Les gouvernements de l'UE doivent se prononcer ce jeudi sur le projet de règlement européen visant à « combattre les abus sexuels concernant les enfants ». Il propose notamment d'obliger les utilisateurs de messageries privées à consentir à la surveillance des images et URL qu'ils voudraient partager.

MàJ, 12h50 : le projet a finalement été reporté sine die, faute d'avoir réussi à trouver une majorité, voir plus bas.

Le projet de règlement européen controversé « établissant des règles pour prévenir et combattre les abus sexuels concernant les enfants » devrait être examiné ce jeudi par le COREPER II (Comité des représentants permanents, l'organisme de l'Union européenne qui prépare les travaux du Conseil de l'Union européenne), composé des représentants permanents de chacun des États membres, indique l'ex-eurodéputé pirate allemand Patrick Breyer.

• Pédocriminalité : vers une validation en urgence de l’usine à gaz pour surveiller les messageries

Il obligera les utilisateurs européens de messagerie à consentir à la surveillance de l'ensemble des images, vidéos et URL qu'ils voudraient partager par messagerie. Objectif : identifier, au moyen de systèmes d'intelligence artificielle, les contenus à caractère pédocriminel (ou CSAM, pour « child sexual abuse material »).

Une proposition qualifiée de « projet de loi européen le plus critiqué de tous les temps » par ses nombreux opposants, dont les modalités s'apparente à une véritable « usine à gaz » technique à la légalité douteuse.

• Pédocriminalité : l’usine à gaz européenne pour scanner photos et vidéos dans les messageries
• Détection des contenus pédosexuels : le « projet de loi européen le plus critiqué de tous les temps »

Des effets secondaires « involontaires mais dangereux »

Patrick Breyer, en pointe contre ce projet de #ChatControl, vient de relayer une lettre ouverte cosignée par 47 autres eurodéputés appelant au rejet de ce projet, au motif que plusieurs de ses principales composantes seraient incompatibles avec les droits fondamentaux européens, et qu'ils pourraient entraîner « plusieurs effets secondaires involontaires mais dangereux » :

• cette surveillance de masse compromettrait le secret des affaires et rendrait impossible le transport d'informations confidentielles, y compris pour les professions protégées et tenues à la confidentialité telles que les journalistes, avocats, professionnels de la santé, lanceurs d'alerte ;
• rappelant que les démocraties ont besoin d'espaces de confiance pour échanger ses opinions, les signataires déplorent que les mesures proposées « risquent de conduire à l'autocensure », y compris pour les enfants et les victimes de violences sexuelles qu'elles sont pourtant censées protéger ;
• en établissant une « architecture susceptible de saper toute possibilité de communication numérique privée », le règlement pourrait involontairement servir de modèle de surveillance de masse pour les États autoritaires.

Cette surveillance de masse des messageries comporte en outre le risque de « créer un climat de suspicion générale », mais également de « porter atteinte de manière irréparable à l’image de l’Union européenne en tant que garante des libertés ».

De la surveillance de masse à la suspicion généralisée

Un climat de suspicion qui pourrait aussi aggraver les risques de censure par les opérateurs techniques privés. Deux pères de famille états-uniens avaient par exemple été accusés à tort de pédophilie pour des photos faites à la demande de médecins, Google ayant bloqué leurs comptes, et refusé de les réactiver, quand bien même il s'agissait de « faux positifs ».

• Accusés à tort de pédophilie pour des photos faites à la demande de médecins

« Il est impossible de mettre en œuvre de telles propositions dans le contexte de communications chiffrées de bout en bout sans saper fondamentalement le chiffrement et créer une vulnérabilité dangereuse dans le cœur de l'infrastructure qui aurait des répercussions mondiales bien au-delà de l'Europe », déplore de son côté la présidente de la fondation Signal Meredith Whittaker.

• Meredith Whittaker (Signal) contre la modération de l’envoi de fichiers dans les messageries

Signal et Threema ont d'ailleurs annoncé qu'ils mettraient fin à leurs services dans l'UE s'ils étaient contraints de mettre en œuvre ce type de surveillance de masse.

Les parlementaires signataires de la lettre ouverte estiment enfin que cette obligation d'analyser systématiquement les communications chiffrées, qu'elle soit appelée « modération du téléchargement » ou « analyse côté client », non seulement briserait le chiffrement sécurisé de bout en bout, mais ne résisterait probablement pas non plus à un recours auprès de la Cour de Justice européenne.

Quand les gouvernements s'opposent au Parlement

Alexandre Archambault, avocat spécialiste du droit du numérique, relève que le texte devra ensuite être validé par le Parlement, tout en déplorant un mode opératoire « en catimini », à l'image de celui qui avait présidé à l'adoption du blocage des contenus sans juge.

Et en catimini (même mode opératoire que pour le blocage sans juge promis-juré-ça-ne-sera-que-pour-la pédopornographie), le scan de chaque échange privé est en passe d'être imposé.
Certes cela devra être "validé" par le Parlement 🇪🇺, mais la brèche est làhttps://t.co/1C5I89T5V8

— Alec ن Archambault (@AlexArchambault) June 12, 2024

Le « compromis » proposé par la présidence belge de l'Union avait acté que la détection ne devrait pas s'appliquer aux comptes « utilisés par l'État à des fins de sécurité nationale, de maintien de l'ordre ou à des fins militaires ». Il ne précisait pas, cela dit, comment cela serait techniquement possible, sauf à créer une liste des personnes à ne pas surveiller, ironisait Alexandre Archambault.

Le Parlement européen avait de son côté adopté en octobre dernier un autre « compromis », qualifié d' « historique », et qui supprimait a contrario la surveillance proactive des messageries, afin de préserver le chiffrement sécurisé de bout en bout (E2EE).

• #ChatControl : un compromis « historique » exclut la surveillance des messageries en Europe

Un vote finalement reporté sine die, faute de majorité

Des porte-paroles du Conseil et de plusieurs États membres ont confirmé à netzpolitik.org que la présidence du Conseil a finalement retiré le vote de l'ordre du jour car elle ne disposait pas d'une majorité suffisante.

Netzpolitik.org révélait hier que l'Allemagne avait prévu de voter contre, expliquant que « les communications privées chiffrées de millions de personnes ne doivent pas être contrôlées sans motif ».

La France, qui avait changé de position à plusieurs reprises, semblait elle aussi s'y opposer, évoquant cela dit « une décision au plus haut niveau » qui pourrait lui permettre de l'accepter « s'il n'y a pas d'affaiblissement du chiffrement et une clause de révision des technologies ».

La Belgique n'étant pas en mesure de présenter une proposition majoritaire lors des réunions hebdomadaires du Comité des représentants permanents (COREPER), le projet serait reporté sine die.

La Hongrie, qui succédera à la Belgique à la présidence du Conseil à partir de juillet, a annoncé (.pdf) dans son programme de travail qu'elle poursuivrait les négociations, et qu'elle « continuera à travailler à l'élaboration d'une solution législative à long terme pour prévenir et combattre les abus sexuels en ligne sur les enfants et à la révision de la directive contre l'exploitation sexuelle des enfants ».