9 月 11 日から 25 年：ついに家に帰らなかった緊急権限

25 年前の今日、各国政府は私たちがいま内側で暮らしている監視システムを築き始めました。そしてそのほとんどすべてが一時的なものとして発表されました。条文に失効日が書かれていたものもあります。フランスは法律にこう書き込みました。2003 年 12 月 31 日。議会は PATRIOT Act のもっとも争点となった条項にサンセット条項を付けました。2001 年の秋、ワシントンでもパリでもロンドンでも、論拠はこうでした。異例の事態には異例の権限が必要であり、その事態はいずれ過ぎ去る、と。

過ぎ去りませんでした。9 月 11 日がデジタルプライバシーに何をしたのかを見るいちばん明快な方法は、2001 年の演説を読み返すことではありません。同じ政府が今年公表した数字を読むことです。

2001 年 9 月 11 日からの数週間で実際に何が変わったのか？

三つのことがほぼ同時に起こり、そのうち公になっていたのは当時ひとつだけでした。

2001 年 10 月 4 日、Bush 大統領は「Authorization for Specified Electronic Surveillance Activities During a Limited Period to Detect and Prevent Acts of Terrorism Within the United States（米国内でのテロ行為を探知し防止するための限定された期間における特定の電子監視活動の承認）」と題する覚書に署名しました。後に Stellar Wind というコードネームで知られることになるそのプログラムは、外国情報監視法が求める令状なしに米国内での収集を承認するものでした。それはおよそ 30 日から 45 日ごとに繰り返し再承認され、4 年以上にわたって公表されませんでした。文書そのものの表題にある「During a Limited Period（限定された期間における）」という語句に注目してください。

2001 年 10 月 26 日、USA PATRIOT Act がローズガーデンで署名されました。下院は 357 対 66 で可決し、上院は 98 対 1 でした。反対票を投じたのは Russ Feingold 上院議員ただ一人です。Section 215 は FBI に、テロ捜査に関連する「あらゆる有形物」の提出を強制することを認めました。Section 505 は国家安全保障書簡を拡大しました。これは裁判官を必要としない行政上の要求であり、受け取ったこと自体を口外することを禁じる緘口令が付きます。

そして 2002 年初頭、国防総省は John Poindexter のもとに情報認識局を設置しました。その Total Information Awareness プログラムは、金融、渡航、医療、通信の記録をひとつの検索可能なシステムに集約することを提案していました。これは行き過ぎであり、しかもあまりに公然としていました。上下両院の歳出協議会は 2003 年 9 月 24 日にその予算を打ち切ることを議決しました。その構成要素であるいくつかの研究プロジェクトは情報コミュニティの別の場所に移され、異なる名前のもとで続きました。これこそ覚えておくべきパターンです。評判の悪い名前のプログラムは死んだが、その能力は死ななかったのです。

ヨーロッパも同じ時計で動きました。フランスの日常安全法（loi relative à la sécurité quotidienne）は 2001 年 11 月 16 日に官報で公布され、通信事業者に対し、犯罪の捜査と訴追のためにトラフィックデータを最長 1 年間保存することを義務づけました。その規定を含む第 5 章は「pour une durée allant jusqu’au 31 décembre 2003」として採択されました。英国の反テロリズム・犯罪・安全保障法は 2001 年 12 月 14 日に国王の裁可を受け、その第 11 部が通信データ保存制度を創設しました。当初は任意でしたが、義務化するための予備的権限が付いていました。

なぜこれらの「一時的な」権限は 2026 年もなお存在するのか？

一時的な権限はその周りに組織を築き、組織は期限より長く生き延びるからです。

フランスはこれをもっとも明快に示しています。失効日が法律に書き込まれており、それがどうなったのかを正確に追えるからです。2003 年の期限は一度に廃止されたわけではありません。まず 2005 年末まで延長され、次いで 2006 年のテロ対策法によって再び引き継がれ、さらに 2008 年にもう一度延長されて 2012 年まで続き、その頃には誰もこの取り決めを暫定的なものだと装っていませんでした。三度の連続した延長、そのいずれもが事務的な手続きであり、1 年間の保存義務はフランス法の恒久的な備品として定着しました。欧州連合司法裁判所が、一般的で無差別な保存は EU 法と両立しないと明示したとき、コンセイユ・デタは 2021 年 4 月 21 日に「la conservation généralisée aujourd’hui imposée aux opérateurs par le droit français est bien justifiée par une menace pour la sécurité nationale」と判断しました。その論理は率直に述べておく価値があります。国家安全保障上の脅威があるから一般的保存は適法であり、政府はその脅威がなお存在するかを定期的に再検討しなければならない、というものです。見直しに服する、恒久的な緊急事態です。

EU レベルの物語も同じように進み、法廷での劇的展開がさらに加わります。データ保存指令はマドリードとロンドンの爆破事件を受けて 2006 年 3 月 15 日に採択され、加盟国に通信メタデータの保存を義務づけるよう求めました。司法裁判所は 2014 年 4 月 8 日にこれを無効としました。Digital Rights Ireland 事件において、それが基本的権利への広範かつ特に重大な干渉を伴い、厳密に必要な範囲に限られていないと判断したのです。それから 12 年後、委員会は新しい指令を起草しています。2025 年 4 月の ProtectEU 戦略は、刑事手続のためのサービスプロバイダーによるデータ保存に関する影響評価を開始し、2026 年中に立法提案が予定されています。対象は IP アドレスや加入者記録といったメタデータで、裁判所が無効とした指令よりも広い範囲のプロバイダーに及びます。

アメリカ版の恒久化はさらに奇妙で、それは 3 か月前に起こりました。

Section 702 は 2026 年 6 月に失効した。なぜまだ動いているのか？

FISA の Section 702 は、米国のインターネットサービスを使うすべての人にとってもっとも重要な権限です。それは、米国外にいると合理的に信じられる非米国人を対象として、米国内のプロバイダーから令状なしに収集することを認めます。その対象との通信も収集されます。これが、一度も対象ではなかった人々のアカウントが、後から検索できるデータベースに入り込む仕組みです。

議会は、FBI が米国人の通信をそのデータベースで検索する前に令状を必要とすべきかどうかで合意できませんでした。期限が来て、何も成立しませんでした。Section 702 は 2026 年 6 月 12 日金曜日の深夜に失効しました。4 月の 10 日間のつなぎ措置を含む、いくつかの短期延長の末のことです。

収集は止まりませんでした。FISA 改正法の経過規定のもとで、すでに効力を持つ認証と指令によって承認された取得は、それらの認証が失効するまで継続します。FISA 裁判所は現行の認証を 2026 年 3 月に承認しました。実務上の帰結は、2026 年 6 月に失効した法律が 2027 年 3 月まで監視を承認しているということであり、議会にとっての実際の期限は、自ら書き込んだサンセット日ではなく、裁判所の認証カレンダーによって定められているということです。

25 年に及ぶ監視法制のなかで起きたすべてのうち、2001 年の取引には出口が組み込まれていたといまだに信じている人に、私が突きつけたい事実はこれです。サンセット条項こそが安全装置でした。緊急権限は見直され、本当に終わりうるという約束でした。2026 年 6 月、その仕組みが実際に試されました。それは失効し、監視は続きました。

監視は本当に 2001 年当時より大きくなっているのか？

そのとおりであり、その出典は情報コミュニティ自身の年次会計です。ODNI は 2026 年 4 月に第 13 回年次統計透明性報告書を公表しました。2025 暦年を対象としたものです。

FBI の検索件数は暦年ではなく、12 月から 11 月までの期間で報告されています。

対象数が見出しです。ここに挙げたすべての年で増え続けており、2025 年の 349,823 件はこれまで公表されたなかで最大、1 年で約 20% の増加です。ODNI は年ごとの変動を、収集上の優先事項、世界情勢、技術的能力、対象の行動などの要因によるものだとしています。

FBI の検索件数は、生の減少幅が示すよりも興味深い話を語っています。119,383 から 5,518 への急落は、2024 年の Reforming Intelligence and Securing America Act による改革の後に起きたもので、ODNI は技術的な統制と個々の慎重さを要因として挙げています。しかし 2025 年の数字は 7,413 に戻って上昇しました。さらに言えば、司法省の国家安全保障局は 2024 年 8 月に、FBI が米国人の通信を検索するために高度なフィルター機能を使っており、それを検索として扱わず、したがって計上していなかったことを認定しました。同省の監察総監は 2025 年にこの経緯を記録しており、その機能が停止されたのは同年初頭になってからでした。ある機関による「検索」という語の定義に依存する統計は、見かけよりも弱い数字です。

国家安全保障書簡は静かな巨人です。2025 年に FBI は 8,865 通を発し、その中には 29,203 件の個別の情報要求が含まれていました。これらは裁判所の命令ではありません。発出前に裁判官が審査することはありません。

誰も立法しなかった監視についてはどうか？

2001 年以降のもっとも重大な変化は、特定の法律ではありません。日常生活に関するデータの量が、そこへのアクセスを規律するどの法律よりも速く増えたということです。

2001 年には、ある人物の移動を追うにはその人物を尾行する必要がありました。今日では位置情報の履歴が既定で存在し、スマートフォンが生成し、企業が保存しています。2023 年 6 月、情報公開請求に応じて ODNI は商業的に入手可能な情報に関する 2022 年 1 月の報告書を機密解除しました。そこでは、情報コミュニティが商業データブローカーから米国人に関するデータを購入していることが認められ、そうした情報は「could facilitate blackmail, stalking, harassment, and public shaming（脅迫、ストーキング、嫌がらせ、公然の辱めを助長しうる）」と警告されています。令状は関与しません。データは買われるのです。

国境は、2001 年の法的構造が 2026 年のスマートフォンと出会うもうひとつの場所です。米国税関・国境警備局は2025 会計年度に 55,318 件の電子機器検査を報告しており、前年の 47,047 件から 17.6% 増加しています。50,922 件は基本検査で、嫌疑をまったく必要としません。13,590 件は米国市民に関するものでした。国境検査例外は 2001 年よりはるかに前からありますが、それはスーツケースのために書かれたものであり、スマートフォンはスーツケースではありません。

空港は、2001 年の姿勢がどれほど徹底して既定になったかを示しています。TSA の顔照合技術はいまや全米およそ 350 の空港で運用されており、同庁は渡航者が「may decline the optional photo, without recourse（任意の撮影を、不利益なく拒否できる）」と述べています。ほとんどの人はそれを知りません。日常的なものとして提示されたシステムは、めったに疑問を持たれないからです。

これらは人々の行動を変えたのか？

ここは通常、主張はされても測定されることの少ない部分です。2016 年、Jonathon Penney は Berkeley Technology Law Journal に研究を発表し、NSA の監視プログラムに関する 2013 年 6 月の暴露の前後で Wikipedia のトラフィックを検証しました。彼は、追跡した 48 本のテロ関連記事の月間平均閲覧数が 2013 年 6 月の後におよそ 19.5% 低下したことを見出し、回帰モデルは直後の落ち込みを総閲覧数の 30% 超と見積もりました。

Wikipedia の記事を読んだために逮捕された人はいません。まさにそこが要点です。監視システムは、あなたが何を調べようとするかを変えるために、あなたに対して使われる必要はありません。それが存在すると知っているだけで十分であり、その代償は何も悪いことをしていない人々が負うのです。

これは、この取引について誠実に議論することがなぜこれほど難しいのかも説明します。監視の便益は具体的で、発表しやすいものです。その費用は、自分がどの検索をやめたのかを決して知ることのない何百万もの人々に薄く広がっています。Section 215 から生まれたプログラムをやがて審理した裁判所は、その便益に感心しませんでした。第 2 巡回区控訴裁判所は 2015 年 5 月 7 日の ACLU 対 Clapper 事件で、その法律はそもそも通話記録の大量収集を一度も承認していないと判断しました。第 9 巡回区控訴裁判所は 2020 年 9 月 2 日の合衆国対 Moalin 事件でさらに踏み込み、大量収集は FISA に違反しており、違憲であった可能性があるとしました。Section 215 自体は 2020 年 3 月 15 日に失効しました。それを正当化の根拠としたプログラムは、控訴裁判所が法律がそれを許すのかという問いに到達するまでに、14 年間稼働していました。

これは読んでいる人にとって何を意味するのか？

25 年という時間は、個人の行動にできることとできないことの明確な姿を描き出します。

それは法的構造を取り消せません。国家安全保障書簡が何を強制するのか、国境の職員が何を検査できるのか、FISA 裁判所の認証が何を承認するのかを変える消費者向け製品は存在しません。国家に対する防御としてツールを売り込む人は、存在しない製品を説明しているのです。

個人の選択が実際に届くのは、法的な層のかたわらで育った、収集の日常的な商業層です。その層はほぼ全員に触れていながら、ほとんど規律されていません。自分が管理していないネットワーク上の通信は、それを運用する者に見えており、フランスの 1 年間の義務のような保存ルールはインターネットサービスプロバイダーに降りかかります。自分のデバイスと VPN サーバーの間の接続を暗号化すれば、ネットワーク事業者には宛先の一覧ではなくトンネルが見えます。その利点は本物であり、同時に限定されており、この文の両方の半分が重要です。Le VPN は 2010 年 11 月にパリで創業し、接続ログを保持しますが利用内容のログは保持せず、最大 10 台の同時接続に対応し、初回購入には 30 日間の返金保証を提供しています。

もうひとつの教訓は期限についてであり、それは励みになるものではありません。フランスの失効日は 2003 年に過ぎ去り、権限は残りました。Section 215 は 2020 年まで続き、その時点でそれが正当化していたプログラムはすでに 14 年間稼働していました。Section 702 は 3 か月前に失効し、収集は裁判所の認証のもとで 2027 年まで続いています。

次の段階を形づくるのは二つの決定です。議会は、それらの認証が 2027 年 3 月に失効する前に Section 702 に立ち返らなければならず、欧州委員会はデータ保存の提案をテーブルに載せることになっています。どちらも注意深く見守る価値があります。2001 年 9 月の火曜日の朝に始まった緊急事態が、ついにその中身について議論されるのか、それとも誰も見ていないうちにまた自動更新されるのかを、それらが決めるからです。

これらの手段がどのように発展してきたのかをより長い視点で見るには、オンラインプライバシーのガイド、強力な暗号化の仕組み、米国の VPN サーバーをご覧ください。ブログでは新しい監視法制の動きを随時取り上げています。