La police peut-elle voir vos messages Instagram ?

Mis à jour le 18 octobre 2026.

Il y a une chose que presque personne ne sait, et elle change tout si votre dossier contient des messages Instagram. Depuis le 8 mai 2026, la messagerie privée d'Instagram n'est plus chiffrée de bout en bout. Meta l'écrit noir sur blanc sur sa page d'aide. Autrement dit, le contenu de vos conversations est désormais détenu par l'entreprise et peut être remis à une autorité, ce qui n'est le cas ni pour WhatsApp ni pour les conversations personnelles de Messenger. Cet article explique ce qui a changé, ce que Meta détient exactement, pourquoi votre téléphone n'en garde qu'une vingtaine de messages, et la faille d'identification que presque aucun procès-verbal ne verrouille.

La réponse courte

Oui, et c'est récent.

Jusqu'au printemps 2026, Instagram proposait une option de conversation chiffrée de bout en bout. Elle n'a jamais été activée par défaut, il fallait l'activer conversation par conversation, et Meta a reconnu que très peu de gens le faisaient.

Le 8 mai 2026, cette option a été supprimée. Depuis cette date, Meta détient le contenu des messages privés d'Instagram, et un acte judiciaire approprié permet d'en obtenir la communication.

C'est l'inverse de ce que croit le public. Les gens tiennent Instagram pour une messagerie anodine et WhatsApp pour une messagerie surveillée. En réalité, Instagram est aujourd'hui, de toute la famille Meta, celle dont l'éditeur détient le texte.

Le 8 mai 2026 : Instagram a retiré son chiffrement

Ce que Meta écrit

La page d'aide d'Instagram consacrée au chiffrement de bout en bout est désormais explicite. Elle indique que « la messagerie chiffrée de bout en bout sur Instagram n'est plus prise en charge depuis le 8 mai 2026 », que les personnes dont des conversations sont concernées verront des instructions pour télécharger les médias et messages qu'elles souhaitent conserver, et qu'il peut être nécessaire de mettre l'application à jour au préalable.

La même page conclut en renvoyant les utilisateurs vers WhatsApp pour qui veut du chiffrement de bout en bout chez Meta. C'est une source primaire, et elle ne laisse pas de place au doute.

Ce que beaucoup d'articles ont écrit à tort

Il faut le signaler, parce que c'est la principale source de confusion sur ce sujet : de nombreux articles de presse ont présenté le chiffrement de bout en bout comme actif par défaut sur Instagram. Ce n'était pas le cas.

La position la mieux établie est la suivante : jamais activé par défaut, activable conversation par conversation, et disponible seulement dans certaines régions. Meta elle-même qualifiait encore Instagram Direct de produit « en test » dans un document technique de décembre 2023.

Si vous lisez ailleurs qu'Instagram était chiffré et ne l'est plus, la nuance compte : pour l'immense majorité des conversations, il ne l'a jamais été.

La chronologie

L'annonce de la suppression date du 13 mars 2026. Meta l'a justifiée auprès de la presse en indiquant que « très peu de personnes optaient pour la messagerie chiffrée de bout en bout » dans les messages privés. L'effet est intervenu le 8 mai 2026.

Ce revirement a d'ailleurs fait l'objet d'une analyse juridique dans le Columbia Journal of European Law, sous l'angle des promesses non tenues de la protection des données dès la conception et par défaut.

Ce que cela change concrètement

Meta détient le contenu

Le guide de Meta destiné aux autorités distingue trois catégories de données, et la troisième est celle qui compte ici. Les « stored contents » comprennent « messages, photos, videos, timeline posts, and location information », et Meta exige pour les obtenir un mandat de perquisition fondé sur des indices suffisants.

Tant qu'une conversation était chiffrée de bout en bout, cette catégorie était vide de contenu : Meta indiquait ne pas pouvoir fournir le texte déchiffré. Depuis le 8 mai 2026, les messages privés d'Instagram relèvent pleinement de ce régime.

Un contraste qui structure tout le sujet

C'est le tableau qu'il faut avoir en tête, et il est contre-intuitif.

Messagerie	Chiffrement de bout en bout	L’éditeur détient-il le texte ?
WhatsApp	Par défaut depuis 2016	Non
Messenger, conversations personnelles	Par défaut depuis décembre 2023	Non
Instagram	Supprimé le 8 mai 2026	Oui
Telegram, discussions ordinaires	Non	Oui
Snapchat	Non, sauf les snaps	En partie

Les deux messageries grand public dont l'éditeur détient le texte des conversations sont aujourd'hui Instagram et les discussions ordinaires de Telegram. Pas WhatsApp.

La voie belge, et sa lenteur

Une précision utile pour un dossier belge : Meta indique qu'une demande d'entraide judiciaire ou une commission rogatoire peut être nécessaire pour contraindre la divulgation du contenu d'un compte. Pour les utilisateurs de la région européenne, le responsable du traitement est Meta Platforms Ireland Limited.

Le règlement européen sur la preuve électronique, applicable depuis le 18 août 2026, accélère ces demandes. Il ne crée aucun accès au contenu chiffré — mais sur Instagram, il n'y a plus de contenu chiffré à contourner.

Votre téléphone n'en garde qu'une vingtaine de messages

Voilà le second point que presque personne ne soulève, et il joue souvent pour la défense.

Le chiffre

Instagram, comme Messenger, stocke l'historique des conversations sur les serveurs de Meta. L'appareil n'en conserve qu'un cache. Un éditeur forensique l'a chiffré : dans un scénario d'analyse d'appareil standard, seuls les vingt derniers messages par conversation sont conservés sur le téléphone.

Vingt messages. Pas la conversation.

L'export du compte, qui contient tout

Le même éditeur relève que l'export des données du compte, la fonction dite de téléchargement de ses informations, fournit en revanche l'historique complet, sans la limite de vingt messages, avec les détails du compte, les enregistrements de téléversement de médias, les horodatages et des journaux d'activité.

Cette asymétrie est capitale. Elle signifie qu'une conversation Instagram complète versée à un dossier ne vient presque jamais d'une extraction de téléphone. Elle vient d'une réquisition ou d'un export de compte.

Ce qu'il faut en déduire

Si un rapport présente une conversation Instagram comme issue de l'exploitation de l'appareil et qu'elle s'étend sur des semaines, il y a une question à poser. Si elle vient d'un export, qui l'a réalisé, avec quel accès au compte, et sur quel fondement ?

Et si elle vient d'une réquisition à Meta, le dossier doit contenir l'acte, son fondement, et la date à laquelle il a été adressé.

Ce que l'appareil garde quand même

Au-delà du cache de conversation, un téléphone conserve des traces qui ne sont pas des messages mais qui servent l'enquête.

Une étude ancienne d'analyse forensique d'Instagram sur iPhone relevait des fichiers de préférences associant les noms d'utilisateur à leur identifiant numérique interne, pour le titulaire du compte comme pour les comptes suivis et les abonnés, ainsi que les mots-clés récemment consultés, et un dossier de la pellicule contenant les images éditées depuis l'application — images qui subsistaient après la suppression des publications correspondantes.

Il faut prendre cette source pour ce qu'elle est : elle date de 2015 et porte sur iPhone. Je n'ai trouvé aucune documentation publique fiable et actuelle sur les noms et emplacements des bases de données d'Instagram, ni sur Android, ni sur iPhone. Affirmer un nom de fichier aujourd'hui serait inventer. Ce qui est établi, c'est le principe : l'appareil garde des identifiants, des caches d'images et des traces d'activité, bien au-delà des vingt messages.

Sur ce que deviennent les messages supprimés dans les bases locales d'Instagram, la documentation publique est inexploitable. Je ne l'affirme donc dans aucun sens.

Les messages modifiés laissent une trace

Instagram permet de modifier un message dans les quinze minutes qui suivent son envoi. Un travail universitaire de 2025 établit que, sur Android, l'historique de modification est récupérable : nombre de modifications, horodatages, et versions antérieures du texte.

La portée est double. Pour l'accusation, cela signifie qu'un message retouché ne l'est pas sans trace. Pour la défense, cela signifie qu'un message produit au dossier a pu exister dans une version différente, et que cette version peut être recherchée.

Deux réserves honnêtes : il s'agit d'un mémoire universitaire dont le texte intégral n'est pas librement accessible, et les noms des bases concernées ne figurent pas dans le résumé. C'est une piste technique sérieuse, pas une certitude opérationnelle.

La faille d'identification, que presque aucun procès-verbal ne verrouille

C'est le point le plus utile de cet article pour une défense, et il est largement ignoré.

Un compte Instagram se présente par deux chaînes de caractères distinctes. Le nom affiché est libre : il n'est pas unique, et il se change en quelques secondes. Le nom d'utilisateur est unique à un instant donné, mais il se change également.

Le seul identifiant stable d'un compte est son identifiant numérique interne, celui que l'on retrouve dans les fichiers de préférences de l'application et que les travaux forensiques distinguent expressément du nom et du nom d'utilisateur.

La conséquence est directe. Une réquisition, un procès-verbal ou une capture d'écran qui désigne un compte par son nom affiché, ou même par son nom d'utilisateur, sans mentionner l'identifiant numérique et sans horodater la constatation, ne désigne pas un compte de manière certaine.

Un détail renforce cet argument. Dans son guide aux autorités, Meta énumère les identifiants qu'elle exige pour traiter une demande visant un profil Facebook — adresse électronique, numéro de téléphone, numéro d'identifiant utilisateur ou nom d'utilisateur — mais n'énumère aucun identifiant propre à Instagram, alors que le même document traite par ailleurs des données Instagram. La documentation publique de l'entreprise est donc muette sur la manière de désigner sans ambiguïté un compte Instagram dans une réquisition.

Je m'arrête là volontairement. On pourrait pousser l'argument plus loin, en évoquant le sort d'un nom d'utilisateur abandonné, mais je n'ai trouvé aucune source fiable sur ce point et je ne l'affirme pas.

Les chiffres belges

Meta publie, pays par pays, le volume des demandes qu'elle reçoit des autorités. Pour la Belgique, de juillet à décembre 2025 : 1 154 demandes, dont 1 084 par voie légale et 70 au titre de l'urgence, portant sur 1 810 comptes, avec 85,01 % de demandes ayant donné lieu à production de données.

Ces chiffres portent sur les demandes adressées à Meta, et « production de données » ne signifie pas production du contenu des messages. Mais la lecture qu'il faut en faire a changé : pour Instagram, depuis mai 2026, la production de contenu est redevenue possible.

Qui fait quoi en Belgique

L'exploitation d'un téléphone se répartit sur trois niveaux : la zone de police locale, qui dispose d'une licence d'extraction, la Regional Computer Crime Unit de l'arrondissement, puis la Federal Computer Crime Unit.

Les prix de ces licences ne viennent pas de la police fédérale mais d'une réponse officielle d'un collège de police à l'interpellation d'une conseillère communale, en septembre 2025 : environ 8 600 euros par an et par licence pour l'outil dominant, et environ 55 000 euros par licence pour celui qu'utilise la police fédérale. Selon une enquête de presse reprise par la VRT en août 2025, au moins 39 zones de police flamandes en sont équipées.

Sur les délais, les seuls chiffres publics datent d'un rapport du Comité permanent de contrôle des services de police de juin 2018, portant sur 2015 à 2017 : onze des quatorze unités régionales présentaient un arriéré, avec des délais « parfois de plusieurs mois et, dans certains cas, de plus d'un an ». Je n'ai trouvé aucun chiffre postérieur.

Mais pour Instagram, ce circuit n'est plus le plus important. Puisque le contenu est chez Meta, la voie décisive est la réquisition, pas l'extraction.

Ce qui résiste

Pas le chiffrement : il n'y en a plus.

Ce qui reste, c'est d'abord le fait que Meta indique ne rien conserver à des fins répressives sans demande de conservation reçue avant la suppression par l'utilisateur, la conservation durant alors quatre-vingt-dix jours. La chronologie est donc décisive.

Ensuite, un code d'accès long sur le téléphone, qui ferme la voie de l'extraction — mais qui ne protège plus l'essentiel, puisque l'essentiel n'est pas sur le téléphone.

Et enfin, le choix de la messagerie. Si la confidentialité d'une conversation importe, Meta elle-même renvoie vers WhatsApp sur sa page d'aide. C'est une recommandation de l'éditeur, pas la nôtre, mais elle est éloquente.

Les questions à poser au dossier

Sur l'origine. La conversation vient-elle d'une extraction d'appareil, d'une réquisition adressée à Meta, ou d'un export des données du compte ?

Sur la complétude. Si elle vient d'un téléphone, s'étend-elle au-delà des quelques messages que l'appareil conserve par conversation ? Si oui, d'où vient le reste ?

Sur la date. Les faits sont-ils antérieurs ou postérieurs au 8 mai 2026 ? Avant cette date, une conversation précise a pu être chiffrée si les deux participants avaient activé l'option ; après, non.

Sur l'identification. Le compte est-il désigné par son identifiant numérique, ou seulement par un nom affiché ou un nom d'utilisateur, qui se changent tous les deux ? La constatation est-elle horodatée ?

Sur la conservation. À quelle date une demande de conservation a-t-elle été adressée à Meta, et à quelle date le contenu a-t-il été supprimé ?

Sur le titre de l'extraction. Existe-t-il un consentement écrit précédé de l'information que les données pourront servir de preuve, ou l'autorisation préalable du juge d'instruction ? L'appareil a-t-il été isolé du réseau avant la recherche ?

Le cadre légal, en bref

L'examen d'un téléphone saisi relève de l'article 39bis du Code d'instruction criminelle, refondu par la loi du 8 février 2026 et en vigueur dans cette version depuis le 26 février 2026. Il exige un consentement écrit précédé d'une information sur l'usage probatoire, ou, à défaut, l'autorisation préalable du juge d'instruction, avec un seuil exprimé en niveaux de peine du nouveau Code pénal. Le même texte impose d'empêcher toute connexion externe de l'appareil avant le début de la recherche.

Les données de trafic obtenues auprès d'un fournisseur relèvent de l'article 88bis, réservé au juge d'instruction. L'identification d'un abonné relève de l'article 46bis et appartient au procureur du Roi.

Si la question du code d'accès se pose, nous la traitons dans un article dédié.

Conclusion

Le 8 mai 2026 est une date à retenir, et elle n'a presque pas été commentée en Belgique.

Avant elle, une conversation Instagram pouvait, dans certains cas rares, échapper à Meta. Depuis, elle ne lui échappe plus. Le contenu est sur ses serveurs, et un mandat approprié permet de l'obtenir — ce qui demeure impossible pour WhatsApp et pour les conversations personnelles de Messenger.

Et si des messages Instagram figurent déjà à votre dossier, deux questions font plus avancer la défense que toute discussion sur le chiffrement. D'où vient exactement ce texte, et qu'est-ce qui manque entre les messages produits ? Et le compte visé est-il désigné par son identifiant numérique, ou seulement par un nom que n'importe qui peut changer ?

Olivier Dupont — avocat depuis 2007, pratiquant quotidiennement le droit pénal, le droit de la jeunesse, et le droit des personnes vulnérables, titulaire de l'agrément requis pour intervenir devant la Cour de cassation en matière pénale.

Cet article décrit l'état public des capacités techniques et du cadre légal au 18 octobre 2026. La fin du chiffrement de bout en bout au 8 mai 2026 est établie par la documentation de Meta, mais les fonctions de la messagerie, ses durées de conservation et les capacités des outils d'extraction évoluent à chaque version : une affirmation exacte aujourd'hui peut cesser de l'être dans six mois. Il ne constitue pas un avis juridique sur une situation particulière.