CSAR：欧州議会、個人メッセージの大量スキャンに反対
(edri.org)- 欧州議会は2023年11月22日、児童性的虐待の防止・対応規則案である CSAR に対する立場を正式に採択し、欧州の7つの政治会派の支持を受けて、人権保護の方向へ舵を切った
- 重要な変更点は、企業に私的メッセージの 大量スキャン を強制せず、スキャンには 合理的な疑い が必要だという要件を設けた点である
- EU加盟国理事会の法律家らは、当初案が プライバシー権の本質 を侵害する可能性があると警告しており、EU基本権法は権利制限が必要性と比例性を満たすべきだという基準を置いている
- 次の手続きは欧州議会とEU加盟国理事会の間の非公開の 三者協議（trilogue） だが、理事会はまだ交渉権限を備えた立場を持っておらず、加盟国政府も割れている
- 2024年6月の欧州議会選挙を前に、機関間協議は2024年2月初めまでに終える必要があり、CSARのように複雑でセンシティブな法案を現政治任期内に成立させるのは非常に難しい
欧州議会によるCSAR立場の採択
- 欧州議会は2023年11月22日、児童性的虐待の防止・対応規則案である CSAR に対する立場を正式に採択した
- 欧州の7つの政治会派すべてがこの立場を強く支持し、近年EUで最も議論を呼んだ法案の一つが 人権保護 の方向へ一歩進んだ
- EDRiは、2022年にEU執行部の内務担当組織が提案したCSARの 大量スキャン および暗号化を弱める措置に反対してきた
- 立法手続きはまだ終わっておらず、EU加盟国理事会と欧州委員会が議会の立場にどう対応するかが残っている
大量スキャンの拒否と基本権の基準
- 欧州議会の立場は、重要な社会的目的があっても、どんな手段でも正当化されるわけではないという政治的シグナルである
- EU基本権法は、人々の権利を制限する措置に次の条件を求めている
- 追求する目的の達成に 必要 であること
- 客観的に有効であること
- 可能な限り侵害の程度が小さいこと
- より広い影響が 比例的 であること
- この基準に従い、議会は企業に人々の私的メッセージを大量にスキャンさせる規則を拒否した
- 代わりに、スキャンには 合理的な疑い が必要だという要件を採用した
- EU加盟国理事会の法律家らは、当初案がプライバシー権の本質を侵害する可能性があると警告していた
- EU司法裁判所の判例は、正当な理由で権利制限が可能であっても、いかなる人権の「本質的核心」も侵害されてはならないという立場を維持してきた
市民社会と専門家からの反対
- EDRiは、DG HOMEがこの法律を初めて提案する前から、児童性的虐待という重大犯罪に対応する措置も 人権ルール に合致すべきだと求めてきた
- EDRiのデジタル時代に子どもを守るための10原則は、当初の立法提案には反映されなかった
- 欧州委員会自身の審査委員会による懸念も、当初案から抜け落ちていた
- EDRiが主導した Stop Scanning Me キャンペーンの後、欧州全域の数千人が草案措置の危険性を警告した
- 世界中の科学者と研究者は、提案された措置が暗号化を弱め、すべての人のデジタル情報を危険にさらす可能性があると見ている
- ジャーナリスト、若者の活動家、弁護士、サバイバー団体など、他のステークホルダーも、この提案によって危険にさらされる可能性があると警告した
三者協議と理事会の行き詰まり
- 欧州議会は立場を正式に採択したため、三者協議（trilogue） に入る準備ができている状態である
- trilogueは、欧州議会側の代表とEU加盟国政府の理事会との間で行われる非公開協議である
- 現在、EU加盟国理事会にはtrilogueに入るための 交渉権限 を備えた立場がない
- EU加盟国政府はこの問題をめぐって割れている
- 一部の国は、技術的・法的な現実を受け入れない立場を示している
- 他の多くの国は、EUがデジタルセキュリティ、プライバシー、匿名性を破壊することに白紙委任を与えることはできないと警告している
- EDRiは7月、加盟国政府に対し、すべての人のデジタル上の私生活に対する大量監視を開く立場に合意しないよう求めた
- ドイツ、スウェーデンおよび複数の地域では、人々が街頭に出て、政府に「Chat Control」を受け入れないよう促した
- ドイツ、オーストリア、ポーランド、エストニア、スロベニアの各政府は、誤った提案に強硬に反対する立場を取ったと伝えられており、フランスもその後、重大な懸念を提起した
選挙日程が生む時間的圧力
- 理事会の立場がないため、CSARの立法手続きは現在 行き詰まり の状態にある
- スペインの理事会議長国は、2023年12月末の任期終了前に立場を通そうとしていると伝えられている
- 執筆時点で、理事会には交渉テーブルに載っている文案がなく、十分な数の加盟国が同意した政治的合意もない
- 理事会が近く立場に合意したとしても、現政治任期内に法律を成立させるのは非常に難しい
- 2024年6月には、5年に一度の 欧州議会選挙 が行われ、その後、新しい欧州委員が任命される
- 流出文書によると、立法機関間の協議は2024年2月初めまでに終える必要がある
- 単純な法案のtrilogue協議でも数か月かかることがあり、CSARのように複雑でセンシティブな案件をこれほど短い時間で押し通すのは前例のないことだ
- 現在の行き詰まりは、CSARの政治的象徴であるスウェーデン出身の欧州委員Ylva Johanssonが、この提案の全ライフサイクルにわたって在任し続けない可能性も高めている
デジタル人権保護の分岐点
- EDRiは、オンライン児童性的虐待への対応法が、基本権法と客観的な効果の証拠に合致すべきだと継続的に求めてきた
- 欧州議会の今回の立場は、両方の基準を満たしていないDG HOMEによる法案推進を明確に退けるものだ
- 次の段階は不確実だが、今回の採択は デジタル人権保護 における大きな節目と評価される
- 理事会が議会の立場から後退しないかどうかが、CSARの今後の方向を左右する
1件のコメント
Hacker Newsの意見
ついにやった。次の段階としては、こうしたセキュリティ弱体化の試みが何度も蒸し返されるのを防ぐ仕組みが必要だ。
そうでなければ、危機的状況や疲労感が積み重なった隙を突いて、結局は可決されかねない。
こうした途方もないプライバシー侵害の試みに対抗するには、提案の背後にいるロビイストに光を当てる必要がある。偶然かどうかはともかく、プロセスは透明ではなかったが、それでも一部の記者が調査している: https://privatecitizen.press/episode/160/
1年後か3年後くらいに、新しい理屈と、さらに多くの買収された政治家を連れて戻ってくるだろう。最悪の場合、米国のように監視のない秘密プログラムを作り、好きなようにやることもあり得る。
問題の一部は、悪い結果がまったく伴わないことだ。Snowdenは大規模な違法監視を暴露したが、政治家や政府官僚に返ってきた結果はゼロだった。
この件を知らせ、フィードバックを得るためにキャンペーンに何百万も費やしたのに、関連するYouTube動画の再生回数は100回未満だった。
人々が自発的に関心を持つことを期待するのではなく、高等教育機関のような場所と協力すべきだ。みんなが日常を過ごしていて、法律が批准される段階になって初めて知る、というやり方ではだめだ。
可決されるまで無限に繰り返し、利用できる危機が起これば即座に再上程する。
まさにそのために、EUでは加盟国の拒否権を必ず維持すべきだ。
後退した唯一の理由は、いくつかの国が「絶対に同意できない」と言ったからだ。単純多数決で法律を作っていたら、いくつかの大国と、強要されたり買収されたりしたいくつかの国が、残りを押し切ることができただろう。
ポーランド・リトアニア共和国では、セイムの議員全員がどんな法案でも拒否でき、その結果、国が停滞し、隣国に分割されるという形で厳しい教訓を得た。
大規模監視は、ほとんどの絶対権力と同じく魂の癌だ。メールやメッセンジャーを読んだ経験から、それが人をどのように堕落させるかを身をもって知っている。
ためらいなく言えるが、状況は映画『Elysium』の「［この能力］のために、お前を地球の果てまで追いかける」と同じだ。
法執行機関の観点で最も重要なのは、本当の目的が一般大衆全体を監視することではないなら、大衆が使う通信システムを盗聴する価値はないという点だ。プロバイダー側での盗聴であれ、AppleのCSAM AIのようなクライアント側スキャンであれ同じだ。
技術的なリソースを持っている、あるいは本人に技術力がある悪意ある行為者が、仲間と連絡するのにこうした公開システムを使うはずがない。こうした法律の手が届かないカスタムの隠密通信チャネルはいくらでもあり、重大犯罪の中心はむしろそういう場所である可能性がはるかに高い。
[0] https://youtu.be/qUQQerrs52w?t=54
最近の盗聴事例が示すように、政治家たちはチャット履歴を選挙で選ばれていない少数者に渡すと、最も失うものが大きい。
それは権力を失い、操り人形になる確実な道だ。
Epsteinが幼い少女たちを引き渡したと名指しされた人々のうち、誰も刑務所に入っていないのには理由がある。
ノルウェーでは残念ながら、情報機関が国境を越えるすべてのトラフィックのメタデータを読めるようにする法律が可決された。
今ではほぼすべてのデータが国境を越えるので、まったく筋が通らない。facebook/twitter/tiktok/gmailなどを使うとき、そのサービスの所有者がどの地理的位置のサーバーインスタンスを使っているのかは分からない。
あるサービスが「ローカル」、つまり国境内のサーバーを使っていたとしても、他の多くのサービスはそうでないかもしれない。
もちろん名目はテロ対策だが、テロ関連トラフィックは全データトラフィックの中であまりに小さな割合で、実質的にゼロに等しい。
テロと児童性的虐待コンテンツは、過剰な法律を大量に呼び込む二つの名目だ。
これで半分は勝った。
本当の戦いはこれからだ。この馬鹿げた提案を支持した政治家たちが送受信したすべてのメッセージを公開記録にすべきだ。権力乱用を防ぐという公益は、彼らが価値を認めていないプライバシー権よりも優先する。
だからこそ、暗号学的にオープンで安全なアプリを開発し続けなければならない。
そうすれば、政府が何を望もうと、私のテキストメッセージを読む方法はなくなる。
問題は、技術とプライバシー保護に明るい人たちだけがメッセージを暗号化し続けられるということだ。大衆は喜んで従い、facebook messenger/whatsappや、バックドアだらけの新しいビッグテックの「今日のクールなアプリ」を使い続けるだろう。
プライバシー保護にとっては素晴らしい日だ。ただし3か月後には別の名前で再挑戦してくるだろうし、そのときは可決されそうだ。
ひとまずはそうだね。次の試みのときに見てみよう。
メッセージが転送中は暗号化されていても、ほとんどのプラットフォーム運営者は法執行機関の要請に従うだろう。
データベース、ログ、分析システムでメッセージを露出させたり、キーロガーを仕込んだりすることが可能だ。
ほとんどの人はスマートフォンを使っており、安全なスマートフォン・プラットフォームは存在しない。PCでも、チェーンのどこかがメッセージを漏らさないことを願う以外に、できることはほとんどない。