CSAM et messageries chiffrées : Bruxelles prolonge sa dérogation, épargne le chiffrement de bout en bout

L'Union européenne a temporairement réautorisé les plateformes de messagerie à détecter volontairement les contenus pédopornographiques échangés par leurs utilisateurs, en excluant explicitement de cette obligation les services reposant sur un chiffrement de bout en bout. Une décision qui tente de concilier deux impératifs difficilement conciliables : la lutte contre l'exploitation sexuelle des mineurs en ligne et le respect du secret des correspondances numériques.

Ce qui s'est passé

La Commission européenne a prolongé le régime dérogatoire qui permet aux fournisseurs de services de communication interpersonnelle — messageries, e-mail, chat en ligne — de scanner volontairement les contenus échangés par leurs utilisateurs afin de détecter des contenus pédopornographiques (CSAM, pour child sexual abuse material). Ce mécanisme, dérogatoire au principe de confidentialité des communications électroniques, existe depuis plusieurs années sous forme de reconductions successives, faute d'accord politique sur un texte pérenne (le règlement dit « Chat Control »).

Point central de cette nouvelle mouture : les services utilisant un chiffrement de bout en bout — à l'image de WhatsApp, Signal ou iMessage — bénéficient d'une exemption explicite. Autrement dit, la détection reste possible pour les plateformes qui peuvent techniquement accéder au contenu des messages, mais elle ne s'étend pas aux communications que l'éditeur lui-même ne peut pas déchiffrer.

Pourquoi c'est important

Cette décision s'inscrit dans une tension réglementaire ancienne entre protection de l'enfance et droit au respect de la vie privée, deux droits fondamentaux que le RGPD et la Charte des droits fondamentaux de l'UE protègent également. La base légale du traitement mobilisée pour justifier ce type de scan automatisé de contenus reste d'ailleurs un point de friction juridique récurrent : consentement, intérêt légitime ou mission d'intérêt public ne s'appliquent pas de la même manière selon que l'utilisateur est un adulte ou un mineur.

Le sujet recoupe directement l'article 8 du RGPD sur le consentement des mineurs, qui encadre déjà les conditions dans lesquelles les services de la société de l'information peuvent traiter les données d'enfants. Les autorités de protection des données ont d'ailleurs multiplié les prises de position sur la protection des mineurs en ligne ces derniers mois, comme l'illustrent les principes communs adoptés par les autorités du G7 sur la vérification d'âge, qui insistent sur des dispositifs respectueux de la vie privée plutôt que sur une surveillance généralisée.

Cette dérogation illustre aussi la difficulté de l'UE à trancher durablement entre deux logiques : une approche proactive de détection des contenus illicites, portée par certains États membres et associations de protection de l'enfance, et une approche protectrice du secret des communications, défendue par les acteurs du chiffrement et une partie du Parlement européen. Le compromis retenu — exemption du chiffrement de bout en bout — traduit un choix politique : préserver la sécurité technique des communications les plus protégées plutôt que d'imposer une porte dérobée généralisée.

Ce que ça change pour les organisations

Pour les éditeurs de services de messagerie et de communication interpersonnelle, cette prolongation a des conséquences opérationnelles directes. Les plateformes qui ne proposent pas de chiffrement de bout en bout par défaut restent dans le champ d'application du dispositif et peuvent continuer — sur base volontaire — à mettre en œuvre des outils de détection automatisée de CSAM. Cela suppose une documentation rigoureuse du traitement : analyse d'impact, information des utilisateurs, et articulation avec les obligations de modération issues du DSA, dans la lignée du mouvement de durcissement de la supervision des plateformes engagé par les régulateurs nationaux.

Pour les DPO et RSSI de ces organisations, la vigilance porte surtout sur trois points : vérifier que le traitement mis en œuvre reste strictement proportionné à la finalité de détection du CSAM, s'assurer que les faux positifs (contenus légitimes signalés à tort) font l'objet d'une procédure de recours effective, et anticiper que ce régime dérogatoire reste temporaire — une clarification législative durable est toujours en discussion à Bruxelles et pourrait redéfinir les règles du jeu dans les prochains mois.

Pour les éditeurs de messageries chiffrées de bout en bout, l'exemption confirmée offre en revanche une sécurité juridique bienvenue : elle évite, pour l'instant, tout risque d'obligation de contournement technique de leur propre chiffrement.

Ce que Leto pense de cette décision

Ce type de prolongation par petites touches, sans texte définitif, n'est pas satisfaisant pour la sécurité juridique des acteurs du numérique. Reconduire une dérogation d'année en année, plutôt que de trancher politiquement la question du chiffrement, entretient une incertitude que ni les associations de protection de l'enfance ni les éditeurs de services de communication n'ont intérêt à voir perdurer. L'exemption du chiffrement de bout en bout est en revanche un signal positif : elle confirme que Bruxelles n'est pas prête, à ce stade, à sacrifier la sécurité des communications les plus sensibles au nom d'un objectif par ailleurs légitime. Les organisations concernées ont tout intérêt à suivre de près les prochaines étapes de la négociation du règlement définitif, qui pourrait revoir cet équilibre.

Sources : Le Monde — Pixels