Zgodny z prawem dostęp w Kanadzie od dawna wiązał się z firmami telekomunikacyjnymi i internetowymi: z zasadami przekazywania danych abonentów, przechowywania metadanych i instalowania wymaganych przez rząd możliwości nadzoru. Jednak gdy rozpoczęło się przesłuchanie senackie w sprawie ustawy C-22, urzędnicy rządowi zasugerowali, że zasięg może być znacznie szerszy. Według analizy prof. prawa Michaela Geista urzędnicy wskazali, że uprawnienia wynikające z ustawy C-22 dotyczącej zgodnego z prawem dostępu w Kanadzie mogą rozciągać się na platformy gamingowe, żłobki i usługi AI.

To wyraźna zmiana w debacie publicznej, która zasługuje na uważne przyjrzenie się. Ten artykuł opiera się na podsumowaniu i ujęciu reportażu Geista, dlatego koncentruje się na tym, co urzędnicy rzekomo powiedzieli, a nie na szczegółach ustawy, których nie możemy potwierdzić.

Czego ustawa C-22 wymagałaby od firm

Ustawa C-22, znana jako Lawful Access Act (ustawa o zgodnym z prawem dostępie), znajduje się przed Senatem. Publiczne opisy ustawy mówią, że jej celem jest zapewnienie, by dostawcy usług elektronicznych mogli ułatwiać wykonywanie uprawnień do dostępu do informacji. W praktyce ramy zgodnego z prawem dostępu tradycyjnie obejmowały trzy rodzaje obowiązków:

  • Ujawnianie danych abonentów, gdy wymaga tego prawo.
  • Przechowywanie metadanych, czyli danych o komunikacji, a nie jej treści.
  • Instalowanie lub budowanie możliwości, które pozwalają organom prowadzić nadzór.

Własny opis ustawy sporządzony przez rząd wskazuje, że wyraźnie zakazuje ona przepisów wymagających od dostawców usług przechowywania historii przeglądania stron internetowych danej osoby. To istotne ograniczenie, ale wymogi dotyczące przechowywania metadanych i możliwości technicznych nadal mogą być znaczące, w zależności od tego, kogo obejmują i jak sformułowane są przepisy.

Które usługi mogłyby podlegać zgodnemu z prawem dostępowi

Kluczowa kwestia z przesłuchania dotyczy zakresu. Urzędnicy mieli powiedzieć, że uprawnienia mogą mieć zastosowanie poza telekomunikacją i dostawcami usług internetowych, obejmując platformy gamingowe, żłobki i usługi AI. Każda z tych kategorii to zupełnie inny rodzaj działalności:

  • Platformy gamingowe często łączą czat, komunikację głosową, listy znajomych i dane konta, w dużej mierze pochodzące od młodych użytkowników.
  • Żłobki zwykle nie są postrzegane jako dostawcy usług elektronicznych, jednak wiele z nich korzysta z aplikacji i systemów do komunikacji z rodzicami.
  • Usługi AI mogą przechowywać zapisy poleceń, aktywności na koncie i wzorców użytkowania.

Zastrzeżenia dotyczą w mniejszym stopniu jakiejkolwiek pojedynczej kategorii, a bardziej samej zasady. Jeśli definicja objętego dostawcy jest wystarczająco szeroka, by obejmować takie usługi, wiele organizacji, które nigdy nie uważały się za część infrastruktury komunikacyjnej, może stanąć wobec obowiązków przechowywania danych i zapewniania możliwości technicznych. Mniejsze organizacje mogą mieć trudności ze zrozumieniem, czego się od nich oczekuje.

Co szersze przechowywanie metadanych oznacza dla prywatności użytkowników

Metadane mogą brzmieć nieszkodliwie, ale mogą ujawnić, z kim rozmawiasz, kiedy, jak często i skąd. Gromadzone w większej liczbie usług mogą tworzyć szczegółowy obraz codziennego życia. Przechowywanie ich dłużej lub na szerszym zakresie platform zwiększa ilość wrażliwych informacji, które istnieją i mogą zostać zażądane, ujawnione lub niewłaściwie wykorzystane.

Istnieje też wymiar bezpieczeństwa. Każdy system zbudowany, by umożliwić rządowi dostęp, jest kolejnym systemem, który trzeba chronić. Krytycy propozycji zgodnego z prawem dostępu, w tym grupy zajmujące się prywatnością i badacze, którzy złożyli analizy dotyczące ustawy C-22, wyrazili obawy dotyczące szyfrowania i rozszerzonego nadzoru. Zwolennicy argumentują, że śledczy potrzebują nowoczesnych narzędzi do walki z przestępczością w cyfrowym świecie. Oba stanowiska są częścią debaty, która obecnie przechodzi przez Senat.

To napięcie nie jest wyłączne dla Kanady. Debaty o tożsamości cyfrowej i gromadzeniu danych toczą się również gdzie indziej, w tym kwestia, czy unijny portfel cyfrowej tożsamości jest naprawdę dobrowolny, czy obowiązkowy, oraz dane opinii publicznej pokazujące, że 60% Brytyjczyków obawia się nadzoru w brytyjskim planie cyfrowej tożsamości. Wspólnym wątkiem jest zaufanie: ile danych jest gromadzonych, kto je posiada i kto może do nich dotrzeć.

Co to oznacza dla Ciebie

Jeśli mieszkasz w Kanadzie, praktyczny skutek zależy od ostatecznego tekstu ustawy, przepisów, które po niej nastąpią, oraz od tego, które usługi ostatecznie zostaną objęte. Na razie nic nie zmieniło się w sposobie korzystania z gier, narzędzi AI czy aplikacji dla dzieci. Jednak komentarze urzędników sugerują, że usługi, z których korzystasz codziennie, mogą stać się częścią ram zgodnego z prawem dostępu.

Warto też zachować realizm co do ograniczeń. VPN może osłonić Twój ruch przed lokalną siecią lub dostawcą internetu, ale nie może powstrzymać usługi przed przechowywaniem danych, które posiada o Twoim koncie i aktywności. Jeśli platforma jest zobowiązana do samodzielnego przechowywania metadanych, obowiązek ten ma zastosowanie niezależnie od tego, jak się łączysz.

Co użytkownicy mogą realistycznie zrobić w tej sprawie

  • Czytaj polityki prywatności aplikacji gamingowych, AI i opieki nad dziećmi, zwracając uwagę na to, jakie dane są przechowywane i jak długo.
  • Udostępniaj mniej domyślnie. Korzystaj z minimalnych informacji w profilu i unikaj umieszczania wrażliwych szczegółów w narzędziach AI.
  • Stosuj silne zabezpieczenia konta, w tym unikalne hasła i uwierzytelnianie dwuskładnikowe, ponieważ przechowywane dane są tak bezpieczne, jak konto, które je chroni.
  • Zadawaj pytania. Jeśli Twój żłobek lub klub korzysta z aplikacji, zapytaj, jakie dane gromadzi i gdzie są przechowywane.
  • Śledź proces. Przesłuchania senackie, wystąpienia i poprawki mogą zmienić zakres ustawy. Publiczne komentarze i kontakt z przedstawicielami to najbardziej bezpośredni sposób wywierania wpływu.

Śledź debatę

Dyskusja o zgodnym z prawem dostępie w ramach ustawy C-22 w Kanadzie wciąż się rozwija, a zakres opisany przez urzędników może zostać zawężony, doprecyzowany lub potwierdzony w miarę postępowania Senatu. Uważaj na poprawki i na to, jak zdefiniowany jest „dostawca usług elektronicznych”, i porównuj to z podobnymi debatami o nadzorze i tożsamości cyfrowej za granicą, takimi jak te w UE i Wielkiej Brytanii omówione w powyższych artykułach. Bycie na bieżąco to pierwszy krok do wzięcia udziału w rozmowie.