Cosa può pretendere un governo
Tutto ciò che un'azienda può leggere, un tribunale o un governo può ordinarle di consegnarlo, a volte senza che tu lo venga mai a sapere.
Le big tech ricevono ogni anno un gran numero di richieste governative di dati degli utenti, molte delle quali legate a indagini penali. La regola è semplice: se un'azienda può leggere i tuoi dati, può essere costretta a consegnarli.
Messaggi che non erano crittografati
Nel 2022 Meta ha consegnato alla polizia del Nebraska, in base a un mandato, i messaggi di Facebook tra una madre e la figlia adolescente. I messaggi sono stati poi usati in un procedimento penale legato a un aborto. Meta ha dichiarato che i mandati non menzionavano l'aborto ed erano accompagnati da ordini di riservatezza che le impedivano di parlarne (NPR, Meta). All'epoca le chat di Messenger non avevano la crittografia end-to-end predefinita. Le chat personali di Messenger ora ce l'hanno: Meta ha iniziato il passaggio a dicembre 2023 (Meta).
Spesso bastano i metadati
Anche quando il contenuto dei messaggi è crittografato, i metadati (con chi parli, quando e da dove) spesso non lo sono. Secondo un documento interno dell'FBI del 2021, WhatsApp può comunicare alla polizia a chi scrive una persona sotto indagine, e quando, ogni 15 minuti in risposta a un ordine di tipo «pen register». Il contenuto dei messaggi non è incluso.
Anche le aziende attente alla privacy devono obbedire
Le aziende che puntano sulla privacy devono comunque rispettare la legge del paese in cui hanno sede. Proton, per esempio, ha consegnato alla polizia un indirizzo IP e un'email di recupero in seguito a ordini delle autorità svizzere (dettagli). La differenza è che Proton non può consegnare il contenuto delle tue email archiviate, perché sono crittografate con chiavi che non possiede. (Oggetti e indirizzi non sono protetti allo stesso modo.)
Conta dove ha sede un'azienda
Le aziende statunitensi possono essere obbligate, in base a leggi come il CLOUD Act, a consegnare i dati che controllano, anche se sono conservati in un altro paese. Altri paesi offrono una protezione più forte o più debole, e le leggi cambiano.
Cosa puoi fare
- Preferisci la crittografia end-to-end per messaggi, file e backup, così non c'è nulla di leggibile da consegnare.
- Riduci i metadati. Non collegare un'email di recupero o un numero di telefono personali ad account che devono restare anonimi.
- Controlla i rapporti di trasparenza. Le aziende che pubblicano quante richieste ricevono, e quanto spesso si oppongono, guadagnano punti nella nostra categoria trasparenza.