プライバシーテック拠点としてのスイス　サイバー犯罪対策と経済的利益の板挟み

スイスはプライバシーの保護とセキュリティを兼ね備えたインターネットサービスで世界有数の拠点になった Keystone

スイスは自国企業の躍進によって、プライバシーの保護とセキュリティを兼ね備えたインターネットサービスで世界有数の拠点になった。だが、サイバー犯罪の脅威の高まりを前に、急成長するプライバシーテック産業がもたらす経済的利益と、サイバー攻撃に備えた監視の必要性とのバランスをどう取るか、難しい判断を迫られている。

スイスが秘密保持の手腕を発揮するのは、富裕層の銀行口座についてだけではない。

人口900万人の小国スイスは、インターネット暗号化ツールを提供するグローバル産業で確固たる地位を目立たず築き上げてきた。顧客はこのようなツールを使って潜在的な攻撃者や捜査当局の目から業務内容を秘匿できる。

スイスのプライバシーテック企業は、連邦憲法に明記されているプライバシー保護への定評を売りにしてきた。ジュネーブに本社を置くプロトン外部リンクは、「スイスのプライバシー諸法に裏付けられた」サービスをうたい、暗号化された電子メールからクラウドストレージ、人工知能（AI）などを提供している。

一方、スイス政府は2025年、「郵便および通信の監視に関する規則」（VÜPF/OSCPT）の改正案を提示した。これは刑事捜査におけるインターネットプロバイダーの義務を明確化するもので、大規模なプラットフォームには、従来の通信事業者と同様のデータ保持義務や協力義務が課されることになる。

プロトンは創業から10年以上が経過した今、業界の信頼と経済的利益を損なうとして同案に反発する多くの企業の1つだ。同社は、スイス国内でのインフラ投資計画を凍結したという。

プロトンの最高執行責任者（COO）ラファエル・オファン氏はスイスインフォの取材に対し、「これはスイスが独自のプライバシー保護水準を下げるかどうかという単純な問題ではない」と述べた。「国内で成長・繁栄し、スイスのプライバシー保護の価値観を世界に広めてきたデジタル企業を失うかどうかの問題でもある」

このような議論をめぐり、オファン氏には明らかなビジネス上の利害関係がある。だが、スイスはオファン氏のような主張やプライバシー保護の伝統と、急速に進歩する技術力を悪用しようとする犯罪者や敵対勢力の脅威との間でバランスを取らなければならない。これは欧州連合（EU）、米国、英国など、新たな脅威に対処しようとするすべての自由民主主義諸国が抱えるジレンマだ。

スイス連邦統計局のデータ外部リンクによると、スイス警察に報告されたサイバー犯罪件数は5年間でほぼ3倍に増加し、2025年には約6万5000件に達した。政府はこのような爆発的な増加に対応するため、デジタル通信規制の見直しを進めている。

公共の利益vs民間企業の商業的利益

見直しによって、一部のプロバイダーが顧客についてより多くのデータを収集しなければならなくなったり、当局が犯罪捜査を進めやすくなったりする可能性がある。一方でスイスは、世界に1億人以上のユーザー外部リンクを擁する欧州最大のプライバシーテック企業に成長したプロトンをはじめ、企業の懸念を無視できない。

デンマーク・コペンハーゲン大学のクリストファー・クナー外部リンク客員教授（データ保護・プライバシー法）はスイスインフォに対し、企業が反発し、事業の国外移転をちらつかせる背景には、公益上の懸念と商業的な動機の両方があると指摘した。その一方で、デジタルデータの増加が当局の課題を一段と大きくしている。

1990年代から世界的なデータ保護の研究・開発に携わってきた同氏は、「こうした背景には多くの要因がある（中略）ロシアなどの国家による攻撃への懸念、サイバーセキュリティ上の脅威の高まり、そして、残念なことに、プライバシーはある程度犠牲にしても構わないという考えなどだ」と説明した。

スイスのプライバシーテック産業、存在感を発揮

プライバシーテック企業外部リンクは米国や英国からドイツ、さらには中国に至るまで世界各地に存在する。それでも小国スイスが国の規模を上回る存在感を発揮しているのは、いくつかの強みがあるからだ。

その中核となるのが、プライバシー権と個人情報の保護を定める連邦憲法第13条だ。これは個人や企業などにとって国家の監視に異議を申し立てる強固な法的根拠になる。一方、米国ではプライバシー保護は憲法に明記されていない。複数の修正条項にある、必ずしもプライバシーを直接対象としていない規定の解釈から導き出されている。

憲法に加え、スイスの長年の「秘密主義」の歴史は、匿名性を求める人々にとって大きな魅力だ。不正な資金を隠しているとの非難を受け、国際的なルールに対応するようスイスの銀行の透明性は向上した。しかし、秘密を守る国という評判は根強く、スイス企業が世界中のユーザーと信頼関係を築くうえで役立っている。

さらに、何世紀にもわたる中立政策や、米国主導の「ファイブ・アイズ」（米、英、豪、ニュージーランド、カナダ）、「ナイン・アイズ」、「フォーティーン・アイズ」といった機密情報共有の枠組みへの不参加が、スパイ活動の恐れがない独立の法域というスイスのイメージを強めている。

実際、オファン氏は、スイスがプライバシーテックの拠点として成長したきっかけは2013年のスノーデン事件だったと指摘する。米国家安全保障局（NSA）の契約職員エドワード・スノーデン氏が米諜報機関による大規模監視を告発した。この事件を受け、暗号化された電子メールや、インターネット利用者の所在地や身元を隠すVPN（仮想私設網）、その他の安全な通信・データツールへの需要が急増した。

それ以来、プロトン、暗号化メッセージアプリのスリーマ外部リンク、Nym外部リンクといったスイス企業は、デジタルプライバシーへの懸念を追い風に急成長し、スイスがこの業界で優位に立つのを後押ししてきた。

こうした企業の多くはマーケティングでもスイスの法域にあることを前面に打ち出している。例えば、暗号化クラウドストレージおよびコンテンツ・コラボレーション・サービスを提供するTresorit外部リンクは、2018年に制定された米国法の影響を受けないと強調している。同法では、米国の捜査当局は裁判所の令状に基づき、米国に拠点を置く企業に対し、たとえサーバー自体は海外にあっても、サーバーに保存されたデータを提出するよう強制できる。コンピュータサービス企業のInfomaniak外部リンクは、自社を「スイス主権のクラウド」プロバイダーとして売り込んでいる。

データ保護、デジタル法、サイバーセキュリティ、政府による監視を専門とするローザンヌ大学のシルヴァン・メティル准教授は、「プライバシーを重視する企業は、スイスが長年堅持してきた価値観に真の違いを見出すことが多い。すなわち法的な安定性、効率的で予測可能な手続き、法的制限の尊重、そして機密情報の取扱いに慎重な文化だ」と説明し、こうした点は法律上の細かな違いよりも重要だと述べた。

圧力にさらされるプライバシー

10年前に国内のプライバシーテック産業が急成長を遂げて間もなく、規制当局は技術の進歩に追いつこうと動き出した。ドイツ外部リンクやフランス外部リンクなどでの監視強化を背景に、スイスは2016年、改正「連邦郵便・通信監視法」および「連邦情報機関法外部リンク」を採択。これにより、刑事事件や国の安全保障に関する事件について証拠を収集できる範囲が拡大された。

しかし、これらの法律が従来の通信事業者と同様にテクノロジー企業にも適用されるかどうかについては曖昧だったため、規制当局とスリーマとの係争事件をはじめ長年にわたる論争が生じた。オファン氏によると、プロトンメール利用者の95％がスイス国外にいたため、プロトンは主要な通信事業者とはみなされず適用除外となった。

ザンクト・ガレン大学のモニカ・ジムラー教授（刑事・監視法）は、郵便・通信監視規則の改正案について、技術がいかに発展してきたかを考えれば、古い時代に制定された法律は「時代遅れ外部リンク」に見えると記している。

一方、警察やその他の機関ではデータ収集の需要は急速に高まっている。郵便・通信監視機関へのデータ提供要請は、2025年には前年比30％以上急増した。

。

スイス政府が昨年提出した郵便・通信監視規則の改正案では、インターネットサービスプロバイダーの規模に応じて、データの保持・協力義務が厳格化される。ユーザー数が100万人を超える事業者、あるいは2年連続でスイス国内での売上高が1億フラン（約190億円）を超える事業者は、従来の通信事業者と同様の規制を受けることになる。

反発の波

改正案は、テクノロジー企業やデジタル権利団体からの反発を招いた。連邦議会では、国内のプライバシーテックのエコシステムを守るべきとの主張と、公共の安全を確保するために捜査権限を見直すべきとの主張との対立が浮き彫りになった。

スイスのジョアンナ・ガパニー全州議会（上院）議員は、「デジタル開発やAIの分野で自律性と独立性を維持したいのであれば、プライバシーテック企業をスイスにとどめることが必須だ」と主張した。

一方、スイスのベアト・ヤンス法務相は、テロや重大な組織犯罪の捜査に際し、当局は通信データを合法的に取得・追跡する能力を保持していなければならないと主張。「これは国による大規模な監視活動ではない」と強調した。

メティル氏によれば、特に重大な犯罪や国の安全保障に関わる事件では、特定のデータを収集することに正当な公共の利益があるが、技術の進歩を監視強化の口実にしてはならないという。政府は監視措置の目的と法的根拠を説明し、濫用を防止する権限を持つ独立の監督機関による調査に進んで受けなければならない。

他の欧州諸国との競争

プロトンはビジネスのリスクを軽減するため、スイスのほか、欧州数カ国に拠点とインフラを分散させている。

一部の欧州諸国は、プライバシーに配慮した法域への転換に取り組んでいる。

アイスランドはEU非加盟国にもかかわらず、EUの一般データ保護規則（GDPR）を導入し、データ主権を強化するとともに、サイバーセキュリティインフラへの投資を行った。PrivadoVPN外部リンクは5月、アイスランドではVPN事業者に対する顧客データの記録・保存要件が緩いことから、登記上の本社をスイスからアイスランドに移転外部リンクした。

一方、エストニアはデジタルIDシステムと安全なデータ交換プラットフォームを開発した。これを基盤として、Guardtime、Cybernetica、Veriffといったセキュリティ・認証企業が次々と誕生し、同国は本格的なテックハブとしての地位を確立している。

こうした競争によって、スイス当局はプライバシー保護と犯罪対策との適切なバランスを見出すよう一層迫られている。

メティル氏は、「スイスをデジタルサービスとイノベーションの分野で、先進的で信頼のおける法域として維持しつつ、明らかに違法な活動の『安全な避難所』にはしないことが課題だ」と述べた。

編集：Tony Barrett/vm/sb、英語からの翻訳：江藤真理、校正：宇田薫