L'accesso legittimo in Canada è da tempo legato alle aziende di telecomunicazioni e Internet: le regole per la consegna delle informazioni sugli abbonati, la conservazione dei metadati e l'installazione di capacità di sorveglianza imposte dal governo. Ma mentre l'audizione al Senato sul disegno di legge C-22 prendeva avvio, i funzionari governativi hanno suggerito che la portata potrebbe essere molto più ampia. Secondo l'analisi del professore di diritto Michael Geist, i funzionari hanno indicato che i poteri di accesso legittimo in Canada previsti dal disegno di legge C-22 potrebbero estendersi alle piattaforme di gaming, agli asili nido e ai servizi di IA.

Si tratta di un cambiamento notevole nel dibattito pubblico, e merita un'attenta analisi. Questo articolo si basa sul riepilogo e sulla prospettiva del reportage di Geist, quindi si concentra su ciò che i funzionari avrebbero detto piuttosto che sui dettagli del disegno di legge che non possiamo confermare.

Cosa richiederebbe il disegno di legge C-22 alle aziende

Il disegno di legge C-22, noto come Lawful Access Act, è all'esame del Senato. Le descrizioni pubbliche del disegno di legge affermano che il suo scopo è garantire che i fornitori di servizi elettronici possano facilitare l'esercizio delle autorità per accedere alle informazioni. In termini pratici, i quadri di accesso legittimo hanno tradizionalmente coperto tre tipi di obblighi:

  • Divulgare le informazioni sugli abbonati quando legalmente richiesto.
  • Conservare i metadati, ovvero i dati relativi alle comunicazioni piuttosto che al loro contenuto.
  • Installare o sviluppare capacità che consentano alle autorità di effettuare la sorveglianza.

La descrizione del disegno di legge fornita dal governo rileva che esso vieta esplicitamente regolamenti che richiedano ai fornitori di servizi di conservare la cronologia di navigazione web di una persona. Si tratta di un limite significativo, ma gli obblighi di conservazione dei metadati e di capacità tecniche possono comunque essere rilevanti, a seconda di chi è coperto e di come sono scritte le regole.

Quali servizi potrebbero rientrare nell'accesso legittimo

Il punto chiave dell'audizione riguarda la portata. I funzionari avrebbero detto che i poteri potrebbero applicarsi al di là delle telecomunicazioni e dei fornitori di servizi Internet, estendendosi alle piattaforme di gaming, agli asili nido e ai servizi di IA. Ciascuno è un tipo di attività molto diverso:

  • Le piattaforme di gaming spesso combinano chat, voce, liste di amici e dati degli account, gran parte dei quali provenienti da utenti giovani.
  • Gli asili nido non sono tipicamente considerati fornitori di servizi elettronici, eppure molti utilizzano app e sistemi per comunicare con i genitori.
  • I servizi di IA possono conservare registrazioni di prompt, attività degli account e modelli di utilizzo.

La preoccupazione riguarda meno una singola categoria e più il principio. Se la definizione di fornitore coperto è abbastanza ampia da includere tali servizi, molte organizzazioni che non si sono mai considerate parte dell'infrastruttura delle comunicazioni potrebbero trovarsi ad affrontare obblighi di conservazione e di capacità. Le organizzazioni più piccole potrebbero avere difficoltà a comprendere cosa ci si aspetta da loro.

Cosa significa una più ampia conservazione dei metadati per la privacy degli utenti

I metadati possono sembrare innocui, ma possono rivelare con chi parli, quando, quanto spesso e da dove. Raccolti attraverso più servizi, possono costruire un quadro dettagliato della vita quotidiana. Conservarli più a lungo, o su una gamma più ampia di piattaforme, aumenta la quantità di informazioni sensibili che esistono e che potrebbero essere richieste, divulgate o utilizzate impropriamente.

C'è anche una dimensione di sicurezza. Qualsiasi sistema costruito per consentire l'accesso governativo è un altro sistema che deve essere difeso. I critici delle proposte di accesso legittimo, tra cui gruppi per la privacy e ricercatori che hanno presentato analisi sul disegno di legge C-22, hanno sollevato preoccupazioni riguardo alla crittografia e alla sorveglianza ampliata. I sostenitori sostengono che gli investigatori necessitino di strumenti moderni per affrontare la criminalità in un mondo digitale. Entrambe le posizioni fanno parte del dibattito che ora sta attraversando il Senato.

Questa tensione non è esclusiva del Canada. I dibattiti sull'identità digitale e sulla raccolta dei dati si stanno svolgendo altrove, inclusa la questione se il portafoglio di identità digitale dell'UE sia davvero volontario o obbligatorio, e i dati dell'opinione pubblica che mostrano che il 60% dei britannici teme la sorveglianza nel piano di identità digitale del Regno Unito. Il filo conduttore è la fiducia: quanti dati vengono raccolti, chi li detiene e chi può accedervi.

Cosa significa questo per te

Se vivi in Canada, l'effetto pratico dipende dal testo finale del disegno di legge, dai regolamenti che seguiranno e da quali servizi saranno eventualmente coperti. Per ora, nulla è cambiato nel modo in cui utilizzi giochi, strumenti di IA o app per bambini. Ma i commenti dei funzionari suggeriscono che i servizi che usi ogni giorno potrebbero diventare parte di un quadro di accesso legittimo.

Vale anche la pena essere realistici sui limiti. Una VPN può proteggere il tuo traffico dalla tua rete locale o dal tuo fornitore di servizi Internet, ma non può impedire a un servizio di conservare i dati che detiene sul tuo account e sulla tua attività. Se a una piattaforma viene richiesto di conservare essa stessa i metadati, tale obbligo si applica indipendentemente da come ti connetti.

Cosa possono realisticamente fare gli utenti al riguardo

  • Leggi le informative sulla privacy per le app di gaming, IA e assistenza all'infanzia, prestando attenzione a quali dati vengono conservati e per quanto tempo.
  • Condividi meno per impostazione predefinita. Usa informazioni minime nel profilo ed evita di inserire dettagli sensibili negli strumenti di IA.
  • Usa una forte sicurezza dell'account, inclusi password uniche e autenticazione a due fattori, poiché i dati conservati sono sicuri solo quanto l'account che li protegge.
  • Fai domande. Se il tuo asilo nido o club utilizza un'app, chiedi quali dati raccoglie e dove sono archiviati.
  • Segui il processo. Le audizioni al Senato, le memorie e gli emendamenti possono cambiare la portata di un disegno di legge. I commenti pubblici e il contatto con i tuoi rappresentanti sono il modo più diretto per influenzarlo.

Segui il dibattito

La discussione sull'accesso legittimo in Canada previsto dal disegno di legge C-22 è ancora in evoluzione, e la portata descritta dai funzionari potrebbe essere ridotta, chiarita o confermata man mano che il Senato procede. Tieni d'occhio gli emendamenti e come viene definito "fornitore di servizi elettronici", e confrontalo con dibattiti simili sulla sorveglianza e l'identità digitale all'estero, come quelli nell'UE e nel Regno Unito trattati negli articoli sopra. Restare informati è il primo passo per partecipare alla conversazione.