GrapheneOS cancella i dati dello smartphone con un PIN: quando è reato

Quanto controllo conserviamo davvero sui dati custoditi nello smartphone quando qualcuno ci obbliga a sbloccarlo? GrapheneOS affronta proprio questo scenario con il duress PIN, una credenziale di emergenza progettata per reagire a una situazione di coercizione. Al posto del normale codice di accesso, il proprietario può inserire o far introdurre a terzi un PIN alternativo che avvia la cancellazione irreversibile dei dati presenti sul dispositivo (wiping) nonché la rimozione delle eSIM installate. Dal punto di vista tecnico, il sistema non distingue tra la minaccia esercitata da un criminale e la pressione di un’autorità: riconosce il codice e procede con il wiping dello smartphone.

È sul piano giuridico che la situazione cambia radicalmente. Proteggere i propri dati da un aggressore non equivale alla loro eliminazione mentre un pubblico ufficiale sta eseguendo una perquisizione, ha disposto il sequestro del telefono o ne pretende lo sblocco nell’ambito di un’indagine. Duress PIN e GrapheneOS sono strumenti leciti; il loro impiego concreto può però essere interpretato come distruzione di prove, occultamento di informazioni o intralcio all’attività investigativa.

GrapheneOS è legale: è l’uso del duress PIN che può diventare un reato

Una soluzione come GrapheneOS non è un sistema operativo clandestino né uno strumento progettato per agevolare attività criminali. È un progetto open source senza scopo di lucro, derivato dall’Android Open Source Project (AOSP) e compatibile con le normali app Android, che rafforza il sistema attraverso un isolamento più rigoroso delle app, mitigazioni contro gli exploit, controlli aggiuntivi sui permessi e una gestione meno invasiva rispetto a tante configurazioni molto diffuse. L’obiettivo dichiarato consiste nel rendere lo smartphone più resistente alla sorveglianza, agli attacchi informatici e all’acquisizione non autorizzata dei dati.

Nella guida a GrapheneOS abbiamo spiegato, tecnicamente, come il sistema operativo sia in grado di proteggere i dati degli utenti presentandosi come vero e proprio baluardo a difesa di privacy e sicurezza.

Usare GrapheneOS, Signal, VPN e cifratura dei dati non può e non deve ingenerare sospetti

Proprio l’efficacia delle misure di difesa integrate in GrapheneOS, ha però procurato alla piattaforma derivata da Android una reputazione controversa presso alcune autorità e una parte della stampa europea. In Francia il progetto è stato associato alla telefonia utilizzata dai narcotrafficanti, mentre in Catalogna sono emerse accuse di controlli e profilazioni rivolti ai possessori di smartphone Google Pixel, considerati potenziali utenti di GrapheneOS e quindi, secondo tale discutibile equazione, possibili appartenenti ad ambienti criminali.

In realtà, usare un sistema più sicuro non dimostra l’intenzione di nascondere attività poco cristalline, così come scegliere Signal, una VPN o la cifratura completa delle unità disco non costituisce di per sé un indizio di colpevolezza. La cifratura, anzi, rappresenta una delle misure tecniche più efficaci per ridurre il rischio di accesso non autorizzato ai dati personali in caso di furto, smarrimento o sequestro illecito del dispositivo. Il GDPR non impone la cifratura in modo automatico in ogni situazione, ma la indica espressamente tra le misure di sicurezza da valutare in base al rischio, alla natura dei dati trattati e alle caratteristiche del trattamento.

Cosa comporta l’introduzione di una password per il wiping del telefono

Installare GrapheneOS, configurare una credenziale di emergenza (duress PIN) e cancellare preventivamente i propri dati sono comportamenti normalmente leciti. Un utente può decidere di viaggiare con un telefono privo di informazioni riservate, eliminare vecchi documenti, separare le proprie attività mediante profili distinti oppure predisporre una protezione contro rapine, rapimenti, estorsioni e altre forme di coercizione. Nessuna di queste scelte trasforma automaticamente lo smartphone in uno strumento illegale.

Il quadro cambia quando il wiping è attivato dopo che un pubblico ufficiale ha annunciato una perquisizione o il sequestro del dispositivo. In tale situazione, l’autorità può sostenere che la cancellazione non servisse più soltanto a proteggere la riservatezza dell’utente, ma a impedire deliberatamente l’acquisizione di possibili prove.

Negli USA il problema è emerso con il caso Samuel Tunick: l’accusa afferma che l’uomo abbia fornito agli agenti un codice capace di cancellare il telefono dopo essere stato informato che il dispositivo sarebbe stato trattenuto. La difesa contesta invece la legittimità dell’intero controllo e sostiene che una verifica di frontiera sia stata usata come pretesto per un’indagine politica.

Non è quindi GrapheneOS a “diventare illegale”, e neppure il duress PIN costituisce di per sé un reato. Il possibile illecito nasce dall’uso concreto della funzione, dal momento in cui è attivata, dall’intenzione attribuita all’utente e dalla legittimità dell’ordine impartito dall’autorità.

Oltreoceano tali elementi possono alimentare un’accusa per distruzione di beni allo scopo di impedirne il sequestro; in Europa la risposta varia in base alla legislazione nazionale. Il principio di fondo resta però simile: il diritto a rifiutare una collaborazione attiva o a non rivelare una password non coincide necessariamente con il diritto a distruggere dati che gli investigatori stanno legittimamente cercando di preservare.

Bloccato alla frontiera, dispone la cancellazione dei dati con GrapheneOS: il caso Tunick è arrivato davanti al giudice

Come accennato nel paragrafo precedente, il “caso Tunick” è una vicenda destinata a “fare scuola”.

Tunick fu fermato il 24 gennaio 2025 all’aeroporto Hartsfield-Jackson di Atlanta, mentre rientrava dalla Repubblica Dominicana. Poco prima del suo arrivo, un agente aveva diffuso internamente nome e fotografia, collegandolo a una verifica per presunte attività terroristiche riconducibili al movimento contrario al centro di addestramento della polizia di Atlanta noto come “Cop City“. Durante il controllo, tuttavia, gli agenti lo interrogarono formalmente su ulteriori reati collegati alla presenza di materiale illecito sul suo telefono.

Secondo la difesa, Tunick chiese quattro volte di parlare con un avvocato, senza ottenerlo; non ricevette gli avvertimenti prescritti dalla normativa e gli agenti non presentarono un mandato. Dopo ripetute richieste di sbloccare lo smartphone, gli fu detto che il dispositivo sarebbe stato sequestrato. Quando Tunick comunicò un codice, lo schermo divenne nero, lampeggiò e il telefono sembrò riavviarsi: l’accusa sostiene che si trattasse appunto del duress PIN di GrapheneOS e che abbia così provocato la cancellazione dei dati.

L’udienza sulla richiesta della difesa di escludere le prove si è svolta il 20 luglio 2026. Il giudice dovrà stabilire, tra l’altro, se il controllo alla frontiera fosse una normale ispezione doganale oppure un interrogatorio investigativo mascherato, legato all’attività politica di Tunick. Una decisione non è attesa prima della fine di ottobre 2026.

Con riferimento al contenuto dell’infografica, basti ad esempio pensare che in Belgio la Corte di cassazione ha ammesso che un giudice istruttore possa ordinare la comunicazione del codice, purché sia dimostrato che la persona lo conosce e che il dispositivo è collegato all’indagine. Nei Paesi Bassi è stata ammessa in alcune circostanze la coercizione fisica per utilizzare un’impronta digitale, distinguendo il corpo della persona da una dichiarazione proveniente dalla sua mente. In Germania, nel 2025, il Bundesgerichtshof ha ritenuto legittimo guidare forzatamente il dito di un indagato verso il sensore biometrico, considerando l’impronta una “chiave naturale” e non una collaborazione attiva.

La norma statunitense non punisce GrapheneOS: punisce lo scopo della cancellazione

La legge statunitense prevede fino a 5 anni di reclusione chi distrugge, danneggia, trasferisce o compie altre azioni su un bene, prima, durante o dopo una ricerca o un sequestro, allo scopo di impedire o limitare la legittima autorità del Governo di prenderlo in custodia.

Gli elementi decisivi sono quindi almeno tre:

1. la consapevolezza dell’azione;
2. lo scopo di impedire o compromettere il sequestro;
3. la legittimità dell’autorità esercitata.

La semplice presenza di GrapheneOS non basta; neppure la precedente configurazione di una password di emergenza prova automaticamente un’intenzione criminale: la funzione può proteggere dati aziendali, fonti giornalistiche, informazioni sanitarie, credenziali finanziarie o persone esposte a furti, abusi e coercizione.

La posizione dell’accusa sembra fondarsi sulla sequenza temporale: gli agenti chiedono il telefono, annunciano che intendono trattenerlo e il proprietario inserisce un codice che provoca la cancellazione. In questa ricostruzione, il problema non è il diritto astratto a eliminare i propri file, ma l’uso della funzione per sottrarre alla custodia pubblica il contenuto che l’autorità stava cercando di preservare.

Il confine statunitense resta una zona a tutela ridotta: come raccontavamo in un altro articolo, le autorità possono chiedere password e sblocco di smartphone e PC. Per un cittadino statunitense, rifiutare lo sblocco può comportare trattenimento e sequestro temporaneo del dispositivo, ma non normalmente il respingimento dal proprio Paese.

Per uno straniero o per chi entra con un visto, il rifiuto può avere conseguenze ben più pesanti sul piano dell’ammissione. Ancora diverso è cancellare il telefono mentre la ricerca o il sequestro sono in corso: proprio quel passaggio può alimentare un’accusa ulteriore e più grave.

L’autorità italiana può obbligare a comunicare il PIN del telefono?

Appreso quanto accaduto negli USA, sorge spontaneo chiedersi cosa può succedere qui da noi.

L’Italia non dispone di una norma generale equivalente alle disposizioni vigenti in altri Paesi, anche europei, che punisca in determinati casi il rifiuto di consegnare una chiave di decifratura.

L’indagato gode del diritto al silenzio e del principio secondo cui nessuno può essere costretto a contribuire alla propria incriminazione. A livello europeo, la direttiva 2016/343 riconosce espressamente il diritto di tacere e di non autoincriminarsi sulle questioni relative al reato contestato. Precisa, però, che tali garanzie non impediscono alle autorità di raccogliere prove ottenibili legittimamente mediante poteri coercitivi e che esistono indipendentemente dalla volontà dell’indagato.

La Corte di giustizia dell’Unione europea (causa C-548/21) ha inoltre stabilito che anche il semplice tentativo della polizia di sbloccare un telefono e accedere ai dati costituisce un trattamento di dati personali. L’accesso deve rispettare il principio di proporzionalità e, salvo casi urgenti adeguatamente giustificati, essere sottoposto a un controllo preventivo da parte di un giudice o di un’autorità indipendente.

I giudici non hanno affatto affermato che l’utente possa impedire tecnicamente l’accesso o distruggere i dati. Hanno imposto limiti all’autorità: base legale, necessità, proporzionalità, controllo preventivo e informazione dell’interessato.

La cancellazione volontaria dei dati è un’azione che può assumere rilievo penale quando mira a sottrarre o alterare elementi già ricercati legittimamente dall’autorità.

Come funziona il duress PIN di GrapheneOS

GrapheneOS permette di configurare sia un duress PIN che una duress password. Quando uno dei due codici viene inserito in un campo nel quale il sistema richiede le credenziali del dispositivo, il telefono avvia una cancellazione irreversibile dei dati dell’utente e delle eSIM installate. Il wipe non richiede un riavvio e non può essere interrotto: la funzione si configura nel profilo dell’utente attraverso le impostazioni di sicurezza e sblocco.

Il duress PIN deve essere digitato nelle schermate che richiedono un codice numerico; la duress password nei campi che accettano una password. In entrambi i casi GrapheneOS avvia la cancellazione dell’intero smartphone.

La funzione non crea una seconda identità, non nasconde selettivamente alcune applicazioni e non mostra dati “fasulli”: distrugge le chiavi e i dati del dispositivo.

Sui moderni smartphone Android, che cifrano i dati contenuti in memoria per impostazione predefinita, il ripristino allo stato di fabbrica (factory reset) non deve necessariamente sovrascrivere fisicamente ogni cella di memoria. Rendendo indisponibili le chiavi crittografiche e cancellando i metadati necessari, i dati residui diventano di fatto inutilizzabili.

Perché il wiping può rendere i dati irrecuperabili in pochi istanti

Il duress wipe non deve necessariamente sovrascrivere, una dopo l’altra, tutte le celle della memoria flash. Un’operazione del genere richiederebbe tempo e sarebbe poco adatta a una funzione progettata per intervenire durante una situazione di pericolo.

Android utilizza da tempo la File-Based Encryption, ossia una cifratura basata su file che protegge i dati mediante chiavi crittografiche differenti. Una parte delle informazioni rimane disponibile già durante l’avvio del dispositivo; i dati più “delicati” diventano accessibili soltanto dopo l’inserimento del PIN, della password o di un’altra credenziale valida.

La credenziale di blocco non cifra direttamente ogni fotografia, messaggio o documento: partecipa invece alla protezione dei segreti crittografici necessari per rendere utilizzabili le chiavi che aprono le aree cifrate. Se tali segreti sono eliminati in modo sicuro, i dati eventualmente ancora presenti nelle celle di memoria restano sotto forma cifrata e non risultano più decifrabili attraverso il normale percorso di autenticazione.

Duress wipe e ripristino di fabbrica non sono esattamente la stessa cosa

Dal punto di vista dell’utente, il risultato appare simile: il telefono non contiene più account, applicazioni e dati personali. La funzione anti-coercizione ha però finalità e modalità differenti rispetto al ripristino eseguito dal menu delle impostazioni.

Il factory reset è una procedura esplicita, accompagnata da richieste di conferma e normalmente utilizzata prima di cedere il dispositivo, risolvere un malfunzionamento o ripartire da una configurazione pulita. Il duress wipe deve invece apparire come il normale inserimento di una credenziale: chi esercita la coercizione può digitare personalmente il codice comunicato dalla “vittima” senza ricevere un avviso preventivo che permetta di interrompere l’operazione.

La funzione può essere attivata dalla schermata di blocco e dagli altri prompt del sistema operativo che richiedono le credenziali del dispositivo. Non va invece confusa con il PIN della SIM, con il codice di un’applicazione o con la password di un account online.

GrapheneOS protegge i dati, ma non decide quando sia lecito cancellarli

Il duress PIN mostra in maniera netta quanto sicurezza informatica e diritto possano seguire logiche differenti. Per GrapheneOS esiste un problema tecnico: impedire che chi ottiene con la forza una credenziale possa accedere alle informazioni dell’utente. La risposta del sistema è immediata e non giudica chi stia esercitando la coercizione.

La legge deve invece considerare chi richiede lo sblocco, con quali poteri, per quale finalità e in quale momento avvenga la cancellazione. Il medesimo codice può proteggere una vittima durante una rapina oppure distruggere dati che un’autorità sta legittimamente cercando di acquisire. La tecnologia e il suo possesso restano leciti; le conseguenze dipendono dalla condotta concreta.

Per un utente italiano, la conclusione più corretta non è quindi che la polizia possa sempre imporre la consegna del PIN, né che il diritto al silenzio autorizzi il wiping. L’autorità deve rispettare base legale, proporzionalità e controllo giurisdizionale; il cittadino può far valere le proprie garanzie e contestare gli atti illegittimi. Attivare volontariamente la cancellazione quando una perquisizione o un sequestro sono già in corso apre invece un terreno giuridico incerto e potenzialmente molto rischioso.

GrapheneOS non trasforma la privacy in un reato e il duress PIN non rappresenta una prova di intenzioni criminali. Offre però un potere tecnico definitivo: proprio per questo va configurato comprendendone sia il funzionamento sia le possibili conseguenze, senza confondere la capacità di cancellare i dati con un diritto assoluto a farlo in qualunque circostanza.