Le mercredi 11 novembre 2026 à 00:22 - MAJ mercredi 11 novembre 2026 à 00:33
Les députés ont supprimé mardi l'article 16 bis du projet de loi sur la cybersécurité. Cet article interdisait à l'État d'imposer des "portes dérobées" aux messageries chiffrées comme WhatsApp, Signal ou Telegram. La suppression a été votée par 69 voix contre 37 à l'Assemblée nationale, pendant l'examen du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, dit "loi Résilience". Selon le gouvernement et les services de renseignement, l'article était formulé de façon si large qu'il menaçait des techniques d'enquête déjà utilisées.
Les messageries comme WhatsApp ou Signal chiffrent les échanges "de bout en bout". Seuls les participants à une conversation peuvent lire les messages : ni l'éditeur de l'application ni les enquêteurs n'y ont accès par une écoute classique. Une "porte dérobée" est un dispositif qui serait imposé à ces applications pour que les services de police ou de renseignement puissent lire certaines conversations. Introduit par le Sénat, l'article 16 bis interdisait d'imposer aux fournisseurs de services de chiffrement tout dispositif destiné à "affaiblir volontairement la sécurité" des communications. Il visait plus largement tout "mécanisme permettant un accès non consenti aux données protégées".
C'est justement cette formulation qui posait problème. Selon le ministre de l'Intérieur Laurent Nuñez, qui s'est exprimé dans l'hémicycle, l'article avait été rédigé "de manière trop large" et risquait de compromettre "un certain nombre de techniques de renseignement déjà mises en œuvre". En visant l'accès à toutes les données protégées, il allait selon lui bien au-delà du chiffrement. Le ministre a cité la géolocalisation et les données de connexion. "Adopter cet article et le maintenir comme il est, c'est donner une longueur d'avance aux pédocriminels, aux narcotrafiquants", a soutenu de son côté le député Horizons Vincent Thiébaut, co-rapporteur du texte.
Le RN, les groupes du bloc central, la Droite républicaine, LIOT et une partie des socialistes ont voté la suppression. Seuls les élus de La France insoumise et les écologistes s'y sont opposés. "Le chiffrement n'est pas un obstacle à la sécurité. Il en est l'une des conditions essentielles", a défendu la députée écologiste Catherine Hervieu. Elle souhaite que le droit au chiffrement soit reconnu dans la Constitution.
Une riposte à la loi contre le narcotrafic
Cet article était né d'un bras de fer entre les deux chambres du Parlement. Au printemps 2025, pendant l'examen de la loi contre le narcotrafic, le Sénat avait adopté un article 8 ter. Il devait obliger les messageries chiffrées à donner aux enquêteurs l'accès aux conversations des personnes placées sur écoute. Bruno Retailleau, alors ministre de l'Intérieur, défendait cette mesure. Elle a provoqué une levée de boucliers chez les éditeurs de messageries et des réserves chez plusieurs députés, et l'Assemblée nationale l'a finalement supprimée. En réaction à cette mesure, les sénateurs ont inscrit en mars 2025 une interdiction de ce type de dispositif dans le projet de loi Résilience. L'initiative venait d'Olivier Cadic, président de la commission spéciale chargée du texte.
"C'était un anti-8 ter, mais il n'y a plus de 8 ter, donc il n'y a plus forcément de raison d'avoir un 16 bis", a résumé mardi Laurent Nuñez.
Une promesse sans valeur juridique
Le gouvernement a suivi les conclusions de Florent Boudié. En janvier 2026, le Premier ministre Sébastien Lecornu avait confié une mission sur le chiffrement à celui qui était alors député Renaissance de Gironde et président de la commission des lois. Dans son rapport remis en septembre et consulté par Le Monde, il recommande de renoncer aux portes dérobées telles qu'elles étaient prévues dans la loi sur le narcotrafic. Il recommande aussi de supprimer l'article 16 bis.
En échange, le gouvernement a promis de ne pas réintroduire de mesure comparable. La ministre déléguée au Numérique Anne Le Hénanff a pris cet engagement jusqu'à "la fin de la session parlementaire", tandis que Laurent Nuñez a parlé de "la fin de l'actuelle mandature". Aucune de ces deux promesses n'a de valeur juridique.
«Aveuglement programmé» des services de renseignement
Le débat est pourtant loin d'être clos. Une part croissante des échanges qui intéressent les enquêteurs et les services de renseignement passe aujourd'hui par ces applications, que les écoutes classiques ne permettent pas de lire. En septembre 2025, la directrice générale de la sécurité intérieure (DGSI), Céline Berthon, a parlé d'un "aveuglement programmé des services de renseignement sur le territoire national".
Pour contourner l'obstacle, les services se tournent de plus en plus vers le "recueil des données informatiques", relève Le Monde. Il s'agit d'accéder physiquement au téléphone ou à l'ordinateur visé, ou d'y accéder à distance avec un logiciel espion. Dans son dernier rapport annuel, la Commission nationale de contrôle des techniques de renseignement (CNCTR) indique que le nombre de demandes des services pour utiliser cette technique a plus que doublé entre 2021 et 2025. Le rapport Boudié invite d'ailleurs l'État à "identifier une solution technique permettant un accès ciblé aux contenus protégés sans compromettre l'intégrité du chiffrement". La piste est complexe : selon le consensus scientifique, il est impossible d'ouvrir un tel accès sans affaiblir la protection de tous les messages.
La France en retard sur la directive NIS 2
Les députés doivent se prononcer sur l'ensemble du texte lors d'un vote solennel prévu le mardi 17 novembre. Une commission mixte paritaire (CMP) devra probablement accorder ensuite les versions de l'Assemblée et du Sénat. La loi transpose notamment la directive européenne NIS 2, qui oblige les secteurs jugés essentiels, comme l'énergie, la santé ou les administrations, à renforcer leur cybersécurité. Environ 15 000 entités sont concernées en France. La directive devait être transposée avant le 17 octobre 2024, et la Commission européenne a saisi la Cour de justice de l'Union européenne (CJUE) pour ce retard. Même après l'adoption de la loi, ses obligations ne s'appliqueront qu'une fois les décrets d'application publiés.