Les ministres de l'UE voteront dans 2 semaines sur une loi qui scannerait les messages privés avant le chiffrement pour détecter la pédocriminalité

L'Europe à la croisée des chemins : une loi sur la protection de l'enfance met à l'épreuve l'avenir de la vie privée numérique

Un projet de l'UE visant à obliger les entreprises technologiques à scanner les messages privés est en passe de faire l'objet d'un vote décisif, les critiques avertissant que cela pourrait transformer les téléphones européens en l'épine dorsale d'un vaste système de surveillance.

BRUXELLES — Le 13 octobre, les ministres de la Justice de toute l'Union européenne se réuniront à huis clos et feront face à un dilemme qui pourrait affecter un demi-milliard de personnes. Au fond, la question semble simple : les entreprises devraient-elles être contraintes de scanner les messages privés à la recherche de matériel pédocriminel ? En pratique, c'est tout sauf simple.

La proposition a profondément divisé le consensus habituel de l'Europe en matière de droits numériques. Les partisans affirment que le balayage automatisé est essentiel pour protéger les enfants des prédateurs en ligne. Les opposants insistent sur le fait que cela viderait de sa substance le chiffrement et exposerait la vie privée de chacun à la surveillance gouvernementale.

Ce qui est sur la table n'est pas seulement une loi. C'est une refonte de l'architecture même d'internet.

Le projet de règlement sur la prévention et la lutte contre les abus sexuels sur enfants — surnommé "Chat Control" par ses détracteurs — exigerait ce que l'on appelle l'"analyse côté client". Cela signifie que votre téléphone ou votre ordinateur portable vérifierait chaque message et chaque photo avant que le chiffrement ne les brouille. En effet, les conversations privées passeraient par un point de contrôle invisible directement sur votre propre appareil.

Un haut fonctionnaire de l'UE, s'exprimant anonymement car les négociations sont toujours en cours, n'a pas mâché ses mots : « Vous ne pouvez pas pré-scanner les messages et affirmer qu'ils sont chiffrés de bout en bout. Cela change entièrement de catégorie. »

Comment la loi fonctionnerait

La Commissaire Ylva Johansson a présenté ce plan en mai 2022. Il permettrait aux tribunaux d'émettre des « ordonnances de détection », obligeant légalement les applications de messagerie, les services de messagerie électronique et les fournisseurs de stockage en nuage à rechercher trois types de contenu : les images d'abus connues, le nouveau matériel d'abus et les comportements de sollicitation sexuelle en ligne (grooming).

Sur le papier, le système semble bien ordonné. Des algorithmes comparent les fichiers à des bases de données d'images connues, l'apprentissage automatique tente de repérer de nouveaux contenus abusifs, et des outils de reconnaissance de modèles recherchent des conversations qui ressemblent à du "grooming". Les signalements suspects seraient transmis à un nouveau Centre de l'UE, qui vérifierait les résultats avant d'alerter la police.

Cela pourrait sembler gérable pour les fournisseurs de messagerie électronique ou les réseaux sociaux, dont beaucoup scannent déjà les contenus illégaux. Mais les applications chiffrées de bout en bout comme WhatsApp, Signal et iMessage ne peuvent pas être scannées sur les serveurs des entreprises — les messages y sont brouillés dès qu'ils sont envoyés. Pour se conformer, ces applications devraient effectuer l'analyse directement sur votre téléphone.

Et c'est là que la politique se heurte aux mathématiques.

Nombreux signaux d'alerte

Les propres organismes de surveillance juridique de l'Europe sont inquiets. Le Contrôleur européen de la protection des données (CEPD) et le Comité européen de la protection des données (CEPD) ont tous deux averti qu'un balayage généralisé pourrait violer les droits fondamentaux à la vie privée et à la protection des données, garantis par la Charte des droits fondamentaux de l'UE.

Même le Service juridique du Conseil, habituellement discret, a mis en doute la capacité de telles ordonnances à survivre aux tests de proportionnalité de l'UE. Les plus hautes juridictions du bloc ont à plusieurs reprises annulé la surveillance indiscriminée des communications.

Les experts techniques s'inquiètent d'un problème plus concret. Si votre appareil inspecte constamment vos messages avant de les envoyer, alors, par conception, il ne peut pas être entièrement fiable. Les pirates informatiques, les gouvernements autoritaires ou quiconque capable d'exploiter le système d'analyse obtiendrait une nouvelle porte d'entrée dans les vies privées.

Comme l'a formulé une analyse d'organisations de défense des droits numériques : une fois que l'infrastructure d'analyse existe, rien n'empêche les législateurs d'en élargir la portée. Aujourd'hui, c'est le matériel pédocriminel. Demain, cela pourrait être le terrorisme, le droit d'auteur ou la dissidence.

Les arguments en faveur de l'avancée

Pourtant, les partisans insistent sur le fait que les risques de l'inaction sont trop élevés. Les services de police de toute l'Europe affirment que les signalements des entreprises technologiques jouent déjà un rôle crucial dans les enquêtes. Si le chiffrement se généralise sans balayage, avertissent-ils, les autorités seront « dans le noir », perdant la trace de crimes se déroulant au grand jour mais derrière un chiffrement incassable.

Les défenseurs du projet affirment que le plan n'est pas une surveillance de masse mais un outil ciblé. Les ordonnances de détection nécessiteraient une approbation judiciaire. Le Centre de l'UE filtrerait les fausses alertes avant que la police ne les voie. Et la portée serait limitée aux crimes contre les enfants.

Les critiques ne sont pas convaincus. Effectuer des vérifications sur des milliards de communications privées pour en trouver quelques milliers d'illégales produira inévitablement des erreurs. Même un système précis à 99 % générerait des milliers de fausses accusations chaque jour. Cela signifie que des parents innocents, des journalistes ou des survivants d'abus pourraient voir leurs conversations privées signalées aux autorités.

La détection du "grooming" (sollicitation sexuelle en ligne) soulève des questions encore plus importantes. Contrairement à la correspondance d'images, repérer les conversations prédatrices exige l'analyse du ton, du contexte et de subtiles nuances linguistiques. Les outils d'IA actuels peinent à gérer cette nuance à grande échelle, et les experts doutent que des garde-fous puissent empêcher l'abus d'un tel système.

Le point de basculement d'octobre

La présidence danoise du Conseil fait pression pour relancer la proposition bloquée avec des formulations de compromis. Mais l'unité est insaisissable. L'Allemagne et le Luxembourg ont hésité, exprimant parfois des préoccupations en matière de vie privée, parfois s'adoucissant. Nul ne sait si suffisamment d'États s'aligneront pour obtenir la majorité qualifiée requise.

Les ministres pourraient repartir avec l'un des trois résultats suivants :

• Une version édulcorée qui limiterait la détection aux images connues, laissant les applications chiffrées intactes pour l'instant.
• Un report, renvoyant la décision à un futur Conseil tandis que le balayage volontaire se poursuit.
• Ou une adoption complète de l'analyse côté client, déclenchant des poursuites judiciaires immédiates et obligeant les principales applications de messagerie à choisir entre la conformité, le retrait de l'UE ou le blocage de certaines fonctionnalités.

Pourquoi c'est important au-delà de l'Europe

Quoi que l'Europe décide, les effets d'entraînement se feront sentir bien au-delà. Si l'UE exige l'analyse côté client, elle créera la première couche de surveillance légalement imposée au monde, directement intégrée aux appareils personnels. D'autres gouvernements pourraient suivre — ou résister. Les entreprises technologiques pourraient finir par développer différentes versions de leurs applications pour différentes régions. Les réseaux mondiaux de messagerie chiffrée pourraient se fracturer le long des frontières.

Pour les utilisateurs quotidiens, peu de choses changeraient à première vue. Les messages continueraient d'arriver. Les photos continueraient d'être envoyées. Mais en coulisses, chaque mot, image ou vidéo serait discrètement inspecté avant que le chiffrement ne l'enveloppe.

Cette réalité pousse les groupes de la société civile à se démener. Les activistes font pression sur les gouvernements. Les groupes de défense de la vie privée préparent des poursuites judiciaires. Les chercheurs en sécurité ne cessent d'alerter sur les risques. Pourtant, la pression politique pour « faire quelque chose » contre les abus sexuels sur enfants en ligne reste féroce.

L'Europe est désormais confrontée à une question cruciale : va-t-elle intégrer la surveillance dans les fondations de sa société numérique au nom de la protection des enfants, ou décider que certaines limites de la vie privée ne devraient jamais être franchies ?

Nous en saurons plus bientôt. Les ministres de la Justice se réunissent à Bruxelles le 13 octobre. Leur choix pourrait définir l'orientation de la vie privée numérique mondiale pour les décennies à venir.