L'India può davvero vietare gli username sulle app di messaggistica crittografate?

Molto prima che un utente invii un messaggio privato, l'architetto del software seduto a una scrivania a migliaia di chilometri di distanza decide se quel messaggio richieda un numero di telefono per esistere. Questa scelta tecnica è ora un campo di battaglia legale in India. Il Ministero dell'Elettronica e della Tecnologia dell'Informazione ha recentemente emesso avvisi formali a Telegram e Signal. Il governo vuole che queste piattaforme giustifichino le funzionalità che consentono alle persone di comunicare utilizzando username invece di rivelare i propri numeri di telefono. Questa mossa segue un ultimatum di tre giorni consegnato a WhatsApp, che ha costretto l'azienda a sospendere il lancio dei propri username.

L'India sta cambiando la sua strategia per la sorveglianza digitale. In passato, il governo bloccava intere applicazioni o ordinava la rimozione di account specifici. Ora, lo Stato sta vagliando le singole funzionalità dei prodotti su più servizi. L'attenzione è rivolta all'anonimato. Il governo vede la possibilità di nascondere un numero di telefono come una porta d'accesso alle frodi. I sostenitori della privacy la considerano l'ultima linea di difesa per giornalisti e dissidenti.

Il passaggio dal bando delle app alla revisione delle funzionalità

Per anni, il rapporto tra il governo indiano e le aziende tecnologiche globali ha seguito un modello prevedibile. Una piattaforma ospitava contenuti che il governo riteneva discutibili e il Ministero ne ordinava la rimozione. Se la piattaforma si rifiutava, nasceva uno stallo legale. Lo abbiamo visto quando il governo si è scontrato con X per i contenuti relativi alle proteste degli agricoltori. I recenti avvisi a Telegram e Signal rappresentano un approccio più granulare alla regolamentazione.

Il governo non guarda più solo a ciò che dicono le persone. Guarda a come viene costruito il software. Prendendo di mira la funzione username, il Ministero dell'IT sta sfidando il concetto di pseudonimato. Telegram consente gli username da molto tempo, permettendo agli utenti di unirsi a grandi gruppi pubblici senza esporre i propri dati di contatto a estranei. Signal ha introdotto una funzione simile per migliorare la sicurezza degli utenti, consentendo alle persone di condividere un handle mantenendo nascosto al pubblico il proprio identificatore principale: il numero di telefono.

L'indagine del Ministero chiede a queste aziende di dettagliare le loro tutele contro il furto d'identità. Si tratta di un interrogatorio tecnico sulla "privacy by design". Se una piattaforma è costruita per ridurre al minimo i dati che raccoglie, ha meno informazioni da fornire quando lo Stato richiede la verifica dell'identità. La fonte governativa ha citato le truffe di "arresto digitale" e il phishing come ragioni principali di questo giro di vite. In queste truffe, i criminali usano l'anonimato percepito delle app di messaggistica per spacciarsi per forze dell'ordine o funzionari fiscali.

Perché gli username sono importanti per l'igiene digitale

Nel mio lavoro di giornalista, l'igiene digitale è una necessità quotidiana piuttosto che una scelta. Insegno alle fonti a usare Signal perché riduce al minimo la scia di briciole lasciate dietro di sé. Quando una fonte contatta un reporter, spesso lo fa a grande rischio personale. Condividere un numero di telefono è come consegnare una chiave della propria posizione fisica e identità. Un username funge da cuscinetto. È uno strato pseudonimo che protegge la persona dietro lo schermo.

La crittografia end-to-end è una busta sigillata. Garantisce che solo il mittente e il destinatario possano leggerne il contenuto. Tuttavia, il governo non è interessato solo alla lettera all'interno della busta. Vogliono che l'indirizzo del mittente sia un numero di telefono verificato e collegato al governo. Mascherando quel numero con un username, la piattaforma rende l'indirizzo del mittente molto più difficile da rintracciare.

Per Signal, la funzione username è un meccanismo di salvaguardia della privacy. Non memorizza l'username in modo che sia collegato al numero di telefono di un utente sui propri server in chiaro. Per il Ministero dell'IT, questo è un sistema opaco che impedisce l'identificazione del "primo autore" di un messaggio, un requisito previsto dalle Regole sull'Informatica (Linee guida per gli intermediari e codice etico per i media digitali) del 2021.

L'ultimatum di tre giorni per WhatsApp

WhatsApp si trova in una posizione precaria. A differenza di Signal o Telegram, WhatsApp è un importante intermediario di social media con centinaia di milioni di utenti in India. Quando WhatsApp ha annunciato che avrebbe permesso agli utenti di scegliere degli username, il Ministero ha reagito con una direttiva immediata. L'azienda ha avuto tre giorni per giustificare la funzione o affrontare un'azione normativa.

La logica del governo si basa sull'aumento delle truffe di arresto digitale. Si tratta di attacchi sofisticati in cui alle vittime viene detto di essere sotto inchiesta per riciclaggio di denaro o traffico di droga. Gli aggressori usano le app di messaggistica per mantenere una videochiamata continua, ponendo di fatto la vittima sotto un "arresto digitale" finché non trasferisce denaro. Il Ministero sostiene che gli username rendano più facile per questi aggressori operare senza essere rintracciati.

Ciò crea un conflitto tra sicurezza e privacy. Se una piattaforma richiede che ogni utente sia identificabile tramite un numero di telefono, aiuta le forze dell'ordine a rintracciare i criminali. Tuttavia, crea anche una vulnerabilità sistemica per tutti gli altri. Le violazioni dei dati presso le società di telecomunicazioni o gli attori malintenzionati con accesso ai database dei numeri di telefono possono utilizzare tali informazioni per molestare le persone. In questo contesto normativo, il governo sta dando priorità alla capacità dello Stato di sorvegliare rispetto alla capacità dell'individuo di rimanere privato.

La base legale per il controllo a tappeto

La Internet Freedom Foundation (IFF) ha chiesto il ritiro di questi avvisi. Il gruppo sostiene che il governo non abbia una chiara base giuridica per vagliare le singole funzionalità del software in questo modo. Le Regole IT del 2021 richiedono già alle piattaforme di identificare gli autori dei messaggi quando ordinato da un tribunale o da un'autorità competente. Tuttavia, tali regole sono attualmente oggetto di contestazione legale in vari tribunali indiani.

L'IFF afferma che l'avviso a Signal colpisce direttamente la libertà di espressione tutelata. Giornalisti, attivisti e informatori fanno affidamento sulla capacità di comunicare senza essere identificati dallo Stato. Se il governo costringe queste piattaforme a rimuovere le funzioni username, impone di fatto che ogni conversazione digitale debba essere collegata a un documento d'identità fisico tramite una scheda SIM. In India, le schede SIM sono collegate ad Aadhaar, il sistema nazionale di identificazione biometrica.

Ciò crea una catena di identità difficile da spezzare. Se si rimuove lo pseudonimato, si rimuove la capacità di una persona vulnerabile di parlare senza timore immediato di ritorsioni. Il panorama normativo sta diventando un mosaico di requisiti che rendono sempre più difficile l'operatività delle app focalizzate sulla privacy.

Come gli utenti possono proteggere la propria identità

Mentre la battaglia legale continua, gli utenti devono adottare misure per gestire le proprie impronte digitali. La tensione tra il governo e queste piattaforme significa che le funzionalità su cui fai affidamento oggi potrebbero cambiare o scomparire domani.

Se usi queste app per comunicazioni sensibili, controlla subito le tue impostazioni. In Signal, puoi andare su Impostazioni > Privacy > Numero di telefono e impostare "Chi può vedere il mio numero" su "Nessuno". Puoi anche impostare "Chi può trovarmi tramite numero" su "Nessuno". Questo costringe le persone a usare il tuo username per trovarti.

In Telegram, l'username è pubblico per impostazione predefinita se ne imposti uno. Dovresti rivedere le tue impostazioni sulla privacy per assicurarti che il tuo numero di telefono non sia visibile a tutti. Tuttavia, tieni presente che l'architettura di Telegram è diversa da quella di Signal. Telegram memorizza più metadati sui propri server, il che lo rende più vulnerabile alle richieste legali di dati.

La strada da percorrere per la privacy in India

L'attenzione del Ministero dell'IT sugli username non è un evento isolato. Fa parte di una tendenza più ampia verso la tracciabilità totale. Il governo vuole eliminare gli angoli bui di Internet dove non può vedere chi parla con chi. Sebbene l'obiettivo dichiarato sia prevenire le frodi, il metodo prevede lo smantellamento delle protezioni della privacy per tutti i cittadini.

Anche il Digital Personal Data Protection (DPDP) Act del 2023 sta iniziando a produrre i suoi effetti. Sebbene la legge si concentri su come le aziende gestiscono i dati, include disposizioni che consentono al governo di esentare le proprie agenzie da molti requisiti di privacy. Ciò crea uno specchio unidirezionale in cui lo Stato può vedere il cittadino, ma il cittadino non può vedere lo Stato.

In definitiva, la lotta sugli username è una lotta per il diritto a essere pseudonimi. Se il governo riuscirà a costringere Telegram, Signal e WhatsApp a collegare ogni interazione a un numero di telefono, la busta sigillata della crittografia rimarrà, ma la privacy del mittente svanirà. La busta è ancora chiusa, ma i nomi del mittente e del destinatario sono scritti con inchiostro indelebile all'esterno.

Prenditi il tempo per rivedere i permessi delle tue app e le impostazioni sulla privacy. Se è disponibile una funzione che protegge la tua identità, usala. Se una piattaforma è costretta a rimuovere tale funzione, valuta se quella piattaforma soddisfa ancora le tue esigenze di sicurezza. La reputazione personale e la sicurezza dipendono da queste piccole scelte tecniche. Il Ministero dell'Elettronica e della Tecnologia dell'Informazione ha emesso gli avvisi giovedì. Le piattaforme non hanno ancora fornito una risposta pubblica.

Fonti

• Information Technology (Intermediary Guidelines and Digital Media Ethics Code) Rules, 2021.
• Digital Personal Data Protection Act, 2023 (India).
• Corte Suprema dell'India: Justice K.S. Puttaswamy (Retd.) vs Union Of India (sentenza sul diritto alla privacy).
• Dichiarazioni ufficiali della Internet Freedom Foundation (IFF) riguardanti le notifiche alle app di messaggistica.

Dichiarazione di non responsabilità: questo articolo è solo a scopo informativo e giornalistico. Non costituisce una consulenza legale formale. Le leggi e i regolamenti sulla privacy sono soggetti a modifiche e variano a seconda della giurisdizione.