EU-chatcontrole: 'vrijwillig' scannen dreigt toch verplicht te worden

Haken en ogen aan het aangepaste voorstel voor Europese chatcontrole

Onlangs werd het voorstel voor chatcontrole in de Europese Unie aangepast, waarna meer EU-landen steun uitspraken voor deze omstreden regelgeving die al jaren in de maak is. Het aangepaste voorstel schrapt de omstreden verplichting voor het scannen van chatcommunicatie. Dit lijkt een overwinning voor privacyvoorstanders, maar van een totale victorie is geen sprake. Backdoors en massasurveillance liggen volgens critici nog steeds op de loer.

De saga over chatcontrole loopt nu al vele jaren. Deze beoogde regelgeving voor de Europese Unie moet politie en Justitie beter in staat stellen om privécommunicatie van burgers te scannen op illegale inhoud. Concreet gaat het hierbij om kindermisbruikmateriaal. Het aanpakken van dat gevoelige onderwerp kan rekenen op brede bijval en steun. Toch sleept het realisatieproces zich voort rond de Verordening ter voorkoming en bestrijding van seksueel misbruik van kinderen.

Het is 0 óf 1

De voorgestelde controle van chatberichten stuit namelijk op privacyzorgen en de harde, wiskundige realiteit van end-to-endencryptie. In de praktijk is versleuteling namelijk volledig en dus veilig, of onvolledig en dus onveilig. Het is een binaire kwestie: 0 óf 1. Een achterdeur ondermijnt versleuteling, óók als dat een achterdeur is voor alleen legitieme en breed gedragen doeleinden zoals de bestrijding van kindermisbruikmateriaal. Het bestaan van een backdoor betekent immers dat er een zwakke plek is.

NSA Grote cybersecurityincidenten van de afgelopen jaren tonen al aan dat backdoors in software in verkeerde handen kunnen vallen. Bijna tien jaar terug wist de hackersgroep Shadow Brokers cyberwapens van de Amerikaanse geheime dienst NSA te stelen. Daarbij werden banden met Rusland vermoed, maar ook China zou betrokken zijn geweest.

In 2024 bleek de Chinese hackersgroep Salt Typhoon al vele maanden binnen te zijn bij Amerikaanse telecombedrijven en langs die weg telecomgebruikers gericht te bespioneren. Deze omvangrijke telecomhack was mogelijk dankzij een FBI-backdoor die de Amerikaanse overheid sinds 1994 verplicht stelt.

Zwakke plek = zwakke plek

Het ging bij deze grote hacks niet altijd om letterlijke backdoors in ict-producten. Soms was informatie over voorheen onbekende kwetsbaarheden buitgemaakt en gebruikt. Soms was kant-en-klare exploitcode gestolen en ingezet. Vanuit cybersecurityoogpunt bekeken, zijn dit slechts nuances. Een zwakke plek is simpelweg een zwakke plek, en een backdoor valt daar ook onder.

Digitaleburgerrechtenorganisaties zoals de Electronic Frontier Foundation en Bits of Freedom stellen dan ook al jaren dat er geen backdoor bestaat die alleen 'voor de goeden' is. Achterdeuren blijven je achtervolgen, schreef privacyexpert Rejo Zenger tien jaar terug. Ook toen was dit geen nieuw inzicht, maar wel weer de moeite van het herhalen waard. Net zoals nu, met een aangepast voorstel voor chatcontrole op tafel.

Officieel is in het nieuwe voorstel de verplichting geschrapt voor het scannen van chatcommunicatie − en daarmee het breken van de versleuteling van dat berichtenverkeer. Het schrappen van verplichte controle op chatconversaties lijkt een overwinning voor privacy en beveiliging. Toch kraaien privacyvoorvechters en securityexperts nu geen victorie. De duivel zit namelijk in de details.

Vrijwillig verplicht

Het scannen van chatberichten is in het aangepaste voorstel weliswaar een vrijwillige optie voor aanbieders en facilitators van communicatiediensten. Tegelijkertijd legt de nieuwe tekst bedrijven de verplichting op om risico's rond kindermisbruikmateriaal in te perken.

In artikel 4 van het nieuwe voorstel staat dat hostingproviders en aanbieders van communicatiediensten 'alle redelijke maatregelen' moeten nemen voor risicobeperking wanneer zij een risico zien dat hun diensten worden gebruikt voor onlineactiviteiten rond kindermisbruik. "De risicobeperkende maatregelen worden, waar mogelijk, beperkt tot een identificeerbaar onderdeel van de dienst, of tot specifieke gebruikers of specifieke groepen of typen gebruikers, zonder dat dit afbreuk doet aan de effectiviteit van de maatregel", aldus het aangepaste voorstel.

CSAM-scanning

Deze formulering is door termen als 'waar mogelijk' en 'groepen of typen gebruikers' zeer breed. De Belgische privacyexpert en -activist Matthias Dobbelaere-Welvaert is tegenover De Morgen kritisch op deze 'vage formulering'. Verder valt het vrijwillige scannen te beschouwen als een redelijke maatregel die via de taak van risicobeperking de facto verplicht is. Dit wordt ook zo gesteld in amendement C van het aangepaste voorstel.

De verplichte maatregelen voor risicobeperking zouden de vrijwillige aard van het scannen in feite ongedaan maken. Critici zoals voormalig Europarlementariër Patrick Breyer van de Piratenpartij concluderen dat dit alsnog een vorm van verplicht scannen betekent. De Duitse digitalerechtenexpert spreekt dan ook van 'een politieke goocheltruc'.

Bovendien kan de EU alsnog een detectieverplichting opleggen aan diensten die volgens de Europese regelgeving een 'hoog risico' op kindermisbruikmateriaal hebben. Directe, realtime communicatie zoals livestreaming en messaging wordt in het voorstel aangemerkt als activiteiten met het hoogste risico. Het posten en delen van multimediacontent zijn ook activiteiten met een hoog risico. Aanbieders van diensten die in deze risicocategorie vallen, kunnen verplicht worden om maatregelen te nemen 'om relevante technologieën te ontwikkelen' voor risicobeperking rond kindermisbruikmateriaal.

De schaduw van client-side scanning

Lichtpunt is wel dat het breken van end-to-endencryptie niet meer op tafel ligt. Het aangepaste voorstel noemt expliciet dat niets in de verordening 'mag worden geïnterpreteerd als een verbod, verzwakking of omzeiling, een verplichting tot uitschakeling, of het onmogelijk maken van end-to-endencryptie'.

"Aanbieders moeten vrij blijven diensten aan te bieden die end-to-endencryptie gebruiken en mogen door deze verordening niet worden verplicht om gegevens te decoderen of toegang te creëren tot end-to-end versleutelde gegevens", aldus het voorstel. Daarmee is het eerder geopperde alternatief van scannen op apparaten van alle gebruikers er nog wel. Dat client-side scanning gebeurt dan voordat er encryptie wordt toegepast, dus vormt het technisch gezien geen backdoor voor versleuteling.

Critici hebben echter nog andere zorgen. Zo speelt de vrees voor valspositieven en de schaduw van constante overheidssurveillance. De enorme hoeveelheden berichten, foto's, video's en andere data die mensen digitaal delen, zorgen voor een groot risico op onterechte detectie van kindermisbruikmateriaal. Bovendien omvat het voorstel ook nog de formulering dat het niet alleen gaat om eerder gedetecteerd en bevestigd kindermisbruikmateriaal, maar ook om voorheen onbekend materiaal dat nog niet als kindermisbruikmateriaal is bevestigd. Deze toekomstgerichte formulering kan het scannen compliceren en de kans op valspositieven verhogen.

Beeld, chats en metadata

Zelfs als dat risico meevalt, is er nog het gevaar dat deze brede controle een beklemmend effect kan hebben op mensen, hun communicatie en daarmee de samenleving. Breyer waarschuwt dan ook dat chatcontrole een totalitair systeem voor massasurveillance inhoudt. Hij stelt dat het nieuwe compromis verder gaat dan een eerder afgewezen voorstel: van AI-aangedreven monitoring van gedeelde bestanden naar volledige scanning van ook privéberichten en metadata. De Belgische encryptiespecialist Bart Preneel van de KU Leuven stipt deze uitbreiding ook aan tegen De Morgen.

Het aangepaste voorstel voor chatcontrole moet nog meerdere Europese hindernissen nemen voordat het echt regelgeving kan worden. Zo moet het Europees Parlement op basis van dit voorstel nog een mandaat geven en moet het Comité van Permanente Vertegenwoordigers steun uitspreken. Ondertussen tikt de klok, want er spelen enkele deadlines mee.

December 2025, april 2026

Zo loopt in april 2026 de verlenging van de tijdelijke Europese regels voor het scannen van content af. Verder loopt het Deense voorzitterschap voor de Raad van de Europese Unie in december 2025 af, waarna Polen dat stokje overneemt. Het is nog de vraag hoe chatcontrole wordt aangepakt door dat Oost-Europese land, dat de afgelopen acht jaar een rechtse regering had en sinds juni een nieuwe rechtse president heeft die Brussel wantrouwt. Gaat de gevreesde backdoor via de achterdeur alsnog bij Europese gebruikers komen? De saga over chatcontrole is nog niet voorbij.

EU Europese Commissie pakketjes doos

_{Redactie: Jasper Bakker • Eindredactie: Monique van den Boomen}

IT-banen

Reacties (274)

274

264

138

103

Wijzig sortering

NEK

Europese unie

20 november 2025 14:19

Het nieuwe voorstel wordt verkocht als een compromis omdat de verplichte chatcontrole eruit gehaald zou zijn, maar dat is vooral een cosmetisch trucje. In de praktijk verandert er vrijwel niets. De fuik zit 'm in de formule "alle redelijke maatregelen".

Dat klinkt netjes, maar juridisch werkt het als volgt: risicobeperking betekent scannen, scannen heet "vrijwillig", maar wie niet scant, neemt per definitie geen redelijke maatregel, voldoet niet aan de wet en overtredt dus alsnog de regels. Vrijwillig is alleen vrijwillig als je bereid bent onwettig te zijn. Dat is geen compromis, dat is dezelfde wet in andere woorden.

Daarbij zijn de risicocategorieën zoooo breed dat praktisch elke communicatiedienst automatisch als "hoog risico" kan worden bestempeld: berichten, livestreams, foto’s, video’s, alles valt erin. In die categorie kunnen aanbieders worden verplicht om detectietechnologie te ontwikkelen en toe te passen. Dat is gewoon een scanverplichting, alleen verpakt in beleidsjargon. De tekst benadrukt dat end-to-end encryptie niet mag worden verzwakt, maar dat zegt weinig zolang client-side scanning volledig open blijft staan. Als een telefoon alle content al analyseert voordat encryptie wordt toegepast, blijft de versleuteling technisch intact maar functioneel waardeloos. Dat was exact de reden waarom Apple in 2021 hun CSAM-plannen moest intrekken.

Het voorstel maakt het nog erger door niet alleen bekende hashes te willen detecteren maar ook "onbekend nieuw materiaal". Dat betekent algoritmes die moeten raden wat "mogelijk verdacht" is, met een gigantische foutmarge, een bak aan valspositieven en dus heel veel onterechte meldingen en onderzoeken. Hoe meer je naar onbekend zoekt, hoe meer fouten je krijgt. Tegelijkertijd strekt de maatregel zich uit naar metadata dus wie met wie praat, wanneer, hoe vaak, via welk apparaat. Met alleen die gegevens kun je iemands volledige sociale netwerk en gedrag reconstrueren. Dat is minstens zo invasief als het lezen van inhoud.

Voor privacygerichte diensten zoals Signal, Threema en Proton is dit simpelweg onwerkbaar. Zij kunnen niet en privacy-first blijven en voldoen aan deze verplichtingen. De keuze wordt dan: je principes breken, of Europa verlaten. Beide zijn slechte uitkomsten voor burgers die afhankelijk zijn van veilige communicatie.

De politieke context maakt het nog frustrerender. In Nederland zijn er genoeg partijen die hier wel vol tegenin gaan, zoals GL/PvDA, D66, Volt, SP, PvdD, NSC, Piratenpartij, LP, FVD en BVNL. Maar er zijn er ook die structureel ruimte laten voor dit soort voorstellen, zoals VVD, ChristenUnie, 50PLUS, BBB en ook CDA, dat zich er graag onderuit probeert te draaien maar uiteindelijk gewoon in deze richting meestemt. Ondertussen blijft een stevige lobby vanuit onder andere Thorn jaar na jaar duwen om deze scaninfrastructuur in Europese wetgeving te krijgen. Dat verklaart ook het politieke spelletje: voorstellen steeds net voor een stemming intrekken om ze daarna in een andere vorm weer in te dienen, zodat het Overton-venster stapje voor stapje opschuift richting normalisering van massasurveillance.

En dan de tijdslijnen: de tijdelijke EU-regeling loopt af in april 2026, het Deense voorzitterschap eindigt december 2025 en daarna neemt Polen het over, een land dat bekend staat om hard law-and-order beleid en weinig affiniteit met privacy. De kans dat dit voorstel daar nog verder wordt aangescherpt is groot.

Alles bij elkaar is de conclusie simpel: dit is geen compromis maar een rookgordijn. De kern van de wet blijft volledig overeind via indirecte verplichtingen, brede risicocategorieën, client-side scanning, metadata-analyse en detectie van onbekend materiaal. Dit leidt gewoon tot brede monitoring van privecommunicatie. Cosmetisch aangepast, inhoudelijk onveranderd.