L'UE adopte un projet de « surveillance des discussions » : Instagram, Discord, Gmail… tous les messages privés scannés.

Le Parlement européen a ravivé la règle de scanning massif des messages privés le 9 juillet, avec 314 voix contre, 276 pour et 17 abstentions : Instagram, Discord, Gmail et autres plateformes sont à nouveau incluses, jusqu'en 2028.
(Contexte précédent : Microsoft confirme qu'il fournira les clés BitLocker au FBI – vos supposées données cryptées sont-elles vraiment sûres ?)
(Contexte complémentaire : Le fondateur de Cake Wallet lance Radar : un logiciel de messagerie lié aux paiements Lightning Network de Bitcoin, utilisant le protocole de chiffrement Signal)

Table des matières

Toggle

• Quels messages privés seront-ils rouverts ?
• Six chiffres qui contredisent l'idée que « le scanning protège les enfants »
• La cryptographie, la véritable ligne de défense

Le bras de fer à l'UE n'a pas cessé depuis mars. La version 1 du « Chat Control », un scanning de masse sans discrimination des communications privées, avait déjà été rejetée deux fois par le Parlement européen en mars, et la proposition était considérée comme « morte ». Mais contre toute attente, le 9 juillet, le Parti populaire européen (PPE) a utilisé une procédure d'urgence pour remettre le dossier à l'ordre du jour. Le même groupe de députés a voté et le texte a ressuscité.

Le jour même, le résultat fut de 314 voix contre, 276 pour et 17 abstentions. Les voix contre étaient majoritaires. Mais pour rejeter un texte, le Parlement européen doit réunir une majorité absolue de 361 voix. Les opposants en étaient à 47 voix de moins. Cet écart procédural a permis à une règle de surveillance que la majorité ne souhaitait pas de revenir dans les téléphones des Européens.

Quels messages privés seront-ils rouverts ?

Selon ce vote, la règle transitoire s'appliquera jusqu'au 3 avril 2028, ou jusqu'à ce qu'une version permanente soit adoptée. Elle cible les services de messagerie et de courriel gérés par les entreprises technologiques américaines : les messages privés d'Instagram, Discord, Snapchat, Skype, Xbox, ainsi que les boîtes mail de Gmail et iCloud sont à nouveau inclus dans la liste des services pouvant être scannés « sans mandat judiciaire et sans soupçon préalable ».

Un geste clé a eu lieu le jour du vote : les communications chiffrées ont obtenu une exemption symbolique (par exemple WhatsApp). Cela ressemble à une concession, mais en réalité les fournisseurs de services ne peuvent de toute façon pas scanner le contenu chiffré de bout en bout. Cette exemption est davantage une reconnaissance de la réalité qu'une concession politique.

Six chiffres qui contredisent l'idée que « le scanning protège les enfants »

Les opposants disposent de données. L'ancien député européen et militant des droits numériques Patrick Breyer a déclaré : « Le Chat Control avance contre la volonté de la majorité des députés qui ont voté. C'est une farce qui nuit à la démocratie. Les véritables perdants sont nos enfants. »

Il a comparé le scanning de masse à « vouloir protéger les enfants par une surveillance de masse, c'est comme essayer de laver le sol alors que le robinet est toujours ouvert », et a souligné que le Chat Control généralisé est « aussi inacceptable que d'ouvrir le courrier physique de tout le monde sans distinction ».

Selon le propre rapport de la Commission européenne, au moins six chiffres pointent vers la même conclusion : le scanning de masse n'a pas vraiment protégé les enfants. Depuis 2022, le nombre de signalements d'abus suspectés aux États-Unis a diminué de 50 % ; en 2024, le scanning de masse des messages privés ne représentait que 36 % de tous les signalements d'abus, la plupart des indices provenant en fait de publications publiques et de stockage dans le cloud ; la police criminelle fédérale allemande (BKA) a constaté que 48 % des signalements n'avaient aucune pertinence pénale ; parmi les enquêtes qui en ont découlé, 40 % des sujets étaient en fait des mineurs eux-mêmes.

Parmi les signalements générés par Meta, on estime que 99 % sont des doublons de « matériel déjà connu », ce qui est peu utile pour empêcher les abus en cours. La Commission elle-même admet qu'il n'existe aucune preuve que le scanning de masse des messages privés ait augmenté le nombre de condamnations ou sauvé un seul enfant supplémentaire.

La position des survivants est encore plus directe. Alexander Hanff, militant pour la vie privée qui a contribué à obtenir justice pour 28 garçons scolarisés via des canaux de communication confidentiels et à faire condamner plusieurs agresseurs, a déclaré : « Le Chat Control n'a pas été créé pour protéger les enfants. Il a été conçu pour que les grandes entreprises technologiques comme Meta et Google puissent accéder à nos données, et pour que les États puissent étendre la surveillance de masse. »

Un survivant sous le pseudonyme de Marcel Schneider, qui poursuit actuellement Meta en justice, a déclaré directement : la surveillance de masse volontaire par les entreprises n'a pas réellement empêché les abus. Dorothée Hahne, vice-présidente de l'organisation de défense des survivants MOGiS e.V., a également déclaré : « En tant que survivants, nous voyons nos "espaces sécurisés", nos canaux de communication protégés, être menacés, voire détruits, par cette mesure. »

La cryptographie, la véritable ligne de défense

Le détail le plus intéressant de toute cette affaire est que, chaque fois que les gouvernements et les grandes entreprises technologiques cherchent un moyen de scanner les messages privés, ceux qui y échappent sont les communications chiffrées de bout en bout comme WhatsApp, Signal, iMessage. Ce n'est pas grâce à une faveur politique particulière, mais parce qu'avec le chiffrement de bout en bout, les messages ne sont détenus que par l'expéditeur et le destinataire, et le serveur est techniquement incapable de les scanner.

Les fournisseurs européens de services de messagerie et de courriel n'ont jamais mis en œuvre le Chat Control non plus. Cela confirme exactement ce que la communauté du chiffrement répète depuis des années : la véritable confidentialité fiable ne repose jamais sur les bonnes intentions des régulateurs, mais sur la cryptographie elle-même. Alors que les gouvernements et les plateformes convoitent les messages privés, le chiffrement est l'un des rares outils de souveraineté que les utilisateurs peuvent encore conserver.

La bataille n'est pas terminée. La règle transitoire ne va que jusqu'en 2028. La version permanente, le « règlement CSAM », connu sous le nom de Chat Control 2.0, les négociations reprendront en septembre. Les conditions posées cette fois par le Parlement européen sont : les mandats de scanning doivent cibler les suspects réels, création d'un centre européen de protection de l'enfance chargé de retirer les contenus déjà connus, et les logiciels de messagerie doivent intégrer la norme « Security-by-Design », plutôt qu'une surveillance de masse de tous les citoyens.