欧州連合は今回もまた、電子プライバシー規則に対する一時的な適用除外を延長した。これは、メッセージングプラットフォームが児童性的虐待資料（CSAM）の有無を確認するためにプライベート通信をスキャンすることを、機密保護規定に抵触することなく合法化する法的仕組みである。表面上、これは日常的な事務処理のように見える。しかし実際には、クライアントサイドスキャンという、プライバシー擁護派がSignalやWhatsAppなどのアプリを保護するエンドツーエンド暗号化を静かに解体する恐れがあると警告する手法の法的基盤を存続させるものである。何が変わり、何が変わらなかったのかを理解することは、欧州またはその他の地域で暗号化メッセージングに依存しているすべての人にとって重要である。

電子プライバシー延長が実際に変えるもの

電子プライバシー指令は通常、通信の機密性を要求しており、プラットフォームは特定の法的例外がない限り、プライベートメッセージの内容を検査することはできない。2021年以来、EUは企業がCSAMの有無を確認するためにメッセージや画像を自主的にスキャンすることを認める一時的な適用除外（暫定的な特例措置）を繰り返し付与してきた。この適用除外は恒久的なものとなることを意図されたものではなかったが、最終的な立法枠組みに置き換えられることなく、更新が繰り返されている。

このパターンは新しいものではない。欧州議会は今年初め、チャットコントロール1.0を4月の失効後も延長し、それが再び失効した際には、議員らは7月の予想外の投票でチャットコントロール1.0を復活させるという形で急遽復活させた。7月9日に可決された最新の更新は、賛成票による明確な決定ではなく、反対派が阻止するのに十分な支持を集められなかったために、結果的にスキャン体制を継続させるものとなった。この出来事の詳細は、EU議会が7月9日にチャットコントロールスキャン法を更新したという記事で詳しく報じている。

今回の電子プライバシー延長も同じ筋書きをたどっている。手続き上のもつれの中で可決された暫定措置であり、恒久的な決定を回避しつつ、スキャンの扉を開いたままにしている。批判派は、この方法によりEUは大規模なメッセージスキャンが基本的なプライバシー権と両立するかどうかについての完全な公開討論を回避できると主張している。

クライアントサイドスキャンがエンドツーエンド暗号化を破壊する仕組み

政策論争で見失われがちな技術的詳細は、クライアントサイドスキャンが具体的にどのように機能し、暗号化自体は技術的に無傷のままであっても、なぜ暗号化を損なうのかという点である。

SignalやWhatsAppが使用するエンドツーエンド暗号化は、送信者と受信者のみがメッセージを読めることを保証する。アプリ提供者でさえ、転送中のコンテンツを見ることはできない。クライアントサイドスキャンは、暗号化が行われる前、ユーザーのデバイス上に直接分析ステップを挿入することでこれを変える。すべての写真、ファイル、メッセージは、暗号化でロックされて送信される前に、データベースまたはアルゴリズムと照合される。

暗号化自体は暗号学的な意味で破壊されるわけではない。しかし、暗号化が提供することになっているプライバシー保証、すなわち第三者があなたの通信を検査できないという保証は、打ち負かされる。デバイスがコンテンツを送信前にスキャンするならば、第三者（スキャンシステム、ひいてはそれを管理する者）は、その後のデータの扱いに関係なく、実質的にあなたのプライベート通信を視認できることになる。これがセキュリティ研究者、メッセージングプロバイダー、デジタル権利団体によって提起される中核的な異議である。クライアントサイドスキャンはエンドツーエンド暗号化と平和的に共存するのではなく、内部から空洞化させるのである。

チャットコントロール2.0とEUのCSAMスキャン計画に関する解説では、この提案がどのように進化してきたか、そしてメッセージングプロバイダーがなぜ義務的なスキャン要件にこれほど強く反発してきたかを説明している。

VPNがデバイス上のスキャンを防げない理由

これは公開討論でしばしば混乱する点なので、はっきり述べておく価値がある。VPNはクライアントサイドスキャンを防ぐことは何もしない。VPNはデバイスとリモートサーバー間のインターネットトラフィックを暗号化し、ネットワークレベルの監視、インターネットプロバイダー、公共Wi-Fiでの盗聴から接続を保護する。VPNは、そのトラフィックが送信される前にデバイス上で何が起こるかについては、視認性も制御も持たない。

クライアントサイドスキャンは、メッセージが暗号化されて送信される前に、電話やコンピューター上でローカルに実行される。VPNはそのプロセスの完全に下流で動作する。アプリが写真を送信する前にスキャンすることを要求されている場合、いかに強力な暗号化や厳格なノーログポリシーを持つVPNでも、そのスキャンに介入することはできない。これは、プライバシー意識の高いすべてのユーザーが理解すべき基本的なアーキテクチャ上の区別である。VPNは転送中のデータを保護するのであって、作成時点のデータを保護するのではない。

チャットコントロール2.0論争の次の展開

スキャンを許可するだけでなく義務化するという正式な立法努力である、より広範なチャットコントロール2.0提案は、依然として未解決のままである。電子プライバシーの各延長は、EUが法律によってプラットフォームに暗号化メッセージのスキャンを義務付けるかどうかという根本的な問題を解決することなく、時間を稼いでいる。メッセージングプロバイダー、セキュリティ研究者、市民自由団体は、義務的なスキャン要件は、世界的なアプリがしばしば同じアーキテクチャをどこでも適用するため、欧州の国境をはるかに超えた暗号化通信に影響を与える前例を設定することになると警告し続けている。

立法のタイムライン全体像については、7月9日のチャットコントロール更新後のユーザーが今できることに関する記事で、この状況の行方を懸念する人々が利用できる実際的な手順を詳しく説明している。

これがあなたにとって意味すること

Signal、WhatsApp、またはEU内の暗号化メッセージングアプリを使用している場合、日常的な使用感にはまだ何も変化はない。クライアントサイドスキャンは現在必須ではない。しかし、その法的基盤は解決されることなく延長され続けており、その可能性は依然として残っている。ユーザーは、暗号化の強度だけでは、暗号化の前にスキャンが挿入された場合にプライバシーを保証できないこと、そして一度その保証が損なわれた場合、VPNやファイアウォール、ネットワークツールはその代替にはなり得ないことを理解すべきである。

実践的な要点

この問題は解決済みだと決めつけず、立法のタイムラインについて最新情報を把握すること。これらの延長は静かに、繰り返し行われるからだ。VPNなどのネットワークレベルのプライバシーツールと、エンドツーエンド暗号化などのデバイス上の保護の違いを理解すること。これらは異なる問題を解決するものである。使用しているメッセージングプロバイダーの声明を直接フォローすること。Signalのような企業は歴史的に自社の暗号化モデルへの脅威について声を上げてきたからだ。そして意見を述べたいなら、EU市民は欧州議会の代表者に連絡できる。市民の圧力がこれらの提案の進展速度と範囲をこれまで形作ってきたからだ。

FAQ（各質問と回答を翻訳）： Q1: EUの電子プライバシー延長は何をするものですか？ A1: メッセージングプラットフォームが電子プライバシー指令の機密要件に違反することなく、児童性的虐待資料の有無を確認するためにプライベート通信をスキャンできるようにする一時的な適用除外を延長するものです。 Q2: なぜこの延長は物議を醸しているのですか？ A2: プライバシー擁護派は、SignalやWhatsAppなどのアプリを保護するエンドツーエンド暗号化を損なう可能性のある手法であるクライアントサイドスキャンの法的基盤を存続させると警告しています。 Q3: クライアントサイドスキャンはエンドツーエンド暗号化にどのような影響を与えますか？ A3: クライアントサイドスキャンは、暗号化の前にユーザーのデバイス上で分析ステップを挿入するため、写真、ファイル、メッセージは暗号化でロックされる前にチェックされます。暗号化自体は技術的に無傷のままですが。 Q4: EUがこの適用除外を延長するのはこれが初めてですか？ A4: いいえ、2021年以降、EUは一時的な適用除外を繰り返し付与しており、チャットコントロール1.0の以前の延長も、最新の7月9日の更新前に発生していました。 Q5: 7月9日の最新の更新はどのように可決されましたか？ A5: 賛成票による明確な決定ではなく、反対派が阻止するのに十分な支持を集められなかったため、結果的にスキャン体制を継続させるものとなりました。 ---END---