Vérification des faits : L'UE va-t-elle vraiment commencer à scanner vos messages texte ?

Les utilisateurs en ligne tirent la sonnette d'alarme concernant un ensemble de mesures décrites dans la proposition de la Commission européenne visant à lutter contre les abus sexuels sur enfants en ligne. Les mesures, si elles sont approuvées, permettraient aux gouvernements et aux entreprises de messagerie privée de scanner les messages des utilisateurs pour prévenir la circulation de contenus pédopornographiques (CSAM) et aider à identifier les victimes.

Mais une nouvelle vague de contenus sur les réseaux sociaux allègue que l'Union européenne s'apprête à scanner tous les messages immédiatement, et parfois avant même qu'ils ne soient envoyés. Ces préoccupations sont prématurées et trompeuses, car le processus d'approbation de la loi est toujours en cours, et il est encore incertain à quoi ressembleront les mesures finales.

La loi proposée est la proposition de 2022 de la Commission européenne pour un règlement visant à prévenir et à combattre les abus sexuels sur enfants. Elle est conçue pour créer un cadre juridique unique à l'échelle de l'UE pour la détection, le signalement et la suppression des CSAM et pour lutter contre le grooming en ligne des enfants.

La proposition vise à remplacer le patchwork actuel des efforts de l'industrie et des règles nationales par un système harmonisé qui donne aux autorités des outils juridiques clairs pour agir. Et oui, la proposition originale de la Commission inclut des aspects de balayage de textes et de messages, mais les partisans soutiennent que cela serait fait de manière limitée et définie par la loi. Elle introduirait des "ordres de détection", qui sont des demandes juridiquement contraignantes pour un fournisseur de technologie de détecter soit des CSAM connus ou nouveaux, soit des tentatives de grooming en ligne.

Ces ordres devraient être demandés par une autorité nationale de coordination, justifiés sur la base du risque, et autorisés par un tribunal ou une autorité administrative indépendante. Pourtant, les critiques avertissent que de telles mesures pourraient considérablement compromettre la vie privée en ligne. Si elles s'appliquent aux services de bout en bout chiffrés, la détection pourrait devoir se faire sur les appareils des utilisateurs, une pratique connue sous le nom de balayage côté client, affaiblissant le chiffrement et la confidentialité même si l'objectif déclaré de la loi est strictement limité à la protection des enfants.

Cependant, les affirmations selon lesquelles un système généralisé va bientôt scanner tous les messages sont trompeuses car ce texte est encore en cours de discussion dans le processus législatif de l'UE. Jusqu'à ce que le Parlement et le Conseil s'accordent sur une version unique du projet de loi, rien ne peut être appliqué.

Le Parlement européen a déjà voté en faveur de changements majeurs qui reviendraient sur les parties les plus étendues du projet de la Commission. Fin 2023, son comité des libertés civiles (LIBE) a adopté une position rejetant le balayage généralisé et indiscriminé et visant explicitement à protéger le chiffrement de bout en bout.

Le texte du Parlement favorise des mesures de détection plus ciblées et basées sur le risque et insiste sur des garanties solides. Il soutient que briser le chiffrement nuirait à la vie privée et à la cybersécurité pour tout le monde.

La position du Conseil est plus compliquée et reste pour l'instant divisée. Une majorité de 15 États membres, comme la France, l'Espagne et l'Italie, soutiennent actuellement le balayage obligatoire. Six pays, dont l'Autriche, les Pays-Bas et la Pologne, ont déclaré qu'ils ne pouvaient pas accepter la loi dans sa forme actuelle, tandis que six États membres restent indécis.

Un nouveau vote est maintenant prévu pour le 12 septembre 2025. Mais même si le Conseil parvient à un accord, il devra encore négocier un texte de compromis avec le Parlement dans un processus appelé "trilogues". Le règlement ne peut entrer en vigueur que lorsque les deux institutions auront approuvé un texte identique.

Préoccupations concernant la vie privée

Si le texte devait être approuvé dans sa forme actuelle, la proposition donnerait pour la première fois aux autorités de l'UE le pouvoir de demander aux fournisseurs de services de communication privée de rechercher activement dans les messages, images et autres données des utilisateurs.

Ces "ordres de détection" pourraient s'appliquer à des services entiers, et non seulement à des suspects individuels. S'ils s'appliquent aux applications chiffrées de bout en bout comme WhatsApp ou Signal, les fournisseurs pourraient devoir introduire un balayage côté client, où le contenu est vérifié sur l'appareil avant le chiffrement.

Les critiques craignent également ce que l'on appelle la "dérive fonctionnelle" : une fois qu'un système de balayage de tous les messages des utilisateurs existe, les futurs gouvernements pourraient être tentés d'élargir son champ d'application à d'autres domaines, tels que le terrorisme, l'application des droits d'auteur ou la dissidence politique.

Mais la panique virale concernant l'UE "balayant immédiatement tous les messages" est trompeuse, car la proposition n'est encore qu'un projet et est en débat depuis plus de trois ans sans accord.

Rien ne peut entrer en vigueur tant que le Parlement européen et le Conseil ne se sont pas mis d'accord sur le même texte, et le Parlement a déjà voté pour limiter le balayage et protéger le chiffrement.

Même si un compromis est finalement trouvé, les ordres de détection nécessiteraient encore une autorisation au cas par cas par les tribunaux ou les autorités indépendantes, et seraient limités dans le temps. Cela signifie qu'il n'y a aucun plan pour activer un système qui balayerait soudainement toutes les communications privées des Européens.