di Flavio De Septis
Il Parlamento europeo ha approvato Chat Control 1.0, la deroga temporanea che consente ai provider di scansionare volontariamente i messaggi fino al 3 aprile 2028, escludendo però le chat cifrate end-to-end. Il regolamento permanente, il vero Chat Control 2.0, non è ancora legge: si decide nei Si decide nella negoziazione interistituzionale di fine anno che coinvolge la Commissione europea, il Consiglio dell’Unione europea e il Parlamento europeo.
Quando si legge “il Parlamento europeo ha approvato Chat Control”, la frase è vera solo a metà. Il voto c’è stato, il 9 luglio 2026, ma riguarda la proroga di un regime transitorio nato nel 2021. Il pacchetto più ambizioso, quello raccontato da Agenda Digitale a fine 2025 con verifica dell’età obbligatoria e un nuovo Centro europeo, è ancora in negoziazione tra Parlamento, Consiglio e Commissione.
Capire la differenza non è un esercizio da giuristi. Da una parte c’è ciò che i provider possono già fare oggi con le nostre comunicazioni. Dall’altra c’è ciò che potrebbero essere obbligati a fare domani.
Due leggi, un solo soprannome
“Chat Control” non è il nome ufficiale di nessuna norma. È l’etichetta, nata tra i critici, che copre due testi diversi.
| Chat Control 1.0 | Chat Control 2.0 (CSAR) | |
|---|---|---|
| Cos’è | Deroga temporanea alla direttiva ePrivacy (prima Reg. UE 2021/1232, ora Reg. UE 2026/1881) | Regolamento permanente per prevenire e combattere gli abusi sessuali sui minori, proposto dalla Commissione nel maggio 2022 |
| Scansione dei messaggi | Volontaria, decisa dal provider | In discussione: ordini di rilevamento imposti dalle autorità |
| Chat cifrate end-to-end | Escluse dal testo votato dal Parlamento | Il nodo ancora aperto del negoziato |
| Stato a novembre 2026 | In vigore dal 31 luglio 2026, scade il 3 aprile 2028 | Non adottato, sei triloghi svolti |
La prima è una licenza: consente alle piattaforme di cercare materiale pedopornografico (CSAM) nelle comunicazioni senza violare le regole sulla riservatezza. La seconda vorrebbe costruire un sistema stabile di obblighi, controlli e una nuova agenzia europea.
Cosa ha votato il Parlamento il 9 luglio
Il Parlamento ha lasciato passare la proroga di Chat Control 1.0 fino al 3 aprile 2028, ma con una modifica decisiva: le comunicazioni cifrate end-to-end restano fuori dalla scansione.
La strada è stata tortuosa. Il 26 marzo 2026 gli eurodeputati avevano respinto una nuova proroga e la deroga era scaduta il 3 aprile, lasciando i provider senza base giuridica per circa tre mesi. A fine giugno la presidente Roberta Metsola ha riaperto il dossier, sostenendo che il vuoto normativo esponeva i minori a rischi.
Il 7 luglio è passata la procedura d’urgenza, con 331 voti favorevoli, 304 contrari e 11 astenuti. Il 9 luglio, in seconda lettura, la proposta di respingere la posizione del Consiglio ha raccolto 314 voti contro 276. Erano la maggioranza dei presenti, ma non la maggioranza assoluta di 361 eurodeputati richiesta in quella fase: il testo è quindi andato avanti.
Nello stesso voto è stato approvato l’emendamento che esclude le comunicazioni a cui la cifratura end-to-end è stata, viene o verrà applicata. Il Consiglio ha poi accettato il testo e il nuovo Regolamento (UE) 2026/1881 è in vigore dal 31 luglio 2026.
La scansione resta volontaria. Riguarda soprattutto webmail e servizi di messaggistica non basati sul numero telefonico, esclude le comunicazioni audio e non tocca, sulla carta, le chat cifrate di WhatsApp, Signal o iMessage.
Chat Control 2.0: a che punto è il negoziato
Sul regolamento permanente c’è accordo sui contenuti pubblici e sul nuovo Centro UE, non sui messaggi privati. È lì che si gioca la partita sulla privacy.
Il punto di partenza è la posizione del Consiglio del 26 novembre 2025, descritta da Agenda Digitale. I governi avevano tolto l’obbligo generalizzato di scansione previsto dalla Commissione, ma proponevano di rendere permanente la scansione volontaria, valutazioni del rischio obbligatorie per i provider, la classificazione dei servizi in tre fasce di rischio, la verifica dell’età per gli utenti e limiti alle chat per i minori di 17 anni. L’Italia e la Germania si erano astenute; Repubblica Ceca, Paesi Bassi, Polonia e Slovacchia avevano votato contro.
I triloghi sono iniziati il 9 dicembre 2025. Ad aprile 2026 le parti avevano trovato un’intesa su valutazione del rischio, mitigazione e segnalazioni. Il quinto incontro, il 29 giugno, si è chiuso senza accordo.
Il sesto trilogo, il 29 settembre 2026 sotto presidenza irlandese, ha prodotto due intese provvisorie:
- Ordini di rilevamento sui contenuti pubblici: le autorità, anche amministrative e non solo giudiziarie, potranno imporre a social network e servizi cloud di scansionare i contenuti pubblicamente accessibili.
- Il Centro UE per la protezione dei minori: verificherà le segnalazioni dei provider, le inoltrerà alle autorità e potrà cercare di propria iniziativa materiale illecito nei contenuti pubblici. La Commissione ha già avviato la scelta della sede.
Resta aperto il capitolo dei contenuti privati, cioè chat ed e-mail. Il Parlamento rifiuta la scansione indiscriminata; secondo l’ex eurodeputato Patrick Breyer, in assenza di accordo i governi potrebbero puntare a mantenere in piedi Chat Control 1.0 come soluzione di ripiego. Su verifica dell’età e restrizioni per i minori non risulta ancora un testo condiviso.
Gli impatti sulla privacy
La cifratura end-to-end, per ora, è salva. Ma la riservatezza delle comunicazioni è un concetto più ampio della sola crittografia, e su questo il quadro europeo si sta spostando.
1. Scansione senza giudice. Con Chat Control 1.0 sono le piattaforme, spesso extraeuropee, a decidere se e come analizzare i messaggi, senza un’autorizzazione caso per caso. Una misura nata come eccezione nel 2021 si sta trasformando in una prassi stabile.
2. Non tutto è cifrato. L’esclusione riguarda solo le comunicazioni end-to-end. Webmail, chat di gruppo non cifrate, messaggi diretti su molti social e file in cloud restano nel perimetro. Per l’utente medio la distinzione è invisibile: spesso non sa quale delle sue app cifra davvero.
3. Falsi positivi. Gli algoritmi di rilevamento sbagliano, soprattutto su testi e immagini ambigue. Una foto di famiglia o un’immagine scambiata consensualmente tra adolescenti può generare una segnalazione, con conseguenze pesanti per persone innocenti e un carico inutile per le procure.
4. Il rischio del client-side scanning. Se il regolamento permanente estendesse il rilevamento ai messaggi cifrati, l’unica via tecnica sarebbe analizzarli sul dispositivo prima della cifratura. Esperti e aziende come Signal sostengono che questo svuoterebbe la crittografia: un sistema capace di leggere per cercare CSAM può essere riorientato a cercare altro.
5. La fine dell’anonimato. La verifica dell’età proposta dal Consiglio obbligherebbe anche gli adulti a dimostrare di non essere minorenni. Oggi questo richiede documenti, biometria del volto o stime basate sull’immagine: dati sensibili che contraddicono il principio di minimizzazione del GDPR e mettono a rischio giornalisti, fonti, attivisti e vittime che hanno bisogno di restare anonimi.
6. Un nuovo snodo centralizzato. Il Centro UE ridurrà la frammentazione tra Stati, ma concentrerà in un solo punto segnalazioni e dati molto delicati. Servono garanzie chiare su poteri, conservazione dei dati e controllo indipendente.
Cosa vuol dire, in pratica
Oggi nessuno legge in automatico le chat cifrate di WhatsApp o Signal, ma ciò che passa in chiaro su piattaforme e caselle di posta può essere analizzato. Domani potrebbe esserlo anche ciò che pubblichiamo online, su ordine di un’autorità.
Per i cittadini
- Le conversazioni su app con cifratura end-to-end attiva per impostazione predefinita restano fuori dalla scansione prevista dalla deroga.
- E-mail, messaggi diretti non cifrati e contenuti caricati su servizi cloud o social possono essere analizzati dal provider.
- Con Chat Control 2.0 i contenuti pubblici potranno essere scansionati su ordine delle autorità, anche amministrative.
- Se passerà la verifica dell’età, aprire un account potrebbe richiedere un documento o un riconoscimento facciale.
Per le aziende
- I fornitori di servizi di comunicazione e hosting dovranno prepararsi a valutazioni del rischio documentate, misure di mitigazione e possibili ordini di rilevamento, con impatti su DPIA, informative e tempi di conservazione.
- Chi gestisce la sicurezza in azienda deve sapere quali canali sono davvero cifrati end-to-end e classificare di conseguenza le informazioni che vi transitano.
- Le comunicazioni riservate, come quelle legali, sindacali o su segreti industriali, non dovrebbero viaggiare su canali in chiaro gestiti da terzi.
- Un eventuale obbligo di verifica dell’età introdurrebbe nuovi trattamenti di dati biometrici o identificativi, da gestire con il GDPR come base.
Prossimi passi
Il settimo trilogo, forse decisivo, è previsto per dicembre 2026 al Parlamento europeo; secondo Patrick Breyer la data indicata è l’8 dicembre. Dopo un eventuale accordo politico serviranno il via libera della commissione LIBE, il voto in plenaria e l’approvazione del Consiglio.
Tre scenari sono possibili. Un accordo che escluda in modo esplicito le comunicazioni cifrate e limiti il rilevamento ai contenuti pubblici. Un compromesso più ampio, con forme di scansione dei contenuti privati. Oppure nessun accordo, con Chat Control 1.0 che resta in vigore fino ad aprile 2028.
Proteggere i minori online è un obiettivo che nessuno mette in discussione. Il punto è il mezzo: una sorveglianza generalizzata delle comunicazioni, anche se affidata ai privati e definita volontaria, cambia il rapporto tra cittadini, piattaforme e Stato. Le prossime settimane diranno se l’Europa riuscirà a combattere gli abusi senza rinunciare al segreto della corrispondenza.
