Le projet de loi pour espionner vos conversations privées WhatsApp revient sur la table, l’opposition se mobilise

« Tous les six mois, à chaque nouvelle présidence du Conseil, l’histoire se répète » : le projet de règlement européen, qui veut imposer la détection de contenus pédopornographiques sur toutes les messageries, y compris chiffrées, est discuté ce vendredi 12 septembre entre les 27 pays de l’Union européenne (UE). Enterré un temps après de vives polémiques l’année dernière, le texte destiné à mieux lutter contre les pédocriminels et à davantage protéger les enfants en ligne est revenu sur le devant de la scène, à l’initiative du Danemark.

Le pays, qui a pris en juillet dernier la présidence tournante du Conseil (la représentation des États-membres de l’UE), a proposé une nouvelle version de la proposition de règlement CSAM (pour « Child Sexual Abuse Material »), qui fera l’objet d’un vote en octobre prochain.

Une nouvelle version limitée aux images et URL qui inquiète toujours autant les défenseurs de la vie privée

Et comme nous vous l’expliquons depuis deux ans, le projet de loi européenne suscite polémique et levée de boucliers en raison de ses implications pour la vie privée.

Il inquiète toujours grandement les défenseurs d’un droit aux conversations privées, même si le projet de règlement européen défendu par le Danemark a désormais une portée plus réduite que la version précédente. Le règlement CSAM pour « Child Sexual Abuse Material » imposerait toujours aux plateformes, chiffrées ou pas, de détecter des contenus pédopornographiques dans nos échanges à des fins de lutte contre la pédocriminalité. Mais l’obligation de détection ne s’appliquerait qu’aux images et aux URL pédopornographiques , le scan de nos échanges textes et audio ayant été laissé de côté.

Malgré cette portée un peu plus limitée, le texte a mis vent debout un bon nombre de personnes en Europe, et aussi en France. À côté des membres du parti pirate, dont l’ex-député allemand Patrick Breyer – l’opposant notoire au projet de règlement tient un compte-à-rebours et un état des lieux du texte – une pétition et un site contre « chatcontrol » ont aussi été lancés par l’ancien policier de la DGSI Christophe Boutry. Les politiques français ont été invités sur les réseaux sociaux à se positionner pour ou contre ce texte, même si Paris semble y être favorable.

Des membres des forces de l’ordre veulent pouvoir « écouter » les communications chiffrées, de plus en plus utilisées

L’avis des scientifiques et chercheurs européens du secteur n’a, lui, pas bougé. Comme ils l’avaient déjà fait en 2023, plus de 660 chercheurs et spécialistes travaillant dans « la cryptographie, les protocoles, la sécurité des systèmes », dont une cinquantaine de Français, ont adressé une lettre ouverte aux membres du Conseil et du Parlement européen.

Leur message : le projet de règlement « met en danger la sécurité numérique de notre société en Europe et au-delà ». Et « la nouvelle proposition, à l’instar des précédentes, créera des capacités sans précédent en matière de surveillance, de contrôle et de censure, et comporte un risque inhérent de dérive fonctionnelle et d’abus par des régimes moins démocratiques », martèlent-ils.

Dans ce dossier, le point de départ est toujours le même.

« Les forces de l’ordre voient qu’il y a de moins en moins de communications par téléphone classique sur lesquelles ils ont des systèmes d’écoute, et de plus en plus d’échanges par les applications chiffrées », explique Aurélien Francillon, signataire de la lettre et professeur au sein du département Sécurité numérique à Eurecom (École d’ingénieurs et centre de recherche à Sophia Antipolis).

« Ils ont donc l’impression de rater beaucoup d’informations, de ne pas pouvoir faire de l’écoute. Et une partie d’entre eux poussent pour des solutions un peu de facilité » qui sont de dire : « “si on pouvait écouter juste les communications chiffrées, on pourrait être plus efficace”, mais en fait, ça ne marche pas », ajoute le spécialiste.

Des technologies de détection inefficaces

Le problème est que « les technologies de détection proposées sont assez naïves et inefficaces ». Concrètement, un module d’IA serait installé sur les smartphones. S’il y détecte des images pédopornographiques, le téléphone enverrait alors une alerte à la police ou à un intermédiaire.

Dans le détail, cette technologie repose sur « ce qu’on appelle des “hash perceptuels“, des fonctions qui vont essayer de reconnaître une image précédente, même si elle a été un peu modifiée », développe Aurélien Francillon. Or « aujourd’hui, il s’agit de quelque chose qu’on ne sait pas bien faire. Des sociétés, qui ont des bases de données existantes de contenus pédopornographiques, fournissent ces hash perceptuels, des sortes de signatures. Et le but des mécanismes installés dans les téléphones serait de reconnaître un contenu connu ».

Une fois le principe compris, plusieurs problèmes surviennent. D’abord, « on peut très facilement modifier une image pour qu’elle corresponde à une image dans la base de données, alors qu’elle n’a rien à voir ». Ensuite, « cette technologie ne permet pas de détecter des nouvelles photos, des nouveaux contenus » (qui ne sont pas dans une base de données existante). Enfin, « de petites modifications des images connues permettent de passer outre la détection », liste Aurélien Francillon. Sans compter les « cas aléatoires », où une « photo serait détectée comme compromettante, comme illégale, alors que ça n’est pas le cas. Donc il y a vraiment un gros problème de faux positifs », résume le scientifique.

Or, même si le taux de faux positif est très faible (0,1 %), on parle de 450 millions d’habitants (la population de l’Europe) qui échangeraient des milliards d’images par jour, ce qui donnerait des centaines de millions de fausses détections.

« De forcer, en fait, toute la population entière à avoir des mécanismes de détection, qui sont en fait inefficaces, ce n’est pas une bonne solution, parce qu’en fait, tout le monde va être surveillé et va subir des mauvaises détections, alors que les criminels, eux, pourront les contourner » en utilisant des téléphones modifiés, sans systèmes de détection, ajoute le professeur.

Sans compter que les moyens de détection pourront être utilisés et détournés par les criminels. Cette position n’est pas sans rappeler celle développée deux ans plus tôt par le contrôleur européen de la protection des données (CEPD), une autorité indépendante chargée de contrôler la façon dont les institutions européennes protègent les données. En octobre 2023, ce dernier avait réuni de nombreux spécialistes du chiffrement et de la sécurité informatique. Il avait conclu qu’il existait un « consensus très large et presque sans précédent » parmi les experts. Selon ces derniers, obliger les plateformes à détecter des contenus pédopornographiques, y compris sur les messageries chiffrées, serait aussi « inefficace que nuisible ».

En 2022, les CNILS européennes – les autorités en charge de protéger la vie privée sur le Vieux continent – avaient déjà, dans un avis commun, expliqué que le projet de règlement « soulevait de sérieuses préoccupations en matière de protection des données et de la vie privée ».

Trois ans plus tard, le dossier est loin d’être clos. Dans leur lettre de septembre 2025, les scientifiques tirent d’ailleurs à boulet rouge sur « les décideurs politiques » qui n’ont « pas réussi à instaurer un dialogue ouvert avec les experts sur ce sujet au cours des deux dernières années. Malgré les sérieux doutes qui pèsent sur l’efficacité des technologies de détection, il n’y a eu aucune discussion publique, analyse ou évaluation de ces technologies qui pourrait justifier l’approche adoptée dans la proposition de règlement », regrettent-ils.

Pour autant, cette prise de position a peut-être convaincu les capitales européennes indécises. Selon l’ex-député allemand Patrick Breyer (parti pirate), il y aurait désormais « une minorité de blocage pour stopper ce plan de surveillance de masse illégal », l’Allemagne ayant rejoint le clan des réfractaires (aux côtés du Luxembourg et de la Belgique, mais pas de la France). Mais cette minorité serait atteinte « pour l’instant », écrit-il prudemment.

🔴 Pour ne manquer aucune actualité de 01net, suivez-nous sur Google Actualités et WhatsApp.