25年前、9月11日の同時多発テロはアメリカの法律と政策に連鎖反応を引き起こし、監視の意味を静かに再定義した。セキュリティ研究者のブルース・シュナイアーとEFFのシンディ・コーンが最近、Lawfareに最初に掲載されたエッセイで論じたように、政府のアプローチは、特定の容疑者を対象とした個別の盗聴やペンレジスター命令のような標的型監視から、ほぼすべての人に影響を及ぼす大規模な一括データ収集へと移行した。四半世紀が経った今も、この移行は大量監視とVPNをめぐる議論、そしてなぜこれほど多くの人々が暗号化とプライバシーツールをニッチな技術的関心事ではなく、基本的なデジタル衛生として扱うようになったのかを形作り続けている。

9.11はいかにして標的型監視を大量データ収集に変えたか

2001年以前、アメリカの監視法は一般的に、捜査当局が通信を収集する前に特定の対象を識別し、正当な理由を示すことを求めていた。シュナイアーとコーンのエッセイは、9.11後の法的・制度的対応がそのモデルを放棄し、一括収集を選好するに至った経緯をたどっている。つまり、まず大規模にデータを収集し、関連性は後から整理するという方式である。これは単一の法律や単一の瞬間によるものではなかった。容疑者個人だけでなく、人口全体をデータ源として扱う、政府全体にわたる漸進的な方向転換だった。

当時の正当化の根拠は緊急性と脅威の検知だった。しかし、その目的のために構築されたインフラは、差し迫った危機が過ぎ去っても消えなかった。むしろ、それは常態化した。各機関はまず収集し、後からフィルタリングするように設計されたシステムを構築し、それらのシステムは過去25年間にわたって存続し、拡大してきた。その多くは、その創設を正当化した特定の状況を超えて生き残っている。

大量監視プログラムが今日実際に収集しているもの

この移行の実際の効果は、通常の通信とメタデータ、つまり誰が誰に、いつ、しばしばどこで連絡したかの記録が、個人が不正行為の容疑をかけられていない場合でも政府のシステムに取り込まれるということである。メタデータだけでも、膨大な情報を明らかにすることができる。関係のパターン、日々のルーティン、人間関係、行動などである。このエッセイの中心的な主張は、25年を経て、このレベルの一括収集を維持する根拠はもはや成立していないというものである。対テロリズムの名の下に構築されたプログラムは、その当初の範囲をはるかに超えて拡大し、それらをチェックするための説明責任の仕組みは、収集の規模に追いついていない。

これが、VPNと監視に関する議論がしばしば展開される背景である。ここで明確にしておく価値がある。VPNはインターネットトラフィックを暗号化して経路を変更するもので、インターネットサービスプロバイダーやネットワーク上の偶発的な観察者から閲覧活動を保護することができる。これは国家レベルの一括収集プログラムを打破するために設計されたツールではなく、いかなるプライバシーツールもそのように宣伝されたり理解されたりするべきではない。しかし、だからといって暗号化ツールが無関係になるわけではない。ただ、それらが実際に何をするのか、そして何をしないのかを理解することが、かつてないほど重要になっているというだけのことである。

なぜ暗号化とVPNが抵抗の語り口の一部となったのか

過去20年間に大量監視プログラムが拡大するにつれ、暗号化は一般の人々が利用できる、数少ない具体的で個別に制御可能な対抗策の一つとなった。法的・立法上の改革は遅々として進まず、しばしば全く進まない中で、自分のトラフィックを暗号化することは、議会や裁判所を待つことなく、今日すぐにできることである。

これが、過去25年間にわたりVPN、暗号化メッセージングアプリ、セキュアブラウザがプライバシー擁護の定番となった大きな理由である。それらはシュナイアーとコーンのエッセイが描く構造的な問題、つまり法的・制度的な修正を必要とする法的・制度的な問題を解決するものではない。しかし、ネットワークレベルで個人が自身のデータ痕跡に対して意味のある程度の制御を与えるものではある。VPNは地元のISPが訪問するすべてのサイトを記録することを防ぐことができる。暗号化メッセージングは、メッセージの内容が転送中に読まれることを防ぐことができる。これらは、エッセイが批判する一括収集プログラムとは異なる層で機能するとしても、現実的で tangible な保護なのである。

大量監視の時代に個人がなお制御できること

大量監視法の大規模な改革は遅く政治的なプロセスであることを踏まえると、個人が日々実際に対処できることに焦点を当てる価値がある。デジタルフットプリントを減らすことは、完全な匿名性を達成することよりも、最も容易でささいな形態のデータ収集、つまりISPのログ記録、暗号化されていない閲覧、オンラインでの不必要な本人確認を遮断することに重点がある。

これが絶えず表面化する一つの領域が年齢確認であり、これは多くのプラットフォームで一般的になっており、普通のコンテンツにアクセスするためだけに本人確認書類や生体データを提出することをユーザーに求めることが多い。オンライン年齢確認の仕組みを理解することは、本人確認とデータ収集がどのように日常の閲覧と交差しつつあるのか、そしてどの情報を誰と共有するかについてなお選択肢があるのかを見るための有用な出発点である。

これがあなたにとって意味すること

大量監視をめぐる議論は究極的には政策と法律の問題であり、立法による監督と世論の圧力によって解決される必要がある。VPNであれその他のものであれ、いかなる個別のツールもそのような構造的な説明責任の代わりにはなれない。しかし、だからといってその間あなたが無力であるわけではない。暗号化ツールを使い、プラットフォームと共有する身元情報について選別的であり、VPNが何から守り何から守らないかの違いを理解することは、いずれも不必要な露出を減らす実践的なステップである。目標は完全な匿名性ではない。防止しようと考えなかったというだけの理由で起こる、ささいで低労力のデータ収集を最小限に抑えることである。

主なポイント

9.11が監視法を再形成してから25年、大量データ収集は依然として決着したものではなく、生きた政策議論である。大量監視とVPNはしばしば一緒に論じられるが、VPNの現実的で限定的な範囲を理解することが重要である。それは地元の観察者やISPからトラフィックを保護するものであり、国家レベルの一括収集プログラムから守るものではない。暗号化された閲覧であれ、本人確認の要求について思慮深くあることであれ、自身のデータフットプリントを減らすことは、個人が直接引ける数少ないレバーの一つであり続けている。これらのシステムがどのように機能し、その真の限界がどこにあるのかについて情報を得続けることが、今利用可能なプライバシー保護の最も実践的な形態である。