Un’analisi in quattro articoli su scansione delle comunicazioni, crittografia e protezione dei dati, per Imprenditori, Professionisti e Aziende
Il 9 luglio 2026 il Parlamento Europeo ha votato sul cosiddetto Chat Control, approvandolo con un emendamento che ne limita significativamente la portata. Attorno a quel voto circola però molta confusione — “l’UE leggerà le nostre chat”, “la crittografia è salva”, “è tutto rinviato” — e per un’impresa la confusione è essa stessa un rischio. Questa serie di articoli cercherà di mettere un po’ di ordine: oggi ricostruiamo cosa è stato effettivamente approvato e cosa resta sul tavolo; nel secondo articolo vedremo cosa cambia concretamente per la comunicazione e la protezione dei dati; nel terzo articolo affronteremo la domanda di fondo — l’obbligo di legge è sufficiente per considerare sicuri i dati? —; nel quarto articolo le azioni operative per aziende e professionisti.
Prima distinzione: “Chat Control” non è una legge, sono due dossier
“Chat Control” non è il nome ufficiale di alcun atto: è l’etichetta con cui il dibattito pubblico indica due procedimenti legislativi distinti, che viaggiano su binari separati e che è indispensabile non confondere.
Il primo dossier (“Chat Control 1.0”) è la deroga temporanea alla direttiva ePrivacy introdotta dal Regolamento (UE) 2021/1232: consente ai fornitori di servizi di comunicazione (messaggistica e posta elettronica) di effettuare, su base volontaria, la scansione automatica di messaggi, immagini e video alla ricerca di materiale di abuso sessuale su minori (CSAM — Child Sexual Abuse Material) e di tentativi di adescamento, in deroga alle norme che tutelano la riservatezza delle comunicazioni. Senza questa deroga, quella scansione costituirebbe una violazione della direttiva ePrivacy. È un regime nato come eccezionale e transitorio, prorogato più volte.
Il secondo dossier (“Chat Control 2.0”) è il regolamento permanente CSAR (Child Sexual Abuse Regulation), proposto dalla Commissione nel maggio 2022: nella versione originaria prevedeva la possibilità di imporre alle piattaforme veri e propri ordini di rilevamento — quindi scansione obbligatoria, potenzialmente estesa alle comunicazioni cifrate tramite tecniche di client-side scanning (l’analisi dei contenuti sul dispositivo dell’utente, prima che la cifratura venga applicata) — oltre a valutazioni del rischio a carico dei fornitori, misure di mitigazione, ordini di rimozione e blocco, un Centro europeo dedicato e il tema della verifica dell’età. È il dossier davvero invasivo, ed è tuttora in negoziato: la posizione del Consiglio del novembre 2025 ha eliminato la scansione obbligatoria (mantenendo quella volontaria), ma i negoziati tra Parlamento, Consiglio e Commissione svoltisi tra gennaio e giugno 2026 non hanno prodotto un accordo.
La cronologia del 2026: bocciatura, vuoto normativo, ritorno
Il percorso recente del primo dossier è stato tutt’altro che lineare. A marzo 2026 il Parlamento ha respinto la proroga della deroga — prima in commissione LIBE (Libertà civili, giustizia e affari interni), poi in plenaria il 26 marzo, con 311 contrari, 228 favorevoli e 92 astenuti — e la deroga è scaduta il 3 aprile 2026. Da quel momento si è aperto un paradosso rilevante per chi si occupa di protezione dei dati: le piattaforme che hanno continuato a scansionare le comunicazioni (pratica dichiarata da diversi grandi fornitori) lo hanno fatto al di fuori di qualsiasi cornice normativa europea. A giugno il dossier è stato rimesso in moto: il 2 luglio il Consiglio ha adottato una posizione in prima lettura di contenuto sostanzialmente identico al testo già bocciato, aprendo la seconda lettura — dove, per respingere o modificare, non basta la maggioranza dei presenti ma serve la maggioranza assoluta dei componenti. Il 7 luglio l’aula ha approvato la procedura d’urgenza (331 a 304), e il 9 luglio si è votato nel merito.
Il voto del 9 luglio: approvato, ma con l’emendamento che cambia tutto
Tre votazioni raccontano l’esito meglio di qualsiasi sintesi. Il tentativo di respingere in blocco la posizione del Consiglio ha ottenuto 314 voti favorevoli contro 276: una maggioranza reale dei presenti, ma sotto la soglia dei 360 — il testo, quindi, non è stato respinto. L’emendamento che avrebbe limitato le scansioni ai casi di sospetto individuale accertato dall’autorità giudiziaria ha ottenuto 322 voti: di nuovo una maggioranza, di nuovo insufficiente. È invece passato — per soli due voti — l’emendamento che esclude dall’ambito di applicazione le comunicazioni “alle quali è, è stata o sarà applicata la crittografia end-to-end”. Il risultato: la deroga viene prorogata fino al 3 aprile 2028, la scansione resta volontaria e potrà riguardare soltanto i contenuti cui il fornitore può già accedere in chiaro; le comunicazioni cifrate end-to-end ne restano fuori. Un’ultima precisazione di metodo, doverosa in un articolo tecnico: quella del 9 luglio è la posizione del Parlamento in seconda lettura, non ancora legge. Il Consiglio ha ora tre mesi per decidere: se accetta tutti gli emendamenti, il regolamento è adottato; se ne respinge anche uno solo, si apre la conciliazione; se la conciliazione fallisce, la proposta decade. E, su un binario parallelo, il negoziato sul regolamento permanente CSAR — quello che potrebbe reintrodurre obblighi di rilevamento — prosegue.
Nel prossimo articolo — scenderemo nel concreto: cosa significa, per chi comunica e per chi tratta dati, un regime di scansione volontaria con l’esclusione della crittografia end-to-end. Quali canali sono scansionabili e quali no, cosa accade quando un algoritmo segnala un contenuto, e quali sono i nodi ancora aperti — dalla verifica dell’età al regolamento permanente.