Le Règlement européen CSAR veut remettre en cause le droit au secret de nos communications

Nous reprenons l’analyse de La Quad­ra­ture du Net sur le règle­ment européen CSAR (“Child Sex­u­al Abuse Reg­u­la­tion” ou Régle­ment face aux abus sex­uels sur les enfants) et le com­bat mené par l’EDRi (Euro­pean Dig­i­tal Rights) face aux men­aces con­tre le cryptage de nos com­mu­ni­ca­tions privées.

Il y a un peu plus d’un an, la Com­mis­sion européenne pro­po­sait l’un des pires textes jamais pen­sés sur le numérique : le règle­ment CSAR, égale­ment appelé “Chat con­trol”.

Affichant l’objectif de lut­ter con­tre les abus sex­uels sur les enfants, cette propo­si­tion vise en réal­ité à créer un out­il inédit de sur­veil­lance des com­mu­ni­ca­tions. Dès le dépôt de ce pro­jet de règle­ment, partout en Europe, asso­ci­a­tions et expert·es se sont insurgé·es con­tre cette ini­tia­tive car elle reviendrait à met­tre fin au chiffre­ment des com­mu­ni­ca­tions.

Aujourd’hui, bien que les cri­tiques sont aujourd’hui plus nom­breuses encore, les dis­cus­sions avan­cent rapi­de­ment à Brux­elles, lais­sant présager une adop­tion très prochaine du texte. Afin de com­pren­dre ses enjeux et aider à ren­forcer la mobil­i­sa­tion, nous revenons sur le con­tenu de ce règle­ment qui pour­rait sign­er la fin de toute con­fi­den­tial­ité des échanges en ligne.

La genèse du pro­jet

Le 11 mai 2022, la Com­mis­sion européenne lâchait une bombe dans le monde du numérique en pub­liant sa propo­si­tion de règle­ment “étab­lis­sant des règles en vue de prévenir et de com­bat­tre les abus sex­uels sur enfants”. Dénom­mé “Chat con­trol” ou “CSAR” (pour “Child sex­u­al abuse reg­u­la­tion”), ce texte vise à oblig­er les four­nisseurs de con­tenus en ligne à détecter des con­tenus d’abus sex­uels de mineurs en analysant les con­ver­sa­tions de leurs utilisateur·ices.

Cette ini­tia­tive s’inspire d’outils mis en œuvre depuis plusieurs années par les grandes entre­pris­es du web. Meta, par exem­ple, analyse de façon proac­tive l’ensemble des mes­sages échangés sur Face­book Mes­sen­ger ain­si que les don­nées non chiffrées de What­sapp (pho­tos de pro­fil ou groupe, descrip­tions, …) en vue de détecter des images con­nues d’exploitation d’enfants. En 2021, Apple annonçait met­tre en place un out­il d’analyse des don­nées de ses clients hébergées sur iCloud afin de les com­par­er à une base de don­nées de con­tenus sig­nalés comme liés à de la pédo­pornogra­phie, tout comme Microsoft qui a dévelop­pé l’outil de com­para­i­son Pho­toD­NA.

Dès 2020, la Com­mis­sion avait com­mencé à laiss­er présager son appé­tence pour ce type d’outils dans sa “stratégie de lutte con­tre les abus sex­uels com­mis con­tre les enfants” qui a débouché en 2021 sur l’adoption d’un règle­ment sur le sujet. Celui-ci autori­sait, de façon tem­po­raire pen­dant trois ans, les ser­vices de com­mu­ni­ca­tion élec­tron­ique à faire de l’analyse de con­tenus en vue de détecter ceux liés à ce type d’abus. Si cette pos­si­bil­ité était fac­ul­ta­tive et devait repos­er sur leurs con­di­tions générales, une telle inscrip­tion formelle dans la loi légiti­mait néan­moins les ini­tia­tives et tech­niques de sur­veil­lance des grandes plate­formes, ren­forçant par là même leur pou­voir hégé­monique, sans qu’aucune éval­u­a­tion de la per­ti­nence de ces méth­odes ne soit par ailleurs réal­isée.

Cette autori­sa­tion prend fin en 2024 et c’est pour cette rai­son que le CSAR a été pro­posé. Mais con­traire­ment au règle­ment tem­po­raire qui ne fai­sait que l’autoriser, ce pro­jet de règle­ment impose de façon oblig­a­toire la détec­tion de ces con­tenus pédo­pornographiques sous cer­taines con­di­tions, met­tant donc fin à toute forme de con­fi­den­tial­ité. Depuis le début des dis­cus­sions il y a un an et demi, le réseau européen EDRi, dont La Quad­ra­ture du Net fait par­tie, a fourni un tra­vail d’analyse con­sid­érable sur ce texte, que vous pou­vez retrou­ver dans leur “posi­tion paper” ou, de façon plus con­den­sée, dans leur brochure (en anglais). Nous vous résumons ici les prin­ci­paux enjeux autour de ce règle­ment.

Le con­tenu du règle­ment

Le règle­ment CSAR vise à s’appliquer à un nom­bre très impor­tant d’acteurs. Entrent ain­si dans le champ d’application tous les “four­nisseurs de ser­vices de com­mu­ni­ca­tions inter­per­son­nelles”, c’est-à-dire les mes­sageries en ligne telles que Sig­nal, What­sapp ou Telegram, les four­nisseurs de mail, les appli­ca­tions de ren­con­tre mais égale­ment les mes­sageries qui ne sont qu’une fonc­tion acces­soire à d’autres ser­vices, comme dans les jeux par exem­ple. Ren­trent égale­ment dans le champ d’application les “four­nisseurs de ser­vices d’hébergement” tels que NextCloud, iCloud, Drop­Box… ou les hébergeurs asso­ci­at­ifs des Cha­tons, les bou­tiques d’applications ain­si que les réseaux soci­aux.

Ces four­nisseurs seraient con­traints à met­tre en œuvre une sur­veil­lance con­sid­érable de leurs utilisateur·ices. D’une part, les arti­cles 3 et 4 prévoient qu’ils obéis­sent à une oblig­a­tion d’évaluer et réduire au max­i­mum les risques de partage de con­tenus pédo­pornographiques sur les ser­vices con­cernés. Cela impli­querait de fournir, via une étude d’impact, des élé­ments sur le fonc­tion­nement et l’usage de leur out­il afin de théorique­ment anticiper les risques pour iden­ti­fi­er les mesures d’atténuation cor­re­spon­dantes. Les four­nisseurs devraient ain­si être en capac­ité de don­ner des infor­ma­tions sur quel type d’utilisateur·rice (per­son­ne majeure, mineure..) utilisent leur ser­vice et quel type de con­tenu (vidéo, texte..) y sont échangés.

Cette oblig­a­tion est pour­tant incom­pat­i­ble avec un des principes de base de respect de la vie privée sur lesquels repose le fonc­tion­nement de nom­breux ser­vices : l’absence de col­lecte de ce type de don­nées per­son­nelles. Ces prestataires seraient alors dans une posi­tion inten­able car, pour se con­former à cette nou­velle régle­men­ta­tion, ils devront chang­er de mod­èle et com­mencer à recueil­lir des infor­ma­tions qu’aujourd’hui ils ne pos­sè­dent pas. Le règle­ment CSAR reviendrait pour eux à aban­don­ner leur promesse de con­fi­den­tial­ité, garantie notam­ment par le recours au chiffre­ment et l’anonymisation de don­nées.

En out­re, l’article 6 du CSAR pré­conise que les four­nisseurs aient recours à des solu­tions de véri­fi­ca­tion d’âge pour rem­plir cet objec­tif de réduc­tion des risques. Or, non seule­ment aucun out­il viable et respectueux de la vie privée n’existe réelle­ment à ce jour mais, surtout, le recours à ce genre de solu­tion pose de sérieux prob­lèmes quant à la pro­tec­tion de l’anonymat en ligne, comme nous le rap­pe­lions récem­ment dans notre analyse de la loi française SREN. Au final, le texte pousse pour priv­ilégi­er la mise en place de mesures coerci­tives et remet frontale­ment en cause le droit à la vie privée.

D’autre part, ces acteurs auront l’obligation de répon­dre à toute “injonc­tion de détec­tion” émise par un juge ou une autorité admin­is­tra­tive. Ain­si, les arti­cles 7 à 11 prévoient que, s’il existe “un risque impor­tant que le ser­vice soit util­isé à des fins d’abus sex­uels sur enfants en ligne”, les four­nisseurs pour­ront se voir oblig­és d’installer au cœur même de leur appli­ca­tion ou infra­struc­ture des out­ils leur per­me­t­tant de scan­ner les don­nées qui y tran­si­tent, afin d’y détecter de poten­tiels con­tenus liés aux abus sex­uels d’enfants.

Plus pré­cisé­ment les four­nisseurs devront repér­er trois types de don­nées :

• Des con­tenus “con­nus”, c’est-à-dire des images ou des vidéos déjà réper­toriées par les autorités comme liées à de la pédo­pornogra­phie ou des abus sex­uels d’enfants.
• Des con­tenus “incon­nus”, c’est-à-dire des pho­tos ou vidéos sus­cep­ti­bles de con­stituer de la pédo­pornogra­phie, mais qui n’auraient pas été iden­ti­fiées comme telles. Pour trou­ver ces con­tenus, les ser­vices devront utilis­er des out­ils fondés sur de l’intelligence arti­fi­cielle qui iden­ti­fieront des cor­réla­tions entre les con­tenus partagés et des indi­ca­teurs prédéfi­nis (par exem­ple de la peau nue).
• Des activ­ités con­sis­tant à sol­liciter des enfants (appelé “pédopiégeage”). Il s’agit de détecter des com­porte­ments “types” de per­son­nes qui ren­trent en con­tact avec des enfants, à nou­veau à par­tir de mod­èles sta­tis­tiques et prob­a­bilistes fondés sur de l’intelligence arti­fi­cielle.

Con­crète­ment, il s’agira de met­tre en œuvre une tech­nique de “client side scan­ning” (lit­térale­ment “analyse côté client”), c’est-à-dire analyser directe­ment sur les appareils des utilisateur·ices les don­nées qui y tran­si­tent. Lorsqu’un inter­naute enver­ra un mes­sage ou postera une pub­li­ca­tion via un des ser­vices con­cernés par une injonc­tion, ce con­tenu sera analysé avant envoi. Plus pré­cisé­ment, ce sont des “hash”, c’est-à-dire des empreintes numériques liées aux images, qui seront exam­inées. Ce hash sera alors com­paré à une base de don­nées déjà con­sti­tuée de con­tenus relat­ifs à des abus sex­uels d’enfants. Si le hash cor­re­spond avec une pho­to de la base, une alerte est déclenchée. Dans le cas con­traire, cela sig­ni­fie que le con­tenu doit être qual­i­fié d’“incon­nu” et un out­il d’analyse sup­plé­men­taire véri­fiera alors s’il existe des cor­réla­tions ou simil­i­tudes avec des con­tenus d’abus sex­uels pour déclencher une alerte le cas échéant.

Le cheval de Troie de la Com­mis­sion : vers la fin du chiffre­ment

En affichant l’objectif de pro­téger les enfants, l’Union européenne tente en réal­ité d’introduire une capac­ité de con­trôle gigan­tesque de l’ensemble des vies numériques, con­créti­sant le rêve de sur­veil­lance de tout gou­verne­ment. Ce texte a fait l’objet de tant de réac­tions qu’EDRi se demande si le CSAR ne serait pas la loi européenne la plus cri­tiquée de tous les temps. Les cri­tiques con­tre ce texte vien­nent des insti­tu­tions européennes elles-mêmes, mais aus­si d’organ­i­sa­tions de défense des enfants en pas­sant par les acteurs de la tech, ain­si que de sci­en­tifiques et chercheur·es où 465 d’entre eux ont signé une let­tre con­tre cette propo­si­tion. Et à rai­son.

Sur le plan tech­nique, il faut com­pren­dre que les injonc­tions de détec­tions oblig­ent les four­nisseurs à analyser toutes les com­mu­ni­ca­tions de l’ensemble des utilisateur·ices des ser­vices con­cernés. Et puisque les mes­sages sont alors analysés avant d’être envoyés à leurs des­ti­nataires, cela sup­prime non seule­ment toute con­fi­den­tial­ité mais cela ren­dra égale­ment inutile toute tech­nique de chiffre­ment appliquée ultérieure­ment, c’est-à-dire une fois que le mes­sage a quit­té l’appareil de l’utilisateur·ice. L’objectif pre­mier du chiffre­ment est d’empêcher un tiers de lire le mes­sage. Le CSAR vise pour­tant pré­cisé­ment à per­me­t­tre une telle lec­ture tierce.

De même, la recherche de pho­to ou vidéo “incon­nue” est totale­ment inac­cept­able. En pra­tique, le risque de “faux posi­tifs” est énorme et cela sig­ni­fie que pour­raient faire l’objet d’une alerte des con­tenus tout à fait légitimes tels le corps d’adulte d’apparence trop juvénile, une pho­to d’enfant envoyée dans un cadre famil­ial ou encore des ados échangeant de façon con­sen­tante.

Enfin, appliqué au cas par­ti­c­uli­er de la détec­tion de con­tenus pédo­pornographiques, envis­ager la con­sti­tu­tion et l’utilisation d’une telle base de don­nées ne prend pas en compte la réal­ité des humains devant la manip­uler, l’alimenter, et qui seront con­fron­tés à des con­tenus dif­fi­ciles quo­ti­di­en­nement. Sans par­ler du fait que les images des enfants vic­times seront con­servées pour “amélior­er” l’efficacité de ces out­ils.

Non seule­ment le CSAR crée des oblig­a­tions dis­pro­por­tion­nées et implique des tech­niques extrême­ment intru­sives, mais surtout ces mesures sont loin d’être per­ti­nentes pour attein­dre l’objectif cru­cial de pro­tec­tion des enfants et de lutte con­tre les abus sex­uels. En effet, aucune étude sérieuse n’a été fournie sur l’adéquation, la fia­bil­ité ou la per­ti­nence de telles mesures extrême­ment intru­sives. Au con­traire, il a été révélé par l’asso­ci­a­tion alle­mande Gesellschaft für Frei­heit­srechte que la Com­mis­sion fondait sa propo­si­tion sur les seules allé­ga­tions de l’industrie, par­ti­c­ulière­ment la fon­da­tion Thorn et Meta, pour jus­ti­fi­er ce pro­jet de règle­ment. Des insti­tu­tions poli­cières et judi­ci­aires, comme en Alle­magne par exem­ple, ont elles aus­si exprimé leurs réserves sur l’utilité de ces dis­posi­tifs pour leurs enquêtes dès lors que cela ne répond pas aux prob­lé­ma­tiques qu’ils ren­con­trent au quo­ti­di­en.

Par ailleurs, depuis le début de la cam­pagne con­tre ce texte, beau­coup de ressources ont été pro­duites pour démon­tr­er que la pro­tec­tion des enfants con­tre les abus pas­sait prin­ci­pale­ment par des poli­tiques de préven­tion ou d’éducation et que toute éventuelle réponse pénale devait être encadrée par des mesures ciblées et fondées sur des preuves tan­gi­bles. Com­ment a‑t-on pu alors en arriv­er là ?

La ten­ta­tion autori­taire des États

Cette propo­si­tion lég­isla­tive est une solu­tion large­ment conçue par l’industrie, et ensuite général­isée par les élites poli­tiques qui illus­trent ain­si une nou­velle fois leur absurde propen­sion au “solu­tion­nisme tech­nologique” et au ren­force­ment de la sur­veil­lance numérique.

Pour ren­dre accept­able ces mesures de sur­veil­lance, elles affichent un objec­tif qui fait l’unanimité. Mais tout le monde sait que la stratégie con­siste avant tout à affaib­lir le niveau de sécu­rité et de con­fi­den­tial­ité des com­mu­ni­ca­tions numériques. Depuis les cryp­to-wars des années 1990, un cer­tain nom­bre d’États affir­ment que les tech­nolo­gies pro­tégeant la vie privée, et prin­ci­pale­ment le chiffre­ment des com­mu­ni­ca­tions, sont un obsta­cle aux enquêtes poli­cières.

De fait, ces tech­nolo­gies sont conçues pour cela, puisque c’est à cette con­di­tion qu’elle garan­tis­sent à toutes et tous la pos­si­bil­ité de con­trôler nos modes d’expression et de com­mu­ni­ca­tion. L’une des plus impor­tantes con­séquences des révéla­tions du lanceur d’alerte de la NSA Edward Snow­den, il y a dix ans, fut juste­ment une démoc­ra­ti­sa­tion de la pra­tique du chiffre­ment et, à l’époque, l’étab­lisse­ment d’un relatif con­sen­sus en faveur du droit au chiffre­ment au plan insti­tu­tion­nel. Mais police et gou­verne­ments sont gênés, et l’on assiste depuis plusieurs années au retour de posi­tion­nements autori­taires de dirigeants prenant tour à tour l’excuse du ter­ror­isme, de la crim­i­nal­ité organ­isée et de la pédo­pornogra­phie pour obtenir sa remise en cause.

En France, aus­si bien Bernard Cazeneuve qu’Emmanuel Macron ont déjà affir­mé leur volon­té de con­trôler les mes­sageries chiffrées, rêvant ain­si de percer l’intimité des mil­lions de per­son­nes qui les utilisent. Au cours d’une audi­tion devant le Sénat le 5 avril dernier, Gérald Dar­manin a expressé­ment demandé pou­voir cass­er le chiffre­ment des militant·es écol­o­gistes et de “l’ultragauche”, qui auraient une “cul­ture du clan­des­tin”.

Aus­si avons-nous récem­ment exposé com­ment, dans l’affaire dite du “8 décem­bre”, les ser­vices de ren­seigne­ment et de police ont con­stru­it une nar­ra­tion sim­i­laire autour de l’util­i­sa­tion d’outils respectueux de la vie privée par les per­son­nes inculpées (Sig­nal, Tor, Tails…), afin de dessin­er le por­trait de per­son­nes crim­inelles ayant des choses à cacher ou la volon­té de fuir la police. Au niveau européen, des fuites ont révélé l’inten­tion de plusieurs États de réduire le niveau de sécu­rité du chiffre­ment de bout-en-bout, tels que l’Espagne qui veut tout sim­ple­ment y met­tre fin.

Le règle­ment CSAR s’inscrit dans cette con­ti­nu­ité et con­stitue une oppor­tu­nité par­faite pour les États mem­bres pour enfin con­cevoir et généralis­er un out­il de sur­veil­lance des échanges de la pop­u­la­tion et ain­si met­tre fin aux obsta­cles posés par les ser­vices trop pro­tecteurs de la vie privée. Mais pass­er ce cap, c’est sup­primer toute con­fi­den­tial­ité des com­mu­ni­ca­tions qui passeraient par des infra­struc­tures numériques. L’intégrité et la sécu­rité de ces dernières ne pour­raient alors plus jamais être garanties dès lors que cette “porte dérobée” existe. C’est créer des occa­sions, aus­si bien pour les États que les acteurs malveil­lants, de détourn­er et d’abuser de cette capac­ité d’entrer dans les télé­phones et ordi­na­teurs de la pop­u­la­tion. Enfin, c’est ouvrir une brèche, un espace à sur­veiller qui n’existait pas aupar­a­vant, et qui sera néces­saire­ment éten­du dans le futur par de nou­velles lég­is­la­tions pour repér­er d’autres types de con­tenus.

Ce risque est dénon­cé par des ser­vices tels que Sig­nal, Pro­ton ou Matrix, qui pro­posent des com­mu­ni­ca­tions chiffrées de bout-en-bout et sécurisées — et promet­tent donc une con­fi­den­tial­ité presque inté­grale. Cette propo­si­tion viendrait cass­er leur promesse en les oblig­eant à analyser les con­tenus et à créer une vul­néra­bil­ité dans leurs tech­nolo­gies. Ce risque a égale­ment été récem­ment dénon­cé par Apple : pour jus­ti­fi­er la fin de l’analyse des con­tenus hébergés sur iCloud, l’entreprise expli­quait que la tech­nolo­gie util­isée est trop dan­gereuse en ter­mes de sécu­rité et de respect de la vie privée [1].

En Grande-Bre­tagne, où est actuelle­ment dis­cuté un pro­jet de loi sim­i­laire, le Online Safe­ty Bill, Sig­nal et What­sapp ont men­acé de sup­primer leur ser­vice du pays si ce texte venait à pass­er. Face à cette fronde, les Bri­tan­niques ont très récem­ment annon­cé sus­pendre la mise en œuvre de cette mesure au regard de l’infaisabilité à ce stade de pro­téger le chiffre­ment de bout-en-bout. Cepen­dant, la mesure est tou­jours dans la loi et pour­rait donc être applic­a­ble un jour. À Lon­dres comme à Brux­elles, la bataille est loin d’être finie.

Refuser et agir

Il est donc urgent d’agir pour arrêter cette nou­velle ini­tia­tive qui créerait un grave précé­dent et don­nerait aux États une légitim­ité pour pouss­er tou­jours plus loin l’intrusion dans les com­mu­ni­ca­tions. Mais les dis­cus­sions avan­cent vite à Brux­elles. D’un coté, le Con­seil, organe regroupant les gou­verne­ments des États mem­bres, doit pub­li­er sa posi­tion sur ce texte d’ici fin sep­tem­bre. Celle-ci s’annonce très mau­vaise, poussée par plusieurs États – France en tête. Cer­tains États comme l’Allemagne ou l’Autriche auraient néan­moins exprimé des réserves quand à l’incompatibilité de cette dernière ver­sion par rap­port à leur pro­pre posi­tion offi­cielle.

De l’autre coté, le Par­lement européen devra égale­ment adopter sa ver­sion du texte, d’abord en com­mis­sion en octo­bre puis en novem­bre en séance plénière. Si beau­coup d’eurodéputé·es s’opposent au texte, cela ne suf­fi­ra sans doute pas à blo­quer son adop­tion. Pour agir, nous vous invi­tons à rejoin­dre la cam­pagne “Stop Scan­ning me” menée par une coali­tion d’organisations et à partager le plus pos­si­ble les infor­ma­tions sur la mobil­i­sa­tion en cours [2].

Vous pou­vez égale­ment appel­er des par­lemen­taires européens pour les inviter à rejeter ce texte.

[1] Néan­moins, il faut rel­a­tivis­er cette prise de posi­tion dès lors que la firme con­tin­ue d’expéri­menter une tech­nolo­gie sim­i­laire dans une fonc­tion fac­ul­ta­tive dénom­mée « Com­mu­ni­ca­tion Safe­ty » qui recherche de la nudité directe­ment sur les ter­minaux.

[2] Aus­si, vous pou­vez regarder cette con­férence faite au dernier Chaos Com­mu­ni­ca­tion Camp sur le com­bat con­tre Chat con­trol (en anglais).

Let­tre ouverte de 87 organ­i­sa­tions européennes (en anglais)

Cette let­tre ouverte essaie de jouer sur les dif­férences de sen­si­bil­ité entre les pays européens : si la France macroni­enne est en pointe sur le volon­tarisme lib­er­ti­cide de ce texte, d’autres ont man­i­festé leurs craintes sur les atteintes notam­ment à la vie privée, à la lib­erté d’ex­pres­sion et à la pré­somp­tion d’in­no­cence (Alle­magne, Autriche et d’autres plus dis­crète­ment).

Livret élaboré par l’EDRi (Euro­pean Dig­i­tal Rights) expli­quant les dan­gers du règle­ment CSAR (en anglais)