# chat control is nog steeds niet dood (helaas)

Oké, vandaag een ander onderwerp. Als je in de EU woont en ook maar een beetje om privacy geeft, heb je vast weleens van Chat Control gehoord. Het is het EU-voorstel om berichtenapps privéberichten te laten scannen op materiaal van kindermisbruik. Klinkt redelijk als je het zo zegt, en dat is precies het probleem, want wat het in de praktijk betekent is het scannen van ieders berichten, de hele tijd, zonder enige verdenking. En dat kan niet met end-to-end versleutelde berichten zonder de versleuteling te breken. Er bestaat geen magische versie hiervan waarbij je chats privé blijven maar toch gescand worden. Elke cryptograaf die ernaar keek zei hetzelfde.

Deze wet is nu al jaren “bijna aangenomen”, en ik merk dat de meeste mensen met wie ik praat compleet het overzicht kwijt zijn over waar hij staat. Eerlijk gezegd raak ik het zelf soms ook kwijt. Dus hier is de huidige stand van zaken, op het moment dat ik dit schrijf.

Het goede nieuws

Er was dit voorjaar echt een overwinning. Op 26 maart stemde het Europees Parlement tegen het verlengen van “Chat Control 1.0”, de tijdelijke regel die aanbieders zoals Meta toestond om “vrijwillig” ieders berichten te scannen. De stemming was 307 tegen 306.

Eén stem. Laat dat even bezinken.

Hoe dan ook, die tijdelijke verordening verliep vervolgens op 3 april. Dus op dit moment is er, voor het eerst in jaren, helemaal geen wettelijke basis voor het massaal scannen van privéberichten in de EU. Dat is gebeurd omdat een heleboel gewone mensen er herrie over maakten. Het werkte.

Het slechte nieuws

En dit is het deel dat nu echt urgent is: ze proberen Chat Control 1.0 terug te brengen. Het Parlement stemde om het te laten sterven, het verliep, en nu hebben EU-ambassadeurs erop aangedrongen om het gewoon alsnog te verlengen, en Europarlementariërs worden gevraagd te stemmen over het terugdraaien van hun eigen besluit van maart. Lees dat nog eens. Het Parlement zei nee, hoe krap de marge ook was, en het antwoord daarop is blijkbaar “stem opnieuw tot je ja zegt”. Dat is de stemming om nu in de gaten te houden, en daarom is de druk juist nu weer belangrijk en niet op een vaag moment in de toekomst.

En op de achtergrond wordt er nog steeds onderhandeld over de permanente versie, Chat Control 2.0 (officieel de CSA-verordening), tussen het Parlement, de Raad en de Commissie. Dat gevecht is hetzelfde als altijd. Het standpunt van het Parlement is eigenlijk prima: alleen specifieke verdachten scannen, en alleen met een gerechtelijk bevel. Gewoon normaal politiewerk, eigenlijk. De Raad wil dat iedereen zonder verdenking gescand wordt. Hun nieuwste truc is om het scannen “op eigen initiatief” van de aanbieders te noemen, zodat op papier niemand gedwongen wordt om te scannen, knipoog knipoog. Zelfs de juridische dienst van de Raad zelf keek daar in juni naar en zei nee, dit is nog steeds het algemeen scannen van privécommunicatie. En dat is precies het ding waarvan de EU-rechters blijven zeggen dat het niet verenigbaar is met de grondrechten.

Er zou op 29 juni een laatste onderhandelingsronde over 2.0 plaatsvinden, en die klapte, precies op deze kwestie van scannen zonder verdenking. Dus ook daar nog geen akkoord. De gesprekken gaan nu verder onder het Ierse voorzitterschap, en Ierland is helaas een van de landen die voor het scannen pleiten.

Dit is het patroon met Chat Control. Het wordt afgewezen, het komt terug onder een nieuwe naam. Het wordt geblokkeerd, het komt terug onder het volgende voorzitterschap. Het verloopt, en ze proberen het achteraf alsnog te verlengen. De mensen die het doordrukken hoeven maar één keer te winnen. Wij moeten elke keer opnieuw winnen. Die asymmetrie baart me nog de meeste zorgen, meer dan welke specifieke versie van de tekst dan ook.

Waarom ik erom geef

Nou, ik draai een Matrix-server. Als een scanverplichting zoals deze wordt aangenomen, wat moet ik dan precies doen? De versleuteling voor mijn gebruikers breken, of ermee stoppen? De grote bedrijven kunnen compliance-mensen inhuren en scaninfrastructuur bouwen. Signal heeft tenminste het gewicht om te zeggen “dan verlaten we de markt” en daar de krantenkoppen mee te halen. Een kleine homeserver zoals de mijne sterft gewoon in stilte, of ik word gedwongen mijn server te verhuizen naar een plek met betere privacywetgeving.

En zelfs als je zelf niks draait: zodra de infrastructuur bestaat om alles te scannen, is “het is alleen voor CSAM” gewoon een belofte. Zulke beloftes hebben een geschiedenis. Eerst is het dit, dan is het terrorisme, dan auteursrecht, en dan alles waar de regering van de dag geen zin in heeft. Surveillancebevoegdheden krimpen nooit vanzelf.

Wat je echt kunt doen

De stemming in maart was 307 tegen 306. Zulke marges ontstaan niet zonder dat gewone mensen hun vertegenwoordigers lastigvallen, dus dit is niet zo’n situatie van “niks wat je doet maakt uit”. Concreet:

• Neem contact op met je Europarlementariërs. De makkelijkste manier is fightchatcontrol.eu, zij hebben een tool die je vertegenwoordigers vindt en je helpt contact op te nemen, en ze houden ook de actuele status van alles bij. Kost vijf minuten. Een kort persoonlijk bericht is beter dan een copy-paste, maar een copy-paste is een stuk beter dan niks.
• Als jouw regering aan de pro-scanning-kant staat (Denemarken, Ierland, Spanje, Frankrijk, Italië en nog een stel andere), schrijf hen dan ook aan. De ergste versies hiervan blijven uit de Raad komen, en de Raad is gewoon een verzameling nationale regeringen, en die geven om nationale kiezers.
• Volg de mensen die dit echt bijhouden. Patrick Breyer documenteert al jaren elke wending van deze saga, en EDRi doet veel van het echte beleidswerk.
• Gebruik versleutelde messengers, en krijg anderen er ook op. Niet omdat het de wet repareert, maar omdat hoe normaler versleuteling is, hoe moeilijker het politiek wordt om het te verbieden. Ik ben toevallig bezig met een hele post waarin ik de opties vergelijk, die komt morgen online.

Ik weet dat “schrijf je politicus aan” klinkt als het nutteloosste advies ter wereld. Maar dit specifieke gevecht is nu al meerdere keren gewonnen door precies dat. Eén stem in maart. Dat waren mensen die herrie maakten.

Ze gaan het opnieuw proberen, dat doen ze altijd. Dus blijf luid.

En zoals altijd: als je hierover wilt praten, weet je me te vinden.