Chat Control 2.0 jest jednym z najważniejszych europejskich sporów o prywatność ostatnich lat. Nie dlatego, że ktokolwiek kwestionuje potrzebę zwalczania wykorzystywania seksualnego dzieci w internecie. Ten cel nie budzi poważnego sporu. Konflikt dotyczy czegoś innego: czy w imię ochrony dzieci Unia Europejska może zbudować mechanizmy, które przesuną granicę kontroli nad prywatną komunikacją wszystkich użytkowników.
Pod nazwą Chat Control 2.0 funkcjonuje projekt stałego unijnego rozporządzenia dotyczącego zapobiegania i zwalczania wykorzystywania seksualnego dzieci online. Oficjalnie mowa o Regulation to Prevent and Combat Child Sexual Abuse, często skracanym jako CSAR. Komisja Europejska przedstawiła projekt 11 maja 2022 roku. Od tamtej pory propozycja przeszła kilka etapów, spotkała się z ostrą krytyką prawników, ekspertów od szyfrowania i organów ochrony danych, została ograniczona przez Parlament Europejski, a pod koniec 2025 roku doczekała się stanowiska Rady UE. W 2026 roku trwają negocjacje końcowe między instytucjami unijnymi.
To oznacza, że Chat Control 2.0 nie jest już tylko odległym projektem ani prostym hasłem alarmowym. Jest realnym procesem legislacyjnym, który po latach sporów wszedł w fazę uzgadniania finalnego kształtu. Jednocześnie jego treść zmieniała się na tyle mocno, że uczciwa analiza musi rozdzielać pierwotną, najbardziej inwazyjną wersję propozycji od tego, co rzeczywiście znajduje się dziś na stole.
Najpierw trzeba rozdzielić Chat Control 1.0 i Chat Control 2.0
W debacie publicznej często miesza się dwa różne procesy prawne. To duży błąd, bo prowadzi do chaosu informacyjnego.
Chat Control 1.0 to potoczna nazwa tymczasowych unijnych przepisów z 2021 roku, które stanowiły wyjątek od części zasad prywatności w sektorze komunikacji elektronicznej. Dzięki temu dostawcy niektórych usług mogli dobrowolnie wykrywać, zgłaszać i usuwać materiały przedstawiające seksualne wykorzystywanie dzieci w prywatnej komunikacji. Było to rozwiązanie przejściowe, przyjęte do czasu stworzenia trwałych reguł.
Te tymczasowe przepisy miały wygasnąć 3 kwietnia 2026 roku. Komisja Europejska chciała je przedłużyć do 2028 roku, Parlament Europejski w marcu 2026 roku poparł krótsze i mocniej ograniczone przedłużenie do 3 sierpnia 2027 roku, ale negocjacje z Radą nie zakończyły się porozumieniem. W konsekwencji tymczasowa derogacja wygasła po 3 kwietnia 2026 roku.
Chat Control 2.0 to natomiast osobny, trwały projekt rozporządzenia, który ma zastąpić rozwiązania tymczasowe i zbudować stałe ramy prawne walki z CSAM online. To właśnie on jest przedmiotem najostrzejszego sporu o prywatność, szyfrowanie i zakres nadzoru nad komunikacją.
Co zaproponowała Komisja Europejska w 2022 roku
Komisja Europejska przedstawiła projekt CSAR w maju 2022 roku. Oficjalnym uzasadnieniem była skala problemu: rosnąca liczba materiałów przedstawiających wykorzystywanie seksualne dzieci, wykorzystywanie platform internetowych przez sprawców oraz potrzeba lepszej ochrony ofiar. Komisja proponowała stworzenie trwałego systemu obejmującego:
- ocenę ryzyka po stronie dostawców usług,
- obowiązki ograniczania ryzyka,
- nakazy wykrywania określonych treści,
- obowiązki zgłaszania,
- usuwanie i blokowanie dostępu do materiałów,
- powołanie nowej agencji — EU Centre on Child Sexual Abuse.
Projekt obejmował trzy główne kategorie treści i zachowań:
- znane materiały CSAM, czyli treści już wcześniej zidentyfikowane jako nielegalne,
- nowe lub nieznane materiały CSAM, które miałyby być wykrywane przy użyciu technologii klasyfikacyjnych,
- solicitation of children, czyli próby uwodzenia dzieci online, często określane jako grooming.
Największe kontrowersje wywołał mechanizm detection orders. Po przeprowadzeniu oceny ryzyka i jeżeli środki ograniczające ryzyko uznano by za niewystarczające, właściwy organ mógłby wystąpić o nakaz wykrywania treści na danej usłudze. W praktyce oznaczało to możliwość zobowiązania dostawcy do skanowania komunikacji pod kątem wskazanych kategorii materiałów i zachowań.
Dlaczego projekt od początku wywołał alarm
Sprzeciw nie dotyczył samego ścigania przestępstw wobec dzieci. Krytyka skupiła się na tym, że pierwotny projekt mógł prowadzić do systemowego monitorowania prywatnej komunikacji, również w usługach wykorzystujących szyfrowanie end-to-end.
W lipcu 2022 roku Europejska Rada Ochrony Danych i Europejski Inspektor Ochrony Danych opublikowali wspólną opinię do projektu. Ostrzegali, że proponowane rozwiązania mogą powodować poważne ryzyko naruszenia praw podstawowych, w tym prawa do prywatności i ochrony danych osobowych. Zwracali też uwagę na ryzyko uogólnionego monitorowania oraz szczególne problemy związane z wykrywaniem nowych materiałów i groomingiem.
To była krytyka o dużym ciężarze. Nie pochodziła od anonimowych aktywistów ani wyłącznie od firm technologicznych, lecz od instytucji odpowiedzialnych za standard ochrony danych w Unii Europejskiej.
Najpoważniejsze obawy dotyczyły kilku punktów:
- skanowania komunikacji prywatnej na dużą skalę,
- osłabienia szyfrowania end-to-end, jeżeli wykrywanie miałoby odbywać się po stronie urządzenia użytkownika, zanim wiadomość zostanie zaszyfrowana,
- fałszywych trafień przy wykrywaniu treści nowych lub przy analizie kontekstu rozmów,
- naruszenia zasady domniemania niewinności, jeśli wiadomości wszystkich użytkowników byłyby analizowane prewencyjnie,
- ryzyka rozszerzania systemu w przyszłości na inne kategorie treści.
Właśnie z tej perspektywy projekt zyskał potoczną nazwę „Chat Control”. Krytycy uznali, że problemem nie jest sama walka z CSAM, lecz stworzenie prawnej i technicznej infrastruktury do prewencyjnej kontroli prywatnych kanałów komunikacji.
Szyfrowanie end-to-end: miejsce, w którym spór staje się fundamentalny
Szczególne znaczenie ma kwestia end-to-end encryption. W komunikatorach takich jak Signal czy w wybranych trybach innych usług treść wiadomości jest szyfrowana w taki sposób, że nie powinien jej znać ani operator platformy, ani zewnętrzny pośrednik. Dostęp mają tylko nadawca i odbiorca.
Jeżeli ustawodawca oczekuje wykrywania niedozwolonych treści także w takim środowisku, pojawiają się tylko dwie drogi:
- osłabienie samego modelu szyfrowania,
- albo skanowanie po stronie urządzenia użytkownika, przed zaszyfrowaniem lub po odszyfrowaniu treści.
Krytycy projektu od początku wskazywali, że druga opcja tylko pozornie „nie łamie szyfrowania”. Jeżeli urządzenie użytkownika analizuje wiadomość przed jej zabezpieczeniem, to prywatność komunikacji zostaje naruszona wcześniej — jeszcze zanim szyfrowanie zacznie działać. Z punktu widzenia ochrony tajemnicy korespondencji różnica techniczna nie usuwa problemu zasadniczego.
Właśnie dlatego Parlament Europejski w swoim stanowisku z listopada 2023 roku opowiedział się za mocniejszą ochroną szyfrowania i ograniczeniem możliwości ingerencji w komunikację prywatną. Stanowisko PE odrzucało logikę masowego skanowania wszystkich wiadomości i przesuwało projekt w stronę działań bardziej ukierunkowanych, związanych z konkretnym podejrzeniem.
Parlament Europejski w 2023 roku: pierwsze duże ograniczenie projektu
22 listopada 2023 roku Parlament Europejski zatwierdził mandat do negocjacji w sprawie projektu rozporządzenia. Był to moment przełomowy, bo europosłowie wyraźnie osłabili pierwotną propozycję Komisji.
Stanowisko Parlamentu zakładało m.in.:
- większy nacisk na prewencję i ocenę ryzyka,
- ogranzenie wykrywania do sytuacji bardziej ukierunkowanych,
- sprzeciw wobec ogólnego skanowania komunikacji wszystkich użytkowników,
- ochronę end-to-end encryption,
- silniejsze zabezpieczenia proceduralne dla nakazów wykrywania.
Parlament nie odrzucił całego projektu ani samego pomysłu stałych reguł w zakresie zwalczania CSAM online. Odrzucił natomiast najbardziej szeroki model masowego monitorowania, który wyłaniał się z pierwotnej propozycji Komisji.
Rada UE w 2025 roku: kompromis po latach impasu
Przez długi czas państwa członkowskie nie potrafiły uzgodnić wspólnego stanowiska. Dopiero 26 listopada 2025 roku Rada UE przyjęła mandat negocjacyjny. To pozwoliło rozpocząć trilogi z Parlamentem Europejskim i Komisją.
Stanowisko Rady istotnie różni się od pierwotnej propozycji Komisji. Z oficjalnego komunikatu Rady wynika, że nowe prawo miałoby przede wszystkim:
- nakładać na dostawców usług obowiązki oceny ryzyka,
- wymagać środków ograniczających ryzyko wykorzystywania usług do popełniania przestępstw,
- ustanowić EU Centre on Child Sexual Abuse,
- zapewnić lepsze wsparcie ofiarom w usuwaniu materiałów przedstawiających ich krzywdę,
- utrwalić możliwość dobrowolnych działań wykrywających po stronie dostawców.
Rada nie utrzymała w centrum swojego kompromisu najostrzejszego wariantu obowiązkowego skanowania, który dominował w krytyce wcześniejszych wersji projektu. To istotna zmiana. Nie oznacza jednak, że spór o prywatność został rozwiązany.
Co naprawdę jest dziś na stole
Projekt znajduje się w fazie negocjacji między instytucjami UE. Według aktualizowanej ścieżki legislacyjnej Parlamentu Europejskiego do 16 kwietnia 2026 roku odbyły się cztery trilogi, a kolejna runda była planowana na 11 maja 2026 roku. Cypryjska prezydencja Rady dąży do osiągnięcia porozumienia przed końcem swojej kadencji w czerwcu 2026 roku.
Najważniejsze jest dziś nie to, czy projekt powraca dokładnie do najbardziej skrajnej wersji z 2022 roku. Nie powraca wprost. Spór przesunął się raczej na pytanie:
- jak szerokie będą obowiązki risk assessment i risk mitigation,
- czy „dobrowolne” wykrywanie pozostanie naprawdę dobrowolne, czy stanie się standardem wymuszanym presją regulacyjną,
- jak daleko pójdą wymogi dotyczące weryfikacji wieku i ograniczania ryzyka w usługach komunikacyjnych,
- czy finalne przepisy pozostawią przestrzeń dla ochrony szyfrowania,
- jaką rolę dostanie nowy unijny ośrodek ds. zwalczania wykorzystywania seksualnego dzieci online.
To już nie jest debata wyłącznie o jednym przepisie nakazującym skanowanie. To debata o tym, czy regulacja pośrednia — przez ryzyko, obowiązki minimalizujące i nacisk na dostawców — nie doprowadzi do podobnego efektu praktycznego, tylko w mniej oczywisty sposób.
EU Centre on Child Sexual Abuse — nowa instytucja w systemie
Jednym z filarów projektu jest utworzenie EU Centre on Child Sexual Abuse. Centrum miałoby wspierać wdrażanie nowego rozporządzenia, przetwarzać i oceniać informacje przekazywane przez dostawców usług, współpracować z Europolem i organami krajowymi, a także pomagać ofiarom w usuwaniu materiałów z internetu.
Rada UE wskazuje, że centrum miałoby:
- oceniać i przetwarzać zgłoszenia od firm,
- prowadzić bazę raportów,
- wspierać krajowe organy przy ocenie ryzyka usług,
- przekazywać informacje organom ścigania,
- utrzymywać bazę wskaźników wykorzystywaną przez dostawców do dobrowolnych działań wykrywających.
Z punktu widzenia ochrony dzieci stworzenie wyspecjalizowanego centrum może poprawić koordynację i odciążyć system. Z punktu widzenia prywatności oznacza jednak powstanie nowego węzła instytucjonalnego w obszarze wyjątkowo wrażliwych danych i raportów dotyczących komunikacji online. To wymaga bardzo silnych gwarancji proceduralnych, jawności zasad działania i skutecznego nadzoru.
Wygaśnięcie Chat Control 1.0 zaostrzyło presję polityczną
Wygaszenie tymczasowej derogacji z 3 kwietnia 2026 roku ma duże znaczenie dla dalszych negocjacji. Zwolennicy szybkiego przyjęcia stałego rozporządzenia argumentują, że powstała luka prawna i że platformy utraciły jasną, zharmonizowaną podstawę do części dobrowolnych działań wykrywających w prywatnej komunikacji. Parlament Europejski potwierdził, że brak porozumienia z Radą oznacza wygaśnięcie tymczasowych reguł.
Z kolei krytycy wcześniejszego systemu wskazują, że sama potrzeba przedłużenia wyjątków od zasad prywatności nie może usprawiedliwiać automatycznego utrwalania rozwiązań, które budzą poważne wątpliwości konstytucyjne i techniczne. Europejski Inspektor Ochrony Danych, oceniając propozycję kolejnego przedłużenia w lutym 2026 roku, zaznaczał, że ewentualne rozwiązania muszą zapobiegać niezróżnicowanemu, szerokiemu skanowaniu.
W praktyce oznacza to, że spór stał się jeszcze ostrzejszy. Jedna strona mówi: „bez trwałego prawa państwa i platformy tracą narzędzia ochrony dzieci”. Druga odpowiada: „tym bardziej nie wolno uchwalać stałej infrastruktury nadzoru tylko dlatego, że poprzednie przepisy wygasły”.
Najmocniejszy argument zwolenników projektu
Najsilniejszy argument za nowym rozporządzeniem jest oczywisty: materiały przedstawiające wykorzystywanie seksualne dzieci istnieją, są rozpowszechniane na dużą skalę, a internetowe usługi komunikacyjne mogą być wykorzystywane przez sprawców. Komisja Europejska od początku wskazywała, że obecny system jest niewystarczający i że potrzebne są stałe, przewidywalne ramy prawne.
Argumenty zwolenników można streścić w kilku punktach:
- państwa potrzebują trwałego mechanizmu współpracy z platformami,
- ofiary powinny mieć skuteczniejszą ścieżkę usuwania materiałów,
- firmy powinny mieć obowiązek oceny ryzyka i reagowania na nadużycia,
- obecny brak jednolitych zasad prowadzi do chaosu prawnego,
- wygaśnięcie rozwiązań tymczasowych zwiększa presję na przyjęcie stałego prawa.
To są argumenty poważne. Nie należy ich zbywać. Regulacja dotycząca CSAM nie pojawiła się znikąd i nie jest wymyślonym problemem. Została zbudowana wokół realnej przestępczości i realnej krzywdy.
Najmocniejszy argument krytyków
Krytycy odpowiadają, że dobry cel nie neutralizuje złego mechanizmu. Jeżeli wprowadza się rozwiązania, które mogą objąć prywatną komunikację milionów obywateli, punkt ciężkości musi spoczywać na zasadzie proporcjonalności.
Najmocniejsza krytyka brzmi dziś tak:
- nawet jeśli najbardziej dosłowny model masowego obowiązkowego skanowania został osłabiony,
- to rozbudowane obowiązki oceny ryzyka, dobrowolne wykrywanie pod presją regulacyjną i możliwe wymogi wobec usług komunikacyjnych mogą w praktyce tworzyć system trwałej ingerencji w prywatność,
- a finalny tekst nadal może pozostawić furtki do rozwiązań naruszających szyfrowanie lub prowadzących do nadmiernej kontroli.
To nie jest zarzut, że instytucje UE chcą „czytać każdą wiadomość ręcznie”. To byłaby karykatura. Chodzi o coś bardziej systemowego: czy prywatna komunikacja ma pozostać przestrzenią wolną od prewencyjnej analizy, dopóki nie istnieje konkretne podejrzenie, czy też sama infrastruktura komunikacji ma być stale podporządkowana logice wykrywania ryzyka.
Fałszywe trafienia i granice automatycznego wykrywania
Jedną z najtrudniejszych kwestii jest wykrywanie nowych materiałów CSAM i groomingu. W przeciwieństwie do znanych obrazów, które można porównywać z wcześniej zatwierdzonymi bazami hashy, nowe treści i kontekst rozmowy wymagają bardziej złożonych narzędzi klasyfikacji. To zwiększa ryzyko błędów.
Europejskie organy ochrony danych zwracały uwagę, że technologie przewidziane dla takich zastosowań mogą ingerować w prawa podstawowe w sposób wyjątkowo poważny. Problem nie polega tylko na tym, że algorytm może się pomylić. Chodzi również o to, że błędna kwalifikacja prywatnej rozmowy jako podejrzanej może uruchamiać poważne konsekwencje dla niewinnych osób.
To właśnie dlatego Parlament Europejski w 2023 roku dążył do ograniczenia mechanizmów, które pozwalałyby na szeroką, profilaktyczną analizę prywatnej komunikacji.
Weryfikacja wieku i kolejny poziom sporu
W debacie o CSAR pojawia się również temat age verification i age assurance. Nie jest on tak znany jak spór o skanowanie wiadomości, ale może mieć duże znaczenie praktyczne. Jeżeli usługi komunikacyjne mają silniej zarządzać ryzykiem kontaktów z nieletnimi, pojawia się presja na skuteczniejsze ustalanie wieku użytkowników.
Samo ograniczanie dostępu dzieci do ryzykownych usług może mieć sens. Problem zaczyna się wtedy, gdy techniczne wykonanie tego celu wymaga powszechniejszego potwierdzania tożsamości, przetwarzania danych biometrycznych albo budowania dodatkowych punktów kontroli przy dostępie do usług online. Finalny kształt przepisów w tym obszarze ma więc znaczenie nie mniejsze niż debata o samym skanowaniu.
Dlaczego Chat Control 2.0 pozostaje ustawą przełomową
W obecnej fazie nieuczciwe byłoby twierdzić, że Unia Europejska na pewno przyjmie prawo nakazujące bezpośrednie skanowanie każdej prywatnej wiadomości. Stan prac po listopadzie 2025 roku jest bardziej złożony. Rada osłabiła najostrzejsze elementy wcześniejszej propozycji, a Parlament od początku bronił mocniejszej ochrony prywatności i szyfrowania.
Równie nieuczciwe byłoby jednak uznanie, że projekt nie ma już większego znaczenia dla prywatności. Ma. Jeżeli finalne rozporządzenie:
- utrwali szerokie obowiązki dostawców wobec prywatnej komunikacji,
- zbuduje nową unijną infrastrukturę raportowania i analizy,
- pozostawi pole do dalszego rozszerzania dobrowolnych lub quasi-dobrowolnych mechanizmów wykrywania,
- powiąże walkę z CSAM z rosnącą presją na weryfikację wieku,
to będzie to punkt zwrotny w europejskim prawie cyfrowym.
Chat Control 2.0 dotyczy bowiem nie tylko ochrony dzieci przed przestępcami. Dotyczy także tego, czy prywatna komunikacja w Unii pozostanie zasadą, od której wyjątki są wąskie i indywidualnie uzasadniane, czy stanie się obszarem stale zarządzanym przez logikę prewencyjnego ryzyka.
Postacie ważne dla sporu o Chat Control 2.0
Ylva Johansson — komisarz UE do spraw wewnętrznych w latach 2019–2024, politycznie najważniejsza twarz pierwotnego projektu CSAR przedstawionego przez Komisję Europejską w 2022 roku. To za jej kadencji zaproponowano rozwiązania, które wywołały najostrzejszy spór o skanowanie prywatnej komunikacji.
Javier Zarzalejos — europoseł Europejskiej Partii Ludowej i sprawozdawca Parlamentu Europejskiego dla stałego rozporządzenia dotyczącego zwalczania wykorzystywania seksualnego dzieci online. Odegrał ważną rolę w kształtowaniu stanowiska Parlamentu przyjętego w listopadzie 2023 roku.
Birgit Sippel — europosłanka S&D i sprawozdawczyni Parlamentu Europejskiego w sprawie przedłużenia tymczasowych reguł zbliżonych tematycznie do Chat Control 1.0 w 2026 roku. Jej projekt zakładał węższe i bardziej ograniczone przedłużenie niż propozycja Komisji.
Źródła i materiały pomocnicze
- European Commission, Fighting child sexual abuse — oficjalny komunikat Komisji Europejskiej z 10 maja 2022 roku prezentujący projekt stałych reguł przeciw wykorzystywaniu seksualnemu dzieci online.
Link: https://ec.europa.eu/commission/presscorner/detail/en/ip_22_2976 - EUR-Lex, Proposal for a Regulation laying down rules to prevent and combat child sexual abuse — oficjalny tekst propozycji Komisji Europejskiej COM/2022/209 final.
Link: https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=celex:52022PC0209 - European Data Protection Board and European Data Protection Supervisor, Joint Opinion 04/2022 — wspólna opinia organów ochrony danych dotycząca projektu CSAR, ostrzegająca przed ryzykiem naruszenia prywatności, ochrony danych i proporcjonalności.
Link: https://www.edpb.europa.eu/our-work-tools/our-documents/edpbedps-joint-opinion/edpb-edps-joint-opinion-042022-proposal_en - European Parliament, New legislation to fight child sexual abuse online — ścieżka legislacyjna projektu, informacje o stanowisku Parlamentu, sprawozdawcy i przebiegu trilogów do 2026 roku.
Link: https://www.europarl.europa.eu/legislative-train/theme-a-new-push-for-european-democracy/file-combating-child-sexual-abuse-online - European Parliament, How the EU is fighting child sexual abuse online — omówienie stanowiska Parlamentu Europejskiego, w tym podejścia ograniczającego masowe skanowanie prywatnej komunikacji.
Link: https://www.europarl.europa.eu/topics/en/article/20231116STO11629/how-the-eu-is-fighting-child-sexual-abuse-online - Council of the European Union, Child sexual abuse: Council reaches position on law protecting children from online abuse — komunikat z 26 listopada 2025 roku o przyjęciu stanowiska negocjacyjnego Rady UE.
Link: https://www.consilium.europa.eu/en/press/press-releases/2025/11/26/child-sexual-abuse-council-reaches-position-on-law-protecting-children-from-online-abuse/ - Council of the European Union, Prevention of online child sexual abuse — zbiorcza strona Rady UE dotycząca projektu CSAR, jego genezy i przebiegu prac.
Link: https://www.consilium.europa.eu/en/policies/prevent-child-sexual-abuse-online/ - European Parliament, Child sexual abuse online: support for extending rules until August 2027 — komunikat z 11 marca 2026 roku o stanowisku PE wobec tymczasowego przedłużenia derogacji ePrivacy.
Link: https://www.europarl.europa.eu/news/en/press-room/20260306IPR37531/child-sexual-abuse-online-support-for-extending-rules-until-august-2027 - European Parliament, Child sexual abuse online: voluntary detection measures will not be extended — komunikat z 26 marca 2026 roku potwierdzający, że tymczasowa derogacja wygasa po 3 kwietnia 2026 roku.
Link: https://www.europarl.europa.eu/news/en/press-room/20260325IPR39207/child-sexual-abuse-online-voluntary-detection-measures-will-not-be-extended - European Data Protection Supervisor, Extension of interim rules to combat child sexual abuse online must address shortcomings and prevent indiscriminate scanning — stanowisko EDPS z 17 lutego 2026 roku dotyczące planowanego przedłużenia przepisów tymczasowych.
Link: https://www.edps.europa.eu/press-publications/press-news/press-releases/2026/extension-interim-rules-combat-child-sexual-abuse-online-must-address-shortcomings-and-prevent-indiscriminate-scanning - European Parliament, Temporary derogation from the e-Privacy Directive for OTT services — karta legislacyjna dotycząca przepisów tymczasowych, z informacją o roli Birgit Sippel jako sprawozdawczyni.
Link: https://www.europarl.europa.eu/legislative-train/theme-promoting-our-european-way-of-life/file-temporary-derogation-from-the-e-privacy-directive-for-ott-services
