米連邦最高裁、アクセスが認められている範囲内であれば目的外の使用もコンピューター不正使用にあたらないと判断

headless 曰く、

米連邦最高裁は3日、従業員が業務用のコンピューターを使用する場合、アクセスが認められている範囲内であれば、業務目的外で使用してもコンピューター詐欺および濫用に関する法律(CFAA)が定めるコンピューター不正使用にはあたらないとの判断を示した(裁判所文書: PDF、 Voxの記事、 Ars Technicaの記事、 The Registerの記事)。

この裁判は業務と無関係なナンバープレート照会を実行したジョージア州警察の巡査部長(当時)を米政府がCFAA違反の重罪で訴追しているものだ。元巡査部長は警察が要注意人物としてマークしていた人物と親しくなってナンバープレート照会を依頼され、パトカーのコンピューターから州警察のデータベースにアクセスして取得した情報を渡して約5,000ドルを受け取ったという。下級審では米政府の主張が認められたため、被告側が上告していた。

被告が権限を持ってコンピューターにアクセスし、ナンバープレートの情報を取得したことや、被告にナンバープレートの情報を取得する権限があったことに関しては双方異論なく、裁判ではこれらの行為がCFAAにおける「権限を越えたアクセス」に該当するかどうかが争点となった。CFAAで権限を越えたアクセスとなるのは、許可を受けてコンピューターにアクセスし、そのアクセスで取得や変更が認められていない情報を取得または変更する行為となっている。

被告側はナンバープレート情報の取得が認められていることから権限を越えたアクセスには相当しないと主張したのに対し、米政府側は権限付与の目的から外れている場合は権限を越えたアクセスになると主張。連邦最高裁では、目的外の使用が権限を越えたアクセスとみなされれば、業務用のコンピューターで個人の電子メールを送信したり、ニュースを読んだりといった行為も不正使用になってしまうとして、被告の主張を支持している。