コンピュータ詐欺及び濫用防止法（CFAA）：ハッカーだけが対象ではありません

1984年、連邦議会は、米国政府および金融機関のコンピュータへのハッキングを防止するため、コンピュータ詐欺及び濫用防止法（CFAA、合衆国法典第18編第1030条）を制定しました。コンピュータ利用の拡大、インターネットの爆発的普及、そしてこれら拡大する技術への犯罪の適応に伴い、連邦議会はCFAAの対象をほぼすべてのコンピュータに拡大しました。さらに、1994年の改正により、この刑事法に民事上の請求原因が追加されました。

CFAAは、簡潔にまとめると次の7つの行為を禁止しています。

1. スパイ行為を行う目的でのコンピュータへの不正侵入（トレスパス）；
2. コンピュータへの不正侵入と、特定の金融・信用・政府・商業情報の取得；
3. 政府のコンピュータへの不正侵入；
4. 詐欺を行う目的でのコンピュータへの不正侵入；
5. コンピュータへの損害を与える行為；
6. コンピュータのパスワードの不正取引；および
7. コンピュータに損害を与える旨の脅迫。

CFAAには、同法を広く適用するためのいくつかの定義が含まれています。例えば、CFAAは「保護されたコンピュータ（protected computers）」に適用されます。これには、米国政府や金融機関が所有するコンピュータ、および「州際もしくは外国の通商または通信に使用され、またはこれに影響を与える」コンピュータが含まれます。したがって、CFAAは事実上すべてのコンピュータに適用されます。

上記で略述したとおり、不正侵入には、「権限なく（without authorization）」または「権限を超えて（exceeding authorized access）」コンピュータにアクセスすることが含まれます。CFAAの違反者は、ログインIDやパスワードといったコンピュータへのアクセス権限を有していながら、後にその利用者の権限の範囲外のデータにアクセスする、ということがあり得ます。例えば、銀行の従業員が通常の業務の過程でデータにアクセス・修正する権限を有していたとしても、業務上の必要がないのに知人の口座記録を閲覧してコンピュータ利用ポリシーに違反した場合、権限を超えたアクセスとしてCFAAに違反することになります。

連邦裁判所は、「権限なく」および「権限を超えて」という文言を創造的に解釈してきました。Shurgard Storage Centers, Inc. v. Safeguard Self Storage, Inc., 119 F. Supp. 2d 1121 (W.D. Wash. 2000) において、シアトルの連邦裁判所は、元従業員が、在職中に元雇用主に属する営業秘密や専有情報を競合他社に電子メールで送信して競合他社の代理人（agent）となった時点で、「権限あるアクセス」を失ったと判示しました。裁判所は秘密保持契約に依拠したのではなく、従業員が雇用主に対して「相反する利益を取得した場合、またはその他重大な忠実義務違反を犯した場合」にその権限が終了するという、コモンロー上の代理（agency）の原則に依拠しました。一部の裁判所はこの判断に異を唱えていますが（例えば、Shamrock Foods Co. v. Gast, 535 F. Supp. 2d 962 (D. Ariz. 2008) 参照）、他の裁判所はこの論理に従っています。

元雇用主から取得した秘密情報を用いて新たな競合他社の利益を図った元従業員が関与した別の事件では、裁判所は「秘密または専有情報（Confidential or Proprietary Information）」の使用と守秘義務契約の存在に着目しました。EF Cultural Travel BV. v. Explorica, Inc., 274 F.3d 577 (1st Cir. 2001)。同事件では、原告は高校生向けの世界ツアーを提供する事業を営んでいました。元幹部は、元雇用主のツアーコードや専有情報のデータ構造に関する秘密情報を有しており、守秘義務契約（NDA）に拘束されていました。この元幹部は、元雇用主のウェブサイトから価格情報を抽出する「スクレイパー」プログラムの設計において、競合他社のインターネットコンサルタントを支援しました。競合他社はそのデータを用いて元雇用主の価格を下回る価格設定を行いました。第1巡回区控訴裁判所は、競合他社が競争上のデータを得るために原告のウェブサイトを閲覧する権限を有していたか否かという問題には立ち入りませんでした。むしろ裁判所は、被告である元幹部が、競合他社のためにスクレイパープログラムを作成すべくインターネットコンサルタントに「専有情報とノウハウを提供したこと」によって、その権限を超えたと判示しました。

CFAAは、利用者がウェブサイトの利用規約（TOS）に違反した場合に、ウェブサイト運営者によっても援用されてきました。America Online, Inc. v. LCGM, Inc., 46 F. Supp. 2d 444 (E.D. Virginia 1998) は、AOLの迷惑一括メールポリシーおよびTOSに違反して、AOLのネットワーク経由で勧誘目的の一括メール（「スパム」）を送信するためにAOL会員の電子メールアドレスを収集したAOL会員が関与した事件です。同事件には、スパムメールを「aol.com」ドメインからのものであるかのように「なりすます（spoofing）」ことによる商標侵害など、他の重大な論点も含まれていましたが、第一審裁判所は、TOS違反により被告らのアクセスは権限のないものとなり、コンピュータへの不正侵入および商業情報の取得についてCFAAに違反すると判示しました。

AOL事件が会員のTOS契約に関わるものであったのに対し、Southwest Airlines Co. v. Farechase, Inc., 318 F. Supp. 2d 435 (N.D. Texas 2004) は、サウスウエスト航空のウェブサイトのTOSと、同社ウェブサイト上で禁止された行為について被告らに直接警告したことに関わる事件でした。被告であるソフトウェア会社は、「ロボット、スパイダー、その他の自動スクレイピング装置をインターネット上に送り出す」ことによってデータを取得するためにサウスウエストのウェブサイトを「スクレイプ」できるソフトウェアを作成・ライセンスしました。別の被告は、企業の出張者が航空運賃情報を検索するための製品に用いるべく、そのソフトウェアのライセンスを受けました。サウスウエストは、CFAA違反を含むさまざまな理論に基づいて提訴しました。被告らは、サウスウエストの利用規約（TOS）は執行不能な契約であると主張しました。裁判所は、その事実問題は却下の申立て（motion to dismiss）において判断するのは不適切であるとして留保しました。むしろ裁判所は、サウスウエストが「ディープリンク、ページスクレイプ、ロボット、スパイダー、その他これらと同様のことを行う自動的な装置・プログラム・アルゴリズム・方法」の使用を禁止する旨を被告の一人に直接伝えていた事実に依拠しました。こうしてサウスウエストは、ある被告に対してそのアクセスが権限のないものであることを直接通知しており、裁判所がこの請求に関する被告らの却下の申立てを退ける根拠を与えました。

CFAAは刑事法ですが、私人による請求権（private right of action）が存在します。一般に、原告となろうとする者は、コンピュータへの損害、または5,000ドルを超える「損失（loss）」を証明する必要があります。損失は、「違反への対応、損害の評価、データ・プログラム・システム・情報を違反前の状態に復元するための費用を含む、被害者が負担したあらゆる合理的な費用、およびサービスの中断により失われた収益・負担した費用・被った結果的損害」と定義されています。差止めおよび／または金銭的損害賠償を求める民事訴訟を提起するための法定の最低損失額の証明は、調査やセキュリティホールの修補にかかる費用によって容易に満たすことができます。社内IT担当者の公正な価値も「損失」の算定に含めることが認められています。

CFAAは、雇用、営業秘密、不正競争に関する事件において、今後ますます利用されると考えられます。CFAAに関する重要なポイントは次のとおりです。

• ネットワークセキュリティを維持すること；
• 従業員その他の「インサイダー」については、秘密保持契約（NDA）を締結し、包括的なITまたはコンピュータ利用ポリシーを通じて、データのアクセス・修正・削除に関する明確な制限を設けること；および
• ウェブサイトについては、明確な利用規約（TOS）を設け、トラフィックを監視してTOS違反の可能性がないかを判断し、特定できる違反者に対して停止通知書（cease and desist letter）を送付すること。