Chat Control, le retour !

On pensait que le combat était gagné. Le 26 mars 2026, à une seule voix d’écart (307 contre 306), le Parlement européen refusait de prolonger Chat Control 1.0. La dérogation qui permettait le scan volontaire de nos messages expirait le 4 avril, sans remplacement. Une victoire réelle, arrachée après des mois de mobilisation.

Elle aura tenu trois mois.

Ce que le Parlement a rejeté, le Conseil tente de le ressusciter.

Le 26 juin 2026, les ambassadeurs des États membres se sont entendus pour relancer le régime temporaire, malgré son rejet par le Parlement quelques semaines plus tôt. Comme un règlement expiré ne peut plus être prolongé, le Conseil passe par une astuce : un texte présenté comme « nouveau », mais quasiment identique à l’ancien, dont on change surtout les dates pour repousser la validité jusqu’au 3 avril 2028. La justification avancée ? Éviter un « vide juridique ». La réalité ? Faire revoter jusqu’à obtenir le résultat voulu, en contournant la volonté déjà exprimée du Parlement.

Où en est-on aujourd’hui ?

Le 7 juillet 2026, le Parlement européen a adopté la procédure d’urgence par 331 voix pour, 304 contre et 11 abstentions. Concrètement, cette procédure accélérée déclenche un nouveau vote, sur le fond cette fois, programmé le jeudi 9 juillet 2026. C’est ce vote qui décidera si l’Europe rétablit, sous un nouvel habillage, un régime de surveillance que son propre Parlement venait d’enterrer.

Deux textes, deux menaces qu’il ne faut pas confondre.

Chat Control 1.0 est la dérogation à la directive ePrivacy. Elle autorise les grandes plateformes (Meta, Google, Microsoft et les autres) à scanner « volontairement » nos communications privées. C’est cette dérogation, expirée le 4 avril, que le Conseil cherche à faire renaître jusqu’en 2028.

Chat Control 2.0, officiellement le règlement CSAR, est l’autre versant du dossier, et de loin le plus lourd. Proposé par la Commission le 11 mai 2022, il ne repose plus sur le volontariat : il vise un cadre permanent et obligatoire, où détecter, signaler et retirer les contenus pédocriminels deviendrait une obligation légale imposée aux messageries.

Concrètement, le texte prévoit trois méthodes de détection. La première compare les fichiers échangés à des bases de contenus déjà répertoriés. La deuxième utilise l’intelligence artificielle pour repérer des contenus jamais catalogués. La troisième analyse les conversations pour y déceler des comportements de sollicitation d’enfants. Ce sont les deux dernières qui posent problème : pour fonctionner sur des messageries chiffrées, elles supposent d’analyser les messages directement sur l’appareil, avant le chiffrement. C’est le « client-side scanning », que la quasi-totalité des cryptographes juge impossible sans briser la sécurité du chiffrement de bout en bout. À cela s’ajoute une obligation de vérification d’âge, dont plus de 400 scientifiques réclament la suspension, faute de preuve qu’elle soit techniquement réalisable et efficace.

Ce texte se négocie dans ce qu’on appelle un trilogue : la phase finale où la Commission, le Conseil et le Parlement tentent de fondre leurs versions en un texte unique. C’est une étape décisive, souvent menée à huis clos, où l’essentiel se joue loin du regard public. Le Parlement y défend depuis 2023 une ligne protectrice : un scan seulement ciblé, limité aux personnes précisément soupçonnées et validé par un juge, avec un chiffrement préservé. Le Conseil, lui, a d’abord réclamé un scan obligatoire, avant de glisser vers un scan présenté comme « volontaire », mais assorti d’obligations qui poussent en pratique à scanner quand même.

Cinq cycles de négociation se sont tenus, jusqu’à celui du 29 juin 2026, annoncé comme le dernier et pourtant soldé par un échec, précisément sur cette question du scan sans soupçon. L’obligation de scan côté client a certes été retirée de la dernière mouture, mais l’apaisement n’est qu’apparent : le service juridique du Conseil lui-même, dans un avis du 10 juin 2026, estime que ce scan « volontaire » reste une fouille généralisée des communications, incompatible avec l’article 7 de la Charte des droits fondamentaux. Le Comité européen de la protection des données s’y est opposé à trois reprises. Les négociations doivent reprendre à l’automne, autour du 29 septembre, sous la présidence irlandaise du Conseil.

Autrement dit, la 2.0 n’est ni adoptée ni enterrée. Elle avance par compromis successifs, et ce glissement de « l’obligatoire » vers un « volontaire sous pression » est justement ce qui doit nous alerter. Il n’a pas disparu. Il attend.

Pourquoi cela nous concerne tous.

Rétablir la surveillance « volontaire », c’est réinstaller la logique du scan généralisé de nos correspondances, sans soupçon individuel préalable. C’est aussi maintenir la pression sur le chiffrement fort, celui qui protège nos échanges privés, mais aussi nos hôpitaux, nos entreprises, nos administrations et nos données de santé. On ne protège pas les enfants en fragilisant la sécurité numérique de tous. On crée seulement des failles que d’autres exploiteront.

Rien n’est joué. Notre voix compte encore.

Nous l’avons déjà prouvé en mars : une seule voix a suffi à faire basculer le résultat. Cela veut dire que chaque interpellation, chaque message adressé à un eurodéputé, chaque partage qui informe autour de soi peut peser. Le vote du 9 juillet se jouera sans doute, lui aussi, sur un fil.

Alors informons, alertons, expliquons. Contactons nos représentants au Parlement européen. Rappelons, encore et toujours, que la surveillance de masse n’est jamais la réponse. Des outils existent pour agir vite, comme fightchatcontrol.eu, qui permet d’écrire directement aux eurodéputés.

La victoire de mars nous a montré que la mobilisation paie. Le retour de juillet nous rappelle qu’elle ne s’arrête jamais.

Restons vigilants. Restons mobilisés. Le combat continue.

Christophe Boutry