Chat Control 1.0: la deroga alla ePrivacy Directive tra vuoto normativo, “resurrezione” procedurale e il nodo del trilogo CSAR

Chat Control 1.0: la deroga alla ePrivacy Directive tra vuoto normativo, “resurrezione” procedurale e il nodo del trilogo CSAR

Abstract: il 9 luglio 2026 il Parlamento europeo ha respinto, senza raggiungere la maggioranza assoluta richiesta in seconda lettura, la mozione volta a bloccare la proroga fino al 2028 del Regolamento (UE) 2021/1232, la deroga temporanea alla direttiva ePrivacy (2002/58/CE) che consente alle piattaforme di comunicazione la scansione automatica, su base volontaria, dei contenuti privati degli utenti alla ricerca di materiale di abuso sessuale su minori. Il contributo ricostruisce la sequenza procedurale che ha condotto alla riapprovazione di un testo respinto appena tre mesi prima, ne esamina i profili di compatibilità con la giurisprudenza della Corte di Giustizia in materia di proporzionalità dei trattamenti massivi di dati di comunicazione, ne analizza la base giuridica alla luce del Regolamento (UE) 2016/679, e ne colloca gli effetti nel più ampio negoziato sul Child Sexual Abuse Regulation (CSAR), calendarizzato per il 29 settembre 2026. Un'ultima sezione considera le ricadute pratiche per gli operatori della pubblica amministrazione italiana, chiamati a confrontarsi con un quadro normativo che si va costruendo per deroghe successive piuttosto che per disciplina organica.

Il quadro normativo: una deroga che si autoalimenta

Il Regolamento (UE) 2021/1232 nasce come misura transitoria, con durata originariamente limitata, per sospendere l'applicazione degli articoli 5, paragrafo 1, e 6 della direttiva ePrivacy nella parte in cui vieterebbero ai fornitori di servizi di comunicazione interpersonale la scansione dei contenuti privati degli utenti. È una deroga “a tempo”, pensata per coprire il periodo necessario all'adozione di una disciplina organica — quella che poi ha preso la forma del progetto di CSAR — e prorogata più volte proprio perché quella disciplina organica non è mai arrivata a un testo condiviso tra Parlamento e Consiglio.

Il punto giuridicamente interessante è che il 26 marzo 2026 il Parlamento aveva respinto una nuova proroga (311 voti contro, 228 a favore, 92 astenuti), determinando la scadenza naturale della deroga al 3 aprile 2026. Per circa tre mesi, dunque, l'attività di scansione da parte delle piattaforme si è svolta in assenza di base legale specifica: le stesse aziende hanno fatto sapere, secondo quanto ricostruito da fonti giornalistiche tedesche, che avrebbero proseguito comunque “su base volontaria”, richiamando un precedente identico già verificatosi nel 2020, quando in un analogo vuoto normativo la scansione non venne interrotta. Si tratta di un problema di effettività della norma non trascurabile: se l'assenza di base legale non produce cessazione della condotta ma soltanto una sua riqualificazione informale, il regime derogatorio smette di funzionare da limite e diventa una cornice puramente dichiarativa, la cui violazione non produce conseguenze pratiche percepibili dagli operatori.

Va inoltre osservato che la qualificazione di “azione volontaria” da parte delle piattaforme non è priva di conseguenze sul piano della responsabilità: un trattamento di dati personali privo di base giuridica ai sensi dell'art. 6 del Regolamento (UE) 2016/679 (GDPR) espone il titolare del trattamento a un vizio di liceità autonomo rispetto alla questione, distinta ma collegata, della compatibilità con la riservatezza delle comunicazioni tutelata dalla direttiva ePrivacy. Nei tre mesi di vuoto normativo, le piattaforme che hanno proseguito la scansione hanno dunque operato — quantomeno sul piano dei principi — in una condizione di trattamento privo di base giuridica specifica, sanata soltanto ora, e solo per il futuro, dalla proroga del 9 luglio.

La “resurrezione”: profili procedurali

Il secondo elemento di interesse riguarda il metodo con cui il testo respinto a marzo è stato ripresentato. Il 2 luglio il Consiglio ha ripresentato un testo sostanzialmente identico a quello bocciato, con modifiche di forma sufficienti a qualificarlo come “nuovo regolamento” ai fini procedurali. Il 7 luglio l'Aula ha approvato una procedura d'urgenza che ha saltato l'esame ordinario in commissione LIBE (Libertà civili, Giustizia e Affari interni), su sollecitazione formale del gruppo del PPE alla Presidente Metsola. Il 9 luglio si è tenuto il voto: la mozione di blocco ha raccolto la maggioranza dei votanti (314 contro 276) ma non la maggioranza assoluta dei componenti richiesta in seconda lettura per le procedure di questo tipo (361 su 720), soglia resa aritmeticamente irraggiungibile dall'assenza di buona parte dell'emiciclo nell'ultimo giorno di plenaria prima della pausa estiva.

Il risultato — una legge che passa nonostante il voto contrario della maggioranza dei presenti — non integra, dal punto di vista tecnico-regolamentare, alcuna irregolarità: le soglie di maggioranza qualificata in seconda lettura sono previste proprio per attribuire un peso diverso all'assenza in aula rispetto al voto espresso, ed è un meccanismo presente in numerosi ordinamenti, incluso quello italiano per talune deliberazioni. Resta però un tema di correttezza procedurale che vale la pena isolare per la sua rilevanza sistemica: quando l'esito di una votazione dipende in modo determinante dal calendario e dal tasso di partecipazione piuttosto che dal merito delle posizioni espresse, il rischio non è tanto la violazione di una regola scritta, quanto l'erosione di quella che la letteratura politologica (Levitsky e Ziblatt, How Democracies Die, 2018) definisce forbearance — l'autolimitazione nell'uso pieno delle prerogative formali, che integra le regole non scritte di funzionamento delle democrazie costituzionali. Non è una categoria giuridica in senso stretto, ma è una lente utile per leggere la sequenza marzo-luglio 2026 come precedente riproducibile, più che come episodio isolato: se un testo respinto in prima battuta può essere ripresentato identico e approvato tramite corsia d'urgenza in un'aula semivuota, il precedente vale per qualunque futura maggioranza, indipendentemente dall'orientamento politico che lo utilizzerà.

Le reazioni all'interno del Parlamento confermano la percezione di un problema di metodo trasversale agli schieramenti: la relatrice del dossier per il gruppo Socialisti e Democratici, scavalcata dalla procedura d'urgenza, ha votato contro la posizione del proprio stesso gruppo; il presidente della commissione LIBE e relatore del CSAR, che nel 2023 aveva costruito la coalizione trasversale contro la scansione indiscriminata, si è trovato il proprio partito quale principale motore politico della riapprovazione. Un dettaglio che merita menzione per la sua singolarità: secondo ricostruzioni giornalistiche basate sui documenti del Consiglio, l'Italia sarebbe stato l'unico Stato membro a mettere per iscritto rilievi critici sulla riadozione del testo, salvo poi votare a favore insieme agli altri ventisei governi — una dissociazione tra posizione tecnica espressa in sede istruttoria e voto politico finale che meriterebbe, essa stessa, un approfondimento specifico in sede di accesso agli atti.

I profili di proporzionalità e il precedente della Corte di Giustizia

Sul piano sostanziale, la questione centrale per un pubblico di giuristi è la compatibilità di un regime di scansione generalizzata, non mirata e priva di autorizzazione giudiziale con i principi elaborati dalla Corte di Giustizia in materia di conservazione e trattamento massivo dei dati di comunicazione. La giurisprudenza costruita a partire da Digital Rights Ireland (C-293/12), che nel 2014 ha dichiarato invalida la direttiva 2006/24/CE sulla conservazione generalizzata dei dati di traffico, proseguita con Tele2 Sverige (C-203/15) e consolidata in La Quadrature du Net (C-511/18), ha stabilito che un trattamento indiscriminato dei dati di comunicazione, non circoscritto a persone per le quali sussistano indizi di collegamento con reati gravi, eccede quanto strettamente necessario ai sensi dell'art. 52, paragrafo 1, della Carta dei diritti fondamentali dell'Unione europea.

Il regime di Chat Control 1.0, fondato sulla scansione automatica di tutti i contenuti in chiaro sui server delle piattaforme aderenti, senza previa individuazione di soggetti sospettati e senza intervento giudiziale ex ante, presenta tratti di prossimità strutturale con i regimi di data retention generalizzata già dichiarati incompatibili con il diritto dell'Unione. La differenza tecnica tra le due fattispecie — contenuto della comunicazione nel caso di Chat Control, metadati di traffico nel caso della direttiva sulla conservazione dei dati — non elimina il problema di proporzionalità: semmai lo aggrava, trattandosi di un trattamento che incide sul nucleo stesso della riservatezza della corrispondenza, tutelato dall'art. 7 della Carta, e non soltanto sui dati esteriori della comunicazione, oggetto di una tutela pur significativa ma tradizionalmente considerata meno intensa.

Non è un caso che il Garante europeo della protezione dei dati (EDPS) abbia pubblicato, nel febbraio 2026, un parere critico sulla proposta di estensione del regolamento (Opinion 7/2026), né che oltre cinquecento crittografi e ricercatori di sicurezza di 34 paesi abbiano sottoscritto una lettera aperta che definisce la scansione lato client — tecnicamente l'unico strumento che potrebbe rendere compatibile l'obbligo di scansione con la crittografia end-to-end — strutturalmente incompatibile con le garanzie di riservatezza delle comunicazioni cifrate: un sistema che consente la lettura dei contenuti prima della cifratura non può, per costruzione ingegneristica e non per scelta politica, distinguere fra chi autorizza l'accesso e chi no. È un rilievo che sposta il piano del dibattito dalla proporzionalità in astratto alla fattibilità tecnica in concreto: anche ammettendo che il legislatore individui un bilanciamento accettabile tra tutela dei minori e riservatezza delle comunicazioni, l'implementazione tecnica richiesta per realizzarlo — l'inserimento di un componente di analisi dei contenuti all'interno del client, prima della cifratura — produce una vulnerabilità strutturale sfruttabile da chiunque acceda al medesimo meccanismo, a prescindere dalle finalità dichiarate.

Il CSAR e il vero banco di prova del trilogo di settembre

La proroga del 9 luglio va letta in filigrana rispetto al negoziato sul CSAR, la proposta di regolamento organico che dovrebbe sostituire l'attuale regime derogatorio con un sistema di detection orders obbligatori, applicabili — secondo la posizione negoziale del Consiglio — anche ai servizi cifrati end-to-end, insieme a un obbligo generalizzato di verifica dell'età per tutti gli utenti europei. Il quinto trilogo tra Parlamento, Consiglio e Commissione è fallito il 29 giugno sotto presidenza cipriota; il successivo è calendarizzato per il 29 settembre sotto presidenza irlandese.

La proroga della deroga volontaria muta, in questo contesto, la posizione negoziale del Consiglio: la persistenza di un regime di scansione già operativo riduce l'urgenza politica di concedere alla crittografia end-to-end le garanzie che la commissione LIBE aveva fissato come condizione imprescindibile nel voto del 14 novembre 2023 (niente scansione indiscriminata, solo interventi mirati, crittografia intangibile). In altre parole, chi siede al tavolo negoziale per conto del Consiglio può ora sostenere che lo status quo garantisce già una copertura sufficiente, spostando sul Parlamento l'onere di giustificare perché sia necessario introdurre — anziché rendere semplicemente obbligatoria — una scansione che, di fatto, avviene già su base volontaria.

Per un operatore che si occupa di diritto della protezione dei dati e di regolazione dei mercati digitali, il punto di osservazione utile nei prossimi mesi non è tanto la deroga in sé, quanto l'esito del trilogo di settembre: è lì che si deciderà se l'Unione manterrà, nel regime CSAR, i tre paletti individuati dal Parlamento nel 2023, o se la prassi consolidata dalla proroga renderà politicamente più semplice trasformare l'eccezione in obbligo strutturale. Un'eventuale adozione del CSAR nella versione voluta dal Consiglio aprirebbe, con ogni probabilità, a un contenzioso dinanzi alla Corte di Giustizia sulla falsariga di quello già instaurato per la data retention — con la differenza, non trascurabile, che qui l'oggetto del trattamento non sono metadati ma il contenuto stesso delle comunicazioni private di quasi mezzo miliardo di cittadini europei, e che la platea dei potenziali ricorrenti include, oltre alle associazioni per i diritti digitali già attive nei precedenti in materia di data retention, gli stessi fornitori di servizi di comunicazione cifrata che hanno pubblicamente dichiarato l'intenzione di non conformarsi a un obbligo di scansione lato client.

Implicazioni per la pubblica amministrazione italiana

Sebbene il Regolamento (UE) 2021/1232 e la proposta di CSAR incidano direttamente sui fornitori di servizi di comunicazione interpersonale, e non sulle amministrazioni pubbliche in quanto tali, la vicenda ha una rilevanza indiretta ma non trascurabile per chi, all'interno della PA, si occupa di protezione dei dati, di appalti di servizi digitali o di regolazione dell'intelligenza artificiale applicata a compiti di monitoraggio o screening automatizzato. Anzitutto sul piano della due diligence contrattuale: le amministrazioni che utilizzano piattaforme di comunicazione soggette al regime derogatorio — o che stipulano contratti di fornitura con operatori che offrono servizi di messaggistica integrata in soluzioni gestionali — dovrebbero considerare, in sede di valutazione del rischio privacy prevista dall'art. 35 del GDPR, l'esposizione di tali fornitori a un regime normativo instabile, prorogato per via emergenziale e privo di una disciplina organica consolidata.

In secondo luogo, la vicenda offre un caso di studio istruttivo per la valutazione di impatto algoritmico richiesta, sia pure con un perimetro applicativo diverso, dal Regolamento (UE) 2024/1689 sull'intelligenza artificiale (AI Act) per i sistemi ad alto rischio: il meccanismo di hash matching e di classificazione tramite modelli proprietari impiegato nell'ambito di Chat Control condivide, sul piano tecnico, le medesime criticità di trasparenza e di verificabilità che l'AI Act intende affrontare per i sistemi di intelligenza artificiale utilizzati in contesti sensibili, incluso quello, non lontano nella sua logica, dello screening documentale e predittivo talora impiegato in ambito di trasparenza amministrativa e di prevenzione della corruzione. Un'amministrazione che dovesse, in futuro, valutare l'adozione di strumenti di monitoraggio automatizzato delle comunicazioni interne — ipotesi non peregrina alla luce del dibattito in corso su smart working e controllo a distanza ai sensi dell'art. 4 dello Statuto dei Lavoratori — farebbe bene a considerare la vicenda Chat Control come precedente istruttivo sulla difficoltà di conciliare finalità dichiarate legittime con strumenti tecnici che, per costruzione, non consentono una scansione selettiva.

Conclusioni

La vicenda ricostruita in queste pagine presenta un doppio livello di criticità che vale la pena tenere distinto in sede di valutazione giuridica. Il primo riguarda il merito: un regime di scansione generalizzata dei contenuti privati, fondato sull'azione volontaria di soggetti privati e privo di autorizzazione giudiziale ex ante, si confronta con difficoltà non marginali rispetto ai canoni di proporzionalità elaborati dalla Corte di Giustizia in materia di trattamento massivo dei dati di comunicazione, e la circostanza che l'oggetto del trattamento sia il contenuto — e non i soli metadati — rende la questione, se possibile, più delicata rispetto ai precedenti già decisi in sede europea. Il secondo livello riguarda il metodo: la sequenza bocciatura-vuoto normativo-ripresentazione identica-procedura d'urgenza-approvazione per soglia aritmetica costituisce un precedente procedurale che travalica il merito della singola misura, e che merita attenzione indipendentemente dalla valutazione di opportunità che si intenda dare al contenuto della norma.

Il prossimo appuntamento rilevante resta il trilogo del 29 settembre 2026 sul CSAR: è in quella sede, e non nella proroga appena approvata, che si giocherà la partita determinante per il futuro della riservatezza delle comunicazioni digitali nell'Unione europea, e sarà quello il momento in cui converrà tornare sull'argomento con l'analisi degli esiti negoziali e delle eventuali reazioni giurisdizionali.