Il Parlamento europeo ha riacceso uno dei dossier più delicati della politica digitale europea approvando, il 9 luglio, la proroga della deroga ePrivacy che consente ai fornitori di servizi online di continuare a individuare e segnalare volontariamente materiale di abuso sessuale sui minori. Il voto, tuttavia, è soltanto una tappa di un negoziato molto più ampio destinato a proseguire nei prossimi mesi con il regolamento europeo permanente sul contrasto agli abusi sessuali online.
Nelle ore successive alla decisione dell’Eurocamera il dibattito si è rapidamente polarizzato. Da una parte c’è chi denuncia l’avvio di una forma di sorveglianza di massa delle comunicazioni private; dall’altra chi ritiene indispensabile mantenere strumenti considerati fondamentali per individuare immagini, video e comportamenti riconducibili allo sfruttamento sessuale dei minori. Ma la questione è più complessa. Il confronto non riguarda soltanto il delicato equilibrio tra sicurezza e privacy: investe anche il ruolo delle grandi piattaforme digitali, la strategia europea sulla sovranità tecnologica e il modo in cui l’Unione intende esercitare la propria capacità regolatoria nei confronti di un ecosistema dominato quasi interamente da aziende statunitensi.
Il Chat Control è diventato il banco di prova della sovranità digitale europea
È proprio questa sovrapposizione di piani ad aver trasformato il Chat Control in uno dei dossier più controversi degli ultimi anni. Per comprenderne la portata occorre innanzitutto chiarire un equivoco ricorrente: con l’espressione “Chat Control” si indicano infatti due provvedimenti distinti, spesso confusi nel dibattito pubblico.
Il primo è la deroga temporanea alla direttiva ePrivacy, introdotta nel 2021 per consentire ai fornitori di servizi di comunicazione elettronica di continuare a rilevare volontariamente materiale di abuso sessuale sui minori, nonostante le limitazioni imposte dalla disciplina europea sulla riservatezza delle comunicazioni. È questa la misura appena prorogata dal Parlamento europeo, dopo la scadenza del 3 aprile 2026.
Il secondo è invece il cosiddetto Chat Control 2.0, cioè la proposta di regolamento presentata dalla Commissione europea nel maggio 2022 per creare un sistema permanente di prevenzione e contrasto degli abusi sessuali online. Si tratta di un testo molto più ambizioso, ancora oggetto del negoziato tra Parlamento e Consiglio, sul quale si concentrano le principali contestazioni.
La distinzione non è soltanto tecnica. La proroga appena votata mantiene infatti un sistema basato sulla rilevazione volontaria già praticata da alcune piattaforme. Il regolamento permanente, invece, mira a costruire un quadro giuridico uniforme per tutta l’Unione, definendo obblighi, garanzie, controlli e strumenti utilizzabili per individuare materiale illecito.
È proprio qui che emergono le diverse letture del dossier.
Per la Commissione europea, la questione nasce da un’esigenza molto concreta. Bruxelles ricorda che una parte consistente delle indagini sugli abusi sessuali sui minori prende avvio proprio dalle segnalazioni effettuate dalle piattaforme digitali. Secondo le FAQ pubblicate dall’esecutivo europeo, in alcuni Stati membri fino all’80% delle indagini deriva da report trasmessi dai fornitori di servizi online. Lasciare scadere la deroga, sostiene la Commissione, avrebbe creato un vuoto normativo, inducendo molti operatori a interrompere attività di rilevazione fino a quel momento consentite.
Da questa prospettiva, il Chat Control non nasce per introdurre una sorveglianza generalizzata delle comunicazioni, bensì per fornire una base giuridica stabile a strumenti già oggi utilizzati e ritenuti essenziali nella lotta contro lo sfruttamento sessuale dei minori.
Anche il Consiglio dell’Unione europea, che rappresenta i governi nazionali, si è mosso in questa direzione chiedendo di prorogare la deroga fino al 3 aprile 2028, così da evitare interruzioni mentre prosegue il negoziato sul regolamento definitivo.
Il Parlamento europeo, pur non riuscendo a respingere la proroga, ha però introdotto una modifica significativa: l’esclusione delle comunicazioni protette da crittografia end-to-end dall’ambito di applicazione della deroga. Un emendamento destinato a incidere anche sul successivo confronto con il Consiglio.
Ed è proprio la crittografia a rappresentare uno dei principali terreni di scontro. ecnologie come quelle utilizzate da Signal, WhatsApp, iMessage e, in parte, da Messenger consentono infatti che il contenuto dei messaggi sia leggibile esclusivamente dal mittente e dal destinatario. Il fornitore del servizio non dispone della chiave necessaria per decifrare le comunicazioni archiviate sui propri server. Per questo motivo, il Parlamento europeo ha ritenuto che tali conversazioni dovessero restare escluse dalla deroga.
La questione, però, non si esaurisce qui. Se il riconoscimento di immagini già note alle autorità attraverso il confronto con i cosiddetti hash è generalmente considerato il caso meno problematico, molto più controverso è il rilevamento di contenuti nuovi o di tentativi di adescamento online (grooming). In questi casi non basta confrontare un file con un archivio di impronte digitali: occorrono algoritmi capaci di interpretare immagini, video o testi e di formulare valutazioni probabilistiche. È proprio questa differenza tecnica a spiegare gran parte delle obiezioni avanzate dalle autorità garanti europee.
Nel loro parere congiunto, il Comitato europeo per la protezione dei dati (EDPB) e il Garante europeo della protezione dei dati (EDPS) hanno riconosciuto la legittimità dell’obiettivo perseguito dalla Commissione, ma hanno espresso «serie preoccupazioni» sulla necessità e sulla proporzionalità di alcune delle misure previste. In particolare, le due autorità ritengono che gli strumenti destinati a individuare materiale inedito o casi di grooming possano tradursi, di fatto, in una forma di scansione generalizzata delle comunicazioni elettroniche dei cittadini europei. Hanno inoltre chiesto che qualunque futura normativa non indebolisca né aggiri la crittografia end-to-end.
È da queste valutazioni che nasce l’accusa, avanzata da numerose organizzazioni per i diritti digitali, secondo cui il Chat Control rischierebbe di aprire la strada a una forma di sorveglianza di massa. Tra i soggetti più attivi figurano European Digital Rights (EDRi), numerosi esperti di crittografia e l’ex eurodeputato del Partito Pirata Patrick Breyer, secondo i quali non è decisivo stabilire se a effettuare materialmente la scansione sia un’autorità pubblica o una piattaforma privata: se il legislatore crea una base giuridica che consente o impone l’analisi preventiva delle comunicazioni, il risultato sarebbe comunque un sistema di controllo generalizzato incompatibile con il diritto alla riservatezza.
“Serie preoccupazioni sulla necessità e sulla proporzionalità dell’interferenza con privacy e protezione dei dati”
La Commissione respinge questa interpretazione. Nella proposta di regolamento permanente sostiene che gli eventuali Detection Orders dovrebbero essere adottati soltanto caso per caso, autorizzati da un’autorità giudiziaria o indipendente, limitati nel tempo e utilizzati come extrema ratio quando le misure preventive risultino insufficienti. Nella visione dell’esecutivo europeo, dunque, il nuovo sistema non costituirebbe un monitoraggio indiscriminato di tutte le comunicazioni, ma uno strumento eccezionale sottoposto a precise garanzie procedurali.
Il confronto, tuttavia, non riguarda soltanto il rapporto tra sicurezza e privacy. Dietro il Chat Control si nasconde anche un interrogativo di natura geopolitica e industriale che raramente emerge nel dibattito pubblico: chi controlla davvero oggi le comunicazioni digitali dei cittadini europei?
Le piattaforme che gestiscono gran parte delle comunicazioni elettroniche nell’Unione sono infatti quasi tutte statunitensi. Meta controlla WhatsApp, Messenger e Instagram; Apple gestisce iMessage; Google è presente con Messages, Android e numerosi servizi cloud; Microsoft domina una parte rilevante delle comunicazioni aziendali. Già oggi molte di queste società effettuano attività di rilevazione volontaria del materiale di abuso sessuale sui minori utilizzando tecnologie sviluppate internamente o fornite da soggetti specializzati.
Da questo punto di vista emerge una delle principali contraddizioni del dossier. Da anni l’Unione europea cerca di ridurre la propria dipendenza tecnologica dagli Stati Uniti attraverso il Digital Markets Act, il Digital Services Act, l’AI Act, gli investimenti nei semiconduttori, le iniziative sul cloud europeo e, più recentemente, il dibattito sull’EuroStack e sulla sovranità digitale. Allo stesso tempo, però, il contrasto agli abusi online continua a dipendere in larga misura dalle infrastrutture e dalle tecnologie sviluppate proprio dalle Big Tech americane.
È qui che si separano ulteriormente le interpretazioni.
Per la Commissione europea, il regolamento rappresenterebbe un modo per europeizzare un’attività oggi svolta principalmente dalle piattaforme private, introducendo regole comuni, controlli pubblici e un futuro Centro europeo incaricato di coordinare le segnalazioni.
Per i critici, invece, il risultato potrebbe essere opposto: invece di ridurre il peso delle Big Tech, il nuovo quadro normativo finirebbe per attribuire loro un ruolo ancora più centrale, affidando proprio ai grandi operatori digitali il compito di analizzare, filtrare e segnalare le comunicazioni degli utenti. Non è quindi soltanto un conflitto tra Bruxelles e le multinazionali americane, ma anche una discussione su quale debba essere il rapporto tra potere pubblico e piattaforme private nella gestione dello spazio digitale.
Sul dossier pesa anche un’intensa attività di rappresentanza di interessi. Il Registro per la trasparenza dell’Unione europea documenta gli incontri tra la Commissione e numerosi soggetti impegnati nel contrasto allo sfruttamento sessuale dei minori online. Tra questi figura Thorn, l’organizzazione statunitense fondata nel 2012 dagli attori Ashton Kutcher e Demi Moore, che sviluppa tecnologie per individuare materiale di abuso sessuale sui minori. Il suo software Safer è utilizzato da diverse piattaforme per facilitare il riconoscimento dei contenuti illeciti e, secondo uno studio del Servizio Ricerca del Parlamento europeo, Thorn intrattiene collaborazioni con aziende come Google, Intel e Palantir. Nel corso degli anni l’organizzazione ha partecipato alle consultazioni pubbliche della Commissione europea e ha incontrato i gabinetti di diversi commissari, sostenendo la necessità di garantire certezza giuridica alle piattaforme che effettuano attività di rilevazione e di creare un Centro europeo capace di coordinare provider, forze di polizia e autorità nazionali.
L’UE vuole limitare il potere delle Big Tech o finisce per rafforzarlo?
Accanto a Thorn compare anche WeProtect Global Alliance, rete internazionale che riunisce governi, organizzazioni internazionali, imprese tecnologiche e associazioni impegnate nella lotta allo sfruttamento sessuale dei minori online. La Commissione europea considera WeProtect uno dei partner della propria strategia in materia e ha sostenuto nel tempo diverse iniziative della rete. Proprio i rapporti tra Commissione, WeProtect e Thorn sono stati oggetto di attenzione anche sotto il profilo della trasparenza. Nel 2024 il Mediatore europeo ha criticato l’esecutivo europeo per non aver concesso un accesso più ampio ai documenti relativi ai contatti con Thorn, ritenendo che, considerata la rilevanza politica del dossier, tali informazioni dovessero essere rese pubbliche.
Il ruolo delle lobby rappresenta così un ulteriore elemento di complessità. Per alcuni dimostra come il futuro quadro normativo sia il risultato di un confronto aperto con gli operatori che sviluppano concretamente le tecnologie utilizzate per individuare gli abusi online. Per altri evidenzia invece il rischio che soggetti privati, spesso extraeuropei, esercitino un’influenza significativa nella definizione di strumenti destinati a incidere su diritti fondamentali come la riservatezza delle comunicazioni.
Anche sul piano politico il dossier ha prodotto posizioni non sempre lineari. In Italia, ad esempio, il Governo ha espresso al Consiglio dell’Unione europea voto favorevole alla proroga della deroga ePrivacy, accompagnandolo però con una dichiarazione nella quale chiedeva maggiori garanzie sulla tutela della crittografia end-to-end, sulla proporzionalità delle misure e sul ruolo affidato ai fornitori di servizi, definiti «soggetti privati in larga parte extraeuropei». Pochi giorni dopo, al Parlamento europeo, gli eurodeputati di Fratelli d’Italia e Lega hanno invece rivendicato il voto contrario alla proroga, denunciando il rischio di una limitazione della libertà delle comunicazioni. Una divergenza che riflette le difficoltà politiche di un dossier nel quale esigenze di sicurezza, tutela dei diritti fondamentali e rapporti con le grandi piattaforme digitali finiscono inevitabilmente per intrecciarsi.
Nel frattempo, ciò che cambia concretamente per i cittadini è meno di quanto il dibattito pubblico lasci spesso intendere. La proroga approvata dall’Europarlamento non introduce un nuovo sistema di controllo generalizzato delle comunicazioni né coincide con il regolamento permanente ancora in discussione. Mantiene, invece, il regime transitorio che consente ai fornitori di servizi di continuare a effettuare attività di rilevazione volontaria del materiale di abuso sessuale sui minori, mentre il Parlamento ha chiesto di escludere esplicitamente le comunicazioni protette da crittografia end-to-end. Sarà ora il Consiglio a decidere se accogliere questa modifica o riaprire il confronto con l’Eurocamera.
La partita decisiva si giocherà però nei prossimi mesi sul Chat Control 2.0. Sarà il regolamento permanente a stabilire se, e in quali casi, potranno essere emessi ordini di rilevazione, quali tecnologie potranno essere utilizzate, quali garanzie dovranno essere rispettate e quale ruolo avranno le piattaforme digitali nel sistema europeo di contrasto agli abusi sessuali online.
Qualunque sarà l’esito del negoziato, il Chat Control rappresenta già uno dei passaggi più significativi della politica digitale europea. Non soltanto perché mette a confronto tutela dei minori e diritto alla privacy, ma perché costringe l’Unione a misurarsi con una questione ancora più ampia: come costruire una reale sovranità digitale europea in un ecosistema nel quale le principali infrastrutture, le piattaforme di comunicazione e gran parte delle tecnologie necessarie a far rispettare le regole appartengono ancora a grandi operatori privati, quasi tutti statunitensi. È in questo equilibrio, più ancora che nella sola scansione dei messaggi, che si gioca il futuro della regolazione europea delle comunicazioni digitali.
