係部門が共同で策定した施策に従って、セキュリティ評価を実施しなければならない。法律および行政上の規定に別段の定めがある場合は、それらの条項に従う。

*********************************************************************************************

 Copyright © 2006-2017 芦田勝(Masaru Ashida)．All rights reserved. You may display or print the content for your use only. You may not sell publish, distribute, re-transmit or otherwise provide access to the content of this document.