캐나다의 C-22 법안은 기업에 법 집행기관이 데이터에 접근할 수 있는 기술적 기능을 마련하고 사용자 활동 메타데이터를 보관하도록 요구할 수 있다. Signal과 Psiphon은 법안이 통과되면 캐나다에서 서비스를 중단하겠다고 밝혔고, DuckDuckGo와 NordVPN도 철수를 검토하겠다고 했다.

C-22는 2025년 처음 발의된 뒤 기술 기업과 시민사회단체의 거센 비판을 받아 일부 수정됐다. 법안은 캐나다 밖에 있는 기업에도 적용될 수 있으며, 법 집행 목적의 데이터 접근을 위한 ‘기술적 기능’을 도입하도록 요구할 수 있다. 법안은 기업이 ‘시스템적 취약점’을 만들 필요는 없다고 규정하지만, 반대 측은 종단간 암호화된 데이터에 접근할 기능 자체가 악용될 수 있는 백도어라고 지적한다. 미국 하원 법사위원회와 외교위원회 소속 의원들도 5월 캐나다 당국에 보낸 서한에서 기업에 취약점이나 백도어를 만들고 암호화를 약화하거나 우회하도록 요구할 수 있다고 경고했다.

법안에는 기업이 사용자 활동과 관련된 메타데이터를 보관하도록 할 수 있는 조항도 있다. Psiphon과 DuckDuckGo의 VPN 서비스처럼 개인정보 보호를 중시하는 서비스는 이런 데이터를 의도적으로 수집하지 않는 경우가 있다. 해당 기업들은 법안이 시행되면 필요하지도 원하지도 않는 사용자 정보를 모으도록 사업 방식을 바꿔야 할 수 있다고 말한다. 연구자들은 이런 변경이 이용자의 신뢰를 떨어뜨리고 광범위한 감시 가능성을 키울 수 있다고 우려한다.

토론토대학교 시티즌랩의 선임 연구원 케이트 로버트슨(Kate Robertson)은 일부 정부 관계자가 기술을 범죄 현장처럼 바라보며 접근 권한에만 집착한다고 말했다. 그는 이런 관점이 병원과 은행, 국가안보 기관, 경찰도 피해자 정보를 보호하기 위해 안전한 기술 기반을 필요로 한다는 점을 놓친다고 지적했다.

De|Center를 설립한 아프사네 리고트(Afsaneh Rigot)는 기본적으로 메타데이터를 보관하도록 인프라를 바꾸면, 원래 감시 기능이 없던 도구 안에 감시 역량을 만들게 된다고 말했다. 그는 이런 법률이 다른 나라로 확산될 수 있어 이란을 비롯한 여러 지역에도 파급 효과가 미칠 것이라고 우려했다.

영국과 호주는 기업에 암호화 해제를 강제할 수 있는 광범위한 감시 제도를 도입했다. 유럽연합(EU), 프랑스, 인도, 아일랜드, 스페인, 스웨덴, 스위스에서도 암호화를 위협할 수 있는 제안이 나왔다. 다만 이들 조치가 모두 법률로 통과되거나 시행된 것은 아니다.

개인정보 보호와 검열 방지 도구를 만드는 기업들은 운영에 안전한 관할권을 찾고 있지만, 본사를 옮기는 것만으로는 모든 국가의 이용자에게 서비스를 제공하는 문제를 해결하기 어렵다. 인터넷소사이어티의 보안 포트폴리오 책임자 조지프 로렌초홀(Joseph Lorenzo-Hall)은 C-22처럼 법이 이용자를 따라가는 경우 본사 이전은 대안이 되기 어렵다고 말했다. 그는 이용자 데이터를 가능한 한 적게 보유하는 것이 가장 강력한 보호책이지만, 정부가 기업에 데이터 수집을 강제할 수 있다면 ‘보유하지 않는다’는 말만으로는 방어할 수 없다고 지적했다.