Droit Vivant
Source NotebookLM

↓ Version .md brute (pour NotebookLM)

Le droit au chiffrement de bout en bout — CEDH, *Podchasov c. Russie* (13 février 2024)

Pourquoi ce sujet relie le droit et la cybersécurité

Le chiffrement n'est pas qu'une affaire d'ingénieurs. Depuis quelques années, il est devenu l'un des terrains de bataille juridiques les plus disputés entre, d'un côté, les autorités qui invoquent la lutte contre le terrorisme et la criminalité, et de l'autre, les défenseurs des libertés qui rappellent que la confidentialité des communications est une condition de la vie privée, de la liberté de la presse et de la sécurité économique. Le 13 février 2024, la Cour européenne des droits de l'homme a rendu, dans l'affaire *Podchasov c. Russie* (requête n° 33696/19), un arrêt qui fera date : pour la première fois, une juridiction internationale affirme explicitement qu'obliger un service à affaiblir son chiffrement de bout en bout, ou à remettre les clés permettant de déchiffrer les communications, porte une atteinte disproportionnée au droit au respect de la vie privée garanti par l'article 8 de la Convention européenne des droits de l'homme.

De quoi parle-t-on ? Définitions essentielles

Le chiffrement de bout en bout (en anglais *end-to-end encryption*, abrégé E2EE) désigne une architecture dans laquelle un message est chiffré sur l'appareil de l'émetteur et ne peut être déchiffré que sur l'appareil du destinataire. Les serveurs intermédiaires — y compris ceux de l'opérateur du service — ne détiennent jamais les clés et ne peuvent donc pas lire le contenu transporté. C'est ce modèle qui protège aujourd'hui les conversations de centaines de millions de personnes sur des applications comme Signal, WhatsApp ou les « chats secrets » de Telegram.

Face à ce modèle, les États formulent régulièrement une demande : pouvoir, sur réquisition, accéder au contenu en clair. Techniquement, cela suppose soit l'introduction d'une porte dérobée (*backdoor*), c'est-à-dire un mécanisme d'accès volontairement ménagé dans le système, soit l'obligation pour l'opérateur de conserver des clés de déchiffrement. Le problème, bien connu des cryptographes, est qu'une porte dérobée ne sait pas distinguer un « bon » et un « mauvais » utilisateur : une fois la faille créée, elle existe pour tout le monde — services de l'État, mais aussi attaquants, services étrangers ou employés malveillants. C'est exactement ce raisonnement technique que la Cour de Strasbourg a intégré dans son analyse juridique.

Le cadre juridique : l'article 8 de la Convention

L'article 8 de la Convention européenne des droits de l'homme protège « le droit au respect de la vie privée et familiale, du domicile et de la correspondance ». Ce droit n'est pas absolu : son paragraphe 2 autorise les ingérences des autorités publiques à trois conditions cumulatives. L'ingérence doit être prévue par la loi, poursuivre un but légitime (par exemple la sécurité nationale ou la prévention des infractions), et être nécessaire dans une société démocratique, ce qui implique un test de proportionnalité : la mesure doit répondre à un besoin social impérieux et ne pas aller au-delà de ce qui est strictement nécessaire. C'est sur ce dernier critère que se joue, le plus souvent, le contentieux de la surveillance — et c'est là que la loi russe a échoué.

Le cas concret : *Podchasov c. Russie*

Le requérant, M. Anton Podchasov, est un utilisateur russe de Telegram. Il contestait un dispositif issu de la législation russe dite « loi Iarovaïa », qui impose aux « organisateurs de diffusion d'informations sur Internet » — catégorie englobant les messageries — de conserver l'intégralité des communications de leurs utilisateurs (les métadonnées pendant un an, les contenus pendant six mois) et de fournir aux autorités, en particulier au FSB (le service de sécurité), toute information nécessaire au déchiffrement de ces communications, clés comprises. Telegram, sommé de livrer les éléments permettant de déchiffrer les « chats secrets » de certains utilisateurs, avait refusé, faisant valoir que la fonction de chiffrement de bout en bout rend techniquement impossible une telle remise sans compromettre la sécurité de tous.

Après avoir épuisé les recours internes en Russie, M. Podchasov a saisi la Cour européenne des droits de l'homme. Dans son arrêt du 13 février 2024, la troisième section de la Cour donne raison au requérant et conclut à la violation de l'article 8.

Le raisonnement est remarquable parce qu'il mêle étroitement argument technique et argument juridique. La Cour observe qu'il n'est pas possible de fournir un accès au contenu chiffré d'une cible particulière sans, en pratique, créer une faille exploitable contre l'ensemble des utilisateurs du service. Affaiblir le chiffrement pour une personne revient donc à l'affaiblir pour tout le monde. Une telle mesure, généralisée et indiscriminée dans ses effets, ne saurait être considérée comme proportionnée au but de lutte contre la criminalité, aussi légitime soit-il. La Cour souligne également la valeur du chiffrement comme protection contre les abus : il garantit la jouissance d'autres droits, comme la liberté d'expression, et protège des catégories particulièrement exposées — journalistes, sources, défenseurs des droits, dissidents.

Les enjeux : portée et limites de l'arrêt

La portée de l'arrêt dépasse très largement le cas russe. En affirmant que l'obligation d'affaiblir le chiffrement est par nature disproportionnée, la Cour pose un principe transposable à l'ensemble des 46 États du Conseil de l'Europe, dont la France. L'arrêt arrive à un moment charnière : l'Union européenne débat depuis 2022 d'un projet de règlement visant à lutter contre les abus sexuels sur mineurs (le règlement dit « CSAR » ou « Chat Control »), dont certaines versions imposeraient une analyse des messages côté client (*client-side scanning*) avant chiffrement. Les défenseurs des libertés numériques s'appuient désormais sur *Podchasov* pour soutenir que de tels mécanismes, en compromettant la confidentialité de tous les utilisateurs, seraient difficilement compatibles avec l'article 8.

Il faut toutefois mesurer les limites de la décision. La Cour ne dit pas que les communications chiffrées sont une zone de non-droit ni que la surveillance est par principe interdite. Elle ne condamne pas les techniques d'enquête ciblées et proportionnées — interception sur autorisation judiciaire, accès à un terminal saisi, recours à des métadonnées encadré. Ce qu'elle condamne, c'est l'atteinte systémique : une obligation qui dégrade la sécurité de l'infrastructure pour tous afin de surveiller quelques-uns. La distinction est essentielle pour qui conçoit ou audite des systèmes : une mesure de sécurité ou de mise en conformité doit toujours être pensée à l'échelle de ses effets réels, et non seulement de sa cible affichée.

Ce qu'un professionnel de la sécurité doit en retenir

Trois leçons se dégagent. D'abord, le débat « backdoor ciblée » est juridiquement clos en Europe : la Cour reconnaît la réalité technique selon laquelle une porte dérobée n'est jamais réservée à un seul usage. Ensuite, le chiffrement fort acquiert un statut quasi protégé : il n'est plus seulement une bonne pratique, mais un moyen de garantir un droit fondamental, ce qui pèsera dans les arbitrages réglementaires futurs. Enfin, le principe de proportionnalité fournit une grille d'analyse utile bien au-delà du contentieux : toute mesure de collecte, de journalisation ou d'accès doit être évaluée à l'aune de ses effets systémiques, et la solution la moins attentatoire doit être préférée.

Références