La spinta dell'UE per la sicurezza dei bambini si ferma mentre scade la deroga ePrivacy, l'app di verifica dell'età viene hackerata e il Regolamento CSA è bloccato nel trilogo.

      Sommario: Lo sforzo dell'Europa per proteggere i bambini online si è scontrato con la propria architettura sulla privacy. La deroga ePrivacy che consentiva la scansione volontaria del CSAM è scaduta il 3 aprile dopo che il Parlamento ha votato 311-228 per rifiutare la sua estensione, l'app di verifica dell'età dell'UE annunciata il 15 aprile è stata hackerata in meno di due minuti e il Regolamento CSA (“Chat Control”) rimane bloccato in trilogo con una scadenza a luglio. La CEDU ha stabilito che le backdoor di crittografia violano i diritti fondamentali, mentre il GDPR, il DSA e il proposto Regolamento CSA richiedono ciascuno di sapere se un utente è un bambino, il che richiede di raccogliere i dati che la legge sulla privacy dice di non poter raccogliere sui bambini.

      Il 3 aprile, il Parlamento europeo ha votato 311 a 228 per lasciare scadere la sua deroga temporanea ePrivacy. Quella deroga aveva consentito a piattaforme come Meta, Google e Microsoft di scansionare volontariamente i messaggi privati per materiale di abuso sessuale infantile senza violare la legge sulla privacy dell'UE. Quando è scaduta, la base legale per quelle scansioni è scomparsa. Dodici giorni dopo, la Commissione europea ha annunciato una nuova app di verifica dell'età che preserva la privacy, progettata per proteggere i bambini online. I ricercatori l'hanno hackerata in meno di due minuti. Tra la legge scaduta e l'app rotta si trova l'intero problema: l'Europa vuole proteggere i bambini dallo sfruttamento online, ma ogni strumento che costruisce per farlo si scontra con l'architettura sulla privacy che ha impiegato un decennio a costruire. Il risultato è un sistema normativo in guerra con se stesso, dove i meccanismi necessari per trovare i bambini abusati richiedono di raccogliere esattamente i dati che la legge dell'UE dice di non poter raccogliere sui bambini.

      Il divario nella scansione

      La deroga ePrivacy è stata introdotta nel 2021 come una misura tampone. La Commissione europea aveva proposto il Regolamento sull'abuso sessuale infantile, noto formalmente come Regolamento CSA e informalmente come Chat Control, che avrebbe imposto alle piattaforme di rilevare e segnalare il CSAM nei messaggi privati, inclusi quelli crittografati end-to-end. Il regolamento avrebbe dovuto sostituire il quadro volontario entro tre anni. Non lo ha fatto. I negoziati trilogici tra Parlamento, Consiglio e Commissione si sono trascinati dal 2022, con il prossimo incontro programmato per il 4 maggio e un obiettivo di raggiungere un accordo politico entro luglio. Nel frattempo, la deroga è scaduta. Il National Centre for Missing and Exploited Children negli Stati Uniti, che elabora la maggior parte dei rapporti globali sul CSAM, ha avvertito che la scadenza avrebbe causato un calo misurabile nei rinvii da parte delle piattaforme europee. Meta ha confermato di aver sospeso la scansione volontaria nell'UE. La posizione del Parlamento è che la deroga fosse incompatibile con il diritto fondamentale alla privacy delle comunicazioni. La posizione delle organizzazioni per la sicurezza dei bambini è che il Parlamento ha appena reso legale per le piattaforme ignorare il materiale di abuso presente nei loro sistemi.

      Il Regolamento CSA così come proposto dalla Commissione richiederebbe alle piattaforme di utilizzare ordini di rilevamento emessi da un nuovo Centro dell'UE per scansionare i messaggi per CSAM noti, nuovo CSAM e comportamenti di grooming. Il Parlamento ha eliminato gli elementi più controversi: ha rifiutato la scansione dei messaggi crittografati end-to-end, ha limitato il rilevamento a materiale noto utilizzando la tecnologia di hash-matching e ha escluso le comunicazioni in tempo reale. Il Consiglio, guidato da una presidenza rotante che ha spinto di più per l'accesso delle forze dell'ordine, desidera poteri di scansione più ampi, inclusi materiali sconosciuti e grooming. La distanza tra le due posizioni non è un dettaglio da negoziare. È un disaccordo fondamentale su se le comunicazioni private possano essere monitorate sistematicamente per proteggere i bambini, e la Corte europea dei diritti umani ha già indicato quale sia la sua posizione.

      Il muro della crittografia

      A febbraio, la CEDU ha stabilito nel caso Podchasov contro la Russia che richiedere alle piattaforme di indebolire o creare backdoor nella crittografia end-to-end viola l'Articolo 8 della Convenzione europea dei diritti umani, il diritto al rispetto della vita privata e della corrispondenza. La sentenza era diretta a una legge russa che costringeva i servizi di messaggistica a fornire chiavi di decrittazione all'FSB, ma la sua logica si applica direttamente agli ordini di rilevamento proposti dal Regolamento CSA. Se una piattaforma non può scansionare messaggi crittografati senza indebolire la crittografia, e indebolire la crittografia viola i diritti fondamentali, allora il regolamento non può imporre ciò che i suoi autori intendevano imporre. Il presidente di Signal, Meredith Whittaker, ha dichiarato che l'organizzazione lascerebbe l'UE piuttosto che conformarsi a qualsiasi legge che richieda di compromettere il proprio protocollo di crittografia. Apple ha disabilitato la sua funzione di Protezione avanzata dei dati per gli utenti nel Regno Unito dopo che il governo britannico ha emesso un avviso di capacità tecnica ai sensi dell'Investigatory Powers Act che richiedeva accesso backdoor ai dati di iCloud. Il dibattito sulla crittografia non è più teorico. Le aziende stanno già prendendo decisioni giurisdizionali basate su dove i governi richiedono accesso alle comunicazioni private.

      Il Comitato europeo per la protezione dei dati e il Garante europeo della protezione dei dati hanno entrambi emesso pareri avvertendo che il Regolamento CSA così come redatto dalla Commissione sarebbe sproporzionato e incompatibile con i diritti fondamentali dell'UE. L'EDPS ha specificamente segnalato che la scansione lato client, la tecnica proposta come alternativa alla violazione della crittografia scansionando il contenuto sul dispositivo prima che venga crittografato, costituisce ancora sorveglianza di massa perché elabora ogni messaggio per identificare quelli illegali. La distinzione tra scansione prima della crittografia e scansione dopo la crittografia è tecnicamente significativa ma legalmente irrilevante se il risultato è che ogni messaggio privato viene analizzato da un sistema automatizzato. La posizione negoziale del Parlamento riflette questa analisi. Quella del Consiglio no.

      Il paradosso della verifica dell'età

      Mentre il Regolamento CSA è in stallo, i singoli Stati membri hanno proceduto con restrizioni basate sull'età. La Francia vieta ai bambini sotto i 15 anni di accedere ai social media senza il consenso dei genitori. La Spagna ha fissato la soglia a 16 anni. La Grecia vieterà i social media per i minori di 15 anni dal 2027. La soglia dell'Austria è di 14 anni. La Norvegia prevede di vietare i social media per i minori di 16 anni e sta sviluppando un sistema nazionale di verifica dell'età per farlo rispettare. La spinta accelerata dell'Europa per limiti di età sui social media ha prodotto un mosaico di leggi nazionali senza un meccanismo comune di applicazione, che è esattamente il problema che l'app di verifica dell'età dell'UE avrebbe dovuto risolvere.

      L'app della Commissione, annunciata il 15 aprile, è stata progettata per verificare l'età di un utente senza rivelare la propria identità alla piattaforma, un sistema di prova a conoscenza zero che confermerebbe che qualcuno ha superato una certa soglia di età senza trasmettere la propria data di nascita, nome o altri dati personali. È stata presentata come la soluzione tecnica al paradosso di verificare l'età senza raccogliere dati sull'età. I ricercatori di sicurezza hanno dimostrato in meno di due minuti dal suo rilascio che il processo di verifica dell'app poteva essere eluso, minando la credibilità dell'unico strumento che la Commissione aveva offerto come prova che l'applicazione della sicurezza infantile che preserva la privacy fosse tecnicamente fattibile. La nuova app di verifica dell'età che preserva la privacy dell'UE doveva dimostrare che il compromesso tra protezione dei bambini e minimizzazione dei dati potesse essere