Le proposte per indebolire la cifratura: EARN IT e le altre

Due strade per arrivare alla cifratura

Le proposte descritte qui toccano la cifratura in due modi. La prima strada è l'obbligo diretto: chi produce dispositivi o gestisce servizi deve essere in grado di consegnare i dati in forma leggibile quando un giudice lo ordina. Nel dibattito americano si parla di lawful access (accesso legale); chi critica queste proposte usa la parola backdoor (porta di servizio). La seconda strada passa per la responsabilità delle piattaforme online per il materiale pedopornografico, che i testi chiamano child sexual abuse material (CSAM): la legge non parla di chiavi, ma cambia i rischi legali di chi offre un servizio che non può leggere.

Un servizio con cifratura end-to-end (da un capo all'altro della comunicazione) non ha le chiavi dei messaggi: solo mittente e destinatario possono leggerli. Una proposta del primo tipo gli chiederebbe di cambiare architettura; una del secondo tipo lo esporrebbe a cause in cui la sua scelta tecnica potrebbe essere discussa. Per questo nei testi più recenti compaiono clausole scritte apposta sulla cifratura.

Un progetto di legge porta un numero che dipende dalla camera (S. per il Senato, H.R. per la Camera dei rappresentanti) e vale per un solo Congresso, cioè per una legislatura di due anni: se non viene approvato entro quel termine decade e va ripresentato con un numero nuovo.

L'EARN IT Act: tre versioni, nessuna legge

Il nome per esteso è Eliminating Abusive and Rampant Neglect of Interactive Technologies Act. Secondo i riassunti ufficiali del Congresso, tutte le versioni limitavano le protezioni dalla responsabilità di cui godono i servizi online, previste dalla Section 230 del Communications Act (47 U.S.C. § 230), per le azioni fondate sulle leggi contro lo sfruttamento sessuale dei minori, e sostituivano nelle leggi federali l'espressione «child pornography» con «child sexual abuse material». Le versioni del Senato istituivano anche una commissione nazionale incaricata di elaborare best practices (buone pratiche) per i fornitori di servizi.

Nel registro ufficiale nessuna delle sei proposte ha un voto in aula. Iscrizione nel calendario vuol dire che il testo può essere portato in discussione: non che lo sia stato.

Il testo del 2020 e la clausola sulla cifratura

Nella versione presentata nel marzo 2020 la commissione nazionale aveva 19 membri. Le buone pratiche, approvate dall'Attorney General (il ministro della Giustizia federale), sarebbero state sottoposte al Congresso per diventare legge con una procedura accelerata. Il fornitore poteva conservare una protezione dalle cause (safe harbor, porto sicuro) certificando di averle adottate, oppure dimostrando di avere preso misure ragionevoli contro lo sfruttamento dei minori. La parola cifratura, in quel testo, non compare.

La commissione Giustizia ha sostituito l'intero testo. La versione iscritta nel calendario il 20 luglio 2020 non contiene più la certificazione e aggiunge un paragrafo intitolato «Cybersecurity protections do not give rise to liability»: il fornitore non è responsabile per il fatto di utilizzare «full end-to-end encrypted messaging services, device encryption, or other encryption services», di non possedere le informazioni necessarie per decifrare una comunicazione o di non fare ciò che indebolirebbe la sua capacità di offrire la cifratura.

Le versioni del 2022 e del 2023

Nelle versioni S. 3538 e S. 1207 il paragrafo diventa «Encryption technologies» e cambia in due punti. Primo: le stesse tre circostanze non possono essere «an independent basis for liability», cioè una base autonoma di responsabilità. Secondo: un comma aggiunto precisa che nulla impedisce al giudice di considerare come prova quelle circostanze, se la prova è altrimenti ammissibile. In pratica l'uso della cifratura non basta da solo a fondare la responsabilità, ma può entrare nel processo insieme ad altri elementi.

Il Lawful Access to Encrypted Data Act (2020)

È il testo che affrontava la cifratura in modo diretto. È stato presentato al Senato come S. 4051 il 23 giugno 2020 e alla Camera come H.R. 7891 il 30 luglio 2020, entrambi nel 116° Congresso. Tutti e due sono rimasti fermi all'assegnazione alle commissioni.

• Dati sui dispositivi e nel cloud. Dopo un mandato di perquisizione, su richiesta del pubblico ministero, il giudice avrebbe ordinato al produttore del dispositivo, al fornitore del sistema operativo o del servizio di archiviazione remota di prestare assistenza, compresa la decifrazione o la consegna dei dati «in an intelligible format», salvo che fosse tecnicamente impossibile per le azioni indipendenti di un soggetto terzo. Il rimborso delle spese era limitato a 300 dollari.
• Obbligo di capacità. Il produttore che avesse venduto negli Stati Uniti più di 1.000.000 di dispositivi elettronici di consumo nel 2016 o in un anno successivo, e il fornitore di servizi con più di 1.000.000 di utenti negli Stati Uniti, avrebbero dovuto essere in grado di prestare quell'assistenza, a proprie spese.
• Comunicazioni in transito. Lo stesso obbligo, per le intercettazioni, per i fornitori di servizi di comunicazione con più di 1.000.000 di utenti attivi al mese.
• Direttive del ministro della Giustizia. L'Attorney General avrebbe potuto ordinare per iscritto a un soggetto di creare o mantenere queste capacità (assistance capability directives).
• CALEA. Il testo restringeva la regola per cui l'operatore non deve decifrare le comunicazioni cifrate dal cliente: l'eccezione sarebbe scattata ogni volta che la cifratura fosse stata «implemented by or facilitated» dall'operatore, anche senza che questo avesse le chiavi.

Il 119° Congresso (2025-2026)

Nelle raccolte ufficiali dei progetti di legge le versioni dell'EARN IT Act sono quelle del 2020, del 2022 e del 2023: nel Congresso in corso non risulta ripresentato. Lo stesso vale per il Lawful Access to Encrypted Data Act. La cifratura compare però in altri testi.

• STOP CSAM Act of 2025 (S. 1829). Presentato il 21 maggio 2025, approvato dalla commissione Giustizia del Senato con un testo sostitutivo il 12 giugno 2025 e iscritto nel calendario dell'aula il 26 giugno 2025 (n. 106). Tra l'altro introduce un'azione civile delle vittime contro i fornitori di servizi online e gli app store che promuovono o aiutano a commettere, in modo «intentional, knowing, or reckless» (intenzionale, consapevole o temerario), alcuni reati contro i minori, oppure ospitano materiale pedopornografico. Usare la cifratura end-to-end, non avere le chiavi o non indebolire la cifratura non sono una base autonoma di responsabilità; quelle circostanze restano però utilizzabili come prova, per esempio dell'intenzione, e non limitano la discovery (l'acquisizione delle prove tra le parti). Nelle cause per materiale ospitato il fornitore può difendersi dimostrando che era tecnicamente impossibile rimuoverlo senza compromettere la cifratura.
• KIDS Act (H.R. 7757). Presentato il 3 marzo 2026 e approvato dalla Camera il 29 giugno 2026 con 267 voti contro 117; il 13 luglio 2026 è stato trasmesso al Senato e assegnato alla commissione Commercio. Contiene due clausole sulla cifratura: gli obblighi di limitare funzioni e di offrire controlli sui messaggi vanno rispettati «through means that do not compromise the integrity of strong encryption»; e la legge non può essere interpretata nel senso di «decrypt or ensure an ability to decrypt» le comunicazioni cifrate di un utente o di «preclude the use of any form of encryption, including end-to-end encryption».
• ENCRYPT Act of 2025 (H.R. 2508). Presentato alla Camera il 31 marzo 2025 e assegnato alle commissioni. Va nella direzione opposta: vieterebbe agli Stati di imporre ai produttori di modificare le funzioni di sicurezza per permettere la sorveglianza o di mantenere la capacità di decifrare, e di vietare la vendita di un prodotto perché usa la cifratura.

Che cosa è in vigore oggi

Nessuno dei testi descritti in questa pagina è legge. Per le telecomunicazioni resta la regola di CALEA, il Communications Assistance for Law Enforcement Act, al 47 U.S.C. § 1002(b)(3):

«A telecommunications carrier shall not be responsible for decrypting, or ensuring the government's ability to decrypt, any communication encrypted by a subscriber or customer, unless the encryption was provided by the carrier and the carrier possesses the information necessary to decrypt the communication.»

Che cosa chiede CALEA agli operatori è spiegato in Intercettazioni e cifratura: Wiretap Act e CALEA; il quadro generale è in Negli Stati Uniti criptare è legale?. Sul caso in cui le agenzie federali hanno raccomandato la cifratura end-to-end vedi Salt Typhoon.

Casi frequenti

• «L'EARN IT Act è diventato legge?» No. Le tre versioni (2020, 2022, 2023) sono state approvate solo dalla commissione Giustizia del Senato e sono decadute alla fine dei rispettivi Congressi.
• «Le app di messaggistica devono poter leggere i miei messaggi per legge?» Nessuna delle proposte descritte qui è in vigore. Il testo che imponeva in modo diretto la capacità di decifrare, il Lawful Access to Encrypted Data Act, non ha superato la fase delle commissioni.

Fonti

Congress.gov, schede e cronologia degli atti di S. 3398, H.R. 8454, S. 4051, H.R. 7891 (116° Congresso), S. 3538, H.R. 6544 (117°), S. 1207, H.R. 2732 (118°), S. 1829, H.R. 7757, H.R. 2508 (119°). Testi su govinfo.gov: S. 3398 presentato e approvato in commissione, S. 3538, S. 1207 approvato in commissione, S. 4051, S. 1829 approvato in commissione, H.R. 7757 trasmesso al Senato, H.R. 2508. 47 U.S.C. § 1002(b)(3). Verificato il 24 settembre 2026.