הצעת החוק הקנדית Bill C-22 – Lawful Access Act, 2026 מבקשת לעדכן ולהרחיב את סמכויות רשויות האכיפה והביטחון בקנדה לקבלת מידע דיגיטלי מגורמים המחזיקים או מספקים גישה למידע רלוונטי, ובהם ספקי תקשורת וספקי שירותים מקוונים הפועלים בקנדה או מספקים שירותים לציבור הקנדי.
ההצעה הוגשה לבית הנבחרים הקנדי ועברה בקריאה ראשונה ביום 12.03.2026. ביום 18.06.2026 הושלמו שלב הוועדה לביטחון הציבור, שלב הדוח והקריאה השלישית בבית הנבחרים. באותו יום עברה ההצעה קריאה ראשונה בסנאט והיא ממתינה לקריאה שנייה בסנאט. מסמכי הצעת החוק זמינים בעמוד הרשמי של הפרלמנט הקנדי.
לצד נוסח ההצעה, הצהרת התאמה לצ׳רטר הקנדי הונחה בפני בית הנבחרים ביום 24.04.2026 אשר מבהירה כי הצעת החוק נבחנה, בין היתר, ביחס לחופש הביטוי, הזכות להגנה מפני חיפוש ותפיסה בלתי סבירים וזכויות בהליך פלילי, וכי הדיון בזכויות אלה נועד לסייע לדיון הציבורי והפרלמנטרי.
חלקה הראשון של ההצעה מתקן חוקים קיימים במטרה לייעל את יכולתן של רשויות אכיפה לקבל מידע הדרוש לחקירות פליליות, לרבות מידע מזהה על מנויים, נתוני תקשורת, נתוני מיקום ומידע ממערכות מחשב. בנוסף, ההצעה מאפשרת לבית המשפט להסמיך גורמי אכיפה קנדיים לפנות לספקים זרים המספקים לציבור שירותי תקשורת או שירותים מקוונים, כדי לבקש מהם להפיק נתוני תקשורת או מידע על מנויים המצויים בשליטתם.
במנגנונים המוצעים בתיקון ניתן למצוא אפשרות לדרוש מספק תקשורת לאשר אם הוא מספק או סיפק שירות למנוי, לקוח, חשבון או מזהה מסוים (ס' 5 בהצעה – מוסיף תיקון לחוק העונשין הקנדי); צווי הפקה לקבלת מידע על מנויים (ס' 6 בהצעה); הרחבת סמכויות ביחס לחיפוש, תפיסה ובחינה של מידע ממוחשב (ס' 3 בהצעה); והסדרים ביחס לקבלת נתוני תקשורת ונתוני מעקב.
ההצעה מגדירה “מידע על מנוי” (subscriber Information) (ס' 4 בהצעה) באופן רחב יחסית, כך שהוא עשוי לכלול פרטים מזהים כגון שם, כתובת, טלפון וכתובת דוא״ל, וכן מזהים הקשורים לחשבון, לסוג השירות, לתקופת השירות ולמכשירים או ציוד ששימשו בקשר לשירות.
החלק השני של ההצעה, Part 2 – Supporting Authorized Access to Information Act, מחוקק חוק חדש ויוצר מסגרת רגולטורית ייעודית ביחס לחובות של ספקי שירותים אלקטרוניים. החוק מאפשר לחייב ספקי שירותים אלקטרוניים לסייע בגישה מוסמכת למידע. במסגרת זו ניתן לקבוע בתקנות חובות החלות על ספקים מרכזיים (core providers), ובהן פיתוח, הפעלה, בדיקה ותחזוקה של יכולות טכניות ותפעוליות שיאפשרו חילוץ, ארגון והעברת מידע לרשויות. בנוסף, ניתן לחייב ספקים אלה לשמור קטגוריות מסוימות של מטא־דאטה לתקופה של עד שנה.
ההצעה מסמיכה את השר להוציא צווים גם ביחס לספקי שירותים שאינם מוגדרים כספקים מרכזיים, בכפוף לאישור נציב המודיעין (Intelligence Commissioner). צו כאמור, יכול לכלול הוראות דומות לאלה שניתן לקבוע בתקנות ביחס לספקים מרכזיים. לצד זאת, ההצעה כוללת הוראה שלפיה ספק אינו נדרש לציית להוראה אם הציות מחייב יצירת חולשה מערכתית (systemic vulnerability). נקודה זו עומדת במרכז המחלוקת: מצד אחד, ההצעה מבקשת להבהיר כי אין הכרח שתיווצר חולשה מערכתית; מצד שני, המבקרים טוענים כי עצם החובות הטכניות המוטלות על ספקים עלולות, בפועל, להוביל ליצירת חולשות כאלה.
המסגרת שמוצעת בחלק השני להצעה אינה מסתכמת בהטלת חובות טכניות על ספקים, אלא כוללת גם מנגנוני ציות ואכיפה. לפי הצהרת הצ׳רטר, אכיפת החובות החדשות תיעשה באמצעות משטר של עיצומים כספיים מנהליים לצד עבירות פליליות, וכן באמצעות סמכויות פיקוח, דרישות דיווח, חובת סודיות ביחס לצווים ודרישות לעריכת ביקורת פנימית אצל ספקי שירותים אלקטרוניים. סכום הקנס המנהלי המרבי עומד על 50,000 דולר ליחיד ו־250,000 דולר לתאגיד או לגוף אחר לכל הפרה, כאשר הפרה נמשכת עשויה להיחשב כהפרה נפרדת בכל יום. לצד זאת, עבירות מסוימות עשויות לגרור קנסות של עד 100,000 דולר ליחיד ועד 500,000 דולר לתאגיד או לגוף אחר.
הביקורת המרכזית על הצעת החוק
ה־Internet Architecture Board) IAB), גוף טכני מרכזי במסגרת ה־IETF העוסק בארכיטקטורת האינטרנט, פרסם עמדה ביקורתית ביחס להצעה. עמדת ה־IAB מתמקדת בהתנגדות להסדרים המחייבים גישה חריגה לתקשורת מוצפנת או יוצרים פגיעה בהצפנה. לפי העמדה, לא ניתן לבנות “דלת אחורית” למערכת תקשורת מאובטחת בלי ליצור חולשה שלא ניתן להגן עליה באופן מלא, שעלולה להיות מנוצלת גם על ידי גורמים לא מורשים.
תרשים המתאר את הביקורת בשלושה היבטים מרכזיים: יצירת "דלתות אחוריות" במערכות טכנולוגיות, איסוף נרחב של נתוני משתמשים ושיתוף מידע חוצה גבולות.
במובן זה, הביקורת אינה נוגעת רק לפגיעה נקודתית בפרטיות משתמשים, אלא לחשש רחב יותר מפני פגיעה בארכיטקטורה הבסיסית של האינטרנט. חיוב שירותים מוצפנים לאפשר גישה מיוחדת לרשויות עלול להחליש את רמת האבטחה של כלל המשתמשים – אזרחים, עסקים, עיתונאים, עורכי דין, רופאים, ואף גורמי ממשל. ה־IAB מדגיש כי הצעות מסוג C-22 עלולות להחליש תקשורת מוצפנת וליצור סיכוני אבטחה מערכתיים בתשתיות האינטרנט.
המחשה של היקף הדרישות בשכבות שונות של התשתית הדיגיטלית, ממכשירים ביתיים ואפליקציות ועד שירותי ענן ורשתות תקשורת.
אחת הביקורות המרכזיות היא שההצעה עלולה להוביל בפועל ליצירת דלתות אחוריות (backdoors) או חולשות כפויות במערכות מאובטחות (forced vulnerabilities), באופן שעשוי להשפיע לא רק על חשודים בעבירות אלא על מעגל רחב של משתמשים, שירותים וגורמים מקצועיים.
לפי ביקורת זו, חובות טכניות מסוג זה עלולות להשפיע על משתמשים רגילים ביישומי מסרים מידיים כמו Signal, WhatsApp ו־iMessage; על בעלי מקצוע הכפופים לחובות סודיות וחיסיון, כגון עורכי דין, רופאים ובנקאים; וכן על עיתונאים, מפגינים וארגוני חברה אזרחית הזקוקים לתקשורת מאובטחת. עוד נטען כי ספקיות טכנולוגיה ואבטחה, ובהן Signal, Apple, Meta, Proton, Windscribe ו־NordVPN, הביעו התנגדות או חשש מפני הסדרים שעלולים לחייב פגיעה באבטחת השירותים או בפרטיות המשתמשים.
המחשת התנגדותם של ספקי טכנולוגיה ואבטחה בינלאומיים ל־Bill C-22, ובהם Signal, Apple, Meta, Proton ו־NordVPN.
