Chat Control : la loi qui veut scanner tes messages chiffrés

Le 9 juillet 2026, une majorité de députés européens a voté contre Chat Control. La loi est quand même passée.

314 voix contre, 276 pour. Sauf qu’en seconde lecture, voter « contre » ne suffit pas : il fallait 361 voix pour bloquer le texte. Résultat, le scan sans soupçon de tes messages non chiffrés est de nouveau autorisé jusqu’en 2028, adopté contre l’avis du plus grand nombre, par une simple mécanique de procédure.

Retiens ce moment. Pas parce que ce vote est l’essentiel, il ne l’est pas. Mais parce qu’il résume quatre ans d’un feuilleton où, à chaque fois qu’on croit le dossier enterré, il ressort sous un autre habit. Et derrière chaque version, la même ligne rouge : le chiffrement de bout en bout, la seule chose qui fait qu’une conversation privée reste privée.

C’est ça, le vrai sujet. Pas « une loi de plus à Bruxelles », mais la question de savoir si tes échanges resteront lisibles par toi seul, ou par un système qui te lit avant même que le chiffrement s’applique, au nom d’une cause que personne ne conteste : protéger les enfants.

Cet article ne va pas te vendre une panique. Il va te donner de quoi comprendre : ce qu’est vraiment Chat Control, pourquoi il vise le chiffrement par construction, ce que ça change pour toi, et pourquoi, loi bloquée ou pas, la seule posture qui tient, c’est chiffrer tes données et rester attentif. Parce que ce combat-là ne s’arrête pas à un vote.

Chat Control 1.0 vs 2.0 : deux lois, un même nom qui embrouille tout

Premier piège, et pas des moindres : « Chat Control » désigne deux textes différents. La plupart des articles les mélangent, et c’est précisément ce flou qui permet de faire passer des choses. On sépare.

Chat Control 1.0, c’est le règlement (UE) 2021/1232. Une dérogation temporaire à la directive ePrivacy, votée en 2021. Elle autorise les fournisseurs à scanner volontairement les messages, mais uniquement le contenu non chiffré, et seulement pour du matériel pédocriminel déjà connu. En pratique, une poignée de services américains s’en servent : Gmail, Messenger, Skype, Snapchat, iCloud Mail, Xbox. Point crucial : ça n’oblige personne, et ça ne touche pas au chiffrement de bout en bout. C’est le régime « soft ».

Chat Control 2.0, c’est le règlement CSA (CSAR), proposé en 2022. La version permanente et contraignante. Celle qui introduit les injonctions de détection : l’obligation, pour une messagerie, de chercher dans les échanges de ses utilisateurs trois choses, le matériel connu, le matériel inconnu détecté par IA, et le grooming repéré dans le texte des conversations. Et dans le design d’origine, l’E2EE n’est pas épargné. C’est le régime « dur ». C’est lui, le vrai sujet.

Maintenant, l’historique, parce qu’il raconte quelque chose. Le motif est toujours le même : la version dure débarque, elle se fait bloquer, elle revient déguisée.

Mai 2022, la Commission dégaine le CSAR dans sa forme maximaliste, scan obligatoire, chiffrement compris. Novembre 2023, le Parlement rue dans les brancards et adopte une position beaucoup plus étroite : exclusion du chiffrement de bout en bout, détection limitée au matériel déjà connu, warrants ciblés sur des suspects, pas de scan généralisé. Février 2024, la Cour européenne des droits de l’homme enfonce le clou avec l’arrêt Podchasov : affaiblir le chiffrement mène à une surveillance de masse et viole le droit à la vie privée. On y reviendra, c’est central.

Entre 2024 et 2025, quatre présidences du Conseil, Suède, Belgique, Hongrie, Pologne, tentent de faire adopter une version dure. Toutes échouent. La présidence danoise reprend le flambeau à l’automne 2025, pousse d’abord une version pire que les précédentes, puis fait machine arrière : le 30 octobre 2025, elle retire les injonctions obligatoires. Le 26 novembre, le Conseil arrête enfin une position commune, à vote serré, débarrassée du scan obligatoire mais qui rend le régime volontaire permanent et ajoute la vérification d’âge.

Et là, coup de théâtre. Décembre 2025, on essaie de prolonger le 1.0 jusqu’en 2028. Mars 2026, le Parlement refuse. Le régime volontaire expire donc en avril 2026, plus aucune base légale pour scanner quoi que ce soit. Certains géants (Google, Meta, Microsoft, Snap) annoncent continuer quand même, sans base légale. Puis le 9 juillet 2026, par la manœuvre de procédure qu’on a vue en intro, le 1.0 est ressuscité jusqu’en 2028. Pendant ce temps, le 2.0 permanent reste bloqué en trilogue, prochaine reprise en septembre 2026.

Quatre ans, sept présidences, un dossier qui refuse de mourir. Retiens le motif, il vaut plus que les dates : à chaque blocage, le texte revient sous une forme un peu différente. Et à chaque fois, ce qui se négocie vraiment tient en un mot, le chiffrement.

C’est quoi, le chiffrement de bout en bout ?

Le chiffrement de bout en bout, ou E2EE (pour end-to-end encryption), c’est simple à comprendre avec une image. Quand tu envoies un message, il est enfermé dans un coffre au moment où il quitte ton téléphone. Ce coffre ne peut être ouvert que par une seule clé, celle de ton destinataire. Personne entre les deux ne peut regarder dedans : ni ta messagerie, ni ton opérateur, ni un pirate qui intercepterait le message, ni même l’État. Le message voyage verrouillé et ne s’ouvre qu’à l’arrivée.

C’est ce qui distingue une vraie messagerie privée du reste. Signal, WhatsApp ou les conversations privées de bon nombre d’apps fonctionnent comme ça. À l’opposé, un SMS classique ou un mail non chiffré voyage en clair : tout le monde sur le trajet peut, en théorie, le lire.

Le point à retenir pour la suite : dans le E2EE, le fournisseur lui-même ne peut pas lire tes messages. C’est un choix d’architecture, pas un réglage. Et c’est exactement là que Chat Control coince : pour scanner un message chiffré de bout en bout, il faut soit casser le coffre, soit installer un mouchard avant qu’il se ferme. Aucune des deux options n’est neutre.

Pourquoi c’est le chiffrement qui est visé

On a dit que scanner un message chiffré de bout en bout imposait deux options : casser le coffre, ou installer un mouchard avant qu’il se ferme. La version dure de Chat Control a choisi la seconde. Elle porte un nom : le client-side scanning, la détection côté client.

Le principe : au lieu d’essayer de forcer le chiffrement pendant le transport (ce qui est mathématiquement très difficile), on inspecte le message directement sur ton téléphone, avant qu’il soit enfermé dans le coffre. Techniquement, le chiffrement reste intact sur le trajet. Mais le résultat est le même que s’il n’existait pas : un système lit ton message avant toi, ou en même temps que toi. Le coffre est toujours là, il ne protège simplement plus rien, puisqu’on regarde à l’intérieur au moment où tu déposes.

C’est pour ça que les défenseurs du texte répètent qu’ils « ne cassent pas le chiffrement ». Sur le plan strictement technique, c’est vrai. Mais c’est un tour de passe-passe : la confidentialité ne meurt pas dans le tuyau, elle meurt à la source. Pour toi, utilisateur, la différence est nulle. Ton message privé est lu par un système que tu n’as pas choisi et que tu ne peux pas auditer.

Et ce n’est pas l’avis d’un blog. En septembre 2025, plus de 500 cryptographes et chercheurs en sécurité ont signé une lettre ouverte pour prévenir que la détection côté client « sape intrinsèquement les protections » du chiffrement de bout en bout, sans garantie d’améliorer la protection des enfants. Leur argument technique le plus lourd : une fois ce mouchard installé sur des centaines de millions d’appareils, il devient une cible de rêve. Pour un pirate, pour un service de renseignement étranger, pour n’importe quel acteur hostile. Un système conçu pour chercher du matériel pédocriminel aujourd’hui peut être reconfiguré demain pour chercher autre chose : une opinion politique, une source journalistique, un opposant. L’architecture ne pose aucune limite technique à ce qu’on peut lui faire chercher.

Le droit dit la même chose. En février 2024, la Cour européenne des droits de l’homme, dans l’arrêt Podchasov contre Russie, a jugé qu’obliger un fournisseur à déchiffrer les communications chiffrées de bout en bout revient à affaiblir le chiffrement pour tous les utilisateurs, ce qui ouvre la porte à une surveillance générale et indiscriminée et viole le droit à la vie privée. Autrement dit : la plus haute juridiction européenne des droits humains a déjà posé que ce type de mesure est disproportionné dans une société démocratique.

Reste un dernier problème, plus terre à terre : ça ne marche pas bien. Un système qui scanne des milliards de messages produit inévitablement des faux positifs, des contenus parfaitement légaux signalés à tort. Des photos de famille, une image de vacances, un dessin. À l’échelle de tout un continent, même un taux d’erreur minuscule représente des millions de personnes innocentes signalées, et des enquêteurs noyés sous le bruit au lieu d’être concentrés sur les vrais cas.

Mais le fond est ailleurs, et c’est le point à retenir de ce bloc. Une enquête classique part d’un suspect et cherche des preuves. Chat Control renverse la logique : on inspecte tout le monde, en permanence, pour voir qui serait coupable. On ne surveille plus les suspects pour trouver les preuves, on scanne les preuves de tous pour trouver les suspects. Ce renversement de présomption, appliqué aux conversations privées de centaines de millions de gens, c’est exactement ce que le chiffrement de bout en bout était censé rendre impossible. Et c’est exactement ce qu’il faut détruire pour faire fonctionner le dispositif.

Ce que ça change pour toi, et les zones grises

Tu n’as rien à cacher ? C’est l’objection classique, et elle rate le sujet. Le chiffrement ne protège pas que les criminels. Il protège la journaliste qui échange avec une source, le lanceur d’alerte qui documente un abus, la victime de violences conjugales qui organise son départ sans que son conjoint puisse lire, l’avocat tenu au secret professionnel, le médecin, le militant dans un pays qui glisse vers l’autoritaire. Et il te protège, toi, plus banalement : tes mots de passe échangés à la va-vite, tes photos, tes discussions de famille, tes ennuis de santé, tes comptes. Une messagerie scannée par défaut, c’est tout ça qui devient lisible par un tiers.

Le vrai basculement n’est pas dans ce que tu envoies, mais dans le renversement qu’on vient de voir. Aujourd’hui, on te surveille si tu es suspect. Avec la version dure de Chat Control, on inspecte tout le monde en continu pour voir qui pourrait l’être. Tu deviens surveillable non pas parce que tu as fait quelque chose, mais parce que tu utilises une messagerie. C’est un changement de nature, pas de degré.

Maintenant, l’honnêteté que le sujet impose.

Le problème que Chat Control veut résoudre est réel. Le matériel pédocriminel circule massivement en ligne, il détruit des vies, et les gens qui portent ces textes ne sont pas des fous furieux liberticides. Ce sont, en grande partie, des associations de protection de l’enfance qui voient les dégâts de près et cherchent des outils. Les balayer d’un revers de main serait malhonnête. Quand le régime volontaire a expiré en avril 2026, les signalements de contenus pédocriminels venant des plateformes européennes ont mesurablement chuté. Le vide a un coût, lui aussi.

Mais deux choses tiennent en même temps. La première : bloquer Chat Control ne protège aucun enfant par soi-même. Ce n’est pas une victoire, c’est l’absence d’une mauvaise réponse. La vraie protection passe par des moyens d’enquête ciblés, des équipes financées, de la coopération judiciaire, du signalement là où il est efficace, pas par la surveillance de masse d’une population entière. La seconde : une méthode qui produit des millions de faux positifs et détruit le chiffrement de tout le monde n’aide pas non plus les enfants. Elle noie les vrais cas dans le bruit et fragilise la sécurité numérique de toute la société, victimes comprises.

C’est ça, la zone grise honnête. Le désaccord n’est pas entre « protéger les enfants » et « protéger la vie privée ». Il est entre deux façons de protéger : cibler, ou tout scanner. Et la seconde échoue sur les deux tableaux à la fois.

Rester souverain : chiffrer et rester attentif

Alors on fait quoi, concrètement ? Pas grand-chose de spectaculaire, et c’est justement le message. La souveraineté, ici, ce n’est pas fuir dans un bunker numérique. C’est deux réflexes.

Le premier : chiffre tes échanges par défaut. Pas le jour où tu auras « quelque chose à cacher », maintenant, comme hygiène de base. Utilise des messageries chiffrées de bout en bout pour ce qui compte. Signal est la référence, chiffrement solide, code ouvert, modèle économique qui ne repose pas sur tes données. WhatsApp chiffre aussi les contenus de bout en bout, mais il t’enferme dans l’écosystème Meta et récolte tout ce qui entoure le message. Le principe à retenir dépasse le choix de l’app : plus tes communications sensibles voyagent chiffrées, moins un dispositif de scan généralisé a de prise sur toi. Le même réflexe vaut pour le courrier : une suite chiffrée de bout en bout comme Proton met tes mails hors de portée d’un scan côté serveur. Le chiffrement n’est pas une option de geek, c’est le socle. Tout le reste en découle.

Le second réflexe, et c’est le vrai fil de cet article : reste attentif. Chat Control t’a montré le motif. La version dure débarque, elle se fait bloquer, elle revient déguisée. Injonctions obligatoires hier, « détection volontaire permanente » et vérification d’âge aujourd’hui, autre chose demain. Le dossier n’est pas mort, il reprend en septembre 2026, et il reprendra encore. Celui qui décroche après le titre d’un article rate exactement le moment où le texte revient sous un autre nom. Rester souverain, c’est garder un œil ouvert sur ce qui se décide en ton nom, précisément quand on compte sur ta lassitude.

Et ça, ce n’est pas passif. Les députés européens sont élus, ils répondent à la pression. Le 9 juillet 2026, ils étaient 314 à voter contre. Ce chiffre-là n’est pas tombé du ciel, il est le produit d’années de pression citoyenne, de cryptographes, d’associations, de gens ordinaires qui ont écrit à leurs élus. Tu peux identifier le tien sur le site du Parlement européen et lui dire, en une ligne, ce que tu penses d’une loi qui scanne les messages de tout le monde. Ça pèse plus que tu ne crois.

Le fond tient en une phrase. Ta tech, tes règles, ta liberté, ça ne se délègue pas. Personne ne protégera tes conversations à ta place, ni l’État qui légifère pour les scanner, ni la plateforme qui vit de tes données. Chiffre ce qui compte, et garde les yeux ouverts. C’est là, et nulle part ailleurs, que se joue ta souveraineté numérique.

Sources

Sources primaires et institutionnelles

• Conseil de l’Union européenne, dossier « Prevention of online child sexual abuse » et communiqué de presse du 26 novembre 2025 (position du Conseil) : consilium.europa.eu/en/policies/prevent-child-sexual-abuse-online/
• Commission européenne, proposition initiale du 11 mai 2022, référence COM/2022/209 final (texte fondateur du CSAR), disponible sur EUR-Lex.
• Règlement (UE) 2021/1232, dérogation temporaire à la directive ePrivacy dite « Chat Control 1.0 », disponible sur EUR-Lex.
• Cour européenne des droits de l’homme, arrêt Podchasov c. Russie, février 2024 (affaiblir le chiffrement viole l’article 8 de la Convention). Analyse accessible : eff.org/deeplinks/2024/03/european-court-human-rights-confirms-undermining-encryption-violates-fundamental
• Lettre ouverte de plus de 500 cryptographes et chercheurs en sécurité, 9 septembre 2025, rapportée et citée par Computer Weekly : computerweekly.com

Analyses et journalisme

• eucrim (revue de droit pénal européen), « CSAM Regulation: Council Position Reached » : eucrim.eu/news/csa-regulation-council-position-reached/
• Morrison Foerster et Freshfields, analyses juridiques de la position du Conseil de novembre 2025 (cabinets spécialisés).
• TechCrunch, explicatif « Chat control: the EU’s controversial CSAM-scanning legal proposal explained ».
• The Next Web, sur l’expiration de la dérogation et la chute des signalements en 2026 : thenextweb.com/news/eu-child-safety-privacy-law-csa-regulation

Sources militantes et parties prenantes (à lire comme telles)

• EDRi (European Digital Rights), « CSA Regulation Document Pool » : dossier très complet, posture d’ONG opposée au texte : edri.org/our-work/csa-regulation-document-pool/
• Patrick Breyer et le collectif Fight Chat Control (fightchatcontrol.eu) : suivi détaillé et militant, ouvertement contre. Utile pour le calendrier, à recouper.
• Eurochild / ECLAG : côté protection de l’enfance, favorables à une régulation. Cités pour ne pas caricaturer le camp d’en face.