Chattkontrollen som blev kvar – frivillig skanning och striden om krypteringen

Debatten om ”chattkontroll” handlar oftast om en lag som ännu inte finns: EU:s permanenta förordning om sexuella övergrepp mot barn på nätet, som kommissionen föreslog i maj 2022 och som fortfarande förhandlas. Men den skanning av privata meddelanden som debatten gäller har pågått i flera år med stöd av en tillfällig undantagsregel. I april 2026 löpte regeln ut. I juli kom den tillbaka, med en viktig ändring: kommunikation med totalsträckskryptering undantas nu uttryckligen.

En undantagsregel, inte en skyldighet

EU:s ePrivacydirektiv skyddar meddelandens konfidentialitet och begränsar hur leverantörer får behandla trafikdata. Förordningen 2021/1232, som antogs i juli 2021, gör ett tillfälligt undantag från de reglerna. Den låter leverantörer av så kallade nummeroberoende interpersonella kommunikationstjänster, alltså meddelandetjänster som inte bygger på telefonnummer, frivilligt och under strikta villkor använda viss teknik för att upptäcka och rapportera sexuella övergrepp mot barn och ta bort övergreppsmaterial.

Två saker är lätta att missa. Regeln tvingar ingen att skanna. Den gör det tillåtet för den som vill, utan att det strider mot ePrivacyreglerna. Och den ersätter inte dataskyddsförordningen. GDPR fortsätter att gälla. Undantaget ger ingen egen rättslig grund för personuppgiftsbehandlingen, vilket framgår av den nya förordningens skäl 14.

Undantaget skulle först gälla till augusti 2024 och förlängdes sedan till 3 april 2026. Det var tänkt som en bro till den permanenta lagen, som skulle ha varit på plats innan bron tog slut.

Parlamentets två omröstningar

I december 2025 föreslog kommissionen en ny förlängning, till 3 april 2028, utan någon annan ändring. Förhandlingarna om den permanenta lagen hade inte blivit klara, och kommissionen ville undvika ett rättsligt tomrum.

Europaparlamentet ville något annat. Den 11 mars 2026 röstade parlamentet med 458 röster mot 103, och 63 nedlagda, för en kortare förlängning, till 3 augusti 2027, med tydliga begränsningar. Den frivilliga skanningen skulle inte få omfatta totalsträckskrypterad kommunikation och inte trafikdata. Den skulle bara gälla material som redan har identifierats som övergreppsmaterial eller flaggats av en användare, en betrodd flaggare eller en organisation, och riktas mot användare som en rättslig myndighet bedömt som skäligen misstänkta.

Begränsningen till redan känt material är mer än en juridisk detalj. Parlamentets föredragande Birgit Sippel motiverade den med att skanningen bör gälla tidigare identifierat material med kända hashvärden och material som har flaggats. Ett hashvärde fungerar som ett digitalt fingeravtryck: en bild kan kännas igen genom att dess värde jämförs med en lista över redan identifierat material. Att upptäcka nytt material eller kontaktförsök mot barn, så kallad grooming, kräver i stället att tekniken bedömer innehåll som ingen har granskat tidigare.

Förhandlingarna med rådet ledde inte till någon överenskommelse. Den 26 mars röstade parlamentet ned förslaget, med 228 röster för, 311 mot och 92 nedlagda. Undantaget löpte därmed ut efter den 3 april 2026, och från den 4 april saknade den frivilliga skanningen stöd i just den undantagsregeln.

Vägen tillbaka gick via andra behandlingen

Ärendet var ändå inte avslutat. Rådet antog sin ståndpunkt den 2 juli. Den öppnade för att återinföra det tillfälliga undantaget.

Den 9 juli antog parlamentet tre ändringar i rådets text. Enligt kommissionens yttrande undantar de från förordningens tillämpningsområde all kommunikation i meddelandetjänsterna där totalsträckskryptering ”tillämpas, har tillämpats eller kommer att tillämpas”.

Kommissionen accepterade ändringarna, men inte utan förbehåll. Räckvidden för undantaget skulle enligt kommissionen vinna på mer precision och tydlighet, och godkännandet påverkar inte kommissionens hållning i förhandlingarna om den permanenta lagen. Rådet godkände akten den 23 juli. Den publicerades den 28 juli som förordning 2026/1881 och trädde i kraft den 31 juli, tre dagar efter publiceringen. Den gäller till den 3 april 2028.

Återinförandet har ingen retroaktiv verkan. Från den 4 april till och med den 30 juli fanns alltså nästan fyra månader då undantaget inte gällde.

Krypteringsundantaget och dess oklara gräns

Totalsträckskryptering innebär att bara avsändare och mottagare kan läsa ett meddelande. Leverantören som förmedlar det ser inte innehållet. För skanning i leverantörens system är det därför ett tekniskt hinder, inte bara ett juridiskt. Undantaget i den nya förordningen gör det hindret till en uttrycklig gräns för vad regeln täcker.

Formuleringen väcker samtidigt en fråga som kommissionen själv pekar på. Kommunikation där kryptering ”kommer att tillämpas” är undantagen redan innan krypteringen är införd. Vad som krävs för att kommunikation ska räknas dit, till exempel om det räcker att en leverantör har planer på kryptering, framgår inte av kommissionens sammanfattning. Kommissionens invändning visar att räckvidden behöver klargöras; yttrandet avgör inte hur en framtida krypteringsplan ska bedömas.

Avvägningen är verklig åt båda håll. Kommissionen skriver att barn behöver ett effektivt skydd både mot sexuellt våld och mot sekundär viktimisering. Parlamentets ändringar i både mars och juli undantog krypterad kommunikation. Det var krypteringsgränsen som till slut skrevs in.

Den permanenta lagen förhandlas fortfarande

Förslaget till permanent förordning innehåller även en annan mekanism: myndigheter skulle kunna besluta om upptäcktsorder (detection orders), som ålägger en leverantör att leta efter övergreppsmaterial. LIBE-utskottets förslag till parlamentets ståndpunkt från november 2023 gör sådana order till en sista utväg: de ska vara tidsbegränsade, beslutas av en rättslig myndighet och riktas mot personer eller grupper där det finns skälig misstanke. Totalsträckskryptering undantas från upptäcktsordern.

Rådet antog sin ståndpunkt i november 2025, och förhandlingarna mellan institutionerna har pågått sedan dess. Rådets kallelser den 9 oktober 2026 tog upp en teknisk diskussion om ett möjligt upptäcktspaket och förhandlingsläget inför möten den 20 oktober. Kallelserna visar vad som skulle diskuteras, men belägger inget beslut om innehållet.

Det är samma fråga som avgjorde den tillfälliga regeln. När och hur innehåll får skannas är själva kärnan i det som debatten kallar chattkontroll.

Vad som avgörs före 2028

Den återinförda regeln köper tid till april 2028. Den ger också förhandlarna ett utgångsläge som är svårt att bortse från. Parlamentet har visat att det kan låta en regel löpa ut när det inte får igenom sina villkor, och den gällande tillfälliga förordningen undantar nu krypterad kommunikation i lagtext.

Kommissionen betonar att den nya förordningen inte påverkar förhandlingarna om den permanenta lagen. Formellt stämmer det. Men om den permanenta lagen inte är klar i tid upprepas samma val som i våras: en ny förlängning, ett nytt glapp eller en kompromiss om just den fråga som ingen har lyckats lösa på över fyra år.