SignalTrace: Europa eksportuje nadzór, na który sama sobie nie pozwala

Tue, 01 Sep 2026 00:00:00 +0000

Szara limuzyna przejeżdża pod bramownicą autostradową z prędkością 110 km/h. Kamera zamocowana na maszcie odczytuje tablicę, oznacza ją czasem, zapisuje. Nic nowego: takie urządzenia istnieją od dwudziestu lat i są rozstawione w dziesiątkach tysięcy egzemplarzy zarówno w Ameryce Północnej, jak i w Europie.

Ale jeśli ta bramownica otrzymała moduł, który włoska grupa Leonardo sprzedaje od czerwca 2026 roku, właśnie zarejestrowała coś jeszcze. iPhone’a kierowcy. Bezprzewodowe słuchawki pasażerki. Smartwatch na desce rozdzielczej. Radio samochodowe. Podłączony brelok w schowku. Czujniki ciśnienia w czterech oponach. Kartę dostępu, która została w marynarce. A jeśli z tyłu śpi pies, także jego czip identyfikacyjny.

Kilkanaście identyfikatorów, tablica, pozycja, godzina. Powtórz to przy każdej bramownicy w sieci, a nie śledzisz już samochodu: śledzisz ludzi i wiesz, z kim się przemieszczają.

Co urządzenie robi naprawdę

Produkt nazywa się SignalTrace. Sprzedawany przez Leonardo US Cyber and Security Solutions, uzupełnia serię ELSAG, jedną z najbardziej rozpowszechnionych linii automatycznych czytników tablic rejestracyjnych na rynku amerykańskim. Jego istnienie ujawnił 8 czerwca 2026 roku Joseph Cox w 404 Media , na podstawie karty produktu producenta.

Kluczowy punkt mieści się w jednym zdaniu: nie chodzi o nowe kamery. SignalTrace to czujnik radiowy dodawany do już zainstalowanych czytników tablic. Maszt się nie zmienia, lokalizacja się nie zmienia, sylwetka sprzętu przy drodze się nie zmienia. Zmienia się to, czego ten sprzęt słucha.

Czujnik rejestruje identyfikatory rozgłaszane otwartym tekstem przez protokoły Bluetooth, Wi-Fi i RFID urządzeń znajdujących się w pojeździe. Punkt techniczny często źle rozumiany: żadne urządzenie nie jest włamywane i żadna luka nie jest wykorzystywana. Urządzenie Bluetooth lub Wi-Fi stale wysyła ramki rozgłoszeniowe, ponieważ tak zaprojektowano te protokoły. Twoje słuchawki oznajmiają swoją obecność, żeby telefon mógł je odnaleźć, a ten telefon sam odpytuje otoczenie w poszukiwaniu znanych mu sieci. Te emisje są publiczne z założenia, a każdy odbiornik w zasięgu je słyszy.

Leonardo zresztą precyzuje, że system działa z czytnikiem tablic lub bez niego , także wewnątrz budynków, i rozpoznaje pojazd, którego tablica została zasłonięta lub zdjęta.

Doposażenie istniejącego sprzętu to prawdziwy temat polityczny. Instalacja nowej sieci kamer uruchamia głosowanie, debatę, czasem spór sądowy. Dodanie płytki elektronicznej do obudowy już zatwierdzonej nie uruchamia niczego. Zdolność nadzoru zmienia swoją naturę bez debaty publicznej, ponieważ materialnie nie ma nic nowego do zobaczenia.

Od pojazdu do osoby, i od osoby do grupy

Czytnik tablic odpowiada na jedno pytanie: gdzie był ten pojazd. SignalTrace dodaje dwa kolejne: kto w nim siedział i z kim.

Leonardo tego nie ukrywa, to argument sprzedażowy. System tworzy to, co dokumentacja nazywa odciskiem elektronicznym, zbiór identyfikatorów „często emitowanych razem". Przykład producenta jest jednoznaczny: w całym mieście tylko jeden pojazd połączy iPhone’a 13rev2, radio Audi, słuchawki Bose, zegarek Garmin, lokalizator kluczy i tablicę ABC-1234.

Produkt nie ogranicza się do śledzenia pojazdów. Automatycznie wytwarza graf relacji między osobami, bez konieczności sformułowania przez kogokolwiek najmniejszego podejrzenia.

To tutaj dokonuje się skok jakościowy. Korelując urządzenia, które regularnie podróżują razem, system mechanicznie buduje graf społeczny. Dwa telefony, które każdego ranka spotykają się w tym samym samochodzie, to wspólne dojazdy albo relacja, której żadna ze stron nie chce ujawniać. Pięćdziesiąt urządzeń zarejestrowanych w tym samym miejscu o tej samej godzinie to zgromadzenie: demonstracja, nabożeństwo, zebranie związkowe albo kolejka przed kliniką.

Żaden z tych wniosków nie wymaga dostępu do treści komunikacji. Wynika z tabeli bliskości, domyślnie, dla całej poruszającej się populacji, a nie dla wskazanych celów. To odpowiedzialność zbiorowa przez skojarzenie, wytwarzana przemysłowo, przed jakimkolwiek postępowaniem. Tom Bowman, prawnik z Center for Democracy & Technology , podsumowuje problem na łamach TechNewsWorld : to, co czyni narzędzie użytecznym w śledzeniu prawdziwego podejrzanego, czyni je równie zdolnym do śledzenia wszystkich pozostałych kierowców, z których żaden nie zgodził się na rejestrowanie swoich urządzeń.

Leonardo przeciwstawia dwa argumenty: system nie odszyfrowuje ani nie czyta treści komunikacji i sam z siebie nie identyfikuje osób. Oba twierdzenia są prawdziwe i oba są nie na temat. Poszukiwaną informacją nigdy nie była treść, tkwi ona w metadanej pozycji, bardziej wymownej niż wiadomość. Co do identyfikacji, sam producent przyznaje, że śledczy może powiązać sygnaturę elektroniczną z tablicą, a następnie dotrzeć do właściciela poprzez rejestry pojazdów.

Prawo amerykańskie napisane do czegoś innego

W Stanach Zjednoczonych istnieją stanowe przepisy regulujące czytniki tablic, a niektóre są wymagające co do okresów przechowywania i celów dostępu. Ale wszystkie zredagowano wokół jednego precyzyjnego przedmiotu: obrazu tablicy rejestracyjnej. Żaden nie przewiduje przechwytywania identyfikatorów urządzeń osobistych przez ten sam sprzęt.

Ta rozbieżność nie tworzy nielegalności, lecz szarą strefę, wygodniejszą dla sprzedawcy. Służba policyjna może utrzymywać, nie kłamiąc, że jej program czytników tablic jest dozwolony i zgodny z prawem, jednocześnie zbierając odtąd w tym samym reżimie dane o całkowicie odmiennym charakterze. Leonardo dysponuje ponadto kontraktami federalnymi, ze Special Operations Command i General Services Administration, czyli ścieżką zakupową, która w dużej mierze omija zgody lokalne.

Debata konstytucyjna właśnie drgnęła i trzeba tu precyzji, bo stan prawa zmienił się tego lata. W styczniu 2026 roku sąd federalny w Wirginii orzekł w sprawie Schmidt v. City of Norfolk, że miejska sieć kamer Flock nie stanowi przeszukania w rozumieniu czwartej poprawki, ponieważ nie obejmuje całości przemieszczeń mieszkańców. Orzeczenie jest w apelacji przed Czwartym Okręgiem, gdzie przystąpiła ACLU .

Następnie, 29 czerwca 2026 roku, Sąd Najwyższy wydał wyrok Chatrie v. United States . Stosunkiem pięć do czterech, pod piórem sędzi Kagan, orzekł, że uzyskanie przez policję danych lokalizacyjnych telefonu stanowi przeszukanie, ponieważ jednostka zachowuje uzasadnione oczekiwanie prywatności wobec tych danych, nawet gdy znajdują się u osoby trzeciej i nawet przez krótki okres. Wyrok przedłuża Carpenter v. United States z 2018 roku i osłabia doktrynę osoby trzeciej, jak zauważyło CDT .

Dokładny zasięg Chatrie wobec SignalTrace nie jest rozstrzygnięty i twierdzenie inaczej byłoby nieostrożne: wyrok dotyczy danych żądanych od Google’a, a nie bezpośredniego przechwytywania przez policyjny czujnik w przestrzeni publicznej. Ustanawia jednak rozumowanie, które się liczy, mianowicie że wrażliwość danej lokalizacyjnej nie zależy od tego, kto ją posiada.

Kwestia europejska, która jest kwestią prawdziwą

Tu sprawa staje się niewygodna dla Europy. Leonardo nie jest dostawcą amerykańskim, lecz włoską grupą notowaną w Mediolanie, której pierwszym akcjonariuszem jest włoskie Ministerstwo Gospodarki i Finansów, z około 30 % kapitału i prawem wskazania większości rady dyrektorów. Państwo włoskie nie jest biernym akcjonariuszem tego produktu.

Najpierw punkt techniczny

W prawie europejskim identyfikator urządzenia jest daną osobową. To nie opinia doktrynalna, lecz utrwalone stanowisko organów. CNIL wyraźnie traktuje adres MAC jako taki w swojej doktrynie dotyczącej systemów pomiaru natężenia ruchu i dopuszcza ich zbieranie w przestrzeni publicznej tylko pod ścisłymi warunkami: anonimizacja w ciągu kilku minut z wysokim wskaźnikiem kolizji między osobami albo wiarygodna pseudonimizacja z następującym po niej zniszczeniem w ciągu dwudziestu czterech godzin, w przeciwnym razie zgoda staje się obowiązkowa. Ta sama doktryna precyzuje, że zachęcanie ludzi do wyłączenia Wi-Fi nie jest dopuszczalną formą sprzeciwu.

Trybunał Sprawiedliwości Unii Europejskiej sprecyzował 4 września 2025 roku w sprawie EIOD przeciwko SRB (C-413/23 P), że osobowy charakter danej spseudonimizowanej ocenia się z uwzględnieniem rozsądnie możliwych do uruchomienia środków ponownej identyfikacji. Tymczasem tutaj posiadaczem jest organ policyjny, dysponujący rejestrami pojazdów. Środki ponownej identyfikacji nie są hipotetyczne, są w sąsiednim pokoju.

Niuans, który zmienia wszystko

Byłoby fałszem napisać, że SignalTrace „byłby nielegalny w Europie", i czytelnik prawnik zauważyłby to natychmiast. Przetwarzanie prowadzone przez właściwy organ do celów zapobiegania przestępczości i jej ścigania nie podlega RODO. Podlega dyrektywie (UE) 2016/680 , zwanej dyrektywą policyjną, transponowanej odrębnie przez każde państwo członkowskie, we Francji w tytule III ustawy o ochronie danych. CNIL przypomina, że ten reżim jest autonomiczny, z własnymi podstawami legalności i własnymi prawami.

Właściwe pytanie nie dotyczy zatem abstrakcyjnej legalności, lecz warunków. W tym reżimie takie urządzenie zakładałoby wyraźną krajową podstawę prawną, określone cele, wykazaną niezbędność, ograniczony okres przechowywania, ocenę skutków i niezależną kontrolę. We Francji czytniki tablic są uregulowane właśnie tak: artykuły L233-1 i L233-1-1 kodeksu bezpieczeństwa wewnętrznego ustanawiają zamkniętą listę przestępstw otwierających drogę do ich użycia, a okres przechowywania pozostaje jednym z najkrótszych w Unii, co do zasady piętnaście dni, nawet jeśli senacki projekt ustawy próbuje go wydłużyć.

To zasadnicza różnica wobec sytuacji amerykańskiej. W Stanach Zjednoczonych prawo reguluje przedmiot, tablicę, a milczenie o identyfikatorach urządzeń oznacza przyzwolenie. W Europie prawo reguluje cele i kategorie danych, a to milczenie oznacza raczej zakaz, wobec braku wyraźnej podstawy prawnej. Luka stwierdzona za oceanem nie istnieje tutaj w tej samej formie. Nie dlatego, że Europa jest cnotliwsza: jej technika prawna jest odwrotna.

Ile zatem warta jest ochrona

Pozostaje pytanie, o które chodzi w tym artykule. Ile warta jest europejska ochrona regulacyjna, gdy europejskie przedsiębiorstwo, kontrolowane przez państwo członkowskie, sprzedaje poza Europą zdolność, której u siebie nie mogłoby wdrożyć bez nowej ustawy?

Zastrzeżenia zasługują na poważne potraktowanie. Przemysłowiec nie odpowiada za ramy prawne swojego klienta: to władze amerykańskie decydują, co dopuszczają u siebie. Produkt nie jest sprzedawany dyktaturze, lecz państwu prawa z aktywnym sądem najwyższym, o czym właśnie przypomniało Chatrie. A argument suwerenności przemysłowej jest zasadny: jeśli grupy europejskie zamkną sobie te rynki, zajmą je dostawcy izraelscy, amerykańscy lub chińscy, bez cofnięcia się nadzoru choćby o metr, a Europa straci przy tym swoją bazę technologiczną.

Te argumenty są dopuszczalne. Nie odpowiadają na problem.

Po pierwsze dlatego, że Unia już uznała, iż eksport środków nadzoru nie jest handlem jak każdy inny. Rozporządzenie (UE) 2021/821 w sprawie produktów podwójnego zastosowania wprowadziło w artykule 5 klauzulę zbiorczą obejmującą produkty cyberinwigilacji, ponieważ prawodawca przyznał, że narzędzie legalne w produkcji może być nieprawowite w miejscu przeznaczenia. Jego ograniczenie jest pouczające: uruchamia się wobec ryzyka represji wewnętrznych lub poważnych naruszeń praw człowieka, kategorii pomyślanych dla reżimów autorytarnych. Sprzedaż amerykańskiej policji miejskiej się w nich nie mieści. Europejska siatka bada moralność klienta, nigdy naturę sprzedawanej zdolności.

Po drugie dlatego, że taki produkt nie jest zapasem do wyprzedania, lecz zdolnością, którą się utrzymuje: finansuje badania, kształci inżynierów, gromadzi know-how i tworzy bazę zainstalowaną. W dniu, w którym poważny zamach skłoni państwo członkowskie do zażądania tej zdolności, debata nie będzie już dotyczyć zasadności jej budowy. Ona będzie istnieć, będzie europejska, będzie dojrzała, a jej dostawca będzie częściowo publiczny. Argument „tylko podążamy za rynkiem" staje się wtedy okrężny, ponieważ rynek krajowy zostanie przygotowany przez eksport.

Oto ile warta jest ochrona regulacyjna w tym scenariuszu: chroni Europejczyków przed zastosowaniami, nie przed istnieniem środków. Rozstrzyga kwestię, kto ma prawo nacisnąć przycisk, i zostawia przemysłowi budowanie go, sprzedawanie, ulepszanie, a potem czekanie.

Co można zrobić, bez opowiadania sobie bajek

Pierwszą przywoływaną odpowiedzią jest zawsze losowanie adresu MAC. Zasługuje na uczciwą ocenę, ani promocję, ani deprecjację. Jest realne i działa.

Android od wersji 10 i iOS od wersji 14 domyślnie losują adres MAC używany w Wi-Fi, z odrębnym adresem dla każdej sieci. W Bluetooth Low Energy nowoczesne urządzenia rozgłaszają rozwiązywalne adresy prywatne, które zmieniają się okresowo i mogą zostać powiązane z rzeczywistym urządzeniem tylko przez rozmówcę posiadającego klucz rozwiązywania.

Jego ograniczenia są równie realne.

Parowanie znów otwiera drzwi. Klucz rozwiązywania jest przekazywany podczas parowania. Urządzenie już sparowane lub wyraźnie zatwierdzone odnajduje stałą tożsamość za rotującym adresem. Mechanizm jest do tego stworzony.
Wiele przedmiotów nie losuje niczego. Czujniki ciśnienia w oponach, karty RFID, czipy identyfikacyjne zwierząt, radia samochodowe i tanie peryferia emitują stałe identyfikatory. Karta produktu Leonardo wymienia dokładnie te kategorie, co nie jest przypadkiem.
Losowanie da się wyłączyć. Wyłącza się je sieć po sieci i często jest wyłączone dla wygody, na potrzeby filtrowania MAC na domowym routerze albo z powodu polityki firmowej.
Grupa przeżywa rotację identyfikatorów. To punkt najmniej intuicyjny i najważniejszy. SignalTrace nie szuka identyfikatora, szuka zbioru urządzeń podróżujących razem. Jeśli choć jeden członek grupy emituje stały identyfikator, cały zbiór pozostaje przypisywalny, niezależnie od dyscypliny pozostałych.

Najskuteczniejszy środek pozostaje najnudniejszy: nie emitować. Zakłada to wyłączenie Bluetooth i Wi-Fi na poziomie systemu, w ustawieniach, a nie z panelu skrótów. Rozróżnienie nie jest kosmetyczne, opisaliśmy je szczegółowo w naszym artykule o nieustannej geolokalizacji telefonu : w większości systemów konsumenckich przycisk w panelu szybkiego dostępu przerywa widoczne parowanie, ale pozostawia stos programowy przy życiu, a analizy bliskości trwają dalej. Tamten artykuł opisywał skanowanie Bluetooth jako wektor teoretyczny. SignalTrace jest jego produktem komercyjnym, skatalogowanym i gotowym do dostawy.

Trzeba pozostać uczciwym co do rezultatu: te środki zmniejszają powierzchnię ekspozycji, nie znoszą jej. Pojazd pozostaje tablicą, a tablica pozostaje czytelna. Jedynym sposobem, by nic nie emitować, jest nic nie nosić, co nie jest polityką publiczną.

Co to mówi o naszych wyborach projektowych

W Arpokrat to właśnie to rozumowanie skłoniło nas do obsługi Bluetooth na poziomie Core systemu ArpokratOS, a nie na poziomie ustawień. Przełącznik w interfejsie to preferencja użytkownika: aktualizacja, aplikacja systemowa albo usługa lokalizacji mogą ją obejść lub ponownie włączyć, bez wiedzy użytkownika. Nieobecny stos nie da się ponownie włączyć.

Wobec przechwytywania takiego jak SignalTrace nie czyni to oczywiście urządzenia niewykrywalnym i nie twierdzimy tego: telefon pozostaje w sieci komórkowej, a pozostałe przedmioty w pojeździe emitują na własny rachunek. Gwarantuje to natomiast, że konkretny wektor emisji jest nieobecny z założenia, zamiast być wyłączony na zaufanie. To teza, której broniliśmy w tekście o 5G i błędzie celu w prawie : ochrona prawna skupia się na dostępie do danych, podczas gdy powinna dotyczyć samego istnienia infrastruktury, która je wytwarza. SignalTrace jest tego ilustracją, z tą różnicą, że ta infrastruktura powstaje w Europie.

Wnioski

Najbardziej uderzające w tej sprawie nie jest możliwość techniczna, którą badacze opisywali od lat. To metoda wdrożenia.

Nie będzie nowej sieci kamer do zainaugurowania, żadnej uchwały gminnej do zaskarżenia, żadnego przetargu publicznego rozpoznawalnego jako zmiana natury. Będą moduły dodane do istniejących masztów, w ramach istniejących umów, w programach już dopuszczonych. W dniu, w którym otworzy się debata publiczna, infrastruktura będzie zainstalowana, zamortyzowana i wbudowana w procedury śledcze. Debata będzie wtedy dotyczyć warunków dostępu do bazy, która istnieje, nigdy zasadności jej utworzenia.

Taki jest zwykły porządek rzeczy w kwestii nadzoru i nie jest on przypadkowy. Pozostaje ustalić, czy Europa uważa, że ma coś do powiedzenia, gdy jej właśni przemysłowcy, wsparci przez jej własne państwa, budują tę infrastrukturę dla innych. Prawo europejskie starannie zorganizowało odpowiedź na pytanie, kto może u nas przeglądać te dane. Nigdy nie postawiło pytania, kto ma prawo zbudować maszynę.

Rozpoznawanie Tablic Rejestracyjnych on Arpokrat