英国の監視法制「DRIP」とは？わずか8日で通過した緊急立法がもたらすプライバシーへの影響

プライバシーへの関心がNSA（米国家安全保障局）のウォッチリストに載るきっかけになりうるとする最近の記事は、米国政府に対する多くの怒りを呼びました。しかし先週、英国が「大量監視とプライバシー侵害は米国だけの専売特許ではない」ことを証明してみせました。データ保持・調査権限法案（Data Retention and Investigation Powers Bill、通称DRIP）は報道機関から大きな注目を集めましたが、議会を驚異的なスピードで通過したため、詳細を見逃してしまった方も多いかもしれません。ここでは、知っておくべきポイントを解説します。

DRIPとは何か？

欧州司法裁判所（ECJ）は最近の判決で、電子メールや電話のプロバイダーが、将来の政府調査に備えてユーザーのデータ（位置情報、移動履歴、社会的接触データなど）を最長2年間保持することを認めていたEU指令を無効としました。

この指令の無効化を受け、英国議会の議員たちはDRIPを立法プロセスで急速に可決し、事実上、失われていた規制と権限を復活させました。DRIPは、通信事業者に対してユーザーのメタデータを12か月間保持することを義務付けています。

さらに、この義務は英国市民にサービスを提供するあらゆる組織にまで及びます。つまり、英国法の下では、米国や日本のメールプロバイダーであっても、英国市民のメタデータに関する令状を発行される可能性があるのです。電子メールは本質的に安全性の低い通信手段ですが、国際企業が当局に協力する姿勢を見せれば、状況はさらに悪化しかねません。

DRIPは、すでに物議を醸している一連の法律である「調査権限規制法（RIPA）」にも変更を加えています。メタデータ保存義務の国際企業への拡大に加え、この新法は「通信事業者」の定義を見直し、「インターネットベースのサービスを提供する企業」も含めるようにしました。一部の専門家は、これにより英国市民のメール、Facebook、iCloud、テキストメッセージのすべてが政府の監視対象になる危険があると指摘しています。

この法律は、リモートデータストレージもカバーする可能性があります。つまり、米国のDropboxのような海外サーバーにデータを保存している場合、政府はそのサーバーの所有者に対して令状を発行できる恐れがあるのです。

多くの報道を集めている論点の一つは、この法律が英国政府による通信の精査・傍受権限を拡大するかどうかです。当時のデーヴィッド・キャメロン首相は「新しい権限や能力を導入するものではないことを明確にしておきたい」と述べましたが、多くの批評家はこの発言を真っ向から否定しています。

法案を通過させるために、いくつかの譲歩も盛り込まれました。具体的には、新しい監督委員会の創設、新法で取得したデータを利用できる公的機関の制限、通信傍受関連法の見直し、そして2016年に法案が失効する「サンセット条項」（再施行前には必ず再審査が行われる）などです。

何が問題なのか？

DRIPがこれほど物議を醸す理由はいくつかあります。まず、この法案が「緊急立法」と位置づけられ、わずか8日間という驚異的な速さで議会を通過したという事実が挙げられます。通常の立法プロセスでは考えられない速さです。

もちろん、法案の内容自体も大きな懸念材料です。携帯電話、メール、クラウドストレージのデータを、政府から要請された場合に引き渡せるようにするためだけに12か月間保持しなければならないという仕組みは、非常に憂慮すべきものです。膨大な量の個人情報が保存されることになりますが、近年はAdobe、eBay、Targetなど、大手企業での情報漏洩事件が相次いだことは記憶に新しいところです。

DRIPのもとで保存されるデータがハッカーの標的になるかどうかは不明ですが、大量のデータが一箇所に存在するという事実だけで、アクセスを試みる者にとって十分な動機となるでしょう。

さらに、欧州司法裁判所がまさに同様の法律群を「プライバシー権の侵害」として無効化したばかりだという点も見過ごせません。政治的な憶測はさておき、これは事実上、欧州最高裁判所の判決に反する行為であり、今後の英国とEUの関係に大きな影響を与える可能性があります。

私たちにできることは？

DRIPは、報道機関や国民が声を上げる前に議会を駆け抜けましたが、それでも大きな注目を集めています。実際、複数の法学専門家による公開書簡が発表されるなど、人々の抗議の声が上がり始めています。過去の経験からも、大規模な世論の反発は、こうした状況において好影響をもたらしうることが分かっています。

この種の監視に反対の立場を取っているAccessやOpen Rights Groupといった団体を支援することも有効です。今後、署名活動や公開イベントが予定されている可能性があるので、最新情報に注目しておきましょう。

そして当然ながら、データの暗号化を常にお勧めします。企業はメタデータの保存のみを義務付けられているとはいえ、より実質的なコンテンツが保存・閲覧された事例は少なくありません。まずは、Torでブラウジングを匿名化し、PGPでメールを暗号化し、Dropboxからより安全性の高いクラウドストレージサービスへの乗り換えを検討することから始めましょう。

今や明らかなのは、監視とプライバシーの問題を抱える主要な西洋国家は米国だけではないということです。英国政府はDRIPによって、ユーザーのデータを保存・アクセスする措置を講じるという重大な声明を出しました。今後の展開にも注目していきます。

DRIPについてどうお考えですか？ECJの判決に違反していると思いますか？プライバシー権を侵害していると思いますか？英国はこの種の法律を国際的に適用しようとすべきでしょうか？ぜひコメント欄でご意見をお聞かせください。

画像クレジット：Brian Turner／Department for Business, Innovation, and Skills／Torkild Retvedt、Yuri Samoilov via Flickr