Les Représentants permanents des États membres de l’UE (Coreper) ont approuvé, mercredi 26 novembre, le projet de règlement sur le retrait des contenus pédopornographiques en ligne (‘CSAM’), qui « imposera aux entreprises numériques l'obligation d'empêcher la diffusion de contenus pédopornographiques et le démarchage d'enfants », notamment par des mesures de prévention et d’atténuation des risques.
Le dispositif controversé de détection obligatoire de ces contenus pédocriminels, notamment dans les échanges privés, que la Commission avait intégré en 2022, a été retiré par la Présidence danoise du Conseil de l’UE faute de garanties sur le respect des droits fondamentaux (EUROPE 13754/7) et de technologies adéquates.
Mais les entreprises numériques pourront continuer à faire volontairement de la détection de contenus comme elles le font actuellement au titre de la dérogation intérimaire à la directive sur les communications privées.
Les autorités nationales compétentes auront néanmoins, avec ce texte, « le pouvoir d'obliger les entreprises à supprimer ces contenus et à en bloquer l'accès, ou – dans le cas des moteurs de recherche – à les déréférencer », indique le Conseil dans un communiqué.
En vertu des nouvelles règles, les fournisseurs de services en ligne seront tenus d'évaluer le risque que leurs services soient utilisés à des fins de diffusion de contenus pédopornographiques ou de sollicitation d'enfants.
Sur la base de cette évaluation, ils devront mettre en œuvre des mesures d'atténuation pour contrer ce risque, comme la mise à disposition d'outils permettant aux utilisateurs de signaler les abus sexuels sur mineurs en ligne, de contrôler les informations les concernant qu’ils partagent et de définir des paramètres de confidentialité par défaut pour les enfants.
Les États membres désigneront des autorités nationales (« autorités de coordination et autres autorités compétentes ») chargées d'évaluer ces risques et les mesures d'atténuation, avec la possibilité d'obliger les fournisseurs à appliquer ces mesures. En cas de non-respect, les fournisseurs pourront se voir infliger des sanctions financières.
Le règlement introduit trois catégories de risques pour les services en ligne et, selon cette catégorisation, les autorités pourront contraindre les fournisseurs de services en ligne classés dans la catégorie 'à haut risque' à contribuer au développement de technologies permettant d'atténuer les risques liés à leurs services.
La nouvelle législation prévoit aussi la création d'une nouvelle agence de l'UE, le 'Centre de l'UE pour la lutte contre les abus sexuels sur enfants', qui évaluera et traitera les informations fournies par les fournisseurs de services en ligne concernant les contenus pédopornographiques identifiés sur leurs plateformes. Il créera, gérera et exploitera une base de données pour les signalements qui lui seront soumis par les fournisseurs. La localisation du centre n’a pas encore été décidée.
Le PE a voté sur le sujet en 2023 (EUROPE 13292/10), mais la date des premiers trilogues n'était pas encore connue ce 26 novembre.
En ce qui concerne les ordres de détection de contenus dans les communications privées, le projet du PE entend permettre aux autorités judiciaires d’autoriser, en dernier ressort, des ordonnances de détection et de surveillance des contenus à caractère pédopornographique, limitées dans le temps.
Mais pour éviter une surveillance généralisée, les ordres de détection devront cibler des individus ou des groupes déjà liés à des abus sexuels commis sur des enfants, en s’appuyant sur des motifs raisonnables de suspicion.
Les députés avaient exclu du champ d’application des ordres de détection le chiffrement de bout en bout. Les fournisseurs devaient aussi être en mesure de choisir les technologies à utiliser tant qu’elles respectent les garanties strictes prévues par la loi et sous réserve d’un audit public indépendant de ces technologies.
Voir le projet de règlement : https://aeur.eu/f/jny (Solenn Paulic)