L'affaire concernait la manière dont Europol, l'Agence européenne de coopération policière, avait géré le transfert de deux de ses anciens membres du personnel vers Thorn, une entité privée états-unienne. Cette dernière développe en effet des solutions logicielles basées sur l'IA pour détecter les contenus pédopornographiques (CSAM) en ligne, alors que l'UE envisageait précisément d'adopter une proposition controversée de règlement visant à prévenir et combattre les abus sexuels sur enfants en ligne.

Surnommée #ChatControl par ses opposants, elle visait à scanner, de façon proactive, les contenus échangés dans les messageries (y compris chiffrées de bout en bout). Un projet irréalisable et décrié par de très nombreuses ONG, scientifiques et professionnels de la sécurité informatique, au point d'être qualifié de « projet de loi européen le plus critiqué de tous les temps ».

• Le projet de loi européen le plus critiqué de tous les temps

Après avoir quitté Europol à la fin de 2021, le premier des deux hommes avait « immédiatement » commencé à travailler en tant qu’employé pour Thorn. Le deuxième avait rejoint le conseil d’administration de Thorn en 2023 après avoir quitté Europol en 2022.

Passé d'Europol à une ONG cherchant à vendre son produit à Europol

Créée par les stars hollywoodiennes Ashton Kutcher et Demi Moore pour combattre le trafic sexuel des enfants au Cambodge, cette ONG commercialise par ailleurs des technologies reposant sur des IA permettant d’identifier les images d’abus sexuels commis sur des enfants.

• Les discrets lobbyistes états-uniens de la proposition de surveillance des messageries chiffrées

La décision de la Médiatrice de l'UE fait suite à une plainte déposée par l'ancien eurodéputé du Parti Pirate, Patrick Breyer, en octobre 2023, rappelle Euractiv.

Avant de devenir le directeur du programme d'identification des victimes Europe de Thorn, Cathal Delaney était en effet spécialiste principal de l'identification des victimes au sein d'Europol depuis 2013, comme nous l'avions alors rapporté.

• #ChatControl : la Médiatrice européenne enquête sur deux anciens employés d’Europol

Il avait coordonné « l'apport commercial d'Europol », travaillé sur un projet pilote d'IA pour la détection de CSAM à Europol, et y était chargé de « fournir une vision stratégique pour le projet Global Response Against Child Exploitation financé par H2020 » jusqu'en janvier 2022, date à laquelle il avait rejoint Thorn.

Après avoir rejoint Thorn, il avait assisté à une réunion d'Europol avec d'anciens collègues pour présenter un produit, et était même enregistré comme lobbyiste au Bundestag allemand, souligne Patrick Breyer sur son blog.

Prévenir la « perception » des conflits d'intérêts « réels ou potentiels »

Or, les membres du personnel de l’UE « doivent respecter les normes les plus élevées en matière de conduite éthique », rappelle la Médiatrice. En outre, certaines de leurs obligations, « en particulier celles liées à l’intégrité, continuent de s’appliquer après la cessation de fonctions des membres du personnel ».

Ils peuvent ainsi se voir interdire d'effectuer une nouvelle activité, « que le poste soit rémunéré ou non », au cours des deux années suivant leur départ de l'institution, dès lors que deux conditions cumulatives sont remplies :

• l'activité est liée « d'une manière ou d'une autre » au travail qu'il effectuait lors des trois dernières années de son service ; et,
• l'activité pourrait conduire à un conflit avec les intérêts légitimes de l'institution, la jurisprudence ayant précisé qu'il suffit qu'elle « puisse être perçue » comme donnant lieu à un conflit d'intérêts « réel ou potentiel ».

Europol n'avait documenté qu'un seul des deux potentiels conflits d'intérêt

En octobre 2024, la Médiatrice avait estimé, à titre préliminaire, qu'Europol s'était appuyé sur une compréhension trop étroite, car « trop axée sur des considérations commerciales », de la notion de conflit d'intérêt lors du traitement des deux transferts en question. La Médiatrice avait également considéré que, pour le premier, l'autorisation aurait dû contenir une interdiction de faire du lobbying pendant une certaine période.

Elle regrettait en outre qu'Europol n'ait documenté son évaluation d'un potentiel conflit d'intérêt que dans un seul des deux cas en question. Dans l'autre cas, « il n'existe aucune trace de l'évaluation substantielle de l'entité d'Europol qui a pris la décision », regrette la Médiatrice :

« Cette absence d'évaluation est aggravée par le fait qu'en raison d'une erreur humaine, la recommandation du comité mixte d'accorder une autorisation conditionnelle n'a apparemment pas été examinée par cette entité avant que la décision finale d'accorder une autorisation inconditionnelle ne soit prise. Cela suggère que l'opération a été autorisée sans condition sans que l'Agence n'ait réellement évalué les risques qu'elle pouvait poser. »

Dans l'autre cas, la Médiatrice estime qu'il y avait une relation claire entre son travail au cours des trois dernières années de service et l'emploi qu'il envisageait d'occuper à l'avenir, et que plusieurs des facteurs indiquant le risque d'un conflit d'intérêts réel ou potentiel étaient clairement remplis :

« C'est le cas, par exemple, en ce qui concerne les risques pour la réputation (comme l'illustre le tollé auquel Europol a été confronté lorsque le transfert de son ancien membre du personnel a été porté à la connaissance du public), ou les contacts avec Europol dans le cadre de ses nouvelles fonctions (dont la possibilité a été évoquée par son supérieur, puis documentée dans des articles de presse). »

La Médiatrice relève en outre que l'agent en question avait déclaré son intention de rejoindre Thorn « environ deux mois avant de rejoindre l'organisation ». Or, Europol était déjà en contact avec Thorn, et « l'agent lui-même travaillait à Europol sur des questions directement liées aux intérêts de Thorn et, selon des informations accessibles au public, dirigeait l'équipe spécialisée dans ce domaine » :

« Il y avait donc un risque évident de conflit d'intérêts pour un membre du personnel en service. Europol n'a pas traité la situation de conflit d'intérêts susmentionnée, ce qui a mis en péril l'intégrité et l'impartialité de ses actions. »

Europol accepte de réviser ses pratiques, et en fera un bilan dans 6 mois

Ceci étant dit, la Médiatrice « se félicite de l'engagement constructif d'Europol concernant ses conclusions préliminaires, et en particulier de la volonté d'Europol de réviser ses procédures existantes afin de s'assurer qu'elles sont exemptes d'erreurs ».

Europol l'a en effet informé de sa décision de travailler sur un « cadre d'évaluation complémentaire amélioré » qui lui permettrait désormais de prendre des mesures supplémentaires pour traiter de manière proactive les risques de conflit d'intérêts. Elles pourraient « inclure un transfert à un autre poste, des tâches ajustées et/ou la suppression de l'accès à l'information ».

Sur la base de l'enquête, la Médiatrice a clôt cette affaire en soulignant que « la façon dont l'Agence européenne pour la coopération policière (Europol) a traité le transfert d'un membre de son personnel vers le secteur privé relève de la mauvaise administration ».

Elle salue cependant la volonté d'Europol de réviser ses procédures existantes, et lui a demandé de faire un rapport, dans un délai de six mois, décrivant en particulier la façon dont la révision aborde les lacunes identifiées dans cette enquête.

Patrick Breyer se félicite de ce résultat, estimant qu'un ancien employé d'Europol ne devrait pas pouvoir « vendre ses connaissances et ses contacts internes dans le but de faire pression sur des membres du personnel de la Commission européenne qu'il connaît personnellement » :

« Depuis la révélation du 'Chatcontrol-Gate', nous savons que la proposition de l'UE sur le contrôle des chats est en fin de compte le produit du lobbying d'un complexe industriel international de surveillance. Pour que cela ne se reproduise plus jamais, il faut assécher le marais du lobbying de la surveillance. »

#ChatControl avait déjà été mis à l'index

En octobre 2023, Ylva Johansson, la Commissaire européenne à l'origine de la proposition de règlement de lutte contre les contenus pédosexuels, avait par ailleurs admis que l'exécutif de l'UE enquêtait sur la campagne controversée de publicités ciblées sur la base de critères politiques et religieux qu'elle avait payée pour soutenir sa proposition.

• #ChatControl : la Commissaire européenne visée par plusieurs plaintes et enquêtes

En décembre 2024, le Contrôleur européen de la protection des données (CEPD, ou European Data Protection Supervisor, EDPS) avait depuis estimé que la Commission européenne a enfreint le RGPD en « traitant illégalement » des données à caractère personnel « sans base juridique valable ».

• #ChatControl : le microciblage publicitaire de la Commission européenne était illégal

Sa campagne publicitaire de promotion du projet de règlement anti-CSAM avait en effet été « micro-ciblée » de sorte de ne s'afficher que sur des profils d'internautes politiquement libéraux ou de gauche, en excluant les profils de personnes intéressées par les responsables politiques européens d'extrême-droite et eurosceptiques, Poutine, le Sinn Fein, le terme « nazi » et, plus étrangement, les chrétiens et la christianophobie.