par Apolline DESCARPENTRIES, étudiante du Master 2 Droit des communications électroniques
Saint-Exupéry écrivait que « toutes les grandes personnes ont d’abord été des enfants, mais peu d’entre elles s’en souviennent »[1] ; c’est peut-être ce même oubli qui rend si difficile pour les institutions européennes, de limiter les libertés des adultes pour protéger les enfants. C’est pourtant là un vrai paradoxe. Car ce sont bien les adultes qui les attaquent alors même que l’on nous enseigne, depuis notre tendre enfance, que le rôle des grands est de protéger les plus petits. Il apparaît donc alarmant que, dans notre société actuelle, 80 % des enfants se sentent menacés d’abus ou d’exploitations en ligne dans 25 pays différents[2]. Que près d’1 enfant sur 5 ait été victime d’abus par le biais des technologies[3]. Que moins d’1 % de ces abus aient été signalés aux autorités[4]. Car si le numérique est venu apporter des progrès, il a également ouvert des possibilités d’atteintes étendues, dont certains ont su se saisir sans vergogne.
C’est dans ce contexte de violence que s’inscrit le règlement (UE) 2021/1232, communément appelé Chat Control 1.0[5]. Celui-ci se pose comme une dérogation à la directive ePrivacy[6], permettant de suspendre les articles 5 §1 et 6 §1 de cette dernière, afin de lutter plus efficacement contre les abus sexuels commis en ligne sur les enfants. Cette dérogation n’était censée être que temporaire, afin de laisser du temps aux institutions européennes de trouver un cadre juridique permanent, qui s’appliquerait à l’ensemble de l’Union européenne, afin d’offrir une protection harmonisée dans chaque État membre. C’est pourquoi, en 2022, est présentée la proposition de règlement du Parlement européen et du Conseil, établissant des règles en vue de prévenir et de combattre les abus sexuels sur les enfants[7]. Cette proposition, dite Chat Control 2.0, a néanmoins fait l’objet de vives critiques, ouvrant ainsi un débat qui fait encore actuellement rage.
En effet, l’expiration de la dérogation temporaire le 3 avril 2026 emporte comme conséquence un retour au droit commun en la matière. Des négociations ont eu lieu dans les semaines suivantes afin de remédier à ce problème. Les 29 et 30 juin 2026, un cinquième trilogue (réunion entre le Parlement européen, la Commission européenne et le Conseil) a échoué, butant notamment sur le compromis envisagé portant sur une obligation pour les contenus publics et un simple volontariat pour les contenus privés. Quelques jours plus tard, le 9 juillet 2026, le Parlement a échoué à bloquer la réintroduction du régime volontaire. Le même jour, il a tout de même adopté séparément des amendements excluant le chiffrement de bout en bout du champ d’application du dispositif. Le règlement Chat Control 1.0 est donc prorogé jusqu’au 3 avril 2028. Cette série d’événements s’est poursuivie par un sixième trilogue le 29 septembre 2026. Néanmoins, au jour de la rédaction de ce propos, aucun rapport officiel n’a été produit quant aux conclusions qui ont résulté de cette rencontre.
À la lumière de ces actualités, il convient de s’interroger sur les apports et les conséquences de cette proposition de règlement. Il convient, notamment, de s’interroger sur l’équilibre des droits fondamentaux : entre une protection accrue des droits des enfants et une atteinte potentielle aux droits des usagers.
Ce que la proposition de règlement vient concrètement apporter
La proposition de règlement Chat Control 2.0 souhaite s’imposer comme un cadre permanent permettant de renforcer la lutte contre les abus sexuels commis sur des enfants. Ce cadre permanent diffère du caractère temporaire et volontaire du règlement dit Chat Control 1.0. En effet, Chat Control 2.0 ne se poserait plus ici comme une exception à une directive déjà existante (la directive ePrivacy en l’occurrence), mais impliquerait des obligations positives directes, notamment « l’obligation pour les fournisseurs de détecter, signaler, bloquer et retirer le matériel relatif à des abus sexuels sur enfants de leurs services »[8]. Les fournisseurs de services d’hébergement et de services de communications interpersonnelles seraient ainsi notamment tenus d’effectuer une évaluation des risques que présentent leurs services pour les enfants en matière d’abus potentiels[9].
L’utilisation des technologies se veut très encadrée dans le texte initial, puisqu’elle ne pourrait être mise en œuvre que dans le cadre d’une injonction de détection par les autorités compétentes[10]. D’une part, elles doivent être efficaces pour détecter la diffusion de matériel pédocriminel et ne doivent pas permettre d’extraire d’autres informations que celles relatives aux indicateurs fournis[11]. Ces derniers constituent une base de données identifiant les différents abus sur enfants qui peuvent circuler en ligne et sur lesquels se fondent les technologies lors de leur détection. D’autre part, la Commission européenne rappelle dans cette proposition de règlement que les technologies utilisées doivent être « conformes à l’état de la technique dans le secteur » et doivent être le « moins intrusives en ce qui concerne l’incidence sur les droits des utilisateurs à la vie privée et familiale, y compris la confidentialité des communications »[12].
Pourtant, l’une des nouveautés de Chat Control 2.0, dans le texte initial, contrairement à Chat Control 1.0, est l’application de ces technologies de détection aux communications chiffrées de bout en bout. Pour rappel, ces dernières permettent de verrouiller un message, qui ne peut être lu que par l’émetteur et le destinataire. La plateforme, elle, ne voit qu’un contenu illisible. Le principe du chiffrement de bout en bout est donc naturellement d’assurer une sécurité et une confidentialité des échanges entre les utilisateurs, sans que les plateformes ne puissent y accéder. Cela pose ainsi un problème, notamment pour le scan qui, n’ayant pas accès aux contenus, ne peut donc vérifier qu’il n’y a pas de contenus pédocriminels qui circulent. Pour imposer une détection sur ces services, il n’y a que deux voies principales : le scan côté appareil et l’affaiblissement du chiffrement. Le scan côté appareil – client-side scanning – permet une analyse du contenu soit avant qu’il ne soit chiffré, soit après son déchiffrement. Le chiffrement n’est ici pas cassé mais perd tout son sens puisque quelqu’un d’autre peut accéder au contenu. L’affaiblissement du chiffrement, pour sa part, consiste en une porte dérobée ou un accès prévu par les autorités afin de permettre l’analyse du contenu. C’était le point le plus discuté, puisqu’il permettrait une faille dans le dispositif, le soumettant à un risque important de cyberattaque. C’est pourquoi, la détection sur le chiffrement de bout en bout a finalement été exclu, comme vu supra.
Face à ces dispositions, plusieurs critiques se sont élevées et opposées à une mise en œuvre du dispositif, jugé abusif et contraire aux droits fondamentaux des utilisateurs.
L’équilibre des droits fondamentaux en question
La proposition de règlement Chat Control 2.0 s’inscrit dans la stratégie de l’Union européenne en faveur d’une lutte plus efficace contre les abus sexuels contre les enfants[13]. Cette lutte se base notamment sur l’article 24 de la Charte des droits fondamentaux de l’Union européenne, qui dispose que « Les enfants ont droit à la protection et aux soins nécessaires à leur bien-être »[14], précisant que « l’intérêt supérieur de l’enfant doit être une considération primordiale »[15]. Les enfants se voient donc reconnaître une protection particulière au regard du droit de l’Union européenne, qui s’impose comme un impératif. L’objectif poursuivi apparaît donc parfaitement légitime.
Néanmoins, en l’absence d’un respect strict des conditions prévues, les technologies mises en place dans le cadre de cette lutte pourraient avoir pour conséquence l’analyse de l’ensemble des contenus mis en ligne, qu’ils soient privés ou publics. À ce titre, de nombreuses critiques se sont élevées, notamment au regard des droits fondamentaux des utilisateurs. Il apparaît ainsi que cette proposition semble heurter les articles 7 et 8 de la Charte[16] précédemment évoquée. Précisément, l’article 7 garantit le droit au respect de la vie privée et familiale et les communications, tandis que l’article 8 garantit le droit à la protection des données des individus. Des technologies qui scanneraient ou analyseraient les contenus postés seraient susceptibles de constituer une surveillance de masse, disproportionnée au regard des finalités de la mise en place d’un tel dispositif. La Commission européenne mentionne elle-même dans sa proposition que « L’incidence dans les communications privées sur le droit au respect de la vie privée est plus importante »[17], reconnaissant, de ce fait, un risque accru d’atteinte au droit au respect de la vie privée des individus.
Se pose ainsi un dilemme pour les institutions européennes : qui doit-on protéger au maximum ? Car ce sont ici des droits fondamentaux qui s’affrontent. Peut-on, sans manquer au respect du principe de proportionnalité, socle fondateur de la jurisprudence de l’Union européenne, limiter voire atténuer fortement l’exercice de droits fondamentaux pour en protéger d’autres ? Comment trouver un équilibre entre l’intérêt supérieur de l’enfant et les droits à la liberté d’expression et de communication des utilisateurs garantis par l’article 11[18] de la Charte des droits fondamentaux de l’Union européenne ? C’est bien là le cœur du débat qui anime actuellement tant les représentants des instances européennes que les utilisateurs eux-mêmes, inquiets à l’idée que des technologies puissent avoir accès à leurs communications.
Des outils juridiques existent pour essayer de répondre à ces questions. L’article 52 de la Charte des droits fondamentaux de l’Union européenne, par exemple, prévoit que « (…) Dans le respect du principe de proportionnalité, des limitations ne peuvent être apportées que si elles sont nécessaires et répondent effectivement à des objectifs d’intérêt général reconnus par l’Union ou au besoin de protection des droits et libertés d’autrui »[19]. Ainsi, il semblerait pertinent de penser que la lutte contre les abus sexuels commis contre des enfants en ligne constitue un objectif d’intérêt général reconnu par l’Union européenne, justifiant, de ce fait, une limitation des droits à la liberté d’expression, à la protection de la vie privée ou encore de la confidentialité des communications.
Néanmoins, si l’on se réfère à la jurisprudence de la Cour de justice de l’Union européenne (CJUE), le test de proportionnalité et de nécessité s’impose en matière de surveillance des communications. Dans plusieurs arrêts, la CJUE[20] est venue poser une interdiction de principe d’une surveillance indifférenciée sans lien avec un soupçon individuel. Cette jurisprudence a été rendue en matière de conservation des données de connexion. Par analogie, une surveillance généralisée des communications apparaît disproportionnée et non nécessaire à l’objectif poursuivi. Également, la Cour est venue considérer que la nature ordinaire d’une donnée n’exclut pas l’atteinte à la vie privée et qu’il n’est pas nécessaire que la personne ait subi un préjudice pour que l’ingérence dans ses droits fondamentaux soit caractérisée[21]. Pourtant, ne pourrait-on pas considérer que les crimes commis sur des enfants relèvent de crimes graves qui portent non seulement un préjudice aux victimes elles-mêmes et aux parents, mais également à la société dans son ensemble ? Les abus sexuels commis sur les mineurs soulèvent des enjeux qui dépassent la simple considération personnelle et nécessitent de mettre en œuvre des outils et des législations, certes stricts et contraignants, mais parfaitement nécessaires à la lutte d’un fléau qui se propage et est favorisé par le numérique. C’est dans ce sens que la Cour de justice de l’Union européenne n’exclut pas la possibilité pour les États membres, de mettre en place des exceptions ciblées, notamment en cas de criminalité grave, à condition que le régime reste encadré, limité dans le temps et contrôlé par une autorité indépendante[22]. C’est précisément sur ce terrain que semble se jouer la légalité du dispositif Chat Control 2.0.
[1] DE SAINT-EXUPÉRY (A), Le Petit Prince, Gallimard, coll. « Folio », 1999, dédicace.
[2] UNICEF France, « Violences et agressions sexuelles des enfants », unicef.fr, [en ligne], consulté le 26 septembre 2026. URL : https://www.unicef.fr/convention-droits-enfants/protection/violences-et-agressions-sexuelles/
[3] CROUZET (M), « Un enfant sur cinq dans 21 pays victime d’atteintes sexuelles en ligne », unicef.fr, communiqué de presse, 3 septembre 2026, [en ligne], consulté le 26 septembre 2026. URL : https://www.unicef.fr/article/un-enfant-sur-cinq-dans-21-pays-victime-datteintes-sexuelles-en-ligne/
[4] Ibid.
[5] Règlement (UE) 2021/1232 du Parlement européen et du Conseil du 14 juillet 2021 relatif à une dérogation temporaire à certaines dispositions de la directive 2002/58/CE en ce qui concerne l’utilisation de technologies par les fournisseurs de services de communications interpersonnelles non fondés sur la numérotation pour le traitement de données à caractère personnel et d’autres données aux fins de la lutte contre les abus sexuels commis contre des enfants en ligne, JOUE L 274 du 30 juillet 2021, p. 41.
[6] Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques), telle que modifiée par la directive 2009/136/CE du 25 novembre 2009, dite « directive e-Privacy ».
[7] Commission européenne, Proposition de règlement du Parlement européen et du Conseil établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants, COM (2022) 209 final, 11 mai 2022, dossier interinstitutionnel 2022/0155(COD), dite « Chat Control 2.0 ».
[8] COM (2022) 209 final, op. cit., p. 4.
[9] COM (2022) 209 final, art. 3 (version initiale de la Commission).
[10] COM (2022) 209 final, op. cit., art. 7 et 8.
[11] COM (2022) 209 final, op. cit., art. 10 §3, a) et b).
[12] COM (2022) 209 final, op. cit., art. 10 §3, c).
[13] COM (2022) 209 final, op. cit., exposé des motifs, p. 1.
[14] Charte des droits fondamentaux de l’Union européenne, JO C 326 du 26.10.2012, p. 391, art. 24.
[15] Ibid.
[16] Charte des droits fondamentaux de l’UE, op. cit., art. 7 et 8.
[17] COM (2022) 209 final, op. cit., exposé des motifs, p. 15.
[18] Charte des droits fondamentaux de l’UE, op. cit., art. 11.
[19] Charte des droits fondamentaux de l’UE, op. cit., art. 52.
[20] Voir CJUE, 8 avril 2014, Digital Rights Ireland, aff. jointes C-293/12 et C-594/12 ; CJUE, 6 octobre 2020, La Quadrature du Net, aff. jointes C-511/18, C-512/18 et C-520/18.
[21] Voir CJUE, 20 mai 2003, Österreichischer Rundfunk e.a., C-465/00, C-138/01 et C-139/01, point 75.
[22] Voir CJUE, 21 décembre 2016, Tele2 Sverige et Watson, aff. jointes C-203/15 et C-698/15 relative à la conservation des métadonnées.