Giurisdizione e Cyber-Diritto on Arpokrat

Data Act vs CLOUD Act: chi controlla davvero i tuoi dati nel cloud?

Fri, 19 Jun 2026 00:00:00 +0000

Per anni, il mondo ha funzionato su un presupposto semplice: i dati hanno un luogo di residenza fisico. Se si trovavano su un server a Dublino, erano soggetti al diritto irlandese ed europeo. Questo presupposto è crollato nel 2018, quando gli Stati Uniti hanno adottato il CLOUD Act, una legge che conferisce alle autorità americane l’accesso ai dati controllati da aziende statunitensi, indipendentemente da dove tali dati siano fisicamente archiviati nel mondo. Alcuni anni dopo, Bruxelles ha risposto con il proprio strumento di protezione: il Data Act, ora pienamente applicabile, che tenta di limitare l’accesso extraterritoriale delle autorità di paesi terzi ai dati detenuti nell’Unione europea.

Ecco cosa prevedono realmente questi due testi, dove entrano in collisione, e perché l’unica protezione davvero solida di fronte a questo conflitto rimane l’impossibilità tecnica di accesso.

Il CLOUD Act americano: un accesso basato sul controllo, non sulla localizzazione

Il CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adottato nel marzo 2018, ha modificato il diritto americano aggiungendo l’articolo 18 U.S. Code § 2713. Questo testo impone a qualsiasi fornitore di servizi di comunicazione elettronica o di elaborazione informatica remota di conservare, salvaguardare o divulgare il contenuto di una comunicazione o qualsiasi registro ad essa correlato, qualora tali dati siano in suo possesso, in sua custodia o sotto il suo controllo, indipendentemente dal fatto che tali dati si trovino all’interno o all’esterno degli Stati Uniti.

È precisamente quest’ultima clausola a cambiare tutto. Il criterio adottato non è più la localizzazione fisica del server, ma il controllo esercitato dalla società madre sulle proprie filiali. Un’azienda americana che gestisce centri dati in Europa rimane quindi soggetta alle richieste americane, anche per i dati archiviati interamente sul suolo europeo.

Il Data Act europeo: una barriera giuridica all’accesso extraterritoriale

Il Regolamento (UE) 2023/2854, detto Data Act, è entrato in vigore l'11 gennaio 2024 e si applica pienamente dal 12 settembre 2025, con alcune disposizioni scaglionate fino al 2026 e al 2027. Il suo articolo 32 disciplina direttamente la questione dell’accesso governativo internazionale ai dati.

Il testo stabilisce una regola chiara: qualsiasi decisione o sentenza di un organo giurisdizionale o di un’autorità amministrativa di un paese terzo che richieda a un fornitore di servizi di trattamento dei dati di trasferire o fornire accesso a dati non personali detenuti nell’Unione europea è riconosciuta ed eseguibile solo se si basa su un accordo internazionale, come un trattato di assistenza giudiziaria reciproca (MLA), in vigore tra il paese richiedente e l’Unione, o tra tale paese e lo Stato membro interessato.

In assenza di un tale accordo, l’articolo 32 prevede una seconda via, ma strettamente disciplinata: la decisione straniera può essere eseguita solo se il sistema giuridico del paese terzo richiede che la richiesta sia motivata, proporzionata e sufficientemente specifica, ad esempio stabilendo un chiaro collegamento con persone o reati precisi, e se l’obiezione motivata del destinatario può essere sottoposta al controllo di un organo giurisdizionale competente di tale paese terzo.

Una collisione giuridica diretta

Il problema è immediato: il CLOUD Act impone una divulgazione basata sul controllo esercitato dalla società madre, senza condizioni di proporzionalità comparabili a quelle richieste dal diritto europeo. Il Data Act, al contrario, subordina il riconoscimento di tale richiesta all’esistenza di un accordo internazionale o a precise garanzie procedurali. Un’azienda americana operante in Europa, intimata da un’autorità americana a trasmettere dati ospitati nell’Unione, si ritrova quindi intrappolata tra due obblighi legali contraddittori: conformarsi al mandato americano violando il diritto dell’Unione, oppure rispettare il Data Act esponendosi alle conseguenze di un rifiuto negli Stati Uniti.

Questa tensione non è teorica. È già stata documentata dalla Corte di giustizia dell’Unione europea (CJUE) in due decisioni fondamentali, Schrems I (2015) e Schrems II (2020). Nella sentenza Schrems II, la CJUE ha stabilito che la sorveglianza americana condotta ai sensi della Sezione 702 del FISA (Foreign Intelligence Surveillance Act) e dell’Executive Order 12333 non rispetta le garanzie minime richieste dal diritto dell’Unione in virtù del principio di proporzionalità, e non può quindi essere considerata limitata a quanto strettamente necessario. La Corte ha inoltre rilevato l’assenza di un mezzo di ricorso giurisdizionale effettivo per le persone interessate dell’Unione, in violazione dell’articolo 47 della Carta dei diritti fondamentali. Tale decisione ha invalidato il quadro del Privacy Shield, che fino ad allora disciplinava i trasferimenti di dati tra l’UE e gli Stati Uniti.

Il rischio strutturale: Harvest Now, Decrypt Later

Al di là del conflitto di giurisdizioni, una minaccia più insidiosa incombe sui dati ospitati in infrastrutture soggette al diritto americano: la strategia denominata Harvest Now, Decrypt Later (HNDL). Il principio consiste, per un servizio di intelligence o un attore statale ostile, nell’intercettare e archiviare fin d’ora dati cifrati, in attesa di capacità di calcolo quantistico sufficienti per decifrarli in futuro.

Questa strategia trasforma qualsiasi dipendenza prolungata da un’infrastruttura cloud americana in un debito di sicurezza differito: ciò che è riservato oggi può diventare leggibile tra dieci o quindici anni, senza che alcuna ulteriore azione sia necessaria da parte dell’attaccante, solo tempo e pazienza.

Perché solo l’impossibilità tecnica costituisce una vera garanzia

L’analisi giuridica converge verso una constatazione condivisa da molti esperti di conformità: per quanto solido sia il quadro normativo del Data Act, rimane un testo che i rapporti di forza geopolitici e le pressioni diplomatiche possono aggirare, ritardare o reinterpretare. L’unica protezione che non dipende da alcuna negoziazione futura è l’impossibilità tecnica di esecuzione.

Un’architettura zero knowledge, in cui il fornitore non detiene né il possesso né la custodia delle chiavi di decifrazione, rende una richiesta materialmente inoperante. Non si può essere costretti a consegnare ciò che non si ha mai posseduto.

È questa la logica che struttura ecosistemi come Arpokrat:

Neutralizzazione giurisdizionale: l’infrastruttura è ospitata in Svizzera, sotto il regime della legge federale sulla protezione dei dati (LPD/FADP), al di fuori del campo di applicazione diretta dell’extraterritorialità del CLOUD Act
Assenza di custodia: l’architettura zero knowledge priva il fornitore di qualsiasi capacità di consegnare chiavi o contenuti che non ha mai detenuto
Riduzione dell’impronta identitaria: eliminando l’obbligo di registrazione tramite numero di telefono o indirizzo e-mail, identificatori che la sorveglianza basata sulla Sezione 702 del FISA può tracciare con facilità, l’utente cessa di essere un abbonato identificabile per diventare una chiave crittografica anonima

La catena di custodia non si ferma alla cifratura dei messaggi

Un punto spesso sottovalutato nelle analisi di conformità: non è sufficiente cifrare il contenuto di una comunicazione se il sistema operativo sottostante, che si tratti di Android o iOS, continua a raccogliere metadati o telemetria a livello di kernel, a destinazione di server soggetti alla giurisdizione americana. La protezione del segreto richiede una chiusura completa della catena di custodia, dal contenuto fino all’infrastruttura hardware stessa.

È per questa ragione che la sovranità digitale implica anche una riflessione sul sistema operativo utilizzato, non solo sulle applicazioni di messaggistica. I sistemi de-googlizzati, in cui moduli come il Bluetooth o la geolocalizzazione GNSS possono essere disattivati direttamente a livello di kernel, eliminano vettori di attacco fisici che nessuna cifratura applicativa può compensare.

La crittografia post-quantistica, un orizzonte già avviato

Di fronte alla minaccia rappresentata dalla strategia HNDL, l’adozione di standard di crittografia post-quantistica (PQC) diventa una necessità per chiunque desideri garantire la riservatezza di dati sensibili nel lungo termine, che si tratti di segreti aziendali, corrispondenza professionale o dati sanitari. Una cifratura considerata robusta oggi secondo gli standard classici non garantisce che resisterà alle capacità di calcolo quantistico attese nei prossimi quindici anni.

Il conflitto tra il Data Act e il CLOUD Act illustra una realtà più ampia: la sovranità digitale non può più essere costruita unicamente su testi di legge, per quanto solidi essi siano. Richiede una chiusura della catena di custodia a ogni livello, dal protocollo di cifratura fino alla giurisdizione di hosting, passando per il sistema operativo stesso. È questo approccio a strati, piuttosto che una fiducia riposta in un unico quadro normativo, a definire oggi una vera sovranità digitale per progettazione.

Monero e Zcash vietati in Europa dal 2027: cosa cambia con l'AMLR

Thu, 18 Jun 2026 00:00:00 +0000

Monero e Zcash vietati in Europa: è ormai ufficiale. A partire da luglio 2027, l’Unione europea chiude l’accesso istituzionale alle criptovalute a privacy rinforzata tramite un nuovo regolamento antiriciclaggio denominato AMLR. Ecco cosa prevede concretamente il testo, il ruolo della nuova autorità europea AMLA incaricata di farlo applicare, e cosa significa realmente per chiunque detenga privacy coin.

AMLR e AMLA: due testi diversi, da non confondere

Prima di entrare nel dettaglio, è necessario fare una distinzione — questi due acronimi designano due cose distinte, spesso confuse nella stampa specializzata:

L’AMLR (Anti-Money Laundering Regulation) è il testo di legge in sé: il Regolamento (UE) 2024/1624, che definisce le regole — conti anonimi vietati, soglie di verifica, trattamento delle privacy coin. È il «cosa».
L’AMLA (Anti-Money Laundering Authority) è la nuova autorità di supervisione europea, istituita da un regolamento distinto ma adottato lo stesso giorno, il Regolamento (UE) 2024/1620. Il suo ruolo è quello di vigilare direttamente sull’applicazione dell’AMLR, in particolare nei confronti dei principali prestatori di servizi su cripto-attività (CASP) operanti in più Stati membri. È il «chi controlla».

In sintesi: l’AMLR stabilisce le regole, l’AMLA vigila sulla loro applicazione. I due testi formano un unico pacchetto legislativo europeo contro il riciclaggio di denaro e il finanziamento del terrorismo.

Cosa prevede esattamente il regolamento AMLR

Il Regolamento (UE) 2024/1624 è stato adottato dal Parlamento europeo e dal Consiglio il 31 maggio 2024, poi pubblicato nella Gazzetta ufficiale dell’Unione europea il 19 giugno 2024. Il suo Capitolo VIII (articoli 79-80), intitolato «Misure volte ad attenuare i rischi connessi agli strumenti anonimi», e più precisamente il suo articolo 79 («Conti anonimi, azioni e warrant al portatore»), stabilisce che gli enti creditizi, gli istituti finanziari e i prestatori di servizi su cripto-attività (CASP) hanno ora il divieto di mantenere conti anonimi o di offrire prodotti che consentano l’anonimizzazione delle transazioni.

Il testo individua esplicitamente due categorie distinte ma correlate:

I conti anonimi — siano essi bancari, di pagamento o crypto. La norma allinea il settore crypto alle restrizioni già esistenti per i conti bancari anonimi, i conti titoli al portatore e le cassette di sicurezza anonime.
Le «criptovalute con carattere anonimizzante» (anonymity-enhancing coins) — il termine generico utilizzato dal regolamento per designare gli attivi che impiegano tecniche crittografiche avanzate che rendono i flussi non tracciabili. Precisazione importante: il testo legale non cita alcun token per nome. È l’interpretazione ampiamente condivisa dagli studi di compliance e dall’industria — in particolare l’AML Handbook dell’European Crypto Initiative (EUCI) — a identificare Monero (XMR), Zcash (ZEC) e Dash (DASH) come rientranti in questa categoria. Si tratta di una lettura coerente con la definizione del regolamento, ma è un’interpretazione settoriale, non un elenco nominativo iscritto nella legge.

Il regolamento si inserisce in un quadro più ampio, accanto a MiCA (Markets in Crypto-Assets), già in vigore dal 2024-2025 e che ha già spinto numerose piattaforme (Kraken già nell’ottobre 2024, poi decine di altre) a ritirare Monero dai loro mercati europei in via anticipatoria.

La data da ricordare: luglio 2027

L’AMLR ha una data di applicazione definitiva. La maggior parte delle fonti specializzate converge verso il 10 luglio 2027 come scadenza per la piena applicazione. A partire da tale data, le piattaforme di scambio e i servizi di custodia di cripto-attività (custodial) non potranno più operare né con conti anonimi né con privacy coin.

Fino a tale scadenza, il regolamento impone già obblighi rafforzati:

Verifica dell’identità obbligatoria per qualsiasi transazione crypto occasionale superiore a 1.000 euro — una soglia notevolmente abbassata rispetto alle pratiche attuali di molte piattaforme
Controlli rafforzati sui portafogli auto-custoditi (self-custody): quando un utente trasferisce fondi tra una piattaforma regolamentata e un portafoglio personale, il CASP dovrà raccogliere informazioni sull’origine e la destinazione dei fondi, e verificare almeno l’identità del titolare del portafoglio esterno
Eliminazione dei pagamenti in contanti anonimi oltre i 3.000 euro, nella stessa logica di estensione dei controlli d’identità a tutti gli strumenti finanziari anonimi

Perché Bruxelles vieta Monero e Zcash sulle piattaforme regolamentate

Nel suo AML Handbook, l’EUCI riassume la logica alla base del testo: l’anonimato delle cripto-attività presenta rischi significativi di utilizzo a fini criminali, impedendo la tracciabilità delle transazioni e complicando il rilevamento di attività sospette.

È esattamente lo stesso ragionamento che ha già portato il Giappone, la Corea del Sud e più di recente le Filippine a escludere le privacy coin dalle loro piattaforme regolamentate — un allineamento progressivo delle giurisdizioni sviluppate agli standard del GAFI (FATF). Formalizzando questo divieto in un regolamento direttamente applicabile ai 27 Stati membri, l’Unione europea conferisce a questa tendenza un peso giuridico e un effetto di trascinamento (il cosiddetto «Brussels Effect») nettamente superiore a quello delle decisioni nazionali isolate.

Cosa NON è vietato — la distinzione che conta

Diverse analisi giuridiche convergono su un punto centrale: l’AMLR non criminalizza il possesso individuale di privacy coin, né i trasferimenti peer-to-peer al di fuori delle piattaforme regolamentate. I portafogli auto-custoditi non sono vietati in quanto tali — sono soggetti a controlli rafforzati solo quando interagiscono con una piattaforma soggetta a regolamentazione.

Ciò che l’AMLR chiude sono le rampe di accesso istituzionali: l’acquisto, la vendita, il deposito e il prelievo di privacy coin tramite un CASP regolamentato all’interno dell’Unione europea. Il possesso privato e gli scambi decentralizzati rimangono, allo stato attuale, al di fuori del campo diretto del divieto — uno schema identico a quello già osservato nelle Filippine.

Cosa implica concretamente per i detentori di XMR e ZEC

Se attualmente detenete privacy coin su una piattaforma di scambio regolamentata nell’Unione europea:

Entro luglio 2027, queste piattaforme dovranno aver rimosso il supporto a tali attivi o cessato di accettare nuovi depositi che li riguardano
I trasferimenti verso portafogli personali da queste stesse piattaforme saranno soggetti a verifiche d’identità rafforzate, anche prima della scadenza finale
Qualsiasi transazione crypto oltre i 1.000 euro, privacy coin o meno, richiederà un’identificazione completa

I critici del testo, anche all’interno dell’industria crypto stessa, evidenziano un rischio strutturale: chiudendo i circuiti regolamentati senza vietare tecnicamente gli attivi in sé, il regolamento spinge meccanicamente i detentori di privacy coin verso mercati meno trasparenti e piattaforme non regolamentate — l’esatto contrario dell’obiettivo di tracciabilità dichiarato da Bruxelles.

Organizzarsi prima della scadenza del 2027

Con un orizzonte fissato al 2027, la transizione non è immediata — ma è già in corso. Le piattaforme stanno già adeguando le loro offerte in previsione della messa a norma, e la finestra per scambiare o consolidare posizioni in privacy coin senza dipendere da infrastrutture soggette a questa giurisdizione si riduce ogni mese.

Arpokrat Swap permette di scambiare Monero, Zcash e l’insieme delle criptovalute a privacy rinforzata senza registrazione, senza raccolta di dati d’identità e senza dipendenza da un CASP regolamentato soggetto all’AMLR. La piattaforma è accessibile in clearnet come tramite il nostro indirizzo .onion, garantendo che la vostra capacità di scambiare questi attivi non dipenda da alcuna giurisdizione che potrebbe chiudere le proprie rampe di accesso da un giorno all’altro.

L’AMLR conferma una traiettoria che non lascia più molti dubbi: i mercati crypto regolamentati e la riservatezza finanziaria diventano, giurisdizione dopo giurisdizione, strutturalmente incompatibili. La questione non è più se questa tendenza si generalizzerà all’insieme delle economie sviluppate, ma quanto tempo rimarrà, dopo il 2027, per scambiare attivi privati al di fuori di circuiti che non avranno più il diritto di trattarli.

Le Filippine vietano Monero e Zcash sulle piattaforme regolamentate: il segnale di una tendenza mondiale

Wed, 17 Jun 2026 00:00:00 +0000

La banca centrale delle Filippine ha appena inferto un duro colpo alle criptovalute a riservatezza rafforzata. Sotto la copertura della conformità agli standard internazionali di lotta al riciclaggio, la decisione illustra una dinamica regolamentare che va ben oltre questo solo paese — e che dovrebbe mettere in allerta chiunque detenga o utilizzi asset come Monero o Zcash.

Cosa dice il memorandum

La Bangko Sentral ng Pilipinas (BSP), banca centrale del paese, ha approvato il Memorandum M-2026-023, firmato dalla vice-governatrice Lyn Javier. Il testo ordina a tutti i fornitori di servizi su asset virtuali (VASP) titolari di licenza di cessare di listare e supportare gli «asset virtuali a carattere anonimizzante». Il memorandum non cita alcun token per nome, ma la categoria individuata copre senza ambiguità Monero, Zcash e Dash — le criptovalute progettate per rendere difficile o impossibile la tracciabilità delle transazioni.

La misura è entrata in vigore immediatamente, senza periodo di transizione. Al di là del semplice ritiro di questi asset dalle piattaforme, i VASP devono ora valutare ogni token listato secondo sei pilastri di conformità: credibilità dell’emittente, maturità del mercato, caso d’uso, trasparenza e sicurezza, liquidità e riserve, conformità legale. Devono inoltre definire soglie interne che attivino automaticamente un delisting quando un asset non soddisfa più tali criteri.

Cosa cambia concretamente

Il memorandum non criminalizza il possesso privato di Monero o Zcash, né i trasferimenti peer-to-peer effettuati al di fuori delle piattaforme regolamentate. Ciò che scompare è l’accesso istituzionale: i canali di ingresso e uscita regolamentati (acquisto, vendita, deposito, prelievo su una piattaforma con licenza) non potranno più trattare questi asset.

Concretamente, se detenete privacy coin su una piattaforma filippina soggetta a licenza BSP — tra cui Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank o UnionBank — dovete trasferirle su un portafoglio personale o convertirle prima che la piattaforma sia costretta a ritirarle.

Con oltre 16 milioni di utenti di criptovalute nel paese, l’impatto si farà sentire su larga scala nel mercato interno, anche se l’effetto sul corso mondiale di XMR o ZEC dovrebbe restare limitato — le Filippine rappresentando solo una frazione marginale della liquidità globale di questi asset.

L’allineamento FATF, giustificazione universale

La BSP giustifica la propria decisione con un esplicito allineamento agli standard del GAFI (FATF), l’organismo internazionale che definisce le regole di lotta al riciclaggio di denaro e al finanziamento del terrorismo. Rimanere in buoni rapporti con il FATF non è facoltativo per la maggior parte delle banche centrali — una cattiva classificazione può compromettere l’accesso di un intero paese ai circuiti finanziari internazionali.

È esattamente la stessa giustificazione che ha già spinto l’Unione Europea, il Giappone e la Corea del Sud a escludere progressivamente le privacy coin dalle proprie piattaforme regolamentate nel corso degli ultimi anni. La decisione filippina non è quindi un caso isolato: è la conferma di uno standard di fatto che si generalizza — se una giurisdizione vuole operare un mercato crypto riconosciuto a livello internazionale, gli asset a riservatezza rafforzata non vi hanno più posto.

Una tensione che nessuno risolve davvero

È significativo che persino gli attori che sostengono la decisione riconoscano la legittimità dell’utilizzo che essa mira a limitare. Il responsabile crypto di GCash, una delle più grandi fintech del paese, ha esplicitamente riconosciuto che Monero e Zcash «esistono per ragioni legittime» e che la riservatezza costituisce «un valore fondante della crypto: la capacità di transare senza sorveglianza». Ha tuttavia sostenuto la misura, ritenendo che le Filippine — paese con una forte dipendenza dai flussi di rimesse — non potessero posizionarsi come infrastruttura finanziaria affidabile pur autorizzando la libera circolazione di asset anonimizzanti.

Questa tensione non è risolta, è semplicemente tranchée a favore dell’ottica regolamentare: i volumi di rimesse e la credibilità internazionale pesano più dell’argomento della riservatezza legittima, ogni volta che si pone il problema di scegliere.

La logica conseguenza: la migrazione verso l’auto-custodia

Lo schema che si ripete da una giurisdizione all’altra è ormai leggibile. Il pattern è quasi sempre identico: la riservatezza finanziaria rimane legale a livello individuale, ma diventa progressivamente impossibile da esercitare tramite i circuiti istituzionali. L’auto-custodia (self-custody) non è ancora nel mirino — ma ogni nuova giurisdizione che segue questo modello riduce ulteriormente lo spazio in cui questi asset possono circolare senza blocchi regolamentari.

Avevamo analizzato in profondità il funzionamento tecnico di queste blockchain e le ragioni per cui sono diventate un bersaglio privilegiato dei regolatori nel nostro guida completa sulle blockchain anonime — ring signatures, zk-SNARKs, e i limiti reali di queste tecnologie.

Scambiare al di fuori dei circuiti che si chiudono

Man mano che le piattaforme regolamentate si ritirano dal mercato delle privacy coin una dopo l’altra, il ruolo delle infrastrutture non-custodiali e senza raccolta di dati diventa centrale per chiunque voglia continuare a utilizzare questi asset senza dipendere da un VASP soggetto a una giurisdizione che potrebbe cambiare politica da un giorno all’altro.

Arpokrat Swap permette di scambiare Monero, Zcash e l’insieme delle criptovalute a riservatezza rafforzata senza registrazione, senza raccolta di log IP e senza cookie — che abbiate accesso alla piattaforma in clearnet o tramite il nostro indirizzo .onion. Nessuna giurisdizione può rimuovere ciò che non raccogliamo mai.

Questa decisione filippina probabilmente non sarà l’ultima del suo genere quest’anno. La domanda non è più se altri paesi seguiranno la stessa strada — la storia recente suggerisce di sì — ma quanto tempo resta prima che l’accesso istituzionale alle privacy coin diventi l’eccezione piuttosto che la norma.

La fine della privacy? Backdoor, Online Safety Act e la risposta degli ecosistemi sovrani

Wed, 10 Jun 2026 00:00:00 +0000

Londra è diventata l’epicentro di una battaglia globale per il futuro della privacy digitale. Con l’adozione dell’Online Safety Act 2023 (OSA) e le recenti proposte di revisione dell’Investigatory Powers Act (IPA) — soprannominato dai suoi detrattori la “Carta delle spie” —, il governo britannico rivendica il diritto di imporre obblighi di sorveglianza nel cuore stesso delle comunicazioni private. Il punto di rottura è il potere conferito al regolatore OFCOM di esigere che le piattaforme implementino una “tecnologia accreditata” per rilevare contenuti di abusi sessuali su minori (CSEA) o terrorismo, anche all’interno delle comunicazioni crittografate end-to-end .

Per le grandi piattaforme digitali, il messaggio di Westminster è inequivocabile: o facilitano l’accesso statale alle loro infrastrutture, o affrontano multe fino al 10% delle loro entrate globali. La risposta è stata immediata: servizi come Signal e WhatsApp hanno pubblicamente minacciato di ritirarsi dal mercato britannico, rifiutandosi di compromettere la sicurezza dei propri utenti per soddisfare una singola giurisdizione. L’argomento tecnico è difficile da contestare: non esiste una chiave master (master key) riservata esclusivamente agli attori legittimi. Una porta aperta per le forze dell’ordine è, per progettazione, una porta aperta per i criminali informatici e i servizi segreti stranieri.

Il modello di business delle grandi piattaforme: un ostacolo strutturale alla Zero-Knowledge

La resistenza delle grandi piattaforme all’adozione della crittografia di tipo Zero-Knowledge non è spiegata da un’incapacità tecnica, ma da una fondamentale incompatibilità economica. Aziende come Alphabet e Meta si basano su modelli di monetizzazione fondati sulla raccolta sistematica di dati comportamentali. Questo modello è, peraltro, implicitamente riconosciuto dal Digital Markets Act (DMA) dell’Unione Europea, che classifica questi “guardiani” (gatekeepers) come entità la cui posizione dominante è alimentata proprio dall’accumulo di dati su scala ineguagliabile. Per questi attori, adottare un’architettura Zero-Knowledge significherebbe privare i propri sistemi pubblicitari della continua identificazione degli utenti che ne costituisce il carburante. Non si tratta quindi di una scelta tecnica, ma di un compromesso tra la privacy degli utenti e la redditività del loro modello di business.

Il rischio strategico: la minaccia “Harvest Now, Decrypt Later”

Al di là del dibattito sulla privacy, l’indebolimento della crittografia solleva una questione di sicurezza nazionale di tutt’altra portata. La strategia nota come Harvest Now, Decrypt Later (HNDL) prevede che avversari statali intercettino e memorizzino oggi enormi volumi di comunicazioni crittografate, in previsione di future capacità di decrittazione quantistica. Indebolendo gli attuali standard di crittografia, il quadro legislativo britannico facilita oggettivamente questo tipo di operazioni contro comunicazioni governative, diplomatiche o industriali.

È proprio in questo contesto di deficit di fiducia che ecosistemi come quello di Arpokrat acquisiscono rilevanza operativa. Operando sotto il regime della Legge federale svizzera sulla protezione dei dati (LPD/FADP), con un’architettura che non raccoglie alcun identificatore civile, Arpokrat offre una rottura tecnica rispetto alle infrastrutture soggette alla giurisdizione britannica — garantendo che il sistema rimanga sordo alle ingiunzioni previste dall’OSA.

Il conflitto di norme: OSA e IPA contro il diritto europeo

L’analisi giuridica delle nuove prerogative statali britanniche rivela una collisione diretta con i fondamenti del diritto europeo in materia di protezione dei dati e riservatezza delle comunicazioni.

OSA contro il divieto di sorveglianza generalizzata

L’articolo 121 dell’OSA introduce la possibilità per l’OFCOM di emettere ingiunzioni che costringono le piattaforme a implementare la scansione lato client (client-side scanning). Questa misura contravviene frontalmente al principio, derivato dal diritto europeo e incluso nella giurisprudenza della CGUE, che vieta obblighi generali di sorveglianza. Imponendo una “vulnerabilità by design”, pone inoltre le aziende in una situazione di doppio vincolo: indebolendo la loro sicurezza per conformarsi a un mandato statale, vengono meno al loro obbligo di garantire un livello di sicurezza adeguato al trattamento, sancito dall’articolo 32 del GDPR.

La Direttiva ePrivacy e la riservatezza delle comunicazioni

La scansione dei messaggi privati è in diretta contraddizione con l’articolo 5, paragrafo 1, della Direttiva 2002/58/CE (ePrivacy), che obbliga gli Stati membri a garantire la riservatezza delle comunicazioni elettroniche e vieta qualsiasi forma di intercettazione o sorveglianza senza il consenso esplicito degli utenti interessati.

I Technical Capability Notices e il blocco degli aggiornamenti di sicurezza

Sotto il regime dell’IPA 2016, il governo britannico intende ora utilizzare i Technical Capability Notices (TCN) per opporsi agli aggiornamenti di sicurezza prima della loro implementazione. Questo meccanismo crea un conflitto irrisolvibile con l’obbligo, stabilito dall’articolo 32 del GDPR, di garantire la sicurezza continua dei sistemi di elaborazione — un obbligo che richiede proprio la capacità di applicare patch senza ritardi o interferenze esterne.

Rischi di conformità per le aziende che operano in Europa

Le revisioni dell’IPA mirano a costringere le aziende a notificare al governo britannico qualsiasi modifica tecnica che influisca sulla sicurezza, prima della sua implementazione, concedendogli così un diritto di veto sullo sviluppo del prodotto. Questa ingerenza crea una notevole insicurezza giuridica per i fornitori che operano nel mercato europeo: l’adeguatezza britannica al diritto europeo — già fragile — potrebbe essere messa in discussione se il Regno Unito non garantisse più una protezione sostanzialmente equivalente a quella del GDPR. Di conseguenza, i trasferimenti di dati verso il Regno Unito in questo nuovo quadro normativo esporrebbero verosimilmente le aziende a sanzioni ai sensi del GDPR.

La difesa attraverso l’impossibilità tecnica: il principio Zero-Knowledge come scudo legale

La giurisprudenza internazionale, consolidata dalle sentenze Schrems I e Schrems II della CGUE, ha stabilito un principio determinante: l’unica salvaguardia solida contro una sorveglianza sproporzionata è l’impossibilità tecnica di accedervi. Le architetture Zero-Knowledge declinano questo principio in tre livelli di protezione:

Assenza di custodia: non detenendo la piattaforma le chiavi di decrittazione, qualsiasi ingiunzione di scansionare i messaggi è tecnicamente inoperante;
Sovranità del sistema operativo: il controllo di ArpokratOS elimina la telemetria che alimenta la raccolta di intelligence a livello di dispositivo;
Ancoraggio giurisdizionale svizzero: ospitando la propria infrastruttura in Svizzera, Arpokrat opera in un regime legale che richiede richieste individualizzate e motivate di assistenza giudiziaria, neutralizzando l’esecuzione automatizzata delle scansioni di massa previste dall’OSA.

Conclusione

Le disposizioni dell’OSA e le revisioni dell’IPA non costituiscono solo una minaccia per la privacy degli individui: rappresentano una rottura della certezza del diritto per tutti i dati europei che transitano attraverso infrastrutture soggette alla giurisdizione britannica. Legittimando l’indebolimento della crittografia in nome della sicurezza pubblica, Londra espone paradossalmente i suoi alleati e partner commerciali a rischi di spionaggio industriale e statale che le architetture Zero-Knowledge sono progettate proprio per prevenire.

L’integrità delle comunicazioni professionali e istituzionali richiede ora una risposta strutturale: la migrazione verso ecosistemi decentralizzati che garantiscano la sovranità digitale, dal livello del codice fino all’ancoraggio giurisdizionale.

Il Silenzio che Urla: Cos'è un Warrant Canary e perché la sua scomparsa dovrebbe preoccuparti?

Mon, 01 Jun 2026 00:00:00 +0000

In fondo alle miniere di carbone del XIX secolo, i minatori portavano con sé canarini in gabbia. Questi piccoli uccelli, estremamente sensibili ai gas tossici come il monossido di carbonio, soccombevano molto prima che i minatori percepissero il pericolo. Fungevano così da sistema di allarme preventivo silenzioso, ma formidabilmente efficace.

Nel nostro mondo digitale moderno, questo uccellino ha ripreso vita sotto forma di « Warrant Canary ».

Cos’è un Warrant Canary?

Si tratta di una dichiarazione pubblica, pubblicata e aggiornata regolarmente da un fornitore di servizi (messaggistica, VPN, hosting), che afferma che, fino a quella data esatta, non ha ricevuto alcuna richiesta legale segreta che lo obblighi a compromettere i dati dei propri utenti — come una National Security Letter (NSL) americana o un’ordinanza emessa da un tribunale FISA.

L’intera sottigliezza — e gravità — del canarino risiede in ciò che accade quando scompare.

Se un servizio che esponeva ogni mese la dicitura “Non abbiamo ricevuto alcun ordine segreto” smette improvvisamente di aggiornarla, l’utente informato ne deduce l’ovvio: il canarino è morto.

L’azienda è stata bersaglio di una misura di sorveglianza accompagnata da un ordine di non divulgazione (gag order), che le vieta legalmente di rivelare l’esistenza di tale richiesta. Non potendo dire di essere stata compromessa, smette semplicemente di dire di non esserlo.

L’era della sorveglianza invisibile e l’elusione del silenzio

In un’epoca in cui legislazioni extraterritoriali come il CLOUD Act e il FISA permettono al governo americano di accedere ai dati ospitati dalle aziende senza mai informare i diretti interessati, il Warrant Canary costituisce uno dei rari meccanismi per aggirare questo silenzio forzato.

Con il CLOUD Act, la barriera geografica non esiste più: se i dati sono sotto il “controllo” di un’azienda americana, il governo degli Stati Uniti ne rivendica il diritto di accesso, anche se questi server sono fisicamente situati in Europa. Il canarino diventa allora l’ultimo segnale di allarme prima che la sovranità digitale di un utente venga silenziosamente sacrificata.

Ecco perché i principali attori della sfera Privacy hanno adottato questo strumento come standard di trasparenza:

Proton : Il servizio svizzero di posta e messaggistica pubblica un rapporto di trasparenza che include un rigoroso Warrant Canary.
Riseup : Il collettivo di comunicazione sicura per attivisti mantiene uno dei canarini più famosi e monitorati del web.
Arpokrat : Il nostro ecosistema mantiene un Warrant Canary pubblico, aggiornato crittograficamente, per garantire una trasparenza assoluta alla nostra community.

L’analisi giuridica: Il diritto di non mentire

L’esistenza stessa del Warrant Canary si basa su uno dei pilastri più affascinanti del diritto costituzionale: la dottrina del compelled speech (discorso costretto) e la sua collisione con il segreto istruttorio.

La base giuridica poggia su un principio semplice: se lo Stato ha il potere di imporvi il silenzio (tramite un ordine di non divulgazione), non ha il potere costituzionale di forzarvi a mentire.

In virtù del Primo Emendamento della Costituzione degli Stati Uniti (e di principi analoghi in Europa), il governo non può obbligare un’azienda a produrre una dichiarazione fattualmente falsa. Pertanto, quando un’azienda rimuove il suo canarino, non viola l’ordine di silenzio — poiché non annuncia esplicitamente di aver ricevuto un mandato. Esercita semplicemente il suo diritto fondamentale di smettere di fare una dichiarazione che non è più vera.

Il conflitto con il diritto europeo

La pertinenza del canarino è oggi rafforzata dall’articolo 32 del Data Act (Regolamento UE 2023/2854). Tale disposizione impone ai fornitori di mettere in atto misure tecniche e giuridiche per impedire l’accesso ai dati da parte di autorità di paesi terzi quando ciò è contrario al diritto europeo. La morte di un canarino segnala immediatamente questo conflitto di leggi: il fornitore è probabilmente costretto ad aggirare le garanzie europee per soddisfare un mandato straniero.

L’approccio di Arpokrat: Sovranità by design

Nell’ecosistema di Arpokrat, che opera sotto la giurisdizione della LPD svizzera (Legge federale sulla protezione dei dati - RS 235.1), il canarino assume una dimensione ancora più potente. Si inserisce in un approccio olistico alla sovranità digitale: il Zero-Knowledge.

L’architettura è progettata in modo tale che l’azienda crea un’impossibilità tecnica e matematica di obbedire a un mandato. Lo Stato o un’agenzia di intelligence può emettere tutti gli ordini che desidera, la risposta rimarrà la stessa: non ci sono chiavi private, né identità (Zero-ID), né metadati centralizzati da consegnare.

In questo contesto, il canarino non è più solo un avviso di compromissione; è la prova pubblica continua che l’infrastruttura è rimasta tecnicamente inviolabile e fedele ai propri principi.

Conclusione

In definitiva, il Warrant Canary è il tassello di agilità giuridica che va a completare l’agilità crittografica necessaria per affrontare l’orizzonte delle minacce moderne (come l’informatica post-quantistica). In un’infrastruttura in cui i dati sono sovrani fin dalla progettazione, il canarino non è un semplice uccellino in una miniera: è il guardiano silenzioso della vostra fortezza digitale.

Utiq: Il nuovo 'Super-Cookie' degli operatori di telecomunicazioni che minaccia la tua privacy

Mon, 01 Jun 2026 00:00:00 +0000

La fine programmata dei cookie di terze parti sui browser web ha scatenato una vera e propria corsa agli armamenti nell’industria della pubblicità mirata. Mentre Google cerca di imporre i propri standard (come la Privacy Sandbox), un altro attore inaspettato ha deciso di prendersi una fetta della torta: il tuo fornitore di servizi Internet (ISP).

Così è nato Utiq (precedentemente noto come progetto TrustPid), una joint venture fondata dai giganti europei delle telecomunicazioni. Venduto al grande pubblico come una soluzione “trasparente e rispettosa”, Utiq è in realtà ciò che gli esperti di sicurezza informatica temono di più: un “supercookie” che opera a livello di rete.

Cos’è Utiq e come funziona?

Tradizionalmente, il tracciamento pubblicitario (i cookie) è gestito dal tuo browser web (Chrome , Firefox , Safari ). Potevi bloccarlo utilizzando estensioni (come uBlock Origin ) o un browser orientato alla privacy (come Brave ).

Utiq sposta il problema un passo indietro: al livello della tua connessione di rete.

Ecco come scatta la trappola:

Intercettazione di rete: Quando navighi su Internet tramite la tua connessione mobile (4G/5G) o la tua linea fissa, Utiq utilizza il tuo indirizzo IP e i dati del tuo abbonamento per identificarti.
Il consenso (la falsa scelta): Arrivando su un sito partner, un popup ti chiede di accettare Utiq. A causa della fatica legata ai banner dei cookie (Consent Fatigue), milioni di utenti cliccano su “Accetta” senza leggere.
Il “Network Signal”: Una volta dato il consenso, Utiq contatta direttamente il tuo operatore telefonico. Quest’ultimo genera un token di identificazione unico e pseudonimizzato (il segnale di rete) che trasmette agli inserzionisti.

Ora sei tracciabile da un sito all’altro, non tramite un file memorizzato sul tuo computer, ma tramite la stessa infrastruttura che ti fornisce Internet.

Perché Utiq è un incubo per la privacy (OPSEC)

L’iniziativa solleva gravi problemi per la sovranità digitale e la riservatezza dei tuoi dati:

Tracciamento alla fonte: A differenza dei cookie classici, non puoi semplicemente “cancellare la cronologia” o “svuotare la cache” per sbarazzarti di Utiq. Il token di identificazione è generato dal tuo ISP.
La centralizzazione dei profili: Gli operatori di telecomunicazioni conoscono già il tuo nome, indirizzo fisico, coordinate bancarie e posizione in tempo reale. Collegando la tua cronologia di navigazione tramite Utiq, creano una profilazione comportamentale di spaventosa precisione.
La falla della pseudonimizzazione: Utiq si difende affermando di non condividere il tuo nome in chiaro, dichiarando di usare token “crittografati”. Tuttavia, nel mondo della sicurezza informatica, è dimostrato che la pseudonimizzazione è reversibile. L’incrocio di questi token con altri database consente di reidentificare facilmente gli individui.

Quali operatori usano Utiq?

Utiq è stato fondato da un’alleanza dei quattro più grandi operatori europei. Se sei cliente di uno di essi, la tua connessione è potenzialmente già “compatibile” con questo tracciamento.

Il consiglio OPSEC: Sebbene Utiq offra un portale centralizzato di gestione del consenso (consenthub.utiq.com ) per revocare l’accesso, la migliore difesa rimane quella tecnologica.

L’approccio Zero-Trust per contrastare Utiq

La filosofia della sovranità digitale, guidata da ecosistemi come Arpokrat, si basa su un principio semplice: non fidarsi mai dell’infrastruttura di rete.

Per neutralizzare tecnicamente sistemi come Utiq, la soluzione è nascondere il tuo traffico al tuo stesso provider Internet:

Utilizzo di una VPN sovrana: Crittografando il tuo traffico non appena lascia il tuo dispositivo, il tuo ISP vede solo un flusso di dati illeggibile diretto a un server VPN. Non può più iniettare o leggere i token Utiq.
La rete Tor (Orbot ): L’onion routing impedisce qualsiasi identificazione end-to-end.
Crittografia DNS (DoH/DoT): Impedisce al tuo operatore di sapere quali siti web richiedi di visitare.

In sintesi, Utiq è la prova che i fornitori di servizi Internet non si accontentano più di essere semplici “tubi”; vogliono diventare broker di dati. La crittografia del traffico non è più un’opzione di sicurezza, ma una necessità assoluta per preservare il tuo silenzio digitale.

L'Illusione della Sovranità: Il Caso Olvid e la Trappola del CLOUD Act

Thu, 21 May 2026 00:00:00 +0000

L’annuncio è risuonato come un vero “grido di indipendenza” nei corridoi di Parigi: il Primo Ministro ha ordinato al governo di abbandonare WhatsApp e Signal a favore di Olvid, un’app di messaggistica presentata come “nazionale”. L’obiettivo era chiaro: proteggere i segreti di Stato dalla lunga mano delle agenzie di intelligence straniere.

Tuttavia, è emersa rapidamente un’amara ironia: il cuore di Olvid — la sua infrastruttura di server — batte all’interno di Amazon Web Services (AWS), un colosso americano.

Per il grande pubblico, questa sembra essere una semplice questione tecnica di hosting. Ma per gli architetti della sicurezza informatica sovrana , si tratta di una vulnerabilità politica di prim’ordine.

Extraterritorialità e Conflitto di Sovranità

Affidandosi all’infrastruttura di Amazon, Olvid entra automaticamente nell’orbita del CLOUD Act statunitense.

L’analisi legale di questo caso rivela uno scenario di insicurezza giurisdizionale che la semplice adozione di un’“app” nazionale non risolve affatto. Il punto di non ritorno risiede nel concetto di “controllo” contro “localizzazione”.

Il CLOUD Act ha cambiato radicalmente il paradigma legale stabilendo che la posizione fisica del server non ha importanza. L’obbligo di cooperazione del fornitore di servizi (qui, AWS) deriva unicamente dal suo legame giurisdizionale con gli Stati Uniti.

Legalmente, ciò crea un conflitto frontale con il GDPR. La Corte di Giustizia dell’Unione Europea ha già stabilito che le leggi di sorveglianza statunitensi non offrono un livello di protezione equivalente a quello europeo.

La sovranità digitale non è un attributo del software, ma una proprietà dell’integrità della catena di custodia.

Lo Spettro del FISA e la Falsa Promessa della Crittografia

Peggio ancora, questa dipendenza dall’infrastruttura americana pone questi dati sotto l’ombra del Foreign Intelligence Surveillance Act (FISA) .

Di fronte a queste minacce, Olvid afferma che la sua crittografia end-to-end costituisce uno scudo sufficiente. Dal punto di vista dell’ingegneria della privacy, questa difesa è pericolosamente parziale.

Anche se il contenuto di un messaggio è crittografato, l’infrastruttura centralizzata di AWS espone i metadati. Sapere chi parla con chi, quando, quanto spesso e da dove è spesso molto più prezioso per l’intelligence straniera del contenuto del messaggio stesso.

La crittografia protegge il testo, ma il server centralizzato tradisce la rete di contatti.

Il Vero Pericolo Deve Ancora Venire

Finché l’infrastruttura europea dipenderà da entità soggette a statuti extraterritoriali, la sicurezza legale delle nostre comunicazioni rimarrà puramente temporanea e illusoria.

La sicurezza nazionale nel 21° secolo richiede molto di più di buone intenzioni legislative: richiede una totale indipendenza dell’infrastruttura e dell’hardware . Perché la strategia “Raccogli ora, decrittografa dopo” è la minaccia più devastante del prossimo decennio.

Un segreto di Stato intercettato oggi non è altro che una bomba a orologeria matematica.

(Leggi il resto della nostra analisi nella Parte 2: La Bomba a Orologeria e l’Imperativo Zero-Knowledge )