La longue offensive de l'Union européenne pour scruter les messages privés à la recherche de matériel d'abus sexuels sur enfants vient de connaître un nouveau rebondissement, et celui-ci fait bondir les défenseurs des droits numériques. Une version temporaire de la loi dite Chat Control a été approuvée, bien qu'une majorité de députés européens ait voté contre. Le hic : cela survient à peine trois mois après que le Parlement a rejeté cette mesure de manière catégorique.
Pour une politique qui a été débattue, amendée et soumise au vote à maintes reprises ces dernières années, la manière dont cette dernière approbation est intervenue soulève autant de questions que le fond de la loi elle-même. Les critiques qualifient cette manœuvre d'antidémocratique, arguant qu'une proposition rejetée par les législateurs ne devrait pas simplement refaire surface quelques semaines plus tard par un artifice de procédure.
Ce qui vient de se passer avec le Chat Control
Chat Control est le nom informel donné à la législation européenne visant à détecter les CSAM (matériel d'abus sexuels sur enfants) partagés via les services de messagerie privée. Les versions antérieures de la proposition auraient exigé des plateformes de messagerie, y compris celles utilisant le chiffrement de bout en bout, qu'elles analysent le contenu des utilisateurs avant son envoi. Les défenseurs de la vie privée, les chercheurs en sécurité, et même certaines institutions européennes, avertissent depuis des années que ce type d'analyse obligatoire est fonctionnellement incompatible avec un véritable chiffrement de bout en bout, puisque tout mécanisme d'analyse intégré à une application chiffrée crée un moyen d'inspecter le contenu qui sape la promesse fondamentale du chiffrement.
Il y a trois mois, le Parlement a rejeté la proposition. Cela aurait dû en être la fin, du moins pour ce cycle législatif. Au lieu de cela, une version temporaire de la loi sur l'analyse des CSAM a désormais reçu le feu vert, malgré le vote majoritaire des députés européens contre. Les mécanismes par lesquels une mesure rejetée revient et passe sans le soutien d'une majorité révèlent l'existence de règles procédurales au sein du processus législatif de l'UE qui permettent à certaines mesures temporaires ou intérimaires de progresser selon des seuils de vote différents de ceux qu'exigerait une refonte législative complète.
Le résultat est une loi, selon les critiques, qui manque du mandat démocratique auquel on pourrait s'attendre pour une décision aux implications aussi vastes pour la manière dont des centaines de millions de personnes communiquent en privé.
Pourquoi ce vote est alarmant
La préoccupation ici ne concerne pas uniquement cette loi temporaire. Elle concerne le précédent. Si une mesure que le Parlement a explicitement rejetée peut être ressuscitée et votée par un canal procédural différent, cela crée un modèle susceptible d'être réutilisé, pour cette politique ou pour d'autres. Les groupes de défense des droits numériques soutiennent depuis des années que le Chat Control, sous toutes ses formes, traite chaque utilisateur d'une application de messagerie comme un suspect potentiel par défaut, plutôt que de cibler les efforts d'analyse sur les personnes faisant l'objet de soupçons réels.
Il y a aussi la question du chiffrement, qui est au cœur de ce débat depuis le début. Les experts en sécurité ont constamment souligné qu'il n'y a aucun moyen de construire une porte dérobée d'analyse dans une application de messagerie chiffrée que seuls les mauvais acteurs ne pourraient pas exploiter. Dès qu'un mécanisme d'analyse existe, il devient une cible potentielle pour les pirates informatiques, les acteurs étatiques ou toute autre personne cherchant à intercepter des communications privées. C'est la même tension fondamentale qui a émergé dans les batailles sur le chiffrement ailleurs, où les gouvernements exigent des outils d'accès légal tandis que les chercheurs en sécurité avertissent que toute porte dérobée affaiblit la protection pour tout le monde, pas seulement pour les personnes qu'elle est censée attraper.
Les enjeux de protections de données affaiblies ne sont pas théoriques. Les violations à grande échelle impliquant des données personnelles sensibles, comme le piratage lié à l'Iran de l'autorité de transport LA Metro qui a entraîné un vol massif de données, nous rappellent l'ampleur des dégâts qui peuvent survenir lorsque des systèmes contenant des informations personnelles sont compromis. La construction d'une nouvelle infrastructure d'analyse dans les applications de messagerie utilisées par des centaines de millions d'Européens élargit considérablement la surface d'attaque potentielle.
Ce que cela signifie pour vous
Si vous êtes résident de l'UE, ou si vous communiquez avec des personnes qui le sont, ce développement vous concerne, même si vous n'avez jamais réfléchi à la politique de confidentialité de votre application de messagerie. L'approbation d'une loi temporaire sur l'analyse des CSAM malgré l'opposition majoritaire au Parlement indique que le débat plus large sur le Chat Control est loin d'être clos, et que des mesures similaires pourraient refaire surface par des voies procédurales comparables.
Pour l'instant, l'impact pratique dépend largement de la manière dont la mesure temporaire est mise en œuvre et des services auxquels elle s'applique. Mais la tendance mérite d'être suivie de près : une politique rejetée qui revient par une autre porte législative est le genre de développement qui peut remodeler le fonctionnement de la communication privée dans toute une région, souvent avec un débat public limité sur les mécanismes spécifiques en jeu.
Comment rester informé et agir
Ce n'est pas le dernier chapitre de l'histoire du Chat Control, et c'est peu probable que cela le soit. Quelques pistes à envisager à mesure que cela évolue :
- Surveillez comment la loi temporaire est mise en œuvre et quels services de messagerie sont affectés.
- Comprenez que les portes dérobées de chiffrement, même celles présentées comme limitées ou temporaires, créent des risques qui vont au-delà de leur objectif initial.
- Soutenez ou suivez les organisations qui surveillent la politique numérique de l'UE, car les votes procéduraux comme celui-ci évoluent souvent plus vite que la couverture médiatique généraliste.
- Si vous tenez à la communication privée, renseignez-vous sur la manière dont vos applications de messagerie actuelles gèrent le chiffrement et si elles se sont exprimées publiquement sur la conformité aux mandats d'analyse.
Le débat sur le Chat Control a montré que les défaites législatives à Bruxelles ne sont pas toujours permanentes. Rester informé est la meilleure défense contre les politiques qui redessinent la vie privée numérique sans véritable examen public.
