Uni Eropa kembali memperpanjang derogasi sementara atas aturan ePrivacy-nya, mekanisme hukum yang memungkinkan platform perpesanan memindai komunikasi pribadi untuk materi pelecehan seksual anak (CSAM) tanpa melanggar perlindungan kerahasiaan. Di atas kertas, ini terlihat seperti urusan administratif rutin. Dalam praktiknya, ini menjaga fondasi hukum untuk pemindaian sisi-klien (client-side scanning), sebuah teknik yang diperingatkan oleh advokat privasi dapat diam-diam merusak enkripsi ujung-ke-ujung yang melindungi aplikasi seperti Signal dan WhatsApp. Memahami apa yang berubah, dan apa yang tidak, penting bagi siapa pun yang mengandalkan perpesanan terenkripsi di Eropa atau di tempat lain.

Apa yang Sebenarnya Diubah oleh Perpanjangan ePrivacy

Direktif ePrivacy biasanya mengharuskan komunikasi tetap bersifat rahasia, artinya platform tidak dapat memeriksa isi pesan pribadi tanpa pengecualian hukum tertentu. Sejak 2021, UE berulang kali memberikan derogasi, sebuah pengecualian sementara, yang memungkinkan perusahaan untuk secara sukarela memindai pesan dan gambar untuk CSAM. Derogasi ini tidak pernah dimaksudkan untuk bersifat permanen, tetapi terus diperbarui alih-alih digantikan dengan kerangka legislatif final.

Pola ini bukan hal baru. Parlemen Eropa memperpanjang Chat Control 1.0 melewati masa berlakunya di bulan April awal tahun ini, dan ketika itu berakhir lagi, para pembuat undang-undang bergegas untuk menghidupkannya kembali dalam voting Juli yang mengejutkan yang menghidupkan kembali Chat Control 1.0. Perpanjangan terbaru, yang disahkan pada 9 Juli, secara efektif melanjutkan rezim pemindaian bukan melalui voting yang menentukan, melainkan karena para penentang tidak dapat mengumpulkan dukungan yang cukup untuk memblokirnya. Peristiwa itu dibahas secara rinci dalam liputan kami tentang bagaimana Parlemen UE memperbarui undang-undang pemindaian Chat Control pada 9 Juli.

Perpanjangan ePrivacy terbaru mengikuti skenario yang sama: sebuah langkah tambal sulam, yang disahkan di tengah pertikaian prosedural, yang menghindari keputusan permanen sambil tetap membuka pintu pemindaian. Para kritikus berpendapat bahwa pendekatan ini memungkinkan UE menghindari debat publik penuh tentang apakah pemindaian pesan massal kompatibel dengan hak privasi fundamental.

Bagaimana Pemindaian Sisi-Klien Merusak Enkripsi Ujung-ke-Ujung

Detail teknis yang sering hilang dalam debat kebijakan adalah bagaimana tepatnya pemindaian sisi-klien bekerja, dan mengapa hal itu merusak enkripsi meskipun enkripsi itu sendiri tetap utuh secara teknis.

Enkripsi ujung-ke-ujung, sistem yang digunakan oleh Signal dan WhatsApp, memastikan bahwa hanya pengirim dan penerima yang dapat membaca pesan. Bahkan penyedia aplikasi pun tidak dapat melihat konten saat transit. Pemindaian sisi-klien mengubah ini dengan menyisipkan langkah analisis sebelum enkripsi terjadi, langsung di perangkat pengguna. Setiap foto, file, atau pesan diperiksa terhadap basis data atau algoritma sebelum dikunci dengan enkripsi dan dikirim.

Enkripsi itu sendiri tidak dipecahkan dalam arti kriptografis. Tetapi jaminan privasi yang seharusnya diberikan, bahwa tidak ada pihak ketiga yang dapat memeriksa komunikasi Anda, menjadi tidak berlaku. Jika perangkat memindai konten sebelum dikirim, maka pihak ketiga (sistem pemindaian, dan pada akhirnya siapa pun yang mengendalikannya) secara efektif memiliki visibilitas ke dalam komunikasi pribadi Anda terlepas dari apa yang terjadi pada data setelahnya. Ini adalah keberatan inti yang diajukan oleh peneliti keamanan, penyedia perpesanan, dan kelompok hak digital: pemindaian sisi-klien tidak hidup berdampingan secara damai dengan enkripsi ujung-ke-ujung, melainkan mengosongkannya dari dalam.

Penjelasan kami tentang Chat Control 2.0 dan rencana pemindaian CSAM UE menguraikan bagaimana proposal ini berkembang dan mengapa penyedia perpesanan menolak keras terhadap persyaratan pemindaian wajib.

Mengapa VPN Tidak Dapat Melindungi Anda dari Pemindaian Pada-Perangkat

Ini adalah poin yang sering membingungkan dalam diskusi publik, jadi perlu dinyatakan dengan jelas: VPN tidak melakukan apa pun untuk mencegah pemindaian sisi-klien. VPN mengenkripsi lalu lintas internet Anda antara perangkat dan server jarak jauh, melindungi koneksi Anda dari pengawasan tingkat jaringan, penyedia internet Anda, atau seseorang yang mengintip Wi-Fi publik. VPN tidak memiliki visibilitas ke dalam, dan tidak memiliki kendali atas, apa yang terjadi di perangkat Anda sebelum lalu lintas itu dikirim.

Pemindaian sisi-klien terjadi secara lokal, di ponsel atau komputer itu sendiri, sebelum pesan dienkripsi dan dikirimkan. VPN beroperasi sepenuhnya di hilir dari proses tersebut. Jika sebuah aplikasi diwajibkan untuk memindai foto sebelum mengirimnya, tidak ada VPN, sekuat apa pun enkripsinya atau seketat apa pun kebijakan tanpa-log-nya, yang dapat campur tangan dalam pemindaian itu. Ini adalah perbedaan arsitektural mendasar yang harus dipahami oleh setiap pengguna yang sadar privasi: VPN melindungi data saat transit, bukan data pada titik pembuatannya.

Ke Mana Arah Debat Chat Control 2.0 Selanjutnya

Proposal Chat Control 2.0 yang lebih luas, upaya legislatif formal untuk mewajibkan alih-alih sekadar mengizinkan pemindaian, tetap belum terselesaikan. Setiap perpanjangan ePrivacy membeli waktu tanpa menyelesaikan pertanyaan mendasar tentang apakah UE akan mewajibkan platform untuk memindai pesan terenkripsi oleh hukum. Penyedia perpesanan, peneliti keamanan, dan organisasi kebebasan sipil terus memperingatkan bahwa persyaratan pemindaian wajib apa pun akan menciptakan preseden yang memengaruhi komunikasi terenkripsi jauh melampaui batas Eropa, karena aplikasi global sering menerapkan arsitektur yang sama di mana pun.

Untuk gambaran yang lebih lengkap tentang garis waktu legislatif, liputan kami tentang apa yang dapat dilakukan pengguna sekarang setelah pembaruan Chat Control 9 Juli memaparkan langkah-langkah praktis yang tersedia bagi orang-orang yang khawatir tentang arah kebijakan ini.

Apa Artinya Ini Bagi Anda

Jika Anda menggunakan Signal, WhatsApp, atau aplikasi perpesanan terenkripsi lainnya di UE, belum ada yang berubah dalam pengalaman sehari-hari Anda. Pemindaian sisi-klien saat ini tidak wajib. Tetapi landasan hukum untuk itu terus diperpanjang alih-alih diselesaikan, yang berarti kemungkinan itu tetap hidup. Pengguna harus memahami bahwa kekuatan enkripsi saja tidak menjamin privasi jika pemindaian disisipkan sebelum enkripsi terjadi, dan bahwa tidak ada VPN, firewall, atau alat jaringan yang dapat menggantikan jaminan itu setelah dikompromikan.

Langkah-Langkah yang Dapat Diambil

Tetap terinformasi tentang garis waktu legislatif alih-alih berasumsi bahwa masalah ini sudah selesai, karena perpanjangan ini terjadi secara diam-diam dan berulang kali. Pahami perbedaan antara alat privasi tingkat jaringan seperti VPN dan perlindungan pada-perangkat seperti enkripsi ujung-ke-ujung, keduanya menyelesaikan masalah yang berbeda. Ikuti pernyataan dari penyedia perpesanan yang Anda gunakan secara langsung, karena perusahaan seperti Signal secara historis vokal tentang ancaman terhadap model enkripsi mereka. Dan jika Anda ingin menyuarakan pendapat, warga UE dapat menghubungi perwakilan mereka di Parlemen Eropa, karena tekanan publik sebelumnya telah membentuk seberapa cepat dan seberapa jauh proposal ini maju.