トップQs
タイムライン
チャット
視点
中華人民共和国サイバーセキュリティ法
中華人民共和国がサイバーセキュリティを強化するために制定した法律 ウィキペディアから
Remove ads
中華人民共和国サイバーセキュリティ法（ちゅうかじんみんきょうわこくサイバーセキュリティほう、中国語:中华人民共和国网络安全法）は中華人民共和国がサイバーセキュリティを強化するために制定した法律である。2015年6月の全国人民代表大会で草案を公開、発表しパブリックコメントを求めた。[1]2016年11月7日第十二回全国人民代表大会常務委員会第24次会議の評決で可決され、2017年6月1日施行された[2]。中国語原文表記は「中华人民共和国网络安全法」である[3]。日本貿易振興機構による仮訳[4]、および中国日本商会による翻訳がある[5]。
立法経緯
2003年初め、中国共産党中央弁公庁公布の第27号文『国家情報化指導組織の情報セキュリティ保障業務に関する意見』で、「至急『情報セキュリティ法』起草を検討するよう要求を提出[6]。
2015年6月、第十二回全国人民代表大会常務委員会第十五次会議で『中華人民共和国サイバーセキュリティ法』草案に対する審議を初めて行った。この審議通過後、同草案は公開され、パブリックコメントが募集された[1]。2016年6月、第12回全国人民代表大会常務委員会第21次会議で草案に対する二回目の審議が行われた。同年11月、第12回全国人民代表大会常務委員会第24次会議で草案に対する三回目の審議が行われ、会議は賛成154票、棄権1票をもって『サイバーセキュリティ法』を可決[7]、中華人民共和国主席習近平が第53号主席令に署名し、本法は公布された。
主な内容
『中華人民共和国サイバーセキュリティ法』は全7章79条からなり、多くの内容は、例えば個人情報漏洩など、近年のネットセキュリティの隠れた危険性に対するものだ。同法はネット詐欺等の行為の定義と刑罰や、ネット運営業者の責任を明確にし、違法な情報に対する処罰や、監督機関の業務への協力を求めている。同法はサイバーテロリズムによる攻撃や、ネット詐欺等の行為の防止を主旨とし、緊急の場合は政府にネットワークを停止する等の権力を与えている[8]。
その他、同法は初めて法律の形でネット実名制を明確にした。ネット運営業者がユーザにネット接続や、ドメイン名登録サービスを提供する場合、あるいは、固定電話や、携帯電話等のネット接続手続きを行う場合、あるいは、ユーザへの情報提供や、インスタントメッセージ・サービスを提供するなどの場合、ユーザに真実の身分情報を提供させることを求めている。ユーザが真実の身分情報を提供しない場合は、ネット運営業者は関連するサービスを提供してはならないとしている。
同時に重要情報インフラの安全な運用、および、中国国内の重要な情報インフラを攻撃、破壊する国外組織や個人に対する処罰を明確に規定している[9]。
Remove ads
日本語の情報源
中国の法制度については日本語の情報源が少ないが、独立行政法人のものと比較的中立的な情報源は以下の通り。
- クララオンライン
- インターネットイニシアティブ
- 『徹底解説：中国サイバーセキュリティ・個人情報規制』[17]
関連法制度
要約
視点
同法制定後に公開された関連法制度として以下の三つがあるが、いずれもパブリックコメント募集完了または募集中で施行状況は明らかでない。
- 2017年4月11日公開『個人情報および重要データ輸出セキュリティ評価法（個人信息和重要數據出境安全評估辦法）』[18]
- 2017年8月30日公開『情報セキュリティ技術 データ輸出セキュリティ評価ガイド（信息安全技術 數據出境安全評估指南）』[19]
- 2018年6月27日公開『サイバーセキュリティ等級保護条例（網絡安全等級保護条例）』[20]
うち『個人情報と重要データ輸出セキュリティ評価法』はサイバーセキュリティ法に対する行政法規、『情報セキュリティ技術 データ輸出セキュリティ評価ガイド』は国家標準と位置付けられている。[21]
また『サイバーセキュリティ等級保護条例（網絡安全等級保護条例）』は2007年6月22日公布の『情報セキュリティ等級保護管理規則（信息安全等級保護管理辦法）』[22]をサイバーセキュリティ法施行を受けて改正したもので、情報システムのセキュリティ等級を公民、法人、その他組織の権益、国家安全、社会秩序、公共の利益の観点から五段階に分類する基本的な考え方は変わらないが、クラウド、ビッグデータ、人工知能、IoTなど新技術のリスク管理にも言及されている。
中華人民共和国公安部はサイバーセキュリティ法に基づき新たに『公安機関互聯網安全監督検査規定』を2018年9月15日公布、11月1日施行[23]、「浄網（インターネット浄化）2018」と称するキャンペーンを実施した。各種インターネットサービス事業者を対象に即日立入検査を開始し、早くも翌11月2日に重慶市がログ保存不備により最初の処罰実績を挙げており[24]、サイバーセキュリティ法に国内秩序維持の側面が強いことを示している。
続いて中華人民共和国国家互聯網信息辦公室は2018年11月15日、サイバーセキュリティ法に基づき新たに『具有与論属性或社会動員能力的互聯網信息服務安全評估規定』を公布、施行した。[25]世論への影響力や社会的な動員力を持ちうるSNSや動画サイト等の運営企業にセキュリティ自己評価を義務付ける規定で、目的は「国家の安全、社会秩序と公共の利益の維持」と明記されている。この規定は実質的にSNS等運営企業に自主検閲を求めるものでサイバーセキュリティ法の制定趣旨を示している。
関連法制度の体系
中国サイバーセキュリティ法の運用は単独で完結せず多数の関連法制度が存在し以下の6種類に大別できる。
- インターネット情報コンテンツ管理制度
- ネット安全等級保護制度
- 重要情報インフラセキュリティ保護制度
- 個人情報および重要データ保護制度
- ネットワーク製品およびサービス管理制度
- ネットワークセキュリティインシデント管理制度
制度そのものの整備や具体化は国家互聯網信息辦公室（国家インターネット情報局）、技術面の具体的な指針や標準化は全国信息標準化技術委員会により行われている。これらの分類に対応する具体的な法制度は以下のとおり（2017年9月21日現在）。これら法制度に加えて一連の中華人民共和国国家標準が存在する。[26]
- 基本法律と国家戦略
- インターネット情報コンテンツ管理制度
- インターネット情報サービス管理規則（2011/01/08施行）[31]
- インターネット情報コンテンツ管理行政執行手続規定（2017/06/01）[32]
- インターネットニュース情報サービス管理規定（2017/06/01）[33]
- インターネットニュース情報サービス許可管理実施細則（2017/06/01）[34]
- インターネットコメントサービス管理規定（2017/10/01）[35]
- インターネットBBSサービス管理規定（2017/10/01）[36]
- インターネットグループサービス管理規定（2017/10/08）[37]
- インターネットユーザパブリックアカウント情報サービス管理規定（2017/10/08）[38]
- サイバーセキュリティ等級保護制度
- 重要情報インフラセキュリティ保護制度
- 重要情報インフラセキュリティ保護条例（パブリックコメント募集）[42]
- 国家サイバーセキュリティ検査業務ガイドライン（2016/06 非法律文書）
- 情報セキュリティ技術 重要情報インフラセキュリティ検査評価ガイドライン（パブリックコメント募集）
- 情報セキュリティ技術 重要情報インフラセキュリティ保障評価基準体系（パブリックコメント募集）
- 重要情報インフラ識別ガイドライン（制定中）
- 情報セキュリティ技術 重要情報インフラサイバーセキュリティ保護要求（制定中）
- 個人情報および重要データ保護制度
- ネットワーク製品およびサービス管理制度
- サイバーセキュリティインシデント管理制度
- 暗号製品に関する法規制
- 中華人民共和国暗号法（正式版未公布、未発効）[51]
- 商業暗号管理条例（1999/10/07）[52]
- 商業暗号研究開発管理規定（2006/01/01）[53]
- 商業暗号製品生産管理規定（2006/01/01）[54]
- 商業暗号製品販売管理規定（2006/01/01）[55]
- 商業暗号製品使用管理規定（2007/05/01）[56]
- 在中外国組織および外国人の暗号製品使用管理規則（2007/05/01）[57]
- 情報セキュリティ等級保護商用暗号管理規則（2008/01/01）
- 情報セキュリティ等級保護商用暗号管理規則実施意見（2009/12/15）
- 情報セキュリティ等級保護商用暗号技術実施要求（2009/12/15）
公安機関による監督管理
ネット運営業者（ネットワークサービスの利用企業も含む）すべてが公安機関による監督管理の対象となるわけではない。対象となるかどうかは安全保護等級によって決まる。安全保護等級は『サイバーセキュリティ等級保護条例（網絡安全等級保護条例）』第15条で、その事業者のネットワークが破壊されたとき生じる被害により以下5等級に分けられている。
- 第一級：破壊を受けた場合、公民、法人とその他組織の合法的権益に損害を与えるが、国家安全や社会秩序、公共の利益の一般的なネットワークには危害を与えない。
- 第二級：破壊を受けた場合、公民、法人とその他組織の合法的権益に重大な損害を与え、あるいは、社会秩序、公共の利益にも危害を与えるが、国家安全の一般的なネットワークには危害を与えない。
- 第三級：破壊を受けた場合、公民、法人とその他組織の合法的権益に特に重大な損害を与え、あるいは、社会秩序、公共の利益に重大な危害を与え、あるいは、国家安全の重要なネットワークに危害を与える。
- 第四級：破壊を受けた場合、社会秩序、公共の利益に特に重大な危害を与え、あるいは、国家安全の特に重要なネットワークに重大な危害を与える。
- 第五級：破壊を受けた場合、国家安全の極めて重要なネットワークに特に重大な危害を与える。
これら定義で「損害」「危害」ともに、通常、「重大な」、「特に重大な」の3段階に重みづけされている。つまり、自社のネットワークセキュリティ・インシデントが、個人・法人・組織に通常の範囲を超えた「重大な損害」を与えるか、国家安全、社会秩序、公共の利益にまで危害を与えないような業態であれば、公安機関による監督管理を受けない。
監督管理対象になる第二級以上の事業者は、社内で等級評価を実施後10営業日以内に県クラス以上の公安機関に報告し、公安機関は報告の受理後10営業日以内にネット安全等級保護登録証明書を交付すると定められている。
同じく監督管理対象になる第三級以上の事業者は、それに加えてさらに8項目からなる安全保護義務や、年一回のネット安全等級査定等の公安機関への報告、政府機関のセキュリティ審査など様々な義務が課される。
関連法制度の論点
- 中国国内に個人情報および重要データを保存しなければならない事業者として、サイバーセキュリティ法第三十七条では「重要情報インフラ運営者（関鍵信息基礎設施的運営者）」のみとし「ネットワーク運営者（網絡運営者）」と明確に区別している。しかし下位の行政法規である『個人情報および重要データ輸出セキュリティ評価法』第二条[18]では「中華人民共和国国内のネットワーク運営者（網絡運営者）」はすべて個人情報および重要データを、国内に保存しなければならないと定めており、上位法より下位の行政法規の方が厳しい規定となっている。
- 個人情報および重要データの移動制限について「境内」「境外」という用語が使われているが、中国の法律では物理的な国境の内外の意味ではなく、外国の法律に基づいて設立された組織の中国国内の支社、支部等は「境外」と見なされる。従ってサイバーセキュリティ法とその関連法規に言う「出境」とは中国の国境外への送信や持ち出しだけでなく、外国企業や外国組織の中国国内の支社、支部への送信も含んでいる。[58]
Remove ads
論争
2016年8月、在中グローバル企業46社が連名で国務院総理李克強に書簡を送り、中国政府が国際貿易法に基づいて新サイバーセキュリティ法を修正するよう求めた。連名の書簡は新サイバーセキュリティ法が情報セキュリティ技術に対して厳格な制限を生じさせ、データ盗聴がより容易になり、同法が世界貿易機関の規則に違反していると指摘していた。さらに同法が保護貿易の疑いがあると指摘した。
この抗議は2010年にグローバル企業が中国のレアアース輸出制限に集団で抗議して以降、在中グローバル企業による最大規模の抗議運動となった[59]。同年11月7日、全国人民代表大会常務委員会は『中華人民共和国サイバーセキュリティ法』を可決し、グローバル企業数百社を代表する40社余りのグローバル企業と技術団体がこれに対して深い関心を示し、中国政府に合同で書簡を提出し、中国当局がインターネットとネット技術をコントロールしようとしているとし、「国境に貿易障壁を設置するものだ」と警告を発し、セキュリティを保証する目的は決して達成できないとした。[2]
2017年9月25日、米国は世界貿易機関に対して同法第三十七条にあるデータ越境セキュリティ評価制度に関するレターを送信、個人情報や重要データの中国国外への輸出に関するセキュリティ評価が、データの自由な流動の重大な妨げになるとの懸念を示している。また同文書では2017年4月11日、中国政府がパブリックコメント募集のため公開した『個人情報と重要データ輸出セキュリティ評価法（個人信息和重要數據出境安全評估辦法）』および、同じく中国政府がパブリックコメント募集のため2017年8月30日に公開した『情報セキュリティ技術 データ輸出セキュリティ評価ガイド（信息安全技術 數據出境安全評估指南）』にも関心を示している。[60]
Remove ads
評価
中国当局は同法の通過によりサイバー主権（ネット主権[61]）[62][63]が確立され、サイバー攻撃とテロ行為を防止できると考えている。中国サイバースペース管理局は同法に反しない限り外国企業の利益を毀損しないとしている[64]。しかし、サイバースペースの国家主権を謳うこの法律によってオンラインでのプライバシーと言論の自由が侵食されるという批判もある。各種企業団体は、法律のいくつかの条項が外国企業の経営コストを高め、中国市場への参入を不可能にする場合があり、貿易障壁となることを憂慮している。また人権擁護活動家は同法が中国のインターネットへの登録制度を一層強化するものだと指摘している。[65][66][8]
同法にはすでに実質的に適用されていた規定が多く、人権団体はこの法律が実質的に政府がその管理手段を「合法化」するためのものだと指摘している。[8]。また同法が正式に可決されたのが、中国の最高権力者で中国サイバースペース管理局を管轄する習近平が大規模な社会に対する圧力強化を背景としており、反政府の言論を抑圧するものだという指摘もある。また中国が2015年に施行した『中華人民共和国国家安全法』に関して、重要なネットワークインフラと情報システムの「セキュリティと有効なコントロールを達成すること」が目的の一つだとする見方もある。[66]
Remove ads
施行後の処罰事例
要約
視点
施行後の処罰事例の多くがコンテンツ自主審査義務の未実施に対する処罰となっており[67]、同法が当局による検閲にも利用されていることが分かる。
- サイバーセキュリティ保護義務の未実施
- 2017/06 山西省。某企業のサイバー攻撃対策不備、警告、改善命令。
- 2017/07/20 広東省。某IT企業が重要システムのセキュリティリスク評価未実施。警告、改善命令。
- 2017/07/22 四川省。セキュリティ対策不備のサイト「教師発展平台」がハッキングされ、サイト管理責任者に5,000元、サイト運営会社に10,000元の罰金。
- 2017/08/01 重慶市。某IT企業が不法にユーザログイン履歴を保存。警告、改善命令。
- 2017/08/12 安徽省。セキュリティ対策不備のサイト「教師進修学校」につき、学校の法定代理人等に5,000元、学校に15,000元の罰金。
- 2017/08/30 ハルピン市。セキュリティ対策不備のサイト「方正農業社会化服務平台」がハッキングされ、改善命令、20,000元の罰金。
- 2017/09/28 淮南市。淮南職業技術学院から4,000名余りの学生の個人情報が漏えい。警告、改善命令。
- 2017/10/17 合肥市。某企業のセキュリティ対策不備で、警告、改善命令。
- 2017/12/12 長沙市。「瀏陽市煙花爆竹総会」サイトセキュリティ対策不備で、警告、改善命令。
- 2018/03/26 湖南省株洲市。某教育技術会社のセキュリティ対策不備、警告、改善命令。
- 2018/11/26 中国政府工業情報化部が阿里雲計算など電信企業7社への立入検査結果を2018/11/27から12/03の期間限定公開。社内管理体制の未整備に対する改善命令のみで処罰なし。[68]
- 個人情報保護義務の未実施
- ユーザ実名認証の未実施
- 2017/08/09 北京市、天津市。求人サイトが違法な情報を掲載、ユーザ管理に重大な欠陥があり、即時改善を命令。
- 2017/08/17 浙江省。音楽配信サイトの違法ユーザ登録等の問題で、新規ユーザ登録7日間停止処分。
- 2017/09 広東省。某IT企業が真実の身分証明書未提示のユーザに電話サービスを提供、詐欺行為に悪用された問題で罰金5万元、営業停止、サイト閉鎖処分。
- 2017/09 広東省。阿里雲計算有限公司が真実の身分証明書未提示のユーザにネット接続サービスを提供、即時改善と登録情報の真実性確認を要請。
- ネットコンテンツ審査義務の未実施
- 2017/08/11 広東省。テンセントのSNS情報提供アカウントに暴力テロ、虚偽情報、わいせつな情報等国家の安全、公共の安全、社会秩序を損なった問題で、最高額の罰金による処罰。
- 2017/08/17 北京市。複数のサイトが不法に住宅に転用された農業用地賃借、販売情報を掲載、改善命令。
- 2017/08/17 浙江省。いくつかのサイトが違法行為を促す内容や、低俗なパロディーなどの有害情報を掲載、全面的な特別検査を実施、サイト運用をしばらく停止、責任者を厳正に処罰。
- 2017/09 広東省。某IT企業が、ユーザが自社サイトを利用して違法、有害情報を流していることに気づきながら即時停止させず、当局への報告を怠った問題で、警告、改善命令。関連する記録の保存と管理責任の確実な実施を要請。
- 2017/09/25 北京市。ウェイボー（新浪微博）がユーザに対しわいせつ情報、少数民族への憎悪を助長する情報と関連コメントを掲載、百度貼吧（掲示板サイト）もわいせつ情報、暴力テロ情報を掲載、いずれも管理義務の不十分な遂行で、前者には最高額の罰金、後者には重い罰金による処罰。
- 2017/10/15 天津市。某IT企業が運営するサイトの管理を怠り、違法情報を掲載したことで、即時改善命令。
- 2017/11/14 福建省。某メディア企業サイトに大量の違法情報が掲載されたことで、即時改善命令。
- 2017/11/17 咸陽市。SNSメディアが生放送サイト、SNS等で虚偽情報を流布、サイト更新停止10日間、期限内の改善命令、同じ問題の再発時は厳正な検査実施。SNSアカウントは更新停止7日間、期限内の改善命令。改善完了確認後、運営再開許可。
- 2017/12/29 北京市。ニュースサイト（今日頭条、鳳凰新聞）PC用アプリが継続的にわいせつ、低俗情報を掲載、違法にネットニュース配信サービスを提供、違法行為の即時停止、自主点検、違法コンテンツの一掃、再発の根絶を命令。
- 2018/01/11 上海市。マリオット・インターナショナルが中国語版メールマガジンとアプリのユーザ登録画面に香港、マカオ、台湾、チベットを「国家」と表記、当日18時から1週間の自主閉鎖を命令。全面的な改善と違法な情報の徹底削除を要請。
- 2018/01/12 上海市。ZARA、メドトロニックが公式サイトに台湾を国家と表記、ウェブサイト改善通知書を送付、違法情報の即時訂正、当日18時に謝罪声明を発表するよう命令。
- 2018/01/14 北京市。ネットクイズ番組で香港、台湾を国家とする問題を出題、全面的な訂正を命令。
- 2018/01/27 北京市。ウェイボー（新浪微博）ユーザに対し審査を経ず違法情報を提供、継続して虚偽、低俗、わいせつ、民族差別等の違法、有害情報を掲載。直ちに自主改善、全面的な訂正を命令。
- 2018/01/31 広東省。ニュースサイトに虚偽、低俗、わいせつ情報等を掲載、違法行為の即時停止、自主点検、違法情報の全面削除を命令、健全な情報コンテンツ管理の長期的有効策策定、類似の状況の再発根絶を命令。
- 2018/04/04 ショートムービーサイト、アプリの「快手」「火山小視頻」に全面的改善を命令。
- 2018/05/12 浙江省。SNS情報提供アカウント「二更食堂」が低俗な文章を掲載、違法有害情報の全面削除、関係者の厳重処理、同アカウントを7日間停止。
- 2018/05/18 ショートムービーセルフメディア「暴走漫画」が革命英雄烈士のイメージを害する動画を配信、関係16アカウント閉鎖、39アカウント削除。[70]
- 2018/06/01 ネット生放送サイト「美拍」で未成年の低俗情報放送、関係責任者に厳重抗議、全面的改善を命令。
- 2018/06/06 検索サイト「搜狗」に掲載の広告に共産主義革命の英雄を侮辱する内容を掲示、関連情報を即時削除し、コンテンツ改善を厳正に命令。
- 2018/07/26 「内涵福利社」「夜都市Hi」「ビリビリ動画」「秒拍」「56視頻」等が有害な動画を配信、2018/08/25まで中国国内アプリストアから一時削除。[71]
- 2018/08/02 ニュースサイト「好奇心日報」がネットニュースサービス長期営業許可なくニュース配信、2018/09/02までウェブサイト、スマートフォンアプリ等一律営業停止処分。[72]
- 2018/08/16 湖北省漢川市。テロリズム関連音声配信で、男性2名を各拘留7日間、罰金1,000元、拘留10日間、罰金1,900元。[73]
- ネットワーク製品およびサービスに対する法的要求違反
- 2017/09/09 広東省。広州動景計算機科技が提供するウェブブラウザ向けネット高速化サービスにセキュリティ欠陥と情報漏えいリスクが存在したが、適時全面改修できなかった問題。即時改善、補助救済措置を命令。新サービス提供開始前のセキュリティ評価体制と、運用開始済みサービスの定期点検、既存サービスの全面点検、類似の問題の再発防止を命令。
また、中倫弁護士事務所による2018年同法執行事案の総括によれば[74]、2018年の事案は2017年と比較して個人情報保護およびいわゆる「ネット環境浄化」に高い関心があるとしている。
同総括では、ユーザ実名登録制の不備、ユーザの不適切な情報発信の管理不備が事案の5割を占め、一般的な情報セキュリティ管理不備事案は3割弱にとどまっている。執行を受けた企業は、生放送サイト、ECサイト、インスタントメッセージサービスなどネットメディアとIT企業に集中している。かつ、一般的な情報セキュリティ管理不備による執行も3分の2以上が公安部によるものとなっている。
Remove ads
参考
参考文献
関連項目
Wikiwand - on
Seamless Wikipedia browsing. On steroids.
Remove ads