EU-commissie wil je controleren: Waarom chatcontrole zo gevaarlijk is

In de strijd tegen de verspreiding van afbeeldingen van kindermisbruik overweegt de Europese Commissie gevaarlijke maatregelen: het geautomatiseerd zoeken naar inhoud op mobiele telefoons en computers. We hebben een overzicht met de belangrijkste vragen en antwoorden over het onderwerp.

De Europese Commissie werkt aan een wetgevingspakket ter bestrijding van seksueel misbruik van kinderen , dat zij binnenkort wil presenteren. Een deel van het wetsvoorstel heeft betrekking op de verspreiding van afbeeldingen van kindermishandeling op internet. De wet zou zich ook moeten richten op private en versleutelde communicatie, bijvoorbeeld via messenger-apps. Critici omschrijven deze vorm van preventieve massasurveillance als een bedreiging voor privacy, IT-beveiliging, vrijheid van meningsuiting en democratie.

Het overzicht:

• Wat zijn de plannen van de Europese Commissie en het voorzitterschap van de Raad?
• Hoe zou dat technisch gerealiseerd kunnen worden?
• Wat betekent een chatcontrole concreet?
• Kan het systeem worden uitgebreid?
• Is chatcontrole zelfs legaal?
• Hoe kan ik me ertegen verweren?

Wat zijn de plannen van de Europese Commissie en het voorzitterschap van de Raad?

Olivier Onidi , adjunct-directeur-generaal voor Binnenlandse Zaken , schetste wat de Europese Commissie zou willen . Het voorstel zal proberen “alle communicatiemiddelen in het toepassingsgebied op te nemen”. Dit is tenslotte de echte toegevoegde waarde van het voorstel om “alle vormen van communicatie te omvatten, inclusief privécommunicatie”, antwoordde Onidi op een vraag van EP-lid Patrick Breyer (groep Pirates / Greens). Breyer heeft het project de naam “Chat Control” gegeven.

Het explosieve wetsontwerp zou oorspronkelijk op 1 december worden ingediend, maar is sindsdien van de agenda van de Commissie verdwenen. Desgevraagd bevestigde een woordvoerster alleen dat de Commissie aan het voorstel werkte. Een specifieke datum kan ze op dit moment echter nog niet geven.

De lidstaten zouden het voorstel kunnen steunen. Slovenië, dat momenteel het voorzitterschap van de Raad bekleedt, heeft bijvoorbeeld de bestrijding van kindermishandeling tot een van zijn belangrijkste prioriteiten gemaakt. Het Raadsvoorzitterschap wil zich richten op de ‘digitale dimensie’, staat in een raadsnota van september van Statewatch . Bovenal maakt end-to-end versleutelde communicatie het leven van opsporingsinstanties moeilijk. Men wil daarom op zijn minst de rol van “proactieve maatregelen” bespreken – dat wil zeggen, geautomatiseerde benaderingen die de inhoud onderzoeken.

Hoe het EU-parlement zich over het voorstel zal positioneren, is nog open. Dit jaar stemden de Europarlementariërs er echter voor om online diensten zoals Facebook, Skype en Gmail toe te staan inhoud te scannen . Dit gebeurt al geruime tijd op vrijwillige basis op veel platforms en cloudservices, maar de onlangs aangescherpte regels voor gegevensbescherming hebben de praktijk tijdelijk illegaal gemaakt. De haastig besloten uitzonderingsregel geldt in eerste instantie voor drie jaar, heeft alleen betrekking op niet-versleutelde inhoud en zou kunnen worden vervangen door de wet die nu wordt gepland.

Hoe zou dat technisch gerealiseerd kunnen worden?

Mocht de scanvereiste in het wetsontwerp terecht komen, dan is het onwaarschijnlijk dat daar technische details worden uitgevoerd. De toverformule in Brussel is meestal “proactieve maatregelen”, die bijvoorbeeld ook terroristische inhoud van internet moeten verwijderen . De exacte technische uitvoering moet aan de aanbieders zelf worden overgelaten. Voorlopig blijft het ook open of alle aanbieders van messengers getroffen zouden kunnen worden of alleen die met een bepaald aantal gebruikers.

Deze kunnen in principe terugvallen op bestaande benaderingen, bijvoorbeeld de door Microsoft ontwikkelde PhotoDNA-software en de database van de Amerikaanse organisatie National Center for Missing and Exploited Children (NCMEC). Deze bevat digitale vingerafdrukken, zogenaamde hashes, van afbeeldingen of video’s die al als illegaal zijn erkend. Voordat een bericht werd verzonden, kon de hash van een bijlage worden bepaald en vergeleken met de database. Als blijkt dat het dossier relevant is, kan de verzending worden voorkomen en kan mogelijk een bericht aan de politie worden getriggerd.

In combinatie met kunstmatige intelligentie gebruikt Microsoft PhotoDNA in een aantal van haar producten , bijvoorbeeld in Skype, OneDrive of Xbox. De fabrikant stelt de software ook beschikbaar aan andere providers, waaronder Google, Twitter en Facebook.

Zelfs Apple plant maatregelen tegen de verspreiding van afbeeldingen van kindermisbruik . Op de smartphone moeten deze worden vergeleken met de NCMEC-database met behulp van “client-side scanning” voordat ze in de cloud kunnen worden geladen. Daarnaast heeft Apple een “kinderbeveiliging” gepland die op het toestel draait. Deze moet met behulp van kunstmatige intelligentie ‘seksueel expliciete’ beelden herkennen bij het versturen van berichten en zo nodig de ouders verwittigen. Na een golf van protesten over de hele wereld zijn de plannen voorlopig on hold gezet .

Een bewakingstechnologie die zou kunnen volgen uit de EU-wetgeving, wordt client-side scanning (CSS) genoemd. Onlangs hebben wereldberoemde IT-beveiligingsonderzoekers en uitvinders van encryptiesystemen in een gezamenlijk onderzoek alle plannen voor contentscanners op apparaten van eindgebruikers zwaar bekritiseerd. De experts concluderen: Client-side scanning is een bedreiging voor privacy, IT-beveiliging, vrijheid van meningsuiting en democratie als geheel .

Technisch gezien maakt CSS nog steeds end-to-end encryptie mogelijk, maar dat is de vraag of het bericht wordt doorzocht op specifieke inhoud voordat het wordt verzonden. Daarnaast creëert CSS beveiligingslacunes en gateways voor actoren zoals staatshackers en criminelen.

Wat betekent een chatcontrole concreet?

Ongeacht de technische implementatie in detail, de inbreuk op de privacy zou zeer ingrijpend zijn. Elk afzonderlijk bericht zou automatisch worden doorzocht, geëvalueerd en, indien nodig, gerapporteerd aan de aanbieders en autoriteiten, ongeacht verdenking.

Dit omvat onvermijdelijk talloze volkomen normale, legitieme foto’s en video’s die mensen elkaar sturen. Als de automatische detectie, die voorlopig onbetrouwbaar is, zou werken, zou de inhoud sowieso door mensen gecontroleerd moeten worden. Dit zou niet alleen het recht op privacy schenden, het zou ook een nieuwe toegangspoort zijn tot misbruik.

Dit zou ook grote gevolgen hebben voor de providers. Om te voldoen aan de wet moet u ofwel aansluiten op een bestaande infrastructuur of zelf oplossingen ontwikkelen. Dit zou grotere aanbieders in de kaart spelen die over voldoende middelen beschikken om dergelijke vereisten te implementeren. Als alternatief zouden sommige aanbieders zich uit de EU kunnen terugtrekken als de inspanning te groot voor hen is.

Kan het systeem worden uitgebreid?

De ingreep op de toestellen via een chatcontrole zou aanzienlijk zijn, al zou er alleen gezocht worden naar afbeeldingen van misbruik, zoals eerder werd gedacht. IT-experts vrezen dat zelfs als client-side scanning in eerste instantie alleen zou worden gebruikt om naar dergelijke inhoud te zoeken, er een enorme politieke en maatschappelijke druk zou zijn om het toepassingsgebied uit te breiden .

Uw argument is dat als eenmaal een monitoringinfrastructuur is ingevoerd, er veel animo is en dat er na invoering nauwelijks nog een mogelijkheid is om u te verdedigen tegen de uitbreiding of om misbruik van het systeem te beheersen. Technisch gezien is een extensie zeer eenvoudig te implementeren. Daarom komen de IT-experts tot de conclusie dat CSS een inbreuk op de privacy vertegenwoordigt die nog erger is dan eerdere suggesties voor het afzwakken van encryptie. Edward Snowden pleitte op dezelfde manier tegen de plannen van Apple om dergelijke bewakingstechnologie op eindapparaten te installeren. De klokkenluider vreest ongekend massaal toezicht .

Is chatcontrole zelfs legaal?

Een geautomatiseerde scanverplichting zou illegaal kunnen zijn, een juridisch advies van Prof. Dr. Ninon Colneric (PDF) . Over het algemeen is toezicht zonder reden of verdenking in de EU verboden omdat het grondrechten schendt. Het Europese Hof van Justitie heeft dit standpunt herhaaldelijk bevestigd en bijvoorbeeld herhaaldelijk kritiek geuit op het bewaren van gegevens.

Desalniettemin zijn de pogingen om het bewaren van zombiegegevens met juridische trucs weer tot leven te brengen tot op de dag van vandaag niet verdwenen . De eis is regelmatig terug te vinden in de raadsdocumenten van de EU-landen. Massasurveillance is ook opgenomen in de Duitse Telecommunicatiewet , ook al is deze momenteel opgeschort.

Hoe kan ik me ertegen verweren?

Tot nu toe zijn er geen brede allianties van het maatschappelijk middenveld tegen het project, maar het protest wordt steeds luider. Het EU-piratenparlementslid Patrick Breyer heeft een actiepagina samengesteld op chatkontakt.de . Hij roept vertegenwoordigers van de EU-Commissie zoals EU-Commissaris voor Binnenlandse Zaken Ylva Johannson of EU-Commissievoorzitter Ursula von der Leyen op telefonisch en per e-mail contact op te nemen en daar protesten te formuleren. Allianties van het maatschappelijk middenveld en andere vormen van protest kunnen in de komende weken worden toegevoegd. Het kan nuttig zijn om betrokken te raken en contact op te nemen met burgerrechten- en digitale organisaties over chatcontrole.