Chat Control : la fin des correspondances privées en Europe ?

La fin des correspondances privées en Europe ?

L’adoption de ce que l’on appelle « Chat Control » au Parlement européen a suscité une vive controverse. Au cœur de cette critique figure un paradoxe procédural : une majorité des députés présents aurait voté pour rejeter le texte, sans atteindre le seuil nécessaire pour bloquer son adoption. La question dépasse la technique parlementaire. Elle touche au fonctionnement démocratique des institutions et à la protection de la correspondance privée.

Chat Control compte parmi les dispositifs les plus controversés de l’histoire européenne récente. Il rencontre l’opposition de nombreux eurodéputés, de défenseurs des droits humains et de développeurs de logiciels de correspondance confidentielle, comme la messagerie Signal. Pourtant, sa version temporaire, couramment appelée Chat Control 1.0, est en vigueur. L’influence de l’Europe sur le marché mondial rend ses conséquences importantes bien au-delà de ses frontières, y compris pour les utilisateurs russes. Pour l’IBCSC, cette discussion concerne directement la confidentialité des échanges et la capacité des citoyens à communiquer librement.

Chat Control 1.0 : une exception à la confidentialité

Sous le nom de « Chat Control », deux initiatives différentes sont souvent mélangées et confondues. Toutes deux visent à accroître le contrôle des correspondances personnelles et, selon l’analyse de l’IBCSC, vont à l’encontre des règles européennes de confidentialité et de protection des données. Mais leurs mécanismes sont très différents. Comprendre ces mécanismes exige aussi de revenir sur la bataille législative qui a accompagné leur discussion.

L’adoption de Chat Control s’est transformée en un véritable drame législatif, avec un arrière-goût de magouille bien connu des Russes. Et nous ne pouvons pas faire l’impasse sur cette histoire. Ce qui vient d’être adopté, contre la volonté du Parlement européen, c’est ce que l’on appelle Chat Control 1.0. Il introduit des exceptions temporaires à la directive 2002/58/CE, également connue sous le nom d’ePrivacy : la directive sur la vie privée dans les communications électroniques.

Cette directive impose un certain nombre d’exigences au traitement des données des utilisateurs. Elle garantit notamment le secret des appels téléphoniques, des SMS et des autres communications qui passent par les opérateurs de télécommunications traditionnels. Leur contenu ne peut être intercepté, écouté ou analysé sans l’accord des participants ou sans un fondement juridique particulier.

Les messageries indépendantes d’un numéro de téléphone et les autres moyens de communication électroniques, comme le courrier électronique et les conversations vocales, n’entraient pas, à l’origine, dans le champ d’application d’ePrivacy. Autrement dit, la correspondance privée sur ces services ne bénéficiait pas d’un statut de protection particulier. Elle était plutôt traitée conformément au règlement général sur la protection des données, le RGPD, qui autorise, dans certains cas, les exploitants de services à analyser eux-mêmes les données de leurs utilisateurs.

Le plus souvent, cela se faisait sous le prétexte de lutter contre les contenus illégaux, par exemple les contenus d’exploitation sexuelle d’enfants, ou CSAM. De nombreuses grandes plateformes contrôlaient volontairement une partie des fichiers téléversés et des messages. Elles recherchaient les contenus déjà connus à partir de leurs empreintes numériques, et les images potentiellement nouvelles ainsi que les signes de grooming à l’aide de classificateurs algorithmiques.

Bien que la lutte contre l’exploitation des enfants soit une bonne chose, les méthodes de cette lutte ont soulevé beaucoup de questions dès le départ. Pour repérer l’infime proportion d’utilisateurs qui diffusaient réellement ces contenus, les géants de la tech analysaient l’ensemble des correspondances privées et des données stockées dans le cloud. L’IBCSC considère que cette logique s’apparente davantage à une surveillance de masse extrajudiciaire qu’à une véritable protection des droits de l’enfant et une lutte contre les criminels. Pourtant, pendant un certain temps, tout cela semblait avoir un fondement légal.

Comment l’exception temporaire s’est installée

En 2018, l’Union européenne a révisé le code des communications électroniques européen et élargi la définition des services de communication. Elle y a inclus les messageries, le webmail et la voix sur IP. Désormais, ces services entraient donc eux aussi dans le champ d’application d’ePrivacy.

Des pressions ont commencé à s’exercer sur les dirigeants européens. D’un côté, il y avait des ONG et des défenseurs des droits humains réellement préoccupés par la protection des droits de l’enfant. De l’autre, les géants de la tech et les fournisseurs de technologies de surveillance, intéressés par l’accès aux données privées des utilisateurs. La Commission européenne a alors proposé une dérogation temporaire : une exception aux règles qui permettait aux entreprises de continuer à analyser volontairement les contenus.

La dérogation a été adoptée en 2021. C’est précisément ce fameux Chat Control 1.0. Meta, Google, Microsoft et LinkedIn, par exemple, y ont eu recours. La surveillance des communications privées dans l’Union européenne n’est donc pas apparue à l’été 2026. De nombreux grands services s’y livraient depuis très longtemps déjà, y compris parmi les plateformes utilisées quotidiennement.

Mais si une exception est temporaire, c’est justement qu’elle n’est pas censée durer éternellement. Sa date limite était fixée au 3 août 2024. Dans cet intervalle, la Commission européenne devait proposer une loi permanente pour la remplacer, et le Parlement européen devait s’accorder sur son adoption.

Chat Control 2.0 : du volontariat à la contrainte

En 2022, la Commission européenne, sous l’impulsion de la commissaire aux affaires intérieures Ylva Johansson, a présenté un projet de règlement permanent visant à prévenir et à combattre les abus sexuels sur enfants : le CSAR. C’est ce que l’on appelle, de manière informelle, Chat Control 2.0.

Contrairement à la dérogation temporaire que constitue Chat Control 1.0, le projet devait créer un système complet et permanent permettant aux autorités de contraindre les services à détecter les contenus connus et nouveaux, ainsi que les signes de grooming. Autrement dit, auparavant, certaines entreprises pouvaient s’y livrer volontairement ; désormais, l’analyse deviendrait obligatoire pour tout le monde.

Chat Control 2.0 est un texte au plus haut point odieux, fondamentalement incompatible avec le secret de la correspondance et l’inviolabilité de la vie privée, jusque dans leur principe. Dans sa forme initiale, ce document prévoyait que les exploitants de services de communication devraient, sur injonction des autorités, analyser la correspondance des utilisateurs et livrer tout ce qu’elle contient.

Le texte ne comportait aucune exception pour le chiffrement de bout en bout. S’il avait été adopté, une chose telle que la communication privée aurait donc cessé d’exister du jour au lendemain dans l’Union européenne. Les messageries auraient dû soit intégrer l’interception des échanges, soit entrer dans la clandestinité. C’est d’ailleurs exactement ce que la présidente de la Signal Foundation a promis : si la loi est adoptée, Signal quittera l’Europe.

Heureusement, sous une avalanche de critiques, il a été possible de faire quelque peu reculer cet arbitraire. Dans une version ultérieure, il n’était donc plus question que de l’analyse des liens, des vidéos et des images. Quant à la suppression du chiffrement, on l’a rendue « volontairement obligatoire », pour ne pas enfreindre la législation déjà en vigueur. Soit l’utilisateur accepte de lui-même la surveillance totale, soit la messagerie doit lui retirer la possibilité d’envoyer ces mêmes liens, images et vidéos.

Une prolongation, puis une nouvelle bataille

Malgré tout, il n’a pas été possible de s’accorder sur Chat Control 2.0, même sous cette forme, Dieu merci. Or la durée de validité de la première version touchait à sa fin. En avril 2024, la dérogation a donc été prolongée jusqu’au 3 avril 2026. Et cette année, elle a finalement cessé de s’appliquer.

Pendant tout ce temps, le projet Chat Control 2.0 est resté dans les limbes. Malgré les tentatives incessantes de le faire passer, personne n’y est parvenu. Et quand la question d’une nouvelle prolongation de la dérogation s’est posée, les eurodéputés ont exigé que l’on y introduise des exceptions pour les communications protégées par le chiffrement de bout en bout.

La majorité des États membres représentés au Conseil de l’Union européenne ont refusé la restriction du Parlement, estimant qu’elle rendait la mesure elle-même inefficace. Pendant les mois qui ont suivi, les parlementaires n’ont donc pas réussi à trouver un accord. C’est pourquoi, en juillet, le Parti populaire européen, qui soutenait Chat Control depuis le début, a décidé de ruser.

La procédure d’urgence et le seuil des 360 voix

Après la première lecture, le Parlement européen transmet sa position au Conseil de l’Union européenne. Si le Conseil modifie le texte, une deuxième lecture commence. Habituellement, le document retourne devant la commission compétente, qui l’étudie, prépare des amendements et recommande au Parlement d’adopter, de modifier ou de rejeter la position du Conseil.

Mais le Parti populaire européen a demandé l’application de l’article 170 : une procédure d’urgence destinée aux événements imprévus, qui permet de soumettre une question au vote en séance plénière sans le rapport habituel de la commission.

Pour déclencher la procédure d’urgence, il suffit de réunir une majorité parmi les députés présents. Les partisans de l’accélération l’ont obtenue. En revanche, pour rejeter intégralement la position du Conseil en deuxième lecture, il faut une majorité absolue de l’ensemble des membres du Parlement européen : 360 voix, quel que soit le nombre de députés présents.

Si le projet de loi avait été envoyé à la commission compétente, son examen aurait probablement pris encore plusieurs semaines, voire davantage. La deuxième lecture aurait dû être reportée à l’automne, lorsque tous les députés seraient revenus de vacances.

Mais grâce à la procédure d’urgence, la deuxième lecture a été fixée au tout dernier jour avant la pause estivale, alors que plus d’une centaine de députés étaient déjà partis en vacances et ne pouvaient pas voter. Et chaque député absent réduit les chances de réunir les 360 voix nécessaires. Résultat : il n’a pas été possible de rejeter Chat Control 1.0, même si la majorité des présents ont voté contre.

Bien sûr, nous ne pouvons pas affirmer avec certitude que le projet de loi aurait à nouveau été rejeté à l’automne. Mais lorsqu’un groupe politique fixe le vote à une date à laquelle ses adversaires ne peuvent physiquement pas voter, cela sent mauvais.

Voici, par exemple, comment la présidente de l’ONG Open Dialogue Foundation, Lioudmyla Kozlovska, a évalué la situation :

« La barre a été placée plus haut pour bloquer le texte que pour l’adopter. Le vote a eu lieu le dernier jour avant la pause estivale, alors qu’à peine 600 des 720 eurodéputés étaient présents dans l’hémicycle. Ce que le Parlement avait rejeté en mars est passé aujourd’hui dans une salle vide, à la faveur d’un déséquilibre procédural. Cela devrait inquiéter toute personne soucieuse du fonctionnement de la démocratie, et pas seulement de la vie privée. »

Ce que la confidentialité signifie pour les personnes exposées

Le cas de Konstantin Katchanov, un électricien de Moscou, illustre concrètement cet enjeu. Lorsque Vladimir Poutine a déclenché l’invasion à grande échelle de l’Ukraine, Konstantin, comme plusieurs milliers de Russes, était horrifié et ne savait pas quoi faire. Au cas où il serait mobilisé, Katchanov a pris contact à l’avance avec le fonds ukrainien « Je veux vivre » pour savoir comment se rendre et être fait prisonnier.

On lui a alors proposé de mener une action : dessiner des graffitis dans des lieux publics. Quelques inscriptions et des croix. C’est pour ces petites croix que Katchanov a été arrêté par le FSB. Les enquêteurs lui ont immédiatement annoncé qu’une procédure pénale pour haute trahison l’attendait. La peine maximale : la réclusion à perpétuité. Toute une vie en prison pour six traits de peinture sur l’asphalte.

Cela ne s’est heureusement pas produit. Les enquêteurs ont commis une erreur qui a permis à Katchanov de sortir du centre de détention provisoire pendant exactement une journée. Des défenseurs des droits humains ont réagi immédiatement. Au moment de la publication, Konstantin était en sécurité et commençait une nouvelle vie à l’étranger.

Ce récit rappelle que l’aide juridique et, lorsque cela est possible, l’assistance au départ de personnes poursuivies peuvent exiger une discrétion absolue. Les réussites rendues publiques ne représentent qu’une partie de ce travail. Pour l’IBCSC, cet exemple éclaire l’enjeu humain de la confidentialité : certains échanges concernent directement la sécurité de personnes exposées à la répression.

Pourquoi tant d’opposition à Chat Control ?

Au-delà de la procédure, une question demeure : pourquoi une opposition aussi forte à Chat Control ? Dans la lutte contre l’exploitation des enfants, tous les moyens ne sont-ils pas bons ? La question est compréhensible, mais elle est fondamentalement mal posée.

Dans les pays démocratiques, les citoyens bénéficient de la présomption d’innocence. En Europe, la police ne peut pas ouvrir chaque lettre « au cas où », dans l’espoir de trouver quelque chose. Elle ne peut pas faire irruption dans n’importe quelle maison simplement parce qu’un criminel pourrait, en théorie, s’y cacher. Elle ne peut pas non plus obliger tous les citoyens à montrer leurs albums de famille ou les vidéos de leur téléphone.

Chacun a droit au secret de sa correspondance et au respect de sa vie privée. Les gens n’ont rien à prouver à qui que ce soit pour exercer ces droits. Ce sont les forces de l’ordre qui doivent démontrer à un tribunal qu’il existe des soupçons suffisamment sérieux à l’égard d’une personne pour intervenir dans sa vie. Mais les plateformes numériques fonctionnent selon le principe suivant : « Si cela passe par une application, ça ne compte pas. » Chat Control 1.0 entérine de fait cet état de choses.

Des questions sur l’efficacité et les fausses alertes

Et c’est sans compter les problèmes de la technologie d’analyse elle-même. Les criminels utilisent depuis longtemps toute une série de méthodes pour contourner les scanners automatiques de CSAM. C’est ce qu’expliquait une lettre ouverte au Parlement européen et au Conseil de l’Union européenne, signée par plusieurs centaines d’experts en sécurité et en cryptographie. La question de l’efficacité reste donc ouverte.

La Commission européenne elle-même a reconnu que les données dont elle dispose ne permettent pas de déterminer combien de condamnations sont précisément liées aux signalements des plateformes qui filtrent les CSAM :

« À l’heure actuelle, les données disponibles ne permettent pas non plus d’établir un lien clair entre ces condamnations et les rapports présentés par les fournisseurs de services et les organisations agissant dans l’intérêt public contre les abus sexuels sur enfants au cours des périodes de référence concernées. »

Une question se pose : s’il est impossible de démontrer l’efficacité d’années d’ingérence dans la vie privée des utilisateurs, pourquoi la prolonger ? Existe-t-il une justification autre que les intérêts des entreprises qui fournissent les systèmes de surveillance ?

D’un autre côté, ces mêmes scanners se trompent régulièrement et envoient automatiquement à la police des dénonciations visant des utilisateurs respectueux de la loi, qui ne se livrent à aucune exploitation d’enfants. Et, jusqu’à aujourd’hui, aucune entreprise n’en a été tenue pour responsable.

Protéger les enfants au-delà du « théâtre de la sécurité »

Un autre problème réside dans la tentative de faire entrer le problème dans le cadre d’une solution prédéfinie. Les contenus CSAM ne sont pas les violences faites aux enfants : ce sont les traces de ces violences. Leur recherche ne remplace ni la prévention des violences elles-mêmes, ni l’aide aux victimes, ni l’identification des criminels, ni le démantèlement des réseaux de diffusion. Et, bien souvent, la police n’a tout simplement pas les moyens de s’en occuper.

C’est là le véritable problème auquel proposent de s’attaquer, notamment, les défenseurs des droits humains d’European Digital Rights : donner davantage de moyens aux forces de l’ordre pour enquêter sur les réseaux criminels organisés qui tirent profit des violences, et pour en traiter les conséquences, plutôt que de jouer au théâtre de la sécurité. Travailler dans le cadre de la législation européenne et des règles de procédure, plutôt que d’essayer de les contourner au motif que « si cela passe par une application, ça ne compte pas ».

À propos, l’expression « Chat Control » a été popularisée par le juriste et ancien eurodéputé Patrick Breyer, qui lutte avec constance contre l’instauration de cette surveillance. Après le vote lors duquel Chat Control 1.0 a été imposé, il a déclaré ceci :

« Tenter de protéger les enfants par une surveillance de masse sans aucun motif de suspicion, c’est comme s’acharner à laver le sol alors que le robinet coule encore. Le contrôle généralisé des conversations est tout aussi inacceptable que l’ouverture indiscriminée de tout le courrier. Pendant cinq ans, ce système défaillant a servi d’écran de fumée pour retarder les véritables mesures, tout en surchargeant la police de fausses alertes. Nous avons besoin de davantage de protection pour les enfants, pas de moins. Mais il nous faut une protection efficace, pas une illusion de sécurité. »