Chat Control, NIS2, RIPOST : le même bras de fer entre surveillance et libertés, sur trois fronts

En l'espace d'une semaine, trois textes rejouent le même arbitrage entre surveillance et libertés. Le 9 juillet 2026, Chat Control est adopté au Parlement européen malgré un vote majoritairement contre. Le lendemain, la Commission traduit la France devant la CJUE pour son retard sur la directive cybersécurité NIS2, un retard directement lié à un désaccord sur le chiffrement. Une semaine plus tard, l'Assemblée nationale adopte largement le projet de loi RIPOST, qui étend la surveillance automatisée tout en supprimant une garantie procédurale. Pris séparément, ce sont trois actualités distinctes. Pris ensemble, ils racontent la même histoire.

Ce que dit le vote du 9 juillet

Le 7 juillet, le Parlement européen adopte une procédure d'urgence (331 voix pour, 304 contre, 11 abstentions), qui déclenche un nouveau vote sur le fond deux jours plus tard. Le 9 juillet, les eurodéputés se prononcent sur une motion de rejet de la position du Conseil : 314 voix pour le rejet, 276 contre, 17 abstentions. Une majorité relative des votants a donc voté pour rejeter le texte.

Ce vote ne suffit pourtant pas à le bloquer.

La règle qui change tout : la majorité absolue en deuxième lecture

En deuxième lecture de la procédure législative ordinaire, le Parlement européen ne peut rejeter la position du Conseil qu'à la majorité absolue de l'ensemble de ses membres, soit 361 voix sur 720, et non à la majorité des seuls votants. Avec 314 voix pour le rejet, largement sous ce seuil, la position du Conseil l'emporte par défaut.

Ce mécanisme n'est pas une anomalie ou un contournement caché : c'est une règle procédurale prévue par les traités européens (article 294 du TFUE), qui s'applique à toute deuxième lecture, quel que soit le texte. Ce qui interroge, ce n'est pas sa légalité, c'est son effet concret : une majorité de votants opposés à un texte ne suffit pas à l'arrêter si l'abstention et l'absentéisme réduisent le nombre de votes exprimés sous le seuil requis. Plus l'absentéisme est élevé, plus il devient structurellement facile pour une minorité organisée de laisser passer un texte qu'une majorité de votants rejette.

Un calendrier qui n'a rien d'anodin

La procédure d'urgence du 7 juillet a été déclenchée quatre jours avant la trêve estivale du Parlement, à un moment où une partie des eurodéputés avait déjà quitté Bruxelles pour leur circonscription. L'eurodéputée Verts/ALE Markéta Gregorová a dénoncé sur le moment un détournement du règlement intérieur, estimant que le PPE abusait de sa position de premier groupe politique pour ramener un texte que le Parlement avait pourtant rejeté trois mois plus tôt, le 26 mars. Patrick Breyer, ancien eurodéputé Pirate, est allé plus loin en qualifiant le résultat de farce qui abîme la confiance dans le processus démocratique lui-même.

Que ce calendrier ait été choisi délibérément ou non, l'effet est le même. Un texte écarté en mars revient par une procédure accélérée programmée la dernière semaine avant les vacances, au moment précis où la mobilisation parlementaire est la plus difficile à organiser. Le contraste entre le rejet de mars et l'adoption de juillet, obtenue sur un mécanisme de seuil plutôt que sur un rapport de force politique nouveau, alimente une défiance qui dépasse le seul dossier Chat Control.

Ce que contient le texte adopté

Le texte, dit "Chat Control 1.0", rétablit jusqu'en 2028 un mécanisme de détection volontaire de contenus pédocriminels pour les services de messagerie non chiffrés (Meta, Google, Microsoft notamment). Les messageries chiffrées de bout en bout (WhatsApp, Signal, iMessage) en sont explicitement exclues dans cette version.

Ce point rassure à court terme, mais ne clôt pas le débat. Une version ultérieure, dite "Chat Control 2.0", reste en négociation et pourrait introduire le scanning côté client (l'analyse d'un message sur l'appareil de l'utilisateur, avant qu'il soit chiffré et envoyé). Plus de 700 chercheurs en cryptographie et sécurité ont averti que cette technique casserait de fait les garanties du chiffrement de bout en bout, même sur des services qui continueraient à afficher "chiffré" : le contenu serait lu avant chiffrement, pas après.

Pourquoi le scanning côté client change la nature du problème

Un chiffrement de bout en bout protège un message pendant son transport et sur les serveurs de l'opérateur. Le scanning côté client contourne cette protection sans la casser techniquement : il analyse le contenu directement sur le téléphone de l'utilisateur, avant que le chiffrement ne s'applique. Le message reste chiffré en transit, mais son contenu a déjà été inspecté à la source.

C'est la même objection que soulèvent les cryptographes depuis des années sur toute porte dérobée : un mécanisme d'analyse installé par défaut sur un appareil, même conçu pour un usage légitime, devient une surface d'attaque supplémentaire, exploitable par quiconque parvient à le détourner.

Une cause qui ne se discute pas, une méthode qui continue d'inquiéter

Lutter contre l'exploitation sexuelle des enfants en ligne ne fait l'objet d'aucun débat sérieux, et ce n'est pas le sujet de la controverse. Quatre commissaires européens ont d'ailleurs écrit aux eurodéputés avant le vote pour rappeler qu'interrompre la détection affaiblit la capacité collective à identifier les abus.

Le désaccord porte sur l'instrument. Les rapports d'application de la Commission font état d'un taux de faux positifs compris entre 13 et 20 % pour la détection de contenus inconnus, et une part importante des signalements de Meta a concerné des mineurs eux-mêmes plutôt que des prédateurs. Le service juridique du Conseil a averti en juin que la version permanente du texte, le règlement CSAR, s'accorde mal avec l'article 7 de la Charte des droits fondamentaux, celui qui protège la vie privée. La commission LIBE du Parlement défend depuis longtemps une alternative, cibler la détection sur des personnes déjà suspectées avec autorisation judiciaire, plutôt que de scanner par défaut les communications de tout le monde.

Le débat n'oppose donc pas protection de l'enfance et libertés fondamentales. Il oppose deux manières de protéger l'enfance, l'une ciblée et encadrée par un juge, l'autre généralisée et automatisée. La manière dont le texte du 9 juillet a été adopté ne rend pas ce choix plus légitime, elle rend au contraire d'autant plus nécessaire un débat qui n'a, pour l'instant, pas eu lieu dans ces termes.

Pendant ce temps, la France elle-même sanctionnée sur le chiffrement

L'ironie n'est pas mince : au moment même où Bruxelles impose aux plateformes de nouvelles obligations de détection, la Commission européenne a saisi le 10 juillet 2026 la Cour de justice de l'Union européenne contre la France (aux côtés de l'Espagne, l'Irlande et les Pays-Bas), pour retard de plus de vingt mois dans la transposition de la directive NIS2 sur la cybersécurité. La facture attendue se chiffre en millions d'euros, entre amende forfaitaire et astreintes journalières qui continueront de courir tant que le texte ne sera pas transposé.

La cause de ce blocage n'a rien d'administratif : c'est un désaccord frontal entre parlementaires et services de renseignement (DGSI en tête) sur l'article 16 bis du projet de loi Résilience, qui interdirait justement à l'État d'imposer aux fournisseurs de services chiffrés l'installation de portes dérobées. Les partisans de cet article estiment, comme les 700 chercheurs cités plus haut à propos de Chat Control, qu'un accès réservé aux autorités affaiblit mécaniquement la sécurité de tout le monde. Les services de renseignement, eux, y voient un outil nécessaire contre le terrorisme et le grand banditisme.

C'est exactement le même différend que celui qui structure le débat sur le scanning côté client, transposé à l'échelle nationale plutôt qu'européenne. Et c'est une France qui se retrouve, sur ce point précis, sanctionnée financièrement non pas pour avoir trop protégé le chiffrement, mais pour ne pas avoir su trancher entre le camp qui veut le préserver et celui qui veut y ménager un accès. La question de savoir qui, de la vie privée ou de la surveillance, doit céder du terrain, ne se joue donc pas seulement à Bruxelles : elle paralyse aussi, tout aussi concrètement, l'appareil législatif français.

Un autre paradoxe sécuritaire, à front renversé

Le projet de loi RIPOST, porté par le ministre de l'Intérieur Laurent Nuñez et adopté largement en première lecture à l'Assemblée nationale le 15 juillet 2026 (il l'était déjà au Sénat), illustre une tension du même ordre, mais inversée. D'un côté, le texte étend la surveillance automatisée : il renforce l'usage de la lecture automatisée de plaques d'immatriculation (LAPI) sur de nouvelles infractions, en reprenant un article d'une proposition de loi du sénateur Pierre-Jean Rochette, et élargit le recours à la vidéosurveillance algorithmique à des lieux ouverts au public, notamment en cas de risque terroriste ou dans les transports.

De l'autre, le même texte supprime l'obligation d'enregistrement vidéo des personnes retenues en garde à vue, une garantie pourtant présentée jusqu'ici comme un rempart contre les risques de violence ou de maltraitance en détention. La Défenseure des droits a rendu un avis réservé le 22 juin 2026, alertant sur des atteintes disproportionnées aux libertés individuelles. En commission, le député Pouria Amirshahi a pointé la contradiction consistant à étendre le flicage de masse tout en supprimant la traçabilité de ce qui se passe en garde à vue, une intervention relayée sur X par le compte Christophe Boutry.

Le texte doit encore passer en commission mixte paritaire pour trouver un compromis entre les deux chambres. Ce n'est pas le même arbitrage que celui du scanning côté client, surveiller tout le monde plutôt que garder une trace de ce qui se passe pour les personnes déjà interpellées, mais c'est le même réflexe : la technologie de masse progresse plus vite que les garanties individuelles.

Ce qu'il faut suivre maintenant

Ces trois dossiers ne se refermeront pas en même temps, mais ils se répondent. Le texte du 9 juillet ne change rien dans l'immédiat pour un utilisateur de messagerie chiffrée : le point à surveiller côté européen, c'est la négociation de Chat Control 2.0 et l'éventuelle introduction du scanning côté client, qui changerait réellement la donne pour Signal, WhatsApp ou iMessage. Côté français, deux échéances méritent d'être suivies en parallèle : l'issue du blocage sur l'article 16 bis du projet de loi Résilience, qui conditionne à la fois la transposition de NIS2 et le sort des portes dérobées réclamées par les services de renseignement, et la commission mixte paritaire sur RIPOST, qui tranchera si la suppression de l'enregistrement en garde à vue survit à la navette parlementaire.

Ce n'est pas trois batailles séparées menées sur des fronts différents. C'est le même arbitrage entre surveillance et garanties individuelles, joué simultanément à Bruxelles et à Paris, tantôt au détriment du chiffrement, tantôt au détriment de la traçabilité des pratiques policières. Suivre un seul de ces dossiers isolément, c'est prendre le risque de manquer le sens de l'ensemble.

Sur les réflexes à adopter en attendant, voir mon article sur la sécurité numérique pour un particulier.

Sources : Les Surligneurs, Euronews, Brussels Signal, EU Perspectives, byteiota, Journal du Geek, L'Usine Digitale, Le Club des Juristes, Public Sénat.