SignalTrace: Європа експортує стеження, якого не дозволяє собі

Tue, 01 Sep 2026 00:00:00 +0000

Сірий седан проїжджає під автострадною рамкою на швидкості 110 км/год. Камера на щоглі зчитує номер, ставить позначку часу, зберігає його. Нічого нового: такі пристрої існують уже двадцять років і встановлені десятками тисяч як у Північній Америці, так і в Європі.

Але якщо ця рамка отримала модуль, який італійська група Leonardo продає з червня 2026 року, вона щойно зафіксувала ще дещо. iPhone водія. Бездротові навушники пасажирки. Розумний годинник на панелі приладів. Автомагнітолу. Підключений брелок у бардачку. Датчики тиску всіх чотирьох шин. Перепустку, що залишилася в піджаку. І, якщо ззаду спить собака, його ідентифікаційний чип.

Десяток ідентифікаторів, номер, позиція, час. Повторіть це на кожній рамці мережі, і ви вже стежите не за автомобілем: ви стежите за людьми і знаєте, з ким вони пересуваються.

Що пристрій робить насправді

Продукт називається SignalTrace. Його продає Leonardo US Cyber and Security Solutions, і він доповнює лінійку ELSAG, одну з найпоширеніших ліній автоматичних зчитувачів номерних знаків на американському ринку. Про його існування 8 червня 2026 року повідомив Джозеф Кокс у 404 Media на основі продуктової специфікації виробника.

Вирішальний момент вміщається в одне речення: йдеться не про нові камери. SignalTrace є радіодатчиком, доданим до вже встановлених зчитувачів номерів. Щогла не змінюється, розташування не змінюється, силует обладнання при дорозі не змінюється. Змінюється те, що це обладнання слухає.

Датчик записує ідентифікатори, які у відкритому вигляді транслюють протоколи Bluetooth, Wi-Fi і RFID пристроїв, що перебувають в автомобілі. Технічний момент, який часто розуміють хибно: жоден пристрій не зламують і жодну вразливість не використовують. Пристрій Bluetooth або Wi-Fi постійно надсилає кадри виявлення, бо ці протоколи так задумані. Ваші навушники оголошують свою присутність, щоб телефон їх знайшов, а сам телефон опитує довколишній ефір у пошуках знайомих мереж. Ці випромінювання публічні за побудовою, і їх чує будь-який приймач у зоні дії.

Leonardo, до речі, уточнює, що система працює зі зчитувачем номерів або без нього , зокрема й у приміщеннях, і розпізнає автомобіль, номер якого закрито або знято.

Ось справжня політична тема: дообладнання вже наявної техніки. Встановлення нової мережі камер запускає голосування, обговорення, іноді судовий процес. Додавання електронної плати в уже погоджений корпус не запускає нічого. Спроможність стеження змінює свою природу без публічної дискусії, бо матеріально немає нічого нового, що можна побачити.

Від автомобіля до особи, і від особи до групи

Зчитувач номерів відповідає на одне питання: де був цей автомобіль. SignalTrace додає ще два: хто в ньому був і з ким.

Leonardo цього не приховує, це аргумент продажу. Система формує те, що документація називає електронним відбитком, набір ідентифікаторів, які «часто випромінюються разом». Приклад виробника промовистий: у цілому місті лише один автомобіль поєднає iPhone 13rev2, автомагнітолу Audi, навушники Bose, годинник Garmin, шукач ключів і номер ABC-1234.

Продукт не обмежується стеженням за автомобілями. Він автоматично створює граф зв’язків між людьми, без того щоб хтось мусив висловити бодай найменшу підозру.

Саме тут відбувається якісний стрибок. Співвідносячи пристрої, які регулярно подорожують разом, система механічно вибудовує соціальний граф. Два телефони, що зустрічаються щоранку в одному автомобілі, означають спільні поїздки або стосунки, які жодна зі сторін не хоче оприлюднювати. П’ятдесят пристроїв, зафіксованих в одному місці в один час, означають зібрання: демонстрація, богослужіння, профспілкові збори або черга перед клінікою.

Жоден із цих висновків не потребує доступу до змісту комунікації. Він виводиться з таблиці близькості, за замовчуванням, для всього населення, що пересувається, а не для визначених цілей. Це провина за асоціацією, вироблена промислово, ще до будь-якого розслідування. Том Боуман, юрист Center for Democracy & Technology , підсумовує проблему на сторінках TechNewsWorld : те, що робить інструмент корисним для стеження за справжнім підозрюваним, робить його так само здатним стежити за всіма іншими водіями, жоден з яких не погоджувався на реєстрацію своїх пристроїв.

Leonardo протиставляє два аргументи: система не розшифровує і не читає зміст комунікацій та сама по собі не ідентифікує осіб. Обидва твердження точні, і обидва не стосуються суті. Шуканою розвідданою ніколи не був зміст, вона в метаданих про місцеперебування, красномовніших за повідомлення. Що ж до ідентифікації, сам виробник визнає, що слідчий може пов’язати електронний підпис із номером, а потім через реєстри транспортних засобів вийти на власника.

Американське право, написане для іншого

У Сполучених Штатах існують закони штатів, що регулюють зчитувачі номерів, і деякі з них вимогливі щодо строків зберігання та цілей доступу. Але всі вони писалися навколо одного точного предмета: зображення номерного знака. Жоден не передбачає зчитування ідентифікаторів особистих пристроїв тим самим обладнанням.

Ця розбіжність створює не незаконність, а сіру зону, зручнішу для продавця. Поліцейська служба може стверджувати, не брешучи, що її програма зчитувачів номерів дозволена й відповідає праву, водночас збираючи відтепер у тому самому режимі дані цілком іншої природи. Leonardo до того ж має федеральні контракти зі Special Operations Command і General Services Administration, тобто закупівельний шлях, який значною мірою обходить місцеві погодження.

Конституційна дискусія щойно зрушила, і тут потрібна точність, бо стан права змінився цього літа. У січні 2026 року федеральний суд Вірджинії вирішив у справі Schmidt v. City of Norfolk, що міська мережа камер Flock не становить обшуку у розумінні четвертої поправки, оскільки не охоплює всіх пересувань мешканців. Рішення оскаржується в Четвертому окрузі, де вступила в справу ACLU .

Потім, 29 червня 2026 року, Верховний суд ухвалив рішення Chatrie v. United States . П’ятьма голосами проти чотирьох, пером судді Кейган, він визнав, що отримання поліцією даних про місцеперебування телефона становить обшук, оскільки особа зберігає розумне очікування приватності щодо цих даних, навіть коли їх утримує третя сторона і навіть за короткий період. Рішення продовжує Carpenter v. United States 2018 року і послаблює доктрину третьої сторони, як зазначив CDT .

Точний обсяг дії Chatrie щодо SignalTrace не вирішено, і стверджувати протилежне було б необачно: рішення стосується даних, витребуваних у Google, а не прямого зчитування поліцейським датчиком у публічному просторі. Але воно встановлює міркування, яке має значення, а саме що чутливість даних про місцеперебування не залежить від того, хто ними володіє.

Європейське питання, яке і є справжнім питанням

Ось де справа стає незручною для Європи. Leonardo не американський постачальник, а італійська група, що котирується в Мілані, першим акціонером якої є італійське міністерство економіки і фінансів із приблизно 30 % капіталу та правом призначати більшість ради директорів. Італійська держава не є пасивним акціонером цього продукту.

Спершу технічний момент

У європейському праві ідентифікатор пристрою є персональними даними. Це не доктринальна думка, а стала позиція наглядових органів. CNIL прямо розглядає MAC-адресу як таку у своїй доктрині щодо систем вимірювання відвідуваності і допускає їх збирання в публічному просторі лише за вузьких умов: анонімізація протягом кількох хвилин із високим рівнем колізій між особами або надійна псевдонімізація з подальшим знищенням протягом двадцяти чотирьох годин, інакше згода стає обов’язковою. Та сама доктрина уточнює, що заклик до людей вимкнути Wi-Fi не є прийнятною формою заперечення.

Суд Європейського Союзу 4 вересня 2025 року у справі ЄІЗД проти ЄРО (C-413/23 P) уточнив, що персональний характер псевдонімізованих даних оцінюється з огляду на розумно доступні засоби повторної ідентифікації. Тут же володільцем є поліцейський орган, який має реєстри транспортних засобів. Засоби повторної ідентифікації не гіпотетичні, вони в сусідньому кабінеті.

Нюанс, який змінює все

Було б хибно написати, що SignalTrace «був би незаконним у Європі», і читач-юрист одразу це помітив би. Обробка, здійснювана компетентним органом із метою запобігання та розслідування злочинів, не підпадає під GDPR. Вона підпадає під директиву (ЄС) 2016/680 , звану Поліцейською директивою, яку кожна держава-член імплементує окремо, у Франції розділом III закону про захист даних. CNIL нагадує, що цей режим автономний, із власними підставами правомірності та власними правами.

Отже, правильне питання полягає не в абстрактній законності, а в умовах. За цього режиму такий пристрій вимагав би прямої національної правової підстави, визначених цілей, доведеної необхідності, обмеженого строку зберігання, оцінки впливу та незалежного контролю. У Франції зчитувачі номерів урегульовані саме так: статті L233-1 і L233-1-1 кодексу внутрішньої безпеки встановлюють вичерпний перелік правопорушень, які дають право на їх використання, а строк зберігання залишається одним із найкоротших у Союзі, п’ятнадцять днів за загальним правилом, навіть якщо сенатський законопроєкт прагне його подовжити.

Це принципова відмінність від американської ситуації. У Сполучених Штатах закон регулює предмет, номерний знак, і мовчання про ідентифікатори пристроїв означає дозвіл. У Європі закон регулює цілі та категорії даних, і це мовчання означає радше заборону, за браком прямої правової підстави. Порожнеча, констатована за океаном, тут у такій самій формі не існує. Не тому, що Європа доброчесніша: її юридична техніка протилежна.

Чого тоді варта охорона

Залишається питання, задля якого написано цю статтю. Чого варта європейська регуляторна охорона, коли європейське підприємство, контрольоване державою-членом, продає за межі Європи спроможність, яку не могло б розгорнути вдома без нового закону?

Заперечення заслуговують на серйозне ставлення. Промисловець не відповідає за правові рамки свого клієнта: американська влада вирішує, що дозволяє в себе. Продукт продають не диктатурі, а правовій державі з активним верховним судом, як щойно нагадало Chatrie. І аргумент промислового суверенітету законний: якщо європейські групи заборонять собі ці ринки, їх займуть ізраїльські, американські або китайські постачальники, і стеження не відступить ані на метр, а Європа втратить свою технологічну базу.

Ці аргументи прийнятні. Вони не відповідають на проблему.

Насамперед тому, що Союз уже визнав: експорт засобів стеження не є звичайною торгівлею. Регламент (ЄС) 2021/821 про товари подвійного використання запровадив у статті 5 всеохопне застереження щодо засобів кіберстеження, бо законодавець визнав, що інструмент, законний у виробництві, може бути нелегітимним у пункті призначення. Його межа повчальна: воно спрацьовує за наявності ризику внутрішніх репресій або тяжких порушень прав людини, тобто категорій, придуманих для авторитарних режимів. Продаж американській муніципальній поліції до них не належить. Європейська сітка досліджує моральність клієнта, ніколи не досліджує природу проданої спроможності.

Далі тому, що такий продукт не запас, який розпродають, а спроможність, яку підтримують: вона фінансує дослідження, готує інженерів, накопичує ноу-хау і створює встановлену базу. Того дня, коли великий теракт спонукає державу-члена вимагати цю спроможність, дискусія вже не точитиметься про доцільність її створення. Вона існуватиме, буде європейською, буде зрілою, а її постачальник буде частково державним. Аргумент «ми лише йдемо за ринком» стає тоді замкненим колом, оскільки внутрішній ринок буде підготовлено експортом.

Ось чого варта регуляторна охорона в цьому сценарії: вона захищає європейців від застосувань, а не від існування засобів. Вона вирішує питання, хто має право натиснути кнопку, і залишає промисловості будувати його, продавати, вдосконалювати, а потім чекати.

Що можна зробити, не розповідаючи собі казок

Першою згаданою відповіддю завжди є рандомізація MAC-адреси. Вона заслуговує на чесний розгляд, без реклами й без приниження. Вона справжня і вона працює.

Android від версії 10 та iOS від версії 14 за замовчуванням рандомізують MAC-адресу, що використовується у Wi-Fi, з окремою адресою для кожної мережі. У Bluetooth Low Energy сучасні пристрої транслюють розв’язувані приватні адреси, які періодично змінюються і можуть бути пов’язані зі справжнім пристроєм лише співрозмовником, який має ключ розв’язання.

Її межі так само реальні.

Спарювання знову відчиняє двері. Ключ розв’язання передається під час спарювання. Пристрій, уже спарений або явно схвалений, знаходить сталу ідентичність за змінною адресою. Механізм для цього й задумано.
Багато предметів нічого не рандомізують. Датчики тиску в шинах, RFID-перепустки, ідентифікаційні чипи тварин, автомагнітоли та дешева периферія випромінюють сталі ідентифікатори. Специфікація Leonardo згадує саме ці категорії, і це не випадковість.
Рандомізацію можна вимкнути. Її вимикають мережа за мережею, і часто вона вимкнена задля зручності, для MAC-фільтрації на домашньому маршрутизаторі або через корпоративну політику.
Група переживає ротацію ідентифікаторів. Це найменш очевидний і найважливіший момент. SignalTrace шукає не ідентифікатор, а набір пристроїв, що подорожують разом. Якщо бодай один член групи випромінює сталий ідентифікатор, увесь набір лишається прив’язуваним, хоч якою була б дисципліна решти.

Найдієвіший захід залишається найнуднішим: не випромінювати. Це передбачає вимкнення Bluetooth і Wi-Fi на рівні системи, у налаштуваннях, а не з панелі швидкого доступу. Ця різниця не косметична, ми докладно описали її у статті про постійну геолокацію телефона : у більшості споживчих систем кнопка швидкої панелі обриває видиме спарювання, але лишає програмний стек живим, і аналіз близькості триває. Та стаття описувала сканування Bluetooth як теоретичний вектор. SignalTrace став його комерційним продуктом, каталогізованим і готовий до постачання.

Треба залишатися чесним щодо результату: ці заходи зменшують поверхню вразливості, вони її не скасовують. Автомобіль лишається номерним знаком, а номерний знак лишається читабельним. Єдиний спосіб нічого не випромінювати полягає в тому, щоб нічого не носити, а це не є публічною політикою.

Що це говорить про наші проєктні рішення

В Arpokrat саме це міркування привело нас до того, щоб обробляти Bluetooth на рівні Core ArpokratOS, а не на рівні налаштувань. Перемикач в інтерфейсі задає лише користувацьке налаштування: оновлення, системний застосунок або служба геолокації можуть його обійти чи знову ввімкнути, і користувач цього не знатиме. Відсутній стек знову ввімкнути неможливо.

Проти зчитування на кшталт SignalTrace це, звісно, не робить пристрій невиявним, і ми цього не стверджуємо: телефон лишається в мобільній мережі, а інші предмети в автомобілі випромінюють самі по собі. Що це гарантує, так це те, що конкретний вектор випромінювання відсутній за побудовою, а не вимкнений на довірі. Це теза, яку ми обстоювали щодо 5G і помилки цілі в праві : правовий захист зосереджується на доступі до даних, тоді як мав би стосуватися самого існування інфраструктури, що їх виробляє. SignalTrace є цьому ілюстрацією, з тією різницею, що ця інфраструктура будується в Європі.

Висновок

Найпримітніше в цій справі не технічна спроможність, яку дослідники описували роками. Це метод розгортання.

Не буде нової мережі камер, яку відкривають, не буде муніципального рішення, яке можна оскаржити, не буде публічної закупівлі, впізнаваної як зміна природи. Будуть модулі, додані до наявних щогл, за наявними контрактами, у вже дозволених програмах. Того дня, коли відкриється публічна дискусія, інфраструктура буде встановлена, амортизована і вбудована у слідчі процедури. Дискусія тоді точитиметься про умови доступу до бази, яка існує, і ніколи про доцільність її створення.

Це звичайний порядок речей у сфері стеження, і він не випадковий. Лишається дізнатися, чи вважає Європа, що їй є що сказати, коли її власні промисловці, спираючись на її власні держави, будують цю інфраструктуру для інших. Європейське право ретельно впорядкувало відповідь на питання, хто може переглядати ці дані в нас. Воно ніколи не поставило питання, хто має право будувати цю машину.

Поліцейська Директива on Arpokrat