RUU Kanada C-22 mewajibkan pengawasan metadata skala besar terhadap warga Kanada

• Pemerintah Kanada memperkenalkan RUU C-22, ‘Lawful Access Act’, yang memperkuat kewajiban kerja sama pengawasan dan penyadapan bagi operator telekomunikasi dan penyedia layanan internet (ISP)
• RUU baru ini memang secara besar mengurangi kewenangan akses informasi tanpa surat perintah, tetapi tetap memuat kewajiban membangun infrastruktur pengawasan jaringan dan menyimpan metadata, sehingga masih mengandung risiko pelanggaran privasi yang serius
• RUU ini terdiri dari dua bagian: paruh pertama berfokus pada perbaikan prosedur akses data, sementara paruh kedua melalui Supporting Authorized Access to Information Act (SAAIA) menetapkan persyaratan teknis pengawasan
• SAAIA memperkenalkan konsep baru electronic service provider (ESP), sehingga platform global seperti Google dan Meta juga masuk ke dalam cakupan regulasi, serta mewajibkan penyimpanan metadata hingga 1 tahun
• Meski pemerintah membatasi sebagian akses tanpa surat perintah, penguatan kemampuan pengawasan dan klausul kerahasiaan tetap memicu kekhawatiran atas melemahnya keamanan jaringan dan pelanggaran kebebasan sipil

---

Ikhtisar RUU C-22

• RUU C-22 (Lawful Access Act) adalah rancangan undang-undang baru terkait pengawasan yang diajukan pemerintah Kanada, sebagai versi revisi dari kontroversi sebelumnya, RUU C-2
  • C-2 sempat memicu kontroversi konstitusional karena mengizinkan akses ke informasi pribadi tanpa surat perintah
  • Karena itu pemerintah menghapus ketentuan akses dalam C-2 dan mengajukan C-22 sebagai RUU terpisah
• C-22 membahas dua area utama
  • prosedur bagi aparat penegak hukum untuk mengakses informasi pribadi yang dimiliki operator telekomunikasi (ISP, operator nirkabel, dan lainnya)
  • pembangunan kapabilitas pengawasan dan pemantauan pada jaringan telekomunikasi di Kanada

Perubahan pada prosedur akses data

• RUU baru ini menghapus hak lama untuk meminta informasi secara luas tanpa surat perintah dan menggantinya dengan confirmation of service
  • Polisi hanya dapat meminta konfirmasi apakah seseorang adalah pelanggan operator tertentu
  • Akses ke informasi pribadi tambahan harus memperoleh persetujuan pengadilan (production order)
• Perubahan ini membatasi cakupan permintaan informasi tanpa surat perintah pada operator telekomunikasi dan mewajibkan pengawasan yudisial untuk akses ke data pribadi
• RUU ini juga memuat ketentuan terpisah untuk pemberian informasi sukarela, keadaan darurat, dan permintaan dari lembaga asing
  • Namun, ambang yang rendah berupa reasonable grounds to suspect tetap disebut sebagai sumber kekhawatiran

Poin utama SAAIA (Supporting Authorized Access to Information Act)

• SAAIA, paruh kedua dari RUU ini, mewajibkan operator telekomunikasi untuk membangun kapabilitas pengawasan dan pemantauan
  • Mereka harus bekerja sama agar pemerintah dan aparat penegak hukum dapat menguji akses ke jaringan telekomunikasi dan fungsi penyadapan
  • Semua permintaan tunduk pada kewajiban kerahasiaan
• RUU ini memperkenalkan definisi baru electronic service provider (ESP)
  • mencakup semua penyedia layanan elektronik yang menawarkan layanan atau menjalankan bisnis di Kanada
  • ini dapat mencakup platform global seperti Google dan Meta
• Perusahaan yang ditetapkan sebagai core providers memiliki kewajiban tambahan
  • membangun dan memelihara fungsi pengawasan, memasang dan mengoperasikan peralatan, memberi tahu pemerintah, serta menyimpan metadata hingga 1 tahun

Penyimpanan metadata dan ketentuan pengecualian

• Kewajiban penyimpanan metadata adalah ketentuan baru yang tidak ada di C-2 dan ditambahkan dalam C-22
  • Namun, isi komunikasi, riwayat penelusuran web, dan aktivitas media sosial dikecualikan dari objek penyimpanan
• Ada klausul pengecualian terkait systemic vulnerability
  • jika fungsi pengawasan menyebabkan kerentanan keamanan atau menghambat perbaikannya, penyedia tidak wajib mematuhi ketentuan tersebut
• Namun, muncul kekhawatiran bahwa pengecualian ini tidak cukup untuk mencegah pelemahan keamanan
  • Ada pula kekhawatiran bahwa perubahan dapat diterapkan secara diam-diam tanpa diungkapkan ke publik

Kekhawatiran soal pengawasan, keamanan, dan berbagi data internasional

• SAAIA menimbulkan banyak persoalan, termasuk kerentanan keamanan jaringan, kerahasiaan, biaya, dan kerangka pengawasan
• Sejumlah ketentuan dinilai disusun dengan mempertimbangkan kerja sama berbagi informasi internasional dengan Second Additional Protocol to the Budapest Convention (2AP) dan CLOUD Act milik AS
• Hasilnya, RUU C-22 memang membatasi akses tanpa surat perintah, tetapi karena penguatan infrastruktur pengawasan dan pengumpulan metadata skala besar,
  risiko pelanggaran privasi dan kebebasan sipil dinilai tetap tinggi

[GN⁺]

Komentar Hacker News

• Terpikir untuk membuat agen pemantau yang otomatis mengirim notifikasi ke para anggota parlemen dan oposisi begitu rancangan undang-undang baru diajukan, agar situasi di mana politisi terus-menerus mengajukan RUU yang melanggar privasi bisa dicegah

• Jika melihat naskah asli RUU, tertulis bahwa surat perintah (warrant) memang diperlukan. Namun, pada pasal yang baru ditambahkan, hakim disebut boleh tidak memberikan salinan surat perintah kepada pihak terkait jika “dianggap sah dalam keadaan tertentu”. Ini tampak seperti celah subjektif yang bisa mengakali kebebasan sipil

  • Saya tidak melihat masalah besar pada pasal ini. Bagaimanapun, hakim tetap harus menerbitkan surat perintah, dan ini hanya memberi pengecualian untuk menunda pemberian salinannya. Hampir tidak akan ada situasi di mana polisi mengklaim “kami punya surat perintah tapi tidak perlu menunjukkannya”, dan kalau itu terjadi, besar kemungkinan bukti tersebut tidak akan diterima di pengadilan
  • Hakim tidak akan memberi izin tanpa alasan. Mungkin batas-batas hukum bisa menjadi sedikit kabur, tapi ini bukan masalah besar. Kanada, seperti Eropa, punya kecenderungan birokratis yang berpusat pada hukum dan prosedur, jadi sistemnya mungkin bisa menyimpang, tetapi itu berbeda tingkatannya dari kediktatoran politik atau institusi yang lepas kendali

• Ringkasan untuk yang sedang terburu-buru: Bill C‑22 (2026) Kanada merevisi hukum agar aparat penegak hukum bisa mengakses data digital dengan lebih cepat dan jelas. RUU ini memperluas kewenangan untuk memperoleh data pelanggan, data transmisi, dan data pelacakan dari perusahaan telekomunikasi, penyedia layanan online, dan perusahaan asing, serta membentuk kerangka hukum agar penyedia layanan elektronik dapat mendukung kerja sama penyidikan

  • Namun ringkasan itu menghilangkan bagian ‘tanpa surat perintah (warrantless)’. Alasan pemerintah mendorong kewenangan ini adalah karena Kanada satu-satunya negara Five Eyes yang belum memilikinya
  • Ini tampak seperti versi Kanada dari CALEA (Communications Assistance for Law Enforcement Act) di AS

• Kerja sama negara-negara Five Eyes (atau 9, 14 Eyes) sudah berlangsung sejak era Perang Dingin, tetapi belum diperbarui sesuai perubahan geopolitik dan teknologi saat ini. Justru ketika kerja sama itu makin diperkuat, para pemilih mulai meragukan masa depan aliansi dengan AS. Saya berharap para pemimpin negara lebih jujur soal tekanan dari pihak asing. Tetap diam tentang pengaruh negara sekutu sambil hanya mengkritik pengaruh negara non-sekutu adalah ancaman bagi demokrasi

  • Disebut “diam”, tetapi perdana menteri Kanada pernah berbicara terbuka tentang perubahan hubungan dengan AS dan mendorong kesepakatan diplomatik baru
  • Memutus hubungan dengan AS adalah pilihan sama bodohnya dengan keputusan Trump memutus hubungan dengan Eropa

• Jika melihat naskah RUU, ini tampak mirip dengan hak akses yang sah yang dimiliki badan keamanan di negara demokrasi Barat lainnya. Tanpa imajinasi distopia yang berlebihan, saya ingin tahu bagian mana tepatnya yang dianggap bermasalah

• RUU ini mengklaim “tidak memberikan kewenangan baru”, tetapi pada kenyataannya secara eksplisit menyebut bahwa tidak menyimpan metadata hingga 1 tahun dapat berujung denda atau hukuman penjara

• Sebagai warga Kanada, saya frustrasi karena pemerintah terus mendorong RUU pengawasan yang sudah beberapa kali ditolak.
  Saya tidak mengerti kenapa mereka ingin langsung menghubungkan infrastruktur pengawasan tingkat negara ke backbone ISP.
  Ini pada dasarnya tidak berbeda dengan polisi membuntuti saya tanpa tuduhan apa pun sambil mencatat dengan siapa saya berbicara dan kapan.
  Lebih parah lagi, jika data seperti ini disimpan oleh kontraktor swasta, risiko kebocoran dan gugatan perdata akan meningkat.
  Menurut RUU tersebut, muncul istilah baru “electronic service provider”, yang tampaknya dimaksudkan untuk mencakup bukan hanya perusahaan telekomunikasi tetapi juga platform seperti Google, Meta.
  Mahkamah Agung Kanada sudah menunjukkan sikap negatif terhadap penyerahan data pribadi tanpa surat perintah.
  Kewenangan penyidikan yang ada sekarang sudah cukup, jadi saya mempertanyakan mengapa platform perlu dijadikan lembaga pendukung penyidikan.
  Sistem seperti ini terlihat seperti sesuatu yang biasa ditemukan di negara otoriter, dengan risiko penyalahgunaan yang terlalu besar dan merusak demokrasi

  • Langkah seperti ini mungkin juga merupakan persiapan untuk kebijakan-kebijakan tidak populer yang akan muncul dalam 10 tahun ke depan. Seolah-olah fondasi sedang disiapkan lebih dulu untuk melacak penentang dalam jumlah besar

• Tidak seperti negara lain yang setidaknya memakai alasan seperti “melindungi anak” atau “verifikasi usia”, pemerintah Kanada tampaknya efisien(?) dengan langsung mendorong sistem pengawasan massal secara terang-terangan. Justru pada saat-saat seperti ini mereka bergerak cepat tanpa birokrasi

• Hanya dalam dua jam setelah diposting, hampir setengah komentar sudah dikritik karena reaksinya yang ekstrem.
  Tetap mendorong RUU pengawasan seperti ini dengan alasan “untuk berjaga-jaga” sungguh mengecewakan.
  Mungkin lebih baik konten publik dimoderasi langsung oleh host-nya, tetapi itu pun punya efek samping, seperti pertanyaan soal jenis konten apa yang harus dilaporkan

• Pemerintah yang dulu membanggakan kebebasan dan due process kini tampak berubah menjadi rezim pengawasan yang mengurung rakyatnya sendiri