欧州連合の交渉担当者は、オンライン上の児童性的虐待コンテンツ（CSAM）の拡散対策を目的とした規則パッケージである、長期化していた「チャットコントロール」提案について合意に達しました。新たな合意では、メッセージングサービスが虐待コンテンツを自動スキャンすることが再び許可される一方で、クライアント側スキャンと呼ばれるより侵襲的な手法は引き続き禁止されます。この結果は、プライバシー擁護派にとっては部分的な勝利、つまり端末上での監視義務化を恐れていた人々には一定の成果だが、メッセージのスキャンそのものからEUが後退することを望んでいた人々にとっては失望と、賛否混在するものとして受け止められています。

EUチャットコントロール合意が実際に変えるもの

この合意の中核は、義務から許可への転換です。すべてのメッセージングプロバイダーにプライベートな通信のスキャンを強制するのではなく、企業が自社プラットフォーム内で既知の虐待コンテンツの検索を自主的に再開できるようにするものです。これにより、以前は失効していたスキャン許可が事実上復活し、CSAM対策の検出システムを稼働させることを選択するプロバイダーに対して、法的根拠が回復されます。

その区別は重要です。あらゆるアプリで送信されるすべてのメッセージをスキャンする義務は、ビジネスモデルやユーザーベースに関係なく、サービスに包括的な監視義務を課すことになります。対照的に、許可はその判断を個々の企業に委ねるものであり、すでに自主的な検出プログラムを実施している企業もあれば、そうでない企業もあります。

変わらなかったこと、そしてプライバシー擁護団体が最も激しく戦った詳細は、クライアント側スキャンの禁止です。その手法では、ユーザーの端末上で直接スキャンソフトウェアを実行し、メッセージが暗号化されて送信される前にチェックする必要がありました。批評家たちは長年、クライアント側スキャンは、暗号化が保護を提供できない唯一のポイント、つまりメッセージが端末を離れる前にコンテンツを検査するため、事実上、安全であるはずの通信にバックドアを作り出すものだと主張してきました。

クライアント側スキャンが真の戦場だった理由

チャットコントロールをめぐる争いは、EUがオンラインでの児童搾取と戦うべきかどうかではありませんでした。常に手法をめぐるものだったのです。サーバー側スキャンは、コンテンツが企業のサーバーに到達した後にチェックするもので、特にエンドツーエンド暗号化されていないコンテンツについては、多くのプラットフォームがすでにある程度実施している慣行です。クライアント側スキャンはまったく別物です。

端末自体で動作するため、クライアント側スキャンは、SignalやWhatsAppのようなサービスが、送信者と受信者だけが会話を読めるようにするために依存しているエンドツーエンド暗号化で保護されたメッセージにも適用されることになります。プライバシー擁護派、セキュリティ研究者、さらには一部のEU加盟国は、暗号化アプリにスキャンツールを組み込むことは、それらのアプリをそもそも信頼できるものにしているセキュリティ保証そのものを損なうと警告しました。端末上にスキャンメカニズムが存在すれば、それが本来の目的をはるかに超えて転用、悪用、拡大される可能性があるツールになりかねない、というのがその主張です。

クライアント側スキャンを禁止し続けることで、EUは暗号化メッセージングプロバイダーを、法律に対応するために暗号化を弱体化させるか、EU市場での事業運営を拒否するかという、不可能な立場に追い込むことを回避しました。サーバー側スキャンの許可は依然として議論の的ではあるものの、エンドツーエンド暗号化にとって同様の存続の脅威にはなりません。

あなたへの影響

日常的なメッセージアプリのユーザーにとって、この合意が即座に目に見える変化をもたらす可能性は低いでしょう。すでにサーバー上で虐待コンテンツをスキャンしているサービスを利用している場合、その慣行はより強固な法的基盤のもとで継続できます。エンドツーエンド暗号化を使用し、スキャン義務化に抵抗してきたアプリを利用している場合、クライアント側スキャンは合法化されなかったため、あなたの会話はこの合意前と同じように保護され続けます。

より大きなポイントは、目先の影響よりも方向性に関するものです。この合意は、EUの立法者が、最も物議を醸したスキャン手法については妥協する一方で、より侵襲性の低い検出のための法的余地を広げる意思があることを示しています。そのバランスは将来の交渉で再び変わる可能性があり、これがチャットコントロールの最終決定とは限りません。

情報を入手し、プライバシーを守る

このような規制をめぐる議論はゆっくりと進み、しばしば再検討されるため、個々のメッセージングプロバイダーが新たな許可にどのように対応するかを注視する価値があります。実用的な手順をいくつか紹介します。

  • 使用しているメッセージングアプリがデフォルトでエンドツーエンド暗号化を使用しているか確認し、それが何から保護するのかを理解する。
  • 機密性の高い会話に依存しているメッセンジャーアプリのプライバシーポリシーを確認する。スキャンの慣行はプロバイダーによって異なる。
  • このトピックに関する今後のEUの投票に注意を払う。今日の許容的なルールは、政治的压力が変われば明日義務化される可能性がある。
  • この問題が重要であれば、デジタルプライバシー関連の法律を追跡している団体やアドボカシーグループを支援する。

EUのチャットコントロール合意は、児童の安全とデジタルプライバシーとの間の真の緊張関係を反映しており、この妥協は明白な勝者を選ぶことなく両方に対処しようと試みています。現時点では、サーバー側スキャンが改めて許可される一方で、クライアント端末上の暗号化は無傷のまま維持されています。プライバシーを重視するユーザーは、この機会を、パニックに陥る理由としてではなく、自分の使うツールをよりよく理解する瞬間と捉え、チャットコントロールをめぐる議論が進展し続ける中で警戒を怠らないようにすべきです。