Protezione dei dati on Arpokrat

SignalTrace: l'Europa esporta la sorveglianza che non si concede

Tue, 01 Sep 2026 00:00:00 +0000

Una berlina grigia passa sotto un portale autostradale a 110 km/h. La telecamera fissata al palo legge la targa, la marca temporalmente, la registra. Nulla di nuovo: questo dispositivo esiste da vent’anni, installato in decine di migliaia di esemplari tanto in Nord America quanto in Europa.

Ma se quel portale ha ricevuto il modulo che il gruppo italiano Leonardo commercializza da giugno 2026, ha appena registrato anche altro. L’iPhone del conducente. Gli auricolari senza fili della passeggera. Lo smartwatch sul cruscotto. L’autoradio. Il portachiavi connesso nel cassetto. I sensori di pressione delle quattro gomme. Il badge di accesso rimasto in una giacca. E, se un cane dorme dietro, il suo microchip di identificazione.

Una decina di identificatori, una targa, una posizione, un’ora. Ripetete a ogni portale della rete e non state più seguendo un’automobile: state seguendo delle persone, e sapete con chi si spostano.

Che cosa fa davvero il dispositivo

Il prodotto si chiama SignalTrace. Venduto da Leonardo US Cyber and Security Solutions, completa la gamma ELSAG, una delle linee di lettori automatici di targhe più diffuse sul mercato americano. La sua esistenza è stata rivelata l'8 giugno 2026 da Joseph Cox su 404 Media, a partire da una scheda prodotto del costruttore.

Il punto decisivo sta in una frase: non si tratta di nuove telecamere. SignalTrace è un sensore radio aggiunto ai lettori di targhe già installati. Il palo non cambia, la posizione non cambia, la sagoma dell’apparecchiatura a bordo strada non cambia. Ciò che cambia è quello che l’apparecchiatura ascolta.

Il sensore registra gli identificatori diffusi in chiaro dai protocolli Bluetooth, Wi-Fi e RFID degli apparecchi presenti nel veicolo. Punto tecnico spesso frainteso: nessun apparecchio viene violato e nessuna vulnerabilità viene sfruttata. Un dispositivo Bluetooth o Wi-Fi emette in permanenza pacchetti di scoperta, perché questi protocolli sono stati concepiti così. I vostri auricolari annunciano la propria presenza per farsi trovare dal telefono, che a sua volta interroga l’aria circostante alla ricerca delle reti che conosce. Queste emissioni sono pubbliche per costruzione, e qualunque ricevitore a portata le sente.

Leonardo precisa del resto che il sistema funziona con o senza lettore di targhe, anche in ambienti chiusi, e riconosce un veicolo la cui targa sia coperta o rimossa.

Il retrofit è il vero tema politico. Installare una nuova rete di telecamere fa scattare un voto, una delibera, talvolta un contenzioso. Aggiungere una scheda elettronica dentro un involucro già approvato non fa scattare nulla. La capacità di sorveglianza cambia natura senza dibattito pubblico, perché materialmente non c’è nulla di nuovo da vedere.

Dal veicolo alla persona, e dalla persona al gruppo

Un lettore di targhe risponde a una domanda: dov’era questo veicolo. SignalTrace ne aggiunge due: chi c’era dentro, e con chi.

Leonardo non lo nasconde, è l’argomento di vendita. Il sistema costituisce quella che la documentazione chiama un’impronta elettronica, un insieme di identificatori «emessi frequentemente insieme». L’esempio del costruttore è esplicito: in un’intera città, un solo veicolo assocerà un iPhone 13rev2, un’autoradio Audi, una cuffia Bose, un orologio Garmin, un localizzatore di chiavi e la targa ABC-1234.

Il prodotto non si limita a seguire dei veicoli. Produce automaticamente un grafo di relazioni tra persone, senza che nessuno abbia dovuto formulare il minimo sospetto.

È qui che avviene il salto qualitativo. Correlando gli apparecchi che viaggiano regolarmente insieme, il sistema costruisce meccanicamente un grafo sociale. Due telefoni che ogni mattina si ritrovano nella stessa auto sono un car pooling, oppure una relazione che nessuno dei due desidera rendere pubblica. Cinquanta apparecchi rilevati nello stesso luogo alla stessa ora sono un assembramento: una manifestazione, una funzione religiosa, una riunione sindacale o una fila davanti a una clinica.

Nessuna di queste conclusioni richiede l’accesso al contenuto di una comunicazione. Si deduce da una tabella di prossimità, per impostazione predefinita, su tutta la popolazione che circola e non su bersagli designati. È colpevolezza per associazione, prodotta industrialmente, a monte di qualsiasi indagine. Tom Bowman, giurista presso il Center for Democracy & Technology, riassume il problema sulle colonne di TechNewsWorld: ciò che rende lo strumento utile per seguire un vero sospettato lo rende altrettanto capace di seguire tutti gli altri automobilisti, nessuno dei quali ha acconsentito alla registrazione dei propri apparecchi.

Leonardo oppone due argomenti: il sistema non decifra né legge il contenuto delle comunicazioni, e non identifica le persone di per sé. Entrambe le affermazioni sono esatte, ed entrambe sono fuori tema. L’informazione ricercata non è mai stata il contenuto, sta nel metadato di posizione, più rivelatore di un messaggio. Quanto all’identificazione, il costruttore stesso riconosce che un investigatore può collegare una firma elettronica a una targa, per poi risalire all’intestatario attraverso gli archivi di immatricolazione.

Un diritto americano scritto per altro

Negli Stati Uniti le leggi statali che disciplinano i lettori di targhe esistono, e alcune sono esigenti quanto a tempi di conservazione e finalità di accesso. Ma tutte sono state redatte attorno a un oggetto preciso: l’immagine di una targa. Nessuna prevede la cattura di identificatori di apparecchi personali da parte della stessa apparecchiatura.

Questo scarto non crea un’illegalità ma una zona grigia, più comoda per il venditore. Un corpo di polizia può sostenere, senza mentire, che il proprio programma di lettura targhe è autorizzato e conforme, pur raccogliendo ormai sotto lo stesso regime dati di natura del tutto diversa. Leonardo dispone inoltre di contratti federali, con lo Special Operations Command e la General Services Administration, cioè una via d’acquisto che aggira ampiamente le approvazioni locali.

Il dibattito costituzionale, dal canto suo, si è appena mosso, e occorre essere precisi perché lo stato del diritto è cambiato quest’estate. Nel gennaio 2026 un tribunale federale della Virginia ha stabilito, nel caso Schmidt v. City of Norfolk, che la rete di telecamere Flock della città non costituiva una perquisizione ai sensi del quarto emendamento, non coprendo la totalità degli spostamenti degli abitanti. La decisione è in appello davanti al Quarto Circuito, dove è intervenuta l’ACLU.

Poi, il 29 giugno 2026, la Corte suprema ha pronunciato Chatrie v. United States. Con cinque voti contro quattro, per la penna della giudice Kagan, ha stabilito che l’ottenimento da parte della polizia dei dati di localizzazione di un telefono costituiva una perquisizione, poiché un individuo conserva una ragionevole aspettativa di riservatezza su tali dati anche quando detenuti da un terzo e per una durata breve. La sentenza prolunga Carpenter v. United States del 2018 e indebolisce la dottrina del terzo detentore, come ha rilevato il CDT.

La portata esatta di Chatrie su SignalTrace non è definita, e sarebbe imprudente affermare il contrario: la sentenza riguarda dati richiesti a Google, non una cattura diretta da parte di un sensore di polizia nello spazio pubblico. Ma installa il ragionamento che conta, ossia che la sensibilità di un dato di localizzazione non dipende da chi lo detiene.

La questione europea, che è la vera questione

Ecco dove il dossier diventa scomodo per l’Europa. Leonardo non è un fornitore americano, ma un gruppo italiano quotato a Milano il cui primo azionista è il Ministero italiano dell’Economia e delle Finanze, con circa il 30 % del capitale e il potere di designare la maggioranza del consiglio di amministrazione. Lo Stato italiano non è un azionista passivo di questo prodotto.

Prima il punto tecnico

Nel diritto europeo, un identificatore di apparecchio è un dato personale. Non è un’opinione dottrinale ma la posizione costante delle autorità. La CNIL tratta esplicitamente l’indirizzo MAC come tale nella sua dottrina sui dispositivi di misurazione dei flussi di pubblico, e ne ammette la raccolta nello spazio pubblico solo a condizioni strette: anonimizzazione entro pochi minuti con un elevato tasso di collisione tra individui, oppure pseudonimizzazione affidabile seguita da distruzione entro ventiquattro ore, in mancanza della quale il consenso diventa obbligatorio. La stessa dottrina precisa che invitare le persone a spegnere il Wi-Fi non è una modalità di opposizione accettabile.

La Corte di giustizia dell’Unione europea ha precisato il 4 settembre 2025, nella causa GEPD contro SRB (C-413/23 P), che il carattere personale di un dato pseudonimizzato si valuta alla luce dei mezzi di reidentificazione ragionevolmente utilizzabili. Ora, qui il detentore è un’autorità di polizia, che dispone degli archivi di immatricolazione. I mezzi di reidentificazione non sono ipotetici, sono nell’ufficio accanto.

La sfumatura che cambia tutto

Sarebbe falso scrivere che SignalTrace «sarebbe illegale in Europa», e un lettore giurista lo rileverebbe immediatamente. Un trattamento posto in essere da un’autorità competente a fini di prevenzione e repressione penale non rientra nel GDPR. Rientra nella direttiva (UE) 2016/680, detta direttiva Polizia, recepita separatamente da ciascuno Stato membro, in Francia al titolo III della legge sulla protezione dei dati. La CNIL ricorda che questo regime è autonomo, con proprie basi di liceità e propri diritti.

La domanda giusta non è quindi quella della legalità astratta, ma quella delle condizioni. Sotto questo regime, un dispositivo simile presupporrebbe una base legale nazionale espressa, finalità determinate, una necessità dimostrata, una durata di conservazione delimitata, una valutazione d’impatto e un controllo indipendente. In Francia i lettori di targhe sono disciplinati così: gli articoli L233-1 e L233-1-1 del codice della sicurezza interna fissano un elenco tassativo di reati che ne consentono l’uso, e la conservazione resta tra le più brevi dell’Unione, quindici giorni in linea di principio, anche se una proposta di legge del Senato cerca di allungarla.

È la differenza di fondo con la situazione americana. Negli Stati Uniti la legge disciplina un oggetto, la targa, e il silenzio sugli identificatori di apparecchi vale come permesso. In Europa la legge disciplina finalità e categorie di dati, e quel silenzio vale piuttosto come divieto, in mancanza di una base legale espressa. Il vuoto constatato oltreatlantico non esiste qui nella stessa forma. Non che l’Europa sia più virtuosa: la sua tecnica giuridica è inversa.

Quanto vale allora la protezione

Resta la domanda che dà origine a questo articolo. Quanto vale una protezione regolamentare europea quando un’impresa europea, controllata da uno Stato membro, vende fuori dall’Europa una capacità che non potrebbe impiegare in casa propria senza una legge nuova?

Le obiezioni meritano di essere prese sul serio. Un industriale non è responsabile del quadro legale del suo cliente: spetta alle autorità americane decidere che cosa autorizzano da loro. Il prodotto non è venduto a una dittatura ma a uno Stato di diritto dotato di una corte suprema attiva, come Chatrie ha appena ricordato. E l’argomento della sovranità industriale è legittimo: se i gruppi europei si precludono questi mercati, saranno presi da fornitori israeliani, americani o cinesi, senza che la sorveglianza arretri di un metro, e l’Europa vi perderà la propria base tecnologica.

Questi argomenti sono ammissibili. Non rispondono al problema.

Anzitutto perché l’Unione ha già riconosciuto che l’esportazione di mezzi di sorveglianza non è un commercio come un altro. Il regolamento (UE) 2021/821 sui prodotti a duplice uso ha introdotto al suo articolo 5 una clausola onnicomprensiva relativa ai prodotti di sorveglianza informatica, perché il legislatore ha ammesso che uno strumento legale da fabbricare può essere illegittimo a destinazione. Il suo limite è istruttivo: scatta di fronte a un rischio di repressione interna o di gravi violazioni dei diritti umani, categorie pensate per regimi autoritari. Una vendita a una polizia municipale americana non vi rientra. La griglia europea esamina la moralità del cliente, mai la natura della capacità venduta.

Poi perché un prodotto simile non è uno stock da smaltire, ma una capacità che si mantiene: finanzia ricerca, forma ingegneri, accumula know-how e crea una base installata. Il giorno in cui un attentato grave spingerà uno Stato membro a reclamare questa capacità, il dibattito non verterà più sull’opportunità di costruirla. Esisterà, sarà europea, sarà matura, e il suo fornitore sarà in parte pubblico. L’argomento del «non facciamo che seguire il mercato» diventa allora circolare, poiché il mercato interno sarà stato preparato dall’esportazione.

Ecco quanto vale una protezione regolamentare in questo scenario: protegge gli europei dagli usi, non dall’esistenza dei mezzi. Regola la questione di chi ha il diritto di premere il pulsante, e lascia all’industria costruirlo, venderlo, migliorarlo, poi attendere.

Che cosa si può fare, senza raccontarsi storie

La prima risposta evocata è sempre la randomizzazione dell’indirizzo MAC. Merita un esame onesto, né promozione né denigrazione. È reale e funziona.

Android dalla versione 10 e iOS dalla versione 14 randomizzano per impostazione predefinita l’indirizzo MAC usato in Wi-Fi, con un indirizzo distinto per rete. In Bluetooth Low Energy gli apparecchi moderni diffondono indirizzi privati risolvibili, che cambiano periodicamente e possono essere ricondotti all’apparecchio reale solo da un interlocutore che detenga la chiave di risoluzione.

I suoi limiti sono altrettanto reali.

L’accoppiamento riapre la porta. La chiave di risoluzione viene trasmessa durante l’accoppiamento. Un apparecchio già accoppiato, o esplicitamente approvato, ritrova l’identità stabile dietro l’indirizzo rotante. Il meccanismo è concepito per questo.
Molti oggetti non randomizzano nulla. Sensori di pressione degli pneumatici, badge RFID, microchip di identificazione animale, autoradio e periferiche economiche emettono identificatori fissi. La scheda prodotto di Leonardo menziona esattamente queste categorie, il che non è un caso.
La randomizzazione si disattiva. Si disabilita rete per rete, e spesso lo è per comodità, per un filtraggio MAC su un router domestico o per policy aziendale.
Il gruppo sopravvive alla rotazione degli identificatori. È il punto meno intuitivo e il più importante. SignalTrace non cerca un identificatore, cerca un insieme di apparecchi che viaggiano insieme. Se un solo membro del gruppo emette un identificatore stabile, l’insieme resta collegabile, qualunque sia la disciplina degli altri.

La misura più efficace resta la più noiosa: non emettere. Ciò comporta disattivare Bluetooth e Wi-Fi a livello di sistema, nelle impostazioni, e non dal pannello delle scorciatoie. La distinzione non è cosmetica, l’avevamo dettagliata nel nostro articolo sulla geolocalizzazione permanente del telefono: sulla maggior parte dei sistemi di largo consumo, il pulsante del pannello rapido interrompe l’accoppiamento visibile ma lascia viva la pila software, e le analisi di prossimità continuano. Quell’articolo descriveva la scansione Bluetooth come un vettore teorico. SignalTrace ne è il prodotto commerciale, a catalogo e consegnabile.

Bisogna restare onesti sul risultato: queste misure riducono la superficie di esposizione, non la annullano. Un veicolo resta una targa, e una targa resta leggibile. L’unico modo per non emettere nulla è non portare nulla, il che non è una politica pubblica.

Che cosa dice questo delle nostre scelte progettuali

In Arpokrat è questo ragionamento che ci ha portati a trattare il Bluetooth a livello del Core di ArpokratOS anziché a livello delle impostazioni. Un interruttore in un’interfaccia è una preferenza dell’utente: un aggiornamento, un’applicazione di sistema o un servizio di localizzazione possono aggirarla o riattivarla, senza che l’utente lo sappia. Una pila assente non si riattiva.

Di fronte a una cattura come quella di SignalTrace, questo evidentemente non rende un apparecchio non rilevabile, e non lo pretendiamo: un telefono resta su una rete mobile, e gli altri oggetti di un veicolo emettono per proprio conto. Ciò che garantisce è che un preciso vettore di emissione è assente per costruzione anziché disattivato per fiducia. È la tesi che sostenevamo a proposito del 5G e dell’errore di bersaglio del diritto: la protezione giuridica si concentra sull’accesso ai dati mentre dovrebbe riguardare l’esistenza stessa dell’infrastruttura che li produce. SignalTrace ne è l’illustrazione, con la differenza che questa infrastruttura è costruita in Europa.

Conclusione

La cosa più sorprendente in questo dossier non è la capacità tecnica, che i ricercatori descrivevano da anni. È il metodo di dispiegamento.

Non ci sarà alcuna nuova rete di telecamere da inaugurare, alcuna delibera comunale da contestare, alcun appalto pubblico identificabile come un cambiamento di natura. Ci saranno moduli aggiunti a pali esistenti, sotto contratti esistenti, dentro programmi già autorizzati. Il giorno in cui il dibattito pubblico si aprirà, l’infrastruttura sarà installata, ammortizzata e integrata nelle procedure d’indagine. Il dibattito verterà allora sulle condizioni di accesso a una banca dati che esiste, mai sull’opportunità di averla costituita.

È l’ordine abituale delle cose in materia di sorveglianza, e non è accidentale. Resta da sapere se l’Europa ritenga di avere qualcosa da dire quando i suoi stessi industriali, sostenuti dai suoi stessi Stati, costruiscono questa infrastruttura per altri. Il diritto europeo ha organizzato con cura la risposta alla domanda su chi possa consultare questi dati da noi. Non ha mai posto quella su chi abbia il diritto di fabbricare la macchina.

Il 5G, la localizzazione e l'errore di bersaglio del diritto

Tue, 18 Aug 2026 00:00:00 +0000

Nel 2011 la polizia di Detroit chiese a un operatore mobile lo storico di aggancio alle celle del telefono di Timothy Carpenter. Ottenne 12 898 punti di localizzazione distribuiti su 127 giorni, un centinaio al giorno. Sette anni dopo, la Corte suprema degli Stati Uniti ha stabilito che quella richiesta costituiva una perquisizione e richiedeva un mandato.

Quei 12 898 punti provenivano da antenne di quarta generazione, ciascuna delle quali copriva un raggio di diversi chilometri. La stessa richiesta, rivolta oggi a una rete 5G urbana, non restituirebbe un centinaio di punti al giorno con un margine di qualche chilometro. Restituirebbe un volume ben superiore, con un margine di qualche decina di metri.

La tecnologia ha cambiato scala. Il ragionamento giuridico è rimasto allo stesso punto della catena.

Un bene giuridico che i giudici riconoscono su entrambe le sponde dell’Atlantico

Esiste un interesse che quasi tutti ammettono e che quasi nessun testo tutela efficacemente: il diritto di trovarsi da qualche parte senza che il fatto venga registrato.

La giurisprudenza europea lo ha stabilito senza ambiguità. In Digital Rights Ireland (cause riunite C-293/12 e C-594/12, 8 aprile 2014), e poi in Tele2 Sverige e Watson (cause riunite C-203/15 e C-698/15, Grande Sezione, 21 dicembre 2016), la Corte di giustizia dell’Unione europea ha affermato che tali dati, considerati nel loro insieme, permettono di trarre conclusioni molto precise sulla vita privata delle persone: abitudini della vita quotidiana, luoghi di soggiorno, spostamenti, attività svolte e relazioni sociali.

La Corte suprema degli Stati Uniti è giunta a una conclusione affine in Carpenter v. United States, 585 U.S. 296 (2018). Ha insistito su un punto molto commentato dalla dottrina americana: il carattere ineluttabile e automatico di questa raccolta. Non si acconsente a essere agganciati a un’antenna: lo si è perché si possiede un telefono acceso.

Il bene giuridico esiste dunque, ed è riconosciuto dalle due giurisdizioni che contano in materia. Il problema è altrove.

Che cosa ha davvero cambiato il 5G

Una confusione ricorrente consiste nel trattare la localizzazione come un dato che il telefono trasmette, alla stregua di un messaggio o di una fotografia. Non è così. La localizzazione è una conseguenza fisica del funzionamento della rete. L’operatore sa a quale antenna è agganciato l’apparecchio perché deve saperlo per instradare una chiamata. Non esiste alcuna chiave che permetta di cifrare questa informazione, poiché non si tratta di un contenuto ma di una proprietà della connessione stessa.

È esattamente questo a rendere il 5G significativo sul piano giuridico, e non su quello tecnico.

Le architetture precedenti si basavano su celle ampie. Un’antenna 4G serve comunemente un raggio di diversi chilometri, e la posizione dedotta dal solo aggancio si misurava in centinaia di metri in città, talvolta in decine di chilometri in area rurale. Il 5G si fonda su una densificazione massiccia: le celle urbane coprono tipicamente qualche centinaio di metri, e la letteratura ingegneristica ragiona su densità dell’ordine di quaranta o cinquanta stazioni radio base per chilometro quadrato, contro quattro o cinque all’epoca del 3G.

La conseguenza è meccanica. Secondo il white paper di Ericsson sul posizionamento 5G, l’infrastruttura installata per la sola connettività raggiunge una precisione da venti a cinquanta metri all’esterno e da uno a tre metri all’interno, e scende sotto il metro in condizioni urbane favorevoli. Non si tratta di una funzione di localizzazione attivata da qualche parte, ma di ciò che la rete sa per costruzione, senza che sia installata alcuna applicazione né concesso alcun permesso. Abbiamo illustrato tutti questi meccanismi, e le contromisure che funzionano davvero, nel nostro articolo sulla geolocalizzazione permanente del telefono.

L’intrusione è dunque aumentata di diversi ordini di grandezza. Il quadro giuridico applicabile resta quello pensato per il 2G e il 3G. Nessun adeguamento normativo ha accompagnato questo cambio di scala.

Il diritto tutela l’accesso, non la generazione

Il diritto europeo disciplina con cura chi può accedere ai dati di localizzazione, a quali condizioni e sotto quale controllo. La direttiva 2002/58/CE pone il principio di riservatezza delle comunicazioni, e la Corte di giustizia ha stabilito, in La Quadrature du Net (cause riunite C-511/18, C-512/18 e C-520/18, Grande Sezione, 6 ottobre 2020), che l’articolo 15, paragrafo 1, di tale direttiva, letto alla luce degli articoli 7, 8, 11 e 52, paragrafo 1, della Carta, osta a una conservazione generalizzata e indifferenziata dei dati di traffico e di ubicazione a titolo preventivo. La Corte ha però ammesso deroghe circoscritte quando uno Stato membro affronta una minaccia grave per la sicurezza nazionale che risulti reale e attuale o prevedibile, subordinatamente a un controllo effettivo.

Sono tutele reali, e sarebbe assurdo sminuirle. Ma intervengono tutte a posteriori. Presuppongono che il dato esista, che sia conservato, e organizzano poi le condizioni del suo utilizzo.

Ora, se la localizzazione è un sottoprodotto inevitabile del funzionamento della rete, il punto d’intervento pertinente non è la riservatezza. È la persistenza.

Una posizione istantanea, necessaria all’instradamento di una comunicazione e cancellata subito dopo, non è uno strumento di sorveglianza. Uno storico di posizioni conservato per mesi lo è, quali che siano le garanzie di accesso che lo circondano.

La differenza fra le due non è giuridica, è architetturale. E il calendario europeo rende la questione urgente anziché teorica. La Commissione ha ritirato la proposta di regolamento ePrivacy nel 2025, per mancanza di accordo tra i colegislatori. Da allora lavora a uno strumento distinto sulla conservazione dei dati a fini penali, annunciato per il 2026 e destinato ad armonizzare regimi nazionali divenuti disomogenei dopo l’annullamento della direttiva del 2006. In altre parole, il testo che fisserà per un decennio il regime dei metadati di localizzazione si sta scrivendo adesso, sulla base di un ragionamento concepito all’epoca delle celle chilometriche.

Il precedente che il 5G ha creato da sé

L’aspetto più interessante della vicenda è che la risposta giusta figura già nella norma tecnica, ma applicata a un altro oggetto.

Fino al 4G, l’identificativo permanente dell’abbonato, l’IMSI, circolava in chiaro sull’interfaccia radio al momento dell’aggancio. È ciò che ha reso possibili gli IMSI catcher, quelle false stazioni radio base che, secondo la descrizione di riferimento della Electronic Frontier Foundation, trasmettono con più potenza delle antenne legittime per attirare i terminali e catturarne l’identificativo.

Dalla Release 15 delle specifiche 3GPP, pubblicata nel 2019, il 5G porta una risposta elegante. L’identificativo permanente, ora chiamato SUPI, può essere sostituito sull’interfaccia radio dal SUCI, un identificativo occultato ottenuto cifrando la parte propria dell’abbonato mediante crittografia a curve ellittiche, con la chiave pubblica dell’operatore d’origine. Solo la rete d’origine, che detiene la corrispondente chiave privata, può decifrarlo. Il risultato è unico a ogni calcolo, il che impedisce la correlazione da una sessione all’altra.

La logica adottata merita di essere sottolineata, perché è esattamente quella che dovrebbe guidare il legislatore: non si cifra la posizione, cosa tecnicamente impossibile, si cifra l’identità. Una posizione priva di identità riferibile ha un valore molto limitato ai fini di una sorveglianza individualizzata.

La falla: una protezione facoltativa

Esiste tuttavia una riserva considerevole, ed è a nostro avviso il punto d’intervento più concreto dell’intero dossier.

Il white paper NIST CSWP 36A, pubblicato nel marzo 2026 dal National Institute of Standards and Technology, lo enuncia senza giri di parole. I terminali e le funzioni di rete conformi alla Release 15 o successiva sono tenuti a supportare il SUCI, ma la sua attivazione resta facoltativa per l’operatore. Devono ricorrere tre condizioni: il costruttore dell’apparato deve supportarlo, l’operatore deve attivarlo sulla propria rete, e la scheda SIM deve contenere gli elementi necessari al calcolo.

A ciò si aggiunge una trappola di configurazione. La norma prevede uno schema di protezione nullo, in cui il formato SUCI è formalmente impiegato ma senza cifratura effettiva, cosicché l’identificativo circola in chiaro. Il NIST scrive che è necessario che l’operatore configuri la propria rete con uno schema di protezione non nullo, e ricorda che un rapporto del CSRIC, l’organo consultivo della Federal Communications Commission, raccomandava già nel 2021 di riservare lo schema nullo alle sole chiamate d’emergenza effettuate da un terminale sconosciuto alla rete.

Vale la pena lasciare la formulazione così com’è. La migliore protezione disponibile contro il tracciamento dei terminali mobili esiste nella norma tecnica dal 2019. Poggia su una scelta di configurazione lasciata alla discrezione dell’operatore. Un’agenzia federale americana ritiene utile pubblicare un documento nel 2026 per ricordare che andrebbe attivata. E nessuno strumento giuridico europeo la impone.

Va aggiunto che il SUCI non chiude la questione. I lavori presentati con il titolo 5G SUCI-catchers: still catching them all? documentano attacchi di collegamento che permettono di ricorrelare le sessioni nonostante la cifratura, e la protezione cade del tutto se l’attaccante costringe il terminale a ripiegare su una generazione precedente. Un obbligo giuridico non risolverebbe quindi tutto. Eliminerebbe però uno scarto che non ha alcuna giustificazione difendibile: quello fra ciò che la norma consente e ciò che le reti commerciali fanno.

Tre interventi coerenti

Se si prende sul serio l’idea che la localizzazione vada minimizzata fin dalla progettazione anziché tutelata a posteriori, tre misure si impongono logicamente.

Rendere obbligatorio l’occultamento effettivo dell’identificativo. Imporre l’attivazione del SUCI e vietare gli schemi di protezione nulli sulle reti commerciali, salvo il caso residuale delle chiamate d’emergenza. Non si tratta di prescrivere una tecnologia nuova, né di finanziare un dispiegamento, ma di esigere l’attivazione di una funzione standardizzata da sette anni e già presente negli apparati.
Trattare la conservazione come l’eccezione, non come l’impostazione predefinita. La posizione necessaria all’instradamento di una comunicazione dovrebbe essere cancellata non appena tale funzione è assolta. La costituzione di uno storico dovrebbe richiedere una giustificazione specifica. È la differenza fra una rete che sa dove siete e una rete che ricorda dove siete stati.
Fare della custodia della chiave il criterio di collegamento pertinente. L’ubicazione dei server nell’Unione non significa granché se le chiavi che rendono i dati intelligibili si trovano altrove. Il criterio giuridicamente significativo dovrebbe essere il controllo effettivo dei mezzi di decifratura, questione che abbiamo esaminato in dettaglio a proposito del conflitto fra Data Act e CLOUD Act.

L’angolo che segue Arpokrat

Questo ragionamento non è proprio del diritto delle telecomunicazioni. È quello che applichiamo alle nostre scelte di architettura, e sta in una frase: ciò che non è stato prodotto non ha bisogno di essere protetto.

È la ragione per cui ArpokratOS rimuove il GPS, il Bluetooth e l’NFC a livello di kernel anziché disattivarli in un menu. Un interruttore è una policy: può essere aggirato da un componente privilegiato, riattivato da un aggiornamento, ignorato da un sistema compromesso. Rimuovere il percorso di codice elimina la questione. È la trasposizione, alla scala di un dispositivo, dello stesso spostamento che auspichiamo alla scala del diritto: intervenire sulla generazione anziché sull’accesso.

Bisogna dire subito ciò che questo non fa. Nessun sistema operativo sottrae un terminale alla geometria della rete. Finché una scheda SIM è attiva, l’operatore conosce la cella di aggancio, e instradare tutto il traffico attraverso Tor non cambia nulla, poiché protegge il contenuto e la destinazione, non il livello radio. È proprio per questo che il tema è giuridico. Esiste una categoria di rischi che nessuna configurazione individuale riduce, e per la quale l’unica variabile disponibile è la regola applicabile all’operatore.

La stessa preoccupazione governa il resto del nostro lavoro. Un dato che non esiste non può essere requisito, né rivenduto, né esfiltrato, né decifrato fra dieci anni da una macchina di cui oggi nessuno dispone, questione che abbiamo trattato dal punto di vista della cifratura raccolta ora e violata poi.

Conclusione

Il dibattito pubblico sulla sorveglianza mobile si concentra quasi esclusivamente sull’accesso: chi può consultare i dati, su quale fondamento, con quale autorizzazione. È un dibattito legittimo, e le decisioni pronunciate dal 2014 dalla Corte di giustizia hanno prodotto effetti tangibili. Ma interviene troppo tardi nella catena.

La questione precedente, e più determinante, è se lo storico debba esistere. Un archivio costituito oggi per un motivo legittimo resta disponibile domani per un altro, e le garanzie che lo circondano dipendono da decisioni politiche successive che nessuno controlla al momento della raccolta. È una scommessa sulla stabilità delle istituzioni, formulata per una durata che nessuno fissa.

Il 5G ha moltiplicato la risoluzione di questa informazione senza che intervenisse alcun adeguamento normativo. Ha simultaneamente dimostrato, con il meccanismo del SUCI, che la via percorribile consiste nel dissociare la posizione dall’identità anziché tentare di cifrare una proprietà fisica della rete. La norma tecnica ha fornito la risposta sette anni prima che il diritto ponesse la domanda.

Il testo europeo sulla conservazione dei dati si sta scrivendo adesso. Riguarderà i metadati, dunque la localizzazione, dunque ciò che il 5G produce ormai con una finezza che i suoi redattori non hanno conosciuto. Sapere se si limiterà a organizzare l’accesso a uno storico dato per acquisito, o se oserà interrogarsi sulla necessità di quello storico, è probabilmente la questione di privacy più importante dei prossimi anni in Europa. Ed è una questione che il settore tecnico, per una volta, ha già risolto nel modo giusto.

Fonti

Corte di giustizia dell’Unione europea, Digital Rights Ireland, cause riunite C-293/12 e C-594/12, 8 aprile 2014
Corte di giustizia dell’Unione europea, Tele2 Sverige e Watson, cause riunite C-203/15 e C-698/15, Grande Sezione, 21 dicembre 2016
Corte di giustizia dell’Unione europea, La Quadrature du Net e a., cause riunite C-511/18, C-512/18 e C-520/18, Grande Sezione, 6 ottobre 2020
Supreme Court of the United States, Carpenter v. United States, 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI), NIST CSWP 36A, marzo 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta et al., 5G SUCI-catchers: still catching them all?, ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

Data Act vs CLOUD Act: chi controlla davvero i tuoi dati nel cloud?

Fri, 19 Jun 2026 00:00:00 +0000

Per anni, il mondo ha funzionato su un presupposto semplice: i dati hanno un luogo di residenza fisico. Se si trovavano su un server a Dublino, erano soggetti al diritto irlandese ed europeo. Questo presupposto è crollato nel 2018, quando gli Stati Uniti hanno adottato il CLOUD Act, una legge che conferisce alle autorità americane l’accesso ai dati controllati da aziende statunitensi, indipendentemente da dove tali dati siano fisicamente archiviati nel mondo. Alcuni anni dopo, Bruxelles ha risposto con il proprio strumento di protezione: il Data Act, ora pienamente applicabile, che tenta di limitare l’accesso extraterritoriale delle autorità di paesi terzi ai dati detenuti nell’Unione europea.

Ecco cosa prevedono realmente questi due testi, dove entrano in collisione, e perché l’unica protezione davvero solida di fronte a questo conflitto rimane l’impossibilità tecnica di accesso.

Il CLOUD Act americano: un accesso basato sul controllo, non sulla localizzazione

Il CLOUD Act (Clarifying Lawful Overseas Use of Data Act), adottato nel marzo 2018, ha modificato il diritto americano aggiungendo l’articolo 18 U.S. Code § 2713. Questo testo impone a qualsiasi fornitore di servizi di comunicazione elettronica o di elaborazione informatica remota di conservare, salvaguardare o divulgare il contenuto di una comunicazione o qualsiasi registro ad essa correlato, qualora tali dati siano in suo possesso, in sua custodia o sotto il suo controllo, indipendentemente dal fatto che tali dati si trovino all’interno o all’esterno degli Stati Uniti.

È precisamente quest’ultima clausola a cambiare tutto. Il criterio adottato non è più la localizzazione fisica del server, ma il controllo esercitato dalla società madre sulle proprie filiali. Un’azienda americana che gestisce centri dati in Europa rimane quindi soggetta alle richieste americane, anche per i dati archiviati interamente sul suolo europeo.

Il Data Act europeo: una barriera giuridica all’accesso extraterritoriale

Il Regolamento (UE) 2023/2854, detto Data Act, è entrato in vigore l'11 gennaio 2024 e si applica pienamente dal 12 settembre 2025, con alcune disposizioni scaglionate fino al 2026 e al 2027. Il suo articolo 32 disciplina direttamente la questione dell’accesso governativo internazionale ai dati.

Il testo stabilisce una regola chiara: qualsiasi decisione o sentenza di un organo giurisdizionale o di un’autorità amministrativa di un paese terzo che richieda a un fornitore di servizi di trattamento dei dati di trasferire o fornire accesso a dati non personali detenuti nell’Unione europea è riconosciuta ed eseguibile solo se si basa su un accordo internazionale, come un trattato di assistenza giudiziaria reciproca (MLA), in vigore tra il paese richiedente e l’Unione, o tra tale paese e lo Stato membro interessato.

In assenza di un tale accordo, l’articolo 32 prevede una seconda via, ma strettamente disciplinata: la decisione straniera può essere eseguita solo se il sistema giuridico del paese terzo richiede che la richiesta sia motivata, proporzionata e sufficientemente specifica, ad esempio stabilendo un chiaro collegamento con persone o reati precisi, e se l’obiezione motivata del destinatario può essere sottoposta al controllo di un organo giurisdizionale competente di tale paese terzo.

Una collisione giuridica diretta

Il problema è immediato: il CLOUD Act impone una divulgazione basata sul controllo esercitato dalla società madre, senza condizioni di proporzionalità comparabili a quelle richieste dal diritto europeo. Il Data Act, al contrario, subordina il riconoscimento di tale richiesta all’esistenza di un accordo internazionale o a precise garanzie procedurali. Un’azienda americana operante in Europa, intimata da un’autorità americana a trasmettere dati ospitati nell’Unione, si ritrova quindi intrappolata tra due obblighi legali contraddittori: conformarsi al mandato americano violando il diritto dell’Unione, oppure rispettare il Data Act esponendosi alle conseguenze di un rifiuto negli Stati Uniti.

Questa tensione non è teorica. È già stata documentata dalla Corte di giustizia dell’Unione europea (CJUE) in due decisioni fondamentali, Schrems I (2015) e Schrems II (2020). Nella sentenza Schrems II, la CJUE ha stabilito che la sorveglianza americana condotta ai sensi della Sezione 702 del FISA (Foreign Intelligence Surveillance Act) e dell’Executive Order 12333 non rispetta le garanzie minime richieste dal diritto dell’Unione in virtù del principio di proporzionalità, e non può quindi essere considerata limitata a quanto strettamente necessario. La Corte ha inoltre rilevato l’assenza di un mezzo di ricorso giurisdizionale effettivo per le persone interessate dell’Unione, in violazione dell’articolo 47 della Carta dei diritti fondamentali. Tale decisione ha invalidato il quadro del Privacy Shield, che fino ad allora disciplinava i trasferimenti di dati tra l’UE e gli Stati Uniti.

Il rischio strutturale: Harvest Now, Decrypt Later

Al di là del conflitto di giurisdizioni, una minaccia più insidiosa incombe sui dati ospitati in infrastrutture soggette al diritto americano: la strategia denominata Harvest Now, Decrypt Later (HNDL). Il principio consiste, per un servizio di intelligence o un attore statale ostile, nell’intercettare e archiviare fin d’ora dati cifrati, in attesa di capacità di calcolo quantistico sufficienti per decifrarli in futuro.

Questa strategia trasforma qualsiasi dipendenza prolungata da un’infrastruttura cloud americana in un debito di sicurezza differito: ciò che è riservato oggi può diventare leggibile tra dieci o quindici anni, senza che alcuna ulteriore azione sia necessaria da parte dell’attaccante, solo tempo e pazienza.

Perché solo l’impossibilità tecnica costituisce una vera garanzia

L’analisi giuridica converge verso una constatazione condivisa da molti esperti di conformità: per quanto solido sia il quadro normativo del Data Act, rimane un testo che i rapporti di forza geopolitici e le pressioni diplomatiche possono aggirare, ritardare o reinterpretare. L’unica protezione che non dipende da alcuna negoziazione futura è l’impossibilità tecnica di esecuzione.

Un’architettura zero knowledge, in cui il fornitore non detiene né il possesso né la custodia delle chiavi di decifrazione, rende una richiesta materialmente inoperante. Non si può essere costretti a consegnare ciò che non si ha mai posseduto.

È questa la logica che struttura ecosistemi come Arpokrat:

Neutralizzazione giurisdizionale: l’infrastruttura è ospitata in Svizzera, sotto il regime della legge federale sulla protezione dei dati (LPD/FADP), al di fuori del campo di applicazione diretta dell’extraterritorialità del CLOUD Act
Assenza di custodia: l’architettura zero knowledge priva il fornitore di qualsiasi capacità di consegnare chiavi o contenuti che non ha mai detenuto
Riduzione dell’impronta identitaria: eliminando l’obbligo di registrazione tramite numero di telefono o indirizzo e-mail, identificatori che la sorveglianza basata sulla Sezione 702 del FISA può tracciare con facilità, l’utente cessa di essere un abbonato identificabile per diventare una chiave crittografica anonima

La catena di custodia non si ferma alla cifratura dei messaggi

Un punto spesso sottovalutato nelle analisi di conformità: non è sufficiente cifrare il contenuto di una comunicazione se il sistema operativo sottostante, che si tratti di Android o iOS, continua a raccogliere metadati o telemetria a livello di kernel, a destinazione di server soggetti alla giurisdizione americana. La protezione del segreto richiede una chiusura completa della catena di custodia, dal contenuto fino all’infrastruttura hardware stessa.

È per questa ragione che la sovranità digitale implica anche una riflessione sul sistema operativo utilizzato, non solo sulle applicazioni di messaggistica. I sistemi de-googlizzati, in cui moduli come il Bluetooth o la geolocalizzazione GNSS possono essere disattivati direttamente a livello di kernel, eliminano vettori di attacco fisici che nessuna cifratura applicativa può compensare.

La crittografia post-quantistica, un orizzonte già avviato

Di fronte alla minaccia rappresentata dalla strategia HNDL, l’adozione di standard di crittografia post-quantistica (PQC) diventa una necessità per chiunque desideri garantire la riservatezza di dati sensibili nel lungo termine, che si tratti di segreti aziendali, corrispondenza professionale o dati sanitari. Una cifratura considerata robusta oggi secondo gli standard classici non garantisce che resisterà alle capacità di calcolo quantistico attese nei prossimi quindici anni.

Il conflitto tra il Data Act e il CLOUD Act illustra una realtà più ampia: la sovranità digitale non può più essere costruita unicamente su testi di legge, per quanto solidi essi siano. Richiede una chiusura della catena di custodia a ogni livello, dal protocollo di cifratura fino alla giurisdizione di hosting, passando per il sistema operativo stesso. È questo approccio a strati, piuttosto che una fiducia riposta in un unico quadro normativo, a definire oggi una vera sovranità digitale per progettazione.

La fine della privacy? Backdoor, Online Safety Act e la risposta degli ecosistemi sovrani

Wed, 10 Jun 2026 00:00:00 +0000

Londra è diventata l’epicentro di una battaglia globale per il futuro della privacy digitale. Con l’adozione dell’Online Safety Act 2023 (OSA) e le recenti proposte di revisione dell’Investigatory Powers Act (IPA) — soprannominato dai suoi detrattori la “Carta delle spie” —, il governo britannico rivendica il diritto di imporre obblighi di sorveglianza nel cuore stesso delle comunicazioni private. Il punto di rottura è il potere conferito al regolatore OFCOM di esigere che le piattaforme implementino una “tecnologia accreditata” per rilevare contenuti di abusi sessuali su minori (CSEA) o terrorismo, anche all’interno delle comunicazioni crittografate end-to-end.

Per le grandi piattaforme digitali, il messaggio di Westminster è inequivocabile: o facilitano l’accesso statale alle loro infrastrutture, o affrontano multe fino al 10% delle loro entrate globali. La risposta è stata immediata: servizi come Signal e WhatsApp hanno pubblicamente minacciato di ritirarsi dal mercato britannico, rifiutandosi di compromettere la sicurezza dei propri utenti per soddisfare una singola giurisdizione. L’argomento tecnico è difficile da contestare: non esiste una chiave master (master key) riservata esclusivamente agli attori legittimi. Una porta aperta per le forze dell’ordine è, per progettazione, una porta aperta per i criminali informatici e i servizi segreti stranieri.

Il modello di business delle grandi piattaforme: un ostacolo strutturale alla Zero-Knowledge

La resistenza delle grandi piattaforme all’adozione della crittografia di tipo Zero-Knowledge non è spiegata da un’incapacità tecnica, ma da una fondamentale incompatibilità economica. Aziende come Alphabet e Meta si basano su modelli di monetizzazione fondati sulla raccolta sistematica di dati comportamentali. Questo modello è, peraltro, implicitamente riconosciuto dal Digital Markets Act (DMA) dell’Unione Europea, che classifica questi “guardiani” (gatekeepers) come entità la cui posizione dominante è alimentata proprio dall’accumulo di dati su scala ineguagliabile. Per questi attori, adottare un’architettura Zero-Knowledge significherebbe privare i propri sistemi pubblicitari della continua identificazione degli utenti che ne costituisce il carburante. Non si tratta quindi di una scelta tecnica, ma di un compromesso tra la privacy degli utenti e la redditività del loro modello di business.

Il rischio strategico: la minaccia “Harvest Now, Decrypt Later”

Al di là del dibattito sulla privacy, l’indebolimento della crittografia solleva una questione di sicurezza nazionale di tutt’altra portata. La strategia nota come Harvest Now, Decrypt Later (HNDL) prevede che avversari statali intercettino e memorizzino oggi enormi volumi di comunicazioni crittografate, in previsione di future capacità di decrittazione quantistica. Indebolendo gli attuali standard di crittografia, il quadro legislativo britannico facilita oggettivamente questo tipo di operazioni contro comunicazioni governative, diplomatiche o industriali.

È proprio in questo contesto di deficit di fiducia che ecosistemi come quello di Arpokrat acquisiscono rilevanza operativa. Operando sotto il regime della Legge federale svizzera sulla protezione dei dati (LPD/FADP), con un’architettura che non raccoglie alcun identificatore civile, Arpokrat offre una rottura tecnica rispetto alle infrastrutture soggette alla giurisdizione britannica — garantendo che il sistema rimanga sordo alle ingiunzioni previste dall’OSA.

Il conflitto di norme: OSA e IPA contro il diritto europeo

L’analisi giuridica delle nuove prerogative statali britanniche rivela una collisione diretta con i fondamenti del diritto europeo in materia di protezione dei dati e riservatezza delle comunicazioni.

OSA contro il divieto di sorveglianza generalizzata

L’articolo 121 dell’OSA introduce la possibilità per l’OFCOM di emettere ingiunzioni che costringono le piattaforme a implementare la scansione lato client (client-side scanning). Questa misura contravviene frontalmente al principio, derivato dal diritto europeo e incluso nella giurisprudenza della CGUE, che vieta obblighi generali di sorveglianza. Imponendo una “vulnerabilità by design”, pone inoltre le aziende in una situazione di doppio vincolo: indebolendo la loro sicurezza per conformarsi a un mandato statale, vengono meno al loro obbligo di garantire un livello di sicurezza adeguato al trattamento, sancito dall’articolo 32 del GDPR.

La Direttiva ePrivacy e la riservatezza delle comunicazioni

La scansione dei messaggi privati è in diretta contraddizione con l’articolo 5, paragrafo 1, della Direttiva 2002/58/CE (ePrivacy), che obbliga gli Stati membri a garantire la riservatezza delle comunicazioni elettroniche e vieta qualsiasi forma di intercettazione o sorveglianza senza il consenso esplicito degli utenti interessati.

I Technical Capability Notices e il blocco degli aggiornamenti di sicurezza

Sotto il regime dell’IPA 2016, il governo britannico intende ora utilizzare i Technical Capability Notices (TCN) per opporsi agli aggiornamenti di sicurezza prima della loro implementazione. Questo meccanismo crea un conflitto irrisolvibile con l’obbligo, stabilito dall’articolo 32 del GDPR, di garantire la sicurezza continua dei sistemi di elaborazione — un obbligo che richiede proprio la capacità di applicare patch senza ritardi o interferenze esterne.

Rischi di conformità per le aziende che operano in Europa

Le revisioni dell’IPA mirano a costringere le aziende a notificare al governo britannico qualsiasi modifica tecnica che influisca sulla sicurezza, prima della sua implementazione, concedendogli così un diritto di veto sullo sviluppo del prodotto. Questa ingerenza crea una notevole insicurezza giuridica per i fornitori che operano nel mercato europeo: l’adeguatezza britannica al diritto europeo — già fragile — potrebbe essere messa in discussione se il Regno Unito non garantisse più una protezione sostanzialmente equivalente a quella del GDPR. Di conseguenza, i trasferimenti di dati verso il Regno Unito in questo nuovo quadro normativo esporrebbero verosimilmente le aziende a sanzioni ai sensi del GDPR.

La difesa attraverso l’impossibilità tecnica: il principio Zero-Knowledge come scudo legale

La giurisprudenza internazionale, consolidata dalle sentenze Schrems I e Schrems II della CGUE, ha stabilito un principio determinante: l’unica salvaguardia solida contro una sorveglianza sproporzionata è l’impossibilità tecnica di accedervi. Le architetture Zero-Knowledge declinano questo principio in tre livelli di protezione:

Assenza di custodia: non detenendo la piattaforma le chiavi di decrittazione, qualsiasi ingiunzione di scansionare i messaggi è tecnicamente inoperante;
Sovranità del sistema operativo: il controllo di ArpokratOS elimina la telemetria che alimenta la raccolta di intelligence a livello di dispositivo;
Ancoraggio giurisdizionale svizzero: ospitando la propria infrastruttura in Svizzera, Arpokrat opera in un regime legale che richiede richieste individualizzate e motivate di assistenza giudiziaria, neutralizzando l’esecuzione automatizzata delle scansioni di massa previste dall’OSA.

Conclusione

Le disposizioni dell’OSA e le revisioni dell’IPA non costituiscono solo una minaccia per la privacy degli individui: rappresentano una rottura della certezza del diritto per tutti i dati europei che transitano attraverso infrastrutture soggette alla giurisdizione britannica. Legittimando l’indebolimento della crittografia in nome della sicurezza pubblica, Londra espone paradossalmente i suoi alleati e partner commerciali a rischi di spionaggio industriale e statale che le architetture Zero-Knowledge sono progettate proprio per prevenire.

L’integrità delle comunicazioni professionali e istituzionali richiede ora una risposta strutturale: la migrazione verso ecosistemi decentralizzati che garantiscano la sovranità digitale, dal livello del codice fino all’ancoraggio giurisdizionale.

La Bomba a Orologeria: Raccogli ora, decrittografa dopo e l'imperativo Zero-Knowledge

Tue, 26 May 2026 00:00:00 +0000

La dipendenza dei governi europei dall’infrastruttura cloud americana pone più di un semplice problema di intercettazione immediata. La minaccia più devastante per i decenni a venire è la strategia HNDL: “Harvest Now, Decrypt Later”.

Non si tratta di un’intrusione frontale, ma di un furto silenzioso. Le agenzie di intelligence archiviano oggi immense quantità di dati crittografati semplicemente perché il costo di archiviazione è diventato irrisorio.

Aspettano pazientemente il momento in cui i salti tecnologici renderanno obsolete le attuali chiavi crittografiche. Un segreto di stato protetto nel 2026 potrebbe diventare un libro aperto tra quindici anni.

Responsabilità retroattiva e rischio temporale

Il modello HNDL introduce un concetto nuovo: il danno legale ritardato. Con la raccolta massiccia di dati per la decrittografia futura, la riservatezza diventa una variabile dipendente dal tempo.

Il modello HNDL definisce che la riservatezza fallisce inevitabilmente quando la durata necessaria del segreto supera l’orizzonte di decrittografia dell’avversario.

Se uno Stato non garantisce la sovranità assoluta della propria infrastruttura hardware, in pratica firma una rinuncia alla riservatezza a lungo termine dei propri cittadini.

L’intercettazione di oggi è la compromissione di domani. Trasformare la dipendenza dal cloud in un debito di sicurezza nazionale è una scommessa impossibile da ripagare.

L’antitesi Arpokrat: L’impossibilità legale attraverso il codice

Di fronte a questa vulnerabilità, l’industria risponde creando ecosistemi di sovranità digitale radicali. Il modello Arpokrat opera su una rete decentralizzata, protetta dalla severa Legge federale sulla protezione dei dati (FADP) in Svizzera.

La logica centrale è una Privacy by Design assoluta. Eliminando la necessità di un numero di telefono, l’utente diventa una semplice chiave crittografica.

Legalmente, se l’architettura è fondamentalmente Zero-Knowledge, l’azienda si trova di fronte a un’impossibilità tecnica di conformarsi a mandati esteri.

Questa è una salvaguardia matematica e legale inarrestabile: ciò che non hai non può essere divulgato.

Oltre la crittografia: Svalutare il dato bersaglio

La vera risposta nell’app di messaggistica Arpokrat non è scommettere su una matematica eterna, ma svalutare i dati stessi.

Senza metadati centrali per collegare un messaggio a un individuo fisico, il contenuto crittografato perde il suo valore strategico perché diventa inattribuibile.

Tuttavia, il software da solo non può fare nulla se l’hardware lo tradisce.

La sicurezza nel 21° secolo richiede l’indipendenza della macchina stessa. L’implementazione di un OS sovrano de-Googlato è diventata un requisito di sopravvivenza assoluto per chiunque gestisca segreti di Stato.