中華人民共和国サイバーセキュリティ法

中華人民共和国サイバーセキュリティ法（ちゅうかじんみんきょうわこくサイバーセキュリティほう、中国語:中华人民共和国网络安全法）は中華人民共和国がサイバーセキュリティを強化するために制定した法律である。2015年6月の全国人民代表大会で草案を公開、発表しパブリックコメントを求めた。2016年11月7日第十二回全国人民代表大会常務委員会第24次会議の評決で可決され、2017年6月1日施行された。中国語原文表記は「中华人民共和国网络安全法」である。日本貿易振興機構による仮訳、および中国日本商会による翻訳がある。
立法経緯.
2003年初め、中国共産党中央弁公庁公布の第27号文『国家情報化指導組織の情報セキュリティ保障業務に関する意見』で、「至急『情報セキュリティ法』起草を検討するよう要求を提出。
2015年6月、第十二回全国人民代表大会常務委員会第十五次会議で『中華人民共和国サイバーセキュリティ法』草案に対する審議を初めて行った。この審議通過後、同草案は公開され、パブリックコメントが募集された。2016年6月、第12回全国人民代表大会常務委員会第21次会議で草案に対する二回目の審議が行われた。同年11月、第12回全国人民代表大会常務委員会第24次会議で草案に対する三回目の審議が行われ、会議は賛成154票、棄権1票をもって『サイバーセキュリティ法』を可決、中華人民共和国主席習近平が第53号主席令に署名し、本法は公布された。
主な内容.
『中華人民共和国サイバーセキュリティ法』は全7章79条からなり、多くの内容は、例えば個人情報漏洩など、近年のネットセキュリティの隠れた危険性に対するものだ。同法はネット詐欺等の行為の定義と刑罰や、ネット運営業者の責任を明確にし、違法な情報に対する処罰や、監督機関の業務への協力を求めている。同法はサイバーテロリズムによる攻撃や、ネット詐欺等の行為の防止を主旨とし、緊急の場合は政府にネットワークを停止する等の権力を与えている。
その他、同法は初めて法律の形でネット実名制を明確にした。ネット運営業者がユーザにネット接続や、ドメイン名登録サービスを提供する場合、あるいは、固定電話や、携帯電話等のネット接続手続きを行う場合、あるいは、ユーザへの情報提供や、インスタントメッセージ・サービスを提供するなどの場合、ユーザに真実の身分情報を提供させることを求めている。ユーザが真実の身分情報を提供しない場合は、ネット運営業者は関連するサービスを提供してはならないとしている。
同時に重要情報インフラの安全な運用、および、中国国内の重要な情報インフラを攻撃、破壊する国外組織や個人に対する処罰を明確に規定している。
日本語の情報源.
中国の法制度については日本語の情報源が少ないが、独立行政法人のものと比較的中立的な情報源は以下の通り。
関連法制度.
同法制定後に公開された関連法制度として以下の三つがあるが、いずれもパブリックコメント募集完了または募集中で施行状況は明らかでない。
うち『個人情報と重要データ輸出セキュリティ評価法』はサイバーセキュリティ法に対する行政法規、『情報セキュリティ技術 データ輸出セキュリティ評価ガイド』は国家標準と位置付けられている。
また『サイバーセキュリティ等級保護条例（網絡安全等級保護条例）』は2007年6月22日公布の『情報セキュリティ等級保護管理規則（信息安全等級保護管理辦法）』をサイバーセキュリティ法施行を受けて改正したもので、情報システムのセキュリティ等級を公民、法人、その他組織の権益、国家安全、社会秩序、公共の利益の観点から五段階に分類する基本的な考え方は変わらないが、クラウド、ビッグデータ、人工知能、IoTなど新技術のリスク管理にも言及されている。
中華人民共和国公安部はサイバーセキュリティ法に基づき新たに『公安機関互聯網安全監督検査規定』を2018年9月15日公布、11月1日施行、「浄網（インターネット浄化）2018」と称するキャンペーンを実施した。各種インターネットサービス事業者を対象に即日立入検査を開始し、早くも翌11月2日に重慶市がログ保存不備により最初の処罰実績を挙げており、サイバーセキュリティ法に国内秩序維持の側面が強いことを示している。
続いて中華人民共和国国家互聯網信息辦公室は2018年11月15日、サイバーセキュリティ法に基づき新たに『具有与論属性或社会動員能力的互聯網信息服務安全評估規定』を公布、施行した。世論への影響力や社会的な動員力を持ちうるSNSや動画サイト等の運営企業にセキュリティ自己評価を義務付ける規定で、目的は「国家の安全、社会秩序と公共の利益の維持」と明記されている。この規定は実質的にSNS等運営企業に自主検閲を求めるものでサイバーセキュリティ法の制定趣旨を示している。
関連法制度の体系.
中国サイバーセキュリティ法の運用は単独で完結せず多数の関連法制度が存在し以下の6種類に大別できる。
制度そのものの整備や具体化は国家互聯網信息辦公室（国家インターネット情報局）、技術面の具体的な指針や標準化は全国信息標準化技術委員会により行われている。これらの分類に対応する具体的な法制度は以下のとおり（2017年9月21日現在）。これら法制度に加えて一連の中華人民共和国国家標準が存在する。
公安機関による監督管理.
ネット運営業者（ネットワークサービスの利用企業も含む）すべてが公安機関による監督管理の対象となるわけではない。対象となるかどうかは安全保護等級によって決まる。安全保護等級は『サイバーセキュリティ等級保護条例（網絡安全等級保護条例）』第15条で、その事業者のネットワークが破壊されたとき生じる被害により以下5等級に分けられている。
これら定義で「損害」「危害」ともに、通常、「重大な」、「特に重大な」の3段階に重みづけされている。つまり、自社のネットワークセキュリティ・インシデントが、個人・法人・組織に通常の範囲を超えた「重大な損害」を与えるか、国家安全、社会秩序、公共の利益にまで危害を与えないような業態であれば、公安機関による監督管理を受けない。
監督管理対象になる第二級以上の事業者は、社内で等級評価を実施後10営業日以内に県クラス以上の公安機関に報告し、公安機関は報告の受理後10営業日以内にネット安全等級保護登録証明書を交付すると定められている。
同じく監督管理対象になる第三級以上の事業者は、それに加えてさらに8項目からなる安全保護義務や、年一回のネット安全等級査定等の公安機関への報告、政府機関のセキュリティ審査など様々な義務が課される。
論争.
2016年8月、在中グローバル企業46社が連名で国務院総理李克強に書簡を送り、中国政府が国際貿易法に基づいて新サイバーセキュリティ法を修正するよう求めた。連名の書簡は新サイバーセキュリティ法が情報セキュリティ技術に対して厳格な制限を生じさせ、データ盗聴がより容易になり、同法が世界貿易機関の規則に違反していると指摘していた。さらに同法が保護貿易の疑いがあると指摘した。
この抗議は2010年にグローバル企業が中国のレアアース輸出制限に集団で抗議して以降、在中グローバル企業による最大規模の抗議運動となった。同年11月7日、全国人民代表大会常務委員会は『中華人民共和国サイバーセキュリティ法』を可決し、グローバル企業数百社を代表する40社余りのグローバル企業と技術団体がこれに対して深い関心を示し、中国政府に合同で書簡を提出し、中国当局がインターネットとネット技術をコントロールしようとしているとし、「国境に貿易障壁を設置するものだ」と警告を発し、セキュリティを保証する目的は決して達成できないとした。
2017年9月25日、米国は世界貿易機関に対して同法第三十七条にあるデータ越境セキュリティ評価制度に関するレターを送信、個人情報や重要データの中国国外への輸出に関するセキュリティ評価が、データの自由な流動の重大な妨げになるとの懸念を示している。また同文書では2017年4月11日、中国政府がパブリックコメント募集のため公開した『個人情報と重要データ輸出セキュリティ評価法（個人信息和重要數據出境安全評估辦法）』および、同じく中国政府がパブリックコメント募集のため2017年8月30日に公開した『情報セキュリティ技術 データ輸出セキュリティ評価ガイド（信息安全技術 數據出境安全評估指南）』にも関心を示している。
評価.
中国当局は同法の通過により（ネット主権）が確立され、サイバー攻撃とテロ行為を防止できると考えている。は同法に反しない限り外国企業の利益を毀損しないとしている。しかし、サイバースペースの国家主権を謳うこの法律によってオンラインでのプライバシーと言論の自由が侵食されるという批判もある。各種企業団体は、法律のいくつかの条項が外国企業の経営コストを高め、中国市場への参入を不可能にする場合があり、貿易障壁となることを憂慮している。また人権擁護活動家は同法が中国のインターネットへの登録制度を一層強化するものだと指摘している。
同法にはすでに実質的に適用されていた規定が多く、人権団体はこの法律が実質的に政府がその管理手段を「合法化」するためのものだと指摘している。。また同法が正式に可決されたのが、中国の最高権力者で中国サイバースペース管理局を管轄する習近平が大規模な社会に対する圧力強化を背景としており、反政府の言論を抑圧するものだという指摘もある。また中国が2015年に施行した『中華人民共和国国家安全法』に関して、重要なネットワークインフラと情報システムの「セキュリティと有効なコントロールを達成すること」が目的の一つだとする見方もある。
施行後の処罰事例.
施行後の処罰事例の多くがコンテンツ自主審査義務の未実施に対する処罰となっており、同法が当局による検閲にも利用されていることが分かる。
また、中倫弁護士事務所による2018年同法執行事案の総括によれば、2018年の事案は2017年と比較して個人情報保護およびいわゆる「ネット環境浄化」に高い関心があるとしている。
同総括では、ユーザ実名登録制の不備、ユーザの不適切な情報発信の管理不備が事案の5割を占め、一般的な情報セキュリティ管理不備事案は3割弱にとどまっている。執行を受けた企業は、生放送サイト、ECサイト、インスタントメッセージサービスなどネットメディアとIT企業に集中している。かつ、一般的な情報セキュリティ管理不備による執行も3分の2以上が公安部によるものとなっている。