中華人民共和国サイバーセキュリティ法

2003年初め、中国共産党中央弁公庁公布の第27号文『国家情報化指導組織の情報セキュリティ保障業務に関する意見』で、「至急『情報セキュリティ法』起草を検討するよう要求を提出[6]。

2015年6月、第十二回全国人民代表大会常務委員会第十五次会議で『中華人民共和国サイバーセキュリティ法』草案に対する審議を初めて行った。この審議通過後、同草案は公開され、パブリックコメントが募集された[1]。2016年6月、第12回全国人民代表大会常務委員会第21次会議で草案に対する二回目の審議が行われた。同年11月、第12回全国人民代表大会常務委員会第24次会議で草案に対する三回目の審議が行われ、会議は賛成154票、棄権1票をもって『サイバーセキュリティ法』を可決[7]、中華人民共和国主席習近平が第53号主席令に署名し、本法は公布された。

『中華人民共和国サイバーセキュリティ法』は全7章79条からなり、多くの内容は、例えば個人情報漏洩など、近年のネットセキュリティの隠れた危険性に対するものだ。同法はネット詐欺等の行為の定義と刑罰や、ネット運営業者の責任を明確にし、違法な情報に対する処罰や、監督機関の業務への協力を求めている。同法はサイバーテロリズムによる攻撃や、ネット詐欺等の行為の防止を主旨とし、緊急の場合は政府にネットワークを停止する等の権力を与えている[8]。

その他、同法は初めて法律の形でネット実名制を明確にした。ネット運営業者がユーザにネット接続や、ドメイン名登録サービスを提供する場合、あるいは、固定電話や、携帯電話等のネット接続手続きを行う場合、あるいは、ユーザへの情報提供や、インスタントメッセージ・サービスを提供するなどの場合、ユーザに真実の身分情報を提供させることを求めている。ユーザが真実の身分情報を提供しない場合は、ネット運営業者は関連するサービスを提供してはならないとしている。

同時に重要情報インフラの安全な運用、および、中国国内の重要な情報インフラを攻撃、破壊する国外組織や個人に対する処罰を明確に規定している[9]。

中国の法制度については日本語の情報源が少ないが、独立行政法人のものと比較的中立的な情報源は以下の通り。

• 独立行政法人日本貿易振興機構
  • 『中国「インターネット安全法」に基づく企業コンプライアンスについて』[10]
  • 『中国におけるサイバーセキュリティー法規制にかかわる対策マニュアル（2018年2月）』[11]を公開している。

• クララオンライン
  • 『中国版サイバーセキュリティ法の概要』[12]
  • 『取得が広がるセキュリティ等級認定』[13]
  • 『今すぐやろう！サイバーセキュリティ法の概要と対策』[14]
  • 『サイバーセキュリティ法のデータ越境移転にかかる「重要データ」の想定範囲』[15]
  • 『国家標準「ネットワークセキュリティ等級保護 等級評価ガイドライン」の意見募集稿に関する通知』[16]

• インターネットイニシアティブ
  • 『徹底解説：中国サイバーセキュリティ・個人情報規制』[17]

同法制定後に公開された関連法制度として以下の三つがあるが、いずれもパブリックコメント募集完了または募集中で施行状況は明らかでない。

• 2017年4月11日公開『個人情報および重要データ輸出セキュリティ評価法（個人信息和重要數據出境安全評估辦法）』[18]
• 2017年8月30日公開『情報セキュリティ技術 データ輸出セキュリティ評価ガイド（信息安全技術 數據出境安全評估指南）』[19]
• 2018年6月27日公開『サイバーセキュリティ等級保護条例（網絡安全等級保護条例）』[20]

うち『個人情報と重要データ輸出セキュリティ評価法』はサイバーセキュリティ法に対する行政法規、『情報セキュリティ技術 データ輸出セキュリティ評価ガイド』は国家標準と位置付けられている。[21]

また『サイバーセキュリティ等級保護条例（網絡安全等級保護条例）』は2007年6月22日公布の『情報セキュリティ等級保護管理規則（信息安全等級保護管理辦法）』[22]をサイバーセキュリティ法施行を受けて改正したもので、情報システムのセキュリティ等級を公民、法人、その他組織の権益、国家安全、社会秩序、公共の利益の観点から五段階に分類する基本的な考え方は変わらないが、クラウド、ビッグデータ、人工知能、IoTなど新技術のリスク管理にも言及されている。

中華人民共和国公安部はサイバーセキュリティ法に基づき新たに『公安機関互聯網安全監督検査規定』を2018年9月15日公布、11月1日施行[23]、「浄網（インターネット浄化）2018」と称するキャンペーンを実施した。各種インターネットサービス事業者を対象に即日立入検査を開始し、早くも翌11月2日に重慶市がログ保存不備により最初の処罰実績を挙げており[24]、サイバーセキュリティ法に国内秩序維持の側面が強いことを示している。

続いて中華人民共和国国家互聯網信息辦公室は2018年11月15日、サイバーセキュリティ法に基づき新たに『具有与論属性或社会動員能力的互聯網信息服務安全評估規定』を公布、施行した。[25]世論への影響力や社会的な動員力を持ちうるSNSや動画サイト等の運営企業にセキュリティ自己評価を義務付ける規定で、目的は「国家の安全、社会秩序と公共の利益の維持」と明記されている。この規定は実質的にSNS等運営企業に自主検閲を求めるものでサイバーセキュリティ法の制定趣旨を示している。

2016年8月、在中グローバル企業46社が連名で国務院総理李克強に書簡を送り、中国政府が国際貿易法に基づいて新サイバーセキュリティ法を修正するよう求めた。連名の書簡は新サイバーセキュリティ法が情報セキュリティ技術に対して厳格な制限を生じさせ、データ盗聴がより容易になり、同法が世界貿易機関の規則に違反していると指摘していた。さらに同法が保護貿易の疑いがあると指摘した。

この抗議は2010年にグローバル企業が中国のレアアース輸出制限に集団で抗議して以降、在中グローバル企業による最大規模の抗議運動となった[59]。同年11月7日、全国人民代表大会常務委員会は『中華人民共和国サイバーセキュリティ法』を可決し、グローバル企業数百社を代表する40社余りのグローバル企業と技術団体がこれに対して深い関心を示し、中国政府に合同で書簡を提出し、中国当局がインターネットとネット技術をコントロールしようとしているとし、「国境に貿易障壁を設置するものだ」と警告を発し、セキュリティを保証する目的は決して達成できないとした。[2]

2017年9月25日、米国は世界貿易機関に対して同法第三十七条にあるデータ越境セキュリティ評価制度に関するレターを送信、個人情報や重要データの中国国外への輸出に関するセキュリティ評価が、データの自由な流動の重大な妨げになるとの懸念を示している。また同文書では2017年4月11日、中国政府がパブリックコメント募集のため公開した『個人情報と重要データ輸出セキュリティ評価法（個人信息和重要數據出境安全評估辦法）』および、同じく中国政府がパブリックコメント募集のため2017年8月30日に公開した『情報セキュリティ技術 データ輸出セキュリティ評価ガイド（信息安全技術 數據出境安全評估指南）』にも関心を示している。[60]

中国当局は同法の通過によりサイバー主権（ネット主権[61]）[62][63]が確立され、サイバー攻撃とテロ行為を防止できると考えている。中国サイバースペース管理局は同法に反しない限り外国企業の利益を毀損しないとしている[64]。しかし、サイバースペースの国家主権を謳うこの法律によってオンラインでのプライバシーと言論の自由が侵食されるという批判もある。各種企業団体は、法律のいくつかの条項が外国企業の経営コストを高め、中国市場への参入を不可能にする場合があり、貿易障壁となることを憂慮している。また人権擁護活動家は同法が中国のインターネットへの登録制度を一層強化するものだと指摘している。[65][66][8]

同法にはすでに実質的に適用されていた規定が多く、人権団体はこの法律が実質的に政府がその管理手段を「合法化」するためのものだと指摘している。[8]。また同法が正式に可決されたのが、中国の最高権力者で中国サイバースペース管理局を管轄する習近平が大規模な社会に対する圧力強化を背景としており、反政府の言論を抑圧するものだという指摘もある。また中国が2015年に施行した『中華人民共和国国家安全法』に関して、重要なネットワークインフラと情報システムの「セキュリティと有効なコントロールを達成すること」が目的の一つだとする見方もある。[66]

施行後の処罰事例の多くがコンテンツ自主審査義務の未実施に対する処罰となっており[67]、同法が当局による検閲にも利用されていることが分かる。

• サイバーセキュリティ保護義務の未実施
  • 2017/06 山西省。某企業のサイバー攻撃対策不備、警告、改善命令。
  • 2017/07/20 広東省。某IT企業が重要システムのセキュリティリスク評価未実施。警告、改善命令。
  • 2017/07/22 四川省。セキュリティ対策不備のサイト「教師発展平台」がハッキングされ、サイト管理責任者に5,000元、サイト運営会社に10,000元の罰金。
  • 2017/08/01 重慶市。某IT企業が不法にユーザログイン履歴を保存。警告、改善命令。
  • 2017/08/12 安徽省。セキュリティ対策不備のサイト「教師進修学校」につき、学校の法定代理人等に5,000元、学校に15,000元の罰金。
  • 2017/08/30 ハルピン市。セキュリティ対策不備のサイト「方正農業社会化服務平台」がハッキングされ、改善命令、20,000元の罰金。
  • 2017/09/28 淮南市。淮南職業技術学院から4,000名余りの学生の個人情報が漏えい。警告、改善命令。
  • 2017/10/17 合肥市。某企業のセキュリティ対策不備で、警告、改善命令。
  • 2017/12/12 長沙市。「瀏陽市煙花爆竹総会」サイトセキュリティ対策不備で、警告、改善命令。
  • 2018/03/26 湖南省株洲市。某教育技術会社のセキュリティ対策不備、警告、改善命令。
  • 2018/11/26 中国政府工業情報化部が阿里雲計算など電信企業7社への立入検査結果を2018/11/27から12/03の期間限定公開。社内管理体制の未整備に対する改善命令のみで処罰なし。[68]

• 個人情報保護義務の未実施
  • 2018/01/10 メディアで報道された「支付宝賬単事件」で、Alipay、芝麻信用の責任者に体制整備を強く要請。
  • 2018/01/11 スマホアプリのプライバシー侵害問題で、百度、Alipay、今日頭条の3社にユーザ情報の保護と選択権の原則の徹底を要請。
  • 2018/07 テンセント（騰訊）、愛奇藝等大手動画サイトのアプリがスマートフォンのカメラ権限取得、ユーザからの過度な個人情報を収集などで、当局が個人情報保護管理や技術対策強化とセキュリティインシデント発生時の即時報告を要請。[69]

• ユーザ実名認証の未実施
  • 2017/08/09 北京市、天津市。求人サイトが違法な情報を掲載、ユーザ管理に重大な欠陥があり、即時改善を命令。
  • 2017/08/17 浙江省。音楽配信サイトの違法ユーザ登録等の問題で、新規ユーザ登録7日間停止処分。
  • 2017/09 広東省。某IT企業が真実の身分証明書未提示のユーザに電話サービスを提供、詐欺行為に悪用された問題で罰金5万元、営業停止、サイト閉鎖処分。
  • 2017/09 広東省。阿里雲計算有限公司が真実の身分証明書未提示のユーザにネット接続サービスを提供、即時改善と登録情報の真実性確認を要請。

• ネットコンテンツ審査義務の未実施
  • 2017/08/11 広東省。テンセントのSNS情報提供アカウントに暴力テロ、虚偽情報、わいせつな情報等国家の安全、公共の安全、社会秩序を損なった問題で、最高額の罰金による処罰。
  • 2017/08/17 北京市。複数のサイトが不法に住宅に転用された農業用地賃借、販売情報を掲載、改善命令。
  • 2017/08/17 浙江省。いくつかのサイトが違法行為を促す内容や、低俗なパロディーなどの有害情報を掲載、全面的な特別検査を実施、サイト運用をしばらく停止、責任者を厳正に処罰。
  • 2017/09 広東省。某IT企業が、ユーザが自社サイトを利用して違法、有害情報を流していることに気づきながら即時停止させず、当局への報告を怠った問題で、警告、改善命令。関連する記録の保存と管理責任の確実な実施を要請。
  • 2017/09/25 北京市。ウェイボー（新浪微博）がユーザに対しわいせつ情報、少数民族への憎悪を助長する情報と関連コメントを掲載、百度貼吧（掲示板サイト）もわいせつ情報、暴力テロ情報を掲載、いずれも管理義務の不十分な遂行で、前者には最高額の罰金、後者には重い罰金による処罰。
  • 2017/10/15 天津市。某IT企業が運営するサイトの管理を怠り、違法情報を掲載したことで、即時改善命令。
  • 2017/11/14 福建省。某メディア企業サイトに大量の違法情報が掲載されたことで、即時改善命令。
  • 2017/11/17 咸陽市。SNSメディアが生放送サイト、SNS等で虚偽情報を流布、サイト更新停止10日間、期限内の改善命令、同じ問題の再発時は厳正な検査実施。SNSアカウントは更新停止7日間、期限内の改善命令。改善完了確認後、運営再開許可。
  • 2017/12/29 北京市。ニュースサイト（今日頭条、鳳凰新聞）PC用アプリが継続的にわいせつ、低俗情報を掲載、違法にネットニュース配信サービスを提供、違法行為の即時停止、自主点検、違法コンテンツの一掃、再発の根絶を命令。
  • 2018/01/11 上海市。マリオット・インターナショナルが中国語版メールマガジンとアプリのユーザ登録画面に香港、マカオ、台湾、チベットを「国家」と表記、当日18時から1週間の自主閉鎖を命令。全面的な改善と違法な情報の徹底削除を要請。
  • 2018/01/12 上海市。ZARA、メドトロニックが公式サイトに台湾を国家と表記、ウェブサイト改善通知書を送付、違法情報の即時訂正、当日18時に謝罪声明を発表するよう命令。
  • 2018/01/14 北京市。ネットクイズ番組で香港、台湾を国家とする問題を出題、全面的な訂正を命令。
  • 2018/01/27 北京市。ウェイボー（新浪微博）ユーザに対し審査を経ず違法情報を提供、継続して虚偽、低俗、わいせつ、民族差別等の違法、有害情報を掲載。直ちに自主改善、全面的な訂正を命令。
  • 2018/01/31 広東省。ニュースサイトに虚偽、低俗、わいせつ情報等を掲載、違法行為の即時停止、自主点検、違法情報の全面削除を命令、健全な情報コンテンツ管理の長期的有効策策定、類似の状況の再発根絶を命令。
  • 2018/04/04 ショートムービーサイト、アプリの「快手」「火山小視頻」に全面的改善を命令。
  • 2018/05/12 浙江省。SNS情報提供アカウント「二更食堂」が低俗な文章を掲載、違法有害情報の全面削除、関係者の厳重処理、同アカウントを7日間停止。
  • 2018/05/18 ショートムービーセルフメディア「暴走漫画」が革命英雄烈士のイメージを害する動画を配信、関係16アカウント閉鎖、39アカウント削除。[70]
  • 2018/06/01 ネット生放送サイト「美拍」で未成年の低俗情報放送、関係責任者に厳重抗議、全面的改善を命令。
  • 2018/06/06 検索サイト「搜狗」に掲載の広告に共産主義革命の英雄を侮辱する内容を掲示、関連情報を即時削除し、コンテンツ改善を厳正に命令。
  • 2018/07/26 「内涵福利社」「夜都市Hi」「ビリビリ動画」「秒拍」「56視頻」等が有害な動画を配信、2018/08/25まで中国国内アプリストアから一時削除。[71]
  • 2018/08/02 ニュースサイト「好奇心日報」がネットニュースサービス長期営業許可なくニュース配信、2018/09/02までウェブサイト、スマートフォンアプリ等一律営業停止処分。[72]
  • 2018/08/16 湖北省漢川市。テロリズム関連音声配信で、男性2名を各拘留7日間、罰金1,000元、拘留10日間、罰金1,900元。[73]

• ネットワーク製品およびサービスに対する法的要求違反
  • 2017/09/09 広東省。広州動景計算機科技が提供するウェブブラウザ向けネット高速化サービスにセキュリティ欠陥と情報漏えいリスクが存在したが、適時全面改修できなかった問題。即時改善、補助救済措置を命令。新サービス提供開始前のセキュリティ評価体制と、運用開始済みサービスの定期点検、既存サービスの全面点検、類似の問題の再発防止を命令。

また、中倫弁護士事務所による2018年同法執行事案の総括によれば[74]、2018年の事案は2017年と比較して個人情報保護およびいわゆる「ネット環境浄化」に高い関心があるとしている。

同総括では、ユーザ実名登録制の不備、ユーザの不適切な情報発信の管理不備が事案の5割を占め、一般的な情報セキュリティ管理不備事案は3割弱にとどまっている。執行を受けた企業は、生放送サイト、ECサイト、インスタントメッセージサービスなどネットメディアとIT企業に集中している。かつ、一般的な情報セキュリティ管理不備による執行も3分の2以上が公安部によるものとなっている。

• 中華人民共和国スマートフォン実名登録制（中国人民共和国手机实名制）[75]
• 中華人民共和国インターネット実名登録制（中国网络实名制）[76]

• クリーンネットワーク計画