De Europese Unie heeft de deadline voor haar tijdelijke 'chatcontrol'-regels opnieuw uitgesteld, waardoor het vrijwillige scankader voor kindermisbruikmateriaal (CSAM) wordt verlengd tot april 2028. Deze stap, zo meldt Euronews, handhaaft een juridisch grijs gebied dat de strijd van de EU over online privacy al jaren kenmerkt: platforms kunnen ervoor kiezen privéberichten op illegale inhoud te scannen, maar ze zijn daartoe nog niet verplicht.

Deze nieuwste EU-verlenging van de chatcontrol-deadline tot 2028 is geen nieuwe wet. Het is een voortzetting van een tijdelijke uitzondering die jaren geleden voor het eerst werd ingevoerd, bedoeld om te worden vervangen door een permanente, verplichte verordening. In plaats daarvan hebben wetgevers herhaaldelijk de kwestie voor zich uit geschoven, omdat ze het niet eens kunnen worden over de vraag of scannen optioneel moet blijven of verplicht moet worden, en of versleutelde berichtenapps überhaupt tot naleving moeten worden gedwongen.

Wat de EU precies heeft verlengd, en tot wanneer

Door de verlenging behouden berichten- en e-mailproviders die in de EU actief zijn de wettelijke mogelijkheid om tot april 2028 vrijwillig gebruikersinhoud op CSAM te scannen. Dit is hetzelfde tijdelijke regime dat van kracht is sinds het voor het eerst werd ingevoerd als uitzondering op de e-privacyregels van de EU. Zonder deze verlenging zouden platforms die al op misbruikmateriaal scannen technisch gezien de privacywet overtreden.

De verlenging geeft onderhandelaars meer tijd om een permanent kader uit te werken, vaak 'Chat Control 2.0' genoemd, dat herhaaldelijk is vastgelopen vanwege meningsverschillen over verplichte scanverplichtingen en de gevolgen daarvan voor versleutelde communicatie. Voorlopig gaan de tijdelijke regels gewoon door, wat bedrijven ademruimte geeft zonder de grotere vraag te beantwoorden of scannen uiteindelijk een wettelijke verplichting moet worden in plaats van een keuze.

Vrijwillig scannen versus verplicht scannen: waarom het onderscheid ertoe doet

Het verschil tussen vrijwillig en verplicht scannen is de kern van het hele debat. Onder de huidige, verlengde regels kan een berichtenprovider ervoor kiezen berichten, foto's of links op bekende CSAM te scannen met behulp van detectietools, maar niets in de EU-wetgeving verplicht hen daartoe. Providers die ervoor kiezen niet te scannen, riskeren geen boete onder deze specifieke verordening.

Een verplicht scansysteem zou daarentegen van elk platform dat onder de regeling valt, inclusief platforms met end-to-end versleutelde berichten, eisen dat ze detectiemogelijkheden inbouwen, ongeacht de voorkeur van de gebruiker. Burgerrechtenorganisaties, beveiligingsonderzoekers en verschillende EU-lidstaten hebben gewaarschuwd dat dit neerkomt op een vorm van massasurveillance, omdat het zou vereisen dat de privécommunicatie van elke gebruiker wordt gescand, niet alleen die van verdachten. Dat fundamentele meningsverschil is de reden dat de EU telkens kiest voor verlenging na verlenging in plaats van een permanente wet aan te nemen. Hoe verdeeld de publieke opinie op dit punt is, blijkt uit de EU-chatcontrol leidt tot debat: Euronews lanceert lezerspeiling, waarin de lezersreacties op de eerdere fasen van deze strijd werden vastgelegd.

Hoe chatcontrol samenwerkt met end-to-end versleuteling

Het technische struikelblok is versleuteling. End-to-end versleutelde apps zijn zo ontworpen dat alleen de verzender en ontvanger een bericht kunnen lezen, niet eens de platformbeheerder. Elk scansysteem dat berichtinhoud op illegaal materiaal kan inspecteren, zou op de een of andere manier toegang tot die inhoud moeten hebben vóórdat, of in plaats van, de versleuteling zijn werk doet.

Daarom stellen critici dat voorstellen voor verplicht scannen functioneel onverenigbaar zijn met sterke versleuteling, zelfs als wetgevers volhouden dat de versleuteling zelf intact zou blijven. De technische werking van hoe scannen zou kunnen zonder de versleutelde bescherming te ondermijnen, is een werkelijk complexe technische kwestie, die in EU-chatcontrol: Versleuteling bepaalt wat er gescand wordt nader wordt uitgelegd. Omdat de huidige verlenging alleen vrijwillig scannen in stand houdt, blijven versleutelde apps die ervoor kiezen niet te scannen voorlopig onaangetast, maar de onderliggende spanning is niet opgelost, alleen uitgesteld tot 2028.

Wat dit voor u betekent

Als u berichtenapps binnen de EU gebruikt, verandert er direct niets. Vrijwillig scannen was al legaal vóór deze verlenging en blijft dat nu. Er is geen nieuwe verplichte scanverplichting opgelegd aan versleutelde apps. Wat wel is veranderd, is de tijdslijn: EU-wetgevers hebben nu tot april 2028 de tijd om een permanente oplossing te onderhandelen, en die onderhandeling zal bepalen of strengere, dwingende scanvereisten uiteindelijk van toepassing worden op de apps die u dagelijks gebruikt.

In de tussentijd is het de moeite waard om te weten welke apps die u gebruikt daadwerkelijk standaard end-to-end versleuteling bieden, en welke platforms hebben gekozen voor vrijwillige scanprogramma's. De publieke opinie over deze kwestie blijft sterk verdeeld, zoals blijkt uit de EU-chatcontroledebat duikt weer op in peiling van Euronews, dus op de hoogte blijven naarmate de deadline van 2028 nadert, loont.

Belangrijkste punten

De EU-verlenging van de chatcontrol-deadline tot 2028 is een pauze, geen oplossing. Vrijwillig scannen blijft legaal, verplicht scannen is nog onbeslist en het versleutelingsdebat is verre van beslecht. Overweeg om tot 2028 de privacy-instellingen en versleutelingsstandaarden te controleren van de berichtenapps waarop u vertrouwt, volg hoe de permanente wetgeving zich ontwikkelt en kies voor diensten die transparant zijn over óf en hoe ze inhoud scannen. De strijd over chatcontrol is nog niet voorbij; er is alleen een nieuwe deadline voor gesteld.