Norge vedtok en forskriftsparagraf om skanning av private meldinger 20. desember 2024. Den har aldri trådt i kraft. Den trer i kraft når departementet bestemmer, og ingen har sagt når det er.
NRK skrev 14. august om EUs planer om å overvåke chat-meldinger. Saken er god, og den beskriver avveiningen mellom personvern og bekjempelse av overgrep mot barn ærlig. Men den behandler dette som noe som kanskje kommer til Norge. Deler av det er allerede her.
Jeg har tidligere skrevet om hvordan man stanser misbruk uten å gjøre brukerne til overvåkingsobjekter — den teksten er på engelsk, og handler om den samme avveiningen sett fra driftssiden.
Kort fortalt
Hvis du ikke er teknisk interessert, er dette det du trenger å vite.
Hva saken gjelder. EU vil at nettjenester skal lete etter overgrepsmateriale i det folk sender og lagrer. Ikke bare på åpne nettsider, men i private meldinger, bilder og filer. Et program sammenligner innholdet ditt mot kjent materiale, og treff sendes videre til manuell kontroll og eventuelt til politiet.
Hvorfor det er vanskelig. Målet er det ingen er uenige i. Problemet er at når alle skal sjekkes for å finne de få, sjekkes også alle andre. Og automatiske systemer tar feil. Datatilsynet bruker et eksempel overfor NRK: en forelder sender et badebilde av barnet sitt til bestemor, og risikerer advarsel eller stengt konto.
Hva som er min innvending. Jeg driver et selskap som leverer skytjenester. Vi er ikke imot at man leter etter kjent overgrepsmateriale. Teknikken virker, brukt på riktig sted. Innvendingen min handler om hvor i kjeden letingen plasseres, og hvem som får svare når den bommer.
Tenk på forskjellen mellom to selskaper. Det ene driver et lager der de håndterer eskene dine og vet hva som er i dem. Det andre leier ut en låst bod der bare du har nøkkelen. Sier loven at eskene skal sjekkes, kan det første selskapet gjøre det i morgen. Det andre må først lage en hovednøkkel som ikke finnes i dag.
Den hovednøkkelen er problemet. Den er ikke en tjeneste til kunden. Den er en svakhet, og svakheter blir før eller siden brukt av noen andre enn dem de var laget for.
Og det ingen har svart på: når systemet tar feil, hvem retter det opp? Hvem betaler for bedriften som mister tilgang til data den trenger for å drive mens saken behandles? Selskapet som kjørte sjekken, eller myndigheten som ba om den? Det står ingen steder.
Det som ikke har vært omtalt
Ekomforskriften fikk 20. desember 2024 en ny paragraf, § 3-7. Den gjennomfører EUs frivillige skanningsordning i norsk rett. Paragrafen er vedtatt.
Men i ikrafttredelsesbestemmelsen, § 12-1, står den oppført blant de tre unntakene, med formuleringen at de «trer i kraft når departementet bestemmer».
Norge har heller ikke bedt om noen tilpasning. EØS-notatet er kort: tekniske tilpasningstekster nei, materielle tilpasningstekster nei, artikkel 103-forbehold nei.
Spørsmålet er altså ikke om Norge skal innføre dette. Rammen ligger der, ferdig vedtatt. Spørsmålet er når noen slår på bryteren, og på hvilket grunnlag.
Det er verdt å merke seg at EU-forordningen paragrafen viser til, utløp i april 2026. En ny midlertidig forordning tok over 31. juli i år og varer til 2028. Hva som da skjer med den norske paragrafen, har jeg ikke funnet noe svar på.
Hvorfor plasseringen avgjør alt
En skytjeneste er sjelden ett selskap. En norsk leverandør kan drifte maskinvare og lagring i et datasenter i Norge uten noen gang å ha teknisk tilgang til innholdet kunden legger inn. Over ligger en applikasjonsleverandør som har slik tilgang. Øverst ligger brukeren, som gjerne har kryptert innholdet selv.
Dette er ikke juridisk finpuss. Det avgjør hvem som må bryte noe for å oppfylle plikten.
Havner undersøkelsesplikten på et ledd uten tilgang til data, kan ikke det leddet oppfylle den uten først å bygge seg en tilgang som i dag ikke finnes. Det betyr å legge inn en mekanisme som kan lese det som var ment å være utilgjengelig, i et system bygget nettopp for at ingen skal kunne det.
Over 800 fagpersoner fra 37 land har skrevet under på et opprop mot forslaget. Det er dette de advarer mot.
Prinsippet vi la fram for myndighetene i fjor høst er kort: ansvar skal følge faktisk kontroll over data, ikke eierskap til infrastruktur.
Frivillig er et gulv, ikke et tak
Rådets posisjon fra i fjor høst gjør den frivillige ordningen permanent, men beholder adgangen til å pålegge deteksjon. Det høres likevel ut som en lettelse. Det er det ikke.
Frivillighet betyr at leverandøren selv må avgjøre om den skal undersøke kundenes data, og deretter selv står ansvarlig for valget begge veier. Skanner du, svarer du for feilene. Skanner du ikke, og noe blir avdekket senere, svarer du for at du lot være. Med tilsyn, anbudskrav og myndighetsforventninger i bakgrunnen er avstanden mellom frivillig og pålagt kort i praksis.
Frivillighet flytter ansvaret. Den fjerner det ikke.
Ansvaret forsvinner mellom leddene
Kjeden krysser landegrenser. En norsk bruker, en norsk infrastrukturleverandør, en applikasjonsleverandør i et annet land, et planlagt europeisk meldesenter, norsk politi. Hvert ledd kan peke på det neste.
Personvernforordningen gir rettigheter overfor den behandlingsansvarlige. Men her er behandlingen oppfordret av myndighetene. Ansvaret blir liggende i tomrommet mellom den som bestemte og den som utførte.
For norske virksomheter er dette mer enn prinsipp. Stadig flere velger leverandører med lagring i Norge nettopp fordi de vil vite hvor data ligger og hvem som har tilgang. Et regelverk som legger undersøkelsesplikt på ledd som i dag ikke har tilgang, fjerner det som gjør det valget meningsfullt.
Konfidensialitet du har lovet kunden, men ikke lenger kan garantere, er ikke konfidensialitet.
Tre forslag
I innspillet vi sendte Justis- og beredskapsdepartementet foreslo vi tre ting. De står seg fortsatt.
Ansvar skal følge faktisk kontroll over data. Den som ikke har tilgang til innholdet, skal ikke pålegges å skaffe seg den.
Matching mot kjent materiale bør skje mot offentlig tilgjengelig innhold, på infrastruktur driftet av myndighetene og underlagt uavhengig revisjon. Ikke inne i den enkelte leverandørens produkter.
Det må finnes et umulighetsunntak. Et pålegg som ikke lar seg gjennomføre uten å bryte sikkerheten i tjenesten, skal ikke kunne gis. EU gjorde nettopp dette da ende-til-ende-kryptert kommunikasjon ble holdt utenfor den nye midlertidige forordningen i juli. Prinsippet finnes allerede. Det mangler i det permanente regelverket.
Til slutt
Forhandlingene i EU pågår fortsatt. Men den norske paragrafen ligger der allerede, vedtatt og ubrukt, og venter på en beslutning ingen har varslet.
Spørsmålet norske myndigheter ikke har besvart, er hvem som skal sitte igjen med regningen den dagen systemet tar feil.
Kilder
- Ekomforskriften § 3-7 og § 12-1 på Lovdata, med Digitaliserings- og forvaltningsdepartementets kunngjøringstekst av 20. desember 2024, regjeringen.no.
- EØS-notat id2860431, regjeringen.no, sist oppdatert 22. august 2025.
- Rådets pressemeldinger 26. november 2025 og 23. juli 2026.
- Forordning (EU) 2026/1881.
- NRK Urix: Chat Control – EU vil masseovervåke innbyggerne, 14. august 2026.
- WAYSCloud AS oversendte 10. oktober 2025 et innspill om CSAR-forordningen til Justis- og beredskapsdepartementet, med kopi til Nærings- og fiskeridepartementet, Datatilsynet og Norges delegasjon til EU. Signert innspill og posisjonsnotat ligger åpent på trustcenter.wayscloud.eu, WAYSCLOUD-TR-2026-0003.