エンジニアと法律

セキュリティの章では「攻撃からどう守るか」を扱いました。 この章で扱うのは、法律が要求してくることです。

両者は重なりますが、同じではありません。

技術的に安全   = 攻撃されにくい
法的に適切     = 収集・利用・保管・削除・通知が、法の求める形になっている

そして重要なこととして、その要求を実際にコードにするのはあなたです。 「個人情報を適切に扱う」という方針は、 SELECT 文の書き方や、ログに何を出すかという形でしか実現されません。

個人情報 — 最も日常的に触れる法律

日本では 個人情報の保護に関する法律（個人情報保護法） が適用されます。 Web サービスを作るなら、ほぼ確実に関係します。

まず言葉を区別する

実装に直接効いてくる論点

1. 利用目的の範囲を超えない

利用規約に書いた目的:「サービスの提供のため」
やろうとしていること:「購買履歴を分析して広告に使う」
→ 目的外の可能性がある

新機能を作る時、「そのデータを、その用途で使ってよいか」 は プライバシーポリシーを見て確認する必要があります。 エンジニアが判断できないなら、それは法務に投げるべき論点です。

2. 第三者提供

外部サービスにデータを渡す時、扱いが変わります。

委託        自社の指示で処理させる（クラウド、決済代行など）→ 監督義務がある
共同利用    あらかじめ公表した範囲で共同で使う
第三者提供  原則として本人の同意が必要

分析ツールのタグを1行入れるだけで、この論点が発生します。

3. 越境移転

データを海外のサーバーに置く、あるいは海外の事業者に渡す場合、 追加の要件があります。

□ そのクラウドのリージョンはどこか
□ SaaS のデータ保管国はどこか
□ サポート担当が海外から閲覧できる構成になっていないか

4. 安全管理措置

技術的な措置（アクセス制御、暗号化、ログ）と、 組織的な措置（権限管理、教育）が求められます。

認証と認可の実装の「本番の個人情報に新人がアクセスできない」構成は、 親切ではなく法が求める措置の一部です。

5. 保存期間と削除

□ 退会したユーザーのデータは、いつ・どこまで消すのか
□ バックアップに残ったデータはどう扱うのか
□ 削除要求（開示・訂正・利用停止）に、どう対応するのか

漏洩した時の法的義務

個人データの漏洩等が発生し、一定の要件に該当する場合、報告義務があります。

1. 個人情報保護委員会への報告
   速報: 事態を知ってから速やかに（おおむね3〜5日以内が目安とされる）
   確報: 原則30日以内（不正アクセス等による場合は60日以内）
2. 本人への通知

GDPR — 日本にいても適用されうる

EU 一般データ保護規則（GDPR） は、EU 域内の人にサービスを提供していれば、 日本の会社にも適用されます（域外適用）。

米国カリフォルニア州の CCPA/CPRA など、地域ごとに別の法律があります。 グローバルに提供するサービスでは、どの地域の利用者がいるかが設計に影響します。

「将来使うかもしれないから、とりあえず全部ログに取っておこう」

不正アクセス禁止法 — 「確認のため」でも違法

他人の ID・パスワードを使ってログインする行為は、 不正アクセス行為の禁止等に関する法律で禁じられています。

□ 「動作確認のため」に、他人のアカウントでログインする  → 違法になりうる
□ 顧客から聞いたパスワードでログインして調査する        → 手続きを踏む必要がある
□ 他社のサービスに、許可なく侵入テストを行う            → 違法

不正指令電磁的記録に関する罪

いわゆるウイルス罪です。刑法に定められており、 「人の意図に反する動作をさせるプログラム」を作成・提供・供用することが対象です。

エンジニアが知っておくべきなのは、範囲が広いことです。

日本では実際に、

• Web ページに無限ループのスクリプトを貼った件で補導された事例
• Web サイトに閲覧者の端末で暗号資産を採掘するスクリプトを設置した件で立件され、 地裁と高裁で判断が分かれた末、最高裁で無罪が確定した事例（2022年）

があります。無罪が確定した事例ですら、そこに至るまで数年かかっています。

□ 閲覧者の端末で、告知なく重い処理を実行させる
□ 「戻れない」ページを作る
□ 同僚を驚かせるスクリプトを社内サイトに仕込む

その他、実装に影響する法律

Web サービスを作っていると、次のような規制に触れます。 すべてを覚える必要はありません。「ありそうだ」と気づければ十分です。

自分を守る法律も知っておく

法律は義務だけではありません。あなたを守るためのものもあります。

□ 労働基準法      労働時間、割増賃金、休憩（この教科書の使い方のとおり、記録は会社の義務）
□ 労働安全衛生法  長時間労働者への医師の面接指導など
□ 公益通報者保護法 不正を通報したことを理由とする不利益な取扱いの禁止

「終わるまで帰れない」「サービス残業」は、あなたが我慢する話ではありません。 違和感があれば、上長・人事・社内の相談窓口に相談してください。

法務にいつ聞くか

新人が最も困るのは、「これは聞くべきことなのか」の判断です。 次のどれかに当てはまったら、聞いてください。

□ 個人情報を、新しい目的で使う / 新しい範囲で集める
□ 外部サービスにデータを渡す（分析タグ・SaaS・API 連携）
□ データを海外に置く
□ 利用規約・プライバシーポリシーに書いていないことをやる
□ メールやプッシュ通知を一斉配信する
□ 決済・与信・課金に関わる
□ 他社のデータを取得する（スクレイピング、API 利用規約）
□ ライセンスが GPL / AGPL のものを使う（ライセンスと依存ライブラリ）
□ 解約・キャンセルの導線を変える

聞く時は、判断を丸投げせず、事実を整理して持っていきます（ドキュメントを書く）。

【やりたいこと】退会後もレコメンド精度のために購買履歴を6ヶ月保持したい
【現在のポリシー記載】「退会時に速やかに削除」と記載あり
【技術的な選択肢】(1) 即時削除 (2) 匿名加工して保持 (3) ポリシー改定
【聞きたいこと】(2) は可能か。可能なら、どの程度の加工が必要か

実務の落とし穴まとめ

1. 「メールアドレスだけなら個人情報ではない」 — 識別できるなら個人情報
2. 利用目的を確認せず、データを新しい用途に使う — 目的外利用になりうる
3. 分析タグを軽い気持ちで入れる — 第三者提供・外部送信規律の論点が発生する
4. 海外リージョンを何となく選ぶ — 越境移転の要件がある
5. 削除方法を決めずに作る — 後から消せない
6. とりあえず全部ログに取る — 持っているだけでリスク。データ最小化
7. 漏洩を自分で判断・対処しようとする — 報告義務の期限は「知った時」から進む
8. 証拠を消す — 何が漏れたか特定できなくなり、隠蔽と見なされる
9. 「確認のため」に他人のアカウントでログイン — 不正アクセスになりうる
10. 脆弱性を見つけて試す — 許可の範囲を越えれば違法
11. 解約しにくい UI を作る — 特商法・景表法のリスク
12. 法務に聞かずに進める — 事後のコストは桁違い

まとめ

• 法が求める要件を実際にコードにするのはエンジニア。方針だけでは実現しない
• 個人情報は、利用目的・第三者提供・越境移転・安全管理・保存期間が論点。 設計時に「どう消すか」まで決める
• 漏洩時は報告義務がある。自分で判断せず、すぐ上長へ。証拠を消さない
• GDPR は日本の会社にも適用されうる（域外適用）。72時間通知、制裁金は売上の4%
• データ最小化は、今日から実践できる最も効果的なリスク対策
• 他人の ID でのログイン、許可のない脆弱性の検証は違法になりうる
• 「意図に反する動作をさせるプログラム」は、いたずらでも刑事事件になりうる
• 通信・メール配信・表示・決済・著作権など、関係しそうだと気づけることが重要
• 労働に関する法律は自分を守るもの。我慢する話ではない
• 迷ったら法務に、事実を整理して聞く。それが最も安いルート

公式ドキュメント

迷ったら一次情報に戻ってください。

章末問題

第7部の最後は、法律より広い——技術者としての責任の話です。