Il regolamento Chat Control tra tutela dei minori e protezione dati

1.    Perché nasce la proposta

La proposta di regolamento COM/2022/209 final[1], nota come “Chat Control” o “CSAM Regulation”, acronimo di Child Sexual Abuse Material nasce con l’intento di rafforzare la lotta alla pedopornografia online ed in particolare la produzione, la diffusione e condivisione di materiale pedopornografico (CSAM) e attività di “grooming” ossia l’adescamento dei minori. La commissione europea propone un regime uniforme per prevenire e combattere questi abusi.

2.    Cosa impone e a chi 

Questa proposta imporrebbe ai fornitori di servizi di comunicazione di:

• Effettuare una valutazione dei rischi in merito all’abuso sessuale online dei minori;
• Rispettare obblighi di rilevazione di materiale noto e nuovo, e di adescamento dei minori (“grooming”);
• Adempire a obblighi di segnalazione, rimozione o blocco dei contenuti illeciti;
• E potenzialmente essere soggetti a ordini di scansione o monitoraggio delle comunicazioni degli utenti, anche in ambienti cifrati, se viene emesso un ordine di rivelazione.

In sintesi, i fornitori che gestiscono servizi di messaggistica, chat, comunicazione tra utenti non sarebbero più meri moderatori, ma soggetti attivi di identificazione e rilevazione di comportamenti illeciti, con un impatto diretto sulla gestione e sull’analisi dei dati personali degli utenti. Infatti, chi fornisci questo tipo di servizio, come WhatsApp, Signal ma anche le piattaforme social dovrebbero introdurre dei sistemi di scansione preventiva dei messaggi, immagine, file direttamente sui dispositivi degli utenti così da analizzare e individuare contenuti potenzialmente illeciti prima che vengano cifrati e trasmessi.

3.    I rischi - perché la protezione dei dati è in gioco

Da un lato, viene riconosciuta l’urgenza e l’importanza della lotta contro l’abuso sessuale online dei minori. Dall’altro emergono profili critici inerenti ai principi generali della protezione dei dati personali.

L’EDPB nel suo Statement 1/2024[2] riconosce l’importanza della lotta contro l’abuso sessuale dei minori ma invita i co-legislatori al rispetto dei diritti fondamenti alla privacy e alla protezione dei dati, ed in particolare:

• Sorveglianza generalizzata: L’EDPB avverte che la proposta, nonostante miglioramenti, ancora lascia spazi per ordini di rilevazione non sufficientemente mirati, con il rischio di colpire intere fasce di utenti senza sospetti concreti. Una rilevazione non mirata, può trasformarsi in monitoraggio di massa delle comunicazioni private e pertanto mina la riservatezza delle comunicazioni private (diritto previsto dalla Carta dei Diritti Fondamentali dell’Unione Europe artt. 7 – 8);
• Tecnologie di rilevazione e di adescamento: l’EDPB sottolinea che le tecniche proposte per individuare nuovo materiale o casi di grooming (utilizzo di AI) sono intrusive, probabilistiche e con margini di errore elevati.
• Rischio per le comunicazioni cifrate end to end (E2E) e per la fiducia nei servizi digitali: L’EDPB ribadisce che la cifratura è un “strumento essenziale” per la tutela della riservatezza e della sicurezza “in quanto fornisce solide garanzie tecniche contro l'accesso al contenuto delle comunicazioni da parte di chiunque non sia il mittente e il destinatario o i destinatari, compreso il fornitore”. Qualsiasi misura che la indebolisce rischia di compromettere la sicurezza all’intero del sistema di comunicazione e inoltre mina la fiducia degli utenti nei servizi digitali.
• Minimizzazione, limitazione della finalità e proporzionalità: il trattamento massivo dei dati – anche in caso di segnalazione errate - può violare i principi di minimizzazione, limitazione della finalità e proporzionalità prevista dal Regolamento generale sulla protezione dei dati (GDPR)[3] e dalle legislazioni nazionali analoghe. Le attività di raccolta e analisi devono rimanere strettamente necessarie e proporzionate rispetto allo scopo perseguito.

4.    Il Confronto europeo e le posizioni in campo

Il dibattito sul “Chat Control” divide profondamente l’Unione Europea. Il voto del Consiglio dell’UE, previsto per il 14 ottobre 2025, è stato rinviato poiché non è stata raggiunta la maggioranza qualificata necessaria. Alcuni Paesi, guidati dalla Danimarca (presidente di turno del Consiglio), sostengono la proposta, mentre altri – come la Germania e i Paesi Bassi – mantengono una posizione contraria o più cauta.

Parallelamente, diverse organizzazioni che si occupano di tecnologia e di protezione dei dati, tra cui EDRi (European Digital Rights) e EFF (Electronic Frontier Foundation) hanno espresso forte preoccupazione per le implicazioni sulla privacy e sulla libertà digitale. Piattaforme messagistiche cifrate sono tra le principali voci contrarie. Signal avrebbe già dichiarato che uscirà dal mercato europeo se la proposta venisse adottata.

5.    Conclusione

La proposta “Chat Control” incarna una delle sfide più delicate del diritto digitale contemporaneo: proteggere i minori online senza aprire la porta a un regime di sorveglianza generalizzata. L’EDPB ne riconosce l’importanza, ma contemporaneamente richiama i legislatori a garantire che i mezzi adottati non compromettano i diritti fondamentali, la cifratura, la proporzionalità e la minimizzazione.

Per i professionisti della privacy e per i fornitori digitali, il momento è di alta attenzione e tensione: governance forte, trasparenza, valutazione dei rischi e coerenza con i principi delle normative vigente per la protezione dei dati diventano fattori decisivi per muoversi in un contesto che sta cambiando rapidamente.

Fidinam & Partners

Questo articolo è stato redatto da Isabel Costa, Manager Privacy di Fidinam & Partners.

Clicca qui per contattarci e rivolgerci domande specifiche sulla tematica in oggetto. 

^{[1] La proposta di regolamento COM/2022/209 final al seguente link : https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:52022PC0209}

^{[2] Statement 1/2024 on legislative developments regarding the Proposal for a Regulation laying down rules to prevent and combat child sexual abuse Adopted on 13 February 2024 al seguente link : https://www.edpb.europa.eu/system/files/2024-02/edpb_statement_202401_proposal_regulation_prevent_combat_child_sexual_abuse_en.pdf}

^{[3] Regolamento (UE) 2016/679 del 27 aprile 2016 al seguente link : https://eur-lex.europa.eu/eli/reg/2016/679/oj/ita}