MacSouverain

FREN
privacy

Six mois et dix-neuf textes mondiaux, la terrible convergence

HR 8250, CSAR, verdict Meta, World ID, Online Safety Act. Six mois, dix-neuf textes, quatre continents. Une seule direction.

Six mois et dix-neuf textes mondiaux, la terrible convergence

MAJ juillet 2026. Point de calendrier sur le volet CSAR : le trilogue du 4 mai a eu lieu, et le 9 juillet le Parlement a laissé passer la reconduction de Chat Control 1.0 (volontaire, E2E exclu) faute des 361 voix pour le bloquer, majorité contre. Le scanning obligatoire (2.0) décrit dans cette carte n’est pas tranché : il repart en trilogue en septembre. Détails dans le radar.

Ta Privacy ? Elle n’est plus vraiment à toi.

Personne ne te l’a confisquée d’un coup, non. Ça c’est pour les régimes pressés. On te la grignote juste petit à petit, lentement, pour que tu ne te rendes compte de rien.

Un projet de loi à Washington qui fait de ton Mac un checkpoint d’identité. Un règlement européen qui remplace tes messages chiffrés par un mouchard. Un jury au Nouveau-Mexique qui colle 375 millions de dollars d’amendes à Meta pour avoir osé déployer du chiffrement fort.

Six mois. Dix-neuf textes. Quatre continents. Une seule direction.

Voici la carte.

Trois mécaniques, une seule trajectoire

Les dix-neuf textes que je vais te présenter ne se ressemblent pas en surface. Une loi américaine, un règlement européen, une décision de justice, un produit privé. Mais empilés, trois mécaniques émergent, et elles travaillent ensemble.

M1, l’identification universelle. Plus d’anonymat sur Internet, pas même pour les adultes. Chaque connexion, chaque inscription, chaque message demande une preuve d’identité.

M2, le cassage du chiffrement bout-en-bout. Le chiffrement reste sur le papier. Mais les contenus sont scannés avant qu’il s’applique, ou le déployer devient juridiquement risqué.

M3, la centralisation chez deux ou trois acteurs. Apple, Google, Microsoft, ou un Sam Altman décidé à monopoliser la vérification d’humanité. Tu ne te logues plus sur un site, tu te logues à travers un courtier d’identité.

La plupart de ces textes sont passés sous le radar, parce qu’ils sont arrivés un par un. Quand tu les vois ensemble, le tableau change.

M1, l’identification universelle sans exception adulte

Le 13 avril 2026, Josh Gottheimer (D-NJ) et Elise Stefanik (R-NY) déposent HR 8250 Parents Decide Act à la Chambre des représentants américaine. Le texte oblige Apple, Google et Microsoft à exiger une date de naissance à la création de tout compte OS, et à exposer ensuite cette information aux éditeurs d’apps via une interface dédiée. Pas d’exception adulte. Tu installes un Mac neuf en 2027, le système t’identifie, et toute app peut le lire.

Andy Yen, CEO de Proton, a synthétisé l’enjeu en une phrase : « Nous ne pouvons pas accepter un monde où chaque adulte est censé présenter une pièce d’identité comme prix d’entrée pour aller sur Internet. » Huit jours plus tard, l’Illinois HB 5511 est voté à la Chambre de l’État, 82 contre 27. Logique identique, déplacer la vérification d’âge depuis chaque app vers l’OS, plus difficile à contourner parce que l’OS est lié au compte vérifié et au moyen de paiement.

La logique n’est pas uniquement américaine. Le UK Online Safety Act est entré en application le 25 juillet 2025. Au premier trimestre 2026, l’Ofcom a ouvert plus de quatre-vingt-dix enquêtes et prononcé six amendes, dont 1,35 million de livres contre 8579 LLC. L’Australie a activé son Online Safety Amendment le 10 décembre 2025, étendu à dix plateformes. Le Brésil a promulgué la loi 15.211/2025 en septembre 2025. Et le 14 avril 2026, la Commission européenne dévoile son app de vérification d’âge harmonisée pour les vingt-sept États membres.

Au passage, elle est contournée en deux minutes par un consultant britannique, Paul Moore. Pour les détails, tu peux lire le radar depuis le lien ci-dessous. À pleurer de rire, vraiment. Ou à pleurer tout court, selon.

À lire : Vérification d’âge EU, hackée en 2 minutes, la surveillance mal codée

Le 2 mars 2026, 371 chercheurs en cybersécurité de 29 pays signent une lettre ouverte. Ronald Rivest, Turing Award et co-inventeur de RSA. Bart Preneel, président de l’IACR. Pas exactement des activistes du dimanche.

La lettre soutient que la méthode n’est pas sûre et risque d’exposer les utilisateurs à des malwares ou à des arnaques sur les sites illicites qui n’implémentent pas la vérification, ou de divulguer plus d’informations personnelles aux fournisseurs de services. Leur conclusion sur les déploiements en cours : « dangereux et socialement inacceptable ».

Pour qu’un système de vérification d’âge fonctionne réellement, écrivent-ils, il faudrait des « pièces d’identité émises par l’État, avec une protection cryptographique forte, pour chaque interaction avec le service ».

M2, casser le chiffrement dans la loi ou dans la jurisprudence

Côté UE, le dossier est connu, je l’ai déjà détaillé.

À lire : Chat Control 2.0 : l’UE veut lire tes messages avant que tu les envoies

À lire : NIS2 oblige les entreprises à chiffrer. CSAR leur interdit de le faire vraiment.

La nouveauté, c’est l’aveu. Vera Jourova, Vice-Présidente de la Commission, a reconnu publiquement au sommet de l’EDPS que le CSAR briserait le chiffrement. Trois ans de discours « CSAR ne casse pas le chiffrement » de Ylva Johansson, démentis par sa propre collègue. Le prochain trilogue est fixé au 4 mai 2026, l’adoption visée en juillet. Le compteur tourne.

Mais l’attaque la plus brutale contre le chiffrement bout-en-bout vient des États-Unis, et elle ne ressemble pas à une loi. De la jurisprudence, et c’est bien pire.

Le 24 mars 2026, un jury du Nouveau-Mexique condamne Meta à 375 millions de dollars de pénalités civiles. Le procureur général a utilisé la décision de Meta de déployer le chiffrement bout-en-bout dans Messenger comme preuve d’irresponsabilité envers les mineurs.

Et la séquence qui suit est encore plus parlante que le verdict : pendant le procès, avant même la sentence, Meta annonce le retrait de l’E2E des messages directs Instagram. Effet programmé au 8 mai 2026. La simple existence du procès aura suffi à les décider.

Et le véritable problème de la jurisprudence, c’est qu’un seul juge aura suffi, pour que tous les autres puissent reprendre son arrêt dans d’autres jugements. Avec de lourdes indemnisations à la clé, ce qui aura pour effet, dans un horizon très bref, de décourager les startups qui viseraient à chiffrer leurs services. Parce que 375M$ pour Meta, c’est de la broutille. Pour une startup, c’est la mort assurée.

Plus efficace encore, qu’une loi ou un règlement.

Pour autant que ce soit tentant, on ne peut pas jeter toute la pierre au juge. Le comportement irresponsable (volontaire ?) de Meta a façonné la décision. Je m’explique :

Une note interne signée Monika Bickert (directrice de la politique de contenu de Meta à l’époque) a fini dans le dossier d’instruction. Ironie noire absolue : « Nous nous apprêtons à faire une mauvaise chose en tant qu’entreprise. C’est tellement irresponsable. » Bickert ne critiquait pas le chiffrement en lui-même, elle alertait sa hiérarchie sur le timing.

Activer l’E2E par défaut sur Messenger sans avoir d’abord trouvé comment continuer à détecter les abus sur mineurs, ça revenait à aveugler volontairement les systèmes de signalement de Meta. Le procureur du Nouveau-Mexique a sorti cette note pour démontrer la chose la plus difficile à prouver dans une affaire civile : que Meta savait que sa décision laisserait passer des prédateurs, et l’a prise quand même.

Là, c’est vraiment, vraiment important. Il ne faut pas se tromper sur le rôle de chacun dans cette affaire. Meta n’est pas victime du procès. Pour Zuckerberg, l’E2E n’a jamais été une valeur, c’était un argument marketing pour rester compétitif face à WhatsApp et Signal.

C’est exactement ce qui sépare Meta de Signal ou Proton. Signal ne peut pas retirer l’E2E, ce serait dissoudre le produit. Proton non plus, sa proposition entière repose dessus. Meta peut, parce que pour elle, l’E2E était une option de cuisine, pas une fondation.

Et c’est précisément cela qui crée le précédent que les juges pourront brandir face à Signal ou Proton ensuite. « Voyez, même Meta a reculé, vous pouvez bien le faire aussi. » Meta ne subit pas la chute de l’E2E. Elle y participe activement.

Et c’est aussi la conclusion de Bruce Schneier, sommité mondiale de la cryptographie. Déployer du chiffrement fort sur ton produit peut désormais être attaqué juridiquement comme un acte de mauvaise foi. Pas illégal en soi. Juste… dommageable au civil, devant un juge américain.

Le tableau US se complète avec FISA Section 702. La loi expirait le 20 avril 2026. Le Congrès a voté une extension de dix jours en urgence et bloqué d’avance l’amendement « exigence de mandat ». La NSA aspire les communications d’étrangers ciblés hors des États-Unis, les Américains qui leur écrivent rentrent alors dans la base, le FBI l’interroge sans mandat. Sept mille requêtes US-person en 2025, sous-déclarées de l’aveu du DOJ lui-même.

À l’autre bout du monde, Hong Kong. Le 23 mars 2026, les règles d’enforcement de la National Security Law sont modifiées, la police peut désormais exiger tes mots de passe et tes clés de chiffrement. Refuser est un délit pénal. Schneier en a fait une note de blog. Hong Kong contraint frontalement. Les démocraties, elles, contournent par contrat (CSAR), par jurisprudence (Meta NM), ou par barrières d’âge au niveau de l’OS. Résultat équivalent, emballage différent.

Convergence sans concertation, mais convergence quand même.

M3, courtiers privés et publics, l’identité comme infrastructure

Une fois HR 8250 voté, ou Illinois HB 5511, Apple et Google deviennent courtiers d’âge. Pas par choix, par contrainte légale. Techniquement, c’est juste une option régionale, le genre de switch qu’Apple bascule déjà pour le RGPD. Le vrai risque, c’est que les autres gouvernements voient le système tourner aux US et le copient. Effet RGPD à l’envers, par mimétisme.

Pendant que les États débattent, Sam Altman pousse son alternative privée. Le 17 avril 2026, World ID annonce son intégration avec Tinder, Zoom, DocuSign, Okta, Shopify et VanEck. Dix-huit millions d’utilisateurs déjà vérifiés par scan d’iris (l’Orb), dans cent soixante pays. Le pitch : « la première couche d’identité décentralisée pour l’humanité », face aux bots et aux deepfakes, que la même industrie IA produit en masse.

C’est élégant. Tu génères le problème (deepfakes IA), tu vends la solution (scan d’iris). Au passage, tu construis une base biométrique privée à l’échelle planétaire, que tu connectes à Tinder, Zoom, DocuSign et Shopify. Le scanné devient bêta-testeur d’humanité gratuit, et paie en iris. L’industrie IA gagne encore plus de données gratuites, mais surtout surqualifiées.

On peut difficilement faire mieux, en effet, que de pouvoir pister précisément un individu à travers tous les services qu’il utilise au quotidien. Je te dis pas la mine d’or !

Côté étatique, le UK avance son GOV.UK Wallet et son permis de conduire numérique, déploiement complet courant 2026. Rien d’obligatoire à ce stade, photocards physiques valides jusqu’en 2030. Mais l’infrastructure est là, prête à devenir obligatoire dès qu’un futur gouvernement l’aura décidé.

Trois acteurs émergent comme courtiers d’identité dominants, Apple plus Google côté OS, World ID côté privé global, GOV.UK Wallet et ses jumeaux côté étatique. Personne ne s’est concerté. La convergence est politique, économique, structurelle.

Pourquoi cette convergence

Ce n’est pas un complot. C’est plus ennuyeux que ça, c’est de la mécanique systémique.

D’abord, l’imitation transatlantique. Le UK Online Safety Act voté en 2023 sert de modèle. L’Australie le réplique en 2025. La Commission européenne le cite explicitement comme « bonne pratique » pour son app de vérification d’âge. HR 8250 et Illinois HB 5511 reprennent la même architecture six mois plus tard. Pas de coordination secrète, juste du « regarde, ça marche chez eux, copions ».

Ensuite, le coût marginal nul pour Apple, Google et Microsoft. Une fois l’infrastructure de vérification d’âge construite au niveau OS pour un État, l’export vers les autres pays ne coûte rien de plus.

Enfin, le momentum réglementaire crée le marché privé. Les plateformes cherchent des fournisseurs de vérification d’identité ? Worldcoin lève la main. Les États veulent leur wallet souverain ? Les intégrateurs (Thales, IDEMIA, Entrust) se positionnent sur les appels d’offres eIDAS 2.0. La régulation crée le besoin, le marché vend la solution.

Le résultat est exactement ce que la lettre des 371 chercheurs redoute, un système où chaque interaction avec un service en ligne suppose une preuve d’identité émise par un État ou par un courtier privé.

Les contre-mouvements

Finir sur une note totalement défaitiste serait malvenu.

Le 1er avril 2026, le gouverneur Brad Little signe Idaho SB 1299, qui interdit aux entités gouvernementales de l’État d’exiger un digital ID. Premier État américain à repousser frontalement, texte juridiquement solide et réplicable.

Deux jours plus tard, le gouverneur Tony Evers du Wisconsin exerce un veto AB 105, sur un projet de vérification d’âge pour sites adultes. Premier veto de gouverneur américain sur un projet de loi de vérification d’âge, trois objections argumentées, intrusion Privacy sur les adultes, absence de restrictions de partage, vulnérabilités exposant les internautes au vol et au chantage.

Le 23 avril 2026, Thomas Massie (R-KY) et Lauren Boebert (R-CO) déposent HR 8470 Surveillance Accountability Act. Mandat et cause probable exigés avant toute surveillance d’Américains, fermeture de la « faille des courtiers de données ». Bipartisan dans l’esprit, signe que le débat sur la surveillance traverse les deux partis.

Et le 8 avril, la DINUM française annonce la migration de 2,5 millions de postes administration vers Linux. David Amiel, ministre du Budget, demande des plans ministériels avant l’automne 2026. Sept axes de réduction de dépendance, visio souveraine pour 200 000 agents fin 2026, 2,5 millions en 2027.

Soyons honnêtes deux secondes. La France ne migre pas pour protéger la Privacy de ses fonctionnaires, elle s’en moque. Elle migre parce que dépendre de Microsoft coûte entre 500 et 800 millions d’euros de licences par an, et parce qu’un Trump 2.0 a fini de rappeler à Bruxelles et à Paris qu’un fournisseur américain peut être désactivé par décret de la Maison Blanche. Souveraineté budgétaire et souveraineté stratégique. Privacy nulle part.

Mais c’est précisément pour ça que l’exemple est intéressant. Un État sort d’un stack hégémonique pour des raisons d’argent et de géopolitique, pas par idéologie.

Le résultat, par effet de bord, c’est que ses 2,5 millions de fonctionnaires arrêtent d’être télémétrés en continu par Redmond.

Ce qu’un État fait pour ses raisons, un citoyen peut le faire pour les siennes. Et protéger sa Privacy online n’est pas un crime, du moins pas encore.

Sortir, techniquement et politiquement

J’utilise Proton Mail et un serveur de mail self-host Stalwart pour les emails, Matrix pour la messagerie instantanée, un réseau mesh Tailscale wireguard avec exit node Mullvad pour la sécu, un résolveur DNS unbound self-host, et divers autres outils open source pour ma souveraineté numérique.

Ce n’est pas absolu, bien sûr, mais c’est déjà une énorme indépendance, une réelle Privacy, une importante limitation pour des tiers commerciaux, ou étatiques, à pouvoir me pister en continu.

À part Proton, et l’hébergement de mes VPS chez Infomaniak, tous ces outils sont gratuits, open source, audités pour la plupart, et soutenus par des communautés dynamiques. C’est la preuve que la Privacy n’est pas morte et qu’elle intéresse, au contraire, nombre de personnes.

Tu n’es certes pas obligé d’aller jusque là, même si pour ton activité pro en particulier, je te conseille vivement d’aller jusqu’à cet arsenal-là. Mais chaque geste que tu feras pour ta Privacy compte. C’est le droit inaliénable pour toi de disposer de tes données numériques, comme tu l’entends, et de définir avec qui tu les partages. C’est aussi fondamental que la liberté d’aller et venir.

Si CSAR passe, si HR 8250 progresse, et que tu te sens concerné, le bon réflexe est de choisir des architectures dont la conception technique rend le scan de tes données impossible, et le tracking extrêmement pénible.

Signal et Proton ne peuvent pas implémenter le client-side scanning sans casser leur modèle. Ce n’est pas une politique, c’est une impossibilité technique. Les choisir eux, ou d’autres bâtis sur le même modèle, c’est te protéger.

À lire : Qu’est-ce que la souveraineté digitale en pratique

Côté politique, si ça t’intéresse, écris à tes représentants. Le trilogue CSAR du 4 mai 2026 est un point de bascule. La pression publique a fonctionné sur Chat Control 1.0, elle peut fonctionner sur CSAR 2.0.

EDRi, EFF, noyb, maintiennent des outils de contact direct avec les citoyens. Utilise-les et participe à l’action, si cela te parle.

Et suis les Radars MacSouverain. Chaque texte, chaque verdict, chaque tour de vis est suivi en temps réel. La vigilance Privacy, c’est de l’attention au quotidien, pas de l’épisodique.

Pour les pressés

Six mois, dix-neuf textes, quatre continents. Trois mécaniques qui s’emboîtent, identification universelle, cassage du chiffrement, centralisation des données d’identification chez deux ou trois courtiers. Ce n’est pas un complot, juste des trajectoires convergentes qui aboutiront à moins de Privacy, voire à plus de Privacy du tout, si on les combine dans chaque pays.

Tout le monde en sort gagnant, c’est comme ça qu’on te le vend, sauf l’utilisateur final, à bien lire. Autrement dit, toi, moi, et tous les citoyens.

Idaho SB 1299, Wisconsin veto Evers, Surveillance Accountability Act, 371 chercheurs, des points d’appui réels, démontrent qu’une autre voie est possible.

Tes choix techniques d’aujourd’hui, Signal, Proton, MacOS bien réglé et à jour, Linux pourquoi pas, sont aussi des choix politiques. Et soutenir EDRi et EFF, refuser les fonctions de confort qui pavent la voie, est aussi le bon moyen de combiner les deux.

Ce qui arrive n’est pas encore totalement écrit. Mais c’est d’ores et déjà inscrit dans une trajectoire.

À toi de choisir ce que tu en fais.

Sources

Textes officiels et législatifs

Analyses et coalitions

Voir aussi