Prévenir et combattre les abus sexuels sur enfants



Le Sénat,



Vu l’article 88-4 de la Constitution,



Vu le traité sur l’Union européenne, en particulier ses articles 2, 3 et 6,



Vu le traité sur le fonctionnement de l’Union européenne, en particulier ses articles 2, 4, 16, 88 et 114,



Vu les articles 7, 8 et 24 de la Charte des droits fondamentaux de l’Union européenne,



Vu la Convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales du 4 novembre 1950, et notamment ses articles 10, 11 et 16, son protocole additionnel, et notamment son article 3, et le protocole n° 12,



Vu la Convention du Conseil de l’Europe sur la protection des enfants contre l’exploitation et les abus sexuels du 25 octobre 2007 (convention de Lanzarote),



Vu la convention du Conseil de l’Europe pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel du 28 janvier 1981, notamment son article 6, et son protocole additionnel du 8 novembre 2001 (« Convention 108 + »),



Vu la convention des Nations unies relative aux droits de l’enfant (CNUDE), du 20 novembre 1989,



Vu la directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques,



Vu la directive 2011/93/UE du Parlement européen et du Conseil du 13 décembre 2011 relative à la lutte contre les abus sexuels et l’exploitation sexuelle des enfants, ainsi que la pédopornographie et remplaçant la décision-cadre 2004/68/JAI du Conseil,



Vu la directive 2012/29/UE du Parlement européen et du Conseil du 25 octobre 2012 établissant des normes minimales concernant les droits, le soutien et la protection des victimes de la criminalité et remplaçant la décision-cadre 2001/220/JAI du Conseil,



Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation des données, abrogeant la directive 95/46/CE, dit règlement général sur la protection des données – RGPD,



Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision cadre 2008/977/JAI du Conseil,



Vu la proposition de règlement du Parlement européen et du Conseil du 10 janvier 2017 concernant le respect de la vie privée et la protection des données à caractère personnel dans les communications électroniques et abrogeant la directive 2002/58/CE (règlement «vie privée et communications électroniques»),



Vu la stratégie de l’Union européenne en faveur d’une lutte plus efficace contre les abus sexuels commis contre des enfants (communication COM(2020) 607 final) du 24 juillet 2020,



Vu la communication de la Commission au Parlement européen, au Conseil, au Comité économique et social européen et au Comité des régions du 26 janvier 2022 établissant une déclaration européenne sur les droits et principes numériques pour la décennie numérique, COM(2022) 270 final,



Vu le règlement (UE) 2021/1232 du Parlement européen et du Conseil du 14 juillet 2021 relatif à une dérogation temporaire à certaines dispositions de la directive 2002/58/CE en ce qui concerne l’utilisation de technologies par les fournisseurs de services de communications interpersonnelles non fondés sur la numérotation pour le traitement de données à caractère personnel et d’autres données aux fins de la lutte contre les abus sexuels commis contre des enfants en ligne,



Vu la nouvelle stratégie européenne pour un internet mieux adapté aux enfants (communication COM(2022) 212 final) du 11 mai 2022,



Vu la proposition de règlement du Parlement européen et du Conseil du 11 mai 2022 établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants, COM(2022) 209 final,



Vu l’avis conjoint n° 04/2022 du Comité européen de la protection des données et du Contrôleur européen de la protection des données sur la proposition de règlement du Parlement européen et du Conseil établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants, du 28 juillet 2022,



Vu la loi n° 2022-300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet,



Vu le rapport d’information du Sénat n° 529 (2018-2019) de Mmes Marie MERCIER, Michelle MEUNIER et Dominique VÉRIEN, fait au nom de la mission commune d’information sur les politiques publiques de prévention, de détection, d’organisation des signalements et de répression des infractions sexuelles susceptibles d’être commises par des personnes en contact avec des mineurs,



Vu le rapport d’information du Sénat n° 900 (2021-2022) de Mmes Annick BILLON, Alexandra BORCHIO FONTIMP, Laurence COHEN et Laurence ROSSIGNOL, au nom de la délégation aux droits des femmes et à l’égalité des chances entre les hommes et les femmes sur l’industrie de la pornographie,



Vu la résolution européenne du Sénat n° 70 (2021-2022) du 14 janvier 2022 sur la proposition de règlement du Parlement européen et du Conseil relatif à un marché intérieur des services numériques (Législation sur les services numériques – Digital Services Act – DSA) et modifiant la directive 2000/31/CE, COM(2020) 825 final,



Sur la proposition de règlement et ses objectifs :



Considérant que la protection des enfants doit constituer une priorité de l’Union européenne ;



Considère avec gravité que l’ampleur des abus sexuels commis sur les enfants appelle une mobilisation générale et immédiate des États membres et des institutions européennes afin de les prévenir et les combattre plus efficacement ;



Constate que les fournisseurs de services d’hébergement et de communications interpersonnelles n’ont jusqu’à présent pas fait la preuve de leur diligence et de leur efficacité dans la lutte contre l’utilisation de leurs services à des fins d’abus sexuels sur les enfants et, plus généralement, de leur capacité à assurer la sûreté de l’environnement en ligne des enfants ;



S’inquiète de l’expiration prochaine, le 3 août 2024, du régime temporaire institué par le règlement (UE) 2021/1232 précité afin de sécuriser juridiquement les actions volontaires menées par les fournisseurs de services d’hébergement et de communications interpersonnelles pour lutter contre l’utilisation de leurs services à des fins d’abus sexuels sur les enfants ;



Soutient donc le principe du paquet législatif constitué par le présent projet de règlement qui vise à mieux détecter et retirer les contenus pédopornographiques en ligne, et par la refonte de la directive 2011/93/UE précitée, qui doit intervenir l’an prochain en vue de renforcer la prévention et la lutte contre les abus sexuels commis sur les enfants ;



Approuve l’importance des sanctions prévues par la proposition, qui pourraient aller jusqu’à 6 % du chiffre d’affaire mondial des fournisseurs de services en ligne ne se conformant pas à leurs obligations au titre de la proposition de règlement ;



S’étonne néanmoins du choix de la Commission européenne de ne pas considérer la prévention et la lutte contre les abus sexuels sur les enfants en ligne comme prioritaire au regard de l’exigence de bon fonctionnement du marché intérieur, et de chercher avant tout leur conciliation, afin « de garantir des conditions de concurrence équitables aux fournisseurs », « d’éliminer les obstacles au marché unique numérique pour les services concernés, d’accroître la sécurité juridique pour les fournisseurs et de réduire les coûts de mise en conformité »(2) ;



Demande, dans un souci de cohérence et de clarté du texte, que la définition d’un « enfant » y soit harmonisée en désignant toute personne âgée de moins de dix-huit ans ;



Sur l’évaluation des risques et sur les mesures d’atténuation :



Considérant que la réglementation proposée exigerait que les fournisseurs de services d’hébergement et de services de communications interpersonnelles évaluent le risque que leurs services soient utilisés à des fins d’abus sexuels sur les enfants en ligne, dans les trois mois suivant son entrée en vigueur puis, en principe, tous les trois ans, et, si un tel risque est identifié, qu’ils prennent des mesures d’atténuation de ce risque ;



Constate l’insuffisance des informations disponibles à ce jour sur les mesures actuellement prises volontairement par les fournisseurs de services pour prévenir tout risque d’utilisation de leurs services à des fins d’abus sexuels sur enfants ;



Approuve par conséquent, l’obligation faite aux fournisseurs de faire rapport à l’autorité de coordination désignée par les États membres sur leur politique d’évaluation et d’atténuation des risques ; estime que ces rapports doivent en particulier comprendre des informations précises sur les moyens humains, financiers et technologiques engagés par les fournisseurs pour se conformer aux dispositions de la présente réforme ;



Souligne la nécessité d’un audit externe et indépendant des risques et des mesures d’atténuation prises, qui nécessite l’accès aux données pertinentes pour les autorités de régulation et les chercheurs agréés ;



Sur la procédure d’injonction de détection de contenus pédopornographiques :



Sur la complexité de la nouvelle procédure d’injonction de détection :



Considérant la nouvelle obligation de détection des contenus pédopornographiques et de contenus sollicitant des mineurs pour des actes sexuels (« pédopiégeage ») imposée aux fournisseurs de services en ligne, sur demande, après divers enquêtes et avis, de l’autorité nationale de coordination du lieu d’établissement du fournisseur, puis émise par l’autorité administrative indépendante ou la juridiction compétente ;



Considérant que le projet de demande d’émission d’une injonction de détection serait en principe soumis à deux reprises au fournisseur concerné, la première fois pour lui permettre de présenter ses observations et la seconde, afin qu’il élabore un plan de mise en œuvre de l’injonction ; ajoute que ce projet de demande serait également soumis pour avis au nouveau centre de l’Union européenne chargé de prévenir et de combattre les abus sexuels sur les enfants, afin qu’il émette un avis à son sujet dans un délai de quatre semaines ;



Considérant que la période de validité d’une injonction de détection serait de vingt-quatre mois pour la détection de contenus pédopornographiques déjà identifiés ou la recherche de nouveaux contenus, et de douze mois pour les recherches relatives à des sollicitations d’enfants ;



Constate que ce processus d’enquête, d’évaluation et de consultation préalable à la transmission de la demande d’émission d’une injonction de détection par l’autorité de coordination durerait ainsi plusieurs semaines, voire plusieurs mois ; s’interroge en conséquence sur l’intérêt et la compatibilité d’un tel processus avec la souplesse et l’efficacité recherchées par la Commission européenne dans la détection, puis, dans un second temps, le retrait ou le blocage rapides de contenus liés à des abus sexuels sur les enfants ;



Sur le manque de clarté de la procédure d’injonction de détection :



Considérant que, selon le dispositif envisagé, la possibilité de demander et d’émettre une injonction de détection est soumise à l’existence d’« éléments probants indiquant un risque important que le service soit utilisé à des fins d’abus sexuels sur enfants en ligne », étant entendu qu’un tel « risque important » est réputé exister s’il est « probable » que le service est utilisé « pour la diffusion de matériel connu relatif à des abus sexuels sur enfant », ou s’il est prouvé qu’une telle utilisation a eu lieu « au cours des 12 derniers mois » « dans une mesure appréciable »(2) ;



Considérant que le manque de clarté de cette rédaction compromet la sécurité juridique du dispositif et risque de déboucher sur une surveillance disproportionnée des contenus ;



Demande la clarification des critères imposés pour autoriser l’émission d’une injonction de détection, afin d’éviter des interprétations contradictoires de la part des différents acteurs de la procédure ; appelle en conséquence à l’édiction de lignes directrices harmonisées par les autorités de coordination désignées ;



Sur la nécessité d’encadrer les atteintes à la confidentialité des communications :



Considérant la nécessité d’articuler la possibilité d’enjoindre aux fournisseurs de rechercher non seulement des contenus pédopornographiques ou de « pédopiégeage » avec le principe d’interdiction de surveillance généralisée des contenus, posé par l’article 15 de la directive 2000/31/CE du 8 juin 2000, dite « directive sur le commerce électronique », et plus récemment par l’article 8 du règlement (UE) 2022/2065 du 19 octobre 2022, dit « Digital Services Act » ;



Considérant que le champ du règlement envisagé couvre, en plus des contenus publiquement mis à disposition sur internet, les services de communications interpersonnelles, notamment de type courriels, messageries instantanées ou appels téléphoniques via internet ;



Considérant le principe de confidentialité des communications privées, qui est un élément essentiel du droit à la vie privée et familiale, protégé par l’article 7 de la Charte des droits fondamentaux de l’Union européenne ;



Considérant néanmoins que la protection des enfants contre les abus sexuels est un objectif d’intérêt général, qui justifie que les États membres puissent adopter des mesures législatives, nécessaires, appropriées et proportionnées, visant à limiter la confidentialité des communications, afin d’assurer la prévention, la recherche, la détection et la poursuite des infractions pénales qui en résultent ;



Considérant que la jurisprudence récente de la Cour de justice de l’Union européenne (CJUE), qui a affirmé, à plusieurs reprises, l’interdiction de toute injonction faite aux fournisseurs de services de communications électroniques de procéder à la conservation généralisée et indifférenciée de données relatives au trafic et à la localisation(3), a prévu une exception à cette interdiction à des fins de lutte contre la criminalité grave, dont la pédopornographie et la pédocriminalité, tout en exigeant que cette exception soit proportionnée, limitée au strict nécessaire et soumise au contrôle préalable d’une juridiction ou d’une autorité administrative indépendante(4),



Considérant que le texte envisagé prévoit que, sur la base d’une injonction de détection, les fournisseurs de services d’hébergement et de services de communications interpersonnelles sont conduits non seulement à détecter dans leurs services des contenus pédopornographiques déjà identifiés, mais également à procéder à une recherche indifférenciée de tels contenus ainsi que de contenus de « pédopiégeage » ;



Considérant que les garanties procédurales prévues par la proposition, telles que le droit des fournisseurs à un recours effectif contre une injonction de détection, le principe de l’adoption des mesures les moins intrusives pour effectuer les recherches ou encore la limitation dans le temps de la durée des injonctions, ne sont pas suffisantes pour préserver les utilisateurs d’un risque de surveillance généralisée et permanente de leurs communications ;



Considérant avec gravité, sur la base de l’avis conjoint du Comité européen de la protection des données et du Contrôleur européen de la protection des données n° 04/2022 du 28 juillet 2022 précité, qu’en raison du manque de clarté de ses dispositions et de son large champ d’application, la proposition de règlement risquerait de faire des exceptions posées au principe de confidentialité des communications une règle et d’ainsi constituer la base d’une surveillance généralisée et indifférenciée de l’ensemble des contenus des communications électroniques de tous leurs utilisateurs dans l’Union européenne et dans l’Espace économique européen ;



Considérant l’insuffisante maturité des outils de détection automatique des contenus à caractère pédopornographiques, et a fortiori des contenus de « pédopiégeage », qui risque donc de générer un nombre important de « faux positifs » et en conséquence, de voir portés à la connaissance des autorités de contrôle et des autorités répressives de nombreux contenus légaux ;



Considérant que les recherches de contenus indifférenciées envisagées par la proposition sont techniquement impossibles sur des ensembles de contenus chiffrés de bout en bout et que, pour y procéder, les fournisseurs de services de communications interpersonnelles cryptés devraient donc renoncer, partiellement ou totalement, au cryptage des contenus, au détriment de la confidentialité des communications et au risque de créer des failles de sécurité dommageables ;



Considérant les graves atteintes aux droits fondamentaux susceptibles d’être posées par de telles entorses au chiffrement ;



Appelle à la suppression des dispositions relatives à la recherche indifférenciée de contenus pédopornographiques et de « pédopiégeage » dans les services de communications interpersonnelles ;



Soutient en revanche le principe d’injonctions de détection portant sur des contenus déjà identifiés, conformément aux pratiques existantes ;



Estime cependant nécessaire, au vu des inégales performances des outils de détection disponibles, que les technologies susceptibles d’être utilisées pour effectuer ces recherches fassent l’objet d’un examen approfondi par la Commission européenne, en lien avec le Contrôleur européen de la protection des données et les autorités compétentes concernées, ainsi qu’avec le futur comité européen de l’intelligence artificielle et les coordinateurs des services numériques qui devraient être prochainement désignés par les États membres aux termes du règlement européen sur les services numériques, afin de développer des solutions fiables et robustes, et que cet examen identifie aussi et réduise les biais induits par l’utilisation de technologies d’intelligence artificielle pour la détection ;



Soutient le principe de la consultation systématique du Comité européen de la protection des données en vue de l’établissement d’une liste des technologies pouvant être utilisées pour effectuer des recherches de contenus pédopornographiques ou de « pédopiégeage » et de toute modification ultérieure de cette liste ;



Approuve la transmission du plan de mise en œuvre de l’injonction préparé par le fournisseur à l’autorité compétente chargée de la protection des données afin que cette dernière puisse émettre un avis en temps utile sur la compatibilité des dispositions envisagées avec la protection des données et la confidentialité des communications ;



Estime que le Comité européen de la protection des données devrait être consulté par la Commission européenne lorsqu’elle établit des lignes directrices concernant les obligations de détection, conformément aux dispositions de l’article 11 de la proposition de règlement ;



Souhaite, de la part des pouvoirs publics européens et des États membres, un soutien financier et technique appuyé au développement de tels outils, selon un cahier des charges élaboré par leurs soins ;



Sur les injonctions de retrait et de blocage :



Considérant que la réforme proposée prévoit que l’autorité de coordination du lieu d’établissement qui a connaissance d’un contenu pédopornographique ou de « pédopiégeage », peut, après évaluation diligente, demander à la juridiction ou à l’autorité administrative indépendante compétente d’émettre une injonction de retrait au fournisseur concerné ;



Considérant qu’après l’émission de l’injonction de retrait, dans les 24 heures maximum suivant sa réception, le fournisseur concerné doit retirer effectivement les contenus visés ;



Considérant que l’autorité de coordination compétente peut également demander à la juridiction ou à l’autorité administrative indépendante compétente d’émettre une injonction de blocage imposant à un fournisseur de services d’accès à l’internet de prendre des « mesures raisonnables » pour empêcher les utilisateurs d’accéder à des contenus connus relatifs à des abus sexuels sur les enfants ;



Prend acte des dispositions garantissant l’information et le droit au recours de l’utilisateur par son fournisseur en cas de retrait de certains de ses contenus ;



Appelle à la mise en place d’une coordination nécessaire entre autorités compétentes afin que l’exécution d’une injonction de retrait ou de blocage n’entrave pas les activités de prévention et de détection ;



Estime qu’en complément de la possibilité d’injonctions de blocage, devraient être prévues la possibilité d’injonctions de déréférencement adressées aux exploitants de moteurs de recherche ou d’annuaires, et donc l’intégration explicite de ces exploitants dans le champ d’application de la proposition de règlement, afin de conférer à cette dernière une pleine efficacité ; salue les discussions en cours à ce sujet au Conseil ;



Sur le centre de l’Union européenne chargé de prévenir et de combattre les abus sexuels sur les enfants :



Considérant que, dans la proposition de règlement, tout fournisseur ayant connaissance d’une information relative à un abus sexuel potentiel commis sur des enfants et diffusé en ligne sur ses services doit le signaler rapidement au nouveau centre de l’Union européenne chargé de prévenir et de combattre les abus sexuels sur les enfants, et, sauf communication contraire de ce dernier, en informer l’utilisateur concerné ;



Considérant que le centre précité, lorsqu’il estime que le signalement effectué n’est pas sans fondement, transfère ce dernier à Europol ou à l’autorité répressive de l’État membre susceptible d’être compétente pour enquêter sur les abus sexuels sur les enfants ou pour engager des poursuites judiciaires en conséquence ;



Prend acte de l’institution envisagée d’un nouveau centre de l’Union européenne, en position intermédiaire entre les fournisseurs et les services répressifs, afin de contribuer au traitement des signalements ; souligne que l’intervention d’un tel centre allonge la procédure de signalement, au risque de contredire l’objectif affiché de retrait rapide des contenus pédopornographiques ;



Constate que ce centre, en principe autonome, devrait néanmoins siéger à proximité immédiate d’Europol, agence de coopération policière de l’Union européenne, et serait dépendant des ressources humaines et matérielles de cette agence ;



Estime que les autres missions attribuées au centre précité, pour l’essentiel son pouvoir consultatif sur les demandes d’injonctions de détection et la mise à disposition de technologies de détection au bénéfice des fournisseurs, ne justifient pas non plus la création d’un centre autonome ;



Ajoute que le coût prévisionnel prévu pour le fonctionnement de ce centre, à savoir 28,47 millions d’euros à échéance 2030, la complexité de son organigramme administratif, qui cumulerait un conseil d’administration, un conseil exécutif et un directeur exécutif, ainsi que les exigences de « scolarisation multilingue et à vocation européenne » et de « liaisons de transport appropriées » prévues à l’article 81 de la proposition de règlement pour figurer dans l’accord de siège relatif à l’implantation du centre, semblent déraisonnables et déplacées ;



Rappelle simultanément qu’Europol dispose aujourd’hui d’une réelle expertise dans la lutte contre les abus sexuels sur les enfants et contre la cybercriminalité et bénéficie de la confiance des services répressifs et des juridictions compétentes des États membres dans ce domaine ;



Affirme que, dans une volonté de rationalisation de la procédure de traitement des signalements, un pôle dédié d’Europol pourrait être désigné responsable de leur centralisation et, en lien avec les services répressifs nationaux, de leur traitement, et appelle en conséquence à confirmer Europol comme centre européen de la lutte contre les abus sexuels sur les enfants, et à augmenter ses moyens à hauteur du budget envisagé initialement pour le nouveau centre dont la création est proposée ;



Souligne enfin que la plateforme PHAROS (pour Plateforme d’Harmonisation, d’Analyse, de Recoupement et d’Orientation des Signalements) dont dispose la France depuis 2009 est une structure pionnière, efficace et opérationnelle sans interruption, pour recevoir et traiter les signalements de contenus illicites sur Internet, et qu’en conséquence, son rôle doit être reconnu et son insertion garantie dans le dispositif de la réforme envisagée, en tant qu’autorité nationale compétente au sens de l’article 25 de la proposition de règlement, afin qu’elle contribue au traitement des signalements, ainsi qu’au retrait et au blocage des contenus pédopornographiques en ligne ;



Sur la responsabilité des plateformes en ligne dans la prolifération de contenus préjudiciables aux mineurs :



Considérant le rôle déterminant des plateformes en ligne dans la prolifération de contenus préjudiciables aux mineurs, et la nocivité potentielle de leur modèle économique ;



Considérant le maintien du régime de responsabilité limitée des hébergeurs, mis en place par la directive sur le commerce électronique de 2000, spécifiquement réaffirmé à l’article 19 de la proposition de règlement ;



Considérant la profitabilité extrême des grands acteurs privés du numérique ;



Considérant que la lutte contre les abus sexuels sur mineurs en ligne ne peut résulter que d’un ensemble de mesures comprenant un volet préventif, complémentaire du volet répressif envisagé par la proposition;



Insiste sur la pertinence des dispositifs techniques de contrôle parental pour limiter et filtrer les contenus préjudiciables accessibles aux mineurs ; appelle à leur activation par défaut par les fournisseurs, et à leur extension aux opérateurs téléphoniques, lorsqu’un abonnement téléphonique est souscrit pour l’usage d’un mineur ;



Estime en outre nécessaire l’instauration de dispositifs -fiables et respectueux de la vie privée– de vérification de l’âge des utilisateurs par les fournisseurs, notamment pour l’accès aux contenus pornographiques, et l’imposition, sur ces sites pornographiques, de l’affichage d’un écran noir tant que l’âge de l’utilisateur n’a pas été vérifié ;



Rappelle la nécessité de renforcer l’éducation des jeunes publics aux usages du numérique ;



Demande, en complément, l’ouverture d’une réflexion commune associant les fournisseurs, les autorités de régulation nationales et européennes compétentes et les instances académiques, en vue de l’institution d’un droit à l’oubli renforcé pour les mineurs ;



Souhaite que les très grandes plateformes en ligne, au sens du Digital Services Act, soient tenues, dans le cadre de leurs obligations d’atténuation des risques, de mettre en œuvre sur leurs services, à leurs frais, des campagnes de communication visant à rappeler la réglementation applicable en matière de contenus pédopornographiques ;



Estime que les sanctions pécuniaires ne sauraient à elles seules suffire à leur faire modifier le traitement réservé aux contenus illicites ou préjudiciables ;



Appelle donc, en cas de manque de diligence de la part de certains de ces fournisseurs dans la mise en œuvre du règlement, à habiliter la Commission européenne, sur la base des informations transmises par Europol et par les autorités nationales compétentes, à porter cette information à la connaissance du public ;



Invite le Gouvernement à faire valoir cette position dans les négociations au Conseil.