UE fica a um passo de reviver regras de varredura de mensagens privadas

• O Parlamento Europeu aprovou um procedimento de urgência relacionado ao expirado Chat Control 1.0, colocando em votação no dia 9 de julho a permissão para que plataformas online voltem a realizar varredura voluntária de comunicações privadas
• O procedimento não restaura a lei imediatamente, mas acelera a tramitação de uma proposta praticamente idêntica ao marco legal temporário que expirou em abril, pulando as etapas normais de comissão
• A Regulation (EU) 2021/1232 permitia, por meio de uma exceção à ePrivacy Directive, a varredura voluntária para detectar CSAM em serviços como Gmail, Messenger, Snapchat e iCloud Mail
• Na votação plenária de 9 de julho, os opositores precisarão obter a maioria absoluta de 361 votos de todos os membros do Parlamento Europeu para rejeitar ou alterar a proposta; se falharem, o texto do Council poderá avançar sem proteções adicionais
• A UE está seguindo simultaneamente dois caminhos: a restauração temporária do regime expirado de varredura voluntária e a regulamentação permanente do Chat Control 2.0, debatida desde 2022

---

Aprovação do procedimento de urgência e votação plenária em 9 de julho

• O Parlamento Europeu aprovou um procedimento de urgência para acelerar a tramitação de um projeto de lei que pode reviver as regras expiradas do “Chat Control 1.0”
• A questão central da votação de 9 de julho é se plataformas online poderão voltar a escanear voluntariamente comunicações privadas de usuários em busca de material de abuso sexual infantil (CSAM)
• A votação sobre o procedimento foi aprovada por 331 votos a favor e 304 contra
• Essa votação, por si só, não restaura a lei, mas permite analisar mais rapidamente uma proposta que efetivamente recria o marco legal temporário expirado em abril, contornando as etapas normais de comissão

Base legal do Chat Control 1.0 e serviços afetados

• A regulamentação temporária em questão era a Regulation (EU) 2021/1232, que criou uma exceção à ePrivacy Directive para permitir que provedores escaneassem voluntariamente comunicações privadas com o objetivo de detectar CSAM
• Ela se aplicava principalmente a serviços como Gmail, Facebook Messenger, Instagram Messenger, Skype, Snapchat, iCloud Mail e mensagens do Xbox
• Serviços com criptografia de ponta a ponta em geral não eram afetados, exceto quando o provedor optava por implementar varredura no lado do cliente
• Em março, o Parlamento Europeu rejeitou a extensão da exceção temporária e, após o fracasso das negociações com o Council, a regulamentação expirou em 4 de abril de 2026
• Após a expiração, desapareceu a base legal em que várias plataformas, dentro do escopo da ePrivacy Directive, se apoiavam para realizar varredura voluntária

Nova iniciativa do Council e condições para aprovação

• O European Union Council voltou a impulsionar a medida em formato de nova regulamentação, com disposições substancialmente iguais
• O ex-MEP do Pirate Party Patrick Breyer considera isso uma tentativa sem precedentes de reviver uma lei que o Parlamento já havia rejeitado
• Segundo a linha do tempo de Breyer, o Council aprovou sua posição de negociação em 2 de julho, e o Parlamento decidiu examinar a proposta nesta semana por meio do procedimento acelerado
• A votação de 9 de julho é vinculante, e para rejeitar ou alterar a proposta a oposição precisará da maioria absoluta de 361 votos de todos os membros do Parlamento Europeu
• Se esse patamar não for alcançado, espera-se que o texto do Council avance sem que o Parlamento imponha proteções adicionais

Regulação permanente em andamento separadamente: Chat Control 2.0

• Esta proposta de retomada é separada da regulamentação permanente de abuso sexual infantil, a chamada Chat Control 2.0, em negociação desde 2022
• A existência simultânea dos dois processos legislativos torna o debate mais complexo
  • um trata da restauração da medida temporária expiradas
  • o outro busca estabelecer um regime permanente para detecção e notificação de CSAM
• O Chat Control 2.0 segue travado mesmo após cinco rodadas de negociações em trílogo entre Parlamento, Council e European Commission
• A principal divergência é se provedores podem ser autorizados ou obrigados a escanear comunicações privadas de forma ampla e sem suspeita específica
• A varredura em serviços com criptografia de ponta a ponta continua sendo um ponto central da disputa

Direitos fundamentais, autorização judicial e preocupações com varredura em massa

• A posição de negociação do Parlamento Europeu limita o escopo da varredura a usuários ou grupos sobre os quais haja suspeitas concretas de abuso sexual infantil e exige autorização judicial
• O Council continua apoiando obrigações mais amplas de mitigação de risco e medidas de detecção voluntária, e críticos avaliam que essa abordagem ainda pode incentivar varredura em massa
• O Legal Service do Council teria alertado em junho que até mesmo uma varredura geral “voluntária”, sem suspeita razoável e sem autorização judicial prévia, pode conflitar com o Artigo 7 da Carta de Direitos Fundamentais da UE
• A UE atualmente segue dois caminhos em paralelo
  • um para restaurar temporariamente o regime expirado de varredura voluntária
  • outro, de negociação de uma lei permanente mais ampla e controversa, que pode mudar em toda a UE a forma como plataformas online detectam CSAM
• A votação do Parlamento em 9 de julho decidirá se o regime temporário voltará enquanto continuam as negociações sobre a regulamentação permanente mais ampla

[GN⁺]

Opiniões no Hacker News

• A Internet Watch Foundation, financiada por quase todas as big techs, está impulsionando como próximo passo a varredura do lado do cliente. Claro, a justificativa é que é pelas crianças.
  https://www.iwf.org.uk/policy-work/preventing-the-upload-of-...

  • O surpreendente é que embrulhem isso apenas como “pelas crianças”. Se simplesmente apresentassem como uma forma de identificar propaganda russa e extremismo de direita, a opinião pública mudaria da noite para o dia, e as pessoas provavelmente passariam até a exigir isso.
  • Interessante. Discurso de ódio também deve ser fácil de detectar do lado do cliente. Meu celular já fica ouvindo certas palavras.
  • Concordo com a parte de ser uma “organização financiada por quase todas as big techs”, e isso é bem ruim, mas não sei o que fazer a respeito. Quando uma ONG do tipo “We Stop Bad Guys” pede dinheiro a uma empresa, só há duas opções.
    Pagar um pouco e ganhar uma boa manchete, ou não pagar, ficar conhecida como “a empresa que não apoia o combate aos maus”, e então escrever 10 mil palavras que ninguém vai ler explicando que, na verdade, é uma posição de princípio. Eu detesto isso, mas a primeira opção é obviamente racional.
  • Para combater esse movimento, acho que seria mais eficaz tratar a motivação de “pelas crianças” com seriedade, em vez de descartá-la toda como hipocrisia. Se forem apresentadas alternativas capazes de atrair pessoas que realmente querem proteger crianças, a base dessa tentativa pode ser minada.
    Mas, ao tratar essa preocupação como 100% de má-fé, até pessoas comuns acabam sendo empurradas para o lado de que esses controles precisam ser adotados. Isso é um problema político e precisa ser resolvido politicamente.

• O Chat Control 1.0 é apenas uma regra que permite que organizações como a Meta escaneiem mensagens se quiserem. Ou seja, mensagens do Facebook não são privadas em relação ao Facebook, o que é algo que já sabíamos e esperávamos.
  O preocupante é o Chat Control 2.0, porque ele torna a varredura obrigatória e proíbe a criptografia de ponta a ponta. Não deveriam ter colocado a mesma marca nos dois.

  • A confusão é intencional. É fácil convencer as pessoas de que o 1.0 é aceitável, e então o 2.0 parece apenas um upgrade de versão da mesma coisa.
  • O nome “Chat Control” é excelente. Ele sugere o bloqueio da liberdade de expressão e o resultado exato que recairá sobre todos.
  • Pelo contrário, eu esperaria que a UE limitasse tecnicamente, tanto quanto possível, a forma como essas plataformas podem acessar mensagens privadas. Para ser coerente com a recente legislação de proteção de dados, esse é o único caminho.
  • É assim que leis problemáticas são introduzidas. No começo são voluntárias; depois se espera um pouco e se diz: “as empresas não estão fazendo, então precisamos tornar obrigatório”.
    Quando a mudança é de apenas uma palavra, de “podem” para “devem”, fica mais fácil aprovar.

• Está sendo uma semana difícil para os europeus. Depois de carros gravando o rosto enquanto se dirige, agora os aplicativos vão espionar as comunicações.

  • No futuro, talvez os carros não gravem apenas o rosto, mas também escutem discurso de ódio. A maioria dos carros tem módulos SOS e GPS, então, se alguém gritar uma ofensa dentro do carro, acionar a polícia será uma questão de juntar algumas linhas de código.
  • O grande projeto de infraestrutura de Biden já não obrigava a NHTSA a criar regras exigindo sensores de monitoramento do motorista a partir do ano que vem? Ou essa cláusula foi removida ou revertida?
  • Essa notícia já existe: https://www.tesla.com/ownersmanual/model3/en_us/GUID-EDAD116...
  • Infelizmente, os carros vendidos nos últimos anos já registram e transmitem todos os deslocamentos e dados de telemetria.

• É claro que vão fazer isso. Vão cozinhar o sapo lentamente até obterem a sopa de sapo que querem. Sempre que a água fica um pouco quente demais, isto é, quando a indignação pública cresce, eles baixam um pouco a temperatura.
  Todas as grandes regiões do mundo têm esse problema. Eu gostaria de dizer que é uma ladeira escorregadia, mas já escorreguei até o fim e quebrei a cabeça. Brincadeiras à parte, essas invasões de privacidade vão continuar até que seja aprovada alguma lei, talvez até uma constituição básica, que impeça sequer a tentativa de criar esse tipo de lei ou regra.

  • A UE já tem exatamente isso. A Carta dos Direitos Fundamentais é uma lei constitucional vinculante, e os próprios juristas do Conselho disseram que, se o CC2.0 for aprovado, provavelmente será anulado pelo TJUE.
    O problema não é a ausência de direitos constitucionais, mas o fato de que a revisão constitucional é posterior. Alguém aprova a lei, ela vigora por anos, os danos se acumulam, e só depois que um caso chega ao tribunal ela é invalidada.

• Se você é cidadão da UE, pode entrar em contato com seu representante aqui: https://fightchatcontrol.eu/

  • Entrei em contato, mas só recebi resposta de 1 pessoa.

• Mesmo que seja derrotado, este é um projeto de lei exterminador. Ele continuará voltando até vencer.

  • Então projetos de lei anti-exterminadores também continuarão aparecendo. As pessoas podem propor repetidamente acabar com isso até que, no fim, consigam. A UE é diferente dos EUA: propostas surgem sem parar nas duas direções.

• Com tantos aplicativos de chat open source, fico me perguntando o que impediria alguém de trocar uma chave com outra pessoa por um canal separado e depois modificar o cliente para criptografar toda a comunicação com essa chave.
  Sei que isso não escala para grupos grandes, mas quem está empurrando esse lixo certamente já pensou nisso, não? Ou o objetivo é chegar a um PC totalmente bloqueado, como Android ou iOS, em que nada não aprovado possa ser executado?

  • Nada impede as pessoas de fazerem isso. Só é mais inconveniente do que as outras opções possíveis. Se eu fosse um político tentando eliminar comunicações privadas, primeiro aprovaria uma lei permitindo a varredura de comunicações; depois permitiria que mensagens com criptografia de ponta a ponta também fossem escaneadas; e, por fim, tornaria ilegal o uso de mensageiros com criptografia de ponta a ponta impossíveis de escanear.
    As pessoas ainda conseguiriam fazer isso, mas poderiam ser punidas se fossem pegas.

• Isto é sobre o 1.0 e, por si só, parece aceitável. Basicamente, permite aos provedores uma exceção legal nas leis de privacidade para escanear comunicações que não são criptografadas de ponta a ponta em busca de CSAM.
  Serviços como Gmail e iCloud Mail provavelmente já escaneiam anexos em busca de malware e e-mails em busca de golpes de phishing; agora também poderão escanear material de abuso infantil. O CC 2.0 é um bicho completamente diferente.

  • “Nós tomamos uma decisão, deixamos como está e observamos o que acontece. Se a maioria das pessoas não entende o que foi decidido e não há alvoroço, continuamos passo a passo até que seja irreversível.” — Jean-Claude Juncker
  • Com uma taxa de falsos positivos de 50% a 80%, ainda é difícil aceitar.

• Fico curioso para saber como a lei dos EUA trata essa parte. Eu achava que os provedores já eram obrigados a agir contra a distribuição de CSAM; isso se aplica apenas a publicações públicas?

• Quando isso entra em vigor? Já vi tantas manchetes assim que sempre parece que vai começar em breve, mas nunca vi um desfecho.

  • Expirou em abril. Já tinha sido prorrogado várias vezes antes de expirar, e agora é uma tentativa de ressuscitá-lo.
  • Já estava em vigor. É uma lei existente que estão tentando prorrogar, em vez de deixar expirar.
  • Desde 2 de agosto de 2021.
    Já entrou em vigor, e os Estados-membros da UE provavelmente ainda a usam, embora seja ilegal. Claro, para proteger as crianças.