EU wil in juni akkoord met Europees Parlement over chatcontrole

De Europese Unie stuurt erop aan om in juni een akkoord met het Europees Parlement te hebben over chatcontrole. Dat is het omstreden voorstel voor EU-regelgeving om digitale communicatie te scannen om seksueel misbruik van kinderen te voorkomen en bestrijden.

Het streven om in juni een akkoord te bereiken over de zogeheten csam-verordening, komt nu naar buiten in een Kamerbrief van demissionair minister Foort van Oosten van Justitie en Veiligheid. Eind november zijn de EU-lidstaten akkoord gegaan met een aangepast voorstel voor chatcontrole, dat al jaren in de maak is.

Volgens het aangepaste voorstel mogen aanbieders chatberichten scannen, maar zijn ze formeel gezien niet verplicht om dat te doen. In eerdere EU-wetsvoorstellen voor chatcontrole was dat nog wel het geval. Het Europees Parlement moet zich nog over de wet buigen.

Privacyvoorvechters en securityexperts vrezen nog altijd voor het breed scannen van communicatie – en daarmee het ondermijnen van encryptie. Het aangepaste en aangenomen voorstel legt bedrijven namelijk wél de verplichting op om risico's rond kindermisbruikmateriaal in te perken. In het kader van risicobeperking zou daardoor het scannen van chatberichten alsnog verplicht kunnen zijn, is de redenering.

Reacties (31)

[NEK]

Zoals ik in november al schreef bij EU-chatcontrole: “vrijwillig” scannen dreigt toch verplicht te worden, (zie NEK in 'EU-lidstaten gaan akkoord met wet voor 'vrijwillig' scannen van chatberichten') blijkt met de recente updates dat die analyse helaas volledig standhoudt. Het zogenaamde “vrijwillige” karakter van dit huidige voorstel is vooral een juridisch en politiek rookgordijn want wie de Raadstekst daadwerkelijk leest, ziet dat de structuur van de eerdere CSAM-verordening intact is gebleven. De kern zit opnieuw in "alle redelijke maatregelen" binnen het risicobeheermodel.

In EU-recht betekent dat simpelweg dat aanbieders maatregelen moeten nemen die proportioneel zijn aan het vastgestelde risico. En omdat de categorie "hoog risico" vrijwel alle moderne communicatiediensten omvat (berichten, foto’s, video, voice, livestreams), blijft de uitkomst identiek aan eerdere voorstellen: risicobeperking = detectie, want beschermen van kinderen......

Formeel wordt scanning "vrijwillig" maar aanbieders mogen gebruikers weigeren als zij de niet-gescande versie niet veilig kunnen aanbieden. Dat is exact dezelfde constructie als bij cookiewalls: op papier keuzevrijheid maar in de praktijk uitsluiting. Vrijwillig is hier slechts vrijwillig zolang je bereid bent de dienst niet meer te gebruiken. De bewering dat end-to-end encryptie niet wordt verzwakt is juridisch leeg zolang client-side scanning expliciet open blijft staan. Encryptie blijft dan alleen intact omdat de analyse voor versleuteling plaatsvindt. Functioneel is dat gelijk aan een backdoor. Apple trok ditzelfde mechanisme in 2021 terug na zwaar technisch en academisch bezwaar. Daarbovenop komt detectie van onbekend materiaal dat patroonherkenning met hoge foutmarges vereist. En dat leidt weer tot onvermijdelijk tot grote aantallen false positives en onterechte meldingen. Tegelijk wordt metadata expliciet betrokken bij risicobeperking want wie met wie praat, wanneer en hoe vaak. Met die gegevens zijn volledige sociale netwerken te reconstrueren, iets wat de Commissie zelf erkent in haar risk-mitigationdocumenten.

Voor privacygerichte diensten zoals Signal, Threema en Proton is dit fundamenteel onverenigbaar met hun architectuur want je kunt niet tegelijk geen toegang tot inhoud hebben en verplicht zijn om inhoud vooraf te beoordelen. De keuze wordt dan of principes breken of de EU verlaten.

Politiek past dit in een bekend patroon: voorstellen vlak voor een stemming intrekken, cosmetisch aanpassen en opnieuw indienen waardoor het Overton-venster stap voor stap opschuift richting normalisering van massasurveillance. Met het aflopen van de tijdelijke regeling in april 2026, het einde van het Deense voorzitterschap eind 2025 en de overdracht aan Polen, wordt de ruimte om af te zwakken alleen maar kleiner.

Kortom: dit is geen compromis meer maar het is dezelfde CSAM-wet in andere woorden met een "vrijwillige" saus eroverheen. De juridische verplichtingen blijven overeind via brede risicocategorieën, indirecte scanplicht, client-side scanning en metadata-analyse. De uitkomst blijft brede monitoring van privecommunicatie, ongeacht de verpakking.

En tja op deze manier wordt 1984 van George Orwell toch geen fictie maar een beleidsrichting die wat langer nodig had om werkelijkheid te worden. En altijd onder het mom van "kinderen beschermen". Maar als dat werkelijk het doel was, waarom stelt niemand dan voor om alle servers in de EU te laten scannen, toch? Dat gebeurt namelijk nergens. Alleen bij burgers.

Het zou tweakers ook sieren om zulke stukken kritisch onder de loep te leggen.....

[kdekker]

Wellicht een aanrader: lees het boek van Edward Snowden 'Onuitwisbaar'.

Samenvattend: na 9/11 hebben de Amerikaanse geheime diensten (al onder Obama) zoveel bevoegdheden gekregen, dat ze effectief iedere burger wereldwijd kunnen volgen, die ook maar iets doet met servers, waarvan via de Patriot Act voor/door de Amerikaanse overheid de meta gegevens zijn op te vragen. Aangezien zo'n beetje iedereen linksom of rechtsom met Amazon, Google, Meta of Microsoft iets doet (Signal is ook VS) kan de VS (bijna) overal bij en omdat jezelf bijna geen invloed hebt op de meta data hebt (mail, GSM, WhatsApp, een ping van een app die iets opvraagt van een VS server), kunnen ze dus bijna per seconde over de tijd waarvan ze gegevens hebben (jaren) een profiel van een persoon reconstrueren. Indirect kan dus een Europese geheime dienst via de VS ook bij die meta gegevens. Die gevens zijn voor inlichtingendiensten interessanter dan de inhoud van je bericht. En kern van Snowden's verhaal is dat waar voorheen een justitiele toetsing nodig was om uberhaupt iemand te mogen volgen, is nu in het kader van 'nie wieder van 9/11' die toestemming niet meer nodig. Snowden zegt dat er effectief geen van de 3 uit de Trias politica in staat is (of geen behoefte heeft) om die toetsing af te dwingen. Kortom: waar wetten de burger zouden moeten beschermen tegen een al te inhalige overheid (voor informatie), is die bescherming weg. De kans dat de overheid iets compromitterends vindt over een burger is op deze manier groot (zelfs al is het geen strafbaar feit, met de plaatjes die prive in Google Drive op Meta's servers staan, ben je mogelijk al chantabel).

Nu gaan we in het kader van misbruik ook maar de inhoud van een bericht controleren. Als het technisch mogelijk is om inhoud van data te controleren (via backdoor of wat dan ook), dan kun je ervaan uitgaan dat dit gebruikt gaat worden. Of door de overheid of door criminelen. Hoe erg kindermisbruik ook is, lijkt me dit middel in principe alleen als allerlaatste optie te mogen, met alle mogelijke juridische borging er om heen. Dat kan pas als bijv. in beslagname van computers etc geen informatie oplevert en er wel een onderbouwde verdenking is en de maatregel proportioneel is.

Overigens: de overheid heeft al op zoveel plekken camera's staan, idem allerlei prive instanties in de buurt van de openbare weg, dat de gemiddelde burger geen idee heeft waar privacy gevoelige informatie opgeslagen is. Praktisch punt is dat er eigenlijk geen uniforme definitie van privacy is, en iedereen daar een beetje een eigen idee/gevoel/beeld bij heeft.

De richting waar dit opgaat is er een waar je een hoop scepsis bij mag hebben.

[NEK]

🙏

[kayjay]

Is het weer eens van dat? Dit komt elke x-aantal maanden terug lijkt het wel.

[ironx]

Brainwashing. Net zolang iets blijven roepen tot mensen het maar gaan geloven/accepteren.

[Eren]

Dit is ook hoe de Europese Unie werkt. Als mensen niet tevreden zijn, trek je de aanvraag terug voordat er tegen wordt gestemd. Vervolgens pas je het voorstel een beetje aan en ga je in de maanden daarna langs om te lobbyen. Je zegt dan bijvoorbeeld tegen politici: ‘Mensen zoals jij worden uitgezonderd, dus je hoeft niet bang te zijn.’ En je benadrukt dat het misschien één kind helpt of iets dergelijks of je lobbyt met geld.

Dit met behulp van Thorn gaat het wel op een dag lukken ben ik bang.

[roelboel]

Maar als je kritiek hebt op hoe de EUwerkt ben je een wappie, extreem rechts of in de fabeltjesfuik getrapt. Of een combinatie van dat.

[AOC]

zo zijn er al heel veel mensen, tradities en vrijheden gesneuveld. Herhaal een leugen tot het waardheid is

[HanG-BuiK-ZwijN]

Een loper voor iedere voordeur in Belgie en Nederland ter bestrijding van KP en Terrorrisme is instant ook in handen van criminelen. Alsof een crimineel die apps nog gaat gebruiken.

[Caelorum]

Alsof je het scannen niet op het device zelf kan doen, zowel ontvangend als versturend, in plaats van bij de tussenliggende partij..

[Mortov Molotov]

Alsof je de inhoud van je te versturen en ontvangen brieven niet thuis in zo'n verplicht aan te schaffen scanner kan proppen 🤷🏻‍♂️

[Zerixos]

Nogsteeds vraag ik me af of client-side-scanning de oplossing is. Ook deze informatie moet ergens heen toch? In het beste geval word iedere afbeelding gehashed en enkel de hash gedeeld, maar dan word er alleen een "hit" herkent bij een overeenkomst. De bronnen moeten ook ergens vandaag komen. Nog los van de extra overhead die apperaten nodig hebben om dit te gaan doen. Denk aan OCR en AI van afbeeldingen en dergelijke.

[er0mess]

Stasi, kom er maar in

[roelboel]

Ik denk dat mensen je naar beneden modden omdat de ambitie van de oorspronkelijke versie van Chat Control vele malen groter is dan dat van de Stasi.

[DanielRD]

Elke paar weken komt dit weer naar voren, en in mijn opinie moet hier veel meer licht op geschenen worden, zodat ook de mensen die "niets te verbergen hebben" en de mensen die niet digitaal aangelegd zijn ook de consequenties hiervan zullen begrijpen. Hiermee ondermijnen ze het principe van 'Privacy by Design'.

Het dwingt platformen dus zeker wel om softwarematige onveiligheden te introduceren op de apparaten van eindgebruikers om encryptie voor te zijn, waarmee encryptie dus totaal waardeloos wordt. Hiermee wordt de digitale integriteit van miljoenen burgers opgeofferd voor een schijnveiligheid.

Een akkoord in juni gaat dus een zwarte dag worden voor de Europese tech-sector en onze fundamentele rechten.

[lenwar]

Er moet ook veel meer licht geschenen worden over 'hoe' het gedaan moet worden.

In het geval van bepaalde chat-protocollen zoals Signal, dat door WA gebruikt wordt, zijn er ook prima methoden om de versleuteling niet te breken, en dat toch alles 'gevolgd' kan worden. (door van ieder gesprek, transparant een groepsgesprek te maken, met een scannende derde partij.) Ik zeg nadrukkelijk niet dat ik dit als een wenselijk iets vind, maar het kan wel.

Als er gescand wordt aan de client-kant (waar de berichten lokaal toch al ontsleuteld zijn (anders kunnen wij het ook niet lezen )), dan is het wat mij betreft, onder bepaalde voorwaarden, mogelijk oké. Komt er een hashlijst met bekende beelden, of worden beelden actief gescand mbv beeldherkenning? Enzovoorts.

Het ligt natuurlijk ook aan de opvolging ervan. Worden 'verkeerde beelden' alleen geblokkeerd, or wordt er gelijk een seintje naar de politie gestuurd.

waarmee encryptie dus totaal waardeloos wordt.

Dit is per definitie niet waar. Althans. Niet in zo'n kort statement. De versleuteling voorkomt nog steeds dat malafide derden erbij kunnen. Het ligt puur aan de implementatie of de mate waarin dit handen en voeten krijgen, of de versleuteling nutteloos is geworden.

[kozue]

Die mensen die "niets te verbergen hebben" gaan gewoon door met wat ze altijd al deden hoor. Na al die jaren is Whatsapp hier nog steeds het meest gebruikte chatprogramma, terwijl Meta wel de laatste partij is die je met je data kunt vertrouwen (samen met Google). Of ze gaan er naïef vanuit dat "E2EE" betekent dat de maker van de software niet mee kan kijken . Als het Ome Piet wat zou interesseren, had Whatsapp al niet meer bestaan.

[MSalters]

Beetje onzinnig artikel zo. Het Europees Parlement is een integraal onderdeel van de EU. Dus "EU wil akkoord met Europees Parlement" is eigenlijk "EU wil akkoord met zichzelf".

Ik vermoed dat het de Europese Raad is die iets wil van het Europees Parlement. Dat zijn nationale ministers.

Ik ga ook niet mee in de "alsnog verplicht" logica. Alweer is dat een teken van onbekendheid met de EU. In Europese wetgeving is elk wetsvoorstel voorzien van een motivatie, en die dient als primaire bron. Officiële motivatie waarom iets vrijwillig is gaat daarom boven speculatie dat iets verplicht zou zijn.

[Autisme_tech]

Dan is het een kwestie van tijd straks dat hackers de achterdeur openen op ieder toestel in Europa

[Ben5050]

Dit moeten we gewoon niet willen...

Dit Vraag gewoon om slippery slope..

[rookie no. 1]

Hopelijk, echt ik hoop het van harte, dat de beleidsmakers niet in deze val gaan lopen. Deze wetgeving gaat een heleboel mensen uitsluiten en in de malle molen van bureaucratie en langdurige justitiële trajecten terecht brengen. Afgezien van de onnodige drama die dat met zich meebrengt voor (grote aantallen) individuen, kost dit hele proces ook weer een fortuin aan arbeid en materiaal. Geld over de balk smijten aan (waarschijnlijk weer bigtech en kornuten) ten koste van het recht op een enigszins vrij en onbezonnen leven (recht op privacy is niet voor niets een belangrijk goed).