Il 14 ottobre il Parlamento Europeo voterò il “Chat control”: controllo sistemico dei contenuti per tutte le chat.
Una vera e propria minaccia alla privacy di milioni di persone.

Il prossimo 14 ottobre è una data da segnare in rosso per chi ha a cuore la privacy in Europa. Sarà in quella data, infatti, che il Consiglio dell’unione voterà la controversa proposta di regolamento Csar (Child Sexual Abuse Regulation) che i suoi oppositori hanno chiamato invece col più efficace nome di “Chat Control”.

Il testo, frutto di una serie di compromessi, viene presentato come un passo in avanti nella lotta alla diffusione di contenuti pedopornografici online che non avrebbe impatto sulla privacy dei cittadini europei. I suoi detrattori, però, lo considerano uno strumento pericoloso e inefficace. Per quale motivo?

I motivi, lo scorso martedì 30 settembre, sono stati riassunti in un incontro online promosso da Markéta Gregorová del Partito Pirata e che ha visto la partecipazione di esperti del settore, attivisti e rappresentanti di istituzioni che non hanno nascosto la loro contrarietà alla proposta di regolamento. Ma quali sono i punti più controversi di Chat Control?

Lo stratagemma adottato dai promotori del regolamento per zittire le critiche sui rischi di un sistema di controllo globale dei messaggi online è quello di “spostare” i controlli dei contenuti direttamente sui dispositivi degli utenti. In questo modo, sostengono i sostenitori, si preserverebbe la protezione crittografica end to end utilizzata dai sistemi di messaggistica come Whatsapp e Signal.

“Il sistema proposto ha degli enormi limiti tecnici” spiega Carmela Troncoso, direttrice scientifica del Max Planck Institute for Security and Privacy. “Per quanto riguarda i contenuti pedopornografici già conosciuti, per esempio, sfrutta il metodo dell’hash. Questa tecnica può però essere aggirata facilmente”.

L’hashing, spiega Troncoso, consente di estrarre una sorta di “impronta digitale” di un file, ma se il file viene in qualche modo alterato (per esempio ritagliando un’immagine o ruotandola) il suo contenuto in bit viene modificato e, di conseguenza, l’hash non corrisponde più al 100%. I casi, quindi, sono due: o si rischia di non bloccare i contenuti pericolosi, o si decide di segnalare anche quelli che hanno una corrispondenza parziale. “Nel secondo caso – sottolinea la ricercatrice – si apre la strada alla possibilità che migliaia di persone vengano segnalate per errore”.

Anche l’idea di individuare i collegamenti a siti pedopornografici con questo metodo rischia di essere completamente inefficace. “Esistono decine di modi per alterare un collegamento e aggirare così un filtro di questo tipo. I servizi che permettono di creare tiny url sono solo il più evidente” aggiunge.

C’è un ulteriore aspetto, estremamente pratico: ogni segnalazione dovrebbe essere diretta alle forze di polizia, che dovrebbero poi controllarle per verificarne l’esattezza. Con il volume di messaggi scambiati tra 450 milioni di persone ogni giorno sul territorio europeo, sarebbe necessario impiegare migliaia di persone solo per fare questi controlli.

Un altro rischio riguarda la possibilità che questo sistema si trasformi in un cavallo di troia per la sorveglianza di massa. “Una volta che viene implementato una tecnologia di questo genere, significa che avremo un sistema che controlla tutte le nostre comunicazioni e decide se sono legali o no” spiega Udbhav Tiwari VP strategy and global affairs di Signal. “Il suo funzionamento dipende esclusivamente da come e con quali dati viene addestrato”.

Secondo Tiwari, sarebbe fin troppo facile “avvelenare” il database utilizzato dal sistema di controllo per trasformarlo in uno strumento di censura o, peggio ancora, un modo per individuare e tracciare dissidenti e oppositori politici.

A livello di security, poi, secondo il manager di Signal il sistema di controllo si tradurrebbe in un vero incubo. “Per come è stato immaginato, si comporta esattamente come i malware” sottolinea. “Chi volesse utilizzarlo a scopi di spionaggio avrebbe quindi uno strumento già pronto, al quale dovrebbe solo ottenere l’accesso”.

Un’ipotesi tutt’altro che remota, se si pensa a precedenti come l’attacco portato da un gruppo hacker cinese che nel 2024 ha colpito le società di telecomunicazioni statunitensi, violando il sistema di intercettazione usato dalle forze di polizia. Con un aggravante: nel momento in cui questa tecnologia dovesse essere implementata su ogni singolo dispositivo, la superficie di attacco si amplierebbe esponenzialmente.

Anche sotto il profilo del rispetto delle norme europee, la proposta di regolamento si scontra con una serie di problemi tutt’altro che trascurabili. Asha Allen, Secretary General and Director del Centre for Democracy and Technology Europe non ha dubbi: il regolamento si pone fuori dal quadro giuridico europeo e internazionale.

“La Corte europea dei diritti dell’uomo ha confermato in modo categorico che soluzioni che indeboliscono la crittografia e creano backdoor per facilitare l’accesso delle autorità di polizia ai dati delle comunicazioni cifrate nel contesto di indagini penali violano il diritto alla vita privata sancito dall’articolo 8 della Convenzione europea dei diritti dell’uomo per tutti gli utenti. Dunque, esiste già una giurisprudenza europea consolidata che stabilisce che ciò è illecito” spiega.

Inoltre, secondo Allen, molti aspetti del regolamento compromettono il ruolo degli organi giudiziari e confliggono con il diritto internazionale. “La proposta mina la privacy, rappresenta una minaccia alla libertà di espressione e, soprattutto, è contraria a numerosi standard giuridici europei e internazionali in materia di giusto processo, controllo giudiziario, proporzionalità, così come al rispetto dei diritti fondamentali”.

“Quello che viene chiesto è di accettare che questa linea venga oltrepassata e fidarci semplicemente che nessuno abuserà di questo sistema di accesso e di sorveglianza di massa” conclude.