Kanadský návrh C-22: co lawful access žádá po VPN a kdo oznámil odchod

Kanada je jednu komoru od zákona, o kterém pět firem zaměřených na soukromí veřejně prohlásilo, že by raději opustily zemi, než aby ho poslechly. Návrh C-22, Lawful Access Act, 2026, tedy zákon o oprávněném přístupu, prošel 18. června Dolní sněmovnou a k 8. říjnu ležel v Senátu ve druhém čtení. Nejnovější firma sahající po odchodu je zároveň ta nejsymboličtější: Psiphon, torontský anticenzurní nástroj, který vyrostl z Citizen Lab Torontské univerzity, podle vlastních údajů obsluhuje asi 20 milionů lidí měsíčně a 4. října řekl deníku The Globe and Mail, že začal připravovat plány na odchod ze země.

Většina zpráv o C-22 přichází po jedné pohrůžce odchodem. Jen málokdy ukazují mašinerii, na kterou tyto firmy reagují. Tato stránka proto dělá tři věci: říká přesně, co která polovina návrhu dovoluje kanadskému státu požadovat, vede datovaný přehled všech poskytovatelů, kteří oznámili, že by odešli, a odpovídá na otázku, kterou čtenáři skutečně mají, totiž co to všechno mění pro člověka v Kanadě, který používá VPN nebo šifrovaný komunikátor.

Celou analýzu nese jedna věta: návrh C-22 jsou dva zákony v jedné obálce, úzká otázka bez soudního příkazu vepředu a vzadu pravomoc nařídit kterékoli online službě, tajně, aby se přestavěla tak, aby byl autorizovaný přístup možný.

Co je návrh C-22 a kde v parlamentu se právě nachází?

Ministr veřejné bezpečnosti Gary Anandasangaree předložil C-22 12. března 2026 poté, co byl jeho obsah vyčleněn z omnibusového návrhu Strong Borders z roku 2025. Sněmovní výbor pro veřejnou bezpečnost vyslechl mezi 5. květnem a 17. červnem 106 svědků a obdržel 61 písemných stanovisek. Pak přišla komprese: zpráva výboru, fáze zprávy i třetí čtení dopadly všechny na 18. červen, na základě vládního usnesení, které omezilo rozpravu a zablokovalo nové pozměňovací návrhy, přičemž poslední zasedání výboru se protáhlo přes půlnoc.

Senát obdržel návrh téhož dne a od té doby debatuje o druhém čtení. K 8. říjnu nebyl dosud postoupen senátnímu výboru, což znamená, že podrobné projednání komory, fáze, v níž se vracejí svědci a vznikají pozměňovací návrhy, je stále před námi. V tomto okně je tato stránka psána.

Co mohou policie a CSIS podle Části 1 žádat bez soudního příkazu?

Hlavní pravomocí Části 1 je nový článek 487.0121 trestního zákoníku, žádost o potvrzení služby. Policista, který má důvodné podezření na trestný čin, může po poskytovateli telekomunikačních služeb žádat potvrzení, “zda poskytují, nebo poskytovali telekomunikační služby” jmenovanému účastníkovi, účtu nebo identifikátoru. Žádný soudce to nepodepisuje. Poskytovatel má nejméně 24 hodin, může do pěti pracovních dnů požádat soudce o zrušení žádosti, za odmítnutí bez zákonné omluvy mu hrozí pokuta až $5,000 a příkaz mlčenlivosti může platit až jeden rok.

Čtěte to úzce, protože to úzké je: vynucená odpověď zní ano, nebo ne. Kdo účastník je, jaké služby si koupil, kdy a na jakých zařízeních, to všechno stále vyžaduje soudní příkaz k vydání informací, byť C-22 nastavuje práh pro tento příkaz na důvodné podezření, nejnižší standard v celé sadě nástrojů. Samostatná nová pravomoc umožňuje soudci autorizovat žádosti o informace o účastnících a přenosová data směřované přímo zahraničním poskytovatelům.

Verze, o které nikdo nemluví, je ta pro CSIS. Nový článek 20.22 zákona o CSIS dává zpravodajské službě tutéž pravomoc bez jakéhokoli uvedeného prahu podezření a s podmínkou mlčenlivosti bez časového limitu. Obrana vlády, obsažená v jejím prohlášení k Listině, zní, že žádost odhaluje jen “základní informace” a žádný obsah komunikace a že důvodné podezření brání lovení naslepo. Komisař pro ochranu soukromí, který v květnu vystoupil před výborem, označil žádost za úžeji vymezenou než dřívější pokusy a vzápětí požádal o šest pozměňovacích návrhů, včetně uzavřené definice informací o účastnících a požadavku nezbytnosti a přiměřenosti.

Co by vláda podle Části 2 mohla nařídit VPN nebo komunikační aplikaci vybudovat?

Část 2 přijímá nový zákon, Supporting Authorized Access to Information Act, a právě na něj průmysl reaguje. Jeho dosah určuje jediná definice: poskytovatelem elektronických služeb je kdokoli, kdo poskytuje elektronickou službu “osobám v Kanadě” nebo v Kanadě podniká. Poskytovatel VPN s kanadskými uživateli se kvalifikuje. Stejně tak komunikační aplikace, e-mailová služba i zahraniční firma bez kanadské pobočky.

Pro třídy poskytovatelů, které vláda později označí za klíčové, mohou nařízení vyžadovat vybudování, testování a udržování “operačních a technických kapacit”, které umožní oprávněné osobě přístup k informacím, a mohou vyžadovat uchovávání kategorií metadat až po dobu šesti měsíců. Pro všechny ostatní je tu článek 7: ministr může kterémukoli poskytovateli elektronických služeb, klíčovému či nikoli, nařídit cokoli, co by mohla vyžadovat tato nařízení. Příkaz potřebuje souhlas zpravodajského komisaře, což je kontrolní orgán, nikoli soud. Je vyňat ze Statutory Instruments Act, takže se nikdy nezveřejňuje. A článek 14 poskytovateli zakazuje prozradit existenci příkazu, pod hrozbou pokut až $100,000 pro jednotlivce a $500,000 pro firmy. Správní sankce dosahují $250,000 za porušení, počítáno za každý den. Jediným ventilem transparentnosti je výroční zpráva, která musí uvést, kolik ministerských příkazů bylo vydáno.

Analýza Citizen Lab, napsaná společně s Canadian Civil Liberties Association, dospěla k závěru, že Část 2 je nezachranitelná a měla by být stažena a že její mechanismus plošného uchovávání metadat je “téměř jistě protiústavní”, přičemž v technickém bodě cituje varování EFF, že “neexistuje bezpečnostní zadní vrátka jen pro ‘ty hodné’”. Canadian Bar Association sáhla po Listině: obě části hrozí porušením ochrany před nepřiměřenou prohlídkou a zabavením podle článku 8.

Kteří poskytovatelé řekli, že by Kanadu opustili?

Datovaný záznam, firma po firmě. Každá položka odkazuje na prohlášení nebo na médium, které přináší přímou citaci; žádný poskytovatel veřejně neslíbil, že zůstane a vyhoví.

Tři z těchto firem sídlí v Torontu a případ Psiphonu nese ještě jeden zvrat: federální vláda mu v roce 2026 poskytla zhruba $600,000 na financování, v témže roce, kdy její vlajkový návrh zákona tlačí firmu ke dveřím. Argument Psiphonu o otevřeném kódu je nejostřejší technický hlas v záznamu: “Do open-source kódu nelze zabudovat tajná zadní vrátka. Každý řádek, který vydáváme, je veřejný.”

Kolem přehledu se táhne širší fronta. Apple, Google a Meta varovaly výbor ohledně šifrování; společný dopis koalice 14 organizací občanské společnosti a 15 akademiků a právních expertů žádal úplné stažení návrhu a nazval ho “nejrozsáhlejší invazí do kanadských práv na soukromí v moderní historii”; a v září napsalo ministrům 23 firem a průmyslových sdružení, mezi nimi Coinbase Canada, že “zadní vrátka pro orgány činné v trestním řízení jsou zadní vrátka pro všechny”. Mluvčí vlády odpověděl na případ Psiphonu přímo: rámec oprávněného přístupu “sám o sobě neznemožňuje provozovat v Kanadě bezpečnou službu chránící soukromí”. Tři velcí kanadští telekomunikační operátoři, kteří by nesli žádosti z Části 1, neřekli veřejně nic.

Zakazuje návrh C-22 VPN, nebo láme vaše šifrování?

Ani jedno, a poctivou verzi obou odpovědí stojí za to rozepsat.

K používání VPN: každá povinnost v návrhu dopadá na firmu. Žádné ustanovení nevytváří přestupek pro člověka, který se připojuje přes VPN, v Kanadě ani z ní. Těch 22 procent kanadských uživatelů internetu, kteří v průzkumu CIRA z roku 2026 uvedli, že VPN používají k ochraně svých osobních dat, by se den po královském souhlasu probudilo, aniž by páchalo jakýkoli přestupek. Tam, kde se C-22 dotýká uživatele VPN, je to nepřímo: na straně poskytovatele. Firma provozující VPN pro Kanaďany je podle Části 2 poskytovatelem elektronických služeb, což znamená, že jí lze tajně nařídit vybudování přístupových kapacit, přesně ten scénář, který si Psiphon, NordVPN a Windscribe propočítávají. Co VPN mění a nemění v rámci Části 1, je také mechanické: vašeho poskytovatele internetu lze stále požádat o potvrzení, že jste jeho zákazník, protože tento fakt sedí ve fakturační databázi, ne ve vašem provozu.

K šifrování: Dolní sněmovna přidala článek 2(4), který říká, že žádná povinnost nenutí poskytovatele dešifrovat informace “zašifrované osobou, které poskytovatel elektronických služeb poskytuje služby”. Pak přichází výjimka: ledaže šifrování dodal poskytovatel a drží klíče. Návrhy end-to-end, kde klíče drží uživatelé, zůstávají na papíře mimo dosah; šifrování spravované poskytovatelem, což je většina cloudových úložišť a nemálo komunikačních aplikací, je vynutitelné. Doprovodný štít, podle kterého žádný příkaz nesmí poskytovatele nutit zavést “systémovou zranitelnost”, byl ve výboru přeformulován a nyní vylučuje rizika omezená na osoby, na něž se vztahuje soudní příkaz. Slabina postavená jen pro cílené osoby tak podle definice samotného návrhu není systémová. Zda slabina vůbec může zůstat omezená na své cíle, je přesně to, o čem se bezpečnostní komunita přít, a ujištění ministra, že návrh “nikdy neměl prolamovat šifrování”, je tvrzení, na jehož podporu byly tyto pozměňovací návrhy napsány.

Jak se C-22 srovnává s Británií a Austrálií?

Standardní obrana vlády zní, že spojenci už tyto nástroje mají. Srovnání je skutečné a řeže na obě strany.

Britský sloupec není hypotetický. Hlášené technické oznámení o kapacitách vůči Apple vedlo firmu k tomu, že v únoru 2025 stáhla Advanced Data Protection pro britské uživatele; Apple podal v červenci 2026 novou stížnost k tribunálu proti přepsanému příkazu a britští uživatelé funkci stále nemohou zapnout. Tak vypadá pohrůžka odchodem poté, co přestane být pohrůžkou. Australský záznam ukazuje opačným směrem: v prvním roce TOLA využily agentury 7 dobrovolných žádostí o pomoc a nula povinných oznámení o kapacitách a vlastní nezávislý kontrolor režimu doporučil přesunout schvalování na soudní orgán, tedy pojistku, která C-22 chybí. V EU dnes žádný platný předpis neukládá VPN ani komunikátorům povinnosti budovat kapacity tohoto druhu; boj o skenování soukromých zpráv stále běží v trialogu, jak jsme zdokumentovali v naší referenční stránce o Chat Control.

Zkusila to Kanada už dřív?

Sedmkrát za dvě dekády: kanadský právník na ochranu soukromí David Fraser katalogizuje pět dřívějších pokusů, z let 2005, 2009, 2011, 2012 a 2013, před ustanoveními o oprávněném přístupu zakopanými v hraničním zákoně z roku 2025 a před nynějším C-22. Ten, který si Kanaďané pamatují, je C-30 z roku 2012, který zemřel poté, co ministr veřejné bezpečnosti ve sněmovně prohlásil, že kritici mohou “stát buď s námi, nebo s dětskými pornografy”; vláda návrh do roka stáhla a spolu s ním opustila přístup k údajům o účastnících bez soudního příkazu. Jediný přeživší, C-13, prošel v roce 2014 jen proto, že byl napsán bez těchto pravomocí. C-22 je prvním pokusem od té doby vrátit obě poloviny najednou, otázku bez soudního příkazu i mandát ke kapacitám, a vůbec prvním, který mandát míří na každého poskytovatele elektronických služeb, nejen na telekomy.

Co bude dál?

Druhé čtení v Senátu končí postoupením výboru; projednání ve výboru přivede svědky zpět; třetí čtení a případné pozměňovací návrhy pošlou návrh domů do Dolní sněmovny. Vládní lídr ve sněmovně Steven MacKinnon v červnu řekl, že Senát se návrhu ujme po návratu na podzim; s druhým čtením stále otevřeným v polovině října a projednáním ve výboru před námi vypadá prosinec 2026 jako nejbližší realistické okno pro královský souhlas a sklouznutí do roku 2027 je pravděpodobné. Tlakové body, které stojí za sledování, jsou ty, které záznam už ukazuje: zda Senát vepíše do Části 1 šest pozměňovacích návrhů komisaře pro ochranu soukromí, zda definice systémové zranitelnosti dostane zákonné dno, jako se to stalo v Austrálii, a zda některá ze sedmi firem v přehledu přejde před hlasováním od prohlášení k činu.

Pro širší mapu, k níž se tento návrh nyní připojuje, sleduje náš přehled zemí, které poskytovatelům VPN nařizují blokovat weby, autorskoprávní polovinu povinností poskytovatelů a náš průvodce legálností VPN po jednotlivých zemích mapuje, kde je omezeno samotné používání. A jak právo vypadá z dnešní Kanady zevnitř, ukazuje naše stránka o Kanadě: používání VPN je legální a tento návrh, ať s ním bude cokoli, na tom nic nemění.