ATTUALITÀ
Il varco riaperto nella riservatezza delle comunicazioni: un caso europeo, uno standard universale
23 luglio 2026 — Unione Europea / Ginevra (ONU)
L'art. 17 del Patto Internazionale sui Diritti Civili e Politici (ICCPR), ratificato da 173 Stati, stabilisce che nessuno può essere sottoposto a interferenze arbitrarie nella propria vita privata o corrispondenza. Il 27 aprile 2026 un gruppo di esperti ONU, tra cui la Relatrice Speciale sul diritto alla privacy Ana Brian Nougrères, ha diffuso un avvertimento congiunto sui rischi dell'interferenza digitale sistematica sulle libertà civiche. È in questo quadro — non solo europeo — che si colloca la vicenda nota come “Chat Control”: un caso specifico, di un fenomeno che riguarda qualunque Stato disponga degli strumenti tecnici per farlo.
Fatti
Nell'Unione Europea, il regolamento 2021/1232 (in vigore dal 3 agosto 2021) permette ai fornitori di servizi di comunicazione non cifrati — secondo le fonti consultate, tra questi Gmail, Facebook Messenger, Skype e Snapchat, con Google, Meta, Microsoft e Snap tra i fornitori più citati — di scansionare volontariamente le comunicazioni alla ricerca di materiale di abuso sessuale su minori. Ne restano esplicitamente esclusi i servizi cifrati end-to-end: WhatsApp — pur di proprietà Meta — Signal, iMessage.
Il 26 marzo 2026 il Parlamento europeo respinge il rinnovo della deroga (311 contrari, 228 favorevoli, 92 astenuti); la misura scade il 3 aprile. Il 19 marzo, prima ancora della scadenza, Snap, TikTok, LinkedIn e altre grandi piattaforme firmano una dichiarazione congiunta per chiederne la proroga; il 27 marzo il blog istituzionale di Google, in un testo che riflette una linea condivisa con Meta, Microsoft e Snap, annuncia che le aziende continueranno comunque la scansione volontaria. Duecentoquarantasette organizzazioni per la tutela dell'infanzia firmano un appello di segno opposto, a sostegno della proroga legislativa. Il 2 luglio il Consiglio ripropone lo stesso testo già bocciato come atto formalmente nuovo; il 7 luglio il gruppo di maggioranza relativa del Parlamento (PPE) ottiene una procedura d'urgenza (331 voti contro 304); il 9 luglio un primo voto per respingere il testo raccoglie 314 voti contro 276 — maggioranza semplice, ma sotto la soglia di 361 richiesta in seconda lettura — mentre un emendamento che esclude le comunicazioni cifrate end-to-end viene approvato con margine sufficiente. Il 23 luglio 2026 il Consiglio dà il via libera definitivo: la misura è in vigore fino al 3 aprile 2028.
Lettura giuridica
Numerose fonti indipendenti riportano che il Servizio giuridico del Consiglio, in un parere del 10 giugno 2026, avrebbe definito il meccanismo — anche nella sua forma “volontaria” — una scansione generalizzata delle comunicazioni interpersonali, incompatibile con l'art. 7 della Carta dei diritti fondamentali UE in assenza di sospetto ragionevole e autorizzazione giudiziaria preventiva. Il documento originale non è stato reperito in questa sessione: resta una lacuna dichiarata, da verificare alla fonte primaria del Consiglio prima di ogni citazione definitiva. Lo stesso principio di necessità e proporzionalità è anche lo standard dell'art. 17 ICCPR, applicabile ben oltre i confini UE. La Garante federale tedesca per la protezione dei dati, Louisa Specht-Riemenschneider, ha definito la misura sorveglianza di massa “senza motivo”, che supera l'obiettivo legittimo dichiarato.
Il caso non è isolato. Nel Regno Unito, l'Online Safety Act impone dal 25 luglio 2025 una verifica d'età “altamente efficace” sui contenuti online. Negli Stati Uniti, l'EARN IT Act — riproposto più volte al Congresso — punta a responsabilizzare le piattaforme per contenuti di abuso senza garantire un porto sicuro alla cifratura end-to-end. In Cina e Russia, meccanismi di controllo delle comunicazioni digitali assai più estesi operano senza dibattito pubblico paragonabile né organi indipendenti equivalenti a un Garante privacy o a una Corte di Giustizia sovranazionale. Il caso europeo non è un'anomalia isolata: è il punto in cui il conflitto tra sicurezza digitale e riservatezza delle comunicazioni è più visibile e documentato pubblicamente, non l'unico luogo in cui accade.
Implicazioni
Il meccanismo tecnico in discussione — scansione preventiva di comunicazioni non sospette, senza indizio individuale — non cambia natura a seconda dello scopo dichiarato. Test di simmetria: se lo stesso meccanismo fosse proposto per contrastare il terrorismo o la disinformazione, il giudizio di proporzionalità muterebbe? Se sì, la valutazione segue la condivisibilità del fine, non il criterio giuridico in sé — esito del test: il meccanismo non regge al cambio di scopo, e questo resta un dato giuridico, non un'opinione morale.
L'estensione di strumenti di sorveglianza oltre lo scopo originario ha precedenti concreti, non ipotetici. Il database EURODAC, nato per identificare richiedenti asilo, è stato in seguito impiegato anche nel contrasto al terrorismo. La direttiva UE sulla conservazione dei dati (2006/24/CE), introdotta per reati gravi, è stata annullata dalla Corte di Giustizia UE nel 2014 (cause C-293/12 e C-594/12, Digital Rights Ireland) proprio per assenza di limiti sufficienti su finalità e accesso. Questi precedenti non dimostrano che Chat Control seguirà lo stesso percorso — nessuna proposta in tal senso risulta oggi in discussione — ma rendono l'obiezione sull'estensione futura del suo perimetro un'ipotesi fondata su un pattern reale, non un timore isolato.
La posizione tedesca mostra quanto la linea di un singolo Stato non sia univoca. Il governo ha sostenuto attivamente la proroga temporanea e volontaria approvata a luglio, mentre il partito di maggioranza al Bundestag (CDU/CSU) si oppone a qualunque forma di scansione lato client sui servizi cifrati nel futuro regolamento permanente. Il dibattito non si gioca tra favorevoli e contrari in blocco, ma tra strumento volontario e strumento obbligatorio — una distinzione che vale la pena tenere quando si legge qualunque titolo che riassuma la vicenda in “l'Europa approva la sorveglianza di massa”.
Nota editoriale
Il regolamento permanente — quello che stabilirà se la scansione diventerà obbligo anziché scelta, anche per i servizi cifrati — resta in negoziato dopo cinque triloghi falliti; il sesto è fissato per il 29 settembre 2026 sotto presidenza irlandese. La vera partita comincia lì.
Fonti: OHCHR (27/4/2026) · Consilium (23/7/2026) · Ansa, Il Post (9-10/7/2026) · netzpolitik.org (2/7, 9/7/2026) · Next.ink · Cyber Security 360 (17/4/2026) · CJEU, Digital Rights Ireland (2014)