Le 13 juillet 2026, la cour fédérale du district nord de la Californie a rendu une décision qui laisse un goût amer à beaucoup : Apple a gagné son procès et n’aura pas à répondre de la circulation de contenus pédocriminels (CSAM) sur iCloud. La magistrate Noël Wise a conclu que le droit était du côté d’Apple — mais elle a écrit, avec une franchise rare, que ce verdict faisait des enfants victimes « les dommages collatéraux d’un environnement juridique inadéquat ». Son message au législateur est limpide : si l’on veut que les entreprises technologiques agissent, il faut les y contraindre par la loi.
Apple gagne le procès, mais le juge n’est pas content. Que s’est-il passé ?
Qu’a fait Apple — et qu’a-t-elle omis de faire ?
Tout remonte à 2021. Apple avait annoncé en grande pompe un système nommé NeuralHash. Le principe : avant qu’une photo ne soit téléchargée sur iCloud, l’iPhone effectuait localement un hachage (une empreinte numérique) pour la comparer à une base de données de contenus pédocriminels connus. En cas de correspondance, la photo était bloquée et signalée.
Jusque-là, rien que de très raisonnable. Mais voici le problème.
L’industrie disposait déjà d’un outil éprouvé — PhotoDNA, de Microsoft — adopté par Google, Facebook, Microsoft et presque toutes les grandes plateformes. Apple n’a pas utilisé PhotoDNA. Elle a développé son propre système, NeuralHash. Les résultats n’ont pas été à la hauteur : des chercheurs ont rapidement mis en évidence des faux positifs et des failles de contournement. Plus grave, les défenseurs de la vie privée ont vivement critiqué cette approche, y voyant une « porte dérobée » sur le téléphone qui pourrait être détournée par les gouvernements.
Fin 2022, Apple a fait un revirement complet : elle a abandonné tout projet de scan CSAM sur iCloud et a lancé le chiffrement de bout en bout pour iCloud (Advanced Data Protection). Désormais, même Apple ne peut plus lire le contenu stocké par ses utilisateurs.
Une décision qui a déconcerté tout le monde. Les défenseurs de la protection de l’enfance y ont vu un abandon de responsabilité. Les défenseurs de la vie privée, un choix judicieux. Les poursuites judiciaires, elles, ne se sont pas fait attendre.
Le cœur du litige : savoir qu’un problème existe et ne pas le résoudre, est-ce illégal ?
Deux plaignantes, identifiées sous les pseudonymes d’Amy et Jessica — dont les photos d’enfance abusées circulent toujours sur iCloud — ont intenté une action collective au nom d’environ 2680 victimes, réclamant 32,8 milliards de dollars de dommages et intérêts.
Leurs avocats avancent que des employés d’Apple ont reconnu, dans des messages iMessage internes, savoir qu’iCloud servait à diffuser ces contenus illégaux, mais qu’Apple a choisi de ne pas utiliser PhotoDNA ou NeuralHash pour les détecter. Selon eux, ce n’est pas une question de capacité technique : Apple a délibérément choisi l’inaction.
L’argument paraît solide. Pourtant, la réponse du tribunal a été inattendue.
Le pivot juridique : la section 230 — une loi de 1996
Le motif du rejet est une loi née à l’époque du modem analogique : la section 230 du Communications Decency Act.
Ce texte stipule qu’une plateforme internet n’est pas responsable, en tant qu’« éditeur », des contenus publiés par ses utilisateurs. Concrètement, si quelqu’un publie un message diffamatoire sur Facebook, Facebook n’en est pas responsable — car Facebook est une plateforme, pas un éditeur.
Mais iCloud est un service de « stockage en ligne », pas un « réseau social ». Quel est le raisonnement du tribunal ?
La magistrate Wise écrit dans son jugement :
« Les demandeurs exigent en substance qu’Apple agisse en tant qu’éditeur à l’égard de contenus tiers. Les outils de détection CSAM — NeuralHash comme PhotoDNA — ont pour fonction d’examiner les contenus téléchargés par les utilisateurs. Déployer ou non un tel outil est une décision éditoriale. »
Autrement dit : exiger d’Apple qu’elle scrute le contenu d’iCloud pour y trouver du CSAM revient à lui demander de jouer le rôle de « censeur » — et c’est précisément ce que la section 230 vise à protéger. La loi dispose qu’une plateforme n’a pas l’obligation de contrôler activement les contenus de ses utilisateurs ; Apple n’ayant pas exercé ce contrôle, elle n’est pas en infraction.
Le tribunal précise en outre que même si des employés d’Apple savaient qu’iCloud était utilisé abusivement, l’immunité de la section 230 ne disparaît pas avec la connaissance.
La colère du juge : la loi protège Apple, mais pas les enfants
Si le jugement s’était arrêté là, ce ne serait qu’un article de jurisprudence de plus. Mais les mots de la magistrate Wise dans sa décision rendent cette affaire singulière.
Elle écrit :
« Aujourd’hui, la loi n’interdit à aucune entreprise — y compris Apple — d’utiliser les technologies existantes pour identifier et signaler les contenus pédocriminels. Mais aucune loi ne les y oblige non plus. »
« Ces enfants sont les dommages collatéraux d’un environnement juridique inadéquat. Ils méritent mieux. »
Le sous-texte est clair : la magistrate estime que, sur le plan moral, Apple devrait agir ; mais sur le plan juridique, elle ne peut pas l’y contraindre. Elle appelle le Congrès à légiférer, plutôt que de laisser les tribunaux combler le vide.
C’est un cas typique de « vide législatif » : la technologie évolue trop vite pour le droit. La section 230, rédigée en 1996, n’avait tout simplement pas anticipé l’existence de services de stockage cloud utilisés par des milliards de personnes.
L’analyse du blog d’Eric Goldman est la source principale de cet article
Le vrai dilemme : vie privée contre protection de l’enfance
Le plus délicat dans cette affaire, c’est qu’il n’y a pas de narratif simpliste avec des « gentils » et des « méchants ».
Ceux qui plaident pour le scan disent :
Les contenus pédocriminels relèvent du crime — les outils existent (PhotoDNA est largement validé), Apple dispose de centaines de milliards de dollars de trésorerie, elle a les moyens d’agir. Ne pas scanner, c’est laisser faire. Chaque photo qui circule est une二次 blessure pour les victimes. Les régulateurs britanniques et australiens ont d’ailleurs publiquement critiqué Apple.
Ceux qui s’y opposent rétorquent :
Autoriser Apple à scanner iCloud, c’est ouvrir une brèche dans le chiffrement de bout en bout. Aujourd’hui pour traquer le CSAM, demain pour surveiller les opinions politiques, les dossiers médicaux, les photos personnelles. L’histoire l’a prouvé — de l’affaire Snowden aux tentatives de contournement du chiffrement par les États — tout mécanisme de scan obligatoire finit par être détourné. Et les systèmes comme NeuralHash présentent des risques de faux positifs, pouvant conduire à marquer des photos privées d’utilisateurs innocents.
L’auteur de ces lignes penche pour une position nuancée : les deux camps ont raison sur le fond, mais le vrai problème est un problème de répartition du pouvoir.
Constat d’ingénierie : techniquement possible ne signifie pas souhaitable
D’un point de vue strictement technique, déployer PhotoDNA ou une version améliorée de NeuralHash sur iCloud est parfaitement faisable. PhotoDNA de Microsoft fonctionne depuis plus de dix ans, traite des milliards d’images par jour, avec un taux de faux positifs extrêmement bas.
Mais le problème est que déployer un mécanisme de scan sur le cloud vide le chiffrement de bout en bout de sa substance. Le scan doit avoir lieu avant le chiffrement ou après le déchiffrement, ce qui implique qu’Apple détienne les clés de déchiffrement — autrement dit, qu’elle ait accès à tous les fichiers privés de ses utilisateurs.
Le choix d’Apple en 2022 — abandonner le scan, adopter le chiffrement de bout en bout — est honnête du point de vue de la sécurité. Il reconnaît une réalité physique : on ne peut pas offrir une véritable confidentialité tout en regardant ce que les gens stockent dans le cloud.
La technologie d’Apple n’est pas en cause. Mais les lois de la physique interdisent de conjuguer chiffrement de bout en bout et scan côté cloud.
Et maintenant ?
Les avocats des plaignantes ont déjà annoncé qu’ils feraient appel devant la neuvième cour de circuit. Mais le véritable enjeu est législatif : le Congrès américain discute depuis des années d’une réforme de la section 230, mais le sujet est tellement politisé que les progrès sont minces.
Parallèlement, le procureur général de Virginie-Occidentale a intenté une autre action contre Apple — la première initiée par une autorité publique concernant le rôle d’iCloud dans la diffusion de CSAM.
Cette affaire pourrait finir devant la Cour suprême. En attendant, les photos des victimes continuent de circuler sur iCloud.
Réflexion
Ce procès met en lumière un malaise profond : notre système juridique n’a pas été conçu pour des situations où une plateforme est à la fois une infrastructure. iCloud est à la fois une archive personnelle et un canal de distribution. Lui imposer une obligation de scan, c’est en même temps détruire sa fonction d’archive privée.
La magistrate Wise a raison : ce problème appartient au législateur, pas aux tribunaux. Mais savoir si les élus auront la volonté politique de trouver un équilibre entre protection de l’enfance et respect de la vie privée est une tout autre question.
La technologie n’a jamais été le plus dur. Le plus dur, c’est de décider jusqu’où nous sommes prêts à sacrifier un droit pour en protéger un autre.
Références :
- Blog d’Eric Goldman : analyse du jugement Apple et décryptage de la section 230
- Discussion HN (item?id=48992870) : débats polarisés de la communauté technique
- Article de 9to5Mac : les faits du procès et le déroulement de l’action
- Reuters : le jugement et l’intention d’appel des plaignantes
- Site officiel de PhotoDNA (Microsoft) : principes techniques du hachage
- Article de l’EFF : analyse technique et éthique du scan CSAM face au chiffrement
- Wikipédia : chronologie d’iCloud Advanced Data Protection
