Długotrwałe dążenie Unii Europejskiej do skanowania prywatnych wiadomości w poszukiwaniu materiałów przedstawiających wykorzystywanie seksualne dzieci przybrało kolejny obrót, a obrońcy praw cyfrowych mówią o faulu. Tymczasowa wersja tak zwanej ustawy Chat Control została zatwierdzona, mimo że większość posłów do Parlamentu Europejskiego (MEPs) głosowała przeciwko niej. Zwrot akcji: stało się to zaledwie trzy miesiące po tym, jak Parlament wprost odrzucił ten środek.

W przypadku polityki, która była debatowana, zmieniana i głosowana wielokrotnie na przestrzeni ostatnich kilku lat, sposób tego ostatniego zatwierdzenia wzbudza równie wiele pytań, co sama treść ustawy. Krytycy określają to posunięcie jako niedemokratyczne, argumentując, że projekt odrzucony przez ustawodawców nie powinien po prostu powracać kilka tygodni później przez proceduralne obejście.

Co właśnie stało się z Chat Control

Chat Control to nieformalna nazwa nadana unijnemu prawodawstwu mającemu na celu wykrywanie CSAM (materiałów przedstawiających wykorzystywanie seksualne dzieci) udostępnianych za pośrednictwem prywatnych komunikatorów. Wcześniejsze wersje projektu wymagałyby od platform komunikacyjnych, w tym tych używających szyfrowania end-to-end, skanowania treści użytkowników przed ich wysłaniem. Obrońcy prywatności, badacze bezpieczeństwa, a nawet niektóre instytucje unijne od lat ostrzegają, że obowiązkowe skanowanie tego rodzaju jest funkcjonalnie nie do pogodzenia z prawdziwym szyfrowaniem end-to-end, ponieważ każdy mechanizm skanowania wbudowany w zaszyfrowaną aplikację tworzy sposób na wgląd w treść, co podważa podstawową obietnicę szyfrowania.

Trzy miesiące temu Parlament odrzucił ten projekt. To powinno być jego końcem, przynajmniej w tym cyklu legislacyjnym. Tymczasem tymczasowa wersja ustawy o skanowaniu CSAM otrzymała zielone światło, pomimo że większość posłów do PE głosowała przeciw. Mechanizm, w jaki odrzucony środek powraca i zostaje przyjęty bez poparcia większości, wskazuje na zasady proceduralne w procesie legislacyjnym UE, które pozwalają pewnym tymczasowym lub przejściowym środkom postępować przy innych progach głosowania niż wymagałaby pełna rewizja legislacyjna.

Rezultatem jest prawo, które zdaniem krytyków nie posiada demokratycznego mandatu, jakiego można by oczekiwać po czymś o tak dalekosiężnych konsekwencjach dla sposobu, w jaki setki milionów ludzi porozumiewają się prywatnie.

Dlaczego to głosowanie budzi alarm

Zaniepokojenie nie dotyczy tylko tej jednej tymczasowej ustawy. Chodzi o precedens. Jeśli środek, który Parlament wyraźnie odrzucił, może zostać wskrzeszony i przegłosowany inną ścieżką proceduralną, tworzy to wzorzec, który można wykorzystać ponownie – wobec tej polityki lub innych. Grupy broniące praw cyfrowych od lat argumentują, że Chat Control w każdej swojej formie traktuje każdego użytkownika komunikatora domyślnie jako potencjalnego podejrzanego, zamiast kierować działania skanujące na osoby rzeczywiście podejrzane.

Jest też kwestia szyfrowania, która od początku znajduje się w centrum tej debaty. Eksperci ds. bezpieczeństwa konsekwentnie wskazują, że nie da się zbudować furtek do skanowania w zaszyfrowanej aplikacji komunikacyjnej, których nie mogliby wykorzystać przestępcy. Gdy mechanizm skanowania już istnieje, staje się potencjalnym celem dla hakerów, podmiotów państwowych lub kogokolwiek innego, kto chce przechwytywać prywatną komunikację. To samo fundamentalne napięcie pojawia się w innych starciach o szyfrowanie, gdzie rządy naciskają na narzędzia zgodnego z prawem dostępu, podczas gdy badacze bezpieczeństwa ostrzegają, że każda furtka osłabia ochronę wszystkich – nie tylko tych, których ma dotyczyć.

Stawka osłabionej ochrony danych nie jest teoretyczna. Wielkoskalowe incydenty związane z utratą wrażliwych danych osobowych, jak włamanie do systemów metra w Los Angeles powiązane z Iranem, które zaowocowało kradzieżą ogromnej ilości danych, przypominają, jak wiele szkód może wyniknąć z przejęcia systemów przechowujących dane osobowe. Budowanie nowej infrastruktury skanującej w aplikacjach komunikacyjnych używanych przez setki milionów Europejczyków znacząco zwiększa potencjalną powierzchnię ataku.

Co to oznacza dla Ciebie

Jeśli jesteś mieszkańcem UE lub komunikujesz się z osobami, które w niej mieszkają, ten rozwój ma znaczenie, nawet jeśli nigdy nie zastanawiałeś się nad polityką prywatności swojego komunikatora. Tymczasowa ustawa o skanowaniu CSAM przyjęta pomimo sprzeciwu większości w Parlamencie sygnalizuje, że szersza debata o Chat Control jest daleka od zakończenia i że podobne środki mogą znów pojawić się na porównywalnych drogach proceduralnych.

Na razie praktyczny wpływ zależy w dużej mierze od tego, jak tymczasowy środek zostanie wdrożony i jakich usług dotyczy. Jednak schemat wart jest uważnego śledzenia: odrzucona polityka powracająca przez inne legislacyjne drzwi to rozwój, który może przekształcić sposób, w jaki działa prywatna komunikacja w całym regionie, często przy ograniczonej debacie publicznej na temat konkretnych mechanizmów.

Jak być na bieżąco i działać

To nie jest ostatni rozdział historii Chat Control i prawdopodobnie nie będzie. Warto rozważyć kilka kroków w miarę rozwoju sytuacji:

  • Śledź, jak tymczasowa ustawa jest wdrażana i które komunikatory są nią objęte.
  • Zrozum, że furtki w szyfrowaniu, nawet te przedstawiane jako wąskie lub tymczasowe, tworzą ryzyka wykraczające poza ich pierwotny cel.
  • Wspieraj lub obserwuj organizacje monitorujące unijną politykę cyfrową, gdyż głosowania proceduralne, takie jak to, często toczą się szybciej niż doniesienia głównego nurtu.
  • Jeśli cenisz sobie prywatną komunikację, sprawdź, jak Twoje obecne komunikatory obsługują szyfrowanie i czy przedstawiły publiczne stanowiska dotyczące zgodności z nakazami skanowania.

Debata o Chat Control pokazała, że porażki legislacyjne w Brukseli nie zawsze są trwałe. Bycie poinformowanym to najlepsza obrona przed politykami, które przekształcają prywatność cyfrową przy niewielkiej publicznej kontroli.