Il dibattito europeo sul cosiddetto Chat Control ha riportato la privacy delle comunicazioni al centro della conversazione. La finalità ufficiale è combattere l’abuso sessuale sui minori online, un obiettivo necessario e socialmente indiscutibile. Ma il dibattito apre anche una domanda scomoda: come perseguire reati gravi su internet senza indebolire in modo sproporzionato la legittima privacy di cittadini, imprese e professionisti.
E mentre l’Europa discute di questo equilibrio, nel quotidiano accade qualcosa di molto più semplice: continuiamo a inviare password, accessi, dati fiscali, informazioni bancarie o documentazione riservata tramite WhatsApp, Telegram, email o chat interne.
Molte violazioni della sicurezza non iniziano con un attacco sofisticato. Iniziano con un messaggio inviato in fretta.
Cosa sta succedendo ora con il cosiddetto Chat Control
Il termine Chat Control viene solitamente utilizzato per riferirsi al dibattito europeo sulle misure di rilevamento, notifica e rimozione di materiale pedopornografico online. Per evitare confusioni, è opportuno aggiornare bene il contesto: non siamo di fronte a una norma generica sulla privacy, ma a un fascicolo molto specifico relativo alla deroga temporanea di alcune regole di riservatezza delle comunicazioni elettroniche per consentire attività volontarie di rilevamento di abusi sessuali su minori online.
Alla data di questa revisione, il fascicolo pertinente è la procedura 2025/0429(COD), riguardante la modifica del Regolamento (UE) 2021/1232. Tale regolamento aveva permesso, in modo temporaneo e limitato, che determinati fornitori di comunicazioni interpersonali indipendenti dal numero potessero utilizzare tecnologie specifiche per rilevare, segnalare e rimuovere materiale pedopornografico online.
Il regime precedente è scaduto il 3 aprile 2026. Successivamente, il Consiglio dell’Unione Europea ha adottato il 2 luglio 2026 la sua posizione per riattivare una misura transitoria fino al 3 aprile 2028, mentre prosegue la negoziazione del quadro permanente. L’aggiornamento chiave è che, nell’elenco ufficiale delle votazioni del Parlamento Europeo per giovedì 9 luglio 2026, compare il punto “Amending Regulation (EU) 2021/1232 as regards the extension of its period of application” (C10-0178). In altre parole, non parliamo più solo di una votazione precedente o della posizione del Consiglio: al 9 luglio, la questione è espressamente all’ordine del giorno delle votazioni del Parlamento Europeo.
Per questo motivo, la lettura attuale deve concentrarsi su questo momento del fascicolo: il tentativo di riattivare il regime temporaneo in un contesto di urgenza politica e giuridica. L’obiettivo dichiarato è proteggere i minori ed evitare un vuoto legale prolungato, ma il dibattito continua a richiedere garanzie sufficienti per la privacy, la proporzionalità e la protezione dei dati.
| Concetto | Cosa significa |
| Regolamento (UE) 2021/1232 | Regime temporaneo relativo all’uso di tecnologie da parte di determinati fornitori per combattere l’abuso sessuale sui minori online, attraverso una deroga limitata alle norme sulla ePrivacy. |
| Procedura 2025/0429(COD) | Fascicolo legislativo per modificare il Regolamento 2021/1232 ed estendere o riattivare la sua applicazione mentre si negozia il quadro permanente. |
| Stato al 9 luglio 2026 | Il Consiglio ha adottato la sua posizione il 2 luglio 2026. Nell’elenco ufficiale delle votazioni del Parlamento Europeo figura il punto per giovedì 9 luglio 2026. |
| Dibattito di fondo | Come perseguire reati gravi senza normalizzare sistemi di scansione generalizzata né intaccare in modo eccessivo le legittime comunicazioni private. |
La lotta contro l’abuso sessuale sui minori online è una finalità legittima, necessaria e socialmente indiscutibile. La questione giuridica e tecnica non è se questi reati debbano essere perseguiti, ma come farlo senza intaccare in modo sproporzionato le legittime comunicazioni private.
Sicurezza pubblica e privacy non dovrebbero scontrarsi
Questo dibattito non dovrebbe essere posto come una guerra tra sicurezza e privacy. Una società digitale matura ha bisogno di entrambe le cose: strumenti efficaci per perseguire reati gravi e garanzie solide per proteggere le comunicazioni legittime.
Il Garante europeo della protezione dei dati ha avvertito, in relazione all’estensione del Regolamento 2021/1232, che le norme temporanee per combattere il materiale pedopornografico online devono correggere le carenze ed evitare la scansione indiscriminata. Questa sfumatura è importante.
La privacy non è opacità. La crittografia non è un comportamento sospetto. In molti casi, è semplicemente una misura di sicurezza di base.
Un’azienda che protegge i dati fiscali dei clienti. Uno studio che scambia documentazione riservata. Un professionista che condivide accessi temporanei. Una società di consulenza che riceve informazioni personali. Tutti questi casi hanno qualcosa in comune: gestiscono dati che non dovrebbero circolare come testo in chiaro.
Il rischio quotidiano: inviare dati sensibili come se fossero messaggi normali
Il problema non risiede solo nelle grandi norme europee. Risiede anche in una pratica quotidiana che tutti abbiamo visto almeno una volta.
Un cliente invia una password su WhatsApp. Un fornitore condivide un accesso su Telegram. Un dipendente inoltra informazioni personali via email. Un’azienda invia dati fiscali in testo in chiaro perché “è più veloce”.
Il messaggio parte, resta salvato, può essere sincronizzato su altri dispositivi, inoltrato, catturato in uno screenshot o rimanere esposto se un account viene compromesso. Poi, quando sorge il problema, la domanda è solitamente la stessa: “Come hanno avuto accesso ai miei dati?”.
A volte non c’è stato un hacking complesso. C’è stata una cattiva pratica a monte: condividere informazioni sensibili senza un livello di protezione sufficiente.
| Informazioni inviate per comodità | Rischio abituale | Pratica più prudente |
| Password o chiavi temporanee | Restano salvate, inoltrate o visibili in un account compromesso. | Gestore di password, link temporaneo o messaggio crittografato. |
| Dati fiscali o contabili | Esposizione di informazioni personali o aziendali. | Canale documentale sicuro e crittografato quando opportuno. |
| Accessi alle piattaforme | Uso improprio o perdita di controllo sull’account. | Accessi individuali, MFA e rotazione delle chiavi. |
| Informazioni bancarie | Rischio di frode, furto d’identità o ingegneria sociale. | Verifica tramite canale separato e minima esposizione. |
| Dati personali dei clienti | Inosservanza dei protocolli interni di protezione dei dati. | Minimizzazione, permessi e misure tecniche adeguate. |
La comodità è comprensibile. Nessuno vuole complicare una gestione semplice. Ma nella cybersicurezza, la rapidità può costare cara quando parliamo di password, accessi, dati fiscali o informazioni aziendali.
Perché Advixy integra Layergram nei suoi protocolli
In Advixy lavoriamo quotidianamente con informazioni sensibili di aziende, professionisti e clienti: documentazione fiscale, dati societari, accessi, informazioni aziendali, comunicazioni interne e dati personali.
Per questo motivo, la cybersicurezza non può limitarsi ai grandi sistemi aziendali. Deve applicarsi anche ai gesti quotidiani: come si invia una password, come si condivide un’istruzione di accesso o come si trasmette un dato che non dovrebbe restare visibile in una conversazione ordinaria.
In questo contesto, stiamo integrando Layergram all’interno dei nostri protocolli di sicurezza interni.
Layergram non è uno strumento di proprietà di Advixy né viene presentato come prodotto proprio: è un progetto indipendente open source, creato da uno dei soci di Advixy. La sua versione base è gratuita; esiste inoltre un livello opzionale a pagamento con funzioni aggiuntive, che non è necessario per l’uso che descriviamo qui. La conosciamo da vicino e la stiamo utilizzando per rafforzare una parte molto specifica dell’operatività quotidiana: l’invio di informazioni sensibili tramite i canali abituali.
La sua funzione è semplice: aggiungere uno strato di crittografia locale prima di inviare determinati messaggi tramite WhatsApp, Telegram, Signal, iMessage, email o altri canali. Layergram non intende sostituire le applicazioni di messaggistica esistenti, ma funzionare come uno strato di crittografia indipendente dal canale di trasporto.
Come funziona Layergram in pratica
Layergram parte da un’idea molto chiara: non sempre puoi cambiare il canale utilizzato da un cliente, un fornitore o un team. Ma puoi evitare che un dato sensibile viaggi come testo in chiaro.
Il funzionamento pratico è semplice:
- Scrivi su Layergram il contenuto sensibile che vuoi proteggere.
- Lo strumento lo crittografa localmente sul dispositivo.
- Copi il messaggio crittografato.
- Lo invii tramite il canale abituale: WhatsApp, Telegram, Signal, iMessage, email o altro.
- Il destinatario lo decifra con Layergram se dispone delle chiavi corrispondenti.
Layergram permette di mantenere le app abituali (WhatsApp, Telegram, Signal, iMessage, email o social network) e il messaggio viene crittografato localmente con crittografia moderna.
Questo è importante perché l’obiettivo non è che il cliente abbandoni la sua app di messaggistica abituale né che debba registrarsi su una nuova rete. L’obiettivo è ridurre l’esposizione dei messaggi sensibili quando la comunicazione avviene già tramite canali ordinari.
Significa che bisogna crittografare tutti i messaggi?
No. E questa distinzione è importante.
Non tutti i messaggi necessitano di uno strato aggiuntivo di crittografia. Una conferma di un appuntamento, un saluto o una conversazione generale non hanno lo stesso livello di rischio di una password, un dato fiscale, un’istruzione di accesso o informazioni riservate di un cliente.
La chiave sta nel saper distinguere.
In una società di consulenza, uno studio professionale o un’azienda che gestisce informazioni sensibili, questa distinzione dovrebbe far parte della cultura interna della sicurezza. Non basta avere politiche di protezione dei dati se poi, per comodità, si condividono accessi su WhatsApp senza alcun tipo di protezione aggiuntiva.
Layergram non trasforma una cattiva pratica in una pratica perfetta. Ma aiuta a correggere una delle abitudini più frequenti: inviare dati delicati come se fossero messaggi ordinari.
Inviare password su WhatsApp: una pratica che dovrebbe smettere di essere normalizzata
Come regola generale, una password non dovrebbe essere inviata tramite messaggistica ordinaria.
La cosa più prudente è utilizzare gestori di password, accessi individuali, link temporanei, autenticazione a più fattori e rotazione delle chiavi. Tuttavia, la realtà di molte aziende è diversa: per urgenza, ignoranza o comodità, le password continuano a circolare su WhatsApp, Telegram o email.
Quando ciò accade, il rischio non è solo che qualcuno legga il messaggio in quel momento. Il rischio è che tale informazione rimanga memorizzata, sincronizzata, copiata, inoltrata o accessibile da un dispositivo compromesso.
Per questo motivo, se eccezionalmente si condivide una password o un dato di accesso, è ragionevole evitare che viaggi come testo in chiaro, limitarne la validità e cambiarlo successivamente.
La sicurezza non dipende da un unico strumento. Dipende da un modo di lavorare.
Crittografia, GDPR e buone pratiche di protezione dei dati
Il GDPR non impone uno strumento specifico per proteggere i dati personali. Ciò che richiede è l’adozione di misure tecniche e organizzative adeguate al rischio.
L’articolo 25 sancisce il principio della protezione dei dati fin dalla progettazione e per impostazione predefinita. L’articolo 32 parla di sicurezza del trattamento e include, ove opportuno, misure come la pseudonimizzazione e la crittografia dei dati personali, oltre alla capacità di garantire la riservatezza, l’integrità, la disponibilità e la resilienza dei sistemi.
Questo non significa che l’uso di uno strumento di crittografia sia sufficiente per conformarsi al GDPR. Non lo è. La protezione dei dati richiede politiche interne, controllo degli accessi, formazione, minimizzazione dei dati, autenticazione a più fattori, revisione dei permessi e canali documentali adeguati.
Ma la crittografia può far parte di una ragionevole strategia di sicurezza, specialmente quando si condividono informazioni sensibili nelle comunicazioni quotidiane.
La crittografia non è un modo per nascondersi: è un modo per proteggere
Uno degli errori più frequenti in questo dibattito è associare la crittografia all’occultamento. In realtà, per aziende e professionisti, la crittografia è una misura di protezione di base.
Una società di consulenza non crittografa le informazioni perché vuole nasconderle in modo irregolare. Le crittografa perché ha l’obbligo di proteggerle.
Uno studio non protegge un documento riservato perché è sospetto. Lo protegge perché riguarda un cliente.
Un’azienda non dovrebbe inviare accessi interni in chiaro perché tali accessi possono compromettere sistemi, dati e responsabilità.
Il dibattito non dovrebbe riguardare se crittografare sia bene o male. La domanda corretta è un’altra: quali informazioni non dovrebbero mai circolare come testo in chiaro.
La lezione pratica per imprese e professionisti
Il dibattito europeo sul Chat Control ricorda che la privacy delle comunicazioni rimarrà uno dei grandi temi normativi dei prossimi anni. Ma la protezione dei dati non inizia solo a Bruxelles, né con una direttiva, né con un regolamento.
Inizia con ogni messaggio che inviamo.
Proteggere i minori dai reati gravi online è necessario. Proteggere la legittima privacy e i dati sensibili di cittadini, imprese e professionisti lo è altrettanto. La questione non è scegliere tra l’una o l’altra cosa, ma costruire soluzioni proporzionate, sicure e responsabili.
Per Advixy, integrare Layergram nei propri protocolli interni risponde a una decisione pratica: ridurre l’esposizione di informazioni sensibili nelle comunicazioni quotidiane.
Non si tratta di nascondere informazioni. Si tratta di proteggere dati che non dovrebbero mai circolare senza protezione.
