Faut-il inscrire dans la loi l’interdiction d’imposer des « portes dérobées » aux messageries chiffrées ?

Le contexte

Sur WhatsApp ou Signal, un message est chiffré sur le téléphone de l’expéditeur et ne peut être déchiffré que sur celui du destinataire. Un article du projet de loi sur la cybersécurité interdirait à l’État d’obliger ces services à se ménager une entrée. Le gouvernement veut le supprimer.

Ce que prévoit l’article 16 bis

Le Sénat l’a ajouté le 12 mars 2025, contre l’avis de sa commission et du gouvernement. Il dispose qu’il « ne peut être imposé » aux fournisseurs de services de chiffrement d’intégrer des dispositifs qui affaiblissent volontairement la sécurité, comme des clés de déchiffrement maîtresses ou tout autre mécanisme donnant un accès non consenti aux données protégées. En septembre 2025, la commission spéciale de l’Assemblée l’a gardé et même élargi, à l’initiative du député Philippe Latombe.

Les sénateurs répondaient alors à l’article 8 ter de la loi contre le narcotrafic. Défendu par Bruno Retailleau, alors ministre de l’Intérieur, il devait permettre aux enquêteurs de s’inviter en participant invisible dans les conversations d’une personne visée par une interception. Les députés l’ont rejeté en séance en mars 2025.

Pourquoi le gouvernement veut le retirer

Devant la commission spéciale, le 1er octobre, la ministre déléguée au Numérique, Anne Le Hénanff, a qualifié l’article de « cavalier législatif » et annoncé que le gouvernement soutiendrait sa suppression. Elle a promis en échange de ne pas réintroduire de mesure affaiblissant le chiffrement d’ici la fin de la session parlementaire. La Délégation parlementaire au renseignement juge que la rédaction pourrait toucher le cadre juridique des techniques de renseignement.

Le rapport confié par Matignon à l’ex-député Florent Boudié, révélé début octobre, recommande lui aussi d’y renoncer, selon l’AFP. Il relève que 90 % des communications des messageries sont chiffrées de bout en bout et que les SMS et MMS ne pèsent plus que 3 % des messages. Les enquêteurs se rabattent sur les métadonnées et sur le piégeage des téléphones.

Un projet de loi en attente depuis un an

Le désaccord immobilise tout le texte, qui transpose notamment la directive européenne NIS 2 et doit imposer des règles de sécurité à près de 15 000 entreprises et organisations. La France avait jusqu’au 17 octobre 2024 pour le faire. En juillet, la Commission européenne l’a renvoyée devant la Cour de justice de l’UE. Prévu dans l’hémicycle à partir du 7 octobre, l’examen a encore été repoussé la veille, et le rapporteur Éric Bothorel espère une nouvelle date d’ici deux à trois semaines.

Les arguments pour

• Une entrée réservée à la police pourrait aussi servir aux pirates Un accès prévu pour les autorités reste une faiblesse dans le système. L’exposé de l’amendement sénatorial souligne qu’elle pourrait être exploitée par des cybercriminels ou des États hostiles. En 2025, les députés Éric Bothorel et Philippe Latombe, comme l’ancien et l’actuel directeurs de l’Anssi, Guillaume Poupard et Vincent Strubel, faisaient le même reproche au « fantôme » de l’article 8 ter : quelle que soit la technique, la garantie que personne d’autre ne lit les messages disparaît.
• Les réseaux criminels changeraient d’application, les autres utilisateurs non Une obligation ne vise que les messageries qui s’y plient. Pendant le débat sur l’article 8 ter, ses opposants rappelaient qu’il suffisait de cibler certaines applications pour que les criminels passent à d’autres outils, et que la mesure dépendait du concours de grandes entreprises américaines. Les usagers ordinaires, eux, resteraient sur des applications fragilisées.
• Affaiblir le chiffrement exposerait aussi entreprises et administrations Le même chiffrement protège les transactions financières, le secret des affaires et les données des administrations, rappellent les sénateurs auteurs de l’article. Ils craignent qu’une solution française moins sûre pousse entreprises et particuliers vers des outils étrangers. Le rapport Boudié reconnaît lui-même que la diffusion du chiffrement découle de choix publics anciens destinés à protéger citoyens, entreprises et infrastructures critiques.

Les arguments contre

• Sans accès, les enquêteurs ne lisent plus la plupart des messages Selon le rapport Boudié, 90 % des communications des messageries sont chiffrées de bout en bout : une interception classique ne livre plus de contenu lisible. Le rapport décrit une banalisation du chiffrement dans la délinquance et cite 6 500 interpellations entre 2020 et 2023 liées à des réseaux criminels chiffrés comme EncroChat. En 2025, Bruno Retailleau affirmait que ces messageries rendaient les services « aveugles ». Inscrire l’interdiction dans la loi fermerait une piste pour y remédier.
• La rédaction pourrait gêner des techniques de renseignement existantes La Délégation parlementaire au renseignement, composée de députés et de sénateurs, estime que l’article pourrait avoir des conséquences sur le cadre juridique des techniques de renseignement. Selon l’AFP, le rapport Boudié pointe des « zones d’ombre juridiques » susceptibles de produire des « effets juridiques non maîtrisés ». Un principe rédigé aussi largement pourrait être invoqué contre des outils aujourd’hui encadrés par la loi.
• Le blocage retarde la cybersécurité de 15 000 organisations Le différend sur cet article immobilise depuis septembre 2025 le projet de loi qui transpose la directive NIS 2. Près de 15 000 entreprises et organisations attendent leurs nouvelles obligations de sécurité, alors que la France est poursuivie devant la Cour de justice de l’UE pour son retard. Le retrait de l’article, proposé par le gouvernement, devrait faciliter l’adoption du reste du texte, selon LCP.

Sources

• Amendement n° 1 rect. quinquies, article additionnel après l’article 16 du projet de loi Résilience des infrastructures critiques et renforcement de la cybersécurité, Sénat (2025)
• Cybersécurité : pourquoi la France a-t-elle autant tardé pour renforcer sa protection ?, LCP - Assemblée nationale (2026)
• Messageries chiffrées : le gouvernement veut retirer le sujet du projet de loi sur la cybersécurité, KultureGeek (2026)
• Chiffrement : le rapport Boudié invite à « contourner » le chiffrement de bout en bout, Next (2026)
• Messageries chiffrées : un rapport préconise l’abandon d’un article de la loi « résilience » risqué pour le renseignement, AFP (via TradingView)
• Caramba, encore raté : la transposition de NIS2 est de nouveau repoussée, Next (2026)
• L’article 8ter sur les portes dérobées enterré : « C’était une énorme connerie », Next (2025)