サイバー犯罪条約策定国連アドホック委員会（第4回）への公開書簡

JCA-NETは、下記の共同書簡の署名者になりました。国連のサイバー犯罪条約については2021年12月にも共同声明を出しました。「国連のサイバー犯罪条約案に人権セーフガードを盛り込むよう国連に要請」を参照してください。

(日本語仮訳。英語正文はこちら)

宛先：H.E. Ms. Faouzia Boumaiza Mebarki
Chairperson
情報通信技術の犯罪目的使用への対処に関する包括的な国際条約を策定するためのアドホック委員会

議長

私たち、以下に署名した団体および学術関係者は、オンラインおよびオフラインでの人権の保護と促進に取り組んできました。私たちの目標は、サイバー犯罪に対抗し、電子的証拠を確保し、国際協力を促進し、あるいは技術支援を提供する際に、人権と基本的自由が常に優先されるようにすることにあります。私たちは国際的なサイバー犯罪条約が必要だとは確信していませんが、提案されている国連サイバー犯罪条約の草案作成において、ヒューマン・ライツ・バイ・デザインのアプローチの必要性を改めて指摘したいと思います。

2022年11月7日に委員会が発表した、正式名称「犯罪目的の情報通信技術の使用に対抗するための包括的な国際条約の一般条項および犯罪化に関する条項、手続き的措置および法執行に関する統合交渉文書（CND）」という文書案が、国際人権法に抵触する危険性があることに私たちは大きな懸念を持っています。

CNDはその範囲が広範であり、中核的なサイバー犯罪に限定されていません。また、CNDは、十分に明確かつ正確とはいえない条項を含んでおり、世界人権宣言（UDHR）、市民的及び政治的権利に関する国際規約（ICCPR）、その他の国際人権基準や文書に定められた国家の人権義務に完全に沿わない形で活動を犯罪化することになります。 [1]さらに、CNDの刑事手続・法執行の章は、強固な人権保障措置を欠いており、他方、その実体的規定は、犯罪意図と行為の範囲を拡大し、ジャーナリスト、内部告発者、セキュリティ研究者等の合法的活動を犯罪化するおそれがあります。

すべての章を通じて人権を優先させなければ、悲惨な結果を招きかねません。基本的人権の保護は、条約案を練るためのアドホック委員会の会期中、一貫して加盟国によって指摘されてきました。多くの国や非政府の利害関係者は、条約案を国際人権法と完全に整合させ、一貫性を持たせるよう求めています。権利を制限するいかなる認められた措置も、法律で規定され、関係する権利との関係で厳密に認められた法的根拠に基づいて正当化される必要があり、正当な目的を追求するために必要かつ適切なものでなければなりません。また、規定は、その実施が意図された範囲に合致していることを保証するために、十分な具体性と独立した監督機能を含むことによって、法の支配を尊重すべきです。したがって、CNDの多くの条項が、実質的にも手続き的にも人権法を支持しない方法で起草され、人権と法の支配をさらに侵害するおそれのある方法で実施への扉を開いているのは、非常に憂慮すべきことです。

具体的には、CLUSTERS2から10が、中核的なサイバー犯罪ではない犯罪、保護された言論に干渉する犯罪、国際的な表現の自由の基準で許容される制限に合致しない犯罪、あるいは曖昧または適用範囲が広過ぎる表現を用いて起草された犯罪の長いリストを含むことを懸念しています。

犯罪の章は、中核的なサイバー犯罪──情報通信技術（ICT）システムが犯罪の直接的な対象であり、手段でもある犯罪──に限定されるべきです。本質的にICT犯罪である犯罪の種類については、ブダペスト条約第2条から第6条に有用な参考資料が掲載されています。その他の非中核的サイバー犯罪を含める場合、それらの「サイバーイネーブル」犯罪は狭く定義され、国際人権基準と厳格に整合するよう提言します。

ICTシステムが犯罪の実行に使われるだけの単なるツールであるような犯罪は、提案されている条約から除外されるべきです。これらの犯罪には、既存の国内法で既に禁止されている犯罪や、クラスター2や10の犯罪のように、ICTシステムを標的としたり危害を加えることなく単に付随的にICTシステムに関与したり利益を得たりするような犯罪が含まれるでしょう。

特に、「過激派関連犯罪」（第27条）や「テロ関連犯罪」（第29条）などのコンテンツ犯罪が含まれることには懸念を抱いています。これらの規定は、テロリズムや暴力的過激主義に対抗し防止するための政策や国家戦略に関して、様々な国連機関が定めた既存の人権基準をないがしろにするものです。特に、表現の自由のマンデート保持者は、「テロ」や「過激派」のような幅広く、定義されていない概念を、表現の自由を制限する根拠として用いてはならないと繰り返し述べています。さらに、国際法上これらの概念の統一された定義はなく、多くの国がこの曖昧さに依拠して、市民社会のメンバー、独立メディア、野党などに対する政治的動機に基づく逮捕や訴追などの人権侵害を正当化しています。

より一般的に、（クラスター4、7、8、9のいくつかの犯罪のように）コンテンツに関連するいくつかの犯罪が含まれていることは、深く懸念されることです。私たちが交渉プロセスを通じて繰り返し述べてきたように、この制度には言論に関連する犯罪を含めるべきではありません。これらの犯罪を含めることは、提案されている条約が表現の自由に対する既存の国際的な保護に反し、国際人権基準の下で保護される表現を制限するために使用される危険性を高めることになります。

また、CLUSTER 1の中核的サイバー犯罪は、ジャーナリスト、内部告発者、セキュリティ研究者にとって不可欠な活動方法を阻害する可能性のある制限を課すことになり、見直しが必要です。例えば、第6条と第10条では、詐欺の故意と危害の両方の基準を求めるべきであり、この要件は第2回実質審議会のこの問題に関する討議で多くの代表団から検討することが不可欠であるとの意見が出されました。

条約の手続的権限に関する規定にも懸念があります。条約が要求する捜査権は、条約が対象とする犯罪に関してのみ利用できるようにすべきです。条約はサイバー犯罪に関するものであり、あらゆる犯罪を捜査するための汎用的な手段になってはなりません。

手続き的権限の実施において、比例性、必要性、合法性の原則とプライバシーおよび個人データの保護を尊重する一般的な義務については評価できますが、条約の実施において人権が尊重されることを保証するためには、さらなる具体性が必要です。そのためには、第42条は、事前の独立した（できれば司法の）認可と独立した事後監視が必要であることを明記し、効果的な救済の必要性を認め、締約国による厳格な透明性報告およびユーザー通知を要求し、すべての捜査権限においてデジタル通信およびサービスの完全性と安全性を損なわないことを保証する内容を含めるべきです。

また、条約の手続き的メカニズムは、証拠に関する国際法および人権基準が尊重されることを保証するものでなければなりません。国内法または人権に違反して取得された証拠は、その証拠のさらなる生成物とともに、刑事手続から排除されるべきです。

条約における保全の権限（第43条および第44条）は、保全の要件および更新が、犯罪が行われ、または行われており、保全が求められるデータがその犯罪の証拠となるという合理的な信念または疑いをも前提とすることを保証しなければなりません。保全期間は、更新を条件として60日を超えてはならず、条約は、指定された期間を超える保全を要求する国内法は、実施の資格がないことを明確にすべきです。第43条は、さらに、サービス・プロバイダは、保全期間が終了した後は、保全されたデータを速やかに削除することが求められると規定すべきです。

第46条4項は、サービス・プロバイダ等の第三者に対して、特定のソフトウェアの脆弱性を開示する義務や、暗号化された通信へのアクセスを関係当局に提供する義務を課す可能性について、重大な懸念を抱かせるものです。

トラフィックデータのリアルタイム収集に関する第47条は、同条が包括的または無差別なデータ保存手段を許可しないことを保証するため、より正確な表現に改訂されるべきです。通信内容やそのメタデータの一般的な傍受、保管、保存は、必要かつ相応のテストに失敗していると判断されます。

47条と48条は、エンドデバイスの国家によるハッキングを含まないことを明確にするよう修正されるべきです。国家によるハッキングの権限には依然として議論の余地があり、ネットワーク、データ、デバイスの完全性とセキュリティに付随的な損害を与える可能性があります。これらの権限がいつ適切に発動されるかについてのコンセンサスはなく、一部の締約国がこの種の侵入的監視を含むよう第47条および第48条を不適切に実施するおそれがあります。

条約の守秘義務規定（43条3項、47条3項、48条3項）は、守秘義務がない場合に生じうる捜査への脅威を防ぐために必要な範囲にのみ適用されるべきです。

私たちは、上記の点を確実にするために、CNDを改定することを強く提案します。

この条約の適用範囲は、刑事司法制度の領域内の問題に限定されるべきであり、その実体的及び手続的な範囲は、中核的なサイバー犯罪に限定されるべきです。
第6条及び第10条の犯罪案は、ジャーナリスト、内部告発者、セキュリティ研究者を保護するために、少なくとも詐欺的な意図と被害の両方の基準を含むように改訂されるべきです【CLUSTER 1】。
犯罪化の章は、コンピュータ・データ及びシステムの機密性、完全性、可用性に対する犯罪に限定されるべきです。
ICTが単に犯罪の遂行に時として使用される手段であるような犯罪は、提案された条約から除外されるべきです。 [CLUSTERS 2-10]
その他の非中核的サイバー犯罪が含まれる場合、それらのサイバー対応犯罪は狭く定義されかつ国際人権基準と一致することを提言し、いかなる場合においても言論活動を対象とした犯罪は含まれるべきではありません。
人権法と矛盾するやり方で活動を制限するような刑法犯罪は除外されるべきです。
刑事手続上の措置及び法執行の第Ⅲ章における捜査権限は、特定の犯罪行為及び訴訟手続の捜査と密接な関係を保つように慎重に範囲設定されるべきであり、条約が特に対象とする犯罪の捜査にのみ利用できるようにすべきです（第41条2項）。
秘密保持規定は、この問題になっている情報の開示が基本的な捜査に明白な脅威を与える場合にのみ利用可能であるべきです（第43条3項、第47条3項、第48条3項）。
もし刑事手続上の措置が必要となれば、捜査と訴追を可能にするいかなる提案された義務も、独立した監督とコントロールの要件と有効な救済を受ける権利を含む詳細かつ強固な人権保障措置と法の支配の基準を伴うものであるべきです。
データの傍受とリアルタイム収集を許可する一般条項は、ネットワークとエンドデバイスへの侵入を許可するものではないことを明確にするように修正されるべきです。こうした規定は、国家によるハッキングによってもたらされるネットワーク、データ、デバイスのセキュリティと完全性への脅威に対処するための十分な保障措置を欠いており、締約国がハッキング活動を正当化するために条文の不明瞭な点に頼ることができるようにすべきではありません（第47条および第48条）。
テキストは、メタデータの無差別または無期限の保持を許可すべきではありません。