Regolamento (UE) 2026/1881

Regolamento (UE) 2026/1881 sulla deroga temporanea per la lotta agli abusi sessuali online sui minori

Il regolamento interviene per colmare il vuoto determinato dalla scadenza del precedente regime temporaneo e consente, per un periodo limitato, l’uso di tecnologie di rilevazione e segnalazione degli abusi sessuali online sui minori da parte di alcuni fornitori di servizi di comunicazione interpersonale indipendenti dal numero. Il legislatore unionale sottolinea che l’intervento è eccezionale, strettamente circoscritto e accompagnato da garanzie rafforzate, in particolare sul piano della protezione dei dati, della proporzionalità e della tutela dei diritti fondamentali.

Contesto e finalità

Il regolamento si colloca nel quadro della direttiva 2002/58/CE, che tutela la vita privata e la riservatezza nel settore delle comunicazioni elettroniche, e del regolamento (UE) 2016/679. Dopo l’estensione dell’ambito di applicazione della direttiva 2002/58/CE ai servizi di comunicazione interpersonale indipendenti dal numero, alcune attività volontarie di scansione e segnalazione risultavano coperte da un regime temporaneo giunto a scadenza; il nuovo regolamento mira quindi a evitare un’interruzione delle attività di contrasto agli abusi sessuali online sui minori, in attesa di un quadro giuridico dell’Unione a lungo termine.

Ambito di applicazione soggettivo e oggettivo

La disciplina riguarda solo i fornitori di determinati servizi di comunicazione interpersonale indipendenti dal numero accessibili al pubblico. L’oggetto è limitato al trattamento di dati personali e di altro tipo strettamente necessario per: individuare materiale di abuso sessuale su minori online, segnalarlo alle autorità di contrasto o alle organizzazioni che agiscono nell’interesse pubblico contro tali abusi, rimuovere il materiale dai servizi e individuare l’adescamento di minori. Sono escluse la scansione di comunicazioni audio e tutte le comunicazioni alle quali sia, sia stata o sarà applicata la cifratura end-to-end.

Definizioni rilevanti

Ai fini del regolamento:

• il servizio di comunicazione interpersonale indipendente dal numero è definito per rinvio alla direttiva (UE) 2018/1972;
• il materiale di abuso sessuale su minori online include la pedopornografia e lo spettacolo pornografico, secondo la direttiva 2011/93/UE;
• l’adescamento di minori coincide con qualsiasi condotta intenzionale che costituisca reato ai sensi dell’articolo 6 della direttiva 2011/93/UE;
• gli abusi sessuali online sui minori comprendono sia il materiale di abuso sessuale sia l’adescamento.

Deroga alla direttiva 2002/58/CE e condizioni di legittimità

L’articolo 3 costituisce il cuore del regolamento: gli articoli 5, paragrafo 1, e 6, paragrafo 1, della direttiva 2002/58/CE non si applicano alle comunicazioni interessate, ma solo se il trattamento soddisfa una serie di condizioni cumulative. Tra queste, rilevano in particolare:

• la stretta necessità del trattamento e la sua limitazione ai dati di contenuto e di traffico indispensabili;
• l’uso di tecnologie conformi allo stato dell’arte e le meno invasive della vita privata;
• l’assenza di capacità delle tecnologie di dedurre la sostanza del contenuto delle comunicazioni, quando si tratta di scansione del testo, essendo consentita solo l’individuazione di schemi ricorrenti idonei a rivelare possibili abusi;
• la previa valutazione d’impatto sulla protezione dei dati ex articolo 35 GDPR e la consultazione preventiva ex articolo 36 GDPR;
• l’affidabilità delle tecnologie e la minimizzazione dei falsi positivi;
• l’istituzione di procedure interne di sicurezza, di controllo umano e di meccanismi di ricorso per gli utenti;
• l’obbligo di informare chiaramente gli utenti circa l’uso della deroga, la logica delle misure adottate e l’impatto sulla riservatezza delle comunicazioni;
• l’obbligo di relazioni periodiche verso autorità di controllo e Commissione;
• la conservazione dei dati solo per il tempo strettamente necessario e comunque non oltre 12 mesi dalla scoperta del presunto abuso;
• la segnalazione senza indugio dei casi ragionevolmente e verificatamente sospetti.

Nuove tecnologie e regime transitorio fino al 1° aprile 2027

Il regolamento distingue tra tecnologie già utilizzate e nuove tecnologie. Per alcune tecnologie nuove, il fornitore deve riferire all’autorità competente le misure adottate per dimostrare la conformità al parere scritto espresso nel quadro della consultazione preventiva GDPR. Le condizioni collegate alla consultazione preventiva e alla dimostrazione di conformità non si applicano fino al 1° aprile 2027 per i fornitori che:

• utilizzavano la tecnologia prima del 31 luglio 2026;
• avviano la consultazione preventiva prima del 1° settembre 2026;
• cooperano debitamente con l’autorità di controllo competente.

Garanzie procedurali, diritti degli utenti e trasparenza

Il regolamento insiste su garanzie operative e procedurali. I fornitori devono:

• predisporre canali di reclamo e ricorso interni entro un termine ragionevole;
• informare gli utenti dei rimedi disponibili qualora il contenuto sia rimosso, il conto sia bloccato o il servizio sia sospeso;
• garantire il controllo umano sulle segnalazioni e non inviare materiale non precedentemente identificato senza conferma umana;
• correggere senza indugio gli errori e ridurre quanto possibile i falsi positivi.

Gli utenti conservano il diritto a un ricorso giurisdizionale effettivo ai sensi dell’articolo 79 GDPR e dell’articolo 15, paragrafo 2, della direttiva 2002/58/CE.

Relazioni dei fornitori, elenco delle organizzazioni e standardizzazione

Entro il 1° febbraio 2027 e successivamente entro il 31 gennaio di ogni anno, i fornitori devono pubblicare e trasmettere relazioni dettagliate all’autorità di controllo e alla Commissione. Tali relazioni devono includere, tra l’altro, dati sul volume e tipo di trattamenti, sulle basi giuridiche GDPR, sui trasferimenti extra-UE, sui casi individuati, sui reclami, sui falsi positivi, sulle misure di mitigazione, sulla conservazione dei dati e sui nomi delle organizzazioni destinatarie delle segnalazioni.

Entro il 1° settembre 2026 i fornitori comunicano alla Commissione l’elenco delle organizzazioni che ricevono segnalazioni; la Commissione pubblica l’elenco entro il 1° ottobre 2026 e lo mantiene aggiornato. Inoltre, per standardizzare la rendicontazione, la Commissione adotta entro il 1° novembre 2026 un modulo comune mediante atti di esecuzione.

Ruolo delle autorità di controllo e orientamenti EDPB

Le autorità di controllo designate ai sensi del GDPR monitorano i trattamenti rientranti nel regolamento nell’ambito delle loro competenze. La Commissione deve chiedere entro il 1° settembre 2026 al comitato europeo per la protezione dei dati di pubblicare orientamenti per assistere le autorità di controllo nella valutazione della conformità delle tecnologie, esistenti e nuove, al regolamento (UE) 2016/679.

Statistiche degli Stati membri e relazione di applicazione della Commissione

Dal 1° agosto 2027 e con cadenza annuale, gli Stati membri devono rendere pubbliche e trasmettere alla Commissione statistiche sulle segnalazioni presentate, sui minori identificati e sugli autori condannati. La Commissione aggrega tali dati e, entro il 1° febbraio 2028, presenta una relazione sull’applicazione del regolamento, valutando in particolare:

• le condizioni per il trattamento dei dati personali e degli altri dati;
• la proporzionalità della deroga, alla luce anche delle statistiche nazionali;
• gli sviluppi tecnologici e il loro impatto su accuratezza e falsi positivi.

Durata, efficacia e applicazione

Il regolamento entra in vigore il terzo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è applicabile fino al 3 aprile 2028. È direttamente applicabile in tutti gli Stati membri e mira espressamente a evitare frammentazioni del mercato interno, mantenendo al contempo una tutela rafforzata dei diritti fondamentali, inclusa la protezione della cifratura end-to-end e del segreto professionale nazionale.