Reglugerð Evrópusambandsins sem heimilar tæknifyrirtækjum að skanna einkaskilaboð í leit að barnaníðsefni hefur verið samþykkt í sameiginlegu EES-nefndinni. Samkvæmt gögnum úr EES-gagnagrunni Stjórnarráðsins bíður málið nú innleiðingar á Alþingi. Til að reglurnar taki gildi hér á landi þarf að breyta lögum um fjarskipti. Málið, sem oft er kallað „Chat Control 1.0“, byggir á reglugerð (ESB) 2021/1232 . Í opinberum gögnum ESB er henni lýst sem tímabundinni undanþágu frá reglum um fjarskiptaleynd. Markmiðið er að gera veitendum fjarskiptaþjónustu kleift að nota tækni til að greina og fjarlægja barnaníðsefni og sporna við tælingu barna á netinu. Í reglugerðinni er lögð rík áhersla á að gætt sé fyllsta meðalhófs gagnvart friðhelgi einkalífsins. Hvaðan kemur nafnið Chat Control? Heitið „Chat Control 1.0“ er gjarnan notað yfir reglugerðina af gagnrýnendum, tæknisérfræðingum og mannréttindasamtökum. Ástæðan fyrir því að þetta viðurnefni er notað er sú að í opinberri umræðu er litið á hana sem vægari útgáfu af þeirri nýju CSA-reglugerð sem nú er til meðferðar hjá ESB og hefur verið uppnefnd „Chat Control 2.0“. Nafnið „Chat Control“ vísar til þeirrar skoðunar gagnrýnenda að með þessu sé verið að koma á fót kerfi til viðamikils eftirlits með einkasamtölum almennings. Munurinn á „Chat Control“ 1 og 2 Mikilvægt er að greina á milli tveggja ólíkra tillagna sem hafa verið til meðferðar hjá ESB: Chat Control 1.0 (Reglugerð 2021/1232): Er í gildi og heimilar tæknifyrirtækjum á borð við Meta og Google að skanna skilaboð sem ekki eru dulkóðuð. Forrit sem nota dulkóðun frá sendanda til móttakanda, eins og WhatsApp og Signal, eru undanþegin þessari vöktun. Chat Control 2.0 (CSAR): Er frumvarp sem myndi gera vöktunina að skyldu, líka í dulkóðuðum forritum. Sú tillaga hefur mætt harðri andstöðu og hefur ekki verið samþykkt. Afgreiðsla á Íslandi Málið var fyrst sent til meðferðar hjá Alþingi vorið 2023. Samkvæmt fundargerðum utanríkismálanefndar var reglugerð 2021/1232 eða „Chat Control 1“ síðast tekin fyrir á 9. fundi utanríkismálanefndar þann 19. mars 2025. Á þeim fundi voru mætt: Pawel Bartoszek, Sigurður Helgi Pálmason, Dagbjört Hákonardóttir, Diljá Mist Einarsdóttir, Ingibjörg Davíðsdóttir (fyrir Sigmund Davíð Gunnlaugsson), Sigmar Guðmundsson, Sigurður Ingi Jóhannsson og Víðir Reynisson. Samkvæmt fundargerð lauk nefndin umfjöllun sinni um reglugerðina á þessum fundi og var ákveðið að upplýsa utanríkisráðuneytið um þá niðurstöðu. Nefndin gerði engar athugasemdir við efni reglugerðarinnar samkvæmt bókun fundarins. Hvers vegna hefur „Chat Control 1“ ekki tekið gildi á Íslandi? Þótt sameiginlega EES-nefndin hafi samþykkt að fella reglurnar inn í EES-samninginn í desember 2025 hafa þær ekki tekið gildi á Íslandi. Ástæðan er sú að íslensk stjórnvöld settu svokallaðan stjórnskipulegan fyrirvara við ákvörðunina. Þessi fyrirvari þýðir að Ísland þarf fyrst að breyta eigin lögum áður en evrópsku reglurnar geta gilt hér. Í þessu tilfelli þarf Alþingi að samþykkja breytingar á fjarskiptalögum til að heimila tæknifyrirtækjum þá tegund vinnslu á persónuupplýsingum sem reglugerðin kveður á um. Áhrif á Íslendinga Ef Alþingi samþykkir að breyta íslenskum fjarskiptalögum til að innleiða þessa reglugerð munu tæknifyrirtæki á borð við Meta (Facebook) og Google fá lagalegt leyfi til að leita að barnaníðsefni í einkaskilaboðum Íslendinga, eins og hjá öðrum aðildarríkjum EES. Þetta á þó aðeins við um samskipti sem eru send í gegnum þjónustu sem ekki er dulkóðuð, það er kerfi þar sem tæknifyrirtækin hafa nú þegar aðgang að gögnunum, eins og í venjulegum tölvupósti eða ákveðnum spjallforritum. Samskipti sem eru læst með dulkóðun frá sendanda til móttakanda, líkt og á Signal eða læstum spjöllum á WhatsApp, eru undanþegin þessari vöktun. Staðan á Chat Control 2 Til hliðar við þetta er til meðferðar hjá ESB annað og strangara frumvarp sem kallað er CSAR (eða Chat Control 2.0). Það frumvarp myndi skylda öll fyrirtæki til að skanna samskipti, en rétt er að taka fram að það mál er enn á vinnslustigi sem frumvarp og hefur ekki verið klárað eða samþykkt hjá Evrópusambandinu vegna mikilla deilna. Megi aðeins gera það sem er bráðnauðsynlegt Tæknin virkar þannig að sjálfvirkur hugbúnaður skoðar myndir og hlekki í skilaboðum og ber þá saman við svokallað tæti (e. hash) úr gagnagrunnum yfir efni sem þegar er vitað að sé ólöglegt. Í reglugerðinni er lögð rík áhersla á að tæknifyrirtækin megi aðeins gera það sem er bráðnauðsynlegt til að finna þetta tiltekna efni og að gætt sé fyllsta meðalhófs gagnvart friðhelgi einkalífsins. Þá er gerð krafa um að raunverulegt fólk (mannleg íhlutun) fari yfir upplýsingarnar áður en tilkynning er send til lögreglu og fyrirtækjunum ber að láta notendur sína vita ef slík vöktun á sér stað. „Ráðstafanir felast m.a. í því að til staðar séu innri ferlar hjá aðilum sem miða að því að koma í veg fyrir misnotkun, óheimilan aðgang eða miðlun á upplýsingunum sem miða að því að koma í veg fyrir misnotkun, óheimilan aðgang eða miðlun á upplýsingum sem unnið er með,“ segir í gagnagrunni EES . Tæknifyrirtæki þurfa líka að tilkynna til framkvæmdastjórnar þau samtök sem vinna gegn kynferðislegu ofbeldi gegn börnum sem þau eru í samstarfi við.