SignalTrace: Europa voer die toesig uit wat hy homself nie toelaat nie

Tue, 01 Sep 2026 00:00:00 +0000

’n Grys sedan ry teen 110 km/h onder ’n snelwegportaal deur. Die kamera op die paal lees die nommerplaat, merk die tyd, stoor dit. Niks nuuts nie: hierdie toestel bestaan al twintig jaar en is in tienduisende eksemplare opgestel, in Noord-Amerika sowel as in Europa.

Maar as daardie portaal die module ontvang het wat die Italiaanse groep Leonardo sedert Junie 2026 bemark, het dit pas iets anders ook opgeteken. Die bestuurder se iPhone. Die passasier se draadlose oorstukkies. Die slimhorlosie op die paneelbord. Die motorradio. Die gekoppelde sleutelhouer in die paneelkissie. Die drukmeters van al vier bande. Die toegangskaart wat in ’n baadjie bly lê het. En as ’n hond agter slaap, sy identifikasiechip ook.

’n Stuk of tien identifiseerders, een nommerplaat, een posisie, een tyd. Herhaal dit by elke portaal in die netwerk en jy volg nie meer ’n motor nie: jy volg mense, en jy weet saam met wie hulle beweeg.

Wat die toestel werklik doen

Die produk heet SignalTrace. Dit word deur Leonardo US Cyber and Security Solutions verkoop en vul die ELSAG-reeks aan, een van die mees verspreide reekse outomatiese nommerplaatlesers op die Amerikaanse mark. Die bestaan daarvan is op 8 Junie 2026 deur Joseph Cox in 404 Media onthul, op grond van ’n produkblad van die vervaardiger.

Die deurslaggewende punt pas in een sin: dit gaan nie oor nuwe kameras nie. SignalTrace is ’n radiosensor wat by reeds geïnstalleerde nommerplaatlesers gevoeg word. Die paal verander nie, die plek verander nie, die silhoeët van die toerusting langs die pad verander nie. Wat verander, is waarna die toerusting luister.

Die sensor teken die identifiseerders aan wat in die oop deur die Bluetooth-, Wi-Fi- en RFID-protokolle van die toestelle in die voertuig uitgesaai word. ’n Tegniese punt wat dikwels verkeerd verstaan word: geen toestel word gekap nie en geen kwesbaarheid word uitgebuit nie. ’n Bluetooth- of Wi-Fi-toestel stuur voortdurend ontdekkingsrame uit, omdat dié protokolle so ontwerp is. Jou oorstukkies kondig hul teenwoordigheid aan sodat jou foon hulle kan vind, en die foon self ondervra die omringende lug op soek na die netwerke wat hy ken. Hierdie uitsendings is per konstruksie openbaar, en enige ontvanger binne bereik hoor hulle.

Leonardo self meld dat die stelsel met of sonder ’n nommerplaatleser werk, ook binnenshuis, en ’n voertuig herken waarvan die plaat toegeplak of verwyder is.

Die opgradering van bestaande toerusting is die werklike politieke kwessie. Om ’n nuwe kameranetwerk te installeer, ontketen ’n stemming, ’n beraadslaging, soms ’n hofsaak. Om ’n elektroniese kaart by ’n reeds goedgekeurde omhulsel te voeg, ontketen niks nie. Die toesigvermoë verander van aard sonder openbare debat, want daar is materieel niks nuuts om te sien nie.

Van die voertuig na die persoon, en van die persoon na die groep

’n Nommerplaatleser antwoord een vraag: waar was hierdie voertuig. SignalTrace voeg twee by: wie was daarin, en saam met wie.

Leonardo steek dit nie weg nie, dit is die verkoopsargument. Die stelsel vorm wat die dokumentasie ’n elektroniese vingerafdruk noem, ’n stel identifiseerders wat “gereeld saam uitgesaai word”. Die vervaardiger se voorbeeld is duidelik: in ’n hele stad sal net een voertuig ’n iPhone 13rev2, ’n Audi-motorradio, ’n Bose-kopstuk, ’n Garmin-horlosie, ’n sleutelspoorder en die plaat ABC-1234 verbind.

Die produk volg nie net voertuie nie. Dit produseer outomaties ’n grafiek van verhoudinge tussen mense, sonder dat enigiemand die geringste verdenking hoefde uit te spreek.

Hier vind die kwalitatiewe sprong plaas. Deur die toestelle te korreleer wat gereeld saam reis, bou die stelsel meganies ’n sosiale grafiek. Twee fone wat elke oggend in dieselfde motor beland, is saamry, of ’n verhouding wat nie een van die twee openbaar wil maak nie. Vyftig toestelle wat op dieselfde plek op dieselfde tyd opgevang word, is ’n byeenkoms: ’n betoging, ’n erediens, ’n vakbondvergadering of ’n ry voor ’n kliniek.

Geen van hierdie gevolgtrekkings vereis toegang tot die inhoud van ’n kommunikasie nie. Dit word uit ’n nabyheidstabel afgelei, by verstek, oor die hele rondbewegende bevolking en nie oor aangewese teikens nie. Dit is skuld deur assosiasie, nywerheidsgewys geproduseer, voor enige ondersoek. Tom Bowman, regsman by die Center for Democracy & Technology , som die probleem in TechNewsWorld op: wat die instrument nuttig maak om ’n werklike verdagte te volg, maak dit net so in staat om al die ander motoriste te volg, van wie nie een ingestem het dat sy toestelle aangeteken word nie.

Leonardo stel twee argumente daarteenoor: die stelsel ontsyfer of lees nie die inhoud van kommunikasie nie, en dit identifiseer nie self persone nie. Albei stellings is korrek, en albei mis die punt. Die inligting wat gesoek word, was nooit die inhoud nie, dit lê in die liggingsmetadata, wat meer verklap as ’n boodskap. Wat identifikasie betref, erken die vervaardiger self dat ’n ondersoeker ’n elektroniese handtekening aan ’n plaat kan koppel en dan via die registrasieregisters by die eienaar kan uitkom.

’n Amerikaanse reg wat vir iets anders geskryf is

In die Verenigde State bestaan daar staatswette wat nommerplaatlesers reguleer, en sommige is veeleisend oor bewaartermyne en toegangsdoeleindes. Maar almal is rondom een presiese voorwerp opgestel: die beeld van ’n nommerplaat. Nie een antisipeer die opvang van identifiseerders van persoonlike toestelle deur dieselfde toerusting nie.

Hierdie gaping skep nie onwettigheid nie maar ’n grys gebied, wat vir die verkoper geriefliker is. ’n Polisiediens kan sonder om te lieg volhou dat sy nommerplaatleserprogram gemagtig en voldoenend is, terwyl dit voortaan onder dieselfde bestel data van ’n heeltemal ander aard versamel. Leonardo beskik boonop oor federale kontrakte, by die Special Operations Command en die General Services Administration, dus ’n aankoopweg wat plaaslike goedkeurings grootliks omseil.

Die grondwetlike debat het pas verskuif, en hier moet ’n mens presies wees omdat die regstoestand hierdie somer verander het. In Januarie 2026 het ’n federale hof in Virginia in die saak Schmidt v. City of Norfolk beslis dat die stad se Flock-kameranetwerk nie ’n deursoeking uitmaak nie in die sin van die vierde amendement, omdat dit nie die volle bewegings van die inwoners dek nie. Die beslissing is op appèl voor die Vierde Kring, waar die ACLU tussenbeide getree het.

Daarna, op 29 Junie 2026, het die Hooggeregshof Chatrie v. United States gelewer. Met vyf stemme teen vier, uit die pen van regter Kagan, het dit beslis dat die polisie se verkryging van ’n foon se liggingsdata ’n deursoeking uitmaak, aangesien ’n individu ’n redelike privaatheidsverwagting oor daardie data behou, selfs wanneer ’n derde party dit hou en oor ’n kort tydperk. Die uitspraak verleng Carpenter v. United States van 2018 en verswak die derdepartyleerstuk, soos die CDT opgemerk het.

Die presiese draagwydte van Chatrie op SignalTrace is nie beslis nie, en dit sou onverstandig wees om die teendeel te beweer: die uitspraak handel oor data wat by Google geëis is, nie oor ’n regstreekse opvang deur ’n polisiesensor in die openbare ruimte nie. Maar dit vestig die redenasie wat saak maak, naamlik dat die sensitiwiteit van liggingsdata nie afhang van wie dit hou nie.

Die Europese vraag, wat die werklike vraag is

Hier word die saak ongemaklik vir Europa. Leonardo is nie ’n Amerikaanse verskaffer nie, maar ’n Italiaanse groep wat in Milaan genoteer is en waarvan die grootste aandeelhouer die Italiaanse Ministerie van Ekonomie en Finansies is, met ongeveer 30 % van die kapitaal en die bevoegdheid om die meerderheid van die direksie aan te wys. Die Italiaanse staat is nie ’n passiewe aandeelhouer in hierdie produk nie.

Eers die tegniese punt

In die Europese reg is ’n toestelidentifiseerder persoonlike data. Dit is nie ’n leerstellige mening nie maar die bestendige standpunt van die owerhede. Die CNIL behandel die MAC-adres uitdruklik so in sy leerstuk oor stelsels vir die meting van besoekersvloei , en laat die insameling daarvan in die openbare ruimte slegs onder eng voorwaardes toe: anonimisering binne ’n paar minute met ’n hoë botsingsyfer tussen individue, of betroubare pseudonimisering gevolg deur vernietiging binne vier-en-twintig uur, by gebreke waarvan toestemming verpligtend word. Dieselfde leerstuk stel dit dat om mense te vra om hul Wi-Fi af te skakel nie ’n aanvaarbare wyse van beswaar is nie.

Die Hof van Justisie van die Europese Unie het op 4 September 2025, in die saak EDPS teen SRB (C-413/23 P), gepreseer dat die persoonlike aard van gepseudonimiseerde data beoordeel word in die lig van die middele van heridentifikasie wat redelikerwys aangewend kan word. Hier is die houer egter ’n polisie-owerheid, wat oor die voertuigregisters beskik. Die middele van heridentifikasie is nie hipoteties nie, hulle is in die kantoor langsaan.

Die nuanse wat alles verander

Dit sou verkeerd wees om te skryf dat SignalTrace “in Europa onwettig sou wees”, en ’n regsgeleerde leser sou dit dadelik raaksien. ’n Verwerking wat deur ’n bevoegde owerheid vir doeleindes van misdaadvoorkoming en -vervolging uitgevoer word, val nie onder die AVG nie. Dit val onder riglyn (EU) 2016/680 , die sogenaamde polisie-en-justisie-riglyn, wat elke lidstaat afsonderlik omskep, in Frankryk in titel III van die wet op inligting en vryhede. Die CNIL herinner daaraan dat hierdie bestel outonoom is, met sy eie gronde vir regmatigheid en sy eie regte.

Die regte vraag is dus nie dié van abstrakte wettigheid nie, maar dié van voorwaardes. Onder hierdie bestel sou so ’n toestel ’n uitdruklike nasionale regsgrondslag, bepaalde doeleindes, ’n bewese noodsaaklikheid, ’n begrensde bewaartermyn, ’n impakbeoordeling en onafhanklike toesig veronderstel. In Frankryk word nommerplaatlesers so gereguleer: artikels L233-1 en L233-1-1 van die kode van binnelandse veiligheid stel ’n beperkende lys misdrywe vas wat die reg op hul gebruik open, en die bewaring bly onder die kortstes in die Unie, in beginsel vyftien dae, selfs al probeer ’n Senaatswetsontwerp dit verleng.

Dit is die wesenlike verskil met die Amerikaanse situasie. In die Verenigde State reguleer die wet ’n voorwerp, die plaat, en die stilte oor toestelidentifiseerders geld as toestemming. In Europa reguleer die wet doeleindes en datakategorieë, en daardie stilte geld eerder as verbod, by gebrek aan ’n uitdruklike regsgrondslag. Die leemte wat oorkant die Atlantiese Oseaan waargeneem word, bestaan hier nie in dieselfde vorm nie. Nie dat Europa deugsamer is nie: sy regstegniek is omgekeerd.

Wat die beskerming dan werd is

Die vraag waaroor hierdie artikel gaan, bly oor. Wat is ’n Europese regulatoriese beskerming werd wanneer ’n Europese onderneming, beheer deur ’n lidstaat, buite Europa ’n vermoë verkoop wat dit tuis nie sonder ’n nuwe wet sou kon ontplooi nie?

Die besware verdien om ernstig opgeneem te word. ’n Vervaardiger is nie verantwoordelik vir sy kliënt se regsraamwerk nie: dit is vir die Amerikaanse owerhede om te besluit wat hulle by hulself toelaat. Die produk word nie aan ’n diktatuur verkoop nie maar aan ’n regstaat met ’n bedrywige hooggeregshof, soos Chatrie pas herinner het. En die argument van industriële soewereiniteit is geldig: as die Europese groepe hulself hierdie markte ontsê, sal Israeliese, Amerikaanse of Chinese verskaffers dit neem, sonder dat toesig ’n enkele meter terugtree, en Europa sal daarby sy tegnologiese basis verloor.

Hierdie argumente is aanvaarbaar. Hulle antwoord nie op die probleem nie.

Eerstens omdat die Unie reeds erken het dat die uitvoer van toesigmiddele nie handel soos enige ander is nie. Verordening (EU) 2021/821 oor tweeledigegebruiksgoedere het in artikel 5 ’n vangnetklousule ingevoer wat op kubertoesiggoedere gemik is, omdat die wetgewer erken het dat ’n instrument wat wettig is om te vervaardig by sy bestemming onregmatig kan wees. Sy beperking is leersaam: dit tree in werking by ’n risiko van interne onderdrukking of ernstige menseregteskendings, kategorieë wat vir outoritêre regimes bedink is. ’n Verkoop aan ’n Amerikaanse munisipale polisie val nie daarin nie. Die Europese raamwerk ondersoek die kliënt se moraliteit, nooit die aard van die vermoë wat verkoop word nie.

Tweedens omdat so ’n produk nie ’n voorraad is wat afgelaai word nie, maar ’n vermoë wat onderhou word: dit finansier navorsing, lei ingenieurs op, versamel kundigheid en skep ’n geïnstalleerde basis. Die dag wanneer ’n ernstige aanslag ’n lidstaat dwing om hierdie vermoë te eis, sal die debat nie meer oor die wenslikheid gaan om dit te bou nie. Dit sal bestaan, dit sal Europees wees, dit sal volwasse wees, en sy verskaffer sal deels openbaar wees. Die argument “ons volg net die mark” word dan sirkelredenasie, aangesien die tuismark deur die uitvoer voorberei sal wees.

Dít is wat ’n regulatoriese beskerming in hierdie scenario werd is: dit beskerm Europeërs teen die gebruike, nie teen die bestaan van die middele nie. Dit besleg die vraag wie die reg het om die knoppie te druk, en laat dit aan die nywerheid oor om dit te bou, te verkoop, te verbeter en dan te wag.

Wat gedoen kan word, sonder om onsself iets wys te maak

Die eerste antwoord wat genoem word, is altyd MAC-adres-verewekansiging. Dit verdien ’n eerlike ondersoek, nie bevordering of afkraking nie. Dit is werklik en dit werk.

Android sedert weergawe 10 en iOS sedert weergawe 14 verewekans by verstek die MAC-adres wat op Wi-Fi gebruik word, met ’n aparte adres per netwerk. In Bluetooth Low Energy saai moderne toestelle oplosbare privaat adresse uit, wat periodiek verander en slegs deur ’n teenparty met die oplossleutel aan die werklike toestel gekoppel kan word.

Die beperkinge daarvan is net so werklik.

Paring maak die deur weer oop. Die oplossleutel word tydens paring oorgedra. ’n Toestel wat reeds gepaar of uitdruklik goedgekeur is, vind die stabiele identiteit agter die roterende adres terug. Die meganisme is daarvoor ontwerp.
Baie voorwerpe verewekans niks nie. Banddrukmeters, RFID-kaarte, diere-identifikasiechips, motorradio’s en goedkoop randapparatuur stuur vaste identifiseerders uit. Leonardo se produkblad noem presies hierdie kategorieë, wat nie toeval is nie.
Verewekansiging kan afgeskakel word. Dit word netwerk vir netwerk gedeaktiveer, en is dikwels afgeskakel vir gerief, vir MAC-filtrering op ’n tuisroeteerder of weens ’n maatskappybeleid.
Die groep oorleef die rotasie van identifiseerders. Dit is die mins intuïtiewe en belangrikste punt. SignalTrace soek nie ’n identifiseerder nie, dit soek ’n stel toestelle wat saam reis. As ’n enkele lid van die groep ’n vaste identifiseerder uitstuur, bly die hele stel toeskryfbaar, ongeag hoe gedissiplineerd die ander is.

Die doeltreffendste maatreël bly die vervelendste: om nie uit te stuur nie. Dit veronderstel dat Bluetooth en Wi-Fi op stelselvlak, in die instellings, afgeskakel word, en nie vanaf die kortpadpaneel nie. Die onderskeid is nie kosmeties nie, ons het dit uiteengesit in ons artikel oor die deurlopende liggingsopsporing van die foon : op die meeste verbruikerstelsels sny die knoppie op die snelpaneel die sigbare paring af maar laat die sagtewarestapel lewend, en die nabyheidsontledings gaan voort. Daardie artikel het Bluetooth-skandering as ’n teoretiese vektor beskryf. SignalTrace is die kommersiële produk daarvan, gekatalogiseer en lewerbaar.

’n Mens moet eerlik bly oor die uitkoms: hierdie maatreëls verklein die blootstellingsoppervlak, hulle hef dit nie op nie. ’n Voertuig bly ’n nommerplaat, en ’n nommerplaat bly leesbaar. Die enigste manier om niks uit te stuur nie, is om niks te dra nie, en dit is nie ’n openbare beleid nie.

Wat dit oor ons ontwerpkeuses sê

By Arpokrat is dit juis hierdie redenasie wat ons daartoe gelei het om Bluetooth op die vlak van die Core van ArpokratOS te hanteer eerder as op die vlak van die instellings. ’n Skakelaar in ’n koppelvlak is ’n gebruikersvoorkeur: ’n bywerking, ’n stelseltoepassing of ’n liggingsdiens kan dit omseil of weer aanskakel, sonder dat die gebruiker daarvan weet. ’n Stapel wat afwesig is, word nie weer geaktiveer nie.

Teenoor ’n opvang soos dié van SignalTrace maak dit ’n toestel natuurlik nie onopspoorbaar nie, en ons beweer dit ook nie: ’n foon bly op ’n mobiele netwerk, en die ander voorwerpe in ’n voertuig stuur vir hul eie rekening uit. Wat dit wél waarborg, is dat ’n bepaalde uitstuurvektor per konstruksie afwesig is eerder as op vertroue afgeskakel. Dit is die stelling wat ons oor 5G en die reg se teikenfout verdedig het: die regsbeskerming konsentreer op toegang tot die data terwyl dit op die bestaan self van die infrastruktuur wat dit voortbring behoort te fokus. SignalTrace is die illustrasie daarvan, met dié verskil dat hierdie infrastruktuur in Europa gebou word.

Slot

Die opvallendste in hierdie saak is nie die tegniese vermoë nie, wat navorsers al jare beskryf. Dit is die ontplooiingsmetode.

Daar sal geen nuwe kameranetwerk wees om in te wy nie, geen munisipale besluit om te betwis nie, geen openbare kontrak wat as ’n aardsverandering herkenbaar is nie. Daar sal modules wees wat by bestaande pale gevoeg word, onder bestaande kontrakte, binne programme wat reeds gemagtig is. Die dag wanneer die openbare debat oopgaan, sal die infrastruktuur geïnstalleer, afgeskryf en in die ondersoekprosedures ingebed wees. Die debat sal dan oor die toegangsvoorwaardes tot ’n databasis gaan wat bestaan, nooit oor die wenslikheid om dit saam te stel nie.

Dit is die gewone gang van sake in toesigaangeleenthede, en dit is nie toevallig nie. Wat oorbly, is om te weet of Europa meen dat hy iets te sê het wanneer sy eie nywerhede, gesteun deur sy eie state, hierdie infrastruktuur vir ander bou. Die Europese reg het die antwoord sorgvuldig georden op die vraag wie hierdie data by ons mag raadpleeg. Dit het nooit die vraag gestel wie die reg het om die masjien te bou nie.

Polisie-en-Justisie-Riglyn on Arpokrat