Pédopornographie en ligne : le Parlement européen conclut un accord

Les principaux groupes politiques du Parlement européen sont parvenus, mardi (24 octobre), à un accord sur le projet de règlement visant à empêcher la diffusion en ligne de contenu pédopornographique (CSAM).

Le projet de règlement vise à prévenir et lutter contre le contenu pédopornographique en exigeant des plateformes numériques de l’UE qu’elles détectent et signalent ce type de contenu. Cette proposition a fait l’objet de critiques car, dans sa forme initiale, elle permettrait aux autorités judiciaires de demander à des services de messagerie tels que WhatsApp ou Gmail d’analyser les messages privés des personnes afin de détecter les contenus suspects.

La version du texte finalement approuvée, consultée par Euractiv, se concentre sur le Centre de l’UE et les injonctions de détection. La commission des Libertés civiles, de la Justice et des Affaires intérieures (LIBE) du Parlement européen devrait adopter le texte le 13 novembre, ce qui permettra d’ouvir la voie à la dernière étape du processus législatif : les négociations interinstitutionnelles (également appelées « trilogues »).

Centre de l’UE

Le Centre de l’UE sera un centre d’expertise qui contribuera à la lutte contre les abus sexuels commis sur des enfants dans l’Union européenne. Après un premier texte de compromis en septembre qui mettait l’accent sur les changements dans les rôles de cet organe, le texte final introduit quelques autres changements.

Le Centre de l’UE jouira de « la capacité juridique la plus large accordée aux personnes morales » en vertu de la législation de chaque État membre.

Les versions précédentes du texte suggéraient que le Centre devrait être établi à La Haye, aux Pays-Bas, mais le choix de ce lieu a fait l’objet d’un débat. La nouvelle version ne dit pas explicitement où le Centre devrait se situer, mais précise que le lieu ne peut pas affecter les tâches ou le recrutement de personnel qualifié nécessaire.

Le lieu choisi doit permettre une installation du Centre dès que le règlement sera adopté et garantir « une répartition géographique équilibrée des institutions de l’UE, de ses organes et de ses agences à travers le bloc », peut-on lire dans le texte. Par ailleurs, le siège devra garantir « la durabilité et la sécurité numérique » ainsi que « la connectivité en ce qui concerne l’infrastructure physique et informatique ».

Le Centre pourra également rechercher des contenus relatifs à des abus sexuels sur des enfants dans des « contenus accessibles au public », à l’instar d’un robot d’indexation du web (web crawler en anglais), une technique déjà utilisée par les moteurs de recherche pour scanner des pages web et les faire apparaître dans les résultats de recherche ou encore par OpenAI pour ChatGPT.

Le Centre doit également être indépendant et disposer d’un responsable des droits fondamentaux chargé de superviser l’exercice des tâches.

Europol

L’Agence de l’Union européenne pour la coopération des services répressifs (Europol) peut demander des informations au Centre, qui, si elles sont jugées « nécessaires et proportionnées », doivent transiter par « un outil de communication d’échange sécurisé disponible, tel que l’application du réseau d’échange sécurisé d’informations », une plateforme déjà utilisée par l’agence, les États membres et des tiers.

Si le Centre de l’UE estime qu’un signalement est « infondé », il doit être transmis à Europol « conformément au droit de l’Union ».

L’accès aux données à caractère personnel traitées dans le système d’information d’Europol ne peut être « accordé qu’au cas par cas, sur présentation d’une demande explicite et justifiée, qui documente la finalité spécifique » de la demande d’accès .

Europol ne peut donc transférer ces données au Centre de l’UE qu’en cas d’absolue nécessité et de manière « proportionnée à la finalité poursuivie ». Ces dernières années, Europol a fait l’objet d’une enquête du Contrôleur européen de la protection des données (CEPD) pour des pratiques de traitement des données ne relevant pas de son mandat, qui a ensuite été modifié.

Chiffrement et injonctions de détection

Le chiffrement a sans doute été la partie la plus débattue du projet de règlement concernant les ordonnances de détection, qui seraient émises pour demander aux services de communication de détecter les CSAM présumés.

Les organisations de défense des droits numériques, les experts et les applications de messagerie telles que Signal ou WhatsApp ont déclaré que cet outil briserait le chiffrement de bout en bout, affaiblissant ainsi la sécurité des données et le droit à la vie privée.

Selon le nouveau texte, les technologies utilisées pour détecter les CSAM doivent faire l’objet d’un « audit indépendant quant à leur performance », qu’elles soient fournies par le Centre de l’UE ou développées par le fournisseur qui les utilise.

Comme le règlement a toujours précisé qu’il devait être neutre sur le plan technologique, il n’y a pas d’exigences spécifiques concernant la technologie à utiliser.

Le document indique également que « le Centre de l’UE décide de l’étendue de l’audit qui sera mis à la disposition du public ». Cette disposition ne devrait toutefois pas s’appliquer au chiffrement de bout en bout.

Les injonctions de détection doivent également cibler un groupe spécifique d’utilisateurs. Par exemple, les « abonnés à un canal de communication spécifique ». Néanmoins, il doit exister des « motifs raisonnables de suspicion » quant à l’existence d’un lien avec des cas d’abus sexuels commis sur des enfants pour que ces utilisateurs puissent être ciblés.

Magasins d’applications et vérification de l’âge

Le rôle des magasins d’applications dans le cadre du règlement visant à lutter contre les contenus pédopornographiques fait également l’objet de discussions depuis un certain temps.

Les fournisseurs de magasins d’applications désignés sont tenus, dans le cadre de la loi sur les marchés numériques (Digital Markets Act, DMA) et pour les applications dont l’utilisation est interdite aux enfants, de faire des efforts raisonnables pour s’assurer que cela soit respecté.

Dans le texte adopté par le Parlement, les eurodéputés ont détaillé des critères spécifiques pour les systèmes de vérification de l’âge, lesquels peuvent être utilisés mais ne sont pas obligatoires, sauf dans le cas des plateformes pornographiques.