Quando la privacy diventa una questione politica

Chat Control è il nome con cui viene indicato il dibattito europeo sulla regolamentazione delle comunicazioni private online, una delle questioni più controverse degli ultimi anni nel campo dei diritti digitali. Al centro della discussione c’è il tentativo dell’Unione Europea di combattere gli abusi sessuali sui minori online attraverso nuovi strumenti di controllo dei contenuti, e il conseguente confronto su quanto sia possibile proteggere i cittadini senza compromettere la privacy e la crittografia delle loro conversazioni private. Ci sono momenti in cui un singolo voto a Strasburgo può decidere il futuro di miliardi di conversazioni. Il 9 luglio 2026 il Parlamento europeo ha votato su una norma che, con un nome apparentemente tecnico — Chat Control — racchiude una delle questioni più controverse degli ultimi anni: quanto deve poter controllare lo Stato le nostre chat private? Io non sono un esperto di politica europea e non faccio il giornalista. Sono uno studente di 18 anni che, come milioni di altri ragazzi, usa WhatsApp ogni giorno, scambia foto con gli amici, scrive ai professori, parla con la famiglia. Ma quando ho capito cosa stava succedendo, ho sentito il bisogno di informarmi davvero — e di raccontare quello che ho scoperto.

Scrivere questo articolo non è semplice, perché il tema è tecnicamente complesso e politicamente divisivo. Ma credo che tutti, indipendentemente dalla propria posizione politica, debbano capire cosa succede alle proprie comunicazioni digitali. Perché non si tratta solo di leggi lontane: si tratta di quello che scriviamo ogni giorno, delle foto che mandiamo, delle conversazioni che pensiamo siano private.

Da dove viene tutto: il 2022 e la proposta iniziale

Tutto è iniziato l'11 maggio 2022, quando la Commissaria europea per gli affari interni Ylva Johansson ha presentato una proposta di regolamento ufficialmente chiamata Csar — Child Sexual Abuse Regulation, il regolamento contro l'abuso sessuale sui minori online. L'obiettivo dichiarato era nobile e nessuno lo metteva in discussione: combattere la diffusione di materiale pedopornografico e i tentativi di adescamento (grooming) di minori attraverso le piattaforme digitali.

Ma il modo in cui la proposta voleva raggiungere questo obiettivo ha scatenato un terremoto. Il testo, infatti, prevedeva che i fornitori di servizi di messaggistica — pensate a WhatsApp, Signal, Telegram, iMessage, Messenger — adottassero misure tecnologiche per individuare, bloccare e segnalare contenuti pedopornografici nelle comunicazioni private degli utenti. In pratica, ogni messaggio avrebbe potuto essere analizzato da un algoritmo prima di arrivare al destinatario.

I critici hanno immediatamente ribattezzato il provvedimento "Chat Control", un nome che non è mai stato ufficiale ma che ha finito per imporsi nell'opinione pubblica. Perché comunica immediatamente l'idea di fondo: le nostre chat, controllate.

La crittografia end-to-end: il cuore della battaglia

Per capire perché Chat Control ha generato tanta opposizione, bisogna capire cos'è la crittografia end-to-end. In parole semplici: quando mandi un messaggio su WhatsApp, quel messaggio viene trasformato in un codice illeggibile che può essere decifrato solo dal telefono del destinatario. Nessun altro — nemmeno WhatsApp stessa — può leggere cosa hai scritto. Non i server dell'azienda, non gli hacker, non (in teoria) nemmeno un governo.

Questa tecnologia è quella che protegge i messaggi di miliardi di persone in tutto il mondo. I giornalisti la usano per proteggere le proprie fonti. I medici la usano per comunicare con i pazienti. I cittadini dei paesi autoritari la usano per organizzare proteste senza essere scoperti. Distruggere la crittografia end-to-end significa, di fatto, aprire una porta in una fortezza — e una volta aperta, non si può controllare chi entra.

La proposta originaria di Chat Control, nelle sue prime versioni, richiedeva esattamente questo: un sistema che potesse leggere i contenuti delle chat prima che venissero cifrati, o che creasse una sorta di backdoor — una porta di servizio — per accedervi. Numerosi esperti di sicurezza informatica hanno criticato l'idea di introdurre meccanismi che potrebbero indebolire la crittografia end-to-end: una backdoor creata per fini legittimi può essere sfruttata anche da criminali informatici e da governi autoritari. Se apri una breccia nella crittografia, la sua sicurezza è compromessa. Punto.

2023-2024: la battaglia parlamentare

Nel corso del 2023, la proposta ha attraversato fasi complesse. A marzo 2023, il testo è stato rivisto per implementare l'analisi delle comunicazioni protette da crittografia — il cosiddetto Chat Control 2.0. Ma le critiche non si sono fermate.

A novembre 2023, la commissione del Parlamento europeo su Libertà Civili, Giustizia e Affari Interni ha votato per rimuovere lo scansionamento indiscriminato e ha proposto la sorveglianza solo su gruppi ragionevolmente sospetti. Alcuni eurodeputati hanno votato a favore della protezione delle comunicazioni cifrate, segnando una prima crepa nel muro della proposta.

A febbraio 2024, la Corte europea dei diritti dell'uomo ha stabilito, in un caso non direttamente correlato, che la sorveglianza non può essere considerata necessaria per una società democratica. Una sentenza che ha rafforzato la posizione di chi difendeva la crittografia.

A maggio 2024, sono emerse ulteriori manovre per ripristinare lo scansionamento indiscriminato dei messaggi sotto il nome di upload moderation. Ma a giugno 2024, il Consiglio dell'Unione Europea ha rimandato il voto della proposta, probabilmente sotto la pressione delle critiche provenienti da società civile, aziende tecnologiche e organismi per i diritti digitali.

Il Garante europeo della protezione dei dati (EDPS) insieme al Comitato europeo per la protezione dei dati (EDPB) aveva dichiarato congiuntamente che la proposta "potrebbe porre le basi per un generalizzato e indiscriminato scansionamento dei contenuti di tutti i tipi di comunicazioni elettroniche". Persino il Servizio Legale del Consiglio dell'Unione europea aveva criticato l'impatto sulla privacy, enfatizzando che l'analisi delle comunicazioni di tutti i cittadini inciderebbe sul diritto fondamentale al rispetto della vita privata.

La deroga temporanea: la norma ponte che è diventata il problema

Accanto alla proposta permanente (Chat Control 2.0), c'era un'altra vicenda in corso — meno nota ma altrettanto importante. Nel 2021, l'UE aveva introdotto una deroga temporanea alla direttiva ePrivacy, la norma che tutela la riservatezza delle comunicazioni elettroniche. Questa deroga — poi ribattezzata Chat Control 1.0 — consentiva ai fornitori di servizi di comunicazione via internet di analizzare volontariamente i contenuti per individuare abusi sessuali sui minori, rimuovere il materiale e segnalarlo alle autorità.

L'idea era che si trattasse di una norma ponte, temporanea, in attesa della legge definitiva. Ma quattro anni dopo, la legge definitiva non era ancora arrivata. La deroga è scaduta il 3 aprile 2026, e il Consiglio dell'UE ha chiesto di ripristinarla fino al 3 aprile 2028, sostenendo che serve a evitare un vuoto normativo.

Ed è qui che entra in gioco il voto del 9 luglio 2026.

Il voto del 9 luglio 2026: il paradosso europeo

Il Parlamento europeo ha votato su una procedura urgente, senza il normale passaggio preliminare in commissione. E qui le cose si fanno interessanti — e un po' assurde.

La proposta di respingere integralmente la proroga ha raccolto 314 voti favorevoli, 276 contrari e 17 astensioni. In termini relativi, i contrari erano più numerosi. Ma per bocciare il testo in seconda lettura serviva una maggioranza assoluta di 360 voti. Non sono bastati. Il risultato è un paradosso: maggioranza relativa contraria, ma il provvedimento passa lo stesso.

Invece, gli emendamenti a difesa della crittografia end-to-end hanno raggiunto la maggioranza assoluta richiesta — rispettivamente 369 e 362 voti. Il Parlamento ha quindi escluso dal controllo tutte le comunicazioni protette dalla crittografia end-to-end. Un risultato parziale, ma significativo.

Il testo modificato è ora tornato al Consiglio, che avrà tre mesi per decidere se accettare le modifiche. Se le accetta, il regolamento sarà adottato con le chat cifrate protette. Se ne respinge anche una sola, si apre una fase di conciliazione tra Parlamento e Consiglio. Se anche quella fallisce, il regolamento decadrebbe.

Cosa può essere controllato e cosa no

La domanda che tutti si pongono adesso è semplice: le mie chat sono al sicuro? La risposta è: dipende da cosa usate.

Le chat che applicano la crittografia end-to-end restano fuori dal Chat Control dopo il voto del Parlamento. In pratica: WhatsApp (chat personali, chiamate, foto, video, vocali, documenti), Signal e Viber (crittografia attiva di default su ogni messaggio), iMessage di Apple (messaggi e allegati, ma non gli SMS tradizionali), Messenger di Meta (dal 2023, con la cifratura visibile in ogni chat).

Attenzione però: per Telegram bisogna fare attenzione, perché solo le chat segrete sono cifrate end-to-end — le chat normali no. E su Google Messages la crittografia è attiva solo quando tutti i partecipanti usano l'app di Google.

Ma attenzione: restano controllabili le normali caselle di posta elettronica, le chat e messaggi diretti privi di crittografia end-to-end, le fotografie, video e allegati elaborati sui server della piattaforma, le funzioni non cifrate presenti all'interno di applicazioni che proteggono le chat principali, e i contenuti segnalati direttamente dagli utenti. Inoltre, i messaggi a scomparsa possono essere analizzati o segnalati prima della cancellazione, e neanche una VPN impedisce la scansione effettuata direttamente dall'applicazione.

Chi controlla: non è la polizia, sono le aziende

Un aspetto che spesso viene frainteso è chi effettivamente i controlli. Non si tratta di funzionari europei o agenti di polizia che aprono manualmente le conversazioni. La prima selezione viene effettuata attraverso programmi automatici utilizzati dalle piattaforme, cioè da aziende private.

Quando il software rileva una corrispondenza o attribuisce a un contenuto un'elevata probabilità di essere illecito, può produrre una segnalazione. Soltanto in una fase successiva possono intervenire revisori umani, autorità nazionali, forze di polizia e, nel futuro sistema permanente, il Centro europeo sugli abusi sessuali su minori. Questo significa che la prima barriera di controllo è un algoritmo — e gli algoritmi possono commettere errori.

I falsi positivi: quando un algoritmo sbaglia la vita a qualcuno

Uno dei problemi più seri legati a Chat Control riguarda i falsi positivi. Un'analisi commissionata dal Parlamento europeo stesso ha rilevato che, attualmente, non esiste nessuna tecnologia in nessuna piattaforma che non abbia un elevato tasso di errore nel rilevamento di abusi nei messaggi e nei file.

In Irlanda, solo il 20,3% delle segnalazioni ricevute dalla polizia proviene dal materiale digitale dell'abuso. E di queste, circa il 10% risulta essere un falso positivo. Cosa significa in pratica? Che una foto di famiglia, una conversazione tra adolescenti, del materiale medico potrebbero essere classificati come sospetti e sottoposti a un controllo umano — con tutte le conseguenze del caso.

Pensate a questo: un genitore manda una foto del proprio figlio in spiaggia ai nonni. L'algoritmo la segnala come potenzialmente illecita. Un moderatore umano la esamina. Il genitore riceve una notifica, o peggio, una segnalazione alle autorità. Tutto questo per una foto perfettamente innocente. Il Garante europeo della protezione dei dati ha riconosciuto la necessità di combattere un crimine gravissimo, ma ha chiesto garanzie efficaci contro la scansione "generale e indiscriminata".

Le reazioni: un'Italia (quasi) compatta

Le reazioni in Italia al voto del 9 luglio hanno mostrato un panorama sorprendentemente unitario. Carlo Fidanza, capodelegazione di Fratelli d'Italia-Ecr, ha dichiarato: "La crittografia end-to-end non si tocca. Proteggere i bambini e combattere i predatori online non può significare rinunciare ai principi dello Stato di diritto."

Matteo Salvini ha sintetizzato così: "Difendiamo la privacy e la libertà dei cittadini, combattendo i criminali con strumenti efficaci, non con la sorveglianza di massa." Dai Verdi, Ignazio Marino ha aggiunto: "I bambini si proteggono con indagini intelligenti, non scansionando i messaggi privati di milioni di innocenti."

Il Ppe (Partito Popolare Europeo) ha invece accusato "l'irresponsabile alleanza tra estrema destra e Verdi" di aver prodotto nuovi ritardi. "In questo momento, qualsiasi misura in grado di proteggere i minori è preferibile a un vuoto giuridico", hanno scritto su X.

Anche Italia, Repubblica Ceca, Polonia e Paesi Bassi avevano espresso contrarietà alla proroga indiscriminata già nel novembre 2025.

Big Tech non aspetta: Google, Meta, Microsoft continuano da soli

In mezzo a tutto questo dibattito politico, c'è un dettaglio che molti hanno trascurato. A aprile 2026, dopo la scadenza della deroga, le principali aziende tecnologiche — Google, Meta, Microsoft e Snap — hanno dichiarato che avrebbero continuato le proprie attività volontarie di scansione anche senza una base giuridica esplicita. Le aziende hanno accusato le istituzioni europee di aver creato un vuoto normativo e hanno promesso di proseguire i controlli.

Questo solleva un problema ancora più grande: se le grandi piattaforme tecnologiche decidono autonomamente di controllare i messaggi degli utenti, senza neppure una legge che lo richieda formalmente, dove finisce la volontarietà e dove inizia l'imposizione?

La vera questione: la norma permanente

Il voto del 9 luglio ha riguardato solo il regime temporaneo — la cosiddetta norma ponte. Ma sullo sfondo c'è ancora Chat Control 2.0, il regolamento permanente proposto dalla Commissione europea nel 2022. Un dossier molto più complesso, nel quale l'Europa dovrà stabilire dove finisce la ricerca dei criminali e dove comincia il controllo massivo e indiscriminato delle comunicazioni di tutti.

Il futuro regolamento definitivo dovrebbe introdurre valutazioni del rischio per le piattaforme, misure di prevenzione, ordini di rimozione e blocco, cancellazione dei risultati dai motori di ricerca e un nuovo Centro europeo sugli abusi sessuali su minori. Il Consiglio ha inoltre proposto di rendere stabile la possibilità per le aziende di effettuare controlli. Su questo regolamento permanente i negoziati con il Parlamento sono ancora in corso.

Come ha scritto il Corriere della Sera: "La vera posta in gioco è l'architettura della fiducia nello spazio digitale europeo. Da questa scelta dipenderà il modello di sicurezza che accompagnerà la prossima generazione di comunicazioni online."

Cosa significa tutto questo per noi

Per i cittadini europei, al momento, non cambia praticamente niente. La precedente deroga è scaduta il 3 aprile 2026. Il testo modificato dal Parlamento torna ora al Consiglio, che avrà tre mesi per decidere. Le chat con crittografia end-to-end restano protette, almeno per ora. Ma il tema resta molto rilevante, perché il confronto sulla norma permanente non è affatto chiuso.

Ciò che mi colpisce di tutta questa vicenda è la velocità con cui questioni che sembravano tecniche e lontane possono diventare immediate e personali. Non si tratta solo di politica europea: si tratta di ogni messaggio che mandiamo, di ogni foto che condividiamo, di ogni conversazione che pensiamo sia solo nostra.

E forse la cosa più importante da capire è che la privacy non è un lusso o un capriccio — è una precondizione per la libertà. Come ha scritto l'avvocato Angelo Greco: "Il progetto UE noto come Chat Control nasceva con l'obiettivo nobile di combattere la pedopornografia, ma il rischio è che trasformi ogni chat in uno spazio ispezionabile." Il punto non è scegliere tra sicurezza dei minori e privacy. Il punto è evitare che un'urgenza reale giustifichi strumenti strutturalmente pericolosi.

La privacy non è qualcosa che si perde tutto in una volta. Si perde un po' alla volta, con ogni norma "temporanea" che diventa permanente, con ogni eccezione che si trasforma nel modello. E quando te ne accorgi, è già troppo tardi per riaverla.

-- Kristian Corban

La timeline completa

• Maggio 2022 — La Commissaria Ylva Johansson presenta la proposta Csar (Chat Control 2.0) alla Commissione europea.
• 2021 (in vigore fino ad aprile 2026) — La deroga alla direttiva ePrivacy (Chat Control 1.0) consente la scansione volontaria dei contenuti.
• Marzo 2023 — Il testo viene rivisto per implementare l'analisi delle comunicazioni cifrate.
• Novembre 2023 — La commissione LIBE del Parlamento vota per rimuovere lo scansionamento indiscriminato.
• Febbraio 2024 — La Corte europea dei diritti dell'uomo stabilisce che la sorveglianza non può essere considerata necessaria per una democrazia.
• Maggio 2024 — Nuove manovre per ripristinare lo scansionamento sotto il nome di "upload moderation".
• Giugno 2024 — Il Consiglio dell'UE rimanda il voto della proposta.
• Novembre 2025 — Il Consiglio propone di rendere stabile la possibilità di controlli volontari.
• 3 Aprile 2026 — La deroga temporanea scade.
• Aprile 2026 — Google, Meta, Microsoft e Snap dichiarano di continuare i controlli volontari.
• 9 Luglio 2026 — Il Parlamento europeo vota: respinge la proroga (ma senza raggiungere il quorum) e approva l'esclusione delle chat cifrate.

Conclusioni: la partita non è finita

Scrivere questo articolo mi ha fatto capire quanto sia complesso il confine tra sicurezza e libertà. Non esiste una risposta semplice. Proteggere i minori dagli abusi online è un obiettivo fondamentale e non negoziabile. Ma farlo aprendo le comunicazioni private di milioni di cittadini innocenti è un prezzo che una democrazia non dovrebbe pagare.

Il voto del 9 luglio ha prodotto un risultato imperfetto: le chat cifrate sono protette, ma le comunicazioni non cifrate restano esposte. E la norma permanente — Chat Control 2.0 — è ancora tutta da negoziare. La battaglia sulla privacy digitale in Europa non si è chiusa: è appena ricominciata.

Come cittadini, il nostro compito è informarci, capire cosa stanno decidendo per noi e, quando possibile, farci sentire. Perché la privacy non è un concetto astratto né qualcosa di lontano — è quello che scriviamo ogni sera prima di dormire, è la foto che mandiamo alla nonna, è la conversazione con un amico in cui ci fidiamo abbastanza da essere noi stessi. E quella fiducia non dovrebbe essere negoziabile.