Indiske myndigheder har givet dispensation fra landets egne “make in India”-regler, så offentlige myndigheder kan købe udenlandsk overvågningsteknologi – blandt andet fra det israelske selskab Cellebrite. Det skriver Al Jazeera med henvisning til en gennemgang fra rettighedsgruppen Internet Freedom Foundation, IFF.
Ifølge gennemgangen har Indiens indenrigsminister Amit Shah godkendt undtagelser, som gjorde det muligt at købe mindst 422 udenlandske retsmedicinske produkter. Blandt dem er værktøjer, der kan udtrække data fra telefoner og få adgang til cloudtjenester.
Sagen vækker kritik fra aktivister og eksperter i digitale rettigheder, fordi Indiens lovgivning ifølge dem ikke sætter klare grænser for, hvor langt myndigheder må gå i overvågning og dataudtræk.
Kan hente data fra langt mere end selve telefonen
Dokumenter, som IFF og Al Jazeera har gennemgået, peger på, at kapaciteten rækker videre end at kopiere indhold fra en beslaglagt mobil. Systemerne kan også bruges til at hente data fra cloudbaserede tjenester og konti, hvis myndighederne får fat i såkaldte login-tokens – digitale nøgler, der holder brugere logget ind.
I et brev fra Indiens indenrigsministerium dateret 20. januar fremgår det, at Shah gav National Investigation Agency tilladelse til at købe Cellebrites Premium Tool på en treårig licens for cirka 50 millioner rupees, svarende til 529.947 dollar.
Et udbud, som Al Jazeera har set fra Delhi Police, beskriver software, der blandt andet skal kunne omgå adgangskoder på Apple macOS, Microsoft Windows og Linux, hente slettede filer, låse enheder op og udtrække data fra beskedtjenester. Politiet efterspurgte også et system, der kan få adgang til mere end 100 cloudtjenester, herunder Google, Apple, WhatsApp, Instagram, Telegram, Discord, Tinder, Grindr, OkCupid, Slack og OnlyFans.
Kritikere ser et juridisk tomrum
Indiens “make in India”-regler betyder normalt, at lokale producenter skal foretrækkes frem for udenlandske leverandører i offentlige indkøb. Reglerne giver dog mulighed for undtagelser, hvis den ansvarlige minister godkender det.
IFF peger samtidig på et andet problem: Der findes ifølge gruppen ingen lov eller fast protokol, som specifikt regulerer tvungen oplåsning af mobiltelefoner og fuld udtrækning af data fra enheder, som politiet beslaglægger. Det gælder også kopiering af hele filsystemer, brug af login-tokens til cloudkonti og regler for, hvor længe de udtrukne data må gemmes.
“It is clear that there is an expansion of India’s surveillance capabilities and it is becoming both wider and deeper,” siger Vrinda Bhandari, advokat ved Indiens højesteret med fokus på digitale rettigheder og privatliv, til Al Jazeera.
Journalister og kritikere frygter indgreb i deres telefoner
Debatten er ikke kun principiel. Ifølge Al Jazeera har både regeringsstyrede delstater og delstater ledet af oppositionspartiet Kongrespartiet købt lignende værktøjer til telefonudtræk og kloning.
Mediet beskriver også konkrete tilfælde, hvor personer mistænker, at myndigheder har forsøgt at få adgang til deres telefoner. YouTuberen Dhruv Rathee har sagt, at han tror, politiet forsøgte at klone hans iPhone, men Al Jazeera skriver samtidig, at mediet ikke har kunnet bekræfte hans forklaring. Journalisten Mohammad Aslam Hussain fra Siasat Daily fortæller desuden, at optagelser på hans telefon var blevet slettet, efter at politiet havde beslaglagt enheden.
“The current legal framework fails in this safeguard,” siger Vrinda Bhandari til Al Jazeera. Hverken Indiens indenrigsministerium, National Investigation Agency, Delhi Police eller de nævnte delstater havde svaret Al Jazeera inden publicering.