Il 9 luglio 2026 il voto in seconda lettura del Parlamento europeo ha aperto la strada alla proroga del Regolamento (UE) 2021/1232, la deroga "Chat Control 1.0" alla direttiva ePrivacy, fino al 3 aprile 2028. La mozione di rigetto della posizione del Consiglio ha raccolto 314 voti contro 276, con 17 astensioni: una maggioranza relativa, al di sotto dei 361 voti di maggioranza assoluta richiesti in seconda lettura dall'articolo 294(7) TFUE. I fornitori di servizi di comunicazione interpersonale indipendenti dal numero, WhatsApp, Messenger, Gmail, Microsoft Teams e piattaforme analoghe, tornano così a disporre di una base giuridica per la scansione volontaria dei messaggi privati alla ricerca di materiale pedopornografico noto.
Cosa dice il regolamento
Il Regolamento (UE) 2021/1232 deroga agli articoli 5(1) e 6(1) della direttiva 2002/58/CE, le norme su riservatezza delle comunicazioni e dati di traffico del quadro ePrivacy. All'interno di tale perimetro, i fornitori di servizi di comunicazione interpersonale indipendenti dal numero possono impiegare volontariamente tecnologie per individuare materiale pedopornografico noto e l'adescamento di minori, rimuovere i contenuti e segnalarli alle autorità di contrasto e alle organizzazioni che operano nell'interesse pubblico. L'articolo 3 del regolamento subordina la deroga a condizioni precise: una valutazione d'impatto sulla protezione dei dati documentata, la consultazione preventiva delle autorità di controllo ai sensi degli articoli 35 e 36 del GDPR, l'impiego della tecnologia meno invasiva disponibile, la supervisione umana del trattamento, meccanismi effettivi di reclamo e ricorso giurisdizionale, limiti rigorosi di conservazione e una rendicontazione pubblica annuale di trasparenza.
La deroga è scaduta il 3 agosto 2024, ha ottenuto una prima proroga fino al 3 aprile 2026 con il Regolamento (UE) 2024/1307 ed è decaduta a quella data dopo lo stallo dei negoziati sul quadro permanente. La proposta della Commissione del 19 dicembre 2025, procedura 2025/0429(COD)ripristina il regime e ne estende l'applicazione fino al 3 aprile 2028, un periodo che la Commissione definisce strettamente necessario alla conclusione del quadro di lungo termine noto come Chat Control 2.0. Il Garante europeo della protezione dei dati ha esaminato la proposta nel Parere 7/2026 del 16 febbraio 2026, ribadendo il carattere eccezionale di ogni deroga alla riservatezza delle comunicazioni.
La meccanica procedurale ha deciso l'esito. In seconda lettura il Parlamento respinge o emenda la posizione del Consiglio con la maggioranza assoluta dei membri che lo compongono: 361 voti su 720. La mozione di rigetto del 9 luglio 2026 ha raccolto 314 voti, più dei 276 espressi a difesa del testo, e comunque al di sotto della soglia. I deputati hanno poi adottato un emendamento sostanziale che esclude dall'ambito della legge "le comunicazioni alle quali è, è stata o sarà applicata la cifratura end-to-end", trasmettendo la posizione emendata al Consiglio. Una maggioranza relativa dell'aula si è espressa contro la proroga; la proroga è avanzata comunque. Questa asimmetria è il cuore della vicenda per la governance: l'aritmetica della seconda lettura trasforma astensioni e assenze in voti a favore dello status quo scritto dal Consiglio.
Chi deve agire ed entro quando
Il Consiglio dispone ora di una finestra di tre mesi per approvare la posizione emendata del Parlamento; l'approvazione porta la proroga in vigore con la pubblicazione nella Gazzetta ufficiale, il che indica l'autunno 2026 come orizzonte di pianificazione. Il rigetto degli emendamenti attiverebbe la conciliazione ai sensi dell'articolo 294(10) TFUE, uno scenario da mettere in conto, dato che l'esclusione della cifratura tocca la posizione centrale del Consiglio.
Soggetti direttamente regolati: i fornitori di servizi di comunicazione interpersonale indipendenti dal numero offerti nell'UE, le app di messaggistica consumer accanto ai canali enterprise come Microsoft Teams e WhatsApp Business. La scansione resta volontaria; il fornitore che aderisce deve soddisfare ogni condizione dell'articolo 3 prima del dispiegamento. L'esclusione della cifratura end-to-end adottata dal Parlamento rimuove integralmente i canali E2EE dall'ambito della deroga, una linea che il Consiglio potrebbe contestare durante i tre mesi di esame. Un trattamento privo di base giuridica espone inoltre i fornitori alle sanzioni dell'articolo 83 del GDPR, fino al 4% del fatturato annuo mondiale.
Il periodo transitorio merita attenzione separata. Tra il 3 aprile 2026 e l'entrata in vigore della proroga, la scansione volontaria è rimasta priva di base giuridica a livello UE: gli articoli 5(1) e 6(1) della direttiva ePrivacy si sono applicati integralmente. I fornitori che hanno mantenuto attivi i sistemi di rilevamento in quei mesi hanno operato in una zona di esposizione legale che varia in base al recepimento nazionale. I team legali dovrebbero verificare la condotta dei fornitori in quella finestra e documentarne l'esito, autorità di controllo e attori del contenzioso possono risalirvi.
Esposizione indiretta: ogni impresa i cui dipendenti, consulenti legali o clienti comunicano su piattaforme in ambito. La scansione lato fornitore delle comunicazioni aziendali ospitate solleva questioni di riservatezza per la corrispondenza privilegiata, i segreti industriali e i dati regolamentati. Il conteggio dei voti, una maggioranza relativa dell'aula messa a verbale contro un testo che diventa legge comunque, segnala inoltre una contesa politica durevole: ulteriori modifiche di ambito sono probabili alla ripresa dei negoziati su Chat Control 2.0, in vista della scadenza del 2028.
La decisione a livello di board
Un'azione appartiene all'agenda del prossimo comitato rischi: una revisione dell'esposizione dei canali di comunicazione ratificata dal board. La revisione deve mappare quali canali di messaggistica aziendale ricadono nell'ambito della deroga, registrare l'eventuale adesione di ciascun fornitore al rilevamento volontario ai sensi dell'articolo 3, verificare lo stato di cifratura dei canali che veicolano contenuti privilegiati o segreti industriali e definire di conseguenza la policy di instradamento. Il General Counsel dovrebbe agganciare due trigger: primo, la decisione del Consiglio entro i tre mesi aggiorna automaticamente la revisione; secondo, l'entrata in vigore della proroga attiva l'aggiornamento della valutazione d'impatto sulla protezione dei dati per ogni piattaforma interna in ambito. Le imprese che completano questa catena decisionale prima della pubblicazione in Gazzetta ufficiale affronteranno il vaglio delle autorità e del contenzioso da una posizione di diligenza dimostrabile, e disporranno di una risposta documentata quando il quadro permanente arriverà con obblighi che vanno oltre la partecipazione volontaria.
Article by ATLASGovernance & Compliance
ATLAS copre la regolamentazione dell'AI dalle fonti legali primarie. Ogni obbligo è citato dal documento ufficiale.