L'Union européenne a une nouvelle fois prolongé une dérogation temporaire à ses règles ePrivacy, le mécanisme juridique qui permet aux plateformes de messagerie de scanner les communications privées pour détecter des contenus d'abus sexuels sur enfants (...

L'Union européenne a une nouvelle fois prolongé une dérogation temporaire à ses règles ePrivacy, le mécanisme juridique qui permet aux plateformes de messagerie de scanner les communications privées pour détecter des contenus d'abus sexuels sur enfants (CSAM) sans enfreindre les protections de confidentialité. Sur le papier, cela ressemble à une simple formalité administrative. En pratique, cela maintient en vie le fondement juridique du scanning côté client, une technique que les défenseurs de la vie privée avertissent pourrait silencieusement démanteler le chiffrement de bout en bout protégeant des applications comme Signal et WhatsApp. Comprendre ce qui a changé, et ce qui n'a pas changé, est important pour quiconque dépend de la messagerie chiffrée en Europe ou ailleurs.

Ce que la prolongation de l'ePrivacy change réellement

La directive ePrivacy exige normalement que les communications restent confidentielles, ce qui signifie que les plateformes ne peuvent pas inspecter le contenu des messages privés sans une exception juridique spécifique. Depuis 2021, l'UE a accordé à plusieurs reprises une dérogation, une exception temporaire, qui permet aux entreprises de scanner volontairement les messages et images pour détecter des CSAM. Cette dérogation n'a jamais été destinée à être permanente, mais elle est continuellement renouvelée plutôt que remplacée par un cadre législatif définitif.

Ce schéma n'est pas nouveau. Le Parlement européen a prolongé Chat Control 1.0 après son expiration en avril plus tôt cette année, et lorsque cela a expiré à nouveau, les législateurs se sont précipités pour le ramener lors d'un vote surprise en juillet qui a relancé Chat Control 1.0. Le renouvellement le plus récent, adopté le 9 juillet, a effectivement poursuivi le régime de scanning non pas grâce à un vote décisif en sa faveur, mais parce que les opposants n'ont pas pu rassembler suffisamment de soutien pour le bloquer. Cet épisode est couvert en détail dans notre reportage sur la façon dont le Parlement européen a renouvelé la loi de scanning Chat Control le 9 juillet.

La dernière prolongation de l'ePrivacy suit le même scénario : une mesure provisoire, adoptée au milieu de manœuvres procédurales, qui évite une décision permanente tout en laissant la porte du scanning ouverte. Les critiques affirment que cette approche permet à l'UE d'éviter un débat public complet sur la question de savoir si le scanning massif des messages est compatible avec les droits fondamentaux à la vie privée.

Comment le scanning côté client brise le chiffrement de bout en bout

Le détail technique qui se perd dans les débats politiques est exactement comment fonctionne le scanning côté client, et pourquoi il sape le chiffrement même si le chiffrement lui-même reste techniquement intact.

Le chiffrement de bout en bout, le système utilisé par Signal et WhatsApp, garantit que seuls l'expéditeur et le destinataire peuvent lire un message. Même le fournisseur d'application ne peut pas voir le contenu en transit. Le scanning côté client change cela en insérant une étape d'analyse avant le chiffrement, directement sur l'appareil de l'utilisateur. Chaque photo, fichier ou message est vérifié contre une base de données ou un algorithme avant d'être verrouillé par chiffrement et envoyé.

Le chiffrement lui-même n'est pas brisé au sens cryptographique. Mais la garantie de confidentialité qu'il est censé fournir, à savoir qu'aucun tiers ne peut inspecter vos communications, est anéantie. Si un appareil scanne le contenu avant son envoi, alors un tiers (le système de scanning, et par extension celui qui le contrôle) a effectivement une visibilité sur vos communications privées, indépendamment de ce qui arrive aux données ensuite. C'est l'objection fondamentale soulevée par les chercheurs en sécurité, les fournisseurs de messagerie et les groupes de défense des droits numériques : le scanning côté client ne coexiste pas pacifiquement avec le chiffrement de bout en bout, il le vide de l'intérieur.

Notre explication sur Chat Control 2.0 et le plan de scanning CSAM de l'UE détaille comment cette proposition a évolué et pourquoi les fournisseurs de messagerie se sont si fortement opposés aux exigences de scanning obligatoire.

Pourquoi un VPN ne peut pas vous protéger du scanning sur appareil

C'est le point qui est souvent confondu dans le débat public, donc il vaut la peine de le dire clairement : un VPN ne fait rien pour prévenir le scanning côté client. Un VPN chiffre votre trafic internet entre votre appareil et un serveur distant, protégeant votre connexion contre la surveillance au niveau du réseau, votre fournisseur d'accès internet ou quelqu'un qui espionne sur un Wi-Fi public. Il n'a aucune visibilité sur, et aucun contrôle sur, ce qui se passe sur votre appareil avant que ce trafic ne soit envoyé.

Le scanning côté client se produit localement, sur le téléphone ou l'ordinateur lui-même, avant qu'un message ne soit chiffré et transmis. Un VPN opère entièrement en aval de ce processus. Si une application est tenue de scanner une photo avant de l'envoyer, aucun VPN, quelle que soit la force de son chiffrement ou la rigueur de sa politique de non-conservation des journaux, ne peut intervenir dans ce scan. C'est une distinction architecturale fondamentale que tout utilisateur soucieux de sa vie privée devrait comprendre : les VPN protègent les données en transit, pas les données au point de création.

Où va le débat sur Chat Control 2.0 ensuite

La proposition plus large de Chat Control 2.0, l'effort législatif formel pour rendre le scanning obligatoire plutôt que simplement permis, reste non résolue. Chaque prolongation de l'ePrivacy achète du temps sans régler la question sous-jacente de savoir si l'UE exigera des plateformes qu'elles scannent les messages chiffrés par la loi. Les fournisseurs de messagerie, les chercheurs en sécurité et les organisations de libertés civiles continuent d'avertir que toute exigence de scanning obligatoire créerait un précédent affectant les communications chiffrées bien au-delà des frontières de l'Europe, car les applications mondiales appliquent souvent la même architecture partout.

Pour une vue d'ensemble complète du calendrier législatif, notre couverture de ce que les utilisateurs peuvent faire maintenant suite au renouvellement de Chat Control du 9 juillet expose les étapes pratiques disponibles pour les personnes préoccupées par la direction que cela prend.

Ce que cela signifie pour vous

Si vous utilisez Signal, WhatsApp ou toute application de messagerie chiffrée dans l'UE, rien n'a changé dans votre expérience quotidienne pour l'instant. Le scanning côté client n'est actuellement pas obligatoire. Mais le fondement juridique pour cela continue d'être prolongé plutôt que résolu, ce qui signifie que la possibilité reste réelle. Les utilisateurs doivent comprendre que la force du chiffrement seule ne garantit pas la vie privée si le scanning est inséré avant le chiffrement, et qu'aucun VPN, pare-feu ou outil réseau ne peut remplacer cette garantie une fois qu'elle est compromise.

Points d'action concrets

Restez informé sur le calendrier législatif plutôt que de supposer que la question est réglée, car ces prolongations se produisent discrètement et à plusieurs reprises. Comprenez la différence entre les outils de confidentialité au niveau du réseau comme les VPN et les protections sur appareil comme le chiffrement de bout en bout — ils résolvent des problèmes différents. Suivez les déclarations des fournisseurs de messagerie que vous utilisez directement, car des entreprises comme Signal ont historiquement été vocales sur les menaces à leur modèle de chiffrement. Et si vous souhaitez donner votre avis, les citoyens de l'UE peuvent contacter leurs représentants au Parlement européen, car la pression publique a précédemment influencé la rapidité et l'ampleur de l'avancement de ces propositions.

FAQ (translated each question and answer): Q1: Que fait la prolongation de l'ePrivacy de l'UE ? A1: Elle prolonge une dérogation temporaire qui permet aux plateformes de messagerie de scanner les communications privées pour détecter des contenus d'abus sexuels sur enfants sans violer les exigences de confidentialité de la directive ePrivacy. Q2: Pourquoi la prolongation est-elle controversée ? A2: Les défenseurs de la vie privée avertissent qu'elle maintient le fondement juridique du scanning côté client, une technique qui pourrait saper le chiffrement de bout en bout protégeant des applications comme Signal et WhatsApp. Q3: Comment le scanning côté client affecte-t-il le chiffrement de bout en bout ? A3: Le scanning côté client insère une étape d'analyse sur l'appareil de l'utilisateur avant le chiffrement, donc les photos, fichiers ou messages sont vérifiés avant d'être verrouillés par chiffrement, même si le chiffrement lui-même reste techniquement intact. Q4: Est-ce la première fois que l'UE prolonge cette dérogation ? A4: Non, depuis 2021, l'UE a accordé à plusieurs reprises des dérogations temporaires, et des prolongations antérieures de Chat Control 1.0 ont également eu lieu avant le renouvellement du 9 juillet. Q5: Comment le dernier renouvellement a-t-il été adopté le 9 juillet ? A5: Il a effectivement poursuivi le régime de scanning parce que les opposants n'ont pas pu rassembler suffisamment de soutien pour le bloquer, plutôt que grâce à un vote décisif en sa faveur. ---END---