Thuはじめに昨今、IOT機器を扱うビジネスが急激に広がりを見せており、注目を集めています。物とインターネットを結ぶということが前提のビジネスである以上、そこにはさまざまなリスクも存在します。ハッキングといったサイバー攻撃が挙げられます。IOT機器がサイバー攻撃を受けた場合に想定される被害は、人の生命といった重大なものから、人の財産やプライバイシー権など、多岐にわたります。そのため、このような被害が起きた場合に、1誰が、2どのような責任をとるべきなのか、は大変重要な問題となるわけです。そこで今回は、IOT機器にセキュリティ攻撃をされた場合における法律上の責任について、ITに強い弁護士がわかりやすく解説いたします。Thingsの略称であり、あらゆる物とインターネットがつながり、相互通信が可能となる仕組みのことを指します。私たちが毎日利用しているインターネットは、当初コンピューター同士の接続ツールとして開発されました。近年ではコンピューター同士の接続だけでなく、ご存知の通りSNSやニュースなど情報を伝達する1つの伝達経路として認識されています。近年では、コンピューター同士の接続ではなく、スマホやタブレットなどの端末機器との接続が増え、TVや冷蔵庫、スマートスピーカーなど生活家電との接続まで広がりを見せています。物と物、人と人、あるいは物と人をつなぐ1つのインフラとしてインターネットが活用されています。現在、開発が進み実用化が期待される分野としては、以下のようなものが挙げられます。農業の自動化システム(農作物を育てるための管理システム)これら以外にも、IOTの活用法は無限に存在します。インターネットを通したあらゆる物とのつながりは、今後も加速度的な広がりを見せるものと考えられます。このように、IOTは大変便利で人の生活を豊かにしていくツールとなっていますが、同時に新たな問題も浮かび上がってきています。具体的には、生活上のあらゆるモノがインターネットにつながっているため、ハッキングやサイバー攻撃の被害に遭う可能性が高まっているのです。IOT機器とサイバーセキュリティの法的問題たとえば、IOTが搭載されている自動運転車がサイバー攻撃により遠隔操作され操縦不能となったことが原因で交通事故が発生したケースについて考えてみましょう。このようなケースで、第一次的にはサイバー攻撃を実行した者が責任を負うことになりますが、サイバー攻撃を実行した者の特定は、一私人では極めて困難です。仮に犯人を特定することができたとしても、実際に損害賠償を受けられるかどうかわかりません。そこで、サイバー攻撃を実行した者とは別の者に対して、責任追及できないかという点が問題となります。責任主体として考えられるのは、以下の三者です。責任主体1:IOT機器等のメーカー(1)製造物責任(PL)「製造物責任(PL)」とは、メーカーなどが製造した商品により消費者が被害を被った場合に、製造者に消費者に対する賠償責任を負わせることをいいます。IOT機器等のメーカーの責任として考えられるのが、この「製造物責任(PL)」です。製造物責任が成立するためには、以下の3つの条件をみたすことが必要です。製造物に欠陥があること「1」が原因で他人の生命や身体、財産を侵害したこと製造物以外に損害が生じていることこの中でも、特に問題となるのが「1製造物に欠陥があること」です。欠陥があるかどうかは、製造物が通常有すべき安全性を欠いていたかどうかで判断されます。製造物に設計上の欠陥がなかったか(設計上の欠陥)製造過程で設計と異なる製品になったことによる欠陥でないか(製造上の欠陥)適切な指示・警告があったか(指示・警告上の欠陥)という3つの欠陥があったかどうかで判断します。この中で1つでも当てはまるものがあれば、その製造物は通常有すべき安全性を欠いていたといえ、製造物に欠陥があったと判断されるのです。IOT機器等にサイバー攻撃がなされるようなケースでは、「製造上の欠陥」や「指示・警告上の欠陥」が問題となることはあまりありません。このケースで多くの場合に問題となるのは、「設計上の欠陥」です。実際に、設計上問題があったかどうかを判断するための明確な基準はありませんが、製造物の特性などからサイバー攻撃によって発生する被害が大きいと予想できる場合は、より一層高い安全対策をとることが必要になると考えられます。このようなケースで、メーカーが何ら安全対策をとっていなかったような場合、メーカーに製造物責任が成立する可能性があります。(2)IOT機器等のメーカーは法律上の責任を負うか?IOT機器等のメーカーに製造物責任は成立するのでしょうか。ここでは、IOTが搭載された自動車を例に考えてみましょう。法定速度で高速道路を自動走行できる機能が搭載されている自動車において、自動運転システムがハッキングされ、負傷事故が起きたとしましょう。このケースにおいて、被害者は負傷しているため、上で見た条件2のうち、「他人の生命や身体、財産を侵害したこと」と条件3の「製造物以外に損害が生じていること」はみたします。ポイントとなるのは、「1製造物に欠陥があったかどうか」です。この点、自動運転システムがハッキングされると、人の生命や身体に重大な被害をもたらすことが予想されるため、とくに高い安全対策が求められます。そのため、IOT機器等のメーカーは、たとえば、IOT機器を「外部操作が不可能な状態」にしておくなどの安全対策をとっておくことが必要であったと考えることができます。このような安全対策をとっていなかった場合、IOT機器に「設計上の欠陥」が認められ、通常有すべき安全性を欠いていたとして、メーカーに製造物責任が成立する可能性があります。これとは別に、顔認証システムによる盗難防止機能が搭載された自動車を例に考えてみましょう。ハッキングにより所有者以外の人も自動車を利用できる状態に切り替えられ、自動車だけでなく、車内に搭載された外付けのカーナビや日用品なども一緒に盗難被害にあったとします。この場合、自動車の所有者は自分の自動車や車内にあった財産などを盗まれているため、条件2のうち、「他人の生命や身体、財産を侵害したこと」と条件3の「製造物以外に損害が生じていること」はみたします。盗難防止システムをハッキングされたとしても、上の例とは異なり、予想される被害は自動車と私物という財産的被害に止まります。そのため、自動運転機能のケースと同等の安全対策をとっていなかったからといって、「設計上の欠陥」があったと認められるかどうかはわかりません。このように、IOT機器がサイバー攻撃を受けたような場合において、メーカーが製造物責任を負うかどうかの判断では、IOT機器に「設計上の欠陥」があったかどうかということが特に重要なポイントになってきます。そのための判断基準ともなる「安全対策」については、サイバー攻撃を受けた場合に予想される被害の大小によって内容や程度が変わることに留意が必要です。法定速度で高速道路を自動走行できる機能が搭載されているようなケースでは、以上で見てきたメーカーの責任だけでなく、「運行供用者」にも責任が問われる可能性があります。法律の悩みを迅速に解決します。スタートアップ、IT、先端技術の法律相談なら私たちにお任せください!豊富な契約書雛形もご用意していますので、IT企業に関わらずお気軽にお問い合わせください。責任主体2:運行供用者(自動運転の場合)「運行供用者」とは、自動車やバイクなどの所有者を指し、自賠責法の中で使われている用語です。ここでいう「自賠責法」とは、自動車の運行によって被害を受けた者を保護することを目的とした法律です。自賠責法は、自動車運転が本来的に危険であることを前提として、被害者保護の観点からさまざまなルールを定めていますが、運行供用者に何の落ち度もない時にまで責任を負わせるのは酷です。そのため、例外的に運行供用者の責任が免責されるための条件が設けられています。次の3つの条件をすべてみたす場合には、運行供用者は責任を免れることができます。第三者に故意又は過失があったこと自動車に構造上の欠陥または機能の障害がなかったことこれらの条件からもわかるように、交通事故がまったくの第三者による故意(わざと)・過失(うっかり)が原因となって引き起こされたもので、運行供用者や運転者にはまったく落ち度がなく、自動車にもこれといった欠陥や障害がなかったような場合には、運転供用者の責任は免責されます。このような場合にまで、運転供用者に責任を負わせることとすると、自動車を購入する人は明らかに減るでしょう。(2)自動運転車の運行供用者は法律上の責任を負うか?IOT搭載車がハッキング被害を受けて自動車事故を起こしたような場合において、運行供用者は法律上の責任を負うのでしょうか。設計上の脆弱性を狙われて第三者からIOT機器をハッキングされ、友人から借りて運転していた自動車で人身事故を起こしてしまったというケースを考えてみましょう。明らかな落ち度があり、注意を怠ったといえるため免責条件1の「運行供用者または運転者が注意を怠らなかった」という条件をみたしません。反対に、このような落ち度がない場合には、通常ハッキングを防止することは、運転者や運行供用者にはできないため、免責条件1の「運行供用者または運転者が注意を怠らなかった」という条件をみたす可能性が高いと考えられます。次に、上の事故は第三者によるハッキングが原因となって引き起こされているため、免責条件2の「第三者の故意があったこと」という条件をみたします。最後に、免責条件3の「自動車に構造上の欠陥または機能の障害がなかったこと」をみたすかどうかということになりますが、この点の判断は専門的な知識が必要となるため、専門機関などによって調査が行われることになるものと考えられます。このように、IOT搭載車が起こした事故についても、運行供用者が免責されるための条件は通常の交通事故における条件と変わりません。危険なアプリをインストールしていたといったような特殊な事情がない限り、免責条件1・2は基本的にみたすものと考えられます。問題となるのは、自動車に構造上の問題などがなかったかという点です。この点をクリアすれば、自動運転車の運行供用者は自分の責任を免れることができるものと考えられます。先で見た「製造物責任」を問うためには、製造物を引き渡していることが必要です。製造物が引き渡されていない場合は、メーカーの製造物責任を問うことはできません。この点、システムそのものがサイバー攻撃を受けた場合において、ユーザに引き渡されている機器のようなものが存在しないケースも想定されます。いう2つの責任を問うことができます。故意(わざと)または過失(うっかり)によって他人に損害を与えた場合に、加害者が被害者に対して負う損害賠償責任のことをいいます。損害賠償責任を問うためには、以下の3つの条件をみたしている必要があります。不法行為に関し、加害者に故意(わざと)もしくは過失(うっかり)が存在することが必要です。この点は、後ほど詳しく解説します。2権利侵害(違法性)法律上の権利である必要はなく、「法律上保護すべき利益」に対する侵害があれば足りるとされています。加害者の行為が原因となって、被害者に損害が発生していることが必要です。以上の3つの条件をみたす場合には、被害者保護の観点から加害者に損害賠償責任を負わせることとなっています。債務者が契約上の債務を履行しなかったために生じる責任のことをいいます。具体的には、相手方に対する損害賠償請求や契約の解除が可能になります。A(債権者)が所有するパソコンをB(債務者)に売るケースについて考えてみましょう。この場合、AはBに対して「パソコンを引き渡す義務」を負います。反対に、BはAに対して「パソコン代金を支払う義務」を負うことになります。お互いに果たすべき義務が存在しますが、この義務を果たさなかった場合に、債務不履行責任が生じる可能性が出てきます。債務不履行責任を問うためには、以下の3つの条件が必要です。債務者の帰責事由1債務の本旨に従った履行がないこと「債務の本旨」とは、債務の本来の目的を指します。「債務の本旨に従わない履行」とは、たとえば、本来100万円の支払義務があるにもかかわらず、50万円しか支払わない場合や支払期限が決まっているにもかかわらず、期限を過ぎても支払わなかったり、というようなことをいいます。このように、債務不履行責任を問うためには、債務の本旨に従った履行がないことが必要です。債務の本旨に従った履行がないことが原因で、損害が発生していることが必要です。債務不履行をした人に「故意」または「過失」があることをいいます。先ほどのパソコンの売買の例でいうと、このケースで仮にAがパソコンをBに引き渡す準備ができているにもかかわらず、Bがお金を工面できず、パソコン代金を支払うことができなかったとしましょう。この場合、Bには帰責事由があるということになります。このように、債務不履行責任を問うためには、債務者の帰責事由が必要です。債務不履行責任は、債権者保護の観点から契約上の責任を果たさなかった債務者に損害賠償責任を課すことを趣旨としています。債務不履行には、期限までに義務を果たさない「履行遅滞」や契約通りの義務を果たさない「不完全履行」といった類型があります。いずれの場合にも上の3つの条件をみたしていれば、相手方に損害賠償を請求することができ、また、契約の解除を行うことも可能です。いずれにも「故意・過失」が必要であることがわかると思います。このうち特に問題となるのが「過失」があったかどうかの判断基準です。「機器」などの引き渡しがない場合に、システム管理者が不法行為責任や債務不履行責任を追及される事例としては、オンライン上で行えるAI診療サービスの顧客情報流出被害などが考えられます。これ以外にも、実際に問題となった事例として、商品の受注システムを利用していた業者が、ハッキング被害により顧客の個人情報が流出したことを理由に、システムを設計開発した会社を訴えた事例があります。このような「顧客情報漏洩」の事例において、システムを設計開発した会社に不法行為責任や債務不履行責任は認められるのでしょうか?まず、システム上の安全設計の脆弱性により、顧客情報流出という被害が発生しているため、不法行為責任における条件2の「権利侵害」と条件3の「因果関係のある損害」があることは明らかです。債務不履行責任における条件2の「因果関係のある損害」も明らかであるといえるでしょう。そのためここで問題となるのは、安全設計上の不備につきシステム管理者に「過失」があったかどうかということになります。「過失」があったかどうかは、一般的にその人が所属する組織の平均的な人の能力を基準に判断されます。本件でいうと、「平均的なシステム管理者として求められる平均的な注意を果たしていたかどうか」がポイントとなります。具体的には、顧客情報の流出を防止するために必要な安全対策が取られていたかどうかを判断することになります。適切な安全対策が取られていたかどうかは、以下のような要素を考慮することで判断されるものと考えられます。定めた「個人情報の保護に関する法律についてのガイドライン(通則編)」の指針を満たしているかも、過失の有無を判断するための重要な要素となります。以上のことを、「顧客情報の漏洩」という事例で見てみると、官公庁などによる注意喚起や個人情報保護のガイドラインを基礎として、個人情報の流出が考えられるような状況を想定した上で、個人データの取得、利用、保存などを行う場合の基本的な取り扱い方法を整備し、そこに技術的に安全な措置を組み込むことができていなかった場合には、システム管理者には「過失」があったと判断される可能性があります。この場合、システム管理者が不法行為責任や債務不履行責任を負う可能性があります。サイバー攻撃をした犯人の刑事責任ハッキングなどのサイバー攻撃を行った犯人は刑事責任を問われることになります。違反する行為であることに加え、刑法上の罪として罰せられる可能性もあります。アクセス禁止法」は、ハッキングなどの不正アクセス行為を行った者を処罰する法律です。「不正アクセス行為」とは、以下のような行為を指します。万円の罰金のいずれかを科される可能性があります。他人のパスワード、指紋情報等を不正に取得すること「1」で取得したものを第三者に提供すること「1」で取得したものを保管すること他人のパスワードや指紋情報の入力を不正に要求すること(フィッシング詐欺など)といった助長行為も禁止されています。万円の罰金のいずれかを科される可能性があります。最大2000万円の罰金のいずれかを科される可能性があります。最大30万円の罰金のいずれかを科される可能性があります。最大100万円の罰金のいずれかを科される可能性があります。最大50万円の罰金のいずれかを科される可能性があります。最大30万円の罰金のいずれかを科される可能性があります。最大100万円の罰金のいずれかを科される可能性があります。最大10年の懲役を科される可能性があります。最大5年の懲役を科される可能性があります。最大7年の懲役を科される可能性があります。小括IOT機器の製造や販売に関しては、誰がどのような責任を負うのかという視点からシステム設計を考えることも非常に大切です。問題が生じた場合には、加害者の責任問題として考えるのが通常ですが、IOTが関連する分野では、通常のケースとは異なり、製品自体の安全性やシステム設計段階で十分な対策を行ったかどうかなどが大きな問題となります。IOTビジネスを展開する際には、この点に留意した上でシステムや製品開発を行い、実用化していくことが極めて重要だと考えられます。まとめこれまでの解説をまとめると、以下のとおりです。IOT_セキュリティーリスク法律の悩みを迅速に解決します。スタートアップ、IT、先端技術の法律相談なら私たちにお任せください!豊富な契約書雛形もご用意していますので、IT企業に関わらずお気軽にお問い合わせください。