カナダにおける合法的アクセスは長らく通信事業者やインターネット企業と結びつけられてきた。加入者情報の提供、メタデータの保持、政府が義務付ける監視機能の導入に関するルールである。しかし、法案C-22に関する上院公聴会が始まると、政府当局者はその範囲がはるかに広くなる可能性を示唆した。法学教授マイケル・ガイストの分析によれば、当局者はBill C-22 lawful access Canadaの権限がゲーミングプラットフォーム、保育園、AIサービスにまで及ぶ可能性があると示した。

これは公の議論における注目すべき変化であり、注意深く検討する価値がある。本記事はガイストの報道の要約と視点に基づいているため、確認できない法案の詳細ではなく、当局者が報じられた通りに述べたことに焦点を当てている。

法案C-22が企業に求めるもの

法案C-22は「合法的アクセス法」として知られ、上院に提出されている。法案の公的な説明によれば、その目的は電子サービスプロバイダーが情報にアクセスする権限の行使を容易にできるようにすることにある。実務的には、合法的アクセスの枠組みは伝統的に次の3種類の義務を対象としてきた。

  • 法律上求められた場合に加入者情報を開示すること。
  • メタデータ、つまり通信の内容ではなく通信に関するデータを保持すること。
  • 当局が監視を実行できるようにする機能を導入または構築すること。

政府自身による法案の説明では、サービスプロバイダーに個人のウェブ閲覧履歴の保持を義務付ける規則を明示的に禁止していると記されている。これは意味のある制限だが、メタデータの保持と技術的能力の要件は、誰が対象となるか、また規則がどのように書かれるかによって、依然として重要であり得る。

どのサービスが合法的アクセスの対象になり得るか

公聴会での要点は範囲についてである。当局者は、権限が通信事業者やISPを超えて、ゲーミングプラットフォーム、保育園、AIサービスにも適用され得ると述べたと報じられている。それぞれは非常に異なる種類の事業である。

  • ゲーミングプラットフォームはしばしばチャット、音声、フレンドリスト、アカウントデータを組み合わせており、その多くは若いユーザーによるものである。
  • 保育園は通常、電子サービスプロバイダーとは考えられていないが、多くが保護者との連絡にアプリやシステムを使用している。
  • AIサービスはプロンプト、アカウント活動、利用パターンの記録を保持している場合がある。

懸念は特定のカテゴリーよりも原則にある。対象となるプロバイダーの定義がそうしたサービスを含むほど広ければ、これまで通信インフラの一部とは考えたこともない多くの組織が、保持と能力に関する義務を負う可能性がある。小規模な組織は、何を求められているのかを理解するのに苦労するかもしれない。

より広範なメタデータ保持がユーザーのプライバシーにとって意味すること

メタデータは無害に聞こえるかもしれないが、誰と、いつ、どのくらいの頻度で、どこから話しているかを明らかにし得る。より多くのサービスにわたって収集されれば、日常生活の詳細な像を構築できる。より長期間、あるいはより広範なプラットフォームにわたって保持されることは、存在し、要求され、漏洩し、あるいは悪用され得る機微な情報の量を増やす。

セキュリティの側面もある。政府のアクセスを可能にするために構築されたシステムは、防御しなければならない別のシステムでもある。プライバシー団体や法案C-22に関する分析を提出した研究者を含む合法的アクセス提案の批判者は、暗号化と監視の拡大について懸念を提起してきた。支持者は、捜査当局がデジタル世界の犯罪に対処するために現代的なツールを必要としていると主張する。双方の立場が、今上院を通過しつつある議論の一部である。

この緊張はカナダ特有のものではない。デジタルアイデンティティとデータ収集をめぐる議論は他の地域でも展開されており、EUデジタルIDウォレットが本当に任意なのか義務なのかという問題や、英国人の60%が英国のデジタルID計画における監視を恐れていることを示す世論データなどがある。共通する糸は信頼である。どれだけのデータが収集され、誰が保有し、誰がそれにアクセスできるのかということである。

これがあなたにとって意味すること

カナダに住んでいる場合、実際の影響は法案の最終的な文言、それに続く規則、そして最終的にどのサービスが対象となるかによって決まる。今のところ、ゲーム、AIツール、子どものアプリの使い方に何も変わったことはない。しかし当局者のコメントは、あなたが毎日使うサービスが合法的アクセスの枠組みの一部になり得ることを示唆している。

限界について現実的であることも価値がある。VPNはローカルネットワークやインターネットプロバイダーからあなたのトラフィックを保護できるが、サービスがあなたのアカウントと活動について保持するデータの保持を止めることはできない。プラットフォームがメタデータ自体を保持することを義務付けられている場合、その義務はあなたがどのように接続するかに関係なく適用される。

ユーザーが現実的にできること

  • プライバシーポリシーを読む：ゲーミング、AI、育児アプリについて、どのデータがどのくらいの期間保持されるかに注意を払う。
  • デフォルトで共有を減らす。プロフィール情報を最小限にし、AIツールに機微な詳細を入れないようにする。
  • 強力なアカウントセキュリティを使う。固有のパスワードと二要素認証を含め、保持されたデータはそれを保護するアカウントと同じだけしか安全でないからである。
  • 質問する。保育園やクラブがアプリを使っているなら、どのデータを収集し、どこに保存しているかを尋ねる。
  • プロセスを追う。上院公聴会、提出意見、修正は法案の範囲を変え得る。パブリックコメントと代表者への連絡が、それに影響を与える最も直接的な方法である。

議論を追う

カナダにおける法案C-22の合法的アクセスをめぐる議論はまだ進行中であり、当局者が説明した範囲は上院の審議が進むにつれて狭められ、明確化され、あるいは確認されるかもしれない。修正と「電子サービスプロバイダー」の定義方法に注目し、上記の記事で扱ったEUや英国など海外の類似の監視・デジタルアイデンティティ議論と比較してほしい。情報を得続けることが、会話に参加する第一歩である。