Chat Control: La panique médiatique sert à masquer des moyens simples et légaux d’échapper à la surveillance

Les autorités nous ont habitués à faire passer des mesures liberticides sous des prétextes vertueux. En l’occurrence, c’est au nom de la lutte contre la pédocriminalité – cause noble s’il en est – que l’Union européenne a progressivement ouvert la voie au contrôle des correspondances privées, avec un dispositif déjà en vigueur et un projet visant à l’étendre. Retour sur les derniers développements de cette offensive contre la vie privée et la présomption d’innocence, et sur les moyens techniques concrets de s’en protéger.

La sincérité de la lutte contre la pédocriminalité en question

Le traitement de plusieurs affaires récentes de pédocriminalité interroge sur la capacité – voire la volonté – de la justice française à protéger efficacement les enfants. L’affaire Lyhanna a mis en lumière une justice défaillante, qui semble confiner à la complaisance. Les affaires d’agressions sexuelles de dizaines (voire de centaines, le chiffre exact n’est pas encore connu) d’enfants en milieu périscolaire à Paris ont révélé des élus qui se déresponsabilisent des crimes commis sous leur autorité administrative et une justice qui semble étrangement réticente à condamner (au milieu des relaxes et des instructions lentes, le seul accusé condamné à ce jour a reçu une peine de prison avec sursis).

Les auditions menées à l’Assemblée nationale sur le sujet de l’inceste en France ont mis en évidence une tendance systémique à disqualifier la parole de l’enfant et à jeter le soupçon sur celle du parent protecteur (la page officielle qui partageait les travaux de la commission a d’ailleurs disparu). En bref, les priorités politiques ne semblent pas se concentrer sur la lutte effective contre la pédocriminalité.

C’est pourtant au nom de cette lutte que l’Union européenne entend franchir une nouvelle étape dans la surveillance des communications privées: le règlement CSAR, surnommé « Chat Control 2.0 », vise en effet à transformer des pratiques déjà autorisées en un dispositif plus large et durable.

Une « permission de scruter » adoptée il y a plusieurs années

Dès 2021 est entré en vigueur le règlement (UE) 2021/1232, en tant que « dérogation temporaire » à la directive ePrivacy de 2002 (le texte qui protège la confidentialité des échanges électroniques). Surnommé « Chat Control 1.0 », il s’agissait de légaliser une pratique déjà bien présente: le scan des échanges privés (non chiffrés de bout en bout) par les fournisseurs de messagerie. En effet, plusieurs fournisseurs pratiquaient déjà cette surveillance des messageries personnelles et il s’agissait donc de trouver une solution pour légaliser cette pratique intrusive, en la rendant compatible avec la directive ePrivacy.

Au-delà de son objectif affiché, – n’y croiront que ceux qui le veulent bien – le projet semble surtout reposer sur un assemblage de mécanismes juridiques destinés à étendre au maximum les capacités de surveillance tout en demeurant, du moins formellement, dans les limites fixées par la Charte des droits fondamentaux de l’Union européenne.

Cette dérogation permettait aux fournisseurs de services de messagerie et de webmail non chiffrés (Gmail, Messenger, Snapchat, etc.) d’analyser volontairement les communications de leurs utilisateurs. Prévue pour prendre fin le 3 août 2024, elle avait déjà été prolongée jusqu’au 3 avril 2026.

Mais le 26 mars 2026, le Parlement européen avait refusé d’accorder une nouvelle prolongation, laissant le dispositif expirer comme prévu. Pourtant, le 9 juillet, dans un spectaculaire revirement, les députés ont finalement rétabli la même dérogation au moyen d’une procédure d’urgence contestable et d’ailleurs vivement contestée. Naturellement, le scrutin s’est déroulé lors de la dernière séance avant la pause estivale, à un moment où l’absentéisme est traditionnellement élevé au Parlement européen. Les critiques ont porté aussi bien sur la procédure employée que sur le fond du texte.

Des dispositions en porte-à-faux avec la Charte des droits fondamentaux de l’UE

L’eurodéputée membre du Parti Pirate tchèque Markéta Gregorová s’est indignée de ce procédé de contournement, dénonçant une manœuvre qui viole l’esprit du vote précédent. Svenja Hahn, présidente du parti ALDE, parle d’une honte, y voyant l’ouverture d’une surveillance de masse des communications de tous les citoyens européens, là où une réponse ciblée aurait suffi.

A noter que le service juridique du Conseil de l’UE lui-même avait déjà estimé, dans un avis de 2023 (resté confidentiel avant d’être révélé publiquement), qu’un tel dispositif s’apparentait à une fouille généralisée des communications, incompatible avec les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne.

Victoire de façade à propos du chiffrement

Objet de vives luttes, les communications chiffrées de bout en bout ont été explicitement exclues du champ de la dérogation. En théorie, des messageries comme Whatsapp ne peuvent pas être scannées. Mais ce qui peut passer a priori pour une victoire des défenseurs des libertés numériques est à nuancer fortement en pratique. D’abord, cette garantie ne concerne que Chat Control 1.0, le véritable combat se jouant maintenant sur Chat Control 2.0 (le règlement CSAR) qui vise à instaurer un cadre permanent et obligatoire, et dont les discussions restent bloquées précisément sur cette question du chiffrement.

Ensuite, et c’est là le plus important, le chiffrement aujourd’hui présenté comme un rempart, pourrait bien n’être qu’un trompe-l’œil. Il existe en effet des méthode de contournement, notamment pour lire le message avant qu’il ne soit chiffré, directement sur l’appareil de l’utilisateur via la technique dite « d’analyse côté client » (client-side scanning). Le texte actuel qui laisse encore la porte ouverte à des « obligations de gestion des risques » (le fournisseur doit prouver qu’il a pris des mesures adaptées pour prévenir les infractions en matière d’abus sexuels) pourrait inciter les fournisseurs à adopter cette technique en pratique, même sans obligation formelle. Quelque soit son destin dans le futur texte, retenons que le chiffrement de bout en bout n’est donc pas la garantie ultime de la protection de la vie privée.

Obligation de surveillance pour les fournisseurs de messagerie

Aujourd’hui, le régime de Chat Control 1.0 repose sur une détection volontaire: les fournisseurs de services peuvent analyser certains contenus pour répondre à leur obligation de gestions des risques, mais n’y sont pas tenus. En revanche, le projet de règlement Chat Control 2.0 prévoit, dans sa version initiale, que certains fournisseurs puissent être soumis à des ordres de détection juridiquement obligatoires. Ces derniers ne correspondent pas à des autorisations individuelles visant des utilisateurs identifiés par les autorités judiciaires, ils imposeraient aux fournisseurs de services de communication de mettre en place des mécanismes de détection répondant aux exigences fixées par l’ordre.

Suite à l’opposition massive de la société civile, des experts en cybersécurité et de plusieurs États membres, les ordres de détection obligatoires ont finalement été retirés des versions ultérieures du texte, la présidence danoise renonçant à l’analyse obligatoire côté client pour privilégier un mécanisme de scan volontaire encadré par une autorisation judiciaire.

Le principe retenu n’est donc pas celui de la surveillance ciblée d’un individu soupçonné, mais celui d’une obligation imposée à un opérateur de mettre en œuvre un contrôle technique pouvant s’étendre à l’ensemble des communications transitant par le service pendant une durée déterminée.

Le champ d’application serait très large: il couvrirait notamment les services de messagerie instantanée (WhatsApp, Signal, Messenger, iMessage, Google Messages, Threema, Wire, …), les services de courrier électronique (Gmail, Outlook, Proton Mail, …), les services de stockage en ligne (Google Drive, iCloud, Dropbox, …), ainsi que d’autres services de communication interpersonnelle proposés par des plateformes numériques: dans la proposition de règlement, les services de courrier électronique, les messageries, les SMS/MMS, les services de stockage cloud, les jeux en ligne avec messagerie pourraient aussi être concernés à l’avenir.

À ce jour, le règlement CSAR (« Chat Control 2.0 ») n’est toujours pas adopté. Le calendrier exact d’une adoption reste incertain: les négociations interinstitutionnelles devront encore aboutir à un accord entre le Parlement européen et le Conseil de l’Union européenne avant qu’un texte définitif puisse être adopté. Dans l’intervalle, le régime temporaire issu de Chat Control 1.0 continue de s’appliquer selon les modalités prévues par sa prolongation.

La pérennisation d’un dispositif en cours

Le recours à la lutte contre la pédocriminalité comme justification de ce dispositif laisse sceptiques de nombreux observateurs. La protection des enfants passe d’abord par l’écoute des victimes, le renforcement des enquêtes et des poursuites, ainsi que par des sanctions adaptées à la gravité des crimes. En réalité, le texte semble surtout s’inscrire dans une logique de pérennisation et d’extension de pratiques de surveillance intrusive déjà existantes. La véritable nouveauté serait-elle alors moins le dispositif lui-même que l’accoutumance progressive à l’effacement de la vie privée et à l’affaiblissement de la présomption d’innocence?

Faisons un pas de côté

D’abord, on remarque qu’un certain nombre de médias mainstream ont parlé des mesures Chat Control, participant à une forme de panique vis-à-vis de la surveillance numérique gouvernementale: Libération, Euronews, BFM TV, Le Nouvel Obs ont fait de ce texte des analyses plutôt inquiétantes.

A l’exception d’une partie de la population qui ne voit pas d’inconvénient à être surveillée (sous prétexte qu’elle n’a « rien à se reprocher », alors que c’est précisément une raison pour ne pas être surveillé dans le cadre de la présomption d’innocence), la plupart des citoyens européens s’habituent à ne plus être en capacité de lutter contre des mesures qu’ils craignent ou rejettent et qui s’imposent en dépit des oppositions publiques. L’idée que notre droit à la vie privée se voit régulièrement violé par les autorités se banalise, et nous finissons – bon gré, mal gré – par nous y résigner.

Une campagne d’alerte assortie d’une pétition a été montée notamment à l’initiative d’un certain Christophe Boutry, entrepreneur en cybersécurité. Stop Scanning Me est la campagne européenne menée par une coalition d’organisations de défense des droits numériques, de chercheurs, d’associations et de militants qui s’opposent au projet de règlement CSAR. S’il est légitime d’exprimer son indignation par une signature, cela suffit-il pour résister? La panique et l’exaspération ne risquent-elles pas, au contraire, de favoriser l’intériorisation d’un sentiment d’impuissance?

Attendre de l’UE une régulation des GAFAM qui irait dans le sens de la protection de la vie privée semble aujourd’hui relever de la pure utopie. Au vu des récentes lois de programmation militaire, en France comme à l’étranger, il paraît désormais peu réaliste d’imaginer que les autorités renoncent aux capacités techniques de surveillance de masse, à une époque où celles-ci ne peuvent que devenir un instrument stratégique essentiel.

Par ailleurs, le sentiment d’être surveillé en permanence favorise l’autocensure, sans doute la forme la plus pernicieuse et efficace du contrôle des idées dissidentes. Nous hésitons désormais à nous exprimer librement, même dans un échange privé avec une personne de confiance. Serait-ce là un autre effet de ces bruyantes indignations médiatiques? Indignation sans solution, comme si toute alternative était d’avance vouée à l’échec.

Il est aussi peu probable qu’une pétition (si étayée soit-elle) puisse changer la donne d’un dispositif présent depuis plusieurs années – et en cours de renforcement – et ce, en dépit d’une opposition parlementaire bien marquée. Faut-il pour autant consentir à ces mesures?

Ce que la panique médiatique contribue à occulter, ce sont des dispositifs simples, concrets et légaux pour échapper à cette surveillance.

« Devenir ingouvernable« : guides de résistance à la surveillance numérique 

Exit Chat Control est un guide de terrain gratuit, multilingue et open source, lancé en juillet 2026 par une personne connue sous le pseudonyme Aurea, quelques heures après le vote du Parlement européen prolongeant le dispositif de surveillance des messageries privées.

Plutôt que de se contenter de dénoncer le projet « Chat Control », le site propose une réponse concrète: une sélection d’outils et de pratiques (messageries chiffrées comme Signal ou Session, stockage chiffré, auto-hébergement, navigation anonyme) pour aider chacun, du simple citoyen au lanceur d’alerte, à reprendre le contrôle de sa vie privée numérique.

Publié de façon transparente sur GitHub, le guide s’accompagne d’un quiz permettant à chacun d’évaluer sa propre résistance à la surveillance, avec une philosophie clairement affichée: « Reprendre ses outils, c’est reprendre une partie de sa liberté. »

A ce guide, ajoutons les conseils de notre excellent chroniqueur Icaros, qui a détaillé en vidéo des contre-mesures simples à la dystopie technocratique, afin de reprendre possession de notre souveraineté aussi bien que de notre autonomie numérique. La maîtrise de nos outils est la condition même de notre liberté: un outil qu’on comprend, qu’on peut réparer et détourner nous rend acteurs, tandis qu’un outil qui nous dépasse nous rend dépendants; et c’est précisément cette autonomie que ces contre-mesures nous invitent à reconquérir.

Rappelons aussi qu’Icaros est à l’origine d’une toute récente fédération Peertube des médias indépendants, véritable révolution en cours de déploiement. Nous sommes en train de construire un réseau de diffusion d’informations pour demain afin d’y accueillir les médias harcelés par les différentes censures ou invisibilisés par les gros canaux de diffusion.

Premières contre-mesures simples à la dystopie technocratique

Résister, c’est dépasser l’indignation

Ce n’est pas uniquement pour préserver la confidentialité de nos échanges que la mise en place de telles mesures de protection ont leur importance à titre individuel et collectif. Finalement, avec l’affaire Epstein, les plus noirs secrets n’ont-ils pas été révélés? Prenons-nous encore des risques importants à les divulguer, à en parler? « Il n’y a rien de caché qui ne doive être découvert, rien de secret qui ne doive être connu », disent les Évangiles, et il est difficile de croire à une réversibilité des vagues de divulgation en cours.

En adoptant des mesures individuelles contre la surveillance numérique, nous sortons du dispositif de contrôle concrètement. En posant cet acte fort de renoncer à l’assistance « gratuite » des GAFAM, nous sortons aussi symboliquement du cercle de dépendance: nous affirmons notre refus, notre non-participation.

Comme la plupart des pratiques spirituelles qui prétendent produire un effet dans le monde (qu’il s’agisse de la prière ou de la magie), la reconquête de notre souveraineté numérique passe elle aussi par un sacrifice. Ce modeste sacrifice de temps et de confort pour ceux d’entre nous qui ne sommes pas férus d’informatique (comme l’auteure de cet article) peut sembler fastidieux, mais il en vaut la peine. Face à la surveillance d’État, pour sortir de l’indignation et du désespoir, prenons nos responsabilités!