Chat Control prolongé : l’UE maintient le scan volontaire des messageries non chiffrées jusqu’en 2028

Le 10 juillet, le Parlement européen a reconduit jusqu’en 2028 la dérogation « Chat Control », qui autorise le scan volontaire des messages non chiffrés pour détecter des contenus pédocriminels. Le dispositif ne concerne pas les messageries chiffrées de bout en bout.

Sur le réseau social X, Jean-Luc Mélenchon a dénoncé un vote installant « une surveillance de masse », mettant fin au chiffrement et autorisant l’analyse généralisée des conversations privées. L’affirmation mélange deux textes distincts. Le 10 juillet, les eurodéputés se sont prononcés sur la prolongation d’un règlement adopté en 2021, qui permet à certaines plateformes de messagerie de détecter volontairement des contenus pédopornographiques, puis de les signaler aux autorités. Ce vote évite un vide juridique : sans cette reconduction, le cadre temporaire expirait. Il ne crée aucune obligation nouvelle.

Le second texte, baptisé CSAR (pour « Child Sexual Abuse Regulation ») et surnommé Chat Control 2, reste en discussion. Présenté par la Commission européenne en mai 2022, ce projet prévoit un cadre permanent, avec des obligations de détection potentiellement contraignantes. Certaines versions envisagent une « analyse côté client », avant chiffrement, ce qui neutraliserait la protection du chiffrement de bout en bout. Ce règlement permanent n’a pas été adopté.

Le scan automatique reste volontaire, pas généralisé

Anne Canteaut, directrice de recherches à l’Inria et membre de l’Académie des sciences, distingue les deux textes : « La dérogation rend possible le scan des conversations privées sur la base du volontariat, alors que Chat Control 2 prévoit de le rendre obligatoire^[1]. » Olivier Blazy, professeur en cybersécurité à Polytechnique, résume le vote du 10 juillet comme « un renouvellement de ce qui était déjà en vigueur ».

La dérogation prolongée jusqu’en 2028 ne crée pas d’obligation générale de scanner l’ensemble des communications. Les messageries chiffrées de bout en bout (WhatsApp, Signal, Telegram) restent exclues du dispositif. Seules les plateformes qui proposent des services de messagerie non chiffrée, comme certaines fonctionnalités de Gmail ou de Messenger, peuvent choisir de participer à la détection volontaire. Le scan porte sur deux catégories de contenus : les images et vidéos pédopornographiques déjà connues des bases de données internationales, et les sollicitations d’enfants (« grooming »), c’est-à-dire les tentatives d’approche d’un mineur à des fins sexuelles.

Le texte ne modifie pas le chiffrement. Il ne supprime aucune protection technique. Il autorise certains fournisseurs à analyser des contenus envoyés en clair, sur leurs serveurs, sans que cette pratique ne contrevienne aux règles européennes sur la confidentialité des communications. La dérogation ne porte que sur les messages non chiffrés, ce qui exclut mécaniquement les messageries où le chiffrement de bout en bout est activé par défaut.

François-Xavier Bellamy cite un taux d’efficacité contesté

Sur X, l’eurodéputé François-Xavier Bellamy a affirmé que « 80 % des procédures » déclenchées grâce à ces signalements ont « permis d’arrêter des pédocriminels ». Le chiffre, souvent cité, provient d’un rapport de l’European Union Cybercrime Task Force, publié en juin 2026, qui regroupe les chefs des unités nationales de lutte contre la cybercriminalité. Le document estime que « la détection proactive des abus sexuels sur mineurs dans les communications privées est un élément essentiel de la lutte contre ces crimes^[1] ».

Le taux d’efficacité de 80 % fait débat. D’autres sources rappellent que, avant le vote de mars 2026, rejeté à une voix près —, les autorités estimaient que 50 % à 80 % des signalements étaient sans pertinence pénale. Le vote de juillet relance le dispositif temporaire, mais la question de sa précision reste posée.

Pourquoi la prolongation divise autant l'UE

Cadre temporaire reconduit

La dérogation prolongée jusqu'en 2028 maintient le scan volontaire des messages non chiffrés, sans créer d'obligation nouvelle. Le règlement permanent reste en discussion.

Chiffrement de bout en bout préservé

Signal, WhatsApp et Telegram (avec chiffrement activé) restent hors du dispositif. Le vote de juillet ne modifie aucune protection technique existante.

CSAR, le vrai enjeu à venir

Le projet de règlement permanent prévoit des obligations contraignantes, avec une possible « analyse côté client » avant chiffrement. Ce texte n'a pas été adopté.

Efficacité contestée

L'eurodéputé Bellamy cite 80 % de procédures abouties, mais d'autres sources rappellent que 50 à 80 % des signalements étaient sans pertinence pénale avant le vote de mars.

Pression des ONG de protection

La campagne ChildSafetyON et l'European Union Cybercrime Task Force soutiennent le dispositif, estimant la détection proactive « essentielle » contre la pédocriminalité.

Le vote de mars rejeté à une voix, celui de juillet adopté

Le 26 mars 2026, le Parlement européen avait rejeté une première prolongation de la dérogation, par 307 voix contre 306^[4]. Ce vote devait mettre fin au cadre légal autorisant le scan automatique des messages privés dès le 4 avril. Les opposants au texte avaient salué une victoire contre la surveillance généralisée. Mais le 10 juillet, un nouveau vote a inversé la tendance : la dérogation a été prolongée jusqu’au 3 avril 2028, rétablissant le cadre temporaire.

Le revirement s’explique par la pression de plusieurs organisations de protection de l’enfance, réunies dans la campagne ChildSafetyON, qui soutiennent le dispositif. Le vide juridique entre avril et juillet a privé les plateformes volontaires de toute base légale pour continuer le scan. La prolongation de juillet comble ce vide, mais ne change rien au caractère temporaire du dispositif. Le règlement permanent reste en négociation entre le Parlement, la Commission et le Conseil.

Chiffrement et correspondance privée : ce qui reste protégé

La question du chiffrement divise les commentateurs. Sur le forum de Next.ink, un utilisateur résume : « Les acteurs du numérique peuvent lire les messageries non chiffrées sauf les messageries chiffrées de bout en bout. On sait très bien que les mails ne sont pas chiffrés de bout en bout et peuvent être lus sur les serveurs. À nous de nous prendre en charge et d’utiliser OpenPGP^[5]. » L’argument repose sur la responsabilité individuelle : si un utilisateur choisit d’envoyer un message en clair, il accepte que ce message puisse être lu par le fournisseur.

Mais cette approche « technique » rate le cœur du problème, répondent d’autres contributeurs. « L’U.E. met fin par proxy au droit à la confidentialité de la correspondance. C’est une atteinte à un droit fondamental, un principe de base des droits humains qui se retrouve ainsi bafoué, à une échelle colossale, sous prétexte de lutter contre un crime de droit commun^[5]. » Le coup de dire qu’il faut « utiliser les outils à notre disposition avant de crier », ajoute un commentateur, « c’est particulièrement à côté de la plaque. Dans le cadre qui nous occupe, cela veut dire que l’on accepte cette violation massive sur base du chacun pour soi. Ce n’est pas une solution désirable dans un état de droit. »

Hassan Kohen, avocat en droit pénal à Paris, rappelle que « le vote de juillet 2026 ne crée aucune obligation de surveillance à la charge des utilisateurs. Il ne supprime pas le chiffrement de bout en bout, qui reste, en l’état du texte, exclu de la détection volontaire. Il ne transforme pas davantage les messageries en outils de dénonciation automatique généralisée^[3]. » Ce qui change, précise-t-il, « tient au maintien d’un cadre autorisant certains fournisseurs de services non chiffrés à analyser volontairement les contenus, jusqu’au 3 avril 2028 ».

Le projet CSAR, s’il est adopté, changerait la donne. Certaines versions prévoient une « analyse côté client », qui s’effectuerait directement sur l’appareil de l’utilisateur, avant que le message ne soit chiffré et envoyé. Cette technique neutraliserait en pratique la protection du chiffrement de bout en bout. Mais ce texte permanent reste en discussion. Le vote de juillet ne porte que sur le dispositif temporaire de 2021, reconduit jusqu’en 2028.

Pour l’instant, les messageries chiffrées restent hors du champ de la dérogation. Signal, WhatsApp, Telegram (avec le chiffrement activé) ne sont pas concernées. Gmail, Messenger et Instagram, qui proposent des fonctionnalités de messagerie non chiffrée, peuvent choisir de participer au scan volontaire. Le texte ne crée aucune obligation. Il maintient un cadre temporaire, en attendant la négociation d’un règlement permanent dont la portée reste à définir.