Nie możemy dostarczyć tego, czego nigdy nie odszyfrowaliśmy.
Wiele europejskich i krajowych reżimów prawnych wymaga od operatorów usług łączności elektronicznej wdrożenia możliwości legalnej inwigilacji: artykuł 706-102 francuskiego Kodeksu postępowania karnego, artykuły 23 i 31 brytyjskiej ustawy IPA 2016, artykuły 110 i 112 niemieckiego StPO oraz podobne przepisy w całej UE. uOS nie wdraża żadnej takiej możliwości.
To nie akt politycznego oporu. To konsekwencja naszej architektury technicznej.
Dlaczego jest to technicznie niemożliwe
Możliwość legalnej inwigilacji wymaga co najmniej, aby operator mógł:
- zidentyfikować konkretny cel (użytkownika lub urządzenie);
- rejestrować treść lub metadane komunikacji celu;
- dostarczyć to nagranie żądającemu organowi.
uOS nie robi żadnej z tych rzeczy w odniesieniu do treści jawnej:
- Identyfikacja: uOS może zidentyfikować user_pub celu, ale nie może przypisać user_pub do tożsamości w świecie rzeczywistym ani zweryfikować, że user_pub odpowiada osobie, która jest wskazanym celem nakazu inwigilacji.
- Rejestrowanie treści: uOS nie ma dostępu do treści jawnej żadnej wiadomości w żadnym momencie.
- Dostarczanie: nie ma czego dostarczać.
Jeśli chodzi o metadane, nasze możliwości są podobnie ograniczone. Nasze serwery przechowują wyłącznie minimum wymagane do routowania ramek WebSocket: identyfikator celu (user_pub), platform_id, licznik, znacznik czasu i rozmiar transportu. To nie wystarcza, aby spełnić wymogi typowego nakazu inwigilacji, i wyjaśniamy to w każdym postępowaniu sądowym.
Co zrobimy
- Będziemy kwestionować każdy nakaz, który wymaga od nas wdrożenia możliwości inwigilacji sprzecznej z naszą architekturą.
- Będziemy stosować się do wąsko zakrojonych nakazów, które żądają tego, co możemy technicznie zapewnić (np. potwierdzenia, że user_pub istnieje na określonej platformie i znacznik czasu), w sposób proporcjonalny do nakazu.
- Opublikujemy każdą taką interakcję w naszym corocznym Raporcie Przejrzystości.
Dlaczego organy ścigania nie potrzebują naszej współpracy
Nowoczesna europejska procedura karna ma dobrze przetestowane mechanizmy respektujące prawa, służące badaniu przestępczości z udziałem szyfrowanej komunikacji:
- Bezpośrednie zajęcie sądowe urządzenia podejrzanego, zgodnie ze standardowymi procedurami nakazu przeszukania.
- Nakazane przez sąd odzyskiwanie kryptograficzne przy użyciu kluczy posiadanych przez użytkownika, z pełnym przestrzeganiem procedur.
- Współpraca międzynarodowa poprzez MLAT i instrumenty wzajemnego uznawania drugiej generacji UE.
Te mechanizmy działają. Szanują praworządność. Wymagają od uOS tylko tego, co już robimy: niczego.