Archives par mot-clé : Hébergeur

La Quadrature du Net n’a pas réussi à « faire tomber » l’ex-Hadopi devant le juge européen

Publié le par

L’association de défense des libertés fondamentales La Quadrature du Net n’a pas convaincu l’avocat général de la Cour de Justice européenne (CJUE) que l’Hadopi – devenue, avec le CSA en 2022, l’Arcom – agissait illégalement dans le traitement des données personnelles pour la riposte graduée.

Comme la Cour de Justice de l’Union européenne (CJUE) suit souvent – à près de 80% selon les statistiques – les conclusions de son avocat général, il y a fort à parier que cela sera le cas dans l’affaire « La Quadrature du Net versus Hadopi ». En l’occurrence, le 28 septembre 2023, l’avocat général de la CJUE – le Polonais Maciej Szpunar (photo) – conclut que la conservation et l’accès à des données d’identité civile, couplées à l’adresse IP utilisée, devraient être permis lorsque ces données constituent le seul moyen d’investigation permettant l’identification d’auteurs d’infractions exclusivement constituées sur Internet.

15 ans de combat contre la loi Hadopi
La Quadrature du Net (LQDN) est donc en passe de perdre un combat qu’elle a engagé il y a quinze ans – contre la loi Hadopi et contre l’autorité administrative indépendante éponyme pratiquant la « réponse graduée » à l’encontre de pirates présumés sur Internet de musiques et de films ou d’autres contenus protégés par le droit d’auteur.
L’association française défenseuse des libertés fondamentales à l’ère du numérique était repartie à la charge contre l’Hadopi. Et ce, en saisissant en 2019 le Conseil d’Etat – avec FDN (1), FFDN (2) et Franciliens.net – pour demander l’abrogation d’un décret d’application de la loi « Hadopi » signé par le Premier ministre (François Fillon à l’époque), le ministre de la Culture (Frédéric Mitterrand) et la ministre de l’Economie (Christine Lagarde). Ce décret « Traitement automatisé de données à caractère personnel » (3) du 5 mars 2010 permet à l’ex-Haute autorité pour la diffusion des œuvres et la protection des droits sur Internet (Hadopi) – devenue l’Arcom (4) en janvier 2022 par fusion avec le CSA – de gérer un fichier « riposte graduée » constitué de données obtenues auprès des ayants-droits (les adresses IP) et des fournisseurs d’accès à Internet (l’identité civile).
L’association LQDN a considéré devant le Conseil d’Etat que « la riposte graduée est doublement contraire au droit de l’Union européenne ». « D’une part, elle repose sur un accès à l’adresse IP des internautes accusés de partager des fichiers. D’autre part, elle implique l’accès à l’identité civile de ces internautes. Or, la CJUE estime que seule la criminalité grave permet de justifier un accès aux données de connexion (une adresse IP ou une identité civile associée à une communication sont des données de connexion). L’accès par l[‘]Hadopi à ces informations est donc disproportionné puisqu’il ne s’agit pas de criminalité grave » (5). A ces griefs portés par LQDN à l’encontre de la réponse graduée s’ajoute le fait que ce même décret oblige les opérateurs télécoms – Orange, SFR, Bouygues Telecom et Free principalement – et les hébergeurs à conserver pendant une durée d’un an les données de connexion de l’ensemble des internautes, à savoir leurs identifiants, la date, l’heure et l’objet de leurs consultations. C’est par cette conservation généralisée des données de connexion – en particulier de l’adresse IP considérée comme une donnée personnelle depuis une décision (6) de la Cour de cassation en 2016 (subordonnant leur collecte à une déclaration préalable auprès de la Cnil) – que l’Hadopi (devenue Arcom) peut identifier les internautes « flashés » sur le Net. Rappelons que depuis près de quinze ans maintenant, ce sont les organisations de la musique (SCPP, Sacem/SDRM et SPPF) et du cinéma (Alpa) qui fournissent à l’Hadopi-Arcom les millions d’adresses IP collectées par la société nantaise Trident Media Guard (TMG) sous le contrôle de la Cnil (7).
Or, n’a cessé de rappeler LQDN, ce régime de conservation généralisée des données de connexion est contraire au droit de l’Union européenne puisque la CJUE elle-même s’est opposées – dans quatre arrêts différents (2014, 2016, 2020 et 2022) – à toute conservation généralisée et indifférenciée des données de connexion, sauf à deux conditions cumulatives : qu’il s’agisse d’affaires de criminalité grave et à la condition qu’il y ait un contrôle préalable de ces accès par une autorité indépendante. LQDN avait « enfoncé le clou », selon sa propre expression, en posant lors de sa saisine du Conseil d’Etat une question prioritaire de constitutionnalité (QPC) pour demander au Conseil constitutionnel de se prononcer sur la conformité à la Constitution d’une loi lorsque celle-ci (loi Hadopi de 2009 et son décret « Traitement automatisé de données à caractère personnel ») est cruciale pour la résolution d’un litige.

Adresse IP : « Petit couac », grande procédure
Dans une décision alambiquée rendue le 20 mars 2020, le Conseil constitutionnel a censuré le mot « notamment » jugé anticonstitutionnelle dans l’article 5 de la loi dite « Hadopi 1 » (8). Les juges du Palais-Royal avaient ainsi ordonné à l’Hadopi de s’en tenir aux seules données personnelles que sont « l’identité, l’adresse postale, l’adresse électronique et les coordonnées téléphoniques » de l’abonné concerné (9). Or dans cette énumération, il n’y a pas l’adresse IP parmi les données personnelles. « Petit couac pour la Hadopi », s’était alors félicitée LQDN. Les quatre associations françaises ont profité de cette brèche pour remonter au créneau juridictionnel en affirmant que l’accès par l’Hadopi- Arcom aux adresses IP des internautes contrevenants est illégal (car il n’y a pas de criminalité grave au sens de la CJUE) et que le décret permettant d’enregistrer ces adresses IP serait sans fondement depuis cette censure partielle du Conseil constitutionnel (l’adresse IP n’étant pas mentionné).

Deux mêmes conclusions de l’avocat général
Pour une nouvelle audience publique organisée précipitamment par Conseil d’Etat le 3 mai 2021 dans le cadre de cette même affaire (n°433539), les associations LQDN, FDN, FFDN et Franciliens.net ont déposé un nouveau mémoire (10) développant ces deux points susceptibles de « faire tomber » l’Hadopi. « Le Conseil d’Etat a décidé de botter en touche et de transmettre à la CJUE une “question préjudicielle” (c’est-à-dire une question relative à l’interprétation du droit de l’UE) sur l’accès par la Hadopi à l’identité civile à partir de l’adresse IP d’une personne. Rien concernant l’accès à l’adresse IP préalable à l’accès à l’identité civile. Rien non plus concernant la conservation de ces données, alors même que la question de l’accès est intimement liée à celle de la conservation », avait pointé LQDN. Le mémoire, déposé par l’avocat des associations, Alexis Fitzjean Ó Cobhthaigh, conclut que « le décret [“Traitement automatisé de données à caractère personnel” du 5 mars 2010] attaqué a été pris en application de dispositions législatives contraires à la Charte des droits fondamentaux de l’Union européenne […], ainsi qu’à […] la directive [“ePrivacy”] du 12 juillet 2002 en ce qu’il organise l’accès par [l‘Hadopi] à des données de connexion ».
Donc, « le refus, opposé par le Premier ministre, d’abroger ces dispositions, est illégal et ne pourra ainsi qu’être annulé ». A la question préjudicielle transmise par le Conseil d’Etat, l’avocat général de la CJUE Maciej Szpunar avait une première fois – le 27 octobre 2022 (affaire n°C-470/21) – présenté ses conclusions : « L’article 15, paragraphe 1, de la directive [“ePrivacy”], lu à la lumière […] de la Charte des droits fondamentaux de l’Union européenne, […] ne s’oppose pas à une réglementation nationale [la loi Hadopi et son décret contesté en France, ndlr] permettant la conservation […] des données d’identité civile correspondant à des adresses IP […] lorsque ces données constituent le seul moyen d’investigation permettant l’identification de la personne à laquelle cette adresse était attribuée au moment de la commission de l’infraction » (11). Fermez le ban ? Or coup de théâtre, la grande chambre de la CJUE a demandé le 7 mars 2023 le renvoi de cette affaire à l’assemblée plénière. Par cette réouverture de la procédure pour poser des questions orales, notamment sur l’identité civile correspondant à une adresse IP (12) et en présence cette fois du Contrôleur européen de la protection des données (CEPD) et de l’Agence de l’Union européenne pour la cybersécurité (ENISA), l’avocat général Maciej Szpunar a dû « approfondir certains éléments de [son] raisonnement ». Mais ses deuxièmes conclusions présentées le 28 septembre 2023 s’avèrent identiques (13) aux premières du 27 octobre 2022.
Tout ça pour ça, pourrait-on dire. La réponse graduée est donc sur le point – sans préjuger du verdict final de la CJUE – d’être confortée au regard du droit de l’Union européenne, alors que le traitement automatisé de données à caractère personnel de la loi Hadopi de 2009 et de son décret du 5 mars 2010 semblaient « hors-la-loi ». Faut-il rappeler le fonctionnement de la réponse graduée :
• Dans un premier temps, et sans contrôle préalable par une juridiction ou une entité administrative, l’adresse IP (donnée personnelle) de l’internaute collectées par les ayants droit est transmise au FAI (14) par l’Arcom (ex-Hadopi) pour obtenir d’eux (Orange, SFR, Bouygues Telecom et Free) l’identité civile de l’internaute présumé « pirate du Net » ;
• Dans un second temps, l’Arcom (ex-Hadopi) adresse à ce dernier une recommandation lui enjoignant de s’abstenir de tout nouveau manquement, suivie d’un nouvel avertissement en cas de renouvellement de l’atteinte. S’il n’est pas tenu compte des deux premiers avertissements et qu’une troisième atteinte a lieu, l’Arcom (ex-Hadopi) peut saisir l’autorité judiciaire compétente en vue d’engager des poursuites pénales.
La réponse graduée porte-t-elle atteinte à la vie privée de l’internaute ? Réponse de Maciej Szpunar : « Ainsi que je l’ai souligné, la gravité de l’ingérence que suppose la mise en relation d’une donnée d’identité civile et d’une adresse IP est bien moindre que celle résultant de l’accès à l’ensemble des données de trafic et de localisation d’une personne, dans la mesure où cette mise en relation n’apporte aucun élément permettant de tirer des conclusions précises sur la vie privée de la personne visée ». Ce à quoi l’avocat général ajoute : « Ainsi que je l’ai déjà souligné, (…) l’obtention des données d’identité civile correspondant à une adresse IP est le seul moyen d’investigation permettant l’identification de la personne à laquelle cette adresse était attribuée au moment de la commission de l’infraction en cause ».

Mise en cause de la jurisprudence existante ?
Pour convaincre la CJUE, il précise tout de même que « la solution qu[‘il] propose vise non pas à remettre en cause la jurisprudence existante, mais à permettre, au nom d’un certain pragmatisme, son adaptation en des circonstances particulières et très étroitement circonscrites ». L’affaire semble entendue. A moins que la CJUE ne suivent pas les conclusions de son avocat général, comme cela est le cas dans plus de 20 % des affaires tout de même… A suivre. @

Charles de Laubier

Conservation et accès aux données de connexion : le grand écart entre sécurité et libertés !

Publié le par

C’est un sujet à rebondissements multiples ! Entre textes et jurisprudence sur la conservation des données de connexion, opérateurs télécoms, hébergeurs et fournisseurs en ligne sont ballotés. Mais il y a une constante : pas de conservation généralisée et indifférenciée, et l’accès y est limité.

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral

Rappelons tout d’abord que les données de connexion désignent les informations techniques qui sont automatiquement engendrées par les communications effectuées via Internet ou par téléphonie. Il s’agit en quelque sorte des informations qui « enveloppent » un message, par exemple le nom et l’adresse IP d’un internaute, l’heure et la durée d’un appel téléphonique… Ce sont elles qui vont permettre de géolocaliser une conversation, ou de déterminer que telle personne échangeait à telle heure avec telle autre, ou encore qu’elle lui a transmis un message de tel volume.

Pas de conservation généralisée
On imagine donc assez aisément l’intérêt que peuvent avoir la collecte et l’utilisation de telles données et les atteintes que cela peut porter au droit fondamental à la confidentialité des communications. C’est précisément pour préserver le droit au respect de la vie privée que la conservation des données de connexion est interdite par principe. Les opérateurs télécoms, les fournisseurs d’accès à Internet ou encore les hébergeurs doivent donc effacer ou rendre anonymes les données relatives aux communications électroniques. Et ce, conformément à l’article 34-1 du code des postes et des communications électroniques (CPCE). Mais il existe des exceptions, envisagées immédiatement par le même texte, notamment pour prévenir les menaces contre la sécurité publique et la sauvegarde de la sécurité nationale, ainsi que pour lutter contre la criminalité et la délinquance grave. Aussi, les opérateurs de communications électroniques doivent ils conserver un certain temps – pour des raisons tenant à la défense d’intérêts publics ou privés – les données de connexion.
Ces obligations pèsent ainsi sur les fournisseurs d’accès – au cloud notamment – et d’hébergement mais aussi sur les entreprises qui fournissent un accès Wifi au public à partir d’une connexion Internet, en ce qu’elles sont assimilées à un intermédiaire technique. C’est ce que précise le même article 34-1 du CPCE : « Les personnes qui, au titre d’une activité professionnelle principale ou accessoire, offrent au public une connexion permettant une communication en ligne par l’intermédiaire d’un accès au réseau, y compris à titre gratuit, sont soumises au respect des dispositions [sur la conservation des données de connexion, ndlr] ». Ces acteurs se trouvent donc au cœur d’un arsenal sécuritaire avec des obligations qui n’en finissent pas de fluctuer au gré des réponses apportées par le législateur et/ou par le juge, tant au niveau national qu’européen.
La Cour de justice de l’Union européenne (CJUE) rappelle, de manière constante (1) que la conservation généralisée et indifférenciée, à titre préventif, des données de connexion par les opérateurs est interdite. Cependant, elle admet qu’une restriction au droit à la vie privée est possible lorsqu’elle est justifiée par une nécessité urgente, pour une durée déterminée, et lorsqu’elle constitue une mesure nécessaire, appropriée et proportionnée au sein d’une société démocratique. Autrement dit, la haute juridiction européenne autorise l’obligation de conservation « ciblée » des données, obligation qui peut être renouvelable en cas de persistance de la menace.
C’est également la position adoptée par la CJUE qui s’est exprimée sur le sujet à deux reprises en 2022 : en avril d’abord, concernant la localisation d’appel téléphonique obtenue sur le fondement d’une loi irlandaise (2); en septembre 2022 ensuite, cette fois pour des poursuites pénales de délits d’initiés engagées sur le fondement du décret français de lutte contre les infractions d’abus de marché (3). Dans les deux cas, la haute juridiction européenne confirme que les législations nationales des Etats membres ne peuvent aboutir à la conservation généralisée et indifférenciée des données de trafic. A défaut, elle les juge contraire au droit de l’Union européenne.

En France, 3 décrets : délais de 1 à 5 ans
En France, la mise en œuvre de ce dispositif a donné lieu à l’entrée en vigueur de différentes obligations, répondant à un certain nombre de cas limitativement énumérés et pour une durée qui varie d’un an à cinq ans selon les informations concernées. Ces obligations sont prévues par trois décrets pris en application de l’article L.34-1 du CPCE, encore lui. Leur périmètre est en constante évolution, à la recherche d’un équilibre entre objectifs sécuritaires et protection de la vie privée :
• Le décret n°2021-1361 relatif aux catégories de données conservées par les opérateurs de communications électroniques.
• Le décret n°2021-1362 relatif à la conservation des données permettant d’identifier toute personne ayant contribué à la création d’un contenu mis en ligne (4).
• Le décret n°2022-1327 portant injonction, au regard de la menace grave et actuelle contre la sécurité? nationale, de conservation pour une dure?e d’un an de certaines catégories de données de connexion (5).

Cour de cassation : les arrêts de l’été 2022
Quant à nos juridictions nationales, elles se sont penchées plus spécifiquement sur la question des personnes habilitées à avoir accès à ces données. Le législateur français a prévu que seules l’autorité judiciaire et certaines administrations – par exemple, les services de renseignement – peuvent exiger la communication des données de connexion. Le Conseil constitutionnel, saisi d’une question prioritaire de constitutionnalité (QPC) à l’initiative d’associations de défense des droits et libertés sur Internet (6), a considéré que les agents des douanes étaient exclus de ce périmètre. Ils ne peuvent donc pas exiger la communication de ces données (7).
La Cour de cassation a, quant à elle, apporté quelques précisions complémentaires dans plusieurs arrêts rendus au cours de l’été 2022, en juillet (8). Elle considère que l’accès aux données de connexion doit se faire sous le contrôle effectif d’une juridiction. En conséquence, le juge d’instruction – qu’elle a qualifié de juridiction indépendante et non de partie – ou une autorité administrative indépendante peuvent ordonner et contrôler les procédures d’accès aux données de connexion. En revanche, le procureur de la République, parce qu’il est une autorité de poursuite et non une juridiction, ne dispose pas de cette possibilité. En conséquence, l’accès aux données de connexion, lorsqu’il est ordonné par un procureur, serait irrégulier. De quoi remettre en cause la régularité de beaucoup de procédures pénales !
La haute juridiction française, dans ces mêmes arrêts du mois de juillet, a rappelé que la personne mise en examen, victime d’un accès irrégulier, a la possibilité de contester la pertinence des preuves tirées de ses données. De quoi permettre au juge pénal d’annuler les actes ayant permis d’accéder aux données !
La Conférence nationale des procureurs de la République (CNPR) y voit un « obstacle majeur à l’identification des délinquants et criminels », et a dénoncé les « conséquences [de ces décisions] sur la capacité des magistrats du ministère public et des enquêteurs à exercer leurs missions de manifestation de la vérité et de protection des victimes ». En dépit de cette levée de boucliers, la chambre criminelle de la Cour de cassation a entériné fin octobre 2022 (9) son analyse. Elle confirme que le juge d’instruction, qui est une juridiction, doit contrôler le respect par les enquêteurs des modalités d’accès aux données de trafic et de localisation qu’il a autorisées. Or, dans l’affaire en question, le magistrat instructeur n’avait pas autorisé en des termes spécifiques de sa commission rogatoire les réquisitions litigieuses, et ce notamment parce qu’il n’avait pas précisé la durée et le périmètre de cette commission rogatoire. La Cour de cassation a donc jugé que des réquisitions adressées aux opérateurs télécoms par les enquêteurs devaient être annulées sous réserve qu’un grief soit établi par le requérant.
La haute juridiction a précisé, dans ce même arrêt, que la preuve de ce grief suppose la démonstration de trois éléments : l’accès a porté sur des données irrégulièrement conservées ; la finalité ayant motivé l’accès aux données doit être moins grave que celle ayant justifié leur conservation (hors hypothèse de la conservation rapide) ; l’accès a dépassé les limites de ce qui était strictement nécessaire.
Le sujet a pris une dimension politique, en écho aux magistrats du Parquet. Deux sénateurs (LR) ont considéré que ces décisions « [les] privent ainsi que les forces de police judiciaire d’un outil précieux dans l’identification des auteurs de crimes ou d’infractions graves ». Yves Bouloux (10) et Serge Babary (11) ont chacun saisi le gouvernement d’une question écrite (12) afin que ce dernier prenne en urgence les mesures nécessaires afin de permettre aux procureurs de la République d’exercer leurs missions. Serge Babary a même appelé à envisager une réforme institutionnelle afin de conférer aux magistrats du Parquet les garanties d’indépendance exigées par le droit de l’Union européenne.

Les défenseurs de la vie privée veillent
Mais la question est loin de faire consensus avec ceux qui dénoncent avec force les « velléités sécuritaires du gouvernement ». En première ligne de ces défenseurs de la vie privée, il y a notamment l’association La Quadrature du Net, qui salue comme autant de bonnes nouvelles les décisions qui diminuent l’obligation de conservation des données de connexion. Ce fut le cas notamment en février 2022 à la suite de la décision du Conseil constitutionnel qui avait censuré une partie de l’obligation de conservation généralisée et indifférenciée des données de connexion. (13) Si la lutte contre la criminalité légitime l’ingérence de l’Etat, reste donc toujours et encore à positionner le curseur à bon niveau pour ne pas porter atteinte à la vie privée et aux libertés individuelles. @

* Christiane Féral-Schuhl, ancienne présidente
du Conseil national des barreaux (CNB)
après avoir été bâtonnier du Barreau de Paris, est l’auteure
de « Cyberdroit » (Dalloz 2019-2020) et co-auteure
de « Cybersécurité, mode d’emploi » (PUF 2022).

Données de connexion et usage d’algorithmes : les lois françaises en violation des droits fondamentaux

Publié le par

La justice européenne a déclaré illégales les dispositions françaises sur la conservation des données de trafic et de localisation par les opérateurs télécoms, ainsi que par les hébergeurs. Elle a aussi fourni une feuille de route sur l’utilisation de « boîtes noires » dans la lutte contre le terrorisme.

Par Winston Maxwell*, Telecom Paris, Institut polytechnique de Paris

La Cour de justice de l’Union européenne (CJUE) a, le 6 octobre 2020 (1), mis fin à un débat qui existe depuis le 8 avril 2014, date à laquelle elle avait annulé la directive de 2006 sur la conservation des données de trafic (2), estimant que celle-ci était contraire à la Charte des droits fondamentaux de l’UE (3). La CJUE a jugé que cette directive créait une atteinte disproportionnée au droit à la protection des données personnelles parce qu’elle exigeait la conservation généralisée et indifférenciée des données de trafic de l’ensemble de la population.

La France n’a pas (encore) bougé
La CJUE est intervenue une deuxième fois en 2016, annulant les dispositions britanniques et suédoises sur la conservation des données de trafic, précisant de nouveau qu’une obligation de conservation généralisée et indifférenciée était incompatible avec cette même Charte des droits fondamentaux (4). Malgré ces deux décisions de la justice européenne, la France n’a pas bougé, préservant sa législation qui impose, d’une part, la conservation par les opérateurs de communications électroniques des données de connexion et de localisation, et, d’autre part, la conservation par les hébergeurs des données relatives à l’identification des utilisateurs et à leurs activités sur les plateformes numériques.
En plus, après les attentats terroristes de 2015, la France a introduit de nouvelles mesures permettant aux autorités d’utiliser des « boîtes noires » pour analyser l’ensemble des données de trafic des réseaux. Et ce, afin de détecter des signaux faibles de projets terroristes.
La Quadrature du Net (5) a contesté l’ensemble de ces mesures devant le Conseil d’Etat, et celui-ci a envoyé plusieurs questions préjudicielles à la CJUE. Devant cette dernière, le gouvernement français a d’abord défendu sa législation sur le fondement de l’article 4 du Traité sur l’UE qui précise que la protection de la sécurité nationale relève de la compétence exclusive de la France. A titre subsidiaire, le gouvernement français a soutenu que la lutte contre le terrorisme justifiait des mesures de surveillance plus intrusives qu’en matière de criminalité simple, et que les dispositions françaises devaient dès lors être validées compte tenu du risque accru du terrorisme.
Sur le premier point, la CJUE a confirmé que le droit de l’UE ne s’appliquait pas aux activités de renseignement et de protection de la sécurité nationale entreprises par l’Etat lui-même. En revanche, lorsque l’Etat impose aux entreprises privées des obligations telles que la conservation de données, le droit de l’UE s’applique, même s’il s’agit de mesures destinées à lutter contre le terrorisme. Par conséquent, la jurisprudence de la CJUE dans les affaires précitées de 2014 « Digital Rights Ireland » et de 2016 « Tele2 Sverige et Watson » s’applique pleinement à la France.
La CJUE a été d’accord avec la France sur la nécessité d’accorder une marge de manœuvre plus grande aux Etats membres en matière de protection de la sécurité nationale, car la menace est d’une toute autre nature qu’en matière de criminalité. Pour apprécier la proportionnalité de différentes mesures de surveillance, la CJUE établit trois niveaux de gravité :
• Le premier niveau est la protection de la sécurité nationale, y compris la lutte contre le terrorisme. Selon la CJUE, « la prévention et la répression d’activités de nature à déstabiliser gravement les structures constitutionnelles, politiques, économiques ou sociales fondamentales d’un pays, et en particulier à menacer directement la société, la population ou l’Etat en tant que tel », peut justifier une atteinte plus forte aux droits fondamentaux et, notamment, une obligation généralisée de conserver des données de trafic et de localisation. Mais cette obligation ne peut être justifiée que pendant une période limitée durant laquelle il existerait des « circonstances suffisamment concrètes permettant de considérer que l’Etat (…) fait face à une menace grave » pour sa sécurité nationale. Une commission indépendante ou un tribunal doit valider l’existence d’une telle menace.

Les trois niveaux de gravité
• Le deuxième niveau de gravité concerne la lutte contre la criminalité grave et les menaces graves contre la sécurité publique. Pour ce niveau, une obligation de conservation systématique et continue de données est exclue. Selon la CJUE, il faudrait qu’il existe un lien, même indirect, entre les données dont la conservation est demandée, et la détection ou la répression d’un crime grave. Ainsi, les demandes de conservation de données de trafic et de localisation doivent être ciblées, concernant un groupe particulier de personnes, ou une zone géographie à risque, par exemple les données de trafic autour d’une gare. En revanche, s’il s’agit uniquement des adresses IP, ceux-ci peuvent être stockés de manière généralisée, selon la justice européenne.
• Le troisième niveau concerne toutes les formes de criminalité. Seul le stockage des données relatives à l’identité civile des utilisateurs peut être envisagé. La conservation d’autres données est exclue.
Cette approche graduée découle naturellement de la jurisprudence de la CJUE en matière de proportionnalité – plus la menace pour l’Etat et les citoyens est élevée, plus le niveau d’ingérence avec la vie privée peut être élevé.

Algorithmes de détection en temps réel
La France devra donc réécrire ses lois pour introduire une différenciation entre les menaces graves pour la sécurité nationale (menaces de niveau 1), menaces graves pour la sécurité publique et lutte contre la criminalité grave (menaces de niveau 2), et lutte contre la criminalité ordinaire (menaces de niveau 3). A chaque niveau correspondra des règles adaptées en matière de conservation des données.
L’autre leçon de la décision de la CJUE concerne la régulation des algorithmes utilisés par l’administration française pour détecter des projets terroristes. Depuis la loi de 2015 sur les techniques de renseignement (6), les services spécialisés – désignés par décret en Conseil d’Etat – ont la possibilité de procéder à l’analyse automatique des données de trafic et de localisation en temps réel afin de détecter des signaux faibles d’activités terroristes. Cette possibilité est strictement encadrée par la Commission nationale de contrôle des techniques de renseignement (CNCTR (7)), et la période d’expérimentation doit prendre fin le 31 juillet 2021. Le gouvernement a récemment proposé d’étendre la période d’expérimentation des algorithmes jusqu’à fin décembre 2021.
L’utilisation de l’intelligence artificielle pour lutter contre le terrorisme est controversée, car les algorithmes sont faillibles et peuvent tirer des conclusions erronées et discriminatoires. Dans sa décision du 6 octobre, la CJUE fournit une feuille de route sur la possibilité de déployer ces outils.
D’abord, la justice européenne confirme que l’analyse des données de trafic et de localisation en temps réel constitue une ingérence « particulièrement grave » avec la protection de la vie privée. Le déploiement d’un tel dispositif doit être prévu par une loi claire et précise qui définit les limites et les mesures de protection accompagnant le dispositif. La CJUE indique que le dispositif ne peut se justifier qu’en présence d’une menace grave pour la sécurité nationale qui s’avère « réelle et actuelle ou prévisible ». Un tribunal ou autorité administrative indépendante doit contrôler l’existence d’une telle menace, et ses décisions doivent avoir un effet contraignant. En ce qui concerne l’algorithme lui-même, les modèles et critères préétablis doivent être « spécifiques et fiables, permettant d’aboutir à des résultats identifiant des individus à l’égard desquels pourrait peser un soupçon raisonnable de participation à des infractions terroristes et, d’autre part, non discriminatoires ». Les modèles et critères préétablis ne peuvent se fonder seulement sur des données sensibles. Les termes utilisés par la CJUE suggèrent que l’algorithme pourrait éventuellement s’appuyer – en partie – sur des données sensibles, ce qui semble en contradiction avec le règlement général sur la protection des données (RGPD) en vigueur au niveau européen. La CJUE indique ensuite que tout algorithme comporte un taux d’erreur, et que tout résultat positif doit être soumis à un réexamen individuel par un analyste humain avant la mise en œuvre d’autres mesures de surveillance. Cette exigence de la CJUE pose la question de la compréhension de la recommandation algorithmique par l’analyste humain et sa capacité de contredire l’algorithme. Pour qu’il y ait une vraie intervention humaine, l’algorithme doit être en mesure d’expliquer pourquoi il a détecté des signaux faibles d’activités terroristes, et l’analyste humain doit être en mesure d’apporter une analyse critique par rapport à l’explication donnée par l’algorithme. Lorsque l’algorithme s’appuie sur des techniques d’apprentissage-machine (machine learning), de telles explications peuvent s’avérer difficiles. La CJUE impose un réexamen régulier de l’algorithme et les données utilisées pour garantir l’absence de discrimination et le caractère strictement nécessaire du dispositif à la lumière de la menace terroriste. La fiabilité et l’actualité des modèles et critères préétablis, et les bases de données utilisées, doivent également être revues régulièrement par une autorité de contrôle, soit une forme de suivi dynamique. Enfin, si l’algorithme débouche sur la surveillance plus poussée d’un individu, celui-ci doit être informé dès le moment où cette communication n’est pas susceptible de compromettre les missions incombant aux autorités.

Renseignement : la loi française à réécrire
Réunie le 7 juillet 2020, la commission de la Défense nationale et des Forces armées de l’Assemblée nationale a estimé que le recours aux algorithmes était utile et nécessaire dans lutte contre le terrorisme et devrait être pérennisé, voire étendu pour permettre l’analyse d’autres données, telles que des URL (8) de sites web consultés (9). Au moment de sa séance, la commission parlementaire avait connaissance de l’affaire pendante devant la CJUE et a reconnu que celle-ci pourrait avoir un profond impact sur les méthodes utilisées en France. Elle ne s’y est pas trompée : la décision du 6 octobre impose une réécriture de la loi française sur les techniques de renseignement. @

* Winston Maxwell, ancien avocat, est depuis juin 2019
directeur d’études Droit et Numérique à Telecom Paris.

Désinformations, rumeurs infondées, ragots, … A quand de vraies nouvelles sur les fake news ?

Publié le par

Lutter contre la désinformation suppose de responsabiliser les acteurs impliqués dans sa propagation, depuis la source d’une fake news, en passant par les algorithmes sacralisant la popularité des contenus, jusqu’à l’internaute qui la relaie – sciemment ou non. Et il faut adapter le cadre juridique.

Par Alexandre Euverte et Etienne Drouard, cabinet K&L Gates

« Johnny Hallyday a trouvé la mort aujourd’hui à l’âge de 74 ans ». Cette affirmation ne correspond pas à la triste nouvelle qui a endeuillé la France à l’aube du 6 décembre 2017. C’est la réponse que donnait l’application Siri d’Apple le 30 novembre 2017 si vous lui demandiez :
« Comment va Johnny ? ». Cette information fausse, relayée par Siri, faisait suite à une modification trompeuse de la page Wikipedia du légendaire chanteur, mise en ligne par un individu anonyme annonçant son décès de façon prématurée (1).

Loi de 1881 et fake news du XXIe siècle
Si Internet forme aujourd’hui un forum d’échanges global favorisant l’expansion de la liberté d’expression, il est impossible d’ignorer les dérives induites par la vitesse et l’effervescence des contenus. C’est le cas des fake news, ces actualités créées intentionnellement pour tromper le public et lui fournir une représentation erronée
de la réalité ou une dénaturation des faits, souvent utilisées à des fins malveillantes. Au-delà de la désinformation de masse, les fake news nourrissent des théories conspirationnistes, en augmentation en France (2), ainsi que les propagandes les
plus nauséabondes. L’impulsion des réseaux sociaux permet de donner une ampleur inédite aux fake news, parfois relayées par des médias institutionnels ou historiques, voire par des responsables politiques. Lutter efficacement contre ce « cancer » de la désinformation exige de responsabiliser tous les acteurs impliqués dans sa propagation, depuis la source d’une fake news, en passant par les algorithmes de classement basés sur la popularité des contenus, jusqu’à l’internaute qui relaie la désinformation – sciemment ou à son insu – à travers l’audience de masse des réseaux sociaux. Il est nécessaire d’adapter notre cadre juridique et d’inciter les acteurs les plus impliqués à privilégier la vérité par rapport à la popularité. Or notre arsenal législatif peine à s’adapter au numérique, même si les règles de fond applicables gardent toute leur légitimité. Le dispositif législatif français issu de la loi du 29 juillet 1881 sur la liberté de la presse permet déjà, en soi, l’appréhension des fake news. L’article 27 de cette loi fondamentale pour notre démocratie dispose en effet que « la publication, la diffusion ou la reproduction, par quelque moyen que ce soit, de nouvelles fausses, de pièces fabriquées, falsifiées ou mensongèrement attribuées à des tiers lorsque, faite de mauvaise foi, elle aura troublé la paix publique, ou aura été susceptible de la troubler, sera punie d’une amende de 45.000 euros ». Si le texte permet ainsi de condamner aussi bien le fait d’avoir publié ou d’avoir relayé une fake news, il faut néanmoins que l’auteur ait été de mauvaise foi. Cette condition reste indiscutablement légitime. Elle exonère de responsabilité l’internaute ou le média reproduisant une information fausse en la croyant véridique.
Il a ainsi déjà été jugé que l’absence de vérification de l’information communiquée était insuffisante pour engager la responsabilité du diffuseur d’une fausse information (3).
En ce sens, seules les personnes à la source de l’information fausse ou dont on peut démontrer qu’elles en connaissaient le caractère mensonger, pourraient être condamnées. Il faut ensuite que la fake news soit de nature à troubler « la paix publique », ce qui peut laisser une marge d’interprétation importante aux juges et qui devrait écarter les cas isolés d’internautes relayant de telles informations à leur cercle restreint via, par exemple, un compte Facebook fermé et avec peu d’amis.Ce texte a été très peu appliqué en jurisprudence (4), sans doute pour éviter les potentielles atteintes à la liberté d’expression et les accusations de vouloir imposer une vérité officielle. Or, il est le seul texte général, en France, à rendre illicites les fausses nouvelles, lorsqu’elles ne peuvent être sanctionnées sur le fondement d’autres infractions, telles que la calomnie, la diffamation ou l’incitation à la haine. Mais lorsque le temps judiciaire discrédite la loi, faut-il encore légiférer ?

Faut-il sanctionner pénalement ?
C’est dans ce contexte que le débat a été relancé en France. Le 22 mars 2017, la sénatrice Nathalie Goulet (5) a soumis une proposition de loi (6) visant à définir et sanctionner les fausses nouvelles, ou «fake news ». Cette proposition a pour objectif
de reprendre la jurisprudence de la Cour de cassation sur l’application de l’article 27
de la loi du 29 juillet 1881, mais en assouplissant l’exigence d’un élément moral de l’infraction, à savoir la mauvaise foi. Il s’agirait en effet de pouvoir sanctionner les personnes qui relaient des contenus sans en avoir vérifié les sources. Il est proposé d’ajouter un nouvel article 226-12-1 du Code pénal qui sanctionnerait la mise à disposition du public de fake news non accompagnées des réserves nécessaires (7). Un nouvel article 226-12-2 du Code pénal préciserait également : « Doit notamment être considéré de mauvaise foi, l’éditeur, le diffuseur, le reproducteur, le moteur de recherche ou le réseau social ayant maintenu à la disposition du public des nouvelles fausses non accompagnées des réserves nécessaires pendant plus de trois jours à compter de la réception du signalement de leur caractère faux ». L’auteur de la fake news pourrait cependant prouver sa bonne foi en démontrant qu’il a accompli les
« démarches suffisantes et proportionnelles aux moyens dont il dispose » pour vérifier le contenu litigieux.

Responsabilité, rigueur et déontologie
Si elles étaient adoptées, ces nouvelles règles feraient peser sur les particuliers, comme sur les acteurs du Web, une responsabilité lourde, similaire à celle pesant sur les journalistes professionnels (8). Les notions de « mauvaise foi », de « réserves nécessaires » et de « démarches suffisantes et proportionnelles aux moyens dont il dispose » seront laissées à l’appréciation souveraine des juges du fond à défaut d’indications plus précises. Le texte envisagé par le Sénat souhaitait ériger cette infraction en délit et proposait une peine d’un an d’emprisonnement et de 15.000 euros d’amende. Des nouvelles dispositions du Code pénal ajouteraient en outre que les éditeurs de presse et les syndicats de journalistes pourraient se constituer partie civile, endossant ainsi le rôle de « gardiens de la rigueur et des exigences déontologiques qu’implique l’exercice journalistique », selon les termes du préambule de la proposition de loi. Néanmoins, il semble que le calendrier de cette proposition de loi – déposée au Sénat le 22 mars 2017 – ait été retardé, puisqu’elle n’a toujours pas été étudiée par l’Assemblée nationale à ce jour ni fait l’objet de travaux en commissions. Quant aux réseaux sociaux, quelle est leur contribution contre la désinformation de masse ? Légalement, les hébergeurs n’ont pas un devoir de réaction aux fake news. Selon la réglementation française et européenne (9), les réseaux sociaux sont considérés comme des hébergeurs des contenus mis en ligne par leurs membres et bénéficient
à ce titre d’un régime de responsabilité limitée. Ils doivent, d’une part, conserver les données d’identification des personnes ayant contribué à la création de contenus sur leurs services et les communiquer, sur demande, à l’autorité judiciaire. D’autres part,
ils doivent bloquer et faire cesser les contenus faisant « l’apologie des crimes contre l’humanité, de la provocation à la commission d’actes de terrorisme et de leur apologie, de l’incitation à la haine raciale, à la haine à l’égard des personnes à raison de leur sexe, de leur orientation ou identité sexuelle ou de leur handicap ainsi que de la pornographie enfantine, de l’incitation à la violence, notamment l’incitation aux violences faites aux femmes, ainsi que des atteintes à la dignité humaine ». Mais
ce, uniquement après que de tels contenus leur ont été signalés (10). Les fausses nouvelles qui n’inciteraient pas à la haine, à la violence, à la discrimination ou à la dignité humaine, échappent donc au champ d’application de ce texte qui définit strictement les contenus illicites que les hébergeurs – dont font encore partie les Facebook, WhatsApp, Twitter et autres Snapchat – doivent contribuer à bannir de leurs services, lorsque de tels contenus leur sont signalés. Face à l’ampleur du phénomène des fake news et aux pressions exercées contre eux, certains réseaux sociaux ont pris des initiatives. Facebook a, par exemple, mis en ligne un outil de vérification des contenus pour lutter contre les fake news (11). Cet outil n’a toutefois pas permis à Facebook d’essuyer les nombreuses critiques récentes reçues pour la mise en avant automatique de fake news, notamment lors de la tuerie de masse de Las Vegas (12). Le 16 novembre 2017, Facebook, Google, Twitter et Bing ont rejoint le « Trust Project », un consortium de grands éditeurs de presse créé pour lutter contre les fake news (13). Alors que l’Union européenne consulte de son côté (lire encadré cidessous), la contribution des géants américains est bienvenue, puisqu’ils sont les instruments de la diffusion, à grandes échelle, des articles des éditeurs de sites web, via notamment leurs procédés d’indexation et de mise en avant de contenus ainsi que le partage effectué par leurs utilisateurs. @

ZOOM

L’Europe, elle, consulte jusqu’en février 2018 : pour éviter ses erreurs passées ?
La Commission européenne a lancé le 13 novembre 2017 une consultation publique
en ligne concernant la lutte contre les fake news (14). Les objectifs sont résumés ainsi :
« La consultation vise à recueillir des informations sur les aspects suivants : définition des fausses nouvelles et de leur diffusion en ligne ; évaluation des mesures déjà prises par les plateformes en ligne, les médias et les organisations de la société civile pour contrer la diffusion de fausses nouvelles en ligne ; futures actions possibles pour renforcer les informations de qualité et endiguer la propagation de la désinformation en ligne ». La consultation est ouverte jusqu’en février 2018 à toutes les parties prenantes – citoyens, journalistes, personnes morales, fournisseurs de services – qui peuvent répondre à des questionnaires adaptés. Les résultats seront publiés à la suite de la consultation. Réfléchir avant de légiférer, une saine méthode…, à condition de ne pas reproduire les erreurs du passé récent, comme la Cour de Justice de l’Union européenne (CJUE) qui a « inventé » un droit à la désindexation, dont elle a confié
la mise en oeuvre aux moteurs de recherche (15), ou comme la Commission et le Parlement européens qui s’apprêtent dans le cadre du futur règlement « ePrivacy »
à confier aux éditeurs de logiciels de navigation le soin d’informer les internautes sur
le dépôt d’un fichier « cookie » et de paramétrer les conditions de leurs choix (16). Gageons donc, sans devoir se contenter d’allumer un cierge – sauf à la mémoire de Johnny –, que cette consultation publique sur les fake news ne relèguera pas le juge
au rang de figurant et ne fera pas de la loi l’instrument d’un abandon de souveraineté européenne. Il en va de la vérité dans nos démocraties. De notre culture européenne de la liberté d’expression. @

Piratage sur Internet : le filtrage obligatoire des contenus devant les eurodéputés

Publié le par

Le Parlement européen va bientôt se prononcer sur le projet de directive « Droit d’auteur dans le marché unique numérique », actuellement examiné par ses différentes commissions. C’est l’occasion de se pencher sur l’article 13 qui fait polémique en matière de lutte contre le piratage. Il pourrait être supprimé.

« L’article 13 prévoit l’obligation, pour les prestataires de services de la société de l’information qui stockent et donnent accès à un grand nombre d’œuvres et autres objets protégés, chargés par leurs utilisateurs, de prendre des mesures appropriées et proportionnées pour assurer le bon fonctionnement des accords conclus avec les titulaires de droits et pour empêcher la mise à disposition, par leurs services, de contenus identifiés par les titulaires de droits en coopération avec ces prestataires », avait expliqué la Commission européenne dans ses motifs lors de la présentation il y a six mois de son projet de réforme du droit d’auteur dans le marché unique numérique.

Atteintes aux droits fondamentaux ?
C’est cet article 13 sur l’utilisation de contenus protégés par le droit d’auteur qui fait l’objet d’un intense lobbying de dernière ligne droite au Parlement européen entre les ayants droits et les acteurs du Net. L’article 13 stipule en effet que « les prestataires
de services de la société de l’information (…) prennent des mesures [de lutte contre
le piratage sur Internet, ndlr]. Ces mesures, telles que le recours à des techniques efficaces de reconnaissance des contenus, doivent être appropriées et proportion-
nées ». L’eurodéputée Therese Comodini Cachia, au sein de la commission des Affaires juridiques du Parlement européen, a préconisé de supprimer cette disposition. La Quadrature du Net, association de défense des droits et libertés numériques, a pris aussi position contre cette mesure, en annonçant le 7 mars dernier avoir envoyé aux eurodéputés ses arguments pour faire avancer le débat sur la réforme du droit d’auteur. Selon elle, la détection automatique de contenus illicites est d’abord une lourde atteinte aux principes du droit. « Nous préconisons de refuser la systématisation de ce procédé de détection d’œuvres protégées sur les plateformes de contenu, sous peine d’alourdir considérablement le régime juridique de la publication sur Internet et de mettre en place une inflation des atteintes aux droits fondamentaux », a dit aux eurodéputés l’association des internautes présidée par Philippe Aigrain (photo). La raison en est que l’article 13 inverse la charge de la preuve.« Au lieu d’exiger de l’ayant droit qu’il prouve qu’il y a eu utilisation illicite de son oeuvre, il impose à l’internaute qui a mis en ligne un contenu de prouver, après suppression automatique, que son contenu ne violait pas les droits d’autrui. Ce mécanisme risque de porter gravement atteinte à la liberté d’expression et de création », déplore l’association. Pour La Quadrature du Net, le caractère automatique de la sanction décourage de tout recours et prive du droit au procès équitable qui soustend les principes du droit. L’article 13 prévoit bien que les acteurs du Net mettent en place des dispositifs de plainte et de recours à l’intention des utilisateurs pour les litiges suite à l’application des mesures prises pour lutter contre le piratage telles que le recours à des techniques efficaces de reconnaissance des contenus, mais l’association relève que « rien n’est indiqué dans la directive pour obliger les plateformes à tenir compte des réclamations faites ou mettre en place des procédures d’appel (mise à part une vague obligation “d’adéquation et de proportionnalité” et la mention d’un dispositif de plainte sans garantie) ». L’association dénonce en outre deux ruptures d’égalité devant la justice dans le sens où, d’une part,« les éditeurs dont les contenus ont été abusivement supprimés doivent, eux, supporter la charge d’une action judiciaire pour faire valoir leurs droits a posteriori », et, d’autre part, « si cette automatisation du retrait de contenu illicite devient la norme, alors seuls ceux capables de supporter le coût de cette automatisation pourront faire valoir leurs droits ». Quant aux outils de contrôle de détection de contenus illicites, ils seront laissés dans les mains des seuls acteurs du Net. Ce qui amène La Quadrature du Net à se poser des questions sur ces robots de filtrage. Qui les contrôlera et vérifiera leurs paramétrages ? (1) « Au vu du fonctionnement de ce type de robots pour des plateformes de vidéo (YouTube), il est d’ores et déjà prouvé que ces robots font de nombreuses erreurs. Parmi ces erreurs, il a par exemple déjà été constaté que les ayants droit qui posent des empreintes sur des œuvres peuvent se réapproprier eux-mêmes les œuvres d’autres auteurs, et priver ceux-ci du libre choix de publication de leur création », prévient l’association.

Une menace pour la création
Ensuite, La Quadrature du Net estime que cet article 13 sera contre-productif pour la création et les créateurs, voire une menace pour la création car il instaure une censure incapable de repérer les exceptions légitimes au droit d’auteur. « Les outils de censure automatique sont, par nature, incapables de discerner lors de la réutilisation d’une oeuvre, s’il s’agit d’une simple copie sans ajout, ou bien d’une parodie, d’une critique ou d’un remix (entre autres possibilités de reprise légitimes et légales d’un extrait d’oeuvre protégée). Toute la culture qui repose sur l’utilisation d’autres œuvres pour alimenter la création est donc niée et fortement mise en danger par ce type de mesure », met en garde l’association des internautes. Et d’ajouter : « Or, la culture transformative est extrêmement présente dans les nouveaux usages et services. Y porter atteinte de façon indifférenciée, c’est donc mettre en péril une part très importante de la création audio et vidéo actuelle ».

Directive e-commerce et statut d’hébergeur
L’association rappelle par exemple le rôle de vulgarisation scientifique et de partage
de culture générale exercé par de nombreux créateurs de vidéos, participant ainsi à la vitalité de la création culturelle et éducative – notamment auprès d’un public jeune qui s’informe et se cultive plus volontiers sur YouTube que via des relais traditionnels. La Quadrature du Net s’attend par ailleurs à des conflits entre titulaires de droits : « Cette disposition pourrait avoir des répercussions négatives pour les œuvres qui sont diffusées sous licence libre, ou qui sont entrées dans le domaine public. L’expérience du robot de détection d’œuvres protégées sur YouTube a fait apparaître de nombreux conflits entre titulaires de droits, qui promet un contentieux important, et par ricochet une modification des conditions de création, les créateurs ne pouvant être assurés de contrôler comme ils le souhaitent la diffusion de leurs œuvres » (2).
L’association des internautes dénonce dans la foulée « une négation flagrante du statut du créateur amateur, qui ne peut être reconnu et protégé que s’il est inscrit à une société de gestion collective de droits, en charge de fournir les empreintes d’œuvres à “protéger” sur les plateformes de partage ». Pour elle, le projet de directive crée une insécurité juridique permanente pour les créateurs et les utilisateurs. Cette disposition risque aussi de pousser à « la création d’une culture hors-la-loi ». Or les commissions Imco (3) et Cult (4) du Parlement européen ont proposé respectivement une exception de citation élargie aux œuvres audiovisuelles et une exception permettant les usages transformatifs. Pour La Quadrature du Net, « ce serait une avancée significative dans l’adaptation du droit d’auteur aux usages actuels ».
Enfin, toujours selon La Quadrature du Net, l’article 13 entre en conflit avec le statut de l’hébergeur. « En demandant aux plateformes de mettre en place des outils de détection automatique de contenus illicites, cet article (…) pose de nombreux problèmes de compatibilité avec la directive de 2000 sur le commerce électronique (5) qui régit la plus grande part des responsabilités respectives des acteurs de l’Internet », lesquels ne sont soumis à aucune obligation de surveillance préalable des contenus. Et ce, depuis plus de quinze ans maintenant. Le 19 septembre dernier, l’Association des services Internet communautaires (Asic) avait également dénoncé cet article 13 en ces termes : « Le diable étant dans les détails, le texte ne s’arrête pas à ce qui aujourd’hui a été mis en place volontairement depuis près de dix ans par les hébergeurs (…) comme Dailymotion et YouTube – à travers les contrats conclus en France avec la SACD (6),
la Sacem (7), la Scam (8) et l’Adagp (9)… et l’adoption de systèmes de reconnaissance de contenus type (Audible Magic, Signature ou Content ID…) – mais va plus loin et prévoit une obligation de “prévenir la disponibilité des contenus” sur ces plateformes. L’article 13 veut ainsi instaurer une obligation de monitoring et de filtrage pour ces plateformes en contradiction totale avec les principes de la directive ecommerce » (10). La Quadrature du Net, elle, poursuit en affirmant que le dispositif envisagé ne résout pas le problème de transfert de valeur (value gap), lequel est mis en avant par les industries culturelles (musique, cinéma, audiovisuel, …) qui s’en disent victimes au profit des GAFA et des plateformes de contenus en ligne. « En supprimant les contenus, la problématique du transfert de valeur n’est pas résolue puisque cela n’entraîne aucune rémunération du créateur. Pire, les créateurs sont privés de la visibilité qu’apporte l’exposition, y compris illégale, de leurs œuvres sur Internet », regrette l’association. Et d’ajouter : « La question du différentiel de revenus entre plateformes et créateurs ne peut être réglée qu’en traitant des problématiques de répartition, avec une vraie acceptation des nouvelles pratiques de partage par les sociétés de gestion collective de droits ». La Quadrature du Net fait en outre remarquer aux eurodéputés que l’obligation générale de mise en place d’outils de détection automatique de contenus illicites – outils réputés pour être coûteux à acquérir et à mettre en place – devrait générer une forte inégalité entre plateformes numériques.

Risque de favoriser les GAFA
Résultat : « Paradoxalement, cette mesure risque de favoriser le monopole des GAFA et de tuer l’émergence d’acteurs européens, en faisant monter de façon disproportionnée le coût d’accès au marché ou les risques financiers imprévisibles en cas de création d’un service de partage de contenu ». Reste à savoir si les eurodéputés seront sensibles à ces arguments en supprimant l’article 13 controversé. A suivre. @

Charles de Laubier