CSAM-verordening — voorgestelde detectie- en meldplicht tegen onlinemisbruik (‘chatcontrole’)

Het voorstel introduceert een permanent Europees regime om online seksueel kindermisbruik op te sporen, te melden en te laten verwijderen — in de wandelgangen ‘chatcontrole’ genoemd. Het zou gaan gelden voor hostingdiensten, appwinkels en aanbieders van interpersoonlijke communicatiediensten zoals chat-, e-mail- en berichtenapps, die risico’s moeten beoordelen en beperken en die onder voorwaarden een rechterlijk detectiebevel kunnen krijgen. Raad en Parlement onderhandelen sinds december 2025 in triloog zonder akkoord, terwijl de tijdelijke regeling die vrijwillig scannen toestond op 3 april 2026 is verlopen.

Waarvoor is dit bedoeld

Online seksueel kindermisbruik wordt nu grotendeels bestreden via vrijwillige, tijdelijk toegestane scanning door aanbieders zelf. De Commissie wil daar een permanent, verplicht regime van maken: een risicobeoordeling door diensten, verplichte risicobeperkende maatregelen, en als dat onvoldoende is een rechterlijk of bestuurlijk detectiebevel voor een specifieke dienst. Het voorstel introduceert daarnaast een nieuw EU-orgaan dat meldingen zou moeten ontvangen, beoordelen en doorsturen naar opsporingsdiensten.

Voor wie

Het voorstel richt zich op aanbieders van hostingdiensten en van interpersoonlijke communicatiediensten — chat-, e-mail- en berichtenapps, ook wanneer die end-to-end versleuteld zijn — die diensten aanbieden aan gebruikers in de EU, ongeacht waar de aanbieder is gevestigd. Ook appwinkels zouden verplichtingen krijgen, onder meer rond leeftijdsverificatie voor apps waarmee minderjarigen in contact kunnen komen met anderen. Geen enkele versie van het voorstel die dit onderzoek kon natrekken bevat een omzet- of personeelsdrempel die kleine aanbieders volledig vrijstelt.

Wat er niet onder valt

Diensten die geen interpersoonlijke communicatie faciliteren en zuivere infrastructuurdiensten vallen in de kern buiten het voorstel, evenals werkzaamheden op het gebied van nationale veiligheid en defensie. De precieze afbakening — welke categorieën diensten exact worden geraakt, en of er een uitzondering komt voor de kleinste aanbieders — verschilt per versie van de tekst die Raad en Parlement onderhandelen en ligt na de triloog nog niet vast.

Wat je moet doen

Nu nog niets. Er is geen aangenomen verordening, dus geen risicobeoordelingsplicht, geen meldplicht en geen mogelijkheid tot een detectiebevel. Voor aanbieders die op dit moment vrijwillig op materiaal van seksueel kindermisbruik scannen, ligt er wel een acuut punt: de tijdelijke derogatie die dat toestond zonder in strijd te komen met de ePrivacy-richtlijn is verlopen (zie hieronder).

Het voorgestelde EU Centre

Het voorstel voorziet in een nieuw EU-orgaan — in de Commissietekst het EU Centre on Child Sexual Abuse — dat meldingen van aanbieders zou ontvangen, technisch zou beoordelen of materiaal daadwerkelijk kindermisbruik betreft, en gevalideerde meldingen zou doorgeleiden naar Europol en nationale opsporingsdiensten. De precieze bevoegdheden en de zetel van dit centrum zijn onderdeel van de lopende triloogonderhandelingen.

Stand van zaken

De LIBE-commissie van het Europees Parlement stemde op 14 november 2023 over een onderhandelingsmandaat (rapporteur Javier Zarzalejos, EPP) en kreeg groen licht om te gaan onderhandelen. De Raad nam op 13 november 2025 een algemene oriëntatie aan. De triloog tussen Raad, Parlement en Commissie ging op 9 december 2025 van start en liep begin september 2026 nog door, met eerder de ambitie om in juli 2026 tot een akkoord te komen — een resultaat dat er op 11 september 2026 nog niet lag.

Wat omstreden is

De kern van het debat is het voorgestelde detectiebevel voor end-to-end versleutelde diensten. Voorstanders — onder wie een deel van de Raad en organisaties voor kinderbescherming — wijzen erop dat een groeiend deel van misbruikmateriaal en grooming juist via versleutelde kanalen verloopt, en dat detectie zonder zo’n bevel technisch onmogelijk blijft. Tegenstanders — onder wie beveiligingsonderzoekers, privacyorganisaties en aanbieders van versleutelde messaging — stellen dat clientside scanning de facto de versleuteling ondergraaft voor alle gebruikers, een technische kwetsbaarheid en surveillance-infrastructuur creëert die ook door kwaadwillenden kan worden misbruikt, en dat een vermoeden van schuld wordt gelegd bij alle gebruikers van een dienst. Beide posities zijn in de onderhandelingen nog niet verzoend.

De tijdelijke derogatie

Verordening (EU) 2021/1232 gaf aanbieders van interpersoonlijke communicatiediensten tijdelijk een uitdrukkelijke rechtsgrondslag om vrijwillig te scannen op materiaal van seksueel kindermisbruik en grooming, als uitzondering op de vertrouwelijkheidsregels van de ePrivacy-richtlijn. Verordening (EU) 2024/1307 verlengde die derogatie tot 3 april 2026. Het Europees Parlement wees in maart 2026 een verdere verlenging af, waarna de derogatie op 3 april 2026 is verlopen zonder opvolger.

Gevolg van het vervallen van de derogatie

Grote aanbieders als Google, Meta, Microsoft en Snap hebben laten weten hun vrijwillige scanning voort te zetten. Zonder de derogatie ontbreekt daarvoor de uitdrukkelijke uitzondering op de ePrivacy-regels over vertrouwelijkheid van communicatie, wat een juridisch risico oplevert — gebruikers kunnen hierover in beginsel een klacht indienen bij een gegevensbeschermingsautoriteit. Voor Nederlandse chat-, e-mail- en messagingaanbieders die nog scannen, geldt hetzelfde risico.

Nederlandse positie

Het kabinet hield in een commissiedebat van 24 november 2025 vast aan een kritische opstelling, met zorgen of een detectiebevel op end-to-end versleutelde diensten de nationale veiligheid en de veiligheid van digitale communicatie in bredere zin zou aantasten. Dit gegeven is overgenomen uit een eerdere versie van dit dossier en kon dit onderzoek niet opnieuw bij tweedekamer.nl verifiëren; zie onzeker.

Toezicht NL

Nog niet van toepassing. Er is geen aangenomen verordening en dus geen Nederlandse uitvoeringswet die een toezichthouder aanwijst. Zolang de tijdelijke derogatie liep, gold voor de gegevensbeschermingsaspecten van vrijwillig scannen in beginsel het toezicht van de Autoriteit Persoonsgegevens; dat is met het verlopen van de derogatie niet automatisch veranderd.

Boete

Nog niet vast te stellen. Zolang het voorstel geen wet is, bestaat er geen boetebepaling om na te leven. Eerdere onderhandelingsteksten van Raad en Parlement bevatten wel een boeteparagraaf, maar de hoogte en de grondslag daarvan liggen na de triloog nog niet vast.