Chat Control non serve a fermare la pedopornografia. Allora a cosa serve?
I dati che la Commissione europea stessa non riesce a smentire, e l'infrastruttura di sorveglianza che si sta costruendo sotto mentite spoglie
Dire che non ci si interessa al diritto alla privacy perché non si ha niente da nascondere è come dire che non interessa il diritto di parola perchè non si ha niente da dire, o la libertà di stampa perchè non si ha niente da scrivere.
Edward Snowden, intervista al Guardian del 22 maggio 2015
Una premessa
Prima di buttarci nel vivo della questione, vorrei prendermi un momento per mettere in chiaro perchè ho scritto sta roba, e con quali fini. In effetti quando ho iniziato la gestazione di questa newsletter mi sono reso conto in modo molto vivido di due cose:
Sarebbe stata la seconda volta quasi di fila in cui scrivo di una porcata del Parlamento Europeo. La prima è questa di qualche settimana fa, dove spiego il perchè la nuova stretegia europea per l’Open Source rischi di diventare una buffonata puramente cosmetica.
In un paio di occasioni, nel corso della mia vita, mi è capitato di non sentirmi un quanto inerme di umanità ma il vettore di una forza in grado di influenzare i processi storici. La percezione comunque [deriva dalla/accresce la] certezza geometrica che i veri cambiamenti sociali e storici nascano, con un velo di retorica, nelle strade e non nei PP (Palazzi del Potere).
Ne consegue che mi sento in dovere di dire fin da subito che tutto questo articolo in verità è un po’ una chiamata alle armi nella quale cerco di spronare chi mi legge a fare qualcosa, sia online che offline: qualcuno si sarà accorto che nel sottotitolo ho scritto IRL e non AFK, e questo per stabilire una sorta di gerarchia implicita delle modalità di azione. Ma comunque. Alla fine darò dei consigli o comunque degli spunti di pratiche affinchè chiunque possa mobilitarsi secondo le proprie capacità, propensioni e interessi. Per chi ne ha già letto abbastanza sul tema e vuole solamente cogliere questi spunti, consiglio di andare direttamente all’ultimo paragrafo.
Con gli altri, invece, si parte.
tl;dr
Il Parlamento Europeo ha rinnovato Chat Control 1.0 utilizzando modalità di voto emergenziali e, secondo molti, illegittime
Chat Control promette di contrastare la pedopornografia, ma i dati ne smentiscono completamente l’efficacia
Introduce invece limitazioni fortemente antiliberali alla privacy
Ne discenderebbe che il suo obbiettivo reale sia quello di aprire le porte alla sorveglianza di massa
Ma ci sono ancora tantissime cose che possiamo fare per bloccare Chat Control 2.0 prima dell’autunno
La lunga vita e molte anime di Chat Control
Chat Control non è una novità. Formalmente è conosciuto come il Regolamento per la prevenzione e la lotta contro l’abuso sessuale su minori (in inglese Regulation to Prevent and Combat Child Sexual Abuse) e chiamato anche Child Sexual Abuse Regulation (CSAR), e nasce nel 2022 sotto la spinta di Ylva Johansson, già Commissaria europea per gli affari interni dal 2019 al 2024. Già all’epoca la proposta aveva suscitato un’ondata di critiche e una forte mobilitazione, anche se prevalentemente online, ed era stata bocciata.
Qua è importante capire le differenze tra Chat Control 1.0 e 2.0, nate in questo periodo, sia perchè sul piano dei diritti comportano diverse conseguenze, sia perchè hanno avuto iter parlamentari paralleli.
1.0: è una deroga temporanea della direttiva ePrivacy del 2003; viene usato principalmente dagli attori del capitalismo della sorveglianza (Google, Meta, Microsoft, ecc) perchè discrezionale; non comprende i messaggi con crittografia end-to-end - che, guarda caso, non sono una feature di punta delle piattaforme di cui sopra.
2.0: ancora sul piano delle proposte, quindi non è in vigore; diventa obbligatorio per tutte le piattaforme; include la crittografia - anche end-to-end.
1.0
Attraverso la Regulation 2021/1232, in Parlamento Europeo fu varato Chat Control cosiddetto 1.0, ovvero una deroga alla direttiva ePrivacy del 2003 che consente ai fornitori di avere accesso alle chat dei propri utenti alla ricerca di materiale pedopornografico.
Nel tentativo di far slittare il termine della Regulation 2021/1232, previsto per aprile 2026, la commissione propone di prorogarla di due anni, ma l’11 maggio il Parlamento vota contro. Le BigTech (Google, Meta, Microsoft, TikTok, Snapchat e LinkedIn, aziende che simulano utenti adolescenti e inducono i chatbot rivali a parlare loro di sesso, armi e suicidio, o che hanno fornito l’infrastruttura informatica necessaria a un certo genocidio, per dirne due), il 19 marzo 2026 firmano un appello per mantenere la scansione "volontaria" nel tentativo di rianimare Chat Control 1.0. Il Partito Popolare spinge e manovra allora per una seconda votazione, che ottiene, ma che perde nuovamente il 26 marzo, decretando la scadenza di Chat Control 1.0 appunto per il 3 aprile 2026.
Chat Control non è in vigore quindi dal 4 aprile 2026, e fino al voto del 9 luglio si era aperta una voragine normativa all’interno di tutti i servizi, i quali de facto hanno proseguito nella scansione massiva dei nostri messaggi - con relativa estrazione di dati.
Il voto del 9 luglio
In poche parole è stato fatto questo: siccome il regolamento 2021/1232 era scaduto e non poteva essere esteso, è stato riproposto, nella sua interezza, mascherato da legge completamente nuova, e spinto con procedura d’urgenza (che salta il passaggio in commissione). l 7 luglio il Parlamento ha approvato il fast-track (331 sì, 303 no), e il 9 luglio serviva quindi una maggioranza assoluta di 361 voti per bocciarlo (non la maggioranza semplice): un quorum deliberatamente molto più alto del normale. Nonostante in 314 abbiano votato contro Chat Control e 276 a favore, siccome il quorum specifico imponeva la maggioranza assoluta (361 eurodeputati), nonostante la maggioranza si sia espressa in modo contrario (per le terza volta in 3 mesi), Chat Control è stato approvato. Quindi le forzature sono state 2: presentare una legge vecchia e bocciata come nuova semplicemente cambiandone il nome, e utilizzare la strategia del fast track per evitare i passaggi richiesti normalmente a tutte le leggi. Chat Control 1.0 rimane quindi in vigore fino al 2028.
Il voto del 9 luglio non è preoccupante perchè sposta qualcosa nell’immediato. Di fatto era già in vigore dal 2021, e ci sono forti motivi per credere che dalla sua scadenza ad aprile ad oggi non sia cambiato assolutamente nulla nelle modalità di gestione dei nostri dati. È preoccupante per altri motivi:
Impedisce di fatto il proseguimento delle discussioni riguardanti la dismissione della sorveglianza di massa introdotta dalla Regulation 2021/1232, che pure erano state estremamente timide e poco chiare.
Arriva secondo modalità eccezionali, dimostrando un forte accanimento del legislatore contro il diritto alla privacy dei cittadini. Indica una volontà di ignorare voti precedenti che avevano chiaramente espresso la contrarietà del Parlamento a Chat Control utilizzando modalità che qualcuno ha perlomeno avuto il tempo di chiarire che fossero illeggittime.
Rappresenta un lugubre preludio a quanto ci aspetta questo autunno, quando ricominceranno le discussioni riguardanti 2.0.
2.0
Nel frattempo, cioè dal 2021 ad oggi, i numerosi tentativi di riproporre Chat Control 2.0 si sono, per un motivo o per l’altro, sempre arenati. La proposta è tornata in auge a metà 2025, quando improvvisamente venne riprioritizzata, fissando un voto in consiglio europeo per il 14 ottobre ma nel frattempo chiedendo a tutti i Paesi membri di esprimere la propria posizione entro fine estate. In questo contesto, ad agosto 2025, viene lanciato fightchatcontrol, per rilanciare e coordinare la mobilitazione contro Chat Control.
Il 14 ottobre 2025 il voto in Consiglio salta, tolto dall’agenda per mancanza di accordo tra Stati membri. A novembre la Germania rompe lo stallo, annunciando che voterà contro la scansione obbligatoria indiscriminata: costringe così la presidenza di turno danese a un compromesso al ribasso, che elimina gli “ordini di rilevamento” obbligatori ma, nel farlo, rende permanente proprio la scansione “volontaria” di Chat Control 1.0, lo stesso meccanismo appena rianimato il 9 luglio. Il 26 novembre 2025 il Consiglio adotta questo mandato e si apre il trilogo, il negoziato a tre tra Parlamento, Consiglio e Commissione che deve produrre il testo definitivo.
Cinque round di trilogo (9 dicembre 2025, 26 febbraio, 16 aprile, 11 maggio, 29 giugno 2026) falliscono uno dopo l’altro sullo stesso nodo: rendere permanente la scansione senza sospetto. Il quinto trilogo del 29 giugno, presentato come quello definitivo, si chiude comunque senza accordo: la trattativa riprenderà a settembre 2026, sotto la presidenza di turno irlandese. È lì che si giocherà la partita.
La posizione del Parlamento europeo resta nel frattempo distante da quella del Consiglio su tre punti: nessuna scansione dei servizi a crittografia end-to-end; controlli limitati a singoli individui o gruppi sospettati sulla base di un mandato giudiziario; nessuna verifica d’età obbligatoria per usare le app di messaggistica.
Perchè non serve a contrastare la pedopornografia
In breve
Per chi non vuole leggere la parte tecnica qua sotto c’è una spiegazione veloce e piuttosto convincente di per sè. Nel suo stesso report di implementazione, la Commissione europea ha ammesso che non esiste un nesso dimostrato tra la scansione delle comunicazioni private e condanne reali o bambini effettivamente salvati:
“Nor is it currently possible, on the basis of the available data, to establish a clear link between these convictions and the reports submitted by providers and organisations acting in the public interest against CSA in given reporting periods”.
Tecnicismi, spiegati meglio che posso
Purtroppo qua bisogna scendere in dettagli tecnici, ma prometto di metterli giù nel modo più digeribile possibile. Molti di questi dettagli sono presi da quest’analisi della Max Planck Society o dall’articolo di Patrick Breyer, che a mio avviso sono comprensibili da chiunque e che invito tutti a leggere.
Il nocciolo della questione riguarda l’estensione prevista da 2.0 sulle chat con crittografia end-to-end. Concentriamoci sulle app di messaggistica istantanea: al momento, app come Signal e Whatsapp forniscono un tipo di crittografia chiamata end-to-end, ovvero ogni nostro segnale viene crittato sul dispositivo di partenza e resta una roba incomprensibile fino all’arrivo sul dispositivo di arrivo. 2.0 propone di aggirare questo layer di sicurezza implementando una cosa chiamta client-side scanning. In sostanza, la crittografia end-to-end rimarrebbe al suo posto, ma il contenuto dei messaggi sarebbe controllato sul dipositivo di partenza prima dell’invio, alla ricerca di segnali che indichino potenziale attività pedopornografica. Il software che esegue questa scansione dovrebbe essere installato direttamente nelle app (di nuovo, tipo Whatsapp o Signal, che però è open source), e girare il materiale sospetto alle forze di polizia. Ovviamente questo renderebbe la crittografia end-to-end un orpello completamente inutile.
Oltre a questo, ogni metrica a disposizione ad oggi indica che il client-side scanning non è per nulla efficace. In sostanza il problema sta nei falsi positivi: le foto di un eritema mandate al pediatra, quelle dei figli al mare, ecc vengono normalmente segnalate, inondando interi uffici pubblici di immagini perfettamente innocue e, soprattutto, private. Qua mi permetto di linkare questa notizia riguardante il caso di un alto funzionario della questura di Trieste colto con materiale pedopornografico nel proprio telefono, solo qualche settimana fa.
Inoltre, a prescindere dalla capacità dei sistemi attuali di filtrare questi falsi positivi, mascherare materiale compromettente facendolo passare tra le maglie di questi script di flagging è piuttosto semplice e rappresenta un limite che non sarà superato da algoritmi più capaci. Al momento, lo stato dell’arte è il seguente:
Secondo la polizia federale svizzera, l’80% delle segnalazioni automatiche generate da chat control sono penalmente irrilevanti.
Solo il 20% delle segnalazioni NCMEC in Irlanda del 2020 sono state confermate come vero materiale di abuso.
Ylva Johansson stessa ha ammesso che il 75% delle segnalazioni NCMEC non ha qualità sufficiente per essere utilizzabile dalla polizia.
In Germania quasi il 40% delle indagini aperte per “materiale pedopornografico” riguarda minorenni stessi (sexting tra coetanei). Criminalizza cioè gli stessi minori che la legge millanta di voler proteggere.
Il numero “85 milioni di immagini nel 2021” spesso citato dalla Commissione è completamente erroneo e fabbircato ad-hoc. Tolti i doppioni, restano 22 milioni di file unici, di cui solo 1.4 milioni raffigurano effettivamente abuso; il 75% delle segnalazioni 2021 viene da Meta; solo il 7% delle segnalazioni globali NCMEC riguarda l’UE.
Ma allora a cosa serve?
Qua entriamo con delicatezza nel reame della speculazione. Abbiamo detto che Chat Control non sarebbe efficace nel constrasto della pedopornografia. Ci sono valide ragioni di supporre che se questa informazione è nota a molti, sia nota anche alla commissione europea, che quindi in mancanza di altro si troverebbe abbarbicata su una proposta di legge inutile e costosa.
La teoria più accreditata intorno alla produttività di Chat Control (e anche la più logica)è che risieda proprio nella valanga di falsi positivi: un sistema che normalizza la scansione indiscriminata di miliardi di messaggi al giorno, a prescindere da quanto sia inefficace nel suo scopo dichiarato, costruisce l’infrastruttura tecnica e giuridica per sorvegliare chiunque, su qualunque contenuto, senza bisogno di un sospetto individuale. Una volta implementato questo meccanismo, riadattarlo per finalità diverse dalla pedopornografia è un passaggio tecnico banale: basta cambiare il tipo di hash o di parola chiave che l’algoritmo è addestrato a cercare.
Lo scriveva già chiaramente EDRi (European Digital Rights) nel 2021: “scanning everything from everyone all the time creates huge risks of leading to mass surveillance by failing the necessity and proportionality test. […] we start scanning for less harmful cases (copyright) and then we move on to harder issues (child sexual abuse, terrorism) and before you realise what happened scanning everything all the time becomes the new normal.” Chat Control, insomma, potrebbe non essere pensato per funzionare contro la pedopornografia, ma per funzionare benissimo come infrastruttura generale di controllo, riorientabile in qualsiasi momento verso qualsiasi bersaglio si scelga.
Parentesi: una teoria indimostrabile
Fin qui abbiamo dimostrato che Chat Control non è nè può essere utile al contrasto alla pedopornografia. Attraverso l’ipotesi successiva che il legislatore utilizzi i dati che sono certamente in suo possesso per arrivare alla stessa conclusione, abbiamo supposto che la produttività di Chat Control, che pure ci deve essere, sia il deploy di tecnologie che facilitino sorveglianza di massa, controllo delle popolazioni, repressione del dissenso interno.
Mi sono chiesto: ma quindi perchè utilizzare proprio il grimaldello della pedopornografia? D’ora in avanti, avviso, non sono in grado di dimostrare nulla quindi cercherò di essere conciso: la risposta che mi sono dato è che le èlite sublimino la propria, caratteristica, pedofilia latente imputandola simmetricamente a tutta la cittadinanza.
E così nasce l’idea, di cui magari non si discute neanche tanto nei circoli altolocati ma certamente diventa piuttosto trasversale, che sotto-sotto tutti sono pedofili. L’idea poi riemerge spontaneamente quando ci si inizia a chiedere come giustificare la necessità di armare la tecnologia per iniziare a sorvegliare le masse in modo sistematico.
Fine della digressione indimostrabile.
Ma quindi cosa si può fare?
Dipende. Per praticità, per far risparmiare tempo a chi legge, per tenere le informazioni tutte assieme e copincollarsele nel blocco note ho deciso di presentarle in modo schematico.
Azione
30 secondi: vai su fightchatcontrol.eu, seleziona “Take Action”, manda la mail precompilata a tutti gli europarlamentari italiani (o esteri anche, la fantasia è l’unico limite) chiedendo di respingere Chat Control.
10 minuti: presenta un reclamo formale al Garante per la Protezione dei Dati Personali contro i provider (Google, Meta, Microsoft) che continuano a scansionare le tue chat/email in modo indiscriminato e senza il tuo consenso esplicito.
1 ora: organizza o partecipa a un presidio/volantinaggio davanti alla sede locale di uno dei partiti che hanno votato a favore di Chat Control (PD, Forza Italia). Le sedi locali sono molto più sensibili alla pressione di piazza che a una mail indirizzata a Bruxelles, e sono un bersaglio raggiungibile da chiunque, non solo da chi vive a Strasburgo.
Ricorrente: dona tempo o soldi a chi questa battaglia la combatte materialmente tutti i giorni: Hermes Center for Transparency and Digital Human Rights, EDRi, noyb, o il Partito Pirata.
20 minuti: non tenere la cosa dentro la newsletter, scrivi un post pubblico sui tuoi social taggando esplicitamente il tuo eurodeputato/la tua eurodeputata e la sede locale del suo partito. Renderlo un fatto pubblico e nominale cambia gli incentivi molto più di una lamentela privata.
2 minuti: contatta direttamente una tua testata locale/regionale chiedendo un articolo (Breyer segnala che pochissimi media coprono la vicenda).
2 minuti: chiedi esplicitamente al tuo provider email/messaggistica se effettua già scansioni discrezionali. Poi disiscriviti immediatamente in caos di risposta affermativa.
Protezione (ovvero l’incarnazione di questa settimana della rubrichetta su come degluglizzarsi)
10 minuti: scarica Signal (open source, no profit) e inizia a sostituirlo a Whatsapp. Invita qualche tuo amico, o se ti capita di dover creare un gruppo approfittane per farlo su Signal. Qualcuno si lamenterà, ma il passaggio è facile e poi si vive meglio.
5 minuti: apri un account Proton per sostituire tutti i servizi Google. Puoi migrare facilmente e velocemente da Google a Proton con uno strumentino di cui parlavo nell’ultima newsletter.
3 minuti: scarica Brave o qualsiasi browser che blocchi cookies e pubblicità.
4 minuti: inizia a usare una VPN. Io consiglio mullvad o, se lo hai già, Proton VPN. Sono veramente cose plug-and-play, ovvero le installi facilmente e poi ti dimentichi che son lì.
2 ore: considera il passaggio a linux. Sai come funziona il sistema che gestisce la tua vita professionale e/o personale, proteggi i tuoi dati e quelli dei tuoi cari, ti ritrovi di colpo con un pc nettamente più veloce e puoi evitare di comprarne uno nuovo. In più ormai tutte le distro più popolari sono nettamente più facili da usare di Windows, per chiunque.
4 ore, 200 euro: quando viene il momento di cambiare telefono, compra un Pixel e ficcaci dentro GrapheneOS. Fa figo, ti protegge, funziona bene, ed estende la vita utile del telefono di qualche anno, così riparmi pure.
Il tempo che vuoi: in calce alla newsletter ho messo molte risorse utili che consiglio caldamente a chiunque volesse capirci di più di questa storiaccia.
Risorse consigliate
Trasimene, ”Chat Control: who actually reads your messages, and what just happened in Brussels”
Max Planck Society, ”More monitoring, but not more protection”
Patrick Breyer, ”Chat Control: The EU’s CSAM scanner proposal” (il dossier più completo e costantemente aggiornato sull’intera vicenda, timeline dettagliata e archivio documenti compreso)
fightchatcontrol.eu (piattaforma di mobilitazione con timeline sintetica 1.0 vs 2.0 e strumento per contattare gli eurodeputati)