Lovlig tilgang i Canada har lenge vært knyttet til telekom- og internettleverandører: reglene for å utlevere abonnentinformasjon, oppbevare metadata og installere statlig pålagte overvåkingsfunksjoner. Men da høringen i Senatet om lovforslag C-22 startet, antydet regjeringstjenestemenn at rekkevidden kan være mye bredere. Ifølge analysen til jussprofessor Michael Geist indikerte tjenestemennene at myndighetene etter Bill C-22 lawful access Canada kan strekke seg til spillplattformer, barnehager og KI-tjenester.

Dette er et betydelig skifte i den offentlige samtalen, og det fortjener en grundig gjennomgang. Dette innlegget er basert på sammendraget og vinklingen i Geists reportasje, så det fokuserer på hva tjenestemennene etter sigende sa, snarere enn på detaljer i lovforslaget vi ikke kan bekrefte.

Hva lovforslag C-22 vil kreve av selskaper

Lovforslag C-22, kjent som Lawful Access Act, ligger til behandling i Senatet. Offentlige beskrivelser av lovforslaget sier at formålet er å sikre at leverandører av elektroniske tjenester kan legge til rette for at myndighetene kan utøve sin rett til å få tilgang til informasjon. I praksis har rammeverk for lovlig tilgang tradisjonelt omfattet tre typer forpliktelser:

  • Å utlevere abonnentinformasjon når det kreves ved lov.
  • Å oppbevare metadata, altså data om kommunikasjon snarere enn innholdet i den.
  • Å installere eller bygge funksjoner som lar myndighetene gjennomføre overvåking.

Regjeringens egen beskrivelse av lovforslaget påpeker at det uttrykkelig forbyr forskrifter som krever at tjenesteleverandører oppbevarer en persons nettleserhistorikk. Det er en viktig begrensning, men krav om metadataoppbevaring og teknisk kapasitet kan fortsatt være betydelige, avhengig av hvem som omfattes og hvordan reglene er utformet.

Hvilke tjenester som kan omfattes av lovlig tilgang

Hovedpoenget fra høringen handler om omfang. Tjenestemennene skal ha sagt at fullmaktene kan gjelde utover telekom- og internettleverandører, og omfatte spillplattformer, barnehager og KI-tjenester. Hver av disse er svært forskjellige typer virksomheter:

  • Spillplattformer kombinerer ofte chat, tale, vennelister og kontodata, mye av det fra unge brukere.
  • Barnehager blir vanligvis ikke sett på som leverandører av elektroniske tjenester, men mange bruker apper og systemer for å kommunisere med foreldre.
  • KI-tjenester kan inneholde registreringer av ledetekster, kontaktivitet og bruksmønstre.

Bekymringen handler mindre om en enkelt kategori og mer om prinsippet. Hvis definisjonen av en omfattet leverandør er bred nok til å inkludere slike tjenester, kan mange organisasjoner som aldri har tenkt på seg selv som en del av kommunikasjonsinfrastrukturen, møte forpliktelser knyttet til oppbevaring og kapasitet. Mindre organisasjoner kan få problemer med å forstå hva som forventes av dem.

Hva bredere metadataoppbevaring betyr for personvernet

Metadata kan høres harmløst ut, men det kan avsløre hvem du snakker med, når, hvor ofte og fra hvor. Samlet inn på tvers av flere tjenester kan det bygge et detaljert bilde av hverdagen. Å oppbevare det lenger, eller på tvers av et bredere spekter av plattformer, øker mengden sensitiv informasjon som finnes og som kan bli etterspurt, lekket eller misbrukt.

Det finnes også et sikkerhetsaspekt. Ethvert system som bygges for å muliggjøre myndighetenes tilgang, er også et system som må forsvares. Kritikere av forslag om lovlig tilgang, inkludert personvernorganisasjoner og forskere som har sendt inn analyser om lovforslag C-22, har reist bekymringer om kryptering og utvidet overvåking. Tilhengere argumenterer for at etterforskere trenger moderne verktøy for å håndtere kriminalitet i en digital verden. Begge standpunkter er en del av debatten som nå går gjennom Senatet.

Denne spenningen er ikke unik for Canada. Debatter om digital identitet og datainnsamling foregår også andre steder, inkludert spørsmålet om EU Digital ID Wallet faktisk er frivillig eller obligatorisk, og meningsmålingsdata som viser at 60 % av briter frykter overvåking i Storbritannias plan for digital ID. Den felles tråden er tillit: hvor mye data som samles inn, hvem som har det, og hvem som kan få tilgang til det.

Hva dette betyr for deg

Hvis du bor i Canada, avhenger den praktiske effekten av den endelige teksten i lovforslaget, forskriftene som følger, og hvilke tjenester som til slutt omfattes. Foreløpig har ingenting endret seg i hvordan du bruker spill, KI-verktøy eller barneapper. Men tjenestemennenes kommentarer tyder på at tjenester du bruker hver dag, kan bli en del av et rammeverk for lovlig tilgang.

Det er også verdt å være realistisk om begrensningene. En VPN kan skjerme trafikken din fra ditt lokale nettverk eller internettleverandør, men den kan ikke hindre en tjeneste i å oppbevare dataene den har om kontoen og aktiviteten din. Hvis en plattform selv er pålagt å oppbevare metadata, gjelder den forpliktelsen uavhengig av hvordan du kobler til.

Hva brukere realistisk sett kan gjøre med det

  • Les personvernerklæringer for spill-, KI- og barnehageapper, og legg merke til hvilke data som oppbevares og hvor lenge.
  • Del mindre som standard. Bruk minimal profilinformasjon og unngå å legge sensitive detaljer inn i KI-verktøy.
  • Bruk sterk kontosikkerhet, inkludert unike passord og tofaktorautentisering, siden oppbevarte data bare er så trygge som kontoen som beskytter dem.
  • Still spørsmål. Hvis barnehagen eller klubben din bruker en app, spør hvilke data den samler inn og hvor de lagres.
  • Følg prosessen. Høringer i Senatet, innspill og endringsforslag kan endre et lovforslags omfang. Offentlige kommentarer og kontakt med representantene dine er den mest direkte måten å påvirke det på.

Følg debatten

Diskusjonen om lovlig tilgang etter lovforslag C-22 i Canada er fortsatt i utvikling, og omfanget tjenestemennene beskrev, kan bli innsnevret, avklart eller bekreftet etter hvert som Senatet går videre. Følg med på endringsforslag og på hvordan «leverandør av elektroniske tjenester» defineres, og sammenlign det med lignende debatter om overvåking og digital identitet i utlandet, slik som de i EU og Storbritannia som er omtalt i artiklene ovenfor. Å holde seg informert er det første skrittet for å delta i samtalen.