Die von Human Rights Watch ausgewerteten Unterlagen stammen nach Angaben der Organisation aus der zuständigen Abteilung des bulgarischen Ministeriums für Wirtschaft und Industrie. Diese Stelle unterstützt oder blockiert Exportlizenzanträge bulgarischer Unternehmen. Die Dokumente decken den Zeitraum von 2018 bis 2023 ab. Für 2025 oder 2026 konnte Human Rights Watch keine Unterlagen erhalten; ob die Verkäufe weiterlaufen, sei deshalb unklar.
Laut dem Bericht lieferte Circles mehrere Systeme an die genannten Staaten. Dazu gehört eine Technologie namens Pixcell, die nach Angaben von Human Rights Watch Internetdaten, Telefonate und Nachrichten erfassen kann. Ein zweites System mit dem Namen Landmark dient der Geolokalisierung von Mobiltelefonen in Echtzeit.
Hinzu kommt eine dritte Software mit der Bezeichnung „Voice Over Location Enabler“. Sie nutzt laut der von Human Rights Watch zitierten Circles-Dokumentation das SS7-Protokoll, um eingehende und ausgehende Sprachanrufe von Zielpersonen aus der Ferne abzufangen. Erfasst würden dabei auch Daten einschließlich der Standorte beider Gesprächspartner.
Human Rights Watch ordnet die Lieferungen in einen größeren Kontext ein. Viele der belieferten Staaten haben nach Darstellung der Organisation eine lange Geschichte bei der Unterdrückung von Dissens. Einige von ihnen hätten in der Vergangenheit bereits Spyware eingesetzt, um Dissidenten und Journalisten zu überwachen.
Zach Campbell, leitender Forscher für Überwachung bei Human Rights Watch, kritisierte die Praxis deutlich. „Alle EU-Regierungen sollten Exporte von Werkzeugen unterbinden, die für Repression genutzt werden können, statt sie einfach durchzuwinken“, erklärte er. Weiter sagte Campbell, der Europäischen Kommission lägen Belege vor, dass EU-Regierungen offenbar Lizenzen erteilt hätten, ohne eine ernsthafte menschenrechtliche Sorgfaltsprüfung vorzunehmen, dennoch scheine sie trotz des vorhandenen Rechtsrahmens nichts unternommen zu haben.
Die Europäische Kommission teilte der Organisation laut Bericht mit, dass die Mitgliedstaaten „allein für Entscheidungen über Genehmigungen für Dual-Use-Exporte verantwortlich“ seien. Die bulgarische Regierung und die Europäische Kommission reagierten dem Bericht zufolge zunächst nicht auf Anfragen zur Stellungnahme.
Gegenüber Human Rights Watch erklärte die bulgarische Regierung zugleich, Exporte, die den nationalen, europäischen und internationalen Verpflichtungen des Landes widersprächen, auch beim Schutz der Menschenrechte, seien nicht zulässig. Außerdem verfolge das Ministerium eine konsequente Politik der Nulltoleranz gegenüber Missbrauch und überwache die Einhaltung der geltenden Regeln strikt, heißt es laut einer Pressemitteilung von Human Rights Watch.
Circles selbst reagierte nach Angaben von Human Rights Watch trotz vier Kontaktaufnahmen nicht auf eine Bitte um Stellungnahme. Das Unternehmen wirbt wie viele Anbieter leistungsfähiger Überwachungstechnik damit, seine Produkte dienten ausschließlich der Bekämpfung von Terrorismus und Kriminalität. Menschenrechts- und Bürgerrechtsorganisationen kritisieren jedoch seit langem, dass die Technik missbraucht worden sei; dieser Missbrauch sei bereits früher dokumentiert worden.
Circles wurde von Tal Dilian mitgegründet, dem Manager hinter der auf eine Sanktionsliste gesetzten Spyware-Firma Intellexa. Im Februar sprach ein griechisches Gericht Dilian in Anklagepunkten schuldig, die sich darauf beziehen, wie Intellexa zur Überwachung verschiedener Vertreter der Zivilgesellschaft eingesetzt wurde, darunter Journalisten und Politiker.
Bereits im Mai hatte Human Rights Watch in einem weiteren Bericht erklärt, europäische Unternehmen für Überwachungstechnologie hätten Spyware an repressive Regierungen verkauft. Genannt wurden damals Firmen aus Finnland, Polen, Dänemark, Tschechien, Estland und Bulgarien. Frankreich, Griechenland, Spanien, Deutschland und Italien, die ebenfalls als Exporteure solcher Technik bekannt seien, hätten der Organisation keine Handelsunterlagen überlassen.