Vi kan inte lämna ut det vi aldrig dekrypterade.
Flera europeiska och nationella rättsregimer kräver att operatörer av elektronisk kommunikation implementerar kapacitet för laglig avlyssning: artikel 706-102 i franska Code de procédure pénale, artiklarna 23 och 31 i brittiska IPA 2016, artiklarna 110 och 112 i tyska StPO, och motsvarande lagar inom EU. uOS implementerar inte någon sådan kapacitet.
Detta är inte en handling av politiskt motstånd. Det är en konsekvens av vår tekniska arkitektur.
Varför det är tekniskt omöjligt
En kapacitet för laglig avlyssning kräver som minimum att operatören kan:
- identifiera ett specifikt mål (användare eller enhet);
- spela in innehåll eller metadata för målets kommunikation;
- leverera inspelningen till den begärande myndigheten.
uOS gör inget av detta för klartextinnehåll:
- Identifiering: uOS kan identifiera user_pub för ett mål, men kan inte mappa en user_pub till en verklig identitet, och kan inte heller verifiera att en user_pub motsvarar en person som är det namngivna målet för ett avlyssningsbeslut.
- Inspelning av innehåll: uOS har ingen åtkomst till klartextinnehåll i något meddelande vid någon tidpunkt.
- Leverans: det finns inget att leverera.
För metadata är vår förmåga likaså begränsad. Våra servrar behåller endast det minimum som krävs för att dirigera WebSocket-ramar: målidentifierare (user_pub), platform_id, räknare, tidsstämpel och transportstorlek. Detta är otillräckligt för att uppfylla innehållet i ett typiskt beslut om laglig avlyssning, och vi gör detta klart i varje rättsligt förfarande.
Vad vi kommer att göra
- Vi kommer att bestrida varje beslut som kräver att vi implementerar avlyssningskapacitet mot vår arkitektur.
- Vi kommer att följa snävt avgränsade beslut som ber om det vi tekniskt kan tillhandahålla (t.ex. bekräftelse på att en user_pub finns på en specifik plattform och tidsstämpel), på ett sätt som står i proportion till beslutet.
- Vi kommer att publicera varje sådan interaktion i vår årliga transparensrapport.
Varför brottsbekämpande myndigheter inte behöver att vi följer
Modern europeisk straffprocess har väletablerade, rättighetsrespekterande mekanismer för att utreda brott som involverar krypterad kommunikation:
- Direkt rättsligt beslag av den misstänktes enhet, enligt standardförfaranden för husrannsakan.
- Domstolsbeslutad kryptografisk återställning med nycklar som innehas av användaren, med full rättsprocess.
- Internationellt samarbete genom MLAT och andra generationens EU-instrument för ömsesidigt erkännande.
Dessa mekanismer fungerar. De respekterar rättsstatsprincipen. De kräver att uOS inte gör mer än vad vi redan gör: ingenting alls.