Chat Control: kto naprawdę czyta Twoje wiadomości i co właśnie wydarzyło się w Brukseli.

Trzy miesiące, gdy skanowanie było nielegalne

Prawie nikt tego nie zauważył: między 4 kwietnia a 9 lipca 2026 roku główne komunikatory nie miały już prawa analizować Twoich rozmów w Europie. Rozporządzenie, które na to pozwalało od 2021 roku, nazywane potocznie Chat Control 1.0, miało wygasnąć wiosną. 26 marca Parlament Europejski odmówił jego przedłużenia. Rezultat: przez trzy miesiące żadnej podstawy prawnej. Próżnia prawna, której nikt tak naprawdę nie przewidział.

Potem sprawa wróciła, a tym razem reguły gry się zmieniły. W drugim czytaniu odrzucenie stanowiska Rady wymaga więcej niż większości obecnych europosłów. Wymaga bezwzględnej większości wszystkich 720 członków, czyli 361 głosów. 9 lipca 314 europosłów zagłosowało za odrzuceniem, 276 przeciw odrzuceniu, 17 wstrzymało się od głosu. Zabrakło 47 głosów. Tekst uznaje się więc za przyjęty, a dobrowolne skanowanie jest znów legalne do 3 kwietnia 2028.

Jeden element tego samego głosowania zasługuje na uwagę. Europosłowie przyjęli poprawkę, która wyraźnie wyłącza szyfrowane end-to-end komunikatory z zakresu rozporządzenia. Ale Rada musi ją jeszcze zaakceptować, a w chwili publikacji jeszcze nie obowiązuje.

Co ustawa faktycznie dopuszcza

Oficjalny tekst to rozporządzenie (UE) 2021/1232. Przyjęte w lipcu 2021 roku, otwiera tymczasowy wyjątek od dyrektywy o prywatności i łączności elektronicznej (ePrivacy), prawa chroniącego poufność Twojej komunikacji elektronicznej. W praktyce pozwala dostawcom poczty i komunikatorów analizować to, co przechodzi przez ich serwery, by wykrywać i zgłaszać materiały przedstawiające seksualne wykorzystywanie dzieci oraz wychwytywać dorosłych próbujących zbliżyć się do dzieci.

Najpierw warto rozprawić się z kilkoma nieporozumieniami. Żaden komunikator nie ma obowiązku niczego skanować: rozporządzenie znosi zakaz dla tych, którzy zdecydują się to robić, a większość dużych amerykańskich platform robiła to na długo przed 2021 rokiem. Odstępstwo nie pozwala też nikomu szukać czegokolwiek innego. Twoje poglądy polityczne czy burzliwe dyskusje nie są celem; narzędzia głównie porównują Twoje zdjęcia z bazami odcisków cyfrowych materiałów już zidentyfikowanych przez organy ścigania.

Zostaje słowo „tymczasowy”, które zasługuje na swój cudzysłów. Rozporządzenie miało obowiązywać trzy lata. Przedłużono je w 2024 roku, wygasło w kwietniu 2026 i właśnie zostało odnowione na kolejne dwa lata. Po tylu wyjątkowych przedłużeniach wyjątek zaczyna wyglądać na regułę.

Kto co skanuje w praktyce

Jeśli korzystasz z Gmaila, Outlooka, Facebook Messengera, Instagrama lub Snapchata, zdjęcia i wiadomości przechodzące bez szyfrowania przez serwery mogą być zestawiane z tymi bazami odcisków cyfrowych. Skalę widać w liczbach NCMEC, amerykańskiej instytucji centralizującej zgłoszenia: 20,5 miliona w 2024 roku, niemal wszystkie wygenerowane przez automatyczne skany platform.

Szyfrowane end-to-end komunikatory grają w innej lidze. WhatsApp, Signal, iMessage, a od końca 2023 roku Messenger: w tych usługach treść Twoich rozmów jest nieczytelna dla serwerów, które je przenoszą. Klucze mają tylko Twoje urządzenie i urządzenie Twojego rozmówcy. To matematyka, nie regulacja, i żadna regulacja tego nie zmienia.

Właśnie dlatego prawdziwa debata ostatnich lat przeniosła się na o wiele bardziej inwazyjny pomysł: skanowanie wiadomości bezpośrednio na Twoim telefonie, przed szyfrowaniem. Więcej o tym niżej.

Maszyny, które się mylą

Przy tej skali automatyczne skanowanie nieuchronnie generuje błędy, a te wcale nie są rzadkie. Amazon przyznaje, że stosuje celowo szeroki próg wykrywania, który: jak sam pisze, daje wysoki odsetek fałszywych alarmów. Badacze ze Stanford ustalili, że blisko 80% zgłoszeń oznaczonych jako „generative AI” przesłanych do NCMEC w pierwszej połowie 2025 roku nie zawierało żadnych wygenerowanych przez AI materiałów przedstawiających seksualne wykorzystywanie dzieci.

Za statystykami stoją ludzie. Najbardziej znany przypadek to amerykański ojciec, który sfotografował infekcję u swojego syna, by wysłać zdjęcie lekarzowi w czasie pandemii. Zdjęcia, automatycznie zapisane w chmurze, uruchomiły algorytmy Google. Jego konto zamknięto z dnia na dzień, dziesięć lat e-maili i zdjęć przepadło, a policja wszczęła dochodzenie. Śledztwo doprowadziło do oczywistego wniosku: nic do zgłoszenia. Google nigdy nie przywróciło konta.

To ślepa plamka systemu. Automatyczne zgłoszenie nie jest dowodem, ale jego konsekwencje spadają natychmiast, czasem na zawsze, zanim ktokolwiek z ludzi cokolwiek poważnie sprawdzi.

Prawdziwa debata się nie skończyła

Stałe rozporządzenie, zaproponowane w maju 2022 roku i nazywane potocznie Chat Control 2.0, pierwotnie szło znacznie dalej. Przewidywało obowiązkowe nakazy wykrywania: uprawnienie do zmuszenia komunikatora, w tym szyfrowanego, do analizowania komunikacji swoich użytkowników. To właśnie ten tekst zmobilizował kryptografów, organy ochrony danych i znaczną część społeczeństwa obywatelskiego na trzy lata i utrzymał sprawę w martwym punkcie w Radzie.

W listopadzie 2025 roku Rada ostatecznie zrezygnowała z obowiązkowego skanowania w swoim stanowisku negocjacyjnym. To, co pozostaje na stole, nie jest błahe: stałe ramy dla dobrowolnego skanowania, obowiązki weryfikacji wieku, które objęłyby także usługi szyfrowane, obowiązki „ograniczania ryzyka” na tyle nieostre, by utrzymać presję na szyfrowanie, oraz dedykowane unijne centrum. Negocjacje między Parlamentem a Radą wznawiają się we wrześniu 2026 roku pod prezydencją irlandzką.

Krótko mówiąc: 1.0 zostało przedłużone, 2.0 wciąż jest negocjowane, a centralne pytanie nie drgnęło ani na krok. Czy szyfrowany komunikator można zmusić do zaglądania do wiadomości swoich użytkowników, tak czy nie?

Co to zmienia dla Ciebie

→W usługach, które nie są szyfrowane end-to-end (klasyczna poczta, prywatne wiadomości w sieciach społecznościowych), Twoja treść może być legalnie analizowana przez algorytmy wykrywające. Tak było przed kwietniem 2026; znów tak jest.
→W szyfrowanych end-to-end komunikatorach serwery nie mogą odczytać Twoich rozmów. Sprawdź tylko, czy szyfrowanie jest faktycznie włączone: w WhatsAppie, Signalu i iMessage jest domyślne, wszędzie indziej niekoniecznie.
→Konto może zostać zawieszone na podstawie samego automatycznego zgłoszenia, bez udziału człowieka. Trzymaj niezależną kopię zapasową tego, co naprawdę ważne, zdjęć i dokumentów, zamiast powierzać wszystko jednemu ekosystemowi.
→A debata będzie trwać: skanowanie na urządzeniu wróci na stół, gdy wznowią się negocjacje w sprawie stałego rozporządzenia.

Szyfrowanie end-to-end nie jest narzędziem oszusta. To technologia chroniąca Twoje rozmowy bankowe, medyczne i rodzinne. Cała europejska debata sprowadza się do tego, czy można je osłabić „tylko odrobinę”, by umożliwić skanowanie. Kryptografowie od dziesięciu lat udzielają tej samej odpowiedzi: szyfrowanie osłabione w jednym celu jest osłabione dla wszystkich.

Co robi Trasimène, a czego nie robi

Powiedzmy to wprost: żaden antywirus ani żaden VPN nie powstrzyma komunikatora przed analizowaniem tego, co przechodzi przez jego serwery. Skanowanie odbywa się po stronie platformy, na treściach, które sam jej przekazałeś. VPN szyfruje drogę między Twoim urządzeniem a serwerem, a nie to, co platforma robi później z Twoimi danymi. Jeśli ktoś sprzedaje Ci „ochronę przed Chat Control”, miej się na baczności wobec takiego sprzedawcy.

Domeną Trasimène jest druga strona Twojej prywatności: oprogramowanie szpiegujące zainstalowane na telefonie, aplikacje wysysające Twoje dane, phishing wymierzony w Twoje konta oraz poufność Twojego ruchu w sieciach, których nie kontrolujesz. Wobec skanowania po stronie serwera najlepsze, co możesz zrobić, mieści się w jednym zdaniu: wybieraj komunikatory z szyfrowaniem end-to-end i wiedz, co każda usługa może, a czego nie może zrobić z Twoimi treściami.

Zachowaj mapę tematu, a nie szum wokół niego. To, co obowiązuje dziś, to dobrowolne skanowanie, ograniczone do materiałów przedstawiających seksualne wykorzystywanie dzieci, w usługach nieszyfrowanych, przedłużone do kwietnia 2028. To, co wciąż jest rozstrzygane, to los szyfrowanych komunikatorów, w Brukseli od września. Tymczasem dobre nawyki się nie zmieniają: szyfrowane end-to-end komunikatory do tego, co prywatne, niezależne kopie zapasowe tego, co cenne, i odrobina uwagi na to, co każda platforma robi z Twoją treścią.

Źródła

Trasimène: bezpieczeństwo mobilne

Zobacz, co chroni Trasimène

Pobierz Trasimène →