2026/03/16 6:22
カナダの法案 C‑22 は、カナダ国民への大量メタデータ監視を義務付けています。
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
Bill C‑22（Lawful Access Act）は、通信事業者および電子サービスプロバイダー（ESP）への法執行アクセスを拡大すると同時に、一部のプライバシー制限を強化します。従来のBill C‑2で広範な無証拠要求が認められていた点を置き換え、通信事業者に対しては「サービス確認」権限のみを限定的に付与します。他の加入者情報については、合理的根拠基準に基づく裁判所承認命令が必要となります。
本法ではまた、Supporting Authorized Access to Information Act（SAAIA）も導入されます。この条項はBill C‑2の多くの要件を反映しつつ、GoogleやMetaなどのESPにも適用します。ESPはデバイス・機能テストへの協力、要求の秘密保持、および「コアプロバイダー」として指定される可能性があります。コアプロバイダーは、データ抽出ツールの開発・テスト・維持管理、監視装置の設置、当局への機能通知、そして特定メタデータ（例：送信ログ）を最大1年間保持する義務があります。ただし、送信内容、ウェブ閲覧履歴、またはソーシャルメディア活動の保持を強制されることはありません—この例外はシステム的脆弱性への対処に限定されています。
監督はインテリジェンス・コミッショナーが承認した省令によって行われますが、多くの詳細は機密扱いとなっています。本法は、ブダペスト条約第二追加議定書や米国のCLOUD Actなどとの国際情報共有協力を改善することを目的としていますが、重大な市民権利懸念を提起し、通信事業者およびESPに大きなコンプライアンス負担を課す可能性があります。結果として、ユーザーの監視リスクが高まる恐れがあります。
本文
監視（52286828）
ジャク・ベーシル著、CC BY 3.0、ウィキメディア・コモンズ経由
合法的アクセスを巡る数十年にわたる闘争は、昨日「法的アクセス法」（Bill C‑22）の導入で新たな段階へと移行しました。前春、政府は国境対策法案（Bill C‑2）に合法アクセス条項を埋め込もうと試みましたが、個人情報への広範囲かつ無証拠のアクセスを許す前例のない規定が含まれていたため、即座に強い反発を招きました。これらは憲法上も土台が不安定であり、政府は最終的に別の法案で国境対策を進めつつ合法アクセスをリセットする決断をしました。
しかし合法アクセスは消え去るものではありません。Bill C‑22 は合法アクセスの主要な二点を網羅しています：
- 通信サービスプロバイダー（ISPや携帯電話会社等）が保有する個人情報への法執行機関のアクセス権；
- カナダ国内ネットワーク内での監視・監視能力の構築。
実際、この法案は「データと情報へのタイムリーなアクセス」と「認可された情報アクセス支援法（SAAIA）」という二つに分かれています。
私はこのブログとポッドキャスト両方で Bill C‑22 を詳細に解説する予定です。最初の見解としては、データへのアクセス部分が大幅に改善されていると言えます。前バージョン（Bill C‑2）は通信事業者だけでなく、カナダでサービスを提供する医師や弁護士などあらゆる人を対象とし、個人情報の無証拠開示を要求していたため、最近の最高裁判決に明確に逆行していました。
政府は「サービス確認」要請権へ移行し、法執行機関がテレコム事業者（すべてのサービスプロバイダーではなく）に対して特定個人へのサービス提供を確認させるようにしました。その他の加入者情報は、新たな裁判所審査・承認を受けた生産命令で取得されます。これにより、警察があるプロバイダーから加入者情報を探し出す際、本人が顧客ではないと分かるまで何度もやり直すという長年の問題が解消されるはずです。
新規則には義務的開示、異議申し立て、緊急事態、外国命令に対する同一情報要請などの条項も含まれています。今後数週間でこれらを詳しく掘り下げます。たとえば、生産命令が想定する「合理的な疑い」基準は低く設定されていますが、主要メッセージは政府が無証拠情報要求権の範囲を大幅に縮小し、現在はテレコム事業者とその個人へのサービス提供のみを対象としている点です。より多くの個人情報アクセスには監督が必要になります。これは大きな譲歩であり、Bill C‑2 が過度に広範でプライバシー上危険であり、憲法的承認を得られないことを示しています。
しかし良いニュースの裏には非常に悪いニュースがあります。SAAIA（通信事業者が監視・監視能力に協力する新要件）は Bill C‑2 からほぼ変わっておらず、データ保持に関してはさらに厳しい点もあります。政府は「情報統制官」の承認を必要とする増大した監督を掲げますが、監視能力・セキュリティ脆弱性・秘密主義・国境を越えたデータ共有の懸念は残ります。
SAAIA はネットワークプロバイダーに対し、法執行機関が直接プロバイダーネットワークへアクセスできるよう指示するため、大きな影響があります。この法案では「電子サービスプロバイダー（ESP）」という新用語を導入し、テレコムやインターネットプロバイダーだけでなく、Google、Meta などのインターネットプラットフォームも対象に含めるよう設計されていると考えられます。これら国際サービスは Gmail や WhatsApp のような電子通信で重要な役割を果たしますが、一部（例：Signal）はこの規制から外れる可能性があります。
ESP の定義
個人または団体として、コミュニケーションの実現目的で電子サービスを提供する者であって、
(a) カナダ内にサービスを提供しているか、
(b) カナダで事業活動の全てまたは一部を行っている者。
電子サービスとは
情報の生成・記録・保管・処理・送信・受信・放射・利用可能化などを、電子的、デジタル的、磁気的、光学的、生体認証的、音響的またはその他技術手段で行うサービスや機能。
すべての ESP は「合理的な協力」を求められます。具体的には、法執行権限者が情報にアクセスできるデバイス・装置等を評価・試験するために、所定の時間と方法で全ての支援を提供し、要請は秘密に保持されなければなりません。
さらに政府は「主要プロバイダー」を特定し、追加規制対象とします。これには以下が含まれる可能性があります：
- (a) 情報取得・整理・アクセス提供の運用・技術能力の開発・実装・評価・試験・保守；
- (b) 法執行権限者が情報にアクセスできるデバイス・装置等の設置・使用・運用・管理・評価・試験・保守；
- (c) 主要プロバイダーは、(a) の能力や(b) の装置に関して省長またはその他者へ通知を行うこと；
- (d) 暗号化データ（犯罪法第487.011条に定義される送信データ等）を含むメタデータの一定期間（一年以内）保持。
(d) のメタデータ保持は新規で、Bill C‑2 には存在しませんでした。したがってこの法案は義務範囲を拡大しています。ただしデータ保持に対しては次の制限があります：
- (2)(d) は、主要プロバイダーが情報内容（電子サービスで送信された情報の実質・意味・目的）、個人のウェブ閲覧履歴、またはソーシャルメディア活動を明らかにするよう要求される規制を作成することを許可しません。
さらに「システム脆弱性例外」が設けられています：
主要プロバイダーは、電子サービスに関して規制の条項に従うことが、そのサービスに関連したシステム脆弱性を導入するか、既存の脆弱性を修正できなくなる場合には適用されません。
これらのルールは不十分であり、ネットワークの安全性を低下させるリスクがあると懸念されています。また、市民ラボのケイト・ロバートソン（Law Bytes ポッドキャスト等）によれば、多くの規定はグローバル情報共有、第二追加プロトコル（Budapest Convention 2AP）、CLOUD Act 等に対応するよう設計されていると指摘されています。
このセクションには注文への異議申し立て、システムの秘密性、監督、費用など多くの要素があります。私はこれらも解説予定ですが、現時点で結論づけるに足る情報は Bill C‑22 の SAAIA が政府機関とカナダ通信ネットワーク・プロバイダーとの関係を大きく変えるということです。プライバシーや市民自由への懸念は計り知れません。法執行権限者による加入者情報への無証拠アクセスは排除されましたが、合法アクセス計画に伴う深刻なプライバシー問題は依然として残っています。