LASSIC Media らしくメディア
電子投票の3つの分離、英国が課す監査ログと保存1年
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 要件が法令の別表に入った：実装の細目まで条文です*1。
- 個人情報と投票情報を分ける：同居は5つの例外だけ*1。
- 監査ログは18号立て：保存は結果公表から1年*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
電子投票の議論は、たいていやるかどうかで止まります。英国は先に進み、やるならこう作れを法令の別表に書きました。
労働組合（許容される投票方法）等改正命令2026が2026年7月28日に制定され、第2部は制定日から28日後の2026年8月25日に施行します*1。同じ日から実務規範も効力を持ちます*2。
読みどころは3つあります。3つの分離、18号立ての監査ログ、そして検査人に課された認証。順に見ていきます。
目次
投票方法を選ぶところから、法が手続を置いた
まず全体像です*1*2。
この命令は、1992年労働組合労働関係（統合）法に新しい条文と別表A1Aを差し込むものです*1。差し込まれた第46A条は、投票の前に責任者が投票方法についての決定を行わなければならないと定めます*1。
許容される投票方法は郵便投票、ハイブリッド投票、電子投票の3つです*1。決定では、そのうちどれを使えるようにするかを示し、複数を使う場合は、全員がすべてを使えるのか、特定の人や区分の人にどれを使えるようにするのかまで書きます*1。
決定にあたって当てる基準も置かれました*1。合理的に実行可能な限り、投票の権利を持つすべての者に投票の機会を与えるものであること、そして選んだ投票方法について法の要件を満たせない理由を責任者が認識していないことの2つです*1。
おもしろいのは、その基準が満たされたとみなされる場合を条文が書いていることです*1。郵便投票だけを使う場合、または複数の方法を使い、かつ全員が郵便投票を使える場合には、機会を与える基準を満たすものとして扱われます*1。電子化を進めながら、紙を残せば手堅い側に立てる作りです*1。
別表A1Aが求めた、3つの分離
実装の細目は、新設された別表A1Aにあります*1。中でも設計に響くのが、性格の違う3つの分離です*1。
| 分離 | 条文が求めること |
|---|---|
| データベース | 第8項第3号。識別子と、投票の管理に必要な個人情報を持つデータベースと、識別子と投票情報・アクセス手段情報を持つデータベースの2つを維持する。第4号により、個人情報と投票情報を1つのデータベースに同居させられるのは、支援の求めへの対応、裁判所の命令、犯罪の捜査または刑事手続、認証官の求めまたは命令、他の制定法による要求の5つの場合だけ |
| 権限 | 第6項第2号。アクセス手段または検査人の許可なしにシステムへ入れないこと、権限を与えられた者も投票に関する自らの役割に必要な範囲でしかシステムを参照できないこと、許可なくデータを変更できないこと、データの複製を定期的に取ること |
| 連絡先 | 第49条第7A項・第7B項。電子投票の対象者ごとに、メールアドレスか携帯電話番号を検査人へ渡す。その連絡先は、雇用主が雇用主の立場で提供または支配するものでも、組合が提供または支配するものでもなく、他の投票者について既に渡されていないものである必要がある |
データベースの分離は、投票の秘密を守るための仕掛けです*1。第4項により、人ごとに識別子を生成し、それ自体では本人を特定できない設計にすることとされています*1。誰が投票したかの記録と、何に投票したかの記録を、識別子でだけつなぐ形です*1。
この点は実務規範が補っています*3。規範は、データベースの分離はデータベースの区分によって達成でき、法令は電子投票システムに関する個々のデータベースごとに独立したサーバーを求めていないと明記しました*3。名前も例示にすぎないとしています*3。
保護されたデータベースの定義も条文にあります*1。アクセスに多要素認証を要すること、そして格納されるすべてのデータが、その秘密性、完全性および可用性を確保するために合理的な水準の保護を与える基準で暗号化されていることの2つです*1。実務規範は、暗号化を最低でもAES256の水準で行うべきとしました*3。
連絡先の分離は、少し毛色が違います*1。職場のメールや組合のアカウントに投票の入口を送らせないための規定です*1。実務規範は、共有の受信箱や共有の携帯番号が使われると、1人が複数の票を投じられ、秘密も守られないと説明しています*3。
入口と出口の作りも、条文で決まっている
投票の入口がアクセス手段です*1。第2項は、これをプラットフォームへ入るための符号、パスワードその他の方法と定義し、4つの要件を課しました*1。
一意であること、他のアクセス手段を推測し、または作り出す試みに耐える設計であること、再発行できること、そして投票フォームを提出した時点、投票しなかった場合は締切の時点で効力を失うことです*1。
出口が電子投票フォームです*1。第3項は、どの候補者または選択肢にも投票しないことで白票にできること、検査人の名称と提出期限を記すこと、そして提出によって送られるデータが送信前に暗号化され、検査人に届いた時点で初めて復号される設計であることを求めます*1。
提出後の表示にも規定があります*1。提出が成功した旨のメッセージを、提出した本人に表示しなければなりません*1。実務規範は、そのメッセージにどう投票したかを示してはならず、メールなど他の経路で投票した旨の確認を送ってもならないとしています*3。第三者から投票内容の提示を求められる余地をなくすためです*3。
使いやすさの側も条文に入りました*1。第5項は、投票プラットフォームは支援技術と互換性がなければならないとし、支援技術を障がいのある人がインターネット上の内容とやり取りすることを可能にし、またはその手助けをするハードウェアもしくはソフトウェアと定義しています*1。実務規範は、最新のウェブアクセシビリティの指針に沿って運用し、端末やブラウザを選ばない作りにすべきとしました*3。
監査ログは18号立て、保存は1年
別表A1A 第9項は、監査ログを維持することを求め、含めるべき事項を(a)から(r)までの18号に並べました*1。
| 区分 | 号と内容 |
|---|---|
| 構築と発行 | (a)プラットフォームを立ち上げた経緯／(b)識別子とアクセス手段を生成した方法／(c)アクセス手段を再発行した事例 |
| 提示した文面 | (d)電子投票フォーム／(e)電子投票の案内／(f)投票期間中にフォームや案内へ加えた変更 |
| 運用の記録 | (g)第6項の要件への適合に関する記録／(h)投票の期間／(i)投票者から検査人へ寄せられた苦情／(k)投票した人数 |
| 追跡の手がかり | (j)提出された各フォームに紐づくIPアドレス／(l)プラットフォームへの許可されたアクセスの記録／(m)データベースへのアクセス権限に加えた変更 |
| 結果と事故 | (n)結果を算出した方法／(o)稼働状況と、予定外の停止の詳細／(p)セキュリティ事象／(q)監査ログ自体へのアクセスと編集の試み／(r)投票の完全性・秘密性・利用可能性に関係すると検査人が考えるその他の情報 |
(q)が置かれている点は見逃せません*1。ログ自体を触ろうとした記録を、ログに残させています*1。記録を残す仕組みを作るとき、その仕組みへの操作が記録されないと、事後の説明が成り立たないという発想です*1。
セキュリティ事象の定義も条文にあります*1。権限のないアクセスの試み、プラットフォームに影響したか、影響しえたサイバー攻撃または疑いのある攻撃、そしてプラットフォームを過負荷にし、障害を起こし、または停止を要することとなったその他の事象の3つです*1。
維持する期間は、プラットフォームを立ち上げたときに始まり、検査人が報告書を組合へ送ったときに終わります*1。保存は第10項で、組合が結果を公表した日から1年、その期間内に苦情や申立てがあった場合は、認証官または裁判所が処分を認めるか、事案が決着するまで続きます*1。
検査人の側にも、認証と監視の義務が乗る
この制度の運用を担うのが独立検査人です*1。命令は第49条を改め、電子投票またはハイブリッド投票を選んだ投票では、その者が投票の実施に用いようとする計算機ネットワークおよびシステムが、その者に与えられた適格なCyber Essentials Plus証明で覆われていることを、選任の要件に加えました*1。
証明の版まで特定されています*1。政府通信本部が公表するCyber Essentials Plus試験仕様 v3.2、またはそれ以降の版に従って与えられた証明であり、かつ選任された投票の期間を通じて有効であり続ける有効期限のものが適格な証明です*1。
投票の期間中の義務もあります*1。第6項第4号は、検査人が権限のないアクセス、権限のないデータの改変、通常とは異なる投票の傾向、その他のセキュリティ侵害の事例についてシステムを監視し、それらの事例を記録しなければならないとしました*1。
サーバーの物理面まで条文が及びます*1。第6項第5号により、サーバーは常時、物理的な保護のもとに置かれること、所有者の許可なく何人も接近できないこと、物理的および電子的な接近の試みについて時刻の記録があることが求められます*1。
投票の期間を通じて操作についての支援を投票者に提供することも義務です*1。実務規範は、これに加えて、投票の前にシステムの検査を行い、その記録を残すこと、完全バックアップと増分バックアップを保護された形で保管すること、定期的な侵入検査の実施を検討することを勧めています*3。
実務規範そのものの位置づけは、1992年法の第203条にあります*4。組合による投票や選挙の実施に関して望ましいと考える慣行の促進を目的として、実務上の手引きを含む実務規範を発することができるという権限です*4。今回の規範は、2026年6月22日に草案が両院へ提出され、庶民院が7月15日、貴族院が7月22日に承認しました*2。
日本のIT部門が持ち帰れる論点
この命令と規範は英国の制度で、日本の事業者に直接の義務を課すものではありません*1*2*3*4。ただし、秘密を保ちながら結果を証明する仕組みを作る場面では参考になります*1*3。
第一に、秘密と追跡を両立させる分け方です*1。誰が参加したかの記録と、何を選んだかの記録を別の場所に置き、本人を特定できない識別子でだけつなぐ。この形は、匿名の社内調査や内部通報の受付、人事評価の集計にもそのまま使えます*1。
第二に、ログに残す範囲をあらかじめ列挙することです*1。別表A1Aは18号を並べました*1。後から「その記録は取っていない」となる事態は、項目を列挙していないときに起きます*1。設計の段階で、事故のときに聞かれることを想像しながら並べるほうが手戻りが小さくなります*1。
第三に、記録する仕組みへの操作も記録することです*1。(q)の発想です*1。ログの保存先を分け、書き込みだけを許す構成にするか、変更の試みを別系統へ送る仕組みを併せて置きます*1。
第四に、通知の経路を業務の支配下から外すことです*1。雇用主のメールへ投票の入口を送らせない規定は、秘密が守られる前提を通信の経路にまで広げたものです*1。社内調査でも、回答の入口を業務アカウントだけに置くと、同じ問題が起きます*1。
第五に、証明の版を契約に書くことです*1。今回は Cyber Essentials Plus 試験仕様 v3.2 と版まで指定され、しかも期間を通じて有効であることが要件でした*1。委託先の認証を求めるときは、名称だけでなく、版と有効期限の条件まで書いておくと、更新漏れを契約の側で拾えます*1。同じ考え方は、英国が機器のセキュリティ適合で外部の制度を名指ししたのとも通じます*1。
まとめ：英国の電子投票の要件で押さえる3つの視点
英国では、労働組合（許容される投票方法）等改正命令2026が2026年7月28日に制定され、1992年労働組合労働関係（統合）法へ新しい条文と別表A1Aを差し込みました。第1部と第3部は制定日の翌日、第2部は制定日から28日後に施行します。実務規範は2026年8月25日から効力を持ち、既に検査人が選任されている投票などには適用されません。押さえたい視点は三つあります。第一に、3つの分離。別表A1A第8項は、識別子と管理に必要な個人情報を持つデータベースと、識別子と投票情報などを持つデータベースを分けて維持することを求め、同居できる場合を5つに限りました。第6項は、権限を与えられた者も自らの役割に必要な範囲でしかシステムを参照できないことを求めます。第49条第7A項・第7B項は、電子投票に使う連絡先を、雇用主も組合も提供・支配していないものに限り、他の投票者と重複しないことも要件としました。第二に、入口と出口の作り。アクセス手段は一意で、他の手段を推測または生成されにくく、再発行でき、投票の提出時または締切時に効力を失います。投票フォームは白票の選択肢を持ち、送信前に暗号化されて検査人に届いた時点で復号され、提出後は受理の表示を返します。識別子はそれ自体では本人を特定できない設計で、プラットフォームは支援技術に対応します。第三に、記録と認証。監査ログは第9項(a)から(r)までの18号立てで、ログ自体への改変の試みまで含みます。保存は結果の公表日から1年で、期間内の苦情や申立てがあれば決着まで続きます。検査人の選任要件には、用いるネットワークとシステムがCyber Essentials Plus試験仕様v3.2以降の証明で覆われ、投票の期間を通じて有効であることが加わりました。
よくある質問
電子投票のアクセス手段には、どのような要件がありますか。
別表A1A第2項が4つ定めています。一意であること、他のアクセス手段を推測し、または作り出す試みに耐える設計であること、再発行できること、そして本人が電子投票フォームを提出した時点、または投票しなかった場合は投票の締切の時点で効力を失うことです。アクセス手段は、投票プラットフォームへ入るための符号、パスワードその他の方法と定義されています。あわせて、使い方の案内を作成し、検査人の名称と提出期限を記載することも求められます。
個人情報と投票の記録は、どのように分けるのですか。
別表A1A第8項第3号が、2つのデータベースを維持することを求めています。1つは、生成した識別子と、投票の管理に必要な範囲の個人情報を持つもの。もう1つは、識別子と、検査人が持つ投票情報およびアクセス手段情報を持つものです。第4号により、個人情報と投票情報を1つのデータベースに置けるのは、支援の求めへの対応、裁判所の命令、犯罪の捜査または刑事手続、認証官の求めまたは命令、他の制定法による要求の5つの場合に限られます。実務規範は、この分離はデータベースの区分で達成でき、独立したサーバーまでは求められないと説明しています。
監査ログには何を残し、いつまで保存しますか。
別表A1A第9項が(a)から(r)までの18号を挙げています。プラットフォームを立ち上げた経緯、識別子とアクセス手段の生成方法、再発行の事例、投票フォームと案内およびその変更、苦情、各フォームに紐づくIPアドレス、投票した人数、アクセス権限の変更、結果の算出方法、稼働状況と予定外の停止、セキュリティ事象、監査ログ自体へのアクセスと編集の試みなどです。維持する期間はプラットフォームの立ち上げから検査人の報告書の送付までで、保存は第10項により、結果の公表日から1年、その期間内に苦情や申立てがあった場合は認証官または裁判所が処分を認めるか事案が決着するまで続きます。
検査人には、どのような認証が求められますか。
電子投票またはハイブリッド投票を選んだ投票では、検査人が用いようとする計算機ネットワークおよびシステムが、適格なCyber Essentials Plus証明で覆われていることが選任の要件です。適格な証明とは、政府通信本部が公表するCyber Essentials Plus試験仕様v3.2、またはそれ以降の版に従って与えられた証明であって、選任された投票の期間を通じて有効であり続ける有効期限のものを指します。あわせて検査人は、投票の期間中、権限のないアクセス、権限のないデータの改変、通常とは異なる投票の傾向、その他のセキュリティ侵害についてシステムを監視し、事例を記録する義務を負います。
秘密性の高い集計システムの設計はLASSICへ
元請（プライムベンダー）として、権限とデータの分離、監査ログの設計、委託先の認証要件の整理までご提案します。まずはお気軽にご相談ください。
出典
- *1 参考：英国法令データベース「The Trade Unions (Permissible Means of Voting) and Employment Rights (Unfair Dismissal) (Amendment) Order 2026」（SI 2026 No. 881・2026年7月28日制定）（https://www.legislation.gov.uk/uksi/2026/881/made）。本記事の一次情報。制定日と施行（第1部・第3部は制定日の翌日、第2部は制定日から28日後）、1992年労働組合労働関係（統合）法に挿入する新第46A条（責任者による投票方法の決定、許容される投票方法が郵便・ハイブリッド・電子の3つである旨）、別表ZA1（決定にあたり当てる基準と、郵便投票を全員に用意する場合の扱い）、第49条第2項(c)・第2A項（Cyber Essentials Plus試験仕様v3.2以降の適格な証明）、第49条第7A項・第7B項（連絡先の要件）、新第51ZA条（複数投票時に数える票）、ならびに別表A1A 第2項（アクセス手段の4要件）、第3項（投票フォーム、白票、送信前の暗号化と検査人側での復号、受理の表示）、第4項（識別子）、第5項（支援技術との互換性）、第6項（セキュリティ要件と基準、監視、サーバーの物理的保護、支援の提供）、第8項（2つのデータベースと5つの例外、保護されたデータベースの定義）、第9項(a)から(r)まで（監査ログ）、第10項（保存期間）、第12項（電子投票材料の送付）、第14項（ハイブリッド投票）を確認した。確認日は2026年9月15日。（2026年9月確認）
- *2 参考：英国法令データベース「The Code of Practice (Electronic and Workplace Balloting for Statutory Trade Union Ballots) Order 2026」（SI 2026 No. 880）（https://www.legislation.gov.uk/uksi/2026/880/made）。実務規範の効力発生日に関する一次情報として。2026年7月28日に制定され7月29日に議会へ提出されたこと、第2条が実務規範の効力発生日を2026年8月25日と定めたこと、規範の草案が2026年6月22日に両院へ提出され庶民院が7月15日、貴族院が7月22日に決議で承認したこと、および第3条の経過規定（効力発生日前に検査人が選任された投票などには適用しない旨）を確認した。確認日は2026年9月15日。（2026年9月確認）
- *3 参考：英国ビジネス・貿易省「Code of Practice on Electronic and Workplace Balloting for Statutory Trade Union Ballots」（2026年8月・45ページ）（https://www.gov.uk/government/publications/electronic-and-workplace-balloting-code-of-practice）。実務規範の本文（PDF）として。データベースの分離はデータベースの区分で達成でき独立したサーバーまでは求められない旨、暗号化を最低でもAES256の水準で行うべき旨、投票の受理を示すメッセージに投票内容を示してはならずメール等で別途の確認を送ってもならない旨、共有の受信箱や共有の携帯番号を避ける理由、最新のウェブアクセシビリティ指針に沿い端末やブラウザを選ばない作りにすべき旨、投票前のシステム検査と記録の保持、完全および増分バックアップを保護された形で保管する旨、定期的な侵入検査の検討、ならびに英国一般データ保護規則の遵守に関する記述を確認した。確認日は2026年9月15日。（2026年9月確認）
- *4 参考：英国法令データベース「Trade Union and Labour Relations (Consolidation) Act 1992」第203条（実務規範の発行）（https://www.legislation.gov.uk/ukpga/1992/52/section/203）。実務規範の位置づけの一次情報として。第1項（労使関係の向上、または組合による投票や選挙の実施に関して望ましいと考える慣行の促進を目的として、適切と考える実務上の手引きを含む実務規範を発することができる旨）および第2項（随時の改訂と再発行）を確認した。確認日は2026年9月15日。（2026年9月確認）
