Il tentativo di seppellire per sempre il Chat Control 1.0 è fallito ancora una volta. Il Parlamento europeo si è riunito giovedì a Strasburgo, nell’ultima seduta plenaria prima della pausa estiva, e ha votato sulla proposta di respingere la deroga che permette a piattaforme come Gmail, Meta e Microsoft di scansionare volontariamente le comunicazioni private alla ricerca di materiale pedopornografico.
La bocciatura si è fermata a 314 voti favorevoli, contro 276 contrari e 17 astensioni: la maggioranza di chi ha votato, ma lontano dai 361 voti assoluti richiesti per fermare il testo in seconda lettura. Sotto quella soglia la deroga si considera automaticamente approvata. Torna così in vigore, questa volta fino al 3 aprile 2028, la norma sulla privacy nota come Chat Control 1.0.
Perché esiste una deroga alla riservatezza delle comunicazioni
La direttiva ePrivacy tutela per legge la riservatezza delle comunicazioni elettroniche in Europa: gli operatori non possono analizzare il contenuto di ciò che transita sulle loro reti, un po’ come un servizio postale non può aprire la corrispondenza altrui. Per anni la regola riguardava soprattutto la telefonia tradizionale, mentre servizi come Gmail o Messenger restavano fuori dal suo perimetro e scansionavano da tempo i contenuti con strumenti come PhotoDNA, capaci di riconoscere una fotografia pedopornografica confrontando la sua impronta digitale con un database di materiale già catalogato, anche quando l’immagine è cifrata.
La situazione è cambiata a fine 2020, quando un aggiornamento della normativa UE sulle comunicazioni elettroniche ha esteso la portata della direttiva ePrivacy anche ai servizi di messaggistica non legati a un numero di telefono, rendendo di fatto illegale la scansione dei contenuti privati. Diverse piattaforme hanno ridotto o sospeso le verifiche volontarie e le segnalazioni al NCMEC, il centro statunitense di riferimento per il materiale di sfruttamento minorile, sono crollate del 58% in diciotto settimane.
Per correggere quell’effetto collaterale, nel luglio 2021 l’Unione europea ha approvato il regolamento 2021/1232, una deroga temporanea che sospende gli articoli 5 e 6 della direttiva ePrivacy per le piattaforme che scelgono di scansionare volontariamente i messaggi, chiamata comunemente Chat Control.
Due binari paralleli: Chat Control 1.0 e 2.0
Il voto di giovedì riguarda solo la proroga temporanea, quella che gli addetti ai lavori chiamano Chat Control 1.0. È un dossier diverso da Chat Control 2.0, il regolamento permanente ancora in negoziazione, formalmente la Child Sexual Abuse Regulation, che dovrebbe sostituire la deroga con una cornice strutturata fatta di ordini di rilevamento, un centro antiabusi europeo e, punto più controverso, possibili obblighi di verifica dell’età per usare app di messaggistica o scaricare applicazioni. Non è la prima volta che il dossier temporaneo finisce sotto i riflettori: già lo scorso autunno l’Europarlamento aveva rimandato la questione al mittente, come raccontavamo allora.
Il trilogo tra Parlamento, Consiglio e Commissione sul regolamento permanente ha attraversato cinque round senza trovare un accordo: l’ultimo, il 29 giugno, si è arenato di nuovo sulla scansione indiscriminata delle comunicazioni cifrate end-to-end. Il sesto round è atteso a settembre, sotto la presidenza irlandese.
Come un testo già bocciato due volte è tornato in aula
A inizio 2026 l’Europarlamento aveva già respinto due proposte per riattivare la scansione di massa, l’ultima delle quali a marzo con 311 voti contrari, 228 favorevoli e 92 astenuti. La deroga era scaduta il 3 aprile e sembrava un capitolo chiuso. Il 2 luglio il Consiglio dell’Unione europea ha adottato come propria posizione di seconda lettura lo stesso testo della Commissione già bocciato, attivando una regola procedurale che cambia i rapporti di forza: in seconda lettura, per respingere o modificare la posizione del Consiglio serve la maggioranza assoluta dei membri del Parlamento, 361 su 720, non la maggioranza di chi è presente in aula.
Il 7 luglio il Partito Popolare Europeo ha chiesto e ottenuto, con 331 voti contro 304, l’attivazione della procedura d’urgenza prevista dal regolamento del Parlamento, saltando la fase di esame in commissione e portando il testo direttamente in plenaria nell’ultimo giorno utile prima delle vacanze estive. La presidente del Parlamento Roberta Metsola, lei stessa esponente del PPE, aveva già spinto per la riattivazione della deroga a Chat Control in occasione del Consiglio europeo del 18 giugno.
Il precedente non è isolato: solo pochi giorni fa un’inchiesta ha raccontato come lo spyware Pegasus fosse stato usato per intercettare gli stessi europarlamentari incaricati di vigilare sul suo utilizzo, un episodio che ha alimentato la diffidenza verso gli strumenti di sorveglianza gestiti dalle istituzioni comunitarie.
L’unica modifica: l’esclusione della crittografia end-to-end
L’Aula è riuscita a correggere il testo del Consiglio in un solo punto. Con 369 voti è passato l’emendamento che esclude esplicitamente dal regolamento le comunicazioni cifrate end-to-end, presenti, passate o future, e con 362 voti la norma gemella che vieta di applicare tecnologie di scansione a quelle stesse comunicazioni. Si tratta però di una modifica che deve ancora completare il suo percorso: avendo il Parlamento emendato la posizione del Consiglio, il testo torna ora all’esecutivo dei Ventisette, che ha tempo fino a circa il 9 ottobre per accettare o respingere l’aggiunta.
In caso di rifiuto si aprirebbe un comitato di conciliazione, mentre la parte principale del regolamento, l’autorizzazione alla scansione volontaria, è già in vigore. Per l’ex europarlamentare Patrick Breyer, tra i più attivi oppositori del testo, l’esenzione resta “più simbolica che sostanziale”, perché i fornitori non scansionano comunque le comunicazioni cifrate end-to-end: l’emendamento certifica una prassi già esistente più che introdurre una tutela nuova.
Il voto e gli schieramenti
A votare per la bocciatura è stato un fronte trasversale che ha messo insieme Verdi, Sinistra e gran parte dell’estrema destra, con Renew orientato in maggioranza contro il testo e i Socialisti divisi. Contrari alla bocciatura sono stati soprattutto i Popolari, insieme a una parte di liberali e socialisti, compresa la relatrice socialista tedesca Birgit Sippel, che questa volta ha votato per respingere il testo che porta la sua stessa firma.
Un secondo tentativo di bocciatura, presentato in base all’articolo 68 del regolamento del Parlamento, è arrivato a un risultato ancora peggiore: 276 sì, 286 no e 30 astenuti. Anche gli emendamenti più stringenti sono rimasti sotto la soglia dei 361 voti: quello che avrebbe limitato la scansione ai soli sospettati individuati dall’autorità giudiziaria ha raccolto la maggioranza semplice, 322 voti contro 255, così come la proposta di Renew di accorciare la proroga al 2 aprile 2027, ferma a 353 voti.
Cosa cambia per la privacy di chi usa le chat
Per l’utente medio, nell’immediato, cambia meno di quanto la vicenda politica lasci intendere. Il tipo di controllo reso di nuovo legale dalla deroga a Chat Control, il confronto tramite hash con un database di materiale già noto su servizi come Gmail, Messenger, Outlook e iCloud Mail, tutti non cifrati end-to-end, è lo stesso che Google, Meta e Microsoft applicano da anni, deroga o meno: è il motivo per cui finora nessun utente si è accorto di nulla, dato che il controllo avviene in automatico su materiale già catalogato come illecito, senza che nessuno legga le conversazioni altrui.
Anche una bocciatura del testo, oggi, difficilmente avrebbe fatto sparire questa pratica: più probabilmente sarebbe proseguita in una zona grigia, come già accaduto tra dicembre 2020 e agosto 2021. Sul fronte opposto, le chat cifrate end-to-end di WhatsApp e Signal non sono mai state toccate da queste scansioni, e ora l’esclusione è scritta nero su bianco nel testo, sia pure in attesa del via libera del Consiglio.
Cosa rischia davvero la privacy: Chat Control 2.0
Il vero banco di prova per la riservatezza delle comunicazioni resta il regolamento permanente. Se la versione definitiva dovesse estendere la scansione anche ai servizi realmente cifrati end-to-end, servirebbe romperne la cifratura oppure introdurre controlli lato dispositivo prima ancora che il messaggio venga criptato, lo stesso tipo di intervento che nel 2021 aveva spinto Apple a fare marcia indietro sul proprio progetto di scansione lato client. A questo si aggiungono i classificatori basati sull’intelligenza artificiale per individuare materiale non ancora catalogato e la possibile introduzione di una verifica dell’età obbligatoria per usare app di messaggistica, posta elettronica o persino per scaricare applicazioni.
Il voto di giovedì non ha introdotto la sorveglianza di massa che si rischia con Chat Control 2.0, ma ha tolto al Consiglio buona parte dell’incentivo a trattare su un testo più equilibrato: i negoziati sul regolamento permanente riprenderanno a settembre, sotto la presidenza di turno irlandese. Resta inoltre aperta la strada di un ricorso davanti alla Corte di giustizia dell’Unione europea: il servizio legale del Consiglio ha giudicato la deroga incompatibile con l’articolo 7 della Carta dei diritti fondamentali, che tutela la riservatezza delle comunicazioni, in un parere poi reso pubblico.
Fonte: The Register
