<p>Le 28 juillet 2026, l’Union européenne a remis en place la dérogation qui autorise les messageries à détecter volontairement les contenus...
Peu de dossiers européens auront été autant commentés et aussi mal compris. Sous le surnom de « Chat Control », deux textes très différents circulent dans le débat public: une autorisation temporaire, déjà en vigueur, et un règlement permanent, encore en discussion. Les confondre conduit à deux erreurs symétriques: croire que rien ne se passe, ou croire que toutes les conversations professionnelles sont désormais lues. Voici où en est le dossier au 25 août 2026, et ce qu’une PME a intérêt à en retenir. « Chat Control » n’est pas un terme officiel: c’est le surnom donné par les opposants au dispositif européen de détection des abus sexuels commis contre des enfants en ligne. Derrière ce surnom, il faut distinguer deux étages.
Le premier étage est une dérogation à la directive « vie privée et communications électroniques » (directive 2002/58/CE). Elle n’oblige personne à rien: elle autorise certains fournisseurs de messagerie à analyser les contenus pour repérer du matériel pédocriminel, le signaler et le retirer, sans être en infraction avec les règles de confidentialité du secteur. Le second étage est un règlement permanent, proposé par la Commission le 11 mai 2022, qui créerait à l’inverse de véritables obligations pour un large éventail de services numériques. C’est celui-ci que l’on appelle communément « Chat Control 2 ». Il n’est pas adopté. La dérogation initiale a été adoptée le 14 juillet 2021 (règlement (UE) 2021/1232), puis prolongée une fois jusqu’au 3 avril 2026 par le règlement (UE) 2024/1307. Le 19 décembre 2025, la Commission a proposé de la prolonger de deux ans. Faute d’accord entre le Parlement européen et le Conseil, le texte est arrivé à échéance et a expiré le 3 avril 2026, laissant un vide juridique de près de quatre mois.
Ce vide a été comblé en juillet 2026, mais pas dans les termes voulus par le Conseil. Le 9 juillet 2026, le Parlement européen a amendé la position du Conseil en deuxième lecture pour exclure du champ du texte les communications auxquelles le chiffrement de bout en bout « est, a été ou sera appliqué ». Le vote fut serré: selon le communiqué du Parlement, la position amendée a été maintenue par 286 voix contre 276, avec 30 abstentions. Le Conseil a accepté ces amendements le 23 juillet 2026, invoquant la nécessité d’agir vite.
Le résultat est le règlement (UE) 2026/1881 du 24 juillet 2026, publié au Journal officiel de l’Union européenne le 28 juillet 2026 et applicable jusqu’au 3 avril 2028. Trois points méritent l’attention d’un dirigeant:
Le chiffrement de bout en bout est hors champ. L’article 1er, paragraphe 3, exclut les communications interpersonnelles chiffrées de bout en bout. Le considérant 32 précise qu’aucune disposition du règlement ne peut être interprétée comme interdisant ou affaiblissant ce chiffrement. Les communications audio sont exclues (article 1er, paragraphe 2). Les appels et messages vocaux ne relèvent pas de cette dérogation.
Le secret professionnel est préservé sur le principe. Le considérant 34 indique que le règlement s’applique sans préjudice des règles nationales de secret professionnel, notamment entre un avocat et son client, un médecin et son patient, ou un journaliste et ses sources.
À retenir surtout: ce texte ne crée aucune obligation nouvelle pour une entreprise. Il ne concerne que les fournisseurs de services de communications interpersonnelles non fondés sur la numérotation — messageries, webmails, téléphonie sur internet — et il leur ouvre une possibilité, qu’ils sont libres de ne pas utiliser.
« Chat Control 2 »: le texte permanent, toujours en négociation
La proposition de règlement du 11 mai 2022 est d’une autre nature. Son article 1er prévoit des obligations de réduction du risque pour l’ensemble des « services de la société de l’information pertinents », des obligations de détection et de signalement pour les services d’hébergement et de communications interpersonnelles, des obligations de retrait pour l’hébergement et de blocage pour les fournisseurs d’accès à internet. Elle crée aussi un centre européen dédié.
Le périmètre est large. Au sens de l’article 2, les services concernés comprennent l’hébergement, les communications interpersonnelles, les boutiques d’applications et l’accès à internet — et le règlement s’appliquerait à tout fournisseur offrant ses services dans l’Union, quel que soit son lieu d’établissement. Sur le volet répressif, l’article 35, paragraphe 2, de la proposition plafonne les sanctions nationales à 6 % des revenus annuels ou du chiffre d’affaires mondial de l’exercice précédent. Ce chiffre est celui de la proposition de 2022: il peut évoluer d’ici l’adoption.
Le calendrier a été laborieux. Le Parlement a arrêté sa position en novembre 2023, sous la conduite du rapporteur Javier Zarzalejos, en limitant notamment l’analyse des échanges chiffrés de bout en bout aux seules métadonnées. Le Conseil, lui, a mis trois ans et plusieurs présidences avant de s’accorder: sa position a été arrêtée le 26 novembre 2025. Elle abandonne l’obligation généralisée de détection, introduit un classement des services en trois catégories de risque — élevé, moyen, faible — et prévoit de rendre permanente la dérogation autorisant la détection volontaire.
Les négociations entre institutions ont commencé le 9 décembre 2025. Selon le Parlement européen, l’essentiel du texte permanent a été négocié durant la présidence chypriote au premier semestre 2026, mais certains points restaient à trancher au 9 juillet 2026. Aucun accord final n’était publié à la date de rédaction de cet article. L’Observatoire législatif du Parlement indiquait encore la procédure comme non achevée en première lecture.
Pourquoi cela concerne votre PME — deux fois
Si votre entreprise utilise ces services
C’est le cas le plus courant, et l’impact est plus discret qu’on ne le dit. Aucune obligation ne pèse sur vous. En revanche, la confidentialité de vos échanges dépend désormais très concrètement d’un choix technique: le chiffrement de bout en bout. Depuis le règlement 2026/1881, une conversation chiffrée de bout en bout sort du champ de la détection volontaire; une conversation qui ne l’est pas peut, si le fournisseur l’a décidé, faire l’objet d’une analyse automatisée de contenu.
Or beaucoup d’entreprises ignorent lequel de leurs outils est chiffré de bout en bout par défaut. Messagerie d’entreprise classique, webmail, canal de discussion intégré à une suite bureautique: dans la plupart des cas, le fournisseur détient techniquement la capacité de lire les contenus, chiffrement en transit et au repos compris. La garantie de secret professionnel du considérant 34 est une protection juridique, pas un filtre technique. Pour un cabinet d’expertise comptable, un cabinet médical ou un bureau d’études qui échangent des pièces sensibles, le choix du support n’est donc pas cosmétique.
Si votre entreprise fournit ce type de service — souvent sans le savoir
C’est l’angle mort du dossier. Le futur règlement permanent visera des catégories fonctionnelles, pas des tailles d’entreprise. Une PME peut se retrouver dans le périmètre sans se percevoir comme un acteur du numérique: un extranet client qui permet de déposer des fichiers, un forum ou un espace de commentaires, un service de transfert de documents, une place de marché, un logiciel en ligne autorisant l’envoi de pièces jointes entre utilisateurs, une fonction de messagerie intégrée à une application métier. Ce sont, dans le vocabulaire de la proposition, des services d’hébergement ou de communications interpersonnelles.
Les conséquences pratiques, si le texte est adopté dans cet esprit, seraient une obligation d’évaluer le risque que le service soit détourné, de mettre en œuvre des mesures d’atténuation proportionnées, de se soumettre à l’appréciation d’une autorité nationale désignée, et de s’exposer à des sanctions en cas de manquement. Rien de tout cela n’est applicable aujourd’hui — mais rien de tout cela ne s’improvise en quelques semaines non plus.
Que faire, concrètement
Cartographier votre double position. Listez d’un côté les outils de communication que vous utilisez, de l’autre les fonctionnalités que vous offrez à vos clients ou partenaires et qui permettent de stocker ou d’échanger du contenu. La seconde liste est presque toujours plus longue qu’on ne l’imagine. Vérifier le statut de chiffrement de vos outils. Demandez à votre prestataire, ou consultez la documentation de l’éditeur, quels canaux sont réellement chiffrés de bout en bout par défaut. Ne déduisez rien de la présence d’un cadenas dans le navigateur, qui ne concerne que le transport.
Orienter les échanges sensibles vers le bon canal. Pièces juridiques, données de santé, informations couvertes par un secret professionnel: définissez une règle interne simple et écrivez-la, plutôt que de laisser chacun improviser. Documenter, comme le RGPD l’exige déjà. Si vous exploitez un service permettant à des tiers de déposer ou d’échanger du contenu, la traçabilité de vos traitements et de vos mesures de sécurité constitue le socle commun au RGPD et au futur dispositif. Ce travail n’est jamais perdu.
Ne pas surinvestir avant l’adoption. Le texte permanent n’est pas figé: son périmètre, ses seuils et ses sanctions peuvent encore bouger. Une veille régulière vaut mieux qu’un chantier de conformité anticipé sur un texte mouvant. Faire qualifier votre situation. Savoir si tel service précis entre dans le périmètre relève d’une analyse juridique. Sollicitez un conseil et appuyez-vous sur les publications officielles plutôt que sur les commentaires de seconde main. Depuis le 28 juillet 2026, une dérogation temporaire autorise à nouveau la détection volontaire des contenus pédocriminels dans les messageries, mais les communications chiffrées de bout en bout et les communications audio en sont expressément exclues; ce régime court jusqu’au 3 avril 2028. Aucune obligation ne pèse aujourd’hui sur les entreprises utilisatrices. Le véritable enjeu se joue sur le règlement permanent, encore en négociation: il visera des fonctions — héberger, faire communiquer — et non des secteurs, ce qui peut y faire entrer des PME qui ne se considèrent pas comme des acteurs du numérique. D’ici là, la question la plus utile à se poser reste simple: sur quels canaux circulent vos échanges les plus sensibles, et qui a techniquement les moyens de les lire?
Les éléments de calendrier et de périmètre cités ici valent à la date du 25 août 2026 et évoluent au rythme des négociations: référez-vous aux sources officielles pour l’état à jour. Cet article ne constitue pas un conseil juridique.
Sources
Règlement (UE) 2026/1881 du Parlement européen et du Conseil du 24 juillet 2026 relatif à une dérogation temporaire à certaines dispositions de la directive 2002/58/CE, JO L 2026/1881 du 28 juillet 2026 — EUR-Lex, CELEX 32026R1881. Consulté le 25 août 2026. Proposition de règlement établissant des règles en vue de prévenir et de combattre les abus sexuels commis contre des enfants, COM(2022) 209 du 11 mai 2022 — EUR-Lex, CELEX 52022PC0209. Consulté le 25 août 2026.
Conseil de l’Union européenne, communiqué de presse « Child sexual abuse: Council reaches position on law protecting children from online abuse », 26 novembre 2025. Consulté le 25 août 2026. Conseil de l’Union européenne, communiqué de presse « Fighting child sexual abuse online: interim measure protecting children now reinstated », 23 juillet 2026. Consulté le 25 août 2026.
Parlement européen, communiqué de presse « Combating child sexual abuse online: support for more limited ePrivacy derogation », 9 juillet 2026. Consulté le 25 août 2026. Parlement européen, Observatoire législatif, dossier de procédure 2022/0155(COD), et Legislative Train Schedule, fiche « New legislation to fight child sexual abuse online », dernière mise à jour du 20 juin 2026. Consultés le 25 août 2026.
Comité européen de la protection des données et Contrôleur européen de la protection des données, avis conjoint 4/2022 sur la proposition de règlement, adopté le 28 juillet 2022. Référencé le 25 août 2026.
Synthèse rédactionnelle originale de TICLIC, établie le 25 août 2026 à partir des textes publiés au Journal officiel de l’Union européenne, des communiqués officiels du Conseil et du Parlement européen et des propositions législatives de la Commission. Les dates, numéros de texte et résultats de vote proviennent de ces sources et ont été croisés entre elles lorsque c’était possible. L’avis conjoint 4/2022 est cité d’après sa référence officielle, son contenu n’ayant pas été relu intégralement. L’état d’avancement des négociations sur le règlement permanent est celui décrit par le Parlement européen au 9 juillet 2026: aucun accord final n’avait été publié à la date de rédaction, cette information n’a pas pu être confirmée par une seconde source postérieure et peut avoir évolué.