Contrôle des chats de l’UE 2026 : pourquoi les portes dérobées de chiffrement toucheront aussi les entreprises

502 cryptographes alertent, Signal menace de quitter le marché de l’UE, le Conseil constitutionnel fédéral déclare inapplicables certaines parties de la surveillance téléphonique à la source – et l’UE négocie toujours sur le contrôle des chats. Le règlement CSAR est au centre du trilogue, l’exception ePrivacy pour le balayage volontaire expire le 3 avril 2026. Que cela signifie-t-il pour les entreprises dépendantes de la communication chiffrée ?

La débat est souvent présenté comme une protection de l’enfance contre la vie privée. Pour les équipes de cybersécurité, c’est plus concret : toute faiblesse légale imposée dans le chiffrement est une faiblesse pour tous – y compris pour les attaquants.

L’essentiel

• Le Conseil s’accorde sans obligation de balayage : Le 26 novembre 2025, le Conseil de l’UE a adopté une position sans ordonnances de détection obligatoires. À la place : des obligations d’évaluation des risques et un balayage volontaire. L’Allemagne a dirigé la minorité de blocage (communiqué de presse du Conseil de l’UE).
• Le trilogue est en cours : Deuxième trilogue le 26 février 2026, troisième le 4 mai, quatrième le 29 juin prévu. L’exception ePrivacy pour le balayage volontaire expire le 3 avril 2026.
• BVerfG Trojaner II (juin 2025) : Le Conseil constitutionnel fédéral a déclaré inconstitutionnelles et inapplicables certaines parties de la surveillance téléphonique à la source. Une surveillance de masse sans motif de la communication chiffrée devrait échouer à ce niveau de mesure.
• La menace Signal est en place : La présidente de Signal, Meredith Whittaker, a annoncé qu’elle quitterait le marché de l’UE si le balayage côté client devenait obligatoire (vérifié via post X, mai 2024).
• 502 scientifiques avec des accréditations en cryptographie et cybersécurité qualifient le balayage côté client de « techniquement impossible » et avertissent des failles pour les pirates et les États ennemis.

L’utilisation de proxys SOCKS5 en Europe a augmenté de près de 1 770 % selon Telecom Reseller – un signal clair que les utilisateurs techniquement compétents et les entreprises se préparent déjà. Qui planifie aujourd’hui l’infrastructure de communication d’entreprise doit prendre en compte la possibilité que des messagers chiffrés soient sous pression réglementaire. Cela ne concerne pas seulement les applications de chat : les services de messagerie chiffrée, les stockages cloud avec chiffrement à preuve de zéro et les fournisseurs de VPN pourraient également être concernés par les ordonnances de détection. Le règlement CSAR définit « services d’hébergement » et « services de communication interpersonnelle » de manière délibérément large.

Un autre aspect que de nombreuses entreprises négligent : la question de la responsabilité. Si un fournisseur de plateforme implémente un balayage après l’entrée en vigueur d’une ordonnance de détection et transmet par inadvertance des données d’entreprise confidentielles à des tiers non autorisés à la suite d’une erreur logicielle ou d’une mise à jour compromise – qui est responsable ? Le fournisseur de plateforme qui a implémenté le mécanisme de balayage ? Ou le législateur qui l’a imposé ? Cette question est juridiquement floue et ne sera répondue qu’après la première incidente – trop tard pour les entreprises concernées.

Cet article classe ce qui a été décidé, ce qui reste ouvert et ce que les entreprises allemandes devraient préparer.

Ce que le Conseil a décidé – et ce qu’il n’a pas fait

Après trois ans de négociations, le Conseil de l’UE a adopté le 26 novembre 2025 une position commune sur le règlement CSAR (règlement sur l’abus sexuel d’enfants). Le cœur de l’accommodement : Plus d’ordonnances de détection obligatoires. Les fournisseurs de plateformes doivent effectuer des évaluations des risques et peuvent balayer volontairement – mais personne ne sera contraint par la loi de sonder les messages avant le chiffrement.

L’Allemagne avait stoppé avec une minorité de blocage une version précédente avec balayage obligatoire. La ministre de la Justice, Stefanie Hubig, a formulé clairement la position gouvernementale : le contrôle des chats sans motif serait un tabou dans l’État de droit. La Conférence des autorités de protection des données (DC), sous la présidence de la déléguée à la protection des données de Berlin, Meike Kamp, a explicitement demandé au gouvernement fédéral de rejeter le contrôle des chats.

Mais l’accommodement contient une clause de révision : La Commission européenne doit vérifier dans les trois ans si les obligations de détection sont « nécessaires et réalisables ». Les experts en protection de la vie privée et l’Electronic Frontier Foundation (EFF) avertissent de la Mission Creep – la porte dérobée pour le balayage obligatoire reste inscrite dans le texte de loi.

Le trilogue entre le Conseil, le Parlement et la Commission est en cours depuis décembre 2025. Le 26 février a eu lieu la deuxième session, le troisième trilogue est prévu pour le 4 mai. Une date critique : l’exception ePrivacy, qui permet actuellement légalement le balayage volontaire, expire le 3 avril 2026. Sans prolongement ou nouveau texte de loi, la base juridique disparaît.

Pourquoi les portes dérobées ne fonctionnent pas techniquement

Le balayage côté client signifie : les messages sont examinés sur l’appareil final avant d’être chiffrés. Cela ressemble à un compromis – le chiffrement reste intact, le balayage a lieu avant. Dans la pratique, c’est l’inverse : le code de balayage sur chaque appareil final devient une cible d’attaque hautement attrayante.

502 scientifiques avec des accréditations en cryptographie et en génie logiciel ont averti dans une lettre ouverte : les mesures seraient techniquement impossibles et saperaient la sécurité et la vie privée de tous les citoyens européens. Parmi les signataires : Cas Cremers (CISPA Helmholtz Center), Bart Preneel (KU Leuven), Carmela Troncoso (EPFL) et René Mayrhofer (JKU Linz).

L’argument peut se résumer à une phrase : Une porte dérobée qui n’est accessible qu’aux « bons » acteurs n’existe pas. Tout mécanisme donnant aux forces de l’ordre l’accès donne aussi aux pirates, aux fabricants de logiciels espions et aux services secrets ennemis l’accès. L’histoire en témoigne : le Clipper Chip de la NSA dans les années 1990 – une puce de chiffrement avec accès d’État intégré – a échoué en 1994 lorsque Matt Blaze d’AT&T Bell Labs a démontré que le mécanisme d’escrow pouvait être manipulé.

Le même débat se déroule parallèlement au Canada. Le projet de loi C-8, contenu presque identiquement au projet de loi C-26 échoué, autorise le gouvernement à ordonner aux opérateurs de télécommunications de réduire les normes de chiffrement. Le terme « vulnérabilité systémique » n’est pas défini dans le texte de loi – une lacune qui est soit une intention, soit une négligence, mais dans les deux cas dangereuse. Le Citizen Lab de l’Université de Toronto avertit dans une déclaration officielle des conséquences pour la cybersécurité. Le modèle est global : les gouvernements tentent d’imposer des portes dérobées dans le chiffrement, les cryptographes avertissent, les cours de justice freinent – et la pression recommence.

Pour les CISO et les directeurs informatiques des entreprises DACH, la conséquence est pragmatique : le contrôle des chats n’est pas décidé, mais n’est pas non plus écarté. La clause de révision dans le texte du Conseil garde l’option du balayage obligatoire ouverte. Qui planifie aujourd’hui son infrastructure de communication devrait prendre cette incertitude en compte – avec une architecture assez flexible pour passer à d’autres fournisseurs ou à des systèmes décentralisés si nécessaire. Ce n’est pas de la panique. C’est de la gestion des risques.

« La surveillance de masse sans motif, qui place des millions de citoyens de l’UE sous suspicion générale, est disproportionnée. »
– Meike Kamp, déléguée à la protection des données de Berlin / présidente de la Conférence des autorités de protection des données (DSK), octobre 2025

Conseil constitutionnel fédéral Trojaner II : la limite constitutionnelle

Le 24 juin 2025, le Conseil constitutionnel fédéral a déclaré inconstitutionnelles et inapplicables certaines parties de la surveillance téléphonique à la source par le biais du arrêt « Trojaner II » (1 BvR 180/23). La Cour a tracé des limites claires pour les interventions de l’État dans la communication chiffrée.

Les points clés : La surveillance téléphonique à la source ne doit pas être utilisée pour des délits menacés d’une peine d’emprisonnement maximale de moins de trois ans. L’accès n’est autorisé qu’à la communication qui aurait également pu être captée lors d’une surveillance téléphonique classique (principe de synchronicité). Et : sont concernés à la fois le secret des communications (art. 10 GG) et le droit fondamental de l’informatique – le droit à la confidentialité et à l’intégrité des systèmes d’information.

Pour le débat sur le contrôle des chats, c’est directement pertinent. Si le Conseil constitutionnel fédéral juge déjà la surveillance téléphonique à la source ancrée dans un motif pour des délits légers comme disproportionnée, la surveillance de masse sans motif de tous les messages chiffrés devrait échouer à ce niveau de mesure encore plus. Le droit fondamental de l’informatique issu de l’arrêt sur la perquisition en ligne de 2008 protège l’intégrité des appareils finaux – le balayage côté client brise précisément cette intégrité.

Pour l’économie allemande, l’arrêt a une signification directe. Les entreprises qui utilisent une communication de bout en bout chiffrée – et ce sont, selon Bitkom, 58 % de toutes les entreprises de plus de 20 employés – opèrent sur une base juridiquement protégée. Un règlement de l’UE imposant le balayage côté client serait probablement immédiatement contesté en Allemagne. La question n’est pas si, mais quand un tel texte de loi atterrira devant le Conseil constitutionnel fédéral ou la Cour de justice de l’UE.

Ce que cela signifie pour les entreprises

Les conséquences ne sont pas théoriques. Si les ordonnances de détection deviennent obligatoires dans une version ultérieure du règlement, elles toucheront toutes les plateformes chiffrées : Microsoft Teams, Slack, Signal, WhatsApp – et toute solution de messagerie avec chiffrement de bout en bout.

Pour les équipes de conformité, trois risques concrets se posent. Premièrement : la communication interne – négociations contractuelles, processus de fusion-acquisition, dossiers du personnel, code source – serait automatiquement balayée, avec un taux d’erreur confirmé dans la détection. Les faux positifs pourraient transmettre des données d’entreprise confidentielles aux autorités sans le savoir de l’entreprise.

Deuxièmement : les exigences différentes en UE et aux États-Unis rendent une architecture de chiffrement globale unifiée impossible. Les entreprises devraient exploiter des canaux de communication séparés pour les contextes UE et non-UE.

Troisièmement : la perte de confiance. La présidente de Signal, Meredith Whittaker, a annoncé qu’elle quitterait le marché de l’UE si le balayage côté client devenait obligatoire. Pour les entreprises utilisant Signal comme canal de communication sécurisé – et ce sont nombreuses, en particulier dans le secteur de la sécurité – ce serait une perte directe d’infrastructure.

Ce que les équipes de cybersécurité devraient faire maintenant

Premièrement : documenter l’infrastructure des messagers. Quels canaux chiffrés l’entreprise utilise-t-elle ? Signal, WhatsApp, Teams ? Qui communique avec qui ? Cet inventaire est la base pour toute adaptation nécessaire.

Deuxièmement : vérifier la politique de chiffrement. Quelle communication se fait en chiffrement de bout en bout, quelle est-elle seulement chiffrée au transport ? En cas d’obligation de balayage, la communication E2EE serait concernée – pas le transport chiffré. La compréhension de sa propre architecture est cruciale.

Troisièmement : suivre activement l’évolution réglementaire. Les négociations du trilogue durent au moins jusqu’en juin 2026. Chaque entreprise avec un département de conformité devrait avoir la collection de documents EDRi et les communiqués de presse du Conseil en surveillance.

Quatrièmement : évaluer des canaux de communication alternatifs. Si Signal quitte effectivement le marché de l’UE, les équipes auront besoin d’une alternative avec un niveau de sécurité comparable. Wire (fournisseur suisse), Threema (également suisse) et Matrix/Element (décentralisé, Open Source) sont des candidats – tous avec leur propre profil de conformité.

Le débat sur le contrôle des chats montre un modèle fondamental : une régulation qui affaiblit le chiffrement affaiblit tous – pas seulement le groupe cible. Le Conseil constitutionnel fédéral a marqué les limites constitutionnelles avec l’arrêt Trojaner-II. Les 502 cryptographes ont marqué les limites techniques. Si la politique respecte ces limites, cela se décidera dans les prochains mois.

Une chose est sûre : le chiffrement n’est pas un luxe et n’est pas un obstacle à la poursuite pénale. C’est la base de la communication d’entreprise confidentielle, de la protection des lanceurs d’alerte, des sources journalistiques et de la confiance dans l’infrastructure numérique. Chaque tentative de l’affaiblir affaiblit l’ensemble du système – cela a été confirmé par les 502 scientifiques, cela a été confirmé par le Conseil constitutionnel fédéral et cela montre l’histoire du Clipper Chip. La question n’est pas si le chiffrement doit être protégé. La question est si l’Europe comprend cela avant qu’il ne soit trop tard.

Questions fréquentes

Chaque question est verrouillée. Un clic déverrouille la réponse.

L’utilisation de proxys en Europe montre que les entreprises et les utilisateurs n’attendent pas la régulation. Selon Telecom Reseller, l’utilisation de proxys SOCKS5 en Europe a augmenté de près de 1 770 % – un indicateur que des contre-mesures proactives sont prises. La question est de savoir si l’UE appliquera une régulation qui est techniquement contournée et constitutionnellement attaquable – ou si elle respectera l’accommodement du texte du Conseil : évaluation des risques au lieu de surveillance de masse, prévention au lieu de portes dérobées.