การใช้งานซอฟต์แวร์สอดแนมโดยรับจ้างเชิงพาณิชย์ต่อพลเรือน เช่น นักข่าว นักปกป้องสิทธิมนุษยชน นักการเมืองฝ่ายค้าน และนักกิจกรรมภาคประชาสังคม ถูกจัดอยู่ในประเภทการละเมิดสิทธิมนุษยชนขั้นพื้นฐานอย่างร้ายแรงและหลายแง่มุม ภายใต้กฎหมายสิทธิมนุษยชนระหว่างประเทศ (IHRL) และกรอบสิทธิดิจิทัลระดับโล
เนื่องจากเครื่องมืออย่าง Pegasus ช่วยให้ผู้ใช้งานเข้าถึงชีวิตดิจิทัลทั้งหมดของเป้าหมายได้อย่างไม่จำกัดและลับๆ (รวมถึงเสียง วิดีโอ ข้อความ และตำแหน่งที่ตั้งแบบเรียลไทม์) หน่วยงานทางกฎหมายระหว่างประเทศจึงพิจารณาว่าเครื่องมือเหล่านี้ไม่สอดคล้องกับบรรทัดฐานประชาธิปไตยโดยเนื้อแท้ เว้นแต่จะอยู่ภายใต้การคุ้มครองทางกฎหมายพิเศษ ซึ่งการใช้งานโดยรับจ้างส่วนใหญ่มักขาดการคุ้มครองดังกล่าว
1. การละเมิดหลักภายใต้กฎหมายสิทธิมนุษยชนระหว่างประเทศ
ภายใต้สนธิสัญญาสำคัญ เช่น กติการะหว่างประเทศว่าด้วยสิทธิพลเมืองและสิทธิทางการเมือง (ICCPR) และอนุสัญญายุโรปว่าด้วยสิทธิมนุษยชน (ECHR) การใช้ซอฟต์แวร์สอดแนมต่อพลเรือนโดยตรงถือเป็นการละเมิดสิทธิพื้นฐานหลายประการ:
ก. สิทธิในความเป็นส่วนตัว (ICCPR มาตรา 17)
สิทธิในความเป็นส่วนตัวไม่ใช่สิทธิเด็ดขาด แต่การแทรกแซงใดๆ ของรัฐต้องผ่านการทดสอบทางกฎหมายระหว่างประเทศที่เข้มงวด ได้แก่ ความชอบด้วยกฎหมาย ความจำเป็น และความได้สัดส่วน:
ความชอบด้วยกฎหมาย: การสอดแนมต้องได้รับอนุญาตอย่างชัดเจนโดยกฎหมายภายในประเทศที่เข้าถึงได้ แม่นยำ และชัดเจน ซอฟต์แวร์สอดแนมรับจ้างมักถูกนำไปใช้ภายใต้เงื่อนไขการกำกับดูแลที่ไม่ชัดเจนหรืออยู่นอกกรอบกฎหมายโดยสิ้นเชิง
ความจำเป็นและความได้สัดส่วน: ภายใต้หลักการความจำเป็นและความได้สัดส่วนที่ควบคุมการสอดแนม การแทรกแซงที่มุ่งเป้าหมายต้องเป็นวิธีการที่รุกล้ำน้อยที่สุดเพื่อให้บรรลุวัตถุประสงค์ด้านความมั่นคงแห่งชาติหรือการบังคับใช้กฎหมายที่ชอบด้วยกฎหมาย ข้าหลวงใหญ่ด้านสิทธิมนุษยชนแห่งสหประชาชาติได้เน้นย้ำซ้ำแล้วซ้ำเล่าว่า สปายแวร์รับจ้างแบบไม่ต้องคลิกนั้นไม่สมดุลโดยเนื้อแท้เมื่อใช้กับพลเรือน เพราะมันให้สิทธิ์ในการเข้าถึงอุปกรณ์ได้อย่างสมบูรณ์และไม่จำกัด ซึ่งเท่ากับการค้นหาโดยพลการ
ข. เสรีภาพในการแสดงออกและความคิดเห็น (มาตรา 19 ของ ICCPR)
การสอดแนมโดยรัฐส่งผลกระทบอย่างรุนแรงต่อการพูดคุยในที่สาธารณะ เมื่อนักข่าว นักวิจัย หรือผู้นำฝ่ายค้านถูกแฮ็ก มันจะทำให้พวกเขาไม่กล้าสืบสวนการทุจริต วิพากษ์วิจารณ์นโยบาย หรือติดต่อกับแหล่งข่าว ศาลระหว่างประเทศยอมรับว่าการแทรกแซงทางดิจิทัลที่มุ่งเป้าหมายโดยตรงจำกัดเสรีภาพในการแสดงออกโดยการปลูกฝังความหวาดกลัวต่อการแก้แค้นอย่างแพร่หลาย
ค. เสรีภาพในการรวมกลุ่มและการชุมนุม (มาตรา 21 และ 22 ของ ICCPR)
ซอฟต์แวร์สอดแนมช่วยให้หน่วยงานข่าวกรองสามารถวางแผนการจัดการการประท้วงแบบเรียลไทม์ ติดตามเครือข่ายการระดมทุน และสร้างโปรไฟล์ของขบวนการภาคประชาสังคม การดักฟังการสื่อสารระหว่างนักกิจกรรมโดยตรงบั่นทอนสิทธิในการจัดตั้งองค์กรและการชุมนุมอย่างสันติของพวกเขา
ง. การคุ้มครองแหล่งข่าวและสิทธิพิเศษทางวิชาชีพ
สำหรับนักข่าวและทนายความ ซอฟต์แวร์สอดแนมละเมิดการคุ้มครองแหล่งข่าวที่เป็นความลับและสิทธิพิเศษระหว่างทนายความกับลูกความ การละเมิดนี้ทำให้ผู้แจ้งเบาะแสและลูกความที่อ่อนแอเสี่ยงต่อการตอบโต้จากรัฐ ซึ่งเป็นการละเมิดการคุ้มครองเสรีภาพสื่อและมาตรฐานการพิจารณาคดีที่เป็นธรรมในระดับสากล
2. การจำแนกประเภทภายใต้กฎบัตรดิจิทัลและกรอบงานของสหประชาชาติ
สถาบันการกำกับดูแลระดับโลกและกฎบัตรสิทธิมนุษยชนได้กำหนดจุดยืนที่ชัดเจนมากขึ้นเกี่ยวกับอาวุธไซเบอร์ที่ใช้ในการโจมตีพลเรือน:
หลักการชี้นำของสหประชาชาติว่าด้วยธุรกิจและสิทธิมนุษยชน (UNGPs)
กรอบงานของสหประชาชาติได้กำหนดภาระผูกพันสองประการที่ชัดเจนเกี่ยวกับสปายแวร์:
หน้าที่ของรัฐในการปกป้อง: รัฐบาลต้องป้องกันการละเมิดสิทธิมนุษยชนภายในอาณาเขตของตนโดยบุคคลที่สาม รวมถึงผู้ขายเอกชนที่ขายอาวุธไซเบอร์ที่ใช้ในการโจมตี
ความรับผิดชอบขององค์กรในการเคารพ: ผู้ขายเอกชน (เช่น NSO Group, Candiru, Intellexa) ไม่สามารถหลีกเลี่ยงความรับผิดได้โดยอ้างว่าพวกเขาขายให้กับรัฐบาลอธิปไตยเท่านั้น ผู้ขายมีภาระผูกพันทางกฎหมายและจริยธรรมที่จะต้องดำเนินการตรวจสอบสิทธิมนุษยชนอย่างรอบคอบและยุติการเข้าถึงหากซอฟต์แวร์ของพวกเขาถูกนำไปใช้ในการโจมตีพลเรือนอย่างผิดกฎหมาย
คณะทำงานของสหประชาชาติว่าด้วยทหารรับจ้าง (การรับจ้างโดยใช้เทคโนโลยี)
ผู้เชี่ยวชาญระหว่างประเทศของสหประชาชาติจัดประเภทบริษัทเอกชนด้านการสอดแนมทางไซเบอร์ว่าเป็นรูปแบบหนึ่งของ "การรับจ้างโดยใช้เทคโนโลยี" เนื่องจากผู้ขายเอกชนเหล่านี้ขายปฏิบัติการโจมตีทางไซเบอร์ระดับทางการทหารเพื่อผลกำไรแก่หน่วยงานต่างชาติ รายงานของสหประชาชาติจึงมองว่าการแพร่กระจายของบริษัทเหล่านี้เป็นภัยคุกคามต่ออธิปไตยของชาติ ความรับผิดชอบของรัฐ และสิทธิมนุษยชนของบุคคล
การปฏิรูปกฎระเบียบการใช้งานสองทางของสหภาพยุโรปและข้อค้นพบของคณะกรรมการ PEGA
ในยุโรป คณะกรรมการ PEGA ของรัฐสภายุโรปซึ่งเป็นคณะกรรมการเฉพาะทางได้ประเมินการใช้งานสปายแวร์ในประเทศสมาชิก:
คณะกรรมการสรุปว่า การใช้งานสปายแวร์ต่อฝ่ายตรงข้ามทางการเมืองหรือนักข่าวโดยปราศจากการสืบสวนทางอาญาที่ชัดเจน แคบ และได้รับอนุญาตอย่างอิสระนั้น ละเมิดหลักการพื้นฐานของสหภาพยุโรปและกฎบัตรสิทธิขั้นพื้นฐาน
สหภาพยุโรปควบคุมระบบเหล่านี้อย่างเข้มงวดภายใต้การควบคุมการส่งออกสองทาง โดยจัดประเภทสปายแวร์ไว้ในกลุ่มเดียวกับอาวุธทางกายภาพ และกำหนดให้มีการประเมินสิทธิมนุษยชนอย่างเข้มงวดก่อนการส่งออก
เรียกร้องให้มีการระงับทั่วโลก
เนื่องจากการละเมิดอย่างแพร่หลาย ข้าหลวงใหญ่ด้านสิทธิมนุษยชนแห่งสหประชาชาติ ผู้รายงานพิเศษด้านเสรีภาพในการแสดงออกแห่งสหประชาชาติ และกลุ่มพันธมิตรภาคประชาสังคมระหว่างประเทศที่สำคัญ (เช่น แอมเนสตี้ อินเตอร์เนชั่นแนล และแอ็กเซส นาว) ได้เรียกร้องให้มีการระงับทั่วโลกโดยทันทีเกี่ยวกับการขาย การโอน และการใช้ซอฟต์แวร์สอดแนมเพื่อการค้า จนกว่าจะมีการจัดตั้งกรอบการกำกับดูแลที่สอดคล้องกับสิทธิมนุษยชนและกลไกการกำกับดูแลที่เข้มงวดทั่วโลก
สรุปการจำแนกประเภททางกฎหมาย
ICCPR (มาตรา 17 และ 19)
จัดเป็นการละเมิดความเป็นส่วนตัวโดยพลการและผิดกฎหมาย และเป็นการจำกัดเสรีภาพในการแสดงออกอย่างไม่ชอบด้วยกฎหมาย
การทดสอบความจำเป็นและสัดส่วน
ถือว่าไม่สมดุลโดยเนื้อแท้ เนื่องจากลักษณะการเข้าควบคุมอุปกรณ์โดยสมบูรณ์และไม่จำกัด
หลักการชี้นำของสหประชาชาติ (UNGPs)
จัดให้ทั้งรัฐผู้ซื้อและผู้ขายเอกชนเป็นผู้ละเมิดร่วมกันเมื่อขาดความรอบคอบ
คณะทำงานของสหประชาชาติ
กรอบการทำงานมองว่าบริษัทเฝ้าระวังเอกชนเป็นทหารรับจ้างที่ใช้เทคโนโลยีเพื่อบั่นทอนเสถียรภาพด้านสิทธิมนุษยชน
(Gemini ช่วยรวบรวม)
