Chat Control prolongé jusqu’en 2028 : la surveillance reste volontaire, le règlement contraignant se négocie toujours

Le 9 juillet 2026, le Parlement européen a reconduit la dérogation Chat Control jusqu’en 2028. Contrairement aux déclarations politiques, le vote ne porte pas sur le règlement CSAR, toujours en négociation.

Jean-Luc Mélenchon a annoncé sur X que l’Union européenne venait d’instaurer une surveillance de masse des conversations privées et de mettre fin au chiffrement. La réalité juridique est différente. Le texte voté le 10 juillet prolonge une dérogation existante depuis 2021, qui autorise certaines plateformes à scanner volontairement des messages non chiffrés pour détecter des contenus pédopornographiques. Le règlement permanent, celui qui pourrait un jour imposer des obligations de détection sur les services chiffrés, reste en discussion à Bruxelles.

Depuis la publication du vote, les prises de position se succèdent. François-Xavier Bellamy assure que 80 % des procédures déclenchées grâce à ces signalements ont permis d’arrêter des pédocriminels. De l’autre côté, des défenseurs des libertés numériques dénoncent un texte adopté dans une procédure contestée, au cœur de l’été, sans véritable débat public. Entre approximations et raccourcis, la portée exacte du dispositif mérite d’être clarifiée.

Deux textes distincts, un seul surnom

Les publications confondent deux réglementations. Le règlement européen 2021/1232, adopté en 2021, autorise certains fournisseurs à détecter volontairement des contenus illicites et à les signaler aux autorités. Cette dérogation au règlement ePrivacy permet d’analyser des communications sans mandat judiciaire, sur la base du volontariat. Le projet de règlement CSAR, présenté par la Commission en mai 2022 et surnommé Chat Control 2.0, prévoit lui de rendre ces détections obligatoires^[1].

Le vote du 9 juillet ne concernait que la prolongation de la première dérogation. Les eurodéputés se sont prononcés sur le maintien d’un cadre temporaire, jusqu’au 3 avril 2028, afin d’éviter un vide juridique. Ce dispositif permet aux plateformes qui le souhaitent de continuer à scanner des contenus pédopornographiques connus et des sollicitations d’enfants, sans contrevenir aux règles européennes sur la confidentialité des communications. Anne Canteaut, cryptographe à l’Inria et membre de l’Académie des sciences, résume : « Ces deux choses sont distinctes. La dérogation rend possible le scan des conversations privées sur la base du volontariat, alors que Chat Control 2 prévoit de le rendre obligatoire. »

Olivier Blazy, professeur en cybersécurité à Polytechnique, décrit le vote comme « un renouvellement de ce qui était déjà en vigueur ». Le texte ne crée pas d’obligation nouvelle, il prolonge un régime existant. Le règlement CSAR, lui, reste en discussion au Conseil et au Parlement. Plusieurs versions circulent, certaines évoquent l’analyse côté client, une technique qui permettrait d’inspecter les messages directement sur l’appareil de l’utilisateur avant leur chiffrement^[2].

Les messageries chiffrées restent en dehors du champ

L’une des principales inquiétudes porte sur la surveillance généralisée des échanges privés. La dérogation prolongée jusqu’en 2028 ne crée aucune obligation de scanner l’ensemble des communications. Surtout, les messageries cryptées de bout en bout (WhatsApp, Signal, Telegram) ne sont pas concernées par ce texte. Le scan volontaire ne s’applique qu’aux services qui n’utilisent pas de chiffrement de bout en bout, ou qui y renoncent pour d’autres raisons techniques.

Le règlement CSAR, en revanche, pourrait changer la donne s’il est adopté dans sa version la plus invasive. Le client-side scanning neutraliserait en pratique la protection du chiffrement en inspectant les contenus avant leur départ de l’appareil. Cette technique fait l’objet de critiques appuyées, y compris au sein des institutions européennes. Le Contrôleur européen de la protection des données a demandé que l’extension des règles intérimaires corrige leurs lacunes et prévienne le scan indiscriminé.

Quarante organisations de défense des libertés numériques, réunies au sein d’European Digital Rights, ont signé une lettre ouverte le 23 février 2026 pour dénoncer la prolongation. Patrick Breyer, eurodéputé du Parti pirate allemand, a qualifié le vote de « manœuvre procédurale » organisée avant la pause estivale. Le texte définitif du règlement CSAR reste en négociation, avec des versions qui évoluent au gré des compromis entre États membres.

Source : Ostraca

Pourquoi la dérogation Chat Control inquiète

Dérogation temporaire reconduite

Le vote du 9 juillet 2026 prolonge un dispositif existant jusqu'en 2028, sans créer de nouvelle obligation. Le scan reste volontaire et limité aux services non chiffrés.

CSAR : le vrai enjeu à venir

Le règlement CSAR, en discussion, pourrait imposer l'analyse côté client avant chiffrement. Ce texte, s'il est adopté, s'appliquera directement dans tous les États membres.

Chiffrement menacé par le client-side scanning

Le scan côté client neutraliserait le chiffrement de bout en bout en inspectant les messages sur l'appareil, avant leur envoi.

Résistance des plateformes et de la société civile

Apple et Signal refusent d'intégrer le scan côté client. Quarante organisations ont signé une lettre ouverte contre la prolongation en février 2026.

Un cadre qui reste volontaire, un règlement à venir

Le texte voté en juillet ne transforme pas les plateformes en outils de surveillance automatique généralisée. Il maintient un cadre autorisant certains fournisseurs de services non chiffrés à analyser volontairement les contenus, jusqu’au 3 avril 2028. Aucun utilisateur n’est soumis à une obligation directe, aucune messagerie chiffrée n’est tenue de renoncer à son chiffrement dans le cadre de cette dérogation^[1].

Le règlement CSAR, s’il est adopté, sera d’une autre ampleur. Il vise un cadre permanent et non plus une simple dérogation. Les injonctions de détection pourraient imposer aux plateformes l’analyse des messages, y compris par une inspection réalisée directement sur l’appareil. Cette technique neutraliserait la protection du chiffrement de bout en bout. Hassan Kohen, avocat en droit pénal à Paris, précise que « le vote de juillet 2026 ne crée aucune obligation de surveillance à la charge des utilisateurs. Il ne supprime pas le chiffrement de bout en bout, qui reste, en l’état du texte, exclu de la détection volontaire ».

La Commission européenne a présenté en juin 2025 une feuille de route pour un accès légal aux données, qui vise à rendre déchiffrable l’ensemble des données numériques, passées, présentes ou futures. Europol doit disposer d’ici 2030 de capacités de déchiffrement de nouvelle génération. Ce document prévoit de financer des supercalculateurs capables de casser les chiffrements actuels et d’accélérer la recherche dans ce domaine.

Le débat reste ouvert. Les défenseurs des libertés numériques redoutent une fragmentation technique du marché européen, avec des versions spécifiques des systèmes d’exploitation intégrant nativement des outils de surveillance. Les plateformes elles-mêmes résistent, leur image de marque repose sur la confiance des utilisateurs. Apple et Signal ont annoncé qu’ils refuseraient d’intégrer le scan côté client dans leurs services si le règlement CSAR l’imposait. Une hémorragie d’utilisateurs vers des systèmes alternatifs est à prévoir si cette technique est déployée.

Le combat se joue désormais au Conseil de l’Union et au Parlement européen. Le vote final sur le règlement CSAR est attendu pour la fin de 2026 ou le début de 2027. Les négociations restent tendues, la France, l’Allemagne, l’Espagne et la Pologne soutenant activement le texte. Une fois adopté, le règlement s’appliquera directement dans tous les États membres, sans marge d’interprétation, même là où la Constitution protège explicitement le secret de correspondance. Le 9 juillet a prolongé un dispositif temporaire, le véritable basculement technologique et juridique reste à venir.