なるほど。
それというのは、これは価値判断なのかもしれないんですけれども、例えば、一般利用者等が、今このネット時代に、プラットフォーマーとかに自分のデータなんかを上げながら、使いながらやり取りをするということが、世の中の全員が知っていますよね、今でいうと。
それは、暗号化されたりして送られたりするというのは、まず、プラットフォーマーの企業側の従業員とかにも分からないために暗号化されていたりするというのがあって、それも含めて、命令でそういうものを解除したり、又は可視化できるようにしてやれというようなことについては、そもそも限界もあるんだろうし、そこがどこまでプッシュするのかは多分現場実務の話なので分からないですが、そういう構造に違和感を持つ方というのは多くおられるんだろうということは指摘をしておきたいと思います。
それから、海外、外国との法制度との関係性について少し聞いておきたいと思います。
一部の通信事業者とか又はグローバルプラットフォーマーは、サーバーはもう国内になく、海外にあるということが一般的でもあります。これの、国内だけの場合は、日本企業、そして、日本人であり、日本にデータが全てあって、サーバーも日本にあるという場合については全く問題ないと思うんですが、それがファジーな時代です。その場合、例えば外国の法制度との整合性に整理が一定必要なのではないかという疑問が生じるわけであります。
例えばＥＵでは、ＧＤＰＲ、ゼネラル・データ・プロテクション・レギュレーション、二〇一八年にできていますけれども、これはプライバシー保護の観点から、ＥＵ域外へのデータ移転に厳しい規制がかけられているというふうなものがあったりですとか、例えば、アメリカのＣＬＯＵＤ法、これはちょっと逆ですけれども、アメリカ企業が保有するデータを、たとえ海外に保存されていても取得できるようにするといった、こういった法整備が諸外国でも進んでいるわけであります。
例えば、日本にある、外国、それこそ分かりやすいところでいうとアマゾンとかメタとかグーグルとか、そういう日本法人がありますよね。日本法人に対して命令を出す。親元は海外であります。そのときに、いわゆるその命令をした範囲の、提供命令が課せられた範囲のデータが、海外にサーバーが設置されてそこに保管されている等の事象というのは、恐らく、どういう基準で対応したらいいのかというのが、事業者側にもちょっと悩ましいところもあると思うんですよね。そういったところの整理というのはどのようにされているか、又は議論がこれまであったかということをお聞きしたいと思います。
153森森本宏法務省刑事局長
まず、電磁的記録提供命令により電磁的記録を提供させる方法としては、電磁的記録を記録媒体に記録させて当該記録媒体を提出させる方法等がありますところ、ここに言うところの「記録させ」には、暗号化された電磁的記録を復号させた上で、これを他の記録媒体に記録させるというようなことも含まれます。
そのため、捜査機関としては、パスコードがかけられている電磁的記録について、電磁的記録提供命令により、パスコードを解除して内容を知ることができる状態で提出するということを命ずることはできることとなります。そのようにして提供を命じたにもかかわらず、パスコードを解除せずに当該電磁…
この発言のページ
154
藤田文武(維新)
ちょっと今の話、確認したいんですけれども。
要するに、クラウドサービス等でストレージ領域を一般利用者に提供していた、そこに対しては、個人のパスコードやパスワードが全部ひもづいていたり、又は、やり取りについては、暗号化されたりしているものも混在していると。それを、ある種、ここからここまでを出してくれという命令を出してやる場合に、暗号化されたものや、又はパスコードがかかっているものは、可能なんだったら、全部解除して見れる形にして出すのが筋ですよねというのが原則という意味ですか。
この発言のページ
155森森本宏法務省刑事局長
お答えいたします。
それは、最初に裁判官から令状をもらうときにどういった書き方がしてあるか、そういったものを、暗号化されたものは復号化して出してくださいというところまで令状請求の段階で疎明して、そこまでの内容が令状に記載されている場合には、復号化して出すところまでの義務が生じるということになろうかと思います。
他方で、一般的なものにつきまして、取りあえずこの範囲のものを出してくださいというだけの電磁的記録提供命令だった場合には、かつ、事業者側としては、自分が設定したわけではないものが、パスワードとかパスコードとか、幾つもあるでしょうから、そういった場…
この発言のページ
- （上の発言）
156藤田文武(維新)
なるほど。
それというのは、これは価値判断なのかもしれないんですけれども、例えば、一般利用者等が、今このネット時代に、プラットフォーマーとかに自分のデータなんかを上げながら、使いながらやり取りをするということが、世の中の全員が知っていますよね、今でいうと。
それは、暗号化されたりして送られたりするというのは、まず、プラットフォーマーの企業側の従業員とかにも分からないために暗号化されていたりするというのがあって、それも含めて、命令でそういうものを解除したり、又は可視化できるようにしてやれというようなことについては、そもそも限界もあるんだろうし、そこがどこまでプッシュするのかは多分現場実務の話なので分からないですが、そういう構造に違和感を持つ方というのは多くおられるんだろうということは指摘をしておきたいと思います。
それから、海外、外国との法制度との関係性について少し聞いておきたいと思います。
一部の通信事業者とか又はグローバルプラットフォーマーは、サーバーはもう国内になく、海外にあるということが一般的でもあります。これの、国内だけの場合は、日本企業、そして、日本人であり、日本にデータが全てあって、サーバーも日本にあるという場合については全く問題ないと思うんですが、それがファジーな時代です。その場合、例えば外国の法制度との整合性に整理が一定必要なのではないかという疑問が生じるわけであります。
例えばＥＵでは、ＧＤＰＲ、ゼネラル・データ・プロテクション・レギュレーション、二〇一八年にできていますけれども、これはプライバシー保護の観点から、ＥＵ域外へのデータ移転に厳しい規制がかけられているというふうなものがあったりですとか、例えば、アメリカのＣＬＯＵＤ法、これはちょっと逆ですけれども、アメリカ企業が保有するデータを、たとえ海外に保存されていても取得できるようにするといった、こういった法整備が諸外国でも進んでいるわけであります。
例えば、日本にある、外国、それこそ分かりやすいところでいうとアマゾンとかメタとかグーグルとか、そういう日本法人がありますよね。日本法人に対して命令を出す。親元は海外であります。そのときに、いわゆるその命令をした範囲の、提供命令が課せられた範囲のデータが、海外にサーバーが設置されてそこに保管されている等の事象というのは、恐らく、どういう基準で対応したらいいのかというのが、事業者側にもちょっと悩ましいところもあると思うんですよね。そういったところの整理というのはどのようにされているか、又は議論がこれまであったかということをお聞きしたいと思います。
157森森本宏法務省刑事局長
外国の法制度を網羅的に把握して、それと整理しているというところまでは進んでおりませんけれども、基本的には、我が国に所在する者なり企業なりに対して命令をかける、日本支社なりにですね、ということになろうかと思いますが、その我が国に所在する者が、対象となる電磁的記録を保管し、又はそれを利用する権限がある、アクセスできる権限があるという限りにおいて、仮に、当該電磁的記録が外国に所在するサーバーコンピューターなどの記録媒体に記録されている場合であっても、当該電磁的記録を提供する行為は、我が国に所在する命令を受けた者によって正当な権限に基づき行使されるものであって、…
この発言のページ
158藤田文武(維新)
実際にそれを取得しても恐らく問題ないだろう、適切な範囲であればという御見解だったと思うんですね。
それは捜査側からの論理なんですが、これは提供命令なので、事業者側は、こういうプライバシーとか情報については抑制的に扱いたいわけですよ。そうすると、本国又は本社の意向でプライバシーポリシーとかは割とかちっと決まっていて、その中で、そういうことを理由に、例えば拒否したり、抵抗するというか協議するという局面というのは来ないのかなという疑念、疑問があるわけでありますけれども、その可能性というのはあるんですかね。
この発言のページ
159森森本宏法務省刑事局長
御質問が具体的な事件で、実際、今、日本はどういう捜査をしているのかにかなり近くなっておりますので、なかなかお答えしにくいところはあるのでございますが、現実問題として、それぞれの事業者さんによって、やはりプライバシーポリシー等がありまして、これは出しますけれども、もうここから先は出しません、あるいは、これはありませんと、本当にあるのかないのかは分からないですが、ありませんと、こういうふうにおっしゃられる事業者さん、まちまちでございます。
他方で、これなら任意で出しますけれども、ここから先はこういう令状じゃないといけないし、あるいは、こっち側の情報はあるけ…
この発言のページ