3 月一读，10 月进参议院委员会
部长签发一道命令，公司就必须动手改造自己的系统，给警方和 CSIS（Canadian Security Intelligence Service，加拿大安全情报局）开出一条进得去的通道，公司不能拒绝；条件只有一条，命令不得造成「系统性不安全」（systemic insecurity）。这是加拿大 Bill C-22 第二部分写给电子服务提供者的规则，争议恰好压在这条豁免上。
法案正式简称 Lawful Access Act, 2026，由公共安全部长在第 45 届议会第 1 会期提出。议会 LEGISinfo 记录的时间线：2026 年 3 月 12 日一读，4 月 20 日二读并交付委员会，6 月 18 日下议院三读通过，10 月 22 日参议院二读通过、交付委员会。下议院程序已经走完，剩参议院一道关，委员会阶段是公众意见还能递进去的窗口。
第二部分有个正式名字：Supporting Authorized Access to Information Act（SAAIA）。它授权政府强制电子服务提供者为警方和 CSIS 提供监听与监控能力，实现路径是让企业对自己的系统动手——门由企业自己造，造完交给执法用。
先说政府侧：调查盲区确实存在
政府侧的立法理由写在法案目的里：让执法与情报机构在数字时代保有调查犯罪与恐怖主义所需的合法访问能力。执法机构的主张很直白：没有这类能力，调查会出现够不着的盲区——重案与反恐侦查依赖通信服务商的配合，这个论据有现实基础。
法案文本也做了对冲：明确不要求在系统中引入 systemic vulnerability，部长命令受司法与部长双重程序约束，下议院阶段还收紧了相关定义。**支持方的整套设计，是把访问能力关在程序与定义两道栅栏里。**栅栏关不关得住，取决于那个定义本身——反对方的全部技术论据都冲着这里来。
密码学结论很直接：后门锁不住
反对方的第一组论据来自加密技术本身。EFF 的立场：对加密通信的监听本质上就是一个 systemic vulnerability，被迫加装的后门会直接带来更多数据泄露。Mozilla 的表述更具体：不存在「只有预期行为者能用」的特殊访问机制，为执法造出来的东西，别人同样能发现、利用、滥用。
两段表述指向同一条工程事实：加密系统里的访问能力没有身份字段，能力一旦存在，发现它的路径对所有攻击者同样开放。2026 年 5 月，美国众议院司法、外交两家委员会的成员联名致信加方，指出企业可能被要求引入漏洞、建造后门、绕过或削弱加密。致信的是盟友国会的议员：一个国家的立法者提醒另一个国家，这条路通往削弱加密。
图：EFF 的 Defend Encryption 专题横幅，挂锁图形对应的正是这次被摆上台面的东西——端到端加密本身。来源：EFF
条款里还埋着留存、保密、跨境三件事
第二部分争的是后门，法案其余部分的分量同样不轻。数据留存条款要求服务商把元数据保存最长一年，覆盖所有用户，对象没有嫌疑人与普通人之分。元数据能还原你和谁通信、去过哪里、用了哪些服务——留存一年，等于给全体用户建了一份可回溯的行为档案。
保密义务跟着命令一起到：企业收到部长命令必须保密，不得对外披露。后果落在用户头上——服务里被装了什么、发生过什么泄露，企业一件都告诉不了用户。
法案的适用范围超出加拿大境内的服务与用户；与此同时，加美两国正在谈判跨境数据共享安排。谈成之后，美国警方有机会在没有加拿大法院监督的情况下拿到加拿大用户的信息。
以「不收集元数据」为设计前提的服务最先受冲击。Psiphon、DuckDuckGo 两家都表示，法案会迫使它们改变商业模式，去收集自己既不需要也不想要的用户数据。Google 在给参议员的简报（Globe and Mail 报道）里把账摆得更开：现行措辞允许渥太华建起「新的监控基础设施」，对科技公司施加「把用户当作潜在罪犯」的一揽子数据留存要求，削弱透明与正当程序原则。这组反对理由与加密无关——留存、保密、正当程序，是任何托管用户数据的公司都要结清的运营账。
图：Mozilla 政策博客配图，密集的镜头对应元数据留存条款——持续记录的对象是每一个用户。来源：Mozilla Blog
整场争论收窄到一个定义能否成立
下议院在夏季休会前收紧了 systemic vulnerability 的定义，挡住了直接破坏端到端加密的路径——这一步连 Google 的简报也承认。同一份简报接着指出：削弱系统安全的其它方式没有被覆盖，建议进一步收紧定义。CCLA 与 Citizen Lab 的分析走得更远，结论落在第二部分整体撤掉：这个监控与数据留存制度应当整个拿掉，措辞层面的修补无济于事。
双方的分歧点由此收得很窄。政府侧把 systemic vulnerability 当成能在条款里写清楚的技术边界，下议院的收紧就是沿这个思路走的；反对方的公开论据认为，访问能力本身与系统安全互斥——能力存在一天，攻击面就存在一天，定义写得再细也改变不了这层关系。豁免条款成立的前提，是存在一条只为好人开的访问通道；密码学的公开结论是这条通道不存在。
请愿已进下议院，窗口在参议院委员会
10 月 22 日，一份要求撤回并修改法案的请愿书提交下议院，同一天参议院完成二读。CCLA 已发起反对法案的请愿。
技术社区的讨论拼出两个细节：有人统计请愿书已经进了下议院，认为抱怨「什么都做不了」就等于放弃民主程序；有人给 9 名参议员每人写了邮件，收到 1 份回复。1/9 的回复率量出了单点游说的成本，委员会阶段接收的书面意见与请愿，才是程序留出来的正式输入口。
回到开头那半句豁免。它假设存在一条只让好人走的通道，而 EFF、Mozilla、美国议员信、Google 简报给出的公开论据指向同一处：通道造出来的那天，攻击面一起造出来。政府侧的两道栅栏管得住命令的签发，管不住能力本身的存在——参议院委员会逐字审的每个修正案，最终都在回答同一个问题：第二部分整体撤不撤。
参考链接：
- LEGISinfo：Bill C-22 立法进程记录
- Globe and Mail：Google 致参议员简报报道
- EFF：Defend Encryption 专题
- Mozilla 政策博客
