Esborrany de la Iniciativa Ciutadana Europea

Objectius

Per què pots instal·lar qualsevol programari en un ordinador, però no en el telèfon pel qual has pagat? No ha de ser així.

Les grans tecnològiques (Big Tech) bloquegen els dispositius i utilitzen comprovacions com Play Integrity per bloquejar aplicacions bancàries i de transport si fas servir programari alternatiu.

Demanem una legislació de la UE mitjançant una Iniciativa Ciutadana Europea (ICE) oficial per:

Garantir el dret a desbloquejar incondicionalment el carregador d’arrencada (bootloader) i instal·lar qualsevol sistema operatiu.
Aturar la discriminació de les aplicacions i serveis essencials contra els sistemes alternatius i de codi obert.
Fer complir estàndards de seguretat oberts i neutrals respecte al proveïdor perquè els usuaris siguin autèntics amos dels seus telèfons.

Annex

1. Context i exposició del problema

Quan compres un ordinador, és teu. Ets l’amo de la màquina i tu tries quin sistema operatiu i quins programes instal·lar. Però en els telèfons mòbils, aquesta regla bàsica de propietat s’ha trencat. Les grans tecnològiques bloquegen el carregador d’arrencada (bootloader) i utilitzen comprovacions propietàries d’integritat per decidir quin programari tens permès fer servir en un aparell pel qual ja has pagat.

Aquests marcs tancats d’integritat actuen com a guardians privats. Quan la ciutadania europea tria sistemes operatius independents, europeus o de codi obert (p. ex., /e/OS, postmarketOS, GrapheneOS), aplicacions essencials deneguen el servei de manera arbitrària. Eines quotidianes crítiques, com ara la banca minorista, el transport públic i els sistemes d’identitat digital, tracten els dispositius controlats per l’usuari com a intrínsecament compromesos. Aquests sistemes operatius no estan compromesos i són tan segurs com els predeterminats. Això crea una barrera inacceptable per a la sobirania digital europea i força la ciutadania a una dependència exclusiva de les plataformes de les grans tecnològiques estrangeres.

2. Per què això importa a tota la ciutadania europea

Fins i tot per a les persones consumidores que mai substitueixen el seu sistema operatiu predeterminat:

Reducció de residus electrònics: L’obsolescència forçada es produeix quan els fabricants deixen d’oferir actualitzacions de seguretat per a maquinari que encara funciona. Permetre el desbloqueig del carregador d’arrencada permet a la comunitat mantenir i allargar amb seguretat la vida útil dels dispositius, evitant que residus electrònics tòxics acabin als abocadors, avançant en el Pla d’acció per a l’economia circular de la UE i complint els objectius fonamentals de la Directiva sobre el Dret a Reparar.
Protecció del consumidor i resiliència del mercat: Els serveis europeus crítics no han de dependre de les polítiques privades ni dels servidors propietaris de guardians d’accés estrangers. Els estàndards oberts garanteixen un accés continuat i salvaguarden l’autonomia estratègica europea.
Innovació tecnològica europea: L’eliminació de les barreres arbitràries d’atestació permet als proveïdors de programari europeus, a les pimes i a les empreses emergents centrades en la privadesa competir equitativament en el mercat digital.

3. Mesures legislatives específiques proposades

A. Llibertat obligatòria del carregador d’arrencada i sobirania del maquinari

La Comissió ha de proposar normes vinculants que exigeixin que tots els dispositius informàtics amb processadors d’ús general venuts a la UE proporcionin mecanismes accessibles a l’usuari per desbloquejar el carregador d’arrencada.

El desbloqueig no ha de dependre de comptes al núvol de tercers, llistes blanques del fabricant ni períodes d’espera arbitraris.
Els mòduls de seguretat de maquinari (Secure Elements, TPM, StrongBox) han de permetre als usuaris registrar claus criptogràfiques d’arrel de confiança personalitzades, fent possible l’arrencada verificada (Verified Boot) en sistemes operatius independents.
El desbloqueig del carregador d’arrencada o la modificació del programari no han d’anul·lar les garanties legals obligatòries del maquinari.

B. Atestació de maquinari oberta i directa

Els marcs propietaris de verificació al núvol no han d’actuar com a guardians obligatoris de la vida digital.

La seguretat del dispositiu s’ha d’avaluar mitjançant API de maquinari obertes i estàndard (com ara l’atestació de clau nativa) o estàndards oberts WebAuthn/FIDO2, en lloc de canalitzar les decisions de confiança exclusivament a través de serveis al núvol dels guardians d’accés.
L’ús de claus arrel autosignades o registrades per l’usuari no ha de desencadenar la inclusió automàtica en llistes negres de serveis digitals. Els serveis han d’acceptar proves criptogràfiques de possessió generades dins de xips de maquinari aïllats sense exigir la certificació d’un sistema operatiu propietari.

C. No-discriminació en serveis essencials

Els serveis essencials del sector públic i els serveis regulats per als consumidors (p. ex., serveis bancaris regulats per PSD2) han de romandre accessibles per als usuaris de sistemes operatius independents.
Quan l’atestació nativa d’aplicacions no pugui ser compatible amb una versió personalitzada, els serveis han d’estar legalment obligats a oferir vies d’autenticació basades en web o en FIDO2 totalment funcionals i estandarditzades.

D. Sostenibilitat i disponibilitat del codi després del final del suport

Per evitar l’obsolescència artificial, quan els fabricants d’equips originals cessin les actualitzacions periòdiques de programari, han de:

Publicar els arbres de dispositius (device trees) i la documentació d’interfície de maquinari necessària perquè la comunitat de codi obert pugui mantenir les actualitzacions de seguretat.
Proporcionar un port segur legal (safe harbor) per a la redistribució dels components de microprogramari compilats (blobs) necessaris per mantenir el maquinari funcional durant tota la seva vida física útil.

4. Base jurídica en els Tractats de la UE

Aquesta iniciativa s’emmarca estrictament dins de les competències legislatives de la Unió Europea per regular el mercat interior i protegir les persones consumidores, en particular en virtut de:

Article 114 del TFUE (Mercat interior): Harmonització dels drets dels consumidors sobre el maquinari i eliminació de barreres tècniques en el Mercat Únic Digital.
Article 169 del TFUE (Protecció dels consumidors): Promoció dels interessos econòmics i dels drets de les persones consumidores respecte als béns que adquireixen.
Reglament (UE) 2022/1925 (Llei de Mercats Digitals - DMA): Específicament avançant en els principis de l’Article 6(7) sobre interoperabilitat del maquinari i accés a elements segurs.
Directiva (UE) 2015/2366 (DSP2): Article 98, que exigeix neutralitat tecnològica i normes de comunicació obertes en els serveis financers.
Directiva (UE) 2024/1799 (Directiva sobre el Dret a Reparar): Garantir que els bloquejos artificials de programari o de maquinari no impedeixin als consumidors i mantenidors independents mantenir, reparar i allargar la vida útil operativa de dispositius funcionals.
Reglament d’Ecodisseny per a Productes Sostenibles (ESPR): Establiment de requisits de disseny que impedeixin l’obsolescència prematura del maquinari provocada pel programari.