Het Europees Parlement weegt opnieuw een voorstel dat berichtendiensten zou verplichten privécommunicatie te scannen op materiaal van seksueel kindermisbruik, en dit keer zouden de regels kunnen reiken tot apps die end-to-endversleuteling gebruiken. Informeel bekend als Chat Control 2.0 heeft de maatregel een debat doen oplaaien dat inspanningen voor kinderbescherming tegenover de privacyverwachtingen van miljoenen alledaagse gebruikers plaatst. Centraal in de controverse staat een technische methode die client-side scanning wordt genoemd, waarbij berichten rechtstreeks op het apparaat van een gebruiker worden geïnspecteerd voordat ze worden versleuteld en verzonden.

Wat Chat Control 2.0 daadwerkelijk voorstelt

De huidige discussie in het Europees Parlement bouwt voort op eerdere scanregels die hoofdzakelijk van toepassing waren op niet-versleutelde diensten. Chat Control 2.0 zou die verplichting uitbreiden naar platforms die vertrouwen op end-to-endversleuteling, een technologie die specifiek is ontworpen zodat alleen de afzender en de ontvanger de inhoud van een bericht kunnen lezen. Volgens het voorstel zouden aanbieders een mechanisme nodig hebben om illegale inhoud te detecteren, namelijk materiaal van seksueel kindermisbruik, zelfs wanneer die inhoud wordt beschermd door versleuteling waartoe de aanbieder zelf normaal geen toegang heeft.

Voorstanders presenteren dit als een noodzakelijke stap om kinderen te beschermen tegen uitbuiting via private digitale kanalen. Critici werpen tegen dat de enige technisch haalbare manier om aan deze eis te voldoen zonder de versleuteling volledig te breken, is om inhoud te scannen voordat versleuteling überhaupt wordt toegepast, wat weer een aparte reeks problemen oplevert.

Hoe client-side scanning de versleutelingsbescherming van Chat Control 2.0 ondermijnt

Hier wordt het debat over Chat Control 2.0-versleuteling technisch, maar het kernidee is eenvoudig. End-to-endversleuteling werkt door een bericht op het apparaat van de afzender te versleutelen zodat het alleen door de beoogde ontvanger kan worden ontsleuteld. Niemand daartussenin, niet de app-aanbieder, niet een internetprovider, niet een overheidsinstantie, kan het onderweg lezen.

Client-side scanning verandert deze regeling door de inhoud van het bericht op het apparaat zelf te inspecteren, voordat versleuteling het afschermt. In de praktijk betekent dit dat elk bericht dat een gebruiker schrijft, zou kunnen worden beoordeeld door geautomatiseerde software die lokaal draait, waarbij het wordt vergeleken met bekende patronen of databases, voordat het naar iemand wordt verzonden. Zelfs als het versleutelde bericht dat uiteindelijk over het netwerk reist onleesbaar blijft voor buitenstaanders, is de privacygarantie al bij de bron aangetast. Het apparaat zelf wordt, zoals sommige critici het hebben verwoord, een getuige van alles wat een gebruiker schrijft, en controleert inhoud voordat deze ooit als privé wordt beschouwd.

Dit onderscheid is belangrijk omdat de waarde van end-to-endversleuteling specifiek voortkomt uit de veronderstelling dat geen enkele derde partij op enig moment inhoud inspecteert. Zodra scanning op het apparaat plaatsvindt vóór verzending, geldt die veronderstelling niet langer, ongeacht hoe sterk de versleuteling blijft die het verzonden bericht beschermt.

Welke apps en gebruikers getroffen zouden worden

De reikwijdte van Chat Control 2.0 is bewust breed. Elke berichtendienst die end-to-endversleuteling aanbiedt aan gebruikers binnen de Europese Unie zou onder de nieuwe scanverplichtingen kunnen vallen als de regelgeving in haar huidige vorm doorgang vindt. Dat omvat diensten waarop gewone consumenten vertrouwen voor persoonlijke gesprekken, evenals professionals, journalisten en activisten die voor hun werk afhankelijk zijn van vertrouwelijke communicatie.

Omdat de vereiste op platformniveau zou gelden in plaats van zich te richten op specifieke kwaadwillenden, zou deze de hele gebruikersbasis van elke gedekte dienst beïnvloeden, niet alleen personen die van wangedrag worden verdacht. Dit is de centrale spanning die het debat aandrijft: een maatregel bedoeld om een smalle categorie illegale inhoud op te sporen, zou noodzakelijkerwijs monitoringsinfrastructuur vereisen die de privéberichten van iedereen kan beoordelen.

Waar de wetgeving staat en wat er nu gebeurt

Op dit moment blijft Chat Control 2.0 onder actief debat binnen het Europees Parlement, zonder dat er een definitief akkoord is bereikt. Het voorstel heeft in de loop der jaren meerdere onderhandelingsrondes doorlopen, wat weerspiegelt hoe moeilijk het voor wetgevers is geweest om kinderbeschermingsdoelen te verzoenen met versleutelingswaarborgen die veiligheidsexperts als fundamenteel voor digitale privacy beschouwen. De uitkomst zal afhangen van verdere onderhandelingen tussen EU-lidstaten en het Parlement, en de tijdlijn voor een definitieve stemming is niet vastgesteld.

Wat dit voor jou betekent

Als je versleutelde berichten-apps gebruikt voor persoonlijke of professionele communicatie, is dit wetgevingsproces het volgen waard, ook al is er niets definitief geworden. Mochten scanverplichtingen uiteindelijk van kracht worden, dan zouden gebruikers in de EU veranderingen kunnen zien in hoe hun favoriete apps functioneren, of zouden aanbieders hun diensten kunnen aanpassen, functies kunnen beperken of hun manier van werken in de regio volledig kunnen veranderen. Vandaag is er geen onmiddellijke actie vereist, maar nu geïnformeerd blijven betekent dat je later niet overrompeld wordt.

Belangrijkste punten

Chat Control 2.0 is nog geen wet, maar de voortgang ervan door het Europees Parlement verdient blijvende aandacht van iedereen die waarde hecht aan private digitale communicatie. Volg de wetgevingskalender terwijl de onderhandelingen doorgaan, let op hoe aanbieders van berichtendiensten reageren als scanvereisten doorgang vinden, en overweeg hoe jouw keuze van communicatie- en privacytools mogelijk moet worden aangepast afhankelijk van de uiteindelijke uitkomst. Het debat over de versleutelingsregels van Chat Control 2.0 is allesbehalve beslecht, en de uitkomst ervan zal de digitale privacy in de hele EU nog jaren vormgeven.