La Svizzera ha costruito la sua reputazione come rifugio della privacy - il paese scelto proprio dai fornitori di email criptata e VPN perche la sua legge non li obbligava a registrare o identificare gli utenti. Una proposta di riforma della sorveglianza minaccia ora esattamente questo, e ha gia spinto il nome piu importante della privacy svizzera, Proton, a iniziare a spostare la propria infrastruttura all'estero. Il fondatore dell'azienda si e spinto fino a dire che l'unica legge paragonabile in Europa appartiene alla Russia.
Cosa imporrebbe la riforma proposta
Il punto in discussione e una revisione della VÜPF, l'ordinanza svizzera sulla sorveglianza del traffico postale e delle telecomunicazioni. In modo determinante, il governo la sta portando avanti come modifica a un'ordinanza - un cambiamento che il Consiglio federale e il dipartimento di giustizia possono introdurre senza un vero e proprio atto del parlamento. Secondo la bozza, qualsiasi servizio email, di messaggistica o VPN con appena 5.000 utenti dovrebbe:
- Verificare l'identita: raccogliere un documento d'identita rilasciato dallo Stato al momento della registrazione, rendendo di fatto impossibili gli account anonimi.
- Conservare i metadati: mantenere indirizzi IP, nomi, numeri di telefono e i relativi dati di connessione per sei mesi.
- Consegnare dati leggibili: essere tecnicamente in grado di fornire alle autorita i dati di un utente in chiaro su richiesta - nella pratica, rimuovendo la crittografia a livello di trasporto - anche se i messaggi genuinamente end-to-end scambiati tra utenti sono esentati.
I critici sottolineano che le autorita potrebbero accedere a gran parte di questi dati conservati tramite una semplice richiesta anziche un ordine del tribunale. La consultazione pubblica si e gia chiusa con una forte opposizione da parte di aziende della privacy, gruppi della societa civile e partiti politici, e a oggi il Consiglio federale non ha ancora finalizzato il testo - quindi si tratta di una proposta ancora aperta, non ancora legge.
Perche Proton si sta ritirando adesso
Proton, che gestisce Proton Mail e Proton VPN, non sta aspettando di scoprirlo. Ha iniziato a trasferire l'infrastruttura IT fuori dalla Svizzera, collocando i server per i suoi prodotti piu recenti in Germania e costruendo una presenza in Norvegia, sostenuta da un investimento pianificato di oltre 100 milioni di euro nella UE. Il fondatore Andy Yen ha inquadrato la posta in gioco senza mezzi termini: "L'unico paese in Europa con una legge grosso modo equivalente e la Russia", aggiungendo che l'azienda non avrebbe "altra scelta che andarsene" se la modifica venisse approvata. Altre realta svizzere della privacy, incluso il progetto di privacy di rete Nym, si sono unite all'opposizione.
Perche questo conta per gli utenti VPN
L'intero appeal di una VPN con sede in Svizzera era il terreno giuridico su cui poggiava: una giurisdizione che non imponeva la registrazione dei log significava che una promessa no-log aveva un valore reale. Una norma che richiede controlli d'identita e sei mesi di metadati conservati ribalta tutto questo - trasforma un fornitore di privacy in un punto di conservazione dei dati. Questa e la scomoda verita dietro ogni dichiarazione no-log: e forte solo quanto lo e la legge del paese a cui il fornitore risponde.
Ed e anche uno schema ricorrente, non un caso isolato. Abbiamo visto la prima fase di questa storia quando Proton ha annunciato per la prima volta che stava spostando i server fuori dalla Svizzera, e uno scontro simile e emerso intorno al Bill C-26 del Canada e ai servizi criptati che valutano un'uscita a causa sua. Il paragone di Yen con la Russia e mirato proprio perche la decrittazione forzata e i controlli d'identita obbligatori sono il tratto distintivo delle leggi backdoor che abbiamo seguito in Russia, Regno Unito, Canada e Australia - e la Svizzera avrebbe dovuto essere il controesempio.
Per chiunque stia scegliendo una VPN, la lezione non e "evitare la Svizzera" - e guardare oltre il marketing alla legge. Il luogo in cui un fornitore e legalmente raggiungibile determina cosa puo essere costretto a raccogliere e rivelare su di te, per quanto forte sia il suo branding sulla privacy. Quella questione della giurisdizione e diventata silenziosamente una delle cose piu importanti da verificare prima di affidare il proprio traffico a qualsiasi fornitore.
