EU mijenja pristup: Odustajanje od obveznog skeniranja CSAM sadržaja – velika pobjeda za Metu, Google i zagovornike privatnosti

Europska unija napravila je dramatičan zaokret u reguliranju borbe protiv sadržaja seksualnog zlostavljanja djece (CSAM) na internetu. Nakon godina rasprava, kritika i pravnih dilema, EU je odustala od kontroverznog prijedloga koji je od tehnoloških tvrtki zahtijevao masovno i obvezno skeniranje privatnih poruka i datoteka svih korisnika.

Umjesto tvrdog, centraliziranog nadzora, EU sada ide u smjeru fleksibilnijeg modela u kojem će platforme same procjenjivati rizike, a države članice nadzirati njihov rad. Ovaj zaokret tumači se kao značajna pobjeda globalnih tehnoloških kompanija poput Mete i Googlea, koje su se mjesecima protivile obveznom skeniranju pozivajući se na privatnost, sigurnost i tehnička ograničenja.

Kako je došlo do zaokreta? EU napušta pristup “masovnog nadzora”

Prvotna verzija zakona iz 2023. predviđala je jedan od najkontroverznijih mehanizama u povijesti europske digitalne regulacije:
obvezno skeniranje svih poruka, uključujući i end-to-end šifriranih, kako bi se otkrio CSAM materijal i pokušaji zlostavljanja djece.

To bi značilo duboko skeniranje fotografija, videa i tekstualnih poruka, automatizirano prijavljivanje korisničkog sadržaja vlastima, mogućnost “zloupotrebe” alata za druge svrhe nadzora u budućnosti, ozbiljno narušavanje povjerenja u E2EE aplikacije poput WhatsAppa, Signala i Threeme. Regulativa je naišla na ogroman otpor stručnjaka za kibernetičku sigurnost, zagovornika ljudskih prava, pravnika, kripto zajednice, te mnogih članova Europskog parlamenta. Mnoge su organizacije upozoravale da bi obvezno skeniranje otvorilo vrata nadzoru kakav u EU-u dosad nije postojao i da bi tehnički narušilo samu prirodu sigurnih komunikacija.

Novo rješenje: Procjena rizika, samoregulacija i nacionalni nadzor

Kompletan pristup sada je značajno izmijenjen. Umjesto jedinstvene europske direktive o masovnom nadzoru, uvedeno je nekoliko ključnih promjena:

1. Nema obveznog skeniranja sadržaja korisnika – EU je izbacila centralni i najkontroverzniji dio – automatizirano pregledavanje privatnih poruka.

2. Platforme same rade procjenu rizika – Svaka tvrtka (Google, Meta, Telegram, trgovine aplikacija itd.) morat će   identificirati gdje postoji mogućnost zloporabe njihove platforme, predložiti vlastite mehanizme prevencije, dokumentirati i redovito ažurirati procjene rizika.

3. Države članice nadziru provedbu (ne EU regulator) – Umjesto jedinstvenog europskog tijela, svaka država imenuje svoje nacionalno tijelo koje  ocjenjuje jesu li procjene rizika adekvatne, može tražiti dodatne mjere i može zahtijevati specifične oblike moderacije kada postoji opravdana sumnja.

Ovaj decentralizirani model više nalikuje sustavu nadzora koji već postoji u nekim državama članicama, primjerice u Njemačkoj ili Francuskoj.

Europsko vijeće saželo je to riječima: “Države članice imenovat će nacionalna tijela koja će procjenjivati rizike i mjere ublažavanja, a prema potrebi i ovlastiti pružatelje usluga da provedu dodatne mjere.”

Što je s E2E enkripcijom? (Pitanje koje najviše dijeli javnost)

U novom prijedlogu nema direktnih referenci na šifrirane komunikacije, što znači da EU formalno ne traži razbijanje enkripcije, uvođenje backdoora  ili pristup privatnim ključevima korisnika. Međutim, stručnjaci upozoravaju na “sive zone”.Ako platforma sama procijeni da postoji visok rizik, mogla bi biti pod pritiskom da implementira algoritme koji bi — barem teoretski — mogli utjecati na privatnost.

Europarlamentarka Markéta Gregorová posebno je upozorila na to:

• tvrdi da model samoregulacije omogućuje “tihi” pritisak na platforme,
• smatra da bi se ti zahtjevi mogli koristiti kao izlika za prikriveno skeniranje šifriranih poruka,
• upozorava na potencijalne posljedice za sigurnosno orijentirane aplikacije i kripto-komunikacijske platforme.

Drugim riječima: EU formalno ne dira enkripciju, ali u praksi bi mogla utjecati na nju kroz zaobilaženje.

EU osniva novi europski CSAM centar

Unatoč popuštanju prema tehnološkim tvrtkama, EU ne odustaje od ambicije da centralizira borbu protiv CSAM sadržaja.

Planira se osnivanje EU Centra za borbu protiv seksualnog zlostavljanja djece. Ovaj centar služit će kao  tehnička i logistička podrška državama članicama, koordinacijsko tijelo za provođenje novih zakona, institucija koja će pratiti trendove i prijetnje i mjesto koje pruža pomoć žrtvama i obiteljima. Očekuje se da će centar imati i ovlasti analizirati prijavljeni sadržaj, što i dalje ostavlja otvorena pitanja privatnosti.

Što slijedi? Pregovori, otpori i moguće nove izmjene

Iako promjena kursa djeluje značajno, proces još nije gotov.

Slijedi  niz pregovora između Europskog vijeća i Europskog parlamenta, moguće nove amandmane, političku borbu između zagovornika sigurnosti i zagovornika privatnosti. I dok tehnološki giganti zadovoljno “dišu lakše”, borba oko toga treba li i u kojoj mjeri skenirati privatne poruke tek je započela. Zakon se može znatno izmijeniti prije konačnog usvajanja.