No podemos entregar lo que nunca desciframos.
Múltiples regímenes jurídicos europeos y nacionales requieren que los operadores de comunicaciones electrónicas implementen capacidades legales de interceptación: Artículo 706-102 del Código de Procédure pénale francés, Artículos 23 y 31 del IPA del Reino Unido 2016, Artículos 110 y 112 del StPO alemán, y estatutos equivalentes en toda la UE. uOS no implementa tal capacidad.
Esto no es un acto de resistencia política. Es una consecuencia de nuestra arquitectura técnica.
¿Por qué es técnicamente imposible?
Una capacidad legal de interceptación, como mínimo, requiere que el operador pueda:
- identificar un objetivo específico (usuario o dispositivo);
- registrar contenido o metadatos de las comunicaciones del objetivo;
- entregar esa grabación a la autoridad solicitante.
uOS no hace ninguno de estos para contenido de texto:
- Identificación: uOS puede identificar el usuario pub de un objetivo, pero no puede mapear un usuario pub a una identidad del mundo real, ni puede verificar que un usuario pub corresponde a una persona que es el objetivo nombrado de un orden de interceptación.
- Grabación de contenidos: uOS no tiene acceso al contenido de texto claro de ningún mensaje en cualquier momento.
- Entrega: no hay nada que entregar.
Para los metadatos, nuestra capacidad es igualmente limitada. Nuestros servidores sólo conservan el mínimo requerido para recorrer marcos WebSocket: identificador de destino (user pub), platform id, contador, timetamp y tamaño de transporte. Esto no es suficiente para cumplir el contenido de una orden típica de interceptación legal y lo dejamos claro en cualquier procedimiento judicial.
Lo que haremos
- Vamos a impugnar cualquier orden que nos requiera implementar la capacidad de intercepción contra nuestra arquitectura.
- Cumpliremos con órdenes estrechas que pidan lo que podemos proporcionar técnicamente (por ejemplo, confirmación de que un usuario pub existe en una plataforma y horario específico), de una manera proporcional al orden.
- Publicaremos toda esa interacción en nuestro Informe de Transparencia anual.
Por qué la policía no necesita que cumplamos
Modern European criminal procedure has well-testted, rights-respecting mechanisms for investigating crime involving encrypted communications:
- Incautación judicial directa del dispositivo del sospechoso, bajo procedimientos estándar de orden de registro.
- Recuperación criptográfica ordenada por la corte mediante claves sostenidas por el usuario, con el debido proceso.
- Cooperación internacional mediante MLAT y instrumentos de reconocimiento mutuo de segunda generación de la UE.
Estos mecanismos funcionan. Ellos respetan el estado de derecho. Requieren que uOS no haga nada más que lo que ya hacemos: nada en absoluto.