L’Union européenne a ouvert la possibilité que nos discussions soient surveillées et ne restent plus privées. C’est la crainte qui circule après le vote du Parlement européen sur les règles ePrivacy pour la détection des abus sexuels sur enfants en ligne. Il s’agit d’une question très compliquée (et délicate), tant d’un point de vue technique que politique, et d’un jeu encore ouvert et encore à trancher. Essayons de l’expliquer.
Le 9 juillet, Strasbourg a approuvé des modifications à une dérogation, accordée par la Commission et expirée le 3 avril, aux règles de confidentialité qui permet aux plateformes en ligne d’identifier la pédopornographie et les tentatives de sollicitation dans les communications privées des utilisateurs, les espionnant ainsi.
Tout d’abord, l’exemption, ayant expiré, n’est pas en vigueur actuellement et cela signifie que les chats sont toujours protégés. La règle, qui la remettrait en vigueur jusqu’en avril 2028, n’a pas été rejetée par le Parlement européen, mais modifiée sur un point décisif, excluant de son champ d’application toutes les communications protégées par cryptage de bout en bout, comme celles de WhatsApp ou Signal. Le texte amendé est désormais renvoyé au Conseil de l’UE, qui dispose de trois mois pour l’accepter ou le rejeter. En cas de désaccord, une procédure de conciliation sera ouverte entre les deux institutions, donnant lieu à une nouvelle négociation plus complexe.
L’exonération
Le mécanisme au cœur du vote est une dérogation temporaire à la directive ePrivacy, le règlement européen qui protège la confidentialité des communications électroniques. Dans des conditions normales, cette directive empêcherait les fournisseurs de services de messagerie et de courrier électronique d’analyser le contenu échangé par les utilisateurs.
L’exemption suspend cette interdiction dans un but précis : permettre aux entreprises qui le souhaitent, et pour l’instant uniquement sur une base volontaire, d’identifier les images et vidéos d’abus sexuels sur mineurs et les cas de toilettage, c’est-à-dire les techniques avec lesquelles un adulte manipule psychologiquement un mineur pour l’amener à un contact sexuel. Toute personne identifiant ces contenus peut les supprimer et les signaler aux autorités compétentes. Mais pour ce faire, les plateformes doivent évidemment avoir l’autorisation d’espionner les chats. Et ici le débat commence.
La position du Conseil, dont le Parlement était saisi, aurait rétabli cette possibilité sans restrictions particulières jusqu’en 2028. Les députés ont plutôt introduit une limite claire : l’exemption ne doit pas s’appliquer aux communications « auxquelles un cryptage de bout en bout est, a été ou sera appliqué », la technologie qui rend un message lisible uniquement par l’expéditeur et le destinataire, empêchant toute autre personne, y compris le fournisseur de services, d’y accéder.
Les députés souhaitent donc exclure les principales applications de messagerie cryptée, tandis que les e-mails non cryptés, les services de stockage cloud et autres plateformes n’offrant pas cette protection resteraient dans le champ d’application.
Contrôle du chat
Derrière le label Chat Control se cachent trois mécanismes techniques aux fiabilités très différentes.
Le premier concerne du matériel déjà connu, des photos ou des vidéos déjà identifiées comme du matériel pédopornographique. La technologie fonctionne comme une empreinte numérique : chaque image est transformée en un code numérique, comparé à une archive de codes déjà signalés. Si cela correspond, le système bloque ou marque le fichier sans qu’aucun être humain ne « regarde » l’image. C’est la technique la plus fiable à l’heure actuelle : Microsoft parle même d’une marge d’erreur d’un cas sur cinquante milliards, un chiffre pourtant jamais vérifié par des experts indépendants.
Le deuxième mécanisme concerne du matériel nouveau, jamais vu auparavant. Ici les choses sont plus complexes et il n’existe pas de code de référence : un algorithme d’intelligence artificielle doit estimer par probabilité si un contenu est illégal. La marge d’erreur augmente ainsi et, appliquée aux milliards de messages échangés chaque jour, risque de produire des centaines de milliers de fausses alertes, avec le risque de signaler par erreur des contenus innocents, comme une photo d’enfant envoyée à un pédiatre.
Le troisième mécanisme, le plus délicat, concerne le toilettage, le leurre. Un programme devrait identifier les conversations dans lesquelles un adulte manipule psychologiquement un mineur. Ici, le système doit analyser des textes entiers, en capturant le ton et le contexte. C’est une tâche qu’aucune technologie ne réalise aujourd’hui avec suffisamment de fiabilité à grande échelle.
Le cryptage de bout en bout de WhatsApp ou Signal, qui rend un message lisible uniquement par l’expéditeur et le destinataire, complique tout. Dans les services non cryptés, la comparaison a lieu sur les serveurs du fournisseur, tandis que dans les chats cryptés, une analyse du téléphone de l’utilisateur serait nécessaire avant l’envoi. C’est le point le plus controversé : selon les critiques, un tel mécanisme ouvre une porte qui pourrait également être exploitée à d’autres fins.
Quoi qu’il en soit, il convient de le répéter, le principe du volontariat demeure. La dérogation n’obligerait pas les applications à surveiller les discussions des utilisateurs, mais leur donnerait la possibilité de le faire s’ils le souhaitent, ce que Telegram, par exemple, a déjà déclaré ne pas vouloir faire.
Le vide réglementaire
La question est en discussion depuis un certain temps, depuis 2021, lorsque l’Union européenne a introduit une première dérogation temporaire à la directive ePrivacy précisément pour permettre aux plateformes de poursuivre des pratiques de détection d’abus que l’entrée en vigueur de la directive elle-même risquait de rendre illégales. Cette exemption a ensuite été prolongée par une série d’extensions ultérieures, en attendant l’approbation d’une législation permanente en la matière, encore en négociation à Bruxelles, le contrôle des chats étant l’un des principaux points de désaccord.
En décembre, la Commission européenne avait proposé une deuxième prolongation de la dérogation, qui était sur le point d’expirer. Mais en première lecture, le Parlement ne s’est pas limité à approuver le texte de la Commission : il a introduit des amendements qui ont restreint la portée de l’exonération et soumis les activités de détection à l’autorisation de l’autorité judiciaire. Sur cette base, des négociations ont commencé avec le Conseil, pour rechercher un accord commun avant le vote final, mais les deux institutions n’ont pas réussi à rapprocher leurs positions.
Le 26 mars 2026, le Parlement, en séance plénière, a rejeté le texte, clôturant la première lecture sans position partagée et, en conséquence directe, aucune prolongation n’ayant été approuvée à temps, la dérogation transitoire a expiré le 3 avril 2026, ouvrant un vide juridique.
Et le jeu pour le combler est encore ouvert et de plus en plus compliqué, car il se déroule sur deux fronts. La première est celle de la dérogation aux règles actuelles, la seconde est celle d’un nouveau règlement sur le sujet, dans lequel pourtant l’un des objets de litige est précisément celui de la vie privée, avec la Commission et le Conseil qui voudraient rendre obligatoire pour les prestataires de services de surveiller et de signaler tout abus sur leurs plateformes et d’en informer les autorités.