L'Unione Europea ha nuovamente esteso una deroga temporanea alle sue norme ePrivacy, il meccanismo legale che consente alle piattaforme di messaggistica di scansionare le comunicazioni private per individuare materiale pedopornografico (CSAM) senza violare le tutele sulla riservatezza. Sulla carta, sembra una normale attività amministrativa. In pratica, mantiene in vita il fondamento giuridico della scansione lato client, una tecnica che secondo gli esperti di privacy potrebbe smantellare silenziosamente la crittografia end-to-end che protegge app come Signal e WhatsApp. Capire cosa è cambiato e cosa no, è importante per chiunque faccia affidamento sulla messaggistica crittografata in Europa o altrove.

Cosa Cambia Realmente l'Estensione dell'ePrivacy

La direttiva ePrivacy normalmente richiede che le comunicazioni rimangano riservate, il che significa che le piattaforme non possono ispezionare il contenuto dei messaggi privati senza una specifica eccezione legale. Dal 2021, l'UE ha ripetutamente concesso una deroga, un'esenzione temporanea, che consente alle aziende di scansionare volontariamente messaggi e immagini per individuare CSAM. Questa deroga non è mai stata pensata per essere permanente, ma continua a essere rinnovata piuttosto che sostituita con un quadro normativo definitivo.

Questo schema non è nuovo. Il Parlamento Europeo ha esteso il Chat Control 1.0 oltre la sua scadenza di aprile all'inizio di quest'anno, e quando è scaduto di nuovo, i legislatori si sono affrettati a ripristinarlo con una votazione a sorpresa a luglio che ha riportato in vita il Chat Control 1.0. Il rinnovo più recente, approvato il 9 luglio, ha di fatto continuato il regime di scansione non attraverso un voto decisivo a favore, ma perché gli oppositori non sono riusciti a raccogliere abbastanza sostegno per bloccarlo. Questo episodio è trattato in dettaglio nel nostro servizio su come il Parlamento UE ha rinnovato la legge sulla scansione Chat Control il 9 luglio.

L'ultima estensione dell'ePrivacy segue lo stesso copione: una misura provvisoria, approvata tra manovre procedurali, che evita una decisione definitiva mantenendo aperta la porta alla scansione. I critici sostengono che questo approccio consente all'UE di aggirare un dibattito pubblico completo sulla compatibilità della scansione di massa dei messaggi con i diritti fondamentali alla privacy.

Come la Scansione Lato Client Rompe la Crittografia End-to-End

Il dettaglio tecnico che si perde nei dibattiti politici è esattamente come funziona la scansione lato client e perché mina la crittografia, anche se la crittografia stessa rimane tecnicamente intatta.

La crittografia end-to-end, il sistema utilizzato da Signal e WhatsApp, garantisce che solo il mittente e il destinatario possano leggere un messaggio. Nemmeno il fornitore dell'app può vedere il contenuto in transito. La scansione lato client cambia questo inserendo un passaggio di analisi prima che avvenga la crittografia, direttamente sul dispositivo dell'utente. Ogni foto, file o messaggio viene controllato rispetto a un database o algoritmo prima di essere bloccato con la crittografia e inviato.

La crittografia in sé non viene violata in senso crittografico. Ma la garanzia di privacy che dovrebbe fornire, cioè che nessun terzo possa ispezionare le tue comunicazioni, viene sconfitta. Se un dispositivo scansiona il contenuto prima che venga inviato, allora un terzo (il sistema di scansione e, per estensione, chi lo controlla) ha di fatto visibilità sulle tue comunicazioni private, indipendentemente da ciò che accade ai dati successivamente. Questa è l'obiezione principale sollevata da ricercatori di sicurezza, fornitori di messaggistica e gruppi per i diritti digitali: la scansione lato client non convive pacificamente con la crittografia end-to-end, la svuota dall'interno.

Il nostro approfondimento su Chat Control 2.0 e il piano di scansione CSAM dell'UE spiega come si è evoluta questa proposta e perché i fornitori di messaggistica si sono opposti così duramente ai requisiti di scansione obbligatoria.

Perché una VPN Non Può Proteggerti dalla Scansione Sul Dispositivo

Questo è il punto che spesso crea confusione nel dibattito pubblico, quindi vale la pena dirlo chiaramente: una VPN non fa nulla per prevenire la scansione lato client. Una VPN crittografa il tuo traffico internet tra il dispositivo e un server remoto, proteggendo la connessione da sorveglianza a livello di rete, dal tuo provider internet o da chi spiaccia sul Wi-Fi pubblico. Non ha visibilità né controllo su ciò che accade sul tuo dispositivo prima che quel traffico venga inviato.

La scansione lato client avviene localmente, sul telefono o computer stesso, prima che un messaggio venga crittografato e trasmesso. Una VPN opera interamente a valle di quel processo. Se un'app è tenuta a scansionare una foto prima di inviarla, nessuna VPN, per quanto forte sia la sua crittografia o rigorosa la sua politica di no-log, può intervenire in quella scansione. Questa è una distinzione architetturale fondamentale che ogni utente attento alla privacy dovrebbe comprendere: le VPN proteggono i dati in transito, non i dati nel punto di creazione.

Dove Va a Finire il Dibattito sul Chat Control 2.0

La proposta più ampia del Chat Control 2.0, lo sforzo legislativo formale per rendere obbligatoria piuttosto che semplicemente consentita la scansione, rimane irrisolta. Ogni estensione dell'ePrivacy guadagna tempo senza risolvere la questione di fondo se l'UE richiederà alle piattaforme di scansionare i messaggi crittografati per legge. I fornitori di messaggistica, i ricercatori di sicurezza e le organizzazioni per le libertà civili continuano a mettere in guardia sul fatto che qualsiasi requisito di scansione obbligatoria creerebbe un precedente che riguarda le comunicazioni crittografate ben oltre i confini europei, poiché le app globali spesso applicano la stessa architettura ovunque.

Per un quadro più completo della tempistica legislativa, il nostro servizio su cosa possono fare gli utenti dopo il rinnovo del Chat Control del 9 luglio illustra i passi pratici a disposizione di chi è preoccupato per dove sta andando questa situazione.

Cosa Significa Questo Per Te

Se usi Signal, WhatsApp o qualsiasi app di messaggistica crittografata nell'UE, nulla è cambiato nella tua esperienza quotidiana per ora. La scansione lato client non è attualmente obbligatoria. Ma le basi legali per essa continuano a essere estese piuttosto che risolte, il che significa che la possibilità rimane concreta. Gli utenti dovrebbero capire che la forza della crittografia da sola non garantisce la privacy se la scansione viene inserita prima che avvenga la crittografia, e che nessuna VPN, firewall o strumento di rete può sostituire quella garanzia una volta compromessa.

Punti Chiave Pratici

Resta informato sulla tempistica legislativa piuttosto che dare per scontato che la questione sia risolta, poiché queste estensioni avvengono in modo silenzioso e ripetuto. Comprendi la differenza tra strumenti di privacy a livello di rete come le VPN e protezioni sul dispositivo come la crittografia end-to-end, risolvono problemi diversi. Segui le dichiarazioni dei fornitori di messaggistica che usi direttamente, poiché aziende come Signal sono state storicamente molto vocali sulle minacce al loro modello di crittografia. E se vuoi far sentire la tua voce, i cittadini dell'UE possono contattare i loro rappresentanti al Parlamento Europeo, poiché la pressione pubblica ha già influenzato in passato la rapidità e la portata di queste proposte.