中華人民共和国サイバーセキュリティ法

中華人民共和国サイバーセキュリティ法は中華人民共和国がネットのセキュリティを強化するために制定した法律である。2015年6月の全国人民代表大会で草案を公開、発表しパブリックコメントを求めた。2016年11月7日第十二回全国人民代表大会常務委員会第24次会議の評決で可決され、2017年6月1日施行された。中国語原文表記は﹁中华人民共和国网络安全法﹂である。日本貿易振興機構による仮訳、および中国日本商会による翻訳がある。

立法経緯

2003年初め、中国共産党中央弁公庁公布の第27号文﹃国家情報化指導組織の情報セキュリティ保障業務に関する意見﹄で、﹁至急﹃情報セキュリティ法﹄起草を検討するよう要求を提出。

2015年6月、第十二回全国人民代表大会常務委員会第十五次会議で﹃中華人民共和国サイバーセキュリティ法﹄草案に対する審議を初めて行った。この審議通過後、同草案は公開され、パブリックコメントが募集された。2016年6月、第12回全国人民代表大会常務委員会第21次会議で草案に対する二回目の審議が行われた。同年11月、第12回全国人民代表大会常務委員会第24次会議で草案に対する三回目の審議が行われ、会議は賛成154票、棄権1票をもって﹃サイバーセキュリティ法﹄を可決、中華人民共和国主席習近平が第53号主席令に署名し、本法は公布された。

主な内容

﹃中華人民共和国サイバーセキュリティ法﹄は全7章79条からなり、多くの内容は、例えば個人情報漏洩など、近年のネットセキュリティの隠れた危険性に対するものだ。同法はネット詐欺等の行為の定義と刑罰や、ネット運営業者の責任を明確にし、違法な情報に対する処罰や、監督機関の業務への協力を求めている。同法はサイバーテロリズムによる攻撃や、ネット詐欺等の行為の防止を主旨とし、緊急の場合は政府にネットワークを停止する等の権力を与えている。

その他、同法は初めて法律の形でネット実名制を明確にした。ネット運営業者がユーザにネット接続や、ドメイン名登録サービスを提供する場合、あるいは、固定電話や、携帯電話等のネット接続手続きを行う場合、あるいは、ユーザへの情報提供や、インスタントメッセージ・サービスを提供するなどの場合、ユーザに真実の身分情報を提供させることを求めている。ユーザが真実の身分情報を提供しない場合は、ネット運営業者は関連するサービスを提供してはならないとしている。

同時に重要情報インフラの安全な運用、および、中国国内の重要な情報インフラを攻撃、破壊する国外組織や個人に対する処罰を明確に規定している。

なお日本貿易振興機構が同法に関して各企業がどのようなセキュリティ制度を整備すべきかについてのレポート﹃中国﹁インターネット安全法﹂に基づく企業コンプライアンスについて﹄、および﹃中国におけるサイバーセキュリティー法規制にかかわる対策マニュアル︵2018年2月︶﹄を公開している。

関連法制度

同法制定後に公開された関連法制度として以下の三つがあるが、いずれもパブリックコメント募集完了または募集中で施行状況は明らかでない。

●2017年4月11日公開﹃個人情報および重要データ輸出セキュリティ評価法︵個人信息和重要數據出境安全評估辦法︶﹄

●2017年8月30日公開﹃情報セキュリティ技術 データ輸出セキュリティ評価ガイド︵信息安全技術 數據出境安全評估指南︶﹄

●2018年6月27日公開﹃サイバーセキュリティ等級保護条例︵網絡安全等級保護条例︶﹄

うち﹃個人情報と重要データ輸出セキュリティ評価法﹄はサイバーセキュリティ法に対する行政法規、﹃情報セキュリティ技術 データ輸出セキュリティ評価ガイド﹄は国家標準と位置付けられている。

また﹃サイバーセキュリティ等級保護条例︵網絡安全等級保護条例︶﹄は2007年6月22日公布の﹃情報セキュリティ等級保護管理規則︵信息安全等級保護管理辦法︶﹄をサイバーセキュリティ法施行を受けて改正したもので、情報システムのセキュリティ等級を公民、法人、その他組織の権益、国家安全、社会秩序、公共の利益の観点から五段階に分類する基本的な考え方は変わらないが、クラウド、ビッグデータ、人工知能、IoTなど新技術のリスク管理にも言及されている。

関連法制度の体系

中国サイバーセキュリティ法の運用は単独で完結せず多数の関連法制度が存在し以下の6種類に大別できる。

●インターネット情報コンテンツ管理制度

●ネット安全等級保護制度

●重要情報インフラセキュリティ保護制度

●個人情報および重要データ保護制度

●ネットワーク製品およびサービス管理制度

●ネットワークセキュリティインシデント管理制度

制度そのものの整備や具体化は国家互聯網信息辦公室︵国家インターネット情報局︶、技術面の具体的な指針や標準化は全国信息標準化技術委員会により行われている。これらの分類に対応する具体的な法制度は以下のとおり︵2017年9月21日現在︶。これら法制度に加えて一連の中華人民共和国国家標準が存在する。

●基本法律と国家戦略
●国家安全法︵2015/07/01施行︶

●サイバーセキュリティ法︵2017/06/01施行︶

●ネットワーク情報保護強化に関する決定︵2012/12/28採択︶

●国家サイバースペース安全戦略︵2016/12/27施行︶

●サイバースペース国際協力戦略︵2017/03/01施行︶

●インターネット情報コンテンツ管理制度
●インターネット情報サービス管理規則︵2011/01/08施行︶

●インターネット情報コンテンツ管理行政執行手続規定︵2017/06/01︶

●インターネットニュース情報サービス管理規定︵2017/06/01︶

●インターネットニュース情報サービス許可管理実施細則︵2017/06/01︶

●インターネットコメントサービス管理規定︵2017/10/01︶

●インターネットBBSサービス管理規定︵2017/10/01︶

●インターネットグループサービス管理規定︵2017/10/08︶

●インターネットユーザパブリックアカウント情報サービス管理規定︵2017/10/08︶

●サイバーセキュリティ等級保護制度
●情報セキュリティ技術 サイバーセキュリティ等級保護実施ガイドライン︵パブリックコメント募集︶

●情報セキュリティ技術 サイバーセキュリティ等級保護評価プロセスガイドライン︵パブリックコメント募集︶

●情報セキュリティ技術 サイバーセキュリティ等級保護評価技術ガイドライン︵パブリックコメント募集︶

●情報セキュリティ技術 サイバーセキュリティ等級保護基本要求︵パブリックコメント募集︶

●情報セキュリティ技術 サイバーセキュリティ等級保護設計技術要求︵パブリックコメント募集︶

●情報セキュリティ技術 サイバーセキュリティ等級保護評価要求︵パブリックコメント募集︶

●重要情報インフラセキュリティ保護制度
●重要情報インフラセキュリティ保護条例︵パブリックコメント募集︶

●国家サイバーセキュリティ検査業務ガイドライン︵2016/06 非法律文書︶

●情報セキュリティ技術 重要情報インフラセキュリティ検査評価ガイドライン︵パブリックコメント募集︶

●情報セキュリティ技術 重要情報インフラセキュリティ保障評価基準体系︵パブリックコメント募集︶

●重要情報インフラ識別ガイドライン︵制定中︶

●情報セキュリティ技術 重要情報インフラサイバーセキュリティ保護要求︵制定中︶

●個人情報および重要データ保護制度
●個人情報および重要データ輸出セキュリティ評価規則︵パブリックコメント募集︶

●情報セキュリティ技術 データ輸出セキュリティ評価ガイドライン︵パブリックコメント募集︶

●情報セキュリティ技術 個人情報セキュリティ規範︵パブリックコメント募集︶

●情報セキュリティ技術 個人情報識別子化ガイドライン︵パブリックコメント募集︶

●情報セキュリティ技術 公共および商用サービス情報システム個人情報保護ガイドライン︵パブリックコメント募集︶

●ネットワーク製品およびサービス管理制度
●ネットワーク製品およびサービスセキュリティ審査規則︵2017/06/01 試行︶

●ネットワーク重要設備およびネットワークセキュリティ専用製品目録︵第一回︶︵2017/06/01︶

●情報セキュリティ技術 ネットワーク製品およびサービスセキュリティ共有要求︵パブリックコメント募集︶

●情報セキュリティ技術 情報技術製品セキュリティ検査機構の条件および行動準則︵パブリックコメント募集︶

●情報セキュリティ技術 情報技術製品セキュリティコントロール評価指標︵パブリックコメント募集︶

●サイバーセキュリティインシデント管理制度
●国家サイバーセキュリティインシデント緊急対応計画︵2017/01/10︶

●産業制御システム情報セキュリティインシデント緊急対応管理業務ガイドライン︵2017/05/31︶

●情報セキュリティ技術 サイバー攻撃定義および記述規範︵パブリックコメント募集︶

●情報セキュリティ技術 サイバーセキュリティインシデント緊急対応演習共通ガイドライン︵パブリックコメント募集︶

●情報セキュリティ技術 サイバーセキュリティ脅威情報表現モデル︵パブリックコメント募集︶

●情報セキュリティ技術 サイバーセキュリティ漏洩発見および報告管理制度︵制定中︶

●暗号製品に関する法規制
●中華人民共和国暗号法︵正式版未公布、未発効︶

●商業暗号管理条例︵1999/10/07︶

●商業暗号研究開発管理規定︵2006/01/01︶

●商業暗号製品生産管理規定︵2006/01/01︶

●商業暗号製品販売管理規定︵2006/01/01︶

●商業暗号製品使用管理規定︵2007/05/01︶

●在中外国組織および外国人の暗号製品使用管理規則︵2007/05/01︶

●情報セキュリティ等級保護商用暗号管理規則︵2008/01/01︶

●情報セキュリティ等級保護商用暗号管理規則実施意見︵2009/12/15︶

●情報セキュリティ等級保護商用暗号技術実施要求︵2009/12/15︶

関連法制度の論点

●中国国内に個人情報および重要データを保存しなければならない事業者として、サイバーセキュリティ法第三十七条では﹁重要情報インフラ運営者︵関鍵信息基礎設施的運営者︶﹂のみとし﹁ネットワーク運営者︵網絡運営者︶﹂と明確に区別している。しかし下位の行政法規である﹃個人情報および重要データ輸出セキュリティ評価法﹄第二条では﹁中華人民共和国国内のネットワーク運営者︵網絡運営者︶﹂はすべて個人情報および重要データを、国内に保存しなければならないと定めており、上位法より下位の行政法規の方が厳しい規定となっている。

●個人情報および重要データの移動制限について﹁境内﹂﹁境外﹂という用語が使われているが、中国の法律では物理的な国境の内外の意味ではなく、外国の法律に基づいて設立された組織の中国国内の支社、支部等は﹁境外﹂と見なされる。従ってサイバーセキュリティ法とその関連法規に言う﹁出境﹂とは中国の国境外への送信や持ち出しだけでなく、外国企業や外国組織の中国国内の支社、支部への送信も含んでいる。

論争

2016年8月、在中グローバル企業46社が連名で国務院総理李克強に書簡を送り、中国政府が国際貿易法に基づいて新サイバーセキュリティ法を修正するよう求めた。連名の書簡は新サイバーセキュリティ法が情報セキュリティ技術に対して厳格な制限を生じさせ、データ盗聴がより容易になり、同法が世界貿易機関の規則に違反していると指摘していた。さらに同法が保護貿易の疑いがあると指摘した。

この抗議は2010年にグローバル企業が中国のレアアース輸出制限に集団で抗議して以降、在中グローバル企業による最大規模の抗議運動となった。同年11月7日、全国人民代表大会常務委員会は﹃中華人民共和国サイバーセキュリティ法﹄を可決し、グローバル企業数百社を代表する40社余りのグローバル企業と技術団体がこれに対して深い関心を示し、中国政府に合同で書簡を提出し、中国当局がインターネットとネット技術をコントロールしようとしているとし、﹁国境に貿易障壁を設置するものだ﹂と警告を発し、セキュリティを保証する目的は決して達成できないとした。

2017年9月25日、米国は世界貿易機関に対して同法第三十七条にあるデータ越境セキュリティ評価制度に関するレターを送信、個人情報や重要データの中国国外への輸出に関するセキュリティ評価が、データの自由な流動の重大な妨げになるとの懸念を示している。また同文書では2017年4月11日、中国政府がパブリックコメント募集のため公開した﹃個人情報と重要データ輸出セキュリティ評価法︵個人信息和重要數據出境安全評估辦法︶﹄および、同じく中国政府がパブリックコメント募集のため2017年8月30日に公開した﹃情報セキュリティ技術 データ輸出セキュリティ評価ガイド︵信息安全技術 數據出境安全評估指南︶﹄にも関心を示している。

評価

中国当局は同法の通過によりサイバー攻撃とテロ行為を防止できると考えている。サイバーセキュリティー法の制定には﹁客観的な必要性﹂があり、かつ外国企業の利益を毀損しないとしている。しかしこの法律によってインターネットの自由が侵食されるという批判もある。各種企業団体は、法律のいくつかの条項が外国企業の経営コストを高め、中国市場への参入を不可能にする場合があり、貿易障壁となることを憂慮している。また人権擁護活動家は同法が中国のインターネットへの登録制度を一層強化するものだと指摘している。

同法にはすでに実質的に適用されていた規定が多く、人権団体はこの法律が実質的に政府がその管理手段を﹁合法化﹂するためのものだと指摘している。。また同法が正式に可決されたのが、中国の最高権力者である習近平が大規模な社会に対する圧力強化を背景としており、反政府の言論を抑圧するものだという指摘もある。また中国が2015年に施行した﹃中華人民共和国国家安全法﹄に関して、重要なネットワークインフラと情報システムの﹁セキュリティと有効なコントロールを達成すること﹂が目的の一つだとする見方もある。

施行後の処罰事例

施行後の処罰事例の多くがコンテンツ自主審査義務の未実施に対する処罰となっており、同法が当局による検閲にも利用されていることが分かる。

●サイバーセキュリティ保護義務の未実施
●2017/06 山西省。某企業のサイバー攻撃対策不備、警告、改善命令。

●2017/07/20 広東省。某IT企業が重要システムのセキュリティリスク評価未実施。警告、改善命令。

●2017/07/22 四川省。セキュリティ対策不備のサイト﹁教師発展平台﹂がハッキングされ、サイト管理責任者に5,000元、サイト運営会社に10,000元の罰金。

●2017/08/01 重慶市。某IT企業が不法にユーザログイン履歴を保存。警告、改善命令。

●2017/08/12 安徽省。セキュリティ対策不備のサイト﹁教師進修学校﹂につき、学校の法定代理人等に5,000元、学校に15,000元の罰金。

●2017/08/30 ハルピン市。セキュリティ対策不備のサイト﹁方正農業社会化服務平台﹂がハッキングされ、改善命令、20,000元の罰金。

●2017/09/28 淮南市。淮南職業技術学院から4,000名余りの学生の個人情報が漏えい。警告、改善命令。

●2017/10/17 合肥市。某企業のセキュリティ対策不備で、警告、改善命令。

●2017/12/12 長沙市。﹁瀏陽市煙花爆竹総会﹂サイトセキュリティ対策不備で、警告、改善命令。

●2018/03/26 湖南省株洲市。某教育技術会社のセキュリティ対策不備、警告、改善命令。

●個人情報保護義務の未実施
●2018/01/10 メディアで報道された﹁支付宝賬単事件﹂で、Alipay、芝麻信用の責任者に体制整備を強く要請。

●2018/01/11 スマホアプリのプライバシー侵害問題で、百度、Alipay、今日頭条の3社にユーザ情報の保護と選択権の原則の徹底を要請。

●2018/07 テンセント︵騰訊︶、愛奇藝等大手動画サイトのアプリがスマートフォンのカメラ権限取得、ユーザからの過度な個人情報を収集などで、当局が個人情報保護管理や技術対策強化とセキュリティインシデント発生時の即時報告を要請。

●ユーザ実名認証の未実施
●2017/08/09 北京市、天津市。求人サイトが違法な情報を掲載、ユーザ管理に重大な欠陥があり、即時改善を命令。

●2017/08/17 浙江省。音楽配信サイトの違法ユーザ登録等の問題で、新規ユーザ登録7日間停止処分。

●2017/09 広東省。某IT企業が真実の身分証明書未提示のユーザに電話サービスを提供、詐欺行為に悪用された問題で罰金5万元、営業停止、サイト閉鎖処分。

●2017/09 広東省。阿里雲計算有限公司が真実の身分証明書未提示のユーザにネット接続サービスを提供、即時改善と登録情報の真実性確認を要請。

●ネットコンテンツ審査義務の未実施
●2017/08/11 広東省。テンセントのSNS情報提供アカウントに暴力テロ、虚偽情報、わいせつな情報等国家の安全、公共の安全、社会秩序を損なった問題で、最高額の罰金による処罰。

●2017/08/17 北京市。複数のサイトが不法に住宅に転用された農業用地賃借、販売情報を掲載、改善命令。

●2017/08/17 浙江省。いくつかのサイトが違法行為を促す内容や、低俗なパロディーなどの有害情報を掲載、全面的な特別検査を実施、サイト運用をしばらく停止、責任者を厳正に処罰。

●2017/09 広東省。某IT企業が、ユーザが自社サイトを利用して違法、有害情報を流していることに気づきながら即時停止させず、当局への報告を怠った問題で、警告、改善命令。関連する記録の保存と管理責任の確実な実施を要請。

●2017/09/25 北京市。ウェイボー︵新浪微博︶がユーザに対しわいせつ情報、少数民族への憎悪を助長する情報と関連コメントを掲載、百度貼吧︵掲示板サイト︶もわいせつ情報、暴力テロ情報を掲載、いずれも管理義務の不十分な遂行で、前者には最高額の罰金、後者には重い罰金による処罰。

●2017/10/15 天津市。某IT企業が運営するサイトの管理を怠り、違法情報を掲載したことで、即時改善命令。

●2017/11/14 福建省。某メディア企業サイトに大量の違法情報が掲載されたことで、即時改善命令。

●2017/11/17 咸陽市。SNSメディアが生放送サイト、SNS等で虚偽情報を流布、サイト更新停止10日間、期限内の改善命令、同じ問題の再発時は厳正な検査実施。SNSアカウントは更新停止7日間、期限内の改善命令。改善完了確認後、運営再開許可。

●2017/12/29 北京市。ニュースサイト︵今日頭条、鳳凰新聞︶PC用アプリが継続的にわいせつ、低俗情報を掲載、違法にネットニュース配信サービスを提供、違法行為の即時停止、自主点検、違法コンテンツの一掃、再発の根絶を命令。

●2018/01/11 上海市。マリオット・インターナショナルが中国語版メールマガジンとアプリのユーザ登録画面に香港、マカオ、台湾、チベットを﹁国家﹂と表記、当日18時から1週間の自主閉鎖を命令。全面的な改善と違法な情報の徹底削除を要請。

●2018/01/12 上海市。ZARA、メドトロニックが公式サイトに台湾を国家と表記、ウェブサイト改善通知書を送付、違法情報の即時訂正、当日18時に謝罪声明を発表するよう命令。

●2018/01/14 北京市。ネットクイズ番組で香港、台湾を国家とする問題を出題、全面的な訂正を命令。

●2018/01/27 北京市。ウェイボー︵新浪微博︶ユーザに対し審査を経ず違法情報を提供、継続して虚偽、低俗、わいせつ、民族差別等の違法、有害情報を掲載。直ちに自主改善、全面的な訂正を命令。

●2018/01/31 広東省。ニュースサイトに虚偽、低俗、わいせつ情報等を掲載、違法行為の即時停止、自主点検、違法情報の全面削除を命令、健全な情報コンテンツ管理の長期的有効策策定、類似の状況の再発根絶を命令。

●2018/04/04 ショートムービーサイト、アプリの﹁快手﹂﹁火山小視頻﹂に全面的改善を命令。

●2018/05/12 浙江省。SNS情報提供アカウント﹁二更食堂﹂が低俗な文章を掲載、違法有害情報の全面削除、関係者の厳重処理、同アカウントを7日間停止。

●2018/05/18 ショートムービーセルフメディア﹁暴走漫画﹂が革命英雄烈士のイメージを害する動画を配信、関係16アカウント閉鎖、39アカウント削除。

●2018/06/01 ネット生放送サイト﹁美拍﹂で未成年の低俗情報放送、関係責任者に厳重抗議、全面的改善を命令。

●2018/06/06 検索サイト﹁搜狗﹂に掲載の広告に共産主義革命の英雄を侮辱する内容を掲示、関連情報を即時削除し、コンテンツ改善を厳正に命令。

●2018/07/26 ﹁内涵福利社﹂﹁夜都市Hi﹂﹁ビリビリ動画﹂﹁秒拍﹂﹁56視頻﹂等が有害な動画を配信、2018/08/25まで中国国内アプリストアから一時削除。

●2018/08/02 ニュースサイト﹁好奇心日報﹂がネットニュースサービス長期営業許可なくニュース配信、2018/09/02までウェブサイト、スマートフォンアプリ等一律営業停止処分。

●2018/08/16 湖北省漢川市。テロリズム関連音声配信で、男性2名を各拘留7日間、罰金1,000元、拘留10日間、罰金1,900元。

●ネットワーク製品およびサービスに対する法的要求違反
●2017/09/09 広東省。広州動景計算機科技が提供するウェブブラウザ向けネット高速化サービスにセキュリティ欠陥と情報漏えいリスクが存在したが、適時全面改修できなかった問題。即時改善、補助救済措置を命令。新サービス提供開始前のセキュリティ評価体制と、運用開始済みサービスの定期点検、既存サービスの全面点検、類似の問題の再発防止を命令。

参考

●中華人民共和国スマートフォン実名登録制︵中国人民共和国手机实名制︶

●中華人民共和国インターネット実名登録制︵中国网络实名制︶

参考文献