Di Giacomo Conti

La proposta di regolamento per la lotta contro il materiale pedopornografico online, noto come “Chat control” o regolamento CSAM, nasce dal nobile intento di proteggere il benessere dei minori online in una logica di prevenzione delle violenze.
Ma è davvero oro tutto ciò che luccica? Come si suol dire, la via dell’inferno è lastricata di buone intenzioni.

Si legge, nella proposta di regolamento, la necessità di prevenire determinati comportamenti online particolarmente lesivi della sfera sessuale dei minori; nella specie il grooming.

L’art. 7 della proposta di regolamento prevede la facoltà di emettere un ordine di rilevazione che impone a un prestatore di servizi di hosting o a un prestatore di servizi di comunicazione interpersonale rientrante nella giurisdizione dello Stato membro in questione di prendere le misure per rilevare casi di abuso sessuale su minori online in un servizio specifico. L’art. 10 della proposta prevede, inoltre, l’implementazione di pattern rivelatori di diffusione di materiale pedopornografico noto o nuovo o di adescamento di minori, a seconda dei casi.
Nonostante la proposta indichi un generico riferimento alla tutela della riservatezza delle comunicazioni e dei dati personali, il regolamento vuole introdurre, senza ombra di dubbio, la scansione di massa delle comunicazioni private, incluse le conversazioni crittografate.

Una proposta simile ha sollevato le perplessità di molti giuristi ed esperti di settore. In particolare, la l’European Data Protectoin Board, la massima autorità in materia di privacy e protezione del dato, ha espresso una sua opinion sul punto.
In particolare, l’EDPB ha rilevato che questa proposta di regolamento arriva ad incidere sul diritto alla riservatezza delle comunicazioni sancito e sul diritto fondamentale alla protezione dei dati personali, riconosciuti rispettivamente dall’art. 7 ed 8 CEDU. Diritti che, peraltro, fanno parte delle tradizioni costituzionali comuni agli Stati membri.

L’EDPB ha sollevato, inoltre, significative perplessità sull’efficacia delle misure tecnologiche che il regolamento vorrebbe introdurre per contrastare il fenomeno del grooming. In particolare, il Comitato rileva che, al momento, non sembra sussistere alcuna soluzione tecnologica in grado di rilevare il materiale pedopornografico condiviso in forma cifrata. Inoltre, l’EDPB ha constatato che le tecnologie attualmente disponibili, in particolare quelle per la rilevazione di materiale pedopornografico nuovo o del grooming, presentano tassi di errore relativamente elevati. Soprattutto se queste tecnologie vedono implementate soluzioni basate sull’intelligenza artificiale. Pertanto, le misure di rilevazione previste dalla proposta potrebbero avere un impatto inferiore, o anche inutile, rispetto a quello auspicato sulla diffusione di materiale pedopornografico su internet.
L’EDPB ritiene, più specificatamente, che l’ingerenza creata dalle misure per la rilevazione dell’adescamento di minori vada oltre quanto strettamente necessario e proporzionato per garantire un adeguato contemperamento delle esigenze di tutela dei diritti alla riservatezza della corrispondenza e alla protezione dei dati personali.

La Presidenza Danese, con un approccio meno diplomatico di quello dell’EDPB, ha posto degli interrogativi essenziali e più diretti alle problematiche sollevate dalla proposta.
In particolare, l’Istituzione ha rilevato che l’indebolimento obbligatorio della crittografia end-to-end creerebbe falle di sicurezza sfruttabili da criminali informatici, stati rivali e organizzazioni terroristiche, danneggiando inoltre la competitività della nostra economia digitale.
Inoltre, l’approccio tecnico proposto si basa su strumenti di analisi automatica dei contenuti che producono un’alta percentuale di falsi positivi, creando il rischio che utenti innocenti possano essere incriminati ingiustamente, mentre l’efficacia di questo approccio nella protezione dei bambini non è stata dimostrata.

Ripropongo, senza aggiungere altro, i legittimi interrogativi che ha posto la Presidenza Danese:
“Considerando la scansione obbligatoria di tutte le comunicazioni private, il regolamento proposto è compatibile con l’articolo 7 della Carta dei diritti fondamentali?
Come garantirà che la protezione dei minori sia raggiunta attraverso misure mirate e dimostrate efficaci, senza violare i diritti fondamentali di tutti i cittadini?
Come intende prevenire l’impatto negativo sulla cybersicurezza e sulla competitività economica causato dall’indebolimento della crittografia?”

La questione pone problemi non solo giuridici, ma anche filosofici di base su cui è bene interrogarci prima di pensare di introdurre riforme di un simile impatto.
Ritengo, in primo luogo, erroneo porre in termini di binomio il rapporto fra sicurezza e libertà che sono concetti non assoluti.
La libertà si esprime in un contesto: posso essere libero di compiere o non compiere determinate azioni o da una certa ingerenza che può essere privata o pubblica. Ugualmente e di pari passo, il concetto di sicurezza, come sanno bene gli informatici, non è un concetto assoluto, ma relativo. Posso essere sicuro solo da qualcosa. Nell’illuminante lettura del libro di Cesare Gallotti sulla sicurezza dell’informazioni, mi colpì il riferimento alla sicurezza di Fort Knox, il luogo dove è conservata la riserva aurea degli Stati Uniti considerato, forse giustamente uno dei luoghi più sicuri al mondo. Nello specifico, Fort Knox di fronte a un molto improbabile pioggia meteoritica o attacco alieno sarebbe un luogo decisamente vulnerabile.
Bisogna, infatti, partire dall’assunto che senza libertà non possa esserci sicurezza e viceversa. Sorge, pertanto, spontaneo chiedersi di quale libertà potrà mai godere un individuo non sicuro e quale sicurezza potrebbe avere un individuo non libero. Un poco come il mito della caverna di Platone, la libertà e la sicurezza dovrebbero derivare da una maggiore comprensione del mondo che ci circonda.
Sembra, pertanto, inimmaginabile che l’Unione Europea, patria del GDPR, abbia potuto partorire un simile obbrobrio giuridico che neanche una dittatura distopica si sognerebbe di proporre.
Queste considerazioni, mi hanno rinfrescato ricordi di storia e, in particolare, la massima di Wiston Churchill elaborata a Chamberlain e ai sostenitori delle politiche di appeasement verso Hitler e i Nazionalsocialisti: “Potevano scegliere fra il disonore e la guerra. Hanno scelto il disonore e avranno la guerra”
Nel caso concreto, applicando questa massima alla democraticissima Unione Europea, mi viene da parafrasare W. Churchill in questi termini: “Potrebbero scegliere fra la libertà e la sicurezza. Sceglieranno la sicurezza, non avranno sicurezza e perderanno la libertà.”

A dispetto del dichiarato progresso, la mia personale opinione è che stiamo regredendo al futuro tracciando scenari inimmaginabili neanche nei più tetri romanzi distopici.

Per il testo della proposta di regolamento, v. il sito istituzionale in https://eur-lex.europa.eu/legal-content/IT/TXT/HTML/?uri=CELEX:52022PC0209
Per il parere dell’European Data Protection Board scarica il contenuto dal sito ufficiale in https://www.edpb.europa.eu/system/files/2023-02/edpb_edps_jointopinion_202204_csam_it.pdf
Per i quesiti posti dalla presidenza danese v. https://www.europarl.europa.eu/doceo/document/E-10-2025-003250_EN.html

Per il riferimento letterario v.: https://trbooks.de/regIT.php?id=Sicurezza%20delle%20informazioni:%20valutazione%20del%20rischio;%20i%20sistemi%20di%20gestione%20per%20la%20sicurezza%20delle%20informazioni;%20la%20norma%20ISO/IEC%2027001-0244153019