発表用スライド

1. 湯淺 墾道
情報セキュリティ大学院大学教授
1
第3回脅威分析研究会
法律面から見たリスク分析

2. 自己紹介
青山学院大学法学部公法学科卒業、同大学院法学研究科
公法専攻博士前期課程修了、慶應義塾大学大学院法学研
究科政治学専攻博士課程退学
慶應義塾大学講師等をへて、2004年九州国際大学法学部
専任講師、2005年助教授、2007年准教授、2008年教授、副
学長・国際センター長、2011年情報セキュリティ大学院大学
情報セキュリティ研究科教授、2012年学長補佐
九州大学、横浜市立大学、愛知学院大学、神奈川工科大学、
中央大学非常勤講師
情報ネットワーク法学会副理事長、日本セキュリティ・マネジ
メント学会理事、日本選挙学会理事、デジタル・フォレンジッ
ク研究会理事
公益財団法人アジア女性交流・研究フォーラム理事、一般財
団法人関門海技協会評議員、特定非営利活動法人 NPO情
報セキュリティフォーラム理事ほか
http://home.att.ne.jp/omega/yuasa/index.html 2

3. マイナンバー・個人情
報保護関係
神奈川県情報公開・個人情報保護審議会委員
埼玉県本人確認情報保護審議会会長
埼玉県特定個人情報保護評価委員会委員長
埼玉県後期高齢者医療広域連合個人情報保護審査会
第三者点検オブザーバー
川崎市情報公開運営審議会副会長
渋谷区個人情報の保護及び情報公開審議会委員
一般財団法人日本データ通信協会電気通信個人情報
保護推進センター諮問委員会委員長
株式会社ベネッセホールディングス情報セキュリティ監
視委員会委員長代理 3

4. 法律学におけるリスク概念
4

5. 基本的な考え
民事法
不法行為責任
予測可能性
過失責任
例外：無過失責任
過失の挙証
例外：製造物責任
事後救済（事前差し止めの否定）
例外：人格権に係る場合 5

6. 刑事法
3要素
構成要件該当性
違法性
責任
「業務上」
責任加重 6

7. 行政法
「行政無謬」
事情判決の法理
行政事件訴訟法
行政処分や裁決が違法であるとき、裁判所は
これを取り消すのが原則
「取り消すと著しく公益を害する（公共の福祉
に適合しない）事情がある場合」には請求を棄
却できる 7

8. リスクの意味①
ハザード（危険、危害要因）による被
害の程度
×
そのハザードの発生確率を掛け合わ
せたもの
例：地震のリスク

9. リスクの意味②
不確実性
良い意味と悪い意味の両方
事象の発生確率と、事象の結果
の組み合わせ
企業にとっては・・・
損害
利益の源泉

10. リスクの意味③
「人工のリスク」
U・ベック、A・ギデンス、Nルーマン等
これまでのリスク
蓋然性の予測可能
人間が作っているリスク
蓋然性の予測ができない
例：遺伝子組み換え(GM)食品
予防原則（ベック）

11. 法規制レイヤ
11
PL
品質保証
環境
自動車
船舶
航空機
住宅機器
家電
農業機械
建設
インフラ

12. 人の法 レイヤ
12
匿名・実名
個人情報
ﾌﾟﾗｲﾊﾞｼｰ 匿名加工
情報
対面販売
相続・譲渡
意思能力
免許制
登録制
消費者
加害者・被害者
行為者

13. インターネットの法規制
レイヤ
13
電波法
電気通信
事業法
プロバイダ
責任
制限法
青少年
ｲﾝﾀｰﾈｯﾄ
環境整備法
表現の
自由
携帯電話
不正利用
防止法
放送法
通信の
秘密

14. 法律におけるリスク分析の事例
14

15. 環境アセスメント（環境
影響評価）
環境影響評価法
平成9年制定
第一条
この法律は、土地の形状の変更、工作物の新設等の事業を行う事業者
がその事業の実施に当たりあらかじめ環境影響評価を行うことが環境の
保全上極めて重要であることにかんがみ、環境影響評価について国等の
責務を明らかにするとともに、規模が大きく環境影響の程度が著しいもの
となるおそれがある事業について環境影響評価が適切かつ円滑に行わ
れるための手続その他所要の事項を定め、その手続等によって行われた
環境影響評価の結果をその事業に係る環境の保全のための措置その他
のその事業の内容に関する決定に反映させるための措置をとること等に
より、その事業に係る環境の保全について適正な配慮がなされることを確
保し、もって現在及び将来の国民の健康で文化的な生活の確保に資す
ることを目的とする。 15

16. 対象：13事業
高速道路、発電所、ダム、干拓・埋め
立て等
事業の実施が環境に及ぼす影響に
ついて環境の構成要素に係る項目
ごとに調査、予測・評価
その事業の環境保全の措置を検討
し、環境影響を総合的に評価 16

17. 特定個人情報保護評
価
特定個人情報ファイルを保有しよう
とする又は保有する国の行政機関
や地方公共団体等
個人のプライバシー等の権利利益
に与える影響を予測した上で
特定個人情報の漏えいその他の事
態を発生させるリスクを分析し、その
ようなリスクを軽減するための適切な17

18. プライバシー影響評価(Privacy
Impact Assessment)
1990年代にカナダ、ニュージーランド、オーストラ
リア等で議論始まる
ISO22307
アメリカ
Section 208, E-Government Act of 2002
OMB Guidance for Implementing the Privacy
Provisions of the E-Government Act of 2002
Section 222, Home Land Security Act of 2002
18

19. マイナンバー法26条
特定個人情報保護評価に関する規則
特定個人情報保護評価指針
実施主体
行政機関の長
地方公共団体の長その他の機関
独立行政法人等
地方独立行政法人
地方公共団体情報システム機構
情報連携を行う事業者 19

20. 20http://www.ppc.go.jp/enforcement/assessment/

21. 第三者点検 規則
7条
４ 第一項前段及び第二項の場合において、地方公共団
体等は、これらの規定により得られた意見を十分考慮した上
で当該評価書に必要な見直しを行った後に、当該評価書に
記載された特定個人情報ファイルの取扱いについて、個人
情報の保護に関する学識経験のある者を含む者で構成さ
れる合議制の機関、当該地方公共団体等の職員以外の者
で個人情報の保護に関する学識経験のある者その他指針
に照らして適当と認められる者の意見を聴くものとする。当
該特定個人情報ファイルについて、第十一条に規定する重
要な変更を加えようとするときも、同様とする。
５ 地方公共団体等は、前項の規定により意見を聴いた後
に、当該評価書を個人情報保護委員会に提出するものとす
る。
21

22. 第三者点検 指針
地方公共団体等は、公示し住民等の意見を求め、必要な見直しを
行った全項目評価書について、規則第７条第４項の規定に基づき
、第三者点検を受けるものとする。第三者点検の方法は、原則とし
て、条例等に基づき地方公共団体が設置する個人情報保護審議
会又は個人情報保護審査会による点検を受けるものとするが、こ
れらの組織に個人情報保護や情報システムに知見を有する専門
家がいないなど、個人情報保護審議会又は個人情報保護審査会
による点検が困難な場合には、その他の方法によることができる。
ただし、その他の方法による場合であっても、専門性を有する外部
の第三者によるものとする。第三者点検の際は、点検者に守秘義
務を課すなどした上で、公表しない部分（下記（４）参照）を含む全
項目評価書を提示し、点検を受けるものとする。
地方公共団体等は、規則第７条第５項の規定に基づき、第三者点
検を受けた全項目評価書を委員会へ提出するものとする。
22

23. IOT時代のリスク分析と法
23

24. インターネットとモノの
の違い
24
【インターネット】
• ベストエフォート
• ソフトウェア
• 障害が前提、バ
グ許容（リスク）
• 電力と通信依存
• グローバルなル
ール、ソフト・ロー
• 免責（世田谷ケー
ブル火災、約款）
【従来のモノ】
• 正常 or 故障
• ハードウェア
• 絶対（リスク折り込
み設計は困難）
• 通信に依存しない
• 国内法体系による
規制、ハード・ロー
• 製造販売者に責任
（PL法）

25. モノが一般の消費者が利用するよう
な性質・形態である場合
製品の品質保証や製造物責任
契約、約款
販売 or レンタル、○年縛り
消費者保護の観点からの考慮が
必要
25

26. モノをインターネットに接続して使用
するユーザー個人の使用状況や、
モノに付着するセンサ等により掌握
される周囲の個人の動向が、インタ
ーネットを通じて収集される場合
ユーザー個人のプライバシー、個
人情報の保護
形態によっては人身の危険も 26

27. インターネットに接続することによっ
て、人の介在を必要としないで動作
するモノが増える
その動作によって生じた結果につ
いての責任の問題
誰が責任を負うのか
人工知能の規制?
27

28. 現時点で不透明なもの
モノの一部なのか人の属性なのか
誰に法的占有権があるのか
例
IoT機器が生成するログデータ、センサデ
ータ
スマートメータのデータ
ポイント、マイレージ類 28

29. 問題(1)
モノが一般の消費者が利用するよう
な性質・形態である場合
製品の品質保証や製造物責任
契約、約款
販売 or レンタル、○年縛り
消費者保護の観点からの考慮が
必要
29

30. 問題(2)
モノをインターネットに接続して使用
するユーザー個人の使用状況や、
モノに付着するセンサ等により掌握
される周囲の個人の動向が、インタ
ーネットを通じて収集される場合
ユーザー個人のプライバシー、個
人情報の保護
形態によっては人身の危険も 30

31. 問題(3)
インターネットに接続することによっ
て、人の介在を必要としないで動作
するモノが増える
その動作によって生じた結果につ
いての責任の問題
誰が責任を負うのか
人工知能の規制?
31

32. リスク分析を考える上での課題
32

33. リスク分析と責任
加重されるのか、免責か
分析者の責任
分析の瑕疵、予測不可能性
監査と同様の問題
分析コスト
費用と時間
誰の負担か
インセンティブ 33

34. 法制度整備の必要性
34
グローバルな
ガバナンス
通信の秘密 所有権 プライバシー
マルチステークホルダ
v.s.
公的機関管理・統制
「通信の秘密」と「表
現の自由」の棲み
分け
Waver
財産権的性質
「利用」
モデル