Hoy, Meta compareció ante el Comité Permanente de Seguridad Pública y Nacional Seguridad de Canadá, donde una versión de estas declaraciones fue entregada como comentarios orales. Agradecemos al Comité por invitarnos a compartir nuestra perspectiva con sus miembros y con los canadienses.
Declarado por Rachel Curran, Directora de Políticas Públicas, Canadá, Meta
Gracias, M. Presidente.
Buenas tardes y gracias por la oportunidad de comparecer ante el Comité hoy. Mi nombre es Rachel Curran y soy la Directora de Políticas Públicas para Canadá en Meta. Me acompaña mi colega Robyn Greene, quien es experta en el tema que se está considerando hoy.
Meta está profundamente comprometida a mantener a nuestros usuarios canadienses seguros en línea y fuera de línea, y estamos a favor de proporcionar a las agencias de aplicación de la ley las autoridades que necesitan para obtener pruebas críticas y proteger la seguridad pública. Nos involucramos de manera rutinaria con agencias canadienses de aplicación de la ley en todos los niveles de gobierno, incluyendo la denuncia proactiva de amenazas que identificamos o respondiendo a demandas legales válidas y solicitudes de emergencia de las autoridades canadienses.
Aplaudimos al gobierno por abordar muchas de las preocupaciones planteadas sobre la Parte 14 del anterior Proyecto de Ley C-2. Con enmiendas estrechamente ajustadas, la actual Parte 1 del Proyecto de Ley 22 proporcionaría a la ley una estructura legal efectiva para obtener datos necesarios de manera oportuna.
Sin embargo, la Parte 2 es una historia diferente. Sus amplios poderes, supervisión mínima y falta de salvaguardias claras podrían tener un impacto negativo significativo en la privacidad y la ciberseguridad de los canadienses, haciendo que los canadienses estén menos seguros, no más.
Primero, las obligaciones de asistencia técnica en la Parte 2 podrían conscribir a las empresas privadas como un brazo del aparato de vigilancia del gobierno, con un alcance expansivo y salvaguardias insuficientes. Según se redacta, el Proyecto de Ley podría requerir que empresas como Meta construyan o mantengan capacidades que debiliten o eludan el cifrado u otras arquitecturas de seguridad de conocimiento cero, y obligar a los proveedores a instalar spyware gubernamental directamente en sus sistemas.
El Proyecto de Ley pretende proteger contra los riesgos al cifrado permitiendo a los proveedores impugnar demandas que introducirían una “vulnerabilidad sistémica”; sin embargo, la definición de “vulnerabilidad sistémica” no está clara. Términos esenciales como “cifrado” quedan a ser definidos en regulación, mientras que órdenes ministeriales pueden anular esas mismas regulaciones. Además, el proyecto de ley no contiene ningún proceso para impugnar una orden problemática ni protecciones de responsabilidad para las empresas mientras una impugnación está pendiente. Estas omisiones dejan a las empresas en una situación legal muy incierta, con una comprensión poco clara de cómo se pueden utilizar estas autoridades y el impacto correspondiente en la privacidad y la ciberseguridad de los canadienses.
El consenso de la comunidad técnica sobre esto es claro: no es posible construir puertas traseras para sistemas cifrados para la aplicación de la ley sin crear vulnerabilidades que serán explotadas por actores maliciosos. Debilitar el cifrado no solo afecta al objetivo de una investigación, sino que impacta a cada canadiense que depende de comunicaciones privadas y seguras para realizar operaciones bancarias, acceder a atención médica, gestionar un negocio o simplemente hablar con su familia.
Este no es un riesgo hipotético. Los gobiernos de todo el mundo aún enfrentan las repercusiones de los ciberataques patrocinados por el estado chino, conocidos como “Salt Typhoon”, que atacaron a proveedores de servicios de internet y fueron el resultado directo de la construcción de mecanismos de asistencia técnica para la aplicación de la ley, como se requiere bajo una ley estadounidense que es mucho más restrictiva que la Parte 2. Las propias agencias de seguridad de Canadá entienden esto. El SCRS (Servicio Canadiense de Inteligencia de Seguridad) y el Centro Canadiense para la Ciberseguridad se unieron a múltiples agencias de ciberseguridad de naciones aliadas para emitir una guía que recomendaba específicamente la adopción del cifrado y la desactivación de sistemas no cifrados como defensas clave contra ataques de este tipo.
La Parte 2 del Proyecto de Ley C-22 movería a Canadá en dirección opuesta y fuera de alineación con nuestros aliados más cercanos. El año pasado, Francia y Suecia abandonaron propuestas similares y la UE garantizó protecciones robustas para el cifrado en su acuerdo sobre una regulación de seguridad en línea. El uso similar de una autoridad en el Reino Unido, que ordenó a Apple que rompiera su servicio de nube cifrado, atrajo la condena del gobierno de EE. UU., incluido el Congreso y la FTC, así como 200 organizaciones de la sociedad civil a nivel global, y finalmente resultó en que Apple retirara su servicio de Protección Avanzada de Datos.
Imponer obligaciones que los socios comerciales más cercanos de Canadá han rechazado explícitamente no solo expondría a las empresas y consumidores canadienses a mayores riesgos de ciberseguridad, sino que también ahogaría la innovación y la inversión en el país, dañando la competitividad canadiense en el exterior.
Además, las órdenes de no divulgación a menudo excesivamente amplias de la Parte 2 corren el riesgo de convertirse en una regla de secreto por defecto, socavando la confianza y la transparencia pública. El proyecto de ley también permite la retención obligatoria de metadatos en forma masiva por hasta un año, capturando la información privada de ciudadanos comunes sin conexión a ningún crimen, y otorga autoridad para registrar locales de empresas y aprehender datos sin una orden judicial.
A la luz de estos desafíos significativos, instamos a los legisladores a separar la Parte 2 del Proyecto de Ley C-22 para que estos temas críticos reciban el tiempo y la atención que merecen.
Para evitar los peores resultados de privacidad y seguridad, los cambios fundamentales requeridos incluyen:
- Eliminar las obligaciones para que las empresas añadan herramientas de vigilancia del gobierno o de terceros u otro software a sus sistemas.
- Fortalecer la definición de “vulnerabilidad sistémica” para excluir explícitamente cualquier requerimiento que debilite o rompa el cifrado, imponga un escaneo del lado del cliente o introduzca de otro modo una debilidad de seguridad.
- Codificar el proceso para que las empresas impugnen solicitudes problemáticas con protecciones de responsabilidad mientras se aguarda una resolución.
Agradecemos su tiempo hoy. Seguimos comprometidos a trabajar con el gobierno en un enfoque que equilibre la necesidad de herramientas efectivas de aplicación de la ley con la protección de la privacidad y la seguridad de los canadienses.
