EU-lidstaten gaan akkoord met wet voor 'vrijwillig' scannen van chatberichten

De Europese lidstaten zijn het eens geworden over een wetsvoorstel dat het scannen van chatberichten door aanbieders toestaat. Dat is echter niet verplicht, in tegenstelling tot bij eerdere wetsvoorstellen omtrent chatcontrole. Het Europees Parlement moet zich nog over de wet buigen.

De EU-lidstaten in de vorm van de Raad van de Europese Unie hebben een Deens wetsvoorstel omtrent het voorkomen en bestrijden van seksueel misbruik van kinderen goedgekeurd. Als onderdeel van deze verordening moeten online platforms in kaart brengen in hoeverre er een risico is dat hun diensten worden gebruikt voor online activiteiten rond kindermisbruik. Vervolgens moeten ze maatregelen nemen om dat risico tegen te gaan. Per land wordt er een toezichthouder aangewezen die dit controleert en eventueel boetes kan uitdelen. Ook wordt er een EU-centrum opgericht dat toeziet of online platforms kindermisbruikmateriaal verwijderen als ze een melding ontvangen.

Een van de mogelijkheden die bedrijven door deze wet tot hun beschikking hebben, is om chatberichten die op hun platforms worden verzonden, te scannen op kindermisbruikmateriaal. Het vrijwillig scannen van chatberichten is momenteel al toegestaan door een tijdelijke EU-regeling, maar deze loopt in april 2026 af. Door de nieuwe wet krijgen chatdiensten deze bevoegdheid permanent. Overigens is het voorstel er nog niet door. De Raad moet het nog met het Europees Parlement eens worden over de definitieve versie van de verordening.

Nederland stemde woensdag tegen het wetsvoorstel. Dat gebeurde naar aanleiding van een aangenomen motie van GroenLinks-PvdA, waarin werd gesteld dat het aangepaste voorstel 'de principiële zorgen rondom privacy, de dreiging van massasurveillance en de risico's voor de digitale weerbaarheid van ons land niet wegneemt'.

Hoewel het verplicht scannen is geschrapt, klinkt er vanuit privacyvoorvechters en securityexperts nog steeds kritiek op de verordening, zoals Tweakers in een achtergrondverhaal uiteenzette. Doordat de nieuwe wet bedrijven de verplichting oplegt om risico's rond kindermisbruikmateriaal in te perken, beschouwen sommigen het scannen van chatberichten in het kader van risicobeperking als de facto verplicht.

Ook kan de EU aanbieders van een dienst met een 'hoog risico' op kindermisbruikmateriaal verplichten om mee te werken aan de ontwikkeling van 'relevante technologieën' voor het beperken van de risico's rondom dergelijk materiaal. Hoewel diensten hun end-to-endversleuteling volgens de wettekst niet hoeven te omzeilen, is client-side scanning nog wel een optie. Daarbij gebeurt het scannen op de apparaten van gebruikers zelf, voordat deze berichten worden verzonden en dus worden versleuteld. Daarbij hoeft de encryptie technisch gezien niet omzeild te worden.

IT-banen

Reacties (32)

NEK

Europese unie
Europa

26 november 2025 16:25

Zoals ik al eerder schreef in mijn vorige betoog; zie review: EU-chatcontrole: 'vrijwillig' scannen dreigt toch verplicht te worden. maar nu met de kennis van de laatste updates:

Het "vrijwillige" karakter van dit "nieuwe" voorstel is vooral een juridisch en politiek-correct rookgordijn want wie de tekst goed leest ziet dat dezelfde structuur van de eerdere CSAM-verordening gewoon blijft bestaan.

De kern zit opnieuw in "alle redelijke maatregelen" (zie Raadstekst, artikel over risk mitigation). In EU recht betekent dat heel simpel gezegd dat een aanbieder maatregelen moet nemen die proportioneel zijn aan het vastgestelde risico. En omdat de risicocategorie "hoog risico" vrijwel alle moderne communicatiediensten omvat (messaging, foto’s, video’s, voice, livestreams, etc etc etc etc) blijft de uitkomst helaas hetzelfde als in het eerdere voorstel: risicobeperking = detectie

Formeel gezien wordt dus scanning "geheel vrijwillig" maar een dienstverlener mag gebruikers weigeren als ze de niet-gescande versie niet veilig kunnen aanbieden. Dat is dezelfde constructie als cookiewalls: op papier kun je weigeren maar in praktijk verlies je toegang. Vrijwillig is slechts vrijwillig zolang je bereid bent de dienst niet meer te leveren.

De bewering dat end-to-end encryptie niet wordt verzwakt is juridisch leeg zolang client-side scanning open blijft staan want E2EE blijft alleen intact omdat de analyse voor encryptie gebeurt, en dat is Functioneel is dat hetzelfde als een backdoor. Apple heeft exact dit mechanisme in 2021 ingetrokken na zwaar technisch en academisch bezwaar. Er komt bovendien scanning op onbekend materiaal (zie definities in de Raadstekst). Dat vereist patroonherkenning met een enorme foutkans.Hmm, misschien daarom de race voor het bouwen van grote AI-datacenters door heel Europa. Meer false postitives betekent dus meer datadeling met autoriteiten en ook bij onschuldige foto's. En daarbovenop komt metadata-analyse dus o.a. met wie met wie praat, wanneer en hoe vaak. Uit die metadata kun je volledige sociale netwerken reconstrueren. Dat staat expliciet in de risk mitigation toolkit van de Commissie. Privacygerichte diensten zoals Signal, Threema en Proton kunnen hier simpelweg niet aan voldoen zonder hun model te breken. Je kunt niet en geen toegang hebben tot inhoud en verplicht zijn om inhoud vooraf te beoordelen.

Politiek gezien past dit in hetzelfde patroon want voorstellen vlak voor stemming intrekken, opnieuw indienen in cosmetisch aangepaste vorm en zo het Overton-venster richting scanning schuiven. Ondertussen loopt de tijdelijke EU-regeling af in april 2026, het Deense voorzitterschap in december 2025, en neemt Polen het over – een land met een uitgesproken law-and-order-profiel. De ruimte om af te zwakken wordt alleen maar kleiner.

Kort gezegd: dit voorstel is geen compromis. Het is dezelfde CSAM-wet in andere woorden, met een "vrijwillige" sausje eroverheen. De juridische verplichtingen blijven intact via brede risicocategorieën, indirecte scanplicht, client-side scanning en metadata-analyse. De uitkomst blijft dus brede monitoring van privecommunicatie, ongeacht hoe vriendelijk het wordt verpakt.

Tja… George Orwell's 1984 blijkt dus helaas geen fictie te zijn maar alleen een beleidsvoorstel dat wat langer nodig had om ingehaald te worden door de werkelijkheid. En altijd onder de vlag van "kinderen beschermen". Maar als dat werkelijk het doel was waarom dan niet gewoon alle servers in de EU laten scannen? Dat doet men namelijk nergens, behalve bij burgers.

Bronnen en juridische onderbouwing

HvJ-EU, La Quadrature du Net (C-511/18 e.a.)
Algemene of preventieve analyse van communicatie is een inbreuk op art. 7 & 8 Handvest, ongeacht of dit voor of na encryptie gebeurt.
HvJ-EU, Digital Rights Ireland (C-293/12)
Massale of ongerichte monitoring van communicatie is verboden; analyse voor encryptie verandert dit juridisch niet.
Regulation (EU) 2021/1232 (tijdelijke CSAM-wet)
Erkent expliciet dat CSAM-scanning een ernstige inbreuk op vertrouwelijkheid vormt en alleen als tijdelijke uitzondering mag worden toegepast.
ePrivacy-richtlijn, art. 5
Vertrouwelijkheid van communicatie mag niet systematisch worden doorbroken zonder individuele basis of expliciete toestemming.
ENISA, "Client-Side Scanning: Risks and Implications" (2022)
CSS creëert een feitelijk interceptiepunt en ondermijnt E2EE functioneel, ook al blijft de encryptie technisch intact.
"Bugs in our Pockets" (Anderson, Halderman, Schneier e.a., 2021)
Client-side scanning maakt encryptie "cryptografisch intact maar praktisch nutteloos" door een universeel surveillantiepunt op het toestel.
EDPS Opinie 2022 over CSAM-voorstel
CSS is een vorm van algemene monitoring en strijdig met art. 7 & 8 van het Handvest; E2EE wordt hierdoor "ineffectief".

Lees meer

EU-chatcontrole: 'vrijwillig' scannen dreigt toch verplicht te worden

Chatcontrole is wederom afgewend, maar vast niet voor de laatste keer

IT-banen

Reacties (32)

Sorteer op:

Weergave: