De Amerikaanse aanklacht tegen een reiziger die zijn telefoon wiste met een noodpincode is geen technisch detail, maar een principiële grens. Wie het intikken van een cijferreeks strafbaar maakt, verklaart de beveiligingsfunctie zelf tot verdacht gedrag.
En daar zit de kern. De duress-pincode van GrapheneOS bestaat niet voor criminelen, maar voor journalisten, activisten en zakenreizigers die landen in gaan waar een grenscontrole in de praktijk neerkomt op het volledig uitlezen van een privéleven. Encryptie die je alleen mag bezitten zolang je haar niet inzet, is geen encryptie maar decoratie.
Het tegenargument verdient serieuze behandeling. Opsporingsdiensten staan met lege handen als een verdachte bewijsmateriaal met één handeling kan laten verdampen. Bewijsvernietiging is een echt strafbaar feit, en het is niet vreemd dat een aanklager daarnaar kijkt wanneer iemand zijn toestel wist op het moment van aanhouding.
Maar dan moet de aanklacht gaan over die concrete handeling in die concrete zaak, niet over het bestaan van de functie. Precies dat onderscheid dreigt hier te vervagen. Een besturingssysteem dat gegevens beschermt is geen medeplichtige, en een gebruiker die standaardbeveiliging gebruikt is geen verdachte.
Wij vinden dat Europa nu moet vastleggen dat het gebruiken van een beveiligingsfunctie op zichzelf nooit strafbaar is. Wachten tot deze zaak hier als precedent binnenwaait, is wachten tot het te laat is.
