Justice prédictiveet « boîtes noires » : qui gardera les algorithmes dans notre démocratie numérique ?

Le prédictif — à grand renfort d’intelligence artificielle et d’algorithmes — nous apporte un nouveau type de connaissances. Mais il faut identifier les possibles effets pervers de « la boîte noire » et éviter que la justice prédictive ne devienne une justice « performative » ou « auto-réalisatrice ».

Fabrice Lorvo*, avocat associé, FTPA.

Le rapport Villani (1) sur l’intelligence artificielle (IA) – laquelle est, rappelonsle, le fait de créer des processus cognitifs comparables à ceux de l’être humain – préconise que la France avec l’Europe devienne un leader mondial de l’intelligence artificielle. Il s’agit de donner un sens à cette intelligence, qui doit seconder et non remplacer l’intelligence humaine.

 

Prédire jusqu’aux comportements humains
L’essor de l’IA est irrémédiable car il constitue a priori, aux yeux de tous, un progrès. Cette évolution technologique ne doit cependant pas nous faire oublier l’expérience acquise et la relativité du progrès, lequel peut apporter une amélioration immédiate puis être aussi porteur à plus long terme d’effets extrêmement néfastes sur les humains. L’amiante en est un exemple topique. Vanté au début du XIXe siècle pour ses vertus techniques, utilisé à outrance notamment pour la reconstruction d’aprèsguerre, il est apparu postérieurement que les effets à long terme de ce type de minéral à texture fibreuse étaient létaux pour l’homme.
Outre ce caractère irrémédiable, force est de constater que le progrès numérique (2) est ambivalent, c’est-à-dire qu’il amplifie à la fois des effets positifs comme des effets négatifs, et qu’il est difficile de tenter de corriger les effets négatifs sans impacter les effets positifs. L’IA n’échappe donc pas à des réserves. Ce nouveau type d’intelligence et de connaissance — avec l’ingénierie inversée (3) — offre des possibilités multiples, et l’on se prend à rêver d’un algorithme permettant de lutter contre, par exemple, le piratage sur Internet ou les contenus illicites en lignes. Nous nous intéresserons uniquement à la justice prédictive. On peut distinguer deux grands types de débouchés possibles : prédire les décisions de justice (sur la base des décisions de justice rendues dans le passé) ou prédire les comportements humains individuels à venir. Cette dernière catégorie concerne principalement l’aspect pénal de la justice. Elle est déjà utilisée depuis plus de dix ans aux Etats-Unis pour mesurer les risques de dangerosité ou de récidive d’un individu. En principe, en France, une telle utilisation n’est pas possible dès lors qu’elle est interdite par la loi. Cette interdiction doit cependant être nuancée car si la loi « Informatique et Libertés » de 1978 interdit que les décisions de justice impliquant une appréciation sur le comportement d’une personne soient prises par des algorithmes (4), la jurisprudence limite l’interdiction à l’exclusivité du fondement de la décision, considérant ainsi que ladite loi n’a ni pour objet ni pour effet d’interdire
à la juridiction de prendre en compte, parmi d’autres éléments d’appréciation, les résultats d’un tel traitement (5). Une étude parue en janvier 2018 dans Science Advances (6) démontre que le logiciel d’évaluation des risques Compas (7), commercialisé par une société privée américaine (Northpointe) et largement utilisé
par — selon cette société — l’équipement de 200 systèmes de justice pénale aux
Etats-Unis et au Canada, n’est pas plus précis ou équitable que les prédictions faites par des personnes ayant peu ou pas d’expertise en justice pénale. Cette étude démontre en outre qu’avec beaucoup moins d’informations que Compas (seulement
7 critères comparés aux 137 du questionnaire de Compas (8)), une petite foule de personnes inexpérimentées est aussi précise que Compas pour prédire la récidive.
A priori et à ce jour, les algorithmes prédictifs n’ont pas démontré une suprématie
par rapport à la décision humaine en termes d’efficacité. En France, par exemple, le Conseil d’Etat cite un rapport de l’Institut Montaigne publié en 2017 et intitulé « Justice : faites entrer le numérique », selon lequel « le taux actuel de sûreté des algorithmes prédictifs en droit ne semble pas, en l’état, excéder 70 %, ce qui n’est pas si élevé et
ne saurait fonder des certitudes » (9). A l’inverse, de tels algorithmes sont critiqués car sujets à de nombreux biais cognitifs principalement des biais sexistes, raciaux et de classes sociales (10).

Boîte noire et secret des affaires : risques
Outre l’efficacité relative des algorithmes, au moins deux critiques essentielles doivent être conservées à l’esprit en matière de justice prédictive, à savoir, le syndrome de
« la boîte noire » et le risque de « performativité » de la justice. Pour la boîte noire,
il ne s’agit pas ici de celle de l’aéronautique (qui est en fait orange) mais bien de la représentation d’un système sans comprendre son fonctionnement interne. Les codes sources des algorithmes sont généralement incompréhensibles pour le commun des mortels, et confidentiels car couverts par le secret des affaires. Une des causes de cette opacité réside dans le fait que les algorithmes utilisés, notamment par le pouvoir régalien (justice, police, défense, etc.), nécessitent de tels investissements financiers qu’ils ne sont développés que par le secteur privé.

Transparence, intégrité et capacité de jugement
Outre les questions de souveraineté, lorsque le prestataire est d’une nationalité différente, se pose de manière prégnante la question du secret des affaires. On peut comprendre qu’une société privée souhaite conserver son avantage concurrentiel, fruit de ses investissements et du risque pris en R&D, en gardant secret le fonctionnement de ces algorithmes. A l’inverse, dès lors que lesdits algorithmes sont de nature à avoir un impact sur la liberté des citoyens, il est plus que légitime que de pouvoir comprendre la manière dont il fonctionne et de pouvoir vérifier l’intégrité et la pertinence du modèle. L’exemple magistral du scandale récent du « Dieselgate » a démontré qu’un algorithme pouvait être trompeur et que le résultat qui s’affiche à l’écran peut travestir la réalité.
De plus, il faut être en mesure de pouvoir vérifier la neutralité des algorithmes. Il se pose, là encore, la question de savoir si l’homme est prédictible et jusqu’où il peut être modélisé de manière mathématique. Les algorithmes peuvent implicitement se référer
à un concept d’homme idéal ou de norme socialement acceptable. Sans défiance particulière pour les mathématiciens et/ou ingénieurs du secteur privé, ce type de questions relève du débat de société et l’établissement de telles normes – qui constituent déjà une sérieuse entorse à l’indispensable diversité humaine, sociale
ou culturelle – est de la compétence exclusive des pouvoirs publics, protecteurs de l’intérêt général et des droits fondamentaux. Reste aussi la question de la complétude, l’exactitude et l’intégrité de la base de données sur lequel les algorithmes vont travailler.
Cette nécessité de transparence et de compétences, ainsi que les problèmes éthiques induits que posent des algorithmes, a suscité diverses propositions qu’il convient de continuer à explorer. Le rapport Villani évoque « la constitution d’un corps d’experts publics assermentés en mesure de procéder à des audits d’algorithmes, des bases
de données et de procéder à des tests par tous moyens requis ». De même, le Québec a récemment proposé la création d’une « organisation mondiale de l’intelligence artificielle pour travailler sur les enjeux sociétaux et éthiques de cette technologie » (11). Une des grandes questions de la démocratie depuis l’Antiquité a été de savoir
« Qui gardera les gardes ? » ; celle de notre démocratie numérique sera probablement : « Qui gardera les algorithmes ? ». A la vitesse à laquelle l’intelligence artificielle progresse, tout cela ne constitue que des balbutiements et des ajustements temporaires, et que les algorithmes seront prochainement d’une grande fiabilité. Cet espoir n’est pas illusoire mais il est insuffisant. Ne négligeons pas le fait que le prédictif nous apporte un nouveau type de connaissances et qu’il nous faut en identifier les possibles effets pervers. Il faut avoir conscience et éviter que la justice prédictive ne devienne une justice performative ou auto-réalisatrice. En effet, si l’analyse des décisions passées permet de dégager une opinion majoritaire, il faut garder à l’esprit la possibilité que le juge soit influencé par ce résultat : soit qu’il renonce spontanément à sa liberté d’appréciation du fait de la quantité de jugements passés rendus dans un sens, soit qu’il ne souhaite pas prendre le risque de soutenir une position contraire.
En d’autres termes, le résultat produit par les algorithmes peut être de nature à s’imposer, volontairement ou non, au juge. Les algorithmes pourraient donc affecter la capacité de jugement des juges et/ou ôter à la jurisprudence son rôle qui permet de faire évoluer le droit en prenant en considération l’évolution de la société. Dans ces conditions, le règne des décisions passées serait de nature à empêcher toute variation dans le futur. Quant au juge, il pourrait sous la pression des décisions de ses prédécesseurs, réduire sa capacité de juger et limiter son rôle à celui de répétiteur du passé et non plus, de facilitateur de l’avenir.

Équilibre entre conviction et uniformisation
Un autre élément serait de nature à figer la jurisprudence, à savoir l’absence de prise en compte de la hiérarchie des décisions judiciaires qui sont pourtant de nature très diverse (première instance, appel ou de cassation). Cette hiérarchie a une fonction :
« Les arrêts des formations supérieures viennent poser, dans une navigation juridictionnelle parfois périlleuse, des phares et des balises aidant au repérage que la multitude des décisions d’espèce ne doit pas masquer » (12). Le risque, c’est que l’exploitation de ces décisions en ligne ne prenne plus en considération cette hiérarchie. Notre système judiciaire est le fruit d’un mécanisme d’horloger permettant un difficile équilibre entre l’intime conviction du juge et l’uniformisation de la jurisprudence. C’est un titanesque défi de vouloir transcrire cet équilibre en une équation mathématique. @

* Auteur du livre « Numérique : de la révolution au naufrage ? »,
paru en 2016 chez Fauves Editions.

Le tabou de la propriété des données personnelles, éléments de la personnalité et objets de commerce

Parler de la « propriété » des données personnelles est un quasi-blasphème
pour certains. Autant dans l’entreprise, ces dernières font partie du fonds de commerce, autant pour les individus, elles ne sont pas considérées comme tel. Les contrats suffisent-ils ou faut-il créer un droit spécifique ?

Par Winston Maxwell, avocat associé, et Maxime Cordier, stagiaire*, Hogan Lovells

Les entreprises traitent régulièrement les données comme un élément de patrimoine. L’exemple le plus connu est la liste des clients, élément du fonds de commerce (1). Cette liste peut être vendue dans le cadre d’une cession de fonds de commerce,
et si une entreprise concurrente
se l’approprie sans autorisation, le propriétaire du fonds de commerce peut demander réparation en justice. La liste de clients peut figurer au bilan comme une immobilisation incorporelle. Dans les fusions et acquisitions, la valeur des données peut représenter une partie importante du prix de cession. Alors, pourquoi donc autant de difficulté à parler de la « propriété » de données ?

Propriété pour un marché plus efficace ?
La propriété des données pose question sous l’angle de la personne qui les génère,
et sous l’angle de l’entreprise qui les collecte. En ce qui concerne l’individu, le Conseil d’Etat rejette l’idée qu’une personne puisse être propriétaire de ses données à caractère personnel (2). Celles-ci sont conçues comme un élément de la personnalité, et par là, incessibles. La reconnaissance d’un tel droit limiterait pour les pouvoirs publics la possibilité de protéger les individus. Le Conseil d’Etat propose la reconnaissance d’un droit à l’« autodétermination informationnelle », sur le modèle allemand. D’autres encore appellent à une gestion collective des données personnelles, pensées comme un « bien commun » (3). Certains soutiennent que l’individu devrait disposer d’un droit de propriété afin de créer un marché et corriger le déséquilibre entre les individus et certaines grandes plateformes Internet. L’avocat Alain Bensoussan propose de passer d’une logique du don à une logique de l’échange, nécessitant la reconnaissance par les pouvoirs publics d’un droit de propriété sur les données personnelles (4). Utiliser les données comme une monnaie d’échange est reconnu dans le projet de directive européenne de 2015 concernant certains aspects des contrats de fourniture de contenu numérique : « Dans l’économie numérique, les acteurs du marché ont souvent et de plus en plus tendance à considérer les informations concernant les particuliers comme ayant une valeur comparable à celle de l’argent. Il est fréquent que du contenu numérique soit fourni, non pas en échange d’un paiement, mais moyennant une contrepartie non pécuniaire, c’est-à-dire en accordant l’accès à des données à caractère personnel ou autres » (5). Les données à caractère personnel seraient à la fois un objet de commerce et un élément de la personnalité, protégé en tant que droit fondamental.
Les droits de propriété intellectuelle classiques ne reconnaissent pas les données brutes comme un objet de protection. La protection sui generis bénéficient aux bases
de données non « créatives » si elles ont fait l’objet d’un « investissement substantiel du point de vue qualitatif ou quantitatif » (6). Néanmoins, les données en elles-mêmes ne sont pas protégées. Beaucoup de bases de données issues d’objets connectés pourraient ne pas bénéficier la protection sui generis de la directive, soit qu’elles ne sont pas créatives, soient qu’elles ne pourraient bénéficier de la protection sui generis. Certains auteurs soutiennent que la création d’objets connectés avec des capteurs n’entrerait pas dans le calcul de « l’investissement substantiel » nécessaire pour la protection sui generis des bases de données (7). En tout état de cause, cette protection sui generis ne permet pas une protection entière de la base de données, puisque des extractions et réutilisations de parties non substantielles du contenu de la base de données peuvent être réalisées tant qu’elles ne causent pas de préjudice injustifié aux intérêts légitimes du fabricant de la base.

La protection du secret des affaires
La directive européenne de 2016 sur le secret des affaires (8) permet de protéger le détenteur de données personnelles contre l’acquisition, l’usage et la divulgation illicite de certains secrets. Cependant, son champ d’application se limite aux informations
qui « ne sont pas généralement connues des personnes appartenant aux milieux qui s’occupent normalement du genre d’informations en question, ou ne leur sont pas aisément accessibles ». Pour certains auteurs (9), il n’est pas assuré que les données produites par les capteurs des objets connectés puissent être protégées. Les données ne seraient d’ailleurs protégées que contre certaines actions illégales. Les prérogatives issues de la protection par le « secret des affaires » ne peuvent être qualifiées de droit de propriété, mais ce droit consacre néanmoins une certaine protection, à l’instar de la protection accordée à une liste de clients d’une entreprise (10).

Créer un droit de propriété spécifique ?
Cependant, faut-il nécessairement un droit de propriété spécifique ? Certains ne le pensent pas, car le marché des données fonctionne très bien uniquement sur la base de contrats (11). Ils citent le cas des droits sportifs. Dans de nombreux pays, les événements sportifs ne bénéficient pas d’un droit de propriété intellectuelle. Et pourtant les droits de rediffusion se négocient à prix d’or ! La raison est liée à la possibilité technique de contrôler l’accès au stade. L’organisateur de l’événement sportif peut autoriser un seul diffuseur à accéder au stade pour filmer l’événement, créant ainsi une rareté qui se monnaie. Selon le centre de recherche de la Commission européenne, le Joint Research Centre (JRC), les données seraient comme un match de foot : pas de droit de propriété intellectuelle spécifique, mais une maîtrise technique de l’accès aux données qui permet une négociation efficace par voie contractuelle. « Je donne accès
à mes données à Alice, mais pas à Bob ». Si le marché s’organise efficacement autour de contrats – comme c’est le cas pour les événements sportifs – aucun besoin de créer un droit de propriété spécifique. Le règlement général sur la protection des données,
dit RGPD et applicable à partir du 25 mai 2018, reconnaît une série de droits pour l’individu, et impose une série d’obligations au responsable du traitement pour garantir le respect des droits de l’individu (lire encadré ci-dessous). Le RGPD n’utilise jamais
le terme « propriété » pour caractériser les droits de l’individu ou des droits du responsable du traitement. Et pourtant, selon le JRC, le RGPD reconnaît implicitement un droit de propriété pour le responsable de traitement (12). Il s’agit d’un droit de propriété implicite pour l’ensemble des droits résiduels liés aux données. @

Maxime Cordier est étudiant
« Data Protection Officer » (DPO), à l’université Paris II
Panthéon-Assas, et stagiaire au département
« droit et contrats des données » de Hogan Lovells.

ZOOM

D’après le RGPD, le propriétaire des données est le responsable du traitement
Le règlement général sur la protection des données (RGPD), applicable à partir du
25 mai 2018, répartit les droits sur les données personnelles entre deux acteurs : le responsable de traitement et la personne concernée. La personne concernée dispose du « pouvoir d’initiative » dans la création et la mise à disposition de droits sur ses données personnelles (13). Parmi ces droits, les plus significatifs sont le droit d’obtenir une information préalable, le droit d’accès ou le droit de rectification. Le responsable
de traitement est lui le « gardien des données » et dispose de tous les « droits » qui ne sont pas affectés à la personne concernée, ou qui ne sont pas limités par d’autres droits de la personne concernée. En reconnaissant que le responsable du traitement détient le droit de déterminer la finalité et les moyens de traitement, le RGPD confère un degré de sécurité juridique à son statut de « propriétaire » des données.
Propriétaire des droits résiduels , le responsable du traitement reste néanmoins fortement limité dans son exploitation des données. Les contraintes sont d’origine réglementaire : le RGPD, la directive « ePrivacy », le secret bancaire, le secret
médical, … D’autres textes réglementaires limiteront sa marge de manœuvre. Mais
les contraintes peuvent également être d’origine contractuelle, notamment en cas de partage de données entre plusieurs responsables du traitement, chacun lié par un contrat définissant précisément son rôle. Dans un consortium lié à l’Internet des objets, il pourra exister plusieurs responsables du traitement, chacun responsable pour l’exploitation des données en vue de la réalisation d’une finalité spécifique : recherche, amélioration du produit, sécurité, publicité…

Les quatre couches de la propriété des données
La « propriété » des données pour un responsable du traitement peut s’analyser en quatre couches : la première concerne le contrôle technique de l’accès aux données
(il s’agit de l’équivalent des clés du stade, si l’on prend l’exemple des droits sportifs) ;
la seconde a trait à l’existence ou non de droits de propriété intellectuelle pour les données en question (droit sui generis sur les bases de données, secret des affaires) ; la troisième couche porte sur les contraintes réglementaires qui pèsent sur
l ‘ exploitation des données par le responsable du traitement, dont la liberté en tant
que « propriétaire » des données sera réduite (les droits de l’individu au titre du RGPD seront parmi les plus grandes contraintes , mais d’autres pourraient exister, par exemple en droit de la concurrence, ou en application d’un texte spécifique tel que la directive « Services de paiement en matière bancaire », par exemple) ; la quatrième couche concerne les contraintes liées aux contrats auxquels le responsable du traitement est partie (dans le contexte de l’Internet des objets ces contrats seront nombreux, et délimiteront l’étendue des droits de chaque entreprise membre du consortium, identifiant pour chacun la finalité que l’entreprise pourra poursuivre,
et les mesures de protection que celle-ci mettra en place).
L’empilement de ces quatre couches permet de comprendre la « propriété » des données dans un projet spécifique, comme la création d’une ville intelligente, par exemple. Lorsque de nombreuses entreprises interviennent dans le projet, le contrôle physique des données (première couche) sera particulièrement controversé. Dans certains cas le contrôle physique pourra être confié à une entreprise commune qui gérera l’accès pour le compte de l’ensemble des membres du consortium. Dans ce cas, la gouvernance de l’entreprise commune sera déterminante. @

Réformer la régulation de l’audiovisuel sans injurier la liberté de la presse

« Nous vivons une époque formidable », une époque où un président courageux envisage suffisamment tôt dans son mandat – une réforme d’ampleur qui porte
à la fois sur la réglementation audiovisuelle et sur les acteurs de l’audiovisuel public, tout en tentant de s’attaquer aux fake news.

Par Rémy Fekete, associé Jones Day

La réforme de la régulation audiovisuelle est une grande passion française. Le souhait du président Macron et de son gouvernement de procéder à une réforme en profondeur de la régulation de l’audiovisuel ne semble pas relever uniquement d’une tactique politique. La loi « Léotard » qui régit l’audiovisuel français depuis trente ans (1) a en réalité fait l’objet d’incessantes réformes, modifications et compléments au gré des impératifs européens et des priorités politiques du moment.

Déficit d’analyse extérieure sur la réforme
L’ampleur du chantier a mobilisé, sous l’autorité du « Château », Françoise Nyssen, ministre de la Culture, et son cabinet, l’ensemble des patrons des opérateurs publics,
le Conseil supérieur de l’audiovisuel (CSA), ainsi que la mise en place d’un Comité d’action publique 2022 (« CAP 2022 ») sous l’égide du Premier ministre. Ce souhait
fait écho à la nécessité créée par le véritable bouleversement des techniques et des usages, dû à l’irruption du numérique qui aboutit à des modes consommation délinéarisés des programmes audiovisuels et une segmentation des modes de consommation en fonction des catégories d’âges des populations. En clair, la télévision, et en particulier la télévision publique, est devenue celle d’adultes âgés (2). On peut d’ailleurs s’interroger si la profondeur des réformes nécessaires ne nécessiterait pas
un peu plus de « sang neuf » et extérieur à la sphère publique, afin d’échapper aux contingences qui ont réduit à peau de chagrin la plupart des réformes annoncées initialement comme ambitieuses depuis 1986 en matière d’audiovisuel (3).
Limitons-nous aux trois principaux enjeux de la réforme :
• Qu’est-ce que l’audiovisuel ?
Les médias les plus linéaires – stations de radio ou chaînes de télévision – font l’objet d’une consommation de plus en plus à la demande. Or, depuis les cinq dernières années, la distinction entre les différents types de médias audiovisuels a perdu de
sa pertinence en raison de la multiplication des tablettes et surtout des smartphones, associés à la production d’offres de plateformes en ligne dont l’utilisation ne connaît aucune rupture entre une consommation sur un écran de télévision, d’ordinateur ou
sur un téléphone. Le service de média audiovisuel est défini par la directive européenne « SMA » (4) comme « la fourniture de programmes dans le but d’informer, de divertir ou d’éduquer le grand public ». Cette directive faisait déjà la distinction entre les émissions télévisées et les services de médias audiovisuels, ces derniers pouvant notamment être non-linéaires. A l’inverse, les sites d’information en ligne peuvent pour certains faire l’objet d’une consommation pour l’essentiel en mode linéaire, leur valeur ajoutée portant essentiellement sur leur capacité à fournir des informations collant au plus près de l’actualité.
• A quoi sert le CSA ?
La création d’un régulateur de l’audiovisuel procède historiquement de la volonté de l’Etat de mettre en place un arbitre indépendant d’une activité, autrefois étatique et désormais soumis à concurrence. La Haute autorité de la communication audiovisuelle fut taxée de trop de dépendances à l’égard du pouvoir exécutif et a ainsi fait l’objet
d’un remplacement par le CSA (ex-Commission nationale de la communication et
des libertés). Celui-ci, depuis sa création en 1989, fait l’objet de nombreuses critiques, particulièrement vives en ce moment. On reproche ainsi tout à la fois au CSA : son déficit démocratique, les membres du collège étant nommés par le président de la République et le président de chacune des deux assemblées ; sa dépendance pratique sinon juridique à la politique définie par l’Elysée (5) ; son manque d’intervention dans
la régulation de l’audiovisuel (6) et, en même temps, un activisme tous azimuts, parfois taxé de moraliste ou de pudibond, lorsqu’il s’attaque à tel geste ou tel propos trop gaillard, manifestement vulgaire ou tout à fait déplacé.

Appel à un certain « lâcher prise »
En bref, à défaut d’être puissant, le CSA semble être devenu tatillon, et une remise
à plat complète de son rôle, de ses compétences, de sa constitution et de sa gouvernance semble appelée des vœux de tous. Faut-il pour autant s’illusionner
de pouvoirs factices ? Est-ce le CSA, autorité de régulation purement nationale, qui pourrait demain réguler les contenus sur Internet (7) ? Enfin, on ne saurait clore le chapitre du CSA sans évoquer son rôle en période électorale. A chaque fin de mandat, en effet, le calme habituel de la tour du quai André Citroën fait place à une étrange effervescence puisqu’une partie significative des moyens du CSA sont consacrés au comptage comparatif des temps de parole des candidats sur les chaînes françaises.
Au même moment, ces candidats paraissent sur les plateformes Internet et dans les médias internationaux, parfaitement repris en France, sans aucune contrainte. Certains appellent à un certain « lâcher prise », reconnaissant que la pluralité des sources d’information permet aujourd’hui aux citoyens un choix qui peut être éclairé.

Missions multiples de l’audiovisuel public
• Quel rôle pour l’audiovisuel public ?
La question est sur toutes les lèvres : à quoi sert la télévision publique si sa perception par les téléspectateurs diffère si peu de la télévision privée (8) ? Le secteur public de la communication audiovisuelle fait l’objet du « Titre III » de la loi « Léotard », aux termes duquel France Télévisions, Arte- France, la Chaîne Parlementaire, Radio France, l’Institut national de l’audiovisuel (Ina) sont soumis à tout un dispositif juridique spécifique (9). A force d’amendements législatifs, les parlementaires ont mis à la charge de l’audiovisuel public la mission de répondre, à peu près, à tous les travers
de la société française. Il est en particulier remarquable de constater le report sur les médias publics de missions traditionnellement dévolues à l’école – que l’Education nationale n’a pas su honorer. Les médias publics sont considérablement alourdis,
tant en termes de devoirs imposés par la loi, en effectifs (près de 18.000 salariés,
dont 9.840 pour France Télévisions), que par un budget si considérable qu’il devient aujourd’hui une faiblesse tant il attire les reproches (3,8 milliards d’euros, dont 2,5 milliards pour France Télévisions). Trop d’acteurs, trop de chaînes, trop de stations, trop de missions, trop de salariés et trop de ressources purement financières, tel est le constat. On s’attend donc, avant la fin du premier trimestre, aux premières orientations pour une refonte globale du secteur, en espérant qu’elle s’inscrive d’abord dans une redéfinition des rôles et des priorités, et n’envisage qu’en termes de conséquences la réduction des effectifs et la diminution drastique des budgets. Cette refonte des effectifs pourrait passer d’abord par un constat de carence du secteur privé (10).
• Une loi « fake news » : conforme à la constitution ?
Les dernières campagnes électorales, en particulier aux Etats-Unis, en Allemagne et
en France, ont donné lieu à un écho particulier dans la presse de chacun de ces pays d’une supposée manipulation de l’information et dissémination d’information fausse
par des médias. La verdeur de la réaction du président de la République, Emmanuel Macron, lors de la conférence de presse tenue avec le président russe au château de Versailles avait surpris. Mais le projet de loi « Fausses informations » (11), présenté il y a peu par le ministère de la Culture, fait passer le juriste de la surprise à la stupéfaction. La multiplication des médias et la dissémination de l’information au travers des réseaux sociaux ont abouti, sans surprise, à offrir une caisse de résonance démultipliée aux fausses rumeurs, aux informations erronées qui, de tout temps, ont pu être plus ou moins volontairement colportées. Le sujet est ancien et aux principes constitutionnels de liberté de communication (12) des limitations ont depuis l’origine été apportées.
En résumé, le projet de loi prévoit trois réformes également contestables. La première réforme tient à modifier le code électoral afin de permettre au juge du tribunal de grande instance, dans une procédure de référé, de prescrire « toutes mesures »
aux hébergeurs et fournisseur d’accès à Internet (FAI) afin de faire cesser la diffusion de fausses informations. On rappellera que le juge des référés est « le juge de l’évidence ». On ne peut que s’inquiéter de l’incapacité pratique d’un magistrat, dans une formation d’urgence, de statuer en quelques heures sur le fait de savoir si une information est fausse ou exacte.
La deuxième réforme donne un nouveau pouvoir au CSA dans des termes qui rappellent plus l’Union soviétique d’Arthur London (13) que la France « Start-up Nation » ! L’article 4 du projet de loi vise en effet le cas où un service audiovisuel « contrôlé par un Etat étranger ou sous l’influence de cet Etat (…) est susceptible de porter atteinte aux intérêts fondamentaux de la Nation ou participer à une entreprise de déstabilisation de ses institutions, notamment par la diffusion de fausses nouvelles ». Chacun de ces termes fera sans doute l’objet de critiques motivées, tant on peine à saisir sa pertinence dans notre écosystème à la fois pluriel et multi-connecté, dans lequel chaque citoyen
a accès à une multitude de sources d’informations et accepte de confier ses données personnelles à des opérateurs économiques globaux. Le projet de loi permet au CSA d’ordonner la suspension ou la résiliation unilatérale de la convention de tels services. Ce sera donc au régulateur de l’audiovisuel de déterminer si les nouvelles diffusées sont fausses ou exactes. On peut s’interroger sur la compétence et les moyens dont disposera le CSA dans cette nouvelle tâche.

Nouveau mécanisme de délation populaire
La troisième réforme de ce projet de loi « Fausses informations » met en place un nouveau mécanisme de délation populaire qui doit amener chacun à pouvoir disposer de dispositifs mis en place par les hébergeurs et les FAI leur permettant de porter à leur connaissance ce qu’il considère comme diffusion de fausse information. Ces derniers ont bien évidemment l’obligation d’en informer les autorités. Si une réforme courageuse de l’audiovisuel est en tout cas nécessaire, on aurait pu s’abstenir d’augmenter la difficulté de l’exercice par une atteinte aussi maladroite aux principes et aux modalités d’exercice de la liberté d’expression. @

La législation française permet-elle de protéger entreprises et médias contre les cyberattaques ?

Le 7 novembre 2017, la Cour de cassation confirmait la condamnation d’un individu pour avoir participé au groupement Anonymous en vue d’une attaque par déni de service. Décision isolée ? Ou les entreprises et les médias ont-elles les moyens juridiques pour lutter contre les cyberattaques ?

Par Corentin Pallot, Hervé Castelnau et Marie-Hélène Tonnellier – Latournerie Wolfrom Avocats

 

 

 

 

Ces dernières années, les médias ont été les victimes directes ou indirectes de plusieurs cyberattaques. On se souvient notamment, en avril 2015, de l’arrêt de la diffusion de TV5 Monde qui avait, à l’époque, fait grand bruit. Ayant fait face à une « agression fulgurante, qui a probablement été très bien préparée », le directeur informatique de TV5 Monde s’était en effet trouvé forcé de « tout couper », occasionnant un coût de « dix millions d’euros à la chaîne et le rehaussement du niveau de sécurité confié à la filiale cyber d’Airbus, [engendrant ainsi] une dépense
de 3,5 millions d’euros chaque année ».

DoS/DDoS et droit pénal
Trois mois plus tôt, en janvier 2015, Le Monde annonçait que l’Armée électronique syrienne (SEA) avait tenté de prendre le contrôle du compte Twitter de Lemonde.fr
et avait réussi à s’infiltrer dans son outil de publication, puis essayé de diffuser des articles, en vain. Mais quelques jours plus tard, la SEA réussissait finalement à pirater le compte Twitter du Monde et publiait quelques messages (1). Peu de temps après, Lemonde.fr faisait l’objet d’une attaque par « déni de service » – aussi connue sous l’acronyme DoS pour « Denial of Service ». En 2016, une cyberattaque contre une société chargée de rediriger les flux Internet vers les hébergeurs empêchait l’accès à de prestigieux médias américains comme CNN, le New York Times, le Boston Globe,
le Financial Times ou encore The Guardian.
En mai 2017, le prestataire français Cedexis racheté en février par l’américain Citrix
et chargé d’aiguiller une partie du trafic Internet, était la cible d’une attaque DDoS (Distributed Denial of Service). S’en suivait la perturbation de l’accès à de nombreux sites web, parmi lesquels ceux du Monde, de L’Obs, du Figaro, de France Info, de 20 Minutes ou encore de L’Equipe.
Pourtant, sur le papier, l’arsenal répressif français permettant de lutter contre les infractions informatiques se présente particulièrement étoffé. Certaines atteintes commises sur (ou via) des moyens numériques peuvent bien entendu être réprimées par le droit pénal général (vol pour sanctionner le détournement de données, escroquerie pour condamner le phishing, recel de contrefaçon de logiciels, etc.). Mais le code pénal prévoit également un nombre conséquent de textes spécifiquement destinés à encadrer l’usage des outils informatiques. Pionnière en la matière, la loi « Godfrain » du 5 janvier 1988 (2) permet ainsi de lutter contre les « atteintes aux systèmes de traitement automatisé de données » (accès frauduleux à un serveur, modification des informations contenues dans un ordinateur, etc.). Mais il y a beaucoup d’autres exemples de textes répressifs dédiés au numérique, comme les sanctions spécifiques en matière de pédopornographie lorsqu’il y a utilisation d’un réseau de communications électroniques (3), l’infraction constituée par le défaut de mentions légales sur un site Internet (4), l’atteinte au secret des correspondances émises par voie électronique (5), etc. La décision rendue le 7 novembre 2017 par la chambre criminelle de la Cour de cassation pourrait laisser penser que la justice se saisit avec fermeté de ces sujets, en n’hésitant pas à sanctionner des individus qui auraient participé, même indirectement, à des cyberattaques. En l’espèce, un individu avait
mis à disposition des internautes un «WebIRC » (IRC pour Internet Relay Chat, un protocole de communication textuelle sur Internet) sur un serveur dont il était locataire et gestionnaire, afin de leur faciliter l’accès à des sites web de discussion. Cet IRC avait facilité la conduite d’une attaque par déni de service dirigée contre EDF, sur fond de protestations contre le nucléaire. En effet, parmi les sites Internet qu’il référençait, figuraient ceux utilisés par des membres Anonymous, et notamment un site web dédié aux discussions sur les modalités concrètes d’opérations du mouvement « hacktiviste » contre EDF, parmi lesquelles une attaque par déni de service.

Atteinte à un système informatique
L’individu en question ne contestait pas les faits ; il avait même affirmé à l’audience avoir ressenti de la fierté lorsqu’il avait appris que des Anonymous avaient cité son WebIRC comme moyen d’accès au forum de discussion du groupement pour une autre opération contre EDF. Il n’ignorait d’ailleurs pas l’opération qui était mise au point sur
le site web de discussion qu’il hébergeait. Toutefois, l’homme n’avait pas pris part à la cyberattaque ; il affirmait en outre désapprouver les attaques DoS. Il assurait aussi ne pas avoir participé activement à la définition des modalités des actions d’entrave contre EDF et ne pas nécessairement les approuver, n’étant personnellement pas opposé au nucléaire. Pour reprendre les termes de la Cour de cassation, cette personne se présentait avant tout comme « un acteur de mise en relation [n’ayant] agi que dans
le but de favoriser un usage flexible et libre d’Internet [et ne maîtrisant pas] l’utilisation [des sites web accessibles via son serveur] par les internautes qui ne faisaient que passer par son serveur pour échanger entre eux ». Confirmant la position de la cour d’appel de Paris, la Cour de cassation a considéré que ces éléments étaient suffisants pour sanctionner l’individu sur le fondement de la « participation à un groupement formé ou à une entente établie en vue de la préparation, caractérisée par un ou plusieurs faits matériels, d’une ou de plusieurs des infractions » d’atteinte à un système de traitement automatisé de données (6), validant ainsi sa condamnation à une peine de deux mois d’emprisonnement assortis d’un sursis avec mise à l’épreuve.

Finalement, de rares condamnations
Le champ d’application de cette infraction, qui se trouve être une transposition dans la sphère numérique de l’ancienne « association de malfaiteurs », a été ici sensiblement étendu par les magistrats. En effet, la jurisprudence et la doctrine considéraient jusqu’alors qu’il était nécessaire que le groupement ou l’entente ait été constitué en vue de la préparation d’une atteinte à un système de traitement automatisé de données ou, à tout le moins, qu’il ait « à un moment donné eu pour but de préparer la commission » (7). Ce qui n’était pas tout à fait le cas ici. Faut-il y voir une forme de sévérité de l’appareil judiciaire à l’égard des hackers ? Peut-être, certes, sur le plan de l’interprétation de la loi. Pour autant, les poursuites et les condamnations reposant sur ces outils répressifs se révèlent en en réalité particulièrement rares.
Dans un rapport interministériel (8), datant certes de 2014 (mais l’on peut sérieusement douter d’une véritable amélioration), on apprenait ainsi qu’entre 2008 et 2012, seules environ 2.000 infractions par an étaient prononcées sur des fondements de droit pénal spécial du numérique (entendu au sens large, incluant par exemple des infractions au droit de la presse, des atteintes aux données personnelles, de la captation frauduleuse de programmes télédiffusés, des atteintes à la propriété intellectuelle, …). Et en regardant en détail ces statistiques, on s’aperçoit que certaines pratiques réprimées par le code pénal sont particulièrement peu sanctionnées. Ainsi, sur l’année 2012, seules 182 condamnations pour des atteintes à des systèmes de traitement automatisé de données – les attaques les plus fréquentes et les plus perturbantes pour les médias – étaient prononcées. Lorsque l’on sait qu’une étude de PwC estime à 4.165 le nombre de cyberattaques « détectées » en France en 2016, pour un montant moyen de pertes financières estimé dans chaque cas à 1,5 million d’euros (9), on ne peut que s’étonner et regretter que l’Etat ne se soit pas encore doté de véritables moyens techniques, financiers et surtout humains pour lutter opérationnellement contre ces pratiques qui entravent l’économie. A quoi sert en effet de disposer d’un arsenal répressif aussi puissant s’il n’y pas assez de soldats formés pour en faire usage ? Il paraît difficilement acceptable que les entreprises soient, à ce jour, livrées à elles-mêmes et à des solutions techniques coûteuses : selon un rapport d’Accenture de 2017, les coûts induits par la cybercriminalité auraient augmenté de 62 % en cinq ans (10) pour les entreprises, sans qu’elles puissent compter sur un véritable soutien de l’Etat. D’autant que – en plus des conséquences financières qui pèsent nécessairement sur l’économie – d’autres intérêts fondamentaux sont en jeu comme le respect de la liberté d’expression, clairement mis à mal quand les médias sont la cible de cyberattaques. Finalement, plutôt qu’un arsenal répressif objectivement difficile, voire irréaliste, à mettre en oeuvre a posteriori (difficultés techniques de l’expertise, problématiques d’extranéités inhérentes à Internet, etc.), ne devrait-on pas envisager des solutions plus réalistes et efficaces qui conjugueraient intelligemment droit et technique ?
En ce sens, voilà quelques semaines, le directeur général de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), faisait le constat suivant : « dans le cas d’une attaque massive de déni de service distribué […] les opérateurs sont les seuls
à pouvoir agir » (11). Quelques jours plus tard était présenté le projet de loi de programmation militaire (LPM) pour les années 2019 à 2025, avec des mesures qui visent à détecter les attaques massives au niveau des réseaux – et donc avant qu’elles ne puissent atteindre leurs cibles. Notamment, la mesure phare consiste à autoriser
les opérateurs télécoms à mettre en place des marqueurs techniques de détection des événements susceptibles d’affecter la sécurité des systèmes d’information de leurs abonnés. LMP 2019-2025 : le rôle des « telcos » Si ce texte « LMP 2019-2025 » passe le filtre du Parlement (12), où il commencera à être débattu à l’Assemblée nationale à partir du 20 mars 2018, l’ANSSI pourra également imposer aux opérateurs télécoms d’avoir recours à ses propres marqueurs lorsqu’elle aura eu connaissance d’une menace. De plus, ces « telcos » seront tenus d’informer l’ANSSI des vulnérabilités
des attaques qu’ils auront détectées, et elle pourra même aller jusqu’à imposer aux opérateurs de réseaux et/ou aux fournisseurs d’accès à Internet (FAI) d’alerter leurs abonnés de la vulnérabilité ou de l’atteinte de leurs systèmes d’information. @

Régulation en Europe : qu’a fait et où va le Berec après une année de présidence française ?

Sébastien Soriano, président de l’Arcep, a-t-il marqué de son empreinte l’Organe des régulateurs européens des communications électroniques (Berec) lorsqu’il fut à sa tête en 2017 ? L’« Internet ouvert » a été central dans son action. Mais cette institution doit avoir les moyens de ses missions.

Par Katia Duhamel, experte en droit et régulation des TIC, K. Duhamel Consulting

En 2017, Sébastien Soriano, le président de l’Arcep, a pris la présidence du Berec (1), l’Organe des régulateurs européens des communications électroniques (Orece, en français) après avoir occupé la fonction de vice-président en 2016, sous la présidence de l’Allemand Wilhelm Eschweiler (BnetzA). Sébastien Soriano en est redevenu le vice-président en 2018 – la durée du mandat de président du Berec étant en effet d’un an, et ce mandat étant entouré par deux années de vice-présidence (une année précédant le mandat, et une année suivant le mandat). On peut ainsi se demander si la présence française de cette institution a modifié son poids et ses résultats dans le paysage numérique européen.

Parler aux oreilles des institutions européennes
Le Berec agit comme une plateforme de travail commune des régulateurs européens des télécoms et joue un rôle de conseil auprès de la Commission européenne, du Parlement européen et du Conseil de l’Union européenne en matière de communications électroniques, mais aussi plus largement de l’écosystème numérique. Sous la présidence française, le Berec est intervenu notamment dans la préparation des lignes directrices sur la neutralité de l’Internet, sur le marché de gros de l’itinérance, la révision du cadre européen via le quatrième « Paquet télécom », ainsi que sur le marché unique du numérique.
Le Berec et, au premier chef, son président français durant l’année 2017 se sont très clairement et résolument impliqués dans la défense de la neutralité du Net pour faire
de l’Europe un bastion de la protection de plusieurs droits fondamentaux sur Internet et de l’idée centrale selon laquelle tout ce qui circule sur Internet doit pouvoir le faire sans discrimination. Alors même que l’on observait le mouvement inverse aux Etats-Unis,
où la FCC – le régulateur fédéral américain des communications – a entériné aux Etats-Unis la fin du principe qui garantit un traitement égal des flux de données par les opérateurs de réseaux. Sa décision du 14 décembre 2007, dictée par Donald Trump (2), a en effet mis un terme à la « Net Neutrality » en abrogeant l’« Open Internet
Order » du 13 mars 2015 adopté par Barack Obama (3). Cette décision historique
a pris effet le 22 février (https://lc.cx/QVra). Ainsi, sur le Vieux Continent, dans le cadre de la mise en oeuvre du règlement du Parlement et du Conseil européens du 25 novembre 2015 établissant des mesures relatives à l’accès à un « Internet ouvert » (4), le Berec a publié le 30 août 2016 ses lignes directrices pour la mise en oeuvre de ces nouvelles règles par les autorités de régulation nationales (ARN). Ces lignes directrices – applicables depuis avril 2016 – constituent des recommandations dont les ARN doivent tenir compte lors de la mise en oeuvre et du règlement européen et de l’évaluation de cas concrets, à vrai dire quelque fois difficile à apprécier s’agissant des mesures de « gestion du trafic » et des « services spécialisés » autorisés, ou de l’encadrement des pratiques du « zero rating » (5). C’est pourquoi, le 7 juin 2017, le Berec a lancé une consultation publique sur un projet de document concernant la méthodologie d’évaluation réglementaire de la neutralité du Net (6) qui a été adopté le
5 octobre 2017 (7).
Plus récemment, en décembre 2017, le Berec a publié un rapport tentant d’évaluer l’application par les ARN des dispositions du règlement « Internet ouvert » sur la base des informations recueillies auprès de trente « Arcep » en Europe. En établissant les conditions – si possibles pratiques – des règles en faveur de la neutralité du Net, le pari du Berec est de garantir un environnement ouvert à tous, consom-mateurs, entreprises, citoyens européens, et de s’assurer que tout le monde, et en particulier les vingthuit ARN de l’Union européenne (dont les dirigeants se réunissent au moins quatre fois par an en réunions plénières), suivent la même voie. Il semble que sous l’impulsion de son président en 2017, cette institution a joué son rôle de ce point de vue, non seulement en publiant la méthodologie précitée pour l’évaluation réglementaire de la neutralité du Net, mais aussi en se positionnant comme un forum où se discute régulièrement les problèmes pratiques rencontrés lors de la mise en oeuvre des règles de la neutralité
du Net, enfin en réalisant son propre rapport résumant et analysant les principales conclusions des rapports annuels des ARN sur le sujet.

Le pari d’un « Internet ouvert » en Europe
S’agissant de la méthodologie d’évaluation publiée par le Berec, elle propose sur une base optionnelle des outils de mesure du réseau et de la qualité de service fournie, ainsi que des recommandations pour détecter les pratiques de gestion du trafic affectant la connectivité et, par ricochet, la possibilité d’utiliser certaines applications. Elle donne également des indications sur les critères que les ARN pourraient prendre en compte pour fournir leur propre mécanisme de mesure certifié, ou pour certifier un mécanisme de tierce-partie. Certains puristes ont pu reprocher à ce texte, l’absence de mesures d’harmonisation plus contraignantes, telles qu’une solution commune pour les logiciels de mesure, une approche obligatoire open source ou open data qui permettrait l’interopérabilité, etc.

Un pas important vers l’harmonisation
Toutefois, nous considérons qu’il constitue déjà un pas important vers l’harmonisation de l’action des ARN pour détecter les pratiques tendant à bloquer ou à ralentir le trafic Internet, compromettant ainsi le droit de tout utilisateur d’être « libre d’accéder et de diffuser des informations et des contenus, d’exécuter des applications et d’utiliser les services de son choix ». Au demeurant, le rapport qui dresse un bilan de la mise en oeuvre des règles sur la neutralité du Net par les ARN conclut au fait que ces dernières traitent systématiquement les pratiques contraires aux principes fondamentaux de la neutralité du Net, telles que le blocage des applications ou le traitement discriminatoire d’un trafic spécifique, et ce d’une façon cohérente sur tout le territoire européen (8). Certes, il s’agit peut-être là d’un auto-satisfecit ; un bilan plus indépendant serait le bienvenu.
Néanmoins, il faut reconnaître que le rapport du Berec reste fondé sur les données remontées par les ARN elles-mêmes. Au-delà du sujet central de la neutralité du Net,
le Berec a revu ses priorités stratégiques pour 2018-2020 autour des cinq objectifs suivants :
Répondre aux défis de la connectivité et aux nouvelles conditions d’accès aux réseaux très haut débit.
Surveiller les goulots d’étranglement potentiels dans la distribution des services numériques.
Créer les conditions du déploiement de la 5G et promouvoir l’innovation dans les technologies de réseau
Favoriser une approche cohérente des principes de neutralité du Net.
Explorer de nouvelles façons de renforcer l’autonomie des consommateurs.

Le Berec s’est également engagé à améliorer l’information et la communication sur
ces travaux. Enfin, il poursuit un certain nombre de chantiers en cours sur l’Internet
des objets (IoT) et la sécurité des réseaux, le suivi des obligations de couverture des réseaux, le régime des activités du secteur, le partage des infrastructures, … Il s’agit
là d’un portefeuille de dossiers considérable pour les deux ans à venir. En somme, comme l’illustre l’agenda 2018 du Berec (9), l’organe des régulateurs européens des communications électroniques se réserve des journées bien remplies !
De facto, la présidence de Sébastien Soriano est venue consacrer l’engagement de l’Arcep dans les travaux techniques du Berec depuis sa création – en janvier 2010 (voir encadré ci-dessous). Elle n’a pas révolutionné la pratique de cet organe mais il est certain qu’elle lui a apporté un sang neuf et aussi un style de communication plus directe, plus intelligible sur des sujets techniquement complexes, dont il faut reconnaître que le commun des mortels a de la peine à mesurer l’impact dans sa vie quotidienne… Ainsi, au fur à mesure des interventions publiques de Sébastien Soriano au cours de son année présidentielle de 2017, on se laisse volontiers persuader que « l’action du Berec n’est donc pas seulement de la paperasserie mais qu’il apporte solution, cohérence et sécurité juridique » (10). Toutefois, de ce point de vue, des efforts restent à faire pour améliorer la transparence sur le fonctionnement du Berec lui-même, et rattacher ses travaux aux préoccupations de tout un chacun. Par ailleurs, il n’est pas certain que le Berec soit aujourd’hui suffisamment « staffé » pour gérer en toute indépendance l’ensemble des dossiers qu’il doit traiter au regard de l’évolution exponentiellement rapide des réseaux, services et usages numériques. @

ZOOM

Neuf présidents du Berec depuis neuf ans
2010-2018 : pas moins de neuf présidents se sont succédés à la tête du Berec, dont le Français Sébastien Soriano qui, en tant que président de l’Arcep, fut le huitième (voir la galerie de portraits : https://lc.cx/QfrT). C’est l’Autrichien Johannes Gungl, directeur général de la Austrian Regulatory Authority for Broadcasting and Telecommunications (RTR), une sorte de « Arcep-CSA » en Autriche, qui a donc succédé à Sébastien Soriano après avoir été élu en décembre 2017 lors de la 29e réunion plénière du Berec. A noter que sur les neuf présidents du Berec à ce jour, il n’y a eu… qu’une seule femme élue : la Portugaise Fátima Barros (11), présidente de l’Anacom au Portugal. Peut mieux faire sur la parité !
Créé en décembre 1999 pour remplacer le Groupe des régulateurs européens (GRE) jugé à l’époque « peu structuré », lui-même mettant un terme à la trop grande indépendance (aux yeux de Bruxelles) du Groupe des régulateurs indépendants (GRI) constitué, lui, en 1997 sous l’impulsion de l’Arcep (ex-ART), l’Orece est étroitement associé à la Commission européenne qui détient un droit de veto sur les décisions que doivent lui notifier les 28 « Arcep » nationales. @

Objets connectés, vie privée et données personnelles : une équation difficile pour protéger l’utilisateur

Malgré un vaste arsenal juridique limitant les impacts négatifs des objets connectés, les risques d’intrusions demeurent pour les utilisateurs de ces appareils – du compteur électrique à la montre connectée, en passant par la
« mesure de soi ». Recueillir leur consentement est un préalable.

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

Selon une étude menée par Gartner, 20 milliards d’objets connectés seraient en circulation en 2020 (1). Qu’il s’agisse du domaine de la santé, du bien-être, du sport, de la domotique ou encore du loisir, l’attrait des utilisateurs pour les objets connectés est caractérisé. Paradoxalement, bien qu’avertis, ces derniers ne mesurent pas toujours les risques qui pèsent sur leur vie privée et leurs données personnelles. Ces deux notions – vie privée et données personnelles – ne sont pas synonymes, bien qu’intrinsèquement liées (2).

Les exemples de Linky et de Gazpar
La donnée personnelle se définit comme « toute information se rapportant à une personne physique identifiée ou identifiable » (3). A l’inverse, la vie privée ne trouve pas de définition légale bien que le Code civil consacre un droit au respect de la vie privée (4). Les apports de la jurisprudence permettent aujourd’hui de définir la notion de vie privée comme « le droit pour une personne d’être libre de mener sa propre existence avec le minimum d’ingérences extérieures » (5). Ainsi, si un objet connecté peut porter atteinte aux données personnelles d’un utilisateur (collecte illicite des données personnelles, failles de sécurité permettant aux tiers d’accéder aux données, etc.), il peut également dans une plus large mesure porter atteinte à sa vie privée (captation d’images ou de voix, intrusion dans l’intimité, etc.). L’ubiquité et l’omniprésence des objets connectés dans la vie des utilisateurs conduisent à une collecte permanente et instantanée des données. Par ce biais, de nombreuses informations relatives à la vie privée des utilisateurs deviennent identifiables. D’ailleurs, la divulgation massive de données relatives à la vie privée lors de l’utilisation d’un objet connecté est souvent
une condition sine qua non à l’existence du service proposé par le fabricant. A titre d’exemple, la nouvelle génération de compteurs d’électricité et de gaz, tels que respectivement Linky et Gazpar qui ont fait l’objet d’une communication (6) de la Cnil en novembre 2017, peut collecter des données de consommation énergétique journalières d’un foyer. Si l’utilisateur y consent, des données de consommation plus fines peuvent être collectées par tranche horaire et/ou à la demi-heure. Cela permet d’avoir des informations très précises sur la consommation énergétique de l’usager. Dans l’hypothèse d’un traitement insuffisamment sécurisé, une personne malveillante pourrait alors avoir accès à des informations telles que les plages horaires durant lesquelles l’usager est absent de son logement, celles pendant lesquelles il dort ou encore les types d’appareils utilisés. Les habitudes d’une personne peuvent ainsi être déterminées aisément, ce qui constitue une atteinte à la vie privée. La décision de la Cnil, datée du 20 novembre 2017 et mettant demeure la société Genesis Industries Limited (7), est une autre illustration des risques encourus par l’utilisation des objets connectés notamment au regard de la vie privée. Cette société commercialisait des jouets connectés qui pouvaient interagir avec les enfants. Suite à un contrôle effectué par la Cnil, il a été constaté une absence de sécurisation des jouets (8) qui permettait à toute personne possédant un dispositif équipé d’un système de communication Bluetooth de s’y connecter à l’insu des personnes et d’avoir accès aux discussions échangées dans un cercle familial ou amical (9). L’intrusion dans la vie privée à travers les objets connectés peut ainsi être importante et particulièrement dangereuse lorsqu’il s’agit d’un utilisateur vulnérable tel qu’un enfant mineur.
Pour autant, une réglementation est difficilement applicable aux objets connectés. Tout d’abord, une incompatibilité d’origine des objets connectés avec certains principes relatifs au traitement des données personnelles doit être soulignée.

Proportionnalité, mesure de soi et Big Data
A titre d’exemple, le principe de proportionnalité (10), qui requiert que les données soient adéquates, pertinentes et non excessives au regard des finalités pour lesquelles elles sont collectées, ne peut être satisfait dans le cadre de l’utilisation d’un objet connecté dit quantified-self – c’està- dire un appareil connecté pour la «mesure de
soi ». En effet, le nombre de données collectées sera nécessairement important
pour qu’un service adapté à l’utilisateur puisse être fourni. De même le principe
de conservation limité des données collectées (11) peut difficilement être mis en application dans le cadre d’un service fourni par un objet connecté. En effet, la conservation des données pour une durée indéterminée représente souvent une opportunité pour les fabricants dans le cadre du Big Data.
Aujourd’hui, en vertu de la loi « Informatique et Libertés », une obligation d’information pèse sur les responsables de traitement (12). De même, en vertu du Code de la consommation, une obligation pré-contractuelle d’information pèse sur le professionnel qui propose un bien ou un service (13). L’utilisateur d’un objet connecté doit ainsi pouvoir avoir des informations claires et précises sur le traitement de ses données, mais également sur les caractéristiques de l’objet connecté.

Loi française et règlement européen
Or, la récente assignation de deux plateformes majeures dans le monde numérique
– notamment sur le fondement de pratiques commerciales trompeuses au motif d’un nonrespect de l’obligation précontractuelle d’information dans le cadre de la vente d’objets connectés (14) – souligne les difficultés relatives à l’information des utilisateurs. L’avis de 2014 du G29, le groupe qui réunit les « Cnil » européennes, sur les objets connectés illustre également le manque d’informations des utilisateurs sur le traitement de leurs données (15). Ainsi, bien qu’une réglementation protectrice des utilisateurs d’objets connectés soit applicable, celle-ci est difficilement mise en oeuvre. De cet obstacle découle la question de la validité du consentement de l’utilisateur. Si le droit
à l’autodétermination informationnelle – droit pour toute personne de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant, dans les conditions fixées par la loi « Informatique et libertés » – a été récemment affirmé en France, son effectivité au regard des objets connectés semble moindre.
En effet, même si au moment de l’activation de l’appareil le consentement à la collecte de certaines données est recueilli auprès de l’utilisateur, il convient de souligner que
par la suite des données sont délivrées de manière involontaire. Par exemple, dans le cadre d’une montre connectée, l’utilisateur consent à la collecte de données relatives au nombre de pas qu’il effectue au cours de la journée. Mais lors de cette collecte, le responsable de traitement peut également avoir accès à d’autres données telles que celles relatives à la géolocalisation de l’utilisateur. En ce sens, le consentement recueilli n’est pas toujours éclairé et le droit à l’autodétermination informationnelle n’en sera qu’affaibli. Ainsi, la protection de l’utilisateur d’un objet connecté semble moindre. L’applicabilité du règlement européen sur la protection des données personnelles le
25 mai prochain – règlement dit RGPD pour « règlement général sur la protection des données » (16) – permet d’envisager une amélioration de la protection des utilisateurs d’objets connectés sur plusieurs points. Tout d’abord, par l’exigence de la mise en place de mesures permettant d’assurer une protection de la vie privée par défaut et dès la conception de l’objet connecté, le fabricant sera amené à prendre en compte les questions relatives à la vie privée de l’utilisateur en amont d’un projet (17). De même, les nouvelles mesures de sécurité devant être prises, tant par les responsables de traitement que les sous-traitants (par exemple, la pseudo-nymisation, les tests d’intrusion réguliers, ou encore le recours à la certification), tendront à garantir une meilleure protection des données personnelles des utilisateurs (18). Ensuite, la mise
en place de nouveaux droits pour l’utilisateur tels que le droit d’opposition à une mesure de profilage (19), le droit d’effacement des données pour des motifs limitativement énumérés (20) ou encore le droit à la portabilité des données (disposition déjà introduite par la loi « République numérique » du 7 octobre 2016 dans le Code de la consommation aux articles L. 224-42-1 et suivants) consolideront les moyens conférés aux utilisateurs d’objets connectés pour protéger leur vie privée. Il convient de souligner que cette amélioration dépend tout de même d’une information effective de l’utilisateur. En effet, si le fabricant ou le distributeur de l’objet n’informe pas l’utilisateur des différents droits dont il dispose, il semble peu probable que les utilisateurs les moins avertis agissent. Enfin, si la question de l’applicabilité de la réglementation européenne pour les acteurs situés en dehors de l’Union européenne (UE) pouvait se poser notamment lorsqu’ils collectaient des données d’utilisateurs européens, celle-ci n’aura plus lieu d’être à compter du 25 mai 2018. En effet, tout responsable de traitement ou sous-traitant qui n’est pas établi dans l’UE dès lors qu’il collectera des données personnelles de personnes se trouvant sur le territoire de l’UE sera contraint de respecter la réglementation européenne relative aux données personnelles. Ce point est important puisque dans le cadre des objets connectés, souvent, les flux de données ne connaissent pas de frontières.

Gagner la confiance du public
L’équation objets connectés, vie privée et données personnelles est par définition difficile. La révélation massive et constante de données relatives à une personne implique nécessairement une intrusion importante et parfois non voulue dans la vie des utilisateurs. Cependant, l’existence d’un arsenal juridique tant en droit français qu’en droit européen permet de limiter les impacts négatifs générés par les objets connectés. D’ailleurs il convient de noter que, dans le récent cadre de la réécriture de la loi
« Informatique et Libertés », la commission des lois a adopté un amendement permettant à une personne concernée d’obtenir réparation au moyen d’une action
de groupe du dommage causé par un manquement du responsable de traitement
ou sous-traitant aux dispositions de cette loi. Finalement, dans un marché hautement concurrentiel, les objets connectés qui survivront seront ceux qui auront su gagner la confiance du public et présenteront le plus de garanties en matière de respect à la vie privée et de sécurité. @

* Ancien bâtonnier du Barreau de Paris, et auteure de « Cyberdroit », dont
la 7e édition (2018-2019) paraîtra en novembre 2017 aux éditions Dalloz.

 

Uber : un service électronique d’intermédiation de transport, mais pas de la société de l’information

Le 20 décembre 2017, la Cour de justice de l’Union européenne (CJUE) a rendu un arrêt (1) important qui tranche une incertitude au niveau de la qualification juridique des services proposés par la nouvelle économie numérique. Uber est concerné au premier chef, mais il n’est pas le seul.

Fabrice Lorvo*, avocat associé, FTPA.

Rappelons ce truisme selon lequel la révolution numérique a profondément modifié le monde économique. Mais aussi le monde juridique. A quelle catégorie juridique existante rattacher ces nouveaux « services » ? On rappellera que la qualification juridique est le pain quotidien des juristes ; elle consiste à rattacher un acte ou un fait à une catégorie et lui appliquer la règle de droit afférant. Ce processus se décompose en deux phases : d’abord choisir les éléments caractéristiques du fait ou de l’acte, puis le rattacher à une catégorie existante et lui appliquer la règle de droit.

Service mixte d’Uber : de quel droit ?
Pour reprendre la belle métaphore de la commode (2) : il faut d’abord choisir l’étoffe que l’on souhaite ranger, pour déterminer, ensuite, le tiroir dans lequel elle sera rangée. Or, le numérique a dématérialisé l’étoffe ou lui a rajouté une étape, de sorte que l’on est confronté à des difficultés pour choisir le tiroir ! C’est Uber et son modèle économique qui, une fois de plus, posaient des interrogations. Après celles du droit de la concurrence, de la protection des consommateurs et du droit de travail, il s’est posé la question de savoir si le fonctionnement d’Uber relevait du droit de l’Union européenne (UE) ou des Etats membres. Les faits sont simples et la question s’est posée dans de nombreux pays européens.
En 2014, une association professionnelle de chauffeurs de taxi de la ville de Barcelone (Espagne) a assigné devant un tribunal espagnol Uber Systems Spain SL, société liée à Uber Technologies Inc., en prétendant que cette dernière fournit une activité de transport sans autorisation. On rappellera que le numéro un mondial des services de voitures de tourisme avec chauffeur (VTC) fournit, au moyen d’une application pour téléphone intelligent, un service rémunéré de mise en relation de chauffeurs non professionnels utilisant leur propre véhicule avec des personnes souhaitant effectuer des déplacements urbains. Le service proposé par Uber est mixte. Une partie est réalisée par voie électronique (la réservation, l’approche, le paiement), et l’autre est réalisée physiquement par une opération traditionnelle de transport (le trajet proprement dit). Dans tous les cas, ni Uber ni ses chauffeurs non professionnels des véhicules concernés ne disposent des licences et des agréments prévus par le droit espagnol. L’association professionnelle a considéré que les activités d’Uber constituaient des pratiques trompeuses et des actes de concurrence déloyale et a demandé au tribunal de commerce espagnol d’interdire à Uber d’exercer cette activité
à l’avenir. Le juge espagnol a considéré que la solution du litige dépendait du point de savoir si Uber devait, ou non, disposer d’une autorisation administrative préalable en Espagne.
A cette fin, il convenait de déterminer si les services fournis par cette société doivent être regardés comme étant des services de transport (compétence des Etats membres), ou des services propres à la société de l’information (droit de l’UE), ou une combinaison de ces deux types de services. Le juge espagnol a décidé de surseoir à statuer et de poser à la Cour de justice de l’Union européenne (CJUE) une question préjudicielle portant uniquement sur la qualification juridique du service en cause. La CJUE a relevé qu’un « service électronique d’intermédiation » – consistant à mettre en relation un chauffeur non professionnel utilisant son propre véhicule et une personne qui souhaite effectuer un déplacement urbain – constitue, en principe, un service distinct du service de transport qui consiste en l’acte physique de déplacement de personnes ou de biens d’un endroit à un autre au moyen d’un véhicule. De plus, chacun de ces services, pris isolément, est susceptible d’être rattaché à différentes directives ou dispositions du traité sur le fonctionnement de l’UE (TFUE) relatives à la libre prestation de services.

Intermédiation avec le monde physique
En effet, un service électronique d’intermédiation – qui permet la transmission au moyen d’une application pour téléphone intelligent des informations relatives à la réservation du service de transport entre le passager et le chauffeur non professionnel utilisant son propre véhicule qui effectuera le transport – répond, en principe, aux critères pour être qualifié de « service de la société de l’information » (3). Et ce, dès lors qu’il s’agit d’un « service presté normalement contre rémunération, à distance par voie électronique et à la demande individuelle d’un destinataire de services ». Dans ce cas, aucune autorisation ne doit être demandée à l’Etat membre. En revanche, un service de transport urbain non collectif, tel qu’un service de taxi (service physique), doit être qualifié de « service dans le domaine des transports » et relève de la compétence de l’Etat membre.

Uber a créé son propre marché
Dans ces conditions, faut-il faire une application distributive ou appliquer un seul régime si une prestation était considérée comme l’accessoire de l’autre. Dans ce dernier cas, quel serait le service qui prévaudrait, le service électronique ou le service physique ? D’après la CJUE, la prestation d’Uber ne se résume pas à un service électronique.
En effet, le fournisseur de ce service d’intermédiation crée en même temps « une offre de services de transport urbain, qu’il rend accessible notamment par des outils informatiques, tels que l’application en cause au principal, et dont il organise le fonctionnement général en faveur des personnes désireuses de recourir à cette offre aux fins d’un déplacement urbain ».
La CJUE considère que l’application d’Uber crée son propre marché car elle fournit
« une application sans laquelle, d’une part, ces chauffeurs ne seraient pas amenés à fournir des services de transport et, d’autre part, les personnes désireuses d’effectuer un déplacement urbain n’auraient pas recours aux services desdits chauffeurs ». C’est bien là la différence des services d’Uber avec d’autres services d’intermédiation qui vendent par exemple des billets d’avion ou des nuitées d’hôtel. Dans ce dernier cas, le marché est autonome. Sans ces applications, vous pourrez toujours acheter les mêmes prestations directement auprès de la compagnie d’aviation ou de l’hôtel. À l’inverse, sans application d’Uber, les services des chauffeurs non professionnels (c’est-à-dire sans licence) ne pourraient pas être sollicités ou seraient qualifiés de taxis clandestins. La plateforme d’Uber constitue donc le seul moyen de commercialiser leurs services.
La CJUE a été plus loin car elle a constaté d’autres particularités dans la prestation d’Uber qui ont permis de caractériser un lien indissociable entre le service électronique et le service de transport. En effet, Uber exerce « une influence décisive sur les conditions de la prestation de tels chauffeurs » car Uber établit, au moyen de son application, « à tout le moins le prix maximum de la course, que cette société collecte ce prix auprès du client avant d’en reverser une partie au chauffeur non professionnel du véhicule, et qu’elle exerce un certain contrôle sur la qualité des véhicules et de leurs chauffeurs ainsi que sur le comportement de ces derniers, pouvant entraîner, le cas échéant, leur exclusion ». La CJUE relève donc que l’application d’Uber est indissociablement liée à un service de transport. Il ne s’agit pas d’un simple service électronique, qui mettrait en relation une offre et une demande. La prestation est globale, Uber contrôlant ou ne pouvant que contrôler la plupart des maillons de la chaîne.
Comme l’a relevé l’avocat général (4), « Uber est un véritable organisateur et opérateur de services de transport urbain dans les villes dans lesquelles il est présent ». En conséquence, la CJUE juge que le service d’intermédiation d’Uber doit donc être considéré comme faisant partie intégrante d’un service global dont l’élément principal est un service de transport et, partant, comme répondant à la qualification non pas
de « service de la société de l’information », mais de « service dans le domaine des transports », or ce dernier service est exclu du principe de la liberté de prestation de services et relève de la compétence exclusive des Etats membres. La décision préjudicielle rendue par la CJUE devrait donc conduire les juridictions espagnoles à considérer qu’Uber et ses chauffeurs non professionnels exercent leurs activités en violation du droit espagnol qui soumet cette activité à une autorisation. Il est donc probable qu’Uber sera condamné pour pratiques trompeuses et actes de concurrence déloyale (5). Le dossier à l’origine de l’arrêt remonte à 2014. C’est maintenant à la justice espagnole de trancher en fonction de la décision préjudicielle de la CJUE. Cette affaire judiciaire est suivie de près par la France, mais aussi par la Grande-Bretagne, ainsi que par l’ensemble des pays européens confrontés au modèle économique d’Uber.
S’agit-il d’un coup de grâce juridique donné par un vieux monde qui refuserait les bouleversements de la société numérique ? Nous ne le pensons pas. L’analyse faite par l’avocat général est très riche d’enseignement.

Liberté de prestation de services
Pour pouvoir être qualifié de « service de la société de l’information », et bénéficier
de la liberté de prestation de services, il faut : que la prestation soit exclusivement composée d’un élément fourni par voie électronique ; que, dans le cas de services mixtes (composés d’un élément fourni par voie électronique et d’un autre qui n’est pas fourni par cette voie), l’élément fourni par voie électronique soit économiquement indépendant, ou principal, par rapport au second. L’utilisation du numérique dans une prestation ne doit pas être une caution pour dispenser les nouveaux acteurs des contraintes que pèsent sur ceux qui exercent la même activité sans le numérique. @

* Auteur du livre « Numérique : de la révolution au naufrage ? »,
paru en 2016 chez Fauves Editions.