Het al jaren slepende EU-plan om privéberichten te scannen op kindermisbruikmateriaal heeft een nieuwe wending genomen, en dit keer spreken digitale burgerrechtenorganisaties van vals spel. Een tijdelijke versie van de zogeheten chatcontrolewet is goedgekeurd, ondanks het feit dat een meerderheid van de leden van het Europees Parlement (EP-leden) tegenstemde. De plotwending: dit gebeurt slechts drie maanden nadat het Parlement de maatregel al eens ronduit had verworpen.

Voor een voorstel waarover de afgelopen jaren herhaaldelijk is gedebatteerd, geamendeerd en gestemd, roept de manier waarop deze laatste goedkeuring tot stand kwam evenveel vragen op als de inhoud van de wet zelf. Critici bestempelen de zet als ondemocratisch en stellen dat een door volksvertegenwoordigers weggestemd voorstel niet zomaar weken later via een procedurele sluiproute opnieuw op tafel hoort te komen.

Wat is er nu gebeurd met chatcontrole

Chatcontrole is de informele naam voor EU-wetgeving die gericht is op het opsporen van CSAM (kindermisbruikmateriaal) dat via privéberichtendiensten wordt gedeeld. Eerdere versies van het voorstel zouden berichtenplatforms, inclusief die met end-to-endversleuteling, hebben verplicht om gebruikersinhoud te scannen vóór verzending. Privacyvoorvechters, beveiligingsonderzoekers en zelfs enkele EU-instellingen waarschuwen al jaren dat dit soort verplicht scannen functioneel onverenigbaar is met echte end-to-endversleuteling, omdat elk scanmechanisme dat in een versleutelde app wordt ingebouwd een manier creëert om inhoud te inspecteren die de kernbelofte van de versleuteling ondermijnt.

Drie maanden geleden verwierp het Parlement het voorstel. Dat had het einde van de rit moeten zijn, in ieder geval voor deze wetgevingscyclus. In plaats daarvan heeft een tijdelijke versie van de CSAM-scanwet nu groen licht gekregen, ondanks het feit dat een meerderheid van de EP-leden tegenstemde. De mechanismen waarmee een verworpen maatregel terugkeert en wordt aangenomen zonder meerderheidssteun wijzen op procedureregels binnen het EU-wetgevingsproces die het mogelijk maken dat bepaalde tijdelijke of overgangsmaatregelen onder soepelere stemdrempels worden goedgekeurd dan een volledige wetgevingsherziening zou vereisen.

Het resultaat is een wet die volgens critici het democratisch mandaat mist dat je zou verwachten bij iets met zulke verstrekkende gevolgen voor de manier waarop honderden miljoenen mensen privé communiceren.

Waarom deze stemming alarmbellen doet rinkelen

De zorg betreft niet alleen deze ene tijdelijke wet. Het gaat om het precedent. Als een maatregel waar het Parlement expliciet tegen heeft gestemd, nieuw leven kan worden ingeblazen en via een andere procedurele route kan worden aangenomen, schept dat een blauwdruk die opnieuw gebruikt zou kunnen worden, voor dit beleid of voor andere. Digitale burgerrechtenorganisaties stellen al jaren dat chatcontrole, in welke vorm dan ook, elke gebruiker van een berichtenapp bij voorbaat als potentiële verdachte behandelt, in plaats van het scannen te richten op mensen tegen wie daadwerkelijk verdenkingen bestaan.

Daarnaast is er de versleutelingskwestie, die sinds het begin centraal staat in dit debat. Beveiligingsexperts hebben er consequent op gewezen dat er geen manier is om een scanachterdeur in een versleutelde berichtenapp te bouwen die alleen door kwaadwillenden níet kan worden misbruikt. Zodra een scanmechanisme bestaat, wordt het een potentieel doelwit voor hackers, staatsactoren of iedereen die privécommunicatie wil onderscheppen. Dit is hetzelfde fundamentele spanningsveld dat in andere versleutelingsconflicten is opgedoken, waar overheden aandringen op tools voor rechtmatige toegang terwijl beveiligingsonderzoekers waarschuwen dat elke achterdeur de bescherming voor iedereen verzwakt, niet alleen voor degenen die ermee moeten worden gepakt.

De risico’s van verzwakte gegevensbescherming zijn niet theoretisch. Grootschalige datalekken met gevoelige persoonsgegevens, zoals de met Iran gelinkte hack van het openbaarvervoerbedrijf van LA die leidde tot een enorme datadiefstal, herinneren ons eraan hoeveel schade kan ontstaan wanneer systemen met persoonlijke informatie worden gecompromitteerd. Het inbouwen van nieuwe scaninfrastructuur in berichtenapps die door honderden miljoenen Europeanen worden gebruikt, vergroot het potentiële aanvalsoppervlak aanzienlijk.

Wat dit voor jou betekent

Als je in de EU woont, of communiceert met mensen die dat doen, is deze ontwikkeling van belang, ook als je nooit hebt stilgestaan bij het privacybeleid van je berichtenapp. Het feit dat een tijdelijke CSAM-scanwet is goedgekeurd ondanks een parlementaire meerderheid tegen, geeft aan dat het bredere chatcontroledebat nog lang niet beslecht is en dat soortgelijke maatregelen via vergelijkbare procedurele routes opnieuw kunnen opduiken.

Voorlopig hangt de praktische impact sterk af van hoe de tijdelijke maatregel wordt geïmplementeerd en op welke diensten deze van toepassing is. Maar het patroon is het nauwlettend volgen waard: een weggestemd beleid dat via een andere wetgevingsdeur terugkeert, is het soort ontwikkeling dat de manier waarop privécommunicatie in een hele regio werkt kan veranderen, vaak met beperkt publiek debat over de specifieke mechanismen.

Op de hoogte blijven en actie ondernemen

Dit is niet het laatste hoofdstuk in het chatcontroleverhaal, en dat zal het waarschijnlijk ook niet worden. Enkele stappen die het overwegen waard zijn terwijl dit zich ontvouwt:

  • Houd in de gaten hoe de tijdelijke wet wordt geïmplementeerd en welke berichtendiensten erdoor worden geraakt.
  • Begrijp dat achterdeuren in versleuteling, zelfs wanneer ze als smal of tijdelijk worden bestempeld, risico’s creëren die verder reiken dan hun oorspronkelijke doel.
  • Steun of volg organisaties die het EU-digitale beleid monitoren, aangezien procedurele stemmingen als deze zich vaak sneller voltrekken dan de reguliere berichtgeving bijhoudt.
  • Als je waarde hecht aan privécommunicatie, zoek dan uit hoe je huidige berichtenapps met versleuteling omgaan en of ze publieke verklaringen hebben afgelegd over naleving van scanverplichtingen.

Het chatcontroledebat heeft laten zien dat wetgevingsnederlagen in Brussel niet altijd definitief zijn. Op de hoogte blijven is de beste verdediging tegen beleid dat digitale privacy ingrijpend verandert met minimale publieke controle.