A propos Charles de Laubier

Rédacteur en chef de Edition Multimédi@, directeur de la publication.

Etat de la « Décennie numérique » : le premier rapport illustre l’échec européen face aux GAFAM

La Commission européenne a publié le 27 septembre son premier rapport sur l’état d’avancement de « la décennie numérique ». Le constat est sévère : « lacunes », « retard », « insuffisance », « écart d’investissement », … Les champions européens du digital se font rares, les licornes aussi.

Lors de son tout premier discours annuel sur l’état de l’Union européenne (exercice renouvelé chaque année), le 16 septembre 2020 devant les eurodéputés, la présidente de la Commission européenne, Ursula von der Leyen, avait déclaré qu’il était grand temps de réagir face à la domination des GAFAM et de faire des années 2020 « la décennie numérique » de l’Europe qui doit « montrer la voie à suivre dans le domaine du numérique, sinon elle sera contrainte de s’aligner sur d’autres acteurs qui fixeront ces normes pour nous ». Trois ans après, force est de constater que les acteurs américains dominent encore et toujours Internet.

Champions européens du numérique ?
Dans son premier rapport sur l’état d’avancement de « la décennie numérique » 2020-2030, présenté le 27 septembre par les commissaires européens Véra Jourová (photo de gauche), vice-présidente chargée des valeurs et de la transparence, et Thierry Breton (photo de droite), commissaire au marché intérieur, la Commission européenne n’y trouve pas son compte. Le spectre des GAFAM plane sur l’Europe numérique, même s’ils ne sont pas nommés dans ce rapport. Aucun européen n’apparaît d’ailleurs parmi les six très grands acteurs du Net (les « gatekeepers ») désignés le 6 septembre dernier par la Commission européenne (1). Les américains Alphabet (Google Search/Maps/Play/ Shopping /YouTube/Android/Chrome), Amazon (Marketplace), Apple (iOS/App Store/Safari), Meta (Instagram/Facebook/ WhatsApp/Messenger) et Microsoft (Windows/LinkedIn), ainsi que le chinois ByteDance (TikTok), devront à partir du 6 mars 2024 se conformer tous aux obligations du Digital Market Act (DMA).
Auparavant, le 25 avril dernier, la Commission européenne avait publié la liste des très grandes plateformes grand public (2) tenues de se conformer, cette fois, au Digital Services Act (DSA) : sur les dix-neuf acteurs du Net ainsi désignés, seulement deux d’entre eux émanent de l’Union européenne, à savoir le néerlandais Booking, et l’allemand Zalando. Tous les autres sont soit américains : Google retenu avec cinq plateformes (Google Play, Google Search, YouTube, Google Maps et Google Shopping), Meta avec deux (Facebook et Instagram), Microsoft avec deux (Bing et LinkedIn). Amazon avec Amazon Store, Apple avec App Store, ainsi que Pinterest, Snap avec Snapchat, ByteDance avec TikTok, Twitter (devenu X) et Wikipedia. Le chinois Alibaba avec AliExpress complète ce « Big 19 » (3).
Autant dire que l’Union européenne reste colonisée, surtout par les géants américains du numérique et dans une moindre mesure par des géants chinois. Ce premier rapport du « Digital Decade » (4) ne dit mot sur la quasi-absence de champions européens du digital au sein des Vingt-sept, du moins explicitement. « Il est essentiel de progresser (…) pour favoriser la montée en puissance des acteurs numériques mondiaux européens, qui concevront les modèles économiques de demain et façonneront les technologies et applications numériques qui intègrent les valeurs européennes et contribuent aux intérêts de l’UE », est-il toujours fixé comme ambition à l’horizon 2030. Entre mars 2021 – date de la publication de la communication de la Commission européenne intitulée « Une boussole numérique pour 2030 : l’Europe balise la décennie numérique » (5) – et septembre 2023, les géants européens du Net tardent à émerger. Il y a deux ans et demi, le constat était déjà sans appel : « La position des acteurs européens est loin d’être en rapport avec le poids économique mondial de l’UE dans des secteurs technologiques clés tels que ceux des processeurs, des plateformes web et des infrastructures du nuage : par exemple, 90 % des données de l’UE sont gérées par des entreprises américaines, moins de 4 % des principales plateformes en ligne sont européennes et les puces électroniques européennes représentent moins de 10 % du marché européen ». Une autre préoccupation majeure pour la Commission européenne réside dans le secteur des fournisseurs de services de données sur le marché du cloud (services infonuagiques), « de plus en plus dominé par des acteurs non européens »malgré un contexte de forte croissance de ce marché.

Consortium EDIC, censé accélérer vers 2030
Aujourd’hui, à défaut de champions européens du numérique, et encore moins de taille mondiale capables de rivaliser avec les GAFAM et les BATX, le rapport « Digital Decade » recommande de faciliter la croissance des entreprises innovantes et d’améliore leur accès au financement, « ce qui entraîne au moins le doublement du nombre de licornes ». Et face à la déferlante de l’intelligence artificielle, popularisée par les IA génératives (ChatGPT en tête de l’américain OpenAI), elle craint aussi que les acteurs européens soient aux abonnés absents. « Les Etats membres devraient prendre des mesures politiques et affecter des ressources pour soutenir l’adoption de solutions fiables et souveraines basées sur l’IA par les entreprises européennes », recommande-t-elle. Les Vingtsept sont aussi invités à s’unir au sein du consortium EDIC (European Digital Infrastructure Consortium), créé dans le cadre du programme « Digital Decade 2030 » pour accélérer dans l’IA, le cloud et le Big Data (6).

Licornes européennes à défaut de Big Tech
La Commission européenne estime en outre que les Vingtsept peuvent mieux faire en matière de licornes, ces entreprises non cotées en Bourse mais valorisées au moins 1 milliard d’euros. « Au début de 2023, seules 249 licornes étaient basées dans l’UE contre 1.444 aux Etats-Unis et 330 en Chine. Des efforts supplémentaires importants sont […] nécessaires pour stimuler l’écosystème à grande échelle. En effet, il n’existe actuellement aucun écosystème de start-up de l’UE dans le Top 10 mondial. Le meilleur écosystème de l’UE – Berlin – s’est classé au 13e rang mondial, suivi d’Amsterdam (14e) et de Paris (18e). La situation est encore plus critique dans les technologies de pointe, y compris l’IA, où le capital-risque de l’UE est encore loin derrière les EtatsUnis ».
Mais le rapport « Digital Decade » ne désespère pas puisqu’il constate que l’Union européenne semble avoir bien progressé en ce qui concerne l’objectif « Licornes » qui table sur 498 licornes basées dans l’UE d’ici 2030. Seulement la moitié du chemin a été fait, et il reste beaucoup à faire pour faire naître un géant mondial du numérique d’origine européenne : « Si cette tendance se poursuit, l’UE devrait atteindre l’objectif de la décennie numérique concernant le nombre de licornes dans deux ans. Malgré cela, des efforts supplémentaires sont nécessaires pour atteindre une position de leader sur la scène mondiale, en facilitant la croissance des entreprises innovantes de l’Union [européenne] et en améliorant leur accès au financement ». Les Etats membres sont donc encouragés à créer de nouvelles opportunités de financement telles que des fonds pour boucler des tours de table d’investisseurs (late-growth funding ou late stage, comme les fonds de fonds) afin de propulser la croissance de la start-up pour la transformer en licorne, et peut-être ensuite en Big Tech européenne. Cela peut passer par des fonds publics pour attirer des capitaux privés dans des start-up et des scale-up de haute technologie (deep tech), notamment par le biais de l’initiative européenne ETCI (European Tech Champions Initiative), qui est un fonds de fonds doté de 3,7 milliards d’euros grâce à l’implication financière de la Banque européenne d’investissement (EIB), l’Espagne, l’Allemagne, l’Italie, la Belgique et la France (7).
L’« Union » fait la force. Encore faut-il qu’émergent de tous ces financements public-privé des « GAFAM » européens capables de concurrencer les géants américains et chinois du numérique. Il reste sept ans et demi pour y parvenir d’ici 2030. La commission « von der Leyen » (2019-2024) a pris du retard (8) ; la prochaine Commission européenne (2024-2029) devra relever le défi. @

Charles de Laubier

Mark Zuckerberg prend de l’avance dans la création d’un métavers intelligent d’envergure mondiale

Le patron fondateur de Meta Platforms (ex-groupe Facebook) a étonné tout son monde en accordant fin septembre – au chercheur du MIT Lex Fridman situé à distance – une interview dans le métavers avec des avatars photoréalistes. A coût de milliards de dollars, il avance vers un métavers intelligent.

Meta Platforms ne parle pas explicitement de « métavers intelligent », mais ses investissements dans à la fois les mondes virtuels immersifs et l’intelligence artificielle en montrent la voie. La conférence Meta Connect des 27 et 28 septembre derniers a été un rendez-vous international axé sur « l’IA et les réalités virtuelle, mixte et augmentée » (1). Pour « repousser les limites de la réalité », Mark Zuckerberg (son avatar photoréaliste ci-contre) a payé de sa personne afin de donner vie à la « réalité mixte » – désignation qu’il préfère au terme réducteur « métavers ».

RL : 7,7 Mds de $ engloutis en six mois
L’ambition de « Zuck », surnom du PDG fondateur de Facebook, – rebaptisé Meta Platforms il y aura deux ans le 21 octobre prochain – est de « construire l’avenir de la connexion humaine ». Rien de moins. Depuis l’accueil plus que mitigé de son métavers Horizon Worlds (2) et la suppression de milliers d’emplois qui s’en est suivie, la maison mère de Facebook, Messenger, Instagram et WhatsApp reste une cash machine (3) et continue de dépenser des milliards de dollars via sa division Reality Labs (ex-FRL), laquelle réunit : réalité virtuelle (VR), réalité augmentée (AR), casques Meta Quest (4), visio-écrans Meta Portal et wearables, comme les lunettes connectées Ray-Ban du fabricant franco-italien EssilorLuxottica. Résultat : Reality Labs (RL) affiche plus de 7,7 milliards de dollars de pertes opérationnelles au 30 juin 2023, contre 5,7 milliards de dollars de pertes un an auparavant. Rien que sur l’année 2022, RL affichait une perte opérationnelle de plus de 15,8 milliards de dollars, contre 12,4 milliards de dollars de pertes l’année précédente.
Si, durant sa keynote du 27 septembre au Meta Connect, Mark Zuckerberg n’a pas prononcé le terme « metaverse », lui préférant « mixed reality », le groupe Meta Platforms, lui, n’en fait pas un tabou : « Nous faisons des investissements importants dans nos efforts de métavers, y compris dans le développement d’appareils de réalité virtuelle et augmentée, de logiciels pour les plateformes sociales, d’interfaces neuronales et d’autres technologies de base pour le métavers », indique le rapport financier semestriel du 27 juillet dernier (résultats au 30 juin). Et de prévenir que Reality Labs va continuer à creuser ses pertes opérationnelles, inscrivant ses efforts d’investissement sur le long terme. « Notre segment RL a réduit notre bénéfice d’exploitation global de 2022 d’environ 13,72 milliards de dollars, et nous nous attendons à ce que nos pertes d’exploitation RLcontinuent d’augmenter en 2023 et au-delà, prévient le même rapport. Nous nous attendons à ce que ce soit une initiative complexe, évolutive et à long terme, et notre capacité à soutenir nos efforts de métavers dépend de la génération de profits suffisants dans d’autres domaines de notre entreprise ». Meta pousse donc les feux dans les avatars, les chatbots (assistants conversationnels) et les stickers (images personnalisées) alimentés par des IA, de grands modèles de langage (LLM) et du machine learning (ML). Et l’interview accordée au chercheur du MIT Lex Fridman, situé à des kilomètres de distance mais avec leurs deux avatars très réalistes face-à-face (5), en a bluffé plus d’un.
Lors de cet échange retranscrit par le chercheur (6), Zuck a néanmoins prononcé plusieurs le mot « metaverse » : « La chose que vous pouvez faire dans le metaverse, qui est différente de ce que vous pouvez faire sur un téléphone, est de faire des choses où vous êtes physiquement ensemble et de participer à des choses ensemble. Et nous pourrions jouer à des jeux ». Et même si vous n’êtes pas disponible physiquement pour interagir via votre avatar photoréaliste, l’IA peut prendre le relais, comme l’a expliqué l’avatar de Zuck : « Si vous pouviez avoir une version avatar de vous-même dans le métavers et avec laquelle les gens peuvent interagir, vous pourriez définir ce genre de version d’IA où les gens savent qu’ils interagissent avec une IA, que ce n’est pas la version physique de vous (…). Une grande partie de la thèse derrière tout le métavers, c’est de donner aux gens la capacité de se sentir comme si vous étiez présent avec quelqu’un ».

Des chatbots et stickers animés par des IA
Le 27 septembre, la firme de Menlo Park (Californie) a annoncé le lancement – sur WhatsApp, Instagram et Messenger, bientôt sur les lunettes Ray-Ban Meta et les casques Quest 3 – de chatbots et de stickers rendus intelligents grâce à l’IA – Meta AI en version bêta. Des dizaines d’autres IA sont aussi activées, notamment celles conçues « avec des traits de personnalité uniques (…) interprétées par des figures culturelles et des personnalités influentes comme Snoop Dogg, Tom Brady, Kendall Jenner ou Naomi Osaka ». D’autres AI seront à la disposition d’entreprises, de créateurs et de développeurs, lesquels pourront utiliser l’AI Studio mis à disposition du grand public. @

Charles de Laubier

Un livre blanc prône la régulation du smart contract

En fait. Le 4 octobre dernier, a été divulgué par l’association Paris Place de Droit un livre blanc intitulé « Quel avenir pour le smart contract en France ? Oser la vitesse sans la précipitation », dont les coauteurs sont l’avocat Fabrice Lorvo (FTPA) et l’étudiant Timothée Charmeil (Harvard Law School).

En clair. Lors de sa « Nuit du Droit », qui a eu lieu le 4 octobre au Tribunal de Commerce de Paris, l’association Paris Place de Droit – créée en 2015 pour promouvoir la capitale de la France comme place juridique internationale – a présenté un livre blanc sur le smart contract (1). La traduction en français est « contrat intelligent » mais les auteurs la jugent « trompeuses ». « Le smart contract, tel qu’utilisé aujourd’hui, peut alors être défini comme le protocole informatique organisant l’échange automatique d’actifs dématérialisés enregistré sur une blockchain » expliquent les coauteurs Fabrice Lorvo (avocat, cabinet FTPA) et Timothée Charmeil (Harvard Law School).
Le smart contract permet ainsi de fusionner en un seul acte – certifié et authentifié sur la blockchain – la conclusion du contrat et son exécution, de supprimer l’intervention des intermédiaires comme le banquier ou l’huissier de Justice, et de rendre inéluctable la phase d’exécution du contrat lorsque les conditions sont objectivement réalisées. « En effet, souligne le livre blanc de la commission “numérique et juridique” de l’association Paris Place de Droit (2), nul ne peut empêcher l’exécution du smart contract dans les conditions prévues par le code enregistré dans la blockchain ». L’exécution est alors irréversible. Et ce, « quoi qu’il en coûte ». Si le smart contract est une réalité omniprésente, ne serait-ce que dans les conversions entre les dollars, euros et autres yen (monnaies dites « fiat », traduit « décret » en anglais car relevant de la politique monétaire des banques centrales des Etats) et les cryptomonnaies (bitcoin, ethereum, ripple, etc.), il n’en est pas moins un objet juridique non-identifié (OJNI) venant d’« un univers numérique plus complexe encore » (wallet, actifs électroniques, cryptomonnaies, blockchain, NFT (3), …).
« Théoriquement, tous les contrats d’affaires pourraient prendre la forme de smart contract. […] Malgré des avantages indéniables, le smart contract présente également des inconvénients tout aussi indéniables [cas de non-paiement, code informatique méconnu, absence de consentement, mauvais codage, litiges, anonymat, asymétrie d’information entre auteurs et mineurs, ou encore absence de norme sur les algorithmes]. Inconvénients qui nécessiteront l’adoption d’une réglementation qui semble ne pouvoir être qu’internationale », affirment les coauteurs. Si ce n’est, via le Data Act (4), européenne. @

Cybermenaces : bombe électronique à retardement

En fait. Le 14 octobre se terminent à Monaco les 23e Assises de la cybersécurité qui se sont tenues sur quatre jours. Les cyber-risques n’augurent rien de bon, tant les cyberattaques n’ont jamais été aussi redoutables avec le renfort de l’intelligence artificielle et maintenant de l’informatique quantique.

En clair. Sauve qui peut. Les responsables de la sécurité des systèmes d’information (RSSI) des entreprises et administrations, et leurs dirigeants, ont du souci à se faire. Jamais les cybermenaces et les cyberattaques n’ont été aussi fortes et nombreuses dans le monde. Internet devient le premier théâtre des opérations de la criminalité, de la guerre et de l’ingérence étrangère, tant économique que géopolitique. Cybersécurité et cyberdéfense n’y suffiront pas.
Aux 23es Assises de la cybersécurité (1), à Monaco, les quelque 5.000 visiteurs – Chief Information Security Officer (Ciso) en tête – auraient préféré ne pas verser dans le catastrophisme ni dans les théories du cybercomplot. Hélas, les prévisions sont plus que jamais alarmistes. Steve Morgan, fondateur de la société d’études américaine Cybersecurity Ventures, le confirme à Edition Multimédi@ : « Depuis trois ans, nos prévisions n’ont pas changé. Les coûts mondiaux des dommages liés à la cybercriminalité augmentent de 15 % par an et atteindront 10.500 milliards de dollars en 2025, contre 8.000 milliards de dollars en 2023. C’était 3.000 milliards de dollars en 2015 » (2). Rien que pour 2023, selon nos calculs, le cybercrime mondial pèse financièrement plus de deux fois et demie le PIB de la France, et plus de mille fois le PIB de la Principauté de Monaco où se tiennent chaque année ces Assises de la cybersécurité ! « Cadence des attaques, émergence des innovations [IA, quantique, deepfake, …, ndlr], rotations dans les équipes, profils des attaquants, environnement social et géopolitique, … : le RSSI est sous pression », a confirmé en session plénière (3) Sabrine Guihéneuf, présidente d’honneur 2023 de ces assises internationales, par ailleurs directrice de la cybersécurité et de la gouvernance IT du groupe français URW (4). Certains, comme chez l’électronicien Thales, s’attendent à « l’Apocalypse quantique ». D’autres, comme chez l’hypermarchant Carrefour, craignent les IA génératives dans le retail et le e-commerce. L’équipementier télécoms américain Cisco s’attend, lui, au pire durant les JO de 2024 à Paris.
Se cyberdéfendre à armes égales contre les hackers du monde entier (cryptage et vol de données, rançongiciel, Dos/DDoS (5), hameçonnage, authentification frauduleuse, deepfake, etc.), supposent aux victimes potentielles de recourir elles aussi à l’IA et à la cryptographie quantique voire post-quantique. @

La Quadrature du Net n’a pas réussi à « faire tomber » l’ex-Hadopi devant le juge européen

L’association de défense des libertés fondamentales La Quadrature du Net n’a pas convaincu l’avocat général de la Cour de Justice européenne (CJUE) que l’Hadopi – devenue, avec le CSA en 2022, l’Arcom – agissait illégalement dans le traitement des données personnelles pour la riposte graduée.

Comme la Cour de Justice de l’Union européenne (CJUE) suit souvent – à près de 80% selon les statistiques – les conclusions de son avocat général, il y a fort à parier que cela sera le cas dans l’affaire « La Quadrature du Net versus Hadopi ». En l’occurrence, le 28 septembre 2023, l’avocat général de la CJUE – le Polonais Maciej Szpunar (photo) – conclut que la conservation et l’accès à des données d’identité civile, couplées à l’adresse IP utilisée, devraient être permis lorsque ces données constituent le seul moyen d’investigation permettant l’identification d’auteurs d’infractions exclusivement constituées sur Internet.

15 ans de combat contre la loi Hadopi
La Quadrature du Net (LQDN) est donc en passe de perdre un combat qu’elle a engagé il y a quinze ans – contre la loi Hadopi et contre l’autorité administrative indépendante éponyme pratiquant la « réponse graduée » à l’encontre de pirates présumés sur Internet de musiques et de films ou d’autres contenus protégés par le droit d’auteur.
L’association française défenseuse des libertés fondamentales à l’ère du numérique était repartie à la charge contre l’Hadopi. Et ce, en saisissant en 2019 le Conseil d’Etat – avec FDN (1), FFDN (2) et Franciliens.net – pour demander l’abrogation d’un décret d’application de la loi « Hadopi » signé par le Premier ministre (François Fillon à l’époque), le ministre de la Culture (Frédéric Mitterrand) et la ministre de l’Economie (Christine Lagarde). Ce décret « Traitement automatisé de données à caractère personnel » (3) du 5 mars 2010 permet à l’ex-Haute autorité pour la diffusion des œuvres et la protection des droits sur Internet (Hadopi) – devenue l’Arcom (4) en janvier 2022 par fusion avec le CSA – de gérer un fichier « riposte graduée » constitué de données obtenues auprès des ayants-droits (les adresses IP) et des fournisseurs d’accès à Internet (l’identité civile).
L’association LQDN a considéré devant le Conseil d’Etat que « la riposte graduée est doublement contraire au droit de l’Union européenne ». « D’une part, elle repose sur un accès à l’adresse IP des internautes accusés de partager des fichiers. D’autre part, elle implique l’accès à l’identité civile de ces internautes. Or, la CJUE estime que seule la criminalité grave permet de justifier un accès aux données de connexion (une adresse IP ou une identité civile associée à une communication sont des données de connexion). L’accès par l[‘]Hadopi à ces informations est donc disproportionné puisqu’il ne s’agit pas de criminalité grave » (5). A ces griefs portés par LQDN à l’encontre de la réponse graduée s’ajoute le fait que ce même décret oblige les opérateurs télécoms – Orange, SFR, Bouygues Telecom et Free principalement – et les hébergeurs à conserver pendant une durée d’un an les données de connexion de l’ensemble des internautes, à savoir leurs identifiants, la date, l’heure et l’objet de leurs consultations. C’est par cette conservation généralisée des données de connexion – en particulier de l’adresse IP considérée comme une donnée personnelle depuis une décision (6) de la Cour de cassation en 2016 (subordonnant leur collecte à une déclaration préalable auprès de la Cnil) – que l’Hadopi (devenue Arcom) peut identifier les internautes « flashés » sur le Net. Rappelons que depuis près de quinze ans maintenant, ce sont les organisations de la musique (SCPP, Sacem/SDRM et SPPF) et du cinéma (Alpa) qui fournissent à l’Hadopi-Arcom les millions d’adresses IP collectées par la société nantaise Trident Media Guard (TMG) sous le contrôle de la Cnil (7).
Or, n’a cessé de rappeler LQDN, ce régime de conservation généralisée des données de connexion est contraire au droit de l’Union européenne puisque la CJUE elle-même s’est opposées – dans quatre arrêts différents (2014, 2016, 2020 et 2022) – à toute conservation généralisée et indifférenciée des données de connexion, sauf à deux conditions cumulatives : qu’il s’agisse d’affaires de criminalité grave et à la condition qu’il y ait un contrôle préalable de ces accès par une autorité indépendante. LQDN avait « enfoncé le clou », selon sa propre expression, en posant lors de sa saisine du Conseil d’Etat une question prioritaire de constitutionnalité (QPC) pour demander au Conseil constitutionnel de se prononcer sur la conformité à la Constitution d’une loi lorsque celle-ci (loi Hadopi de 2009 et son décret « Traitement automatisé de données à caractère personnel ») est cruciale pour la résolution d’un litige.

Adresse IP : « Petit couac », grande procédure
Dans une décision alambiquée rendue le 20 mars 2020, le Conseil constitutionnel a censuré le mot « notamment » jugé anticonstitutionnelle dans l’article 5 de la loi dite « Hadopi 1 » (8). Les juges du Palais-Royal avaient ainsi ordonné à l’Hadopi de s’en tenir aux seules données personnelles que sont « l’identité, l’adresse postale, l’adresse électronique et les coordonnées téléphoniques » de l’abonné concerné (9). Or dans cette énumération, il n’y a pas l’adresse IP parmi les données personnelles. « Petit couac pour la Hadopi », s’était alors félicitée LQDN. Les quatre associations françaises ont profité de cette brèche pour remonter au créneau juridictionnel en affirmant que l’accès par l’Hadopi- Arcom aux adresses IP des internautes contrevenants est illégal (car il n’y a pas de criminalité grave au sens de la CJUE) et que le décret permettant d’enregistrer ces adresses IP serait sans fondement depuis cette censure partielle du Conseil constitutionnel (l’adresse IP n’étant pas mentionné).

Deux mêmes conclusions de l’avocat général
Pour une nouvelle audience publique organisée précipitamment par Conseil d’Etat le 3 mai 2021 dans le cadre de cette même affaire (n°433539), les associations LQDN, FDN, FFDN et Franciliens.net ont déposé un nouveau mémoire (10) développant ces deux points susceptibles de « faire tomber » l’Hadopi. « Le Conseil d’Etat a décidé de botter en touche et de transmettre à la CJUE une “question préjudicielle” (c’est-à-dire une question relative à l’interprétation du droit de l’UE) sur l’accès par la Hadopi à l’identité civile à partir de l’adresse IP d’une personne. Rien concernant l’accès à l’adresse IP préalable à l’accès à l’identité civile. Rien non plus concernant la conservation de ces données, alors même que la question de l’accès est intimement liée à celle de la conservation », avait pointé LQDN. Le mémoire, déposé par l’avocat des associations, Alexis Fitzjean Ó Cobhthaigh, conclut que « le décret [“Traitement automatisé de données à caractère personnel” du 5 mars 2010] attaqué a été pris en application de dispositions législatives contraires à la Charte des droits fondamentaux de l’Union européenne […], ainsi qu’à […] la directive [“ePrivacy”] du 12 juillet 2002 en ce qu’il organise l’accès par [l‘Hadopi] à des données de connexion ».
Donc, « le refus, opposé par le Premier ministre, d’abroger ces dispositions, est illégal et ne pourra ainsi qu’être annulé ». A la question préjudicielle transmise par le Conseil d’Etat, l’avocat général de la CJUE Maciej Szpunar avait une première fois – le 27 octobre 2022 (affaire n°C-470/21) – présenté ses conclusions : « L’article 15, paragraphe 1, de la directive [“ePrivacy”], lu à la lumière […] de la Charte des droits fondamentaux de l’Union européenne, […] ne s’oppose pas à une réglementation nationale [la loi Hadopi et son décret contesté en France, ndlr] permettant la conservation […] des données d’identité civile correspondant à des adresses IP […] lorsque ces données constituent le seul moyen d’investigation permettant l’identification de la personne à laquelle cette adresse était attribuée au moment de la commission de l’infraction » (11). Fermez le ban ? Or coup de théâtre, la grande chambre de la CJUE a demandé le 7 mars 2023 le renvoi de cette affaire à l’assemblée plénière. Par cette réouverture de la procédure pour poser des questions orales, notamment sur l’identité civile correspondant à une adresse IP (12) et en présence cette fois du Contrôleur européen de la protection des données (CEPD) et de l’Agence de l’Union européenne pour la cybersécurité (ENISA), l’avocat général Maciej Szpunar a dû « approfondir certains éléments de [son] raisonnement ». Mais ses deuxièmes conclusions présentées le 28 septembre 2023 s’avèrent identiques (13) aux premières du 27 octobre 2022.
Tout ça pour ça, pourrait-on dire. La réponse graduée est donc sur le point – sans préjuger du verdict final de la CJUE – d’être confortée au regard du droit de l’Union européenne, alors que le traitement automatisé de données à caractère personnel de la loi Hadopi de 2009 et de son décret du 5 mars 2010 semblaient « hors-la-loi ». Faut-il rappeler le fonctionnement de la réponse graduée :
Dans un premier temps, et sans contrôle préalable par une juridiction ou une entité administrative, l’adresse IP (donnée personnelle) de l’internaute collectées par les ayants droit est transmise au FAI (14) par l’Arcom (ex-Hadopi) pour obtenir d’eux (Orange, SFR, Bouygues Telecom et Free) l’identité civile de l’internaute présumé « pirate du Net » ;
Dans un second temps, l’Arcom (ex-Hadopi) adresse à ce dernier une recommandation lui enjoignant de s’abstenir de tout nouveau manquement, suivie d’un nouvel avertissement en cas de renouvellement de l’atteinte. S’il n’est pas tenu compte des deux premiers avertissements et qu’une troisième atteinte a lieu, l’Arcom (ex-Hadopi) peut saisir l’autorité judiciaire compétente en vue d’engager des poursuites pénales.
La réponse graduée porte-t-elle atteinte à la vie privée de l’internaute ? Réponse de Maciej Szpunar : « Ainsi que je l’ai souligné, la gravité de l’ingérence que suppose la mise en relation d’une donnée d’identité civile et d’une adresse IP est bien moindre que celle résultant de l’accès à l’ensemble des données de trafic et de localisation d’une personne, dans la mesure où cette mise en relation n’apporte aucun élément permettant de tirer des conclusions précises sur la vie privée de la personne visée ». Ce à quoi l’avocat général ajoute : « Ainsi que je l’ai déjà souligné, (…) l’obtention des données d’identité civile correspondant à une adresse IP est le seul moyen d’investigation permettant l’identification de la personne à laquelle cette adresse était attribuée au moment de la commission de l’infraction en cause ».

Mise en cause de la jurisprudence existante ?
Pour convaincre la CJUE, il précise tout de même que « la solution qu[‘il] propose vise non pas à remettre en cause la jurisprudence existante, mais à permettre, au nom d’un certain pragmatisme, son adaptation en des circonstances particulières et très étroitement circonscrites ». L’affaire semble entendue. A moins que la CJUE ne suivent pas les conclusions de son avocat général, comme cela est le cas dans plus de 20 % des affaires tout de même… A suivre. @

Charles de Laubier