لایحه C-22 کانادا: دسترسی قانونی از VPNها چه می‌خواهد و چه کسانی گفته‌اند کانادا را ترک میکنند
کانادا فقط یک مجلس دیگر تا قانونی فاصله دارد که پنج شرکت حریم خصوصی علناً گفته‌اند ترجیح میدهند به جای اطاعت از آن، کشور را ترک کنند. لایحه C-22، قانون دسترسی قانونی 2026، در 18 ژوئن از مجلس عوام گذشت و تا 8 اکتبر در مرحله شور دوم در سنا بود. تازه‌ترین شرکتی که به سوی در خروج رفته، نمادین‌ترین آنها هم هست: Psiphon، ابزار ضدسانسور مستقر در تورنتو که از دل Citizen Lab دانشگاه تورنتو بیرون آمد، به گفته خودش ماهانه به حدود 20 میلیون نفر خدمات می‌دهد و در 4 اکتبر به The Globe and Mail گفت که تهیه برنامههایی برای خروج را آغاز کرده است.
بیشتر پوشش خبری C-22 هر بار فقط یک تهدید به خروج را بازتاب می‌دهد. چیزی که به‌ندرت نشان داده می‌شود، سازوکاری است که این شرکتها به آن واکنش نشان میدهند. بنابراین این صفحه سه کار انجام می‌دهد: دقیقاً بیان میکند که هر نیمه از لایحه به دولت کانادا اجازه می‌دهد چه چیزی را مطالبه کند، فهرستی تاریخ‌دار از هر ارائهدهندهای که گفته کانادا را ترک میکند نگه می‌دارد، و به پرسشی پاسخ می‌دهد که خوانندگان واقعاً دارند: این‌ها برای کسی در کانادا که از VPN یا پیام‌رسان رمزنگاری‌شده استفاده میکند چه تغییری ایجاد میکند.
یک جمله کل تحلیل را در خود دارد: لایحه C-22 دو قانون در یک پاکت است، یک پرسش محدود و بدون حکم قضایی در جلو، و در پشت، اختیاری برای اینکه به هر سرویس آنلاین، بهطور مخفیانه، دستور داده شود خود را از نو بسازد تا دسترسی مجاز ممکن شود.
لایحه C-22 چیست و اکنون در کدام مرحله پارلمان قرار دارد؟
گری آناندسانگری، وزیر امنیت عمومی، لایحه C-22 را در 12 مارس 2026 ارائه کرد، پس از آنکه محتوای آن از لایحه جامع «مرزهای قوی» (Strong Borders) سال 2025 جدا شد. کمیته امنیت عمومی مجلس عوام بین 5 مه و 17 ژوئن اظهارات 106 شاهد را شنید و 61 گزارش کتبی دریافت کرد. سپس فشرده‌سازی آغاز شد: گزارش کمیته، مرحله گزارش و شور سوم همگی در 18 ژوئن انجام شدند، بر اساس طرحی دولتی که بحث را محدود کرد و جلوی اصلاحیه‌های جدید را گرفت، و آخرین جلسه کمیته تا پس از نیمه‌شب ادامه یافت.
سنا لایحه را همان روز دریافت کرد و از آن زمان شور دوم آن را در دستور دارد. تا 8 اکتبر هنوز به کمیته‌ای در سنا ارجاع نشده بود، یعنی بررسی تفصیلی این مجلس، مرحله‌ای که شاهدان بازمی‌گردند و اصلاحیهها نوشته میشوند، هنوز پیش رو است. این صفحه در همین بازه زمانی نوشته شده است.
پلیس و CSIS بر اساس بخش 1 بدون حکم قضایی چه چیزی می‌توانند مطالبه کنند؟
اصلی‌ترین اختیار بخش 1، ماده جدید 487.0121 قانون کیفری است: درخواست تأیید خدمات. مأموری که دلایل معقولی برای سوءظن به وقوع جرم دارد، میتواند از یک ارائهدهنده خدمات مخابراتی بخواهد تأیید کند «که آیا خدمات مخابراتی ارائه میدهند یا ارائه داده‌اند یا نه» به یک مشترک، حساب یا شناسه مشخص. هیچ قاضی‌ای آن را امضا نمیکند. ارائهدهنده دست‌کم 24 ساعت فرصت دارد، میتواند ظرف پنج روز کاری از قاضی بخواهد آن را لغو کند، در صورت امتناع بدون عذر قانونی با جریمه‌ای تا $5,000 روبه‌رو می‌شود و میتواند تا یک سال مشمول دستور منع افشا شود.
این را محدود بخوانید، چون واقعاً محدود است: پاسخ اجباری بله یا خیر است. اینکه مشترک کیست، چه خدماتی خریده، چه زمانی و روی کدام دستگاه‌ها، همه این‌ها همچنان به دستور ارائه اطلاعات از سوی دادگاه نیاز دارد، هرچند C-22 آستانه صدور این دستور را «دلایل معقول برای سوءظن» قرار می‌دهد، یعنی پایین‌ترین معیار موجود در جعبه‌ابزار. اختیار جدید و جداگانه‌ای هم به قاضی اجازه می‌دهد ارسال درخواست اطلاعات مشترک و داده‌های انتقال را مستقیماً به ارائهدهندگان خارجی مجاز کند.
نسخه‌ای که کسی درباره‌اش حرف نمی‌زند، نسخه CSIS است. ماده جدید 20.22 قانون CSIS همین اختیار مطالبه را بدون هیچ آستانه سوءظن تصریح‌شده و با شرط عدم افشایی بدون محدودیت زمانی به این سرویس اطلاعاتی می‌دهد. دفاع دولت در بیانیه منشور (Charter Statement) خود این است که این درخواست «اطلاعات پایه» را آشکار میکند و نه محتوای ارتباطات را، و اینکه سوءظن معقول مانع کاوش‌های بی‌هدف می‌شود. کمیسر حریم خصوصی که در ماه مه در برابر کمیته حاضر شد، این درخواست را محدودتر و دقیق‌تر از تلاش‌های پیشین توصیف کرد و سپس شش اصلاحیه خواست، از جمله تعریفی بسته از اطلاعات مشترک و الزامی برای رعایت ضرورت و تناسب.
دولت بر اساس بخش 2 میتواند به یک VPN یا پیام‌رسان دستور دهد چه چیزی بسازد؟
بخش 2 قانون جدیدی وضع میکند، قانون پشتیبانی از دسترسی مجاز به اطلاعات (Supporting Authorized Access to Information Act)، و این همان بخشی است که صنعت به آن واکنش نشان می‌دهد. دامنه آن را یک تعریف تعیین میکند: ارائهدهنده خدمات الکترونیکی هر کسی است که خدمتی الکترونیکی «به اشخاص در کانادا» ارائه می‌دهد یا در کانادا فعالیت تجاری دارد. یک ارائهدهنده VPN با کاربران کانادایی مشمول این تعریف است. همین‌طور یک پیام‌رسان، یک سرویس ایمیل و یک شرکت خارجی که هیچ دفتری در کانادا ندارد.
برای دسته‌هایی از ارائهدهندگان که هیئت وزیران بعداً به‌عنوان ارائهدهندگان اصلی تعیین میکند، آیین‌نامه‌ها می‌توانند ساخت، آزمایش و نگهداری «قابلیتهای عملیاتی و فنی» را الزامی کنند که به شخص مجاز امکان دسترسی به اطلاعات را می‌دهد، و می‌توانند نگهداری دسته‌هایی از فراداده را تا شش ماه الزامی کنند. برای بقیه، ماده 7 وجود دارد: وزیر میتواند به هر ارائهدهنده خدمات الکترونیکی، اصلی یا غیراصلی، دستور دهد هر کاری را انجام دهد که آن آیین‌نامه‌ها می‌توانستند الزامی کنند. این دستور به تأیید کمیسر اطلاعات نیاز دارد که یک نهاد بازبینی است، نه دادگاه. این دستور از شمول قانون اسناد قانونی (Statutory Instruments Act) معاف است، پس هرگز منتشر نمی‌شود. و ماده 14 ارائهدهنده را از افشای وجود دستور منع میکند، با جریمه‌هایی تا $100,000 برای اشخاص حقیقی و $500,000 برای شرکتها. جریمه‌های اداری به $250,000 برای هر تخلف می‌رسد که به‌صورت روزانه محاسبه می‌شود. تنها دریچه شفافیت، گزارشی سالانه است که باید تعداد دستورهای صادرشده از سوی وزیر را اعلام کند.
تحلیل Citizen Lab که با همکاری انجمن آزادی‌های مدنی کانادا نوشته شده، نتیجه گرفت که بخش 2 قابل اصلاح نیست و باید پس گرفته شود و سازوکار نگهداری بی‌رویه فراداده در آن «تقریباً بهطور قطع مغایر قانون اساسی» است، و در نکته فنی، هشدار EFF را نقل کرد که «هیچ درِ پشتی امنیتی‌ای وجود ندارد که فقط برای «آدم‌خوب‌ها» باشد». کانون وکلای کانادا به منشور حقوق استناد کرد: هر دو بخش خطر نقض حمایت ماده 8 در برابر بازرسی و توقیف غیرمعقول را دارند.
کدام ارائهدهندگان گفته‌اند کانادا را ترک میکنند؟
سابقه تاریخ‌دار، شرکت به شرکت. هر مورد به بیانیه یا به رسانه‌ای که نقل‌قول مستقیم را منتشر کرده پیوند دارد؛ هیچ ارائهدهندهای علناً قول نداده که بماند و الزامات را اجرا کند.
| ارائهدهنده | چه گفتند | چه زمانی |
|---|---|---|
| Windscribe (تورنتو) | گفت به جای تغییر نحوه کار سرویسش، «مقر را منتقل می‌کنیم و مالیات‌هایمان را جای دیگری می‌بریم»؛ در سپتامبر، یگور ساک، مدیرعامل، C-22 را برای شرکتهای فناوری در کانادا «غیرقابل‌دوام» خواند | 14 مه 2026 |
| Signal | «اگر روزی مجبور شویم میان خیانت به کسانی که به ما تکیه کردهاند و ترک یک بازار یکی را انتخاب کنیم، بازار را ترک می‌کنیم» (اودبهاو تیواری، معاون راهبرد و امور جهانی) | مه تا ژوئن 2026 |
| NordVPN | گفت «همه گزینه‌های عملی، از جمله محدود کردن یا در صورت لزوم، برچیدن حضورمان از حوزه قضایی کانادا» را بررسی میکند | 15 مه 2026 |
| Proton VPN | به جای خروج، از اجرای الزامات خودداری میکند: اجرای دستورهای نظارتی خارجی بیرون از روند قانونی سوئیس «جرم کیفری است. چنین اتفاقی نمی‌افتد.» (دیوید پترسون، مدیر کل) | 22 مه 2026 |
| DuckDuckGo | «می‌توانیم تأیید کنیم که سرویس VPN خود را حذف خواهیم کرد» (از کانادا) | 4 ژوئن 2026 |
| Tailscale (تورنتو) | تجدید ساختار عملیات بین‌المللی در خارج از کانادا را مطرح کرد؛ نامه صنعت در سپتامبر را هم امضا کرد | ژوئن و سپتامبر 2026 |
| Psiphon (تورنتو) | اگر C-22 به همین شکل تصویب شود، در حال تهیه برنامههایی برای خروج است: «این دسترسی قانونی نیست. این یک آسیبپذیری منتشرشده است.» (کنزی السورثی، معاون) | 4 اکتبر 2026 |
سه شرکت از این فهرست مقرشان در تورنتو است و ماجرای Psiphon پیچ دیگری هم دارد: دولت فدرال در سال 2026 حدود $600,000 به آن کمک مالی داد، همان سالی که لایحه شاخص همین دولت این شرکت را به سوی در خروج راند. استدلال متن‌باز Psiphon تیزترین استدلال فنی ثبت‌شده است: «نمی‌توانید در کد متن‌باز درِ پشتی مخفی بسازید. هر خطی که منتشر می‌کنیم عمومی است.»
پیرامون این فهرست، جبهه گسترده‌تری شکل گرفته است. Apple، Google و Meta همگی درباره رمزنگاری به کمیته هشدار دادند؛ نامه ائتلافی 14 سازمان جامعه مدنی و 15 پژوهشگر و کارشناس حقوقی خواستار پس گرفتن کامل لایحه شد و آن را «گسترده‌ترین تعرض به حقوق حریم خصوصی کانادایی‌ها در تاریخ معاصر» خواند؛ و در سپتامبر، 23 شرکت و گروه صنعتی، از جمله Coinbase Canada، به وزیران نوشتند که «درِ پشتی برای مجریان قانون، درِ پشتی برای همه است». سخنگوی دولت مستقیماً به ماجرای Psiphon پاسخ داد: چارچوب دسترسی قانونی «به‌خودی‌خود، فعالیت یک سرویس امن و حافظ حریم خصوصی در کانادا را ناممکن نمیکند». سه شرکت بزرگ مخابراتی کانادا که بار درخواست‌های بخش 1 را به دوش خواهند کشید، هیچ اظهارنظر علنی نکرده‌اند.
آیا لایحه C-22 VPNها را ممنوع میکند یا رمزنگاری شما را می‌شکند؟
هیچ‌کدام، و نسخه صادقانه هر دو پاسخ ارزش توضیح دادن دارد.
درباره استفاده از VPN: همه تعهدات لایحه بر دوش شرکتها است. هیچ بندی برای شخصی که از طریق VPN، در کانادا یا از کانادا، متصل می‌شود جرمی ایجاد نمیکند. آن 22 درصد از کاربران اینترنت کانادا که در نظرسنجی 2026 سازمان CIRA گفتند برای محافظت از داده‌های شخصی‌شان از VPN استفاده میکنند، فردای توشیح سلطنتی بیدار میشوند بی‌آنکه هیچ جرمی مرتکب شده باشند. جایی که C-22 به کاربر VPN مربوط می‌شود غیرمستقیم است: سمت ارائهدهنده. یک شرکت VPN که به کانادایی‌ها خدمات می‌دهد طبق بخش 2 ارائهدهنده خدمات الکترونیکی است، یعنی می‌توان بهطور مخفیانه به آن دستور داد قابلیتهای دسترسی بسازد، دقیقاً همان سناریویی که Psiphon، NordVPN و Windscribe در محاسبات خود لحاظ کردهاند. اینکه VPN در چارچوب بخش 1 چه چیزی را تغییر می‌دهد و چه چیزی را نه، مسئله‌ای مکانیکی است: هنوز می‌توان از ISP شما خواست تأیید کند که شما مشتری آن هستید، چون این واقعیت در پایگاه داده صورت‌حساب‌ها قرار دارد، نه در ترافیک شما.
درباره رمزنگاری: مجلس عوام بند 2(4) را افزود که میگوید هیچ تعهدی ارائهدهنده را مجبور نمیکند اطلاعاتی را رمزگشایی کند که «توسط شخصی که ارائهدهنده خدمات الکترونیکی به او خدمات می‌دهد رمزنگاری شده است». سپس بند استثنا می‌آید: مگر آنکه خود ارائهدهنده رمزنگاری را فراهم کرده باشد و کلیدها را در اختیار داشته باشد. طراحی‌های سرتاسری (end-to-end) که کلیدها را کاربران نگه میدارند روی کاغذ دور از دسترس می‌مانند؛ رمزنگاری تحت مدیریت ارائهدهنده، که شامل بیشتر فضاهای ذخیره‌سازی ابری و بسیاری از پیام‌رسان‌ها است، قابل الزام است. سپر همراه آن، یعنی اینکه هیچ دستوری نمیتواند ارائهدهنده را به ایجاد «آسیبپذیری سیستمی» وادار کند، در کمیته بازنویسی شد و اکنون خطرهایی را که به افراد تحت حکم قضایی محدود میشوند مستثنا میکند. ضعفی که فقط برای هدفها ساخته شده، بنا به تعریف، سیستمی نیست. اینکه آیا یک ضعف اصلاً میتواند به هدف‌هایش محدود بماند، دقیقاً همان چیزی است که جامعه امنیت درباره‌اش اختلاف نظر دارد، و اطمینان وزیر به اینکه لایحه «هرگز قرار نبود رمزنگاری را بشکند» همان ادعایی است که آن اصلاحیهها برای پشتیبانی از آن نوشته شدند.
C-22 در مقایسه با بریتانیا و استرالیا چگونه است؟
دفاع همیشگی دولت این است که متحدان کانادا از قبل این ابزارها را دارند. این مقایسه واقعی است و شمشیری دولبه است.
| کانادا: C-22 (SAAIA) | بریتانیا: قانون اختیارات تحقیقاتی 2016 | استرالیا: TOLA 2018 | |
|---|---|---|---|
| چه کسی دستور قابلیت را تأیید میکند | کمیسر اطلاعات (نهاد بازبینی) | کمیسر قضایی، همان «قفل دوگانه» | دادستان کل برای اطلاعیه‌های قابلیت |
| به چه کسی می‌توان دستور داد | هر «ارائهدهنده خدمات الکترونیکی» که به اشخاص در کانادا خدمات می‌دهد | اپراتورهای مخابراتی و پستی، از جمله اپراتورهای خارج از کشور | «ارائهدهندگان ارتباطی تعیین‌شده»، از جمله خارجی‌ها |
| عبارت‌بندی درباره رمزنگاری | بدون رمزگشایی اجباری رمزنگاری اعمال‌شده توسط کاربر، مگر آنکه کلیدها در اختیار ارائهدهنده باشد | صراحتاً حذف «حفاظت الکترونیکی» اعمال‌شده توسط اپراتور را پیشبینی میکند | ممنوعیت قانونی الزام به «ضعف سیستمی»، که در خود قانون تعریف شده است |
| محرمانگی | دستورها منتشر نمی‌شوند، افشا تا $500,000 جریمه دارد | اطلاعیه‌ها محرمانه‌اند؛ دولت نه تأیید میکند نه تکذیب | اطلاعیه‌ها محرمانه‌اند، با انتشار آمار سالانه |
| نگهداری فراداده | تا 6 ماه از طریق آیین‌نامه | تا 12 ماه | 2 سال (نظام جداگانه 2015) |
ستون بریتانیا فرضی نیست. یک اطلاعیه قابلیت فنی که گزارش شده علیه Apple صادر شده، این شرکت را به کنار گذاشتن Advanced Data Protection برای کاربران بریتانیایی در فوریه 2025 واداشت؛ Apple در ژوئیه 2026 شکایت تازه‌ای نزد دیوان (Tribunal) علیه دستوری بازنویسی‌شده ثبت کرد، و کاربران بریتانیایی هنوز نمیتوانند این قابلیت را فعال کنند. تهدید به خروج، وقتی دیگر تهدید نباشد، چنین شکلی دارد. سابقه استرالیا جهت دیگری را نشان می‌دهد: در نخستین سال TOLA، نهادها 7 درخواست کمک داوطلبانه و صفر اطلاعیه قابلیت اجباری به کار بردند، و بازبین مستقل خود این نظام توصیه کرد تأییدها به یک نهاد قضایی منتقل شود، همان ضمانتی که C-22 فاقد آن است. در اتحادیه اروپا، هیچ سند حقوقی لازم‌الاجرایی در حال حاضر چنین الزامات قابلیتی را بر VPNها یا پیام‌رسان‌ها تحمیل نمیکند؛ نبرد بر سر اسکن پیام‌های خصوصی هنوز در مذاکرات سه‌جانبه (trilogue) جریان دارد، همان‌طور که در مرجع ما درباره Chat Control مستند کرده‌ایم.
آیا کانادا پیش‌تر هم چنین کاری را امتحان کرده است؟
هفت بار در دو دهه: دیوید فریزر، وکیل کانادایی حوزه حریم خصوصی، پنج تلاش پیشین را فهرست کرده است، در سال‌های 2005، 2009، 2011، 2012 و 2013، پیش از مقررات دسترسی قانونی که در لایحه مرزی 2025 گنجانده شده بود و اکنون C-22. تلاشی که کانادایی‌ها به یاد دارند، C-30 در سال 2012 است که پس از آنکه وزیر امنیت عمومی در مجلس عوام به منتقدان گفت «یا با ما بایستید یا با تولیدکنندگان هرزه‌نگاری کودکان»، از میان رفت؛ دولت ظرف یک سال لایحه را پس گرفت و دسترسی بدون حکم به اطلاعات مشترک را هم همراه آن کنار گذاشت. تنها بازمانده، C-13، در سال 2014 فقط به این دلیل تصویب شد که بدون آن اختیارات تدوین شده بود. C-22 نخستین تلاش از آن زمان است که هر دو نیمه، یعنی پرسش بدون حکم و الزام قابلیت، را بازمی‌گرداند، و نخستین تلاش در تاریخ است که این الزام را به جای اینکه فقط متوجه شرکتهای مخابراتی کند، متوجه هر ارائهدهنده خدمات الکترونیکی میکند.
بعد چه اتفاقی می‌افتد؟
شور دوم در سنا با ارجاع به کمیته پایان می‌یابد؛ بررسی کمیته شاهدان را بازمی‌گرداند؛ شور سوم و هر اصلاحیه‌ای لایحه را به مجلس عوام بازمی‌فرستد. استیون مک‌کینون، رهبر دولت در مجلس عوام، در ژوئن گفت سنا هنگام بازگشت در پاییز به لایحه رسیدگی خواهد کرد؛ با باز بودن شور دوم در اواسط اکتبر و بررسی کمیته‌ای که در پیش است، دسامبر 2026 زودترین بازه واقع‌بینانه برای توشیح سلطنتی به نظر می‌رسد و کشیده شدن آن به 2027 محتمل است. نقاط فشاری که باید زیر نظر داشت همان‌هایی‌اند که سوابق از قبل نشان میدهند: اینکه آیا سنا شش اصلاحیه کمیسر حریم خصوصی را در بخش 1 می‌گنجاند، اینکه آیا تعریف آسیبپذیری سیستمی مانند استرالیا کفی قانونی پیدا میکند، و اینکه آیا هیچ‌یک از هفت شرکت این فهرست پیش از رأی‌گیری از بیانیه به عمل می‌رسد.
برای نقشه گسترده‌تری که این لایحه اکنون به آن می‌پیوندد، فهرست ما از کشورهایی که به ارائهدهندگان VPN دستور مسدودسازی وب‌سایت‌ها را میدهند نیمه مبتنی بر حق نشر از تعهدات ارائهدهندگان را دنبال میکند، و راهنمای کشوربه‌کشور قانونی بودن VPN نشان می‌دهد که خود استفاده در کجا محدود است. برای اینکه ببینید قانون امروز از درون کانادا چه شکلی دارد، از صفحه کانادای ما شروع کنید: استفاده از VPN قانونی است و این لایحه، هر سرنوشتی پیدا کند، این را تغییر نمی‌دهد.
درباره نویسنده
بخش خبری Le VPN
Le VPN Research Team بخش خبری وبلاگ Le VPN است. این تیم قطعی‌های اینترنت، سانسور، قوانین تازه حریم خصوصی و رخدادهای امنیت سایبری را در لحظه وقوع دنبال میکند و آنها را به گزارش‌هایی روشن و مستند تبدیل میکند. هر مقاله بر پایه منابع دست‌اول نوشته می‌شود، با همان منابع راستی‌آزمایی می‌شود و پیش از انتشار طبق قواعد ویرایشی Le VPN بازبینی می‌شود.
مقاله‌های Le VPN Research Team →
