Ce que l'on choisit de ne pas savoir

Le rapport Boudié épargne le chiffrement mais révèle l'enjeu des métadonnées. Effacer ses traces n'est pas neutre : un éditeur responsable garde de quoi répondre à la justice.

Le rapport que Florent Boudié a remis au Premier ministre en septembre 2026, "Les politiques publiques de sécurité à l'ère numérique", est un document rare. Sur un sujet où le débat oscille d'ordinaire entre l'anathème et l'incantation, il prend le temps de poser les faits, de mesurer les effets du droit existant et de récuser les deux tentations symétriques qui ont empoisonné la discussion parlementaire depuis deux ans : forcer chaque messagerie chiffrée à livrer les contenus en clair, ou interdire par principe toute évolution de l'accès légal aux données.

Mais c'est dans une note de bas de page que se trouve, à mes yeux, la phrase la plus importante du rapport. La note 200 rappelle sobrement que la création des données doit être distinguée de leur conservation. Toute la question que je veux poser ici tient dans cette distinction. Et je la pose en tant qu'architecte de la plateforme SubrosaMail, c'est-à-dire en tant que personne qui décide, ligne de code après ligne de code, de ce que son outil saura ou ne saura pas.

Le contenu est perdu, et c'est un choix assumé

Commençons par ce qui n'est plus discutable. Le chiffrement de bout en bout a gagné. Selon les chiffres repris par le rapport, les SMS ne représentent plus que 3 % des messages échangés ; le reste transite par des applications dont 90 % chiffrent les échanges de bout en bout. La plateforme nationale des interceptions judiciaires captait 87 millions de communications classiques en 2020, 61 millions en 2024. La Commission nationale de contrôle des techniques de renseignement elle-même constate que l'intérêt des interceptions de sécurité s'est réduit de façon majeure.

Le rapport ne s'en lamente pas, et il a raison. Le chiffrement est devenu la colonne vertébrale de la sécurité numérique. L'État le promeut dans sa Stratégie nationale de cybersécurité et l'impose à ses propres agents avec Tchap et Olvid ; l'ANSSI, la CNIL et le Conseil de l'Union européenne le défendent. Et, comme le note le rapport, aucune solution connue ne permet aujourd'hui d'assurer à grande échelle la sécurité des systèmes sans lui.

Je partage entièrement cette conclusion. Il n'est pas question ici de réclamer une porte dérobée, une clé maîtresse ou un "utilisateur fantôme" glissé dans les conversations. Le contenu des messages doit rester inaccessible à l'éditeur. C'est la promesse faite aux utilisateurs, et c'est aussi la meilleure protection contre les attaquants.

Mais le contenu n'est pas tout.

Messagerie chiffrée : il reste les contours

Le rapport décrit avec justesse ce que les spécialistes appellent le "going dark". Ce n'est pas une obscurité totale. Le cœur des communications s'assombrit, mais leurs contours restent éclairés : l'horodatage des connexions à la plateforme, depuis quelle adresse IP, avec quel appareil. Ce sont les métadonnées.

Privés du contenu, les enquêteurs se sont repliés sur elles. En matière de renseignement, les demandes portant sur les données de connexion atteignaient 55 738 en 2025 : elles sont devenues la technique de surveillance de première intention. Dans les enquêtes pénales, les données de connexion sont présentes dans 85 % des procédures et dans la totalité des affaires de criminalité organisée, selon le rapport sénatorial Canayer-Bonnecarrère cité par la mission.

L'autre voie de repli, le piratage des terminaux, a explosé : les demandes de recueil de données informatiques sont passées de 2 418 en 2020 à 7 900 en 2025. Or c'est la technique la plus intrusive qui soit. Elle aspire tout le contenu d'un appareil, sans distinction. On mesure le paradoxe : en refusant de fournir quelques métadonnées ciblées, on pousse l'État vers des méthodes beaucoup plus attentatoires à la vie privée.

C'est ici que le rapport sonne l'alarme. Le principal risque à court terme, écrit-il, n'est plus seulement l'impossibilité d'accéder aux contenus chiffrés. C'est la contraction progressive des données périphériques elles-mêmes, sous l'effet des stratégies de minimisation déployées par les fournisseurs.

Conserver n'est pas produire

Le droit français n'est pas muet. L'article L. 34-1 du code des postes et des communications électroniques, précisé par l'article R. 10-13, impose aux opérateurs de conserver certaines données, et les messageries y sont soumises depuis la transposition du code européen des communications électroniques en 2021. Les durées sont graduées : cinq ans pour l'identité civile, un an pour les données de compte et pour les adresses IP, et les données de trafic et de localisation seulement sur injonction du Premier ministre en cas de menace grave pour la sécurité nationale.

Mais cette obligation a une limite que la note 200 met au jour. La loi impose de conserver les données qu'un service traite. Elle n'impose pas de produire celles qu'il a décidé de ne pas générer. Une messagerie chiffrée conçue pour ignorer qui écrit à qui respecte la loi à la lettre : elle n'a simplement rien à garder.

Le rapport donne des exemples précis. Signal a fait de la réduction des métadonnées une ambition affichée et chiffre jusqu'à l'identité de l'expéditeur avec sa fonction "Sealed Sender". Olvid ne demande ni numéro de téléphone, ni adresse électronique, ni nom. De nouveaux protocoles font de la protection des métadonnées un objectif de conception.

Rien de tout cela n'est illégal. Mais rien de tout cela n'est neutre non plus.

Une architecture est une décision

On présente souvent l'architecture technique comme une fatalité, un état de l'art qui s'imposerait à tous. C'est faux. Quand je conçois un service, je décide de ce qu'il journalise. Je décide si je garde l'adresse IP d'une connexion, l'horodatage de cette dernière, l'identifiant du compte. Chacune de ces décisions est une décision d'éditeur, et donc une décision de responsabilité.

Le rapport le formule à sa manière : dans un environnement chiffré, les opérateurs et les fournisseurs sont, en quelque sorte, les vrais maîtres de l'enquête. Ils contrôlent non seulement l'accès aux données, mais leur existence même.

Dès lors, la question devient morale autant que technique. Que fait un éditeur d'une messagerie chiffrée qui sait, parce que les services de l'État le documentent, que son outil sert à vendre de la drogue au détail, à recruter des exécutants pour des réseaux criminels, à coordonner des enlèvements, à échanger des contenus pédocriminels ? La gendarmerie estime que 100 % des délinquants de masse utilisent des messageries sécurisées. Le GAFI constate que l'exploitation sexuelle des enfants en ligne est aggravée par la prolifération des communications chiffrées. Le rapport reproduit même une annonce de recrutement au service d'un réseau criminel, diffusée sur une messagerie chiffrée.

Face à cela, choisir délibérément de ne rien savoir, ce n'est pas une neutralité technique. C'est un choix.

Ma conviction est simple. Un éditeur d'une messagerie chiffrée responsable se donne les moyens de répondre à une réquisition judiciaire avec au moins des métadonnées conservées douze mois. Pas le contenu, qui reste chiffré. Pas un accès permanent ou massif. Des journaux de connexion, conservés de manière sécurisée, et transmis uniquement sur décision d'une autorité judiciaire, dans le cadre strict que le droit européen impose déjà.

C'est le choix que nous avons fait pour SubrosaMail : douze mois de journaux de connexion, et pas une ligne de contenu lisible.

L'article 12 ne protège pas l'impunité

On m'opposera la vie privée. L'argument est sérieux, et je le respecte d'autant plus que je le défends depuis des années : mon parcours en témoigne. Mais il faut relire les textes.

L'article 12 de la Déclaration universelle des droits de l'homme protège chacun contre les immixtions arbitraires dans sa vie privée et sa correspondance. Le mot décisif est arbitraires. Une réquisition délivrée par un juge, motivée, limitée dans le temps et contrôlée, n'est pas une immixtion arbitraire. C'est même l'exact contraire : c'est l'État de droit à l'œuvre.

La jurisprudence européenne va dans le même sens. La Cour de justice de l'Union n'interdit pas l'accès aux métadonnées ; elle exige qu'il soit réservé à la criminalité grave et soumis au contrôle préalable d'un juge ou d'une autorité indépendante. C'est un cadre exigeant, et il est juste. Mais il suppose que les données existent. Une garantie procédurale sur une donnée qui n'a jamais été créée ne protège personne : elle ne sert qu'à garantir qu'aucune enquête n'aboutira.

L'article 12 n'ouvre pas un droit à l'impunité. Il ouvre un droit à ne pas être surveillé sans raison. Ce sont deux choses très différentes.

Les objections sérieuses

Ce plaidoyer serait malhonnête s'il ignorait les objections. Il y en a trois, et elles méritent une réponse.

La première tient au RGPD. La minimisation des données est un principe légal européen, inscrit à l'article 5 du règlement. Une plateforme qui collecte peu applique la loi. C'est exact. Mais minimiser ne signifie pas supprimer : le RGPD exige de ne collecter que ce qui est nécessaire à une finalité légitime. Or la première finalité des journaux de connexion n'est pas la réquisition, c'est la sécurité de l'utilisateur lui-même. Ce sont ces journaux qui permettent de l'avertir qu'une connexion à son compte vient d'avoir lieu depuis une adresse IP inconnue ou un nouvel appareil, et de lui donner les moyens de réagir si ce n'est pas lui. Le RGPD l'exige d'ailleurs, puisque son article 32 impose de garantir la sécurité des traitements. Sans journaux, pas d'alerte ; sans alerte, le compte usurpé reste usurpé. La réponse aux réquisitions judiciaires n'est qu'une finalité secondaire, elle aussi légitime. Douze mois de journaux de connexion ne sont pas une collecte excessive ; c'est une collecte proportionnée, qui protège d'abord ceux qu'elle concerne.

La deuxième tient au risque de fuite. Car il y a un revers : les journaux qui protègent l'utilisateur deviennent eux-mêmes une cible. Toute donnée conservée est une donnée qui peut fuir. L'actualité française le rappelle durement : l'ANTS, la DGFiP, le fichier FICOBA et même la messagerie interministérielle Tchap, dont le rapport décrit l'incident de juin 2026, ont tous été touchés. L'objection est forte. Elle impose une exigence : ces métadonnées doivent être conservées chez l'éditeur, chiffrées, cloisonnées, avec des accès journalisés et révisés, et détruites à l'échéance. Elle ne justifie pas pour autant de ne rien garder. Sinon, il faudrait aussi supprimer les fichiers clients, les factures et les registres de paiement, qui fuient bien davantage.

La troisième tient au droit à l'intimité. Une messagerie chiffrée ne protège pas seulement ceux qui ont des raisons de se cacher. Elles protègent d'abord des millions de personnes qui n'ont rien à se reprocher, mais qui ont droit à leur intimité : une conversation amoureuse, un échange avec son médecin, une inquiétude confiée à un proche, une dispute de famille. N'avoir rien à cacher n'a jamais signifié accepter d'être lu.

Il faut ici éviter une confusion fréquente : l'intimité n'est pas l'innocence. Ce sont deux notions distinctes. Le chiffrement ne trie pas les honnêtes gens des criminels ; il protège le contenu de chacun, sans distinction, parce que l'intimité est un droit attaché à la personne, et non une récompense accordée à la vertu. C'est précisément ce qui fait sa force, et c'est pourquoi le contenu doit rester chiffré pour tous. Mais ce droit, s'il ne dépend pas de l'innocence, ne garantit pas non plus l'impunité. Protéger ce que chacun dit n'oblige pas à effacer toute trace de qui s'est connecté, quand et d'où.

Ce droit devient vital pour certains : journalistes, opposants, victimes de violences conjugales qui fuient un conjoint qui les surveille. L'ONU insiste à juste titre sur ce rôle. C'est l'objection la plus grave, et je ne la balaie pas. Mais leur protection repose d'abord sur le chiffrement du contenu, qui reste intact : personne, pas même l'éditeur, ne lit les messages. Et dans un État de droit, les métadonnées ne sont accessibles qu'à un juge, pour des faits graves. Le risque est réel dans les régimes autoritaires, ce qui plaide pour un cadre juridique exigeant et pour un refus ferme des réquisitions illégitimes. Pas pour l'aveuglement volontaire partout.

Ce que le rapport propose, et ce qu'il faut aller chercher plus loin

Le rapport ne va pas aussi loin que moi, et c'est cohérent avec sa prudence. Il ne propose pas d'obliger les plateformes à produire des métadonnées. Il propose de faire de leur disponibilité un objectif stratégique (recommandation 6), d'imposer aux fournisseurs une obligation d'information sur les données qu'ils génèrent et conservent réellement (recommandation 7), et de les soumettre à la publication d'indicateurs harmonisés sur l'exécution des réquisitions (recommandation 9).

Ces mesures sont précieuses, car elles rendent visible ce qui est aujourd'hui opaque. Les rapports de transparence publiés par les grandes plateformes donnent des ordres de grandeur : selon le rapport, Meta a fourni au moins certaines données dans 84 % des demandes françaises au premier semestre 2025, Google dans 81 %, Apple dans 56 %. Mais personne ne sait aujourd'hui quelles données ont été transmises, lesquelles ont été refusées et pourquoi. Le rapport relève d'ailleurs que les plateformes exercent un véritable contrôle d'opportunité sur les demandes qu'elles reçoivent, selon leurs propres critères.

La transparence aura un effet que le rapport anticipe à demi-mot : elle révélera les choix de chacun. Certaines plateformes, écrit-il, ont déjà des pratiques plus vertueuses que d'autres et pourraient y voir un avantage de réputation. C'est exactement ce que je crois. Le jour où chaque éditeur devra dire publiquement ce qu'il garde et ce qu'il transmet, l'architecture cessera d'être un alibi. Elle deviendra une signature.

La ligne de partage

La question du chiffrement a longtemps été posée comme un duel entre l'État et les plateformes, entre la sécurité et la vie privée. Le rapport Boudié a le mérite de déplacer le débat. Il montre que la vraie ligne de partage ne passe plus entre le contenu chiffré et le contenu en clair. Elle passe entre les éditeurs de messagerie chiffrée qui acceptent de garder un minimum de traces pour répondre à la justice et ceux qui conçoivent leurs outils pour ne jamais pouvoir répondre.

Les premiers ne trahissent pas leurs utilisateurs. Ils leur offrent le chiffrement le plus robuste, et ils assument en même temps que leur outil ne doit pas devenir l'angle mort parfait des trafiquants, des terroristes et des prédateurs d'enfants.

Les seconds peuvent invoquer la technique, le RGPD ou les droits fondamentaux. Mais lorsqu'ils savent ce que leur service permet et qu'ils choisissent de ne rien voir, ils ne protègent pas seulement la vie privée de leurs utilisateurs honnêtes. Ils garantissent aussi l'impunité de ceux qui ne le sont pas.

Au fond, le niveau de traçabilité qu'un éditeur accepte de maintenir dit quelque chose de sa conception de la responsabilité. Ce n'est pas une question de capacité technique. C'est une question de choix.

Et ce que l'on choisit de ne pas savoir, on en reste comptable.