Pédopornographie : débats autour des outils de prévention au Parlement européen

Le rapporteur du Parlement européen a fait circuler de nouveaux amendements pour trouver un compromis sur un projet de règlement européen visant à lutter contre les abus sexuels sur les enfants. Ces amendements affinent les obligations d’analyses des risques des services de messagerie.

Le règlement visant à établir des règles de prévention et de combat des abus sexuels sur les enfants (CSAM) a suscité la controverse. En effet, il devrait permettre aux autorités judiciaires d’émettre des ordres de détection obligeant des plateformes telles que WhatsApp et Gmail à analyser les messages privés afin de détecter des contenus présumés illégaux.

En avril, Javier Zarzalejos (PPE – droite), le député européen à l’origine du dossier a déclaré à EURACTIV qu’il avait l’intention de se concentrer sur l’obligation pour les plateformes de conduire en interne des « due diligences » (diligence raisonnable) basées sur des analyses de risques.

Dans le but de trouver un compromis avec les autres groupes politiques au Parlement européen, l’eurodéputé a introduit dans le texte , selon un document divulgué par Contexte, des spécifications sur le rôle des fournisseurs de services et des services de messagerie dans la conduite d’analyses de risques.

Évaluation des risques

Les services de communication interpersonnelle devront procéder à une évaluation des risques « spécifique aux services qu’ils offrent et proportionnelle au risque compte tenu de sa gravité et de sa probabilité ».

Les plateformes en ligne désignées comme « très grandes » doivent déjà procéder à une analyse de risques dans le but d’identifier et d’atténuer leurs risques systémiques, en vertu du règlement sur les services numériques (Digital Services Act).

Le compromis stipule que les deux analyses des risques pourraient être fusionnées en une seule.

Parmi les éléments que les fournisseurs de services doivent prendre en compte dans leurs analyses de risques, le texte liste « leurs systèmes de recommandation et tout système algorithmique pertinent », le modèle d’entreprise et le type d’utilisateurs qu’ils ciblent, par exemple, en termes de tranches d’âge.

En outre, les plateformes doivent être capables de savoir si des moteurs de recherche externes peuvent permettre de trouver d’autres utilisateurs  utilisant leurs services, en particulier des adultes ou des enfants, et les classer directement comme des « contacts non sollicités ».

Les fournisseurs devront également déterminer si des noms d’utilisateurs peuvent comporter des informations sur l’âge ou la localisation d’un utilisateur mineur.

Les fournisseurs de services peuvent demander au Centre de l’UE chargé de prévenir et de combattre les abus sexuels sur enfants — un centre d’expertise sur la réglementation du CSAM — d’analyser leur méthodologie d’évaluation des risques, y compris de tester « des échantillons de données mis à la disposition du Centre de l’UE ». Une telle décision peut être prise pour faciliter le processus d’analyse de risques, mais ne dispense pas le prestataire de procéder lui-même à son évaluation des risques.

Le fournisseur doit prendre en compte les « ressources humaines et financières » dont il dispose. Il doit également organiser des « campagnes de sensibilisation pour éduquer et avertir les utilisateurs ».

Vérification de l’âge

En ce qui concerne les mécanismes de vérification de l’âge en ligne, le texte indique qu’ils seront autorisés, sans qu’ils ne posent préjudice ni à d’autres processus visant à empêcher l’accès des mineurs à certains sites web ni aux mécanismes de prévention de l’exposition à des contenus ou services inappropriés. Ces dispositions doivent de plus tenir compte de l’impact potentiel de ces mesures sur les droits fondamentaux.

Les amendements de compromis soutiennent également l’utilisation de « contrôles parentaux adaptés à l’âge » sans préciser ce que cette référence pourrait impliquer dans la pratique.

Le texte du rapporteur fait également référence à des outils facilement reconnaissables, accessibles, adaptés à l’âge des utilisateurs. Il s’agirait notamment des canaux de signalement anonymes et d’options d’autosignalements par les victimes.

L’utilisation d’outils d’intelligence artificielle pour les contrôles parentaux et l’autodénonciation par les victimes a été supprimée du texte initial.

Communications audio, cryptage et surveillance générale

Alors que le texte indique que le règlement ne s’applique pas aux communications audio, tout comme dans les versions précédentes du dossier, il ne définit pas ce qu’elles sont (appel téléphonique, message vocal…).

Le mois dernier, EURACTIV a rapporté que la plupart des États membres étaient favorables à l’inclusion des communications audio dans le champ d’application du projet de loi.

Les amendements soulignent qu’il ne devrait pas être interdit aux fournisseurs d’offrir des services cryptés de bout en bout et que le cryptage ne devrait pas être interdit, affaibli ou compromis.

Ces amendements interviennent après que l’Espagne a suggéré, à la fin du mois de mai, d’interdire totalement le cryptage.

En outre, les amendements précisent que le règlement ne doit pas affecter les règles établies par la loi sur l’intelligence artificielle ni porter atteinte à l’interdiction de la surveillance générale des communications privées.

Lignes directes et d’assistance

Les amendements établissent une distinction entre les lignes directes et les lignes d’assistance.

Selon le texte, les premières désignent une organisation officiellement reconnue par le pays hôte, qui doit s’ajouter aux canaux de signalement officiels fournis par les autorités policières pour recevoir des plaintes anonymes de la part des victimes et du public.

En revanche, les lignes d’assistance téléphonique désignent des organisations « fournissant des services aux enfants dans le besoin, officiellement reconnues par l’État membre dans lequel elles sont établies ».

Selon la nouvelle série d’amendements, il devrait y avoir suffisamment d’informations disponibles sur les lignes téléphoniques d’urgence, les lignes d’assistance et les services nationaux d’application  de la loi pour que les enfants puissent demander de l’aide.

Services de communication interpersonnelle

En avril, M. Zarzalejos a indiqué qu’il était prêt à discuter de la possibilité de limiter le champ d’application du règlement aux services de communications interpersonnelles non fondés sur la numérotation, une demande émanant du secteur des télécommunications.

Les applications de messagerie instantanée comme Messenger et WhatsApp sont des exemples de services qui ne font pas partie d’un plan de numérotation et sont donc moins réglementés.

Bien qu’aucun amendement concret révisant le champ d’application de ce texte n’ait été introduit, une définition du service de communications interpersonnelles non fondé sur la numérotation dans des jeux a été introduite, ce qui semble indiquer que la question fait toujours l’objet d’un débat.

Mesures volontaires

Les fournisseurs sont autorisés à utiliser volontairement des technologies spécifiques pour le traitement des données personnelles, mais uniquement pour détecter, signaler et supprimer du contenu relatif à des abus sexuels commis sur des enfants.