Chat Control, l'UE riapre la scansione di email e messaggi personali fino al 2028

La scansione dei messaggi privati da parte dei fornitori di servizi di comunicazioni al fine di individuare eventuali reati torna legale nell’Unione Europea, ma con un’esclusione importante: i servizi che applicano la crittografia end-to-end, come WhatsApp e Signal, restano fuori dal regime temporaneo appena approvato. Il Consiglio dell’UE ha dato il via libera definitivo il 23 luglio 2026; la deroga alle regole sulla riservatezza delle comunicazioni resterà applicabile fino al 3 aprile 2028, salvo l’entrata in vigore anticipata della normativa permanente ancora in discussione.

La decisione riapre uno dei dossier digitali, quello sulle normative che promuovono Chat Control, più controversi degli ultimi anni. Da una parte, governi e organizzazioni impegnate nella tutela dei minori sostengono che le segnalazioni generate dalle piattaforme aiutino a individuare vittime, rimuovere immagini illegali e avviare indagini. Dall’altra, esperti di sicurezza, associazioni per i diritti digitali e numerosi parlamentari europei contestano l’idea che la protezione dei bambini richieda l’analisi indiscriminata delle comunicazioni di utenti non sospettati di alcun reato.

Che cosa ha approvato davvero l’Unione Europea

La nuova misura ripristina una deroga temporanea alla direttiva 2002/58/CE, la cosiddetta direttiva ePrivacy. Gli articoli 5 e 6 tutelano rispettivamente la riservatezza delle comunicazioni e l’uso dei dati di traffico. Senza una base normativa specifica, un fornitore di messaggistica o di servizi webmail non può leggere, classificare o confrontare automaticamente il contenuto delle comunicazioni solo perché intenda cercare materiale illegale.

Il regolamento consente invece ai fornitori di servizi di comunicazione di usare volontariamente tecnologie destinate a individuare abusi sessuali online sui minori, segnalare i casi sospetti alle Autorità o a organizzazioni specializzate e rimuovere il materiale. La definizione comprende sia immagini e video illegali, sia il tentativo di adescare un minore attraverso servizi digitali.

Le piattaforme possono adottare tali misure, ma devono individuare un’altra base giuridica valida ai sensi del GDPR per il trattamento dei dati personali. La deroga elimina alcuni ostacoli posti dalla disciplina ePrivacy; non rappresenta, da sola, una licenza generale per trattare qualsiasi dato con qualsiasi tecnica.

La misura originaria risale al regolamento UE 2021/1232, approvato come soluzione transitoria dopo che il Codice europeo delle comunicazioni elettroniche aveva incluso molti servizi Internet nella disciplina applicabile alle comunicazioni elettroniche. Una prima proroga aveva esteso la validità fino al 3 aprile 2026. Parlamento e Consiglio non hanno però raggiunto un accordo prima di quella data e il regime è scaduto, creando un intervallo di alcuni mesi durante il quale i fornitori non potevano più basarsi sulla deroga europea.

Il nuovo testo entrerà in vigore 3 giorni dopo la pubblicazione nella Gazzetta ufficiale dell’Unione Europea. Da quel momento le piattaforme interessate potranno riprendere le attività di scansione volontarie sui contenuti privati degli utenti fino al 3 aprile 2028.

WhatsApp e Signal sono escluse, ma la partita non è chiusa

La modifica politicamente più rilevante riguarda i servizi ai quali si applica, si è applicata o si applicherà la cifratura end-to-end. Il Consiglio ha accettato la formulazione introdotta dal Parlamento, pur precisando che tale concessione non anticipa la posizione dei governi sulla futura legge permanente.

In una conversazione cifrata end-to-end, le chiavi necessarie a decifrare il contenuto rimangono sui dispositivi dei partecipanti. Il gestore trasporta pacchetti cifrati ma, se il protocollo funziona correttamente, non dispone del testo, delle immagini o dei video in chiaro. Signal usa il proprio protocollo crittografico, adottato con varianti anche da WhatsApp; la cifratura protegge non soltanto dagli accessi del fornitore, ma anche da criminali informatici, operatori di rete e soggetti che tentino di intercettare il traffico.

Una scansione eseguita dal server richiederebbe quindi l’accesso ai contenuti prima della cifratura o dopo la decifratura. L’alternativa discussa da tempo prende il nome di client-side scanning: l’analisi avviene sul telefono o sul computer dell’utente, prima dell’invio oppure al momento della visualizzazione. Formalmente la cifratura del canale potrebbe restare intatta; in pratica, però, il dispositivo assumerebbe il ruolo di punto di ispezione e potrebbe segnalare il contenuto a un soggetto esterno.

Una simile architettura indebolisce il significato stesso della comunicazione privata: non serve rompere l’algoritmo crittografico: basta controllare ciò che accade ai due estremi. Inoltre, una funzione progettata per riconoscere reati specifici potrebbe essere ampliata in futuro per individuare altre categorie di immagini, documenti o frasi. Il rischio non riguarda soltanto l’uso deciso dall’Unione Europea, ma la creazione di un’infrastruttura tecnica riutilizzabile per una forma di sorveglianza di massa.

L’esclusione approvata nel luglio 2026 evita tale scenario nel regime provvisorio: non risolve però il confronto sulla proposta permanente, spesso definita dai critici Chat Control 2.0. Il Consiglio ha infatti chiarito che l’accettazione della clausola sulla cifratura dipende dalla durata limitata del provvedimento e non equivale a un impegno per i negoziati successivi.

Come funziona la scansione dei contenuti non cifrati

Se non lo sapevate, quindi, adesso lo sapete. Tutti i servizi gestiti da fornitori terzi (anche quelli con sede negli USA), compresi strumenti di messaggistica, piattaforme di chat e account email, possono essere oggetto di una scansione ampia e puntuale.

Questo significa che se il gestore non utilizza la cifratura end-to-end, tutti i vostri dati e quelli scambiati con altri utenti possono essere analizzati e letti. Un’operazione di questo tipo resta su base volontaria ma è estremamente diffusa tra le piattaforme commerciali.

Per riconoscere immagini e video già catalogati, i fornitori possono usare sistemi di hash matching. Un file noto viene trasformato in una firma numerica non reversibile e confrontato con un archivio di firme associate a materiale verificato. Non occorre ricostruire il file partendo dall’hash: serve soltanto stabilire se il contenuto analizzato corrisponde, o somiglia abbastanza, a un elemento dell’archivio.

I normali hash crittografici, come SHA-256, cambiano completamente anche dopo una modifica minima al file. Per riconoscere copie ridimensionate, compresse, ritagliate o alterate si usano quindi hash percettivi, tra cui tecnologie come PhotoDNA. Il sistema estrae caratteristiche visive relativamente stabili e produce un’impronta che può risultare compatibile anche quando i byte non coincidono.

Per il materiale mai catalogato la questione diventa più delicata. Classificatori statistici e modelli di intelligenza artificiale devono stimare se un’immagine sia illecita e costituisca di per sé reato.

Il regolamento stabilisce che la scansione testuale non debba ricostruire il significato generale del messaggio e che l’individuazione si basi su indicatori pertinenti e fattori di rischio identificati oggettivamente. Per stimare una situazione pericolosa, tuttavia, il sistema deve comunque valutare sequenze linguistiche, relazioni tra messaggi, richieste di immagini, tentativi di spostare la conversazione altrove e variazioni del tono.

Perché più segnalazioni non significano automaticamente più protezione

Il punto critico non consiste nello scegliere tra non fare nulla e analizzare tutte le comunicazioni private. Tra i due estremi esistono misure meno invasive e, in molti casi, più direttamente collegate alla protezione delle vittime: rimozione rapida del materiale già conosciuto dagli spazi pubblici e dai servizi cloud, conservazione mirata delle prove, indagini su soggetti identificati, intercettazioni autorizzate dall’autorità giudiziaria, segnalazioni volontarie degli utenti, controlli sugli account che mostrano condotte anomale e strumenti di blocco o denuncia realmente accessibili ai minori. Servono inoltre reparti investigativi dotati di personale specializzato, perché riconoscere un caso urgente, attribuire un account e localizzare una persona richiede competenze che nessun classificatore automatico può sostituire.

La critica di Patrick Breyer alla sorveglianza generalizzata

Su tale distinzione insiste Patrick Breyer, giurista tedesco, attivista per i diritti civili ed ex eurodeputato del Partito Pirata, che durante il suo mandato ha seguito da vicino i dossier europei sulla sorveglianza digitale e sulla riservatezza delle comunicazioni. Breyer non nega la gravità dei reati che si intendono contrastare né la necessità di intervenire; contesta piuttosto l’idea che la scansione indiscriminata delle chat produca automaticamente risultati investigativi migliori. A suo giudizio, Chat Control rischia di offrire una percezione di sicurezza mentre sovraccarica le forze dell’ordine con segnalazioni ripetitive, irrilevanti o prive degli elementi necessari per avviare un’indagine efficace.

Breyer usa un’immagine molto netta: tentare di proteggere i bambini attraverso la sorveglianza generalizzata equivale, secondo lui, ad asciugare continuamente il pavimento senza chiudere il rubinetto. La sua critica riguarda soprattutto l’assenza di un sospetto individuale: aprire automaticamente le comunicazioni digitali di milioni di persone, osserva, non sarebbe concettualmente diverso dal controllare senza mandato tutta la corrispondenza cartacea nella speranza di trovare una prova di reato?

I dati citati da Breyer meritano quindi una lettura attenta. Secondo le cifre richiamate dall’ex eurodeputato, nel 2024 soltanto il 36% delle segnalazioni europee di possibili abusi proveniva dalla scansione delle comunicazioni private; la maggioranza derivava invece da contenuti pubblici e file archiviati nei servizi cloud. Breyer ricorda inoltre che il Bundeskriminalamt tedesco ha classificato come penalmente non rilevante quasi la metà degli avvisi ricevuti. Non significa necessariamente che tutti fossero falsi positivi prodotti dall’algoritmo: alcuni potevano riferirsi a duplicati, contenuti non perseguibili secondo la legge tedesca, utenti non localizzabili o casi già conosciuti. Rimane però il carico operativo. Ogni avviso richiede acquisizione, classificazione, verifica e, quando possibile, attribuzione territoriale.

Molti report, poche informazioni realmente nuove

Un altro elemento riguarda la natura del materiale segnalato. Breyer sostiene che circa il 99% dei report prodotti da Meta riguardi immagini o video già conosciuti.

Impedire l’ulteriore circolazione di quei file resta importante: ogni nuova condivisione rinnova il danno subito dalla vittima e può alimentare reti criminali. Tuttavia, processare migliaia di copie dello stesso contenuto non equivale a scoprire migliaia di nuovi abusi. Un sistema può generare numeri molto elevati pur offrendo poche informazioni nuove agli investigatori.

Breyer sostiene inoltre che le continue proroghe del regime provvisorio riducano la pressione politica necessaria per approvare una normativa permanente più mirata.

La sua proposta privilegia ordini di rilevamento rivolti a sospettati concreti, un centro europeo incaricato di coordinare la rimozione del materiale noto dalla rete pubblica e requisiti di Security by Design. In pratica, l’attenzione dovrebbe spostarsi dalla quantità di messaggi analizzati alla capacità di prevenire il contatto abusivo, individuare i responsabili e assistere le vittime dei reati.