Le 9 juillet 2026, le Parlement européen a prolongé jusqu’au 3 avril 2028 la dérogation au droit européen des communications électroniques connue sous le nom de « Chat Control 1.0 ». Trois mois plus tôt, le 26 mars, le même texte avait été rejeté par 307 voix contre 306 avant d’expirer le 4 avril. Réintroduit par le Conseil en deuxième lecture, puis soumis à une procédure d’urgence, il a de nouveau rencontré l’opposition d’une majorité relative : 314 députés ont voté pour son rejet, 276 contre, tandis que 17 se sont abstenus.
Cette majorité n’a pas suffi. En deuxième lecture, le rejet exigeait 361 voix, soit la majorité absolue des membres du Parlement. Faute d’atteindre ce seuil, la prolongation a été adoptée. La procédure est régulière, mais son résultat politique reste troublant : un texte combattu par davantage de députés qu’il n’en a convaincus s’est imposé grâce aux règles de quorum et aux sièges vacants.
Le vote est intervenu un mois après un avis du Service juridique du Conseil daté du 10 juin 2026. Selon les éléments rendus publics, le scan dit volontaire des communications privées s’apparenterait à une surveillance généralisée incompatible avec l’article 7 de la Charte des droits fondamentaux de l’Union européenne. L’alerte ne venait donc ni d’une association militante ni d’un opposant extérieur aux institutions, mais des juristes du Conseil lui-même.
La lutte contre les violences sexuelles commises sur des mineurs ne souffre aucune ambiguïté. Leur ampleur impose une mobilisation durable des magistrats, des services d’enquête, des plateformes et des États. La discussion porte sur le choix de l’outil. Une architecture de surveillance généralisée ne devient ni efficace ni proportionnée au seul motif qu’elle poursuit un objectif légitime. Elle doit encore démontrer qu’elle cible réellement les criminels, qu’elle limite les faux positifs et qu’elle ne crée pas de nouvelles vulnérabilités pour l’ensemble des utilisateurs.
Deux textes distincts, une même inquiétude
La rigueur impose de distinguer Chat Control 1.0 de Chat Control 2.0.
Le premier constitue une dérogation à la directive ePrivacy. Il autorise certains fournisseurs de services à analyser volontairement les contenus échangés sur leurs plateformes afin de détecter des contenus pédocriminels. Le texte prolongé en juillet 2026 n’impose pas la rupture du chiffrement de bout en bout. Les amendements excluant explicitement les communications chiffrées de son champ ont été adoptés. Présenter ce vote comme la fin du chiffrement serait donc inexact.
Le second texte, le règlement CSAR proposé par la Commission européenne en mai 2022, porte un risque plus structurel. Sa version initiale prévoyait des obligations de détection susceptibles de concerner les communications chiffrées. Pour analyser un contenu sans casser formellement son chiffrement pendant le transport, une solution consiste à intervenir sur le terminal, avant l’envoi du message. Ce mécanisme, appelé client-side scanning, maintient le chiffrement sur le réseau tout en inspectant le contenu sur le téléphone ou l’ordinateur de l’utilisateur.
Sous la pression de plusieurs États, notamment de l’Allemagne, le compromis adopté par le Conseil en novembre 2025 a retiré les ordres de détection obligatoire. Le texte négocié repose désormais davantage sur la détection volontaire, la gestion des risques et la vérification de l’âge. La ligne rouge n’a donc pas été franchie. Les discussions restent toutefois ouvertes, aucune version définitive n’a été arrêtée et une clause de révision conserve la possibilité de réintroduire ultérieurement des mesures plus intrusives.
Le danger ne réside donc pas dans le droit applicable aujourd’hui, mais dans l’infrastructure juridique et technique qui pourrait être installée demain. La prolongation de Chat Control 1.0 crée, dans ce contexte, un précédent politique : elle banalise le principe d’une analyse automatisée des communications privées alors même que son efficacité et sa compatibilité avec les droits fondamentaux restent contestées.
Les alertes scientifiques sont particulièrement convergentes. En septembre 2025, 617 chercheurs en cryptographie et en sécurité informatique issus de 35 pays ont estimé qu’une détection automatisée à grande échelle ne pouvait atteindre simultanément les objectifs de fiabilité, d’efficacité et de sécurité avancés par ses promoteurs. Cette prise de position prolonge plusieurs avertissements publiés depuis 2021.
Dans l’étude Bugs in Our Pockets, quatorze spécialistes reconnus, parmi lesquels Bruce Schneier, Ronald Rivest et Whitfield Diffie, ont décrit le risque propre au client-side scanning. Un composant capable d’inspecter les contenus avant leur chiffrement crée une fonction de surveillance intégrée au terminal. La difficulté ne tient pas seulement aux contenus recherchés au moment de son installation, mais à la possibilité de modifier ultérieurement les critères de détection par une mise à jour distante.
Un tel module ne distingue pas une décision légitime d’une compromission, d’une pression politique ou d’une opération conduite par un service étranger. Une infrastructure installée pour identifier des contenus pédocriminels pourrait être réorientée vers d’autres catégories de données : documents techniques, échanges politiques, informations industrielles, communications journalistiques ou contenus militaires. Une faille conçue pour une finalité déterminée ne reste jamais réservée à cette finalité.
La contradiction française
Depuis dix ans, la doctrine française repose pourtant sur un principe clair : affaiblir le chiffrement fragilise tous les utilisateurs, y compris les institutions que l’on cherche à protéger.
En 2016, Guillaume Poupard, alors directeur général de l’ANSSI, alertait plusieurs ministères sur les dangers des portes dérobées. Le chiffrement, rappelait-il, protège le secret de la défense nationale, les données stratégiques des entreprises et les informations personnelles des citoyens. Une vulnérabilité volontairement introduite dans un système finit tôt ou tard par échapper au contrôle de son concepteur.
Cette doctrine n’a pas varié. En novembre 2023, le gouvernement a demandé aux ministres et à leurs cabinets d’utiliser Olvid, une messagerie française chiffrée de bout en bout et certifiée par l’ANSSI, en remplacement d’applications commerciales. En juillet 2025, une nouvelle circulaire a généralisé l’usage de Tchap dans la sphère publique. La même année, l’Assemblée nationale a rejeté une disposition de la loi sur le narcotrafic visant à ouvrir aux services de l’État un accès aux communications chiffrées, précisément en raison des risques systémiques.
La cohérence devrait conduire la France à défendre la même position à Bruxelles. Or sa ligne officielle reste difficile à établir. Le Conseil ne publie pas la répartition détaillée des positions nationales, mais plusieurs cartographies réalisées par des observateurs des négociations ont classé la France parmi les États favorables au projet CSAR.
Ces cartographies ne valent pas déclaration gouvernementale. Elles justifient justement une clarification. Si la France s’oppose à toute mesure susceptible d’affaiblir le chiffrement, elle doit le dire publiquement. Dans le cas contraire, elle demanderait à ses ministres, à ses administrations et à ses industriels de protéger leurs communications avec des solutions robustes tout en soutenant, à l’échelle européenne, un cadre susceptible d’en fragiliser le principe.
Cette contradiction dépasse les libertés numériques. Elle engage la crédibilité de la politique française de souveraineté.
La BITD exposée par ses usages réels
Les entreprises de la base industrielle et technologique de défense ont investi dans le chiffrement, le cloisonnement des systèmes, les solutions qualifiées et la conformité aux référentiels de l’ANSSI. Ces efforts conditionnent l’accès à certains marchés, la protection des informations sensibles et la confiance des donneurs d’ordre publics.
Une entreprise dont tous les flux sensibles transitent par des systèmes homologués reste peu exposée à la prolongation actuelle de Chat Control 1.0. La difficulté se situe dans l’écart entre les règles et les pratiques quotidiennes. Dans une PME de défense, un partenaire peut créer un groupe WhatsApp pour accélérer un échange, un prospect export peut utiliser Gmail, un salarié peut envoyer une pièce jointe depuis son téléphone ou un sous-traitant répondre depuis une messagerie personnelle.
Ces pratiques devraient être évitées. Elles demeurent pourtant courantes. Or les services concernés par Chat Control 1.0 sont majoritairement exploités par des entreprises non européennes. Les contenus détectés, les signalements et les faux positifs peuvent alors entrer dans des chaînes de traitement dont les industriels français ne maîtrisent ni l’infrastructure, ni les règles, ni la juridiction.
Trois risques en découlent.
- Le premier concerne la création d’un point de défaillance à très haute valeur. Un module d’analyse installé sur des millions de terminaux européens deviendrait une cible prioritaire pour les services de renseignement, les groupes cybercriminels et les acteurs de l’espionnage économique.
- Le deuxième tient à la reconfiguration du dispositif. Pour une entreprise travaillant sur des programmes sensibles, la question n’est pas seulement de savoir ce que le système recherche aujourd’hui, mais ce qu’il pourra rechercher demain, à la demande de quelle autorité et sous quel contrôle.
- Le troisième porte sur la chaîne de signalement. Une détection erronée pourrait entraîner l’extraction, la transmission ou la conservation d’un document technique, d’une photographie prise sur un site sensible, d’un échange commercial ou d’une information liée à un programme militaire. Qui accéderait à ces données ? Où seraient-elles stockées ? Pendant combien de temps ? Avec quels recours ? Une politique crédible de souveraineté industrielle ne peut reposer sur des réponses imprécises à ces questions.
La BITD doit sortir du silence
Le débat reste principalement porté par les défenseurs des libertés numériques, les chercheurs en cybersécurité et quelques éditeurs de solutions chiffrées. La BITD dispose pourtant d’arguments spécifiques. Elle ne défend pas seulement la confidentialité des citoyens, mais la protection des programmes militaires, des technologies duales, des négociations commerciales, des chaînes de sous-traitance et des compétences stratégiques européennes.
Les industriels, les groupements professionnels, la DGA, l’Agence de l’innovation de défense et le Comité de filière des industries de sécurité devraient intervenir avant la reprise des négociations. Leur position pourrait s’organiser autour de trois demandes : publication de la ligne officielle défendue par la France au Conseil, exclusion explicite de toute obligation d’analyse des contenus avant chiffrement, y compris lors d’une future révision du texte, et réalisation d’une étude d’impact spécifique sur les administrations, les opérateurs critiques et les entreprises stratégiques.
Les entreprises doivent, en parallèle, cartographier les flux sensibles qui transitent encore par des services grand public et accélérer leur migration vers des solutions maîtrisées de bout en bout, infrastructure comprise. Olvid, Tchap et les outils qualifiés par l’ANSSI montrent que des alternatives existent. Leur adoption ne doit plus rester confinée aux environnements théoriquement les plus sensibles alors que les fuites les plus banales surviennent souvent dans les échanges périphériques.
L’Union européenne affirme vouloir renforcer sa souveraineté numérique, sa cybersécurité et son autonomie stratégique. Elle ne peut pas installer, dans le même mouvement, une architecture de surveillance susceptible de devenir un outil d’espionnage industriel ou politique.
La protection des mineurs exige davantage de moyens d’enquête, de coopération internationale, de capacités judiciaires et d’obligations ciblées pour les plateformes. Elle ne justifie pas une fragilisation générale des communications.
Le vote du 9 juillet n’a pas supprimé le chiffrement. Il a néanmoins montré qu’un dispositif contesté sur le plan juridique, scientifique et politique pouvait s’installer durablement par la procédure. La bataille décisive portera sur le règlement permanent.
Avant la reprise des négociations, la France doit choisir une ligne cohérente : défendre à Bruxelles le chiffrement qu’elle impose à Paris, ou expliquer à sa base industrielle pourquoi la doctrine de l’ANSSI s’arrêterait aux portes des institutions européennes.
Thomas LÉGER
Hexadef Capital – Hexablock
