Proyecto de ley C-22 de Canadá obliga a una vigilancia masiva de metadatos de los canadienses

• El gobierno de Canadá presentó el proyecto de ley C-22, conocido como la Ley de Acceso Legal (Lawful Access Act), reforzando la obligación de cooperación en vigilancia e interceptación para operadores de telecomunicaciones y proveedores de servicios de Internet (ISP)
• Aunque el nuevo proyecto reduce de forma importante las facultades de acceso a información sin orden judicial, sigue implicando graves riesgos para la privacidad al incluir la construcción de infraestructura de vigilancia de redes y la obligación de conservar metadatos
• El proyecto está compuesto por dos partes: la primera mejora los procedimientos de acceso a datos, y la segunda establece requisitos de tecnología de vigilancia mediante la Ley de Asistencia para el Acceso a Información Autorizada (SAAIA)
• La SAAIA introduce además el concepto de “proveedor de servicios electrónicos” (ESP), ampliando el alcance regulatorio hasta plataformas globales como Google y Meta, y exige la conservación de metadatos por hasta un año
• Aunque el gobierno limitó parcialmente el acceso sin orden judicial, persisten las preocupaciones por el fortalecimiento de la capacidad de vigilancia y las cláusulas de confidencialidad, que podrían debilitar la seguridad de la red y vulnerar las libertades civiles

---

Resumen del proyecto de ley C-22

• El proyecto de ley C-22 (Lawful Access Act) es una nueva propuesta legislativa del gobierno canadiense sobre vigilancia, presentada como una versión corregida del polémico proyecto de ley C-2
  • C-2 permitía el acceso sin orden judicial a información personal, lo que generó controversia constitucional
  • Como respuesta, el gobierno eliminó esas disposiciones de acceso de C-2 y presentó por separado el C-22
• C-22 aborda dos áreas principales
  • Los procedimientos de acceso de las fuerzas del orden a la información personal en poder de operadores de telecomunicaciones (ISP, operadores móviles, etc.)
  • La construcción de capacidades de vigilancia y monitoreo en las redes de telecomunicaciones dentro de Canadá

Cambios en los procedimientos de acceso a datos

• El nuevo proyecto elimina la anterior facultad amplia de exigir información sin orden judicial y la reemplaza por el “derecho de solicitud de confirmación de servicio” (confirmation of service)
  • La policía solo puede solicitar confirmar si una persona específica es cliente de un determinado operador
  • Para acceder a información personal adicional, debe obtener aprobación judicial (orden de producción)
• Estos cambios limitan el alcance de las solicitudes sin orden judicial a los operadores de telecomunicaciones y exigen supervisión judicial para acceder a datos personales
• El proyecto también incluye disposiciones separadas para entrega voluntaria de información, situaciones de emergencia y solicitudes de organismos extranjeros
  • Aun así, sigue preocupando el estándar relativamente bajo de “motivos razonables para sospechar” (reasonable grounds to suspect)

Contenido principal de la SAAIA (Ley de Asistencia para el Acceso a Información Autorizada)

• La SAAIA, que constituye la segunda mitad del proyecto, impone a los operadores de telecomunicaciones la obligación de desarrollar capacidades de vigilancia y monitoreo
  • Deben cooperar para que el gobierno y las fuerzas del orden puedan probar funciones de acceso e interceptación en las redes de telecomunicaciones
  • Todas las solicitudes quedan sujetas a obligaciones de confidencialidad
• Introduce una nueva definición de “proveedor de servicios electrónicos” (ESP)
  • Incluye a cualquier proveedor de servicios electrónicos que preste servicios o realice actividades comerciales en Canadá
  • Esto podría abarcar también a plataformas globales como Google y Meta
• Las empresas designadas como “proveedores clave” (core providers) asumen obligaciones adicionales
  • Desarrollo y mantenimiento de funciones de vigilancia, instalación y operación de equipos, notificación al gobierno y conservación de metadatos por hasta un año, entre otras

Conservación de metadatos y disposiciones de excepción

• La obligación de conservar metadatos es una disposición nueva añadida en C-22 que no existía en C-2
  • Sin embargo, quedan excluidos del deber de conservación el contenido de las comunicaciones, el historial de navegación web y la actividad en redes sociales
• Existe una cláusula de excepción relacionada con la “vulnerabilidad sistémica” (systemic vulnerability)
  • Si una función de vigilancia genera vulnerabilidades de seguridad o impide corregirlas, el operador puede no estar obligado a cumplir esa disposición
• Aun así, se han planteado dudas sobre si esta excepción es suficiente para evitar un debilitamiento de la seguridad
  • También se advierte que los cambios podrían implementarse en secreto y sin divulgación pública

Preocupaciones sobre vigilancia, seguridad y compartición internacional de datos

• La SAAIA plantea múltiples problemas, entre ellos la vulnerabilidad de la seguridad de la red, el secretismo, los costos y el marco de supervisión
• Se interpreta que algunas disposiciones están pensadas para facilitar la cooperación internacional en el intercambio de información, en línea con el Segundo Protocolo Adicional (2AP) del Convenio de Budapest y la CLOUD Act de Estados Unidos
• En consecuencia, se considera que el proyecto de ley C-22, aunque limita el acceso sin orden judicial, sigue implicando un alto riesgo de afectación a la privacidad y las libertades civiles debido al refuerzo de la infraestructura de vigilancia y la recopilación masiva de metadatos

[GN⁺]

Opiniones de Hacker News

• Se me ocurrió que quizá podríamos crear un agente de monitoreo que, cada vez que se presente un nuevo proyecto de ley, envíe alertas automáticas de inmediato a los legisladores y a la oposición para frenar esta situación en la que los políticos presentan una y otra vez proyectos de ley que violan la privacidad

• Si uno lee el texto del proyecto, dice que se requiere una orden judicial (warrant). Pero al revisar la cláusula añadida, también dice que el juez puede decidir que, “si lo considera justificado en ciertas circunstancias”, no es necesario entregar una copia de la orden a la parte afectada. Eso parece un vacío subjetivo que permite esquivar las libertades civiles

  • Yo no le veo un problema tan grave a esa cláusula. De todos modos un juez tiene que emitir la orden, y solo se está dejando una excepción para retrasar la entrega de la copia. Casi no habrá casos en que la policía diga “tenemos una orden, pero no hace falta mostrarla”, y si ocurriera, probablemente la evidencia no sería admitida por el tribunal
  • Los jueces no van a autorizar eso sin motivo. Puede que se difuminen un poco los límites de la ley, pero no parece algo tan grave. Canadá, como Europa, tiene una fuerte tendencia burocrática centrada en la ley y el procedimiento, así que el sistema puede desviarse, pero eso es distinto a una dictadura política o a un descontrol institucional

• Resumen para quienes tienen prisa: la Bill C‑22 (2026) de Canadá modifica la ley para que las agencias investigadoras puedan acceder a los datos digitales de forma más rápida y clara. Amplía las facultades para obtener información de abonados, datos de transmisión y datos de rastreo de empresas de telecomunicaciones, proveedores de servicios en línea y compañías extranjeras, y crea un marco legal para que los proveedores de servicios electrónicos apoyen la cooperación con las investigaciones

  • Pero en ese resumen falta la parte de sin orden judicial (warrantless). La razón por la que el gobierno impulsa estas facultades es que Canadá es el único país de Five Eyes que no las tiene
  • Esto parece una versión canadiense similar a la CALEA (Communications Assistance for Law Enforcement Act) de Estados Unidos

• La cooperación entre los países de Five Eyes (o 9, 14 Eyes) viene desde la Guerra Fría, pero no se ha actualizado conforme a los actuales cambios geopolíticos y tecnológicos. De hecho, justo cuando la cooperación se fortalece, los votantes están empezando a dudar del futuro de la alianza con Estados Unidos. Ojalá los líderes de cada país fueran más sinceros sobre la presión extranjera. Guardar silencio sobre la influencia de los aliados mientras solo se critica la de los países no aliados es una amenaza para la democracia

  • Dices “guardar silencio”, pero el primer ministro de Canadá sí ha hablado públicamente sobre cambios en la relación con Estados Unidos y ha impulsado nuevos acuerdos diplomáticos
  • Romper la relación con Estados Unidos sería una decisión tan tonta como la de Trump al romper la relación con Europa

• Al leer el texto del proyecto, esto parece similar a las facultades de acceso legal que tienen las agencias de seguridad de otras democracias occidentales. Sin exageraciones distópicas, me pregunto cuál es exactamente el problema concreto

• El proyecto dice que “no otorga nuevas facultades”, pero en realidad especifica que no conservar metadatos por hasta 1 año puede castigarse con multa o prisión

• Como ciudadano canadiense, me frustra que el gobierno siga empujando proyectos de vigilancia que ya han sido rechazados varias veces.
  No entiendo por qué quieren conectar directamente una infraestructura nacional de vigilancia al backbone de los ISP.
  No es muy distinto de que la policía me siga sin ninguna sospecha y registre con quién hablo y a qué hora.
  Además, si esos datos se almacenan en contratistas privados, aumenta el riesgo de filtraciones o de demandas civiles.
  Según el proyecto, aparece un nuevo término, “electronic service provider”, que parece pensado para incluir no solo a las telecomunicaciones, sino también a plataformas como Google, Meta.
  La Corte Suprema de Canadá ya ha mostrado una postura negativa frente a la entrega de datos personales sin orden judicial.
  Si las facultades de investigación actuales ya son suficientes, no entiendo por qué quieren convertir a las plataformas en organismos auxiliares de investigación.
  Este tipo de sistema parece una estructura propia de un Estado autoritario, con un riesgo de abuso demasiado alto y dañino para la democracia

  • Esto también podría ser una forma de prepararse para políticas impopulares que aparecerán en los próximos 10 años. En otras palabras, estarían dejando lista la base para rastrear a grandes grupos de opositores

• A diferencia de otros países, ni siquiera usan pretextos como “proteger a los niños” o “verificación de edad”; simplemente están impulsando abiertamente un sistema de vigilancia masiva, de una forma muy propia del gobierno canadiense, eficiente (¿?) solo en estas cosas. Justo en momentos así dejan de lado la burocracia

• A solo dos horas de haberse publicado, casi la mitad de los comentarios ya están siendo criticados por ser reacciones extremas.
  Es decepcionante que sigan impulsando este tipo de leyes de vigilancia con el argumento de “por si acaso”.
  Preferiría que el contenido público fuera moderado directamente por quien lo aloja, pero incluso eso trae efectos secundarios, como decidir qué contenido debe reportarse

• Los gobiernos que antes presumían de libertad y debido proceso ahora parecen estar convirtiéndose en regímenes de vigilancia que encierran a sus propios ciudadanos