La nouvelle super-régulation d’Internet se met en place en Europe, avec l’Arcom en soutien pour la France

Le Digital Services Act (DSA) entre entièrement en application le 17 février 2024 dans les Vingt-sept. L’Arcom devient pour la France le « Coordinateur pour les services numériques » (DSC) et l’un des vingt-sept membres du « Comité européen des services numériques » (EBDS) présidé par la Commission européenne.

Il n’y aura pas de super-régulateur européen d’Internet, mais c’est tout comme. Avec le règlement sur les services numériques, le DSA (Digital Services Act), qui entre pleinement en application le 17 février, l’Union européenne (UE) devient la première région du monde à mettre en place une vaste « régulation systémique » de l’Internet. Elle va s’articuler autour du Comité européen des services numériques (EBDS), présidé par la Commission européenne et assisté – pour chacun des vingt-sept Etats membres – d’un Coordinateur pour les services numériques (DSC). Pour la France, c’est l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) qui est désignée DSC par la loi « Sécuriser et réguler l’espace numérique » (SREN) dont le vote définitif est attendu en mars. « Pour moi, europhile, je crois qu’on a la chance d’être sur un continent pionnier dans la régulation des grands acteurs du numérique. On peut espérer que ce règlement aura un effet de jurisprudence : ce que les plateformes feront sur le continent européen pour se conformer aux obligations du DSA, elles pourront le faire dans d’autres pays », a déclaré le 1er février Roch-Olivier Maistre (photo), président de l’Arcom.

Un Comité européen et 27 Coordinateurs nationaux
« Je suis heureux d’être sur un continent qui tente quelque chose, sans être ni le modèle chinois ni le modèle américain. C’est une tierce-voix qui est conforme à la protection de la liberté et du public », a-t-il ajouté devant l’Association des journalistes médias (AJM), dont il était l’invité. Pour assurer cette nouvelle « super-régulation » du Net dans les Vingt-sept, la Commission européenne et les régulateurs nationaux vont travailler main dans la main. Le Comité européen des services numériques (EBDS (1)), créé à cet effet, est chapeauté par la Commission européenne elle-même et composé de « hauts fonctionnaires » représentant, chacun, le Coordinateur national pour les services numériques (DSC (2)) d’un Etat membre – à savoir l’Arcom pour la France, en liaison avec la Cnil et l’Autorité de la concurrence. « Pour les très grandes plateformes, qui comptent chacunes au moins 45 millions d’utilisateurs par mois en moyenne dans l’UE et pour lesquelles le DSA est entré en vigueur le 25 août 2023, c’est la Commission européenne qui Continuer la lecture

Position dominante de Qualcomm: une amende de 1 milliard d’euros annulée peut en cacher une autre

Le Snapdragon Summit, grand-messe annuelle de l’américain Qualcomm, a eu lieu cette année les 15 et 16 novembre en livestream d’Hawaï, loin du tribunal de Luxembourg. Le numéro un mondial des puces pour smartphones reste dans le collimateur de la Commission européenne.

près le tribunal de l’Union européenne au Luxembourg, les cocotiers sous le soleil d’Hawaï pour son Snapdragon Summit… Qualcomm – numéro un mondial des micro-processeurs pour smartphones et tablettes – peut continuer à conforter sa position dominante sur ce marché colossal. La Commission européenne a décidé de ne pas faire appel de l’arrêt annulant le 15 juin 2022 l’amende de 997,4 millions d’euros qu’elle avait infligée en janvier 2018 au fabricant américain de puces pour abus de position dominante, en pratiquant avec Apple des « tarifs d’exclusivité » (1).

« Tarifs d’exclusivité », non tranchés au fond
« La Commission européenne a étudié attentivement l’arrêt du tribunal de l’Union européenne dans l’affaire Qualcomm et a décidé de ne pas saisir la Cour de justice de l’Union européenne (CJUE) », a-t-elle indiqué à Edition Multimédi@, confirmant une information de Reuters datant de fin août (2). Pour autant, un autre recours de Qualcomm contre une deuxième décision de Bruxelles le condamnant à une amende dans l’affaire cette fois des « prix d’éviction » est actuellement instruite par le même tribunal de l’UE. Pour avoir facturé « des prix inférieurs aux coûts dans le but de forcer ses concurrents à quitter le marché », Qualcomm avait écopé le 18 juillet 2019 de 242 millions d’euros d’amende (3) mais le fabricant américain avait demandé en appel d’annuler cette décision. Ce verdict ne devrait pas tarder.
En attendant, l’arrêt de la première affaire – publié au Journal Officiel de l’UE le 15 juillet (4) est un revers majeur pour Margrethe Vestager, vice-présidente exécutive de la Commission européenne en charge du Numérique et, depuis novembre 2014, de la Concurrence. L’amende de près de 1 milliard d’euros infligée à Qualcomm en janvier 2018 sanctionnait un abus de position dominante sur le marché mondial des chipsets à la norme LTE (Long Term Evolution), le standard international des 3G et 4G. La sanction représentait 4.9 % du chiffre d’affaires de Qualcomm en 2017.
La firme de San Diego, qui fournit ses puces à Samsung (numéro un mondial des smartphones), Apple, Xiaomi, Huawei, HTC, LG ou ZTE, est toujours en tête de ce marché étendu à la 5G. Il était notamment reproché à Qualcomm d’avoir accordé à Apple des « paiement d’exclusivité » pour que le fabricant d’iPhone et d’iPad ne se fournisse que chez lui en puces, ce que Bruxelles avait considéré comme un « abus de position dominante » à « effets anticoncurrentiels ». La Commission européenne avait même révélé que « Qualcomm avait payé à Apple une somme comprise entre 2 et 3 milliards de dollars » pour obtenir cette exclusivité, de 2011 à 2015 (5). Ce qui aurait dissuadé Apple d’aller voir la concurrence, dont Intel. Ces accords avaient cependant pris fin à la suite du lancement par Apple, le 16 septembre 2016, des iPhone 7 intégrant des chipsets d’Intel.
Le tribunal de Luxembourg a annulé toute la décision de la Commission européenne en raison d’« irrégularités procédurales ayant affecté les droits de la défense de Qualcomm », d’une part, et, d’« illégalité » de l’analyse des effets anticoncurrentiels des « paiements incitatifs » dits d’exclusivité, d’autre part. Et n’aurait pas été pris en compte le fait qu’à l’époque « Apple n’avait pas d’alternative technique aux chipsets LTE de Qualcomm pour [ses] iPhone ». En outre, la Commission européenne n’avait pas fourni de notes et d’informations sur le contenu des réunions et des conférences téléphoniques qu’elle a eues avec les tiers comme Apple ou Nvidia. Ce qui ne respectait pas les droits de la défense de Qualcomm. La Commission européenne indique à Edition Multimédi@ qu’elle a « le devoir de protéger (…) l’identité des tiers qui ont présenté des demandes justifiées de garder l’anonymat en raison du risque de représailles ». Autre reproche : la Commission européenne se limitait à retenir un abus de position dominante sur le seul marché des chipsets LTE, alors que la communication des griefs portait aussi sur des puces UMTS (6).
S’est ainsi achevée cette première procédure antitrust et judicaire de plus de huit ans qui s’est ouverte en août 2014 par l’enquête de la Commission européenne. Et sans que la CJUE n’ait in fine eu son mot à dire en appel sur « tarifs d’exclusivité » aux « effets d’éviction » de la concurrence.

Accord pluriannuel avec Samsung
Après deux années sous tension (pandémie, pénurie de puces et tribunal), la firme de San Diego – dirigée depuis fin juin 2021 par Cristiano Amon (photo) – peut continuer à prospérer sur le marché des smartphones. Avec sa nouvelle puce « Snapdragon 8 Gen 2 », Qualcomm compte bien remporter à nouveau la mise avec Noël. Samsung (7) abandonne sa propre puce Exynos pour le nouveau chipset de Qualcomm pour ses prochains Galaxy (passant de 75 % des S22 à 100% des S23) grâce à un « accord pluriannuel » dont les termes restent bien sûr sous le secret des affaires. @

Charles de Laubier

Pourquoi WhatsApp a écopé en Europe d’une amende ré-évaluée à 225 millions d’euros

La « Cnil » irlandaise avait proposé fin 2020 à ses homologues européennes de mettre à l’amende WhatsApp et sa maison mère Facebook à hauteur de 30 à 50 millions d’euros. « Insuffisant ! », ont-elles estimé. Leur comité européen (CEPD) leur a donné raison et la note a plus que quadruplé.

La « Cnil » irlandaise, en l’occurrence la Data Protection Commission (DPC) dirigée par la commissaire Helen Dixon (photo de gauche), a annoncé le 2 septembre 2021 avoir infligé une amende de 225 millions d’euros à la société WhatsApp pour ne pas avoir respecté le règlement européen sur la protection des données personnelles (RGPD) – un record après la condamnation d’Amazon au Luxembourg à payer une sanction pécuniaire de 746 millions d’euros pour avoir aussi enfreint ce même RGPD.

Amende administrative insuffisante
WhatsApp devrait faire appel de cette décision. La filiale de Facebook, dont le siège européen est basé à Dublin (capitale de l’Irlande), a non seulement écopé d’une amende salée mais aussi reçu une « réprimande » – autrement dit un blâme – et une injonction de se mettre en conformité avec le RGPD (1), lequel est en vigueur depuis le 25 mai 2018. C’est d’ailleurs moins de six mois après cette date d’application que la « Cnil » irlandaise avait débuté son enquête (à partir du 10 décembre 2018) sur les pratiques de WhatsApp en termes de transparence des informations devant être fournies aux utilisateurs de cette messagerie instantanée comme aux non-utilisateurs du service.
« Cela comprend les informations fournies aux personnes concernées sur le traitement des données entre WhatsApp et d’autres entreprises Facebook [le réseau social Facebook, la plateforme de partage de photos et de vidéo Instagram, ou encore la messagerie Messenger, ndlr] », a précisé la DPC qui, conformément à l’article 60 du RGPD, s’est constituée en « chef de file » des autres autorités de contrôle (visà- vis donc des autres « Cnil » dans l’Union européenne) afin de « s’effor[cer] de parvenir à un consensus » entre elles. Après des mois d’enquête, la DPC avait soumis un projet de décision en décembre 2020 à toutes ses homologues européennes. Mais faut de consensus sur les objections de huit « Cnil » sur les vingt-sept, l’autorité irlandaise a déclenché le processus de règlement de différends le 3 juin dernier. Ce mécanisme de contrôle de la cohérence peu aboutir à ce que le Comité européen de la protection des données (CEPD) – ou European Data Protection Board (EDPB) – adopte une décision contraignante, comme ce fut le cas dans l’affaire « WhatsApp ». En effet, le 28 juillet 2021, cet organe européen indépendant présidé par Andrea Jelinek (photo de droite) – successeur du groupe de travail dit « Article 29 » sur la protection des données – a rendu sa décision. Notifiée à la « Cnil » irlandaise, celle-ci a été obligée « à réévaluer et à augmenter l’amende proposée sur la base d’un certain nombre de facteurs » détaillés dans la décision contraignante. C’est ainsi que la société WhatsApp Ireland Limited s’est vu imposer une amende de 225 millions d’euros. « Le CEPD charge la DPC de fixer un montant d’amende plus élevé pour les infractions constatées, par rapport à l’amende administrative envisagée dans le projet de décision, tout en restant conforme aux critères d’efficacité, la proportionnalité et la dissuasion », a notamment exigé le comité européen. Dans son projet de sanction établi en 2020, la « Cnil » irlandaise avait calculé son amende sur la base du chiffre d’affaires combiné du groupe Facebook (Inc.) et de sa filiale WhatsApp en Irlande pour l’année se terminant le 31 décembre 2019. Elle a cependant dû revoir à la hausse le montant, étant donné que sa décision finale allait intervenir cette année, donc devant se référer au chiffre d’affaires au 31 décembre 2020 – et en tenant compte de la hausse de 15 % environ de ces revenus annuels.
Quels sont les griefs faits à WhatsApp ? Plusieurs violations du RGPD ont été constatées non seulement pas la « Cnil » irlandaise mais aussi par ses homologues européennes qui ont obtenu auprès du CEPD un durcissement de la décision finale de la DPC sur certains points :
• Informations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée (article 13) : le CEPD charge la DPC de « constater dans sa décision finale qu’il y a eu infraction à [fournir les informations sur les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, ndlr (2)] » sur la base des insuffisances qu’elle a identifiées.

Anonymisation des données personnelles
En outre, le CEPD exige que la DPC inclue dans sa décision finale une constatation de violation – « au lieu de formuler une simple recommandation » – de l’obligation pour WhatsApp de fournir aux personnes concernées les informations complémentaires, notamment « sur la question de savoir si l’exigence de fourniture de données à caractère personnel a un caractère réglementaire ou contractuel ou si elle conditionne la conclusion d’un contrat et si la personne concernée est tenue de fournir les données à caractère personnel, ainsi que sur les conséquences éventuelles de la non-fourniture de ces données » (3) .
• Risques pour les libertés et droits fondamentaux des personnes concernées (article 4) : le CEPD conclut que le « tableau des hachures avec perte » (dans le cadre de la procédure dite de Lossy Hashing censée anonymiser les données personnelles), ainsi que les numéros de téléphone des utilisateurs associés en tant que liste de non-utilisateurs, constituent des données personnelles, et demande à la DPC de modifier son projet de décision en conséquence pour éviter un risques pour les libertés et droits fondamentaux des personnes concernées (4).

Objections et griefs des autres « Cnil »
De plus, le CEPD exige de la DPC qu’elle modifie son projet de décision « de manière à ce que le délai de six mois pour la conformité soit réduit à une période de trois mois » – à savoir a priori jusqu’au 2 décembre 2021 par rapport au 2 septembre de la décision finale.
• Principes relatifs au traitement des données à caractère personnel (article 5) : Compte tenu de la gravité, de la nature générale et de l’impact des infractions, la DPC est tenue d’inclure dans sa décision finale une constatation de violation du principe de transparence (5) selon lequel « les données à caractère personnel doivent être traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ».
• Informations à fournir lorsque les données à caractère personnel n’ont pas été collectées auprès de la personne concernée (article 14) : La DPC est tenue, là aussi, de modifier son projet de décision pour tenir compte du fait que la violation de l’obligation d’informations à fournir sur le traitement des données des non-utilisateurs sous la forme de listes de non-utilisateurs après la procédure d’anonymisation des données personnelles (Lossy Hashing).
• Concernant l’amende administrative : le CEPD charge la DPC de modifier son projet de décision afin de tenir compte du chiffre d’affaires total de toutes les sociétés composant l’entreprise unique Facebook (WhatsApp, Instagram inclus) pour calculer le montant de l’amende elle-même, et considérer la date de la décision finale (2021) à partir de laquelle les revenus de l’exercice précédent (2020) devrait être considéré.
• Concernant l’amende administrative (article 83) : la DPC a été contrainte d’amender son projet de décision afin de prendre également en compte les autres infractions – en plus de l’infraction la plus grave – dans le calcul de l’amende (6), sous réserve des critères d’efficacité, de proportionnalité et de dissuasion (7). Compte tenu du chiffre d’affaires annuel global de Facebook, ainsi que des infractions constatées et des facteurs aggravants correctement identifiés par la DPC, le CEPD a estimé que l’amende administrative initiale envisagée par la « Cnil » irlandaise – à savoir entre 30 et 50 millions d’euros – n’était pas suffisante et lui a demandé de la réévaluer. Pour autant, bien que les 225 millions d’euros représentent plus de quatre fois l’amende initialement envisagée par l’Irlande et qu’elle soit la deuxième plus élevée dans les sanctions pécuniaires sur les données personnelles en Europe, la somme à payer par Facebook ne représente que… 0,08 % de son chiffre d’affaires concerné. Mais pour la firme de Mark Zuckerberg, qui avait tenté en vain de bloquer l’enquête de la « Cnil » irlandaise devant la Haute cour de justice du pays, la sanction est jugée disproportionnée. « Le RGPD prévoit des amendes allant jusqu’à 4 % du chiffre d’affaires. Cela montre à quel point la DPC est encore extrêmement dysfonctionnelle », a taclé le 2 septembre l’Autrichien Max Schrems (photo ci-dessous), président de l’organisation à but non lucratif Noyb dont il est le fondateur (8).
Cette décision contraignante (9) adoptée par le CEPD dans la torpeur de l’été (le 28 juillet 2021 donc) a non seulement été adressée à la « Cnil » irlandaise mais aussi à ses homologues de l’Union européenne. La DPC a ainsi durci et annoncé sa décision finale rectifiée début septembre (10). La DPC avait un délai d’un mois à compter de la réception de la décision contraignante pour transmettre sa décision finale corrigée à la présidente du CEPD, actuellement Andrea Jelinek. La décision contraignante et la décision finale (11) qui en découle ont été rendues publiques (12).
Ce verdict à l’encontre de Facebook-WhatsApp fera date, en Europe mais aussi dans le monde. Cela restera un cas d’école pour tous les praticiens et les garants de la vie privée. Bien d’autre plaintes sont déjà sur le bureau de la DPC. Mais Facebook n’est pas au bout de ses peines, notamment depuis que WhatsApp a annoncé en début d’année à ses 2milliards d’utilisateurs de nouvelles conditions d’utilisation permettant – depuis mi-mai (13) – des transferts de données personnelles vers le réseau social.

Les « amis » consommateurs se rebiffent
C’est sur ces nouvelles règles controversées de WhatsApp que le Bureau européen des unions de consommateurs (Beuc) et huit de ses membres – dont l’association UFC-Que Choisir en France – ont déposé plainte contre la filiale de Facebook le 12 juillet dernier auprès de la Commission européenne et du CPC, réseau européen des autorités de consommateurs (14). Le Beuc accuse le numéro un mondial des réseaux sociaux de « violations multiples des droits des consommateurs de l’UE » et de « pressions indues sur ses utilisateurs pour qu’ils acceptent ses nouvelles conditions d’utilisation et sa politique de confidentialité » (15), alors qu’elles ne sont ni transparentes ni compréhensibles pour les internautes. @

Charles de Laubier

Réforme audiovisuelle : la lutte contre le piratage sur Internet en France fait sa mue législative

Dix ans après le lancement de la « réponse graduée » instaurée par les lois « Hadopi », la lutte contre le piratage sur Internet cherche un second souffle auprès du législateur. Dans le cadre du projet de loi sur la réforme de l’audiovisuel se dessine un nouvel arsenal contre les sites web pirates.

Le projet de loi sur « la communication audiovisuelle et la souveraineté culturelle à l’ère numérique » a été passé au crible début mars par la commission des affaires culturelles et de l’éducation de l’Assemblée nationale, sous la houlette de la rapporteure générale Aurore Bergé (photo). Les députés devaient en débattre du 31 mars au 10 avril, mais les premières séances publiques ont été annulées pour cause d’urgences législatives face au coronavirus (1). Au-delà de la réforme de l’audiovisuel, c’est la lutte contre le piratage qui prend le tournant du streaming.

4 missions « anti-piratage » de l’Arcom
L’Autorité de régulation de la communication audiovisuelle et numérique – la future Arcom, issue de la fusion de l’Hadopi et du CSA – se voit notamment attribuer quatre missions en vue de renforcer la lutte contre la contrefaçon sur Internet :
• « Une mission de protection des œuvres et des objets auxquels sont attachés un droit d’auteur ou un droit voisin et des droits d’exploitation audiovisuelle prévus à l’article L. 333-1 du code du sport (2), à l’égard des atteintes aux droits d’auteurs et aux droits voisins commises sur les réseaux de communications électroniques utilisés pour la fourniture de services de communication au public en ligne. Elle mène en outre des actions de sensibilisation, notamment auprès des publics scolaires » (3).
Sur ce dernier point, il est prévu que l’Arcom fasse la promotion du respect des droits d’auteur et des droits voisins sur Internet et qu’elle informe le public sur les dangers des pratiques illicites en ligne. Pour cela, ont ajouté les rapporteures Aurore Bergé et Sophie Mette dans un amendement, l’Arcom met à cette fin, en milieu scolaire, des ressources et des outils pédagogiques à la disposition de la communauté éducative (4).
• « Une mission d’encouragement au développement de l’offre légale et d’observation de l’utilisation licite et illicite sur les réseaux de communications électroniques utilisés pour la fourniture de services de communication au public en ligne de ces œuvres et objets ». Il est en outre prévu que « l’Arcom développe des outils visant à renforcer la visibilité et le référencement de l’offre légale auprès du public », car, constatent les députées Aurore Bergé (LREM) et Sophie Mette (Modem) dans un autre de leurs amendements, des services illicites sont régulièrement présents, notamment en première page des résultats de recherche, là où la future Arcom veillera à l’amélioration du référencement des offres légales pour que celles-ci apparaissent en tête des résultats des moteurs de recherche (5).
• « Une mission de régulation et de veille dans le domaine des mesures techniques de protection et d’identification des œuvres et des objets protégés par un droit d’auteur ou par un droit voisin ».
• « Une mission de prévention et d’information auprès de tous les publics, notamment des plus jeunes, sur les risques et les conséquences du piratage d’œuvres protégées par le droit d’auteur et de contenus sportifs ». Pour remplir ses quatre missions, l’Arcom sera tenue d’adopter des recommandations, des guides de bonnes pratiques, des modèles et clauses types ainsi que des codes de conduite. Ces mesures ont pour but de « favoriser, d’une part, l’information du public sur l’existence des moyens de sécurisation [de leur accès à Internet, ndlr] et, d’autre part, la signature d’accords volontaires susceptibles de contribuer à remédier aux atteintes, y compris financières, au droit d’auteur et aux droits voisins ou aux droits d’exploitation audiovisuelle (…) ». C’est le député (LR) Jean- Jacques Gaultier qui a obtenu par un amendement en commission de rajouter « y compris financières », en justifiant notamment que l’Arcom devra être en mesure, selon lui, de connaître des pratiques de certains éditeurs de services de communication qui, par exemple, peuvent arrêter de payer la rémunération des auteurs collectée par les organismes de gestions collectives, pour contraindre celles-ci à admettre leur seul point de vue financier. Cette précision vise en particulier Google qui refuse toujours de payer pour les liens hypertextes vers des articles qui apparaissent dans les résultats de recherches, sur Google Actualités, malgré l’entrée en vigueur en juillet 2019 de la loi instaurant ce droit voisin pour la presse (6).

Internaute : l’amende sans juge rejetée
Et ce, indépendamment du fait que le géant du Net négocie actuellement avec des médias (Le Monde, Le Figaro, Ouest- France, Le Parisien, Les Echos, …) pour trouver le moyen de financer l’information « premium ». L’Autorité de la concurrence a d’ailleurs prévu de rendre une décision dans cette affaire de « droits voisins » qui oppose Google et la presse (7). Alors que la « réponse graduée » de l’actuelle Hadopi relève plus de la force de dissuasion que de la répression (des millions de recommandations et d’avertissements pour in fine quelques centaines de sanctions pénales devant le juge), l’instauration d’une amende prononcée par l’Arcom était demandée par les industries culturelles et les ayants droits. « Il faut aller plus loin en permettant de rétablir une réponse graduée véritablement efficace. C’est tout le sens de la proposition de transaction pénale que nous soutenons : une sanction simple, après deux rappels à la loi, pour réaffirmer que le piratage est un vol que le pays de l’exception culturelle ne peut tolérer plus longtemps », avaient plaidé le 28 février vingt-six organisations professionnelles : l’Alpa, la SACD, l’ARP, la Ficam, la Sacem, la Scam, l’UPC, le SEVN, ou encore la Guilde française des scénaristes (8).

Sport versus IPTV illicite et sites miroirs
La députée des Yvelines, Aurore Bergé, a soutenu le même jour en commission à l’Assemblée nationale – mais contre l’avis du gouvernement, alors qu’elle est pourtant LREM – un amendement pour cette « transaction pénale » (9) que la future Arcom aurait eu le pouvoir de conclure avec l’internaute présumé pirate, et sans passer par le juge. Mais elle s’était heurtée le 26 février au ministre de la Culture, Franck Riester, défavorable : « Le gouvernement souhaite (…) doter l’Arcom de nouveaux outils (…), a-t-il dit : dispositif de lutte contre les sites miroirs, dispositif de lutte contre le piratage des événements sportifs en ligne, liste noire des sites contrevenants pour sensibiliser les intermédiaires. (…) Mais nous ne voulons pas les durcir à l’excès en mettant en place un système de transaction pénale, par exemple ».
Pour lutter cette fois contre la retransmission illicite des manifestations et compétitions sportives, le nouvel arsenal consiste à permettre au « titulaire de droit » (droit d’exploitation audiovisuelle, droit voisin d’une entreprise de communication audiovisuelle, droit acquis à titre exclusif par contrat ou accord d’exploitation audiovisuelle, …) de saisir – en procédure accélérée au fond ou en référé – le président du tribunal judiciaire pour obtenir « toutes mesures proportionnées » destinée à prévenir ou à faire cesser ce piratage « sportif ». Il s’agit d’empêcher rapidement la pratique, entre autres, du live streaming illégal de chaînes payantes, appelé « IPTV illicite », ainsi que de lutter contre les sites miroirs contrevenants. Outre les titulaires de droit, une ligue sportive professionnelle ou une société de communication audiovisuelle peuvent saisir le juge. « Le président du tribunal judiciaire peut notamment ordonner, au besoin sous astreinte, la mise en œuvre, pour chacune des journées figurant au calendrier officiel de la compétition ou de la manifestation sportive, dans la limite d’une durée de 12 mois, de toutes mesures proportionnées, telles que des mesures de blocage, de retrait ou de déréférencement, propres à empêcher l’accès à partir du territoire français, à tout service de communication au public en ligne identifié ou qui n’a pas été identifié à la date de ladite ordonnance diffusant illicitement la compétition ou manifestation sportive, (…) sans autorisation », prévoir le projet de loi audiovisuel.
Pour la mise en œuvre de l’ordonnance du juge, l’Arcom aura le pourvoir d’exiger de « toute personne susceptible de contribuer » à ce piratage de retransmission sportives d’empêcher – par le blocage, le déréférencement ou encore le retrait – l’accès aux services en ligne qui reprendrait tout ou partie du contenu jugé illicite. Ainsi, l’amendement du député (LREM) Eric Bothorel a tenu à ce que le blocage ou le retrait d’un contenu miroir ne puisse pas être uniquement demandé aux fournisseurs d’accès à Internet (FAI), aux moteurs de recherche (Google, Bing, Qwant, …), aux registrars de nom de domaine, ou aux annuaires en ligne. « Les hébergeurs mais également les fournisseurs de services de navigation sur Internet peuvent aussi jouer un rôle clé en la matière. Il importe que ces acteurs entrent également dans le champ des personnes mobilisables par l’Arcom », a-t-il justifié dans son amendement (10) adopté en commission afin de ne pas s’en tenir à une liste limitative de « contributeurs » dans la lutte contre le piratage des retransmission sportives.
Malgré leur responsabilité limitée, qui est plus que jamais contestée par les ayants droit, les hébergeurs ou les intermédiaires techniques se verraient donc dans l’obligation de retirer des contenus illicites qui leur seraient signalés (notice and take down), mais aussi d’empêcher leur réapparition sur les sites web pirates (notice and stay down). Ce dispositif s’inspire du système de blocage et de retrait de contenus pédopornographiques et terroristes, tel que supervisé par l’OCLCTIC. « Les fournisseurs d’accès ne disposent que d’une compétence de blocage d’une des voies d’accès au contenu, qui peut être contournée par des technologies telles que le VPN. Par ailleurs, les fournisseurs d’accès ne peuvent bloquer un site que dans son intégralité, ce qui peut se révéler disproportionné dans certains cas », ajoute un autre amendement (11).

Des agents « Arcom » déguisés en pirates
Des agents « habilités et assermentés » de l’Arcom pourront – « sans en être tenus pénalement responsables » (sic) – échanger en ligne « sous un pseudonyme » avec des présumés pirates, copier sur Internet des œuvres ou objets protégés par le droit d’auteur, tout en accumulant « des éléments de preuve sur ces services [pirates] » à consigner dans un procès-verbal. Mais le texte de loi précise tout de même qu’« à peine de nullité, ces actes ne peuvent avoir pour effet d’inciter autrui à commettre une infraction »… @

Charles de Laubier

Cambridge Analytica n’en finit pas de révéler ses secrets et Facebook d’en payer les pots cassés

Depuis deux ans, depuis ce lundi noir du 19 mars 2018 pour Facebook, la firme de Mark Zuckerberg – qui avait reconnu ce jour-là la collecte de plus de 50 millions d’utilisateurs du réseau social par la société Cambridge Analytica à des fins électorales aux Etats-Unis – continue d’être sanctionnée.

L’ a f faire « Cambridge Analytica » a été révélée le samedi 17 mars 2018 par le quotidien américain The New York Times aux Etats-Unis et par l’hebdomadaire dominicale britannique The Observer en Grande-Bretagne – ce dernier ayant le même propriétaire que le quotidien The Guardian, lui aussi contributeur. Ces trois journaux se sont appuyés sur les informations d’un Canadien, Christopher Wylie (photo de gauche), qui se présente depuis comme le « lanceur d’alerte » de l’affaire.

5 Mds $ d’amendes, pour l’instant
Mais il n’est pas le seul ancien collaborateur de Cambridge Analytica à avoir parlé puisque l’Américaine Brittany Kaiser (photo de droite) se présente elle aussi comme « lanceuse d’alerte » de ce même scandale. Les révélations faites ce samedi-là font l’effet d’une bombe, dont l’image de Facebook et la confiance envers le numéro un mondial des réseaux sociaux portent encore les séquelles : la société londonienne, spécialisée dans la collecte et l’exploitation massive de données plus ou moins personnelles à des fins de ciblage politique (en faveur du Parti républicain américain), est accusée d’avoir siphonné les données de plus de 50 millions d’utilisateurs de Facebook à leur insu. Elles ont servi à influencer la campagne présidentielle de Donald Trump en 2016, Cambridge Analytica ayant en outre été financé par le milliardaire américain Robert Mercer via son fonds spéculatif (hedge fund) Renaissance Technologies.
The Observer a affirmé il y a deux ans que Steve Bannon, alors conseiller technique de Donald Trump (dont il a été le directeur de campagne présidentielle) jusqu’à son éviction de la Maison Blanche à l’été 2017, a été l’un des dirigeants de Cambridge Analytica et par ailleurs patron du site web ultra-conservateur proche de l’extrême droite Breitbart News. Les révélations citent les propos de Christopher Wylie, lequel a travaillé pour la société londonienne incriminée et sa maison mère SCL Group où il est identifié dès mai 2017 par The Guardian comme « directeur de recherche » (1). Il vient de publier « Mindf*ck » chez Penguin Random House (2), tandis que Brittany Kaiser, elle, l’a devancé en faisant paraître en janvier « L’affaire Cambridge Analytica » chez HarperCollins (3). C’est donc le lundi suivant ce breaking news retentissant, soit le 19 mars 2018, que la firme de Mark Zuckerberg accuse le coup en Bourse : son action a chuté lourdement de près de 7% en une séance à Wall Street, et elle a continué de plonger de 15 % au total jusqu’au pire de la sanction boursière le 6 avril 2018. C’est que les régulateurs américain FTC (4) et britannique Information Commissionner’s Office (ICO) avaient ouvert chacun une enquête dès le 20 mars 2018. On connaît la suite : Facebook a été condamné au début de l’été 2019 par la FTC au paiement d’une amende record de 5 milliards de dollars, pour n’avoir pas géré ni protégé correctement les données personnelles de ses utilisateurs, tandis que la « Cnil » britannique (ICO) l’a condamné au maximum que lui permettait la loi britannique pour violation sur la protection des données, soit 500.000 livres (plus de 565.000 euros). « La société Cambridge Analytica s’est livrée à des pratiques trompeuses pour recueillir des informations personnelles auprès de dizaines de millions d’utilisateurs de Facebook à des fins de profilage et de ciblage des électeurs. Il ressort également qu’elle s’est livrée à des pratiques trompeuses dans le cadre du Privacy Shield (5) entre l’Union européenne et les Etats- Unis », a conclu la FTC à l’issue de sa vaste enquête bouclée en décembre dernier (6).
Mais la firme de « Zuck », dont finalement 87 millions de ses utilisateurs (américains mais aussi ailleurs dans le monde) ont été victimes des pratiques illégales de Cambridge Analytica, reste encore aujourd’hui enlisée dans des procès et mise à l’amende pour ce scandale planétaire à la hauteur du tentaculaire réseau social de 2,5 milliards d’utilisateurs. Dernière plainte en date : le 9 mars dernier, après deux ans d’enquête, la « Cnil » australienne – l’OAIC (7) – a lancé une action judiciaire contre Facebook pour avoir transmis Cambridge Analytica les données personnelles de 311.127 Australiens transmises (8). Un mois auparavant, le 6 février, c’était le Commissariat à la protection de la vie privée du Canada (OPC) qui a saisi la justice canadienne contre Facebook pour là aussi transmission de données privées à Cambridge Analytica (9).

Répercutions : Italie, Espagne, Brésil, …
En Italie cette fois, le gendarme de la concurrence AGCM a mis en garde la firme de Mark Zuckerberg qui, a-t-il constaté, continue à collecter de façon non transparente des données personnelles et à ne pas respecter ses engagements de novembre 2018 – assortis à l’époque de deux amendes pour un total de 10 millions d’euros (10). En Espagne et au Brésil, Facebook a dû aussi mettre la main au portefeuille, passant d’« ami » à « ennemi » des données personnelles. @

Charles de Laubier