Moins d’un an après avoir été annoncé par le Premier ministre Sébastien Lecornu, le très attendu rapport Boudié sur le chiffrement de bout en bout en France vient de paraître. Le document souligne le paradoxe d’une technologie indispensable à la sécurité numérique et à la protection des données, mais qui complique de plus en plus le travail des forces de l’ordre et des services de renseignement. Sans réclamer son abandon, il préconise de rechercher des moyens d’accéder de manière ciblée à certains contenus chiffrés.
Le très attendu rapport Boudié, destiné à lever l’imbroglio sur le chiffrement des communications en France, vient d’être publié. Dans un contexte tendu autour des questions de chiffrement en France, il ne prend pas clairement position pour ou contre cette technologie. Le document met surtout en évidence le paradoxe du chiffrement : indispensable à la sécurité numérique et à la protection des données, il rend également le travail des forces de l’ordre et des services de renseignement toujours plus complexe. Sans remettre en cause son principe, le texte recommande d’abandonner l’article d’un projet de loi qui pourrait entraver la capacité des services de sécurité à intercepter des conversations criminelles.
Le chiffrement de bout en bout prive les interceptions classiques d’une grande partie de leur efficacité
Confié en janvier 2026 à Florent Boudié, alors député Renaissance, par le Premier ministre Sébastien Lecornu, le rapport Boudié devait éclairer le gouvernement sur « les politiques publiques de sécurité à l’ère numérique » et explorer les « possibilités d’évolution des dispositifs juridiques existants » permettant l’accès aux communications chiffrées. Après plusieurs mois de travail, il constate que le chiffrement de bout en bout prive les interceptions classiques d’une grande partie de leur efficacité. Cette situation serait d’autant incompréhensible que les SMS et MMS ne représenteraient plus que 3 % des messages échangés, tandis que 90 % des communications des services de messagerie seraient désormais chiffrées de bout en bout.
Le rapport Boudié pointe la banalisation du chiffrement dans la criminalité
De ce fait, les enquêteurs doivent davantage s’appuyer sur les métadonnées et sur des techniques permettant d’accéder directement aux terminaux. Le document pointe également la banalisation du chiffrement dans la criminalité. Notamment au sein d’écosystèmes criminels structurés comme EncroChat, dont le démantèlement aurait contribué à quelque 6 500 interpellations entre 2020 et 2023. Ainsi, la question posée est moins celle de la suppression du chiffrement que celle des moyens de permettre aux autorités d’accéder, dans certaines circonstances, à des communications auxquelles elles n’ont plus accès par les méthodes traditionnelles.
Pour le rapport Boudié, les pouvoirs publics se sont mis dans une situation difficile avec le chiffrement de bout en bout
S’il ne condamne pas clairement le chiffrement de bout en bout, le rapport Boudié relève que sa généralisation résulte aussi de politiques publiques destinées à protéger les citoyens, les entreprises et les infrastructures critiques. Pour preuve, la France encourage elle-même le développement de procédés cryptographiques toujours plus performants dans le cadre de sa stratégie nationale de cybersécurité.
Toutefois, cette politique produit un paradoxe : les pouvoirs publics ont encouragé le renforcement du chiffrement pour mieux protéger les données, mais aujourd’hui ils constatent que cette même protection réduit leurs capacités d’enquête. Les services de l’État sont ainsi confrontés à la nécessité de préserver la sécurité numérique tout en cherchant à « percer le mur du chiffrement ».
Le rapport Boudié recommande de renoncer à l’article 16 bis du projet de loi relatif à la résilience des infrastructures critiques
C’est dans ce contexte que Florent Boudié recommande de renoncer à l’article 16 bis du projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité. Déjà introduit au Sénat, cet article veut qu’il ne soit pas imposé aux fournisseurs de services de chiffrement l’obligation d’intégrer des dispositifs destinés à affaiblir volontairement la sécurité de leurs systèmes, comme des clés de déchiffrement maîtresses ou d’autres mécanismes permettant un accès non consenti aux données.
Le gouvernement souhaite la suppression de cet article 16 bis
Pour le rapport Boudié, cette formulation comporte de « sérieuses zones d’ombre juridiques » et pourrait produire des « effets juridiques non maîtrisés ». Elle risquerait notamment d’empêcher les services de renseignement d’utiliser certaines techniques pour intercepter les communications de réseaux criminels ou terroristes sur des messageries chiffrées comme WhatsApp ou Signal.
Notons que ce rapport intervient alors que le projet de loi « résilience » revient à l’Assemblée nationale cette semaine, près de deux ans après son introduction au Sénat. Le texte, qui transpose notamment plusieurs directives européennes en matière de cybersécurité, s’était retrouvé bloqué autour de la question du chiffrement. Désormais, le gouvernement entend soutenir en séance publique la suppression de l’article 16 bis.
