Trojaner ab Werk

Was sind das eigentlich für Kunden, die sich ein Telefon kaufen, bei dem der Trojaner schon ab Werk installiert ist. Die Verarbeitung findet ja nicht auf dem Telefon statt und alle verbundenen Daten werden abgegriffen.

Darf man das so in der EU überhaupt verkaufen?