On nous annonce régulièrement, sur un ton de bande-annonce, que l’Union européenne serait en train d’assembler « le système de surveillance de masse le plus abouti en démocratie ». La formule est efficace. Elle a le défaut de toutes les formules efficaces : elle range dans le même tiroir des textes qui n’ont ni le même statut, ni le même objet, ni la même maturité. Certains sont votés et bientôt applicables. Un autre n’est pas voté du tout. Et ce qui coiffe l’ensemble n’est pas une loi mais une stratégie, c’est-à-dire une déclaration d’intention.

Faire ce tri n’affaiblit pas le propos. Ça le rend défendable en commentaires, ce qui, par les temps qui courent, n’est pas rien. Voici donc l’inventaire, remis à l’endroit.

Verrou 1 : la chasse au cash (AMLR, voté)

Le règlement anti-blanchiment européen, l’AMLR, est bien voté : règlement (UE) 2024/1624. À partir du 10 juillet 2027, un paiement en espèces ne pourra plus dépasser 10 000 euros dès lors qu’au moins une des deux parties agit à titre professionnel. Au-delà de 3 000 euros, ce professionnel devra vérifier l’identité de son client. Une nouvelle autorité européenne de lutte contre le blanchiment, l’AMLA, s’installe à Francfort et montera en puissance à partir de 2028.

Deux précisions que les versions dramatisées oublient volontiers. Le cash n’est pas « interdit » : au-dessus de 10 000 euros, c’est le règlement en liquide qui est bloqué, pas l’argent liquide en soi, et les transactions strictement entre particuliers échappent au plafond. Et le contrôle d’identité à 3 000 euros vise l’achat d’une voiture ou des travaux chez un professionnel, pas vos courses du samedi.

La vraie ironie est française : notre plafond national est à 1 000 euros depuis 2015, dix fois plus strict que ce que Bruxelles imposera. Première de la classe, comme souvent.

Verrou 2 : l’euro numérique (PAS encore voté)

C’est le maillon où il faut être le plus rigoureux, parce que c’est là que les récits alarmistes dérapent le plus nettement.

L’euro numérique n’est pas un texte « voté, signé, calendrier fixé ». Proposé par la Commission en juin 2023, il est toujours en négociation. Le Parlement a arrêté sa position en juillet 2026, le trilogue avec les États est en cours, une éventuelle émission n’est pas envisagée avant 2029, et elle resterait suspendue à une décision finale de la BCE. Rien n’est acté.

Surtout, l’idée que « la BCE aura les moyens techniques de décider ce que vous avez le droit d’acheter » ne correspond pas à ce qui est sur la table. La BCE a explicitement écarté, dès 2023, la programmabilité au sens fort, c’est-à-dire une monnaie qu’on pourrait brider pour interdire tel achat, restreindre telle zone ou faire expirer la valeur à une date donnée. C’est la différence de principe revendiquée avec le yuan numérique chinois. Une limite de détention est bien à l’étude, autour de 3 000 euros par personne, mais c’est un plafond prudentiel destiné à éviter la fuite des dépôts bancaires, pas un contrôle des dépenses.

Faut-il applaudir sans réserve ? Non. Une monnaie centralisée qui circule dans une infrastructure numérique est, par construction, plus traçable que des billets, et la question de la confidentialité réelle des transactions est un vrai sujet. Mais le vrai débat est là, sur la donnée et la gouvernance, pas sur une télécommande à dépenses qui, en l’état des textes, n’existe pas.

Verrou 3 : le portefeuille d’identité numérique (eIDAS 2, voté)

Le règlement eIDAS 2 (règlement UE 2024/1183) impose à chaque État membre de proposer, d’ici fin 2026, un portefeuille européen d’identité numérique, l’EUDI Wallet. Une application où l’on pourra ranger identité, permis de conduire, diplômes, attestations diverses. D’ici fin 2027, les services publics et les grandes entreprises réglementées (banques, télécoms, très grandes plateformes) devront l’accepter.

C’est le texte où la caricature du « fichage central de l’État » demande le plus de prudence, parce que l’architecture prévoit précisément l’inverse dans son principe : divulgation sélective (prouver qu’on est majeur sans révéler sa date de naissance) et consentement obligatoire à chaque partage. La donnée est censée résider sur l’appareil de l’utilisateur, pas dans un grand fichier unique.

Faut-il signer les yeux fermés ? Non plus. Entre le principe inscrit dans un règlement et sa mise en œuvre technique réelle, il y a toujours un écart, et c’est là que la vigilance se justifie. Mais vigilance sur la mise en œuvre est une posture plus solide que l’affirmation, fausse, que le texte crée par nature un dossier centralisé de vos vies.

Verrou 4 : le scan des messages (Chatcontrol / CSAR, en négociation)

Sujet brûlant, et dossier mouvant, à vérifier avant toute publication tant il bouge vite. Il faut distinguer deux choses qu’on confond souvent.

« Chatcontrol 1 » est la dérogation qui autorise les grandes plateformes à scanner volontairement les communications pour détecter des contenus pédocriminels. En mars 2026, le Parlement a refusé de la prolonger à une voix près, avant qu’un règlement temporaire amendé ne soit finalement adopté à l’été 2026.

« Chatcontrol 2 », officiellement le règlement CSAR proposé en 2022, vise un cadre permanent et obligatoire. C’est lui qui inquiète, parce que certaines versions ouvraient la voie à l’analyse des messages avant chiffrement, l’analyse côté client, ce qui neutraliserait en pratique le chiffrement de bout en bout. Ce texte n’est pas adopté : il reste en négociation en trilogue. La version arrêtée par le Conseil fin 2025 a abandonné le scan obligatoire des messages chiffrés, tout en gardant des zones grises. Le service juridique du Conseil lui-même a exprimé des réserves sur sa compatibilité avec l’article 7 de la Charte des droits fondamentaux.

Bref, la menace sur le secret des correspondances est réelle et documentée, mais dire qu’elle est « votée » serait faux à ce stade.

Verrou 5 : l’accès transfrontière aux preuves (E-Evidence, voté)

Le règlement E-Evidence (règlement UE 2023/1543) est voté et devient applicable le 18 août 2026. Il crée deux instruments : l’injonction européenne de production et l’injonction de conservation, qui permettent à l’autorité judiciaire d’un État membre de s’adresser directement à un fournisseur de services établi dans un autre État, sans passer par les lentes voies diplomatiques classiques. Délai de réponse standard : dix jours, ramené à huit heures en cas d’urgence (terrorisme, menace imminente pour la vie).

Il faut nommer ce que c’est, et ce que ce n’est pas. C’est un accord judiciaire, dans le cadre de procédures pénales, avec des injonctions émises ou validées par un juge et une possibilité de refus si des droits fondamentaux sont en jeu. Ce n’est pas un accès libre-service de la police à vos e-mails. Ce qui change vraiment, c’est la vitesse : d’un délai de plusieurs mois à quelques jours. Pour l’efficacité des enquêtes, c’est un progrès. Pour la garantie que la rapidité ne se paie pas en contrôle du juge, c’est le point de vigilance légitime.

Ce qui coiffe l’ensemble : Protect EU (une stratégie, pas une loi)

C’est ici que le récit du « paquet voté » se fissure le plus. Protect EU, présentée par la Commission en avril 2025, n’est pas un règlement. C’est une stratégie de sécurité intérieure, autrement dit un plan de travail. Elle annonce l’intention de renforcer Europol pour en faire une agence plus opérationnelle, de doubler ses effectifs et son budget, et surtout de produire une « feuille de route sur le chiffrement » cherchant un accès légal aux données chiffrées, avec un horizon de capacités de déchiffrement autour de 2030.

Le mot « backdoor » n’apparaît évidemment pas dans les documents officiels, qui parlent d’« accès licite et effectif » tout en promettant de « préserver la cybersécurité et les droits fondamentaux ». La quadrature du cercle est connue : on ne peut pas ouvrir une porte aux seuls gentils. Plus de quatre-vingts organisations, dont Signal, Proton et Mozilla, l’ont dit dans une lettre ouverte. Mais, encore une fois, il s’agit d’orientations et d’analyses d’impact à venir, pas d’un texte adopté. Le ranger au même niveau que l’AMLR, c’est mélanger un projet et une loi.

La vraie question : qui décide ?

Reste l’argument de fond, le plus sérieux, et celui qui n’a pas besoin d’être exagéré pour porter. Ces textes sont impulsés par la Commission européenne, qui détient le quasi-monopole de l’initiative législative. Le Parlement, lui, est élu, mais ne peut pas vraiment déposer de loi de sa propre initiative : il amende, adopte ou rejette ce que la Commission propose.

En revanche, deux raccourcis sont à abandonner. Ursula von der Leyen n’est pas « nommée par personne » : elle est proposée par le Conseil européen, composé des chefs d’État et de gouvernement eux-mêmes issus des urnes nationales, puis élue par le Parlement. Et ce Parlement peut la renverser : plusieurs motions de censure ont été déposées contre elle en 2025 et 2026, toutes rejetées, mais l’arme existe et a servi. Dire que « personne ne rend de comptes » est donc inexact. Le vrai grief, plus étroit mais plus juste, porte sur l’asymétrie de l’initiative et sur l’opacité de certaines décisions. Formulé ainsi, il tient. Exagéré, il donne des verges pour se faire battre.

Le cas français : le zèle en prime

La France ne se contente pas de suivre, elle devance. Plafond cash à 1 000 euros dès 2015, on l’a dit. Surveillance fiscale des plateformes ensuite : la directive DAC7, en vigueur depuis 2023, oblige Leboncoin, Vinted et les autres à signaler au fisc les vendeurs dépassant 2 000 euros de recettes ou trente ventes par an. Le point essentiel, escamoté par les articles anxiogènes : être transmis n’est pas être imposé. L’administration l’écrit noir sur blanc, DAC7 ne change rien à la fiscalité existante. Videz votre grenier à perte, vous ne devez rien. Ce qui change, c’est le statut de vos données : d’invisibles, elles deviennent transmissibles.

Enfin la facturation électronique, obligatoire par étapes, réception pour toutes les entreprises au 1er septembre 2026, émission pour les TPE et micro-entrepreneurs au 1er septembre 2027. Là encore, refusons un raccourci : ce dispositif ne fait pas remonter « chaque euro encaissé en temps réel ». Il vise les échanges entre entreprises. Le plombier qui dépanne un particulier un samedi, la couturière payée le soir, relèvent d’un autre volet, le e-reporting, pas de la facture électronique inter-entreprises. Le mouvement de fond est bien celui d’une traçabilité croissante, mais confondre les deux, c’est se tromper de cible.

Le malaise, lui, est légitime. Dans beaucoup de pays, la petite activité déclarée sur le tard fonctionne comme un tremplin : on commence modestement, on se stabilise, on grandit, et on finit par tout déclarer quand on en a les moyens. La traçabilité intégrale referme cette porte-là un peu plus tôt. Ce ne sont pas des délinquants, ce sont des gens qui se construisent et qui consomment.

Et pendant ce temps, le filet est taillé pour les petits poissons. Les gros passent au-dessus, par le jeu des flux intra-groupe qui font remonter la valeur vers des filiales fiscalement plus clémentes. Heureusement, l’Union a une solution : une directive, une de plus. ViDA prévoit d’harmoniser la facturation numérique et la TVA à l’échelle du continent, avec un déploiement qui s’étale jusqu’aux années 2030. On aurait peut-être pu commencer par là, non ? Enfin, moi je dis ça, je dis rien.

Munich, en toile de fond

On ne peut pas clore sans le 14 février 2025. Ce jour-là, à la Conférence de Munich sur la sécurité, le vice-président américain JD Vance a consacré une bonne partie de son discours à faire la leçon à l’Europe, dénonçant le recul des libertés et de la liberté d’expression, et des élites qui décideraient sans écouter leurs peuples. Le malaise dans la salle a été réel. Sur la forme, un sermon en direct venant d’un pays qui n’est pas lui-même exempt de reproches, on peut trouver ça gonflé. Sur le fond, entre le cash encadré, les messages qu’on a failli scanner et les identités qu’on numérise, on ne lui a pas rendu la tâche très difficile.

Voilà. Cinq verrous de maturités très inégales, une stratégie qui les coiffe, et une clé qu’on répète vouloir chercher, la lutte contre la fraude et la criminalité, tout en oubliant qu’elle mord surtout sur le citoyen ordinaire, parfaitement traçable, et beaucoup moins sur ceux qu’elle prétend viser. C’est peut-être ça, le vrai sujet. Pas un complot. Une pente.

Virtute et Opera.