Les États membres de l'UE ne parviennent toujours pas à se mettre d'accord sur le chiffrement de bout en bout

Les opinions divergent quant à la protection des droits et la surveillance de masse

Le projet de règlement relatif aux abus sexuels commis sur des enfants est controversé car il exigerait des fournisseurs de services en ligne qu’ils analysent proactivement leurs services - y compris les communications interpersonnelles privées des utilisateurs - à la recherche de matériel pédopornographique (CSAM) et de pédopornographie. Les documents divulgués révèlent un désaccord entre les États membres de l’UE sur le champ d’application du règlement et sur la meilleure façon de protéger la sécurité des enfants tout en respectant les droits des 447 millions d’habitants de l’UE, enfants et adultes confondus. L’exigence de détection proactive rend probablement le règlement CSA illégal dans sa forme actuelle.

C’est ce qu’affirment non moins que le propre service juridique du Conseil (dont l’analyse d’avril aboutissant à cette conclusion a également fait l’objet d’une fuite), ainsi que l’autorité de contrôle de la protection des données de l’UE, qui a condamné le projet actuel l’année dernière. D’une part, la législation européenne en vigueur interdit d’imposer aux plateformes en ligne une obligation générale de surveillance du contenu ; d’autre part, la Charte des droits fondamentaux de l’UE limite la manière dont les droits des individus peuvent être restreints par l’État.


La sollicitation d’enfants à des fins sexuelles, ou pédopiégeage, est « une pratique où un adulte se "lie d’amitié" avec un enfant (de manière générale en ligne, mais le pédopiégeage hors ligne existe également) dans le but de commettre des abus sexuels à son encontre ». L'adulte cherche à se rapprocher d'un enfant et à instaurer avec lui une relation affective, voire parfois aussi avec sa famille, pour lever les inhibitions de la victime dans l'intention de perpétrer des abus sexuels.

En mi-2022, une proposition de la Commission européenne obligeait les entreprises technologiques à analyser les messages privés à la recherche de matériel d'abus sexuel d'enfants (CSAM) et de preuves de pédopiégeage, même lorsque ces messages sont censés être protégés par un chiffrement de bout en bout.

Les services en ligne qui reçoivent des « ordres de détection » en vertu de la législation en cours de l'Union européenne auraient « des obligations concernant la détection, le signalement, la suppression et le blocage du matériel d'abus sexuel d'enfants connus et nouveaux, ainsi que la sollicitation d'enfants, quelle que soit la technologie utilisée dans les échanges en ligne », indique la proposition. Le plan appelle le chiffrement de bout en bout un outil de sécurité important, mais ordonne essentiellement aux entreprises de casser ce chiffrement de bout en bout par tous les moyens technologiques nécessaires :

« Afin de garantir l'efficacité de ces mesures, de permettre des solutions sur mesure, de rester technologiquement neutres et d'éviter le contournement des obligations de détection, ces mesures devraient être prises quelles que soient les technologies utilisées par les prestataires concernés dans le cadre de la fourniture de leurs services. Par conséquent, le présent règlement laisse au fournisseur concerné le choix des technologies à exploiter pour se conformer efficacement aux ordres de détection et ne devrait pas être compris comme incitant ou décourageant l'utilisation d'une technologie donnée, à condition que les technologies et les mesures d'accompagnement répondent aux exigences de présent règlement.

« Cela inclut l'utilisation de la technologie de chiffrement de bout en bout, qui est un outil important pour garantir la sécurité et la confidentialité des communications des utilisateurs, y compris celles des enfants. Lors de l'exécution de l'ordre de détection, les fournisseurs devraient prendre toutes les mesures de sauvegarde disponibles pour s'assurer que les technologies qu'ils emploient ne peuvent pas être utilisées par eux ou leurs employés à des fins autres que le respect du présent règlement, ni par des tiers, et pour éviter ainsi de porter atteinte à la sécurité et la confidentialité des communications des utilisateurs ».

Rendre obligatoire la surveillance sans soupçon de toutes les communications en ligne, et en particulier des communications privées, pourrait être considéré comme une violation du droit à la vie privée et à la protection des données personnelles.

Règlement CSA

• Le nom complet du dossier législatif est « Règlement du Parlement européen et du Conseil établissant des règles pour prévenir et combattre les abus sexuels concernant des enfants » et sa référence est 2022/0155(COD) ;
• il est souvent appelé "règlement CSA", "CSAR" ou "proposition CSAM". Ses détracteurs l'ont également baptisé "Chat Control" ;
• il s'agit d'une lex specialis par rapport à la Loi sur les services numériques de l'UE, ce qui signifie qu'il s'appuie sur certaines parties de la Loi sur les services numériques (celles qui concernent la lutte contre le matériel pédopornographique en ligne) et qu'il les particularise ;
• la base juridique du règlement est l'article 114 du traité sur le fonctionnement de l'Union européenne (TFUE), qui prévoit le fonctionnement du marché intérieur de l'UE.

Dans l’éternel débat sur le chiffrement, une fuite de documents de mai 2023 révèle les réponses de 20 États membres de l’UE à une enquête du Conseil auprès du groupe de travail sur l’application de la loi (LEWP), et plus particulièrement de son sous-groupe « police ». Il représent le point de vue des forces de l’ordre.
Les autorités chargées de l’application de la loi défendent systématiquement leurs propres intérêts : prévenir, détecter, enquêter et poursuivre les auteurs d’infractions.

Elles ont tendance à laisser d’autres intérêts à d’autres parties prenantes (par exemple, les droits de l’homme, l’économie, le renseignement et la sécurité nationale, les relations internationales). Il incombe aux décideurs politiques, c’est-à-dire à ceux qui rédigent le règlement de la CSA, de rechercher et d’intégrer tous ces autres intérêts dans le produit final. Bien que les décideurs politiques aient tendance à accorder beaucoup d’importance aux points de vue des services répressifs, il ne faut pas s’attendre à ce que les réponses au LEWP dictent à elles seules la manière dont le règlement CSA sera finalement rédigé.

Réponses anti-chiffrement et pro-pouvoirs de police

L’Espagne a récemment déclaré que le chiffrement de bout en bout devrait être totalement interdit par la loi. Cette position est extrême et rare pour un gouvernement démocratique en 2023. Les autorités chargées de l’application de la loi et d’autres représentants du gouvernement soulignent généralement l’importance du chiffrement de bout en bout avant de proposer des moyens de l’affaiblir ou de le compromettre.

Les arguments typiques des services répressifs contre le chiffrement sont également repris par l’Espagne : les services répressifs doivent pouvoir continuer à faire leur travail, il est « impératif » qu’ils aient accès aux données (pour lesquelles ils disent également qu’il devrait y avoir des obligations de conservation des données) et « la capacité de les analyser », « quelle que soit l’importance du volume ». En d’autres termes, ils veulent pouvoir tout surveiller, et plus il y en a, mieux c’est.

Chypre, la Slovénie, la Lituanie, la Croatie et la Hongrie ont adopté une position similaire : l’accès des forces de l’ordre au contenu du End-to-end encryption (E2EE) ou chiffrement de bout en bout devrait être inscrit dans le règlement CSA (et donc les ordres de détection vers les services E2EE devraient être inclus dans le champ d’application), parce que l’E2EE est utilisé pour masquer les délits de maltraitance d’enfants. Chypre et la Slovénie font au moins un geste dans le sens de la protection de la vie privée, tandis que la Lituanie pense que tout le monde devrait faire confiance à la police.

La Croatie est sceptique quant à l’existence d’alternatives efficaces pour la détection des CSAM dans les environnements E2EE, et la Hongrie veut imposer l’accès des forces de l’ordre aux données. Chypre a déclaré que « bien entendu, une telle réglementation devrait être équilibrée avec la nécessité de garantir le droit à la vie privée, en tenant compte de la jurisprudence de la Cour européenne de justice ».

La Slovénie a exprimé une opinion similaire en disant que « pour la détection dans un environnement crypté, nous devons utiliser ou développer une technologie qui interfère le moins possible avec le droit à la vie privée de ceux qui ne commettent pas d’abus sexuels ». Toutefois, elle craint que ce développement ne soit entravé si le règlement CSA contient des dispositions interdisant l’affaiblissement de l’E2EE et ne l’approuve donc pas.

La Lituanie n’est pas du même avis en ce qui concerne le respect de la vie privée. Elle se plaint que les régulateurs européens de la protection des données sont trop absolutistes en ce qui concerne le droit à la vie privée et qu’ils ne parviennent pas à trouver un juste équilibre entre le respect de la vie privée et l’application de la loi.
Des réponses équivoques : « Le cryptage est important, mais... ».

Belgique et Pologne : des positions contradictoires sur l’E2EE et la réglementation

La Belgique et la Pologne affirment comprendre l'importance d'un chiffrement fort, mais selon Center for Internet and Society (CIS) , « leurs réponses indiquent qu'elles ne comprennent pas vraiment comment fonctionne le chiffrement de bout en bout. »

La réponse de la Pologne est similaire à celle de la Belgique. Elle se dit favorable à une formulation réglementaire « visant à éviter l'affaiblissement » de l'E2EE et souligne l'importance de l'E2EE pour la sécurité des communications. « Les deux pays disent qu'ils veulent une chose, puis demandent son contraire. Vouloir que les services E2EE puissent supprimer l'E2EE sur décision de justice est tout à fait incompatible avec le fait de dire que l'on est favorable à un langage réglementaire excluant l'affaiblissement de l'E2EE », poursuit le Center for Internet and Society.

Selon le CIS, la technologie souhaitée par la Belgique et la Pologne n'existe tout simplement pas. Et ce n'est pas faute d'avoir essayé : « les experts en sécurité informatique ont essayé pendant des décennies de l'inventer, parce que les gouvernements ont continué pendant des décennies à l'exiger, et pendant des décennies ces tentatives ont échoué. Après un quart de siècle d'échec dans l'invention de la technologie magique et mythique du chiffrement sécurisé qui ne permet l'accès qu'aux bons et non aux méchants, il est peut-être temps pour les gouvernements d'accepter que c'est impossible. »

Danemark et Roumanie : des positions opposées sur l’exclusion des services E2EE du champ d’application du règlement CSA

Plusieurs pays de l’Union européenne ont répondu qu’ils étaient favorables à une formulation réglementaire excluant l’affaiblissement de l’E2EE en raison de son importance pour la vie privée et la cybersécurité. Cependant, pour être efficace, le règlement CSA ne devrait pas exclure le matériel de l’E2EE des ordonnances de détection, étant donné que les services de l’E2EE sont connus pour être utilisés dans le cadre de la GPAE et du grooming.

Le Danemark est favorable à une formulation réglementaire précisant que le règlement n’empêche pas les fournisseurs d’utiliser l’E2EE dans leurs services. Cependant, le Danemark n’est pas favorable à l’exclusion des services E2EE du champ d’application du règlement, car cela « compromettrait la capacité de la proposition à atteindre son objectif », étant donné que « les MSTC se propagent souvent par le biais de plates-formes qui utilisent l’E2EE », selon l’expérience de la police nationale.

La Roumanie explique que les services E2EE devraient être inclus dans le champ d’application du règlement CSA. Parfois, un ordre de détection fonctionnera, parfois non, en fonction des circonstances et des particularités de la technologie de chiffrement. Si le chiffrement est fort, une ordonnance de détection ne fonctionnera pas ; mais parfois le chiffrement est faible et peut être cassé, et dans ce cas, les autorités devraient avoir les outils juridiques pour essayer d’accéder au matériel décrypté. Cette explication fonde la position politique de la Roumanie sur des réalités techniques et non sur un désir brutal de maximiser les pouvoirs de la police.

La Slovaquie estime que « l’utilisation du chiffrement de bout en bout (ou de toute autre forme de chiffrement) par un fournisseur de services ne peut en soi justifier le non-respect » des obligations du règlement CSA, et elle souhaite vraiment que toute formulation réglementaire concernant l’E2EE le...