En dix jours de juillet 2026, l’Union européenne a rendu obligatoire la caméra de surveillance dans chaque voiture neuve et rétabli le scan des messageries privées, deux mesures que ses propres institutions avaient combattues. L’Europe est aujourd’hui l’espace démocratique le mieux armé sur le papier contre la surveillance de masse, RGPD, AI Act, jurisprudence de la Cour de justice, et simultanément le théâtre d’une accumulation de dispositifs sectoriels qui contournent ces garde-fous un à un. Ce paradoxe mérite d’être regardé en face, sans catastrophisme ni naïveté.

L’essentiel

  • L’UE accumule des dispositifs de surveillance par règlements sectoriels présentés comme techniques, sans jamais assumer de choix politique global.
  • Le 9 juillet 2026, Chat Control 1.0 a été réinstauré jusqu’en 2028 alors que 314 eurodéputés l’avaient rejeté contre 276 favorables, faute du seuil absolu de 361 voix requis en deuxième lecture (source : votes du Parlement européen, juillet 2026).
  • Le même jour entrait en vigueur le règlement GSR2, qui oblige tous les véhicules neufs à embarquer une caméra conducteur, présentée comme un outil de sécurité routière visant 25 000 morts évitables d’ici 2038.
  • Le mécanisme est toujours le même : une justification légitime (protection des enfants, accidentologie), une procédure qui neutralise l’opposition parlementaire, un cadre de données collectées dont les usages futurs restent ouverts.
  • La vraie tension n’est pas entre surveillance et liberté en abstrait, mais entre la capacité de l’UE à tenir ses propres règles quand une majorité qualifiée lui fait défaut.

Chat Control, ou comment réinstaller ce que le Parlement a refusé

Le vote du 9 juillet 2026 mérite qu’on s’y arrête, parce que le résultat arithmétique est inhabituellement lisible. Trois cent quatorze eurodéputés ont voté contre le rétablissement de Chat Control 1.0 ; deux cent soixante-seize ont voté pour. Une majorité claire, donc, d’élus opposés au texte. Pourtant, Chat Control 1.0 est entré en vigueur, et restera applicable jusqu’en 2028.

L’explication tient à la procédure de deuxième lecture : le seuil requis pour rejeter formellement un texte est la majorité absolue des membres du Parlement, soit 361 voix. Les 314 opposants n’y sont pas parvenus. Le Conseil a donc pu maintenir sa position, et le règlement s’applique.

Il s’agit d’une règle de procédure connue, inscrite dans les traités. Mais l’effet concret est que le Parlement n’a pas soutenu le texte, il a été davantage contre que pour, et que le texte s’applique quand même. Pour un citoyen ordinaire, la distinction est difficile à tenir.

Chat Control 1.0 autorise, sans l’obliger, les fournisseurs de messagerie à scanner les communications privées à la recherche de contenus pédopornographiques. La justification est réelle et grave : la lutte contre les abus sexuels sur mineurs est l’un des rares domaines où un consensus démocratique large existe pour tolérer des intrusions dans la vie privée. Le problème identifié par les opposants, dont des juristes du service juridique du Conseil lui-même, dans un avis de juin 2026, tient à la proportionnalité et à l’architecture technique. Scanner des messageries chiffrées de bout en bout revient, techniquement, à affaiblir le chiffrement ou à introduire une backdoor. Une fois cette porte ouverte, elle ne discrimine pas selon l’usage.

GSR2, la caméra présentée comme ceinture de sécurité

Le règlement GSR2 (Règlement UE 2019/2144) a une généalogie différente et une logique apparemment plus solide. Il est le fruit d’un processus long, négocié entre la Commission, le Conseil et le Parlement, et il vise à réduire la mortalité routière en Europe. Parmi ses dispositions : l’obligation pour tous les véhicules neufs d’embarquer un système de surveillance de l’attention du conducteur (ADDW, Advanced Driver Distraction Warning).

Concrètement, cela signifie une caméra intérieure orientée vers le conducteur, capable de détecter la somnolence, la distraction, l’usage du téléphone. L’objectif affiché est d’éviter 25 000 morts supplémentaires d’ici 2038 par rapport au scénario sans intervention. La sécurité routière européenne a progressé régulièrement depuis vingt ans, le nombre de morts sur les routes de l’UE a été divisé par plus de deux entre 2001 et 2023, selon les données de la Commission européenne, et l’analyse des accidents mortels fait effectivement apparaître la distraction et la somnolence comme des causes majeures.

La mesure est donc défendable sur le fond. La question que posent des organisations comme l’Electronic Frontier Foundation ou la CNIL dans son rapport annuel 2025 (publié en mai 2026) porte sur ce que ces données deviennent. La réglementation GSR2 précise que le traitement doit rester local et ne pas être transmis à des tiers en temps réel. Mais elle ne dit rien sur les conditions dans lesquelles les constructeurs, les assureurs ou les États pourraient y accéder ultérieurement, dans le cadre d’une procédure judiciaire, d’un contrôle administratif ou d’un partenariat commercial consenti par contrat.

La caméra est présentée comme un système de sécurité passive. Elle l’est, aujourd’hui. Les infrastructures de collecte qu’elle crée ont une durée de vie qui dépasse celle des garanties politiques actuelles.

Le mécanisme : la règlementation sectorielle comme mode de progression silencieux

Ce qui relie ces deux événements de juillet 2026 dépasse les textes eux-mêmes. Les deux suivent le même schéma : un problème réel et grave (accidents de la route, pédopornographie), une solution technique encadrée par un règlement présenté comme proportionné, des garde-fous formels dans le texte, et une procédure ou une architecture qui rend ces garde-fous difficiles à faire valoir dans la pratique.

Ce mode opératoire n’est pas propre à l’Europe, mais il y prend une dimension particulière. L’UE a construit, sur vingt ans, le cadre normatif anti-surveillance le plus ambitieux du monde démocratique. Le RGPD a fixé des standards que les États-Unis et le Japon ont partiellement repris. L’AI Act, entré en application progressive depuis 2024, interdit en principe les systèmes d’identification biométrique en temps réel dans l’espace public, à quelques exceptions près. La Cour de justice de l’Union européenne a invalidé deux fois les accords de transfert de données avec les États-Unis, au motif que les protections américaines n’étaient pas équivalentes aux protections européennes.

Ce corpus existe. Il est réel et, dans certains cas, contraignant. Le paradoxe est que les entorses viennent souvent des institutions qui ont construit ce corpus, le Conseil en premier lieu, mais aussi la Commission quand elle présente des règlements sectoriels qui fragmentent l’approche globale.

Le rapport annuel 2025 de la CNIL, publié en mai 2026, documente cette fragmentation pour la France : les demandes d’accès aux données par les services de l’État ont progressé régulièrement, dans le cadre légal, en s’appuyant sur des exceptions de sécurité nationale que le RGPD lui-même prévoit. Il s’agit d’une utilisation des exceptions jusqu’aux limites que le droit fixe, et parfois au-delà, quand les juridictions ne sont pas saisies.

L’AI Act surveille les algorithmes, pas les caméras dans les voitures

Il y a une cohérence dans l’incohérence apparente. L’AI Act réglemente les systèmes d’intelligence artificielle à haut risque, dont les systèmes biométriques. Un système capable d’identifier un individu par son visage dans l’espace public est, en principe, interdit ou très strictement encadré. Mais un système embarqué dans un véhicule privé, qui surveille l’état d’attention d’un conducteur pour déclencher une alerte sonore, relève d’une catégorie différente.

La frontière est techniquement défendable. Elle est institutionnellement fragile. Les mêmes capteurs, le même traitement d’image, la même inférence sur l’état mental d’un individu, peuvent relever de deux régimes réglementaires distincts selon le contexte de déploiement. Le régulateur qui a interdit la surveillance biométrique de masse dans les espaces publics a simultanément rendu obligatoire un dispositif de surveillance individuelle dans chaque voiture privée neuve.

Au sens juridique strict, les deux règlements ont des objets distincts et des finalités différentes. Mais la cohérence de l’architecture globale est difficile à soutenir face à un citoyen qui cherche où s’arrête la zone de contrôle légitime.

L’AI Act lui-même a été l’objet de débats similaires. Plusieurs exemptions pour les systèmes de surveillance à des fins de sécurité nationale ont été introduites en fin de négociation, réduisant la portée de l’interdiction initiale. La régulation des agents IA sans responsabilité claire pose une question analogue dans un autre secteur : la responsabilité reste à définir lorsque le système automatisé produit un effet que personne n’a formellement décidé.

Les opposants : positions actuelles et leviers disponibles

Il serait inexact de présenter ce débat comme un front unifié de citoyens contre des institutions opaques. Les opposants à Chat Control sont nombreux au Parlement européen, 314 sur 590 votants, et ils couvrent un spectre large, des Verts aux libéraux en passant par une partie des conservateurs. Ils ont failli. Les 47 voix manquantes auraient suffi à bloquer formellement le texte.

Des organisations comme la Gesellschaft für Freiheitsrechte en Allemagne, La Quadrature du Net en France ou l’European Digital Rights (EDRi) documentent ces évolutions, portent des recours devant la CJUE et alimentent le débat public. La CJUE elle-même a une jurisprudence constante en faveur de la vie privée numérique : ses arrêts Digital Rights Ireland (2014) et Schrems II (2020) ont invalidé des dispositifs de surveillance de masse que des majorités politiques avaient adoptés.

Le recours juridictionnel reste l’instrument le plus efficace dont disposent les opposants. Chat Control 1.0 sera presque certainement contesté devant la CJUE sur le fondement de la proportionnalité. Le GSR2 pourrait l’être si les usages secondaires des données se développaient au-delà des finalités déclarées.

La vraie limite de ce recours est temporelle. Entre l’adoption d’un règlement et son invalidation éventuelle par la Cour, plusieurs années s’écoulent. Les infrastructures de collecte existent, les données sont générées, les habitudes administratives se forment. Une annulation juridique ne produit pas un effacement des pratiques.

Le prochain texte s’appellera autrement

Chat Control 2.0 est en négociation depuis 2022. La version 1.0 rétablie en juillet 2026 était présentée comme transitoire, le temps de trouver un accord sur la version plus large. Cette version étendue prévoit non plus seulement une autorisation de scan volontaire, mais une obligation pour tous les fournisseurs, y compris les messageries chiffrées de bout en bout, de scanner les contenus avant chiffrement, selon un mécanisme dit de “client-side scanning”.

La Commission présentera probablement une nouvelle version en 2026 ou 2027. Les arguments seront les mêmes : protection des enfants, proportionnalité, garanties techniques. Les opposants avanceront les mêmes contre-arguments : le chiffrement affaibli protège moins bien les victimes qu’il ne crée de nouvelles vulnérabilités pour tous.

Ce cycle, proposition, opposition, compromis partiel, nouvelle proposition, est le fonctionnement normal d’une démocratie délibérative. Il produit des textes imparfaits, des équilibres provisoires, des reculs et des avancées. Le fait que les institutions démocratiques puissent se corriger, parfois lentement, reste un atout que les régimes non démocratiques ne partagent pas.

La question ouverte est de savoir si le Parlement européen, qui a montré en juillet 2026 qu’il pouvait rassembler une majorité relative contre un texte de surveillance mais pas la majorité absolue requise pour le bloquer, réussira à coordonner ses oppositions avant que les infrastructures de surveillance soient assez établies pour devenir irréversibles dans les faits. Quarante-sept voix ont manqué. La prochaine fois, elles pourraient être là, ou pas.

Sources

  1. Règlement UE 2019/2144 (GSR2), Parlement européen et Conseil
  2. Tout savoir sur Chat Control, Toute l’Europe
  3. Rapport annuel CNIL 2025, publié mai 2026 (Commission nationale de l’informatique et des libertés)
  4. Avis du service juridique du Conseil de l’UE, juin 2026
  5. Votes du Parlement européen des 7 et 9 juillet 2026 (résultats officiels, base de données des votes du Parlement européen)
  6. Données accidentologie routière européenne, Commission européenne, Direction générale Mobilité et Transports