« Chat Control » : l’Union Européenne et la surveillance généralisée
Cet article est une copie d’un article de Rebellyon.info, avec leur accord. Merci à elleux.
«Chat Control», un «Cheval de Troie» de la Commission européenne pour mettre fin au chiffrement? C’est bien ce qui semble se jouer alors que le texte a connu ses derniers rebondissements législatifs devant le Parlement européen le 9 juillet dernier. Retour sur un parcours législatif qui met en lumière les multiples systèmes de verrouillage démocratique des instances européennes et cette poussée vers une surveillance toujours plus généralisée.
Depuis le début de l’année, l’internet européen s’agite autour de deux textes de loi proposés par le groupe parlementaire du Parti Populaire européen (un des huits groupes politiques du Parlement européen, qui rassemble les partis conservateurs qui y siègent, par exemple les Républicains pour la France) pour prolonger le dispositif déjà existant de contrôle des communications numériques privées à des fins d’identifications de contenus pédopornographiques. Retour sur un parcours législatif qui met en lumière les multiples systèmes de verrouillage démocratique des instances européennes et cette poussée vers une surveillance toujours plus généralisée.
La prolongation d’un dispositif existant
Personne ne sera surpris en lisant ces lignes si l’on rappelle que l’Union Européenne a longtemps été à la traîne sur les questions de régulation des espaces numériques et de facto dans son rapport de force avec les GAFAM américaines. Jusqu’au début des années 2020, la législation européenne reposait encore assez largement sur la directive ePrivacy, datant de 2002. Cette dernière avait pour objectif de transposer sur internet la question de la protection des consommateurices et la protection de la vie privée. Vaguement amendé depuis 2002, notamment par le Paquet Télécom (2007) promu alors par un certain Nicolas Sarkozy, qui cherchait à encadrer les échanges d’informations (et notamment les métadonnées) qui transistaient via les fournisseurs de services numériques (navigateurs, emails mais aussi et surtout les services par contournement (hors offre du fournisseur d’accès à l’Internet) comme Skype, et les tous récents (à l’époque, bien sûr) Whatsapp et Facebook Messenger.
Comme la logique sécuritaire de « protection » rime quasi-systématiquement avec un contrôle accru des usages, l’Union Européenne a également commencé à se doter d’outils de contrôle des usages d’internet. Tardivement, certes, mais tout de même, à partir de 2020, la Commission européenne commence à lorgner sur les outils développés outre-Atlantique par les GAFAM pour lutter contre la pédopornographie. C’est à cette époque notamment que Meta met par exemple en place une façon pro-active d’analyser les messages échangés sur ses messageries Messenger et Whatsapp (au moins les données non-chiffrées : photos de profils ou de groupe, descriptions etc.) pour détecter des images d’exploitation d’enfants. En 2021, Apple se joint à la ronde en annonçant mettre en place un outil similaire pour vérifier les données de ses client-es hébergées sur iCloud. Microsoft, dans le même geste, développe à cette période l’outil de comparaison PhotoDNA.
Un premier règlement européen voit le jour en 2021 et autorise alors temporairement (pendant 3 ans) les services de communication numérique à analyser des contenus pour détecter des abus sur des enfants. Déjà à l’époque, on se doutait assez que pour mettre en place une telle politique, l’utilisation d’outils et de techniques de surveillances bien plus larges allaient être mis en place par les grandes plateformes. Ce règlement, en fait une dérogation de la directive ePrivacy (eh oui, quand il s’agit de l’UE, c’est pas facile à suivre) a donc pris fin en 2024 et ouvre donc logiquement la séquence politique dans laquelle nous nous trouvons actuellement.
C’est donc deux législations qui sont au coeur des débats depuis 2024. Le premier, le renouvellement de la dérogation de la directive ePrivacy, renommée par ses opposant-es « Chat Control 1.0 », désormais étendue à tout ce qui se fait de communication électronique (Tiktok, Instagram, Discord…). Et en plus, un nouveau texte, le «CSAR» (pour «Child sexual abuse regulation»), est proposée par la Commission européenne, qui vise à pérenniser et approfondir la régulation à renouveler tous les trois ans (quant à elle renommée « Chat Control 2.0 »). Le CSAR embarque ainsi un nombre bien plus important d’acteurs de services électroniques et donc bien plus d’usager-es. Comme l’explique la Quadrature du net, sont compris dans son filet, tous les «fournisseurs de services de communications interpersonnelles», c’est-à-dire les messageries en ligne telles que Signal, Whatsapp ou Telegram, les fournisseurs de mail, les applications de rencontre mais également les messageries qui ne sont qu’une fonction accessoire à d’autres services, comme dans les jeux (Steam etc.). Mais aussi, les «fournisseurs de services d’hébergement» comme NextCloud, iCloud, DropBox ou les hébergeurs associatifs. L’ensemble de ces fournisseurs est donc contraint de mettre en place une surveillance assez généralisée sur ses usager-es : études d’impact, de fonctionnement, d’usage, mais aussi informations sur les utilisateurices (âge des personnes), type de contenu consulté/utilisé et mise en place de systèmes de vérification d’âge. Comme l’explique encore une fois la Quadrature : « il s’agira de mettre en œuvre une technique de «client side scanning» (littéralement «analyse côté client»), c’est-à-dire analyser directement sur les appareils des utilisateur·ices les données qui y transitent. Lorsqu’un internaute enverra un message ou postera une publication via un des services concernés par une injonction, ce contenu sera analysé avant envoi. Plus précisément, ce sont des «hash», c’est-à-dire des empreintes numériques liées aux images, qui seront examinées. Ce hash sera alors comparé à une base de données déjà constituée de contenus relatifs à des abus sexuels d’enfants. Si le hash correspond avec une photo de la base, une alerte est déclenchée. Dans le cas contraire, cela signifie que le contenu doit être qualifié d’«inconnu» et un outil d’analyse supplémentaire vérifiera alors s’il existe des corrélations ou similitudes avec des contenus d’abus sexuels pour déclencher une alerte le cas échéant. » [1].
Cette analyse en profondeur des contenus et des échanges des utilisatrices implique également une utilisation assez poussée de l’intenlligence artificielle à l’aide de filtres dont on sait déjà qu’il sera assez difficile d’obtenir une quelconque forme de transparence. Si pour l’instant, le contenu chiffré des messageries dites chiffrées de bout en bout a été laissé de côté par la Commission européenne et par le Parlement (on y revient juste après), la Quadratude du net assure qu’une telle analyse «ne pourrait pas se faire sans compromettre l’intégrité même des services chiffrés» [2]. En outre, l’analyse en profondeur des échanges pour traquer les contenus pédo-pornographiques équivaudrait à la mise en palce d’un logiciel espion sur des millions d’appereils électroniques (téléphones et ordinateurs). La vérification d’âge, quant à elle, loin de protéger les utilisateurices, est un moyen de contrôle accru des pratiques numérqiues et constitue une menace directe de l’utilisation libre d’internet, de la liberté d’expression, du droit à l’anonymat ou à minima du pseudonymat.
Le Conseil de l’Europe contourne le Parlement européen
Le parcours de la loi a pour le moins été surprenant et souligne l’autoritarisme patant du fonctionnement législatif européen. En effet, un premier vote a eu lieu le 26 mars 2026 au Parlement européen qui rejette avec une mince avance la prolongation proposée par la Comission européenne de «Chat Control 1.0», qui arrivait à expiration le 4 avril [3]. Pourtant, pas effrayée pour un sou de ce revers légilslatif, la Commission européenne, avec l’appui de la Présidente du Parlement européen Roberta Metsola (aussi une des cheffes de file du groupe PPE), relance le dossier en appelant les chefs d’Etat et de gouvernement réunis dans le Conseil de l’Europe à continuer à bosser sur un régime temporaire qui permettrait à «Chat Control 1.0» d’exister en préparant son retour devant le Parlement. Un certain nombre d’élu-es européen-nes (notamment Birgit Sippel, eurodéputée allemande du groupe socialiste et rapporteure sur le dossier et Markéta Gregorová, eurodéputée écologiste tchèque), ont par ailleurs dénoncé cette stratégie comme une manière de perturber les discussions et même d’affaiblir directement la position du Parlement.
Le 2 juillet, le Conseil de l’Europe adopte donc une position unanimement favorable à la prolongation de «Chat Control 1.0», permettant ainsi au PPE de contourner complètement la première décision du Parlement et de déclencher un deuxième passage du dossier par le Parlement européen. Le 9 juillet, une proposition préalable de rejet de la position du Conseil de l’Europe proposée par les groupes de gauche du Parlement recueille une majorité de voix (314 pour, 276 contre) [4]. Le texte finit tout de même par passer en seconde lecture, puisque selon la législation européenne, le Parlement ne peut renverser une position du Conseil de l’Europe qu’avec la majorité de l’ensemble de ses membre (361 voix). C’est ainsi que la stratégie de la Commission européenne et du PPE pour forcer le passage de « Chat Control 1.0 » a réussi, démontrant une nouvelle fois que les apparats de la démocratie libérale restent en réalité dotés d’outils de verrouillages décisionnaires bien aiguisés.
Surveillance généralisée et fin du chiffrement?
En l’état des choses, « Chat Control 1.0 » n’a été que prolongé, c’est à dire que les grandes plateformes (Meta, Google, Microsoft et les autres) continuent à scanner «volontairement» nos communications privées. Des deux visions portées par les instances européennes, la première, celle soutenue par le Parlement qu’on pourrait appeler «protectrice» des droits individuels (un scan seulement ciblé, limité aux personnes précisément soupçonnées et validé par un juge, avec un chiffrement préservé) a prévalu sur la seconde, du Conseil de l’Europe qui souhaitait un scan obligatoire (« Chat Control 2.0 »). Pourtant, comme l’ont montré les diverses stratégies législatives mises en place par le Conseil de l’Europe et par le PPE, « Chat Control 2.0 » est loin d’avoir disparu. « Ni adoptée, ni enterrée » comme l’écrivent ses détracteurs dans la pétition #stopchatcontrol [5], la mesure « Chat Control 2.0 » « avance par compromis successifs [glissant] de l’ « obligatoire » vers [une forme] « volontaire sous pression ».
Si l’on prend le temps d’expliquer les tournants et les aboutissements des deux législations, et les imbroglios de leurs parcours législatifs, c’est pour souligner que la progression de l’Union Européenne vers un contrôle extensif des communications et vers la surveillance généralisée ne passe pas par un grand texte de loi mais par la fragmentation des mesures en plusieurs lois permettant de contourner les oppositions et les «digues» démocratiques.
Qu’il s’agisse de « Chat Control 1 et 2.0 », de l’identité numérique européenne, de la vérification d’âge ou de l’euro numérique, l’ensemble des mesures tendent à mettre en place un modèle du numérique et d’internet dans lequel le fait de statuer de son identité est la condition d’accès aux services numériques. La multiplication des dispositifs d’identification, de vérification et d’exigence de traçabilité fait disparaître petit à petit les mince possibilités d’anonymat ou au moins de pseudonymat. Dans un article déjà cité plus haut, la Quadrature du net qualifie les mesures de « Chat Control » de « Cheval de Troie de la Commission [pour] mettre fin au chiffrement ». Si pour l’instant, les VPN (virtual private network) ne sont pas encore interdits et que le vote du 9 juillet garantit l’intégrité des communications chiffrées, il n’y a aucune forme de doute que de futurs textes viendront à leur tour les mettre à mal, si ce n’est les proscrire purement et simplement.
Si l’on sort des aspects purement techniques pour s’intéresser aux éléments discursifs de la Commission et du Conseil de l’Europe, la lutte contre la pédocriminalité agit comme l’intensification de la lutte antiterroriste en son temps. On se rappelle bien sûr en France de la mise en place de l’Etat d’urgence à la suite de la vague d’attentat de 2015-2016 où des mesures de surveillance inédites ont été acceptées puis versée dans le droit commun en vertu du fait que les « personnes honnêtes » n’ont rien à cacher et que tout citoyen concourt à aider l’Etat dans sa lutte contre le terrorisme. La lutte contre la pédocriminalité reprend à s’y méprendre les mêmes arguments et dispositifs législatifs que l’antiterrorisme, la nature exceptionnelle en moins, cependant. Ici, il est clair dès le départ que les instances européennes souhaitent installer dans la durée des mesures visant à établir un contrôle beaucoup plus serré des communications et des usages d’internet de ses centaine de millions d’habitant-es. On pourrait même pousser encore un peu plus loin en disant qu’il ne faut pas avoir de boule de cristal pour imaginer que la course à la guerre menée par les différents pays européens et la lutte contre les attaques hybrides risquent d’amener son lot de lois et de mesures d’urgence venant achever ce qui reste de libertés numériques pour la « sécurité des Etats ».
La lutte à venir et quelques conseils
Pour ne pas désespérer de la situation, il nous incombe de prendre toute la mesure de la menace à venir sur nos usages d’internet (discussions, organisation militante et politique plus large) afin de nous y adapter. Il faut continuer à visibiliser les enjeux qui entournent les divers usages du numérique dans le contexte de fascisation accélérée que nous connaissons, et de développer et partager une culture de la sécurité numérique. Cela passe évidemment par une connaissance au moins générale des infrastructures informatiques que nous utilisons, la surveillance accrue des traces que nous y laissons avec nos activités, développer des outils numériques autonomes et sécurisés, mais aussi tout bonnement apprendre à faire sans dès lors que c’est possible.
Pour poursuivre la réflexion et pour s’outiller, deux propositiosn de brochures précieuses.
Notes
[1] https://www.laquadrature.net/2023/09/18/reglement-csar-la-surveillance-de-nos-communications-se-joue-maintenant-a-bruxelles/
[2] https://www.laquadrature.net/2025/10/03/chat-control-on-fait-le-point/
[3] Par 228 voix pour, 311 contre et 92 abstentions, le Parlement européen a rejeté la proposition de règlement du Parlement européen et du Conseil modifiant le règlement (UE) 2021/1232 en ce qui concerne la prolongation de sa période d’application : https://oeil.europarl.europa.eu/oeil/fr/document-summary?id=1896266
[4] https://www.europarl.europa.eu/doceo/document/PV-10-2026-07-09-VOT_FR.html
