プライバシー重視ホスティングに適した国の条件とは
Offshore · 8 分で読了
プライバシーに優しいとは法的な性質であり、マーケティング用語ではない
「プライバシーに優しい国のホスティング」というフレーズは、暗号資産を受け付けるだけのプロバイダーを指す言葉として、しばしば安易に使われます。しかし、それは管轄区域が実際にあなたのデータを保護するかどうかを決める要因ではありません。重要なのは、より狭く検証可能な一連の事実です。その国の法律はプロバイダーに接続ログの保持を強制しているか、要請してくる可能性の高い国々との迅速な法的経路を持っているか、そして企業登記簿はインフラを所有する人物を明らかにしているか、といった点です。
そう捉え直すと、サーバーをホストするのに最適な国を見つけることは、雰囲気の話ではなく、短いチェックリストに基づく調査作業になります。以下の4つの要因がほぼすべての重要な点をカバーしており、それぞれが信頼するしかない主張ではなく独立して検証可能です。
- ホストと通信事業者に対する法定のデータ保持義務
- 条約とシギント同盟への露出度(MLAT、Five Eyes/Nine Eyes/Fourteen Eyes)
- 企業の透明性と実質的所有者の開示規則
- 今現在だけでなく、時間を通じた政治的・法的安定性
データ保持法:最も重要な要因
ホスティングプロバイダーが従うデータ保持法は、企業がどうしたいかにかかわらず、何を保持しなければならないかという法的な下限を決定します。加盟国全体にわたる通信メタデータの包括的な記録を義務づけていたEUの当初のデータ保持指令は、比例原則に反するとして2014年に欧州司法裁判所によって無効とされました。これによって欧州の保持法がなくなったわけではなく、各国がそれぞれ独自の版を立法するようになり、結果は国ごとに大きく異なっています。
ルーマニアは、データ保持法が複数回にわたって無効化されうることを示す興味深い事例です。ルーマニア憲法裁判所は2009年、2014年、2016年と、いずれもプライバシーと比例性を理由に国内の保持法を無効としました。その結果、EU域内にありながら、複数の時点で強制力のある包括的義務を欠く状態が生まれました。
対照的に、パナマやセーシェルのような管轄区域は、そもそもホスティングプロバイダーに対する法定の保持義務を制定したことがありません。法律が存在しないことは、制定と無効化を繰り返す法律よりも強い立場です。コンプライアンス義務そのものが継続的な法的宙ぶらりん状態に置かれることなく、完全に取り除かれるからです。
条約とシギント同盟:誰がどれだけ迅速に要請できるか
相互司法共助条約(MLAT)は、ある政府がホスティング記録を含む証拠を別の政府に要請するための正式な仕組みです。密なMLATネットワークと相互の法執行協定を持つ国々は、外国当局がプロバイダーにデータ開示を強制することを比較的迅速にします。そうしたネットワークの外にある国々は、同じ要請をより遅く、より不確実にし、多くの場合、通常の経路では単に利用できないものにします。
シギント同盟はMLATの上にさらに別の層を追加します。Five Eyes、Nine Eyes、Fourteen Eyesという枠組みは、加盟国が裁判所のプロセスとは無関係に、傍受した通信や監視データを互いに共有することを義務づけています。例えばオランダはFourteen Eyesネットワークに参加しており、これがプライバシーを重視する運営者が、レイテンシーが重要なトラフィックには優れたアムステルダムの接続性を利用しつつ、本当に機密性の高いものはその同盟構造の外にある管轄区域に置く理由のひとつです。
パナマ、ベリーズ、マレーシア、セーシェルを含む、プライバシー重視のホスティングで使われる中米、カリブ海、東南アジアの管轄区域の多くは、これらの同盟に加盟しておらず、ほとんどの西側諸国とMLATを結んでいません。これが、これらの国々がプライバシーホスティングの候補リストに繰り返し登場する構造的な理由です。
企業秘密保持と、誰が何の所有者かを知りうるか
データに関する法律に加えて、その国が企業の所有権開示をどう扱っているかにも注目してください。実質的所有者の秘密保持が強い管轄区域では、正式な法的手続きを持たない外国の調査機関を含む外部の当事者が、そこに登記された企業を誰が支配しているかを簡単に調べることを難しくします。パナマとセーシェルは、オフショアホスティングがひとつのカテゴリーとして存在するようになるずっと前から、こうした裁量を軸とした産業全体を築いてきました。それによってその法的枠組みは、マーケティングのために昨年書かれたポリシーではなく、数十年の判例の積み重ねを持っています。
これがホスティングにとって特に重要なのは、データセンターを所有する法人、あるいはその裏にあるリセラー関係自体が、召喚状の標的になりうる情報だからです。その所有権の層を不透明に保つ管轄区域は、サーバーからそれを運営する人々へ遡ろうとするあらゆる試みに摩擦を加えます。
時間を通じた政治的・法的安定性
ある国は、今日紙の上では理想的に見えても、明日には正反対の法律を制定するかもしれません。だからこそ、現行法と同じくらい安定性が重要です。プライバシーに対する姿勢を数十年にわたって覆してこなかった実績を持つ、小さく政治的に安定した管轄区域の方が、有利なルールが最近登場したばかりで次の政権によって覆されうる国よりも、長期的には安全な賭けです。
だからこそ本格的なプロバイダーは分散を図ります。VPS GOATはパナマ、セーシェル、アイスランド、モルドバ、ブルガリア、ルーマニア、マレーシア、オランダにまたがる12の管轄区域で運営しており、トンガ、ベリーズ、バヌアツ、コスタリカも近日開設予定です。これはまさに、単一国の法的な方針転換が、すべての顧客にとっての単一障害点にならないようにするためです。
実用面の要因:接続性、通貨、稼働率
サーバーが到達不能あるいは信頼性に欠けるなら、法的な保護もあまり意味を持ちません。したがって接続性は、管轄区域と同じチェックリストに載せるべき項目です。海底ケーブルの陸揚げ地点、地域ピアリング、実際のオーディエンスとの近さは、国のプライバシー評判よりもはるかに現実世界のレイテンシーを左右します。
通貨と決済の摩擦も重要です。パナマのようなドル化された経済は価格設定における為替リスクの不確実性を取り除きますが、OxaPayのようなプロセッサーを通じて暗号資産のみを受け付けるホスティングプロバイダーは、そもそも暗号資産を保有する必要があるという代償と引き換えに、カード決済が残す身元の痕跡を回避します。
プロバイダーの管轄区域の主張を自分で検証する方法
マーケティングコピーは証拠にはなりません。プライバシーに優しい国だという主張を信じる前に、その国の実際の保持法(またはその不在)を確認し、公開されているMLAT条約リストに掲載されているかどうかを調べ、会社が登記されている場所ではなく、ハードウェアが物理的にどこにあるのかを確認してください。これらは異なる場所であることがあるためです。
また、法律が要求する以上に、プロバイダー自身が何を記録しているのかも確認してください。保持義務のない管轄区域だからといって、プロバイダーが自発的に詳細なログを保持することを止めるわけではありません。法律は下限を定めるだけで、実際の運用方針を決めるのはプロバイダー自身です。サインアップ方法はここでの良い目安になります。登録フォームではなく匿名アカウントキーを使い、そもそも名前やメールを一切収集しないプロバイダーは、たとえ強制されても提出できるものが少なくて済みます。
| 管轄区域 | ホストへのデータ保持義務 | Five Eyes/Nine Eyes/Fourteen Eyesの正式加盟 | 特筆すべきプライバシー特性 |
|---|---|---|---|
| パナマ | なし | 非加盟 | ほとんどの西側諸国とMLATなし、長年の企業秘密保持の伝統 |
| セーシェル | なし | 非加盟 | 典型的なオフショア金融・企業秘密保持の管轄区域 |
| アイスランド | なし | 常設の対外情報機関なし | 強力な報道の自由と表現の自由の法的伝統 |
| ルーマニア | 現時点で施行中の義務なし | 非加盟 | 憲法裁判所が2009年、2014年、2016年に保持法を無効化 |
| オランダ | 議論の対象、定期的に見直し | 加盟(Fourteen Eyes) | 優れた接続性だが条約の多い管轄区域 |
| マレーシア | 限定的、業種特化型 | 非加盟 | 西側の監視共有ネットワークの外にある急成長する東南アジアのハブ |