Chat Control: perché 314 no non sono bastati e non è ancora finita

Il 9 luglio il Parlamento europeo non è riuscito a respingere la proroga della sorveglianza dei messaggi. Ma non l'ha nemmeno approvata: l'ha modificata, escludendo le chat cifrate, e l'ha rimandata ai governi. Non è ancora legge. Il modo in cui ci siamo arrivati, però, dice molto.

Il 9 luglio il capodelegazione di Fratelli d'Italia a Strasburgo ha rivendicato di aver votato contro Chat Control. Vero. Una settimana prima, a Bruxelles, il governo italiano aveva votato a favore della stessa misura. Vero anche questo. E nel voto in cui FdI dice di aver fatto muro, nove dei suoi ventiquattro eurodeputati non erano in aula. Tre fatti che, messi in fila, raccontano qualcosa che i comunicati non dicono.

Prima però una precisazione, perché quasi tutti i titoli l'hanno sbagliata, compresi quelli allarmisti: il 9 luglio Chat Control non è diventato legge.

Cosa è successo davvero il 9 luglio

A fine marzo il Parlamento europeo aveva bocciato la proroga della deroga alla direttiva ePrivacy con l'aula piena: 311 no, 228 sì. La norma è scaduta il 3 aprile. Sembrava chiusa. A inizio luglio i governi dei 27, riuniti nel Consiglio dell'Unione, hanno ripreso lo stesso testo e lo hanno rispedito al Parlamento come propria posizione. Da lì la regola del gioco cambia. Per fermare un testo che arriva dal Consiglio non basta più la maggioranza dei presenti in aula: serve la maggioranza assoluta di tutti i 720 eurodeputati, cioè 361 voti, presenti o no. Chi non c'è, di fatto, non aiuta a raggiungere quella soglia.

Il 9 luglio 314 eurodeputati hanno votato per respingere la proroga, 276 per tenerla, 17 si sono astenuti. La maggioranza dei votanti diceva no. Ma 314 non arriva a 361, e il rigetto è fallito per 47 voti. L'aula, va detto, non era affatto vuota: hanno votato in 607 su 720, l'84 per cento. Non è mancata la gente, è mancata l'asticella. Con quella soglia, anche un no netto dei presenti non è bastato.

Qui però arriva la parte che molti titoli hanno saltato. Non riuscire a respingere un testo, in seconda lettura, non equivale ad approvarlo così com'è. Il Parlamento ha fatto una terza cosa: ha modificato il testo. Ha approvato alcuni emendamenti, tra cui l'esclusione esplicita delle comunicazioni protette da cifratura end-to-end, come WhatsApp e Signal. E poiché ha emendato invece di lasciar passare, per le regole europee il testo non diventa legge da solo: torna al Consiglio, che ha tre mesi, fino a circa il 9 ottobre, per accettare tutte le modifiche o rifiutarle. Se le accetta, la deroga entra in vigore fino al 3 aprile 2028, con le chat cifrate fuori. Se ne rifiuta anche una, si apre una fase di conciliazione. Nel frattempo la vecchia deroga resta scaduta e il 9 luglio nessuna piattaforma ha ottenuto nuovi permessi.

Tradotto: la partita non è persa né vinta, è stata rinviata ai governi. E secondo diversi osservatori il Consiglio difficilmente accetterà l'esclusione delle chat cifrate, perché con la sua posizione ha già ottenuto quel che voleva. Che è esattamente il motivo per cui conviene capire come questa cosa si muove, prima che si muova di nuovo a settembre.

Primo fatto da leggere: la spinta arriva dai governi, non dall'aula eletta

Guardate chi ha voluto cosa. Il Parlamento europeo, che risponde agli elettori, ha respinto Chat Control più volte. Il Consiglio, dove siedono i governi nazionali, l'ha rimessa in pista adottando la propria posizione, con il governo italiano tra i favorevoli e nessuno Stato che si è messo di traverso a bloccarla. L'Italia ha messo a verbale delle riserve, tra cui la richiesta di escludere le chat cifrate, poi ha votato a favore lo stesso: una riserva a verbale non ferma il testo e la posizione del Consiglio è ripartita comunque. Due volontà opposte dentro la stessa Unione, e la procedura ha dato il vantaggio a quella dei governi.

Attenzione però: il Consiglio non è un organo oscuro, è composto da governi democraticamente responsabili nei loro paesi ed è uno dei due co-legislatori dell'Unione. Non è illegittimo. Ma le sue decisioni sono molto meno visibili e tracciabili di un voto in plenaria, e questo sposta il baricentro. La domanda di sorvegliare le chat non nasce dai cittadini né da chi li rappresenta a Strasburgo. Nasce dagli esecutivi. E quando la volontà dei governi e quella dell'assemblea eletta si sono scontrate, la regola della maggioranza assoluta, pensata per rendere difficile ribaltare la posizione del Consiglio, ha fatto pendere la bilancia dalla parte dei governi.

Secondo fatto: la responsabilità c'è ma è frammentata apposta

La misura può passare, ma provate ad attribuirne la paternità a qualcuno.
Il governo può dire che i suoi eurodeputati hanno votato no.
Gli eurodeputati di FdI possono dire di aver votato no.
Chi non si è presentato può parlare di assenza normale di luglio.
Il Consiglio può dire che ha solo ripristinato un testo esistente.
Ognuno ha il suo alibi e il risultato prende forma senza che nessuno debba firmarlo. Non è che non ci siano responsabili: è che la responsabilità è divisa tra più tavoli, e all'elettore diventa quasi impossibile leggere chi ha fatto cosa.

Attenzione a un equivoco facile: non sono le stesse persone. Un eurodeputato non può essere anche ministro di un governo. Ma è spesso la stessa parte politica. Lo stesso centrodestra che al governo, a Bruxelles, ha votato per la proroga, con i suoi eurodeputati di FdI e Lega a Strasburgo ha votato contro. Non è per forza una furbizia calcolata a tavolino, ma il sistema la rende possibile: la stessa area può stare su due tavoli e mostrare all'elettore solo quello che le conviene. È ragionevole leggerla così, perché le due poltrone rispondono a incentivi diversi. Sulla poltrona di governo pesano gli apparati di sicurezza, che quello strumento lo chiedono da anni. Sulla poltrona di Strasburgo pesa chi ti deve rieleggere, e la sorveglianza di massa non porta voti. Stessa parte, due incentivi opposti a seconda di dove è seduta.

Lo si vede dagli schieramenti, che sul voto sono saltati: Fratelli d'Italia e Lega contrari, Forza Italia favorevole, il Partito Democratico spaccato a metà. Nessuna nuova frattura ideologica, solo la conferma che qui l'etichetta di partito pesa meno del posto in cui uno è seduto.

Come hanno votato gli eurodeputati italiani, nome per nome

Il voto del 9 luglio era su una proposta di respingere la deroga. Quindi chi ha votato per bocciarla era contro la sorveglianza, chi ha votato per mantenerla era a favore, e chi non si è presentato, in quel meccanismo, ha di fatto aiutato il testo. I dati vengono dall'appello nominale ufficiale del Parlamento europeo. Vannacci è stato eletto con la Lega ma siede nel gruppo ESN; Gualmini e Picierno hanno lasciato il PD nei mesi scorsi, la prima per Azione, la seconda verso l'area Renew.

Hanno votato per bocciare la sorveglianza (39)

Fratelli d'Italia (15): Sergio Berlato, Carlo Ciccioli, Alessandro Ciriani, Giovanni Crosetto, Elena Donazzan, Carlo Fidanza, Pietro Fiocchi, Alberico Gambino, Paolo Inselvini, Lara Magoni, Denis Nesci, Michele Picaro, Daniele Polato, Francesco Torselli, Mariateresa Vivaldini.

Lega (6): Paolo Borchia, Susanna Ceccardi, Anna Maria Cisint, Silvia Sardone, Isabella Tovaglieri, Roberto Vannacci.

Movimento 5 Stelle (8): Giuseppe Antoci, Danilo Della Valle, Mario Furore, Carolina Morace, Valentina Palmisano, Gaetano Pedullà, Dario Tamburrano, Pasquale Tridico.

Partito Democratico (6): Annalisa Corrado, Giorgio Gori, Dario Nardella, Cecilia Strada, Raffaele Topo, Alessandro Zan.

AVS (3): Cristina Guarda, Leoluca Orlando, Benedetta Scuderi.

Azione (1): Elisabetta Gualmini.

Hanno votato per mantenere la deroga (13)

Forza Italia (7): Caterina Chinnici, Salvatore De Meo, Fulvio Martusciello, Letizia Moratti, Giusi Princi, Massimiliano Salini, Flavio Tosi.

SVP (1): Herbert Dorfmann.

Partito Democratico (5): Lucia Annunziata, Stefano Bonaccini, Alessandra Moretti, Marco Tarquinio, Georgia Tramacere.

Non hanno votato (24)

Fratelli d'Italia (9): Stefano Cavedagna, Chiara Gemma, Mario Mantovani, Giuseppe Milazzo, Nicola Procaccini, Ruggero Razza, Antonella Sberna, Marco Squarta, Francesco Ventola.

Partito Democratico (8): Brando Benifei, Camilla Laureti, Giuseppe Lupo, Pierfrancesco Maran, Matteo Ricci, Sandro Ruotolo, Irene Tinagli, Nicola Zingaretti.

AVS (3): Mimmo Lucano, Ignazio Marino, Ilaria Salis.

Lega (2): Aldo Patriciello, Raffaele Stancanelli.

Forza Italia (1): Marco Falcone.

Area Renew, ex PD (1): Pina Picierno.

L'argomento di chi è a favore, preso sul serio

Inquadriamo la questione, però. Gli abusi sui minori online sono un problema reale e chi propone la misura non se lo inventa. L'argomento più forte a favore della proroga è concreto: gran parte delle segnalazioni di materiale pedopornografico oggi arriva proprio dalle scansioni volontarie delle grandi piattaforme e quando all'inizio del 2021 mancò per qualche mese una base giuridica chiara, quelle segnalazioni calarono in modo netto. Meno scansioni, meno segnalazioni, potenzialmente meno indagini. È un argomento che va affrontato, non aggirato.

Il problema è che regge solo se ci si ferma a metà. Che uno strumento produca segnalazioni non dice quante siano utili. Le valutazioni delle polizie nazionali su questi report raccontano che una quota consistente degli allarmi automatici non è penalmente rilevante: foto di famiglia, conversazioni innocue, contenuti che un algoritmo ha frainteso e che poi qualcuno deve aprire e guardare. La Commissione, in una revisione del 2025, sostiene che dopo il vaglio umano gran parte delle segnalazioni si conferma fondata, ma nella stessa relazione ammette di non poter dimostrare che condanne e minori identificati derivino dalla scansione di massa e non dal normale lavoro investigativo. Contro un problema reale si può rispondere con strumenti mirati, ordini di controllo su sospetti indicati da un giudice, senza passare al setaccio le comunicazioni di tutti. Al Parlamento la proposta di limitare le scansioni ai soli sospetti individuati da un giudice aveva ottenuto la maggioranza dei votanti, 322 contro 255. È finita sotto la stessa soglia dei 361, e non è passata.

Dove sta andando: Chat Control 2.0

Quella di luglio è la versione leggera, la 1.0. È una deroga che permette alle piattaforme di scansionare, se vogliono, i contenuti che già vedono in chiaro: la posta su Gmail, i messaggi su Instagram. Puoi ridurne l'effetto cambiando dove tieni le tue cose. La versione pesante è il regolamento permanente, quello che i critici chiamano 2.0, ed è una procedura legislativa distinta, ancora in negoziato tra Parlamento, Consiglio e Commissione. Il nodo su cui si discute, e che a fine giugno non era affatto risolto, è se imporre alle piattaforme l'obbligo di scansionare, e se spingere quell'obbligo anche dentro le app cifrate.

È qui che conviene capire la differenza tecnica, perché è quella che decide tutto. Oggi la scansione lavora dove il fornitore vede il contenuto in chiaro, cioè sui servizi non cifrati. Portarla dentro un'app cifrata end-to-end si può fare, ma non aggirando l'algoritmo di cifratura: si fa mettendo un controllo dentro il tuo telefono che legge il messaggio prima che venga cifrato e spedito. È la tecnica chiamata scansione lato client. La cifratura formalmente resta intatta, ma la protezione salta lo stesso, perché il controllo avviene su uno dei due estremi, prima che la busta si chiuda. Non è l'unico modo immaginabile di intervenire, ma è quello attorno a cui ruota lo scontro, ed è la posizione storica della Commissione fin dalla prima proposta del 2022.

Su questo c'è una posizione tecnica, sostenuta da buona parte dei crittografi, che conviene riportare per quella che è: una cifratura che fa un'eccezione per la polizia non è più una cifratura sicura, perché la stessa apertura vale per tutti, comprese banche, ospedali e la sicurezza degli Stati. Signal ha detto che lascerebbe l'Europa piuttosto che accettarlo. È una posizione, non un dogma, ma spiega perché la cosiddetta terza via, controllare solo i cattivi senza toccare la privacy di nessun altro, secondo chi progetta questi sistemi non è realizzabile.

Perché il "temporaneo" è la parte da tenere d'occhio

C'è un motivo per cui questa deroga, apparentemente minore, merita attenzione. Una volta costruita, l'infrastruttura di scansione resta, e ciò che cerca si può cambiare. Se in un sistema c'è un meccanismo che confronta i contenuti con un archivio, quell'archivio si aggiorna con una decisione politica, non con un intervento tecnico. Oggi contiene impronte di materiale pedopornografico. Domani il perimetro può allargarsi. Non è fantapolitica: è già accaduto con misure d'emergenza nate temporanee e diventate stabili. E "temporaneo", nel caso della sorveglianza, è una parola da maneggiare con diffidenza: questa deroga è nata nel 2021 per tre anni, è già stata prorogata, ed è di nuovo sul tavolo fino al 2028. Quando una cosa entra nei budget, nei team e nelle procedure delle autorità, tende a non uscirne più.

La misura solleva un problema che riguarda tutti, non solo chi ha qualcosa da nascondere. È il rovesciamento dell'ordine su cui si regge lo stato di diritto. Fino a ieri prima c'era un sospetto su una persona, poi un giudice autorizzava a controllare. La scansione di massa capovolge la sequenza: prima si guarda dentro le comunicazioni di tutti, poi semmai emerge un sospetto. È lo stesso principio delle intercettazioni nel nostro codice penale, dove servono indizi e un decreto motivato, applicato al contrario. Vale a prescindere da cosa il sistema cerchi oggi.

Cosa si decide adesso

La domanda dei prossimi mesi non è quanto sorvegliano. È se in Europa resta il principio che nessuno ti guarda finché non c'è una ragione, oppure se diventa normale che qualcuno guardi sempre e tocchi a te sperare di non finire, per errore, tra i sospetti. La decisione immediata è del Consiglio, che entro l'autunno dirà se accettare l'esclusione delle chat cifrate o riaprire tutto. La partita più grande è quella sul regolamento permanente, dove il negoziato riprende dopo l'estate e dove si decide se lo scanning entrerà anche nei dispositivi.

Nel frattempo, l'unica cosa che dipende dai singoli è tecnica, non ideologica, e va detta con precisione perché è facile fraintenderla. Contro la 1.0, che scansiona solo ciò che le piattaforme vedono in chiaro, tenere le proprie cose su servizi cifrati o su infrastruttura che gestisci tu funziona: quei contenuti restano fuori dalla portata della scansione per come sono fatti, non per gentile concessione. Contro la 2.0, se dovesse passare la scansione dentro il dispositivo, quella stessa protezione verrebbe aggirata, perché il controllo avverrebbe prima della cifratura. Ecco perché la crittografia end-to-end è la vera posta in gioco, e perché la battaglia che conta non è quella di luglio, ma quella che si apre a settembre. Il resto è sperare che, la prossima volta, l'asticella non venga usata di nuovo contro chi vorrebbe fermarla.

Fonti

Nota: al momento della scrittura, 21 luglio 2026, la procedura è ancora aperta. Il testo emendato dal Parlamento è all'esame del Consiglio, che deciderà entro l'autunno se accettare l'esclusione delle chat cifrate o aprire la conciliazione. Fino ad allora la deroga non è formalmente in vigore.