Bill C-22 avança no Canadá sob alertas de saída de serviços de privacidade

O projeto de acesso legal Bill C-22 avançou para a segunda leitura no Senado do Canadá em meio a uma disputa que já ultrapassa a formulação clássica de “privacidade contra segurança”. A tramitação oficial registra debate em 8 de outubro de 2026. Ao mesmo tempo, a canadense Psiphon começou a preparar uma eventual transferência de suas operações para fora do país caso o texto seja aprovado sem novas mudanças, enquanto Signal e outros serviços mantêm alertas semelhantes.

Nenhuma dessas empresas anunciou uma retirada concluída. As declarações são condicionais: a Psiphon diz que deixaria o Canadá se as obrigações forem incompatíveis com seu modelo aberto, e a Signal afirma que prefere sair de um mercado a construir vigilância em seu serviço. Essa distinção importa porque o projeto ainda pode ser alterado no Senado.

O que o Bill C-22 pretende fazer

Apresentado em 12 de março, o Bill C-22 cria um marco para que provedores de serviços eletrônicos possam atender ordens legais de acesso. O governo canadense afirma que polícia e o Serviço Canadense de Inteligência de Segurança enfrentam lacunas técnicas mesmo quando dispõem de mandado ou ordem de produção. Também sustenta que o Canadá está atrás de seus parceiros do Five Eyes e de outras democracias em instrumentos desse tipo; essa é uma justificativa oficial do Executivo, não uma conclusão independente deste artigo.

Depois das críticas de empresas e especialistas, a Câmara acrescentou uma proteção explícita: nenhuma obrigação deve ser interpretada como exigência para descriptografar informações quando o provedor não forneceu a criptografia ou não possui os meios necessários. O governo apresenta essa redação como proteção à criptografia ponta a ponta. A retenção prevista de certos metadados também foi reduzida de um ano para seis meses antes da aprovação na Câmara, segundo a cobertura da tramitação.

A mudança, porém, não encerrou a controvérsia. Apple e Meta já haviam alertado que poderes amplos, ordens sigilosas e requisitos técnicos poderiam criar caminhos para enfraquecer sistemas seguros. O governo rejeita essa leitura e diz que o projeto não exige vulnerabilidades sistêmicas.

Por que a Psiphon vê um problema diferente

A Psiphon nasceu em 2006 como projeto do Citizen Lab e hoje informa cerca de 20 milhões de usuários mensais. Sua tecnologia ajuda pessoas em países com bloqueios estatais a alcançar a internet aberta. A própria política de privacidade identifica a empresa como uma corporação canadense sediada em Ontário.

O ponto central de sua objeção não é apenas quem possui uma chave de criptografia. A empresa publica o código de sua plataforma. Se fosse obrigada a criar uma capacidade de acesso e simultaneamente mantê-la em segredo, pesquisadores e governos hostis poderiam encontrar a alteração. Para a Psiphon, uma porta secreta em código público deixaria de ser secreta e se tornaria uma vulnerabilidade publicada.

Esse conflito também apareceu no debate do Senado, no qual parlamentares citaram Psiphon, Signal e Mozilla Firefox como exemplos de projetos de código aberto que podem enfrentar dificuldades para cumprir o texto. Senadores reconheceram que definições amplas de provedores, escala empresarial e efeitos sobre criptografia ainda exigem exame detalhado.

O que muda para usuários

No curto prazo, nada muda no funcionamento de Signal, Psiphon ou VPNs no Canadá: o Bill C-22 ainda não é lei. A consequência imediata é regulatória. O Senado precisa decidir se a proteção à descriptografia resolve apenas a posse das chaves ou se também impede ordens que alterem a arquitetura dos serviços.

A inferência editorial é que o caso canadense mede algo mais amplo: se um país pode exigir capacidade de acesso sem transformar transparência técnica em risco. Para serviços proprietários, parte da implementação pode permanecer invisível. Em software aberto usado contra censura, o mesmo sigilo pode ser tecnicamente impraticável e prejudicar usuários fora do Canadá. O resultado dependerá do texto final, de seus regulamentos e da supervisão aplicada às ordens, não apenas da intenção declarada por governo ou empresas.