Tre lover, ett mål: dine private meldinger
En stillferdig, men betydningsfull endring er i gang i tre av verdens største reguleringsblokker. EUs foreslåtte Chat Control-forordning, Storbritannias Online Safety Act og USAs foreslåtte KIDS Act bygger hver på sin måte meldingsovervåkning inn i lovverket. Det uttalte målet er i alle tilfeller å beskytte barn på nett. Den praktiske konsekvensen er, ifølge personvernforkjempere og sikkerhetsforskere, en uthuling av ende-til-ende-kryptering – teknologien som holder private meldinger private mellom avsender og mottaker, uten at noen andre, ikke engang plattformen, kan lese dem.
Disse tre initiativene oppsto ikke fra én enkelt koordinert plan, men til sammen representerer de et mønster: lovgivere i ulike jurisdiksjoner som kommer frem til lignende konklusjoner om skanning, overvåkning eller andre måter å få innsyn i kryptert kommunikasjon på, selv når de tekniske og personvernmessige avveiningene er påfallende like.
EUs forslag om Chat Control
Chat Control er det uformelle navnet på EUs forsøk på å pålegge meldingstjenester å skanne privat kommunikasjon, inkludert kryptert, for ulovlig innhold før det sendes. Tilhengerne fremstiller det som et verktøy for å bekjempe spredning av overgrepsmateriale mot barn på nett. Kritikere, deriblant krypteringseksperter og digitale rettighetsorganisasjoner, hevder at enhver mekanisme som er i stand til å skanne krypterte meldinger før de sendes, i praksis bryter selve krypteringen. Når det først finnes en bakdør for skanning, lyder argumentet, kan den utnyttes av ondsinnede aktører, utvides til å dekke andre typer innhold eller misbrukes av myndigheter utover den opprinnelige hensikten.
Debatten har gjentatte ganger gått i stå og dukket opp igjen i EU-institusjonene, noe som gjenspeiler hvor omstridt den underliggende avveiningen er: å beskytte barn mot å beskytte personvernet til alle som bruker krypterte meldingsapper – altså hundretalls millioner helt vanlige mennesker som ikke har noe med kriminalitet å gjøre.
Storbritannias Online Safety Act og USAs KIDS Act
Storbritannias Online Safety Act, som allerede har trådt i kraft, gir tilsynsmyndighetene vide fullmakter til å pålegge plattformer å oppdage og fjerne skadelig innhold, med bestemmelser som har vekket lignende krypteringsbekymringer som dem rundt Chat Control. Ett stridstema har vært aldersverifisering og hvorvidt loven vil presse folk over på omgåelsesmetoder som VPN for å få tilgang til begrenset innhold. Det er verdt å merke seg at britiske myndigheter allerede har avvist VPN-restriksjoner under Online Safety Act, og valgt å ikke gå direkte etter VPN-bruk selv om aldersverifiseringskravene rulles ut. Den avgjørelsen er viktig fordi den viser at tilsynsmyndighetene trekker minst én grense, selv om lovens bredere bestemmelser om skanning og overvåkning fortsatt gjelder.
På den andre siden av Atlanterhavet følger det foreslåtte amerikanske KIDS Act en lignende logikk: plattformovervåkning og forpliktelser til innholdsmoderering fremstilles som tiltak for barns sikkerhet. I likhet med sine europeiske motstykker har det blitt gransket av personvernforkjempere som advarer om at sikkerhetspålegg i praksis kan kreve den typen innsyn i privat kommunikasjon som undergraver kryptering for alle brukere, ikke bare dem loven har til hensikt å beskytte.
Hva dette betyr for deg
Dersom du bruker krypterte meldingsapper, enten for personvernets skyld, profesjonell konfidensialitet eller rett og slett fordi du setter pris på at samtalene dine ikke blir lest av tredjeparter, har disse lovene betydning uansett hvor du bor. Reguleringer som vedtas i ett land, påvirker ofte politikk andre steder, og plattformer som opererer globalt, kan justere krypteringspraksisen sin overalt for å etterkomme den strengeste jurisdiksjonen.
Den grunnleggende spenningen i alle de tre lovene er den samme: kan et system skanne eller overvåke kommunikasjon for skadelig innhold uten å bryte personverngarantiene som gjør kryptering meningsfylt i utgangspunktet? Sikkerhetsforskere har gang på gang argumentert for at svaret er nei. En skannemekanisme innebygd i et kryptert system er en sårbarhet, enten den brukes av en offentlig etat, en hacker eller et autoritært regime som senere får tilgang til det samme verktøyet.
Praktiske råd
Hold deg oppdatert på hvordan disse lovene utvikler seg, for verken Chat Control, implementeringen av Online Safety Act eller KIDS Act er statiske. Bestemmelser blir endret, utsatt eller omtolket etter hvert som presset fra offentligheten og bransjen øker. Følg med på hvilke meldingsapper som offentlig forplikter seg til å opprettholde ekte ende-til-ende-kryptering, og hvilke som signaliserer at de kan komme til å etterkomme skannepålegg. Hvis du er bekymret for meldingspersonvern, bør du vurdere å bruke verktøy med dokumentert vilje til å stå imot myndighetspress på kryptering, og holde programvaren oppdatert slik at du får glede av sikkerhetsforbedringer etter hvert som de lanseres. Engasjer deg til slutt i politiske prosesser der du kan. Offentlige høringer, parlamentariske konsultasjoner og kampanjer har allerede påvirket utfall som Storbritannias beslutning om ikke å begrense VPN, og de kan også påvirke det som kommer videre for Chat Control og KIDS Act. Kampen om kryptert meldingsutveksling er ikke avgjort, og hvordan den løses, vil påvirke alle som setter pris på en privat samtale.
