Chat Control a la UE el 2026: què s’ha aprovat realment i què continua pendent

El vídeo de Kimu x64 es va publicar el 8 de juliol del 2026, la vigília d’una votació al Parlament Europeu. Alertava que «Chat Control» permetria escanejar tots els missatges abans d’enviar-los i acabaria amb la privadesa a Europa.

La votació ja ha passat i el text resultant permet una resposta més precisa. El 9 de juliol, el Parlament va aprovar una excepció temporal a les regles ePrivacy perquè determinats proveïdors puguin detectar voluntàriament material d’abús sexual infantil sota condicions. Alhora va excloure expressament les comunicacions a les quals s’aplica, s’ha aplicat o s’aplicarà xifratge d’extrem a extrem.

El 23 de juliol, el Consell de la UE va acceptar les esmenes del Parlament. La mesura s’ha d’aplicar fins al 3 d’abril del 2028 després de publicar-se al Diari Oficial i entrar en vigor.

Per tant, la UE no ha aprovat una obligació general d’escanejar tots els xats ni ha prohibit el xifratge en aquesta norma temporal. El debat de fons no s’ha acabat: la regulació permanent continua en negociació i les autoritats europees de protecció de dades han advertit reiteradament del risc de vigilància generalitzada.

Per què «Chat Control» crea tanta confusió

«Chat Control» no és el títol jurídic d’una única llei. És una etiqueta utilitzada per activistes, mitjans i crítics per agrupar diverses propostes europees contra l’abús sexual infantil en línia.

Hi ha, com a mínim, dos expedients diferents:

1. Una excepció temporal a ePrivacy. Permet que alguns serveis continuïn aplicant voluntàriament tecnologies de detecció, notificació i retirada.
2. Una regulació permanent. Pretén crear obligacions estables de prevenció, avaluació de risc, retirada, bloqueig, notificació i, en determinades versions, ordres de detecció.

El vídeo els anomena «Chat Control 1» i «Chat Control 2». La simplificació ajuda a narrar-los, però pot fer creure que la votació del 9 de juliol aprovava tot el paquet permanent. No va ser així.

Què és l’excepció temporal d’ePrivacy

La Directiva ePrivacy protegeix la confidencialitat de les comunicacions i les dades associades. El Reglament 2021/1232 va crear una excepció limitada perquè els proveïdors de serveis de comunicació interpersonal independents de numeració poguessin utilitzar, voluntàriament, tecnologies específiques per:

• detectar material conegut o nou d’abús sexual infantil;
• detectar possible captació sexual de menors;
• informar-ne les autoritats o entitats competents;
• retirar material il·legal.

La mesura original va entrar en vigor el 2021, es va prorrogar el 2024 i va caducar el 3 d’abril del 2026. Durant més de tres mesos hi va haver un buit jurídic europeu per a aquestes activitats voluntàries.

La Comissió volia ampliar-la fins al 2028. El Parlament va intentar restringir-ne l’abast i, com que no hi va haver acord amb el Consell, va rebutjar la pròrroga el 26 de març. El Consell va reactivar després el procediment amb una posició pròpia i va forçar una segona lectura.

Aquest recorregut explica per què la votació de juliol semblava sobtada. No era una proposta completament nova, sinó la continuació extraordinària d’un expedient que havia fracassat al març.

Què va votar el Parlament el 9 de juliol

En la segona lectura, el Parlament necessitava una majoria absoluta de 360 diputats per rebutjar o modificar la posició del Consell.

Primer, 314 diputats van votar a favor de rebutjar-la, 276 en contra i 17 es van abstenir. Hi havia majoria simple, però no els 360 vots necessaris.

Després es van aprovar esmenes que limitaven la mesura. La més important exclou de l’àmbit de la regulació les comunicacions a les quals s’aplica, s’ha aplicat o s’aplicarà xifratge d’extrem a extrem.

El 23 de juliol, el Consell va acceptar el text esmenat. Això tanca el procediment de la norma temporal sense necessitat de conciliació.

Què permet la norma temporal

La formulació correcta és:

• permet activitats voluntàries dels proveïdors;
• crea una excepció a determinades obligacions de confidencialitat d’ePrivacy;
• limita la finalitat a combatre l’abús sexual infantil en línia;
• sotmet el tractament al Reglament General de Protecció de Dades i a salvaguardes;
• exclou les comunicacions amb xifratge d’extrem a extrem;
• té una data de caducitat: 3 d’abril del 2028.

«Voluntari» significa que la norma no ordena a tots els serveis que analitzin cada missatge. Dona cobertura jurídica perquè els proveïdors que ho decideixin puguin continuar certes pràctiques.

Això no fa que el tractament sigui irrellevant per a la privadesa. Si una plataforma decideix analitzar contingut privat, hi ha una interferència que ha de ser necessària, proporcional, específica i legal. Precisament aquí es concentra la crítica del Supervisor Europeu de Protecció de Dades.

Què no ha aprovat

La norma temporal votada al juliol no:

• obliga WhatsApp, Signal o Telegram a llegir tots els missatges;
• crea una base de dades pública de tot el que escriu cada ciutadà;
• ordena rastrejar totes les pàgines web visitades;
• imposa verificació d’identitat amb DNI per utilitzar qualsevol aplicació;
• autoritza perfils polítics o mèdics generals de la població;
• obliga a instal·lar càmeres dins de tots els cotxes;
• prohibeix les VPN;
• elimina el xifratge d’extrem a extrem.

Algunes d’aquestes qüestions poden existir en altres iniciatives legislatives o comercials, però no formen part del text temporal objecte del vot del 9 de juliol.

La frase del vídeo segons la qual la UE «podrà llegir sense restricció amb qui parles i què envies» no descriu la norma aprovada.

Per què el xifratge d’extrem a extrem és determinant

En un servei amb xifratge d’extrem a extrem, el missatge es xifra al dispositiu emissor i només el dispositiu receptor en té la clau per desxifrar-lo. Ni el servidor intermediari hauria de poder llegir-ne el contingut.

Hi ha tres maneres generals d’intentar detectar material dins d’aquest sistema:

1. debilitar el protocol o afegir una clau d’accés;
2. analitzar el contingut abans de xifrar-lo al dispositiu emissor;
3. analitzar-lo després de desxifrar-lo al dispositiu receptor.

Les tres poden alterar la promesa de confidencialitat. L’anàlisi al dispositiu, sovint anomenada client-side scanning, no «trenca» matemàticament el xifratge del transport, però introdueix un inspector abans o després del túnel. Per a l’usuari, el resultat pot ser semblant: contingut privat examinat abans que només el destinatari el vegi.

L’exclusió aprovada al juliol impedeix utilitzar aquesta norma temporal com a base per a comunicacions xifrades d’extrem a extrem. El Consell ha advertit, però, que acceptar l’esmena provisional no anticipa la seva posició en la futura llei permanent.

El risc real: detecció proporcional o vigilància indiscriminada

Combatre el material d’abús sexual infantil és una finalitat legítima i urgent. El desacord no és sobre la gravetat del delicte, sinó sobre quines tècniques són eficaces i compatibles amb els drets fonamentals.

El Supervisor Europeu de Protecció de Dades va afirmar el febrer del 2026 que la pròrroga era una oportunitat per corregir dues mancances:

• una base jurídica prou clara per al tractament de dades;
• salvaguardes efectives contra l’escaneig general i indiscriminat.

Els riscos tècnics inclouen:

• falsos positius: contingut legal classificat erròniament;
• falsos negatius: material il·legal que el sistema no detecta;
• canvi de finalitat: tecnologia creada per a un delicte reutilitzada després per a altres continguts;
• filtracions: bases de dades d’indicadors o informes que exposen dades sensibles;
• biaixos: rendiment desigual segons idioma, edat o context;
• automatització de sospites: persones investigades a partir d’una puntuació algorítmica sense context.

Un sistema que compara l’empremta criptogràfica d’una imatge amb material ja confirmat és diferent d’un model que interpreta converses noves per predir captació sexual. La segona tasca és molt més ambigua i propensa a errors contextuals.

La regulació permanent encara no està tancada

La Comissió va presentar el 2022 una proposta estable per prevenir i combatre l’abús sexual infantil en línia. El Consell va acordar una posició negociadora el novembre del 2025 i les converses amb el Parlament continuen.

La futura norma preveu, segons els textos en debat:

• obligació d’avaluar riscos als serveis;
• mesures de mitigació;
• ordres de retirada de material;
• bloqueig d’accés a contingut il·legal;
• retirada de resultats dels cercadors;
• notificació de casos;
• un nou centre europeu especialitzat;
• possibles ordres de detecció sota condicions.

La posició del Parlament defensa que les ordres siguin l’últim recurs, amb autorització judicial o independent, dirigides a riscos concrets i sense aplicar-se al xifratge d’extrem a extrem. El Consell i el Parlament no coincideixen en tots els elements.

Dir que «Chat Control 2 ja s’ha aprovat» és incorrecte. També ho seria dir que el risc ha desaparegut: el redactat final de la norma permanent encara pot canviar i és on es decidiran les obligacions de llarg termini.

Hi haurà verificació obligatòria d’edat o identitat?

El vídeo afirma que la UE vol exigir identificació amb document d’identitat per vincular cada activitat a una persona. Aquesta obligació general no forma part de l’excepció temporal votada.

Altres normes europees i nacionals debaten mètodes de verificació d’edat per protegir menors en serveis concrets. Verificar edat tampoc exigeix necessàriament lliurar el DNI a cada web: es poden utilitzar credencials que acreditin «major de 18 anys» sense revelar nom, adreça o data de naixement completa.

Cada proposta s’ha d’avaluar pel seu text, finalitat, dades recollides i garanties. Barrejar-la amb l’excepció ePrivacy produeix una alarma difícil de verificar.

Les càmeres als cotxes són una altra regulació

Els sistemes de monitoratge del conductor poden detectar somnolència o distracció en vehicles nous. Provenen de normes de seguretat viària i homologació, no de la regulació d’abús infantil en comunicacions.

Que una càmera miri els ulls o la posició del cap planteja qüestions de privadesa i tractament local, però no demostra que el govern rebi un vídeo constant de l’interior del cotxe. Cal revisar la norma i el disseny de cada fabricant.

Incloure aquesta qüestió dins de «Chat Control» fa semblar coordinades mesures que tenen bases legals, objectius i autoritats diferents.

Signal, Proton i una VPN: què protegeixen i què no

El vídeo recomana Signal, Proton, navegadors alternatius, Tor i sistemes Android sense Google. Són opcions legítimes, però no resolen el mateix problema.

• Signal protegeix el contingut amb xifratge d’extrem a extrem i minimitza metadades.
• Proton Mail ofereix xifratge entre usuaris compatibles i altres garanties, però el correu electrònic normal té límits d’interoperabilitat.
• Una VPN xifra el trànsit fins al servidor VPN i oculta la destinació al proveïdor d’internet, però el proveïdor VPN pot veure metadades i el servei final continua sabent què hi fas.
• Tor distribueix el trànsit per diversos nodes i redueix la vinculació entre origen i destinació, a costa de velocitat i compatibilitat.
• Un navegador privat redueix rastrejadors, però no canvia el que una aplicació de missatgeria analitza al seu propi client.

Si un sistema hipotètic escanegés contingut abans de xifrar-lo al dispositiu, una VPN no ho impediria. La protecció adequada depèn del lloc on es produeix l’observació.

Com seguir el debat sense caure en titulars absoluts

Per saber què s’ha aprovat convé comprovar:

1. el número de procediment i el títol legal;
2. si és una proposta, una posició negociadora o un reglament final;
3. quina institució ha votat;
4. si falta l’aprovació de l’altra institució;
5. si el text s’ha publicat al Diari Oficial;
6. la data d’entrada en vigor;
7. si les mesures són voluntàries o obligatòries;
8. si el xifratge queda inclòs o exclòs;
9. quina autoritat pot emetre una ordre;
10. quins recursos i salvaguardes hi ha.

Les pàgines del Parlament, el Consell i EUR-Lex permeten reconstruir aquests passos. Les campanyes activistes són útils per identificar riscos, però no substitueixen el text final.

Una cronologia clara

• 2021: entra en vigor l’excepció temporal d’ePrivacy.
• 2022: la Comissió presenta la regulació permanent.
• 2024: la norma temporal es prorroga fins al 3 d’abril del 2026.
• 11 de març del 2026: el Parlament defensa una extensió més curta i limitada.
• 26 de març: rebutja la proposta després de no pactar amb el Consell.
• 3 d’abril: caduca l’excepció temporal.
• 2 de juliol: el Consell adopta una nova posició en primera lectura.
• 9 de juliol: el Parlament l’esmena i exclou les comunicacions xifrades d’extrem a extrem.
• 23 de juliol: el Consell accepta les esmenes.
• 3 d’abril del 2028: data prevista de caducitat de la nova mesura temporal.
• En paral·lel: continuen les negociacions de la regulació permanent.

Conclusió

El vídeo encerta en una qüestió de fons: qualsevol tecnologia que analitzi comunicacions privades mereix escrutini públic, i una infraestructura creada per a una finalitat legítima pot causar danys si és indiscriminada, imprecisa o s’amplia després.

Però el seu titular i diverses afirmacions no descriuen el que es va votar. El 9 de juliol del 2026 no es va aprovar que la UE llegeixi tots els missatges, ni una identificació universal, ni el rastreig de tota la navegació. Es va aprovar una excepció temporal perquè els proveïdors puguin reprendre deteccions voluntàries, amb el xifratge d’extrem a extrem fora de l’àmbit del text.

La pregunta important no és si «Europa ha acabat amb la privadesa», perquè aquesta frase no té una resposta jurídica útil. La pregunta és si cada mesura concreta és necessària, dirigida, auditada, resistent a errors i compatible amb comunicacions segures. Aquesta discussió continua oberta a la regulació permanent, i és allà on cal vigilar el redactat final.