不正アクセスによる個人情報の取得について

個人情報が漏れる事件が相次いでいますが、法律の面では、盗んだ側と盗まれた企業とで責任の中身がまったく違います。日本法を前提に、確実に言える範囲で綴ります。

細かい条文や数字は改正で変わることがあるので、正確な内容は個人情報保護委員会やe-Govの条文で確認してください。

不正アクセスで個人情報を盗んだ人は、他人のIDやパスワードを無断で使ったり、システムの弱点を突いて侵入したりした時点で、不正アクセス禁止法違反になります。

盗んだIDやパスワードを不正に取得したり、保管したり、他人に渡したりすることも、別の罪として処罰されます。

ほかにも、サービスを止めるなどしてシステムの運営を妨害すれば業務妨害の罪、ウイルスを作って使えば不正指令電磁的記録に関する罪になり得ます。盗んだ情報を使ってお金などの不正な利益を得れば、電子計算機使用詐欺罪などが問題になります。営業秘密にあたる情報なら、不正競争防止法違反にもなり得ます。さらに、被害を受けた企業や本人から損害賠償を請求される可能性もあります。

個人情報保護法にも、個人情報データベース等を不正な利益のために提供したり盗用したりする罪がありますが、これは主に、その情報を業務で扱う立場の従業員などを想定した規定です。外部から侵入した人には、不正アクセス禁止法などが中心になります。

一方、侵入された企業は、被害者という面があるので、それだけで犯罪者になるわけではありません。ただ、個人情報保護法は企業に安全管理措置を求めていて、対策が不十分だったと判断されれば責任が生じ得ます。

情報が漏れた場合、一定の条件にあてはまるときは、個人情報保護委員会への報告と本人への通知が義務になります。たとえば、要配慮個人情報が含まれる場合、財産的な被害が出るおそれがある場合、不正の目的による漏えいの場合、1,000人を超える場合などです。報告は速報と確報の二段階で、期限が決まっているので、具体的な日数は委員会の最新の案内で確認してください。

対応が不十分なら、委員会から指導や勧告、命令を受けることがあります。命令に従わなければ刑事罰の対象にもなり、法人には重い罰金が科される仕組みです。

民事では、漏えいした本人から不法行為などを理由に損害賠償を求められることがあります。1人あたりの金額は大きくないことも多いですが、被害者が多いと全体の負担は大きくなります。取引の停止や信用の低下、調査や対応の費用といった実務上の打撃も避けられません。経営陣も、対策を怠っていた場合は責任を問われる可能性があります。

盗まれた情報だと知りながら買ったり使ったりした人も、情報の内容によっては、法律上や民事上の責任を問われる可能性があります。

自分の情報が漏れたのではと心配な方は、該当企業の公式なお知らせを確認してください。同じパスワードを使い回しているサービスがあれば変更し、二段階認証を設定しておくと安心です。漏えい後はそれを悪用したフィッシングメールや不審な電話が増える可能性も考えられます。注意してください。