In vista di una discutibile proposta di legge che potrebbe entrare in vigore nell’Unione europea e mettere a rischio la privacy delle conversazioni tramite le app di messaggistica via internet, fa scuola una recente sentenza che ha coinvolto Telegram: un governo può spiare le chat degli utenti anche se crittografate?

La Corte Europea dei Diritti dell’Uomo (CEDU) ha sentenziato come sia illegale l’accesso da parte di un governo ai messaggi crittografati degli utenti scambiati tramite app come Telegram mediante l’apertura di ‘backdoor’ mettendo così a rischio la privacy di tutti gli utenti. Sentenza di un caso aperto dopo che nel 2017 i servizi dell’intelligence russa hanno chiesto a Telegram di aprire una di queste ‘porte di servizio’ per accedere ai messaggi di utenti sospettati di svolgere attività legate al terrorismo.

Si possono spiare le chat di comunicazione via internet?

Andiamo con ordine. Il governo russo ha inserito Telegram Messenger LLP il 28 giugno 2017 nell’elenco pubblico di “organizzatori di comunicazioni via Internet”. Secondo la legge russa, questi servizi hanno l’obbligo di:

“conservare tutti i dati delle comunicazioni per un anno e il contenuto di tutte le comunicazioni per un periodo di sei mesi e di trasmettere tali dati alle autorità di polizia o ai servizi di sicurezza in circostanze specificate dalla legge, insieme alle informazioni necessarie per decrittografare i messaggi elettronici se crittografati.”

In breve, si può dire che in Russia è legge che i servizi di messaggistica istantanea presenti nell’elenco di ‘organizzatori di comunicazioni via Internet’ devono conservare per un certo periodo di tempo le chat e i messaggi degli utenti con l’obbligo di fornire i dati necessari per decrittografare i messaggi su richiesta del governo, nei casi in cui si rendesse questo necessario per venire a conoscenza di cosa si sono detti due utenti all’interno di una chat crittografata.

Il 12 luglio 2017, il servizio di sicurezza federale della Russia, l’FSB, ha richiesto a Telegram di divulgare informazioni tecniche che avrebbero facilitato “la decrittazione delle comunicazioni dal 12 luglio 2017 nei confronti degli utenti di Telegram sospettati di attività legate al terrorismo“. A Telegram è stato chiesto di fornire informazioni considerate “necessarie e sufficienti” per decrittografare comunicazioni tra sei numeri di cellulare associati ad account Telegram, tra cui un indirizzo IP, un numero di porta TCP/UDP e i dati relativi alle chiavi di crittografia. La piattaforma ha rifiutato di rispettare l’ordine di divulgazione, sostenendo che era tecnicamente impossibile eseguirlo senza creare una backdoor che indebolirebbe il meccanismo di crittografia per tutti gli utenti.

L’importanza della crittografia end-to-end

I servizi di messaggistica come Whatsapp, Messenger e la stessa Telegram (con le ‘chat segrete’) puntano molto sull’offrire il massimo della riservatezza di ciò che gli utenti si scambiano nelle chat promuovendo la ‘crittografia end-to-end‘. Questa fa in modo che solo gli utenti che fanno parte di una chat possano accedere ai contenuti in essa scambiati, nemmeno i fornitori dei servizi stessi possono accedere. Grazie a questa tecnologia, di fatto, le chat non si possono spiare.

Sulla base di quanto si legge nella sentenza, Telegram ha sostenuto che era tecnicamente impossibile fornire alle autorità chiavi di crittografia associate a utenti specifici dell’applicazione di messaggistica. Per consentire la decrittografia delle comunicazioni crittografate end-to-end la piattaforma dovrebbe indebolire la tecnologia di crittografia utilizzata. Cosa che però metterebbe a rischio tutti gli utenti della piattaforma, non essendo possibile limitate queste misure a individui specifici.

La Corte ha osservato, inoltre, che la protezione dei dati personali “è di fondamentale importanza per il godimento da parte di una persona del proprio diritto al rispetto della vita privata e familiare“, come garantito dall’articolo 8 della Convenzione per la salvaguardia dei diritti dell’uomo e delle libertà fondamentali. Inoltre:

“Gli utenti delle telecomunicazioni e dei servizi Internet devono avere la garanzia che la loro privacy e la libertà di espressione sarà rispettata, anche se tale garanzia non può essere assoluta e deve cedere occasionalmente ad altri imperativi legittimi, come la prevenzione dei disordini o dei crimini o la protezione dei diritti e delle libertà altrui.”

Dando ragione a Telegram, la Corte ha concluso che c’è stata una violazione dell’Articolo 8 della Convenzione [“Diritto al rispetto della vita privata e familiare”] stabilendo che:

“la normativa censurata che prevede la conservazione di tutte le comunicazioni Internet di tutti gli utenti, l’accesso diretto dei servizi di sicurezza ai dati archiviati senza adeguate garanzie contro gli abusi e l’obbligo di decriptare le comunicazioni criptate, come applicato ai terminali comunicazioni crittografate end-to-end, non possono essere considerate necessarie in una società democratica. Nella misura in cui questa normativa consente alle autorità pubbliche di avere accesso, in modo generalizzato e senza garanzie sufficienti, al contenuto delle comunicazioni elettroniche, essa pregiudica l’essenza stessa del diritto al rispetto della vita privata previsto dall’articolo 8 della Convenzione. Lo Stato convenuto ha quindi oltrepassato qualsiasi margine di discrezionalità accettabile a questo riguardo.”

La sentenza completa si può trovare all’indirizzo hudoc.echr.coe.int/eng/#{%22itemid%22:[%22001-230854%22]}. La Convenzione europea dei Diritti dell’Uomo di può trovare all’indirizzo www.echr.coe.int/documents/d/echr/convention_ita

Perché si tratta di una sentenza importante in Europa

Nei mesi scorsi, la Commissione europea ha fatto una proposta di legge, denominata ‘Chat Control 2.0‘ secondo la quale i fornitori di servizi di messaggistica istantanea dovrebbero essere obbligati ad inserire delle backdoor nelle loro piattaforme al fine di poter consentire l’accesso, qualora si rendesse necessario in circostanze da stabilire, ai messaggi scambiati tra utenti. Se questa proposta diventerà legge andrà in contrasto proprio con la sentenza del CEDU riguardo il sopra citato caso che ha coinvolto Telegram in Russia.