Chat Control prolongé jusqu’en 2028 : le Parlement européen maintient le scan volontaire, pas de surveillance obligatoire ni de fin du chiffrement

Le Parlement européen a prolongé le 10 juillet 2026 une dérogation autorisant certaines plateformes à scanner volontairement les messages non chiffrés pour détecter des contenus pédocriminels. Contrairement aux affirmations de Jean-Luc Mélenchon, le texte n’impose ni surveillance généralisée ni fin du chiffrement de bout en bout.

Depuis le vote, les réseaux sociaux bruissent de dénonciations : surveillance de masse, analyse systématique des conversations privées, démantèlement du chiffrement. Le leader de La France insoumise a lui-même affirmé sur X que l’Union européenne validait un dispositif de contrôle généralisé des échanges. François-Xavier Bellamy a répondu en assurant que 80 % des procédures déclenchées par ces signalements avaient permis d’arrêter des pédocriminels.

Entre raccourcis politiques et approximations techniques, le texte adopté ne correspond à aucune de ces deux versions.

Une confusion de deux textes distincts

Le Parlement européen n’a pas adopté Chat Control 2.0, un projet de règlement controversé qui prévoit d’imposer des obligations de détection aux plateformes. Les eurodéputés se sont prononcés sur le règlement européen 2021/1232, adopté en 2021, qui instaure une dérogation à la directive ePrivacy^[1]. Cette dérogation permet à certains fournisseurs de messageries et de réseaux sociaux de scanner volontairement les contenus non chiffrés pour détecter des images pédopornographiques connues et des tentatives de sollicitation d’enfants, sans que ces pratiques ne violent les règles européennes sur la confidentialité.

La dérogation devait expirer le 4 avril 2026. Le 26 mars, le Parlement avait rejeté sa prolongation à une seule voix d’écart : 307 contre 306. Mais le Conseil de l’Union européenne a adopté le 2 juillet une position unanimement favorable au prolongement. Cette décision a déclenché une seconde lecture au Parlement dans le cadre d’une procédure d’urgence, rarissime à Bruxelles. Le 10 juillet, les eurodéputés ont finalement validé la prolongation jusqu’en 2028.

« Ces deux choses sont distinctes », souligne Anne Canteaut, directrice de recherches à l’Inria et membre de l’Académie des sciences^[1]. « La dérogation rend possible le scan des conversations privées sur la base du volontariat, alors que Chat Control 2 prévoit de le rendre obligatoire. » Olivier Blazy, professeur en cybersécurité à Polytechnique, résume le vote comme « un renouvellement de ce qui était déjà en vigueur ».

Les messageries chiffrées explicitement exclues

Le texte prolongé ne crée aucune obligation générale de scanner l’ensemble des communications. Surtout, les messageries cryptées de bout en bout (WhatsApp, Signal, Telegram) ne sont pas concernées^[2]. La dérogation s’applique aux services qui ne chiffrent pas les messages de bout en bout : Facebook Messenger en mode non chiffré, certaines fonctionnalités de Gmail, les fils de discussion Instagram.

L’analyse repose sur des bases de données de contenus pédocriminels déjà identifiés, gérées par des organisations comme le National Center for Missing and Exploited Children américain. Les plateformes qui choisissent d’activer cette détection comparent les empreintes numériques des fichiers échangés à ces bases. En cas de correspondance, elles transmettent un signalement aux autorités nationales compétentes.

Aucun algorithme ne lit le texte des conversations. Aucune intelligence artificielle ne trie les propos jugés suspects. La technique employée identifie des fichiers image ou vidéo déjà catalogués, pas des contenus nouveaux ni des échanges textuels.

Pourquoi la confusion entre deux textes s'est installée

Dérogation reconduite, pas nouveau texte

Le vote du 10 juillet prolonge un dispositif de 2021 autorisant le scan volontaire de messages non chiffrés. Aucune obligation nouvelle n'est créée, contrairement à ce qu'affirment certains opposants politiques.

Messageries chiffrées épargnées pour l'instant

Signal, WhatsApp et Telegram en mode chiffré restent hors de portée de la dérogation prolongée. Seuls les services non chiffrés peuvent scanner volontairement les contenus partagés.

Chat Control 2.0 reste la vraie menace

Le règlement CSAR, en négociation depuis 2022, pourrait imposer l'analyse côté client sur les appareils des utilisateurs, avant chiffrement. Ce texte distinct n'a pas été voté en juillet.

Procédure d'urgence contestée

Le recours à une seconde lecture en urgence, après le rejet parlementaire de mars et l'adoption unanime du Conseil en juillet, a été dénoncé comme un passage en force par les défenseurs des libertés numériques.

Chat Control 2.0, le vrai combat à venir

Le projet de règlement CSAR, surnommé Chat Control 2.0, est d’une tout autre ampleur^[3]. Présenté par la Commission européenne en mai 2022, il vise à établir un cadre permanent imposant des obligations de détection aux plateformes. Certaines versions en négociation prévoient l’analyse côté client : le contenu serait scanné directement sur l’appareil de l’utilisateur avant même son chiffrement.

Cette technique neutraliserait en pratique la protection du chiffrement de bout en bout. Chaque terminal deviendrait un point de contrôle, transformant les messageries sécurisées en outils de surveillance préventive. Patrick Breyer, eurodéputé allemand du Parti pirate, dénonce depuis 2022 ce mécanisme comme une « backdoor » dans le chiffrement.

Le règlement CSAR est toujours en négociation entre le Parlement, le Conseil et la Commission. Aucune date de vote final n’est fixée. La confusion entre la prolongation votée en juillet et ce texte distinct explique en grande partie l’emballement sur les réseaux sociaux.

Qui est réellement concerné aujourd’hui

Les plateformes qui appliquent aujourd’hui la dérogation de 2021 le font sur une base volontaire^[3]. Meta scanne les messages non chiffrés de Facebook et Instagram. Google analyse les pièces jointes de Gmail. Microsoft fait de même pour Outlook et Skype. Aucune de ces entreprises n’est contrainte par la loi européenne à maintenir ces pratiques : elles pourraient cesser demain.

Signal, qui chiffre tous les messages de bout en bout par défaut, n’a jamais appliqué la dérogation. WhatsApp, propriété de Meta, ne scanne pas les conversations chiffrées, mais peut analyser les métadonnées et les contenus partagés dans des groupes non chiffrés ou signalés par un utilisateur.

La prolongation jusqu’en 2028 garantit simplement que ces pratiques restent légales au regard du droit européen sur la protection des données. Elle ne crée aucune nouvelle obligation, n’étend pas le périmètre aux messageries sécurisées, ne modifie pas les outils de détection.

Les critiques sur la procédure parlementaire

Au-delà du fond, la méthode a suscité des critiques^[4]. Le recours à une procédure d’urgence en plein été, juste avant la pause estivale du Parlement, a été dénoncé par une quarantaine d’organisations de défense des libertés numériques réunies au sein d’European Digital Rights. Elles ont adressé une lettre ouverte aux eurodéputés le 23 février 2026, avant même le premier vote de mars.

La manœuvre du Conseil, qui a adopté sa position unanime après le rejet parlementaire de mars, a été qualifiée par Patrick Breyer de « tour de passe-passe procédural ». Le fait que le Parlement se soit finalement rangé à la position du Conseil lors de la seconde lecture, sans nouvelle négociation de fond, a alimenté les accusations de passage en force.

Le Contrôleur européen de la protection des données a publié en 2026 un avis rappelant que l’extension des règles intérimaires devait corriger leurs lacunes et prévenir tout scan indiscriminé. Cet avis n’a pas été suivi d’effet contraignant.

Une bataille qui se joue ailleurs

Le vote de juillet 2026 ne résout rien : il repousse de deux ans l’expiration d’un dispositif temporaire. L’enjeu réel se situe dans les négociations sur le règlement CSAR, toujours en cours. Si ce texte est adopté dans sa version la plus contraignante, les messageries chiffrées devront choisir entre intégrer une analyse côté client ou quitter le marché européen.

Signal a déjà prévenu qu’elle se retirerait de l’UE plutôt que de compromettre son modèle de sécurité. WhatsApp n’a pas pris position publique. Telegram, basé à Dubaï, pourrait refuser de se conformer et risquer un blocage.

Les gouvernements européens restent divisés. L’Allemagne, les Pays-Bas et la Suède ont exprimé des réserves sur l’analyse côté client. La France et l’Espagne soutiennent un cadre contraignant au nom de la lutte contre la pédocriminalité. Le Parlement européen devra trancher entre ces deux lignes lors du vote final sur le CSAR, dont la date n’est toujours pas fixée en juillet 2026.