以下は、Techcrunchの英語版サイトの記事の翻訳です。secource rougeによると、2020年から2021年にかけて、パリのSainte Marthe広場で再開発(高級化のためのジェントリフィケーション)に反対する建物の占拠闘争が行なわれており、厳しい弾圧を受けてきた。約20名が逮捕され、有罪判決や数千ユーロの罰金が科せられてきた。スクウォッターたち7名が「集団窃盗・損壊および住居侵入」罪で2022年初頭に裁判がある。捜査の過程で、警察は「Youth For Climate」というグループが使用してきたProtonmailのアドレスとInstagramに投稿された写真に注目した。Protonmailがユーロポルを経由してスイス捜査当局の要求にどのように応じたのか、このことがどのような批判を浴べているのか、については以下に詳しい。

なお、Sainte Marthe広場の闘争については、下記にもリンクされているが「Récit policier de Sainte Marthe」に時系列での記述がある。

この出来事は、エンドツーエンド暗号化の限界がどこにあるのかについての教訓にもなる。捜査機関の法執行を阻止できなければ、メールの内容は暗号化で保護さても、送受信アドレスやメタデータについては、ログが存在する限りは提供される可能性がある。アドレスの保有者が誰であるのかを秘匿している場合であっても、IPアドレスによって、ターゲットを絞ることは不可能ではない。IPアドレスに関しては、VPNやTorを利用することでこうしたリスクを回避することは可能になるかもしれない。Protonmailの法執行機関向けのポリシーの日本語訳も参照してください。

関連記事 (小倉利丸)

---

ナターシャ・ローマス、ロマン・ディレット/ 8:46 PM GMT+9-September 6, 2021

エンドツーエンドの暗号化通信を中心としたホスト型電子メールサービスのProtonMail社は、フランス当局が同オンラインサービスを利用していたフランス人活動家のIPアドレスを入手できたことが警察の報告書に記載され、批判を浴びている。同社はこの事件について、IPアドレスの記録はデフォルトでは行っておらず、地元の規制（この場合はスイスの法律）にのみ準拠していると公言している。ProtonMail社はフランス当局に協力しなかったが、フランスの警察はユーロポールを通じて、同社のユーザーのIPアドレスを取得する強制措置をスイスの警察に依頼した。

この1年、パリのサントマルトPlace Sainte Marthe広場近くの商業施設やアパートを占拠しているグループがある。彼らは、ジェントリフィケーション、不動産投機、Airbnb、高級レストランなどに反対してきた。最初はローカルな闘いだったが、象徴的なキャンペーンになった。彼らは、2015年11月13日にパリで発生したテロの標的となったレストラン「Le Petit Cambodge」が借りていた建物を占拠し始めたことで、新聞の見出しを飾った。

9月1日、同グループは、反資本主義のニュースサイ、Paris-luttes.infoに、同グループの一部のメンバーに対するさまざまな警察の捜査や訴訟をまとめた記事を掲載した。それによると、フランスの警察は、ProtonMailのアカウントを作成した人物の身元を明らかにするために、Europolの要求をProtonMailに送信した。このメールアドレスは、様々なアナキストのウェブサイトで共有されていたものだ。

翌日、Twitterの@MuArFは、ProtonMailの返信内容を詳細に記した警察の報告書の要旨をシェアした。MuArFによると、この警察報告書は、Place Sainte-Marthe周辺の建物を占拠していたグループに対して行われている捜査に関連するものだという。それによると、フランスの警察がユーロポールのメッセージを受け取ったという。このメッセージには、ProtonMailのアカウントに関する詳細が含まれている。

報告書の内容は次の通り。

・「プロトンメール社からの連絡によると、この電子メールアドレスは、…このアカウントにリンクされているIPアドレスで作成されており、以下の通り…
・使用されているデバイスは、番号…で識別されるデバイスである。
・当社が送信するデータは、PROTONMAIL TECHNOLOGIESのプライバシーポリシーによるものに限られる。」

Cops are lying ?

Originally tweeted by MuArF (@MuArF) on 2021年9月2日.

ProtonMailの創設者兼CEOのAndy Yenは、Twitter上で、特にこの事件の具体的な状況に言及することなく、警察の報告書に応答した。「プロトンはスイスの法律を遵守しなければなりません。犯罪が発生するとすぐに、プライバシー保護が停止される可能性があり、私たちは、スイス当局からの要請に答えることがスイスの法律で義務付けられています」と書いている。

特にAndy Yenは、フランスの警察やユーロポールに協力しなかったことを明確にしたがっている。ユーロポールは、フランス当局とスイス当局の間のコミュニケーション・チャンネルとして機能していたと思われる。ある時点で、スイス当局がこの事件を引き継ぎ、ProtonMailに直接要請を送った。同社は、透明性報告書の中で、これらの要求を「スイス当局によって承認された外国の要求」としている。

TechCrunchは、ProtonMailの創業者兼CEOのAndy Yenに、この件に関する質問をぶつけてみた。

ProtonMail社によると、スイスの法律では通知が義務づけられているため、対象となったアカウント保有者が、自分のデータがスイス当局によって請求されたことをいつ通知されたのかということが、一つの重要な質問だ。

しかし、Yenは、「プライバシーと法律上の理由から」、本件の具体的な内容についてはコメントできないと語り、「現在進行中の調査に関する非公開情報」も提供できないと述べ、「このような質問は、スイス当局に直接していただく必要があります」と付け加えた。

ProtonMail社は、エンド・ツー・エンドで暗号化された電子メールサービスのユーザーに関するデータを求める法執行機関向けに、「ProtonMailユーザー通知ポリシー」を含む情報を公開している。

このなかで同社は、スイスの法律では、「第三者が個人データを要求し、そのデータが刑事訴訟で使用される場合には、ユーザーに通知することが義務付けられている」と繰り返し述べているが、「特定の状況では」通知が「遅れることもある」とも述べている。

この方針に基づき、プロトン社は以下のような場合に通知が遅れることがあるとしていいる。スイスの法的手続きそのもの、スイスの裁判所命令、または「適用されるスイスの法律」、または「法執行機関から提供された情報に基づいて、当社の絶対的な裁量により、通知を行うことで特定可能な個人または個人のグループに傷害、死亡、または回復不能な損害を与える危険性があると判断した場合」、通知が一時的に禁止されることがある。

「しかし、一般的なルールとして、対象となるユーザーは、最終的には、ProtonMailまたはスイス当局のいずれかによって通知され、データ要求に対して異議を唱える機会が与えられる」とポリシーは付け加えている。

つまり、今回のケースでは、ProtonMail社は、伐採が開始されてから開示されるまでに8ヶ月もの期間があることから、口座名義人への通知を遅らせるよう法的な命令を受けていたか、あるいは人への「傷害、死亡、回復不能な損害」のリスクを回避するために通知を遅らせることが不可欠であると、スイス当局からの情報提供を受けて判断したかのいずれかであると思われる（注: この文脈で「回復不能な損害」が何を意味するのかは不明であり、身体的損害だけではなく、例えば犯罪捜査など、個人やグループの利益に対する「損害」と比喩的に解釈することができるかどうかは不明だが、この場合、この方針はかなり拡大解釈されたものとなる。)

いずれのシナリオにおいても、個人のデータが要求されたときに、スイスの法律が強制的な通知義務を課している個人への透明性のレベルは、同じ法律執行当局が基本的に長期間（この特定のケースでは半年以上と思われる）通知を差し控えることができるならば、著しく制限されることになる。

ProtonMail社の公開情報には、スイス当局によるデータ要求の驚くべき増加も記録されている。

同社の透明性報告書によると、ProtonMailは2017年にはスイス当局から13件の注文を受けていたが、2020年には3.5千件以上（3,572件！）に膨れ上がった。

また、スイス当局への外国からの依頼が承認される件数も、それほど急ではないものの、増加している。ProtonMail社の報告によると、2017年に13件の依頼を受けていたが、2020年には195件に増加している。

同社は、ユーザーデータに関する適法な要求には従うとしているが、適法ではないと思われる場合には異議を申し立てることもあるとしている。同社の報告によると、異議申し立ての件数は増加しており、2017年にはProtonMail社は3件の異議申し立てを行ったが、2020年には受け取ったデータ要求のうち750件に対して異議申し立てを行った。[以下はTwitterの投稿]

ProtonMailのプライバシーポリシーによると、スイス法に基づく有効な要求に応じてユーザーアカウントについて提供できる情報は、ユーザーから提供されたアカウント情報（メールアドレスなど）、アカウントのアクティビティ／メタデータ（送信者、受信者のメールアドレス、受信メッセージの発信元のIPアドレス、メッセージの送受信時刻、メッセージの件名など）、メッセージの総数、使用したストレージ、最終ログイン時刻、外部プロバイダーからProtonMailに送信された暗号化されていないメッセージなどがある。エンド・ツー・エンドで暗号化された電子メールのプロバイダーである同社は、電子メールデータを復号化することができないため、令状が発行されても電子メールの内容に関する情報を提供することはできない。

しかし、同社は透明性報告書の中で、（法的に）実行する義務があるかもしれない追加的なデータ収集を示唆しており、次のように記している。「当社のプライバシーポリシーに記載されている項目に加えて、極端な犯罪事例extreme criminal casesでは、ProtonMailは、犯罪行為に関与しているProtonMailアカウントへのアクセスに使用されているIPアドレスを監視する義務があるかもしれない。」

「一般的には、国際水域の15マイル沖にでも拠点を置かない限り、裁判所の命令を無視することはできません。」
アンディ・イェン

現在、プライバシー擁護派が警戒しているのは、このIPモニタリング機能であり、「ユーザーのプライバシーを重視する」というProton社のマーケティング上の主張にも少なからず批判が集まっている。

Proton社は、「匿名の電子メール」を提供するというマーケティング上の主張や、透明性に関する情報開示の中で、IPログの記録は「極端な犯罪事例」にのみ行われるという但し書きの表現について、特に批判を受けている。

反ジェントリフィケーション活動家でこの基準に納得して同意する人はほとんどいないだろう。

同時に、Protonはユーザーにオニオンアドレスonion addressを提供している。[https://protonmail.com フッタの左欄「Onionサイト」からアクセス。ただしTorブラウザが必要]つまり、追跡を懸念する活動家は、IPアドレスが追跡されにくいTorを使って暗号化された電子メールサービスにアクセスすることができるのだ。Proton社は、ユーザーがIP監視から身を守るためのツールを提供しているが、その一方で、Proton社のサービスがスイスの法執行機関によって（メールの内容も盗み見されないようにすると同時に）IP監視ツールに変えられてしまう可能性もある。

フランス人活動家のIP記録が明らかになったことへの反発から、YenはTwitterで、ProtonMail社は自社のウェブサイトにオニオンアドレスへのリンクをより目立つように提供すると述べた。

Proton社は、独自のVPNサービスも提供しており、Yenは、スイスの法律ではVPNユーザーのIPアドレスを記録することはできないと主張している。そこで、もし活動家たちがProtonのエンド・ツー・エンドの暗号化メールとVPNサービスの両方を利用していたら、IPアドレスの記録を逃れることができたのではないかと推測してみるのも興味深い。

TechCrunchがこの件についてYenに質問したときに、彼は「もし彼らがTorやProtonVPNを使っていたら、IPを提供することができたでしょうが、それはVPNサーバーのIPか、Torの出口ノードのIPでしょう」と答えた。

「私たちは、オニオンサイト（protonmail.com/tor）を介してこの脅威モデルから保護しています」と付け加えた。「一般的には、国際水域の15マイル沖に拠点を置かない限り、裁判所の命令を無視することはできません」。

「スイスの法制度は完璧ではありませんが、多くのチェック・アンド・バランスを提供しています。今回のケースでも、2つの国の3つの当局からの承認が必要だったことは注目に値しますが、これはかなり高いハードルであり、ほとんどの（すべてではありませんが）制度の乱用を防ぐことができます。」

プロトン社は、Redditに掲載された回答の中で、この件について「深く憂慮している」と書いているが、今回の命令に異議を唱えることはできないと繰り返している。

「この事件で検察はかなり強硬にみえる」と付け加えている。「残念ながら、これは近年世界中で見られるようになったパターンです（例えば、フランスではテロ法が不適切に使用されています）。私たちは、このような法律や悪用に反対するキャンペーンを続けていきます」

さらに、欧州のインターネットユーザーのプライバシーを脅かす可能性のある別の懸念事項として、欧州連合（EU）の議員たちが、強力な暗号化を支持すると同時に、暗号化されたデータへの合法的なアクセスを可能にする方法を模索する意向を示している。

ここでも、プライバシー保護活動家たちは懸念している。

ProtonMail社をはじめとするエンド・ツー・エンドの暗号化サービスは、1月に公開書簡[日本語]を発表し、EUの議員たちがこのままでは、欧州が暗号化を裏切る危険な道を歩むことになると警告していた。