Trois lois, une seule cible : vos messages privés
Un changement discret mais lourd de conséquences est en cours dans trois des plus grands blocs réglementaires mondiaux. Le projet de règlement européen « Chat Control », la loi britannique sur la sécurité en ligne (Online Safety Act) et le projet de loi américain KIDS Act inscrivent chacun à leur manière la surveillance des messages dans la loi. L’objectif affiché est, dans tous les cas, la protection des enfants en ligne. L’effet concret, selon les défenseurs de la vie privée et les chercheurs en sécurité, est l’érosion du chiffrement de bout en bout, la technologie qui garantit que les messages privés restent confidentiels entre l’expéditeur et le destinataire, sans que personne d’autre, pas même la plateforme, ne puisse les lire.
Ces trois initiatives ne sont pas issues d’un plan coordonné unique, mais ensemble elles dessinent une tendance : des législateurs de différentes juridictions parviennent à des conclusions similaires sur la nécessité d’analyser, de surveiller ou de prendre connaissance des communications chiffrées, même lorsque les compromis techniques et les atteintes aux libertés civiles sont remarquablement comparables.
Le projet européen « Chat Control »
Chat Control est le nom informel donné à la volonté de l’UE d’obliger les services de messagerie à analyser les communications privées, y compris celles qui sont chiffrées, pour y détecter des contenus illicites avant leur envoi. Ses partisans le présentent comme un outil de lutte contre la diffusion de matériel pédopornographique en ligne. Les critiques, parmi lesquels des experts en chiffrement et des organisations de défense des droits numériques, rétorquent que tout mécanisme capable d’analyser des messages chiffrés avant leur envoi revient, dans les faits, à briser le chiffrement lui-même. Dès lors qu’une porte dérobée d’analyse existe, argumentent-ils, elle peut être exploitée par des acteurs malveillants, étendue à d’autres types de contenus ou détournée par des gouvernements au-delà de son intention initiale.
Le débat a été maintes fois bloqué puis relancé au sein des institutions européennes, ce qui montre à quel point le compromis sous-jacent est controversé : protéger les enfants, ou protéger la vie privée de toutes les personnes qui utilisent des applications de messagerie chiffrée, c’est-à-dire des centaines de millions d’individus ordinaires qui n’ont rien à voir avec quelque infraction que ce soit.
L’Online Safety Act britannique et le KIDS Act américain
L’Online Safety Act du Royaume-Uni, déjà en vigueur, confère aux régulateurs de larges pouvoirs pour contraindre les plateformes à détecter et à retirer les contenus préjudiciables, avec des dispositions qui suscitent des inquiétudes similaires à celles entourant Chat Control concernant le chiffrement. Un point de friction a été la vérification de l’âge et la question de savoir si la loi pousserait les internautes à recourir à des contournements comme les VPN pour accéder à des contenus restreints. Il est notable que les autorités britanniques ont déjà rejeté les restrictions imposées aux VPN par l’Online Safety Act, choisissant de ne pas viser directement l’utilisation des VPN alors même que les exigences de vérification de l’âge sont mises en place. Cette décision est importante car elle montre que les régulateurs tracent au moins une limite, même si les dispositions plus larges de la loi relatives à l’analyse et à la surveillance des contenus restent en vigueur.
De l’autre côté de l’Atlantique, le projet de loi américain KIDS Act suit une logique comparable : il présente les obligations de surveillance des plateformes et de modération des contenus comme des mesures de protection de l’enfance. À l’instar de ses homologues européens, il fait l’objet d’un examen attentif de la part des défenseurs de la vie privée, qui préviennent que les injonctions de sécurité peuvent, en pratique, exiger une visibilité sur les communications privées qui compromet le chiffrement pour tous les utilisateurs, et pas seulement pour ceux que la loi est censée protéger.
Ce que cela signifie pour vous
Si vous utilisez des applications de messagerie chiffrée, que ce soit pour votre vie privée personnelle, pour la confidentialité professionnelle ou simplement parce que vous tenez à ce que vos conversations ne soient pas lues par des tiers, ces lois vous concernent, quel que soit l’endroit où vous vivez. Les réglementations adoptées dans un pays influencent souvent les politiques ailleurs, et les plateformes opérant à l’échelle mondiale peuvent adapter leurs pratiques de chiffrement partout afin de se conformer à la juridiction la plus stricte.
La tension centrale est la même dans ces trois lois : un système peut-il analyser ou surveiller les communications pour y détecter des contenus préjudiciables sans briser les garanties de confidentialité qui donnent tout son sens au chiffrement ? Les chercheurs en sécurité répondent unanimement par la négative. Un mécanisme d’analyse intégré à un système chiffré constitue une vulnérabilité, qu’il soit utilisé par une agence gouvernementale, un pirate informatique ou un régime autoritaire qui obtiendrait ultérieurement accès au même outil.
Des pistes d’action concrètes
Tenez-vous informé de l’évolution de ces lois, car ni Chat Control, ni la mise en œuvre de l’Online Safety Act, ni le KIDS Act ne sont figés. Les dispositions sont modifiées, retardées ou réinterprétées à mesure que s’accroît la pression du public et de l’industrie. Soyez attentif aux applications de messagerie qui s’engagent publiquement à maintenir un véritable chiffrement de bout en bout et à celles qui indiquent qu’elles pourraient se conformer à des obligations d’analyse. Si la confidentialité de vos messages vous préoccupe, envisagez d’utiliser des outils ayant fait leurs preuves en matière de résistance aux pressions gouvernementales sur le chiffrement, et maintenez vos logiciels à jour afin de bénéficier des améliorations de sécurité dès leur déploiement. Enfin, participez à l’élaboration des politiques chaque fois que vous le pouvez. Les périodes de consultation publique, les consultations parlementaires et les campagnes de plaidoyer ont déjà influé sur des décisions comme celle du Royaume-Uni de ne pas restreindre les VPN, et elles peuvent aussi peser sur la suite des débats concernant Chat Control et le KIDS Act. La bataille autour de la messagerie chiffrée n’est pas terminée, et son issue affectera toute personne qui tient à avoir une conversation privée.
