UE : le scan des messages revient jusqu’en 2028

Vingt-cinq gouvernements sur vingt-sept ont choisi de rouvrir une porte que l’Union européenne avait refermée en avril. Le 23 juillet, le Conseil de l’UE a donné son feu vert final au rétablissement d’un régime permettant à certains services en ligne de détecter, signaler et retirer volontairement des contenus pédocriminels. La mesure doit entrer en vigueur trois jours après sa publication au Journal officiel et courir jusqu’au 3 avril 2028. Elle touche un principe sensible : la confidentialité des communications privées.

La décision ne signifie pourtant ni que Bruxelles ordonne de lire tous les messages, ni que WhatsApp et Signal devront casser leur chiffrement. Le texte accepté par les États exclut les communications auxquelles un chiffrement de bout en bout est, a été ou sera appliqué. Il offre une base juridique temporaire aux fournisseurs qui choisissent des outils de détection sur les services restant dans son périmètre. Entre la protection urgente des mineurs et le risque d’une surveillance indiscriminée, l’Europe n’a donc pas tranché le débat : elle a construit un pont de vingt mois vers une bataille législative plus vaste.

Le mécanisme remonte à 2021. L’UE avait alors créé une dérogation temporaire à certaines obligations de la directive ePrivacy afin que des fournisseurs de communications puissent continuer, sous conditions, à rechercher des contenus d’abus sexuels sur mineurs. Ces démarches peuvent inclure la comparaison d’images avec les empreintes numériques de contenus déjà identifiés, puis leur signalement et leur retrait. Elles aident les enquêtes et peuvent empêcher la recirculation d’images qui prolongent l’atteinte subie par les victimes.

Mais le provisoire s’est enlisé. Après une première extension, le dispositif a expiré le 3 avril 2026. En mars, le Parlement avait rejeté la prolongation proposée, au terme d’un affrontement sur sa portée et ses garanties. Le Conseil a relancé le dossier en juillet; le Parlement a ensuite amendé sa position le 9 juillet pour mettre les communications chiffrées de bout en bout hors du champ. La Commission a accepté cette réserve le 15 juillet. Huit jours plus tard, le Conseil a validé l’ensemble sans nouvelle négociation.

Selon Euronews, vingt-cinq gouvernements ont approuvé le texte, tandis qu’un a voté contre et qu’un autre s’est abstenu. Le Conseil présente cette séquence comme la réparation rapide d’un vide juridique. Son ministre irlandais chargé de la justice, Jim O’Callaghan, affirme que les efforts volontaires permettent d’identifier des victimes, d’enquêter sur des auteurs et de freiner la diffusion des contenus. La mesure ne rétroagit pas sur la période écoulée depuis avril.

La nuance la plus importante tient au mot « volontaire ». Le règlement ne crée pas une obligation générale de contrôle pour chaque plateforme. Il autorise des fournisseurs concernés à traiter certaines données afin de détecter, signaler et retirer des contenus pédocriminels, en dérogeant temporairement au secret des communications électroniques. Cette permission reste encadrée par le droit européen de la protection des données et ne transforme pas chaque échange en preuve ni chaque alerte automatique en culpabilité.

Deuxième frontière : le chiffrement de bout en bout. Dans un tel système, seuls l’expéditeur et le destinataire possèdent les clés permettant de lire le contenu. Les amendements du Parlement retirent du régime les communications auxquelles cette protection s’applique, y compris lorsqu’elle a été ou sera appliquée. Les applications entièrement chiffrées comme Signal et les échanges chiffrés de WhatsApp restent donc exemptés de cette dérogation, contrairement à ce que suggère la formule très large de « scan de tous les chats ».

Cette exclusion n’éteint pas les interrogations. Les services mêlent parfois espaces publics, stockage, messagerie et fonctions diversement chiffrées. Il faudra savoir précisément quelles fonctions relèvent du texte. Surtout, les systèmes de détection ne sont pas tous équivalents : reconnaître l’empreinte d’un fichier illégal déjà connu est plus circonscrit que demander à un algorithme d’identifier un contenu inédit ou une conversation suspecte. La qualité des outils, les faux positifs et le contrôle humain détermineront une grande partie du risque réel.

Pour les défenseurs du texte, laisser les fournisseurs sans base claire revenait à affaiblir un canal de signalement déjà utilisé par les enquêteurs. Le Conseil insiste sur trois effets : identifier les enfants en danger, poursuivre les auteurs présumés et réduire la diffusion répétée des fichiers. L’argument est puissant, car chaque nouvelle circulation d’une image peut constituer une victimisation supplémentaire. La date butoir de 2028 doit donner aux institutions le temps d’adopter un cadre durable.

Le Contrôleur européen de la protection des données partage l’objectif de lutte contre les abus, mais avertit qu’une mesure temporaire ne doit pas contourner les droits fondamentaux. Dans son avis de février, il réclamait une base juridique claire et des garanties effectives contre l’analyse générale et indiscriminée. Son message déplace le débat : l’opposition ne se situe pas entre protection des enfants et indifférence, mais entre plusieurs moyens d’atteindre le même objectif, plus ou moins ciblés et contrôlables.

La procédure nourrit aussi la controverse. En mars, la prolongation n’avait pas franchi le Parlement. Lors du second passage de juillet, une majorité absolue était nécessaire pour rejeter la position du Conseil; 314 élus ont voté pour la repousser, sous le seuil requis de 361. Après amendement, une nouvelle tentative de rejet a rassemblé 276 voix, selon le compte rendu d’Euronews. Le texte a donc survécu malgré des divisions qui traversent plusieurs groupes politiques.

L’accord du 23 juillet règle la continuité juridique, pas l’architecture définitive. Le Conseil et le Parlement négocient toujours un règlement de long terme contre les abus sexuels en ligne. Celui-ci pourrait imposer des obligations plutôt que simplement autoriser des démarches volontaires. Le Conseil précise d’ailleurs que son acceptation actuelle de l’exclusion du chiffrement ne préjuge pas de sa position future. Autrement dit, la ligne rouge protégée cette semaine sera de nouveau disputée.

Pour les plateformes, le bénéfice immédiat est la sécurité juridique : les services entrant dans le champ savent sous quelles conditions leurs contrôles volontaires peuvent reprendre. Pour les autorités, les signalements peuvent recommencer à alimenter des enquêtes. Pour les utilisateurs, en revanche, la transparence restera déterminante. Ils doivent pouvoir savoir quelles fonctionnalités sont analysées, par quelle technologie, avec quel taux d’erreur, pendant combien de temps les données sont conservées et comment contester une décision.

Le compromis européen est donc plus étroit que ses slogans adverses. Il ne crée ni une zone sans protection pour les enfants, ni une permission illimitée d’espionner toute la population. Il rétablit jusqu’en 2028 une exception contestée, avec un garde-fou majeur pour le chiffrement, sans résoudre les risques de surdétection sur les services non chiffrés. La prochaine négociation dira si cette parenthèse demeure ciblée ou devient le marchepied d’un système permanent beaucoup plus large.