Chat Control refait surface en deux versions, aucune ne vous protège

Ce qui a changé : comment Chat Control est revenu après avoir été « mourant »

Si vous pensiez que la proposition controversée de l’UE de scanner les messages était enterrée, vous n’étiez pas le seul. L’Allemagne s’y était publiquement opposée. Le Parlement européen avait rejeté des dispositions clés. Les négociations entre les États membres auraient échoué. À en croire la plupart des observateurs, Chat Control semblait politiquement mort.

Pourtant, les titres rapportent à nouveau qu’une version de Chat Control a progressé au Parlement européen. Il ne s’agit pas simplement du même texte qui aurait été ressuscité sans changement. La législation s’est scindée en deux voies parallèles, chacune dotée de sa propre base juridique, de son propre calendrier et de son propre mécanisme d’accès aux communications privées. Cet éclatement explique en partie pourquoi le dossier refait surface même après avoir semblé mort : différentes commissions, différents votes et différents instruments juridiques avancent à des rythmes différents, et chaque redémarrage génère de nouveaux titres qui laissent croire que le combat est terminé alors qu’il ne l’est pas.

Ce schéma de défaite apparente suivi d’une résurrection discrète n’est pas nouveau. Plus tôt cette année, le Parlement européen a remis en vigueur une ancienne version du cadre juridique alors que sa base légale avait techniquement expiré, rétablissant des règles que beaucoup pensaient disparues pour de bon. Pour celles et ceux qui souhaitent l’historique législatif complet derrière ces renaissances successives, notre couverture précédente du vote de juillet qui a ressuscité Chat Control 1.0 explique comment un cadre que l’on croyait enterré est revenu par un vote de procédure que personne n’avait vu venir.

Les deux versions expliquées : analyse volontaire contre détection obligatoire

Au cœur du débat actuel se trouvent deux approches distinctes pour analyser les communications privées à la recherche de contenus illicites, en particulier les contenus pédocriminels (CSAM).

La première version repose sur l’analyse volontaire. Selon ce modèle, les fournisseurs de messagerie et les plateformes seraient autorisés, mais non légalement tenus, à analyser le contenu des utilisateurs à la recherche de contenus signalés. Ses partisans présentent cette option comme un compromis : elle préserve une certaine marge de choix pour les entreprises tout en offrant aux forces de l’ordre une voie vers la détection.

La seconde version pousse vers la détection obligatoire. Dans ce cadre, les fournisseurs seraient légalement obligés d’analyser les communications, y compris celles protégées par le chiffrement de bout en bout, avant que ce chiffrement ne soit appliqué ou immédiatement après qu’il a été retiré. On parle souvent d’analyse côté client, et il s’agit de l’approche la plus agressive des deux, car elle supprime toute marge d’appréciation des plateformes elles-mêmes.

Sur le papier, ces deux propositions semblent sensiblement différentes. L’une est facultative, l’autre obligatoire. Mais l’effet concret pour les utilisateurs, en particulier en Europe pour celles et ceux qui utilisent au quotidien des applications de messagerie chiffrée, est bien plus similaire que ne le suggèrent les étiquettes.

Pourquoi les deux versions sapent le chiffrement de bout en bout

Le chiffrement protège un message contre tout accès extérieur, ou il ne le protège pas. Il n’existe pas de version de « chiffrement partiel » qui garderait un message privé pour tout le monde sauf pour un système d’analyse intégré à l’application elle-même. Dès qu’un mécanisme d’analyse, volontaire ou obligatoire, est incorporé dans un service de messagerie pour inspecter le contenu avant ou après le chiffrement, ce service crée un point d’accès structurel qui n’existait pas auparavant. Les chercheurs en sécurité avertissent depuis longtemps que toute porte dérobée créée pour les forces de l’ordre ou à des fins de modération de contenu peut, en principe, être découverte et exploitée par d’autres, qu’il s’agisse d’acteurs malveillants, de services de renseignement étrangers ou de simples défauts d’ingénierie.

Le modèle volontaire n’élimine pas ce risque ; il change simplement qui décide de construire la porte dérobée. Une plateforme qui opte pour l’analyse volontaire pour rester en bons termes avec les régulateurs, ou pour éviter de futures obligations obligatoires, doit tout de même mettre en place la même infrastructure d’inspection de contenu. Une fois cette infrastructure existante sur une grande plateforme, la distinction entre « volontaire » et « obligatoire » devient largement théorique du point de vue de la sécurité. Dans les deux cas, la garantie que seuls l’expéditeur et le destinataire puissent lire un message est brisée.

Ce que cela signifie pour vous

Pour les utilisateurs quotidiens de l’UE, la conclusion pratique est qu’il ne faut considérer aucun résultat de vote comme définitif, et aucune proposition comme inoffensive simplement parce qu’elle est étiquetée « volontaire ». Le processus législatif a déjà montré qu’il pouvait produire des résurrections surprises après des défaites apparentes, et qu’il pouvait se scinder en plusieurs pistes concurrentes qui rendent plus difficile pour le public de suivre ce qui est réellement décidé.

Cette incertitude est précisément la raison pour laquelle les utilisateurs soucieux de leur vie privée construisent de plus en plus des défenses superposées plutôt que de compter sur le maintien d’une loi favorable. Un VPN chiffre votre trafic entre votre appareil et l’internet dans son ensemble, ce qui aide à protéger votre activité de navigation et les métadonnées de l’observation au niveau du réseau — bien qu’il ne protège pas, en lui-même, le contenu des messages envoyés via une application qui serait obligée d’analyser ce contenu avant chiffrement. C’est pourquoi l’utilisation d’un VPN et la messagerie chiffrée doivent être comprises comme des outils complémentaires et non comme des substituts l’un de l’autre. Il vaut la peine d’examiner dès maintenant comment ces outils s’articulent dans une boîte à outils plus large de protection de la vie privée, avant qu’une version définitive de Chat Control ne soit arrêtée, plutôt qu’après.

Actions concrètes à retenir

Tenez-vous informé·e de la version de la proposition qui progresse, car l’analyse volontaire et l’analyse obligatoire comportent des risques différents mais qui se chevauchent. Continuez à utiliser des applications de messagerie chiffrée de bout en bout et soyez attentif·ve aux déclarations publiques de ces fournisseurs quant à la manière dont ils comptent réagir si des obligations d’analyse sont imposées. Associez la messagerie chiffrée à un VPN fiable pour protéger les métadonnées de votre connexion, même si un VPN ne peut pas se substituer au chiffrement au niveau des messages. Enfin, continuez à suivre le processus législatif lui-même. Comme l’a montré la résurrection antérieure de Chat Control 1.0, une proposition rejetée en Europe n’est pas nécessairement une proposition morte, et rester informé·e est la première étape pour protéger votre vie privée, quelle que soit la version qui finit par avancer.