EU kritiseres for masseovervågning: Hvad er chatkontrol, og hvad betyder det for dig?

Masseovervågning eller nødvendigt værktøj mod overgrebsmateriale af børn?

Det er kernen i en debat om en midlertidig undtagelse fra EU’s databeskyttelseslovgivning, der blev stemt igennem i Europa-Parlamentet den 9. juli i år. En undtagelse, der har eksisteret siden 2021, men udløb i april i år. Indtil den for nylig blev genindført.

Undtagelsen, der også går under navnet chatkontrol, giver udbydere af tjenester som Facebook, WhatsApp, Signal og forskellige emailservices mulighed for at bruge automatiserede værktøjer til at scanne ikke-krypterede beskeder, billeder og videoer for overgrebsmateriale af børn.

På sociale medier har mange ytret sig kritisk om chatkontrol, og flere prominente nuværende og tidligere medlemmer af Europa-Parlamentet har kaldt det masseovervågning og en trussel mod vores frihed og demokrati.

Samtidig har andre europaparlamentarikere, heriblandt danske Christel Schaldemose fra Socialdemokratiet, kaldt undtagelsen for et effektivt værktøj, og at det er en fordrejning, når folk kalder det et ønske om masseovervågning fra EU’s side.

Undtagelsen af databeskyttelseslovgivning til at opspore overgrebsmateriale får også opbakning fra en række interesseorganisationer som Red Barnet, Børns Vilkår og Digitalt Ansvar, som mener, at det ville være et svigt af de børn, der udsættes for overgreb, hvis der ikke bliver gjort noget for at stoppe delingen af videoerne.

TjekDet har set nærmere på et forløb, der strækker sig flere år tilbage. Der har nemlig hele tiden været et ønske fra flere EU-lande om at vedtage en permanent lovgivning - den såkaldte CSA-forordning. Og det er i virkeligheden den centrale tvist.

Vi giver dig her et indblik i, hvad det er for en overvågningssag, der tog fart i juli i år - men med al sandsynlighed ikke har kulmineret endnu.

Stemt igennem med særlig regel

Undtagelsen fra databeskyttelseslovgivning, der blev stemt igennem i parlamentet den 9. juli, er som nævnt ikke ny. Den blev indført i 2021 og gav virksomheder mulighed for frivilligt at scanne deres brugeres kommunikation for grooming og overgrebsmateriale af børn og indberette det. Men Meta, Microsoft, Google og andre udbydere, der er omfattet af undtagelsen, var ikke tvunget til det.

Da den mulighed skulle forlænges i marts i år, var der ikke flertal i parlamentet, og den udløb derfor 3. april.

For nyligt blev den så alligevel forlænget frem til april 2028, hvilket giver parterne i EU to år til at forhandle videre om en fast CSA-forordning - det, der også kaldes chatkontrol 2.0. CSA-forordningen vender vi tilbage til.

Falske rygter breder sig i udlandet: Danmark vil trække sig ud af EU, WHO og andre internationale organisationer

Når den midlertidige løsning alligevel kunne forlænges, skyldes det blandt andet, at man foretog en justering i teksten. Samtidig krævede det en særlig finte i lovgivningsprocessen.

I slutningen af juni - efter undtagelsen var udløbet i april - tog Europa-Parlamentets formand, Roberta Metsola, sagen op igen og involverede Ministerrådet, som sendte forslaget til afstemning i parlamentet på ny i en revideret udgave.

I den oprindelige undtagelse stod der ikke noget specifikt om muligheden for client-side scanning, hvilket er muligheden for at scanne indhold hos brugere på krypterede tjenester, inden det bliver krypteret og sendt.

Hvis du eksempelvis sender en besked på WhatsApp, krypterer tjenesten automatisk beskeden, når den sendes - men først når den sendes. Med client-side scanning får en udbyder som Meta, der blandt andet ejer WhatsApp og Facebook, mulighed for at scanne indholdet, inden det rent faktisk krypteres.

Undtagelsen gav ikke eksplicit lov til at gøre det, men den forbød det heller ikke.

I den reviderede undtagelse står der nu, at alt indhold, der er krypteret eller vil blive krypteret, ikke må scannes.

I Europa-Parlamentet var der dog stadig flertal for at forkaste denne reviderede undtagelse. Men der var ikke et såkaldt absolut flertal, hvilket kræver mindst 361 stemmer på samme side, da Europa-Parlamentet er sammensat af 720 medlemmer. Og særlige regler i EU’s lovgivningssystem betyder, at det var nødvendigt i dette tilfælde.

Dermed stod Europa-Parlamentet ikke længere i vejen for at genindføre undtagelsen, der gjorde frivillig scanning mulig igen, og den 23. juli blev det godkendt af EU’s medlemslande. 25 lande stemte for, heriblandt Danmark.

Forhandler stadig om permanent forordning

I den nuværende undtagelse fra databeskyttelseslovgivningen er det altså blevet understreget, at de krypterede tjenester som Signal, Telegram og WhatsApp ikke er en del af den frivillige mulighed for scanning.

Men sådan er det ikke i den permanente løsning, der har været på bordet siden 2022, hvor CSA-forordningen første gang blev præsenteret i EU. CSA-forordningen kaldes i daglig tale også for chatkontrol - eller chatkontrol 2.0, da den midlertidige undtagelse af mange også omtales som chatkontrol.

Efter TjekDets afsløringer opfordrer styrelse til sikkerhedstjek af overvågningskameraer

CSA står for child sexual abuse, og forordningen har til formål at bekæmpe seksuelt misbrug af børn online ved at scanne mere eller mindre al online kommunikation for deling af overgrebsmateriale.

“EU har længe ønsket at indføre permanent mulighed for at scanne, men det er altid stødt på modstand,” siger Andrej Savin, der er juraprofessor og leder af CBS Law.

Han tilføjer, at der efter hans vurdering er gode grunde til modstanden, fordi lovgivningen ifølge ham vil være meget invasiv. Det er særligt to elementer i CSA-forordningen, der har fået kritikere til at råbe vagt i gevær.

Vil scanne krypteret indhold

Det første er netop scanningen af krypteret materiale.

Det har været en central knast i forordningen, fordi det er et opgør med muligheden for at kommunikere online uden at blive overvåget. Det kan man på beskedtjenester som Telegram, Signal og WhatsApp, og hos Proton Mail kan man sende krypterede mails.

I det oprindelige forslag fra 2022 var det al krypteret kommunikation, man ønskede at scanne. Det ændrede sig senere hen, og her spillede Danmark en afgørende rolle.

Det var nemlig under Danmarks EU-formandskab i 2025, at der blev udarbejdet et kompromisforslag, som blandt andet undtog dele af krypteret kommunikation fra scanningen.

“I det oprindelige forslag til CSA-forordningen gjaldt det både tekst, billeder og lyd. I det ændrede forslag undtog man tekst og lyd og skrev, at kun billeder, videoer og links er omfattet,” siger Jens Myrup Pedersen, som er professor ved Institut for Elektro- og Computerteknologi på Aarhus Universitet

Der har været splittelse i Europa-Parlamentet både om forlængelsen af den midlertidige undtagelse i databeskyttelsesloven og den permanente forordning. Kun efter en revidering af undtagelsen og særlige regler i EU's lovgivningssystem kunne den forlænges på trods af et flertal imod.  Foto: Sebastien Bozon/AFP

Forsker undrer sig

Ifølge Jens Myrup Pedersen giver det dog ingen mening at inddrage links, når tekstbeskeder ikke må scannes.

“Jeg kan simpelthen ikke forstå, hvordan det kan lade sig gøre. Et link er jo tekst. Så hvis man vil detektere, at en besked indeholder et link, skal man læse alt teksten igennem,” siger han.

Jens Myrup Pedersen har tidligere udtalt sig kritisk om CSA-forordningen, og i oktober 2023 var han medunderskriver på et brev til daværende justitsminister Peter Hummelgaard (S), hvori der blev ytret bekymring om den danske opbakning til CSA-forslaget.

I oktober 2025 var han igen medunderskriver på et brev, denne gang rettet mod Europa-Parlamentet og EU-Kommissionen, hvor i alt 807 forskere fra 37 lande ytrede bekymring om CSA-forordningen.

Der er dog også sendt åbne breve med opbakning til en permanent mulighed for at scanne efter overgrebsmateriale af børn. Det skete for eksempel i marts 2026, hvor European Child Sexual Abuse Legislation Advocacy Group, ECLAG, der er en koalition af over 80 ngo'er, som har slået sig sammen for at beskytte børn mod seksuel vold og seksuelle overgreb, fordømte, at det ikke lykkedes at forlænge den midlertidige undtagelse.

Skal tvinges til at scanne

Det andet afgørende stridspunkt, hvor den mulige fremtidige CSA-forordning adskiller sig fra den midlertidige undtagelse fra databeskyttelseslovgivningen, er, at tech-virksomhederne i CSA-forordningen kan tvinges til at scanne indholdet af private borgeres kommunikation.

Vedtages CSA-forordningen, vil det altså ikke længere være op til udbyderne af krypterede tjenester som Whatsapp, Telegram, Signal og Proton Mail, om de vil scanne indhold, før det bliver krypteret og sendt til modtageren - det såkaldte client-side scanning. Det kan blive påbudt.

Det er nemlig ikke EU eller andre myndigheder, der skal stå for scanningen. Men med CSA-forordningen vil de kunne tvinge tech-virksomhederne til at gøre det og rapportere fund videre til et særligt EU-center, der skal oprettes som en del af forordningen. Dette EU-center videresender så sagerne til de relevante myndigheder.

EU-centeret skal altså blandt andet fungere som et center for indsamling og deling af viden og ekspertise, herunder i forhold til samarbejdet mellem myndigheder og tjenester.

Det danske justitsministerium forklarer i et faktaark om kompromisversionen af CSA-forordningen, at der er indført et sikkerhedsværn, som betyder, at den kommunikation, der bliver identificeret som mulig deling af overgrebsmateriale, i første omgang videresendes af virksomheden til EU-centret i anonymiseret form.

Når dette foreslåede EU-center vurderer, at oplysningerne kan danne grundlag for en strafferetlig efterforskning, gensendes oplysningerne fra tjenesten til EU-centeret uden anonymisering.

Svært at se for sig

Jens Myrup Pedersen har dog svært ved at se det for sig i praksis. Han vurderer, at EU forsøger sig med noget, der er uladsiggørligt. Ifølge Jens Myrup Pedersen vil der nemlig være tale om omfattede overvågning, hvis man virkelig vil have det til at lade sig gøre.  

“For hvordan forestiller man sig, at det skal fungere i praksis? Der sidder nogen i et EU-center og bliver bombarderet med billeder af børn - også helt legitime billeder, som familiemedlemmer har sendt til hinanden,” siger Jens Myrup Pedersen med henvisning til såkaldte falske positiver, som altså er billeder, der markeres som muligt overgrebsmateriale, men blot er eksempelvis uskyldige feriebilleder af børn.

“Kan man ud fra billedet alene vurdere, om det er overgrebsmateriale uden at kende den kontekst, som tekst giver? Det må godt nok være svært,” siger han.

Derudover bygger det på en meget specifik automatiseret teknologi, der ikke er udviklet endnu.

Hvis CSA-forordningen bliver stemt igennem på et tidspunkt, sådan som det er formuleret lige nu, hvor lang tid tror du så, det ville tage at udvikle teknologien og centeret, der skulle til for at rent faktisk udføre det?

“Jeg tror simpelthen ikke, at man vil være i stand til at udvikle det – og i alt fald ikke indenfor rimelig tid. Apple prøvede jo også at udvikle noget tilsvarende, og de gav op. Det er svært at tro på, at EU kan udvikle noget, som Apple har opgivet,” siger Jens Myrup Pedersen.

Andrej Savin fra CBS er heller ikke tilstrækkeligt overbevist om, at den type scanning, der lægges op til i CSA-forordningen, er effektiv. Uagtet kritikken af den.

“Men jeg er villig til at blive overtalt på anden vis,” siger han. 

Hvis du kan lide TjekDets artikler og vil være sikker på ikke at gå glip af den nyeste, så følg os på Facebook ved at klikke her eller Instagram ved at klikke her. Du kan også tilmelde dig TjekDets gratis nyhedsbreve, hvor vi tipper dig om vores seneste faktatjek, advarer om digital svindel og deler seneste nyt om mis- og desinformation – direkte i din mailindbakke. Tilmeld dig nyhedsbrevene her.