Är Chat Control olaglig under GDPR?

Enligt EU:s egna dataskyddsmyndigheter kan hela idén om Chat Control strida mot både dataskyddsförordningen och EU:s rättighetsstadga.

I EU tycks det ibland som att den ena handen inte vet vad den andra gör. Ett exempel på lagstiftning som drar åt olika håll är Chat Control (CSAM-förordningen) och GDPR (dataskyddsförordningen).

Chat Control 1 (nuvarande, nygammal tillfällig lagstiftning som är ett undantag från ePrivacy-direktivet) ger vissa meddelandetjänster möjlighet att frivilligt skanna användarnas kommunikation efter material som rör sexuella övergrepp mot barn, utan krav på individuell brottsmisstanke, under särskilda villkor.

Vad gäller Chat Control 2 (föreslagen permanent förordning) pågår förhandlingar mellan EU:s institutioner. Medlemsstaterna i ministerrådet är splittrade. Vissa vill göra Chat Control obligatorisk. Andra tycks kunna nöja sig med att – förenklat – göra Chat Control 1 permanent.

Europaparlamentet vill å sin sida att skanning av meddelanden endast skall inriktas mot personer eller grupper där det föreligger misstanke om brott – och endast efter rättslig prövning.

Dataskyddsförordningen, GDPR började tillämpas 2018. Chat Control kan stå i konflikt med dess grundläggande principer. Men det är inte samma sak som att förslaget automatiskt är olagligt.

Den starkaste invändningen är proportionaliteten. Är det verkligen nödvändigt att granska allas privata kommunikation för att upptäcka brott som begås av ett fåtal?

GDPR tillåter inte vilken personuppgiftsbehandling som helst bara för att syftet är legitimt.

Samtidigt kan EU-lagstiftaren införa särskilda rättsliga grunder och undantag. Därför kan man inte avgöra frågan enbart genom att läsa GDPR isolerat.

Både Europeiska dataskyddsstyrelsen (EDPB) och Europeiska datatillsynsmannen (EDPS) har riktat skarp kritik mot Chat Control 2. I sitt gemensamma yttrande från den 28 juli 2022 varnade de för att förslaget kunde möjliggöra generell och urskillningslös skanning av elektronisk kommunikation.

De har uttryckligen gjort bedömningen att vissa föreslagna åtgärder går längre än vad som är nödvändigt och proportionerligt.

I februari 2026 påpekade EDPS, i samband med förlängningen av Chat Control 1, att reglerna behöver tydligare rättslig grund enligt GDPR och effektiva skydd mot generell skanning.

Som frågan ligger just nu tycks invändningarna mot Chat Control främst röra GDPR:s artikel 5 (laglighet, korrekthet och öppenhet; ändamålsbegränsning; uppgiftsminimering; lagringsminimering; integritet och konfidentialitet), artikel 6 (laglig grund för behandling), artikel 9 (särskilt skydd för känsliga personuppgifter), artikel 25 (inbyggt dataskydd och dataskydd som standard) och artikel 35 (konsekvensbedömning avseende dataskydd).

Det finns även en viktig begränsning utanför GDPR: En ny EU-förordning måste respektera EU:s rättighetsstadga, även om den tillåter viss behandling som annars skulle vara förbjuden enligt GDPR.

Det innebär att Chat Control ytterst kan prövas av EU-domstolen, särskilt mot artiklarna 7 (Respekt för privatlivet och familjelivet), 8 (Skydd av personuppgifter) och 52 (Rättigheternas räckvidd och tolkning) i rättighetsstadgan.

Även artikel 11 (Yttrandefrihet och informationsfrihet) kan vara aktuell, då den uttryckligen nämner »frihet att ta emot och sprida uppgifter och tankar utan offentlig myndighets inblandning och oberoende av territoriella gränser«.

Detta är centralt eftersom EU inte kan kringgå rättighetsstadgan genom att besluta om en specialförordning. Stadgan har samma rättsliga värde som EU:s fördrag och kan inte viftas bort.

EU-domstolen ogiltigförklarade som bekant EU:s datalagringsdirektiv år 2014 – på grund av att det handlade om generell, urskillningslös lagring av persondata utan misstanke om brott, i strid med rättighetsstadgan. Chat Control lider av ett liknande principiellt problem.

Sammanfattningsvis:

Chat Control aktualiserar flera centrala bestämmelser i GDPR, bland annat artiklarna 5 om grundläggande dataskyddsprinciper, 6 om laglig grund, 9 om känsliga personuppgifter och 25 om inbyggt dataskydd.

EU:s egna dataskyddsmyndigheter har varnat för att generell och urskillningslös skanning av privat kommunikation kan innebära oproportionerliga ingrepp i människors grundläggande rättigheter.

Även om EU inför en speciallag som tillåter sådan behandling måste den vara förenlig med artiklarna 7, 8, 11 och 52 i EU:s rättighetsstadga.

Det är därför möjligt att Chat Control kan komma att ogiltigförklaras av EU-domstolen. Men det är en lång resa dit – och mycket skada kan ske på vägen.

Länkar:
• EDPB/EDPS gemensamma yttrande 4/2022 – detaljerad juridisk kritik av Chat Control 2 »
• EDPS yttrande 16 februari 2026 – särskilt tydligt om GDPR:s artikel 6 och problemen med generell skanning (PDF) »
• GDPR »

Resurser:
• Chatcontrol.se »
• Chatcontrol.eu »