Il 9 luglio 2026 il Parlamento Europeo ha votato sulla proroga del regolamento noto come "Chat Control 1.0". Il risultato ha dell'incredibile, almeno per chi non mastica le procedure di Strasburgo: 314 eurodeputati hanno votato per respingere il testo — più di quanti abbiano votato a favore — eppure il regolamento è passato. In seconda lettura, infatti, per respingere la posizione del Consiglio serve la maggioranza assoluta dei componenti del Parlamento, cioè 361 voti su 720: ne mancavano 47. Assenze e astensioni, in questo meccanismo, finiscono per contare come voti a favore del testo già adottato dal Consiglio, che aveva formalizzato la propria posizione il 2 luglio.

Il risultato pratico: la proroga è legge e resterà in vigore fino al 3 aprile 2028.

Cosa prevede davvero Chat Control 1.0

Attorno a "Chat Control" circola molta confusione, e vale la pena fare ordine, perché le due versioni della normativa sono profondamente diverse.

Chat Control 1.0 è una deroga temporanea alla direttiva ePrivacy che consente ai fornitori di servizi di comunicazione di scansionare volontariamente messaggi e allegati alla ricerca di materiale di abuso su minori (CSAM). Riguarda i servizi privi di cifratura end-to-end o cifrati solo lato server: posta elettronica come Gmail e iCloud Mail, Facebook Messenger, i DM di Instagram, Snapchat, le chat Xbox. Non impone alcun obbligo di scansione e non tocca la cifratura end-to-end: WhatsApp, Signal e le conversazioni protette da E2EE restano fuori dal perimetro.

Chat Control 2.0 — il regolamento CSAR — è la proposta permanente che introdurrebbe ordini di rilevamento obbligatori e, secondo i critici, aprirebbe alla scansione lato client (client-side scanning), cioè sul dispositivo dell'utente prima della cifratura. Questa proposta non è passata: il quinto trilogo del 29 giugno si è chiuso senza accordo e il negoziato continua.

Quello che è successo il 9 luglio, quindi, non autorizza la lettura delle chat cifrate degli europei. Proroga un regime volontario che esiste dal 2021. Ma il modo in cui è avvenuto — contro la maggioranza dei votanti — e il segnale politico che manda al negoziato sul CSAR sono tutt'altro che dettagli.

Le ragioni in campo

I sostenitori della proroga, Commissione in testa, sottolineano che senza la deroga i provider avrebbero dovuto interrompere anche la scansione volontaria, privando le forze dell'ordine di uno strumento che ogni anno genera milioni di segnalazioni di abusi su minori. La proroga, in questa lettura, evita un vuoto di tutela mentre si negozia il quadro definitivo.

I critici — tra cui l'ex europarlamentare Patrick Breyer, storica voce contraria — osservano che la scansione indiscriminata delle comunicazioni private di utenti non sospettati è una forma di sorveglianza di massa dagli alti tassi di falsi positivi, che colpisce la corrispondenza di tutti per trovare i contenuti di pochi. E che l'approvazione "dalla porta di servizio", con la maggioranza contraria, indebolisce la legittimità democratica di una misura che incide su un diritto fondamentale come la riservatezza delle comunicazioni.

Cosa significa per utenti e aziende italiane

Per il singolo utente cambia poco nell'immediato: chi usa servizi con cifratura end-to-end continua a non essere scansionato; chi usa e-mail e messaggistica non cifrata era potenzialmente soggetto a scansione volontaria già da cinque anni.

Per le aziende il discorso è più concreto. La vicenda ricorda che le comunicazioni su canali non cifrati end-to-end possono essere analizzate dai provider, con buona pace della riservatezza commerciale: informazioni soggette a NDA, dati di clienti, documentazione riservata non dovrebbero transitare su questi canali. Per i DPO è un buon momento per rivedere la policy aziendale sugli strumenti di comunicazione: quali canali sono approvati per quali categorie di dati, e se la scelta dei fornitori riflette il principio di minimizzazione. E per chi sviluppa servizi di comunicazione, il dossier CSAR resta da monitorare: un obbligo di client-side scanning cambierebbe architetture e responsabilità.

Cosa fare subito

  • Mappare i canali di comunicazione usati in azienda e classificarli: cifratura end-to-end sì/no, provider UE/extra-UE.
  • Indirizzare i dati riservati (trattative, dati sanitari, proprietà intellettuale) esclusivamente su canali E2EE approvati.
  • Aggiornare la policy interna su messaggistica ed e-mail, spiegando ai dipendenti la differenza tra canali cifrati e non.
  • Seguire il negoziato sul CSAR: le decisioni sul client-side scanning arriveranno nei prossimi mesi e avranno impatti ben maggiori della proroga appena votata.

La scadenza del 3 aprile 2028 è anche la vera posta in gioco: entro quella data l'UE dovrà decidere se il contrasto agli abusi sui minori — obiettivo su cui nessuno dissente — possa convivere con la cifratura end-to-end, o se uno dei due dovrà cedere. Il voto del 9 luglio suggerisce che la partita si deciderà sui numeri, e sui presenti in aula, più che sugli argomenti.