ECPA（電子通信プライバシー法）

ECPA（Electronic Communications Privacy Act、電子通信プライバシー法）は、1986年に米国で成立した連邦法です。電話や電子メールなどの通信について、不正な傍受、保存された通信への無権限アクセス、第三者への開示を規制し、政府が情報を取得する手続きも定めています。

理解する際は、通信中の内容、保存された内容、通信先などの記録を分けることが大切です。適用される条文や例外は、情報の種類と取得方法によって異なります。ECPAは既存法の改正と新たな規定の追加からなり、現在の運用は、その後の改正を反映した米国法典で確認します。ECPA成立時の法文

ECPAの３つの柱

Title I：通信内容の傍受を規制する

Title Iは、従来のWiretap Act（盗聴に関する連邦法）の保護を電子通信にも広げました。中心となるのは、通信内容を伝送中に取得する「傍受」と、不正に傍受されたと知りながら内容を利用・開示する行為の規制です。通話の盗聴や、送受信中のメール本文の取得が論点になります。18 U.S.C. §2511

米司法省の資料がWiretap Actを「Title III」と呼ぶ場合は、1968年法の第３編を指します。後述する1986年ECPAのTitle IIIとは別です。米司法省の解説

Title II：保存された通信を保護する

Title IIはStored Communications Act（SCA、保存通信法）です。通信サービスを提供する設備へ無権限でアクセスし、保存中の通信を取得・改変する行為などを規制します。また、サービス提供者による顧客情報の開示と、政府が提供者に開示を求める手続きを定めています。18 U.S.C. §2701、§2702、§2703

例えば、メール事業者が保管するメールの取得ではSCAが問題になります。ただし、保存先にあるすべてのファイルが一律に同じ扱いになるわけではありません。サービスの性質や、法律上の「電子的保存」に該当するかなどの確認が必要です。

Title III：通信先などの記録の取得を規制する

Title IIIはpen registerとtrap and traceに関する規定です。前者は発信側の宛先・経路など、後者は着信の発信元を特定する情報を対象とします。現在は電話番号だけでなく電子通信も含みますが、通信内容は対象から除かれます。18 U.S.C. §3127

メール本文と送信先アドレスでは検討する規定が異なります。「メタデータ」という呼び名だけで自由な取得が認められるわけではありません。pen registerなどの設置・使用には、例外を除き所定の裁判所命令などが必要です。URLには閲覧内容や検索語が含まれ得るため、単純に非内容情報と扱うのも適切ではありません。18 U.S.C. §3121、米司法省：URL取得の取扱い

同意があれば従業員の通信を監視できる？

連邦法には、通信の当事者である場合や、当事者の一人が事前に同意した場合などの例外があります。ただし、民間の傍受では犯罪や不法行為を目的とする場合を除外しています。通信サービス提供者にも、サービスの提供や自らの権利・財産の保護に必要な範囲での例外があります。18 U.S.C. §2511(2)

これらは、会社所有の端末や業務用メールを無制限に監視できるという意味ではありません。誰が何に同意したか、取得する内容、監視の目的、サービス提供者の立場などを確認します。州法にも注意が必要です。例えばカリフォルニア州法は、秘密性のある通信の録音について、原則として当事者全員の同意を求めています。カリフォルニア州刑法§632

「180日を過ぎたメールは令状不要」と言える？

SCAの§2703には、電子的保存の期間が180日以内か、それを超えるかによる区別が今も条文上残っています。しかし、保存期間だけで政府による取得の適法性は判断できません。18 U.S.C. §2703

2010年のUnited States v. Warshakで、第６巡回区連邦控訴裁判所は、政府が令状なく事業者から被告人のメールを取得したことを憲法修正第４条違反と判断しました。古い条文の説明を、そのまま現在の取得実務に置き換えるのは不正確です。条文・適用される判例・取得の根拠を合わせて確認します。Warshak判決

日本企業やクラウド利用との関係

米国の管轄に服するサービス提供者に対する開示要求は、日本企業にも関係し得ます。2018年のCLOUD Actで追加された§2713は、提供者の保有・管理下にある対象情報について、米国内外の保存場所にかかわらず、保存・開示等の義務に従うと規定しています。日本のデータセンターに保存していることだけで、米国の開示手続きと無関係になるとは限りません。18 U.S.C. §2713

ただし、これは米政府が世界中のデータへ自由にアクセスできる制度ではありません。事業者に対する管轄や適法な取得手続きが前提です。米司法省：CLOUD Actの範囲

企業がSOCやSIEMで通信情報を扱う際は、収集する項目、本文を含むか、取得・閲覧権限、保存期間、委託先、開示要求の受付手順を整理します。こうした運用設計と、ECPA・州法・日本法などの適用判断は分けて確認してください。

情報確認日：2026年9月12日。本記事は制度の一般解説です。個別の監視や情報開示の適法性は、具体的な事情に応じた法的検討が必要です。