Le 9 juillet dernier, le Parlement européen a rouvert un débat que beaucoup croyaient clos. Par un vote tenu à Strasbourg, les législateurs ont maintenu en vigueur un dispositif temporaire autorisant les grandes plateformes technologiques à analyser volontairement les messages privés à la recherche d’images d’abus sexuels sur enfants — des contenus désignés sous l’acronyme anglais CSAM (child sexual abuse material). La particularité procédurale de ce vote mérite d’être soulignée : davantage de députés s’y sont opposés qu’ils ne l’ont soutenu, mais la majorité absolue requise pour le rejeter n’a pas été atteinte. C’est dans cet interstice juridique que le dispositif a survécu, prolongeant son existence jusqu’en 2028.
Ce mécanisme, que ses détracteurs ont baptisé « Chat Control » — dans sa version actuelle qualifiée de Chat Control 1.0 par des organisations telles qu’European Digital Rights (EDRi) —, constitue une dérogation temporaire au règlement ePrivacy européen, dérogation que le Parlement avait pourtant rejetée en mars avant de revenir sur cette décision. Il ne s’applique pas aux communications chiffrées de bout en bout, comme celles transitant par WhatsApp ou Signal, ce qui représente une limite importante à sa portée effective. Mais cette nuance technique n’a pas suffi à dissiper les inquiétudes des défenseurs des droits numériques, qui voient dans ce texte une forme de surveillance déléguée à des acteurs privés, sans garanties procédurales suffisantes.
Simeon de Brouwer, représentant d’EDRi, résume la critique avec une précision qui mérite d’être rapportée : pour lui, cette politique revient à « sous-traiter à des entreprises privées le travail des forces de l’ordre, sans aucune garantie ». Il décrit un mécanisme dans lequel des entreprises — majoritairement américaines — sont habilitées à analyser courriels, photos et vidéos, avant de transmettre les signalements à un centre américain qui les relaie ensuite aux autorités européennes. Cette chaîne de traitement soulève des questions légitimes sur la souveraineté des données et sur la conformité du dispositif avec les standards fondamentaux de l’État de droit européen. De Brouwer reconnaît toutefois que l’exclusion des messages chiffrés du champ d’application de Chat Control 1.0 constitue un garde-fou essentiel, notamment pour les journalistes et les défenseurs des droits humains dont les communications doivent demeurer confidentielles.
En face, le Parti populaire européen (PPE), premier groupe politique du Parlement européen, rejette catégoriquement la terminologie « Chat Control » et l’analyse qui l’accompagne. Jeroen Lenaers, eurodéputé néerlandais du PPE, défend la mesure comme une réponse pragmatique à un vide juridique qui, sans ce dispositif transitoire, aurait privé les autorités de toute base légale pour détecter les contenus d’abus sexuels sur enfants en ligne. « Ni les États membres ni le Parlement européen ne sont intéressés par un système de surveillance généralisée », affirme-t-il, renvoyant dos à dos l’extrême droite, l’extrême gauche et les Verts, qu’il accuse de mener une campagne fondée sur des slogans plutôt que sur l’analyse du texte. Il invite par ailleurs les opposants à formuler des contre-propositions concrètes, notamment en matière de compétences accordées aux forces de l’ordre.
Ce débat institutionnel se déroule dans un contexte où les chiffres restent vertigineux. Selon les estimations citées par Scharliina Eräpuro, chanteuse suédo-finlandaise et survivante d’abus sexuels dans l’enfance devenue militante, dix enfants seraient victimes d’abus sexuels en ligne chaque seconde. Elle déplore que la protection de l’enfance ne figure pas davantage au cœur des priorités législatives européennes, et souligne que l’Europe héberge environ 60 % des contenus connus d’abus sexuels sur enfants dans le monde — un chiffre qui confère à l’Union une responsabilité particulière dans la définition d’un cadre réglementaire crédible. Elle appelle à des solutions de long terme intégrant également les contenus générés par intelligence artificielle, dont la prolifération constitue un défi croissant pour les autorités de contrôle.
Au-delà du dispositif temporaire, c’est la version permanente du règlement — désignée sous le nom de Chat Control 2.0 — qui concentre désormais les enjeux. Proposée pour la première fois par la Commission européenne en 2022, cette législation définitive a longtemps été bloquée par des dissensions politiques et un lobbying intense. Selon des informations concordantes, les négociateurs de l’UE seraient aujourd’hui proches d’un accord, les discussions devant reprendre à l’issue de la pause estivale. La question centrale demeure : comment articuler, dans un texte contraignant et durable, la protection effective des mineurs en ligne avec le respect des droits fondamentaux à la vie privée et à la confidentialité des communications ? L’enjeu dépasse la seule technique juridique — il touche à la conception même que l’Union européenne se fait de ses valeurs et de sa gouvernance numérique.
Pour la Suisse, observatrice attentive de l’évolution du droit européen en matière de données et de régulation numérique, ce débat n’est pas sans résonance. La proximité du Finanzplatz helvétique avec les flux de données transfrontaliers, la présence de nombreuses entreprises technologiques sur le territoire suisse et les engagements du pays en matière de protection des données — notamment dans le cadre de la loi fédérale révisée sur la protection des données (nLPD) — placent Berne dans une position d’attention soutenue vis-à-vis de toute évolution réglementaire européenne susceptible d’affecter les standards applicables aux opérateurs actifs sur les deux marchés. Le Bundesrat suivra vraisemblablement de près l’issue des négociations sur Chat Control 2.0, dont les implications pratiques pourraient, à terme, dépasser les frontières de l’Union.