ネットワーク社会と法律2017

年 1 月 31 日

弁護士 辻巻健太

第1 自動車のネットワーク接続と不正アクセスのリスクやプライバシーへの懸念
元々は自動車の車内ネットワークは外部への接続を想定していなかったので自動車の車内ネットワークの標準規格である CAN には外部からの不正アクセスを防止するセキュリティの仕組みが含まれていない。しかし、自動車が外部のネットワークに接続されるようになり、また「走る、曲がる、止まる」の基本機能が ECU を通じて電子制御されるようになったため、不正アクセスやウイルスなどにより人為的に自動車を暴走させられるリスクが懸念されるに至った。
また、自動車の位置情報や走行情報をメーカーがリアルタイムに取得することが可能になったことから、これらの情報が取得され蓄積されることに対するプライバシー上の懸念も指摘されるに至った。
は、おそらく自動車の CAN の不正アクセスに対する脆弱性を理由とする最初のクラスアクションである。この訴訟は、トヨタ、GM 及びフォードを被告として、①CAN の脆弱性により自動車の制御が乗っ取られるリスク、②このリスクによる自動車の価値の低下、③ネットワークを通じた自動車ユーザーの情報の収集によるプライバシー侵害を請求原因として、Trusted Platform Module などのセキュリティ装置を追加するリコールを請求するものである。
Cahen v. Toyota Motor Corp.

第一審の判決（Cahen v. Toyota Motor Corp. 147 F. Supp.3d 955 (2015)）は、これまで現実に遠隔で自動車に対するクラッキングがなされた事例はなく、またこのリスクが判明したことによる明確な中古車価格の下落等の影響も出ていない、プライバシ
ー侵害についても具体的にプライバシー性の高い情報が収集され外部に拡散していることについての主張がなされていない（なお、この裁判官は自動車の位置情報自体はセンシティブな情報とは言えず、それだけではプライバシー侵害にはならないという考え方のようである）等の理由で、訴えを却下した。現在は控訴審で争われている。
但し、現実に自動車の走行システムがテレマティックスや TPMS（タイヤ空気圧監視システム）などを通じて遠隔でクラッキングされる事件があれば、司法判断は一変する可能性が高い。

また、プライバシーについては国ごとの法律の相違や裁判官の価値観で判断基準が異なるため、例えばプローブカーデータのような車両の位置情報については運転者個人を特定できるような形でデータを記録し蓄積することを避けるなど、車両に関するデータを収集するについてはプライバシー侵害とみなされるリスクに配慮する必要があろう。
第2 業務システムのセキュリティホールと重過失
東京地判平成 26 年 1 月 23 日（判例時報 2221 号 71 頁）の事件では、インテリア商材のインターネット通販の受発注システム（オープンソースの EC-CUBE をカスタマイズしたもの）に、SQL インジェクション対策としてバインド機構又はエスケープ処理が組み込まれていなかったことにより、SQL インジェクション攻撃で顧客の個人情報 9482 件、クレジットカード番号 7316 件などが流出したことは重過失に該当するとして、顧客への謝罪、見舞金の支払い、QUO カードの送付などの流出事故対応の費用 3000 万円強につき、3 割の過失相殺（事業者側からセキュリティ上はクレジットカード情報をウェブサーバ上に保持しない方が良いとしてシステム改修の提案を受けながら放置した過失）の上で、システムを構築した業者に賠償を命じた。
この事件で注目されるのは、業者側が SQL インジェクション対策をしなかったことは重過失であるとして、裁判所が契約上の責任制限の適用を認めなかったことである。
一般的に重過失があると契約上の責任限定は認められない。近時、専門業者については、注意義務の要求水準が高くなり、うっかりミスが重過失と認定される可能性が高まっている。
第3 ウェブサービスと利用規約
ウェブサービスやネット通販などのインターネット取引では、取引条件がサイト利用規約などの形で掲載されおり、インターネットを利用する消費者の間にも利用規約の存在については相当広く認知されるに至った。
サイト利用規約は、鉄道約款や保険約款などと同じ契約約款であるから、①サイト利用規約の適切な開示と②利用者がサイト利用規約の条件にしたがって取引を行う意思を認定できることの二つの要件が満たされれば、サイト利用規約は利用者とサイト運営者の間の契約に取引条件として組み込まれることになる。サイト利用規約やサイ

ト利用規約の掲載ページへのリンクと同意クリックボタンを表示し、同意クリックを要求する仕組みが設けられているサイトが多いのは、確実にサイト利用規約を契約として取引条件に組み込むためである。
しかし、サイト利用規約へのリンクがサイトの目立たない場所に小さく表示されているだけのウェブサイトも少なくない。
また、スマートフォンなど表示画面の小さいデバイスについては、サイト利用規約が利用者にとって読み難いことが問題となりうる。
クラウドサービスや有料の会員制サイトなど継続的なインターネット取引についてのサイト利用規約については、事業者側の都合によるサイト利用規約の変更が可能か（既に旧規約で契約している既存ユーザーにも変更後の規約が適用されるのか）が問題となりうる。契約である以上、契約の相手方である会員の同意を得れば基本的には変更は可能なはずである。また多くのサイト利用規約には、サイト運営者がサイト利用規約を変更できる旨の条項が含まれているが、このような場合には、おそらくは規約変更を適切な予告期間を設けて明確に告知すれば、必ずしもクリックなどで明示的に同意を取得しなくても、将来に向けて規約を変更することは可能ではないかと思われるが、サイト利用規約の変更権条項については現時点では判例は見当たらない。
第4 ファーストサーバ事件とデータ事故に対するクラウド事業者の法的責任
年 月 日に、ファーストサーバのレンタルサーバのデータが大量に消失する事故が発生した。この事故の原因は、概要次のようなものであった。
① データのバックアップが別サーバではなく、同一サーバのバックアップディスクに取られるようになっていた。従って、バックアップが本番サーバの環境から十分に分離されていなかった。
② 担当者が社内マニュアルに従わずに独自の方法で更新を行っていた。事故の際にも独自の更新プログラムで更新を行っていたが、過去のプログラムをベースにしたためにファイル削除のコマンドが誤って残されていた。
③ 本来、更新は本番システムを記録するプライマリーディスクについてのみ行われるはずであるが、担当者はバックアップディスクにも同時に更新プログラムを適用し、その結果バックアップのデータも誤ったファイル削除コマンドを含む更新プログラムにより同時に消去された。
2012 6 20

なお、ファーストサーバの第三者委員会は、重過失には該当しないと判断したが、近時の判例（ジェイコム株式誤発注事件控訴審判決（東京高判平成25年7月24日・判例
タイムズ1394号93頁）証券会社がジェイコム株61万円で1株を1円で61万株と誤発注し、システムのバグのために誤発注の取消ができなかったケースにつき、システム稼働後5年間以上類似の不具合が生じたことがなく複数の条件が重なった場合だけに不具合が生じるバグを発見・修正できなかったことは重過失ではないが、発行済み株式総数の3倍もの明らかに異常な売買約定が成立したのに、売買停止措置を講じなかったことは重過失に該当するとして、免責条項において故意・重過失は免責されないと規定されていることを根拠に東証の賠償責任を肯定している。また上述のSQLインジェクション対策をしないことを重過失とした判例参照）は、かなり広く重過失を認定しているので、裁判になれば重過失が認定されていた可能性が高い。
ファーストサーバ事件では、ファーストサーバが責任制限の有効性を主張し、そのまま訴訟にもならなかったため、損害賠償額は12億円程度であったとされている。しかし、よほどのミスがなければバックアップを含めてデータが消失するようなことはないだけに、クラウドサービスなどでのデータ消失事故があった場合には、重過失により責任制限条項が無効化される可能性を含め、サービス提供者側のリスクは大きい。
また、顧客側も、データ消失によるビジネス活動の停止によって生じる逸失利益などすべての損失を立証し賠償を受けることは困難であるため、顧客にとっても、クラウドサービスなどの情報セキュリティのレベルを確認し、セキュリティ対策についてSLAなどの契約で確認しておくことが望ましい。経済産業省の「SaaS向けSLAガイド
ライン」 の「6. SaaS利用における情報セキュリティを中心としたSLA上の確認事項」
はSLAでデータ消失防止や改ざん防止を含む情報セキュリティ確保のための措置について確認することを推奨し、またISO/IEC 27002の「15.1.2供給者との合意におけるセキュリティの取扱い」及びISO/IEC 27017の「15.1.2供給者との合意におけるセキュリティの取扱い」の「クラウドサービスのための実施の手引」も情報セキュリティの具体的な取り扱いについてクラウド事業者に確認することを推奨している。
1

第5 ステルスマーケティング、アフィリエイト、ネイティブ広告など
インターネット上では、記事広告、ブログや SNS のアフィリエイト、検索連動広告、ゲーム内広告など、一見すると広告に見えない広告（ネイティブ広告）が多用されている。また、口コミやユーザーレビューなど、ユーザーが中立的な立場で記載したコメントに見せかけて、業者が「やらせ」で口コミを書き込ませたり、「やらせ」のランキングサイトを作るようなことも行われている。
1

http://www.meti.go.jp/committee/materials/downloadfiles/g80207c05j.pdf

米国の FTC は、FTC Act5 条の不公正又は詐欺的な行使の禁止につき、Guides
Concerning the Use of Endorsements and Testimonials in Advertising 2 ,Enforcement Policy Statement on Deceptively Formatted Advertisements3, Nativeなどのガイドラインを公表して以下のようなAdvertising: A Guide for Businesses4

原則を明らかにしている。

① 広告については、記事広告であろうと何であろうと、広告である旨と広告主を明示する必要がある。
② 広告主である企業から報酬や商品の無償提供を受ける者（タレント、ブロガー、コメンテーターなど）は、広告主のためのコメントに際して企業との関係を開示する必要がある。
③ アフィリエイターなどのコメント内容に虚偽があれば、コメントをしたアフィリエイターなどだけでなく、広告主も責任を負う。
これに対して、日本では消費者庁が「インターネット消費者取引に係る広告表示に関する景品表示法上の問題点及び留意事項」 を公表しているが、以下のように米国のFTC のガイドラインに比較して規制として非常に緩やかなものである。
5① アフィリエイターは広告主ではないので、アフィリエイターは景品表示法の規制を受けない。
② やらせで企業が口コミを書き込ませた場合に、その内容が優良誤認を生じさせるのであれば景品表示法違反になるが、やらせで口コミを書き込ませること自体は規制されていない。やらせの口コミを含めたステルスマーケティングについて、広告であることを開示する義務はない。
一般社団法人インターネット広告推進協議会は、記事広告やリスティング広告などのネイティブ広告につき、「インターネット広告倫理綱領及び掲載基準ガイドライン」
6

2https://www.ftc.gov/sites/default/files/attachments/press-releases/ftc-publishes-final-gu

ides-governing-endorsements-testimonials/091005revisedendorsementguides.pdf
3https://www.ftc.gov/system/files/documents/public_statements/896923/151222deceptiv

eenforcement.pdf
4https://www.ftc.gov/tips-advice/business-center/guidance/native-advertising-guide-busi

nesses5

http://www.caa.go.jp/representation/pdf/111028premiums_1_1.pdf

6

http://www.jiaa.org/guideline.html

で広告であることの明示を求めているが、これはあくまでも自主規制であり法律ではない。
以上