Le règlement européen dit Chat Control autorise le scan des messageries privées de 450 millions de citoyens au nom de la protection de l’enfance. Rejeté trois fois par le vote, condamné par tous les juristes de l’Union, il a été rétabli le 9 juillet jusqu’en 2028 par une manœuvre de procédure qui inverse la charge du scrutin, alors qu’une majorité de députés votait pour l’enterrer. Derrière l’enfance à protéger s’installe une infrastructure de surveillance permanente.

Le 11 mai 2022, la commissaire européenne aux Affaires intérieures, Ylva Johansson, présente un règlement au titre inattaquable : protéger les enfants contre les abus sexuels en ligne. Ce texte, le CSAR, veut contraindre les messageries à scruter les conversations privées pour y traquer les images pédocriminelles, jusque sur les services chiffrés de bout en bout. L’intention louable masque une mécanique redoutable : poser sur les échanges de 450 millions d’Européens une infrastructure de surveillance permanente. Depuis, sous ses deux formes, provisoire et définitive, ce projet est mort trois fois dans les urnes. Trois fois, la procédure l’a ressuscité. Le 9 juillet 2026, une majorité de députés a encore voté pour l’enterrer. Il est passé quand même.

Bruxelles veut lire les échanges de 450 millions d’Européens

Le dispositif se déploie en cascade. Chaque fournisseur évalue le risque que sa plateforme héberge du matériel pédocriminel (CSAM). Une autorité nationale peut alors lui imposer un ordre de détection contraignant, qui exige l’installation d’un logiciel d’analyse, y compris sur les messageries chiffrées de bout en bout, réputées inviolables. La méthode s’appelle le client-side scanning : le message est inspecté sur l’appareil de l’utilisateur, avant son chiffrement. Les alertes remontent vers un nouveau Centre européen, chargé de les filtrer avant de saisir la police. Le secret de la correspondance, conquis il y a deux siècles, s’efface au profit d’un scanner niché dans chaque téléphone.

L’état doit se montrer fort là où sa mission l’exige, et s’effacer partout ailleurs. Enquêter sur un suspect identifié, sous le contrôle d’un juge, ou doter les brigades des mineurs de moyens réels : voilà le cœur légitime du régalien. Lire par défaut la correspondance de centaines de millions d’innocents en est l’exact contraire. La surveillance de masse n’est que le substitut paresseux au travail d’investigation. Un état qui surveille tout le monde renonce à poursuivre quelqu’un. Outre-Manche, la police interpelle déjà des citoyens pour leurs publications.

Trois fois rejeté dans les urnes

À chaque passage au vote, le dispositif a été repoussé ou vidé de sa substance. La séquence se résume en cinq dates clés.

14 novembre 2023

La commission des libertés civiles du Parlement européen exclut le scan des communications chiffrées. Elle restreint la détection aux images déjà répertoriées et impose un ciblage validé par un juge. Le texte est amputé de son cœur.

8 octobre 2025

La ministre allemande de la Justice, Stefanie Hubig, s’y oppose : « la surveillance aléatoire des discussions doit être un tabou dans un état de droit ». Ralliée par le Luxembourg et sept autres capitales, elle forme une minorité de blocage. Le vote disparaît de l’ordre du jour du Conseil.

26 mars 2026

Le Parlement rejette la prolongation du scan volontaire par 311 voix contre 228. L’amendement interdisant l’analyse automatisée des contenus inconnus passe sur le fil : 307 voix contre 306.

7 juillet 2026

Le Conseil et le Parti populaire européen (PPE) ressuscitent une copie conforme du texte via une procédure d’urgence, validée par 331 voix contre 304.

9 juillet 2026

Requalifié en deuxième lecture, le texte ne peut plus être rejeté qu’à la majorité absolue, 361 voix sur 720. Les députés votent son rejet, 314 voix contre 276, mais le seuil n’est pas atteint : ce dernier jour avant la trêve estivale, 113 sièges sont restés vides, et chaque absence a compté comme un vote pour le maintien. La dérogation est rétablie jusqu’au 3 avril 2028, les messageries chiffrées exclues par amendement.

Les juristes de l’Union condamnent le dispositif

Les avis juridiques convergent, accablants. Le 28 juillet 2022, le Contrôleur européen de la protection des données (EDPS) et le Comité européen de la protection des données (EDPB) avertissent : ce règlement « pourrait devenir la base d’une surveillance généralisée et indifférenciée de facto » de la quasi-totalité des communications électroniques. Le 26 avril 2023, une fuite révèle que le service juridique du Conseil partage cette inquiétude, qualifiant les ordres de détection de « limitation particulièrement sérieuse » des droits protégés par la Charte des droits fondamentaux.

La justice finit par trancher. Le 13 février 2024, dans l’arrêt Podchasov contre Russie, la Cour européenne des droits de l’homme (CEDH) juge : contraindre au déchiffrement de communications protégées de bout en bout « ne saurait être considéré comme nécessaire dans une société démocratique ». L’arrêt marque la première consécration internationale du chiffrement fort comme garantie de la vie privée. Bruxelles n’ignore rien de cette jurisprudence, mais s’obstine.

La Commissaire savait le dispositif inefficace

L’efficacité même du dispositif pose question. La commissaire Ylva Johansson a elle-même admis que 75 % des signalements issus des plateformes sont inexploitables par la police. La police fédérale suisse estime à 80 % la part d’alertes automatiques dénuées de fondement pénal, souvent de simples photos de vacances. En Allemagne, près de 40 % des enquêtes pour pédopornographie ciblent des adolescents s’échangeant des clichés intimes consentis. Sur les dix milliards de messages quotidiens de l’Union, un détecteur fiable à 99,9 % générerait encore des centaines de milliers de fausses alertes par jour. Apple l’a compris dès 2022 : la firme a testé puis abandonné le scan local des photos, jugeant qu’on protège les enfants sans fouiller les données de tous.

Le fléau, lui, est indéniable. Les signalements mondiaux de contenus pédocriminels explosent : 20,5 millions pour la seule année 2024. La production d’images générées par intelligence artificielle a été multipliée par treize en un an. Des associations de protection de l’enfance, en toute bonne foi, plaident pour une surveillance accrue. Elles se trompent de remède. Noyer un enquêteur sous une avalanche de fausses alertes ne l’aide pas, cela l’aveugle. La détection efficace reste ciblée et validée par un juge, quand le scan indifférencié disperse des moyens rares sur des innocents. Le vrai scandale est ailleurs : le manque cruel d’effectifs des brigades chargées de traquer les prédateurs.

Thorn vend le logiciel que la Commission veut imposer

À qui profite ce règlement ? Le texte a été élaboré en étroite collaboration avec Thorn, une organisation américaine cofondée par l’acteur Ashton Kutcher, qui commercialise précisément le logiciel de détection que l’Europe s’apprête à rendre obligatoire : 3,8 millions de dollars de licences en 2021, le double d’une année sur l’autre. À la directrice de l’ONG, Johansson écrit : « Je compte sur vous pour faire de ce lancement un succès. » L’alliance WeProtect, subventionnée à près d’un million d’euros par la direction de la commissaire, réunit à son conseil un haut fonctionnaire européen et la patronne de Thorn. La frontière entre le régulateur et le marchand s’efface.

Restait à vendre le projet à l’opinion. À l’automne 2023, les services de la commissaire déploient sur X une campagne micro-ciblée visant des données sensibles comme les convictions religieuses. Johansson la déclare « 100 % légale » ; le Contrôleur européen la jugera illégale, pour un simple blâme.

Le PPE change les règles pour faire passer le texte

Faute d’une majorité franche, le Parti populaire européen (PPE), emmené par Manfred Weber avec l’appui de la présidente du Parlement Roberta Metsola, a modifié les règles du jeu plutôt que le texte. Traité comme une deuxième lecture, le dossier voit la procédure d’urgence inverser la charge du vote : il ne suffit plus d’une majorité des présents pour écarter le dispositif, il faut une majorité absolue. Le calcul a fonctionné. Plus de députés ont voté pour enterrer la dérogation que pour la maintenir, sans réunir le seuil qui l’aurait bloquée. La négociatrice écologiste Markéta Gregorová résume : ce passage en force « viole nos propres règles de procédure », et « il ne s’agit plus de protéger la vie privée mais la démocratie ». Toute infrastructure de surveillance, même bâtie pour une cause noble, finit par être détournée : une loi adoptée pour honorer la mémoire d’un professeur assassiné s’est déjà retournée contre un journaliste.

Rien de tout cela n’est un accident de procédure. Un texte rejeté trois fois, puis imposé à la quatrième en changeant la règle du scrutin, en dit long sur la manière dont l’Union avance. En 2005, Français et Néerlandais rejetaient par référendum la Constitution européenne ; deux ans plus tard, l’essentiel de son contenu revenait sous le nom de traité de Lisbonne, ratifié par voie parlementaire, sans plus consulter les peuples. Le « non » n’arrête pas le projet, il en diffère l’adoption.

La concession arrachée par les opposants, l’exclusion des messageries chiffrées, ne pèse pas lourd : l’amendement repart au Conseil, qui peut l’écarter d’ici l’automne, quand l’autorisation de scan s’applique déjà. Et la version dure du projet survit : le règlement CSAR, qui rendrait la détection obligatoire jusque sur le chiffré, revient en trilogue en septembre. Restent les juges. Le service juridique du Conseil tient déjà le dispositif pour contraire à l’article 7 de la Charte ; la Cour de justice de l’Union aura à en connaître. La France, longtemps favorable au texte, ferait mieux de rompre avant d’y être condamnée.

Conclusion

Une loi qui ne trouve sa majorité qu’en changeant les règles du scrutin porte un nom : un passage en force.

Quand le vote promeut un projet que les citoyens refusent, ce n’est plus la vie privée qui est en cause, c’est le crédit du scrutin. Scanner par défaut les échanges de tous installe une présomption de culpabilité généralisée : chaque citoyen devient suspect avant le moindre soupçon. Reste le seul modèle compatible avec l’état de droit : l’enquête ciblée, sous mandat d’un juge. Protéger les enfants n’exige pas de surveiller tout le monde ; cela exige de poursuivre quelqu’un.