Seguito di Chat Control 2.0: l’UE vuole leggere i tuoi messaggi privati.

A maggio scrivevamo che Chat Control era fermo, non morto. Due mesi dopo abbiamo la conferma, e arriva nel modo più istruttivo possibile: il 9 luglio 2026 il Parlamento europeo ha votato contro la sorveglianza delle chat, con 314 voti contro 276. Il testo è andato avanti lo stesso.

Non c’è stato nessun broglio. Nessuna forzatura illegale. Ha funzionato tutto esattamente come previsto dai trattati. Ed è questa la parte che vale la pena capire, perché è molto più interessante della legge in sé.

La regola che ha ribaltato il risultato

Facciamo un passo indietro di quattro mesi.

Il 26 marzo 2026 il Parlamento aveva bocciato la proroga di Chat Control 1.0 — la deroga che permette ai provider di scansionare volontariamente le comunicazioni alla ricerca di materiale pedopornografico. Voto: 311 contro 228. La norma è scaduta il 3 aprile, senza sostituzione.

Il 2 luglio il Consiglio dell’Unione europea ha rimesso in circolo lo stesso identico testo, adottandolo come propria posizione in prima lettura. La palla è tornata al Parlamento, ma con una differenza che cambia tutto: in seconda lettura, per respingere una posizione del Consiglio non basta più avere più voti dell’altra parte. Serve la maggioranza assoluta dei membri del Parlamento — 361 su 720. Lo prevede l’articolo 294 del TFUE.

Il 9 luglio i contrari sono stati 314. Quarantasette in meno della soglia.

Fermati un attimo su cosa significa. Chi era in aula e ha votato ha detto no a maggioranza netta. Ma il conteggio non si fa sui presenti: si fa su tutti i 720 seggi. Quindi ogni astensione e ogni assenza pesano di fatto come un sì. Non perché qualcuno lo abbia deciso quella mattina, ma perché è la matematica della procedura.

E la data? Ultimo giorno di seduta prima della pausa estiva, con l’emiciclo mezzo vuoto. Puoi chiamarla coincidenza. Il calendario dei lavori parlamentari, però, lo scrive qualcuno.

Dove abbiamo già visto questo meccanismo

Chi ha letto Il popolo non esiste riconoscerà la struttura al volo. Lì raccontavamo che in una votazione a più opzioni il risultato non dipende solo da cosa vogliono i votanti, ma da quale procedura viene usata per contarli — e che chi controlla la procedura controlla l’esito senza dover convincere nessuno.

Il 9 luglio ne abbiamo avuto la versione da manuale, applicata al Parlamento di 450 milioni di persone. Stessi deputati, stesse opinioni, stesso testo di legge. Cambia solo la lettura — dalla prima alla seconda — e il no diventa sì.

Chi ha rimesso in circolo il testo a luglio conosceva benissimo questa differenza. Non serviva ribaltare l’opinione dell’aula: bastava rifare la domanda nel formato giusto.

Cosa è stato salvato davvero

Qui va dato atto di una vittoria vera, perché c’è.

Nella stessa seduta il Parlamento ha approvato due emendamenti che escludono dalla scansione le comunicazioni protette da crittografia end-to-end. Passati con 369 e 362 voti: sopra la soglia dei 361, di un soffio. La stessa maggioranza assoluta che era mancata per la bocciatura, qui è arrivata.

In concreto: Signal, WhatsApp, i Secret Chat di Telegram restano fuori. La scansione può riguardare solo i contenuti che il provider è già in grado di leggere in chiaro.

Che non è poco, ma nemmeno tanto quanto sembra. Restano dentro le email normali, i messaggi diretti non cifrati, i contenuti caricati sui social, gli allegati, i metadati. Cioè la maggior parte del traffico quotidiano di una persona normale. Il Garante europeo della protezione dei dati ha messo nero su bianco il problema tecnico: i sistemi di rilevamento automatico di contenuti nuovi e di adescamento hanno tassi di errore alti, e a decidere quale tecnologia usare sono le aziende, quasi tutte extraeuropee. Un falso positivo su una conversazione di un giornalista con una fonte, o di un avvocato con un cliente, non è un’ipotesi di scuola.

L’Italia in Consiglio ha votato a favore della proroga, mettendo però a verbale obiezioni pesanti: contraria alla scansione di massa affidata a privati non europei, chiede proporzionalità, limitazione al solo materiale già noto e controllo giudiziario esplicito. Tra gli eurodeputati italiani, secondo i dati di HowTheyVote.eu, 39 hanno votato per respingere il testo e 13 contro il rigetto.

No, non è ancora legge

Su questo diversi titoli sono stati frettolosi, e la precisione conta.

Il Parlamento non ha approvato il testo del Consiglio: ha fallito nel respingerlo e poi lo ha emendato. Il testo modificato torna ora al Consiglio, che ha tre mesi — prorogabili a quattro — per decidere.

Deve accettare gli emendamenti tutti, senza sconti: a maggioranza qualificata, e all’unanimità su quelli che la Commissione dovesse osteggiare. Se il Consiglio non li accetta si apre il comitato di conciliazione, dove Parlamento e Consiglio negoziano un compromesso. Se nemmeno lì si trova un accordo, la proposta decade del tutto.

Le esclusioni sulla crittografia sono esattamente ciò che il Consiglio ha resistito per anni. Che le accetti in blocco entro ottobre non è l’ipotesi più probabile. La partita vera si gioca lì, in autunno, in una stanza dove non ci sono telecamere.

E Chat Control 2.0, quello vero

Tutto quanto sopra riguarda la deroga temporanea — Chat Control 1.0. Scansione volontaria, solo su contenuti in chiaro, con scadenza al 3 aprile 2028.

Il regolamento permanente, quello che chiamiamo Chat Control 2.0, è un binario separato e cammina ancora. I triloghi tra Parlamento, Consiglio e Commissione sono partiti a dicembre 2025. Il quinto round, annunciato come quello decisivo, si è tenuto il 29 giugno 2026 e si è chiuso senza accordo. Si riprende a settembre, sotto presidenza irlandese.

Il punto su cui si sono arenati è sempre lo stesso da tre anni: scansione generalizzata senza sospetto, oppure solo ordini di rilevamento mirati e autorizzati da un giudice. Nessuna delle due parti ha arretrato.

E c’è un capitolo di cui si parla molto meno delle backdoor, ma che pesa quanto: la verifica dell’età obbligatoria per aprire un account. Tradotto in pratica significa documento d’identità o scansione del volto per usare un servizio di messaggistica. Cioè la fine della comunicazione anonima in Europa — per tutti, non solo per chi ha qualcosa da nascondere. Per un informatore che vuole parlare con un giornalista, o per chiunque viva in una condizione che non può dichiarare, l’anonimato non è un vezzo: è la condizione per esistere online.

Cosa puoi fare oggi

Le indicazioni di maggio restano valide, e ora hanno una ragione in più.

Usa la crittografia end-to-end per default, non per le cose importanti. Se la usi solo quando “serve”, il momento in cui la attivi diventa esso stesso un segnale. Signal come app predefinita, per tutto, anche per la lista della spesa.

Controlla i backup. È il punto cieco più comune: chat cifrate salvate in chiaro su Google Drive o iCloud. Il carve-out approvato a luglio protegge il messaggio in transito, non la copia che hai messo su un server altrui.

Guarda le email per quello che sono. Le email restano pienamente nel perimetro della scansione. Se qualcosa deve restare privato, non passa da Gmail. Proton Mail o Tuta cifrano lato server; per il resto c’è PGP.

Segui il calendario, non i titoli. Le due scadenze che contano sono la risposta del Consiglio agli emendamenti, entro ottobre, e la ripresa dei triloghi a settembre. Patrick Breyer e EDRi pubblicano i documenti man mano che escono, spesso prima della stampa generalista.

Conclusione

Il 9 luglio non è stata una sconfitta della privacy contro la sicurezza. È stata una sconfitta della maggioranza contro il calendario e il regolamento interno.

Vale la pena tenerselo a mente, perché è il modo in cui funzionano quasi sempre le cose che poi ci ritroviamo addosso. Non con un voto plebiscitario in cui un popolo sceglie di essere sorvegliato: con una soglia procedurale, una data di seduta, un’aula mezza vuota a luglio. Nessun passaggio è scandaloso preso da solo. Il risultato sì.

La crittografia end-to-end, per ora, ha retto. Il secondo dei due emendamenti che la proteggono è passato con un voto sopra la soglia. Uno.

A settembre si ricomincia.

Fonti: