Chat Control : le Parlement européen fait passer la dérogation, mais verrouille sa position contre la surveillance de masse

Le Parlement européen a voté pour la troisième fois en quatre mois sur la dérogation qui autorise les grandes plateformes à scanner volontairement les messages privés de leurs utilisateurs pour détecter des contenus pédopornographiques (CSAM). Le texte, surnommé « Chat Control 1.0 », est passé — mais les eurodéputés ont profité du vote pour verrouiller leur position contre toute surveillance de masse dans le futur règlement permanent, actuellement en négociation.

Ce qui s'est passé

Le 26 mars 2026, le Parlement avait rejeté la prolongation de cette dérogation temporaire à la directive ePrivacy, en vigueur depuis 2021. La dérogation a donc expiré le 4 avril 2026 et le dossier semblait politiquement clos. C'est sans compter sur Roberta Metsola, présidente du Parlement européen, qui a suggéré au Conseil de l'UE d'ignorer la position votée par sa propre institution. Les États membres ont suivi, forçant une procédure rarement utilisée : une deuxième lecture, où le texte est automatiquement adopté sauf s'il est rejeté à la majorité absolue (360 voix), un seuil bien plus difficile à atteindre que la majorité simple habituelle.

Résultat : la dérogation repasse, applicable du 3 août 2026 au 3 avril 2028. Mais les eurodéputés ont aussi adopté deux amendements protégeant explicitement les communications chiffrées de bout en bout contre toute forme de « client-side scanning », d'après l'analyse publiée par EDRi.

Pourquoi c'est important

Ce vote n'est pas qu'une péripétie institutionnelle. Il concerne directement l'articulation entre sécurité du traitement au sens de l'article 32 du RGPD et lutte contre les contenus illicites : plus une plateforme scanne largement les messages de ses utilisateurs, plus elle doit démontrer que ce traitement reste proportionné et documenté. Ce dossier fait écho à un précédent traité par Leto en juillet, sur la précédente dérogation CSAM et son exemption pour le chiffrement de bout en bout — le texte voté cette semaine confirme et prolonge cette ligne.

Le vrai enjeu se situe surtout dans la suite : le règlement permanent, dit « Chat Control 2.0 » ou CSA Regulation, qui doit fixer un cadre définitif sur la détection des contenus pédopornographiques. Les négociateurs se sont déjà accordés pour protéger le chiffrement et retirer les dispositions de vérification d'âge. Il ne reste à trancher que la nature de la détection : obligatoire ou volontaire, ciblée ou massive. Le prochain trilogue est fixé au 29 septembre, et ce vote du Parlement envoie un signal net : il n'existe pas de majorité pour la surveillance de masse.

Ce que ça change pour les organisations

Pour les responsables de traitement qui opèrent des services de messagerie ou d'hébergement de communications, la dérogation en vigueur jusqu'en avril 2028 maintient une fenêtre de tolérance pour la détection volontaire de CSAM, mais cette tolérance reste encadrée et temporaire. Le DPO doit continuer à documenter précisément la base légale, la finalité et la proportionnalité de tout dispositif de scan, en gardant à l'esprit que les missions de conseil et de contrôle du délégué à la protection des données couvrent directement ce type d'arbitrage entre sécurité, protection de l'enfance et respect de la vie privée.

Les éditeurs de services de communication chiffrée peuvent en revanche s'appuyer sur les amendements votés pour sécuriser leur position : le chiffrement de bout en bout reste protégé, y compris face aux techniques de scan côté client. Cette clarification limite le risque juridique pour les acteurs qui refusent d'introduire des portes dérobées dans leurs produits.

Ce que Leto pense de cette décision

Ce vote illustre une tension que l'on retrouve dans presque tous les grands dossiers numériques européens : la tentation de faire adopter par des voies détournées un texte que l'institution compétente a déjà rejeté sur le fond. Que le résultat final préserve malgré tout le chiffrement de bout en bout est une bonne nouvelle pour la protection des données — mais la méthode employée, un contournement du vote de mars via une procédure d'urgence en pleine trêve estivale, devrait alerter toute organisation qui suit ces dossiers de près. Le vrai test aura lieu au trilogue de septembre sur le règlement permanent : c'est là que se jouera, pour de bon, l'équilibre entre lutte contre les contenus illicites et droit à une communication privée.

Sources : EDRi, « The Chat Control 1.0 saga », Politico, Journal officiel de l'UE.