Chat control: Når beskyttelse av barn blir en døråpner for overvåking

Datatilsynet advarte om mangelfullt lovgrunnlag og ba om en ny vurdering av personvernkonsekvensene. Likevel vedtok regjeringen den norske forskriftsbestemmelsen som åpner for skanning av privat kommunikasjon. Kampen mot seksuelle overgrep mot barn er avgjørende, men gode hensikter gjør ikke alle teknologiske virkemidler forsvarlige.

Det finnes knapt noe formål det er lettere å samle politisk støtte til enn beskyttelse av barn mot seksuelle overgrep. Nettopp derfor må vi være ekstra påpasselige når dette formålet brukes til å innføre teknologi som kan kontrollere privat kommunikasjon i stor skala.

Motstand mot generell meldingsskanning betyr ikke at man er mot bekjempelse av overgrep. Spørsmålet er om vi beskytter barn ved å gjøre alle innbyggere til gjenstand for automatisert kontroll, eller om vi samtidig bygger en overvåkingsinfrastruktur som senere kan brukes til langt mer.

Som fagperson mener jeg saken må vurderes fra minst tre sider: personvern, informasjonssikkerhet og hva teknologien faktisk er i stand til å gjøre.

Regjeringen vedtok bestemmelsen – men den er ikke satt i kraft

Den norske bestemmelsen finnes i paragraf 3-7 i den nye ekomforskriften. Den innlemmer EUs midlertidige forordning 2021/1232, med endringen fra 2024, og gjør unntak fra det normale kommunikasjonsvernet slik at meldingstjenester kan behandle kommunikasjon for å oppdage og rapportere seksuelt overgrepsmateriale mot barn. Forskriften ble vedtatt, men paragraf 3-7 er uttrykkelig unntatt fra den generelle ikrafttredelsen og skal først gjelde når departementet bestemmer det.

Datatilsynet påpekte allerede under lovbehandlingen at slik skanning ikke bare innebærer behandling av vanlige personopplysninger. Når et system merker en bruker eller melding som mulig overgrepsmateriale, behandles det i praksis opplysninger om en mulig lovovertredelse. Slike opplysninger er særskilt regulert av GDPR artikkel 10.

Tilsynet mente derfor at det var nødvendig med en klar nasjonal hjemmel med konkrete garantier for de registrertes rettigheter. Det ba også om at personvernkonsekvensene måtte vurderes og at hjemmelen måtte gjennom en ny høring og demokratisk kontroll. Departementets svar var at behandlingsgrunnlaget kunne fastsettes i forskrift. Bestemmelsen ble senere vedtatt uten endringene Datatilsynet etterlyste.

Dette er ikke bare juridisk flisespikking. EUs egen regulering presiserer at unntaket fra kommunikasjonsvernet ikke i seg selv gir et behandlingsgrunnlag etter GDPR. Den fjerner ett rettslig hinder, men tjenesteleverandøren må fortsatt ha et gyldig grunnlag for selve behandlingen av personopplysningene.

Når Datatilsynet mener at dette grunnlaget og garantiene ikke er tydelige nok, burde den naturlige reaksjonen være å stoppe opp og utrede saken bedre.

En viktig oppdatering om dagens EU-regler

Det opprinnelige EU-regelverket som den norske paragrafen viser til, utløp 3. april 2026. EU vedtok deretter en ny midlertidig forordning, 2026/1881, som trådte i kraft 31. juli 2026 og skal gjelde frem til 3. april 2028. Forhandlingene om det permanente regelverket, ofte kalt «chat control 2.0», pågår fortsatt.

Den nye midlertidige EU-forordningen inneholder en svært viktig begrensning: Skanningen skal ikke brukes på kommunikasjon som er, har vært eller skal bli ende-til-ende-kryptert.

Det betyr at påstanden om at myndighetene nå fritt kan lese alle WhatsApp- eller Signal-meldinger, ikke er presis. Den midlertidige ordningen gir teknologiselskaper adgang til frivillig skanning på tjenester der leverandøren teknisk har tilgang til innholdet. Den gir ikke politiet direkte tilgang til alles telefoner, og den nye EU-versjonen unntar ende-til-ende-kryptert kommunikasjon.

Likevel er prinsippet alvorlig: Privat kommunikasjon kan analyseres systematisk uten konkret mistanke mot avsender eller mottaker.

Norske myndigheter må dessuten avklare hvordan den nye EU-forordningen skal behandles gjennom EØS-systemet, siden den vedtatte norske paragrafen viser til et EU-regelverk som nå er utløpt og erstattet.

Privat kommunikasjon er mer enn bare data

Private meldinger kan inneholde helseopplysninger, intime bilder, økonomiske problemer, familiekriser, politiske oppfatninger, juridiske spørsmål, forretningshemmeligheter og kommunikasjon mellom journalister og kilder.

Det avgjørende personvernproblemet er derfor ikke bare hva selskapene leter etter i dag. Problemet er at det etableres et prinsipp om at alle private samtaler kan gjøres tilgjengelige for automatisert innholdskontroll.

I et tradisjonelt rettssamfunn krever overvåking normalt en konkret mistanke, et lovlig formål og uavhengig kontroll. Med generell meldingsskanning snus dette prinsippet på hodet: Alles kommunikasjon undersøkes for å finne ut hvem som kanskje bør mistenkes.

EU-organene EDPB og EDPS har advart om at det permanente forslaget kan danne grunnlag for de facto generell og udifferensiert skanning av elektronisk kommunikasjon.

At analysen gjennomføres av Meta, Google, Microsoft eller andre private selskaper, gjør ikke inngrepet mindre. Det innebærer i stedet at private selskaper får en rolle som automatiserte kontrollører, bevisprodusenter og portvakter mellom privat kommunikasjon og politimyndigheter.

«Frivillig» betyr ikke nødvendigvis frivillig for brukeren

Chat control 1.0 omtales som en frivillig ordning fordi selskapene ikke pålegges å skanne. Men brukeren som sender meldingen, får ikke nødvendigvis et reelt valg.

Dersom en meldingstjeneste beslutter å analysere alt innhold, kan alternativet for brukeren være å godta dette eller slutte å bruke tjenesten. Store plattformer kan samtidig oppleve politisk press, omdømmerisiko og frykt for ansvar dersom de lar være.

Frivilligheten ligger derfor hovedsakelig hos selskapet, ikke hos menneskene hvis meldinger blir kontrollert.

Slik fungerer teknologien

Begrepet «skanning» kan gi inntrykk av én bestemt og svært presis teknologi. I virkeligheten brukes flere helt forskjellige metoder.

Kjente bilder kan finnes med digitale fingeravtrykk

Kjent overgrepsmateriale kan identifiseres ved hjelp av hashing. Et vanlig kryptografisk fingeravtrykk finner identiske filer, mens såkalt perseptuell hashing forsøker å finne visuelt lignende bilder selv om de er skalert, beskåret eller komprimert.

PhotoDNA, PDQ og tilsvarende teknologier brukes til dette formålet. Metoden kan være effektiv når man leter etter materiale som allerede er kontrollert og klassifisert av mennesker.

Dette er teknologisk den mest forsvarlige formen for deteksjon, men heller ikke den er feilfri. Resultatet avhenger av kvaliteten og integriteten til databasen med digitale fingeravtrykk, terskelverdiene som benyttes og motstandsdyktigheten mot manipulasjon.

En feil i databasen kan spre seg til alle systemer som bruker den. Et system må derfor ha uavhengig revisjon, strenge tilgangskontroller, sporbarhet og menneskelig kontroll før en bruker rapporteres. Den nye EU-forordningen krever selv rapportering av feilrater og falske positive, noe som viser at feilklassifisering er en reell del av problemstillingen.

Ukjent materiale krever sannsynlighetsmodeller

Det er langt vanskeligere å identifisere tidligere ukjente bilder og videoer. Da må systemet bruke bildeanalyse eller kunstig intelligens for å vurdere om innholdet sannsynligvis viser et overgrep.

Et slikt system vet ikke hva et bilde juridisk eller menneskelig sett betyr. Det beregner mønstre og sannsynligheter.

Familiebilder, medisinsk dokumentasjon, bilder fra bading, kunst, journalistisk materiale eller materiale som sendes til politi og hjelpeorganisasjoner, kan ligne på egenskapene modellen er trent til å reagere på.

Når milliarder av meldinger og filer behandles, kan selv en svært lav prosentandel feil skape et betydelig antall uriktige varsler. Falske treff kan påføre uskyldige mennesker enorme belastninger og samtidig oversvømme politiet med saker som må kontrolleres manuelt.

Analyse av samtaler er enda mer usikkert

For å oppdage grooming må systemer analysere tekst, mønstre, aldersforskjeller, ordvalg og utviklingen i en samtale.

Språk er kontekstavhengig. Den samme setningen kan være uskyldig mellom familiemedlemmer, alvorlig i en annen sammenheng, en spøk, et sitat eller en del av en samtale med helsepersonell, lærer, advokat eller hjelpeapparat.

Kunstig intelligens kan finne statistiske mønstre, men den kan ikke med sikkerhet forstå menneskelige relasjoner og juridisk kontekst. Europaparlamentet har derfor fremhevet behovet for menneskelig kontroll, vurdering av falske positive og falske negative og beskyttelse av kryptert kommunikasjon.

Ende-til-ende-kryptering kan ikke gjøres «litt åpen»

Ved ekte ende-til-ende-kryptering finnes meldingens ukrypterte innhold bare hos avsenderen og mottakeren. Tjenesteleverandøren har ikke nøkkelen som trengs for å lese den.

Dersom slike meldinger skal kontrolleres, må skanningen derfor skje på telefonen før meldingen krypteres, eller etter at den er dekryptert hos mottakeren. Dette omtales gjerne som klientskanning.

Rent matematisk kan selve krypteringsalgoritmen fortsatt være intakt. Men sikkerhetsmodellen er likevel brutt fordi programvaren på endepunktet analyserer innholdet mens det er lesbart.

Da etableres en mekanisme som kan:

• undersøke privat innhold på telefonen,
• sammenligne innholdet mot sentralt bestemte databaser eller modeller,
• rapportere treff til en tredjepart,
• og endres gjennom fremtidige programvareoppdateringer.

En omfattende fagfellevurdert analyse av klientskanning konkluderer med at teknologien kan omgås og misbrukes, samtidig som den skaper nye sikkerhets- og personvernrisikoer for samfunnet.

Dette er grunnen til at påstanden om at man kan skanne ende-til-ende-krypterte meldinger uten å svekke sikkerheten, er misvisende. Man trenger ikke nødvendigvis å knekke krypteringen dersom man i stedet kontrollerer det ukrypterte innholdet på selve telefonen.

Det er positivt at den nye midlertidige EU-forordningen uttrykkelig unntar ende-til-ende-kryptert kommunikasjon. Denne beskyttelsen må også beholdes i det permanente regelverket.

En innebygd kontrollmekanisme skaper et attraktivt angrepsmål

Fra et informasjonssikkerhetsperspektiv er enhver ny kontrollmekanisme også en ny angrepsflate.

En database med digitale fingeravtrykk kan manipuleres. En modell kan oppdateres. En oppdateringsserver kan kompromitteres. Ansatte eller leverandører kan misbruke tilgang. Autoritære stater kan kreve at listen utvides til politiske bilder, dokumenter eller bestemte personer.

Teknologien ser ikke forskjell på et digitalt fingeravtrykk for overgrepsmateriale og et fingeravtrykk for et politisk dokument. Forskjellen ligger bare i hvem som kontrollerer listen og hvilke regler som gjelder akkurat nå.

Når infrastrukturen først er bygget inn i operativsystemer og meldingstjenester, blir en senere formålsutvidelse først og fremst en politisk beslutning og en programvareoppdatering.

Det finnes ingen teknisk bakdør som bare kan brukes av demokratiske myndigheter med gode hensikter. Den samme mekanismen kan utnyttes av kriminelle, fremmede stater, korrupte ansatte og framtidige regjeringer med et annet syn på ytringsfrihet.

Også barn trenger sikker og privat kommunikasjon

Barns sikkerhet og kryptering blir ofte fremstilt som motsetninger. Det er de ikke.

Barn og unge kan ha behov for å kommunisere fortrolig med helsesykepleiere, hjelpelinjer, advokater, politi eller voksne de stoler på. Ofre for overgrep kan være avhengige av at overgriperen ikke kan overvåke kontakten deres med hjelpeapparatet.

Den nye EU-forordningen erkjenner selv at sikker kommunikasjon er viktig for kontakt mellom ofre, betrodde voksne, hjelpeorganisasjoner og advokater.

Å svekke sikkerheten til alle kan dermed også svekke sikkerheten til menneskene regelverket skal beskytte.

Norge bør ikke aktivere paragraf 3-7 uten en ny behandling

Bestemmelsen er vedtatt, men ennå ikke satt i kraft. Det gir norske myndigheter en mulighet til å gjøre det som burde vært gjort tidligere.

Før paragraf 3-7 aktiveres, bør regjeringen:

1. gjennomføre og offentliggjøre en full personvernkonsekvensvurdering,
2. sende den oppdaterte reguleringen på en ny offentlig høring,
3. etablere et tydelig nasjonalt behandlingsgrunnlag for opplysninger om mulige lovovertredelser,
4. uttrykkelig forby klientskanning og skanning av ende-til-ende-kryptert kommunikasjon,
5. begrense automatisert skanning til klart definerte og dokumenterte formål,
6. kreve uavhengig teknisk revisjon og offentlig statistikk over feil,
7. sikre menneskelig kontroll før opplysninger sendes til politi eller andre organisasjoner,
8. etablere reelle klage-, innsyns- og erstatningsordninger for mennesker som blir feilaktig flagget,
9. og legge enhver senere utvidelse frem for Stortinget i stedet for å gjennomføre den administrativt.

Samtidig bør ressursene styrkes der de gir mest målrettet effekt: spesialisert politiarbeid, internasjonalt samarbeid, identifisering og redning av ofre, rask fjerning av kjent materiale, etterforskning av konkrete nettverk og bedre støtte til utsatte barn.

Målet helliger ikke ethvert middel

Seksuelle overgrep mot barn er blant de mest alvorlige forbrytelsene samfunnet skal bekjempe. Men alvorlige forbrytelser opphever ikke behovet for rettssikkerhet, forholdsmessighet og teknisk forsvarlige løsninger.

Et samfunn bør ikke bygge systemer som undersøker alles private kommunikasjon fordi noen få begår alvorlige lovbrudd. Vi åpner ikke all fysisk post, installerer kamera i alle hjem eller avlytter alle telefonsamtaler av den grunn.

Digital kommunikasjon bør ikke få svakere vern bare fordi overvåkingen kan automatiseres og foregå usynlig.

Datatilsynets advarsel burde derfor vært behandlet som en alvorlig demokratisk og teknisk innvending, ikke som et hinder som kunne passeres på veien mot en rask forskriftsendring.

Beskyttelse av barn og beskyttelse av privat kommunikasjon er ikke konkurrerende mål. Oppgaven er å utvikle målrettede tiltak som ivaretar begge deler – uten å gjøre hver mobiltelefon, e-postkonto og meldingstjeneste til et permanent kontrollpunkt.

Du kan lese mer her