Non possiamo consegnare ciò che non abbiamo mai decifrato.
Molti regimi giuridici europei e nazionali richiedono agli operatori di comunicazioni elettroniche di implementare capacità di intercettazione legale: l'articolo 706-102 del Codice di procedura penale francese, gli articoli 23 e 31 dell'IPA 2016 del Regno Unito, gli articoli 110 e 112 della StPO tedesca, e statuti equivalenti in tutta l'Unione europea. uOS non implementa alcuna capacità di questo tipo.
Questo non è un atto di resistenza politica. È una conseguenza della nostra architettura tecnica.
Perché è tecnicamente impossibile
Una capacità di intercettazione legale, come minimo, richiede che l'operatore sia in grado di:
- identificare un bersaglio specifico (utente o dispositivo);
- registrare contenuti o metadati delle comunicazioni del bersaglio;
- consegnare tale registrazione all'autorità richiedente.
uOS non fa nulla di tutto ciò per i contenuti in chiaro:
- Identificazione: uOS può identificare il user_pub di un bersaglio, ma non può mappare un user_pub a un'identità reale, né può verificare che un user_pub corrisponda a una persona che è il bersaglio nominato di un ordine di intercettazione.
- Registrazione dei contenuti: uOS non ha accesso al contenuto in chiaro di alcun messaggio in nessun momento.
- Consegna: non c'è nulla da consegnare.
Per i metadati, la nostra capacità è ugualmente limitata. I nostri server conservano solo il minimo necessario per instradare i frame WebSocket: identificatore del bersaglio (user_pub), platform_id, contatore, timestamp e dimensione del trasporto. Questo è insufficiente per soddisfare il contenuto di un tipico ordine di intercettazione legale e lo rendiamo chiaro in qualsiasi procedimento giudiziario.
Cosa faremo
- Contesteremo qualsiasi ordine che ci richieda di implementare capacità di intercettazione contro la nostra architettura.
- Ci conformeremo a ordini di portata limitata che chiedono ciò che possiamo tecnicamente fornire (ad es. conferma che un user_pub esista su una piattaforma specifica e timestamp), in modo proporzionato all'ordine.
- Pubblicheremo ogni tale interazione nel nostro Rapporto annuale sulla trasparenza.
Perché le forze dell'ordine non hanno bisogno che noi ci conformiamo
La procedura penale europea moderna ha meccanismi ben collaudati e rispettosi dei diritti per indagare sui reati che coinvolgono comunicazioni crittografate:
- Sequestro giudiziario diretto del dispositivo del sospettato, secondo le procedure standard di mandato di perquisizione.
- Recupero crittografico ordinato dal tribunale utilizzando chiavi detenute dall'utente, con pieno rispetto del giusto processo.
- Cooperazione internazionale tramite MLAT e strumenti di mutuo riconoscimento di seconda generazione dell'Unione europea.
Questi meccanismi funzionano. Rispettano lo stato di diritto. Richiedono che uOS non faccia nulla più di quello che già facciamo: nulla.