2026 : l'année où l'UE a choisi la surveillance plutôt que la protection

Par l'équipe Archibou

L'Union européenne avait fait quelque chose d'historique. Un cadre qui protège les données personnelles de ses citoyens, qui redonne du contrôle sur la vie numérique, qui inspire le monde entier. Le RGPD est devenu un étalon-or mondial — la Californie, le Brésil, le Japon, l'Inde s'en sont inspirés.

Sauf que 2026 pourrait bien marquer la fin de cette exception européenne.

Cette année, trois événements majeurs se produisent en même temps. Un député européen qui enquêtait sur les logiciels espions s'est fait pirater — et les institutions n'ont pas bougé. Le Conseil européen relance ChatControl, un projet de loi visant à scanner toutes les conversations privées. La Commission européenne prépare un « Omnibus numérique » qui affaiblit le RGPD, le meilleur bouclier dont nous disposons.

Ce n'est pas une coïncidence. C'est une ligne directrice. Et si nous ne réagissons pas, nous allons passer silencieusement d'une Europe qui protège à une Europe qui surveille.

Le scandale Pegasus : un député européen piraté, et personne ne bouge

Stelios Kouloglou est un député européen grec, également journaliste d'investigation. Il siégeait à la commission PEGA — la commission spéciale créée par le Parlement européen pour enquêter sur les logiciels espions et leurs abus en Europe.

Son téléphone a été infecté par Pegasus à deux reprises : octobre 2022 et mars 2023, précisément aux moments les plus sensibles des travaux de sa commission. Pegasus est un logiciel espion développé par l'entreprise israélienne NSO Group. Il permet à son commanditaire — un État, un gouvernement, on ne sait pas lequel — d'accéder à tout le contenu du téléphone : messages, photos, micro, caméra, localisation, historique. Quinze années de données, selon Kouloglou.

C'est une violation gravissime à plusieurs niveaux : droit international, protection diplomatique, souveraineté des institutions européennes, vie privée. Le RGPD lui-même est foulé aux pieds par un acteur étranger qui s'introduit dans les communications d'un parlementaire européen.

Les institutions européennes et nationales disposent pourtant de tous les outils pour agir : directives, traités, conventions, RGPD, droit pénal national. Elles pourraient dénoncer, enquêter, exiger des comptes, sanctionner. Les recommandations de la commission PEGA étaient claires et détaillées.

Résultat : rien. La Commission européenne a ignoré les recommandations. Aucune sanction. Aucune enquête publique. Aucune protection mise en place pour les autres députés. Aucune conséquence pour NSO ou ses commanditaires. Citizen Lab et la députée Hannah Neumann le résument ainsi : « Le pays responsable a espionné un membre du Parlement européen pendant qu'il enquêtait sur les abus de spyware. C'est un mépris total pour le rôle des parlementaires et pour la démocratie européenne. »

Un message terrible est envoyé : on peut espionner les députés européens sans conséquence. Les outils juridiques existent, mais la volonté politique, elle, est absente.

Source : The Record from Recorded Future News — « Spyware found on phone of European Parliament member probing it », Suzanne Smalley, 3 juillet 2026

Source : Citizen Lab — rapport original

ChatControl : la surveillance de masse déguisée en protection de l'enfance

Le même jour, le Conseil européen a remis sur la table le règlement provisoire dit « ChatControl », à peine trois mois après que le Parlement européen l'a rejeté en mars 2026. Ce texte vise à autoriser les grandes plateformes (WhatsApp, Signal, Messenger, etc.) à scanner volontairement toutes les communications électroniques pour y détecter des contenus relevant d'abus sexuels sur mineurs.

Le précédent règlement temporaire avait expiré le 3 avril 2026. Faute d'accord sur le cadre permanent (CSAR — Child Sexual Abuse Regulation), les États membres ont décidé de prolonger la surveillance jusqu'en avril 2028. Mais comme un règlement expiré ne peut être prolongé, le Conseil a utilisé un « subterfuge procédural » (selon Next.ink) : repartir d'une nouvelle proposition vide, copier-coller du texte mort, en adaptant seulement les dates.

Ce n'est pas la seule entorse à la démocratie. Selon Politico, c'est la présidente du Parlement européen elle-même, Roberta Metsola, qui serait à l'origine du contournement du vote de son propre Parlement. Plusieurs députés estiment qu'elle a court-circuité leur autorité.

Une parenthèse technique, mais essentielle

Le chiffrement de bout en bout, ce n'est pas un logiciel ou une option — c'est une formule mathématique appliquée aux données. Concrètement, elle transforme le contenu d'un message, d'une photo ou d'un document en un code illisible que seul le destinataire peut déchiffrer avec sa clé. Personne d'autre — ni l'opérateur, ni l'État, ni un pirate — ne peut y accéder. C'est le même principe qui sécurise les mots de passe, les opérations bancaires, les dossiers médicaux.

Or, certaines voix défendent un « compromis » : autoriser les plateformes à scanner les messages, mais en confier le contrôle à des personnes assermentées — juges, policiers, autorités indépendantes. Ce compromis n'existe pas mathématiquement.

On ne peut pas créer une « exception » dans une formule mathématique. Soit elle chiffre, et personne ne peut lire le contenu. Soit elle permet la lecture par un tiers, et elle est cassée — pour tout le monde. Il n'y a pas de « petit trou réservé aux gentils ». Dès qu'une porte dérobée existe, elle peut être exploitée par n'importe qui : un État autoritaire, un pirate, un employé malveillant.

C'est pourquoi les cryptographes, les informaticiens et les défenseurs des droits humains sont unanimes : vouloir « scanner les messages sans casser le chiffrement », c'est vouloir un carré rond. Soit on protège la formule, soit on l'affaiblit — et on l'affaiblit pour toutes et tous, sans retour possible.

Source : Next.ink — « ChatControl : nouvelle tentative de prolonger la surveillance des messageries », Martin Clavey, 3 juillet 2026

Source : Politico — « President vs Parliament: Roberta Metsola overrides MEPs' bid to force child abuse law »

L'Omnibus numérique : on détricote le RGPD

La Commission européenne prépare un vaste texte de « simplification » du cadre législatif numérique, surnommé « Omnibus numérique ». Derrière l'objectif affiché de réduire la paperasse, les modifications proposées au RGPD sont tout sauf anodines.

Plusieurs mesures suscitent l'inquiétude des autorités de protection des données, du Sénat français et des associations comme noyb :

Redéfinition des « données à caractère personnel ». La Commission propose de restreindre la définition canonique du RGPD pour exclure les données pseudonymisées — c'est-à-dire transformées mais potentiellement ré-identifiables — dès lors que l'entité qui les traite déclare ne pas « viser » l'identification des personnes. Le Comité européen de la protection des données (CEPD) et le Contrôleur européen (EDPS) considèrent que cette modification « va au-delà de la jurisprudence récente de la CJUE et d'une modification ciblée du RGPD », et qu'elle constituerait une régression. La CNIL rejoint cette analyse. Conséquence directe : un opérateur pourrait soutenir que les données ne relèvent plus du RGPD, même si des moyens techniques d'identification existent dans son écosystème. Le champ d'application du RGPD serait réduit par voie réglementaire, sans contrôle des législateurs.

L'entraînement des IA comme « intérêt légitime ». Le texte affirme que l'entraînement des modèles d'IA (grands modèles de langage, génération d'images, de vidéo) repose sur des données personnelles et peut être effectué sur la base de l'« intérêt légitime » — sans consentement explicite des personnes. Pour noyb, c'est une « pente glissante » : si scraper l'intégralité d'Internet sans consentement devient un intérêt légitime, il n'y a plus guère de traitements qui n'en relèveraient pas. Paul Nemitz, l'un des artisans du RGPD, résume : « Il ne restera plus rien de la protection des données, car l'IA est omniprésente. »

Transfert des pouvoirs de sanction vers un guichet unique irlandais. Le nouveau régime des cookies transférerait la compétence de sanction de la CNIL vers l'autorité irlandaise (où sont établies la plupart des grandes plateformes américaines). La CNIL estime que la France aurait perdu 90 % du produit des amendes cookies — près de 900 millions d'euros depuis 2020. Le Sénat français juge que « la directive e-Privacy et le RGPD relèvent de logiques très distinctes » et que ce transfert « réduirait l'effectivité des recours ».

Les modifications, prises individuellement, pourraient être défendables, reconnaissent les rapporteures du Sénat. Mais leur cumul risque, selon l'Association française des correspondants à la protection des données (AFCDP), de « vider le RGPD de sa substance » et d'affaiblir sa place comme standard international.

Source : Rapport d'information du Sénat n°626 (2025-2026) — « Omnibus numérique européen : un risque pour la protection des droits numériques des citoyens », 13 mai 2026

Source : Next.ink — « La Commission européenne prévoit d'affaiblir le RGPD au profit des entreprises d'IA », Martin Clavey, 10 novembre 2025

Le tableau de bord de la bascule

Ces trois actualités ne sont pas des coïncidences. Elles racontent la même trajectoire :

En clair : l'Europe est en train de troquer son modèle — la confiance, les droits fondamentaux, la vie privée — contre celui des autres : la surveillance au nom de la sécurité, les données comme matière première gratuite pour l'IA.

Elle annonce vouloir « protéger les enfants » avec ChatControl, mais laisse les États membres pirater les parlementaires avec Pegasus sans conséquences. Elle annonce « simplifier le RGPD pour l'innovation », mais les seuls gagnants sont les GAFAM et les États qui veulent vous surveiller.

Pourquoi il faut se battre

La pente est glissante, et on ne la sent pas passer.

Le RGPD n'est pas parfait, mais c'est le seul outil dont nous disposons pour dire « non, mes données ne sont pas à vendre ». ChatControl n'est pas encore adopté définitivement, mais si cela passe, le chiffrement de bout en bout est mort en Europe. Les spyware ne sont pas nouveaux, mais si les institutions ferment les yeux, ils deviendront la norme, même contre les plus hauts représentants de la démocratie européenne.

Ce qui est en jeu, c'est : - Votre vie privée : vos messages, votre localisation, vos photos, vos opinions - Votre sécurité numérique : pas de chiffrement = pas de protection pour les plus vulnérables - Votre démocratie : si on pirate les députés qui enquêtent et qu'on ignore leur travail, à quoi sert le Parlement ? - Votre liberté : une société où tout est surveillé est une société où l'on s'autocensure

Et tout cela se fait dans le silence — parce que c'est technique, parce que c'est européen, parce que « le RGPD, c'est compliqué ». Mais c'est précisément pour cette raison qu'il est essentiel que le plus grand nombre comprenne.

Chez Archibou, nous croyons au RGPD et à la protection de la vie privée

Chez Archibou, nous croyons que la protection de la vie privée et intime n'est pas une option — c'est un droit fondamental. Nous avons construit notre offre sur cette conviction : le RGPD n'est pas une case à cocher ou une contrainte légale à subir. C'est une boussole.

Nos logiciels sont pensés pour respecter les données de chacun — par défaut, par conception, par choix. Pas parce que nous y sommes obligés, mais parce que c'est la seule manière de construire un numérique digne de confiance.

2026 est une année charnière. Et nous ne comptons pas regarder passer ce train sans rien dire.

✊

Archibou — Le numérique au service de la protection de la vie privée et intime.