A luglio avevamo chiuso il pezzo sulla proroga di Chat Control con una promessa: a settembre riprende il negoziato sul regolamento permanente, ne scriveremo. Il negoziato è ripreso, e il 29 settembre ha prodotto un risultato a metà. Sulla scansione dei contenuti pubblici c'è un accordo. Su quella dei messaggi privati no.
Detto in una riga: chi ospita contenuti accessibili al pubblico potrà ricevere un ordine di scansione, mentre la sorte della posta e delle chat private si decide nei prossimi mesi.
1. Cosa si è deciso il 29 settembre
Il regolamento in discussione è il CSAR, la proposta della Commissione del 2022 contro gli abusi sessuali sui minori online, detta «Chat Control 2.0» per distinguerla dal regime volontario oggi in vigore. Dopo quattro anni è in trilogo, cioè nella trattativa finale tra Parlamento, Consiglio e Commissione (scheda della procedura). Il sesto round, il 29 settembre a Bruxelles, ha chiuso due capitoli.
Il primo riguarda il Centro UE per la protezione dei minori, la nuova agenzia che riceverà le segnalazioni dei provider, ne verificherà la fondatezza e le girerà alle autorità. Potrà anche cercare da sé materiale illecito, noto o nuovo, negli spazi pubblicamente accessibili. La Commissione ha già avviato la procedura per sceglierne la sede (Agence Europe).
Il secondo riguarda gli ordini di rilevamento sui contenuti pubblici: un'autorità potrà imporre a un servizio di hosting di cercare materiale pedopornografico già noto in ciò che gli utenti pubblicano. Secondo il resoconto dell'ex eurodeputato Patrick Breyer, tra i più critici della proposta, gli ordini potranno arrivare anche da autorità amministrative, non solo da un giudice, e obbligheranno a controllare tutti i caricamenti pubblici, non solo quelli degli utenti sospettati (Breyer, 30 settembre).
2. Contenuti pubblici: perché non è solo un problema dei social
Si legge «contenuti pubblici» e si pensa a Facebook o TikTok. Ma per il diritto europeo è un servizio di hosting chiunque memorizzi informazioni fornite da altri: la definizione sta nel Digital Services Act, e il CSAR la riprende. Ci rientrano molti servizi che un'azienda gestisce senza considerarsi una piattaforma:
- il portale clienti con un'area dove si caricano documenti o foto visibili ad altri;
- la community, il forum di assistenza, le recensioni con immagini di un e-commerce;
- lo spazio cloud che un fornitore di servizi IT offre ai propri clienti, con file condivisi pubblicamente.
Qui le fonti non coincidono, ed è il dato da tenere a mente. Agence Europe parla di ordini rivolti alle grandi piattaforme. Breyer scrive che potranno colpire qualunque hosting, di qualunque dimensione. Il testo di compromesso non è pubblico, quindi oggi nessuno può dire quale delle due letture sia quella giusta. Lo dirà il testo definitivo.
C'è poi una zona grigia che riguarda quasi tutte le aziende: i link di condivisione aperti, quelli del tipo «chiunque abbia il link» su Google Drive, OneDrive o Dropbox. Non è chiaro se una cartella raggiungibile da un link conti come contenuto pubblicamente accessibile. Netzpolitik cita espressamente il cloud storage pubblico tra gli spazi in cui il Centro UE potrà cercare (netzpolitik.org, 1° ottobre). Vale la pena sapere quanti di quei link ha aperto la propria azienda, e cosa contengono.
3. Il nodo rimasto aperto: la posta e le chat private
Sui contenuti non pubblici le posizioni restano lontane, e la distanza conta per chiunque usi la posta elettronica per lavorare.
Il Consiglio vorrebbe togliere gli ordini di rilevamento obbligatori e puntare sulla scansione volontaria. La presidenza irlandese ha proposto di renderla permanente: oggi è un regime temporaneo, prorogato di biennio in biennio. Ha messo sul tavolo anche dei «piani di ricerca», che i negoziatori tedeschi, dentro lo stesso Consiglio, hanno respinto perché non era chiaro cosa comportassero.
Il Parlamento vuole ordini obbligatori ma mirati, solo su persone collegate ad abusi. E chiede che chi scansiona di propria iniziativa si limiti al materiale già noto, schedato nella banca dati del Centro UE. Breyer riferisce un punto già acquisito: le autorità non potranno imporre la scansione «volontaria» delle comunicazioni private passando per le misure di mitigazione del rischio.
Per un'azienda la differenza è concreta. Ad aprile 2028 scade la proroga di cui scrivevamo a luglio: se nel frattempo passasse la linea del Consiglio, la scansione volontaria di posta e chat non cifrate non avrebbe più una data di fine. Resterebbe una scelta dei provider, oggi e in futuro. Su Gmail o Outlook, quella scelta i grandi provider l'hanno già fatta.
4. Il regime in vigore, nel frattempo
Mentre si tratta sul regolamento permanente, vale quello temporaneo. Il 23 luglio il Consiglio ha dato il via libera definitivo alla proroga della deroga alla direttiva ePrivacy (regolamento 2021/1232) fino al 3 aprile 2028, accettando gli emendamenti del Parlamento: le comunicazioni cifrate end-to-end sono escluse (Consiglio UE, 23 luglio).
Il quadro di luglio quindi non cambia. Mail, chat non cifrate e allegati sui server dei grandi provider restano scansionabili, su base volontaria, almeno fino al 2028.
5. Cosa fare adesso
Nessuna emergenza: il testo definitivo non c'è ancora. Ma tre verifiche costano poco e servono comunque.
- Fai l'elenco dei servizi in cui ospiti contenuti di altri. Portali, aree riservate, community, spazi cloud per i clienti. Se ne gestisci, per il diritto europeo sei già un servizio di hosting, con gli obblighi del Digital Services Act. Il CSAR potrebbe aggiungerne.
- Chiudi i link di condivisione aperti che non servono. Una cartella raggiungibile da chiunque abbia il link è un rischio di riservatezza a prescindere da Chat Control. Per i documenti dei clienti meglio una condivisione nominale, con scadenza.
- Tieni separata la posta che non può stare ovunque. Vale il consiglio di luglio: la corrispondenza coperta da segreto professionale o con dati sanitari merita un canale cifrato o una posta su un'infrastruttura che controlli. Se il Consiglio rende permanente la scansione volontaria, la scelta del provider di posta diventa una decisione di lungo periodo.
Il prossimo trilogo non ha ancora una data. I tecnici lavorano sui contenuti privati per tutto ottobre, e chi segue il dossier si aspetta un nuovo tentativo di accordo a novembre. Torneremo sul tema quando ci sarà un testo da leggere.
Il nostro taglio: chi tiene i dati decide chi li guarda
Il 29 settembre conferma una cosa che vale per la posta come per i dati dell'AI: chi custodisce un archivio è chi riceve l'ordine di guardarci dentro, ed è anche chi decide se farlo di propria iniziativa. Su un grande provider, la scansione dei contenuti è una politica del provider, autorizzata dalla legge. Su un'infrastruttura on-premise o su un cloud sovrano europeo la stessa decisione resta a te, dentro il diritto europeo, come abbiamo raccontato parlando di giurisdizione e controllo.
Se vuoi capire quali dei tuoi servizi rientrerebbero nel perimetro, o quanto costa portare la posta e i file condivisi su un'infrastruttura che controlli, parliamone.
FAQ
Cosa è stato deciso sul Chat Control il 29 settembre 2026?
Un accordo provvisorio su due punti: gli ordini di rilevamento sui contenuti pubblicamente accessibili e i compiti del Centro UE contro gli abusi sui minori. Sulla scansione dei messaggi privati non c'è intesa e il negoziato continua.
Il Chat Control riguarda anche le aziende che non sono piattaforme social?
Può riguardarle se ospitano contenuti caricati da altri e li rendono accessibili al pubblico, perché per il diritto europeo sono servizi di hosting. Il perimetro esatto degli ordini dipenderà dal testo definitivo, non ancora pubblicato.
WhatsApp e le chat cifrate end-to-end vengono scansionate?
No, nel regime volontario prorogato al 2028 le comunicazioni cifrate end-to-end sono escluse. Anche nel negoziato sul regolamento permanente Parlamento e Consiglio hanno respinto la scansione sul dispositivo prevista dalla prima proposta della Commissione.
Quando si saprà se la scansione dei messaggi privati diventa obbligatoria?
Non prima del prossimo trilogo, che al 14 ottobre 2026 non ha una data. Le delegazioni tecniche lavorano sul punto per tutto ottobre e chi segue il dossier si aspetta un nuovo tentativo di accordo a novembre.
