Chat Control, de encryptiegrens en waar de platte tekst van uw organisatie écht staat

Op 9 juli 2026 stemden in Straatsburg meer Europarlementariërs vóór het afschieten van Chat Control 1.0 dan ertegen — 314 tegen 276, bij 17 onthoudingen — en toch bleef het overeind. Het verwerpen van een Raadsstandpunt in tweede lezing vereist een absolute meerderheid van álle leden, niet alleen van de aanwezigen (het Parlement noemde 360; een groot deel van de pers schreef 361), dus 314 kwam een veertigtal stemmen tekort. Een dossier waar een meerderheid van de stemmende zaal tegen was, ging verder op een drempel. Vrijwel alles wat er sindsdien over geschreven is, zit op dezelfde twee punten fout — en als u verantwoordelijk bent voor de communicatie van een organisatie, doen beide fouten ertoe.

Twee dingen die vrijwel elke kop verkeerd had

Ten eerste: het een wet noemen. Dat is het niet. Omdat het Parlement het Raadsstandpunt heeft geamendeerd, gaat de tekst terug naar de Raad, die drie maanden heeft om die amendementen te aanvaarden of te verwerpen; aanvaardt hij ze niet allemaal, dan gaat het dossier naar een bemiddelingscomité. Er is niets aangenomen en geen enkele aanbieder heeft iets gekregen. Ten tweede: het een verlenging noemen. Chat Control 1.0 — Verordening (EU) 2021/1232 — verliep op 3 april 2026, nadat het Parlement op 26 maart weigerde te verlengen. Juli was een poging een vervallen wet nieuw leven in te blazen, niet een levende wet door te rollen; en de voorgestelde einddatum van 3 april 2028 is precies dat: voorgesteld.

Wat de regel werkelijk zegt

Chat Control 1.0 is een derogatie, geen verplichting. Het schort delen van de ePrivacy-richtlijn op zodat aanbieders van nummeronafhankelijke interpersoonlijke communicatiediensten vrijwillig mogen scannen op materiaal van seksueel kindermisbruik. Het heeft nooit iemand verplicht te scannen. Het geldt uitdrukkelijk niet voor audio. En overweging 25 stelt zelf dat niets erin “mag worden uitgelegd als een verbod op of verzwakking van end-to-end-encryptie”. De verplichte variant — detectiebevelen, het voorstel dat Chat Control 2.0 heet — is een apart dossier dat nog altijd niet is aangenomen; de onderhandelingen hervatten in september. Neem één ding mee uit het juridische detail: de strijd ging nooit over de vraag of encryptie verboden wordt. Hij gaat over wie wát mag lezen, op wiens server.

Encryptie werd de grenslijn

De amendementen die het Parlement wél aannam kwamen van Renew Europe en sluiten “communicatie waarop end-to-end-encryptie wordt, is of zal worden toegepast” uit van de reikwijdte. Die amendementen haalden precies de absolute meerderheid die de verwerpingsmotie miste. Critici noemen de uitzondering grotendeels symbolisch — aanbieders met end-to-end-encryptie scanden de inhoud sowieso niet — en de Raad kan haar alsnog weigeren. Die kritiek is terecht. Toch is er iets duurzaams vastgelegd: toen de Europese wetgever een grens zocht, trok hij die bij de vraag of een bericht leesbaar is op een server. Dat onderscheid is nu dragend in het Europese communicatierecht — en het is een architectuuronderscheid, geen beleidsonderscheid.

De vraag onder de politiek

Haal de politiek weg en elk van deze conflicten — vrijwillig scannen, rechtmatige toegang, een beleidswijziging van een leverancier, een buitenlands gerechtelijk bevel — draait om één vraag die losstaat van ieders mening: waar belandt een leesbare kopie van het gesprek, en in wiens control plane? Als de berichten van uw organisatie in platte tekst op de server van een derde staan, dan is het geldende beleid dat van die derde en de jurisdictie die van die derde — en beide kunnen veranderen zonder u iets te vragen. Encryptie onderweg verandert daar niets aan. Die beschermt de lijn, niet de bestemming.

Het andere dat deze week gebeurde

Op 10 juli droeg Progress ShareFile-klanten op de Windows-servers met hun Storage Zone Controllers fysiek uit te zetten wegens wat het een geloofwaardige externe dreiging noemde, en schakelde de accounts uit die ze gebruikten. Geen patch, geen herstartdatum. Storage Zone Controllers zijn juist het onderdeel dat verkocht wordt als “houd uw data op uw eigen infrastructuur” — en de klanten die dat precies zo hadden gedaan, hadden nog steeds niets te zeggen over de vraag of de dienst bleef draaien. Data op uw eigen schijven binnen andermans control plane is geen soevereiniteit. Het is een hostingafspraak met een fraai schema.

Wat dit wél en níét betekent voor een organisatie

Wees voorzichtig met de conclusie, want er bestaat een oneerlijke versie van. De derogatie raakt openbaar beschikbare nummeronafhankelijke interpersoonlijke communicatiediensten — in de praktijk consumentenmessengers. Een platform dat een organisatie zelf host voor haar eigen medewerkers is een andere categorie, en wint daar niets mee: Chat Control 1.0 verleent een tóestemming om te scannen, nooit een plicht. Er valt hier dus geen verplichting te ontlopen — en zelf hosten zou sowieso niets ontlopen: het strafrecht, de AVG en de DSA gelden precies zoals daarvoor. Wie u on-premise software verkoopt als route om kinderbeschermingsrecht te omzeilen, verkoopt u iets onwaars.

Wat zelf hosten wél verandert, is smaller en veel bruikbaarder: wie beslist. Waar de platte tekst rust. Wie de sleutels heeft. Wat de bewaarregel is. Wie gedwongen kan worden, en door wie. En — zoals ShareFile-klanten vrijdag ondervonden — wie de stekker eruit mag trekken. Geen van die vragen heeft een beleidsantwoord. Ze hebben allemaal een architectuurantwoord.

Soeverein van opzet, eerlijk over de prijs

Talky is het antwoord dat we voor onze eigen communicatie bouwden en nu voor andere organisaties draaien: een communicatiewerkplek in plaats van een vergadertool — videoconferencing in drie kamertypen, berichten en DM’s, het ArpBoard-whiteboard, agenda, notities, bestandsdeling, schermdelen en opnemen. AES-256-encryptie, een lobby, room-lock en RBAC houden elke sessie onder controle, en het draait on-premise achter uw eigen SSO, bereikbaar via web, iOS, Android en desktop. De platte tekst rust op uw servers om de eenvoudige reden dat het uw servers zijn.

En de eerlijke helft: dat is een verplichting, geen vinkje. U draait het, u patcht het, u maakt de back-ups. De matrix hierboven zegt dat met zoveel woorden, inclusief de rij die zelf hosten verliest. Soevereiniteit is een operationele houding waarvoor u blijft betalen — en juist daarom staat ze er na de volgende beleidswijziging nog steeds.

Encryptie bepaalt wie het bericht kan lezen. Architectuur bepaalt wie de regels kan veranderen.

In Europa komt dezelfde logica via de voordeur binnen. De AVG heeft nooit datalokalisatie geëist — die mythe mag sterven — maar artikel 5(2) eist wél dat u controle kunt aantónen, en artikel 32 dat u de verwerking kunt beveiligen; aan geen van beide is voldaan met de verzekering van een leverancier dat hij zich netjes gedraagt. De richting is onmiskenbaar: het Cloud Sovereignty Framework van de Commissie beoordeelt inschrijvers sinds april 2026 in échte aanbestedingen op controle en afhankelijkheid, niet op geografie alleen, en de op 3 juni 2026 voorgestelde Cloud and AI Development Act zou vier assurance-niveaus op datzelfde idee bouwen — al is het een voorstel en geen wet, met een rapporteur die vorige week pas is benoemd en onderhandelingen die naar verwachting tot ver in 2027 lopen. Europa leert vragen wie de control plane beheerst, niet alleen waar de schijf staat. Talky, van Arpanet BV, is vanaf de eerste regel voor de AVG ontworpen. De prijs hangt af van uw opzet en schaal — neem contact op, dan brengen we het samen in kaart.