Nella giornata europea della privacy dei dati chiediamo all'UE di sostenere una crittografia forte.

Il Data Privacy Day è stato avviato in Europa nel 2007 per portare la consapevolezza dell’importanza di proteggere la privacy di tutti. Undici anni dopo, l’Unione europea ha dato seguito alla sua attenzione emettendo il regolamento generale sulla protezione dei dati (GDPR), che richiede ad ogni azienda di proteggere i dati dei cittadini dell’UE.

Nel dicembre 2020, tuttavia, il Consiglio dell’UE ha preso una piega molto diversa, pubblicando la risoluzione sulla crittografia. Mentre la risoluzione sottolinea l’importanza della crittografia, mira decisamente a indebolire la crittografia per ogni cittadino dell’UE.

Rifiuta la risoluzione del Consiglio

• Il Consiglio dell’Unione europea sta spingendo attraverso proposte che porteranno all’installazione di backdoor in piattaforme crittografate come le e-mail, la messaggistica e le app di condivisione dei file.

• Il Consiglio sostiene che è possibile farlo senza rompere la crittografia o violare il diritto alla privacy dei cittadini.

• Le principali aziende europee di crittografia si sono unite per dire che questo non è possibile e chiedere ai politici dell’UE di ripensarci.

• Installare backdoor nelle app criptate è come dare alle forze dell’ordine la chiave della casa di ogni cittadino.

• Nessuno potrebbe sostenere che questo non viola il diritto alla privacy e lo stesso dovrebbe valere per la casella di posta elettronica, i messaggi o i file di una persona.

L’obiettivo dichiarato del Consiglio di “sicurezza attraverso la crittografia e sicurezza nonostante la crittografia” - e le backdoor alla crittografia che questo richiederebbe - minaccerà i diritti fondamentali di milioni di europei e minerà un cambiamento globale verso l’adozione della crittografia. In risposta, queste quattro aziende tecnologiche leader in Europa rifiutano qualsiasi tentativo di utilizzare strumenti legali per violare la privacy dei cittadini e si ergono per proteggere i diritti delle persone e delle imprese che scelgono la crittografia Ende-zu-Ende.

Anche se non è esplicitamente dichiarato nella risoluzione, è ampiamente compreso che la proposta cerca di consentire l’accesso delle forze dell’ordine alle piattaforme crittografate tramite backdoor. Tuttavia, la risoluzione fa un equivoco fondamentale: la crittografia è un assoluto, i dati sono criptati o non lo sono, gli utenti hanno la privacy o non ce l’hanno. Il desiderio di dare alle forze dell’ordine più strumenti per combattere il crimine è ovviamente comprensibile. Ma le proposte sono l’equivalente digitale di dare alle forze dell’ordine una chiave della casa di ogni cittadino e potrebbero iniziare un pendio scivoloso verso maggiori violazioni della privacy personale.

L’anno scorso il passaggio senza precedenti al lavoro a distanza ha visto decine di milioni di individui e aziende rivolgersi a tecnologie come la crittografia per garantire la loro sicurezza digitale e la privacy. Più recentemente, dopo che sempre più persone sono venute a conoscenza del fatto che WhatsApp condivide i dati con Facebook, gli utenti stanno passando a servizi crittografati in numero record. Le persone in tutto il mondo stanno riprendendo il controllo della loro privacy, e spesso sono le aziende europee che li aiutano a farlo. Sembra illogico che i politici dell’UE spingano ora per leggi che vanno contro l’opinione pubblica e minano un settore tecnologico europeo in crescita.

La risoluzione ha effettivamente dato alla Commissione europea il via libera per iniziare a preparare proposte concrete nei prossimi mesi. Ma, come sottolineano ProtonMail, Threema, Tresorit e Tutanota, la Commissione dovrebbe ricordare che da un punto di vista tecnologico è impossibile fornire qualsiasi tipo di accesso a contenuti criptati, anche un accesso mirato in un processo legale, senza indebolire criticamente l’intero sistema.

”Questa non è la prima volta che abbiamo visto la retorica anti-crittografia emanare da alcune parti dell’Europa, e dubito che sarà l’ultima. Ma questo non significa che dovremmo essere compiacenti”, ha detto Andy Yen, CEO e fondatore di ProtonMail, il servizio svizzero di e-mail crittografate. “In parole povere, la risoluzione non è diversa dalle proposte precedenti che hanno generato un ampio contraccolpo da parte di aziende attente alla privacy, membri della società civile, esperti ed eurodeputati. La differenza questa volta è che il Consiglio ha adottato un approccio più sottile e ha evitato di usare esplicitamente parole come ‘divieto’ o ‘backdoor’. Ma non fate errori, questa è l’intenzione. E’ importante che i passi siano fatti ora per evitare che queste proposte vadano troppo lontano e mantenere intatto il diritto alla privacy degli europei”.

”Le aziende si affidano alla crittografia per proteggere i loro segreti commerciali e le informazioni riservate. I cittadini usano le app che seguono l’obiettivo del design a conoscenza zero per comunicare liberamente senza essere tracciati e monetizzati e per esercitare il loro diritto legale alla privacy. Le giovani aziende europee sono ora in prima linea in questa rivoluzione della tecnologia e della protezione dei dati. L’esperienza dimostra che tutto ciò che indebolisce queste conquiste può essere e sarà abusato da terzi e dai criminali, mettendo così in pericolo la sicurezza di tutti noi. Con l’abbondanza di alternative open-source, gli utenti passerebbero semplicemente a quelle applicazioni se sapessero che un servizio è stato compromesso”, ha detto Martin Blatter, CEO di Threema, l’applicazione di messaggistica istantanea criptata. “Costringere i fornitori europei a bypassare o indebolire deliberatamente la crittografia non solo distruggerebbe l’economia europea delle startup IT, ma non fornirebbe nemmeno un po’ di sicurezza in più”. Unendosi alla schiera dei più noti stati di sorveglianza di questo mondo, l’Europa abbandonerebbe incautamente il suo unico vantaggio competitivo e diventerebbe una terra desolata per la privacy”, ha aggiunto.

”Questa risoluzione minerebbe seriamente la crescente fiducia che gli individui e le imprese ripongono nei servizi crittografati e minaccerebbe la sicurezza degli utenti che desiderano semplicemente condividere informazioni in modo sicuro o sfruttare la crittografia come parte della conformità alla protezione dei dati. Troviamo questa risoluzione particolarmente allarmante, dato il punto di vista precedentemente progressista dell’UE sulla protezione dei dati. Il regolamento generale sulla protezione dei dati (GDPR), il modello globalmente riconosciuto dell’UE per la legislazione sulla protezione dei dati, sostiene esplicitamente la crittografia forte come una tecnologia fondamentale per garantire la privacy dei cittadini. Queste nuove proposte sono inconciliabili con l’attuale posizione dell’UE sulla privacy dei dati: l’approccio attuale e quello proposto sono in completo contrasto l’uno con l’altro, in quanto è impossibile garantire l’integrità della crittografia mentre si fornisce qualsiasi tipo di accesso mirato ai dati crittografati”, Istvan Lam, co-fondatore e CEO di Tresorit, il servizio di sincronizzazione e condivisione file crittografato, ha detto.

”La crittografia è la spina dorsale di internet. Ogni cittadino dell’UE ha bisogno della crittografia per mantenere i propri dati al sicuro sul web e per proteggersi da malintenzionati. Con l’ultimo tentativo di crittografia backdoor, i politici vogliono un modo più facile per prevenire crimini come gli attacchi terroristici, mentre ignorano tutta una serie di altri crimini da cui la crittografia ci protegge: la crittografia protegge i nostri dati e le comunicazioni contro le intercettazioni come hacker, governi (stranieri) e terroristi. Richiedendo backdoor di crittografia, i politici non ci stanno chiedendo di scegliere tra sicurezza e privacy. Ci stanno chiedendo di non scegliere la sicurezza”, ha detto Arne Möhle, co-fondatore di Tutanota, il provider tedesco di e-mail criptate.

Come dimostra il recente scandalo dei cambiamenti della politica di privacy di WhatsApp, anche se un servizio utilizza la crittografia, i dati degli utenti possono ancora essere utilizzati in modo improprio. I fornitori di servizi europei ProtonMail, Threema, Tresorit e Tutanota sono impegnati a proteggere i dati dei loro utenti con politiche di privacy trasparenti oltre a garantire le comunicazioni con la crittografia.