Le 9 juillet 2026, le Parlement européen a tenté de mettre fin aux règles temporaires de Chat Control. Raté, à cause d’un détail de procédure. Pas par manque de voix pour bloquer le texte : 314 eurodéputés ont voté pour bloquer la prolongation, seulement 276 contre. Le problème, c’est que la procédure exigeait 360 voix pour aboutir. Résultat, la prolongation passe quand même, par défaut, et court désormais jusqu’au 3 avril 2028.
Ce qui s’est passé à Strasbourg
Chat Control 1.0 est le surnom du règlement intérimaire de l’UE qui autorise les fournisseurs de messagerie et d’e-mail à scanner volontairement les communications privées à la recherche de contenus pédopornographiques (CSAM). Ce régime tourne depuis 2021, prolongé par petites tranches. Ce vote du 9 juillet était l’occasion pour le Parlement de le laisser tomber.
Ça n’a pas marché, mais pas faute de voix. Comme le rapporte The Register, la motion visant à bloquer la prolongation avait besoin d’un seuil précis selon la procédure applicable, et 314 voix n’ont pas suffi, même si le score écrase largement les 276 voix contre. Euronews a qualifié le résultat de texte “passé par la petite porte”, puisque la prolongation survit uniquement parce que le rejet n’a pas atteint le seuil, pas parce qu’une majorité l’a validée.
Concrètement : le régime volontaire de scanning CSAM en place depuis 2021 continue sans changement, et il est désormais verrouillé jusqu’en avril 2028.
Petit retour en arrière
Cette bataille n’a pas commencé le 9 juillet. La Commission européenne a proposé une première fois une version permanente et obligatoire de Chat Control en 2022, et le texte a été réécrit, retardé et réintroduit sous plusieurs présidences du Conseil depuis. Chaque version se heurte au même mur : impossible d’obliger les plateformes à scanner le contenu des messages, y compris ceux chiffrés de bout en bout, sans casser le chiffrement ou construire une porte dérobée que n’importe qui, pas seulement les enquêteurs spécialisés, finira par trouver et exploiter.
Le Parlement a repoussé la version obligatoire à plusieurs reprises, ce qui explique pourquoi l’UE s’appuie depuis 2021 sur ce cadre volontaire “temporaire”, prolongé tous les un ou deux ans plutôt que de le laisser expirer ou de forcer le passage de la loi permanente. Le 9 juillet devait être le moment où ce rafistolage temporaire prenait fin. Il a plutôt gagné 21 mois de sursis, et le vrai combat s’est simplement déplacé au round suivant.
L’exemption chiffrement, et pourquoi elle ne change presque rien
Il y a une vraie victoire cachée dans ce vote. Les eurodéputés ont obtenu une majorité pour exclure formellement les plateformes chiffrées de bout en bout (E2EE), WhatsApp, Signal, iMessage, des dispositions de scanning de ce règlement intérimaire.
Sur le papier, ça a l’air important. Dans les faits, ça ne change presque rien, parce que les fournisseurs ne scannaient déjà pas le contenu des messages E2EE dans le cadre volontaire actuel. On ne peut pas scanner ce qu’on ne peut pas lire, et le chiffrement de bout en bout laisse la plateforme elle-même à l’écart du texte en clair, par construction. Les associations de défense de la vie privée ont été plutôt directes : cette exemption entérine une réalité technique déjà là, elle ne ferme pas une porte ouverte. Le vrai combat n’a jamais vraiment porté sur les règles intérimaires. Il porte sur ce qui vient après.
Ce qui arrive vraiment en septembre
La prolongation intérimaire n’a jamais été le vrai enjeu. La législation permanente de Chat Control, celle qui remplacerait ce bricolage volontaire par une loi contraignante à l’échelle de l’UE, c’est là que se joue le vrai rapport de force, et les négociations reprennent en septembre 2026.
Plusieurs propositions sur la table portent sur le scanning côté client (client-side scanning) : un logiciel installé sur votre téléphone ou votre ordinateur qui inspecte le contenu d’un message avant même que le chiffrement soit appliqué, et signale les correspondances à une base de données. L’argument des partisans, c’est que le chiffrement de bout en bout reste “techniquement intact”, puisque le message est toujours chiffré une fois envoyé. Les critiques, y compris la majorité de la communauté de recherche en cryptographie et en sécurité, jugent cet argument trompeur. Si chaque message est inspecté sur l’appareil avant d’être envoyé, la garantie de confidentialité qui faisait tout l’intérêt du chiffrement de bout en bout disparaît en pratique, même si les mathématiques restent valides sur le papier.
C’est le même combat qui dure depuis l’apparition de Chat Control en 2022, et il rejoint directement la poussée de surveillance plus large de l’UE couverte dans notre article sur Going Dark et ProtectEU. Un autre véhicule législatif, mais le même objectif de fond : construire pour l’UE une architecture qui rend les communications lisibles, alors qu’elles sont censées rester privées.
Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.
Pourquoi ça concerne les utilisateurs de VPN, sans enjoliver
Voici la partie qu’on ne va pas survendre. Un VPN est un outil de confidentialité vraiment utile, mais il ne fait pas ce que beaucoup de gens croient dans ce dossier précis.
Un VPN chiffre le trafic entre votre appareil et le serveur VPN, et masque votre adresse IP et votre localisation auprès de votre FAI et des sites que vous visitez. C’est une vraie protection, et c’est pour ça que la juridiction et la politique de logs comptent autant quand vous choisissez un fournisseur.
Ce qu’un VPN ne peut pas faire, c’est protéger le contenu d’un message contre un scanning côté client. Si le scan se fait directement sur l’appareil, avant même que le chiffrement de votre VPN entre en jeu, le tunnel VPN n’a aucune prise sur cette menace précise. Le scan a déjà eu lieu. Votre VPN voit du trafic chiffré sortir de votre appareil dans les deux cas ; il n’a aucune visibilité sur ce qu’une application a inspecté avant l’envoi, et aucun moyen de l’empêcher. C’est une surface d’attaque différente de celle pour laquelle un VPN est conçu, et aucune couche de chiffrement de tunnel n’y change quoi que ce soit.
Pour résumer simplement : un VPN protège le tuyau. Le scanning côté client se passe avant le tuyau. Quiconque vous vend un VPN comme solution à ce problème précis vous vend quelque chose qu’il ne peut pas faire.
Ce qu’il faut surveiller et faire concrètement
Les règles intérimaires ne changent pas avant avril 2028, donc rien ne change aujourd’hui dans votre usage quotidien de la messagerie. Ce qui mérite d’être suivi, c’est le round de négociations de septembre 2026 sur la législation permanente, puisque c’est là que le scanning côté client sera soit inscrit dans le droit européen, soit repoussé à nouveau, comme le scanning de masse l’a été lors de la première offensive Chat Control.
Pour la confidentialité de la messagerie elle-même, le levier concret, c’est de choisir des applications qui collectent et stockent le minimum, et de surveiller la réaction des fournisseurs si des obligations de scanning côté client venaient à s’imposer. Signal a déjà déclaré publiquement qu’elle préférerait quitter le marché européen plutôt que d’intégrer ce scanning dans son application. Pour la navigation et la confidentialité de la connexion en général, un bon VPN sans logs comme ProtonVPN, basé en Suisse et vocal sur les enjeux de droits numériques européens, reste un choix solide. Il faut juste comprendre ce qu’il couvre, et ce qu’il ne couvre pas.
Rien de tout ça ne rend le chiffrement ou les VPN inutiles. Un VPN continue de masquer les sites et services auxquels vous vous connectez face à votre FAI, protège toujours sur le wifi public, et cache toujours votre vraie localisation aux serveurs que vous contactez. Ce sont des problèmes réels que le VPN règle bien. Le scanning côté client est un problème réel différent, que le VPN ne règle pas du tout. Garder les deux idées bien distinctes, c’est tout l’intérêt de traiter ce sujet honnêtement plutôt que de transformer chaque actualité européenne sur la vie privée en argument de vente.
Notre guide sur Five Eyes, Nine Eyes et Fourteen Eyes couvre l’angle des alliances de surveillance si vous voulez la vue d’ensemble sur qui peut légalement demander quelles données, et à qui.
Ce vote est un quasi-échec déguisé en compromis. Les règles intérimaires survivent grâce à un détail de procédure, pas grâce à un mandat clair, et l'exemption chiffrement obtenue par le Parlement reste surtout symbolique puisque les applications E2EE n'étaient jamais dans le champ du texte. Le vrai rendez-vous, c'est septembre 2026, quand la législation permanente reviendra avec des propositions de scanning côté client sur la table. Un VPN reste indispensable pour masquer votre trafic et votre localisation, mais soyons clairs : ce n'est pas une défense contre un scanning qui se produit sur votre appareil avant que votre VPN n'intervienne. Ce dossier mérite d'être suivi de près.