5G, të dhënat e vendndodhjes dhe objektivi i gabuar i së drejtës

Tue, 18 Aug 2026 00:00:00 +0000

Në vitin 2011 policia e Detroitit i kërkoi një operatori celular historikun e lidhjes së telefonit të Timothy Carpenter me antenat. Mori 12 898 pika vendndodhjeje të shpërndara në 127 ditë, rreth njëqind në ditë. Shtatë vjet më vonë, Gjykata e Lartë e Shteteve të Bashkuara vendosi se ajo kërkesë përbënte kontroll dhe kërkonte urdhër gjyqësor.

Ato 12 898 pika vinin nga antena të brezit të katërt, secila prej të cilave mbulonte një rreze prej disa kilometrash. E njëjta kërkesë, drejtuar sot një rrjeti 5G urban, nuk do të kthente njëqind pika në ditë me një saktësi prej disa kilometrash. Do të kthente një vëllim shumë më të madh, me një saktësi prej disa dhjetëra metrash.

Teknologjia ndryshoi shkallë. Arsyetimi juridik mbeti në të njëjtin vend të zinxhirit.

Një e mirë juridike që gjyqtarët e njohin në të dyja brigjet e Atlantikut

Ekziston një interes që e pranon pothuajse gjithkush dhe që pothuajse asnjë tekst nuk e mbron në mënyrë efektive: e drejta për të qenë diku pa u regjistruar ky fakt.

Jurisprudenca evropiane e ka vendosur këtë pa mëdyshje. Në Digital Rights Ireland (çështjet e bashkuara C-293/12 dhe C-594/12, 8 prill 2014) dhe më pas në Tele2 Sverige dhe Watson (çështjet e bashkuara C-203/15 dhe C-698/15, Dhoma e Madhe, 21 dhjetor 2016), Gjykata e Drejtësisë e Bashkimit Evropian vendosi se këto të dhëna, marrë në tërësi, lejojnë nxjerrjen e përfundimeve shumë të sakta për jetën private të personave: zakonet e jetës së përditshme, vendet e qëndrimit, lëvizjet, veprimtaritë e ushtruara dhe marrëdhëniet shoqërore.

Gjykata e Lartë e Shteteve të Bashkuara arriti në një përfundim të përafërt në Carpenter v. United States , 585 U.S. 296 (2018). Ajo theksoi një pikë që doktrina amerikane e ka komentuar gjerësisht: karakterin të pashmangshëm dhe automatik të kësaj mbledhjeje. Askush nuk jep pëlqim të lidhet me një antenë; është i lidhur sepse ka një telefon të ndezur.

E mira juridike pra ekziston dhe njihet nga dy gjykatat që kanë peshë në këtë fushë. Problemi është diku tjetër.

Çfarë ndryshoi vërtet 5G

Një ngatërrim i zakonshëm është ta trajtosh vendndodhjen si një të dhënë që telefoni e dërgon, njësoj si një mesazh apo një fotografi. Nuk është kështu. Vendndodhja është një pasojë fizike e funksionimit të rrjetit. Operatori e di me cilën antenë është lidhur pajisja sepse duhet ta dijë për të drejtuar një thirrje. Nuk ekziston asnjë çelës që ta enkriptojë këtë informacion, pasi nuk bëhet fjalë për përmbajtje por për një veti të vetë lidhjes.

Pikërisht kjo e bën 5G-në domethënëse në rrafshin juridik dhe jo në atë teknik.

Arkitekturat e mëparshme mbështeteshin në qeliza të gjera. Një antenë 4G zakonisht mbulon një rreze prej disa kilometrash, dhe pozicioni i nxjerrë vetëm nga lidhja matej në qindra metra në qytet, ndonjëherë në dhjetëra kilometra në zonat rurale. 5G mbështetet në një dendësim masiv: qelizat urbane mbulojnë zakonisht disa qindra metra, dhe literatura inxhinierike llogarit dendësi të rendit dyzet deri pesëdhjetë stacione bazë për kilometër katror, kundrejt katër ose pesë në kohën e 3G.

Pasoja është mekanike. Sipas dokumentit teknik të Ericsson-it për pozicionimin në 5G , infrastruktura e ngritur vetëm për lidhshmëri arrin një saktësi prej njëzet deri pesëdhjetë metrash jashtë dhe një deri tre metra brenda, dhe zbret nën një metër në kushte urbane të favorshme. Nuk bëhet fjalë për një funksion vendndodhjeje të aktivizuar diku, por për atë që rrjeti e di nga vetë ndërtimi i tij, pa u instaluar asnjë aplikacion dhe pa u dhënë asnjë leje. I kemi shtjelluar të gjitha këto mekanizma, si dhe kundërmasat që funksionojnë vërtet, në artikullin tonë për gjeolokalizimin e përhershëm të telefonit .

Ndërhyrja pra është rritur me disa shkallë madhësie. Korniza juridike e zbatueshme mbetet ajo e menduar për 2G dhe 3G. Asnjë përshtatje normative nuk e ka shoqëruar këtë ndryshim shkalle.

E drejta mbron aksesin, jo krijimin

E drejta evropiane rregullon me kujdes se kush mund të ketë akses në të dhënat e vendndodhjes, në ç’kushte dhe nën ç’kontroll. Direktiva 2002/58/KE vendos parimin e konfidencialitetit të komunikimeve, dhe Gjykata e Drejtësisë vendosi, në La Quadrature du Net (çështjet e bashkuara C-511/18, C-512/18 dhe C-520/18, Dhoma e Madhe, 6 tetor 2020), se neni 15(1) i kësaj direktive, lexuar në dritën e neneve 7, 8, 11 dhe 52(1) të Kartës, përjashton një ruajtje të përgjithshme dhe të padiferencuar të të dhënave të trafikut dhe të vendndodhjes për qëllime parandaluese. Gjykata pranoi megjithatë përjashtime të kornizuara kur një shtet anëtar përballet me një kërcënim të rëndë për sigurinë kombëtare që rezulton i vërtetë dhe aktual ose i parashikueshëm, me kusht një kontroll efektiv.

Këto janë mbrojtje reale dhe do të ishte absurde t’i nënvlerësoje. Por të gjitha ndërhyjnë pasi ka ndodhur gjithçka. Ato presupozojnë se e dhëna ekziston, se ruhet, dhe pastaj rregullojnë kushtet e shfrytëzimit të saj.

Por nëse vendndodhja është një nënprodukt i pashmangshëm i funksionimit të rrjetit, pika e duhur e ndërhyrjes nuk është konfidencialiteti. Është qëndrueshmëria në kohë.

Një pozicion i çastit, i nevojshëm për të drejtuar një komunikim dhe i fshirë menjëherë pas tij, nuk është mjet mbikëqyrjeje. Një historik pozicionesh i ruajtur me muaj është, cilatdo qofshin garancitë e aksesit që e rrethojnë.

Dallimi mes të dyjave nuk është juridik, është arkitekturor. Dhe kalendari evropian e bën pyetjen urgjente e jo teorike. Komisioni e tërhoqi propozimin për Rregulloren ePrivacy në vitin 2025, për mungesë marrëveshjeje mes bashkëligjvënësve. Që atëherë punon për një instrument të veçantë mbi ruajtjen e të dhënave për qëllime penale, i njoftuar për vitin 2026 , i destinuar të harmonizojë regjime kombëtare që janë shpërndarë që nga anulimi i direktivës së vitit 2006. Me fjalë të tjera, teksti që do të përcaktojë për një dekadë regjimin e metadatave të vendndodhjes po shkruhet pikërisht tani, mbi bazën e një arsyetimi të konceptuar në kohën e qelizave kilometrike.

Precedenti që 5G e krijoi vetë

Aspekti më interesant i çështjes është se përgjigjja e duhur figuron tashmë në standardin teknik, por e zbatuar në një objekt tjetër.

Deri te 4G, identifikuesi i përhershëm i abonentit, IMSI, qarkullonte i pafshehur në ndërfaqen radio gjatë lidhjes. Kjo bëri të mundur kapësit e IMSI, ato stacione bazë të rreme që, sipas përshkrimit referues të Electronic Frontier Foundation , transmetojnë më fuqishëm se antenat legjitime për të tërhequr pajisjet dhe për t’u kapur identifikuesin.

Që nga Release 15 i specifikimeve 3GPP, botuar në vitin 2019, 5G sjell një përgjigje elegante. Identifikuesi i përhershëm, i quajtur tani SUPI, mund të zëvendësohet në ndërfaqen radio me SUCI, një identifikues i fshehur i përftuar duke enkriptuar pjesën e veçantë të abonentit me kriptografi të kurbave eliptike, me çelësin publik të operatorit të origjinës. Vetëm rrjeti i origjinës, që zotëron çelësin privat përkatës, mund ta deshifrojë. Rezultati është unik në çdo llogaritje, çka pengon korrelacionin nga një sesion në tjetrin.

Logjika e zgjedhur meriton të nënvizohet, sepse është pikërisht ajo që duhet ta udhëheqë ligjvënësin: nuk enkriptohet pozicioni, gjë që do të ishte teknikisht e pamundur, enkriptohet identiteti. Një pozicion pa identitet të atribuueshëm ka vlerë shumë të kufizuar për qëllime mbikëqyrjeje të individualizuar.

E çara: një mbrojtje fakultative

Ekziston megjithatë një rezervë e konsiderueshme dhe, sipas nesh, është pika më konkrete e ndërhyrjes në gjithë çështjen.

Dokumenti teknik NIST CSWP 36A , botuar në mars 2026 nga National Institute of Standards and Technology, e shpreh pa dredha. Pajisjet dhe funksionet e rrjetit në përputhje me Release 15 ose më vonë janë të detyruara ta mbështesin SUCI, por aktivizimi i tij mbetet fakultativ për operatorin. Duhen plotësuar tri kushte: prodhuesi i pajisjes duhet ta mbështesë, operatori duhet ta aktivizojë në rrjetin e vet dhe karta SIM duhet të mbajë elementet e nevojshme për llogaritjen.

Këtu shtohet edhe një kurth konfigurimi. Standardi parashikon një skemë mbrojtjeje zero, në të cilën formati SUCI përdoret formalisht por pa enkriptim të vërtetë, aq sa identifikuesi qarkullon i pafshehur. NIST shkruan se është e nevojshme që operatori ta konfigurojë rrjetin e vet me një skemë mbrojtjeje jozero, dhe kujton se një raport i CSRIC, organit këshillimor të Federal Communications Commission, rekomandonte që në vitin 2021 që skema zero t’u rezervohej vetëm thirrjeve të urgjencës të kryera nga një pajisje e panjohur për rrjetin.

Formulimi meriton të lihet ashtu siç është. Mbrojtja më e mirë e disponueshme kundër ndjekjes së pajisjeve celulare ekziston në standardin teknik që nga viti 2019. Ajo varet nga një zgjedhje konfigurimi e lënë në diskrecionin e operatorit. Një agjenci federale amerikane e sheh të dobishme të botojë një dokument në vitin 2026 për të kujtuar se duhet aktivizuar. Dhe asnjë instrument juridik evropian nuk e imponon.

Duhet shtuar se SUCI nuk e mbyll temën. Punimet e paraqitura me titullin 5G SUCI-catchers: still catching them all? dokumentojnë sulme lidhshmërie që lejojnë rikorrelacionin e sesioneve pavarësisht enkriptimit, dhe mbrojtja bie krejtësisht nëse sulmuesi e detyron pajisjen të kalojë në një brez të mëparshëm. Një detyrim juridik pra nuk do t’i zgjidhte të gjitha. Do të hiqte megjithatë një hendek që nuk ka asnjë justifikim të mbrojtshëm: atë mes asaj që lejon standardi dhe asaj që bëjnë rrjetet komerciale.

Tri ndërhyrje koherente

Nëse merret seriozisht ideja se vendndodhja duhet minimizuar që në projektim e jo mbrojtur më pas, tri masa imponohen logjikisht.

Ta bëjmë të detyrueshme fshehjen efektive të identifikuesit. Të imponohet aktivizimi i SUCI dhe të ndalohen skemat e mbrojtjes zero në rrjetet komerciale, përveç rastit të mbetur të thirrjeve të urgjencës. Nuk bëhet fjalë as për të përshkruar një teknologji të re, as për të financuar një shtrirje, por për të kërkuar aktivizimin e një funksioni të standardizuar prej shtatë vjetësh dhe tashmë të pranishëm në pajisje.
Ta trajtojmë ruajtjen si përjashtim, jo si gjendje të parazgjedhur. Pozicioni i nevojshëm për të drejtuar një komunikim duhet fshirë sapo ky funksion të jetë përmbushur. Krijimi i një historiku duhet të kërkojë një justifikim specifik. Ky është dallimi mes një rrjeti që di ku jeni dhe një rrjeti që kujton ku keni qenë.
Ta bëjmë ruajtjen e çelësit faktorin lidhës të duhur. Vendndodhja e serverëve brenda Bashkimit nuk do të thotë shumë nëse çelësat që i bëjnë të dhënat të lexueshme gjenden diku tjetër. Kriteri me rëndësi juridike duhet të jetë kontrolli efektiv mbi mjetet e deshifrimit, çështje që e kemi shqyrtuar hollësisht lidhur me konfliktin mes Data Act dhe CLOUD Act .

Këndvështrimi që ndjek Arpokrat

Ky arsyetim nuk i përket vetëm së drejtës së telekomunikacioneve. Është ai që zbatojmë në zgjedhjet tona të arkitekturës dhe përmblidhet në një fjali: ajo që nuk është prodhuar nuk ka nevojë të mbrohet.

Prandaj ArpokratOS e heq GPS-in, Bluetooth-in dhe NFC-në në nivelin e bërthamës në vend që t’i çaktivizojë në një meny. Një çelës është një politikë: mund të anashkalohet nga një komponent i privilegjuar, të rindizet nga një përditësim, të shpërfillet nga një sistem i komprometuar. Heqja e shtegut të kodit e zhduk vetë pyetjen. Kjo është transpozimi, në shkallën e një pajisjeje, i të njëjtit zhvendosje që kërkojmë në shkallën e së drejtës: të ndërhysh te krijimi e jo te aksesi.

Duhet thënë menjëherë se çfarë nuk bën kjo. Asnjë sistem operativ nuk e nxjerr një pajisje nga gjeometria e rrjetit. Për sa kohë një kartë SIM është aktive, operatori e di qelizën e lidhjes, dhe kalimi i gjithë trafikut përmes Tor nuk ndryshon asgjë, pasi ai mbron përmbajtjen dhe destinacionin, jo shtresën radio. Pikërisht për këtë arsye tema është juridike. Ekziston një kategori rreziqesh që asnjë konfigurim individual nuk i zvogëlon dhe për të cilat e vetmja ndryshore e disponueshme është rregulli i zbatueshëm ndaj operatorit.

I njëjti shqetësim qeveris pjesën tjetër të punës sonë. Një e dhënë që nuk ekziston nuk mund as të sekuestrohet, as të rishitet, as të nxirret jashtë, as të deshifrohet pas dhjetë vjetësh nga një makinë që sot nuk e ka askush, çështje që e kemi trajtuar nga këndi i enkriptimit të korrur tani dhe të thyer më vonë .

Përfundim

Debati publik për mbikëqyrjen celulare përqendrohet pothuajse tërësisht te aksesi: kush mund t’i shohë të dhënat, mbi ç’bazë, me ç’autorizim. Ky debat është legjitim dhe vendimet e dhëna që nga viti 2014 nga Gjykata e Drejtësisë kanë pasur efekte të prekshme. Por ai ndërhyn shumë vonë në zinxhir.

Pyetja paraprake, dhe më përcaktuese, është nëse historiku duhet të ekzistojë fare. Një bazë e krijuar sot për një arsye legjitime mbetet nesër e disponueshme për një tjetër, dhe garancitë që e rrethojnë varen nga vendime politike të mëvonshme që askush nuk i kontrollon në çastin e mbledhjes. Është një bast mbi qëndrueshmërinë e institucioneve, i vënë për një kohëzgjatje që askush nuk e cakton.

5G e shumëfishoi rezolucionin e këtij informacioni pa ndodhur asnjë përshtatje normative. Njëkohësisht ka treguar, përmes mekanizmit të SUCI, se rruga e zbatueshme është shkëputja e pozicionit nga identiteti e jo përpjekja për të enkriptuar një veti fizike të rrjetit. Standardi teknik e dha përgjigjen shtatë vjet përpara se e drejta të ngrinte pyetjen.

Teksti evropian për ruajtjen e të dhënave po shkruhet tani. Do të prekë metadatat, pra vendndodhjen, pra atë që 5G prodhon tanimë me një hollësi që hartuesit e tij nuk e njohën. Nëse do të mjaftohet me rregullimin e aksesit në një historik të marrë si i mirëqenë, apo do të guxojë të vërë në pyetje domosdoshmërinë e këtij historiku, është ndoshta pyetja më e rëndësishme e privatësisë për vitet e ardhshme në Evropë. Dhe është një pyetje që sektori teknik, për një herë, e ka zgjidhur tashmë në drejtimin e duhur.

Burimet

Gjykata e Drejtësisë e Bashkimit Evropian, Digital Rights Ireland , çështjet e bashkuara C-293/12 dhe C-594/12, 8 prill 2014
Gjykata e Drejtësisë e Bashkimit Evropian, Tele2 Sverige dhe Watson , çështjet e bashkuara C-203/15 dhe C-698/15, Dhoma e Madhe, 21 dhjetor 2016
Gjykata e Drejtësisë e Bashkimit Evropian, La Quadrature du Net etj. , çështjet e bashkuara C-511/18, C-512/18 dhe C-520/18, Dhoma e Madhe, 6 tetor 2020
Gjykata e Lartë e Shteteve të Bashkuara, Carpenter v. United States , 585 U.S. 296, 2018
National Institute of Standards and Technology, Protecting Subscriber Identifiers with Subscription Concealed Identifier (SUCI) , NIST CSWP 36A, mars 2026
Ericsson, 5G positioning: Locating devices anywhere
Merlin Chlosta etj., 5G SUCI-catchers: still catching them all? , ACM WiSec, 2021
Electronic Frontier Foundation, Gotta Catch ‘Em All: Understanding How IMSI-Catchers Exploit Cell Networks
European Digital Rights, The ePrivacy Regulation proposal has been withdrawn, but the fight for your privacy is far from over
heise online, Data Retention: Commission to present proposal by mid-2026

GJDBE on Arpokrat