Digital suverænitet

70 13 63 23

Chatkontrol i EU: hvad der er vedtaget, og hvad der stadig forhandles

Chatkontrol i EU: hvad der er vedtaget, og hvad der stadig forhandles

Kort svar · Pr. 30. oktober 2026 må udbydere af beskedtjenester frivilligt scanne efter misbrugsmateriale frem til 3. april 2028 efter forordning (EU) 2026/1881, og kommunikation med ende-til-ende-kryptering er undtaget. En pligt til at scanne er ikke vedtaget. Den hører til den permanente forordning, som stadig forhandles.

Siden 2022 har EU forhandlet om regler for scanning af private beskeder for seksuelt misbrug af børn. Det vedtagne er én midlertidig forordning.

Artiklen gennemgår forløbet med datoer, forklarer forskellen på de to regelsæt og beskriver, hvad det vedtagne betyder for valg af kommunikationstjenester. Den tager ikke stilling til de politiske spørgsmål i debatten.

To regelsæt med hvert sit formål

Debatten om chatkontrol handler om to forskellige retsakter. Den første er en midlertidig undtagelse fra e-databeskyttelsesdirektivet, som giver udbydere lov til frivilligt at scanne beskeder. Den anden er en permanent forordning om forebyggelse og bekæmpelse af seksuelt misbrug af børn, som Kommissionen foreslog i 2022.

Forskellen er afgørende for læsningen af nyhederne. Den midlertidige ordning tillader scanning, men pålægger den ikke. Spørgsmålet om pligt til scanning hører til den permanente forordning, som ikke er vedtaget. De to sager behandles i hver sin lovgivningsprocedure, og en afstemning om den ene ændrer ikke direkte den anden. Nyheder om chatkontrol bør derfor læses med spørgsmålet om, hvilken af de to retsakter de handler om.

Den midlertidige ordning frem til april 2026

E-databeskyttelsesdirektivet beskytter fortroligheden af kommunikation. Forordning (EU) 2021/1232 gav udbydere af beskedtjenester og webmail en midlertidig undtagelse, så de frivilligt kunne bruge teknologi til at opdage og fjerne misbrugsmateriale. Ordningen blev forlænget med forordning (EU) 2024/1307 til 3. april 2026.

Den 19. december 2025 foreslog Kommissionen en ny forlængelse på to år til 3. april 2028. Det fremgår af betragtningerne i Europa-Parlamentets tekst fra 9. juli 2026.

Parlamentet afviste forlængelsen i marts 2026

Europa-Parlamentet vedtog 11. marts 2026 en holdning, der gik ind for en kortere forlængelse og et snævrere anvendelsesområde. Forhandlingerne med Rådet gav ingen aftale. Den 26. marts 2026 stemte Parlamentet derefter imod Kommissionens forslag med 311 stemmer imod, 228 for og 92, der undlod at stemme.

Den midlertidige forordning udløb dermed efter 3. april 2026. Fra den dato havde udbyderne ikke længere den særlige undtagelse fra direktivet at støtte sig til.

Ny procedure og et forbehold for kryptering

Rådet genstartede sagen med en ny procedure, 2025/0429(COD), og vedtog 2. juli 2026 sin holdning ved førstebehandlingen. Parlamentet behandlede Rådets tekst ved andenbehandlingen 9. juli 2026 og vedtog ændringer. Et forslag om at forkaste Rådets holdning fik 314 stemmer for, 276 imod og 17 hverken for eller imod. Det faldt, fordi en forkastelse ved andenbehandling kræver et absolut flertal på 361, ifølge Parlamentets resumé og HowTheyVote.

Den vigtigste ændring er en ny bestemmelse i artikel 1, stk. 2a. Forordningen gælder ikke for interpersonel kommunikation med ende-til-ende-kryptering, uanset om krypteringen anvendes nu, er anvendt tidligere eller vil blive anvendt senere. Samme forbehold står i reglerne om, hvilken behandling der er tilladt. Teksten undtager også scanning af lydkommunikation.

Betragtning 32 beskriver ende-til-ende-kryptering som et vigtigt redskab for sikkerhed og fortrolighed. Ifølge betragtningen må intet i forordningen fortolkes som et forbud mod eller en svækkelse af ende-til-ende-kryptering.

Rådet accepterede ændringerne i juli 2026

Rådet accepterede Parlamentets ændringer 23. juli 2026. Rådet begrundede det med den midlertidige forordnings særlige formål og begrænsede varighed. Det understregede samtidig, at beslutningen ikke betyder, at Rådet vil acceptere tilsvarende ændringer i forhandlingerne om de permanente regler.

Resultatet er forordning (EU) 2026/1881. Ifølge artikel 11 træder den i kraft på tredjedagen efter offentliggørelsen i EU-Tidende og gælder til 3. april 2028. Forordningen blev offentliggjort i EU-Tidende 28. juli 2026.

Rammerne for den frivillige scanning

Artikel 3 i Parlamentets tekst fastsætter betingelserne for, hvornår udbydere må scanne. Behandlingen skal være strengt nødvendig for at opdage og fjerne misbrugsmateriale og for at opdage forsøg på at lokke børn. Den skal begrænses til indholdsdata og tilhørende trafikdata, der er strengt nødvendige til formålet.

Teknologien skal svare til branchens aktuelle niveau og være den mindst indgribende. Bruges den til at scanne tekst, skal den være begrænset til at opdage mønstre, der peger på mulige overgreb, og må ikke være i stand til at udlede indholdet af kommunikationen. Før en teknologi tages i brug, skal udbyderen gennemføre en konsekvensanalyse og en forudgående høring efter databeskyttelsesforordningens artikel 35 og 36.

Betragtning 7 beskriver de teknikker, udbyderne har brugt. Det drejer sig om hashværdier for billeder og video, som sammenlignes med databaser over kendt materiale, og klassifikatorer og kunstig intelligens til tekst eller trafikdata. Ifølge betragtningen rapporterer udbyderne til organisationer både i og uden for EU.

Den permanente forordning

Kommissionen fremsatte forslaget til en permanent forordning 11. maj 2022, COM(2022)209. Forslaget fastsætter blandt andet forpligtelser for udbydere af informationssamfundstjenester og opretter et nyt decentralt EU-agentur, EU-centret mod seksuelt misbrug af børn. Parlamentets udvalg vedtog sin betænkning 14. november 2023, og beslutningen om at indlede forhandlinger blev bekræftet i plenarforsamlingen 22. november 2023.

Rådet var længe uenigt om, hvorvidt udbydere skulle kunne pålægges at scanne. De faste repræsentanter vedtog 26. november 2025 et delvist forhandlingsmandat under det danske formandskab, ifølge en statusnote fra formandskabet. Formandskabet ville indlede forhandlingerne med Parlamentet i december 2025.

Den 29. september 2026 holdt institutionerne det sjette politiske trilogmøde uden en samlet aftale. Kun EU-centrets opgaver blev aftalt, fremgår af Rådets dokument CM 4365/26 og netzpolitik.org 1. oktober 2026. Næste møde var ikke fastsat pr. 1. oktober. Pr. 30. oktober 2026 er der ikke registreret en aftale mellem institutionerne.

Det danske formandskabs rolle

Danmark havde formandskabet i Rådet i andet halvår af 2025, og sagen hørte under daværende justitsminister Peter Hummelgaard. Ifølge Europaudvalgets referat og et ministersvar til Folketingets Digitaliserings- og IT-udvalg fremlagde formandskabet et kompromisforslag 1. juli 2025.

Punktet blev taget af dagsordenen for rådsmødet i oktober 2025, fordi der ikke var den fornødne opbakning. Formandskabet fremlagde derefter en ny tekst, hvor påbuddet om opsporing var fjernet. Det er Rådsdokument 14032/25 af 30. oktober 2025, hvor det står, at forpligtelserne til opsporing i artikel 7 til 11 udgår. I stedet blev det foreslået at gøre den frivillige ordning permanent. Ifølge spørgsmålet til ministeren fik formandskabet Rådets opbakning til kompromisforslaget i november 2025.

Hvad det vedtagne betyder for valg af tjenester

Forordning (EU) 2026/1881 tillader frivillig scanning til april 2028 i beskedtjenester og webmail, der ikke er krypteret fra ende til ende. Den pålægger ingen udbyder at scanne. Det er udbyderen, der scanner og rapporterer, og forordningen giver ikke myndigheder adgang til at læse med. Udbyderen skal til gengæld opfylde betingelserne i artikel 3 og databeskyttelsesforordningen. Om en udbyder faktisk scanner, fremgår af udbyderens egne vilkår og gennemsigtighedsrapporter, jf. → vilkår, der tillader udlevering uden retskendelse.

Start med kortlægningen fra → trin 1, så alle tjenester til beskeder og webmail er med. For en organisation betyder det, at kommunikation i tjenester uden ende-til-ende-kryptering kan blive scannet af udbyderen, hvis udbyderen vælger det inden for forordningens rammer. Kommunikation, der er krypteret fra ende til ende, er uden for forordningens anvendelsesområde. Forskellen på de to typer tjenester er beskrevet i → ende-til-ende-kryptering og jurisdiktion.

Valget mellem tjenester er derfor også et valg om, hvem der kan analysere indholdet, jf. → alternativer til chat, video og projektstyring. Den permanente forordning kan ændre billedet. Rådet har udtrykkeligt forbeholdt sig sin holdning til kryptering i de forhandlinger, og en eventuel pligt til scanning vil afhænge af den endelige tekst.

Hvad forløbet ikke viser

Forløbet viser, hvad lovgiverne har vedtaget, og hvornår ordningen udløber. Det viser ikke, hvilke udbydere der scanner i dag, hvor mange beskeder der scannes, eller hvordan scanningen teknisk foregår hos den enkelte udbyder.

Det viser heller ikke, hvad den permanente forordning ender med at indeholde. Artiklen bygger på status pr. 30. oktober 2026. Datoerne for kommende forhandlingsmøder er ikke offentliggjort i de kilder, artiklen bygger på, og der er derfor ingen dato for en mulig aftale. Andre lande uden for EU har valgt andre veje, som beskrevet i → lovkrav om adgang til krypterede data.

Betydningen for exit-planen

Regler om scanning ændrer, hvem der kan læse jeres kommunikation, uden at kontrakten med udbyderen ændres. De hører derfor til i vurderingen af hver kommunikationstjeneste, på linje med de tre lag i → dataresidens, drift og jura.

  • Notér for hver tjeneste, om den er krypteret fra ende til ende, og om udbyderen oplyser at scanne indhold.
  • Følg den permanente forordning, og efterprøv vurderingen, når den vedtages, jf. → trin 10.
  • Vurder afhængigheden af tjenester, hvor udbyderen kan ændre krypteringen ensidigt, i → trin 4.

Hvor kommunikationen omfatter fortrolige eller følsomme oplysninger, kan en samlet gennemgang af tjenester, leverandører og jurisdiktion give overblik. Nielco IT’s jurisdiktions- og afhængighedsvurdering dækker lovgivning, juridisk enhed og afhængighedsgrad pr. system.

Kilder

Skrevet af John Nielsen, indehaver af Nielco IT. Selvstændig siden 2009 og mere end 30 års erfaring med IT‑sikkerhed. Om John Nielsen · LinkedIn

John Nielsen, Nielco IT

Skal afhængigheden kortlægges?

Skriv kort, hvilke systemer eller leverandører det drejer sig om, og hvad anledningen er. Så vender jeg tilbage. Rådgivningen er uvildig og uafhængig, og Nielco IT har ikke indgået forhandleraftaler med leverandører.

Tak for din henvendelse. Jeg vender tilbage hurtigst muligt.

Eller kontakt os på

+45 70 13 63 23

info@nielcoit.dk

Seneste på bloggen

Statens udgifter til Microsoft: hvad tallene viser

Statens udgifter til Microsoft: hvad tallene viser

31. oktober 2026

Fysisk infrastruktur: hvem står bag pc'er, servere og netværksudstyr

Fysisk infrastruktur: hvem står bag pc’er, servere og netværksudstyr

30. oktober 2026

KL og kommunernes digitale handlefrihed

KL og kommunernes digitale handlefrihed

30. oktober 2026