EU-regeringen zijn overeengekomen de tijdelijke "chatcontroleregels" van het blok te verlengen tot april 2028, waardoor onlineplatforms juridische dekking behouden om vrijwillig privéberichten te scannen op materiaal van seksueel kindermisbruik (CSAM). De verlenging geeft onderhandelaars meer tijd om een permanente, verplichte versie van de wet uit te werken, een strijd die is uitgegroeid tot een van de meest omstreden digitale rechtenkwesties in de recente Europese geschiedenis.

De tijdelijke verordening, soms de "derogatie" genoemd, werd oorspronkelijk ingevoerd om berichten- en e-mailproviders in staat te stellen bekende CSAM te blijven detecteren nadat nieuwe EU-privacyregels dergelijk scannen anders illegaal zouden hebben gemaakt. In plaats van die tijdelijke maatregel te laten verlopen, hebben de lidstaten de vervaldatum nu opgeschoven naar april 2028, waarmee een veel grotere vraag vooruit wordt geschoven: moet scannen vrijwillig zijn, zoals nu het geval is, of verplicht voor elk platform dat in de EU actief is?

Waarom chatcontrole steeds terugkomt

Chatcontrole is herhaaldelijk opgedoken omdat de onderliggende onenigheid tussen voorvechters van kinderveiligheid en privacy-experts nooit is opgelost. Voorstanders stellen dat scantools een van de weinige effectieve manieren zijn om CSAM op grote schaal te detecteren en te rapporteren, vooral nu misbruikmateriaal zich steeds meer via versleutelde of semi-privékanalen verplaatst. Privacyvoorvechters, digitale rechtenorganisaties en een aantal beveiligingsonderzoekers brengen hiertegen in dat elke scaninfrastructuur ingebouwd in berichtenapps, zelfs voor een beperkt doel, een blauwdruk creëert die later kan worden uitgebreid of misbruikt.

Deze spanning bereikte eerder een hoogtepunt toen EU-onderhandelaars een akkoord bereikten over een permanente versie van de regels. Zoals behandeld in eerdere berichtgeving van vpn.social over het EU-akkoord over chatcontrole: scannen toegestaan, client-side checks verboden, probeerden wetgevers een middenweg te vinden: detectie aan de serverzijde van bekende CSAM toestaan, terwijl client-side scanning expliciet verboden wordt, de techniek die inhoud rechtstreeks op het apparaat van een gebruiker zou inspecteren voordat deze wordt versleuteld en verzonden. Dat onderscheid is enorm belangrijk voor privacy, aangezien client-side scanning de methode is die het nauwst geassocieerd wordt met het doorbreken van de kernbelofte van end-to-end encryptie, namelijk dat alleen de verzender en ontvanger een bericht kunnen lezen.

De nieuwste verlenging lost dat debat niet op. Het handhaaft eenvoudigweg de status quo, vrijwillig scannen onder de tijdelijke regels, terwijl wetgevers blijven discussiëren over de vraag of detectie verplicht moet worden, welke technologie providers zouden moeten gebruiken en hoe uitbreiding naar algemene surveillance voorkomen kan worden.

Wat er werkelijk op het spel staat voor privacy

De kern van het privacybezwaar draait niet echt om de vraag of CSAM gedetecteerd en gerapporteerd moet worden. Vrijwel iedereen is het erover eens dat dit moet. De onenigheid gaat over methode en precedent. Verplichte scanvereisten, zelfs wanneer ze nauw gericht zijn op CSAM, vereisen dat platforms detectiemogelijkheden in hun infrastructuur inbouwen. Zodra die mogelijkheid bestaat, waarschuwen critici, wordt het een kwestie van beleid, niet van technische mogelijkheid, of deze in de toekomst wordt uitgebreid naar andere inhoudscategorieën.

Er is ook een praktisch bezwaar rond valse positieven en het chilling effect. Geautomatiseerde detectiesystemen kunnen legitieme inhoud verkeerd identificeren, of het nu gaat om een familiefoto van een ouder, een medische afbeelding gedeeld met een arts, of inhoud gedeeld door journalisten en advocaten die met gevoelig materiaal omgaan. Onder een vrijwillig regime behouden platforms enige discretie over hoe agressief ze scannen en wat ze met gemarkeerde inhoud doen. Een verplicht regime zou veel van die discretie wegnemen en detectie over de hele linie standaardiseren, ongeacht het specifieke risicoprofiel of de gebruikersbasis van een platform.

Dit past in een breder patroon van Europese en Britse toezichthouders die worstelen met de vraag hoe onlineplatforms te reguleren zonder de privacybescherming die gebruikers verwachten te ondermijnen. Soortgelijke spanningen hebben zich afgespeeld rond leeftijdsverificatie en toegangsbeperkingen, zoals te zien was bij de Britse avondklok voor tieners op sociale media legt VPN-detectie op bij platforms, waar handhavingsmechanismen ontworpen om minderjarigen te beschermen ook vragen oproepen over hoeveel zicht platforms en toezichthouders zouden moeten hebben op gebruikersgedrag.

Wat dit voor jou betekent

Voor alledaagse gebruikers betekent de verlenging tot april 2028 dat er niets onmiddellijk verandert. Platforms die al vrijwillig scannen op CSAM zullen dat blijven doen onder hetzelfde juridische kader dat van toepassing is sinds de derogatie voor het eerst werd ingevoerd. Gebruikers van gangbare berichten- en e-maildiensten in de EU staan vandaag niet voor een nieuwe verplichte scanvereiste.

Wat de moeite waard is om in de gaten te houden, is de richting van de permanente wetgeving waarover nog steeds wordt onderhandeld. Als verplichte detectieregels er uiteindelijk door komen, zou de praktische impact op gebruikers sterk afhangen van de vraag of bepalingen voor client-side scanning in de uiteindelijke tekst blijven staan, aangezien dat het mechanisme is dat het meest waarschijnlijk rechtstreeks van invloed is op versleutelde berichtenapps. Gebruikers die vertrouwen op end-to-end versleutelde diensten voor gevoelige communicatie, journalisten, activisten, zorgverleners en gewone mensen die privézaken bespreken, hebben het meeste op het spel staan bij de uitkomst van dit debat.

Op de hoogte blijven terwijl het debat voortduurt

Chatcontrole blijft onopgelost en de verlenging tot april 2028 garandeert dat dit niet de laatste kop over dit onderwerp zal zijn. Voor lezers die het beleid voor willen blijven, zijn een paar praktische stappen zinvol: houd in de gaten welke berichtenapps je gebruikt en hun verklaarde encryptiepraktijken, let op officiële communicatie van het EU-Parlement en de Raad in plaats van samenvattingen uit tweede hand wanneer er belangrijke stemmingen plaatsvinden, en overweeg hoeveel van je gevoelige communicatie plaatsvindt op platforms die uiteindelijk onderworpen kunnen worden aan verplichte scanvereisten. Het debat over chatcontrole is niet alleen een Brusselse beleidsstrijd, het is een live test van hoe ver privacybescherming reikt in een tijdperk van geautomatiseerde inhoudsdetectie, en de uitkomst zal de regels voor digitale communicatie in de hele EU voor de komende jaren vormgeven.