Rządy państw UE uzgodniły przedłużenie tymczasowych przepisów o „kontroli czatu” do kwietnia 2028 r., dając platformom internetowym dalszą osłonę prawną do dobrowolnego skanowania prywatnych wiadomości w poszukiwaniu materiałów przedstawiających seksualne wykorzystywanie dzieci (CSAM). Przedłużenie daje negocjatorom więcej czasu na wypracowanie stałej, obowiązkowej wersji przepisów – starcia, które stało się jedną z najbardziej zaciętych batalii o prawa cyfrowe w najnowszej historii Europy.

Tymczasowe rozporządzenie, nazywane niekiedy „derogacją”, zostało pierwotnie wprowadzone, aby umożliwić dostawcom komunikatorów i poczty elektronicznej dalsze wykrywanie znanych CSAM po tym, jak nowe unijne przepisy o prywatności uczyniłyby takie skanowanie nielegalnym. Zamiast pozwolić, by to tymczasowe rozwiązanie wygasło, państwa członkowskie przesunęły teraz jego datę wygaśnięcia na kwiecień 2028 r., skutecznie odsuwając w czasie znacznie większe pytanie: czy skanowanie powinno być dobrowolne, jak ma to miejsce obecnie, czy obowiązkowe dla każdej platformy działającej w UE?

Dlaczego kontrola czatu wciąż powraca

Kontrola czatu regularnie powraca, ponieważ podstawowy spór między obrońcami dzieci a ekspertami od prywatności nigdy nie został rozstrzygnięty. Zwolennicy przekonują, że narzędzia skanujące są jednym z niewielu skutecznych sposobów wykrywania i zgłaszania CSAM na dużą skalę, zwłaszcza że materiały wykorzystywania coraz częściej przepływają przez zaszyfrowane lub półprywatne kanały. Obrońcy prywatności, organizacje praw cyfrowych oraz wielu badaczy bezpieczeństwa odpowiadają, że każda infrastruktura skanująca wbudowana w komunikatory, nawet w wąskim celu, tworzy szablon, który można później rozszerzyć lub nadużyć.

To napięcie osiągnęło punkt kulminacyjny wcześniej, gdy unijni negocjatorzy wypracowali porozumienie w sprawie stałej wersji przepisów. Jak informowaliśmy wcześniej na vpn.social w relacji dotyczącej porozumienia UE w sprawie kontroli czatu, które zezwala na skanowanie, ale zakazuje analizy po stronie klienta, prawodawcy próbowali znaleźć złoty środek: zezwolić na wykrywanie znanych CSAM po stronie serwera, jednocześnie wyraźnie zabraniając skanowania po stronie klienta – techniki polegającej na badaniu treści bezpośrednio na urządzeniu użytkownika, zanim zostaną zaszyfrowane i wysłane. To rozróżnienie ma ogromne znaczenie dla prywatności, ponieważ skanowanie po stronie klienta jest metodą najściślej związaną z łamaniem podstawowej obietnicy szyfrowania end-to-end – że tylko nadawca i odbiorca mogą odczytać wiadomość.

Najnowsze przedłużenie nie rozstrzyga tej debaty. Utrzymuje po prostu status quo – dobrowolne skanowanie na mocy tymczasowych przepisów – podczas gdy prawodawcy wciąż spierają się o to, czy wykrywanie powinno być obowiązkowe, jaką technologię musieliby stosować dostawcy oraz jak zapobiec rozszerzeniu zakresu na ogólny nadzór.

Co tak naprawdę stoi na szali dla prywatności

Podstawowy problem dotyczący prywatności tak naprawdę nie polega na tym, czy CSAM powinno być wykrywane i zgłaszane. Niemal wszyscy zgadzają się, że tak. Spór dotyczy metody i precedensu. Wymogi obowiązkowego skanowania, nawet jeśli są wąsko ukierunkowane na CSAM, wymagają od platform wbudowania funkcji wykrywania w swoją infrastrukturę. Gdy taka możliwość już istnieje, krytycy ostrzegają, że kwestią polityki, a nie technicznych możliwości, staje się to, czy w przyszłości zostanie rozszerzona na inne kategorie treści.

Istnieje również praktyczna obawa dotycząca fałszywych alarmów i efektu mrożącego. Zautomatyzowane systemy wykrywania mogą błędnie identyfikować legalne treści, czy to zdjęcie rodzinne wykonane przez rodzica, obraz medyczny przesłany lekarzowi, czy treści udostępniane przez dziennikarzy i prawników zajmujących się materiałami wrażliwymi. W systemie dobrowolnym platformy zachowują pewną swobodę co do tego, jak agresywnie skanują i co robią z oznaczonymi treściami. System obowiązkowy odebrałby znaczną część tej swobody, standaryzując wykrywanie we wszystkich przypadkach, niezależnie od konkretnego profilu ryzyka danej platformy czy jej bazy użytkowników.

Wpisuje się to w szerszy schemat działań europejskich i brytyjskich regulatorów, którzy zmagają się z tym, jak nadzorować platformy internetowe, nie podważając ochrony prywatności, której oczekują użytkownicy. Podobne napięcia ujawniły się wokół weryfikacji wieku i ograniczeń dostępu, co widać w wprowadzonej w Wielkiej Brytanii godzinie policyjnej dla nastolatków w mediach społecznościowych, która nakłada na platformy obowiązek wykrywania VPN-ów, gdzie mechanizmy egzekwowania mające chronić nieletnich rodzą również pytania o to, jak dużą widoczność zachowań użytkowników powinny mieć platformy i regulatorzy.

Co to oznacza dla Ciebie

Dla zwykłych użytkowników przedłużenie do kwietnia 2028 r. oznacza, że na razie nic się nie zmienia. Platformy, które już teraz dobrowolnie skanują w poszukiwaniu CSAM, będą to nadal robić w tych samych ramach prawnych, które obowiązują od czasu wprowadzenia derogacji. Użytkownicy popularnych komunikatorów i usług pocztowych w UE nie muszą dziś mierzyć się z nowym obowiązkowym skanowaniem.

Warto jednak obserwować kierunek stałego prawodawstwa, które wciąż jest negocjowane. Jeśli obowiązkowe przepisy dotyczące wykrywania zostaną ostatecznie przyjęte, ich praktyczny wpływ na użytkowników będzie silnie zależał od tego, czy w ostatecznym tekście utrzymają się zapisy o skanowaniu po stronie klienta – to właśnie ten mechanizm najprawdopodobniej bezpośrednio dotknie aplikacji z szyfrowaniem end-to-end. Użytkownicy, którzy polegają na usługach z pełnym szyfrowaniem do wrażliwej komunikacji – dziennikarze, aktywiści, pracownicy służby zdrowia i zwykli ludzie omawiający prywatne sprawy – mają najwięcej do stracenia w zależności od tego, jak zakończy się ta debata.

Jak być na bieżąco w miarę trwania debaty

Kontrola czatu pozostaje nierozstrzygnięta, a przedłużenie do kwietnia 2028 r. gwarantuje, że to nie ostatni nagłówek na ten temat. Czytelnicy, którzy chcą śledzić rozwój polityki, mogą podjąć kilka praktycznych kroków: zwracać uwagę na to, z jakich komunikatorów korzystają i jakie są ich deklarowane praktyki szyfrowania; śledzić oficjalne komunikaty Parlamentu Europejskiego i Rady, zamiast polegać na streszczeniach z drugiej ręki w czasie ważnych głosowań; zastanowić się, jaka część wrażliwej komunikacji odbywa się na platformach, które w przyszłości mogą zostać objęte obowiązkowym skanowaniem. Debata o kontroli czatu to nie tylko brukselska walka polityczna – to żywy test tego, jak daleko sięgają zabezpieczenia prywatności w erze automatycznego wykrywania treści, a jej wynik ukształtuje zasady komunikacji cyfrowej w całej UE na wiele lat.