É legal para a Sony vender-me um smartphone no qual o carregador de inicialização não pode ser desbloqueado?

Sim, a obrigação deles é vender-lhe um dispositivo que funcione. Normalmente é aí que termina a obrigação deles.

alguns fabricantes deixam o bootloader desbloqueado outros don't, mas não há nenhum requisito deles para o fazer.

Por exemplo, o boot seguro é um deles, uma vez que você pode apenas verificar o bootloader e se é um original você está bem. Se não for um original você não't inicializa o telefone.

Se o bootloader estiver desbloqueado você terá que inicializar o telefone mesmo com um bootloader personalizado que outra pessoa tenha instalado, o que significa que o boot seguro está desligado. Agora toda a cadeia do Android teria que verificar se o boot seguro está ligado ou desligado e agir de acordo ao invés de assumir que o boot é seguro.

Uma das coisas que o android faz quando inicializado em um boot inseguro é apagar as chaves de criptografia do dispositivo, o que significa apagar todos os dados do usuário. Isto é para proteger seus dados contra vazamento para um hacker que tem acesso físico ao seu telefone, mas sem credenciais de login.

Estas são coisas que o Google requer, e são mais fáceis de aplicar quando você reduz as coisas que você está suportando.