Het Europese wetsvoorstel om privécommunicatie te scannen op illegale inhoud is kort voor het geplande stemmoment dinsdag van de agenda gehaald. Het voorstel werd ruim drie jaar geleden ingediend; hoewel de EU-lidstaten meermaals op een akkoord leek af te stevenen, is dat tot dusver niet gelukt.
Ook deze keer werd er geen akkoord bereikt, hoewel lidstaten die eerder tegen 'chatcontrole' waren, zoals de voorgestelde Verordening ter voorkoming en bestrijding van seksueel misbruik van kinderen veelvuldig door critici wordt genoemd, ditmaal toch bereid leken om tot een compromis te komen. Vermoedelijk is dit dan ook niet de laatste keer dat chatcontrole ter sprake komt. Waarom keert dit wetsvoorstel zo vaak terug?
Wat is chatcontrole?
In 2022 schreef Tweakers al een uitgebreid achtergrondverhaal over wat chatcontrole precies inhoudt. Kort samengevat stelde de Europese Commissie in dat jaar de Verordening ter voorkoming en bestrijding van seksueel misbruik van kinderen voor. Daarmee kan de EU chatdiensten verplichten om te controleren of gebruikers beelden van kindermisbruik versturen. Als geautomatiseerde tools vermoeden dat iemand dergelijk materiaal deelt, wordt dit ter controle naar het nieuwe EU-centrum ter voorkoming en bestrijding van seksueel misbruik van kinderen gestuurd. Oordeelt dit centrum dat het waarschijnlijk om kindermisbruikmateriaal gaat, dan ontvangt Europol of de nationale politie de gegevens van de afzender.
Momenteel gebeurt het detecteren van illegaal materiaal op vrijwillige basis. Dat is mogelijk onder de tijdelijke EU-verordening 2021/1232, die toestaat dat bedrijven bepaalde technologie inzetten om kindermisbruikmateriaal op hun platforms te herkennen. Deze verordening maakt een uitzondering op de e-privacyregels mogelijk, die dit eigenlijk niet toestaan. De tijdelijke verordening zou aflopen in augustus 2024, maar die deadline is inmiddels verschoven naar april 2026.
Volgens de Commissie is controle op kindermisbruikmateriaal (csam) noodzakelijk, omdat het aantal gevallen de afgelopen jaren groeit. De Internet Watch Foundation beweert dat 62 procent van alle csam op Europese servers staat, terwijl dat in 2023 nog 51 procent was. De organisatie roept de EU dan ook op om de verordening zo snel mogelijk aan te nemen.
Tegelijkertijd klinkt er ook al lange tijd veel kritiek. Sinds 2022 hebben honderden Europese burgerrechtenorganisaties en wetenschappers zich uitgesproken tegen chatcontrole. Voormalig Europarlementariër Patrick Breyer van de Piratenpartij levert ook al jaren een felle strijd tegen het voorstel, dat hij een 'totalitair bewakingssysteem' noemt 'dat geen gelijke kent in de vrije wereld'. Naast zorgen over privacy wijzen critici erop dat het scannen van chatberichten niet effectief is om kindermisbruik te bestrijden. Door het grote aantal verstuurde berichten zouden veel valspositieve resultaten ontstaan. De Duitse politie heeft al aangegeven dat dit waarschijnlijk een hoop menskracht kost.
Voorstel op voorstel
Ten tijde van ons vorige achtergrondverhaal had de EC het wetsvoorstel voor chatcontrole ingediend, maar de verdere verloop van het wetgevingstraject was nog onduidelijk. Het Europees Parlement en de lidstaten in de vorm van de Raad van de Europese Unie moesten zich er namelijk nog over buigen.
In 2024 leek het er voor het eerst op alsof de Raad over het voorstel zou gaan stemmen, nadat België voorzitter werd van de Raad. Dat voorzitterschap rouleert iedere zes maanden en de voorzitter mag bepalen welke hoofdthema's de EU-lidstaten de komende tijd behandelen. België zette een gewijzigde versie van het chatcontrolevoorstel op de agenda, maar na maandenlang overleg werd een geplande stemming uitgesteld vanwege onvoldoende steun. Hongarije, dat het voorzittersstokje van België overnam, waagde kort daarna weer een poging, maar er was wederom een blokkerende minderheid.
Ook Polen, vanaf januari 2025 voorzitter van de Raad, kwam met een aangepaste versie van de chatcontrolewet, maar ditmaal werd voor een andere strategie gekozen: het land schrapte de verplichting voor informatiediensten om privécommunicatie te scannen. In plaats daarvan kregen diensten de mogelijkheid om 'vrijwillige maatregelen' te nemen. Daarmee lijkt deze versie van de wet op een permanente versie van de tijdelijke verordening, die in 2026 afloopt. Voor zestien lidstaten ging dit voorstel echter niet ver genoeg. Zo liet Italië weten dat dit voorstel de 'oorspronkelijke doelstelling' mist, omdat internetdiensten nu alsnog 'kunnen doen wat ze willen'. Ook Frankrijk 'betreurt' dat de verplichting tot scannen uit de wet is geschrapt.
Beurt aan de Denen
De reden dat chatcontrole de afgelopen maanden weer volop in de belangstelling staat, is te danken aan de Denen. Vanaf 1 juli dit jaar mag Denemarken als voorzitter van de Raad van de EU een half jaar lang bepalen welke grote thema's de EU-lidstaten de komende tijd behandelen. De invoering van chatcontrole werd door het land meteen als topprioriteit gekozen. Sterker nog: op de eerste dag van het voorzitterschap presenteerde Denemarken al een nieuw compromisvoorstel.
Dit voorstel lijkt meer op de versies van België en Hongarije en is dus strenger dan het Poolse voorstel. Wel is ook dit compromis een afgezwakte versie van het oorspronkelijke voorstel van de Commissie. Zo is het de bedoeling dat 'enkel' foto's, video's en URL's worden gescand en tekst- en audioberichten dus buiten schot blijven. In het oorspronkelijke voorstel was het de bedoeling dat alle vormen van online communicatie zouden worden gescand, zodat ook grooming, ofwel het online benaderen van kinderen, gedetecteerd kon worden. In het nieuwe voorstel staat expliciet dat scannen op bewijs van grooming vooralsnog is uitgesloten, al kan dat in de toekomst via een herzieningsclausule alsnog toegevoegd worden.
Een ander belangrijk verschil is dat het de bedoeling is dat berichten in end-to-end versleutelde diensten nu client-side worden gescand, dus op het apparaat zelf, voordat deze berichten worden verzonden en dus worden versleuteld. Dienstverleners moeten door de EU goedgekeurde software integreren waardoor dit mogelijk wordt. Daarbij worden afbeeldingen bijvoorbeeld via hashingtechnologie als PhotoDNA gescand en vergeleken met bekend kindermisbruikmateriaal. Apple stelde in 2021 al voor om met deze methode te scannen op csam, maar door kritiek heeft de iPhone-fabrikant de functionaliteit uiteindelijk nooit toegepast. Tweakers schreef in 2022 een achtergrondverhaal over hoe zulke detectietechnologie precies in zijn werk gaat. Tegelijkertijd staat in het voorstel dat ook er naast bekend, ook onbekend kindermisbruikmateriaal gedetecteerd moet worden, maar het is onduidelijk welke technologie daar precies voor wordt ingezet.
/i/2007832430.png?f=imagenormal)
Onder het gewijzigde voorstel worden communicatiediensten als WhatsApp, Signal en Gmail ingeschaald in risiconiveaus. Bij diensten die een 'hoog risico' hebben op de aanwezigheid van kindermisbruikmateriaal, mag de EC 'als laatste redmiddel' een detectiebevel uitvaardigen. Dat gebeurt volgens het voorstel alleen als de risicobeperkende maatregelen die deze diensten zelf hebben geïntegreerd, niet toereikend genoeg zijn. Diensten die zo'n bevel krijgen, moeten binnen twaalf maanden maatregelen treffen om ervoor te zorgen dat communicatie (al dan niet voorafgaand aan het verzenden) gescand kan worden. Eén detectiebevel mag maximaal 24 maanden duren. Na afloop mogen diensten de scantechnologie dus weer verwijderen.
In het oorspronkelijke voorstel van de Commissie hoefden alleen communicatie- en hostingdiensten te voldoen aan deze wet. Denemarken wil echter dat ook zoekmachines onder de verordening worden gezien als 'relevante informatiedienst' en, mits ze als hoog risico worden gezien, dus ook moeten voldoen aan detectiebevelen.
Overigens moeten gebruikers in de huidige versie van het voorstel ook expliciet toestemming geven voordat een end-to-end versleutelde hoogrisicodienst hun te verzenden foto's, video's en links mag scannen. Indien ze toestemming weigeren, zouden ze in de betreffende dienst niet langer visuele bestanden en URL's mogen versturen en ontvangen.
Als het compromisvoorstel zou zijn goedgekeurd, zou de tijdelijke verordening waardoor techbedrijven online communicatie mógen scannen, per direct met 72 maanden verlengd worden. De meeste regels zouden een jaar later in werking treden, terwijl de regels met betrekking tot de detectiebevelen pas na twee jaar zouden gelden.
Nog steeds veel weerstand, maar wel minder
/i/2007832678.png?f=imagenormal)
Opvallend was dat het nieuwe voorstel vanuit de lidstaten op veel minder kritiek kon rekenen dan de vorige iteraties. Lidstaten die zich in eerste instantie uitspraken tegen chatcontrole, zoals Frankrijk en Duitsland, waren nu vóór of op zijn minst onbeslist. Kort voor de geplande stemming op dinsdag 14 oktober liet Duitsland weten toch tegen het voorstel te stemmen, waarmee een blokkerende minderheid kon worden gevormd. Zulke minderheden ontstaan als vier lidstaten, die samen ten minste 35 procent van de EU-bevolking vertegenwoordigen, tegen het voorstel zijn. Tijdens de vergadering van de Commissie van Permanente Vertegenwoordigers op 8 oktober werd definitief duidelijk dat de EU-lidstaten geen consensus zouden bereiken over het voorstel.
Mogelijk hebben chatdiensten zelf invloed gehad op de veranderde standpunten van de lidstaten. Kort voor de stemming spraken zij zich fel uit tegen het voorstel. Zo liet WhatsApp in een reactie aan Netzpolitik weten dat het Deense voorstel 'ondanks beweringen van het tegendeel' end-to-endencryptie ondermijnt 'en ieders privacy, vrijheid en digitale veiligheid in gevaar brengt'. Threema noemt het voorstel tegenover de Duitse nieuwssite 'massasurveillance' en zegt dat het online mogelijk moet zijn om vertrouwelijke gesprekken te voeren. Signal dreigde zelfs dat de Europese markt te verlaten als de EU chatcontrole invoert.
Zelfs als de Raad overeenstemming had bereikt over het wetsvoorstel, was het nog lang niet zeker dat de wet daadwerkelijk zou worden ingevoerd. Zo'n voorstel moet ook nog door het Europese Parlement worden goedgekeurd. Deze instantie is geen voorstander van een wet die chatberichten van alle gebruikers scant. Het Parlement kwam in 2023 met een onderhandelingsmandaat, waarin werd voorgesteld om het scannen enkel in te zetten bij specifieke personen die al aan csam worden gelinkt. Diensten met end-to-endversleuteling moeten volgens dat mandaat geheel buiten spel worden gehouden.
Onkruid vergaat niet
Hoewel chatberichten vooralsnog niet worden gescand, is uit dit nieuwe voorstel duidelijk geworden dat het merendeel van de lidstaten openstaat voor een vorm van controle op online communicatie om kindermisbruikmateriaal tegen te gaan. Op basis van uitgelekte documenten van een vergadering op 12 september tussen EU-lidstaten waren er maar vijf landen die meteen aangaven het wetsvoorstel niet te steunen: Nederland, Luxemburg, Polen, Oostenrijk en Tsjechië. Tien landen gaven destijds aan dat er een grote kans was dat ze het voorstel zouden steunen en de rest van de lidstaten maakte geen keus.
Er was dus bijna voldoende steun voor het Deense voorstel. De kans is dan ook groot dat het hier niet bij zal blijven. Zolang de Europese Commissie zijn wetsvoorstel niet intrekt, is het wachten tot het onderwerp weer op de agenda verschijnt. Dat zou zelfs dit jaar nog kunnen: Denemarken heeft nog tot en met 31 december de tijd om de twijfelende lidstaten aan boord te krijgen. Ook de opvolgers van Denemarken laten het onderwerp vermoedelijk niet rusten. De drie landen aan wie Denemarken het voorzittersstokje vanaf 2026 overdraagt, Cyprus, Ierland en Litouwen, zijn allemaal voorstander van chatcontrole.
Redactie: Kevin Krikhaar • Eindredactie: Marger Verschuur