Chi utilizza GrapheneOS con un duress PIN attivo si trova davanti a una domanda che tocca da vicino privacy e responsabilità penale: fino a che punto è lecito cancellare i dati del proprio smartphone quando qualcuno costringe a sbloccarlo? La funzione, in fondo, nasce con un obiettivo preciso. Al posto del normale codice di accesso, il proprietario può inserire, o far inserire a terzi, una credenziale alternativa che avvia la cancellazione irreversibile dei dati presenti sul dispositivo, il cosiddetto wiping, insieme alla rimozione delle eSIM installate. Il sistema, dal punto di vista tecnico, non fa distinzioni: non gli interessa se la minaccia arriva da un criminale o dalla pressione di un pubblico ufficiale. Riconosce il codice e procede.
È sul piano giuridico che tutto cambia. Difendere i propri file da un aggressore non è la stessa cosa che eliminarli mentre un agente sta eseguendo una perquisizione, ha disposto il sequestro del telefono o ne pretende lo sblocco nel corso di un’indagine. Il duress PIN è uno strumento perfettamente lecito. Il suo impiego concreto, però, può essere letto come distruzione di prove, occultamento di informazioni o intralcio all’attività investigativa. E qui il quadro si fa scivoloso.
Perché GrapheneOS non è illegale ma l’uso può diventarlo
Va detto subito: GrapheneOS non è un sistema operativo clandestino. È un progetto open source senza scopo di lucro, derivato dall’Android Open Source Project e compatibile con le normali app Android. Rafforza il dispositivo con un isolamento più rigoroso delle applicazioni, mitigazioni contro gli exploit, controlli aggiuntivi sui permessi e una gestione meno invasiva rispetto a molte configurazioni diffuse. L’idea di fondo è rendere lo smartphone più resistente alla sorveglianza, agli attacchi informatici e all’acquisizione non autorizzata dei dati.
Proprio questa efficacia, però, ha regalato alla piattaforma una reputazione controversa presso alcune autorità europee. In Francia il progetto è stato accostato alla telefonia usata dai narcotrafficanti, mentre in Catalogna sono emerse accuse di controlli e profilazioni rivolti a chi possiede smartphone Google Pixel, ritenuti potenziali utenti di GrapheneOS e quindi, secondo un’equazione piuttosto discutibile, possibili appartenenti ad ambienti criminali. Ma usare un sistema più sicuro non prova alcuna volontà di nascondere qualcosa, esattamente come scegliere Signal, una VPN o la cifratura completa dei dischi non costituisce di per sé un indizio di colpevolezza. Anzi, il GDPR indica la cifratura tra le misure di sicurezza da valutare in base al rischio e alla natura dei dati trattati.
Installare GrapheneOS, configurare un duress PIN e cancellare preventivamente i propri dati sono comportamenti normalmente leciti. Un utente può decidere di viaggiare con un telefono privo di informazioni riservate, separare le attività su profili distinti oppure predisporre una protezione contro rapine, estorsioni e altre forme di coercizione. Il quadro cambia solo quando il wiping scatta dopo che un pubblico ufficiale ha annunciato una perquisizione o il sequestro.
Il caso Tunick e le regole americane sulla distruzione di prove
Negli Stati Uniti la questione è esplosa con il caso Tunick. Samuel Tunick fu fermato il 24 gennaio 2025 all’aeroporto Hartsfield-Jackson di Atlanta, mentre rientrava dalla Repubblica Dominicana. Poco prima del suo arrivo un agente aveva diffuso internamente nome e fotografia, collegandolo a una verifica per presunte attività riconducibili al movimento contrario al centro di addestramento della polizia noto come “Cop City”. Secondo la difesa, Tunick chiese quattro volte di parlare con un avvocato senza ottenerlo, non ricevette gli avvertimenti prescritti e gli agenti non presentarono alcun mandato. Quando comunicò un codice, lo schermo divenne nero e il telefono sembrò riavviarsi. L’accusa sostiene che fosse il duress PIN di GrapheneOS e che abbia provocato la cancellazione dei dati.
L’udienza sulla richiesta di escludere le prove si è svolta il 20 luglio 2026. Il giudice dovrà stabilire se il controllo alla frontiera fosse una normale ispezione doganale oppure un interrogatorio investigativo mascherato, legato all’attività politica dell’uomo. Una decisione non è attesa prima della fine di ottobre 2026.
La legge statunitense prevede fino a 5 anni di reclusione per chi distrugge, danneggia o trasferisce un bene, prima, durante o dopo una ricerca o un sequestro, allo scopo di impedire l’autorità legittima del Governo di prenderne custodia. Gli elementi decisivi sono tre: la consapevolezza dell’azione, lo scopo di impedire il sequestro e la legittimità dell’autorità esercitata. La sola presenza di GrapheneOS non basta, né la precedente configurazione di una password di emergenza prova automaticamente un’intenzione criminale. La funzione può proteggere dati aziendali, fonti giornalistiche, informazioni sanitarie o persone esposte a coercizione.
In Europa la risposta varia da Paese a Paese. In Belgio la Corte di cassazione ha ammesso che un giudice istruttore possa ordinare la comunicazione del codice, purché sia dimostrato che la persona lo conosce e che il dispositivo è collegato all’indagine. Nei Paesi Bassi è stata ammessa in alcune circostanze la coercizione fisica per usare un’impronta digitale, distinguendo il corpo della persona da una dichiarazione della sua mente. In Germania, nel 2025, il Bundesgerichtshof ha ritenuto legittimo guidare forzatamente il dito di un indagato verso il sensore biometrico, considerando l’impronta una “chiave naturale” e non una collaborazione attiva. Il principio di fondo resta comunque lo stesso ovunque: il diritto a rifiutare una collaborazione attiva o a non rivelare una password non coincide con il diritto a distruggere dati che gli investigatori stanno legittimamente cercando di preservare.