CLOUD法はデータプライバシーを永久に損なうのか?知っておくべき5つの重要ポイント

FacebookとCambridge Analyticaをめぐる大規模スキャンダルは、プライバシーに関する衝撃的なニュースを提供し続けています。しかし、Facebook関連の報道がニュースを席巻する中、米国政府は密かに、世界中のプライバシーを大きく侵害する法律を成立させていました。

それが「CLOUD法」です。この法律は海外に保存されたデータの保護を事実上撤廃し、政府機関が保存場所を選ばずにデータを取得できるようにしました。さらに、警察がFacebookやGoogleといった民間企業の保有するデータにアクセスする方法そのものを根本的に変えています。

では、CLOUD法とは一体何なのでしょうか?そして、どのようにあなたのプライバシーを脅かしているのでしょうか?

CLOUD法とは何か

CLOUD法は、約1兆3000億ドル規模の政府支出法案の末尾にひっそりと添付される形で、ほとんど議論されることなく成立しました。巨大な法案に紐付けることで本格的な審議を回避できたため、多くの市民はこの法律の存在すら知らず、ましてやデータプライバシーを根本から変える内容だとは理解していません。

CLOUD法(Clarifying Lawful Overseas Use of Data Act)は、米国の法執行機関が海外に保存されたデータへアクセスできるようにし、逆に外国政府にも同様のアクセスを認める一連の法律です。1986年に成立した電子通信プライバシー法(ECPA)の更新版にあたります。政府や多くのテック企業は、旧来の法律が現代のデジタルコミュニケーションに対応できていないと考えていました。実際、ECPAが成立した1986年当時、インターネットの前身であるARPANETに接続されていたシステムは2,000〜30,000程度しかありませんでした。

では、なぜこれほど影響力の大きな法改正が、世間の注目を集めないまま通過してしまったのでしょうか?ここで押さえておくべき重要なポイントを解説します。

1. 海外データの保護を撤廃する

法執行機関は、データの保存場所にかかわらずあなたのデータを要求できるようになりました。ホスティング企業も、保存場所を理由にデータ提供を拒否することはできません。

「電子通信サービスまたはリモートコンピューティングサービスの提供者は、当該通信、記録、その他の情報が米国内にあるか国外にあるかにかかわらず、[要求に]従わなければならない」

この法律が成立するまで、越境データ要求には相手国との司法共助条約(MLAT)が必要でした。MLATは両国間のデータ共有の枠組みを定め、どのような種類のデータを、どのような文脈で要求できるかを規定します。また、MLATの批准には上院の3分の2の承認が必要でした。

CLOUD法はこれを変え、既存のMLAT法制を迂回する「行政協定」を政府が他国と締結できるようにしました。その結果、どの政府機関もどのテック企業に対しても、所在地を問わずユーザーデータの引き渡しを要求できるようになったのです。

2013年、米国司法省(DOJ)はMicrosoftに対し、違法行為の疑いのある顧客のデータ提出を求める令状を発行しました。ところが、その顧客はアイルランド人でアイルランド在住、データもアイルランド国内のサーバーに保存されていました。Microsoftはこの件を最高裁判所まで争い、顧客が米国市民ではない以上、DOJの令状は権限の逸脱だと主張しました。

CLOUD法はこの状況全体を回避します。DOJがデータを要求すれば、Microsoftは従わざるを得ません。実際、DOJは新法の成立を理由に、係争中だったこの事件を「moot(審理不要)」とするよう最高裁判所に求めました。

2. 双方向に機能する

CLOUD法が米国の法執行機関による外国データ収集を可能にするのと同じように、外国の警察機関にも同等の権限を与えます。各政府機関のプログラムによる広範なデータ収集がすでに行われていることを考えれば、状況はさらに混迷を深めるでしょう。

ACLUの立法担当顧問Neema Singh Guiliani氏は、この法案により「外国政府が初めて米国領土内で盗聴できるようになる。米国人との会話を含み、盗聴法の要件を満たすことなく」と指摘しています。対象となる通信には、Facebook、Google、Snapchat、プライベートメールサーバー、インスタントメッセンジャーのやり取りなど、あらゆるものが含まれます。

具体的な流れは、EFFの記事を要約した以下の例のようにイメージできます:

1. ロンドン警視庁が、銀行詐欺の疑いのある英国人ターゲットのプライベートなSlackメッセージを調査したいと考える。
2. CLOUD法のもと、ロンドン警視庁はSlackに直接連絡し、ユーザーのメッセージ履歴を要求できる。
3. Slackは司法審査も米国法執行機関への通知もなく、令状(相当因果関係)も不要で、要求に従わなければならない。
4. Slackは英国人ターゲットのメッセージ履歴をロンドン警視庁に引き渡す。そのログには米国市民とのプライベートメッセージが含まれている。
5. ロンドン警視庁はメッセージの詳細を米国法執行機関と共有し、その情報は米国内の米国人ターゲットに対して使われる――すべて令状なしで(実質的に憲法修正第4条を空洞化するものだ)。

データ収集を制限する条項

ただし、CLOUD法にはこうしたデータ収集を防ぐための条項もいくつか盛り込まれています。たとえば、以下の行為は禁止されています:

• 外国政府がCLOUD法を利用して、米国市民のデータを直接標的とすること
• 行政協定を結んだ国に対し、特定の米国市民を標的とするよう求めること
• 米国市民のデータを同時に収集する目的で、外国人のデータを明確に標的とすること
• 重罪の証拠がない限り、「米国人のデータを拡散」すること

とはいえ、これらの条項があっても、正しい運用の確保とルールの執行は容易ではありません。CLOUD法への後からの修正により、米国司法長官は行政協定の利用について議会に報告し、正当化することが義務付けられました。

3. データ要求プロセスの期間を短縮する

ほぼすべての人がデータ要求の対象になりうる一方で、CLOUD法はデータ取得プロセスを確実に高速化します。従来のMLAT要求の完了には数ヶ月かかることもあり、要求が処理される頃にはデータが古くなっていたり、役に立たなくなったりすることも珍しくありませんでした。処理時間の短縮は、警察が犯罪をより早く解決したり、場合によっては犯罪の発生を未然に防いだりすることにつながる可能性があります。

4. 控訴の窓口が極めて狭い

CLOUD法は、コンテンツおよびサービスプロバイダーにとって、極めて狭い控訴の道しか残していません。テック企業がデータ要求に異議を唱えられるのは、次の2つの条件を満たす場合のみです。

1. 対象者が米国市民ではなく、米国に居住してもいない、かつ
2. データ開示が、プロバイダーの所在国での法令違反リスクをもたらす

この「かつ」が非常に重要です。控訴は両方の基準を満たさなければ、そもそも審理すらされません。

2点目はテック企業にとって深刻な問題です。データは必ずしも米国領内にとどまるわけではなく、多くの場合、最初から米国を経由することすらありません。それでも今やテック企業は、米国政府とデータをホストする外国政府の間に挟まれる立場になりました。そこでCLOUD法には、企業を法的リスクに陥れるような要求を遮断する条項が設けられています。ただし、14日以内に控訴した場合に限られます。

それでも、要求が即座に消滅するわけではありません。テック企業と米国政府は複雑な礼譲(comity)プロセスに入り、裁判所が政府のデータ要求の必要性と、テック企業に強いられる混乱や違法行為のリスクのバランスを判断することになります。

5. 暗号化と市民的自由に関する条項

CLOUD法は幅広いサービスからのデータ収集を可能にします。しかし、プライバシー権にとってわずかな救済として、行政協定はいかなる政府にもデータの復号を強制することはできません。復号が極めて困難なケースでは、政府はWhatsAppやTelegramのようなデータソースに時間を費やすことはないでしょう。

また、CLOUD法の文言修正により、米国国務長官と司法長官は、行政協定を締結する国が「プライバシーと市民的自由に対する堅固な実体的および手続的保護」を備えていることを確認しなければなりません。これは、この法律がもたらす結果から米国市民の権利を守ろうとするもので、具体的には以下を含みます:

• プライバシーへの恣意的かつ違法な干渉からの保護
• 公平な裁判を受ける権利
• 表現、結社、平和的集会の自由
• 恣意的な逮捕・拘禁の禁止
• 拷問および残酷で非人道的、あるいは屈辱的な扱い・刑罰の禁止

しかし懐疑論者は、これらの条項が市民的自由を「保護」すると言っても、政府機関(米国に限らず)がすでに同様のルールを破った事例は数多く存在すると指摘します。では、この法律の条項がさらなるデータ収集から市民を守ると、なぜ断言できるのでしょうか?答えはシンプルです。法執行機関と政府が正しい行動をとると信じるしかないのです。

テック企業の支持

CLOUD法は多くの大手テック企業の支持を受けています。この法律は、米国政府と外国政府が国内外のデータにどうアクセスできるかについて、明確な線引きを作ったからです。

Apple、Microsoft、Google、Facebook、Oathが署名した書簡によれば、CLOUD法は「外交対話を促進するだけでなく、テクノロジーセクターに、消費者を保護し、法の衝突が生じた際にそれを解決するための2つの明確な法定権利を与える。この法律は、法的請求が自国民に及ぶ場合に外国政府へ通知する仕組みと、必要に応じて直接的な法的異議申し立てを起こす仕組みを提供する」とされています。

これらの企業は長年、時代遅れの旧法に代わる法の明確化を求めてロビー活動を行ってきました。プライバシー問題から一歩引いて見れば、それは消費者とテック企業の双方にとって理にかなっているとも言えます。

CLOUD法があなたのプライバシーに与える影響

CLOUD法はあなたのプライバシーを完全に打ち砕くのでしょうか?それは、何を読むか、そして誰を信頼するかによって変わってきます。

ACLU、EFF、報道の自由財団は、CLOUD法に公然と反対しています。彼らは、これが危険で、実質的に取り返しのつかない、恒久的なデータ不安への一大歩だと主張します。さらにACLUとEFFは、世界的な適用範囲を持つこの法律が「議会で本来受けるべき検討を一切受けなかった」と指摘しています。

CLOUD法は、米国のデータプライバシーにおける画期的な転換点となる法律です。国家が再び政府閉鎖に陥るのを避けるために絶対に可決しなければならなかった支出法案に便乗して通過しました。そして、あなたは何も知らされないままだったのです。