Cos'è successo alla frontiera
A luglio 2026 il New York Times ha raccontato di un cittadino statunitense fermato alla frontiera, a cui è stato chiesto di sbloccare il telefono. Il codice digitato era, secondo l'accusa, una password di coercizione (detta anche PIN di coercizione) — un codice speciale che cancella il dispositivo invece di aprirlo. Quello che è seguito è un'accusa federale di distruzione di prove: il primo caso noto del genere, ancora da decidere, e una luce nuova su ogni funzione di cancellazione d'emergenza, in qualsiasi prodotto.
Perché cancellare può essere peggio che mostrare
L'accusa poggia su un'idea semplice: se le autorità hanno il diritto di esaminare qualcosa, distruggerlo mentre aspettano somiglia a triturare documenti durante un blitz — e un telefono cancellato non può dimostrare la propria innocenza. C'è anche un problema pratico, ben oltre le frontiere: una cancellazione si vede. Un attimo prima i dati ci sono; un attimo dopo, proprio davanti a chi li sta chiedendo, sono spariti. Che si tratti di un funzionario, di un partner violento o di un ladro, una distruzione visibile tende a far salire la tensione, non a farla finire lì.
L'altra strada: non avere nulla da trovare
La negabilità ribalta la domanda: non più "come distruggo i miei dati sotto pressione?", ma "perché la pressione dovrebbe trovare qualcosa?". In Sealby ogni codice apre la propria cassaforte — così ne tieni una piena di cose ordinarie e innocue e apri esattamente quella, se te lo chiedono. Sealby non conserva nessun elenco di casseforti, nessun conteggio, niente che dica "qui c'è dell'altro"; una cassaforte che non hai aperto sembra un residuo di dati casuali. Mostrare la cassaforte innocua è piena collaborazione. Non è stato cancellato nulla. Semplicemente non c'era altro da trovare.
Il PIN di coercizione di Sealby: spostare, non distruggere
Per situazioni peggiori di una fila alla frontiera, Sealby ha comunque un PIN di coercizione — costruito in modo diverso da un'autodistruzione. Contrassegni una cassaforte esca innocua; inserendo il suo PIN si apre normalmente e rimuove in silenzio le altre casseforti da quel dispositivo, una volta sola. Nello stesso momento il telefono smette di sincronizzare — di proposito — così la cancellazione non raggiunge mai il tuo backup iCloud. La copia cifrata delle tue casseforti resta nel tuo iCloud, e ognuna torna su un nuovo dispositivo con la sua frase di recupero. I tuoi dati non sono morti. Hanno lasciato il telefono.
Spostato non è distrutto — ma sulla legge parliamoci chiaro
Con il backup attivo, la funzione di coercizione di Sealby non è uno strumento di distruzione: il dispositivo non porta più nulla mentre i tuoi dati sopravvivono, cifrati, sotto il tuo controllo. Ma una differenza tecnica non è uno scudo legale — rimuovere dati durante una perquisizione legittima potrebbe comunque essere trattato come intralcio, e nessuna funzione di un'app cambia questo. La legge sui codici di coercizione non è assestata e cambia da Paese a Paese; il primo caso statunitense è ancora in discussione, e questo articolo non è una consulenza legale. Quello che un buon design può davvero fare è rendere superflua l'opzione disperata — quando nulla può dimostrare che le tue casseforti private esistono, aprire un'esca di solito basta.
Se per te il rischio è reale
Punta sull'esca, non sulla cancellazione. Se la tua situazione richiede davvero il PIN di coercizione: attiva prima il backup iCloud, così farlo scattare sposta i tuoi dati invece di perderli; metti contenuti credibili nell'esca; scegli un PIN che non potresti mai digitare per sbaglio; e scrivi la frase di recupero di ogni cassaforte da qualche parte al sicuro, lontano dal dispositivo. Alla fine sono quelle parole a comandare i tuoi dati — il telefono è soltanto la cosa che li trasporta.