Archives de catégorie : Juridique

Abonnements payants de Facebook et Instagram en Europe : Meta se heurte aux exigences du RGPD

Publié le par

Pour Instagram ou Facebook sans publicités, il en coûte désormais aux Européens 9,99 euros par mois sur le Web et même 12,99 euros sur application mobile. C’est cher payé pour ne plus être ciblé dans sa vie privée. Et le consentement « libre » des utilisateurs exigé par le RGPD est-il respecté ?

(Cet article juridique a été publié dans EM@ n°312 du 18 décembre 2023. Le 11 janvier 2024, l’organisation Noyb a annoncé avoir déposé plainte contre Meta)

Par Vanessa Bouchara (photo), cabinet Bouchara Avocats

Cinq ans après l’entrée en vigueur du règlement général européen sur la protection des données (RGPD), l’entreprise américaine Meta Platforms a mis un place un système d’abonnement qui apparaît comme susceptible de rassurer les utilisateurs désireux d’échapper à la publicité, notamment ciblée. Pourtant, cet abonnement soulève un certain nombre d’interrogations sur la portée et l’effectivité de la protection des données personnelles en Europe. Pendant des années, Facebook affichait fièrement sur sa page d’accueil sa gratuité : « C’est gratuit (et ça le sera toujours) ». En 2019, la mention disparaissait dans le sillage des déclarations plus nuancées de son cofondateur Mark Zuckerberg qui, auditionné devant le Congrès américain, affirmait « qu’il y aurait toujours une version gratuite de Facebook ». Quatre ans plus tard, en novembre 2023, le groupe Meta propose, en parallèle d’une version gratuite, un abonnement payant pour ses services Instagram et Facebook, à 9,99 ou 12,99 euros, pour ses utilisateurs européens.

A la recherche d’une base légale adéquate
La mise en place de cet abonnement pourrait être une réponse aux résultats financiers décevants de Meta en 2022. En effet, le groupe de Menlo Park avait enregistré pour la première fois une baisse de son chiffre d’affaires (1). Or, il semblerait qu’il ne s’agisse pas d’une réponse strictement financière. En effet, il pourrait également s’agir de répondre au contexte normatif relatif aux géants du numérique, qui est en pleine ébullition à l’échelle européenne. Digital Markets Act (DMA), Digital Services Act (DSA), AI Act (AIA), futur Digital Networks Act (DNA), … En vigueur ou en discussion, ces nouveaux textes feraient presque oublier le RGPD, sa portée, et les sanctions infligées à ce titre à Meta, à hauteur d’environ 2,4 milliards d’euros à ce jour. La maison mère de Facebook et Instagram ne s’explique pas vraiment sur sa décision d’instaurer un abonnement, si ce n’est par un bandeau informatif à destination de ses utilisateurs européens, en évoquant un « changement de lois » le contraignant à proposer un Continuer la lecture →

«Jeux web3» : vers un nouveau cadre de régulation dédié aux jeux à objets numériques monétisables

Publié le par

Les jeux en ligne sont de plus en plus nombreux à utiliser des NFT et/ou des modèles P2E (play-toearn) en guise de monétisation. L’article 15 du projet de loi « SREN » – surnommé « article Sorare » (du nom de la société française pionnière dans le domaine sportif) – vise à encadrer ces pratiques.

Par Emma Hanoun et Jade Griffaton, avocates, DJS Avocats

Le législateur français a récemment accompli un progrès notable dans la sécurisation et la régulation de son espace numérique, avec l’adoption en première lecture, par l’Assemblée nationale le 17 octobre 2023, du projet de loi dite « SREN » (1). Cette initiative gouvernementale (2) est d’une importance capitale, car elle cible notamment un domaine spécifique et en pleine croissance : celui des jeux d’argent en ligne s’appuyant sur la technologie de la blockchain. Appelés « jeux à objet numérique monétisable » (Jonum), ou « jeux web3 », ils sont susceptibles d’aboutir à l’introduction d’un régime dédié en droit français.

Instaurer « un cadre protecteur »
Ce projet de loi SREN, qui vise à sécuriser et réguler l’espace numérique en France, avait été présenté au conseil des ministres du 10 mai 2023 par Bruno Le Maire, ministre de l’Economie, des Finances et de la Souveraineté industrielle et numérique, et par Jean-Noël Barrot, ministre délégué chargé du Numérique, et adopté en première lecture, avec modifications et à l’unanimité, par le Sénat le 5 juillet 2023. Le gouvernement a engagé la procédure accélérée sur ce texte. Son titre IV vise à « assurer le développement en France de l’économie des objets de jeux numériques monétisables dans un cadre protecteur ». Et ce, par l’« encadrement des jeux à objet numérique monétisable ». Quel est l’état des lieux de ces « Jonum » ? La troisième génération d’Internet communément appelé Web3, et son organisation décentralisée reposant sur la blockchain (chaîne de blocs), a permis l’émergence de nombreuses évolutions numériques et constitue un levier de développement pour le secteur des jeux vidéo et des jeux en ligne. Les Jonum, nouveau type de jeu en ligne se fondant sur la blockchain et les NFT (3), se sont développés et ont la particularité de soumettre la participation et la progression dans le jeu à l’achat d’objets numériques monétisables identifiés par un certificat attestant de leur authenticité, d’où l’appellation « jeux à objets numérique monétisable ». Les objets numériques monétisables confèrent aux joueurs des droits associés au jeu et sont cessibles – a contrario des jeux vidéo comportant des objets numériques évoluant dans une « boucle fermée » sans possibilité d’être monétisés à l’extérieur du jeu. L’article 15 du projet de loi SREN définit les « Onum », ces objets dans les jeux en ligne : « Constituent des objets numériques monétisables (…) les éléments de jeu qui confèrent aux seuls joueurs un ou plusieurs droits associés au jeu et qui sont susceptibles d’être cédés, directement ou indirectement, à titre onéreux à des tiers » (4). En d’autres termes, les Jonum sont une forme de divertissement en ligne qui combine le jeu avec des éléments financiers et technologiques. Ces jeux offrent aux participants la possibilité de faire un investissement financier initial dans l’espoir d’obtenir, par le biais du hasard, des objets numériques. Ces objets ont la particularité d’être monétisables, c’est-à-dire qu’ils peuvent être vendus ou échangés sur diverses plateformes d’échanges ou places de marché, souvent pour de l’argent réel. Un exemple emblématique de cette industrie est la société française Sorare, qui est devenue une référence dans le domaine des NFT et des fans de compétitions sportives (basée initialement sur le football, puis étendue au baseball et au basket-ball). La notoriété de Sorare est telle que l’article 15 du projet de loi, qui se rapporte spécifiquement à ce type de jeux, est fréquemment désigné sous le nom de « article Sorare ». Cette appellation trouve tout son sens quand on sait que la licorne Sorare est l’une des principales concernées par cette réglementation.
Aussi dénommés « play-to-earn » ou P2E (jouer pour gagner de l’argent), les Jonum présentent des caractéristiques à la croisée des jeux de loisirs («gaming»), relevant du code général des impôts (5), et des jeux d’argent et de hasard (« gambling »), relevant, eux, du code de la sécurité intérieure (6). Or les Jonum ne sont pour le moment pas définis juridiquement et ne font l’objet d’aucune régulation spécifique en droit français ni européen.

Jeux d’argent et de hasard en ligne ?
En effet, la réglementation existante en matière de jeux d’argent et de hasard en ligne n’est pas adaptée au fonctionnement des jeux web3. Et son application aux Jonum aboutirait à une interdiction de facto disproportionnée, compte tenu de l’enjeu considérable en termes d’économie et d’innovation que représentent ces jeux à objet numérique monétisable. Surtout que les Jonum présentent des risques identifiés moindres pour l’ordre public, la santé et les mineurs que les jeux d’argent et de hasard en ligne. Le nouveau cadre règlementaire introduit par la future loi SREN impliquerait alors l’introduction, par voie d’ordonnance, d’une exception à la prohibition des jeux d’argent sous certaines conditions. Quels sont donc les enjeux et objectifs de cette règlementation ? Le premier enjeu est de favoriser l’innovation d’un secteur particulièrement dynamique en France. Le contexte actuel, caractérisé par une prolifération des jeux de type play-to-earn, souligne l’importance et la nécessité de mettre en place un régime spécifique à ce type de technologie.

Vers une expérimentation de trois ans
Un rapport sénatorial déposé le 27 juin 2023 sur le texte SREN met en lumière l’estimation de l’Autorité nationale des jeux (ANJ), qui indique qu’entre 1.200 et 2.500 jeux play-to-earn sont actuellement en développement. Ces jeux ont suscité un engouement financier considérable, avec des investissements estimés à 12 milliards de dollars pour l’année 2022 (7). En second lieu, le rapport sénatorial met en garde contre les risques inhérents à ces jeux, qui incluent des problématiques d’addiction similaires à celles rencontrées avec les jeux d’argent traditionnels, ainsi que des risques de fraude et de contournement des cadres réglementaires en place. En effet, les jeux à objets numériques monétisables (Jonum) offrent la possibilité de revendre ces objets à des tiers, sur la plateforme de l’éditeur du jeu ou sur une place de marché secondaire. Le nouveau cadre réglementaire se focalise sur les éléments de jeu susceptibles d’être monétisés, ou cédés à des tiers, mettant ainsi notamment en lumière une volonté de prévenir la transformation des jeux web3 en casinos non régulés. A ce sujet, le secteur des casinos craint que les Jonum ne représentent une porte d’entrée sur le marché national pour les opérateurs de casinos en ligne illégaux qui prolifèrent ces dernières années, comme l’ont souligné dans un communiqué commun (8) les syndicats professionnels Casinos de France – lequel compte parmi ses adhérents les géants du secteur Barrière et Partouche (9) – et l’Association des casinos indépendants français (ACIF).
Quelles sont les mesures principales de cette future règlementation ? Le cadre énoncé dans le projet de loi SREN autorise les Jonum à titre expérimental pour une durée de trois ans à compter de la promulgation du projet de loi. Les Jonum sont définis, à l’article 15, comme « des jeux proposés par l’intermédiaire d’un service de communication au public en ligne qui permettent l’obtention, reposant sur un mécanisme faisant appel au hasard, par les joueurs [majeurs (10)] ayant consenti un sacrifice financier, d’objets numériques monétisables, à l’exclusion de tout gain monétaire ayant cours légal[…] ». On retrouve ici trois des quatre critères de définition d’un jeu d’argent et de hasard : le sacrifice financier, l’offre au public, et la présence d’un mécanisme faisant appel au hasard. Un certain nombre de conditions sont posées :
• Une obligation de déclaration préalable auprès de l’ANJ : l’autorité disposera d’un droit d’opposition à la commercialisation du jeu si elle estime que les conditions applicables ne sont pas respectées. Cette volonté d’exclure un régime d’autorisation vise à ne pas faire peser sur ce secteur innovant des contraintes règlementaires trop lourdes.
• Le maintien de la prohibition des jeux de casinos en ligne : afin d’éviter un contournement des interdictions des jeux de casino en ligne, la définition précise que les objets numériques monétisables ne peuvent être cédés, directement ou indirectement à toute entreprise de jeu, et ne peuvent constituer des cryptoactifs, c’est-à-dire des cryptomonnaies au sens du code monétaire et financier (11).
• La protection des mineurs : la protection des mineurs est l’une des principales préoccupations de cette nouvelle loi. Les plateformes concernées devront mettre en place un système permettant de vérifier l’âge de leurs utilisateurs afin d’écarter les mineurs des risques induits aux jeux d’argent. Dans la même optique, les influenceurs ne pourront plus faire la promotion des Jonum si leur audience comporte des mineurs.
• La lutte contre les risques d’addiction : les publicités de ces jeux devront être encadrées et comprendre certaines mentions obligatoires afin de mettre en garde leurs utilisateurs contre les risques de jeu excessif ou pathologique.
• Lutte contre le blanchiment d’argent et le financement d’organisations illégales : ces activités illicites représentent un risque significatif dans le secteur des jeux en ligne, en particulier ceux qui impliquent des transactions financières complexes et transfrontalières. Les plateformes qui ne se conformeront pas aux exigences de la nouvelle loi pourront être sanctionnées par l’ANJ, laquelle disposera alors de pouvoirs accrus pour intervenir et imposer des mesures correctives. L’identité des joueurs devra être vérifiée lorsque ceux-ci souhaiteront retirer leurs gains.
Cette nouvelle législation française vise à trouver un juste milieu entre le soutien à l’innovation technologique et la mise en place de mesures de protection efficaces pour les citoyens. Il est essentiel de surveiller l’évolution du paysage numérique pour évaluer l’impact de ces changements réglementaires et leur efficacité dans la réalisation des objectifs fixés. L’adoption du projet de loi SREN par l’Assemblée nationale française constitue une avancée législative majeure dans le domaine des jeux d’argent en ligne. Elle reflète la volonté de la France de se positionner en tant que leader dans l’établissement d’un cadre législatif qui répond aux défis posés par les innovations numériques, tout en veillant à la protection de ses citoyens contre les risques associés à ces nouvelles formes de jeux.

Prochaine étape : réunion en CMP
Députés et sénateurs doivent désormais se réunir en commission mixte paritaire (CMP) pour s’accorder sur une version finale du projet de loi. Parallèlement, les éditeurs et opérateurs proposant des jeux susceptibles d’être régis par cette nouvelle règlementation, doivent impérativement se préparer à mettre en œuvre leur conformité réglementaire pour anticiper l’arrivée de ce régime spécifique. @

Pour la protection de leurs œuvres, les auteurs ont un droit d’opt-out, mais est-il efficace ?

Publié le par

Les IA génératives sont voraces et insatiables : elles ingurgitent de grandes quantités de données pour s’améliorer sans cesse. Problème : les ChatGPT, Midjourney et autres Bard utilisent des œuvres protégées sans avoir toujours l’autorisation. Pour les auteurs, l’opt-out est une solution insuffisante.

Par Anne-Marie Pecoraro*, avocate associée, UGGC Avocats

L’utilisation de l’intelligence artificielle (IA) dans les domaines artistiques tend à révolutionner la manière dont nous analysons, créons et utilisons les œuvres cinématographiques, littéraires ou encore musicales. Si, dans un premier temps, on a pu y voir un moyen presque anecdotique de créer une œuvre à partir des souhaits d’un utilisateur ayant accès à une IA, elle inquiète désormais les artistes.

Des œuvres utilisées comme inputs
Les algorithmes et les AI peuvent être des outils très efficaces, à condition qu’ils soient bien conçus et entraînés. Ils sont par conséquent très fortement dépendants des données qui leur sont fournies. On appelle ces données d’entraînement des « inputs », utilisées par les IA génératives pour créer des « outputs ». Malgré ses promesses, l’IA représente cependant un danger pour les ayants droit, dont les œuvres sont intégrées comme données d’entraînement. A titre d’exemple, la version 3.5 de ChatGPT a été alimentée avec environ 45 téraoctets de données textuelles. On peut alors se poser la question de la protection des œuvres utilisées comme inputs : l’ayant droit peut-il s’opposer ? La législation a prévu un droit d’« opt-out », que peuvent exercer les auteurs pour s’opposer à l’utilisation de leurs œuvres par une IA. A travers le monde, l’IA est encore peu règlementée.
Aux Etats Unis, il n’existe pas encore de lois dédiées portant spécifiquement sur l’IA, mais de plus en plus de décisions font office de « guidelines ». Au sein de l’Union européenne (UE), l’utilisation croissante de l’IA, à des fins de plus en plus variées et stratégiques, a conduit à faire de son encadrement une priorité. En effet, dans le cadre de sa stratégie numérique, l’UE a mis en chantier l’ « AI Act », un projet de règlement (1) visant à encadrer « l’usage et la commercialisation des intelligences artificielles au sein de l’UE » qui a été voté le 14 juin 2023 par le Parlement européen (2). Son adoption est prévue pour fin 2023 ou début 2024, avec une mise application 18 à 24 mois après son entrée en vigueur. A travers ce texte, le principal objectif du Parlement européen est d’établir un cadre juridique uniforme permettant l’innovation via l’IA, et de garantir que les systèmes d’intelligence artificielle utilisés dans l’UE soient sécurisés, transparents, traçables, non discriminatoires et respectueux de l’environnement. Au niveau national, l’encadrement de l’IA fait également couler beaucoup d’encre comme en témoigne, en France, la proposition de loi visant à encadrer l’intelligence artificielle par le droit d’auteur (3), déposée mi-septembre 2023. Trouver un équilibre entre deux objectifs – à savoir la protection des œuvres par le droit d’auteur et la libre utilisation des données nécessaire au bon fonctionnement des IA – constitue le but que cherche à atteindre l’UE, notamment à travers sa directive « Droit d’auteur dans le marché unique numérique » (4) de 2019, où elle établit un cadre qui permet aux IA de se développer – droit de fouilles de données – tout en offrant un contrôle aux auteurs sur leurs données – droit d’opt-out. Mais ce dernier droit suffit il à assurer la protection des œuvres ?
L’article 4 de cette directive dédiée au droit d’auteur permet les reproductions et les extractions d’objets protégés accessibles de manière licite, aux fins de la fouille de textes et de données, ou TDM (5). Elle permet la fouille de textes et de données tout en recherchant « un équilibre entre deux éléments : protéger les droits, et faciliter l’exploration de textes et de données ». En effet, la directive prévoit en son article 3 les fouilles de données dans un but scientifique tandis que l’article 4 prévoit la fouille effectuée par toute autre personne, peu importe la finalité. A la différence de l’article 3, l’article 4 prévoit une exception permettant aux auteurs de s’opposer à la fouille de données prévue dans ce même article : le droit d’opt-out (6). Précisons que les données utilisées peuvent être « conservées aussi longtemps que nécessaire aux fins de la fouille de textes et de données » (7).

Plaintes contre les IA « non autorisées »
On connaît le cas de Radio France qui a interdit l’accès d’OpenAI – la société californienne à l’origine de ChatGPT – à ses contenus, suivi par d’autres médias tels que France Médias Monde ou TF1. L’écrivain américain de science-fiction et de fantasy George R.R Martin, ainsi que d’autres auteurs tels que John Grisham, ont également porté plainte contre OpenAI pour avoir utilisé leurs œuvres pour se développer. Plus récemment, entre autres cas, la Sacem a utilisé ce droit afin de conditionner l’utilisation des données de ses membres par une IA à une « autorisation préalable et à une négociation financière » (8). Quant à la transposition de la directive « Droit d’auteur » de 2019 en droit français par une ordonnance de 2021 (9), elle rend l’exercice du droit d’opt-out plus restrictif. En effet, l’article L. 122-5-3 du code de la propriété intellectuelle (CPI) réserve ce droit aux auteurs alors que la directive ouvre ce droit aux ayants droits.

L’opt-out est-il efficace pour protéger ?
La propriété littéraire et artistique peut-elle protéger contre l’utilisation des données par les IA ? Il y a tout d’abord les difficultés de mise en œuvre du droit d’opt-out. La directive « Droit d’auteur » de 2019 a été votée à une époque où le législateur ne mesurait pas encore pleinement l’importance qu’allait prendre l’IA, et le système d’opt-out semble désormais insuffisant pour protéger les auteurs car il est difficile à appliquer. Tout d’abord, il existe une insuffisance d’information relative aux moyens d’exercer ce droit. Ensuite, Internet permet une multiplication des occurrences d’un même contenu en ligne, donc exercer son droit d’opt-out, alors que l’œuvre a déjà été diffusée et relayée par des internautes, semble inefficace. De surcroît, il a été mis en place en 2019, après qu’un nombre gigantesque d’œuvres aient déjà été rendues accessibles sur de nombreuses bases de données. Se pose donc la question du sort des œuvres qui ont déjà été utilisées précédemment par autrui ou par une IA pour générer un autre élément. Le droit d’opt-out n’a-t-il d’effet que sur les utilisations futures ?
Devant la difficulté d’exercer ce droit, certains acteurs tentent de mettre en place des solutions pour pallier ce problème, notamment en assurant une meilleure transparence quant au fonctionnement de l’IA. Google, par exemple, a mis en avant « Google-Extended » pour permettre aux auteurs d’avoir un meilleur contrôle sur leur contenu et sur la manière dont il pourrait être utilisé par des IA génératives (10). Il faut aussi sécuriser les droits d’auteur dans l’ère de l’intelligence artificielle : discernement, transparence, contreparties, protections de l’humain, … Les artistes et ayants droit réclament un droit d’accès leur permettant de savoir quelles œuvres et quelles données sont utilisées dans la fouille de données. Et ce, quand bien même ils auraient consenti à l’utilisation de certaines de leurs œuvres – leur autorisation ne couvrant pas nécessairement toutes leurs œuvres ni tous les systèmes d’IA. Dans le cas où ils se seraient opposés, ce dispositif d’information leur permettrait aussi de s’assurer qu’une autorisation n’a pas été accordée indûment par des tiers. La plupart des ayants droit estiment que, dans la mesure où le fonctionnement des algorithmes d’IA implique une reproduction d’objets protégés, « l’humain doit rester prioritaire et la titularité des droits doit revenir en priorité aux humains » (11). C’est d’ailleurs dans cette logique que s’est inscrite la table ronde de la Federal Trade Commission (FTC) sur l’« économie créative et les IA génératives » (12), organisée le 4 octobre 2023 pour que le législateur américain et les différentes autorités compétentes prennent en considération, dans leur mission de régulation, le point de vue des artistes, auteurs, compositeurs, réalisateurs et de toute personne dont les œuvres pourraient être utilisées par une IA générative.
Des syndicats américains tels que SAG-AFTRA ou WGA, rassemblant des centaines de milliers d’acteurs et de professionnels des médias, étaient présents lors de cette table ronde pour défendre une utilisation de l’IA saine, qui soit bénéfique à l’ensemble de leurs membres, aux travailleurs d’autres industries et au public en général. Pour s’assurer que l’ensemble des individus de cette industrie soient justement payés pour leur travail, plusieurs syndicats n’ont pas hésité à faire une grève générale de plusieurs mois à Hollywood (13) pour s’assurer du bon équilibre entre l’utilisation des IA génératives et les intérêts des individus car « les humains ont beau essayer de créer des IA de plus en plus intelligentes, elles ne remplaceront jamais la créativité humaine ». La grève – historique – a d’ailleurs porter ses fruits dans la mesure où elle a abouti sur un accord qui « permettra de construire des carrières de façon durable ». Outre des compensations financières obtenues des studios, le SAG-AFTRA affirme qu’ils ont négocié des « provisions sans précédent pour s’assurer du consentement et de la compensation [des acteurs], afin de protéger [ses] membres de la menace de l’IA » (15). @

* Anne-Marie Pecoraro est avocate spécialisée
en droit de la propriété intellectuelle,
des médias et des technologies numériques.

ZOOM

L’IA générative : quésaco ?
ChatGPT, Dall-E, Midjourney, Bard, Claude, … On connaît des exemples d’intelligence artificielle générative qui produisent de nouvelles données à partir de celles créées par des êtres humains, que ce soit sous forme de texte, d’images ou encore de musique. L’IA générative se concentre sur la création de données, de contenu ou de productions artistiques, de façon indépendante, tandis que l’IA classique se concentre, elle, sur des tâches spécifiques telles que la classification, la prédiction ou la résolution de problèmes. L’IA, qu’elle soit générative ou classique, repose sur l’apprentissage automatique (machine learning) et donc sur des algorithmes conçus de sorte que leur comportement évolue dans le temps en fonction des données qui leur sont fournies. L’IA générative utilise la puissance d’un modèle de langage naturel (GPT-3 et GPT-4 pour ChatGPT, par exemple). On parle d’« invite » pour une simple instruction donnée à l’IA générative en langage naturel (texte ou voix), sinon d’« ingénierie rapide » (prompt engineering, en anglais) lorsque les demandes sont plus élaborées. @

Guerre israélo-palestinienne : baptême du feu pour le Digital Services Act au sein des Vingt-sept

Publié le par

Depuis le déclenchement le 7 octobre par le Hamas de la nouvelle guerre en Israël/Palestine, les réseaux sociaux dans les Vingt-sept sont sous haute surveillance, avec des rappels à l’ordre de la part de la Commission européenne qui entend lutter contre les « contenus illicites » avec son DSA.

« Nous nous trouvons dans une période marquée par le terrorisme et la guerre aux portes de l’UE. Cela s’accompagne d’une guerre de l’information, d’une vague de désinformation et de manipulation et d’ingérence de l’information étrangère. Nous l’avons vu clairement avec le Kremlin après l’agression russe contre l’Ukraine. Nous le voyons maintenant après les actes barbares du Hamas. Nous devons sécuriser notre espace d’information. C’est de la plus grande urgence », a prévenu le 18 octobre à Strasbourg la vice-présidente de la Commission européenne Véra Jourová (photo), en charge des valeurs et de la transparence.

« Plateformes, outils pour les terroristes »
Et la commissaire européenne tchèque de mettre en garde les Twitter, Facebook et autres YouTube : « Nous ne pouvons tout simplement pas accepter ce que nous voyons actuellement : les plateformes en ligne deviennent un outil pour les terroristes, un outil pour diffuser du contenu illégal antisémite et violent. L’espace d’information doit être sûr pour les citoyens européens. L’incitation au terrorisme, le discours de haine, illégal, la louange des meurtres, la désinformation peuvent déclencher la violence dans la vie réelle ». Pourtant, l’arsenal juridique de l’Union européenne, avec lourdes sanctions pécuniaires maximales à la clé en cas de non-respect des obligations, est maintenant bien fourni. Entre le règlement européen du 29 avril 2021 de lutte contre la diffusion des contenus à caractère terroriste en ligne ou « Anti-Terrorism Online Act » (1), d’une part, et le règlement européen du 19 octobre 2022 concernant le marché unique des services numériques ou « Digital Services Act » (2), d’autre part, les réseaux sociaux et les plateformes de partage ont deux épées de Damoclès au-dessus de leur tête. Le « ATOA » et le « DSA » les menacent de sanctions financières en cas d’infractions à ces deux législations contraignantes, ou autrement dit si elles ne coopèrent pas avec les autorités compétentes des Etats membres. Ces amendes peuvent aller respectivement « jusqu’à 4 % du chiffre d’affaires mondial du fournisseur de services d’hébergement pour l’exercice précédent » (son article 18) et « jusqu’à concurrence de 6 % du chiffre d’affaires mondial annuel réalisé au cours de l’exercice précédent » (son article 74).
• L’ATOA, applicable dans toute l’Union européenne depuis le 7 juin 2022, oblige que tous les « fournisseurs de services d’hébergement » (réseaux sociaux, plateformes de partage vidéo ou encore moteurs de recherche, indépendamment du pays de leur établissement principal) « retirent les contenus à caractère terroriste ou bloquent l’accès à ces contenus dans tous les Etats membres dès que possible et, en tout état de cause, dans un délai d’une heure à compter de la réception de l’injonction de retrait » (article 3). Un formulaire est même indexé à l’ATOA – publié au Journal Officiel de l’UE daté du 17 mai 2021 – pour que l’autorité compétent d’émission de l’injonction de retrait du (ou des) contenu(s) en ligne à caractère terroriste puisse(nt) être supprimé(s) – dans l’heure. De plus, le destinataire (la plateforme numérique concernée) « conserve le contenu et les données connexes qui ont été retirés ou auxquels l’accès a été bloqué, pendant une période de six mois ou davantage à la demande des autorités ou juridictions compétentes » (article 6).
Malgré cette obligation de supprimer ou de bloquer dans l’heure les contenus terroristes en ligne notifiés, la Commission européenne estime que ce règlement ATOA n’empêche pas toujours ces contenus illicites de circuler sur les réseaux sociaux après les faits de terrorisme et les cas d’apologie du terrorisme. « Nous avons vu récemment, également après le tragique attentat terroriste en Belgique [lundi 16 octobre 2023 où des vidéos ont été diffusées et partagées sur les réseaux sociaux pendant plusieurs heures, ndlr], que des efforts sont nécessaires pour rendre cette loi plus efficace. Avec le vice-président Schinas [Margaritis Schinas, commissaire européen en charge de la promotion de notre mode de vie européen, ndlr] et le commissaire Johansson [Ylva Johansson, chargé des affaires intérieures, ndlr], nous nous entretenons avec les Etats membres, Europol et Interpol pour améliorer les mécanismes de notification. Je suis également en contact avec les plateformes sur cette question », a annoncé à Strasbourg Véra Jourová (3).

« Obligations de diligence » et rapport annuel
• Le DSA, applicable dans toute l’Union européenne à partir du 17 février 2024, est néanmoins applicable depuis le 16 novembre 2022 aux « très grandes plateformes en ligne et très grands moteurs de recherche en ligne » (article 33), dont la Commission européenne a officiellement dressé la liste le 25 avril 2023. Ce « Big 19 », comme Edition Multimédi@ a surnommé (4) ces grands acteurs du Net (Alibaba, AliExpress, Amazon Store, Apple AppStore, Booking.com, Facebook, Google Play, Google Maps, Google Shopping, Instagram, LinkedIn, Pinterest, Snapchat, TikTok, Twitter, Wikipedia, YouTube, Zalando, Bing, et Google Search), ont eu jusqu’au 25 août dernier pour se mettre en règle. Ce « Big 19 » a une « obligation de diligence » (chapitre III de ce règlement) vis-à-vis des « contenus illicites » qui sont signalés à ces très grandes plateformes numériques (moteurs de recherche compris), lesquelles doivent les supprimer ou les bloquer sans tarder. En outre, chacune d’elle s’apprête à fournir à la Commission européenne leur premier rapport d’« évaluation des risques », notamment « tout risque systémique » au sein de l’UE (article 34) – puis après un rapport « au moins une fois par an ».

Liberté d’expression, victime collatérale ?
Le problème est que le DSA donne une « définition large » (son considérant 12) de la notion de « contenus illicites ». Chaque géant du Net est tenu ainsi de lutter contre « la diffusion de contenus illicites en ligne et contre les risques pour la société que la diffusion d’informations trompeuses ou d’autres contenus peuvent produire ». L’extension du domaine de la lutte se le dispute au manque de délimitation claire du champ d’intervention de la loi, au risque de porter atteinte à la liberté d’expression des Européens (5). « Nous utilisons nos structures uniques pour lutter contre la montée de la haine, de la violence et du contenu illégal en ligne. Il n’y a pas de solution miracle, il n’y a pas un seul outil pour s’attaquer à tous les problèmes. Aussi, parce que la liberté d’expression doit, est et sera protégée en ligne et hors ligne », a tenu tout de même à rassurer Véra Jourová. D’autant que cette bataille contre ces « contenus illicites », qui ne sont pas forcément générés par des criminels et des terroristes (loin s’en faut) ne relève pas, la plupart du temps, de la décision d’un juge mais d’une autorégulation privée sans qu’il y ait de véritable garde-fou judiciaire.
« Le DSA travaille main dans la main avec notre code anti désinformation (6) qui est un outil plus agile qui nous permet de réagir rapidement aux risques et aux crises en coopération avec la société civile et les plateformes, a précisé Véra Jourová. Nous utilisons une structure unique pour prendre rapidement les mesures nécessaires et améliorer les situations. […] J’ai ainsi demandé à l’Observatoire européen indépendant des médias numériques [l’Edmo, financé par Bruxelles, ndlr] de faciliter le travail au niveau opérationnel avec la communauté et les plateformes d’experts ». Cet organisme de la société civile, l’European Digital Media Observatory (Edmo), a été créé en juin 2020 par l’Institut universitaire européen de Florence (Italie), le Datalab de l’université d’Aarhus à Athènes (Grèce), et Pagella Politica, un site italien dédié au fact-checking des déclarations politiques (7). Le 17 octobre, le jour-même du bombardement de l’hôpital Al-Ahli Arab au sujet duquel chaque partie du conflit israélo-palestinien se rejette la faute, l’Edmo a publié une « analyse préliminaire de la désinformation liée au conflit entre Israël et le Hamas », dont la Commission européenne a aussitôt pris connaissance. Il en ressort que « l’attaque surprise du Hamas contre des villes israéliennes à la frontière avec Gaza le matin du samedi 7 octobre 2023, ainsi que la réaction militaire suivante d’Israël, ont provoqué une vague considérable de désinformation sur toutes les grandes plateformes de médias sociaux » (8).
Le commissaire européen Thierry Breton (photo ci-dessous) a immédiatement réagi en faisant savoir le 18 octobre qu’il adressait quatre lettres aux dirigeants respectifs de X – Elon Musk (9) –, Meta (Facebook, Instagram), TikTok et YouTube (Google) pour les rappeler à l’ordre et leur rappeler que ces très grandes plateformes doivent respecter leurs obligations « DSA » depuis le 25 août. « Nous ne laisserons pas la terreur & la #désinformation nous diviser ou miner notre démocratie », a tweeté Thierry Breton (10) après son intervention à ce sujet au Parlement européen. Et le 19 octobre, la Commission européenne a ouvert trois enquêtes (demandes formelles d’informations) à l’encontre de X, Meta et TikTok, tout en demandant aux Etats membres « d’accélérer la mise en place de la gouvernance prévue par le DSA ». Et ce, sans attendre « le 17 février 2024 au plus tard » pour désigner leur « coordinateur pour les services numériques » (Digital Services Coordinator), une autorité indépendante chargée de contrôler le respect du règlement par les services en ligne établis sur leur territoire (11). A savoir pour la France : l’Arcom (12).
Mais des voix de la société civile, plus soucieuses de la liberté d’expression et de droits fondamentaux, se sont élevées contre la pression exercée par la Commission européenne. « A l’attention du commissaire européen chargé du marché intérieur Thierry Breton, nous, les organisations soussignées [une trentaine d’ONG, ndlr], vous écrivons en réponse à quatre lettres que vous avez récemment adressées à Meta, X, TikTok, et plus récemment, YouTube […] dans le contexte des conflits […] dans la bande de Gaza et en Israël », a par exemple écrit Accessnow dans une lettre ouverte datée du 18 octobre (13).

Thierry Breton en fait trop, selon 30 ONG
Et cette association internationale basée à New-York de mettre en garde Thierry Breton : « Nous sommes préoccupés par l’interprétation de la loi présentée dans ces lettres. Premièrement, les lettres établissent une fausse équivalence entre le traitement du contenu illicites du DSA et la “désinformation” […] pouvant présenter un risque important pour les droits de la personne et le discours public. […] Deuxièmement, le DSA ne prévoit pas de délais pour les suppressions de contenu […]. Troisièmement, le DSA n’impose pas aux fournisseurs de services l’obligation d’appliquer [leurs] propres politiques de façon uniforme et diligente ». La démocratie est prise en étaux entre l’ATOA et le DSA. @

Charles de Laubier

La Quadrature du Net n’a pas réussi à « faire tomber » l’ex-Hadopi devant le juge européen

Publié le par

L’association de défense des libertés fondamentales La Quadrature du Net n’a pas convaincu l’avocat général de la Cour de Justice européenne (CJUE) que l’Hadopi – devenue, avec le CSA en 2022, l’Arcom – agissait illégalement dans le traitement des données personnelles pour la riposte graduée.

Comme la Cour de Justice de l’Union européenne (CJUE) suit souvent – à près de 80% selon les statistiques – les conclusions de son avocat général, il y a fort à parier que cela sera le cas dans l’affaire « La Quadrature du Net versus Hadopi ». En l’occurrence, le 28 septembre 2023, l’avocat général de la CJUE – le Polonais Maciej Szpunar (photo) – conclut que la conservation et l’accès à des données d’identité civile, couplées à l’adresse IP utilisée, devraient être permis lorsque ces données constituent le seul moyen d’investigation permettant l’identification d’auteurs d’infractions exclusivement constituées sur Internet.

15 ans de combat contre la loi Hadopi
La Quadrature du Net (LQDN) est donc en passe de perdre un combat qu’elle a engagé il y a quinze ans – contre la loi Hadopi et contre l’autorité administrative indépendante éponyme pratiquant la « réponse graduée » à l’encontre de pirates présumés sur Internet de musiques et de films ou d’autres contenus protégés par le droit d’auteur.
L’association française défenseuse des libertés fondamentales à l’ère du numérique était repartie à la charge contre l’Hadopi. Et ce, en saisissant en 2019 le Conseil d’Etat – avec FDN (1), FFDN (2) et Franciliens.net – pour demander l’abrogation d’un décret d’application de la loi « Hadopi » signé par le Premier ministre (François Fillon à l’époque), le ministre de la Culture (Frédéric Mitterrand) et la ministre de l’Economie (Christine Lagarde). Ce décret « Traitement automatisé de données à caractère personnel » (3) du 5 mars 2010 permet à l’ex-Haute autorité pour la diffusion des œuvres et la protection des droits sur Internet (Hadopi) – devenue l’Arcom (4) en janvier 2022 par fusion avec le CSA – de gérer un fichier « riposte graduée » constitué de données obtenues auprès des ayants-droits (les adresses IP) et des fournisseurs d’accès à Internet (l’identité civile).
L’association LQDN a considéré devant le Conseil d’Etat que « la riposte graduée est doublement contraire au droit de l’Union européenne ». « D’une part, elle repose sur un accès à l’adresse IP des internautes accusés de partager des fichiers. D’autre part, elle implique l’accès à l’identité civile de ces internautes. Or, la CJUE estime que seule la criminalité grave permet de justifier un accès aux données de connexion (une adresse IP ou une identité civile associée à une communication sont des données de connexion). L’accès par l[‘]Hadopi à ces informations est donc disproportionné puisqu’il ne s’agit pas de criminalité grave » (5). A ces griefs portés par LQDN à l’encontre de la réponse graduée s’ajoute le fait que ce même décret oblige les opérateurs télécoms – Orange, SFR, Bouygues Telecom et Free principalement – et les hébergeurs à conserver pendant une durée d’un an les données de connexion de l’ensemble des internautes, à savoir leurs identifiants, la date, l’heure et l’objet de leurs consultations. C’est par cette conservation généralisée des données de connexion – en particulier de l’adresse IP considérée comme une donnée personnelle depuis une décision (6) de la Cour de cassation en 2016 (subordonnant leur collecte à une déclaration préalable auprès de la Cnil) – que l’Hadopi (devenue Arcom) peut identifier les internautes « flashés » sur le Net. Rappelons que depuis près de quinze ans maintenant, ce sont les organisations de la musique (SCPP, Sacem/SDRM et SPPF) et du cinéma (Alpa) qui fournissent à l’Hadopi-Arcom les millions d’adresses IP collectées par la société nantaise Trident Media Guard (TMG) sous le contrôle de la Cnil (7).
Or, n’a cessé de rappeler LQDN, ce régime de conservation généralisée des données de connexion est contraire au droit de l’Union européenne puisque la CJUE elle-même s’est opposées – dans quatre arrêts différents (2014, 2016, 2020 et 2022) – à toute conservation généralisée et indifférenciée des données de connexion, sauf à deux conditions cumulatives : qu’il s’agisse d’affaires de criminalité grave et à la condition qu’il y ait un contrôle préalable de ces accès par une autorité indépendante. LQDN avait « enfoncé le clou », selon sa propre expression, en posant lors de sa saisine du Conseil d’Etat une question prioritaire de constitutionnalité (QPC) pour demander au Conseil constitutionnel de se prononcer sur la conformité à la Constitution d’une loi lorsque celle-ci (loi Hadopi de 2009 et son décret « Traitement automatisé de données à caractère personnel ») est cruciale pour la résolution d’un litige.

Adresse IP : « Petit couac », grande procédure
Dans une décision alambiquée rendue le 20 mars 2020, le Conseil constitutionnel a censuré le mot « notamment » jugé anticonstitutionnelle dans l’article 5 de la loi dite « Hadopi 1 » (8). Les juges du Palais-Royal avaient ainsi ordonné à l’Hadopi de s’en tenir aux seules données personnelles que sont « l’identité, l’adresse postale, l’adresse électronique et les coordonnées téléphoniques » de l’abonné concerné (9). Or dans cette énumération, il n’y a pas l’adresse IP parmi les données personnelles. « Petit couac pour la Hadopi », s’était alors félicitée LQDN. Les quatre associations françaises ont profité de cette brèche pour remonter au créneau juridictionnel en affirmant que l’accès par l’Hadopi- Arcom aux adresses IP des internautes contrevenants est illégal (car il n’y a pas de criminalité grave au sens de la CJUE) et que le décret permettant d’enregistrer ces adresses IP serait sans fondement depuis cette censure partielle du Conseil constitutionnel (l’adresse IP n’étant pas mentionné).

Deux mêmes conclusions de l’avocat général
Pour une nouvelle audience publique organisée précipitamment par Conseil d’Etat le 3 mai 2021 dans le cadre de cette même affaire (n°433539), les associations LQDN, FDN, FFDN et Franciliens.net ont déposé un nouveau mémoire (10) développant ces deux points susceptibles de « faire tomber » l’Hadopi. « Le Conseil d’Etat a décidé de botter en touche et de transmettre à la CJUE une “question préjudicielle” (c’est-à-dire une question relative à l’interprétation du droit de l’UE) sur l’accès par la Hadopi à l’identité civile à partir de l’adresse IP d’une personne. Rien concernant l’accès à l’adresse IP préalable à l’accès à l’identité civile. Rien non plus concernant la conservation de ces données, alors même que la question de l’accès est intimement liée à celle de la conservation », avait pointé LQDN. Le mémoire, déposé par l’avocat des associations, Alexis Fitzjean Ó Cobhthaigh, conclut que « le décret [“Traitement automatisé de données à caractère personnel” du 5 mars 2010] attaqué a été pris en application de dispositions législatives contraires à la Charte des droits fondamentaux de l’Union européenne […], ainsi qu’à […] la directive [“ePrivacy”] du 12 juillet 2002 en ce qu’il organise l’accès par [l‘Hadopi] à des données de connexion ».
Donc, « le refus, opposé par le Premier ministre, d’abroger ces dispositions, est illégal et ne pourra ainsi qu’être annulé ». A la question préjudicielle transmise par le Conseil d’Etat, l’avocat général de la CJUE Maciej Szpunar avait une première fois – le 27 octobre 2022 (affaire n°C-470/21) – présenté ses conclusions : « L’article 15, paragraphe 1, de la directive [“ePrivacy”], lu à la lumière […] de la Charte des droits fondamentaux de l’Union européenne, […] ne s’oppose pas à une réglementation nationale [la loi Hadopi et son décret contesté en France, ndlr] permettant la conservation […] des données d’identité civile correspondant à des adresses IP […] lorsque ces données constituent le seul moyen d’investigation permettant l’identification de la personne à laquelle cette adresse était attribuée au moment de la commission de l’infraction » (11). Fermez le ban ? Or coup de théâtre, la grande chambre de la CJUE a demandé le 7 mars 2023 le renvoi de cette affaire à l’assemblée plénière. Par cette réouverture de la procédure pour poser des questions orales, notamment sur l’identité civile correspondant à une adresse IP (12) et en présence cette fois du Contrôleur européen de la protection des données (CEPD) et de l’Agence de l’Union européenne pour la cybersécurité (ENISA), l’avocat général Maciej Szpunar a dû « approfondir certains éléments de [son] raisonnement ». Mais ses deuxièmes conclusions présentées le 28 septembre 2023 s’avèrent identiques (13) aux premières du 27 octobre 2022.
Tout ça pour ça, pourrait-on dire. La réponse graduée est donc sur le point – sans préjuger du verdict final de la CJUE – d’être confortée au regard du droit de l’Union européenne, alors que le traitement automatisé de données à caractère personnel de la loi Hadopi de 2009 et de son décret du 5 mars 2010 semblaient « hors-la-loi ». Faut-il rappeler le fonctionnement de la réponse graduée :
• Dans un premier temps, et sans contrôle préalable par une juridiction ou une entité administrative, l’adresse IP (donnée personnelle) de l’internaute collectées par les ayants droit est transmise au FAI (14) par l’Arcom (ex-Hadopi) pour obtenir d’eux (Orange, SFR, Bouygues Telecom et Free) l’identité civile de l’internaute présumé « pirate du Net » ;
• Dans un second temps, l’Arcom (ex-Hadopi) adresse à ce dernier une recommandation lui enjoignant de s’abstenir de tout nouveau manquement, suivie d’un nouvel avertissement en cas de renouvellement de l’atteinte. S’il n’est pas tenu compte des deux premiers avertissements et qu’une troisième atteinte a lieu, l’Arcom (ex-Hadopi) peut saisir l’autorité judiciaire compétente en vue d’engager des poursuites pénales.
La réponse graduée porte-t-elle atteinte à la vie privée de l’internaute ? Réponse de Maciej Szpunar : « Ainsi que je l’ai souligné, la gravité de l’ingérence que suppose la mise en relation d’une donnée d’identité civile et d’une adresse IP est bien moindre que celle résultant de l’accès à l’ensemble des données de trafic et de localisation d’une personne, dans la mesure où cette mise en relation n’apporte aucun élément permettant de tirer des conclusions précises sur la vie privée de la personne visée ». Ce à quoi l’avocat général ajoute : « Ainsi que je l’ai déjà souligné, (…) l’obtention des données d’identité civile correspondant à une adresse IP est le seul moyen d’investigation permettant l’identification de la personne à laquelle cette adresse était attribuée au moment de la commission de l’infraction en cause ».

Mise en cause de la jurisprudence existante ?
Pour convaincre la CJUE, il précise tout de même que « la solution qu[‘il] propose vise non pas à remettre en cause la jurisprudence existante, mais à permettre, au nom d’un certain pragmatisme, son adaptation en des circonstances particulières et très étroitement circonscrites ». L’affaire semble entendue. A moins que la CJUE ne suivent pas les conclusions de son avocat général, comme cela est le cas dans plus de 20 % des affaires tout de même… A suivre. @

Charles de Laubier