Chat Control: wie leest er werkelijk je berichten, en wat er zojuist in Brussel is gebeurd.

Drie maanden waarin scannen illegaal was

Vrijwel niemand merkte het: tussen 4 april en 9 juli 2026 mochten grote berichtendiensten je gesprekken in Europa niet meer analyseren. De verordening die dit sinds 2021 toestond, bijgenaamd Chat Control 1.0, zou in het voorjaar aflopen. Op 26 maart weigerde het Europees Parlement haar te verlengen. Het resultaat: drie maanden lang geen enkele wettelijke grondslag. Een juridisch vacuüm waar niemand echt op had gerekend.

Toen kwam het dossier terug, en deze keer waren de spelregels veranderd. In tweede lezing vereist het verwerpen van het standpunt van de Raad meer dan een meerderheid van de aanwezige Europarlementsleden. Het vergt een absolute meerderheid van alle 720 leden, 361 stemmen. Op 9 juli stemden 314 Europarlementsleden voor verwerping, 276 stemden tegen verwerping, 17 onthielden zich. 47 stemmen tekort. De tekst wordt daarom geacht te zijn aangenomen, en vrijwillig scannen is opnieuw legaal tot 3 april 2028.

Eén element van diezelfde stemming verdient aandacht. De Europarlementsleden namen een amendement aan dat end-to-end versleutelde berichtendiensten uitdrukkelijk uitsluit van het toepassingsgebied van de verordening. Maar de Raad moet het nog aanvaarden, en op het moment van publicatie is het niet van kracht.

Wat de wet werkelijk toestaat

De officiële tekst is Verordening (EU) 2021/1232. Ze werd aangenomen in juli 2021 en creëert een tijdelijke uitzondering op de ePrivacyrichtlijn, de wet die de vertrouwelijkheid van je elektronische communicatie beschermt. In de praktijk staat ze aanbieders van e-mail en berichtendiensten toe om te analyseren wat er over hun servers gaat, om materiaal van seksueel kindermisbruik op te sporen en te melden, en om volwassenen te detecteren die kinderen proberen te benaderen.

Eerst is het de moeite waard enkele misvattingen recht te zetten. Geen enkele berichtendienst is verplicht iets te scannen: de verordening heft een verbod op voor wie ervoor kiest het te doen, en de meeste grote Amerikaanse platforms deden het al lang vóór 2021. De uitzondering staat evenmin toe om naar iets anders te zoeken. Je politieke opvattingen of verhitte discussies zijn niet het doelwit; de tools vergelijken je afbeeldingen vooral met databanken met vingerafdrukken van materiaal dat de autoriteiten al hebben geïdentificeerd.

Dan is er nog het woord "tijdelijk", dat zijn aanhalingstekens verdient. De verordening zou drie jaar moeten duren. Ze werd verlengd in 2024, liep af in april 2026, en is zojuist voor nog eens twee jaar vernieuwd. Na zoveel uitzonderlijke verlengingen begint de uitzondering op een gewoonte te lijken.

Wie scant wat, in de praktijk

Als je Gmail, Outlook, Facebook Messenger, Instagram of Snapchat gebruikt, kunnen de foto's en berichten die onversleuteld over de servers gaan worden vergeleken met die vingerafdrukdatabanken. De schaal blijkt uit de cijfers van NCMEC, het Amerikaanse orgaan dat de meldingen centraliseert: 20,5 miljoen in 2024, vrijwel allemaal gegenereerd door de geautomatiseerde scans van de platforms.

End-to-end versleutelde berichtendiensten spelen in een andere klasse. WhatsApp, Signal, iMessage, en Messenger sinds eind 2023: op deze diensten is de inhoud van je gesprekken onleesbaar voor de servers die ze vervoeren. Alleen jouw toestel en het toestel van je contact bezitten de sleutels. Dat is wiskunde, geen regelgeving, en geen enkele verordening verandert daar iets aan.

Precies daarom is het echte debat van de afgelopen jaren verschoven naar een veel indringender idee: berichten rechtstreeks op je telefoon scannen, vóór de versleuteling. Meer daarover hieronder.

Machines die zich vergissen

Op deze schaal levert geautomatiseerd scannen onvermijdelijk fouten op, en die zijn niet zeldzaam. Amazon erkent een bewust ruime detectiedrempel te hanteren die, in zijn eigen woorden, een hoog percentage valse positieven oplevert. Onderzoekers van Stanford stelden vast dat bijna 80% van de als "generatieve AI" gelabelde meldingen die in de eerste helft van 2025 naar NCMEC werden gestuurd helemaal geen door AI gegenereerd materiaal van seksueel kindermisbruik bevatte.

Achter de statistieken schuilen mensen. Het bekendste geval is een Amerikaanse vader die tijdens de pandemie de infectie van zijn zoon fotografeerde om naar een arts te sturen. De foto's, automatisch geback-upt naar de cloud, activeerden de algoritmes van Google. Zijn account werd van de ene op de andere dag gesloten, tien jaar aan e-mails en foto's verdwenen, en er werd een politieonderzoek geopend. Het onderzoek concludeerde het voor de hand liggende: niets te melden. Google heeft het account nooit hersteld.

Dat is de blinde vlek van het systeem. Een geautomatiseerde melding is geen bewijs, maar de gevolgen ervan slaan onmiddellijk toe, en soms voorgoed, voordat enig mens iets grondig heeft gecontroleerd.

Het echte debat is niet voorbij

De permanente verordening, voorgesteld in mei 2022 en bijgenaamd Chat Control 2.0, ging oorspronkelijk veel verder. Ze voorzag in verplichte detectiebevelen: de bevoegdheid om een berichtendienst, ook een versleutelde, te dwingen de communicatie van zijn gebruikers te analyseren. Die tekst mobiliseerde drie jaar lang cryptografen, gegevensbeschermingsautoriteiten en een groot deel van het maatschappelijk middenveld, en hield het dossier vast in de Raad.

In november 2025 liet de Raad verplicht scannen uiteindelijk uit zijn onderhandelingsstandpunt vallen. Wat op tafel blijft is niet onbeduidend: een permanent kader voor vrijwillig scannen, leeftijdsverificatieplichten die ook op versleutelde diensten van toepassing zouden zijn, "risicobeperkende" verplichtingen die vaag genoeg zijn om de druk op versleuteling te houden, en een specifiek EU-centrum. De onderhandelingen tussen Parlement en Raad worden in september 2026 hervat onder het Ierse voorzitterschap.

Kortom: 1.0 is verlengd, over 2.0 wordt nog onderhandeld, en de centrale vraag is geen millimeter opgeschoven. Kan een versleutelde berichtendienst worden gedwongen in de berichten van zijn gebruikers te kijken, ja of nee?

Wat dit voor jou verandert

→Op diensten die niet end-to-end versleuteld zijn (klassieke e-mail, privéberichten op sociale netwerken) kan je inhoud legaal door detectiealgoritmes worden geanalyseerd. Dat was zo vóór april 2026; het is opnieuw zo.
→Bij end-to-end versleutelde berichtendiensten kunnen servers je gesprekken niet lezen. Controleer alleen even of de versleuteling daadwerkelijk aanstaat: dat is standaard het geval bij WhatsApp, Signal en iMessage, maar niet overal elders.
→Een account kan uitsluitend op grond van een geautomatiseerde melding worden opgeschort, zonder dat er een mens aan te pas komt. Bewaar een onafhankelijke back-up van wat er echt toe doet, foto's en documenten, in plaats van alles aan één enkel ecosysteem toe te vertrouwen.
→En het debat gaat door: scannen op het toestel komt weer op tafel wanneer de onderhandelingen over de permanente verordening worden hervat.

End-to-end versleuteling is geen instrument voor oplichters. Het is de technologie die je gesprekken met je bank, je arts en je familie beschermt. Het hele Europese debat komt neer op de vraag of ze "een klein beetje" kan worden verzwakt om scannen mogelijk te maken. Cryptografen geven al tien jaar hetzelfde antwoord: versleuteling die voor één doel wordt verzwakt, is voor iedereen verzwakt.

Wat Trasimène wel doet, en wat niet

Laten we duidelijk zijn: geen enkel antivirusprogramma en geen enkele VPN houdt een berichtendienst tegen om te analyseren wat er over zijn servers gaat. Het scannen gebeurt aan de kant van het platform, op inhoud die je er zelf aan hebt toevertrouwd. Een VPN versleutelt het traject tussen je toestel en de server, niet wat het platform daarna met je gegevens doet. Als iemand je "bescherming tegen Chat Control" verkoopt, wees dan op je hoede voor de verkoper.

Het werkterrein van Trasimène ligt aan de andere kant van je privacy: spyware die op je telefoon is geïnstalleerd, apps die je gegevens wegsluizen, phishing gericht op je accounts, en de vertrouwelijkheid van je verkeer op netwerken die je niet in de hand hebt. Tegen scannen aan de serverkant past je beste hefboom in één zin: kies voor end-to-end versleutelde berichten, en weet wat elke dienst wel of niet met je inhoud kan doen.

Onthoud de grote lijnen van het dossier in plaats van het rumoer eromheen. Wat vandaag van kracht is, is vrijwillig scannen, beperkt tot materiaal van seksueel kindermisbruik, op niet-versleutelde diensten, verlengd tot april 2028. Wat nog wordt beslist, is het lot van versleutelde berichtendiensten, vanaf september in Brussel. Ondertussen veranderen de goede gewoontes niet: end-to-end versleutelde berichten voor wat privé is, onafhankelijke back-ups voor wat kostbaar is, en een beetje aandacht voor wat elk platform met je inhoud doet.

Bronnen

Trasimène: mobiele beveiliging

Ontdek wat Trasimène beschermt

Trasimène downloaden →