Chat Control 29 вересня: повна датована хроніка і чесна відповідь щодо VPN

29 вересня 2026 року переговорники Ради ЄС, Європейського парламенту та Європейської комісії зустрічаються в будівлі Ради у Брюсселі на шостому політичному трилозі щодо Регламенту про боротьбу із сексуальним насильством над дітьми, справи, яку всі за межами Брюсселя називають Chat Control. П'ять раундів завершилися без угоди. За словами самої Ради, залишилося лише одне велике питання: чи залишиться сканування приватних повідомлень добровільним, чи стане тим, що уряд може наказати.

Більшість написаного про 29 вересня є або адвокацією, або одноденною новиною. Бракувало однієї сторінки, яка ставить датовану хроніку поруч із тим, що, за словами самих переговорних документів, було вирішено і що залишається відкритим. Цей матеріал збирає таку хроніку, а потім відповідає на запитання, яке нам ставлять як VPN-провайдеру: чи захищає VPN від усього цього? Чесна відповідь, одразу: здебільшого ні, і ми точно пояснимо, де проходить межа.

Що вирішується 29 вересня 2026 року?

Трилог узгоджує постійний Регламент CSA, запропонований Комісією 11 травня 2022 року. Згідно з липневою нотою ірландського головування до делегацій, документом Ради 11501/26, п'ятий трилог 29 червня «приніс значний прогрес, досягнувши попередньої згоди щодо майже всіх положень запропонованого Регламенту, за винятком виявлення». Сфера застосування, оцінка ризиків, накази про видалення, накази про блокування, накази про вилучення з пошукової видачі та вимоги до національних органів узгоджені. Голосові дзвінки повністю виведені з Регламенту; голосові повідомлення залишаються у сфері дії, але виключені з виявлення.

Виявлення залишається блоком, на якому провалилися п'ять трилогів. Той самий документ розписав фінальну фазу: технічні зустрічі 10 і 18 вересня, зустріч радників з юстиції та внутрішніх справ (JHA) 14 вересня і шостий трилог 29 вересня у приміщенні Ради. Липневий аналітичний документ, WK 10939/2026, прямо каже, що головування «прагне досягти політичної згоди щодо зобов'язань з виявлення та власних ініціативних пошуків на шостому трилозі».

Чи Chat Control уже діє?

Добровільна версія діє, і її історія у 2026 році дивніша, ніж визнає більшість оглядів: три місяці цього року вона була мертвою.

З 2021 року тимчасовий регламент, Chat Control 1.0, дозволяв провайдерам вебпошти та месенджерів добровільно сканувати вміст на предмет матеріалів сексуального насильства над дітьми, як відступ від правил приватності ЄС. Його продовження спливло 3 квітня 2026 року, після того як Європейський парламент у березні відмовився його поновити. Прогалина була реальною: між 4 квітня і 30 липня 2026 року добровільне сканування з боку таких компаній, як Meta, Google і Microsoft, не мало правової бази в ЄС.

Відродження було швидким і процедурно незвичним. Рада ухвалила позицію першого читання 2 липня. У другому читанні 9 липня пропозиція про відхилення виграла голосування, 314 голосів за проти 276, але відхилення у другому читанні вимагає абсолютної більшості всіх депутатів, а не лише поданих голосів, тож текст усе одно пройшов. Результатом став Регламент (ЄС) 2026/1881, чинний з 31 липня 2026 року і застосовний до 3 квітня 2028 року.

Парламент усе ж домігся двох суттєвих поступок у тих самих голосуваннях. Новий регламент «не застосовується до міжособистісних комунікацій, до яких застосовується, застосовувалося або буде застосовано наскрізне шифрування», а його преамбула зазначає, що ніщо в ньому не може тлумачитися як заборона або послаблення наскрізного шифрування. Поправка, що вивела виявлення схиляння, тобто грумінгу, за межі добровільного режиму, пройшла 346 голосами проти 254. Відновлений Chat Control 1.0 вужчий за версію, що втратила чинність.

Регламент також запустив годинник, про який майже ніхто не писав. Провайдери мали до 1 вересня 2026 року повідомити Комісії, яким організаціям із захисту дітей вони звітують; Комісія має опублікувати цей список до 1 жовтня 2026 року. Перші звіти прозорості провайдерів очікуються до 1 лютого 2027 року. Пільговий період для технологій сканування, що вже використовувалися до 31 липня 2026 року, завершується 1 квітня 2027 року.

Датована хроніка: з 2021 по 2026 рік

Кожен рядок нижче має публічне джерело; здебільшого це самі переговорні документи, зібрані в пулі документів EDRi.

Чи скануватиме ЄС зашифровані повідомлення? Дві позиції

Розбіжність, що залишилася, є точною, і варто викласти обидві сторони за їхніми власними документами, а не за гаслами. Чотири принципи Парламенту, зафіксовані в липневому аналітичному документі головування: накази про виявлення у приватному вмісті лише як крайній захід, цільові щодо конкретних користувачів, пов'язаних із сексуальним насильством над дітьми, і за судовим дозволом; таке саме цільове обмеження для власних пошуків провайдерів; жодного генералізованого сканування приватного вмісту; наскрізне шифрування повністю захищене; і жодного виявлення нових матеріалів чи грумінгу в приватному вмісті взагалі.

Навколо цього столу стоять три правові віхи, які має пережити будь-яка угода: застереження EDPS і EDPB 2022 року, висновок Юридичної служби самої Ради 2023 року, що назвав генералізовану перевірку несумісною з Хартією, і страсбурзьке рішення у справі Podchasov 2024 року щодо послабленого шифрування. Саме тому переговори постійно кружляють навколо слів «цільове» і «добровільне» та подалі від слів «обов'язкове» і «генералізоване».

Які країни виступають проти обов'язкового сканування?

Арифметика Ради пояснює і відступ 2025 року, і залишкову нервозність. Щоб заблокувати позицію Ради, потрібні щонайменше чотири держави-члени, що представляють 35% населення ЄС. У жовтні 2025 року заявлена відмова Німеччини прийняти безпідозрове сканування, разом з опонентами, серед яких Польща, Австрія, Нідерланди, Фінляндія, Люксембург і Чехія, вивела поріг блокування за межі досяжності головування і змусила зняти план обов'язкового виявлення з порядку денного. Сама Німеччина становить близько п'ятої частини населення ЄС, тож жодна блокувальна меншість у цій справі не формується без неї, і жодна не виживає, якщо Берлін передумає.

Саме тому спостерігачі стежать за Берліном, а не за Брюсселем. Переговорний мандат Ради передбачає лише добровільність, але мандат можна змінити так само, як його було створено, а публічна позиція німецького уряду проти безпідозрового сканування завжди була вужчою за відмову від будь-якого обов'язкового елемента. Ніщо в задокументованій хроніці не визначає, як Німеччина голосувала б за компроміс, що залишає накази цільовими. 29 вересня може стати днем, коли це питання перестане бути гіпотетичним.

Чи захищає VPN від Chat Control?

Ми продаємо VPN-послуги, тож читайте цей розділ з огляду на це; це також розділ, у якому ми кажемо, чого наш продукт не робить.

Сканування на боці клієнта відбувається на пристрої до шифрування, тож жоден VPN і жоден зашифрований месенджер не може захистити повідомлення, яке прочитали до відправлення. Якби майбутня версія Регламенту CSA зобов'язала застосунки сканувати вміст під час набору тексту або до його шифрування для передавання, це сканування відбувалося б у самому застосунку. Ваш VPN-тунель починається після цієї точки. Так само і наскрізне шифрування. Саме тому боротьба за накази про виявлення така важлива: щойно читання відбувається на кінцевій точці, жодна криптографія чи тунелювання посередині не змінює того, що було прочитано.

Та сама логіка стосується режиму, що діє сьогодні. Добровільне сканування за Регламентом 2026/1881 відбувається на серверах провайдера, на сервісах без наскрізного шифрування, як-от більшість вебпошти. Ваше повідомлення сканується там, де воно зберігається і пересилається, а не на дроті. VPN ніколи не бачить і цього етапу.

Що VPN у цьому контексті справді захищає, так це транспортний шлях. Він шифрує трафік між вашим пристроєм і VPN-сервером, а це не дає вашому інтернет-провайдеру, оператору публічного Wi-Fi чи будь-якому іншому спостерігачеві на шляху читати незашифрований трафік або каталогізувати, до яких сервісів ви під'єднуєтеся, і тримає вашу IP-адресу подалі від сайтів і сервісів, якими ви користуєтеся. Це реальний захист від спостереження на рівні мережі. Просто це не захист від сканування на кінцевій точці чи на боці сервера, бо VPN працює нижче того рівня, де відбувається таке сканування.

Якщо вас турбує саме Chat Control, чесний список пріоритетів має такий вигляд: по-перше, сам законодавчий результат, бо різниця між цільовими судовими наказами і генералізованим скануванням переважує будь-який вибір інструменту; по-друге, ваш вибір месенджера, бо наскрізне шифрування є тим, чого чинний закон прямо відмовляється торкатися; по-третє, приватність транспортного шляху, і саме тут місце VPN. Про те, як юридично виглядає саме використання VPN у Європі та поза нею, читайте наш гід по країнах щодо законності VPN у 2026 році. Ніщо в Регламенті CSA, у жодному проєкті на столі переговорів, не карає за його використання.

Чи є перевірка віку частиною Chat Control?

Була, а потім тихо перестала бути. Мандат Ради хотів обов'язкової перевірки віку для певних сервісів; Парламент хотів залишити її на розсуд провайдерів. На п'ятому трилозі співзаконодавці розрубали вузол, погодившись, що «цей Регламент не є місцем для регулювання перевірки віку», і вилучивши відповідні згадки з тексту, згідно з документом Ради 11501/26.

Перевірки віку нікуди не зникають; вони переходять до інших інструментів. Акт KIDS ЄС і хвиля національних законів вибудовують вікові правила сервіс за сервісом, і ми відстежуємо їх, включно з тим, на які з них VPN впливає, а на які ні, у нашому реєстрі вікових обмежень соцмереж по країнах. Франція вже має найжорсткішу національну версію, режим блокування сайтів для дорослих з перевіркою віку з власним перевіреним судами реєстром. Вилучення з Регламенту CSA звужує цей трилог до його справжнього предмета: виявлення.

Що станеться, якщо угоди не буде?

Нічого драматичного 30 вересня, і це частина проблеми. Добровільний режим діє до 3 квітня 2028 року незалежно від того, що станеться в переговорній кімнаті. Якщо шостий раунд провалиться, як п'ять попередніх, справа перейде до литовського головування в січні 2027 року, а потім до грецького, і переговори триватимуть під жорсткішим дедлайном: якщо квітень 2028 року настане без постійного регламенту, навіть добровільне сканування знову втратить правову базу, точно так, як це сталося на три місяці у 2026 році.

Є ще один датований маркер, який варто тримати в полі зору. Хай там що станеться 29 вересня, перші звіти прозорості за добровільним режимом з'являться до 1 лютого 2027 року, і вони покажуть, провайдер за провайдером, скільки сканування насправді відбувається і з якими рівнями помилок. Ці цифри виправдають або обережність Парламенту, або впевненість Ради. Ми оновимо цю сторінку, коли результат трилогу стане відомим.