Automatinis žinučių skenavimas Europoje – „Chat control“. Teisių, saugumo ir proporcingumo iššūkiai

Pastaraisiais metais Europos Sąjungos institucijose vyksta diskusijos dėl vadinamojo „Chat Control“ reglamento (Reglamentas). Jo pasiūlymą Europos Komisija pateikė 2022 m. gegužės 11 d. (angl. Proposal for a Regulation laying down rules to prevent and combat child sexual abuse, COM(2022) 209).

Reglamento tikslas – sustiprinti kovą su vaikų seksualinio išnaudojimo (angl. child sexual abuse, CSA) medžiagos sklaida internete, įpareigojant elektroninių ryšių paslaugų teikėjus automatizuotai tikrinti vartotojų siunčiamus pranešimus, nuotraukas bei kitus duomenis. Vis dėlto šio teisės akto projektas jau sukėlė daug teisinių ir politinių diskusijų.

Artėja kertinis momentas – 2025 m. spalio 14 d. ES Taryboje vyks balsavimas, kuriuo bus siekiama priimti bendrąją poziciją dėl Reglamento. Iki šiol šis etapas buvo pagrindinė kliūtis, nes projektą stabdė vadinamoji „blokuojanti mažuma“ valstybių narių. Jei šįkart pavyktų pasiekti kvalifikuotą daugumą, būtų atvertas kelias deryboms su Europos Parlamentu.

Iš pirmo žvilgsnio Reglamentas atrodo siekiantis neginčijamai svarbaus tikslo – užkirsti kelią vaikų seksualiniam išnaudojimui internete. Tačiau dėl pasirinktų priemonių, visuomenėje jis pramintas „Chat control“. Šis neformalus pavadinimas išryškina ne tiek vaikų apsaugos siekį, kiek patį veikimo mechanizmą – privačių pokalbių skenavimą, apimantį ne tik susirašinėjimo programėles, bet ir elektroninį paštą bei debesų saugyklas. Būtent tai kelia daugiausia diskusijų: ar tokios priemonės, nors grindžiamos itin svarbiu tikslu, yra proporcingos ir teisiškai suderinamos su pamatinėmis asmens teisėmis į privatų gyvenimą ir susirašinėjimo slaptumą? Ar jų įgyvendinimas nesukels daugiau rizikų nei suteiks naudos?

„Chat Control“ veikimo mechanizmas

„Chat Control“ Reglamentas numato, kad elektroninių ryšių paslaugų teikėjai (pvz., „WhatsApp“, „Messenger“, „Gmail“, „Outlook“, „Google Drive“, „Dropbox“) būtų įpareigoti tikrinti asmenų susirašinėjimą bei nustatyti ir pranešti apie pranešimus, kuriuose gali būti vaikų seksualinio išnaudojimo medžiagos, taip pat apie bandymus užmegzti kontaktą su vaikais (angl. „grooming“).

Pagal siūlomą modelį, visiems elektroninių ryšių paslaugų teikėjams pirmiausia būtų taikomas privalomas rizikos vertinimas. Nustačius reikšmingą riziką, nacionalinė institucija galėtų priimti įpareigojimą tokiems paslaugų teikėjams diegti automatines turinio aptikimo priemones – ir pagal dabartinį parengtą Reglamento projektą tam nebūtų reikalingas išankstinis teismo leidimas.  

Gavę tokį nurodymą, paslaugų teikėjai privalėtų taikyti automatinius įrankius, aptinkančius neleidžiamo turinio pobūdį. Jei būtų aptiktas įtartinas turinys, paslaugų teikėjas turėtų apie tai pranešti naujai ES įsteigtai įstaigai– „EU Centre to prevent and combat child sexual abuse“. Ši įstaiga perduotų informaciją atitinkamoms nacionalinėms teisėsaugos institucijoms.

Taigi, trumpai tariant, „Chat control“ Reglamentas reikštų, kad kiekviena vartotojų korespondencijoje esanti žinutė, nuotrauka, dokumentai, skambučiai gali tapti masinio stebėjimo objektu – iki šiol ES mastu to dar nebuvo numatyta. Tokiu būdu kova su vaikų seksualinio išnaudojimo medžiagos sklaida išsiplėstų į nuolatinį kiekvieno piliečio korespondencijos ir duomenų tikrinimą.

Automatinis žinučių tikrinimas būtų vykdomas naudojant hashing, hash matching technologijas, dirbtinio intelekto algoritmus ir kitas priemones. Nors pradiniame Reglamento tekste ir terminologijoje detalizuojama neaiškiai, galimai žinučių skenavimui būtų pasitelkiama metaduomenų analizė (pvz., pranešimo siuntėjo/gavėjo, dažnio ir pan.), siekiant nustatyti įtartiną elgesį. O tai reikštų netiesiogiai tam tikrų duomenų bazių kaupimą.

Potencialios rizikos

Nors kovos su vaikų seksualiniu išnaudojimu internete tikslas yra neginčijamai svarbus ir vertintinas teigiamai, vis dėlto siūlomos priemonės privalo būti analizuojamos proporcingumo požiūriu: ar jos nepažeidžia fundamentalių teisių, nepakenkia technologiniam saugumui ir nesudaro prielaidų piktnaudžiavimui.

„Chat control“ Reglamento įgyvendinimas kelia rimtų klausimų dėl suderinamumo su Europos Sąjungos pagrindinių teisių chartija (Chartija) bei Europos žmogaus teisių konvencija (EŽTK).

Visų pirma, automatizuotas privačių pranešimų tikrinimas gali pažeisti teisę į privatų gyvenimą, nes nuolatinė ir sisteminė asmens komunikacijos peržiūra reiškia masinį stebėjimą, net ir nesant  individualaus įtarimo. Toks pranešimų skenavimas taip pat gali pažeisti susirašinėjimo slaptumą, asmens teisę į duomenų apsaugą, nes didelio masto duomenų analizė ir perdavimas trečiosioms šalims reikštų sisteminį duomenų rinkimą, dažnai be aiškiai apibrėžtos duomenų subjekto kontrolės ar veiksmingos teisinės gynybos priemonių.

EŽTT praktikoje ne kartą buvo analizuojamos bylos, kuriose buvo vertinama, ar elektroninių ryšių stebėjimas yra suderinamas su Konvencija ir pamatinėmis žmogaus teisėmis.

Pavyzdžiui,Klass ir kt. prieš Vokietiją byloje (1978 m.) EŽTT pripažino, kad slaptas ryšių stebėjimas gali būti būtinas nacionalinio saugumui užtikrinti, tačiau tokia priemonė privalo būti lydima pakankamų apsaugos priemonių nuo piktnaudžiavimo. „Big Brother Watch ir kt. prieš Jungtinę Karalystę byloje (2021 m., Didžioji kolegija) EŽTT nurodė, kad masinis ryšių duomenų rinkimas savaime neprieštarauja Konvencijai, tačiau turi būti įtvirtintos griežtos apsaugos priemonės (ribotas taikymo mastas, nepriklausoma priežiūra, duomenų sunaikinimo taisyklės).

Šie sprendimai rodo, kad bet kokios masinio pobūdžio priemonės, kuriomis siekiama apimti visus vartotojų pranešimus, kelia didelę riziką Konvencijoje įtvirtintoms asmens teisėms. Šie sprendimai taip pat parodo, kad platus stebėjimas galimas tik tuo atveju, jei egzistuoja griežti kontrolės mechanizmai ir užtikrinama, jog priemonė nėra perteklinė.

Gali didinti visuomenės pažeidžiamumą

Kita viena didžiausių rizikų yra šifruotų susirašinėjimo kanalų (pvz., „WhatsApp“, „Signal“) turinio tikrinimas. Dabartinis Reglamento projektas numato galimybę įpareigoti paslaugų teikėjus įdiegti priemones, leidžiančias aptikti neteisėtą turinį net ir „end-to-end“ (nuo siuntėjo iki gavėjo) šifravimo aplinkoje. Tai reikštų vadinamųjų „client-side scanning“ mechanizmų diegimą, kai turinys skenuojamas dar prieš užšifravimą arba iškart po iššifravimo vartotojo įrenginyje.

Saugumo specialistų nuomone, toks modelis iš esmės silpnina šifravimo patikimumą, nes sudaro galimybę neautorizuotai pasiekti vartotojų duomenis. Tai ne tik prieštarauja skaitmeninio saugumo logikai, bet ir sudaro prielaidas piktnaudžiauti tokiomis technologijomis trečiosioms šalims, įskaitant kibernetinius nusikaltėlius ar priešiškas valstybines struktūras. Tokiu būdu priemonė, siekianti apsaugoti vaikus, gali paradoksaliai padidinti bendrą visuomenės pažeidžiamumą.

Dar vienas labai svarbus aspektas yra įtartinų pranešimų identifikavimas. Informacinės technologijos, įskaitant ir dirbtinį intelektą, nėra apsaugos nuo klaidų – dirbtinis intelektas gali klaidingai identifikuoti turinį (vadinamieji „false positives“), kaip galimai draudžiamą, ir tą asmenį priskirti prie įtariamųjų, sukeldamas reputacijos, teisinių ar asmeninių pasekmių.

Galiausiai turi būti vertinamas ir pačių paslaugų teikėjų sąžiningumas – ar tokių priemonių „įteisinimas“ nesudarys galimybės surinktus duomenis panaudoti už pirminės paskirties ribų. Pati infrastruktūra (skenavimo algoritmai, duomenų bazės, nacionalinių institucijų prieigos mechanizmai) gali būti pritaikyta ne tik kovai su vaikų seksualinio išnaudojimo medžiaga, bet ir kitiems, mažiau proporcingiems tikslams. Paslaugų teikėjams suteikus prievolę sistemingai rinkti ir analizuoti duomenis, didėja rizika, kad šie duomenys būtų naudojami komerciniams tikslams, pavyzdžiui, reklamos ar vartotojų elgsenos analizei, taip pažeidžiant duomenų subjektų lūkesčius dėl konfidencialumo ir asmens duomenų apsaugos.

Ne mažiau svarbus yra ir saugumo klausimas – taikytinos techninės turinio skenavimo priemonės turi atitikti aukštą kibernetinio saugumo lygį, nes priešingu atveju kyla pavojus duomenų nutekėjimui ar neteisėtam panaudojimui, sukuriant centralizuotą jautrios informacijos srautą.

Apibendrinant,„Chat Control“ Reglamentas siekia spręsti itin svarbią problemą – kovą su vaikų seksualinio išnaudojimo medžiagos sklaida internete. Siūlomos priemonės, įskaitant automatizuotą vartotojų pranešimų, nuotraukų ir dokumentų tikrinimą, turėtų padėti nustatyti ir užkirsti kelią neteisėtam turiniui bei užtikrinti greitesnį reagavimą teisėsaugos institucijoms.

Taigi, Reglamento pasiūlymas kelia daugybę teisinių, technologinių ir etinių klausimų. Todėl, nors „Chat Control“  turi aiškų ir svarbų tikslą, jo įgyvendinimo principai turi būti nuodugniai vertinami pagal proporcingumo, teisėtumo ir saugumo kriterijus. Vaikų teisių apsauga ir žmogaus teisė į privatumą negali būti supriešinami, o turėtų būti vertinami kaip suderinami prioritetai.

Tekstą parengė advokatų kontoros „Glimstedt” vyresnioji teisininkė Brigida Bacienė ir teisininkas Arnas Sabalys