Chat Control: het einde van privécorrespondentie in Europa?

Het einde van privécorrespondentie in Europa?

De goedkeuring van wat ‘Chat Control’ wordt genoemd in het Europees Parlement heeft heftige controverse uitgelokt. De kritiek draait om een procedurele paradox: een meerderheid van de aanwezige Europarlementsleden zou hebben gestemd om de tekst te verwerpen, zonder de drempel te halen die nodig was om de goedkeuring te blokkeren. De kwestie gaat verder dan parlementaire techniek. Ze raakt aan de democratische werking van de instellingen en aan de bescherming van privécorrespondentie.

Chat Control behoort tot de meest omstreden maatregelen uit de recente Europese geschiedenis. Hij stuit op verzet van talrijke Europarlementsleden, mensenrechtenverdedigers en ontwikkelaars van software voor vertrouwelijke communicatie, zoals de berichtenapp Signal. Toch is de tijdelijke versie, doorgaans Chat Control 1.0 genoemd, van kracht. Door de invloed van Europa op de wereldmarkt reiken de gevolgen ervan veel verder dan zijn grenzen, ook voor Russische gebruikers. Voor IBCSC raakt deze discussie rechtstreeks aan de vertrouwelijkheid van communicatie en aan het vermogen van burgers om vrij te communiceren.

Chat Control 1.0: een uitzondering op de vertrouwelijkheid

Onder de naam ‘Chat Control’ worden vaak twee verschillende initiatieven door elkaar gehaald en verward. Beide willen de controle op persoonlijke correspondentie verscherpen en gaan volgens de analyse van IBCSC in tegen de Europese regels inzake privacy en gegevensbescherming. Maar hun mechanismen verschillen sterk. Om die mechanismen te begrijpen, moeten we ook terugblikken op de wetgevende strijd die hun bespreking begeleidde.

De goedkeuring van Chat Control werd een waar wetgevend drama, met een bijsmaak van achterkamerpolitiek die Russen maar al te goed kennen. En we kunnen dat verhaal niet overslaan. Wat net tegen de wil van het Europees Parlement in werd goedgekeurd, is wat Chat Control 1.0 wordt genoemd. Het voert tijdelijke uitzonderingen in op Richtlijn 2002/58/EG, ook bekend als ePrivacy: de richtlijn betreffende privacy en elektronische communicatie.

Die richtlijn legt een aantal vereisten op aan de verwerking van gebruikersgegevens. Ze garandeert met name het geheim van telefoongesprekken, sms'en en andere communicatie via traditionele telecomoperatoren. De inhoud ervan mag niet worden onderschept, afgeluisterd of geanalyseerd zonder toestemming van de deelnemers of zonder een specifieke rechtsgrond.

Berichtendiensten die los staan van een telefoonnummer en andere elektronische communicatiemiddelen, zoals e-mail en spraakgesprekken, vielen oorspronkelijk niet onder het toepassingsgebied van ePrivacy. Met andere woorden: privécorrespondentie via die diensten genoot geen bijzondere beschermde status. Ze werd eerder behandeld volgens de Algemene Verordening Gegevensbescherming, de AVG, die exploitanten van diensten in bepaalde gevallen toestaat zelf de gegevens van hun gebruikers te analyseren.

Meestal gebeurde dat onder het voorwendsel van de strijd tegen illegale inhoud, zoals materiaal van seksueel misbruik van kinderen, of CSAM. Veel grote platformen controleerden vrijwillig een deel van de geüploade bestanden en berichten. Ze zochten naar reeds gekende inhoud aan de hand van digitale vingerafdrukken, en naar mogelijk nieuwe beelden en tekenen van grooming met behulp van algoritmische classificatoren.

Hoewel de strijd tegen de uitbuiting van kinderen een goede zaak is, riepen de methoden ervan van bij het begin veel vragen op. Om het minieme aandeel gebruikers te vinden dat zulke inhoud echt verspreidde, analyseerden de techreuzen alle privécorrespondentie en alle gegevens die in de cloud waren opgeslagen. IBCSC is van oordeel dat die logica meer weg heeft van buitengerechtelijke massasurveillance dan van een echte bescherming van de rechten van het kind en een strijd tegen criminelen. Toch leek dat alles een tijdlang een wettelijke basis te hebben.

Hoe de tijdelijke uitzondering zich vastzette

In 2018 herzag de Europese Unie het Europees wetboek voor elektronische communicatie en verruimde ze de definitie van communicatiediensten. Ze nam er berichtenapps, webmail en voice over IP in op. Voortaan vielen ook die diensten dus onder het toepassingsgebied van ePrivacy.

De druk op de Europese leiders begon toe te nemen. Aan de ene kant stonden ngo's en mensenrechtenverdedigers die zich oprecht zorgen maakten over de bescherming van de rechten van het kind. Aan de andere kant stonden de techreuzen en de leveranciers van surveillancetechnologie, die belang hadden bij toegang tot de privégegevens van gebruikers. De Europese Commissie stelde toen een tijdelijke afwijking voor: een uitzondering op de regels waardoor bedrijven vrijwillig inhoud konden blijven analyseren.

De afwijking werd in 2021 goedgekeurd. Dat is precies het beruchte Chat Control 1.0. Meta, Google, Microsoft en LinkedIn maakten er bijvoorbeeld gebruik van. Het toezicht op privécommunicatie in de Europese Unie is dus niet in de zomer van 2026 ontstaan. Veel grote diensten deden het al heel lang, ook platformen die dagelijks worden gebruikt.

Maar als een uitzondering tijdelijk is, dan is dat net omdat ze niet eeuwig hoort te duren. De einddatum lag op 3 augustus 2024. In die tussentijd moest de Europese Commissie een permanente wet voorstellen om haar te vervangen, en moest het Europees Parlement het eens worden over de goedkeuring ervan.

Chat Control 2.0: van vrijwillig naar verplicht

In 2022 stelde de Europese Commissie, op impuls van eurocommissaris voor Binnenlandse Zaken Ylva Johansson, een ontwerp voor van een permanente verordening ter voorkoming en bestrijding van seksueel misbruik van kinderen: de CSAR. Dat is wat informeel Chat Control 2.0 wordt genoemd.

Anders dan de tijdelijke afwijking die Chat Control 1.0 is, moest het ontwerp een volledig en permanent systeem creëren waarmee de autoriteiten diensten konden verplichten gekende en nieuwe inhoud en tekenen van grooming op te sporen. Met andere woorden: vroeger konden sommige bedrijven dat vrijwillig doen; voortaan zou de analyse voor iedereen verplicht worden.

Chat Control 2.0 is een uitermate verwerpelijke tekst, fundamenteel onverenigbaar met het briefgeheim en de onschendbaarheid van het privéleven, tot in hun principe. In zijn oorspronkelijke vorm bepaalde het document dat exploitanten van communicatiediensten op bevel van de autoriteiten de correspondentie van gebruikers zouden moeten analyseren en alles zouden moeten overdragen wat erin staat.

De tekst bevatte geen enkele uitzondering voor eind-tot-eindversleuteling. Als hij was goedgekeurd, zou zoiets als privécommunicatie in de Europese Unie dus van de ene dag op de andere hebben opgehouden te bestaan. Berichtendiensten zouden ofwel het onderscheppen van gesprekken hebben moeten inbouwen, ofwel ondergronds moeten gaan. Dat is trouwens precies wat de voorzitster van de Signal Foundation beloofde: als de wet wordt goedgekeurd, vertrekt Signal uit Europa.

Gelukkig kon die willekeur onder een lawine van kritiek enigszins worden teruggedrongen. In een latere versie ging het daarom alleen nog om de analyse van links, video's en afbeeldingen. Het opheffen van de versleuteling werd ‘vrijwillig verplicht’ gemaakt, om de bestaande wetgeving niet te schenden. Ofwel aanvaardt de gebruiker zelf de totale surveillance, ofwel moet de berichtendienst hem de mogelijkheid ontnemen om net die links, afbeeldingen en video's te versturen.

Een verlenging, en daarna een nieuwe strijd

Ondanks alles lukte het niet om het eens te worden over Chat Control 2.0, zelfs niet in die vorm, godzijdank. Intussen liep de geldigheidsduur van de eerste versie ten einde. In april 2024 werd de afwijking daarom verlengd tot 3 april 2026. En dit jaar is ze uiteindelijk vervallen.

Al die tijd bleef het ontwerp van Chat Control 2.0 in het ongewisse. Ondanks voortdurende pogingen om het erdoor te krijgen, slaagde niemand daarin. En toen de vraag rees naar een nieuwe verlenging van de afwijking, eisten de Europarlementsleden dat er uitzonderingen in zouden komen voor communicatie die door eind-tot-eindversleuteling is beschermd.

De meeste lidstaten in de Raad van de Europese Unie weigerden de beperking van het Parlement, omdat die de maatregel zelf ondoeltreffend zou maken. In de maanden die volgden, slaagden de parlementsleden er dus niet in een akkoord te bereiken. Daarom besloot de Europese Volkspartij, die Chat Control van bij het begin steunde, in juli tot een list.

De urgentieprocedure en de drempel van 360 stemmen

Na de eerste lezing bezorgt het Europees Parlement zijn standpunt aan de Raad van de Europese Unie. Als de Raad de tekst wijzigt, begint een tweede lezing. Gewoonlijk gaat het document dan terug naar de bevoegde commissie, die het bestudeert, amendementen voorbereidt en het Parlement aanbeveelt het standpunt van de Raad goed te keuren, te wijzigen of te verwerpen.

Maar de Europese Volkspartij vroeg de toepassing van artikel 170: een urgentieprocedure voor onvoorziene gebeurtenissen, waarmee een kwestie zonder het gebruikelijke commissieverslag in de plenaire vergadering ter stemming kan worden gelegd.

Om de urgentieprocedure in gang te zetten, volstaat een meerderheid van de aanwezige leden. De voorstanders van de versnelling kregen die. Om het standpunt van de Raad in tweede lezing volledig te verwerpen, is daarentegen een absolute meerderheid van alle leden van het Europees Parlement nodig: 360 stemmen, ongeacht hoeveel leden aanwezig zijn.

Als het wetsontwerp naar de bevoegde commissie was gestuurd, zou de behandeling ervan waarschijnlijk nog enkele weken of zelfs langer hebben geduurd. De tweede lezing had dan naar het najaar moeten worden uitgesteld, wanneer alle Europarlementsleden terug waren van vakantie.

Dankzij de urgentieprocedure werd de tweede lezing echter vastgelegd op de allerlaatste dag vóór het zomerreces, toen meer dan honderd Europarlementsleden al met vakantie waren vertrokken en niet konden stemmen. En elk afwezig lid verkleint de kans om de 360 vereiste stemmen te verzamelen. Resultaat: Chat Control 1.0 kon niet worden verworpen, ook al stemde de meerderheid van de aanwezigen tegen.

Natuurlijk kunnen we niet met zekerheid zeggen dat het wetsontwerp in het najaar opnieuw zou zijn verworpen. Maar wanneer een politieke fractie een stemming vastlegt op een datum waarop haar tegenstanders fysiek niet kunnen stemmen, ruikt dat niet goed.

Zo beoordeelde bijvoorbeeld de voorzitster van de ngo Open Dialogue Foundation, Ljoedmyla Kozlovska, de situatie:

‘De lat om de tekst te blokkeren werd hoger gelegd dan de lat om hem goed te keuren. De stemming vond plaats op de laatste dag vóór het zomerreces, toen nauwelijks 600 van de 720 Europarlementsleden in het halfrond aanwezig waren. Wat het Parlement in maart had verworpen, raakte vandaag door in een lege zaal, dankzij een procedureel onevenwicht. Dat zou iedereen moeten verontrusten die begaan is met de werking van de democratie, en niet alleen met privacy.’

Wat vertrouwelijkheid betekent voor mensen die gevaar lopen

Het geval van Konstantin Katsjanov, een elektricien uit Moskou, maakt dat concreet. Toen Vladimir Poetin de grootschalige invasie van Oekraïne begon, was Konstantin, zoals enkele duizenden Russen, ontzet en wist hij niet wat te doen. Voor het geval hij zou worden gemobiliseerd, nam Katsjanov vooraf contact op met het Oekraïense project ‘Ik wil leven’ om te weten hoe hij zich kon overgeven en krijgsgevangene kon worden.

Hem werd toen voorgesteld een actie uit te voeren: graffiti tekenen op openbare plaatsen. Enkele opschriften en kruisen. Voor die kleine kruisjes werd Katsjanov door de FSB gearresteerd. De onderzoekers kondigden hem meteen aan dat een strafzaak wegens hoogverraad hem te wachten stond. De maximumstraf: levenslang. Een heel leven in de gevangenis voor zes verfstrepen op het asfalt.

Dat is gelukkig niet gebeurd. De onderzoekers maakten een fout waardoor Katsjanov precies één dag het huis van bewaring kon verlaten. Mensenrechtenverdedigers reageerden onmiddellijk. Op het moment van publicatie was Konstantin in veiligheid en begon hij een nieuw leven in het buitenland.

Dat verhaal herinnert eraan dat juridische bijstand en, waar mogelijk, hulp bij het vertrek van vervolgde personen absolute discretie kunnen vereisen. De successen die openbaar worden gemaakt, zijn slechts een deel van dat werk. Voor IBCSC belicht dit voorbeeld de menselijke inzet van vertrouwelijkheid: sommige uitwisselingen gaan rechtstreeks over de veiligheid van mensen die aan repressie blootstaan.

Waarom zoveel verzet tegen Chat Control?

Los van de procedure blijft er een vraag: waarom zo'n sterk verzet tegen Chat Control? Zijn in de strijd tegen de uitbuiting van kinderen niet alle middelen goed? De vraag is begrijpelijk, maar ze is fundamenteel verkeerd gesteld.

In democratische landen genieten burgers het vermoeden van onschuld. In Europa mag de politie niet elke brief openen ‘voor het geval dat’, in de hoop iets te vinden. Ze mag niet zomaar elk huis binnenvallen omdat er theoretisch een crimineel zou kunnen schuilen. Ze mag ook niet alle burgers verplichten hun familiealbums of de video's op hun telefoon te tonen.

Iedereen heeft recht op het geheim van zijn correspondentie en op respect voor zijn privéleven. Mensen hoeven aan niemand iets te bewijzen om die rechten uit te oefenen. Het zijn de ordediensten die aan een rechtbank moeten aantonen dat er voldoende ernstige vermoedens over een persoon bestaan om in diens leven in te grijpen. Maar digitale platformen werken volgens het principe: ‘Als het via een app gaat, telt het niet.’ Chat Control 1.0 bekrachtigt die toestand in feite.

Vragen over doeltreffendheid en valse meldingen

En dan zwijgen we nog over de problemen met de analysetechnologie zelf. Criminelen gebruiken al lang een hele reeks methoden om automatische CSAM-scanners te omzeilen. Dat werd uitgelegd in een open brief aan het Europees Parlement en de Raad van de Europese Unie, ondertekend door enkele honderden experts in beveiliging en cryptografie. De vraag naar de doeltreffendheid blijft dus open.

De Europese Commissie erkende zelf dat de gegevens waarover ze beschikt niet toelaten te bepalen hoeveel veroordelingen precies verband houden met meldingen van platformen die CSAM filteren:

‘Op dit moment laten de beschikbare gegevens ook niet toe een duidelijk verband te leggen tussen die veroordelingen en de meldingen die dienstverleners en organisaties die in het algemeen belang optreden tegen seksueel misbruik van kinderen, in de betrokken verslagperiodes hebben ingediend.’

Dan rijst de vraag: als het onmogelijk is de doeltreffendheid aan te tonen van jarenlange inmenging in het privéleven van gebruikers, waarom zou je die dan verlengen? Bestaat er een andere rechtvaardiging dan de belangen van de bedrijven die de surveillancesystemen leveren?

Anderzijds vergissen diezelfde scanners zich geregeld en sturen ze automatisch meldingen naar de politie over wetsgetrouwe gebruikers die zich aan geen enkele uitbuiting van kinderen schuldig maken. En tot vandaag werd geen enkel bedrijf daarvoor verantwoordelijk gesteld.

Kinderen beschermen voorbij het ‘veiligheidstheater’

Een ander probleem schuilt in de poging om het probleem in een vooraf bepaalde oplossing te wringen. CSAM is niet het geweld tegen kinderen zelf: het is het spoor van dat geweld. Ernaar zoeken vervangt niet het voorkomen van het geweld zelf, de hulp aan slachtoffers, het identificeren van daders of het ontmantelen van verspreidingsnetwerken. En heel vaak heeft de politie gewoon niet de middelen om zich ermee bezig te houden.

Dat is het echte probleem dat onder meer de mensenrechtenverdedigers van European Digital Rights willen aanpakken: de ordediensten meer middelen geven om onderzoek te voeren naar de georganiseerde criminele netwerken die aan het geweld verdienen en om de gevolgen ervan aan te pakken, in plaats van veiligheidstheater op te voeren. Werken binnen het kader van de Europese wetgeving en de procedureregels, in plaats van te proberen ze te omzeilen omdat ‘het niet telt als het via een app gaat’.

Overigens werd de term ‘Chat Control’ populair gemaakt door jurist en voormalig Europarlementslid Patrick Breyer, die consequent strijdt tegen de invoering van dit toezicht. Na de stemming waarbij Chat Control 1.0 werd opgelegd, verklaarde hij:

‘Kinderen proberen te beschermen met massasurveillance zonder enige grond voor verdenking, is als de vloer blijven dweilen terwijl de kraan nog loopt. De algemene controle van gesprekken is even onaanvaardbaar als het willekeurig openen van alle post. Vijf jaar lang heeft dit falende systeem gediend als rookgordijn om echte maatregelen uit te stellen, terwijl de politie werd overstelpt met valse meldingen. We hebben meer bescherming voor kinderen nodig, niet minder. Maar we hebben doeltreffende bescherming nodig, geen illusie van veiligheid.’