Le Chat Control n’est pas encore entré en vigueur. Contrairement à ce que plusieurs titres alarmistes peuvent laisser entendre, Meta, Google, Microsoft et les autres fournisseurs de messagerie ne disposent pas, depuis le vote du 9 juillet 2026, d’une nouvelle autorisation générale pour analyser les messages privés. Le Parlement européen a maintenu la procédure législative, tout en modifiant le texte proposé par le Conseil de l’Union européenne. La décision définitive dépend désormais de la réponse du Conseil.
L’affaire reste néanmoins préoccupante. Elle montre à quel point la confidentialité des correspondances peut être fragilisée par un mécanisme juridique présenté comme temporaire, volontaire et limité, mais susceptible de banaliser l’analyse automatisée des communications privées.
Une majorité opposée au texte, mais insuffisante juridiquement
Le 9 juillet 2026, 314 députés européens ont voté en faveur du rejet de la position du Conseil, contre 276, avec 17 abstentions. Une majorité des suffrages exprimés souhaitait donc bien écarter le texte.
Cette majorité politique ne constituait toutefois pas la majorité juridique requise. Le Parlement intervenait en deuxième lecture de la procédure législative ordinaire. À ce stade, le rejet de la position du Conseil nécessite la majorité absolue des membres composant le Parlement, et non la majorité des seuls votants. Le seuil applicable était de 360 voix. Il a donc manqué 46 voix pour mettre fin au texte.
Ce mécanisme n’a pas été inventé spécialement pour le Chat Control. Il résulte de l’article 294 du traité sur le fonctionnement de l’Union européenne. En deuxième lecture, le silence du Parlement ou l’absence de majorité absolue peut permettre à une position du Conseil de poursuivre son parcours, alors même qu’une majorité des députés présents s’y oppose.
Parler de « farce démocratique » relève d’une appréciation politique. Il existe cependant un véritable problème de lisibilité pour le citoyen. Dans une démocratie représentative, il est difficilement compréhensible qu’un texte soutenu par moins de députés que ceux qui le rejettent puisse rester en discussion.
Le Parlement n’a pas validé le texte du Conseil sans modification
Le rejet n’ayant pas obtenu les 360 voix nécessaires, le Parlement a examiné et adopté plusieurs amendements. Le principal vise à exclure du dispositif les communications auxquelles un chiffrement de bout en bout est appliqué, a été appliqué ou sera appliqué.
La position amendée du Parlement est désormais transmise au Conseil de l’Union européenne. Celui-ci dispose de trois mois pour accepter les modifications. S’il les accepte toutes, le règlement pourra être adopté et publié. S’il en refuse certaines, une procédure de conciliation devra être ouverte entre les deux institutions.
Au 10 juillet 2026, il est donc inexact d’affirmer que les entreprises peuvent déjà recommencer à analyser les messages privés sur le fondement de ce texte. L’ancien régime a expiré le 3 avril 2026. Le nouveau règlement n’est pas encore définitivement adopté.
La situation peut évoluer rapidement, mais elle n’est pas juridiquement achevée.
Ce que le dispositif permettrait réellement
Le texte concerne les fournisseurs de services de communications interpersonnelles accessibles au public, notamment certaines messageries instantanées, services de courrier électronique et plateformes de communication.
Il leur permettrait, sur une base volontaire, d’utiliser des technologies destinées à détecter :
- des images ou vidéos d’abus sexuels sur mineurs déjà identifiées ;
- de nouveaux contenus susceptibles de représenter des abus sexuels sur mineurs ;
- certaines formes de sollicitation sexuelle ou de manipulation d’enfants en ligne.
L’expression « lire les messages » est volontairement frappante, mais techniquement imprécise. Le dispositif repose principalement sur des traitements automatisés. Il peut s’agir de comparer l’empreinte numérique d’une image avec une base de contenus illicites connus, d’utiliser des classificateurs pour détecter des images nouvelles ou d’analyser le contenu d’une conversation afin d’identifier des comportements suspects.
Cette distinction est essentielle. La comparaison d’empreintes de contenus déjà qualifiés d’illicites n’emporte pas les mêmes risques qu’un algorithme chargé d’interpréter une photographie inconnue ou le sens d’une conversation entre deux personnes.
Dans la position du Conseil, les contenus nouveaux et les soupçons de sollicitation ne pourraient pas être transmis aux autorités sans confirmation humaine préalable. Les fournisseurs devraient également prévoir un mécanisme de réclamation, informer les utilisateurs, publier des statistiques sur les erreurs et conserver les données pendant une durée strictement nécessaire, plafonnée à douze mois dans certains cas.
Cela ne signifie pas qu’un salarié de la plateforme lirait quotidiennement toutes les conversations. Cela signifie en revanche que le fournisseur pourrait techniquement traiter leur contenu, repérer certains échanges et permettre une intervention humaine lorsqu’un système déclenche une alerte.
Pour la confidentialité, la différence est importante, mais elle n’est pas rassurante.
Une dérogation à ePrivacy, pas une suspension du RGPD
Le futur règlement constituerait une dérogation aux articles 5 et 6 de la directive ePrivacy, qui protègent la confidentialité des communications et des données de trafic.
Il ne suspendrait pas le RGPD. Les fournisseurs resteraient responsables de traitement et devraient justifier la licéité de leurs opérations, respecter les principes de finalité, de minimisation, de sécurité, de transparence et de limitation de la conservation.
C’est précisément l’une des fragilités du dispositif. La dérogation à ePrivacy ne constitue pas nécessairement, à elle seule, une base juridique suffisante au titre de l’article 6 du RGPD. Le Contrôleur européen de la protection des données a souligné cette incertitude en février 2026. Il a demandé que le texte empêche les analyses générales et indifférenciées et qu’il précise clairement la base légale utilisable par les fournisseurs.
Une entreprise privée peut difficilement invoquer sans discussion son intérêt légitime pour analyser massivement le contenu des communications de millions de personnes, lorsqu’une telle activité ne correspond pas directement à son objet commercial. Le consentement paraît également fragile, car l’utilisateur qui souhaite utiliser un service dominant ne bénéficie pas toujours d’un véritable choix.
Le règlement ne peut donc pas être compris comme un blanc-seing accordé aux grandes plateformes. Chaque traitement resterait soumis au RGPD et au contrôle des autorités de protection des données.
En France, le secret des correspondances reste un principe majeur
La France ne considère pas la confidentialité des messages comme une simple préférence contractuelle proposée par une plateforme. Le secret des correspondances est une composante du droit au respect de la vie privée.
L’article 226-15 du Code pénal sanctionne notamment le fait, commis de mauvaise foi, d’intercepter, de détourner, d’utiliser ou de divulguer des correspondances transmises par voie électronique. Le Conseil constitutionnel rattache également le respect de la vie privée et le secret des correspondances à la liberté protégée par l’article 2 de la Déclaration des droits de l’homme et du citoyen.
Si le règlement européen est définitivement adopté, il sera directement applicable en France. Les traitements réalisés dans les limites du règlement bénéficieront alors d’un cadre légal européen particulier. Le contrôle ne relèvera pas seulement du droit pénal français, mais également du RGPD, de la Charte des droits fondamentaux de l’Union européenne, de la CNIL, des juridictions nationales et, en dernier ressort, de la Cour de justice de l’Union européenne.
Les articles 7 et 8 de la Charte protègent respectivement la vie privée, la confidentialité des communications et les données personnelles. Toute ingérence doit être nécessaire, proportionnée et accompagnée de garanties effectives.
Le débat français ne doit donc pas se réduire à la question suivante : « Êtes-vous pour ou contre la protection des enfants ? » La protection des mineurs est une obligation incontestable. La vraie question consiste à déterminer si l’analyse potentielle des communications de millions de personnes est nécessaire et proportionnée pour atteindre cet objectif.
Le chiffrement de bout en bout devient la ligne de partage
Le Parlement souhaite exclure expressément les communications protégées par un chiffrement de bout en bout. Cette modification est plus protectrice que la position initiale du Conseil.
Le texte du Conseil reconnaissait déjà que le chiffrement de bout en bout est indispensable à la sécurité et à la confidentialité des communications. Il précisait que le règlement ne devait pas être interprété comme permettant son interdiction ou son affaiblissement. Cette formulation ne garantissait toutefois pas clairement que les communications chiffrées seraient exclues de toute analyse.
L’amendement adopté par le Parlement entend transformer cette reconnaissance générale en exclusion juridique explicite.
La distinction est déterminante. Dans un véritable chiffrement de bout en bout, seules les personnes engagées dans la conversation disposent normalement des clés permettant de lire le contenu. Le fournisseur du service n’a pas accès au message en clair. La CNIL considère cette architecture comme la solution la plus protectrice de la vie privée, même si elle n’est pas applicable à toutes les situations.
Toute technique imposant une analyse du message avant son chiffrement, directement sur le téléphone ou l’ordinateur de l’utilisateur, poserait une autre difficulté. Le message pourrait être contrôlé alors qu’il est encore en clair. Le chiffrement resterait techniquement présent pendant le transport, mais sa promesse de confidentialité serait affaiblie avant même son activation.
L’exclusion adoptée par le Parlement devra donc être rédigée de manière suffisamment large pour couvrir non seulement l’interception pendant le transport, mais aussi l’analyse effectuée sur le terminal avant l’envoi.
Les courriels et les services non chiffrés restent les plus exposés
La protection envisagée pour le chiffrement de bout en bout ne couvrirait pas nécessairement toutes les communications.
De nombreux services de courrier électronique utilisent un chiffrement pendant le transport et un chiffrement des données stockées, mais le fournisseur conserve la possibilité d’accéder au contenu lorsque celui-ci est traité sur ses serveurs. Il ne s’agit pas d’un véritable chiffrement de bout en bout.
Les courriels, les sauvegardes non chiffrées de certaines messageries, les pièces jointes stockées dans le cloud et les conversations hébergées sur des services professionnels pourraient donc demeurer techniquement accessibles au fournisseur.
Pour les entreprises françaises, l’enjeu est particulièrement sensible. Les messageries peuvent contenir des données de santé, des informations relatives aux salariés, des signalements internes, des secrets d’affaires, des échanges avec un avocat, des informations syndicales ou des documents confidentiels concernant des clients.
Le texte du Conseil précise qu’il ne doit pas porter atteinte aux règles nationales relatives au secret professionnel, notamment pour les échanges entre médecins et patients, journalistes et sources, ou avocats et clients. Mais cette garantie demeure théorique si l’algorithme doit examiner la communication avant de savoir qu’elle est protégée par un secret professionnel.
C’est l’une des contradictions les plus difficiles à résoudre.
Ce que les responsables de traitement français doivent surveiller
Le règlement ne donnerait pas aux employeurs le droit d’analyser librement les messages de leurs salariés. Il viserait principalement les fournisseurs de services de communication concernés.
Les organisations françaises devront néanmoins revoir leurs choix de messagerie et leurs contrats avec les prestataires. Le responsable de traitement et son DPO devront notamment déterminer :
- si le fournisseur peut accéder aux messages en clair ;
- si le chiffrement est réellement de bout en bout ;
- qui contrôle les clés de chiffrement ;
- si les sauvegardes bénéficient du même niveau de protection ;
- quelles technologies de détection peuvent être utilisées ;
- dans quels pays les alertes et contenus suspects peuvent être transférés ;
- quelle intervention humaine est prévue ;
- pendant combien de temps les données sont conservées ;
- comment l’utilisateur peut contester un signalement erroné.
Une attention particulière doit être portée aux messageries utilisées pour les données médicales, les alertes professionnelles, les relations avec les avocats, les échanges des représentants du personnel et les informations relevant du secret des affaires.
Le simple fait qu’un service indique que les données sont « chiffrées » ne suffit pas. Il faut vérifier à quel moment elles sont chiffrées, à quel moment elles sont déchiffrées et si le fournisseur peut y accéder pendant leur traitement.
La protection des enfants ne se résume pas à l’analyse des conversations
Refuser une surveillance généralisée ne signifie pas renoncer à lutter contre les abus sexuels sur mineurs. Le Conseil souligne que les dispositifs de détection peuvent contribuer à identifier des victimes, poursuivre les auteurs et limiter la diffusion répétée de contenus représentant des violences sexuelles. Cet objectif doit être pris au sérieux.
Mais l’efficacité ne peut pas être seulement supposée. Elle doit être mesurée.
Les institutions devraient distinguer les technologies relativement ciblées, comme la comparaison de contenus déjà identifiés, des dispositifs beaucoup plus intrusifs visant à détecter des contenus inconnus ou à interpréter automatiquement une conversation.
Une politique équilibrée devrait privilégier les enquêtes ciblées, le contrôle judiciaire des mesures intrusives, l’analyse des comptes présentant des indices objectifs, le retrait rapide des contenus confirmés, les moyens humains spécialisés, l’accompagnement des victimes et l’évaluation indépendante des taux d’erreur.
En France, les outils de signalement et d’assistance doivent également être renforcés. PHAROS permet de signaler des contenus et comportements illicites publics. Le 3018 accompagne les mineurs confrontés au harcèlement, à la diffusion d’images intimes et aux violences numériques. Le règlement sur les services numériques impose par ailleurs aux plateformes accessibles aux mineurs un niveau élevé de protection, de sécurité et de confidentialité.
Ces dispositifs ne remplacent pas les enquêtes pénales, mais ils rappellent que la protection de l’enfance repose aussi sur la prévention, l’éducation, l’assistance humaine et la capacité à intervenir rapidement, pas uniquement sur des algorithmes analysant les communications.
Un précédent qui dépasse la seule protection des mineurs
Le principal risque du Chat Control tient peut-être à l’effet de précédent.
Une fois admis qu’un fournisseur peut analyser les communications privées pour rechercher une catégorie d’infractions particulièrement grave, d’autres finalités pourront être invoquées : terrorisme, trafic de stupéfiants, escroquerie, discours de haine, atteinte à la propriété intellectuelle ou menaces contre la sécurité nationale.
Chaque nouvelle extension pourra sembler légitime prise isolément. Leur accumulation transformerait pourtant progressivement la confidentialité des correspondances en exception.
Une infrastructure technique créée pour une finalité déterminée peut également être détournée, compromise ou étendue. Les outils capables d’analyser les messages privés constituent eux-mêmes une cible pour les attaquants, les services de renseignement étrangers et les acteurs souhaitant surveiller certaines populations.
La protection de l’enfance et la sécurité des communications ne sont pas des objectifs opposés. Les enfants ont eux aussi besoin de conversations confidentielles avec leurs parents, un médecin, un avocat, un éducateur ou une association. Affaiblir la confidentialité peut également fragiliser ceux que le texte cherche à protéger.
Le véritable vote n’est pas encore terminé
Le vote du 9 juillet 2026 ne constitue ni une victoire complète des défenseurs de la vie privée, ni une autorisation définitive accordée aux grandes plateformes.
Une majorité d’eurodéputés a tenté de rejeter la position du Conseil, sans atteindre la majorité absolue imposée en deuxième lecture. Le Parlement a néanmoins introduit une protection importante pour les communications chiffrées de bout en bout. Le Conseil doit maintenant décider s’il accepte cette limitation.
La suite de la procédure sera déterminante. Si le Conseil valide les amendements, le futur règlement sera plus limité que sa position initiale. S’il les refuse, la conciliation rouvrira le débat. Dans les deux cas, le régime permanent de lutte contre les abus sexuels sur mineurs en ligne reste parallèlement en négociation.
L’Union européenne doit éviter deux échecs. Le premier serait de laisser les enfants sans protection efficace face aux violences sexuelles en ligne. Le second serait d’instaurer, au nom de leur protection, une infrastructure durable de contrôle des correspondances de l’ensemble de la population.
La difficulté ne consiste pas à choisir entre les enfants et la vie privée. Elle consiste à protéger les deux.
Sources
- Parlement européen, communiqué du 9 juillet 2026 sur la dérogation ePrivacy et les résultats des votes.
- Résolution législative du Parlement européen du 9 juillet 2026.
- Conseil de l’Union européenne, position du 2 juillet 2026 sur le rétablissement du régime temporaire.
- Parlement européen, règles applicables à la deuxième lecture de la procédure législative ordinaire.
- Contrôleur européen de la protection des données, avis 7/2026 sur le risque d’analyse générale et indifférenciée.
- CNIL, fiche relative aux pratiques de chiffrement et au chiffrement de bout en bout.
- Légifrance, article 226-15 du Code pénal relatif au secret des correspondances électroniques.
- Ministère de l’Intérieur, dispositif PHAROS.
- Commission européenne, lignes directrices relatives à la protection des mineurs dans le cadre du règlement sur les services numériques.
