UE przywraca skanowanie wiadomości z czatów. „Do tej pory prywatność była opcją domyślną”

Sprawa skanowania czatów w lipcu ponownie stała się przedmiotem gorącej dyskusji w Parlamencie Europejskim. Nie chodzi jednak o docelowe, systemowe rozwiązanie służące ochronie dzieci w internecie, lecz o przedłużenie tymczasowego wyjątku.

Od strony legislacyjnej sytuacja wygląda następująco:

•  Do 3 kwietnia 2026 roku obowiązywało odstępstwo od dyrektywy ePrivacy. Wyjątek, okrzyknięty Chat Control 1.0, pozwalał dostawcom komunikatorów na dobrowolne skanowanie prywatnych wiadomości. Cel? Wyśledzenie materiałów przedstawiających wykorzystywanie seksualne dzieci (CSAM - Child Sexual Abuse Materials) 
• Powstała luka prawna, ponieważ przed wygaśnięciem przepisów nie udało się osiągnąć kompromisu na szczeblu europejskim. Część europosłów kwestionowała zgodność automatycznego skanowania prywatnej komunikacji z prawem do prywatności i tajemnicy korespondencji. W tym samym czasie m.in. Europol wskazywał na możliwy spadek liczby raportów dotyczących CSAM, co utrudniłoby walkę z przestępcami.
• 9 lipca 2026 roku w PE głosowano nad przedłużeniem obowiązywania ww. wyjątku do 3 kwietnia 2028 roku. 23 lipca Rada ostatecznie zatwierdziła rozporządzenie umożliwiające dostawcom usług internetowych wznowienie dobrowolnego skanowania czatów.

– To ważny dzień dla ochrony dzieci. Zatwierdzenie rozporządzenia pozwala szybko zniwelować lukę prawną, która powstała, gdy w kwietniu wygasło odstępstwo od przepisów o prywatności i łączności elektronicznej. Dzięki decyzji podjętej przez Parlament na początku tego miesiąca i późniejszej decyzji Rady dostawcy usług internetowych będą mogli wznowić dobrowolne działania, by zwalczać rozpowszechnianie w internecie materiałów przedstawiających wykorzystywanie seksualne dzieci. Jest to właściwe rozwiązanie i jestem przekonany, że takie samo poczucie odpowiedzialności pomoże nam wynegocjować długoterminowe przepisy dotyczące wykrywania materiałów przedstawiających wykorzystywanie seksualne dzieci w internecie. Ochrona dzieci musi być dla nas priorytetem – wyjaśniał w Parlamencie Europejskim Jim O’Callaghan, irlandzki minister sprawiedliwości.

Tymczasowa furtka, a nie nakaz

„Pełne szyfrowanie transmisji jest ważnym narzędziem służącym zapewnieniu bezpieczeństwa i poufności komunikacji użytkowników, w tym dzieci. Jakiekolwiek ograniczenie szyfrowania mogłoby być potencjalnie wykorzystywane przez osoby trzecie działające w złej wierze. Żaden z przepisów niniejszego rozporządzenia nie powinien być zatem interpretowany jako zakaz lub ograniczenie pełnego szyfrowania transmisji” – czytamy w rozporządzeniu.

O dobrowolność oraz tymczasowy charakter tego rozwiązania pytamy Konrada Ciesiołkiewicza, wiceprzewodniczącego Państwowej Komisji ds. przeciwdziałania wykorzystaniu seksualnemu małoletnich. Jak podkreśla, nowe przepisy przede wszystkim uzupełniają lukę prawną, która powstała w kwietniu 2026 r. Wówczas platformy straciły podstawę prawną do skanowania czatów.

Przeczytaj: Ochrona dzieci przed pornografią a „technologiczna puszka Pandory”. UE szuka złotego środka w sprawie kontroli czatów

– Uniwersalna regulacja dotycząca CSAM jest wciąż odkładana. Docelowo chcielibyśmy, aby powstało europejskie centrum, do którego platformy zgłaszałyby tego typu treści. Byłby to jeden hub odpowiedzialny za analizę raportów. Wzorem może być amerykańska organizacja NCMEC, czyli National Center for Missing & Exploited Children. Brakuje jednak woli politycznej, by stworzyć rozwiązanie systemowe – wyjaśnia nasz rozmówca.

O co toczy się gra?

Skalę wykorzystywania seksualnego dzieci w internecie trudno precyzyjnie określić z wielu powodów. Nasi rozmówcy wskazują m.in. na niewystarczające działania platform i operatorów telekomunikacyjnych w zakresie zapobiegania rozpowszechnianiu treści CSAM. Problem pogłębia fakt, że osoby poszkodowane często nie zgłaszają tego, co spotyka je w sieci.

– Z rozmów z dziećmi wynika, że część z nich traktuje otrzymywanie od dorosłych niewłaściwych zdjęć jako koszt bycia w internecie. Musimy włożyć jeszcze więcej wysiłku w edukację cyfrową, ponieważ wciąż zbyt często osoby poszkodowane nie zgłaszają takich incydentów. Dzieci, choć początkowo mówią „nie”, pod wpływem manipulacji często ulegają sprawcom. Treści określane jako self-generated content są wytwarzane przez dzieci samodzielnie, lecz niekoniecznie dobrowolnie. Największym wyzwaniem pozostają czaty szyfrowane end-to-end, czyli E2EE. W tym modelu ochrony korespondencji treść wiadomości mogą odczytać wyłącznie nadawca i odbiorca – wyjaśnia Martyna Różycka, kierowniczka działu Dyżurnet.pl w NASK.

Musimy włożyć jeszcze więcej wysiłku w edukację cyfrową, ponieważ wciąż zbyt często osoby poszkodowane nie zgłaszają takich incydentów. Dzieci, choć początkowo mówią „nie”, pod wpływem manipulacji często ulegają sprawcom.

CSAM. Statystyki

Jednym ze źródeł danych o skali zjawiska jest CyberTipline – system zgłoszeń prowadzony przez amerykańską organizację NCMEC. Statystyki pokazują, że w zakresie przeciwdziałania rozpowszechnianiu treści CSAM wciąż pozostaje wiele do zrobienia.

Jedno ze zdjęć sklasyfikowanych jako CSAM było rozpowszechniane przez 19 lat i pojawiło się w ponad 1,3 mln zgłoszeń. Każdego roku NCMEC otrzymuje dziesiątki milionów raportów dotyczących wykrycia przez dostawców usług internetowych materiałów, które mogą wskazywać na seksualne wykorzystywanie dzieci. Niemal połowę obrazów stanowią nowe treści, wcześniej niezakwalifikowane jako CSAM.

To właśnie nowe materiały, w tym transmisje prowadzone na żywo, są najbardziej alarmującym sygnałem. Mogą bowiem wskazywać, że dziecko jest krzywdzone w danym momencie.

Jak ma działać skanowanie?

Konrad Ciesiołkiewicz wyjaśnia, że jedną z metod wykrywania takich treści jest haszowanie. Polega ono na tworzeniu unikalnego cyfrowego „odcisku”, który pozwala rozpoznać materiały CSAM już wcześniej zidentyfikowane i rozpowszechnione w sieci.

– Haszowanie to cyfrowe DNA. Służby nie analizują każdego zdjęcia osobno, ponieważ zajmowałoby to ogromnie dużo czasu. Narażałoby też pracowników na zespół stresu pourazowego, który i tak nie jest rzadkością w sektorze cyberbezpieczeństwa. Co ważne, hasze nie pozwalają wykrywać nowych materiałów. Tymczasem to właśnie one mogą wskazywać, że dziecko jest krzywdzone w czasie rzeczywistym i konieczna jest natychmiastowa interwencja – wyjaśnia ekspert.

Inną metodą jest – jak tłumaczy nasz rozmówca – koncentrowanie się na podejrzanych zachowaniach i grupach użytkowników. Jeżeli mężczyzna w średnim wieku kontaktuje się za pośrednictwem platform społecznościowych z osobami małoletnimi, dla dostawcy usług powinien to być sygnał ostrzegawczy.

Wierzchołek góry lodowej

Rozpowszechnianie treści CSAM w sieci jest jedynie jednym z elementów procesu wykorzystywania małoletnich. Przyjęta na szczeblu unijnym regulacja dotyczy tylko jednego etapu – dystrybucji nielegalnych materiałów. Wcześniej dochodzi do skrzywdzenia dziecka i wytworzenia materiału. Dystrybucja stanowi etap końcowy, na którym prawo miałoby zadziałać.

– Nie mamy kompleksowego systemu działań i zapewne długo go nie będziemy mieć. Na każdym z tych etapów potrzebne byłyby procedury profilaktyki i reagowania. Punktem wyjścia powinna być edukacja seksualna, dzięki której dzieci wiedziałyby, czego nie wolno dorosłym, ale również innym małoletnim. Powinny także wiedzieć, co zrobić, gdy dochodzi do naruszenia ich praw lub do szantażu. Sprawcy nieustannie poszukują nowych zdjęć i ofiar. Co gorsza, korzystają również z otwartych źródeł – mówi Martyna Różycka.

Sprawcy nieustannie poszukują nowych zdjęć i ofiar. Co gorsza, korzystają również z otwartych źródeł.

Ekspertka z NASK dodaje, że rodzice często publikują w sieci zdjęcia dzieci, kierując się dobrymi intencjami. Nawet pozornie neutralne fotografie mogą zostać jednak wykorzystane przez osoby o skłonnościach pedofilskich.

W dyskusji o ochronie dzieci nie chodzi zatem wyłącznie o regulacje prawne, lecz także o edukację i odpowiedzialność rodziców. Pozostaje jednak pytanie, czy ingerencja w już i tak ograniczoną prywatność w sieci jest jedyną drogą do zapewnienia bezpieczeństwa małoletnim.

Bezpieczeństwo dzieci a deklaracje platform

Nasi rozmówcy są zgodni, że w interesie cyfrowych gigantów leży stosowanie zabezpieczeń przed rozpowszechnianiem treści CSAM. Przemawiają za tym również względy biznesowe. Żadnej firmie nie opłaca się przechowywać takich materiałów w swoich bazach danych ani ryzykować udziału w nielegalnym procederze i przyczyniania się do krzywdzenia dzieci.

Meta, właściciel m.in. Facebooka, Messengera i Instagrama, deklaruje, że zgodnie z prawem zgłasza nielegalne materiały organizacji NCMEC. W komunikacie firmy czytamy również, że nagie zdjęcia dzieci publikowane przez rodziców są usuwane ze względu na ryzyko ich wykorzystania przez osoby trzecie. Stosowanie podobnych zabezpieczeń, współpracę z organami ścigania oraz możliwość zgłaszania nielegalnych treści deklarują także m.in. Discord, TikTok, Google i WhatsApp. W przypadku WhatsAppa analizowane są wyłącznie nieszyfrowane informacje, takie jak zdjęcia profilowe i ikony grup.

Przeczytaj: Zakazy – recepta na ochronę dzieci w internecie? „Mam wrażenie, że to dorosłym powinno się ograniczać dostęp”

Paula Skrzypecka, prawniczka specjalizująca się w prawie nowych technologii, radzi jednak, by nie pokładać nadziei w dobrej woli big techów.

– Powierzanie tym podmiotom roli prywatnej policji brzmi jak kiepski pomysł. W ubiegłym roku Meta wykorzystywała zdjęcia trzynastolatek w mundurkach szkolnych, publikowane przez rodziców na Instagramie, do kierowania reklam do trzydziestoletnich mężczyzn. Gdy natomiast wyszło na jaw, że Grok pozwala generować seksualizowane treści na podstawie zdjęć konkretnych osób, w tym dzieci poniżej piątego roku życia, funkcji nie usunięto, lecz ograniczono ją do kont płatnych – przypomina Paula Skrzypecka.

Gdyby skanowanie było obowiązkiem, musiałoby przejść test proporcjonalności. Potrzebne byłyby podstawa ustawowa, kontrola sądowa, określone przesłanki i terminy oraz obowiązek powiadomienia osoby, której dane poddano analizie.

– Tymczasem mamy do czynienia z dobrowolną aktywnością giganta technologicznego. Państwo przekazało prywatnej firmie możliwość ingerowania w prywatność, zwalniając ją zarazem ze standardów, które obowiązywałyby służby. Użytkownikowi pozostaje natomiast regulamin oparty na prawie amerykańskim – podsumowuje Paula Skrzypecka.

Cena bezpieczeństwa

Po prawej stronie sceny politycznej skanowanie czatów zaczęto przedstawiać jako równoznaczne z masową inwigilacją. Spór o prawo do prywatności – podczas gdy samo skanowanie jest, nomen omen, wyjątkiem od przepisów dyrektywy ePrivacy – dotyczy jednak nie tyle celu rozporządzenia, ile metody jego osiągnięcia. Czy skanowanie prywatnych wiadomości w komunikatorach narusza niezbywalne prawa użytkowników, nawet jeśli cel regulacji nie budzi wątpliwości?

– Do tej pory poufność korespondencji była stanem domyślnym, od którego odstępowano jedynie w wyjątkowych sytuacjach. A zatem na podstawie decyzji sądu, wobec konkretnej osoby i w związku z konkretnym podejrzeniem. Domyślne skanowanie odwraca ten porządek. Najpierw analizuje się komunikację wszystkich, a dopiero wyniki tej analizy mogą prowadzić do podejrzenia. Choć prawo do prywatności powstało jako ochrona przed „podglądaniem” przez ludzi, w tym przez władzę, jego sens nie ogranicza się do odpowiedzi na pytanie, kto patrzy. Chodzi również o to, czy treść komunikacji analizuje się i czy można na jej podstawie wyciągać wnioski o człowieku – dodaje Paula Skrzypecka.

Ekspertka dodaje, że już dekadę temu orzecznictwo TSUE potwierdziło, że dostęp władz do treści komunikacji elektronicznej można uznać za naruszenie prawa do poszanowania życia prywatnego. Nasza rozmówczyni dodaje, że już w przeszłości prawo do skanowania zdjęć obróciło się przeciwko rodzicom o dobrych intencjach.

Przeczytaj: „Nigdy w walce z patologią nie zaszliśmy tak daleko”. Legislacyjna ofensywa w obronie dzieci w sieci

– Jak wygląda to w praktyce, pokazuje przypadek opisany w 2022 r. przez „The Guardian” i „The New York Times”. Ojciec wysłał lekarzowi zdjęcie chorego dziecka, które algorytm zaklasyfikował jako CSAM. Policja umorzyła sprawę, jednak mężczyzna nie odzyskał konta wraz z całą pocztą, zdjęciami i powiązanym z nim numerem telefonu – dodaje Paula Skrzypecka.

Samo skanowanie nie wystarczy

Zdaniem naszej rozmówczyni system powinien opierać się na kontroli operacyjnej prowadzonej za zgodą sądu i wyłącznie wobec osób podejrzanych. Ryzyko, na jakie dzieci są narażone w internecie, mogłaby ograniczyć także zawetowana przez prezydenta ustawa wdrażająca unijny akt o usługach cyfrowych, czyli DSA.

– Potrzebujemy zakazu rekomendowania kont małoletnich nieznajomym dorosłym, domyślnej prywatności profili, ograniczenia niezamawianego kontaktu oraz wyłączenia małoletnich z profilowania reklamowego. Do tego dochodzą profilaktyka i edukacja. Z badań Fundacji Dajemy Dzieciom Siłę wynika bowiem, że 80-95 proc. sprawców wykorzystywania seksualnego stanowią osoby z bliskiego otoczenia dziecka. Skaner czatów i tak tam nie dociera – podsumowuje Paula Skrzypecka.

Zdaniem eksperta

CSAM a sprawa polska

Prace legislacyjne na forum unijnym trwają od połowy 2022 r. W toku negocjacji Polska konsekwentnie podkreśla, że walka z materiałami przedstawiającymi seksualne wykorzystywanie dzieci powinna być skuteczna, ale nie może odbywać się kosztem praw użytkowników, w tym prawa do prywatności, bezpieczeństwa w sieci oraz poufności szyfrowanej komunikacji. Polska nie zaakceptuje rozwiązania, które osłabiałoby prywatność korespondencji lub poziom cyberbezpieczeństwa.
 
Parlament Europejski ostatnio powrócił do negocjacji nad tym tymczasowym rozporządzeniem. Dotyczy ono wyłącznie przejściowych środków, które pozwalają niektórym dostawcom usług na dobrowolne wykrywanie materiałów CSAM do czasu wejścia w życie docelowych przepisów.
 
Polska podtrzymuje swoje dotychczasowe stanowisko. Jednocześnie deklaruje gotowość do wypracowania kompromisu, który pozwoli utrzymać skuteczną ochronę dzieci bez osłabiania bezpieczeństwa i prywatności użytkowników.

Jan Ziętara,

Biuro Komunikacji, Ministerstwo Cyfryzacji

Główne wnioski

1. Spór polityczny nie dotyczy celu, lecz sposobu jego osiągnięcia. W debacie publicznej trudno znaleźć przeciwników walki z materiałami przedstawiającymi seksualne wykorzystywanie dzieci. Kontrowersje budzi natomiast pytanie, czy automatyczne skanowanie prywatnej komunikacji jest środkiem proporcjonalnym do zagrożenia. Zwolennicy tego rozwiązania podkreślają, że bez odpowiednich narzędzi, platformy i organy ścigania tracą możliwość wykrywania części przestępstw. Krytycy odpowiadają, że analiza wiadomości milionów użytkowników nie powinna zastępować działań prowadzonych wobec konkretnych podejrzanych.
2. Nasi rozmówcy wskazują na liczne niedoskonałości w przyjętym rozwiązaniu. Najważniejsze z nich to jego tymczasowość i dobrowolność. Przywrócono jedynie czasowe odstępstwo, które pozwala niektórym dostawcom usług dobrowolnie wykrywać materiały CSAM. Nadal nie powstał natomiast kompleksowy, długoterminowy system, który zapewniałby skuteczną ochronę dzieci, gwarantowałby poszanowanie prywatności i uwzględniałby rolę pełnego szyfrowania end-to-end.
3. Eksperci zgodnie wskazują również, że wykrywanie materiałów CSAM jest reakcją dopiero na końcowy etap przestępstwa – moment, w którym doszło już do wykorzystania dziecka i być może do rozpowszechnienia jego wizerunku. Równie istotne są zatem działania prewencyjne: edukacja dzieci i rodziców, zwiększenie odpowiedzialności platform internetowych, ograniczanie możliwości kontaktowania się nieznajomych dorosłych z małoletnimi oraz szybkie reagowanie na zgłoszenia.