Reglugerð Evrópusambandsins sem heimilar tæknifyrirtækjum að skanna einkaskilaboð í leit að barnaníðsefni hefur verið samþykkt í sameiginlegu EES-nefndinni.
Samkvæmt gögnum úr EES-gagnagrunni Stjórnarráðsins bíður málið nú innleiðingar á Alþingi. Til að reglurnar taki gildi hér á landi þarf að breyta lögum um fjarskipti.
Málið, sem oft er kallað „Chat Control 1.0“, byggir á reglugerð (ESB) 2021/1232. Í opinberum gögnum ESB er henni lýst sem tímabundinni undanþágu frá reglum um fjarskiptaleynd. Markmiðið er að gera veitendum fjarskiptaþjónustu kleift að nota tækni til að greina og fjarlægja barnaníðsefni og sporna við tælingu barna á netinu.
Í reglugerðinni er lögð rík áhersla á að gætt sé fyllsta meðalhófs gagnvart friðhelgi einkalífsins.
Munurinn á „Chat Control“ 1 og 2
Mikilvægt er að greina á milli tveggja ólíkra tillagna sem hafa verið til meðferðar hjá ESB:
- Chat Control 1.0 (Reglugerð 2021/1232): Er í gildi og heimilar tæknifyrirtækjum á borð við Meta og Google að skanna skilaboð sem ekki eru dulkóðuð. Forrit sem nota dulkóðun frá sendanda til móttakanda, eins og WhatsApp og Signal, eru undanþegin þessari vöktun.
- Chat Control 2.0 (CSAR): Er frumvarp sem myndi gera vöktunina að skyldu, líka í dulkóðuðum forritum. Sú tillaga hefur mætt harðri andstöðu og hefur ekki verið samþykkt.
Afgreiðsla á Íslandi
Málið var fyrst sent til meðferðar hjá Alþingi vorið 2023. Samkvæmt fundargerðum utanríkismálanefndar var reglugerð 2021/1232 eða „Chat Control 1“ síðast tekin fyrir á 9. fundi utanríkismálanefndar þann 19. mars 2025.
Á þeim fundi voru mætt: Pawel Bartoszek, Sigurður Helgi Pálmason, Dagbjört Hákonardóttir, Diljá Mist Einarsdóttir, Ingibjörg Davíðsdóttir (fyrir Sigmund Davíð Gunnlaugsson), Sigmar Guðmundsson, Sigurður Ingi Jóhannsson og Víðir Reynisson.
Samkvæmt fundargerð lauk nefndin umfjöllun sinni um reglugerðina á þessum fundi og var ákveðið að upplýsa utanríkisráðuneytið um þá niðurstöðu. Nefndin gerði engar athugasemdir við efni reglugerðarinnar samkvæmt bókun fundarins.
Hvers vegna hefur „Chat Control 1“ ekki tekið gildi á Íslandi?
Þótt sameiginlega EES-nefndin hafi samþykkt að fella reglurnar inn í EES-samninginn í desember 2025 hafa þær ekki tekið gildi á Íslandi.
Ástæðan er sú að íslensk stjórnvöld settu svokallaðan stjórnskipulegan fyrirvara við ákvörðunina. Þessi fyrirvari þýðir að Ísland þarf fyrst að breyta eigin lögum áður en evrópsku reglurnar geta gilt hér.
Í þessu tilfelli þarf Alþingi að samþykkja breytingar á fjarskiptalögum til að heimila tæknifyrirtækjum þá tegund vinnslu á persónuupplýsingum sem reglugerðin kveður á um.
Áhrif á Íslendinga
Ef Alþingi samþykkir að breyta íslenskum fjarskiptalögum til að innleiða þessa reglugerð munu tæknifyrirtæki á borð við Meta (Facebook) og Google fá lagalegt leyfi til að leita að barnaníðsefni í einkaskilaboðum Íslendinga, eins og hjá öðrum aðildarríkjum EES.
Þetta á þó aðeins við um samskipti sem eru send í gegnum þjónustu sem ekki er dulkóðuð, það er kerfi þar sem tæknifyrirtækin hafa nú þegar aðgang að gögnunum, eins og í venjulegum tölvupósti eða ákveðnum spjallforritum. Samskipti sem eru læst með dulkóðun frá sendanda til móttakanda, líkt og á Signal eða læstum spjöllum á WhatsApp, eru undanþegin þessari vöktun.
Megi aðeins gera það sem er bráðnauðsynlegt
Tæknin virkar þannig að sjálfvirkur hugbúnaður skoðar myndir og hlekki í skilaboðum og ber þá saman við svokallað tæti (e. hash) úr gagnagrunnum yfir efni sem þegar er vitað að sé ólöglegt.
Í reglugerðinni er lögð rík áhersla á að tæknifyrirtækin megi aðeins gera það sem er bráðnauðsynlegt til að finna þetta tiltekna efni og að gætt sé fyllsta meðalhófs gagnvart friðhelgi einkalífsins. Þá er gerð krafa um að raunverulegt fólk (mannleg íhlutun) fari yfir upplýsingarnar áður en tilkynning er send til lögreglu og fyrirtækjunum ber að láta notendur sína vita ef slík vöktun á sér stað.
„Ráðstafanir felast m.a. í því að til staðar séu innri ferlar hjá aðilum sem miða að því að koma í veg fyrir misnotkun, óheimilan aðgang eða miðlun á upplýsingunum sem miða að því að koma í veg fyrir misnotkun, óheimilan aðgang eða miðlun á upplýsingum sem unnið er með,“ segir í gagnagrunni EES.
Tæknifyrirtæki þurfa líka að tilkynna til framkvæmdastjórnar þau samtök sem vinna gegn kynferðislegu ofbeldi gegn börnum sem þau eru í samstarfi við.
