È legale per Sony vendermi uno smartphone su cui il bootloader non può essere sbloccato?

Sì, il loro obbligo è di venderti un dispositivo che funzioni. Di solito è lì che finisce il loro obbligo.

Alcuni produttori lasciano il bootloader sbloccato, altri no, ma non c'è nessun obbligo da parte loro di farlo.

Per esempio il secure boot è uno di questi, poiché si può semplicemente controllare il bootloader e se è originale si è a posto. Se non è originale non si avvia il telefono.

Se il bootloader è sbloccato si dovrebbe avviare il telefono anche con un bootloader personalizzato che qualcun altro ha installato, il che significa che il secure boot è disattivato. Ora l'intera catena Android dovrebbe controllare se l'avvio sicuro è attivato o disattivato e agire di conseguenza invece di assumere che l'avvio sia un avvio sicuro.

Una delle cose che Android fa quando viene avviato in avvio non sicuro è cancellare le chiavi di crittografia del dispositivo, il che significa cancellare tutti i dati dell'utente. Questo è per proteggere i vostri dati dalla fuga di notizie ad un hacker che ha accesso fisico al vostro telefono ma senza credenziali di accesso.

Queste sono cose che Google richiede, e sono più facili da applicare quando si riducono le cose che si stanno supportando.