ACTUALITÉ
La brèche rouverte dans la confidentialité des communications : un cas européen, une norme universelle
23 juillet 2026 — Union européenne / Genève (ONU)
L'art. 17 du Pacte international relatif aux droits civils et politiques (PIDCP), ratifié par 173 États, établit que nul ne peut faire l'objet d'immixtions arbitraires dans sa vie privée ou sa correspondance. Le 27 avril 2026, un groupe d'experts de l'ONU, dont la Rapporteuse spéciale sur le droit à la vie privée Ana Brian Nougrères, a diffusé une mise en garde conjointe sur les risques de l'ingérence numérique systémique dans les libertés civiques. C'est dans ce cadre — pas seulement européen — que s'inscrit l'affaire dite « Chat Control » : un cas spécifique d'un phénomène qui concerne tout État disposant des moyens techniques pour le faire.
Faits
Dans l'Union européenne, le règlement 2021/1232 (en vigueur depuis le 3 août 2021) permet aux fournisseurs de services de communication non chiffrés — selon les sources consultées, dont Gmail, Facebook Messenger, Skype et Snapchat, Google, Meta, Microsoft et Snap étant parmi les fournisseurs les plus cités — de scanner volontairement les communications à la recherche de contenus d'abus sexuels sur mineurs. En sont explicitement exclus les services chiffrés de bout en bout : WhatsApp — bien que propriété de Meta —, Signal, iMessage.
Le 26 mars 2026, le Parlement européen rejette le renouvellement de la dérogation (311 contre, 228 pour, 92 abstentions) ; la mesure expire le 3 avril. Le 19 mars, avant même l'expiration, Snap, TikTok, LinkedIn et d'autres grandes plateformes signent une déclaration commune demandant sa prolongation ; le 27 mars, le blog institutionnel de Google, dans un texte reflétant une position partagée avec Meta, Microsoft et Snap, annonce que les entreprises poursuivront de toute façon le scan volontaire. Deux cent quarante-sept organisations de protection de l'enfance signent un appel de sens contraire, en soutien à la prolongation législative. Le 2 juillet, le Conseil represente le même texte déjà rejeté comme un acte formellement nouveau ; le 7 juillet, le groupe majoritaire relatif du Parlement (PPE) obtient une procédure d'urgence (331 voix contre 304) ; le 9 juillet, un premier vote pour rejeter le texte recueille 314 voix contre 276 — majorité simple, mais sous le seuil de 361 requis en deuxième lecture — tandis qu'un amendement excluant les communications chiffrées de bout en bout est adopté avec une marge suffisante. Le 23 juillet 2026, le Conseil donne son feu vert définitif : la mesure est en vigueur jusqu'au 3 avril 2028.
Lecture juridique
De nombreuses sources indépendantes rapportent que le Service juridique du Conseil, dans un avis du 10 juin 2026, aurait qualifié le mécanisme — même sous sa forme « volontaire » — de scan généralisé des communications interpersonnelles, incompatible avec l'art. 7 de la Charte des droits fondamentaux de l'UE en l'absence de soupçon raisonnable et d'autorisation judiciaire préalable. Le document original n'a pas été retrouvé au cours de cette session : il s'agit d'une lacune déclarée, à vérifier auprès de la source primaire du Conseil avant toute citation définitive. Le même principe de nécessité et de proportionnalité est aussi la norme de l'art. 17 du PIDCP, applicable bien au-delà des frontières de l'UE. La Commissaire fédérale allemande à la protection des données, Louisa Specht-Riemenschneider, a qualifié la mesure de surveillance de masse « sans motif », dépassant l'objectif légitime déclaré.
Le cas n'est pas isolé. Au Royaume-Uni, l'Online Safety Act impose depuis le 25 juillet 2025 une vérification d'âge « hautement efficace » sur les contenus en ligne. Aux États-Unis, l'EARN IT Act — réintroduit à plusieurs reprises au Congrès — vise à responsabiliser les plateformes pour les contenus d'abus sans garantir de refuge sûr au chiffrement de bout en bout. En Chine et en Russie, des mécanismes de contrôle des communications numériques bien plus étendus fonctionnent sans débat public comparable ni organes indépendants équivalents à une autorité de protection des données ou à une Cour de justice supranationale. Le cas européen n'est pas une anomalie isolée : c'est le point où le conflit entre sécurité numérique et confidentialité des communications est le plus visible et documenté publiquement, pas le seul endroit où il se produit.
Implications
Le mécanisme technique en discussion — scan préventif de communications non suspectes, sans indice individuel — ne change pas de nature selon le but déclaré. Test de symétrie : si le même mécanisme était proposé pour lutter contre le terrorisme ou la désinformation, le jugement de proportionnalité changerait-il ? Si oui, l'évaluation suit le caractère partageable du but, non le critère juridique lui-même — résultat du test : le mécanisme ne résiste pas au changement de but, et cela reste une donnée juridique, non une opinion morale.
L'extension d'outils de surveillance au-delà de leur finalité d'origine a des précédents concrets, non hypothétiques. La base de données EURODAC, créée pour identifier les demandeurs d'asile, a ensuite aussi été utilisée dans la lutte contre le terrorisme. La directive UE sur la conservation des données (2006/24/CE), introduite pour les infractions graves, a été annulée par la Cour de justice de l'UE en 2014 (affaires C-293/12 et C-594/12, Digital Rights Ireland) précisément faute de limites suffisantes sur la finalité et l'accès. Ces précédents ne prouvent pas que Chat Control suivra le même chemin — aucune proposition en ce sens n'est aujourd'hui en discussion — mais ils font de l'objection sur l'extension future de son périmètre une hypothèse fondée sur un schéma réel, non une crainte isolée.
La position allemande montre à quel point la ligne d'un seul État n'est pas univoque. Le gouvernement a activement soutenu la prolongation temporaire et volontaire approuvée en juillet, tandis que le parti majoritaire au Bundestag (CDU/CSU) s'oppose à toute forme de scan côté client sur les services chiffrés dans le futur règlement permanent. Le débat ne se joue pas entre blocs de partisans et d'opposants, mais entre outil volontaire et outil obligatoire — une distinction qui mérite d'être gardée à l'esprit face à tout titre résumant l'affaire par « l'Europe approuve la surveillance de masse ».
Note éditoriale
Le règlement permanent — celui qui déterminera si le scan deviendra une obligation plutôt qu'un choix, y compris pour les services chiffrés — reste en négociation après cinq trilogues manqués ; le sixième est fixé au 29 septembre 2026 sous présidence irlandaise. La vraie partie commence là.
Sources: OHCHR (27/4/2026) · Consilium, comunicato stampa (23/7/2026) · Ansa, Il Post (9-10/7/2026) · netzpolitik.org (2/7, 9/7/2026) · Next.ink · Cyber Security 360 (17/4/2026) · CJEU, Digital Rights Ireland (2014)