Mise à jour du 11 septembre : une représentante du ministère fédéral allemand de l’Intérieur a déclaré hier que « la position danoise ne pouvait pas être soutenue à 100 pour cent », et qu’il s’opposait par exemple à son approche du chiffrement. L’objectif de l’Allemagne serait dès lors d’élaborer une proposition de compromis commune, « notamment afin d’éviter que le règlement provisoire n’arrive à expiration ».

Le Luxembourg se serait lui aussi rangé du côté des opposants, ce qui fait dire à Patrick Breyer que « la minorité de blocage nécessaire pour stopper ce plan de surveillance de masse illégal semble assurée (pour l’instant) ».

Dans l’impasse depuis trois ans, le projet de règlement européen « établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants » (CSA), « projet de loi européen le plus critiqué de tous les temps » dont nous avons moult fois eu l’occasion de narrer la saga, est de nouveau à l’agenda bruxellois.

• La Commission européenne veut surveiller l’intégralité du web, des mails et des messageries chiffrées
• Détection des contenus pédosexuels : le « projet de loi européen le plus critiqué de tous les temps »

Le Danemark, qui a pris la présidence tournante du Conseil de l’Union européenne le 1er juillet 2025, avait présenté le projet « comme l’une de ses priorités phares », relève European Digital Rights (EDRi), qui fédère les principales ONG de défense des droits et libertés numériques européennes.

La timeline documentée par l’ex-eurodéputé pirate Patrick Breyer, qui se bat contre ce projet depuis des années, indique que les pays membres de l’UE sont censés se positionner le 12 septembre à l’occasion d’une discussion du groupe de travail du Conseil sur l’application de la loi. Son adoption par les ministres de l’Intérieur de l’UE est quant à elle prévue le 14 octobre 2025.

Surnommé #ChatControl par ses opposants, le règlement obligerait les fournisseurs de service (y compris les messageries chiffrées) à scanner les photos, vidéos et textes de leurs utilisateurs, sur leurs terminaux, avant qu’ils ne puissent les envoyer.

Une fonctionnalité de « client-side-scanning » (CSS, ou « balayage ») viserait à comparer leurs empreintes (hash) à celles de contenus d’ores et déjà répertoriés dans les bases de données policières de contenus à caractère pédosexuel, comme l’explique l’ex-policier de la DGSI Christophe Boutry sur le site stopchatcontrol.fr qu’il a lancé cet été.

• Droit

  Haurus, de la DGSI aux droits de la défense (en passant par le darkweb)

  Droit

  Mercredi 20 janvier 2021 à 10h13 20/01/2021 10h13

  34

Pour la troisième fois en trois ans, plus de 600 cryptographes, chercheurs en sécurité et scientifiques de 35 pays viennent par ailleurs de co-signer une lettre ouverte expliquant ce pourquoi ce projet de scan massif des messages privés est « techniquement irréalisable », constitue un « danger pour la démocratie » et « compromettra totalement » la sécurité et la vie privée de tous les citoyens européens., relève Patrick Breyer.

Ses opposants estiment que le projet reviendrait à installer une porte dérobée (backdoor) et donc à casser le chiffrement de bout-en-bout, puisqu’il devrait s’appliquer aux messageries chiffrées. Si le texte précise bien qu’il ne saurait aller à l’encontre du chiffrement de bout-en-bout, il n’explique pas comment, techniquement, ce CSS pourrait être implémenté, et fonctionner. D’autant qu’il est aussi question de scanner les contenus encore « inconnus » des autorités, tels que les deepfakes générés par IA.

15 pays pour, 6 contre, 6 indécis

Jusqu’à fin août, 15 pays soutenaient le projet, et 4 s’y opposaient. Mais deux pays viennent, coup sur coup, de se prononcer contre, comme l’a relevé le site fightchatcontrol.eu. « Je tiens à dire clairement que nous ne tolérerons pas la surveillance de la correspondance privée des citoyens », a tweeté fin août Petr Fiala, Premier ministre de la République tchèque :

« Nous ne sommes pas d’accord avec la possibilité de surveiller tous les e-mails ou messages sur des plateformes telles que WhatsApp ou Messenger. La protection de nos enfants est importante, mais nous devons y parvenir autrement. Cela ne doit pas signifier la violation de la vie privée de millions de personnes. C’est dangereux et cela peut être détourné. C’est pourquoi nous l’avons refusé jusqu’à présent et nous le refuserons à l’avenir. »

« La Finlande ne peut soutenir la dernière proposition de compromis, car elle contient une décision de détection jugée problématique d’un point de vue constitutionnel », explique de son côté un communiqué du gouvernement finlandais, lui aussi publié fin août.

Après avoir initialement soutenu le projet, le ministre de l’Intérieur de la République slovaque, Matúš Šutaj Eštok (Hlas-SD), a déclaré début septembre qu’il rejetait finalement la proposition de surveillance généralisée des messages privés. « Des outils efficaces pour lutter contre les abus envers les enfants doivent exister, mais ils ne doivent pas créer un système qui ouvrirait la porte aux abus de données personnelles », a déclaré Matúš Šutaj Eštok :

« Notre objectif doit être une solution qui protège réellement les enfants tout en offrant des garanties claires et contraignantes pour la protection de la vie privée de nos citoyens. Nous ne soutiendrons cependant que des mesures qui sont conformes aux intérêts de la République slovaque et de ses citoyens, et nous ne considérons pas la surveillance généralisée comme telle ».

Sauf retournement de situation, l’adoption du texte semble improbable

Les deux sites qui comptabilisent les soutiens, et opposants, au projet, ne mentionnent pas encore cette décision de la Slovaquie. Elle porterait donc à 14 le nombre des pays favorables au projet, 7 le nombre de ses opposants et 6 celui des indécis.

D’après Patrick Breyer, la Suède, initialement en faveur du projet, aurait depuis basculé du côté des indécis. Ce qui porterait à deux le nombre de pays qui s’étaient positionnés, en juillet, en faveur du texte de la coalition menée par le Danemark, l’Irlande, l’Espagne et l’Italie. Depuis rejointe par la Bulgarie, la Croatie, Chypre, la France, la Hongrie, la Lettonie, la Lituanie, Malte, et le Portugal, elle ne comporterait donc plus que 13 pays membres.

Quand bien même les 6 (ou 7) pays encore indécis rejoindraient le camp des opposants, ils ne dépasseront pas le nombre des 14 (ou 13) pays soutenant à ce jour le projet (sous réserve que d’autres pays ne changent pas, eux non plus, de position). À ceci près que l’adoption d’un texte ne dépend pas du nombre de pays le soutenant, mais d’une procédure qualifiée de « double majorité qualifiée ».

Pour que le Conseil parvienne à un accord, il faut en effet que 15 États membres « au moins », représentant collectivement 65 % de la population de l’UE « au moins », approuvent le texte, les deux conditions devant être remplies simultanément. Et le pari danois semble loin d’être gagné, estime EDRi.

Dans une précédente analyse, l’ONG était en effet revenue sur la tentative de la Pologne, qui avait présidé le Conseil de janvier à juin 2025, d’adopter un texte de compromis. Ce dernier, qui visait à mettre de côté les éléments les plus problématiques de la proposition initiale de la Commission, avait finalement été rejeté par 16 pays membres (dont la France), qui s’étaient prononcés « en faveur du maintien des mesures initiales de surveillance de masse » résume l’ONG.

EDRi soulignait cela dit que si « le camp favorable au contrôle des communications, qui soutient le programme de surveillance de masse » dénombrait 16 États membres, ces derniers ne représentaient que 57,57 % de la population européenne, et restaient donc en-deça du seuil requis de 65 %.

En l’état, les 15 pays s’étant prononcés en faveur de la proposition danoise ne représentent qu’un peu moins de 53.52 % de la population de l’UE (voire 51,17 % s’il est confirmé que la Suède ait changé d’avis). Les 7 pays ayant annoncé qu’ils étaient contre (Autriche, Belgique, Finlande, Pays-Bas, Pologne, République tchèque et Slovaquie) en représentent de leur côté 21,66 %, et les 6 pays encore indécis (Estonie, Allemagne, Grèce, Luxembourg, Roumanie et Slovénie) 26,02 % (ou 28,37 % avec la Suède).

La Grèce et la Roumanie, qui avaient voté contre le compromis polonais, pourraient donc logiquement rejoindre le camp des pays favorables à la proposition danoise, ce qui porterait leur proportion à 57,71 % de la population européenne.

Sur les 7 pays qui avaient soutenu le compromis polonais, 4 se sont d’ores et déjà prononcés contre la proposition danoise (Autriche, Finlande, Pays-Bas et Pologne). Les 3 restants (Allemagne, Luxembourg et Slovénie) figurent encore au nombre des indécis, mais pourraient donc de leur côté rejoindre le camp des opposants, qui représenterait alors 40,84 % de la population européenne.

Sauf retournement de situation, et à moins que l’Allemagne ne change de camp (elle représente, à elle seule, 18,56 % de la population européenne), il semble donc à ce stade improbable que la proposition danoise puisse être soutenue par des pays représentant 65 % de la population européenne, et adoptée. D’autant que l’Estonie, qui n’avait pas pris parti au sujet de la proposition polonaise et qui figure encore elle aussi au nombre des indécis, ne représente que 0,30 % de la population de l’UE.

Le Danemark s’est montré peu disposé à trouver un compromis

La perspective d’une adoption du projet en octobre semble dès lors « ambitieuse (ou peut-être optimiste) » pour EDRi, qui s’étonne d’ailleurs que « jusqu’à présent, le Danemark s’est montré peu disposé à trouver un véritable compromis qui permettrait de sortir de l’impasse dans laquelle se trouve ce dossier depuis trois ans » :

« Au lieu de s’appuyer sur les ponts indispensables établis par la présidence polonaise, le Danemark s’est contenté de reprendre un mélange des versions précédentes du texte, qui n’avaient heureusement pas réussi à obtenir un soutien suffisant en raison de préoccupations légitimes concernant la surveillance de masse et l’impact sur le chiffrement de bout en bout. »

EDRi souligne en effet que le texte de compromis qu’avait négocié la précédente présidence polonaise « avait véritablement tenté de rapprocher les deux camps tout en minimisant les atteintes à la confidentialité et au chiffrement de bout en bout ».

Or, plutôt que de le reprendre, et de tenter de l’améliorer, le Danemark aurait proposé un « remix des propositions précédentes », qui n’avaient pourtant pas « réussi à sortir le Conseil de l’impasse depuis trois ans », constate EDRI pour qui, « dans l’ensemble, il semble que le gouvernement danois ne fasse pas vraiment d’efforts pour réaliser des progrès significatifs » :

« S’il le faisait, il n’aurait pas recyclé les versions précédentes du texte qui s’étaient avérées ne pas bénéficier d’un soutien politique suffisant. Au contraire, il aurait pris certaines mesures pour apaiser les graves préoccupations concernant la surveillance de masse et l’impact sur le chiffrement de bout en bout, qui risqueraient sinon de conduire à l’annulation de la loi par la Cour de justice. »

Un « filtrage massif et obligatoire des messages privés des citoyens »

EDRi relève en effet que le « nouveau » texte de compromis danois (.pdf) contient la possibilité d’imposer des ordonnances de détection obligatoires sur tout ou partie des services, tant pour les contenus pédopornographiques « connus » (car déjà identifiés) que pour les « nouveaux » contenus, comme cela avait déjà été proposé, et rejeté. Pour EDRi, cela « reviendrait à imposer un filtrage massif et obligatoire des messages privés des citoyens, ce qui n’est pas légal dans l’UE ».

Cette détection serait automatisée grâce à l’IA, « bien que ces outils soient incapables de prendre en compte le contexte d’un message et malgré le nombre élevé d’erreurs qui en résulterait dans leurs rapports, ce qui conduirait inévitablement à des accusations injustifiées, noierait les cas réels dans de fausses alertes et criminaliserait l’expression sexuelle consentie et privée des adolescents », souligne l’ONG.

L’analyse du texte à la recherche de grooming (ou pédopiégeage, à savoir la sollicitation d’enfants à des fins sexuelles) nécessite une analyse textuelle. Encore plus intrusive et sujette à erreur que le reste, elle serait « initialement exclue du champ d’application, mais une clause de révision permettrait de la réintégrer dans le champ d’application trois ans après l’adoption de la loi (et tous les trois ans par la suite, jusqu’à ce qu’elle soit finalement – inévitablement – ajoutée au champ d’application) ».

Les ordonnances de détection s’appliqueraient bien aux messageries chiffrées de bout en bout via un scan côté client, « ce qui signifie essentiellement qu’un logiciel installé de force sur l’appareil scannerait le contenu du message avant qu’il ne soit chiffré et envoyé », note l’ONG. Les algorithmes de détection analyseraient les contenus visuels (photos et vidéos, pas les contenus audio seuls) ainsi que le texte, mais « uniquement à la recherche d’URL qu’il pourrait contenir ».

Les messageries chiffrées devraient analyser les contenus avant leur transmission

Le texte danois souligne que « rien dans le présent règlement ne doit être interprété comme interdisant, affaiblissant ou contournant, exigeant la désactivation ou rendant impossible le chiffrement de bout en bout ». Les fournisseurs devraient dès lors « rester libres d’offrir des services utilisant le chiffrement de bout en bout et ne devraient pas être obligés par le présent règlement de décrypter des données ou de créer un accès à des données chiffrées de bout en bout ».

Pour autant, il relève aussi que « si le chiffrement de bout en bout est un moyen nécessaire de protéger les droits fondamentaux et la sécurité numérique des gouvernements, de l’industrie et de la société », l’Union européenne doit également « garantir la prévention efficace et la lutte contre les crimes graves tels que les abus sexuels sur mineurs ».

Si les fournisseurs « ne devraient donc pas être obligés d’interdire ou de rendre impossible le chiffrement de bout en bout », le texte danois estime qu’ « il est néanmoins essentiel que les services utilisant le chiffrement de bout en bout ne deviennent pas par inadvertance des zones sécurisées où le matériel d’abus sexuel sur mineurs peut être partagé ou diffusé sans conséquences possibles » :

« Dans les services de communications interpersonnelles utilisant un chiffrement de bout en bout, ces technologies doivent détecter la diffusion de matériel d’abus sexuel sur enfant avant sa transmission […] à condition que les utilisateurs donnent leur consentement explicite selon les termes et conditions du fournisseur pour qu’une technologie spécifique soit appliquée à une telle détection dans le service concerné. »

Le texte précise que « les utilisateurs qui ne donnent pas leur consentement devraient toujours pouvoir utiliser la partie du service qui n’implique pas l’envoi de contenu visuel et d’URL ». Ce qui garantirait que le mécanisme de détection puisse « accéder aux données sous leur forme non chiffrée pour une analyse et une action efficaces, sans compromettre la protection fournie par le chiffrement de bout en bout une fois les données transmises ».

Les utilisateurs qui refuseraient ce « consentement » imposé pourraient donc toujours utiliser la messagerie, mais sans envoi de contenu visuel ni d’URL.

« Il est évident que les Danois courent à un nouvel échec »

La proposition danoise conserve par ailleurs l’idée de la Commission d’obliger les fournisseurs de services à vérifier l’âge de leurs utilisateurs, afin d’empêcher les enfants d’accéder aux services de messagerie et de télécharger des applications au sein desquelles ils pourraient être approchés par des adultes.

Une mesure qualifiée de « brutale » par l’ONG, au motif qu’elle risquerait d’interdire aux enfants de communiquer de façon sécurisée, ainsi qu’aux adultes ne disposant pas d’une identité numérique, et donc d’exclure des millions d’utilisateurs du droit fondamental à la vie privée.

« Étant donné que bon nombre de ces éléments sont précisément à l’origine de l’opposition de longue date de la minorité de blocage (les 11 États membres qui empêchent l’adoption du règlement CSA au Conseil), il est évident que les Danois courent à un nouvel échec », estime l’ONG :

« Leur tentative ressemble davantage à un exercice de relations publiques qu’à une véritable volonté de faire avancer les choses. En effet, la répartition des pays entre le camp favorable au contrôle des chats et celui de la minorité de blocage (abordée dans notre précédent blog) reste inchangée, comme le montre le procès-verbal de la dernière réunion sur le texte danois. »

Un manque de courage politique problématique

« Ce manque de courage politique de la part du Danemark est problématique, car il ne cherche pas véritablement à sortir de l’impasse dans laquelle se trouve cette loi depuis trois ans », conclut EDRi : « Si ces États membres se soucient réellement de la protection des enfants en ligne, il est clair qu’une autre solution, légale et techniquement réalisable, sera nécessaire ».

« Lorsqu’elle est déployée de manière proportionnée, la technologie peut jouer un rôle d’aide dans la lutte contre ce crime terrible, mais elle ne peut en aucun cas être une solution miracle », souligne l’ONG, pour qui les « solutions » techniques proposées par le règlement CSA de la Commission « ne peuvent pas résoudre des problèmes aussi complexes et graves » que les abus sexuels d’enfants.

EDRi estime « par exemple » que l’UE pourrait choisir de mettre en œuvre les mesures les moins controversées de la proposition, « telle que la création d’un centre européen qui servirait de pôle de connaissances et d’éducation ».

L’ONG note que la Commission a d’ailleurs récemment « commencé à s’attaquer aux problèmes structurels qui favorisent le grooming en ligne ou empêchent de lutter efficacement contre les abus sexuels commis en ligne sur des enfants ». Les lignes directrices sur les mesures que les plateformes devraient prendre au titre de la législation sur les services numériques (DSA) afin de garantir la confidentialité, la sûreté et la sécurité des enfants en ligne « comprennent notamment des dispositifs visant à rendre plus difficiles les interactions indésirables et à compliquer la recherche et la prise de contact avec les comptes de mineurs par des adultes inconnus ».

EDRi relève aussi que l’UE est en train de mettre à jour la directive de 2011 sur les abus sexuels sur mineurs, qui pourrait criminaliser, par exemple, la possession et le partage d’abus sexuels sur mineurs générés par l’IA et de deepfakes d’abus sexuels sur mineurs, ainsi que la possession et le partage de « manuels pour auteurs d’abus », et abolir les délais de prescription.

Une autre option pourrait être que la Commission européenne « suive les conseils de la France et retire cette proposition inapplicable pour la remplacer par des mesures significatives et réalistes élaborées en collaboration avec tous les experts concernés », souligne EDRi, ce qu’elle aurait cela dit refusé au motif que recommencer le processus législatif se traduirait pas des délais « inacceptables », rapportait MLex en juin.