カナダの合法的傍受法案C-22とは？WindscribeとPsiphonが国外移転を検討する理由【2026年10月】

はじめに

カナダで審議中の Bill C-22（Lawful Access Act, 2026） をめぐり、同国に拠点を置くVPN・検閲回避ツールの事業者が「このまま成立すれば国外へ移る」と表明しています。トロント拠点のVPN Windscribe に続き、2026年10月初めには、イランやミャンマーなどで使われる検閲回避ツール Psiphon も国外移転の計画づくりを始めたと The Globe and Mail が報じました。

この記事では、C-22が何を可能にする法案なのか、下院の修正で何が変わったのか、なおVPN事業者が懸念している点はどこかを整理します。内容は2026年10月5日に確認した カナダ議会のLEGISinfo、法案の 第一読会版 と 下院通過版、下院公安委員会の報告（修正内容）、Windscribeの公式ブログ、The Globe and Mailの報道にもとづきます。法案の解釈は事業者・政府の双方の主張を併記しており、条文全体を独自に法的分析したものではありません。

C-22の現在地

• 正式名称: Lawful Access Act, 2026（提出者は公安大臣）
• 経緯: Windscribeによると2026年3月12日に提出され、6月18日に下院を通過。同日に上院で第一読会が行われ（6月18日の上院議事録）、10月1日の上院議事日程（Order Paper）では「Bills – Second Reading」（第二読会の段階）に掲載されています
• 成立状況: まだ成立していません。上院での審議・修正の余地が残っています

Globe and Mailによると、Gary Anandasangaree公安大臣はToronto Star紙の取材に、現行案は「適切なバランス」であり、現状のまま成立すると見込んでいると述べています。

法案が可能にすること（事業者側の説明）

Windscribeの説明では、C-22は概ね次の構造です。

1. 対象が広い: カナダの利用者にサービスを提供する、またはカナダで事業を行う「電子サービス提供者（ESP）」が対象。電子情報の作成・保存・処理・送受信などを含む広い定義
2. 「中核事業者（core providers）」への義務: 規則によって、傍受・アクセス能力の構築、機器の設置、利用者メタデータの一定カテゴリを最大6か月保存することを求め得る
3. 大臣の秘密命令: 公安大臣は、中核事業者かどうかにかかわらず、同様の義務を最長2年間課す命令を出せる。Windscribeは、命令の存在や内容、事業者が異議を唱えたことすら利用者に明かせない状態が続く点を問題視している。ただし下院通過版には、一定の場合に開示を認める仕組み（7(1.1)、14、15）もあり、非開示は「原則」という位置づけです

下院通過版の保護と主な修正

Windscribeは下院通過版の保護を「評価すべき点」と認めていますが、その中には提出当初からあったものと、下院の審議で変わったものが混ざっています。法案の第一読会版・下院通過版と下院公安委員会の報告をもとに分けると、次のとおりです。

提出当初（第一読会版）からある保護

• 通信内容、閲覧履歴、SNSの活動は保存義務の対象にできない（Part 2の5(4)）
• システム的な脆弱性（systemic vulnerability）の導入などは求められない（同5(5)・7(5)）
• 大臣命令にはインテリジェンス・コミッショナー（Intelligence Commissioner）の承認が必要（同7(2)・9）

下院の審議で変わった主な点

• メタデータ保存の上限が1年から6か月へ短縮
• 復号に関する規定（2(4)）が加わり、事業者自身が復号手段を持たない暗号化情報の復号は求められないことが明確に
• systemic vulnerabilityの定義や文言の変更、コミッショナー承認要件の文言の明確化、命令延長時の例外の削除など

下院公安委員会の報告に載った修正文でも、事業者が提供した暗号化で、かつ事業者が復号に必要な情報を持つ場合を除き、復号やその確保を義務づけるものと解釈してはならない旨が書かれています。政府側の広報担当も、エンドツーエンド暗号化された情報は事業者が復号手段を持たない限り明示的に保護される、と説明しています（Globe and Mail）。

それでも事業者が反対する理由

Windscribe：メタデータは「封筒の外側」

Windscribeは、通信内容が守られても、誰が・いつ・どこから・誰とつながったかというメタデータを6か月分集めれば、深夜の相談窓口への連絡や通院先、記者と情報源の接点まで推測できると指摘します。そのうえで「存在しないデータベースは漏えいしない」として、必要のないデータの保存を強いないよう求めています。メタデータの基礎は メタデータとは？ を参照してください。

同社は、Nord Security、Kape Technologies（ExpressVPN、Private Internet Access）、Tailscale、Tucows、Coinbase Canada、Tuta、easyDNS などとともに、法案の修正を求める共同書簡に署名しました（同社によれば同社を含む23の企業・団体）。CEOのYegor Sak氏は、下院修正では不十分で、国内に残る判断材料にならないという立場です（Globe and Mail）。Windscribeは「カナダが法的な本拠地なので、他社のようにカナダ向け提供を止めるだけでは済まず、会社ごと移転するしかない」とも書いています。

Psiphon：オープンソースに「秘密の機能」は隠せない

Psiphonはトロント大学シチズンラボのプロジェクトとして2006年に始まり、その後独立した企業です。Globe and Mailによると、同社の月間利用者は世界で約2,000万人。2026年2月のイランでの弾圧時には同国だけで2,100万人が使い、ミャンマーでも月約350万人が利用しています。

同社副社長のKenzie Elsworthy氏は、コードがすべて公開されているため「法案が求めるアクセス機能を作れば、利用者が逃れようとしている権威主義政府を含む全世界から見える。それは合法的アクセスではなく、公開された脆弱性だ」と述べています。また、どの事業者が義務の対象になるかは法案成立後の規則で決まるため、事業計画上は対象になる前提で動かざるを得ない、と説明しています。

政府側の反論

公安大臣の広報担当は、ESPに該当しても、それだけで義務の対象になるわけではなく「ほとんどのESPは中核事業者にならず、大臣命令の対象にもならない」と説明しています。サービスの性質やカナダ国内での利用規模などを考慮して判断するとしています（Globe and Mail）。

VPNを選ぶ側への影響

1. 管轄は「本社がどこか」だけでなく「どの法律で何を強制され得るか」: C-22が成立すれば、カナダ拠点・カナダ向け事業者には、メタデータ保存や秘密命令の可能性がつきまといます。ノーログ方針と法的義務の関係は VPNのノーログポリシー解説 で整理しています
2. ノーログ監査の意味が変わり得る: 秘密命令の存在を開示できない制度の下では、監査報告や透明性レポートで確認できる範囲にも限界が出ます
3. 成立前の段階である: 上院での修正余地があり、Windscribe・Psiphonの移転も「成立した場合」の計画です。現時点で両サービスのログ方針が変わったという発表はありません
4. 他国の前例: Windscribeは、英国でAppleがiCloudの高度なデータ保護（ADP）を英国の利用者向けに提供停止した件や、EUのChat Controlの議論を引き合いに出しています。EUの動向は GrapheneOSのChat Control対応 でも触れています

まとめ

• Bill C-22は、事業者に傍受能力の整備やメタデータ最大6か月の保存を義務づけ得る法案で、2026年6月に下院を通過し、現在は上院で審議中。まだ成立していない
• 通信内容の除外、システム的脆弱性の導入を求めない保護、コミッショナー承認は当初案からあり、下院では保存上限の1年から6か月への短縮、復号に関する規定の追加、文言の明確化などが行われた
• それでもWindscribeやPsiphonは、メタデータ保存と秘密命令、対象範囲が成立後に決まる点を問題視し、成立した場合の国外移転を検討している
• 政府は「ほとんどの事業者は対象にならない」と反論している。VPN選びでは、運営会社の管轄で何が強制され得るかを確認する視点が重要になる

上院での修正の有無と、各事業者の対応は引き続き追いかけます。