Archives par mot-clé : Acteur du Net

Yves Gassot, Idate : « Face aux acteurs du Net, les opérateurs télécoms ne vont pas disparaître »

Publié le par

Alors que l’Idate – institut d’études sur les télécoms, l’Internet et l’audiovisuel – publie le 14 juin son DigiWorld Yearbook 2016, son directeur général Yves Gassot répond aux questions de Edition Multimédi@ sur les défis que doivent plus que jamais relever les opérateurs télécoms face aux acteurs du numérique.

Propos recueillis par Charles de Laubier

Edition Multimédi@ : Le marché mondial du numérique devrait, selon l’Idate, franchir les 4.000 milliards d’euros l’an prochain. Vos prévisions antérieures ne le prévoyaient-elles pas dès cette année ? En outre, pourquoi la valeur des TIC (1) a tendance à croître moins vite que le PIB ?
Yves Gassot : En fait, nous révisons nos chiffres tous les ans avec deux types d’ajustement que sont la prise en compte des taux de change et la rectification des taux de croissance constatés au regard de nos anticipations. Par exemple, la chute de la croissance des revenus mobiles aux Etats-Unis a été plus prononcée qu’on ne l’avait anticipée. Par ailleurs, la croissance moins rapide en valeur des secteurs TIC au regard de celle du PIB est effectivement contre-intuitive. Pourtant la croissance de certains secteurs du numérique – les services Internet – est très rapide. Des économistes montrent que c’est dans les secteurs des TIC que les gains de productivité sont les
plus importants. Cela a pour conséquence de faire baisser les prix unitaires. En principe, cette baisse des prix s’accompagne d’un effet positif sur les volumes. Ce que l’on peut observer sur un marché comme celui des smartphones qui peut ainsi s’élargir aujourd’hui aux consommateurs des économies émergentes. Mais on peut aussi avoir des phénomènes de déflation liés à l’intensité de la concurrence, comme on l’observe en Europe dans les services télécoms. Enfin, il est probable que les cadres statistiques ont du mal à suivre la déformation des frontières des secteurs sous l’effet de la transformation numérique.
Reste une question fondamentale : pourquoi les gains de productivité dans nos économies, aussi bien aux Etats-Unis qu’en Europe, ont nettement décru depuis 2006, donc avant la crise des subprimes, comme si l’économie avait absorbé dans la décennie précédente les bénéfices de l’Internet ? Sans parler de la fin du cycle de transformation du numérique, il est possible qu’il y ait un palier en attendant que le puzzle de l’Internet des objets (IoT), du Big Data et de l’intelligence artificielle se mette en ordre.

EM@ : L’Idate prévoit que, d’ici 2025, les services Internet pourraient dépasser pour la première fois en valeur le marché des services télécoms : soit 51 % sur un total mondial de près de 3.000 milliards d’euros. Que va-t-il advenir des opérateurs télécoms « ubérisés » par les OTT (2)?
Y. G. : Il y a plusieurs interprétations de l’expression « être “ubérisé” ». S’il s’agit de penser que les opérateurs télécoms vont disparaître, j’ai du mal à imaginer ce scénario. Les applications OTT nourrissent une demande croissante en terme d’accès très haut débit everywhere. Il faudra bien qu’il y ait des acteurs qui investissent dans les réseaux, exploitent les accès associés avec des perspectives crédibles de retour sur investissement. La question est donc plus de savoir comment sera organisée la chaîne de valeur. Est-ce que les opérateurs télécoms seront progressivement « désintermé-diés », c’est-à-dire repositionnés dans un statut d’opérateur de gros ? On ne peut pas totalement l’exclure, mais cela ne me parait pas devoir être la tendance principale. Il faut aussi s’interroger sur les capacités des opérateurs télécoms à élargir leurs revenus au-delà de ceux de l’accès (3). De mon point de vue, il est probable que les plus gros opérateurs auront l’ambition et les moyens de construire des offres d’accès qui intègrent des applications et des contenus en mode OTT ou plus directement managés à travers le réseau. Dans ce cas, une partie du chiffre d’affaires Internet sera réalisée par les opérateurs télécoms. Ce phénomène est donc assez directement dépendant de la propension de l’industrie des services télécoms à se consolider.

EM@ : Comment les opérateurs télécoms en Europe cherchent « à tout prix »
à augmenter leur ARPU (4) dans le fixe et le mobile. Que pensez-vous de la stratégie de convergence telle que celle engagée par SFR offrant des contenus (télé, vidéo, presse, …) pour augmenter son ARPU ?
Y. G. : La chute continue des revenus des opérateurs télécoms depuis 2008 pèse sur leurs marges et leurs capacités d’investissement, malgré la baisse des prix des équipements et les efforts de cost-cutting. Les opérations de fusion mobile-mobile ou fixe-mobile peuvent favoriser une légère reprise de la croissance, comme au dernier trimestre pour Vodafone, en freinant les opérations de guerre de prix. Le challenge fondamental pour les opérateurs est de faire percevoir auprès du consommateur que l’innovation numérique ne réside pas seulement dans le smartphone ou la dernière version de Snapchat, qu’un accès 4G – bientôt 4G+ – n’est pas identique à un accès 3G, et que la fibre apporte de la qualité et du confort par rapport à un abonnement ADSL. Cela étant, les stratégies de différenciation et de segmentation peuvent être principalement focalisées sur le réseau ou s’élargir aux contenus. Mais attention :
avec du haut débit à peu près partout et la « Net neutralité », les atouts des opérateurs télécoms en matière de vidéo ne proviennent pas fondamentalement du fait qu’ils sont propriétaires des « pipes », mais plutôt qu’ils peuvent avoir plusieurs dizaine de millions d’abonnés et donc des capacités pour rivaliser dans les achats de droits exclusifs et pour un marketing très ciblé.

EM@ : Entre le « zero-rating » (5), les « services gérés », les « services spécifiques » ou encore les « niveaux de qualité », les opérateurs télécoms ne vontils pas maintenant – malgré la neutralité du Net – augmenter leurs tarifs ?
Y. G. : Non, car au-delà des rivalités « verticales » dans la chaîne de valeur, les opérateurs restent soumis à la pression d’une concurrence « horizontale » très intense.

EM@ : Une récente étude intitulée « Comment attraper une licorne » (6) démontre que l’Europe a raté la 3e vague mobile – celle de l’Internet – face aux Etats-Unis et l’Asie. L’Europe s’est-elle trop focalisée sur le fixe et les techniques, peu sur
le mobile et les services ?
Y. G. : Oui. Le GSM a été un grand succès ; on avait de quoi jouer une carte avec l’UMTS mais cela a été gâché dans la folie des enchères, les acquisitions déraisonnables de fréquences et l’immaturité de la technologie. La 4G (technologie LTE) a donc vu les Etats-Unis – avec Verizon puis AT&T, ainsi que les japonais et coréens – faire course en tête, même si la pénétration de la 4G se développe maintenant rapidement en Europe. Naturellement, le déploiement de la 4G a été aussi le moment d’un basculement très net de la téléphonie mobile vers l’Internet mobile (7). Ce phénomène a amplifié le poids de la Silicon Valley.
Mais l’Europe continue de disposer dans les mobiles d’atouts avec Ericsson, Nokia
et des opérateurs télécoms qui ont pris une certaine avance dans la convergence fixemobile, sans parler du tissu de start-up. L’Europe disposera, au moment du déploiement de la 5G, d’une infrastructure 4G+ de qualité qui restera un socle fortement imbriqué dans la nouvelle norme. Nous avons enfin été très tôt en Europe
à reconnaître la nouvelle frontière que représente l’Internet des objets. Or la 5G ne se réduit, comme les normes précédentes, à représenter un progrès en terme de vitesse, de bits/Hz, mais a pour objectif d’inclure très largement les nouvelles applications dans les verticaux, avec toutes les variations de latence et de sécurité ou de consommation envisageables. Il reste que les vitesses attendues et les capacités nécessaires à la 5G nécessitent de libérer des fréquences (8) et d’investir significativement dans les réseaux optiques pour desservir les micro-antennes. @

Piratage : les plateformes du Net évitent l’obligation de « surveillance généralisée » des contenus, quoique…

Publié le par

Elles ont eu chaud. Les plateformes YouTube, Dailymotion, Facebook et autres Yahoo ont failli perdre leur statut d’hébergeur à responsabilité limitée. La loi
« République numérique », si elle est promulguée en l’état, ne leur impose pas d’obligation de surveillance généralisée ni de filtrage automatique. Seulement une « censure préventive »…

Les députés avaient imposé aux plateformes numériques « la mise en oeuvre de dispositifs de reconnaissance automatisée » de contenus piratés tels que des musiques ou des films. C’était une obligation majeure adoptée en janvier dernier par l’Assemblée nationale en matière de « loyauté des plateformes », au grand dam des acteurs du Net tels que YouTube, Dailymotion, Facebook ou encore Yahoo (lire ci-dessous).

Censure préventive des contenus
« Ces opérateurs de plateforme en ligne dont l’intensité de l’activité est susceptible d’exposer un grand nombre de consommateurs français à des contenus illicites devront désigner (…) élaborer des bonnes pratiques afin de lutter contre la mise à disposition
de contenus illicites, notamment en mettant en oeuvre des dispositifs techniques de reconnaissance automatisée de contenus illicites », avaient plaidé des députés épaulés par le groupe socialiste dans leur amendement n°268 adopté en janvier. A l’instar des plateformes numériques, les sénateurs ne l’ont pas entendu de cette oreille. Ils ont donc supprimé cette disposition, la considérant « extrêmement large, puisqu’[elle] recouvre l’ensemble des contenus illicites » et contraire non seulement au droit européen tel que la directive « Commerce électronique » de 2000, et en se référant
à un arrêt de la CJUE (1), mais aussi à la loi pour la confiance dans l’économie numérique (LCEN) de 2004, qui prévoient le régime de responsabilité limitée de l’hébergeur. « Cette disposition revient à soumettre l’opérateur de plateforme à une obligation de surveillance généralisée [et] est de nature à conduire la plateforme à procéder un filtrage automatique et a priori des contenus, qui est préjudiciable à la liberté d’expression », ont contesté des sénateurs dans leur amendement n°157 adopté en avril. Le jour de l’adoption le 3 mai dernier de la loi « République numérique », le Conseil national du numérique (CNNum) – actuellement présidé par Mounir Mahjoubi (photo) – s’est « réjouit de l’abandon » par les sénateurs de la disposition de leurs collègues députés. Dans son rapport « Ambition numérique » publié en juin 2015,
cette instance – créée il y a cinq ans maintenant sous l’impulsion du l’ancien chef
d’Etat Nicolas Sarkozy pour « civiliser Internet » (2) – « invite à conserver ce régime [d’hébergeur à responsabilité limité, ndlr] afin de préserver la liberté de communication, dans la mesure où une responsabilité trop lourde pourrait les pousser à une censure préventive des contenus présents sur leurs sites, par crainte de voir leur responsabilité engagée ». Cette commission consultative indépendante basée à Bercy, dont les missions ont été redéfinies et étendues par un décret du président de la République
en 2012, milite en outre pour « l’obligation d’intervention humaine concernant le filtrage automatique a priori de contenus : imposer en ce sens une obligation de supervision humaine réelle (et non seulement formelle) et indiquer les critères d’appréciation » (3).

Bien que le statut d’hébergeur des plateformes numériques soit finalement épargné par le projet de loi portée par la secrétaire d’Etat au Numérique, Axelle Lemaire, le CNNum – dans son « bilan mitigé » sur ce texte – « s’inquiète de l’essor d’une forme de censure préventive des contenus, préjudiciable à l’exercice de la liberté d’expression et de création sur Internet, pour ce qui concerne par exemple les œuvres transformatrices (mashup, remix) ». Il regrette donc l’adoption fin avril de l’amendement n°307 par
les sénateurs qui prévoit : « A compter du 1er janvier 2018, (…), les opérateurs de plateformes en ligne sont tenus d’agir avec diligence en prenant toutes les mesures raisonnables, adéquates et proactives afin de protéger les consommateurs et les titulaires de droits de propriété intellectuelle (4) contre la promotion, la commercialisation et la diffusion de contenus et de produits contrefaisants ». Ce devoir de diligence s’inspire de celui existant en matière de lutte contre l’apologie d’actes de terrorisme, l’incitation à la haine raciale, la pédopornographie et les jeux d’argent illégaux. L’Asic a dénoncé, le 9 mai, dernier « une vision archaïque de l’économie numérique ». @

Charles de Laubier

ZOOM

Les acteurs du Net de l’Asic ruent dans les brancards
L’Association des services Internet communautaires (Asic), présidée par Giuseppe de Martino (photo), vice-président exécutif Europe (EMEA) de Dailymotion, dont il fut directeur juridique et réglementaire, n’a eu de cesse de mettre en garde
le législateur contre « la censure généralisée » sur Internet s’il supprimait le statut d’hébergeur technique. Regroupant une vingtaine de prestataires Internet (5), l’Asic conteste toutes mesures « liberticides et rétrogrades » qui ne manqueront pas, selon elle, « d’isoler la France sur le plan international » et « de fragiliser gravement l’esprit d’innovation en France », tout en créant « une grave insécurité juridique et fragilisant tout un écosystème ». @

L’Arcep pivote et, ce faisant, cherche à étendre son champ d’intervention : à tort ou à raison ?

Publié le par

Avec sa « revue stratégique » de janvier 2016, l’Arcep veut élargir la régulation des « communications électroniques » aux « communications numériques ».
En Europe, deux visions s’opposent entre les partisans d’une régulation des acteurs du Net et ceux craignant une sur-régulation des « marchés émergents ».

Par Winston Maxwell (Hogan Lovells) et Stéphane Piot (Analysys Mason)

Le « virement » stratégique de l’Arcep (1), présenté en janvier 2016, est structuré autour de quatre piliers (investissement dans les infrastructures, territoires connectés, Internet ouvert, prisme pro innovation) et trois nouveaux modes d’interventions (bâtir une régulation par
la donnée, co-construire la régulation et jouer un rôle d’expert neutre dans le numérique et le postal). Une feuille de route détaillée comprenant 21 thèmes a été arrêtée et 12 chantiers prioritaires ont été définis pour 2016/2017.

Internet ouvert à une nouvelle régulation ?
Le périmètre d’intervention que s’octroie l’Arcep dans le cadre de ce pivot est large.
De nombreux chantiers et thèmes d’intervention apportent une continuité (rassurante) avec l’activité de l’Arcep (avant qu’elle ne pivote) : transition du haut vers le très haut débit, revue des marchés pertinents, analyse de la couverture mobile, etc. Toutefois, alors que le développement d’une concurrence effective sur les marchés fixe et mobile – à l’exception du marché entreprise ? – devrait conduire à un allègement de l’environnement réglementaire, le pivot de l’Arcep la conduit à se positionner sur
de nouveaux sujets. Certes, un élargissement de son périmètre d’intervention réglementaire n’est pas encore d’actualité. On parle principalement d’une mise en
place de groupes de travail, de renforcement de la capacité de suivi et de prospective, de coopération avec l’Organe des régulateurs européens des communications électroniques (Orece ou Berec (2)), mais également de contributions à la révision des directives européennes qui pourraient donner à l’Arcep et à l’ensemble des régulateurs télécoms des Vingt-huit de nouvelles prérogatives.
Parmi les nouvelles pistes de réflexion de l’Arcep, plusieurs éléments nous semblent mériter une attention particulière :
• La notion de « plateformes numériques et terminaux ouverts » pour garantir l’ouverture d’Internet. Grace à une terminologie assez astucieuse, la notion de terminaux ouverts permet à l’Arcep – par le biais du principe d’un Internet ouvert posé par le règlement européen du 25 novembre 2015 (3) – de s’immiscer par l’autre bout
de la chaîne dans la problématique de la neutralité des plateformes en ligne. Cette problématique est par ailleurs déjà abordée dans le projet de loi « République numérique » d’Axelle Lemaire, tandis qu’une consultation publique de la Commission européenne sur le sujet a également été réalisée en 2015. Le débat sur la régulation des terminaux et les plateformes numériques met en lumière deux visions opposées
de la régulation. La vision de l’Arcep repose sur le besoin d’anticiper des problèmes potentiels créés par ces terminaux et plateformes, afin d’adresser ces problèmes le plus en amont possible. L’autre vision consiste à attendre et à n’intervenir que si l’application du droit existant – tribunaux, DGCCRF (4), l’Autorité de la concurrence, Cnil (5) – s’avère inefficace.
Selon cette école, la création d’une régulation spécifique n’est jamais anodine, et doit être envisagée comme un remède de dernier ressort. Pour justifier sa vision, l’Arcep s’appuie sur le caractère « incontournable » des terminaux et plateformes. Cependant, avant d’aller plus loin dans une intervention réglementaire (non explicitement demandée par l’Arcep), il faudrait étudier le vrai niveau d’« incontournabilité » et les défaillances du marché engendrés par les plateformes numériques et l’écosystème actuel des terminaux. Dans une étude de 2014 l’Autorité de la concurrence française et de son homologue britannique (6) ont conclu que les écosystèmes numériques fermés n’étaient pas plus nuisibles pour le consommateur que les écosystèmes ouverts. Les deux systèmes peuvent conduire à des comportements anticoncurrentiels, sans pour autant que ce ne soit une fatalité. Ainsi, le caractère « incontournable » des terminaux et des plateformes, et les effets de verrouillage (au détriment des utilisateurs) qui en découlent, ne sont pas systématiques au point de mériter une régulation ciblée.

Notion de « communications numériques »
• Elargir la notion de « services de communications électroniques » aux
« communications numériques ». L’Arcep déclare vouloir s’engager au deuxième semestre 2016 sur une revue de la notion d’acteurs définis comme opérateurs de communications électroniques, au regard notamment des fournisseurs de services numériques (VPN (7), messagerie électroniques, …). Analysys Mason et Hogan Lovells ont d’ailleurs déjà travaillé en 2011 sur cette problématique pour l’Arcep en rédigeant une étude sur le périmètre de la notion d’opérateur de communications électroniques (8). De manière associée, l’Arcep participera à la révision du cadre réglementaire européen pour veiller à la prise en compte de services OTT (Over-The-Top). Dans sa contribution à la consultation publique de la Commission européenne sur la révision
du cadre européen des télécoms (9), l’Arcep introduit ainsi la notion de régulation de communications numériques.

Tous les pays ne sont pas d’accord
La France semble ainsi partisane d’une extension de la régulation existante vers les activités numériques, alors que d’autres pays tels que le Royaume Uni et les pays nordiques restent hostiles à une extension de la réglementation existante. Cet élargissement, est loin d’être anodin et pourrait avoir un impact structurant sur l’écosystème numérique dans la mesure où les services de messageries et vocaux OTT (Skype to Skype, Viber, WhatsApp, iMessages, …) échappent pour l’instant à toute régulation sectorielle. Lors de l’élaboration des directives européennes de 2002, la notion de « service de communication électronique » a été définie de manière étroite pour éviter un débordement de la régulation des télécommunications vers les applications numériques. Les services et applications Internet devaient notamment rester en dehors de la sphère de régulation des télécommunications, afin d’encourager l’innovation et la croissance, traduisant la crainte d’une sur-régulation des « marchés émergents ».
Avant d’étendre la sphère de la régulation, il faudrait préciser la nécessité de le faire. Une problématique-clé pour les services OTT pourrait concerner l’application des règles d’interceptions légales. Mais d’autres sujets – tels que l’interconnexion, l’accès aux ressources rares, le service universel, et la protection du consommateur – ne semblent pas jusqu’à présent justifier une extension de la régulation des services de communications électroniques vers les services OTT.
• Le recours à la collecte d’information par des outils de production participative (crowdsourcing). Un chantier « Crowdsourcing » a été identifié comme prioritaire pour l’Arcep. Ce chantier consiste à nouer des partenariats et, le cas échéant, créer en propre des outils de crowdsourcing pour enrichir les données concernant la qualité de service et la couverture des réseaux. Cette évolution est intéressante dans la mesure où elle permettra à l’Arcep de mesurer l’expérience-client réellement perçue par les utilisateurs, et ainsi de monter en pertinence. Toutefois, plusieurs acteurs se sont déjà positionnés sur la mesure de services télécoms en crowdsourcing tels que Speedtest ou RootMetrics. Dans ce contexte, l’intervention de l’Arcep pourrait impacter le modèle économique et les rapports de force entre acteurs.
• L’Arcep deviendra-t-elle l’agence de protection des consommateurs sur
Internet ?
A un moment où la régulation asymétrique des télécommunications a tendance à se réduire, l’Arcep doit-elle devenir une agence de protection du consommateur sur Internet ? D’autres institutions telles que la DGCCRF, la Cnil et le CSA (10) ont vocation à appliquer des règles de protection du consommateur. La vraie question donc est
de savoir si l’Arcep doit évoluer vers une autorité de protection du consommateur sur Internet et dans ce contexte, si elle peut ou doit, pour des raisons de cohérence et d’efficacité, partager cette responsabilité avec d’autres régulateurs. L’Arcep est connue pour la qualité de ses analyses économiques, techniques et juridiques. L’Arcep serait probablement très bien placée pour remplir le rôle d’agence de protection des consommateurs sur Internet. Mais ce n’est pas sa vocation d’origine. Il reste par ailleurs la question de fond : les différentes activités économiques qui se déploient sur Internet ne sont-elles pas déjà suffisamment régulées ? Le Conseil d’analyse économique (CAE), qui dépend des services du Premier ministre, recommande d’« éviter de créer un “secteur du numérique”, quels qu’en soient les contours, auquel s’appliqueraient des régimes particuliers » (11). Selon le CAE, il est « de toute façon vain de chercher à définir un secteur numérique ».
• Encourager l’expérimentation. L’Arcep préconise un « cadre législatif d’expérimentation », faisant écho des recommandations du CAE pour « un droit à l’expérimentation pour les entreprises innovantes ». Compte tenu de l’évolution rapide des marchés et technologies numériques, le régulateur ne peut pas anticiper tous les effets de son action sur l’écosystème numérique, et notamment sur l’innovation et la croissance.

Risque d’une régulation à deux vitesses D’où la théorie de la « régulation expérimentale » (12) ou « adaptative » (13) qui permettrait de laisser émerger de nouveaux modèles économiques à une échelle réduite avec un mode de régulation légère et adaptable. Cette idée est pertinente, mais difficile à appliquer en pratique sans tomber dans un système de régulation à deux vitesses, où les acteurs établis seraient soumis à un ensemble de règles assez contraignantes, alors que les start-up voulant les concurrencer en seraient exonérées. Une telle approche pourrait être qualifiée de discriminatoire, et aurait tendance à pénaliser la réussite des acteurs établis. @

Société de l’information : vers une généralisation du signalement des incidents de sécurité

Publié le par

L’Union européenne va adopter deux textes majeurs qui vont étendre et renforcer les responsabilités des entreprises et des acteurs du Net dans la société de l’information : la nouvelle directive « Cybersécurité » et le règlement « Protection des données personnelles ».

Par Christophe Clarenc, cabinet Dunaud Clarenc Combles & Associés

Les prochaines adoptions, d’une part, de la nouvelle directive
en faveur d’un niveau élevé commun de sécurité des réseaux
et systèmes d’information, et, d’autre part, du règlement général sur la protection des données personnelles confirment un renforcement de la cyber-responsabilité des entreprises à travers notamment une généralisation de l’obligation de signaler les incidents et violations de sécurité.

Dépendance critique
Les promesses et la pérennité même de la « société de l’information » promue au sein de l’Union européenne (UE) dépendent de la sécurité des technologies, systèmes et traitements d’information qui la sous-tendent et la structurent. Cette dépendance est critique, à mesure tout à la fois : de la vulnérabilité intrinsèque de ces dispositifs informatiques, de la vulnérabilité systémique résultant de l’interconnexion et de la sous-traitance en chaîne de ces dispositifs dans le cyberespace, de l’actuelle dépendance vis-à-vis des dispositifs de traitement et de sécurité étrangers, ainsi que des actes, menaces et enjeux démultipliés de cyberattaques. A quoi s’ajoutent la protection et
la transparence souvent insuffisantes des entreprises devant les incidents et violations de sécurité, et, enfin, la confiance nécessaire des citoyens-consommateurs dans cette société de l’information (1).
La législation européenne a déjà défini la notion et les risques, exigences et moyens génériques de sécurité (disponibilité, authenticité, intégrité et confidentialité) des réseaux et systèmes d’information (RSI), et a imparti différentes obligations de sécurité pour les opérateurs de communications électroniques et pour les responsables de traitements de données à caractère personnel. La directive sur la sécurité des réseaux et systèmes d’information (SRI) et le règlement général sur la protection des données personnelles viendront étendre et renforcer ces obligations, et en forcer le respect par une généralisation de l’obligation de signaler les incidents et violations de sécurité et des sanctions dissuasives en cas de manquement.

C’est en février 2013 que la Commission européenne a présenté une proposition de directive concernant des mesures destinées à assurer un niveau élevé commun de SRI dans l’UE (directive dite « Cybersécurité »). Un accord « trilogue » (2) est intervenu en décembre dernier sur un texte sensiblement remanié (3) (*) (**).
Cette proposition de directive « SRI » s’inscrivait dans la continuité des travaux et des actes européens poursuivis depuis 2001 (voir encadré page suivante). Elle visait en particulier à établir des exigences élevées et communes de SRI pour les « acteurs du marché » concernés, recouvrant à la fois les prestataire de services de la société de l’information – tels que les services d’informatique en nuage, ou les moteurs de recherche comme Google ainsi que les plateformes de e-commerce comme eBay
ou Amazon – et les opérateurs d’infrastructure critique essentielle au maintien de fonctions économiques et sociétales vitales à identifier dans les domaines de l’énergie, des transports, des services bancaires, des bourses de valeur et de la santé – sous le contrôle dans chaque Etat membre de l’autorité compétente en matière de SRI. Cette proposition prévoyait notamment l’obligation pour ces acteurs de notifier à l’autorité
« les incidents qui ont un impact significatif sur la sécurité des services essentiels
qu’ils fournissent » avec pouvoir de l’autorité d’« informer le public, ou demander
[aux acteurs] de le faire, lorsqu’elle juge qu’il est dans l’intérêt général de divulguer
les informations relatives à l’incident ».

Opérateurs d’importance vitale
Cette proposition « SRI » de 2013 était fortement soutenue et inspirée par la France dans la continuité de ses préoccupations et de sa stratégie de défense et de sécurité des systèmes d’information des infrastructures nationales devant la menace majeure des cyberattaques, et de son propre dispositif – adopté dans sa loi de programmation militaire de décembre 2013 (4) – de cyber-protection des opérateurs répertoriés d’importance vitale (OIV), placé sous l’autorité du Premier ministre et de la direction
de l’Agence nationale de défense des systèmes d’information (Anssi) (5).
L’accord trilogue intervenu en décembre 20015 a sensiblement remanié le schéma
de la proposition. Il établit deux régimes de réglementation et de contrôle SRI. L’un concerne les « opérateurs de services essentiels » à identifier par chacun des Etats membres dans les secteurs de l’énergie, des transports, des services bancaires,
des marchés financiers, de la santé, de l’eau et des infrastructures numériques, caractérisés par leur rapport direct avec des infrastructures physiques. L’autre
concerne les « fournisseurs de services numériques » génériquement et limitativement appréhendés dans les domaines des places de marché en ligne, des moteurs de recherche et des services d’informatique en nuage ou cloud, également regardés comme critiques mais différenciés par leur nature transfrontière et internationale.

Responsabilités renforcées
Les opérateurs de services essentiels désignés et les fournisseurs de services numériques concernés devront notifier sans délai indu les incidents de SRI ayant un impact significatif ou substantiel sur la continuité de leurs services, avec information du public en cas de nécessité et après consultation. Les contrats de prestation conclus par ces opérateurs avec ces fournisseurs devront être soigneusement examinés. En effet, ces opérateurs seront seuls responsables de la notification des incidents affectant la continuité de leurs services causés par des incidents survenus chez ces fournisseurs-prestataires. Enfin, les entreprises non visées pourront volontairement notifier leurs incidents de SRI.
Quant au règlement général de protection des données personnelles (6), à intervenir prochainement à la suite de l’accord trilogue également trouvé en décembre dernier,
il viendra encore étendre et renforcer les responsabilités de SRI eu égard à la capacité des failles et incidents de SRI à affecter la sécurité des traitements et des données.
En effet, outre un renforcement des obligations propres à la sécurisation des traitements, il impartit à l’ensemble des entreprises responsables de traitement, sous peine de sanctions devenant très dissuasives de manquement, de dépister et conserver la trace documentaire de toute violation de données personnelles, et de notifier à l’autorité nationale compétente (en France la Cnil), sans retard indu et si possible sous 72 heures, toute violation constatée susceptible de présenter un risque pour les droits et libertés des personnes concernées, avec information de ces dernières en cas de risque élevé et non contrecarré.
La conformité « SRI » s’impose comme un facteur critique de responsabilité administrative, pénale, contractuelle et quasi-délictuelle (et d’assurance), de crédibilité, de réputation et de différenciation compétitive dans la société de l’information. @

ZOOM

Proposition de directive « SRI » : 15 ans de gestation
Depuis 2001, des travaux et des actes se sont enchaînés au niveau européen au nom de la sécurité des réseaux et de la cybersécurité. Parmi eux :
• La communication de juin 2001 invitant à une approche politique européenne en matière de SRI ;
• La directive 2002/21/CE de mars 2002 soumettant les opérateurs de communications électroniques à des mesures pour assurer la sécurité/intégrité de leurs réseaux et services ;
• Le règlement 460/2004 de mars 2004 instituant une Agence européenne chargée de la SRI (Enisa) et apportant premières définitions des systèmes d’information, des exigences génériques de SRI, des risques de SRI et de la SRI ;
• Le livre vert de novembre 2005 pour un programme européen de protection des infrastructures critiques (IC) mentionnant les technologies de l’information (TIC) ;
• La communication de mai 2006 proposant une stratégie pour une société de l’information sûre ;
• La directive 2008/114/CE de décembre 2008 relative au recensement et à la désignation des IC européennes soulignant l’intérêt d’examiner une inclusion des TIC ;
• La communication de mars 2009 concernant la protection des infrastructures d’information critiques (IIC) soulignant la criticité de certaines infrastructures TIC (7) et envisageant à cet égard de les soumettre à l’obligation de notification des incidents de sécurité concomitamment proposée pour les opérateurs de communications électroniques ;
• La proposition de septembre 2010 de directive relative aux attaques contre les systèmes d’information (dite « cybercriminalité ») qui aboutira à la directive 2013/40/UE d’août 2013 établissant infractions pénales communes d’accès illégal à des systèmes d’information, d’atteinte illégale à l’intégrité d’un système d’information, d’atteinte illégale à l’intégrité des données et d’interception illégale, et recommandant, pour renforcer la sécurité, des mesures incitant à notifier les failles de sécurité ;
• La directive 2009/140/CE de novembre 2009 (modifiant la directive 2002/21/CE) soumettant les opérateurs de communications électroniques à l’obligation de notifier à l’autorité nationale compétente « toute atteinte à la sécurité ou perte d’intégrité ayant eu un impact significatif sur le fonctionnement des réseaux ou des services » avec pouvoir de l’autorité d’« informer le public ou exiger des entreprises qu’elles le fassent dès lors qu’elle constate qu’il est d’utilité publique de divulguer les faits » ;
• La communication de février 2013 sur la stratégie de cybersécurité de l’UE introduisant notamment la proposition de directive SRI présentée à cette même date. @

La lutte renforcée contre le terrorisme jusque sur Internet risque de tuer la liberté d’expression

Publié le par

Avec le renforcement de la lutte contre le terrorisme, la victime collatérale
de l’extension des mesures – retraits de contenus, blocages de sites web, déréférencement, ou encore responsabilité engagée des acteurs du Net,
… – se trouve être la loi de 1881, fondement de la liberté d’expression.

Par Christiane Féral-Schuhl*, avocate associée, cabinet Féral-Schuhl/Sainte-Marie

En France, la loi emblématique du 29 juillet 1881 sur la liberté de la presse constitue le socle de la liberté d’expression. Elle prévoit une procédure pénale spécifique et adaptée à la nature particulière des infractions relatives à la liberté d’expression, de pensée et d’opinion. Contrairement à ce que son nom indique, ce cadre protecteur ne se limite pas à la presse mais s’applique aux propos tenus par chaque citoyen sur des écrits, des imprimés, dans des lieux ou réunions publics mais aussi sur Internet.

Régime dérogatoire et liberté
Si les abus de la liberté d’expression ont toujours existé, et si l’injure et la diffamation constituent malheureusement depuis longtemps l’essentiel des litiges portés devant les juridictions, la loi de 1881 prévoit précisément, pour sanctionner de tels abus, un régime dérogatoire sur la base d’une règle : les discours, aussi odieux soient-ils, ne peuvent pas être jugés comme les autres délits, parce qu’ils touchent à une liberté fondamentale, la liberté d’expression. Celle-ci protège, comme a pu le rappeler en 1976 la Cour européenne des droits de l’homme (CEDH), « non seulement les informations ou idées accueillies avec faveur ou considérées comme inoffensives ou indifférentes, mais aussi celles qui heurtent, choquent ou inquiètent » (1).
Mais l’Internet a indiscutablement amplifié les dérives en favorisant la diffusion des propos racistes, antisémites, homophobes, sexistes, … Il est également devenu un
« puissant vecteur d’endoctrinement conduisant des individus à se radicaliser en les incitant à commettre des actes de terrorisme » (2). Dans le contexte de menaces terroristes que nous connaissons, le gouvernement a fait voter la loi du 13 novembre 2014 (3) qui prévoit une série de mesures visant à lutter contre le terrorisme. Au nombre des mesures prévues, l’autorité administrative peut demander aux éditeurs
de sites web ou hébergeurs le retrait de contenus constitutifs de délits d’apologie du terrorisme ou de provocation à des actes de terrorisme. Elle peut également demander aux fournisseurs d’accès à Internet (FAI) le blocage des sites web, et aux moteurs de recherche et annuaires leur déréférencement. Il est également prévu que la responsabilité des acteurs du Net est susceptible d’être engagée s’ils ne retirent ou
ne bloquent pas un « contenu manifestement illicite signalé par un tiers ». A noter
que cette réserve d’interprétation – qui présente des effets pervers – a été apportée
par le Conseil constitutionnel à la disposition de la loi dite « LCEN » (4) prévoyant l’irresponsabilité sous condition des hébergeurs. Ils ne peuvent en effet pas voir leur responsabilité engagée du fait des contenus qu’ils stockent « si, dès le moment où [ils] en ont eu connaissance, [ils] ont agi promptement pour retirer ces données ou en rendre l’accès impossible ». La loi contre le terrorisme de novembre 2014 prévoit encore que l’usage d’Internet constitue une circonstance aggravante dans le cadre
de certains délits, pour « tenir compte de l’effet démultiplicateur de ce moyen de communication ».
Ces mesures ont suscité de nombreuses réserves (5) (*) (**), notamment à raison du basculement des délits d’apologie des actes terroristes et de provocation hors du champ de la loi du 29 juillet 1881. En effet, la loi du 13 novembre 2014 prévoit en lieu et place, dans le code pénal, un nouvel article 421-2-5 qui dispose : « Le fait de provoquer directement à des actes de terrorisme ou de faire publiquement l’apologie de ces actes est puni de cinq ans d’emprisonnement et de 75.000 euros d’amende. Les peines sont portées à sept ans d’emprisonnement et à 100.000 euros d’amende lorsque les faits ont été commis en utilisant un service de communication au public en ligne ».

Basculement vers le régime répressif
Ce basculement du régime dérogatoire de la liberté d’expression au régime répressif de droit commun a pour effet de faire tomber les garanties procédurales de la loi de 1881 parce qu’elles seraient de nature à rendre difficile l’accès à la justice pour les victimes. Il en est ainsi du délai trimestriel à compter de la publication, considéré par certains comme beaucoup trop court. La victime n’aurait matériellement pas le temps de réagir
à temps pour dénoncer les propos qui lui font grief.

Criminalité organisée et terrorisme
Pourtant, ce délai – au-delà duquel se prescrivent les délits et contraventions prévus par ce texte – avait déjà été prorogé à un an par la loi du 21 décembre 2012 sur la sécurité et la lutte contre le terrorisme (6), et l’on aurait pu penser que, insérés dans
le titre II du livre IV relatif au terrorisme, ces délits allaient être soumis, en matière de prescription, au régime des actes de terrorisme, c’est-àdire aux termes de l’article 706-25-1 du code de procédure pénale, à une prescription de 30 ans pour les crimes, et de 20 ans pour les délits. Telle n’a pas été la volonté du législateur qui a, en fin de compte, choisi de proroger le délai d’un an (loi du 21 décembre 2012) à trois ans (loi du 13 novembre 2014).
Il en est de même pour le recours à des procédures normalement exclues pour les délits de presse, par exemple la possibilité de recourir aux procédures de convocation par procès-verbal, de comparution immédiate, ou encore de comparution sur reconnaissance préalable de culpabilité (CRPC). Pourtant, ici encore, l’adaptation de
la loi de 1881 est non seulement possible mais a déjà été mise en oeuvre pour ces infractions, notamment par la loi du 14 mars 2011 sur la sécurité intérieure, loi dite
« Loppsi 2 » (7), qui a autorisé pour la provocation et l’apologie du terrorisme l’emploi de l’enquête sous pseudonyme.
On aurait pu penser que le législateur allait recourir aux procédures applicables en matière de criminalité organisée dont relève le terrorisme. Tel n’est pas le cas puisque certaines dispositions applicables au terrorisme ont été expressément écartées pour ces infractions – par exemple : la garde à vue ne pourra pas être prolongée jusqu’à 96 heures ; l’intervention de l’avocat ne pourra pas être reportée ; les perquisitions ne pourront pas avoir lieu en dehors des heures légales…
Sur ces différents points, l’adaptation de la loi de 1881 restait en tout état de cause possible, à l’exemple toujours de la loi du 21 décembre 2012 relative à la sécurité et à la lutte contre le terrorisme, qui a rendu possible la détention provisoire des personnes mises en examen pour ces infractions et domiciliées en France (loi de 1881, article 52).

Si l’on peut bien sûr comprendre, adhérer et encourager les mesures gouvernementales qui doivent être prises pour lutter contre le terrorisme, un constat s’impose : avec le nouveau dispositif, c’est tout l’équilibre du droit fondamental de la liberté d’expression qui s’effondre. Et une chose est sûre, le basculement des délits d’apologie des actes terroristes et de provocation au terrorisme vers le Code pénal préfigure le basculement à intervenir pour d’autres infractions.
Le président de la République, François Hollande, avait annoncé à l’occasion de ses voeux du 31 décembre 2014, qu’il entendait faire de la lutte contre le racisme et l’antisémitisme une grande cause nationale pour l’année 2015 (finalement, c’est la lutte contre le dérèglement climatique qui a reçu ce label cette année). Et le Premier ministre, Manuel Valls, a annoncé dans le plan de lutte qu’il a présenté le 17 avril 2015 que « les paroles, les écrits de haine, qu’ils soient antisémites, racistes, homophobes, ne relèvent plus du droit de la presse mais du droit pénal, avec des peines adaptées ». Il entend également faire du racisme et de l’antisémitisme une « circonstance aggravante généralisée à tous les crimes et délits » (8).
Une fois cet objectif atteint, que restera-t-il de la loi de 1881 ? Avant d’opérer cette remise en cause des principes de la loi de 1881, pourquoi ne pas explorer, conformément aux recommandations de la CNCDH, les améliorations législatives à apporter à la loi de 1881, notamment celles visant à « mieux lutter contre la prolifération des discours de haine sur Internet par des internautes non professionnels et [à] faciliter l’accès des victimes à la justice » ?

La loi existe ; les outils manquent
Ce qui nous manque aujourd’hui, ce n’est pas tant le texte, qui existe, mais bien les outils pour obtenir le retrait effectif des contenus illicites et identifier les auteurs des délits pour pouvoir les poursuivre. Pourquoi ne pas explorer la facilitation d’accès à la plainte en ligne ?
Pourquoi ne pas renforcer la plate-forme nationale Pharos (Plateforme d’harmonisation, d’analyse, de recoupement et d’orientation des signalements) qui permet le signalement et la détection des contenus ? Pourquoi ne pas encadrer et accélérer la procédure de déréférencement des propos diffamatoires ? @

* Christiane Féral-Schuhl, ancien bâtonnier du Barreau
de Paris. Elle est co-présidente de la Commission
de réflexion sur le droit et les libertés
à l’âge du numérique, à l’Assemblée nationale.