↓ Version .md brute (pour NotebookLM)

Chat Control : où en est-on après le sixième trilogue du 29 septembre 2026 ?

Contexte : deux textes à ne pas confondre

Quand on parle de « Chat Control », on mélange souvent deux textes. Le premier est un régime temporaire, le règlement (UE) 2021/1232, qui permet aux fournisseurs de messagerie et de services en ligne de détecter, signaler et retirer volontairement des contenus d'abus sexuels sur mineurs, par dérogation à la directive ePrivacy 2002/58/CE. Cette directive pose le principe de la confidentialité des communications (article 5 §1) et encadre le traitement des données de trafic (article 6 §1). Le second texte est le règlement permanent proposé par la Commission en mai 2022 (COM(2022) 209, procédure 2022/0155(COD)), le « CSAR ». Il créerait des obligations durables pour les fournisseurs, un Centre européen et des ordres de détection.

Le régime temporaire a expiré le 3 avril 2026. Le Parlement européen avait refusé une prolongation le 26 mars 2026. Le 9 juillet 2026, une proposition de rejet de la position du Conseil a recueilli 314 voix pour et 276 contre, mais le seuil de 361 voix (majorité absolue des membres) n'a pas été atteint : la prorogation a été confirmée. Le Conseil a donné son feu vert définitif le 23 juillet 2026 : la mesure intérimaire est rétablie jusqu'au 3 avril 2028. C'est le sujet de notre module du 23 juillet.

Le nouveau développement : le sixième trilogue

Le 29 septembre 2026, les trois institutions se sont retrouvées à Bruxelles pour un sixième trilogue, la présidence tournante du Conseil étant assurée par l'Irlande depuis le 1er juillet 2026 (jusqu'au 31 décembre 2026). Les trilogues précédents s'étaient tenus à partir de décembre 2025, puis le 26 février, le 16 avril, le 11 mai et le 29 juin 2026. Au terme du cinquième, le Parlement parlait d'un compromis sur la quasi-totalité du texte, sans accord sur le mécanisme de détection lui-même.

Selon la presse spécialisée et des acteurs militants, notamment Patrick Breyer, ancien eurodéputé du Parti pirate, le sixième trilogue s'est terminé sans accord global. Précision de méthode : nous n'avons pas retrouvé de communiqué officiel du Conseil ou du Parlement sur l'issue de cette séance. Ces éléments reposent sur des sources dont certaines sont engagées dans le débat et doivent être confirmées.

Ce qui est rapporté : le Conseil proposait des « search plans », c'est-à-dire des recherches visant des parties d'un service pendant une durée définie, sans cibler des suspects individuels. Il estimait que limiter la détection aux suspects n'apporterait guère de valeur au droit pénal existant. Le Parlement, dont la position de novembre 2023 exige des soupçons individuels et une décision judiciaire, refuse de légaliser le scan de masse des communications privées. Un accord provisoire serait intervenu sur la recherche de contenus publiquement accessibles, avec des ordres de détection pouvant être émis par des autorités administratives à l'égard d'hébergeurs. Il serait aussi précisé que les autorités ne peuvent pas imposer un scan « volontaire » par le biais des « mesures d'atténuation des risques ». Le prochain trilogue, visant un accord politique final, est attendu en novembre 2026 ; des discussions techniques se poursuivent en octobre. À défaut d'accord, la présidence passerait à la Lituanie en janvier 2027.

Le fond juridique : proportionnalité et chiffrement

Scanner des communications privées constitue une ingérence dans les droits garantis par l'article 7 de la Charte des droits fondamentaux (respect de la vie privée et des communications) et l'article 8 (protection des données personnelles). Selon l'article 52 §1 de la Charte, toute limitation doit être prévue par la loi, respecter le contenu essentiel du droit, être nécessaire et proportionnée. La Cour de justice de l'Union européenne a, dans sa jurisprudence sur la conservation généralisée de données (par exemple Digital Rights Ireland, 2014, puis Tele2 Sverige et La Quadrature du Net), posé des limites strictes aux mesures de surveillance indifférenciée. Il faut toutefois être prudent : ces arrêts portent sur la conservation de données, pas sur le scan de contenus, et leur transposition au CSAR est précisément l'un des enjeux d'interprétation.

Un avis du service juridique du Conseil, daté de 2023 et publié par Patrick Breyer, jugerait très probable qu'une surveillance générale de services ou de parties de services soit censurée par la CJUE. Le commissaire Magnus Brunner aurait dit préférer la ligne du Parlement tout en soutenant la proposition initiale de 2022. Ces positions sont rapportées par la presse ; nous ne les avons pas recoupées sur un texte officiel.

Le point technique central est le chiffrement de bout en bout. Si un fournisseur ne peut pas lire le contenu, une obligation de détection n'est réalisable qu'en analysant les messages avant chiffrement, sur l'appareil de l'utilisateur (« client-side scanning »), ou en affaiblissant le chiffrement. Le Parlement exclut le chiffrement de bout en bout du champ du règlement ; la discussion sur les « search plans » et les mesures d'atténuation porte précisément sur la possibilité de contourner cette exclusion par des voies indirectes.

Pourquoi le régime « 1.0 » compte encore

Même sans règlement permanent, les fournisseurs peuvent aujourd'hui pratiquer une détection volontaire jusqu'au 3 avril 2028 grâce à la dérogation ePrivacy. Les opposants au CSAR craignent donc que le « volontaire » serve de voie de contournement, y compris sous pression réglementaire. Les défenseurs du dispositif répondent que la détection protège les enfants et que les signalements proviennent en grande partie de ces outils volontaires. Les deux lectures coexistent et le débat reste politique autant que juridique.

Glossaire rapide

Un trilogue est une négociation informelle entre Parlement, Conseil et Commission pour rapprocher leurs textes avant le vote formel. Un « search plan » est le mécanisme proposé par le Conseil pour des recherches ciblant des parties d'un service. Une dérogation ePrivacy est une exception temporaire au principe de confidentialité des communications. Le client-side scanning est l'analyse du contenu sur l'appareil, avant chiffrement.

Ce qu'il faut retenir

Premièrement, rien n'est adopté pour le règlement permanent : le texte reste en négociation. Deuxièmement, le blocage se concentre sur les communications privées, donc sur le chiffrement. Troisièmement, le régime volontaire est en vigueur jusqu'en 2028. Quatrièmement, la prochaine échéance est un trilogue attendu en novembre 2026.

Références

Règlement (UE) 2021/1232 ; directive 2002/58/CE, articles 5 §1 et 6 §1 ; proposition COM(2022) 209 ; procédure 2022/0155(COD) ; Charte des droits fondamentaux, articles 7, 8 et 52 §1 ; communiqué du Conseil du 23 juillet 2026 ; billet de Patrick Breyer du 30 septembre 2026 (source militante).

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisissez un angle et collez-le tel quel dans le champ de personnalisation.

Angle 1 — Audit offensif du client-side scanning. Concentrez-vous sur les surfaces d'attaque créées par une détection avant chiffrement : détournement du moteur de détection, fuite de listes de hachage, faux positifs exploitables, compromission de l'appareil. Discutez ce qu'un pentester contrôlerait dans une telle architecture.

Angle 2 — Architecture des messageries et API. Expliquez où techniquement une obligation de détection s'insérerait dans une messagerie chiffrée de bout en bout (client, serveur, API de signalement), et en quoi un « search plan » diffère d'un ordre de détection ciblé. Insistez sur les contraintes d'implémentation.

Angle 3 — Comparaison avec les autres régimes déjà traités. Comparez la logique de proportionnalité du CSAR avec celle des décisions de la CJUE sur la conservation des données de connexion et avec d'autres régimes de sanction ou de surveillance abordés dans ce dépôt. Dégagez les critères qui reviennent.

Angle 4 — Veille réglementaire automatisée. Détaillez comment suivre ce dossier automatiquement : fiche de procédure 2022/0155(COD), Legislative Train, documents du Conseil, agenda des trilogues, alertes sur la date de novembre. Proposez des déclencheurs et une structure de tableau de suivi.

Angle 5 — Prospective contentieuse. Imaginez les recours possibles si un texte était adopté : question préjudicielle, recours en annulation devant la CJUE, arguments tirés des articles 7, 8 et 52 §1 de la Charte et de l'avis juridique du Conseil. Évaluez les scénarios à horizon 2027-2028.