Nadležnost i sajber pravo on Arpokrat

Data Act vs CLOUD Act: ko zaista kontroliše vaše podatke u oblaku?

Fri, 19 Jun 2026 00:00:00 +0000

Godinama je svet funkcionisao na osnovu jedne jednostavne pretpostavke: podaci imaju fizičku lokaciju. Ako su se nalazili na serveru u Dablinu, potpadali su pod irsko i evropsko pravo. Ta pretpostavka se urušila 2018. godine, kada su Sjedinjene Američke Države usvojile CLOUD Act — zakon koji daje američkim vlastima pristup podacima kojima upravljaju američka preduzeća, bez obzira na to gde su ti podaci fizički uskladišteni u svetu. Nekoliko godina kasnije, Brisel je odgovorio sopstvenim zaštitnim mehanizmom: Data Act-om, koji je sada u potpunosti primenjiv i koji pokušava da ograniči eksteritorijalnu primenu propisa trećih zemalja na podatke koji se čuvaju u Evropskoj uniji.

Evo šta ova dva dokumenta zapravo predviđaju, gde dolazi do sukoba, i zašto jedina zaista pouzdana zaštita od ovog sukoba ostaje tehnička nemogućnost pristupa.

Američki CLOUD Act: pristup zasnovan na kontroli, a ne lokaciji

CLOUD Act (Clarifying Lawful Overseas Use of Data Act), usvojen u martu 2018. godine, izmenio je američko pravo dodavanjem člana 18 U.S. Code § 2713. Ovaj tekst nameće svakom pružaocu usluga elektronske komunikacije ili daljinske računarske obrade obavezu da čuva, zaštiti ili otkrije sadržaj komunikacije ili bilo koji zapis koji se na nju odnosi, kada su ti podaci u njegovom posedu, na čuvanju ili pod njegovom kontrolom, bez obzira na to da li se ti podaci nalaze unutar ili izvan Sjedinjenih Američkih Država.

Upravo ta poslednja klauzula menja sve. Kriterijum više nije fizička lokacija servera, već kontrola koju matično preduzeće vrši nad svojim filijalama. Američka kompanija koja upravlja centrima podataka u Evropi ostaje podložna američkim nalozima, čak i za podatke uskladištene isključivo na evropskom tlu.

Evropski Data Act: pravna barijera eksteritorijalom pristupu

Uredba (EU) 2023/2854, poznata kao Data Act, stupila je na snagu 11. januara 2024. godine i u potpunosti se primenjuje od 12. septembra 2025. godine, s određenim odredbama koje se postepeno uvode do 2026. i 2027. godine. Njen član 32 direktno reguliše pitanje međunarodnog vladinog pristupa podacima.

Tekst uspostavlja jasno pravilo: svaka odluka ili presuda suda ili upravnog organa treće zemlje koja od pružaoca usluga obrade podataka zahteva prenos ili pristup nepersonalnim podacima koji se čuvaju u Evropskoj uniji priznatljiva je i izvršiva samo ako se zasniva na međunarodnom sporazumu, kao što je ugovor o međusobnoj pravnoj pomoći (MLA), na snazi između države koja podnosi zahtev i Unije, ili između te države i dotične države članice.

U odsustvu takvog sporazuma, član 32 predviđa drugi put, ali strogo regulisan: strana odluka može biti izvršena samo ako pravni sistem treće zemlje zahteva da zahtev bude obrazložen, proporcionalan i dovoljno specifičan — na primer, uspostavljanjem jasne veze sa konkretnim osobama ili krivičnim delima — i ako obrazloženi prigovor primaoca može biti podnet na razmatranje nadležnom sudu u toj trećoj zemlji.

Direktan pravni sukob

Problem je neposredan: CLOUD Act zahteva otkrivanje zasnovano na kontroli koju vrši matična kompanija, bez uslova proporcionalnosti uporedivih sa onima koje zahteva evropsko pravo. Data Act, naprotiv, uslovljava priznavanje takvog zahteva postojanjem međunarodnog sporazuma ili tačnih proceduralnih garancija. Američka kompanija koja posluje u Evropi, a koja je primila nalog od američkih vlasti da dostavi podatke uskladištene u Uniji, tako se nalazi između dve protivrečne pravne obaveze: uskladiti se s američkim nalogom kršeći pravo Unije, ili poštovati Data Act izlažući se posledicama odbijanja u Sjedinjenim Državama.

Ova napetost nije teorijska. Dokumentovao ju je Sud pravde Evropske unije (CJEU) u dve ključne odluke, Schrems I (2015) i Schrems II (2020). U presudi Schrems II, CJEU je utvrdio da američki nadzor koji se sprovodi u skladu sa Odeljkom 702 FISA (Foreign Intelligence Surveillance Act) i Izvršnom uredbom 12333 ne ispunjava minimalne garancije koje zahteva pravo Unije u pogledu principa proporcionalnosti, te se stoga ne može smatrati ograničenim na ono što je strogo neophodno. Sud je takođe ukazao na odsustvo efikasnog pravnog leka za pogođena lica iz Unije, u suprotnosti s članom 47 Povelje o osnovnim pravima. Ova odluka je poništila okvir Privacy Shield, koji je do tada regulisao prenos podataka između EU i Sjedinjenih Država.

Strukturalni rizik: Harvest Now, Decrypt Later

Pored sukoba jurisdikcija, nad podacima koji se čuvaju u infrastrukturama podložnim američkom pravu nadvija se podmuklija pretnja: strategija poznata kao Harvest Now, Decrypt Later (HNDL). Princip se sastoji u tome da obaveštajna služba ili neprijateljski državni akter danas presreće i skladišti šifrovane podatke, čekajući dovoljne kvantne računarske kapacitete da ih u budućnosti dešifruje.

Ova strategija svaku produženu zavisnost od američke cloud infrastrukture pretvara u odloženi bezbednosni dug: ono što je danas poverljivo može postati čitljivo za deset ili petnaest godina, bez ikakve dodatne akcije s napadačeve strane — jedino što je potrebno je vreme i strpljenje.

Zašto jedino tehnička nemogućnost predstavlja pravu garanciju

Pravna analiza konvergira ka zaključku koji dele mnogi stručnjaci za usklađenost: ma koliko bio čvrst pravni okvir Data Act-a, ostaje dokument koji geopolitički odnosi moći i diplomatski pritisci mogu zaobići, odložiti ili preinterpretirati. Jedina zaštita koja ne zavisi ni od kakvih budućih pregovora je tehnička nemogućnost izvršenja.

Arhitektura zero knowledge, u kojoj pružalac usluga nikada ne poseduje ni posed ni čuvanje ključeva za dešifrovanje, čini svaki nalog materijalno nedelotvornim. Ne može se biti prinuđen da se preda ono što nikada nije ni posedovano.

To je logika koja strukturiše ekosisteme poput Arpokrat-a:

Jurisdikcionalna neutralizacija: infrastruktura je smeštena u Švajcarskoj, pod režimom saveznog zakona o zaštiti podataka (LPD/FADP), van direktnog polja primene eksteritorijalne primene CLOUD Act-a
Odsustvo čuvanja: arhitektura zero knowledge lišava pružaoca usluga svake mogućnosti da preda ključeve ili sadržaje koje nikada ni nije posedovao
Smanjenje identitetskog otiska: ukidanjem obaveze registracije putem broja telefona ili e-mail adrese — identifikatora koje nadzor zasnovan na Odeljku 702 FISA može lako pratiti — korisnik prestaje da bude prepoznatljiv pretplatnik i postaje anonimni kriptografski ključ

Lanac čuvanja ne završava se na šifrovanju poruka

Tačka koja se često potcenjuje u analizama usklađenosti: nije dovoljno šifrovati sadržaj komunikacije ako osnovni operativni sistem — bilo da se radi o Android-u ili iOS-u — nastavlja da prikuplja metapodatke ili telemetriju na nivou kernela, upućenu serverima koji potpadaju pod američku jurisdikciju. Zaštita tajne zahteva potpuno zatvaranje lanca čuvanja, od sadržaja sve do same materijalne infrastrukture.

Upravo iz tog razloga digitalna suverenost podrazumeva i razmišljanje o korišćenom operativnom sistemu, a ne samo o aplikacijama za razmenu poruka. Degoogleizovani sistemi, u kojima se moduli poput Bluetooth-a ili GNSS geolokacije mogu deaktivirati direktno na nivou kernela, eliminišu fizičke vektore napada koje nijedno aplikativno šifrovanje ne može kompenzovati.

Post-kvantna kriptografija: horizont koji je već zahvaćen

Suočena s pretnjom koju predstavlja strategija HNDL, primena standarda post-kvantne kriptografije (PQC) postaje neophodnost za svakoga ko želi da garantuje poverljivost osetljivih podataka na dugi rok — bez obzira na to da li se radi o poslovnim tajnama, profesionalnoj korespondenciji ili zdravstvenim podacima. Šifrovanje koje se danas smatra robusnim prema klasičnim standardima ne garantuje da će odoleti kvantnim računarskim kapacitetima koji se očekuju u narednih petnaest godina.

Sukob između Data Act-a i CLOUD Act-a oslikava širu realnost: digitalna suverenost više ne može biti izgrađena isključivo na zakonskim tekstovima, ma koliko oni bili čvrsti. Ona zahteva potpuno zatvaranje lanca čuvanja na svakom nivou — od protokola šifrovanja do jurisdikcije smeštaja, uključujući i sam operativni sistem. Upravo taj slojeviti pristup, a ne poverenje zasnovano na jednom jedinom regulatornom okviru, danas definiše pravu digitalnu suverenost po dizajnu.

Monero i Zcash zabranjeni u Evropi od 2027: šta menja AMLR

Thu, 18 Jun 2026 00:00:00 +0000

Monero i Zcash zabranjeni u Evropi — to je sada zvanično. Od jula 2027. godine, Evropska unija zatvara institucionalni pristup kriptovalutama s pojačanom zaštitom privatnosti, putem nove uredbe o sprečavanju pranja novca pod nazivom AMLR. Evo šta taj tekst konkretno predviđa, kakva je uloga novog evropskog organa AMLA zaduženog za njegovu primenu, i šta to zapravo znači za svakoga ko drži privacy coins.

AMLR i AMLA: dva različita dokumenta koja ne treba mešati

Pre nego što uđemo u detalje, neophodna je jedna pojašnjenja — ova dva akronima označavaju dve različite stvari, koje se često mešaju u stručnoj štampi:

AMLR (Anti-Money Laundering Regulation) je sam zakonski tekst: Uredba (EU) 2024/1624, koja definiše pravila — zabrana anonimnih naloga, pragovi verifikacije, tretman privacy coins. To je „šta".
AMLA (Anti-Money Laundering Authority) je novi evropski nadzorni organ, osnovan zasebnom uredbom usvojenom istog dana, Uredbom (EU) 2024/1620. Njegova uloga je da direktno nadzire primenu AMLR-a, posebno u pogledu najvećih pružalaca usluga u oblasti kripto-aktiva (CASP) koji posluju u više država članica. To je „ko nadzire".

Ukratko: AMLR utvrđuje pravila, AMLA se stara da se ona poštuju. Oba teksta čine jedan jedinstven evropski zakonodavni paket protiv pranja novca i finansiranja terorizma.

Šta precizno kaže AMLR uredba

Uredba (EU) 2024/1624 usvojena je od strane Evropskog parlamenta i Saveta 31. maja 2024, a potom objavljena u Službenom listu Evropske unije 19. juna 2024. Njen Poglavlje VIII (članci 79–80), naslovljeno „Mere za ublažavanje rizika povezanih s anonimnim instrumentima", a preciznije njen član 79 („Anonimni nalozi, akcije i nalozi za upis akcija na donosioca"), utvrđuje da kreditne institucije, finansijske institucije i pružaoci usluga u oblasti kripto-aktiva (CASP) odavde nemaju pravo da vode anonimne naloge niti da nude proizvode koji omogućavaju anonimizaciju transakcija.

Tekst eksplicitno cilja dve različite, ali povezane kategorije:

Anonimni nalozi — bilo da se radi o bankovnim, platnim ili kripto nalozima. Pravilo usklađuje kripto sektor s ograničenjima koja su već postojala za anonimne bankovne račune, vrednosne papire na donosioca i anonimne sefove.
„Kriptovalute s anonimizujućim karakteristikama" (anonymity-enhancing coins) — generički termin koji uredba koristi za aktive koje koriste napredne kriptografske tehnike koje čine tokove novca nesledivim. Važna napomena: pravni tekst ne pominje nijedan token po imenu. To je tumačenje koje široko dele savetnici za usklađenost i industrija — posebno AML Handbook Evropske kripto inicijative (EUCI) — koje identifikuje Monero (XMR), Zcash (ZEC) i Dash (DASH) kao aktive koji spadaju u ovu kategoriju. Reč je o tumačenju koje je u skladu s definicijom iz uredbe, ali ipak ostaje sektorsko tumačenje, a ne nominativna lista upisana u zakon.

Uredba je deo šireg okvira, uz MiCA (Markets in Crypto-Assets), koji je već na snazi od 2024–2025. godine i koji je već naveo mnoge platforme (Kraken još u oktobru 2024, a zatim i desetine drugih) da unapred povuku Monero s evropskih tržišta.

Datum koji treba zapamtiti: jul 2027.

AMLR ima čvrst datum stupanja na snagu. Većina specijalizovanih izvora, uključujući i one na srpskom govornom području, konvergira ka 10. julu 2027. kao roku pune primene. Od tog datuma, menjačnice i usluge čuvanja kripto-aktiva (custodial) neće moći više da obrađuju ni anonimne naloge ni privacy coins.

Do tog roka, uredba već nameće pojačane obaveze:

Obavezna verifikacija identiteta za svaku povremenu kripto transakciju koja prelazi 1.000 evra — prag koji je znatno snižen u poređenju s trenutnom praksom mnogih platformi
Pojačane kontrole samouvanih novčanika (self-custody): kada korisnik prenosi sredstva između regulisane platforme i ličnog novčanika, CASP mora da prikupi informacije o poreklu i odredištu sredstava, i da minimalno proveri identitet vlasnika spoljnog novčanika
Ukidanje anonimnih gotovinskih plaćanja iznad 3.000 evra, u istoj logici proširenja kontrole identiteta na sve anonimne finansijske instrumente

Zašto Brisel zabranjuje Monero i Zcash na regulisanim platformama

U svom AML Handbook, EUCI sažima logiku koja stoji iza teksta: anonimnost kripto-aktiva predstavlja značajne rizike od zloupotrebe u kriminalne svrhe, sprečavanjem praćenja transakcija i otežavanjem otkrivanja sumnjivih aktivnosti.

To je tačno isti razlog koji je već naveo Japan, Južnu Koreju i nedavno Filipine da isključe privacy coins s regulisanih platformi — postepeno usklađivanje razvijenih jurisdikcija sa standardima FATF (GAFI). Formalizovanjem te zabrane u uredbi koja se direktno primenjuje na svih 27 država članica, Evropska unija daje ovoj tendenciji pravnu snagu i efekt prelivanja (tzv. „Brussels Effect") koji je znatno veći od onog koji imaju izolovane nacionalne odluke.

Šta NIJE zabranjeno — nijansa koja je važna

Nekoliko pravnih analiza konvergira ka jednoj centralnoj tački: AMLR ne kriminalizuje individualno posedovanje privacy coins, niti peer-to-peer transfere van regulisanih platformi. Samouvani novčanici nisu zabranjeni kao takvi — podležu pojačanim kontrolama samo kada stupaju u interakciju s platformom koja podleže regulaciji.

Ono što AMLR zatvara su institucionalne pristupne rampe: kupovina, prodaja, deponovanje i podizanje privacy coins putem regulisanog CASP-a unutar Evropske unije. Privatno posedovanje i decentralizovane razmene ostaju, u ovoj fazi, izvan direktnog dometa zabrane — identičan obrazac koji je već viđen na Filipinima.

Šta to konkretno znači za imaoce XMR-a i ZEC-a

Ako trenutno imate privacy coins na regulisanoj menjačnici unutar Evropske unije:

Do jula 2027., te platforme moraće da povuku podršku za te aktive ili da prestanu da prihvataju nove depozite koji se na njih odnose
Transferi prema ličnim novčanicima s tih istih platformi biće podvrgnuti pojačanim proverama identiteta, čak i pre konačnog roka
Svaka kripto transakcija iznad 1.000 evra, bila ona u privacy coins ili ne, zahteva kompletnu identifikaciju

Kritičari teksta, čak i unutar same kripto industrije, ukazuju na strukturalni rizik: zatvaranjem regulisanih kanala bez tehničke zabrane samih aktiva, uredba mehanički gura imaoce privacy coins ka manje transparentnim tržištima i neregulisanim platformama — tačno suprotno od cilja praćenja koji Brisel proklamuje.

Organizovati se pre roka 2027.

S horizontom postavljenim na 2027. godinu, tranzicija nije trenutna — ali je već u toku. Platforme već prilagođavaju svoju ponudu u iščekivanju usklađenosti, a prozor za razmenu ili konsolidaciju pozicija u privacy coins bez oslanjanja na infrastrukturu koja podleže toj jurisdikciji sužava se svaki mesec.

Arpokrat Swap omogućava razmenu Monera, Zcasha i svih kriptovaluta s pojačanom zaštitom privatnosti bez registracije, bez prikupljanja podataka o identitetu i bez zavisnosti od regulisanog CASP-a koji podleže AMLR-u. Platforma je dostupna kako putem clearneta tako i putem naše .onion adrese, garantujući da vaša mogućnost razmene tih aktiva ne zavisi ni od jedne jurisdikcije koja bi mogla da zatvori pristupne rampe od danas do sutra.

AMLR potvrđuje putanju o kojoj više nema gotovo nikakve sumnje: regulisana kripto tržišta i finansijska privatnost postaju, jurisdikcija po jurisdikcija, strukturalno nekompatibilni. Pitanje više nije da li će se ta tendencija proširiti na sve razvijene ekonomije, već koliko će vremena ostati, nakon 2027. godine, za razmenu privatnih aktiva izvan kanala koji više neće imati pravo da ih dodirnu.

Filipini zabranjuju Monero i Zcash na regulisanim platformama: signal globalnog trenda

Wed, 17 Jun 2026 00:00:00 +0000

Centralna banka Filipina upravo je zadala težak udarac kriptovalutama s pojačanom privatnošću. Pod okriljem usklađenosti s međunarodnim standardima borbe protiv pranja novca, ova odluka ilustruje regulatornu dinamiku koja daleko prevazilazi tu jednu zemlju — i koja bi trebalo da alarimra svakog ko poseduje ili koristi sredstva poput Monera ili Zcasha.

Šta kaže memorandum

Bangko Sentral ng Pilipinas (BSP), centralna banka zemlje, odobrio je Memorandum M-2026-023, koji je potpisala zamenik guvernera Lin Havier. Tekst nalaže svim pružaocima usluga virtuelnih sredstava (VASP) koji poseduju licencu da prestanu sa listovanjem i podrškom „virtuelnih sredstava s karakteristikama anonimizacije". Memorandum ne navodi nijedan token po imenu, ali kategorija na koju se odnosi nedvosmisleno pokriva Monero, Zcash i Dash — kriptovalute dizajnirane da otežaju ili onemoguće praćenje transakcija.

Mera je stupila na snagu odmah, bez prelaznog perioda. Osim pukog uklanjanja ovih sredstava s platformi, VASP-ovi sada moraju da procenjuju svaki listovani token prema šest stubova usklađenosti: kredibilitet emitenta, zrelost tržišta, slučajevi upotrebe, transparentnost i bezbednost, likvidnost i rezerve, pravna usklađenost. Takođe moraju da definišu interne pragove koji automatski pokreću povlačenje s listinga kada neko sredstvo više ne ispunjava ove kriterijume.

Šta se konkretno menja

Memorandum ne kriminalizuje privatno posedovanje Monera ili Zcasha, niti peer-to-peer transfere obavljene van regulisanih platformi. Ono što nestaje jeste institucionalni pristup: regulisane ulazne i izlazne rampe (kupovina, prodaja, uplata, isplata na licenciranoj platformi) više neće moći da obrađuju ova sredstva.

Konkretno, ako ste posedovali privacy coins na filipinskoj platformi podložnoj BSP licenci — među kojima su Coins.ph/Betur, Maya Philippines, PDAX, GoTyme Bank ili UnionBank — morate ih preneti u lični novčanik ili konvertovati pre nego što platforma bude primorana da ih ukloni.

Sa više od 16 miliona korisnika kriptovaluta u zemlji, uticaj će se osetiti u velikoj meri na domaćem tržištu, iako bi efekat na globalnu cenu XMR-a ili ZEC-a trebalo da ostane ograničen — Filipini predstavljaju samo marginalni deo ukupne globalne likvidnosti ovih sredstava.

Usklađenost s FATF-om, univerzalno opravdanje

BSP opravdava svoju odluku eksplicitnim usklađivanjem sa standardima FATF-a (GAFI), međunarodnog tela koje definiše pravila borbe protiv pranja novca i finansiranja terorizma. Ostati u dobrim odnosima s FATF-om nije opciono za većinu centralnih banaka — loša ocena može uticati na pristup cele jedne zemlje međunarodnim finansijskim tokovima.

To je isto opravdanje koje je već navelo Evropsku uniju, Japan i Južnu Koreju da postepeno isključe privacy coins sa svojih regulisanih platformi tokom poslednjih nekoliko godina. Filipinska odluka stoga nije izolovani slučaj: to je potvrda de facto standarda koji se generalizuje — ako neka jurisdikcija želi da upravlja kriptotržištem priznatim na međunarodnom nivou, sredstva s pojačanom privatnošću više nemaju tu svoje mesto.

Tenzija koju niko zaista ne rešava

Znakovito je da čak i akteri koji podržavaju ovu odluku priznaju legitimnost upotrebe koju ona nastoji da ograniči. Odgovorni za kripto u GCash-u, jednoj od najvećih fintek kompanija u zemlji, eksplicitno je priznao da Monero i Zcash „postoje iz legitimnih razloga" i da privatnost predstavlja „temeljnu vrednost kriptografije: sposobnost transakcija bez nadzora". Ipak je podržao meru, smatrajući da Filipini — zemlja s velikom zavisnošću od tokova doznaka — ne mogu da se pozicioniraju kao pouzdana finansijska infrastruktura uz istovremeno dopuštanje slobodnog kruženja anonimizirajućih sredstava.

Ova tenzija nije rešena, već je jednostavno presečena u korist regulatorne perspektive: obimi doznaka i međunarodna kredibilnost teže više od argumenta legitimne privatnosti, svaki put kada se postavlja to pitanje.

Logičan sledeći korak: migracija ka samočuvanju

Obrazac koji se ponavlja iz jedne jurisdikcije u drugu sada je jasno čitljiv. Obrazac je gotovo uvek isti: finansijska privatnost ostaje legalna na individualnom nivou, ali postepeno postaje nemoguće koristiti je putem institucionalnih tokova. Samočuvanje (self-custody) još uvek nije na meti — ali svaka nova jurisdikcija koja sledi ovaj model dodatno sužava prostor u kojem ova sredstva mogu cirkulisati bez regulatornog zaključavanja.

Detaljno smo obradili tehničko funkcionisanje ovih blokčenova i razloge zašto su postali privilegovana meta regulatora u našem sveobuhvatnom vodiču o anonimnim blokčenovima — ring signatures, zk-SNARKs i stvarna ograničenja ovih tehnologija.

Razmena van tokova koji se zatvaraju

Kako regulisane platforme jedna za drugom napuštaju tržište privacy coins-a, uloga nekustodijalne infrastrukture bez prikupljanja podataka postaje centralna za svakog ko želi da nastavi da koristi ova sredstva bez oslanjanja na VASP podložan jurisdikciji koja može da promeni politiku od danas do sutra.

Arpokrat Swap omogućava razmenu Monera, Zcasha i svih kriptovaluta s pojačanom privatnošću bez registracije, bez prikupljanja IP logova i bez kolačića — bilo da pristupate platformi putem clearnet-a ili putem naše .onion adrese. Nijedna jurisdikcija ne može ukloniti ono što nikada nismo prikupili.

Ova filipinska odluka verovatno nije poslednja te vrste ove godine. Pitanje više nije da li će druge zemlje krenuti istim putem — nedavna istorija sugeriše da hoće — već koliko vremena preostaje pre nego što institucionalni pristup privacy coins-ima postane izuzetak, a ne pravilo.

Kraj privatnosti? Backdoors, Online Safety Act i odgovor suverenih ekosistema

Wed, 10 Jun 2026 00:00:00 +0000

London je postao epicentar globalne bitke za budućnost digitalne privatnosti. Sa usvajanjem Zakona o bezbednosti na mreži (OSA) za 2023. godinu i nedavnim predlozima za reviziju Zakona o istražnim ovlašćenjima (IPA) — koji su njegovi kritičari nazvali „Poveljom špijuna“ —, britanska vlada prisvaja pravo da nametne obaveze nadzora u samom srcu privatnih komunikacija. Prelomna tačka je ovlašćenje dato regulatoru OFCOM da od platformi zahteva implementaciju „akreditovane tehnologije“ za otkrivanje materijala o seksualnom zlostavljanju dece (CSEA) ili terorizma, uključujući i unutar end-to-end šifrovanih komunikacija .

Za velike digitalne platforme poruka iz Vestminstera je nedvosmislena: ili će omogućiti državni pristup svojim infrastrukturama, ili će se suočiti s kaznama u iznosu do 10% svojih globalnih prihoda. Reakcija je bila trenutna: usluge poput Signal-a i WhatsApp-a javno su zapretile povlačenjem sa britanskog tržišta, odbijajući da ugroze bezbednost svojih korisnika kako bi zadovoljili jednu jedinu jurisdikciju. Tehnički argument je teško osporiti: ne postoji master ključ (glavni ključ) rezervisan isključivo za legitimne aktere. Otvorena vrata za sprovođenje zakona su, po samom dizajnu, otvorena vrata za sajber kriminalce i strane obaveštajne službe.

Poslovni model velikih platformi: strukturna prepreka za Zero-Knowledge

Otpor velikih platformi usvajanju Zero-Knowledge šifrovanja ne objašnjava se tehničkom nesposobnošću, već fundamentalnom ekonomskom nekompatibilnošću. Kompanije poput Alphabet-a i Meta-e oslanjaju se na modele monetizacije zasnovane na sistematskom prikupljanju podataka o ponašanju. Ovaj model, inače, implicitno priznaje Zakon o digitalnim tržištima (DMA) Evropske unije, koji ove „čuvare pristupa“ (gatekeepers) klasifikuje kao entitete čija se dominantna pozicija napaja upravo akumulacijom podataka u neviđenim razmerama. Za ove aktere, usvajanje Zero-Knowledge arhitekture značilo bi lišavanje njihovih reklamnih sistema kontinuirane identifikacije korisnika koja predstavlja njihovo gorivo. To, dakle, nije tehnički izbor, već kompromis između privatnosti korisnika i održivosti njihovog poslovnog modela.

Strateški rizik: pretnja „Harvest Now, Decrypt Later“

Pored debate o privatnosti, slabljenje šifrovanja postavlja pitanje nacionalne bezbednosti potpuno drugačijeg obima. Strategija poznata kao Harvest Now, Decrypt Later (HNDL) uključuje državne protivnike koji danas presreću i skladište ogromne količine šifrovanih komunikacija, u iščekivanju budućih kapaciteta za kvantno dešifrovanje. Oslabljujući aktuelne standarde šifrovanja, britanski zakonodavni okvir objektivno olakšava ovakav tip operacija protiv vladinih, diplomatskih ili industrijskih komunikacija.

Upravo u ovom kontekstu nedostatka poverenja ekosistemi poput Arpokrata stiču operativnu relevantnost. Delujući pod režimom Švajcarskog saveznog zakona o zaštiti podataka (FADP), sa arhitekturom koja ne prikuplja nikakve civilne identifikatore, Arpokrat nudi tehnički prekid od infrastruktura koje su podložne britanskoj jurisdikciji — garantujući da sistem ostaje gluv na naloge koje predviđa OSA.

Sukob normi: OSA i IPA protiv evropskog prava

Pravna analiza novih britanskih državnih prerogativa otkriva direktan sudar sa temeljima evropskog prava u pogledu zaštite podataka i poverljivosti komunikacija.

OSA protiv zabrane generalizovanog nadzora

Član 121. OSA-e uvodi mogućnost da OFCOM izdaje naloge kojima primorava platforme da primene skeniranje na strani klijenta (client-side scanning). Ova mera se direktno suprotstavlja principu, izvedenom iz evropskog prava i uključenom u sudsku praksu Suda pravde EU (CJEU), koji zabranjuje opšte obaveze nadzora. Namećući „ranjivost po dizajnu“ (vulnerability by design), takođe stavlja kompanije u situaciju dvostruke obaveze: slabljenjem svoje bezbednosti kako bi ispunile državni mandat, one ne ispunjavaju svoju obavezu da garantuju nivo bezbednosti koji odgovara obradi, kao što je utvrđeno u članu 32. GDPR-a.

ePrivacy direktiva i poverljivost komunikacija

Skeniranje privatnih poruka je u direktnoj suprotnosti sa članom 5, stav 1. Direktive 2002/58/EC (ePrivacy), koji obavezuje države članice da garantuju poverljivost elektronskih komunikacija i zabranjuje svaki oblik presretanja ili nadzora bez izričitog pristanka dotičnih korisnika.

Technical Capability Notices i blokiranje bezbednosnih ažuriranja

Pod režimom IPA 2016, britanska vlada sada namerava da koristi Obaveštenja o tehničkim mogućnostima (Technical Capability Notices - TCN) kako bi se suprotstavila bezbednosnim ažuriranjima pre nego što budu raspoređena. Ovaj mehanizam stvara nerešiv konflikt sa obavezom, postavljenom u članu 32. GDPR-a, da se osigura kontinuirana bezbednost sistema obrade — obavezom koja upravo zahteva sposobnost primene zakrpa (patches) bez odlaganja ili spoljnih smetnji.

Rizici usklađenosti za kompanije koje posluju u Evropi

Revizije IPA-e imaju za cilj da primoraju kompanije da obaveste britansku vladu o bilo kakvoj tehničkoj modifikaciji koja utiče na bezbednost, pre njene implementacije, dajući joj time pravo veta na razvoj proizvoda. Ovo mešanje stvara značajnu pravnu nesigurnost za dobavljače koji posluju na evropskom tržištu: britanska adekvatnost evropskom pravu — već krhka — mogla bi biti dovedena u pitanje ako UK više ne garantuje zaštitu koja je u suštini ekvivalentna onoj iz GDPR-a. Prenos podataka u UK prema ovom novom okviru stoga bi verovatno izložio kompanije sankcijama prema GDPR-u.

Odbrana tehničkom nemogućnošću: Zero-Knowledge princip kao pravni štit

Međunarodna sudska praksa, konsolidovana presudama Schrems I i Schrems II Suda pravde EU, uspostavila je odlučujući princip: jedina snažna zaštita protiv nesrazmernog nadzora je tehnička nemogućnost pristupa. Zero-Knowledge arhitekture primenjuju ovaj princip u tri sloja zaštite:

Odsustvo starateljstva: pošto platforma ne poseduje ključeve za dešifrovanje, svaki nalog za skeniranje poruka je tehnički nesprovodiv;
Suverenitet operativnog sistema: kontrola nad ArpokratOS-om eliminiše telemetriju koja hrani prikupljanje obaveštajnih podataka na nivou uređaja;
Švajcarsko jurisdikciono usidrenje: hostujući svoju infrastrukturu u Švajcarskoj, Arpokrat operiše pod pravnim režimom koji zahteva individualizovane i obrazložene zahteve za uzajamnu pravnu pomoć, neutrališući automatizovano izvršavanje masovnih skeniranja koje predviđa OSA.

Zaključak

Odredbe OSA-e i revizije IPA-e nisu samo pretnja privatnosti pojedinaca: one predstavljaju kršenje pravne sigurnosti za sve evropske podatke koji prolaze kroz infrastrukture podložne britanskoj jurisdikciji. Legitimišući slabljenje šifrovanja u ime javne bezbednosti, London paradoksalno izlaže svoje saveznike i trgovinske partnere rizicima industrijske i državne špijunaže koje su Zero-Knowledge arhitekture upravo i dizajnirane da spreče.

Integritet profesionalnih i institucionalnih komunikacija sada zahteva strukturni odgovor: migraciju ka decentralizovanim ekosistemima koji garantuju digitalni suverenitet, od nivoa koda sve do jurisdikcionog usidrenja.

Utiq: Нови „Super-Cookie“ телекомуникационих оператера који прети вашој приватности

Mon, 01 Jun 2026 00:00:00 +0000

Планирани крај колачића трећих страна (third-party cookies) у веб прегледачима покренуо је праву трку у наоружању у индустрији циљаног оглашавања. Док Google покушава да наметне сопствене стандарде (као што је Privacy Sandbox), други неочекивани играч одлучио је да уграби свој део колача: ваш интернет провајдер (ISP).

Тако је рођен Utiq (раније познат као пројекат TrustPid), заједнички подухват који су основали европски телекомуникациони гиганти. Продаван широј јавности као „транспарентно и етичко“ решење, Utiq је заправо оно чега се стручњаци за кибернетичку безбедност највише плаше: „суперкуки“ који ради на мрежном нивоу.

Шта је Utiq и како то ради?

Традиционално, праћење огласа (колачићи) контролише ваш веб прегледач (Chrome , Firefox , Safari ). Могли сте да га блокирате коришћењем екстензија (као што је uBlock Origin ) или прегледача оријентисаног на приватност (као што је Brave ).

Utiq помера проблем за један корак уназад: на ниво ваше мрежне везе.

Ево како се замка затвара:

Пресретање на нивоу мреже: Када сурфујете интернетом преко мобилне везе (4G/5G) или кућног рутера, Utiq користи вашу ИП адресу и податке о вашој телекомуникационој претплати да би вас идентификовао.
Пристанак (лажни избор): По доласку на партнерски сајт, искачући прозор (popup) тражи од вас да прихватите Utiq. Због замора од баннера за колачиће (Consent Fatigue), милиони корисника кликну на „Прихвати“ без читања.
„Network Signal“: Када се да пристанак, Utiq директно контактира вашег оператера мобилне или фиксне телефоније. Он генерише јединствени псеудонимизовани идентификациони токен (мрежни сигнал) који затим преноси оглашивачима.

Сада вас могу пратити од сајта до сајта не преко датотеке сачуване на вашем рачунару, већ кроз саму инфраструктуру која вам пружа приступ интернету.

Зашто је Utiq кошмар за приватност (OPSEC)

Ова иницијатива доноси озбиљне проблеме за дигитални суверенитет и поверљивост ваших података:

Праћење на извору: За разлику од класичних колачића, не можете једноставно „обрисати историју“ или „очистити кеш“ да бисте се решили Utiq-а. Идентификациони токен генерише ваш провајдер.
Централизација профила: Оператери већ знају ваше име, физичку адресу, банкарске податке и локацију у реалном времену. Повезивањем историје вашег прегледања веба преко Utiq-а са тим подацима, они креирају профил понашања застрашујуће прецизности.
Мана псеудонимизације: Utiq се брани тврдњом да не дели ваше име у отвореном тексту, наводећи да користи „шифроване“ токене. Међутим, у свету кибернетичке безбедности доказано је да је псеудонимизација реверзибилна. Укрштање ових токена са другим базама података омогућава лаку поновну идентификацију појединаца.

Који оператери користе Utiq?

Utiq је основао савез четири највећа европска оператера. Ако сте корисник неког од њих, ваша веза је већ потенцијално „компатибилна“ са овим праћењем.

Савет OPSEC: Иако Utiq нуди централизовани портал за управљање пристанком (consenthub.utiq.com ) за повлачење приступа, најбоља одбрана остаје технолошка.

Zero-Trust приступ за супротстављање Utiq-у

Филозофија дигиталного суверенитета, коју подржавају екосистеми попут Arpokrat, заснива се на једноставном принципу: никада не веровати мрежној инфраструктури.

Да бисте технички неутралисали системе као што је Utiq, решење је да сакријете свој саобраћај од сопственог интернет провајдера:

Коришћење сувереног ВПН-а: Шифровањем саобраћаја чим напусти ваш уређај, ваш провајдер види само нечитљив ток података усмерен ка ВПН серверу. Он више не може да убацује нити чита Utiq токене.
Мрежа Tor (Orbot ): Onion рутирање спречава било какву идентификацију од краја до краја.
Шифровање ДНС-а (DoH/DoT): Спречава вашег оператера да сазна које веб локације желите да посетите.

Укратко, Utiq је доказ да интернет провајдери више нису задовољни тиме што су само „цеви“; они желе да постану брокери података. Шифровање саобраћаја више није само опција безбедности, већ апсолутна неопходност за очување ваше дигиталне приватности.

Вриштећа тишина: Шта је Warrant Canary и зашто би његов нестанак требало да вас забрине?

Mon, 01 Jun 2026 00:00:00 +0000

Дубоко у рудницима угља 19. века, рудари су са собом носили канаринце у кавезима. Ове мале птице, изузетно осетљиве на токсичне гасове, угинуле би много пре него што би рудари приметили опасност. Оне су тако служиле као тихи, али изузетно ефикасан систем раног упозорења.

У нашем модерном дигиталном свету, ова птица је поново оживела у облику « Warrant Canary ».

Шта је Warrant Canary?

То је јавна изјава коју редовно објављује и ажурира пружалац услуга, потврђујући да до тог тачног датума није примио ниједан тајни правни захтев који га приморава да угрози податке својих корисника.

Суштина лежи у томе шта се дешава када канаринац нестане.

Ако сервис који је сваког месеца приказивао изјаву “Нисмо примили никакве тајне налоге” изненада престане да је ажурира, обавештени корисник доноси очигледан закључак: канаринац је мртав.

Компанија је била мета мере надзора праћене налогом о ћутању (gag order), који јој законски забрањује да открије постојање овог захтева. Пошто не могу да кажу да су угрожени, они једноставно престају да говоре да су безбедни.

Ера невидљивог надзора

Proton : Објављује извештај о транспарентности са строгим канаринцем.
Riseup : Одржава једног од најпознатијих канаринаца на интернету.
Arpokrat : Наш екосистем одржава јавни Warrant Canary, који се криптографски ажурира.

Правна анализа и Zero-Knowledge

Ако држава има моћ да вам наметне ћутање, она нема уставну моћ да вас примора да лажете. У екосистему Arpokrat, Zero-Knowledge архитектура ствара техничку немогућност поштовања налога. Нема приватних кључева, нема идентитета (Zero-ID) за предају.

Iluzija suvereniteta: Slučaj Olvid i zamka CLOUD Act-a

Thu, 21 May 2026 00:00:00 +0000

Ova najava je odjeknula kao pravi „krik za nezavisnost“ u hodnicima Pariza: premijer je naredio vladi da napusti WhatsApp i Signal u korist Olvida, aplikacije predstavljene kao „domaća“. Cilj je bio jasan: zaštita državnih tajni od stranih obaveštajnih službi.

Međutim, ubrzo se pojavila gorka ironija: srce Olvida — njegova serverska infrastruktura — kuca unutar Amazon Web Services (AWS), američkog giganta.

Široj javnosti ovo izgleda kao obično tehničko pitanje hostinga. Ali za arhitekte suverene sajber bezbednosti , to je politička ranjivost prvog reda.

Ekstrateritorijalnost i sukob suvereniteta

Oslanjajući se na Amazonovu infrastrukturu, Olvid automatski ulazi u orbitu američkog CLOUD Act-a .

Pravna analiza otkriva scenario jurisdikcijske nesigurnosti koji se pukim usvajanjem nacionalne „aplikacije“ ne rešava. Prelomna tačka leži u konceptu „kontrole“ naspram „lokalizacije“.

CLOUD Act je radikalno promenio pravnu paradigmu propisujući da fizička lokacija servera nije važna. Obaveza provajdera usluga (ovde AWS) da sarađuje proizilazi isključivo iz njegove jurisdikcijske veze sa SAD-om.

Pravno, ovo stvara direktan sukob sa GDPR-om. Sud pravde EU je već utvrdio da američki zakoni o nadzoru ne nude nivo zaštite ekvivalentan onom u Evropi.

Digitalni suverenitet nije atribut softvera, već svojstvo integriteta lanca čuvanja podataka.

Avet FISA-e i lažno obećanje enkripcije

Što je još gore, ova zavisnost od američke infrastrukture stavlja ove podatke u senku Foreign Intelligence Surveillance Act-a (FISA) .

Suočen sa ovim pretnjama, Olvid tvrdi da je njegova end-to-end enkripcija dovoljan štit. Iz perspektive inženjeringa privatnosti, ova odbrana je opasno delimična.

Čak i ako je sadržaj poruke šifrovan, centralizovana AWS infrastruktura otkriva metapodatke. Znanje o tome ko sa kim razgovara, kada, koliko često i odakle, često je obaveštajcima vrednije od samog sadržaja poruke.

Enkripcija štiti tekst, ali centralizovani server odaje mrežu kontakata.

Prava opasnost tek dolazi

Sve dok evropska infrastruktura zavisi od entiteta koji podležu ekstrateritorijalnim zakonima, pravna sigurnost naših komunikacija ostaće čista iluzija.

Nacionalna bezbednost u 21. veku zahteva potpunu nezavisnost infrastrukture i hardvera . Strategija „Prikupi sada, dešifruj kasnije“ predstavlja najrazorniju pretnju naredne decenije.

Državna tajna presretnuta danas nije ništa drugo do matematička tempirana bomba.

(Pročitajte ostatak naše analize u Delu 2: Tempirana bomba i Zero-Knowledge imperativ )