Op 9 juli 2026 blies het Europees Parlement Chatcontrole nieuw leven in, het omstreden systeem voor het scannen van berichten dat overheden en techplatforms toestaat om privédigitale communicatie te doorzoeken in de strijd tegen materiaal van seksueel misbruik van kinderen (CSAM). De stemming kwam tot stand via een procedurele manoeuvre, slechts enkele dagen voor het zomerreces – een timing die volgens critici bedoeld was om publieke controle en media-aandacht te minimaliseren. Voor iedereen die dacht dat deze strijd beslecht was: dat was niet zo. Het is terug, en het is de moeite waard om precies te begrijpen wat er is veranderd.

Chatcontrole EU-surveillance 2026: wat de stemming van 9 juli heeft veranderd

Chatcontrole is nooit één enkele, statische wet geweest. Het heeft meerdere iteraties, vervaldata en verlengingen doorlopen sinds het voor het eerst verscheen als een tijdelijke uitzondering op de e-privacyrichtlijn. De sessie van 9 juli markeerde een nieuw keerpunt in die cyclus: in plaats van een volledig wetgevend debat werd de maatregel opnieuw ingevoerd via een procedureel mechanisme dat het soort uitgebreide openbare hoorzitting vermeed dat eerdere versies wel kregen. Dit is de kern van de controverse rond Chatcontrole EU-surveillance 2026: niet alleen wat de regels bepalen, maar ook hoe ze steeds opnieuw met minimale wrijving worden opgewekt.

Dit patroon is niet nieuw. Een aanverwante stemming slechts een dag eerder, op 8 juli 2026, zag wetgevers bewegen om soortgelijke scanbepalingen te reactiveren – een ontwikkeling die uitgebreid wordt behandeld in ons verslag over de EU-reactivatie van 8 juli. Samen illustreren deze twee stemmingen hoe snel het wetgevende terrein kan verschuiven, vaak waardoor burgerrechtengroeperingen en gewone gebruikers overrompeld worden.

Welke apps en communicatie worden geraakt

De praktische zorg voor alledaagse gebruikers draait om de berichtenapps waar ze dagelijks op vertrouwen: WhatsApp, Signal, Telegram en vergelijkbare platforms. Chatcontrole heeft zich in zijn verschillende vormen consequent gericht op het scannen van privécommunicatie, inclusief tekstberichten, foto's en bestanden, vóór of nadat versleuteling is toegepast. Het verklaarde doel is beperkt: het detecteren en melden van CSAM. Maar het mechanisme dat daarvoor nodig is – het scannen van inhoud voordat deze wordt verzonden of direct nadat deze is ontvangen – is van toepassing op alle berichten die via een gedekte dienst gaan, niet alleen op berichten van wie verdacht wordt van wangedrag.

Dit is niet de eerste keer dat Europese wetgevers worstelen met waar ze deze grens moeten trekken. Eerdere onderhandelingsrondes resulteerden in regels die tot 2028 verlengd werden en, daarvoor, in een smaller kader dat het scannen tot 2027 beperkte. De heropleving van 9 juli heropent effectief vragen waarvan velen dachten dat ze door die eerdere compromissen waren beslecht.

Waarom client-sidescanning end-to-endversleuteling ondermijnt

Het technische bezwaar van beveiligingsonderzoekers en privacyvoorvechters is bij elke iteratie van dit debat consistent gebleven: er is geen manier om de inhoud van berichten te scannen, zelfs niet voor een beperkt doel als het detecteren van CSAM, zonder een mechanisme te bouwen dat gegevens inspecteert voordat versleuteling wordt toegepast of nadat deze is ontsleuteld. Dit wordt vaak client-sidescanning genoemd, en het verandert fundamenteel wat end-to-endversleuteling belooft.

End-to-endversleuteling is zo ontworpen dat alleen de verzender en de ontvanger een bericht kunnen lezen – niet het platform, niet een overheid, niemand anders. Client-sidescanning vereist software die op jouw apparaat draait om inhoud te inspecteren en overeenkomsten met bekende databases of gedragspatronen te signaleren voordat die bescherming überhaupt in werking treedt. Zodra die scaninfrastructuur bestaat, waarschuwen beveiligingsexperts dat het een permanent aanwezige capaciteit wordt die in beginsel hergebruikt of uitgebreid zou kunnen worden buiten het oorspronkelijke doel. Dat is de kern van de reden waarom dit elke keer dat het opduikt tot zoveel weerstand leidt, zoals te zien was in de reactie op de eerdere aanname van de Chatcontrolewet.

Wat VPN's wel en niet kunnen doen tegen verplicht berichtenscannen

Hier hebben gebruikers realistische verwachtingen nodig. Een VPN versleutelt je internetverkeer tussen je apparaat en een server, wat handig is om je surfactiviteit, locatie en metadata op netwerkniveau te verbergen voor je internetprovider of iedereen die de verbinding monitort. Wat een VPN niet doet, is scannen voorkomen dat op het apparaat zelf of binnen de berichtenapp plaatsvindt voordat je verkeer ooit de VPN-tunnel bereikt. Als een berichtenplatform scannen inbouwt in zijn app zoals wettelijk verplicht, dan zal het routeren van je verbinding via een VPN dat scannen niet stoppen.

Wat een VPN nog wél kan doen, is een extra beschermingslaag toevoegen rond de rest van je digitale voetafdruk: je IP-adres afschermen, de blootstelling op openbare netwerken verminderen en beperken wat derde partijen uit je verbindingspatronen kunnen afleiden. Het is een aanvullend hulpmiddel, geen vervanging voor de garanties van end-to-endversleuteling die client-sidescanning dreigt uit te hollen.

Wat dit voor jou betekent

Als je regelmatig versleutelde berichtenapps gebruikt, betekent de opleving van 9 juli niet dat scannen morgen actief is, maar het betekent wél dat de juridische basis voor verplicht scannen weer op tafel ligt in Brussel. De praktische les is om op de hoogte te blijven van welke apps zich publiekelijk verzetten tegen verplichte client-sidescanning en welke platforms onder EU-jurisdictie vallen in tegenstelling tot die welke dat niet doen. Het verschil begrijpen tussen transportversleuteling (wat een VPN beschermt) en end-to-end-berichtversleuteling (waar Chatcontrole op mikt) helpt je om duidelijkere beslissingen te nemen over welke tools jouw gesprekken daadwerkelijk beschermen.

Praktische actiepunten

Blijf betrokken bij hoe deze wetgeving evolueert in plaats van aan te nemen dat het voorbij is, want deze stemmingen zijn herhaaldelijk teruggekeerd na schijnbare nederlagen. Controleer het privacybeleid en de publieke standpunten van de berichtenapps die je het meest gebruikt, met name wat betreft toezeggingen rond client-sidescanning. Gebruik een VPN als één laag van een bredere privacystrategie, niet als een volledige verdediging tegen verplicht berichtenscannen. En lees je in over de wetsgeschiedenis, inclusief de oorspronkelijke uitzondering op de e-privacyrichtlijn, om te begrijpen hoe de debatten over Chatcontrole EU-surveillance 2026 terug te voeren zijn op eerdere compromissen die de huidige regels nog steeds vormgeven.