Chat control 2.0

Aggiornamento 05/08/2026 in Italia

Mentre a Bruxelles si discute di scansione delle comunicazioni, in Italia il 4 agosto 2026 il Consiglio dei ministri ha approvato in esame definitivo il decreto legislativo che adegua l'ordinamento nazionale al regolamento (UE) 2024/1689 — l'AI Act — per la parte sull'uso dei sistemi di intelligenza artificiale nell'attività di polizia e sulla responsabilità civile e penale, in attuazione della delega contenuta nella legge 132/2025. L'articolo 8 dello schema consente l'identificazione biometrica remota in tempo reale in luoghi pubblici solo per prevenire minacce gravi e specifiche — attentati, pericoli per l'incolumità — o per cercare persone scomparse e vittime di sequestro, tratta e sfruttamento sessuale: il confronto avviene con banche dati costituite per quella singola finalità e cancellate alla scadenza dell'autorizzazione, ed è vietato alimentarle raccogliendo immagini dal web. L'articolo 10 permette di dotare di riconoscimento facciale gli impianti di videosorveglianza già installati solo dopo un reato e solo per identificare persone già indiziate, con conservazione delle immagini per un massimo di sette giorni. L'autorizzazione arriva dal pubblico ministero su richiesta motivata del questore o dei responsabili delle forze dell'ordine, con vaglio del giudice nei casi previsti; in caso d'urgenza si può iniziare subito avvisando il PM, che ha 24 ore per decidere.

La versione iniziale prevedeva il trattamento biometrico automatico delle immagini riprese in piazze, stadi e cortili: è caduta dopo i rilievi della Commissione europea e il parere condizionato del Garante per la protezione dei dati personali del 14 luglio 2026, che chiedeva trattamento solo ex post sulle tracce registrate, standard di qualità per le banche dati e misure contro il loro accrescimento progressivo. Resta il punto più contestato: ad autorizzare è il pubblico ministero, cioè una parte processuale, e non un giudice terzo — mentre l'articolo 5 dell'AI Act, che in linea di principio vieta l'identificazione biometrica remota in tempo reale a fini di attività di contrasto, ammette le eccezioni solo previa autorizzazione di un'autorità giudiziaria o di un'autorità amministrativa indipendente. Al momento di questo aggiornamento il testo definitivo non è ancora pubblicato in Gazzetta Ufficiale. È lo stesso schema dei tre binari europei, visto dal lato italiano: la regola resta il divieto, la deroga diventa l'infrastruttura.

Un voto perso vincendo

Il 9 luglio 2026 il Parlamento europeo ha votato in seconda lettura il ripristino della deroga alle regole sulla riservatezza delle comunicazioni elettroniche, quella che consente ai fornitori di servizi online di analizzare volontariamente messaggi ed email alla ricerca di materiale pedopornografico e di tentativi di adescamento. Contro il testo si sono espressi 314 deputati: una maggioranza di quelli presenti in Aula, ma non la maggioranza assoluta dei componenti — circa 360 voti — che il regolamento interno impone per respingere in seconda lettura la posizione del Consiglio. Il testo è così passato nonostante il voto contrario della maggioranza dei presenti.

Non è un incidente, è una scelta di procedura. A fine marzo 2026 il Parlamento aveva bocciato la proroga della deroga, che era quindi scaduta il 3 aprile. A fine giugno il Consiglio ha rimandato il testo all'Aula in seconda lettura, dove le soglie di voto sono diverse e più favorevoli a chi vuole approvare; il 7 luglio l'Aula ha accettato la procedura d'urgenza, saltando il passaggio in commissione; il 9 luglio ha votato. Il 23 luglio il Consiglio ha dato il via libera definitivo al testo emendato dal Parlamento. La deroga è di nuovo in vigore fino al 3 aprile 2028.

Gli emendamenti approvati contano quanto la procedura: l'Aula ha escluso dal campo di applicazione le comunicazioni protette da crittografia end-to-end — quindi WhatsApp, Signal, Threema — passando per una manciata di voti (369 e 362 sui due emendamenti chiave). Altri emendamenti, quelli che avrebbero limitato la scansione ai soli utenti sospetti o escluso il materiale "sconosciuto" rilevato con metodi statistici, hanno mancato la soglia. Il risultato è una misura più stretta di quella che il Consiglio voleva, ma sempre fondata sullo stesso principio: l'analisi delle comunicazioni di tutti, delegata a soggetti privati, senza alcun sospetto individuale.

Binario due: il regolamento permanente

La deroga è provvisoria per definizione: serve a tenere in vita le scansioni volontarie mentre si negozia il regolamento definitivo contro gli abusi sessuali su minori, proposto dalla Commissione l'11 maggio 2022 e ribattezzato dai critici chat control. Il testo originale prevedeva i cosiddetti ordini di rilevamento: un'autorità poteva imporre a un servizio di cercare contenuti illeciti nelle comunicazioni dei propri utenti, anche cifrate, il che in pratica significa scansione lato client — cioè sul dispositivo, prima che il messaggio venga cifrato.

Le tre istituzioni sono partite da posizioni inconciliabili, e quattro anni dopo lo sono ancora. La Commissione vuole obblighi di rilevamento estesi; il Parlamento, nella posizione adottata a novembre 2023, li accetta solo su persone già sospettate e con vaglio giudiziario; gli Stati membri, nell'orientamento generale parziale approvato il 26 novembre 2025 sotto presidenza danese, hanno tolto gli obblighi e reso invece permanente la scansione volontaria — quattro paesi (Cechia, Polonia, Slovacchia, Paesi Bassi) hanno votato contro, l'Italia si è astenuta.

I negoziati a tre sono iniziati il 9 dicembre 2025. Il quinto round, il 29 giugno 2026, si è chiuso senza accordo esattamente sul punto che divide tutto: scansione generalizzata a discrezione delle piattaforme oppure rilevamento mirato ordinato da un giudice. Un risultato provvisorio c'è: i negoziatori hanno concordato di tenere le comunicazioni end-to-end fuori dal campo di applicazione, il che toglierebbe di mezzo l'obbligo di scansione lato client. Il sesto round è atteso a settembre 2026, sotto presidenza irlandese.

Binario tre: i metadati di tutti

Mentre il chat control monopolizza l'attenzione, la partita più grande si gioca altrove. Ad aprile 2025 la Commissione ha presentato ProtectEU, la strategia di sicurezza interna; il 24 giugno 2025 ne ha declinato la parte digitale in una tabella di marcia per l'accesso "efficace e lecito" ai dati da parte delle forze dell'ordine, articolata su sei pilastri: conservazione dei dati, intercettazione lecita, forense digitale, decrittazione, standardizzazione e intelligenza artificiale. Nel calendario ci sono una technology roadmap sulla crittografia prevista per il secondo trimestre del 2026 e il finanziamento di capacità di decrittazione "di nuova generazione" per Europol a partire dal 2030.

Il pezzo più pesante è però la nuova disciplina europea sulla conservazione dei dati, attesa dopo la consultazione pubblica del maggio 2025 e la valutazione d'impatto: al 4 agosto 2026 la proposta non è ancora stata presentata. I documenti di lavoro del Consiglio, resi noti dalla stampa specializzata, indicano la direzione: conservazione dei metadati — chi ha contattato chi, quando, da dove, con quale servizio — per un anno secondo la preferenza della maggioranza degli Stati, con un minimo di sei mesi e la possibilità di andare oltre; e soprattutto un campo di applicazione che non si ferma agli operatori telefonici ma arriva ai servizi over-the-top, compresi i messenger cifrati. Non i contenuti, i metadati: che per ricostruire la vita di una persona spesso bastano e avanzano.

Questo binario ha un ostacolo storico: la Corte di giustizia dell'Unione europea ha annullato nel 2014 la vecchia direttiva sulla data retention proprio perché imponeva una conservazione generalizzata e indifferenziata, e da allora ha continuato a delimitarne i confini. Nel frattempo il Digital Omnibus, il pacchetto di semplificazione digitale in discussione, prevede di smontare la direttiva ePrivacy e ridistribuirne i pezzi: è la cornice giuridica in cui la deroga sulla scansione vive, e riscriverla significa riscrivere anche il terreno di gioco.

Un solo progetto in tre pezzi

Tenuti insieme, i tre binari raccontano una cosa sola: la normalizzazione del sospetto generalizzato. La deroga stabilisce che si possono analizzare le comunicazioni di chi non è sospettato di nulla; il regolamento permanente discute solo quanto renderlo obbligatorio; la data retention estende lo stesso principio ai metadati di ogni servizio digitale. Cambia lo strumento, non l'idea.

Il meccanismo ha un nome: la finestra di Overton, la fascia di idee che in un dato momento un politico può sostenere senza perdere consenso, e che si sposta se qualcuno insiste a proporre ciò che sta appena fuori. La deroga del 2021 nasceva come eccezione straordinaria e temporanea alla riservatezza delle comunicazioni; quattro anni dopo è il terreno neutro su cui si discute, e la posizione considerata moderata — la scansione volontaria resa permanente — è esattamente la misura che nel 2020 veniva presentata come emergenza a termine. La proposta massimalista del 2022, con gli ordini di rilevamento obbligatori estesi ai contenuti cifrati, non serve necessariamente a passare: serve a spostare il centro. Quando viene ritirata o annacquata, quel che resta sembra un compromesso ragionevole e viene salutato come una vittoria dei diritti fondamentali, benché ratifichi un principio che dieci anni fa non sarebbe stato nemmeno discutibile. Ogni rata è indolore proprio perché la precedente ha spostato il metro di ciò che consideriamo normale.

Le obiezioni sono note e non vengono dai soliti sospetti. Il Garante europeo della protezione dei dati ha segnalato tassi di errore elevati nel rilevamento di materiale nuovo e dei tentativi di adescamento: su miliardi di messaggi, anche una piccola percentuale di falsi positivi significa masse di conversazioni innocenti finite in revisione — e a rischio ci sono per primi giornalisti, avvocati, medici, chiunque lavori sotto vincolo di riservatezza. Le autorità tedesche per la protezione dei dati, il 27 febbraio 2026, hanno chiesto all'Unione di rinunciare "completamente e definitivamente" al chat control, ricordando che indebolire la crittografia crea vulnerabilità che non distinguono tra chi indaga e chi attacca. E c'è un punto politico che il voto di luglio ha reso evidente: quando la scansione è "volontaria", a decidere che cosa cercare nelle conversazioni degli europei sono aziende private, quasi tutte extraeuropee — un'obiezione che l'Italia stessa ha messo a verbale in Consiglio pur votando a favore della misura ponte.

Nei prossimi mesi ci sono tre date da guardare: il sesto trilogo sul regolamento permanente a settembre, la proposta sulla conservazione dei dati e la roadmap sulla crittografia. Sono file distinti, con sigle diverse e calendari diversi, e questa è esattamente la ragione per cui è difficile accorgersene.

La sorveglianza di massa non arriva mai con un voto solo: arriva a rate, e ogni rata sembra piccola.

FONTI

• Consiglio dell'Unione europea, Fighting child sexual abuse online: interim measure protecting children now reinstated, 23 luglio 2026 — consilium.europa.eu
• Consiglio dell'Unione europea, Council moves to reinstate interim measure to combat child sexual abuse online, 2 luglio 2026 — consilium.europa.eu
• Parlamento europeo, Combating child sexual abuse: support for a more limited ePrivacy derogation, luglio 2026 — europarl.europa.eu
• Parlamento europeo, Child sexual abuse online: voluntary detection measures will not be extended, marzo 2026 — europarl.europa.eu
• Regolamento (UE) 2021/1232, deroga temporanea alla direttiva ePrivacy — EUR-Lex
• Commissione europea, proposta di regolamento contro gli abusi sessuali su minori, COM(2022) 209 dell'11 maggio 2022 — EUR-Lex
• Commissione europea, proposta di proroga della deroga, COM(2025) 797 — EUR-Lex
• EDPB ed EDPS, parere congiunto 4/2022 sulla proposta di regolamento, 28 luglio 2022 — edps.europa.eu (PDF)
• eucrim, CSA Regulation: Council Position Reached (orientamento generale parziale del 26 novembre 2025) — eucrim.eu
• EDRi, CSA Regulation Document Pool — edri.org
• EDRi, Mass surveillance of telecommunications Document Pool (data retention) — edri.org
• Commissione europea, Roadmap for effective and lawful access to data for law enforcement, 24 giugno 2025 — home-affairs.ec.europa.eu
• Consiglio dell'Unione europea, documento ST 10806/2025 sulla roadmap per l'accesso ai dati — data.consilium.europa.eu (PDF)
• Commissione europea, pagina Encryption (technology roadmap, capacità di decrittazione di Europol) — home-affairs.ec.europa.eu
• heise online, Data Retention: Commission to present proposal by mid-2026, 3 dicembre 2025 — heise.de
• netzpolitik.org, EU-Parlament: Freiwillige Chatkontrolle geht mit Verfahrenstrick durch, luglio 2026 — netzpolitik.org
• netzpolitik.org, Interne Dokumente: Trilog zur Chatkontrolle geht in entscheidende Phase, giugno 2026 — netzpolitik.org
• netzpolitik.org, Appell der Datenschutzbehörden: EU soll "vollständig und endgültig" auf Chatkontrolle verzichten, 27 febbraio 2026 — netzpolitik.org
• EDPB, Digital Omnibus: EDPB and EDPS support simplification and competitiveness while raising key concerns, 2026 — edpb.europa.eu
• Il Fatto Quotidiano, Chat Control salva la crittografia end-to-end, ma la sorveglianza privata entra dalla porta di servizio, 10 luglio 2026 — ilfattoquotidiano.it
• Mackinac Center for Public Policy, The Overton Window (la formulazione originale del concetto) — mackinac.org
• Regolamento (UE) 2024/1689 (AI Act), in particolare l'articolo 5 sull'identificazione biometrica remota in tempo reale a fini di attività di contrasto — EUR-Lex
• Legge 23 settembre 2025, n. 132, Disposizioni e deleghe al Governo in materia di intelligenza artificiale (delega di adeguamento all'AI Act) — Gazzetta Ufficiale
• Presidenza del Consiglio dei ministri, riunione del Consiglio dei ministri n. 185 del 4 agosto 2026 — governo.it; ordine del giorno nella convocazione
• Garante per la protezione dei dati personali, parere n. 531 del 14 luglio 2026 sui Titoli I e III dello schema di decreto legislativo di adeguamento al regolamento (UE) 2024/1689 (doc. web 10275606) — garanteprivacy.it
• Direttiva (UE) 2016/680 sul trattamento dei dati personali a fini di prevenzione e perseguimento dei reati — EUR-Lex — e la sua attuazione italiana, decreto legislativo 18 maggio 2018, n. 51 — Gazzetta Ufficiale