Apple fa di nuovo causa a Londra sulla cifratura di iCloud
Foto: Garry Knight / CC BY 2.0
Apple è tornata in tribunale per la richiesta britannica di accedere ai dati cifrati di iCloud: l'azienda ha depositato un nuovo ricorso all'Investigatory Powers Tribunal contro una Technical Capability Notice riscritta. La notizia è stata anticipata dal Financial Times e ripresa il 3 agosto 2026. Al centro c'è una backdoor di cifratura che il governo britannico non ha mai confermato pubblicamente e che ad Apple è vietato per legge descrivere.
La posta in gioco è più ampia del servizio cloud di una singola azienda. È il primo vero test giuridico su una domanda precisa: può uno Stato ordinare a un fornitore di conservare la capacità tecnica di leggere ciò che ha dichiarato di non poter leggere.
Che cosa impone davvero una Technical Capability Notice
Una Technical Capability Notice viene emessa in base all'articolo 253 dell'Investigatory Powers Act 2016. Non chiede un account specifico. Obbliga un'azienda a mantenere la capacità di produrre contenuti leggibili se in seguito arriva un mandato. Per un servizio costruito sulla cifratura end-to-end non è una richiesta di dati, è un'istruzione di progettazione.
Advanced Data Protection, la funzione di Apple, estende la cifratura end-to-end ai backup di iCloud, alle foto, alle note e alla maggior parte delle altre categorie. Le chiavi vengono generate e conservate sui dispositivi dell'utente, quindi Apple non le possiede e non può decifrare i contenuti nemmeno volendo. Mantenere la capacità descritta nella notifica significa perciò cambiare l'architettura: tenere una chiave, una copia o un percorso che qualcuno in Apple possa percorrere su richiesta.
Invece di costruire quel percorso, a febbraio 2025 Apple ha disattivato Advanced Data Protection per gli utenti britannici. Nel Regno Unito l'opzione è sparita, nel resto del mondo è rimasta.
Apple contro il governo britannico: come il caso sulla cifratura è arrivato fin qui
| Data | Evento |
|---|---|
| Febbraio 2025 | Il Washington Post rivela una notifica segreta consegnata ad Apple in base all'Investigatory Powers Act. Secondo quanto riportato, riguarda i dati iCloud in tutto il mondo e non solo quelli degli utenti britannici. |
| Febbraio 2025 | Apple ritira Advanced Data Protection nel Regno Unito invece di costruire un accesso. |
| Marzo 2025 | Apple deposita il primo ricorso all'Investigatory Powers Tribunal. |
| Aprile 2025 | Il tribunale pubblica una decisione che conferma gli elementi essenziali del caso e respinge la tesi del governo secondo cui perfino la sua esistenza doveva restare segreta. |
| Luglio 2025 | Un'ordinanza istruttoria impone alle parti di concordare una serie di fatti presunti per un'udienza di sette giorni. |
| Autunno 2025 | Dopo le obiezioni di Washington la richiesta mondiale viene ritirata e sostituita da una notifica più stretta, limitata agli utenti britannici. |
| Agosto 2026 | Apple presenta un nuovo ricorso, questa volta contro la notifica valida solo nel Regno Unito. |
La seconda notifica è più stretta, non più leggera
Restringere l'ordine agli account britannici ha risolto un problema diplomatico. Alcuni parlamentari statunitensi avevano contestato che un governo straniero arrivasse ai dati di utenti americani, e la Casa Bianca trattava la richiesta come una questione bilaterale e non come un affare interno britannico. Limitare la notifica ai residenti nel Regno Unito ha tolto quell'attrito.
Non ha tolto quello ingegneristico. Una backdoor circoscritta a un paese deve comunque esistere dentro un'unica base di codice globale. Una volta costruito un meccanismo di accesso legale, i confini che lo delimitano sono politica e non fisica, e la politica cambia esattamente quando cambiano i governi.
Perché una decisione britannica verrà letta ben oltre il Regno Unito
L'Investigatory Powers Tribunal è l'unica corte britannica che può esaminare un ricorso del genere e di norma lavora a porte chiuse. Su questo ha già dovuto cedere: dopo i commenti pubblici sul caso da parte di figure di primo piano su entrambe le sponde dell'Atlantico, il tribunale ha riconosciuto che la pubblicità della giustizia pesava più di una segretezza totale e ha accettato di discutere su una serie concordata di fatti presunti invece che su dettagli riservati. Privacy International e Liberty portano avanti un ricorso parallelo contro il regime stesso di queste notifiche.
Qualunque cosa decida il tribunale, funzionerà da modello. Se un governo può imporre a un fornitore di conservare una capacità di decifratura che ha pubblicamente dismesso, allora ogni promessa del tipo "non possiamo accedere a questo" diventa condizionata alla legge del paese a cui il fornitore risponde. La domanda non si ferma ai backup nel cloud. È la stessa che sta sotto ogni dichiarazione no-log del settore della privacy: se un provider non abbia i tuoi dati o semplicemente non li abbia ancora dipende meno dal marketing che dalla giurisdizione capace di imporre una riprogettazione.
Per gli utenti la lettura pratica è più stretta. Advanced Data Protection resta non disponibile nel Regno Unito per tutta la durata del procedimento, quindi i backup iCloud degli account britannici restano in una forma che Apple può decifrare con un mandato. Chi nel frattempo vuole una protezione end-to-end per quei dati deve tenerli fuori da iCloud.
