Le 14 octobre, les Etats membres de l’Union européenne (UE) devaient se prononcer lors du Conseil de l’UE sur le projet de règlement dit « Chat Control », de son vrai nom Child Sexual Abuse Regulation (CSAR). Conçu pour lutter contre la pédocriminalité en ligne, il prévoyait de forcer les plateformes comme Google Drive, WhatsApp, Signal, Telegram ou Outlook à scanner les messages privés et documents des citoyens européens en amont de leur chiffrement. Faute de majorité, le vote a été repoussé.
Ce report est une bonne nouvelle : et nous devons nous réjouir, en tant que défenseurs de la sécurité numérique, d’avoir évité le pire. Mais ce répit n’est que temporaire car la présidence danoise du Conseil de l’UE souhaite en faire une priorité de son mandat. Le texte devrait probablement revenir dans les négociations en décembre. Si le projet a été freiné, c’est en grande partie grâce à l’indécision de pays comme l’Allemagne, où la surveillance d’Etat reste un sujet sensible et clivant.
Porté depuis 2022, Chat Control, avec des intentions louables, n’en est pas moins dangereux. La délégation de la surveillance des citoyens à des entreprises privées engendre de multiples risques pour la vie privée, le secret des sources journalistiques, ou encore celui des affaires. En outre, le risque de faux positifs serait élevé puisque les scans seront réalisés par des IA : envoyer des photos de ses propres enfants dans le cadre familial pourrait occasionner des signalements pour pédocriminalité ; et c’est compter sans le risque de piratage de données par des cybercriminels ou des services étrangers, un retour de flamme possible pour l’UE elle-même.
Ce projet n’est pas un cas isolé. Quelques mois plus tôt, en France, une proposition d’amendement à la loi sur le narcotrafic défendu par Bruno Retailleau, alors ministre de l’intérieur, visait à forcer les messageries chiffrées à créer un flux parallèle vers les autorités. Pour les experts en cybersécurité comme pour les collectifs citoyens, il s’agit d’une porte dérobée ou backdoor, c’est-à-dire une vulnérabilité systémique exploitable par n’importe qui.
