Nous ne pouvons pas livrer ce que nous n'avons jamais déchiffré.
Plusieurs régimes juridiques européens et nationaux exigent que les opérateurs de communications électroniques mettent en œuvre des capacités d'interception légale : l'article 706-102 du Code de procédure pénale français, les articles 23 et 31 de l'IPA 2016 du Royaume-Uni, les articles 110 et 112 du StPO allemand, et des lois équivalentes dans toute l'Union européenne. uOS ne met en œuvre aucune capacité de ce type.
Ce n'est pas un acte de résistance politique. C'est une conséquence de notre architecture technique.
Pourquoi c'est techniquement impossible
Une capacité d'interception légale exige au minimum que l'opérateur puisse :
- identifier une cible spécifique (utilisateur ou appareil) ;
- enregistrer le contenu ou les métadonnées des communications de la cible ;
- remettre cet enregistrement à l'autorité requérante.
uOS ne fait rien de tout cela pour le contenu en clair :
- Identification : uOS peut identifier le user_pub d'une cible, mais ne peut pas faire correspondre un user_pub à une identité réelle, ni vérifier qu'un user_pub correspond à une personne qui est la cible nommée d'une ordonnance d'interception.
- Enregistrement du contenu : uOS n'a jamais accès au contenu en clair d'aucun message, à aucun moment.
- Remise : il n'y a rien à remettre.
Pour les métadonnées, notre capacité est tout aussi limitée. Nos serveurs ne conservent que le minimum requis pour acheminer les trames WebSocket : identifiant de cible (user_pub), platform_id, compteur, horodatage et taille de transport. Cela est insuffisant pour satisfaire le contenu d'une ordonnance d'interception légale typique, et nous le précisons dans toute procédure judiciaire.
Ce que nous ferons
- Nous contesterons toute ordonnance qui exigerait que nous mettions en œuvre une capacité d'interception contraire à notre architecture.
- Nous nous conformerons aux ordonnances strictement limitées qui demandent ce que nous pouvons techniquement fournir (par exemple, la confirmation qu'un user_pub existe sur une plateforme spécifique et un horodatage), de manière proportionnée à l'ordonnance.
- Nous publierons chacune de ces interactions dans notre rapport de transparence annuel.
Pourquoi les forces de l'ordre n'ont pas besoin que nous nous conformions
La procédure pénale européenne moderne dispose de mécanismes bien éprouvés et respectueux des droits pour enquêter sur les infractions impliquant des communications chiffrées :
- Saisie judiciaire directe de l'appareil du suspect, selon les procédures standard de mandat de perquisition.
- Récupération chiffrographique ordonnée par le tribunal à l'aide de clés détenues par l'utilisateur, avec toutes les garanties procédurales.
- Coopération internationale via les MLAT et les instruments de reconnaissance mutuelle de deuxième génération de l'UE.
Ces mécanismes fonctionnent. Ils respectent l'état de droit. Ils n'exigent de uOS rien de plus que ce que nous faisons déjà : rien du tout.