Aucune surveillance de masse n'a cessé de s'étendre. Aucune porte dérobée n'est restée fermée.
Il y a un moment dans la vie des démocraties où la peur collective se codifie en loi. La proposition de Règlement européen connue sous le nom de Chat Control (formellement, le Règlement pour la Prévention et la Détection des Abus Sexuels sur Mineurs — CSAR) représente peut-être le point le plus élevé de tension entre deux principes que l'UE avait cherché à maintenir compatibles : la protection de l'enfance et la vie privée des communications.
Définition
Chat Control est une initiative législative de la Commission européenne, présentée à l'origine en mai 2022, qui vise à obliger les fournisseurs de services de messagerie (WhatsApp, Signal, Telegram, Messenger, iMessage, etc.) et les plateformes d'échange de contenu à détecter, signaler et supprimer les contenus d'abus sexuels sur mineurs (CSAM) sur leurs plateformes.
Le cœur de la controverse réside dans la méthode : la Commission propose que les plateformes mettent en œuvre des systèmes de détection automatisée qui analysent à la fois le contenu et les communications (messages privés, photos, vidéos) pour identifier les contenus suspects. Cela implique nécessairement d'inspecter le contenu de communications aujourd'hui protégées par le chiffrement de bout en bout (E2EE).
Le parcours législatif
Mai 2022 : Proposition originale de la Commission européenne
(obligation d'analyse pour tous les fournisseurs)
Nov 2022 : Avis du CEPD (Contrôleur européen de la protection des données)
— doutes sérieux sur la compatibilité avec les art. 7 et 8 de la CDFUE
Fév 2023 : Position du Conseil — avancement de la proposition avec amendements
Juin 2023 : Avis du Parlement européen (LIBE) — amendements critiques
qui tentent de préserver le chiffrement
Oct 2023 : Négociations en trilogue — blocage
2024 : Présidence belge tente de débloquer — pas de consensus
2025-2026 : Multiples cycles de négociation. Plusieurs États membres bloquent.
La proposition n'est toujours pas adoptée.
Le processus a été exceptionnellement long et controversé. La proposition originale nécessitait une majorité qualifiée au Conseil et une codécision avec le Parlement européen, ce qui a donné lieu à un bras de fer qui dure déjà depuis plus de quatre ans.
Les positions en présence
Pour (avec nuances)
| Acteur | Position |
|---|---|
| Commission européenne | Principale promotrice. Argue qu'elle est nécessaire pour détecter les CSAM qui échappent aujourd'hui à tout contrôle en raison du chiffrement massif. |
| Europol | Soutient la mesure. Signale que 80 %+ des enquêtes sur les CSAM se heurtent à des communications chiffrées. |
| Certains États membres | L'Espagne, la France, la Belgique, l'Irlande ont montré leur soutien à différentes phases, avec des réserves variables sur la portée. |
| Organisations de protection de l'enfance | Save the Children, Missing Children Europe, NCMEC — soutiennent la mesure comme nécessaire à la détection. |
Contre (avec nuances)
| Acteur | Position |
|---|---|
| Parlement européen (majorité) | Amendements pour limiter l'analyse aux suspects fondés, pas à toute la population. |
| Allemagne, Pays-Bas, Pologne, Autriche | Se sont opposés lors de différents votes au Conseil. L'Allemagne a été particulièrement virulente sur l'incompatibilité avec le chiffrement. |
| EDRi (European Digital Rights) | Campagne active contre la proposition. Signale qu'elle crée un précédent pour la surveillance de masse. |
| Signal, Proton, Threema, WhatsApp | Ont déclaré qu'ils ne mettront pas en œuvre l'analyse côté client et que, si la loi les y oblige, ils quitteront le marché européen ou supprimeront le E2EE. |
| Cryptographes et universitaires | Bruce Schneier, Matthew Green, Meredith Whittaker (Signal), et des centaines de chercheurs ont signé des lettres ouvertes avertissant qu'il n'existe aucun moyen sûr de mettre en œuvre l'analyse sans briser le chiffrement. |
| Agences de protection des données | Le CEPD et de multiples autorités nationales ont émis des avis négatifs. |
Le cœur du problème technique
Le nœud du débat n'est pas philosophique mais mathématique. La proposition exige que les plateformes détectent les CSAM dans les communications chiffrées. Le problème se formalise ainsi :
Soit un message chiffré où :
- est un schéma de chiffrement de bout en bout
- est une clé que seuls l'émetteur et le récepteur possèdent
- est le contenu du message
Il est demandé à la plateforme de déterminer si (où est l'ensemble des contenus CSAM connus ou classifiables) sans posséder et sans affaiblir pour tous les autres utilisateurs.
Les cryptographes ont démontré à maintes reprises qu'il n'existe pas de schéma qui satisfasse simultanément :
- Sécurité : l'attaquant (ou le gouvernement qui le contraint) ne peut pas exploiter le mécanisme pour lire des messages arbitraires
- Précision : la détection a des taux acceptables de faux positifs et négatifs
- Passage à l'échelle : fonctionne pour des millions de messages par minute
- Vie privée : ne filtre pas d'informations sur les utilisateurs non suspects
L'impossibilité n'est pas technologique dans le sens de "nous ne l'avons pas encore inventé". Elle est structurelle : les propriétés d'un schéma de chiffrement sécurisé impliquent que celui qui n'a pas la clé ne peut déterminer aucune fonction du contenu. Toute exception à cela est, par définition, un affaiblissement du chiffrement.
État actuel
En juillet 2026, la proposition CSAR est toujours en négociation. Elle n'a été ni approuvée ni retirée. Les présidences tournantes du Conseil ont tenté de multiples textes de compromis qui limitent la portée de l'analyse (en la restreignant à certains types de contenu, ou à des utilisateurs suspects, ou en exigeant une supervision judiciaire), mais aucune version n'a obtenu le consensus nécessaire.
Le principal obstacle reste le même : comment détecter un contenu illégal dans des communications chiffrées sans briser le chiffrement pour tous. Et la réponse, que les cryptographes répètent depuis 2022, reste la même : on ne peut pas.
Documents connexes :