不正アクセスに関する論点を想像してみる

警察側
管理者によってアクセス制御されている、つまり通常の方法
ではアクセス不可能な個人情報ファイルにCGIの脆弱性を
使うことにより、アクセス制御を回避してアクセスしたのは
不正アクセスにあたる

弁護側
CGIの脆弱性といっても通常URLの一部と認識される
CGIの引数にファイル名を入れただけで全てのファイルに
アクセス可能な状態だった
つまりアクセス制御されていたとは言い難いので
不正アクセスにはあたらない

おそらくこんな感じか