Het in Toronto gevestigde Psiphon, een anticensuurtool die door ongeveer 20 miljoen mensen in gecensureerde en hoogrisicogebieden wordt gebruikt, zegt dat het Canadese wetsvoorstel C-22 het bedrijf ertoe kan dwingen zijn privacybescherming te verzwakken of het land te verlaten. De waarschuwing van Psiphon over wetsvoorstel C-22 in Canada is opmerkelijk omdat deze afkomstig is van een mensenrechtentool, niet van een commerciële dienst die om abonnees concurreert. Ze toont ook hoe wettelijke toegangsvereisten veel verder kunnen reiken dan de bedrijven waarop ze zijn gericht.

Wat wetsvoorstel C-22 zou vereisen van VPN- en omzeilingsdiensten

Wetsvoorstel C-22 is Canada's Lawful Access Act. In brede zin hebben wetten voor wettelijke toegang tot doel het voor autoriteiten gemakkelijker te maken gegevens te verkrijgen van communicatie- en onlinediensten. De zorg die Psiphon uit, is dat het wetsvoorstel zoals het is opgesteld de privacybescherming kan verzwakken waarvan omzeilingstools afhankelijk zijn.

De details van hoe de wet op specifieke diensten van toepassing zou zijn, doen ertoe, en lezers moeten de definitieve tekst als gezaghebbend beschouwen zodra deze is vastgesteld. Onderzoekers van Citizen Lab, verbonden aan de Universiteit van Toronto, hebben het wetsvoorstel al onderzocht. Hun inzending, getiteld "(Un)forced Errors," wordt behandeld in ons rapport over hoe Citizen Lab encryptierisico's in Canada's wetsvoorstel C-22 signaleerde. De kernboodschap is dat vereisten die zijn opgesteld om toegang mogelijk te maken zwakke plekken kunnen creëren in de systemen die bedoeld zijn om mensen te beschermen.

Waarom Psiphon zegt dat het Canada mogelijk moet verlaten

Psiphon helpt mensen die onder onderdrukkende regimes leven online censuur te omzeilen. De gebruikers bevinden zich vaak op plaatsen waar identificatie ernstige gevolgen kan hebben. Volgens het bedrijf zou het, als wetsvoorstel C-22 in zijn huidige vorm wordt aangenomen, ertoe kunnen worden gedwongen die beschermingen te verzwakken of Canada te verlaten.

Dat is een moeilijke keuze voor een in Toronto gebouwde tool. Een dienst die is ontworpen om gebruikers tegen monitoring te beschermen kan niet gemakkelijk mechanismen toevoegen die monitoring mogelijk maken zonder het doel ervan te ondermijnen. Activiteiten buiten Canada verplaatsen zou een manier zijn om de bescherming intact te houden, maar het zou ook betekenen dat een in Canada gebouwde mensenrechtentool zijn thuisland verlaat.

Psiphon staat niet alleen in het uiten van zorgen. Berichtgeving over het verhaal merkt op dat andere privacygerichte diensten zich ook tegen het wetsvoorstel hebben uitgesproken.

Wat een vertrek van een aanbieder betekent voor VPN-gebruikers overal

Het is verleidelijk dit als een puur Canadese kwestie te lezen. Dat is het niet. Verschillende punten springen in het oog voor gebruikers van VPN's en versleutelde diensten wereldwijd:

  • Rechtsbevoegdheid doet ertoe. Waar een aanbieder juridisch is gevestigd, bepaalt aan welke eisen hij kan worden blootgesteld. Een wetswijziging kan een aanbieder dwingen te verhuizen of zijn ontwerp aan te passen.
  • Verzwakte bescherming treft iedereen. Een tool die is gebouwd voor activisten in gecensureerde landen vervult dezelfde technische functie als een tool die voor alledaagse privacy wordt gebruikt. Als het ontwerp voor één groep wordt gecompromitteerd, is het voor iedereen gecompromitteerd.
  • Vertrekken zijn een signaal, geen garantie. Een bedrijf dat zegt te kunnen vertrekken, is een waarschuwing over de wet zoals opgesteld. Wetsvoorstellen kunnen veranderen voordat ze worden aangenomen, en de uitkomst staat niet vast.

Voor mensen die op omzeilingstools vertrouwen om informatie te bereiken of veilig te communiceren, is een aanbieder die een land verlaat minder belangrijk dan een aanbieder die zijn bescherming nergens sterk kan houden.

Wat dit voor u betekent

Als u in Canada woont en een VPN of versleutelde berichten gebruikt, verandert er vandaag niets. Wetsvoorstel C-22 is een voorstel, en het debat over de tekst ervan is gaande. Maar de waarschuwing is een nuttige aanleiding om na te denken over hoe uw tools zijn gebouwd en waar hun beheerders zijn gevestigd.

Als u niet in Canada woont, doet het verhaal er nog steeds toe. Voorstellen voor wettelijke toegang worden doorgaans in veel landen tegelijk bediscussieerd, en argumenten die op de ene plaats worden aangevoerd, worden vaak op een andere plaats hergebruikt. Het technische punt dat toegangsmechanismen zwakke plekken kunnen worden, geldt breed.

Geen enkele tool is een volledig antwoord. Kies diensten die transparant zijn over hun juridische rechtsbevoegdheid en hoe ze met gebruikersgegevens omgaan, en houd uw apps up-to-date.

Hoe Canadezen het debat over wettelijke toegang kunnen volgen en erop kunnen reageren

  • Volg de voortgang van het wetsvoorstel. Let op amendementen, want de definitieve formulering bepaalt hoe diensten worden getroffen.
  • Lees primaire analyses. Technische inzendingen zijn informatiever dan krantenkoppen.
  • Neem contact op met uw vertegenwoordiger. Canadezen kunnen hun mening delen met hun parlementslid over beleid voor wettelijke toegang en encryptie.
  • Beoordeel uw eigen opzet. Weet van welke privacytools u afhankelijk bent en waar deze zijn gevestigd.

De kern van de zaak

Het verhaal over Psiphon, wetsvoorstel C-22 en Canada's VPN is een herinnering dat privacybeleid en privacytools nauw met elkaar verbonden zijn. Een wet die voor het ene doel is geschreven, kan veranderen wat ontwikkelaars kunnen bouwen. Om te begrijpen wat er op het spel staat, blijft u het debat over wetsvoorstel C-22 volgen en leest u de technische analyse van Citizen Lab over de encryptierisico's in de Lawful Access Act in onze samenvatting van de inzending van Citizen Lab.