Chat control: il conflitto tra sicurezza dei minori e tutela della privacy nell’Unione Europea
aggiornamento al 26 novembre 2025 -
Di Claudia Giulia Ferrauto
In un’epoca in cui la protezione dei minori online dovrebbe essere una priorità indiscutibile, l’Unione Europea a ottobre sembrava fare un passo indietro su una proposta (europea) chiamata chat control - per chi volesse saperne di più, sul tema ho scritto una relazione per l’istituto Bruno Leoni che si legge QUI.
Ma sotto lo stendardo delle buone intenzioni, questa proposta nasconde un meccanismo di sorveglianza di massa pronto a erodere i diritti fondamentali di milioni di cittadini.
La storia di chat control in breve
Presentata nel 2022, questa norma avrebbe dovuto obbligare piattaforme digitali a scansionare comunicazioni private, anche quelle protette da crittografia end-to-end, per contrastare la diffusione di materiale di abuso sessuale su minori e l’adescamento online.
Ma a che prezzo? La riservatezza delle comunicazioni, sancita dalla Carta dei diritti fondamentali dell’UE, rischiava di diventare un relitto del passato, mentre tecnologie invasive aprivano la porta a errori, abusi e una normalizzazione della vigilanza globale.
Ora, mentre il voto slittava e le posizioni si irrigidivano, l’ultima versione, adottata dal Consiglio il 26 novembre 2025, esclude sì, la scansione obbligatoria, optando però per una permanente scansione volontaria.
Una sorta di compromesso che non solo non risolve le criticità di fondo, ma le privatizza, come denunciato da esperti e difensori della privacy. Insomma di male in peggio.
Cronologia del contesto normativo
Il contesto della proposta normativa europea non nasce dal nulla.
La proposta, nota tecnicamente come CSAR ovvero come regolamento per prevenire e combattere l’abuso sessuale su minori, evolve da una deroga temporanea alla direttiva ePrivacy del 2020 (anno della pandemia e di molte iniziative discusse in termini di sicurezza e privacy) che permetteva scansioni volontarie su contenuti non cifrati.
Nel maggio 2022, la Commissione Europea, spinta dalla commissaria Ylva Johansson, ha formalizzato l’obbligo di scansione automatica, estendendolo a messaggistica come WhatsApp, Signal e Telegram, email e cloud. L’aumento degli abusi online è reale: nel 2021, oltre 85 milioni di immagini e video di CSAM sono stati segnalati globalmente, molti su reti cifrate. Per gestire questo, si prevede un EU Centre per coordinare segnalazioni e indagini.
Il dibattito si è fortunosamente incagliato: due rifiuti nel 2024 per mancanza di maggioranza qualificata, un rilancio sotto la presidenza danese dal luglio 2025, e un voto cruciale previsto per il 14 ottobre 2025, poi posticipato.
A che punto siamo
Ora, con l’accordo del 26 novembre 2025, il Consiglio ha optato per un approccio “volontario” che evita di forzare app come Signal e WhatsApp a violare la crittografia, ma mantiene rischi di sorveglianza indiscriminata e fine dell’anonimato nelle comunicazioni, estendendo la deroga ePrivacy che altrimenti scadeva il 3 aprile 2026.
Obbiettivi dichiarati
Gli obiettivi dichiarati suonano nobili:
1) rilevare e segnalare contenuti illeciti con tecnologie automatizzate;
2) identificare vittime;
3) perseguire i responsabili e obbligare i provider a collaborare con le autorità.
Il processo si divide in valutazione del rischio, ordini di rilevamento da autorità nazionali e segnalazioni all’EU Centre, con rimozione e notifica alle forze dell’ordine.
Negato il principio proporzionalità
A questo punto va detto che, l’approccio generalizzato, senza limiti temporali chiari, sollevava dubbi sulla proporzionalità, come sottolineato da Signal.
È una ratio giuridica che pretende di bilanciare sicurezza e diritti, ma con la nuova posizione del Consiglio, inclina la bilancia verso misure meno invasive, pur lasciando aperte le porte a scansioni volontarie da parte delle piattaforme.
Le criticità giuridiche sono lampanti e confliggono con i pilastri dell’UE.
La scansione obbligatoria di comunicazioni private viola l’articolo 7 della Carta, che tutela la riservatezza, e l’articolo 8 sulla protezione dei dati.
La Corte di giustizia dell’UE, in sentenze come Schrems II e Quadrature du Net, ha bollato la sorveglianza di massa come sproporzionata, trattando ogni utente come sospetto.
Il client-side scanning, che accede ai contenuti prima della crittografia, minava l’end-to-end encryption, essenziale per la sicurezza digitale secondo l’ENISA, e introduceva vulnerabilità, come visto nell’attacco Salt Typhoon.
Una lettera aperta di centinaia di scienziati a settembre 2025 l’ha definita tecnicamente infattibile senza compromettere la sicurezza.
Inoltre, la raccolta massiva di dati infrange il GDPR, con rischi di abuso, e l’assenza di controllo giurisdizionale contrastava con la giurisprudenza europea.
Il pericolo di estensione a temi esterni allo “stendardo principale” è reale, e l’effetto chilling (l’autocensura per paura di sorveglianza) minaccia giornalisti, attivisti e whistleblower.
In sintesi, siamo davanti a una proposta che non passava il test di necessità e proporzionalità, erodendo lo stato di diritto digitale, la mossa del Consiglio sul volontario allenta apparentemente la pressione, ma non elimina il timore di un “cavallo di Troia” per future espansioni.
I rischi tecnologici
Basata su AI per riconoscimento visivo e modelli linguistici, la proposta si propone l’uso di client-side scanning, machine learning e hashing, ma tutti questi strumenti generano tranquillamente falsi positivi, violando privacy, rispondendo innocui cittadini (mentre si cercando criminali pedo) e sovraccarica l’autorità con segnalazioni non solo inutili, ma dannose perchè le autorità facendosi carico di notevoli segnalazioni infondate vengono distratte da quelle che hanno invece rilievo.
Le backdoor tecniche - immaginate come perno del meccanismo di chat control 2.0 - andavano ad aggirare la crittografia esponevano a cyberattacchi, come ha giustamente avvisato Signal, e il function creep - ossia l’espansione incontrollata delle finalità - rendeva la sorveglianza un mostro reale e senza freni.
Senza parlare degli algoritmi proprietari, senza audit indipendenti, sono scatole nere piene di bias, che discriminano e minano la trasparenza.
Tutto questo inverte la presunzione d’innocenza
I cittadini diventano sospetti per default, alla mercé di errori algoritmici.
Centinaia di esperti, informatici e giuristi, hanno scritto alla Commissione per denunciare come il sistema creasse più problemi che soluzioni, minacciando privacy, sicurezza e affidabilità digitale.
Con la scansione ora volontaria, questi rischi si attenuano, ma permangono se le piattaforme scelgono di implementarla senza garanzie.
Signal ha minacciato di lasciare l’Europa, come già ventilato in Svezia.
Pavel Durov di Telegram, in un messaggio del 14 ottobre 2025, ha accusato la Francia di voler trasformare i telefoni in strumenti di sorveglianza, lodando la Germania per lo stop temporaneo.
X ha accolto il rinvio del 14 ottobre come un passo per proteggere comunicazioni sicure, ma avverte che la minaccia persiste. Un fronte unito: tutelare i minori sì, ma non a costo di privacy e sicurezza.
L’accordo del Consiglio rafforza questa linea, evitando obblighi che avrebbero spinto fughe dal mercato.
Ma per bilanciare protezione dei minori e diritti digitali, servono alternative intelligenti. Limitare misure a casi specifici con ordini giudiziari, introdurre trasparenza e audit indipendenti, e prevedere revisioni periodiche.
Tecnologie come la crittografia omomorfica -fully o partially -permettono analisi su dati cifrati senza decifrarli, integrate con zero-knowledge proof, come sostenuto da oltre 500 scienziati.
Educazione digitale per giovani e famiglie, cooperazione con Europol e Interpol, e un dibattito inclusivo con cittadini, aziende e ONG eviterebbero approcci autoritari, stimolando innovazione.
In conclusione, il chat control 2.0, pur nascendo con obiettivi condivisibili, è incompatibile con il diritto UE: viola riservatezza, GDPR e genera autocensura. Rischi tecnologici come falsi positivi e vulnerabilità, uniti a potenziali fughe di aziende tech dall’Europa, erode fiducia e innovazione.
La riservatezza digitale è essenziale per la dignità umana, come per l’articolo 1 della Carta. Con l’accordo del 26 novembre che rende la scansione volontaria e permanente, la proposta di Chat Control non muore ma si trasforma, mantenendo pericoli di sorveglianza di massa privatizzata da corporation USA.
A mio parere
Il fascicolo entra ora nei triloghi con Commissione e Parlamento -che nel 2023 aveva già respinto l’obbligatorietà -per un accordo da valutare entro aprile 2026.
Il passato rinvio del voto di ottobre e la prossima discussione offrono tempo per consolidare un internet libero e democratico, ma bisogna restare vigili e onestamente in troppi hanno stappato bottiglie di champagne credendo che il rinvio di ottobre fosse segno di una vittoria ormai intascata. La decisione del 26 novembre 2025 ha sparigliato le carte e ora la partita è nelle nostre mani!
