Archives par mot-clé : Données

Facebook : l’Allemagne rouvre la voie à une régulation des données par le droit de la concurrence

Publié le par

Pour une surprise, c’est une surprise. La plus haute juridiction d’Allemagne a annulé une décision prise en référé par une cour d’appel du pays. Cette affaire pourrait impacter toute l’Europe puisqu’elle concerne Facebook qui se voir enjoint de cesser la fusion de données issues de plusieurs services.

Par Winston Maxwell*, Telecom Paris, Institut polytechnique de Paris

Le saga « Facebook » en Allemagne rencontre un nouveau rebondissement après la décision surprise de la Cour suprême fédérale d’Allemagne du 23 juin 2020. La « Bundesgerichtshof » (BGH) a en effet validé, au moins temporairement, la décision de l’autorité de concurrence allemande ordonnant à Facebook de cesser le traitement de données provenant de sources-tiers telles que Instagram ou de sites web tiers. La décision inédite du 6 février 2019 de l’autorité de la concurrence – la « Bundeskartellamt » – avait fait l’objet d’une suspension par la cour d’appel fédérale de Düsseldorf le 26 août 2019, suspension que la Cour suprême vient d’annuler.

Fusion des données : Facebook doit cesser
Du coup, le droit de la concurrence redevient une arme qui peut accompagner le règlement général européen sur la protection des données (RGPD) – en vigueur depuis le 25 mai 2018 – dans la lutte contre des pratiques excessives en matière de données personnelles. Cette décision pèsera dans le débat européen sur la régulation des plateformes structurantes. Comment en est-on arrivé là ? Remontons au 6 février 2019, date à laquelle l’autorité de la concurrence allemande a émis une décision inédite sur le plan mondiale : elle a jugé que la collecte excessive de données par Facebook, notamment auprès des services Instagram, WhatsApp et sites web tiers, constituait non seulement une violation du RGPD mais également un abus de position dominante au regard du droit de la concurrence.
La Bundeskartellamt – littéralement Office fédéral de lutte contre les cartels – a ordonné à Facebook de cesser cette collecte de ces données, estimant que le consentement donné par les consommateurs n’était pas valable car ceuxci n’avaient pas de véritable choix : soit on accepte de livrer ses données, soit on n’utilise pas le plus grand réseau social du monde. Dans une décision de 300 pages, l’autorité de concurrence a tenté d’argumenter que l’absence de consentement valait violation du RGPD et que cette violation valait « abus » au sens du droit de la concurrence qui interdit tout abus de position dominante. Elle a donc enjoint à Facebook d’arrêter de collecter les données en question. Cette injonction aurait sérieusement perturbé le modèle d’affaires de Facebook, et a pu créer un précédent dangereux dans d’autres pays, où les autorités de concurrence scrutent les moindres faits et gestes du réseau social. Dans une décision du 26 août 2019, la cour d’appel – l’« Oberlandesgericht » – de Düsseldorf a suspendu l’application de la décision de la Bundeskartellamt dans l’attente d’un jugement au fond. Dans sa décision de suspension, la cour d’appel n’a pas caché son désaccord avec le raisonnement de l’autorité de la concurrence. Selon la cour d’appel, le travail de l’autorité de la concurrence n’était pas d’appliquer le RGPD, mais d’appliquer le droit de la concurrence. Cette dernière a fait un amalgame inacceptable entre les principes de protection des données personnelles et les principes de protection de la concurrence, lesquels ne visent pas les mêmes objectifs. Selon la cour d’appel, l’autorité de la concurrence n’avait pas démontré en quoi la collecte excessive de données par Facebook, et la violation du RGPD, avaient un impact néfaste sur la concurrence.
Beaucoup d’observateurs estimaient que l’histoire se terminerait là, l’Oberlandesgericht Düsseldorf ayant mis définitivement fin à la folle idée que le droit de la concurrence pourrait venir en aide au RGPD. Mais l’histoire ne s’est pas arrêtée là, l’autorité de la concurrence ayant fait appel. La décision de la Cour suprême du 23 juin 2020 fut une surprise, car la BGH – plus haute juridiction allemande – annule rarement les décisions prises en référé (à savoir dans le cadre d’une procédure d’urgence) au niveau de la cour d’appel. Le résultat de cette nouvelle décision – non-encore publiée – est que l’injonction de l’autorité de la concurrence du 6 février 2019 reprend vie et Facebook doit immédiatement cesser de fusionner des données de différentes sources.

Violer le RGPD serait anticoncurrentiel
Sur le plan de la procédure, le match n’est pas terminé. L’affaire sera maintenant traitée au fond par la cour d’appel de Düsseldorf, et un autre appel est possible devant la Cour suprême, ainsi qu’une question préjudicielle devant la Cour de justice de l’Union européenne (CJUE). Mais pour l’instant la voie est de nouveau ouverte pour considérer qu’une violation du RGPD peut constituer un abus de position dominante au regard du droit de la concurrence. Le communiqué (1) de la Cour suprême dévoile son raisonnement, qui diffère du raisonnement de l’autorité de la concurrence. Selon la plus haute juridiction allemande, la liberté de choix des acteurs économiques est un principe essentiel de la concurrence et du bon fonctionnement des marchés. Les consommateurs sont des acteurs économiques comme les autres, et le fait – pour une entreprise en position dominante – de mettre le consommateur devant un choix qui n’en est pas un réduit sa liberté, créant ainsi une distorsion de la concurrence.

Liberté de choix des consommateurs : jusqu’où ?
La Cour suprême ne mentionne pas le RGPD, mais fonde son raisonnement uniquement sur l’effet néfaste des pratiques sur la liberté de choix des consommateurs, créant ainsi un lien solide entre les mauvaises pratiques en matière de données personnelles et le droit de la concurrence, un lien que l’autorité de la concurrence n’avait peut-être pas assez développé. La BGH mentionne également le possible impact sur le marché de la publicité en ligne, créant un autre lien possible entre les pratiques de Facebook et les principes de droit de la concurrence.
La Cour suprême allemande ayant mis l’accent sur la liberté de choix des consommateurs, on peut s’interroger sur les limites de cette liberté. Est-ce que les consommateurs peuvent du coup refuser tout traitement lié à la publicité personnalisée, tout en exigeant de bénéficier des services gratuits, ce qui reviendrait à interdire les « cookie walls » ? Les consommateurs peuvent-ils avoir « le beurre et l’argent du beurre » ? Dans le cas Facebook, la BGH semble considérer normal le traitement de données pour la publicité personnalisée dès lors que les données sont générées à l’intérieur du réseau social lui-même.
Lier l’utilisation du service à l’acceptation de ce traitement de données « intra-muros » ne serait pas abusif, car c’est ce qui se passerait probablement dans un environnement concurrentiel. En revanche, lier l’utilisation du service à l’acceptation de la collecte de données provenant d’autres services et sites web « extra-muros » n’est pas une pratique que l’on s’attendrait à voir dans un marché pleinement concurrentiel. En présence d’une concurrence effective sur le marché des réseaux sociaux, il est probable que d’autres acteurs proposeraient un service gratuit sans ce type de collecte de données tiers.
Comme dans toute affaire de droit de la concurrence, l’impact sur la concurrence s’apprécie par un jeu de comparaison : on compare la situation réelle qui existe en présence d’un acteur dominant à une situation fictive, contrefactuelle, où il existerait une concurrence effective sur le marché. C’est en comparant ces deux scénarios que l’on apprécie l’impact sur la concurrence d’une pratique. Souvent, les autorités de la concurrence mettent l’accent sur l’impact d’une pratique sur les autres acteurs du marché : réseaux sociaux concurrents, annonceurs, prestataires de publicité, ainsi que sur les prix pour le consommateur. Une augmentation des prix est un signe d’une concurrence défaillante. Pour un service gratuit tel que Facebook, l’augmentation du prix n’est pas un critère utile, car le prix officiel reste toujours zéro. En revanche, la diminution de la qualité est également un facteur à prendre en compte, et s’apprécie non seulement par rapport à la qualité des services numériques rendus, mais également par l’imposition de conditions d’utilisation pénalisantes, telles que celles imposées par Facebook en matière de données personnelles (livrer ses données, sinon pas de possibilité d’utiliser le réseau social). Comme le souligne le rapport du Stigler Center de septembre 2019, une baisse de qualité à travers l’imposition de conditions pénalisantes en matière de traitement de données personnelles devient l’équivalent d’une augmentation du prix (2).
Par l’utilisation excessive de ses données, le consommateur paie plus cher que ce qu’il paierait dans un marché pleinement concurrentiel. Selon les universitaires auteurs du rapport Stigler, le droit de la concurrence est ainsi équipé pour sanctionner des pratiques abusives dans le traitement des données, à condition de pouvoir démontrer ce type de baisse de qualité pour le consommateur. Ce raisonnement est maintenant repris par la Cour suprême d’Allemagne. Reste le problème du temps. Les affaires en droit de la concurrence prennent généralement des années, et l’affaire Facebook n’est pas une exception. L’autorité de la concurrence allemande a commencé ses enquêtes en 2016, et l’affaire n’est toujours pas réglée. Le gouvernement allemand envisage de modifier sa loi sur la concurrence pour permettre à l’autorité de la concurrence d’aller plus vite à l’égard de plateformes structurantes.

L’Allemagne pourrait inspirer l’Europe
L’initiative allemande pourrait servir de modèle pour la modernisation des règles de concurrence (« New Competition Tool ») actuellement étudiée au niveau de l’Union européenne (3) et soumise à consultation publique jusqu’au 8 septembre prochain (4). En parallèle, la Commission européenne étudie la possibilité de réguler les plateformes structurantes par une approche ex ante (« Digital Services Act »), comme en matière de télécommunications (5). La décision de la Cour suprême allemande ravive un vieux débat sur la meilleure manière de réguler les opérateurs puissants (ceux exerçant une influence significative sur le marché pertinent considéré), soit à travers une régulation ex post fondée sur le droit de la concurrence, soit à travers une régulation sectorielle ex ante, comme en télécommunications. @

* Winston Maxwell, ancien avocat, est depuis juin 2019
directeur d’études Droit et Numérique à Telecom Paris.

Pour la reconnaissance faciale à distance ou locale, les enjeux éthiques ne sont pas les mêmes

Publié le par

Identifier un visage dans une foule soulève de sérieuses questions sur les libertés individuelles. Mais il existe de nombreux autres usages de la reconnaissance faciale, notamment la validation d’identité en local. Ces utilisations ont vocation à se développer mais posent d’autres questions éthiques.

Par Winston Maxwell* et David Bounie**, Telecom Paris, Institut polytechnique de Paris

L’utilisation de la reconnaissance faciale pour l’identification à distance constitue une menace pour les libertés individuelles, car cela tend à banaliser une société de surveillance. Selon le New York Times, une start-up américaine Clearview AI a déjà fabriqué des gabarits d’identification de 3 milliards d’individus à partir d’images copiées sur le Web (1). N’importe quelle force de l’ordre – mais pas le grand public (2) – peut utiliser le logiciel de Clearview AI et identifier les visages dans une foule. Cependant, plusieurs villes américaines ont temporairement banni cette utilisation de la technologie par leurs autorités publiques.

Outils de surveillance généralisée
En Europe, la Commission européenne appelle à un grand débat européen sur l’utilisation de la reconnaissance faciale pour l’identification à distance. En France, le secrétaire d’Etat au numérique, Cédric O, souhaite lancer des expérimentations. Pour l’identification à distance, il faut avancer à tâtons pour trouver le bon équilibre entre les impératifs de sécurité publique et la préservation des valeurs démocratiques. Mais ce débat n’est pas différent au fond de celui qui, depuis 50 ans, entoure les technologies de surveillance des communications électroniques. La technologie utilisée pour la surveillance des communications n’a pas cessé d’évoluer : IMSI-catchers ou intercepteurs d’IMSI (3), boîtes noires, Deep Packet Inspection (DPI), captation à distance, … Ces outils permettraient une surveillance généralisée de la population. Leur utilisation en France est interdite, sauf par les forces de polices et des autorités de renseignement sous le contrôle de juges et de la CNCTR (4).
En application de la jurisprudence européenne, l’utilisation de technologies invasives de surveillance par l’Etat se justifie uniquement si l’utilisation est prévue par une loi. Et ce, pour faire face à une menace particulièrement grave, la lutte contre le terrorisme par exemple, et sous le contrôle d’un juge ou d’une commission indépendante. L’utilisation de la reconnaissance faciale pour identifier les individus à distance devrait suivre la même trajectoire : interdiction, sauf pour les autorités de police ou de renseignement sous le contrôle des juges. D’ailleurs, c’est déjà ce qui est prévu par la directive européenne européenne dite « Police-Justice » (5) de 2016, puisque la reconnaissance faciale est un traitement biométrique soumis à des règles strictes. Mais il existe un deuxième type d’utilisation, non-évoqué par la Commission européenne dans son livre blanc (6) sur l’intelligence artificielle (IA). Il s’agit de valider l’identité « en local » d’un individu en comparant sa photo « selfie » avec la photo de la pièce d’identité. Cette utilisation permet notamment d’ouvrir un compte bancaire à distance ou bien de passer plus vite dans un portique automatique à l’aéroport. Cette utilisation de la reconnaissance faciale se généralise, et elle paraît – de prime abord – moins attentatoire aux libertés individuelles : d’une part, parce que les personnes sont conscientes et consentantes de l’utilisation (ce qui n’est pas le cas pour l’identification à distance) ; d’autre part, parce qu’aucune image ni gabarit biométrique n’est stocké de manière centralisée. La vérification s’effectue en local, comme pour déverrouiller un smartphone avec l’empreinte digitale. Le système crée un gabarit biométrique à partir de la photo du passeport, analyse ensuite la photo de selfie, crée un deuxième gabarit biométrique du selfie, et compare les deux gabarits pour établir une probabilité de correspondance. Ensuite les gabarits sont détruits (lire encadré page suivante). La reconnaissance faciale locale soulève néanmoins des questions éthiques et juridiques importantes : l’existence d’un consentement libre, le problème des biais, l’explicabilité des algorithmes, et la difficile articulation avec le règlement général sur la protection des données (RGPD) pour la phase d’entraînement. La reconnaissance faciale « locale » pose la question du consentement libre. Si la personne subit des conséquences négatives en refusant la reconnaissance faciale, le consentement ne sera pas libre. Il en sera de même si le consentement est demandé par une personne jouissant d’une position d’autorité, par exemple si la direction d’un lycée demandait aux élèves de consentir à l’utilisation de la reconnaissance faciale pour rentrer dans l’établissement (7).

Les biais statistiques sont inévitables
Concerne les biais cette fois, le Parlement européen a appelé le 12 février 2020 à l’utilisation d’algorithme qu’il faut entraîner avec des données « non-biaisées » (8). Or, une telle condition est impossible à satisfaire en pratique. Certains groupes de la population seront toujours sous-représentés dans les images d’entraînement, ce qui signifie que les biais statistiques seront inévitables. Cela peut conduire à des niveaux de performance inégaux selon le genre, la couleur de peau ou la situation de handicap d’une personne. Par exemple, l’algorithme pourrait avoir plus de difficulté à identifier une femme noire qu’un homme blanc au moment de la vérification de l’identité à l’aéroport. Ces biais peuvent exister sous une forme bien pire chez les humains. Mais pour un algorithme, ce genre de biais est peu acceptable. Corriger ces biais dans l’algorithme est possible, mais cela soulève d’autres questions. Par exemple, si l’algorithme a un taux d’erreur élevé pour des personnes atteintes d’une certaine maladie de la peau, devons-nous baisser artificiellement le niveau de performance pour tous les autres groupes de la population pour que le taux d’erreur soit équivalent ? Ces questions deviennent rapidement politiques : à partir de quel moment un biais algorithmique devient-il suffisamment problématique pour le corriger, ce qui affectera inévitablement la performance de l’algorithme pour les autres personnes ?

Savoir s’il y a discrimination algorithmique
Un autre aspect éthique de la reconnaissance faciale concerne l’explicabilité des algorithmes. En France, le code des relations entre le public et l’administration garantit à chaque individu le droit d’obtenir une explication lorsqu’un algorithme géré par l’Etat prend une décision à son encontre (9). Logiquement, ce droit exige que l’exploitant de l’algorithme soit en mesure d’expliquer à une personne pourquoi un système n’a pas pu vérifier son image par rapport à sa pièce d’identité. Techniquement, des solutions d’explicabilité existent, même pour des réseaux de neurones. Mais fournir une explication exige le stockage d’informations, et notamment les gabarits générés par l’algorithme. Or, le RGPD et la directive « Police- Justice » interdisent généralement ce stockage, surtout lorsqu’il s’agit de données biométriques.
Résultat : dans certains cas, il n’y aura aucune explication quant au refus du système de vérifier l’identité. Le système ne réussira pas à identifier la personne, sans que la personne puisse vérifier si elle a fait l’objet d’une discrimination algorithmique. Cette absence de transparence pose une difficulté au niveau des droits fondamentaux, comme le démontre une récente décision du tribunal de la Haye (10).
Enfin, l’entraînement des algorithmes de reconnaissance faciale est difficile à réconcilier avec le RGPD. Pour réduire les discriminations, l’Agence européenne des droits fondamentaux (FRA) souligne la nécessité d’entraîner l’algorithme sur une grande quantité d’images représentatives de la population, et notamment les personnes vulnérables (11). Or cette condition est quasiment impossible à remplir en Europe puisque le RGPD et la directive « Police-Justice » interdisent la création de grandes bases d’images, surtout lorsque les images sont étiquetées selon la couleur de peau ou la situation de handicap. Les systèmes américains et chinois bénéficient, eux, d’entraînement sur des dizaines de millions d’images, ce qui crée un avantage concurrentiel considérable. De plus, les tests de non-discrimination des algorithmes s’effectuent tous aux Etats-Unis à l’agence NIST (12), même pour les systèmes européens.
L’entraînement des algorithmes pose un problème particulier puisque le gabarit d’un visage est considéré comme une donnée biométrique. Or le RGPD interdit le traitement de données biométriques, hormis des cas limités – par exemple, le consentement explicite de la personne. Du coup, un entraînement sur des millions d’images récupérées sur Internet devient impossible par une société européenne puisque l’entraînement nécessite la création, au moins temporaire, de gabarits, une donnée biométrique. Une solution pourrait consister en l’assouplissement des conditions d’application du RGPD lorsqu’il s’agit de créer des gabarits éphémères pour l’apprentissage des algorithmes dans des environnements contrôlés, voire de considérer que ces gabarits ne sont pas des données biométriques puisque la finalité de leur traitement n’est pas l’identification d’une personne mais seulement l’entraînement de l’algorithme. Lorsque l’algorithme est mis en exploitation, les dispositions du RGPD ou de la directive « Police-Justice » sur la biométrie retrouveraient toute leur force, puisque les gabarits seraient bien utilisés pour identifier des personnes. Le consentement explicite de la personne, ou en cas d’intérêt public et de nécessité absolue, serait alors nécessaire. @

* Winston Maxwell, ancien avocat, est depuis juin 2019 directeur d’études
Droit et Numérique à Telecom Paris. ** David Bounie est directeur du
département Economie et Sciences sociales à Telecom Paris.

ZOOM

Qu’est-ce qu’un gabarit ?
Un gabarit est l’équivalent d’un code barre qui contient les mensurations uniques d’un visage. La clé du succès en matière de reconnaissance faciale est de créer un algorithme capable de générer des gabarits de qualité à partir d’images d’individus. Un algorithme de qualité doit savoir générer le même gabarit pour l’image de Paul, quelles que soient les différences de lumière, d’angle de vue et de netteté de l’image de Paul. Pour entraîner l’algorithme, on va présenter à un réseau de neurones 100 photos d’une même personne — par exemple Angelina Jolie — récupérées sur le Web, avec des angles de vue et des lumières différents, et demander au réseau de neurones de trouver une formule mathématique qui permettra pour chaque photo d’Angelina Jolie de générer le même gabarit, quels que soient l’angle de vue ou la lumière. Les gabarits générés pendant l’apprentissage sont éphémères. Ils servent uniquement à aider l’algorithme à trouver la bonne formule mathématique. Une fois cette formule mathématique unique établie, elle peut s’appliquer à n’importe quelle nouvelle photo de passeport et générer, pour cette photo, un gabarit de qualité. L’algorithme va ensuite générer un deuxième gabarit à partir d’une deuxième photo (par exemple un selfie), et si l’algorithme est bien fait, les deux gabarits vont correspondre malgré les différences d’angle de vue et de lumière. La qualité de cet algorithme est au cœur des systèmes de reconnaissance faciale. @

A la poursuite du droit à l’oubli et d’un équilibre par rapport aux autres droits fondamentaux

Publié le par

Le droit à l’oubli sur Internet – dont le droit au déréférencement sur les moteurs de recherche – n’est pas un droit absolu. Il s’arrête là où commencent d’autres droits fondamentaux comme la liberté d’informer – selon le principe de proportionnalité. Mais cet équilibre est à géométrie variable.

Fabrice Lorvo*, avocat associé, FTPA.

L’oubli est une préoccupation récente aux racines millénaires. C’est d’abord un concept auquel notre civilisation est rompue depuis le code de Hammurabi (1). Cependant, l’effectivité de l’oubli a été profondément remise en cause par la révolution numérique car la donnée devient aujourd’hui indéfiniment apparente sur les sites web et immédiatement accessible par les moteurs de recherche. Dès lors, le législateur comme le juge œuvrent pour adapter un droit à l’oubli (2) à l’outil numérique.

Conditions du droit au déréférencement
Deux arrêts ont été rendus le 24 septembre 2019 par la Cour de justice de l’Union européenne (CJUE) qui contribuent à en définir les modalités. Nous nous intéresserons à celui (3) qui apporte d’importantes précisions sur les conditions dans lesquelles une personne peut exercer son droit au déréférencement. Ce droit permet à une personne de demander à un moteur de recherche de supprimer certains résultats qui apparaissent à partir d’une requête faite avec son nom et son prénom lorsque ces résultats renvoient vers des pages contenant des informations sensibles la concernant (par exemple, sa religion, ses opinions politiques ou l’existence d’une procédure pénale). Cette suppression concerne uniquement la page de résultats et ne signifie donc pas l’effacement des informations sur le site web source. Les informations continuent d’exister, mais il est plus difficile et long de les retrouver.
Au regard des textes successivement applicables (4), et des enseignements de la jurisprudence « Google Spain » (5) de 2014, la CJUE apporte les précisions suivantes :

• Les interdictions et les restrictions au traitement de certaines données, comme les exceptions prévues par les textes, s’appliquent à l’exploitant d’un moteur de recherche à l’occasion de la vérification qu’il doit opérer à la suite d’une demande de déréférencement. Le rôle du moteur de recherche est décisif dans la mesure où, techniquement, il permet de trouver immédiatement, dans l’océan des données disponibles sur Internet, toutes les informations sur une personne dénommée, et, en les regroupant, de constituer ainsi un profil. La cour rappelle que l’exploitant d’un moteur de recherche n’est pas responsable des données existantes, mais uniquement de leur référencement et de leur affichage dans une page de résultats suite à une requête nominative. Cet exploitant doit respecter la législation sur le traitement des données comme les éditeurs de sites web. Tout autre interprétation constituerait « une ingérence particulièrement grave dans les droits fondamentaux au respect de la vie privée et à la protection des données à caractère personnel » qui sont garantis par les textes.

• L’exploitant d’un moteur de recherche a l’obligation de faire droit à la demande de la personne concernée… sauf si des exceptions (prévues par les textes) s’appliquent. La CJUE rappelle que les Etats membres doivent garantir aux personnes concernées le droit d’obtenir du responsable de traitement l’effacement des données dont le traitement n’est pas conforme aux textes. De même, en cas de demande de déréférencement, l’exploitant d’un moteur de recherche est obligé de supprimer de la liste de résultats, des liens vers des pages web, publiées par des tiers et contenant des informations sensibles relatives à cette personne, même si lesdites informations ne sont pas effacées préalablement ou simultanément de ces pages web, et même lorsque leur publication en elle-même sur lesdites pages est licite. Enfin, la cour rappelle que le consentement de la personne au traitement de ce type d’information est nécessaire et qu’il n’existe plus à partir du moment où ladite personne demande le déférencement. Il n’est donc pas nécessaire de prouver que le référencement cause un préjudice.

Droit absolu et principe de proportionnalité
Ce régime extrêmement protecteur, eu égard à l’importance de l’impact d’une telle publication pour l’individu, connaît néanmoins une exception de taille. En effet, l’ingérence dans les droits fondamentaux d’un individu peut cependant être justifiée par l’intérêt prépondérant du public à avoir accès à l’information (6) en question. Le droit au déréférencement des données à caractère personnel n’est donc pas un droit absolu, il doit être systématiquement comparé avec d’autres droits fondamentaux conformément au principe de proportionnalité. En conséquence, le droit à l’oubli de la personne concernée est exclu lorsqu’il est considéré que le traitement desdites données est nécessaire à la liberté d’information. Le droit à la liberté d’information doit répondre à des objectifs d’intérêt général reconnu par l’Union européenne ou, au besoin, de protection des droits et des libertés d’autrui.

Droits fondamentaux et liberté d’informer
Lorsqu’il est saisi d’une demande de déréférencement, l’exploitant d’un moteur de recherche doit donc mettre en balance, d’une part, les droits fondamentaux de la personne concernée et, d’autre part, la liberté d’information des internautes potentiellement intéressés à avoir accès à cette page web au moyen d’une telle recherche. D’après la CJUE, si les droits de la personne concernée prévalent, en règle générale, sur la liberté d’information des internautes, cet équilibre peut toutefois dépendre de la nature de l’information en question et de sa sensibilité pour la vie privée de la personne concernée ainsi que l’intérêt du public à disposer de cette information. Or, cet intérêt peut varier notamment en fonction du rôle joué par cette personne dans la vie publique, comme l’illustre la jurisprudence « Google Spain ».

• Enfin, la CJUE aborde la question cruciale de la publication relative à une procédure judiciaire, notamment quand ces informations sont devenues obsolètes. Il s’agit des informations concernant une enquête, une mise en examen ou un procès et, le cas échéant, de la condamnation qui en a résulté. La cour rappelle que la publication de ces données est soumise à des restrictions particulières (7) et qu’elle peut être licite lorsqu’elle est divulguée au public par les autorités publiques. Cependant, un traitement initialement licite de données exactes peut devenir avec le temps illicite, notamment lorsque ces données apparaissent inadéquates, qu’elles ne sont pas ou plus pertinentes, ou sont excessives au regard des finalités du traitement ou du temps qui s’est écoulé. L’exploitant d’un moteur de recherche doit encore vérifier, au jour de la demande de déréférencement, si l’inclusion du lien dans le résultat est nécessaire à l’exercice du droit à la liberté d’information des internautes potentiellement intéressés par l’accès à cette page web au moyen d’une telle recherche. Dans la recherche de ce juste équilibre entre le droit au respect de la vie privée des personnes, et notamment la liberté d’information du public, il doit être tenu compte du rôle essentiel que la presse joue dans une société démocratique et qui inclut la rédaction de comptes rendus et de commentaires sur les procédures judiciaires, ainsi que le droit pour le public de recevoir ce type d’information. En effet, selon la jurisprudence (8), le public a un intérêt non seulement à être informé sur un événement d’actualité, mais aussi à pouvoir faire des recherches sur des événements passés, l’étendue de l’intérêt du public quant aux procédures pénales étant toutefois variable et pouvant évoluer au cours du temps en fonction, notamment, des circonstances de l’affaire : notamment « la nature et la gravité de l’infraction en question, le déroulement et l’issue de ladite procédure, le temps écoulé, le rôle joué par cette personne dans la vie publique et son comportement dans le passé, l’intérêt du public à ce jour, le contenu et la forme de la publication ainsi que les répercussions de celle-ci pour ladite personne ».

Outre l’actualité ou le passé définitif, une difficulté demeure pour les informations obsolètes ou partielles. Par exemple, qu’en est-il pour une mise en examen annoncée sur Internet qui a aboutie à un non-lieu ? Ou pour une décision de condamnation frappée d’appel ? L’apport nouveau et essentiel de cet arrêt du 24 septembre 2019 est que la CJUE considère que même si la liberté d’information prévaut, l’exploitant est en tout état de cause tenu – au plus tard à l’occasion de la demande de déréférencement – d’aménager la liste de résultats, de telle sorte que l’image globale qui en résulte pour l’internaute reflète la situation judiciaire actuelle. Ce qui nécessite notamment que des liens vers des pages web comportant des informations à ce sujet apparaissent en premier lieu sur cette liste. Il s’agit là d’une précision essentielle, en théorie, mais qui peut s’avérer complètement inefficace en pratique. Pour apparaître dans les résultats, ces pages (sur la situation judiciaire actuelle) doivent… exister. Que se passe-t-il si des pages web ne comportent pas d’informations sur la suite de la procédure ? Souvent, la presse s’intéresse plus aux mises en examen qu’aux cas de nonlieu. La personne concernée devra-t-elle publier elle-même des pages web sur sa situation judiciaire actuelle ? Mais dans l’esprit du public, quelle force aura cette preuve pro domo (9) ? Devra-t-elle avoir recours à une agence de communication pour ce faire ? Enfin, les délais de traitement des demandes de référencement sont très longs, d’abord pour les moteurs de recherche puis au niveau des autorités de contrôle (la Cnil en France), et, pendant ce temps-là, les résultats de la recherche demeurent affichés ; le mal est fait. Avoir raison trop tard, c’est toujours avoir tort dans l’esprit du public.

Renverser la charge de la preuve ?
Dans ces conditions, pour ce type d’information d’une extrême sensibilité et, au moins, pour les personnes qui ne recherchent pas les suffrages du public, ne conviendrait-il pas de renverser la charge de la preuve ? D’imposer que l’exploitant du moteur de recherche ait l’obligation, à première demande, de déréférencer ces données ? Et s’il considère que la balance penche dans l’intérêt du public, l’exploitant devra saisir l’autorité de contrôle puis, en cas de refus, les tribunaux pour demander l’autorisation de re-référencer le lien. @

* Fabrice Lorvo est l’auteur du livre « Numérique : de la
révolution au naufrage ? », paru en 2016 chez Fauves Editions.

Tariq Krim dénonce le « suprémacisme numérique »

Publié le par

En fait. Le 9 juillet, se sont tenues les 13e Assises du Très haut débit, organisées
à Paris par l’agence Aromates. Parmi les intervenants, l’entrepreneur Tariq Krim (Netvibes, Jolicloud, …) a expliqué la philosophie de son projet de « slow web » engagé il a plus d’un an maintenant et concrétisé par Dissident.ai.

En clair. Au-delà de son offre proposée à 5 euros par mois (50 euros l’année) via sa plateforme Dissident.ai, où l’internaute peut reprendre le contrôle de ses connexions et de ses contenus (1), le Français Tariq Krim milite pour un autre Internet : « Il existe une place pour une vision numérique qui soit compatible avec les valeurs que l’on a en Europe, un Internet humaniste entre une vision américaine et une vision chinoise basées autour de la collecte de données, ce que j’appelle le “suprémacisme numérique” ».
Selon lui, le monde digital est en train de sortir d’un cycle d’une quinzaine d’années, qui
a commencé au début de 2004 avec l’entrée en Bourse de Google (août 2004), la création de Facebook (février 2004) et le lancement de l’iPhone (juin 2007). « Le Web est né de manière ouverte et publique, avec deux technologies essentielles qui ont été inventées en Europe : Linux et le Web. Ensuite, Internet est devenu – à la différence du Web – un environnement totalement fermé et privatisé, né dans le secret des laboratoires. Aujourd’hui, tous les terminaux dont nous disposons – les mobiles – sont désormais des boîtes noires. On a laissé cet “Internet boîte noire” se développer au-delà de tout ce que l’on pensait. Et on a laissé faire tout cela », regrette Tariq Krim. Et l’entrepreneur du Net, qui fut vice-président « écosystème et innovation » du CNNum (2), de s’en prendre à la marque à la pomme : « Si vous voulez faire du business sur iPhone, il faut payer 30 % à Apple. Pour quelle raison ? Juste parce qu’Apple l’a décidé. D’ailleurs, Spotify est en train de le contester au niveau de l’Europe, et la Cour suprême des Etats-Unis a aussi été saisie de ces questions. Aujourd’hui, on est dans une phase de doutes ». Pour le fondateur de Dissident.ai, un service de sa société L8Rmedia dont il est Chief Dissident, la technologie est à un tel niveau que les terminaux sont devenus des « outils de manipulation massive » (3), tous pensés pour capturer l’attention et les données des utilisateurs.
« La technologie doit évoluer vers quelque chose d’autre, plaide Tariq Krim. C’est comme la nourriture : on est ce que l’on mange, et ce que l’on digère numériquement n’est pas tout à fait ragoûtant. C’est pour cela que je réfléchis à ce que j’appelle le slow web, l’équivalent du slow food ». Pour un Internet transparent et respectueux de la vie privée. @

La presse ne veut pas laisser aux GAFA la mainmise sur l’accès et les données de ses lecteurs

Publié le par

Alors qu’Apple a lancé le 25 mars aux Etats-Unis et au Canada son kiosque numérique par abonnement baptisé News+ (plus de 300 titres pour 9,99 dollars par mois), qui arrivera en Europe dans quelques mois, la presse s’organise pour ne pas perdre le contrôle de ses cyberlecteurs.

Après Newsstand lance en 2011 et Apple News qui a suivi en 2015, la pomme vient de lancer News+, son nouveau kiosque numérique. D’abord disponible aux Etats- Unis et au Canada (1), ce service par abonnement le sera ensuite dans le courant de l’année en Australie et, pour l’Europe, au Royaume-Uni dans un premier temps. News+ donne accès à un bouquet de journaux – quotidiens et magazines, soit plus de 300 titres de presse à ce jour. Mais les éditeurs prennent des risques à y être présents.

Les quatre risques pris par les éditeurs
Premier risque : par rapport à la valeur faciale de leur publication (prix de vente au numéro), le forfait mensuel de seulement 9,99 dollars proposé par Apple fait de ce potentiel « Netflix de la presse » un destructeur de valeur. Mais c’est le travers de tous les kiosques numériques tels que LeKiosk, ePresse (2) ou encore PressReader avec leurs formules de bouquet de presse. Surtout qu’Apple n’applique pas sa sacro-sainte répartition de valeur à 70/30 (70 % pour le fournisseur de contenu), mais impose la règle du 50/50 en se gardant la moitié. Deuxième risque : la cannibalisation des titres eux-mêmes, dont l’offre directe est en général beaucoup plus chère et constitue encore l’essentiel des revenus des abonnements. Et ce, au moment où les abonnés numériques sont en passe de prendre le relais des abonnés papier en déclin. Verra-t-on un effet cord-cutting (3) dans la presse, à savoir le désabonnement de lecteurs à des journaux pour profiter d’un bouquet numérique plus avantageux ? Troisième risque : la perte de la relation directe avec les lecteurs, au profit de tierces parties telles qu’Apple News+ qui se retrouvent à collecter des données auxquelles les journaux n’ont plus accès. Cette perte de contrôle des abonnés empêche un éditeur d’exploiter la data de cette base d’abonnés pour leur proposer d’autres produits maison. Quatrième risque : en passant sous la coupe d’une plateforme intermédiaire comme Apple News+, le journal n’est plus le point d’entré et d’identification des visiteurs et des lecteurs. Cette authentification échappe à l’éditeur, ce qui pourrait mettre à mal sa pérennité et porter atteinte à sa marque média. Pour tenter de rassurer les éditeurs sur News+, Apple a néanmoins promis que les abonnés ne feront pas l’objet d’une exploitation publicitaire. Pour limiter la destruction de valeur et la perte de contrôle de leur lectorat, des journaux tels que le Los Angeles Times ont décidé de limiter le nombre d’articles et d’archives disponibles sur News+. D’autres quotidiens américains n’ont pas voulu, eux, prendre le risque d’y aller. C’est le cas du New York Times ou le Washington Post. News+, comme tout kiosque numérique, présente un atout : le guichet unique, le « All in one place » que vante Apple à ses 1,3 milliard d’utilisateurs d’iPhone et d’iPad dans le monde. Le cyberlecteur accède à des centaines de titres de journaux avec un seul identifiant – qui plus est avec un prix à la Netflix ! Car la multiplicité des titres de presse en ligne a un point faible, celui de contraindre les utilisateurs à avoir autant d’identifiants que de journaux auxquels ils s’abonnent. D’où l’attractivité grandissante des e-kiosques. C’est dans le but de simplifier l’accès qu’une dizaine d’éditeurs français (4) – mais pas Le Monde – ont fondé SSO Geste. Présidée par Bertrand Gié (photo), directeur délégué du pôle News du groupe Le Figaro, cette association va lancer en septembre 2019 un identifiant unique en ligne commun. Objectif : que chaque internaute ait accès à tous les médias participants en ne s’identifiant qu’une seule fois lors de sa toute première visite sur la plateforme SSO (5). « Cette initiative revêt un caractère stratégique pour garantir la rentabilité et la pérennité des éditeurs de contenu français, dans un écosystème ultra dominé par les GAFA particulièrement avancés en matière de data. C’est un prérequis à la rentabilité et à la pérennité du business model des éditeurs français », assure le Groupement des éditeurs de contenus et de services en ligne (Geste) présidé aussi par Bertrand Gié. Ce projet de « log in » unique – ou SSO (Single Sign On) – s’inspire d’initiatives équivalentes lancées en Allemagne avec Verimi (6) et au Portugal avec Nonio (7).

Avoir confiance en un « guichet unique » ? La presse française souhaite aussi prendre modèle sur Facebook Connect et Google Friend Connect, qui permettent à leurs internautes d’utiliser leur compte correspondant sur des sites web tiers (sans avoir à
s’y inscrire). C’est le moyen pour eux de contrôler les données personnelles et de les exploiter à des fins de publicité ciblée, ainsi que de mettre en place une alternative aux cookies mis à mal par le consentement préalable du RGPD (8). Reste à savoir si les cyberlecteurs auront confiance en ce « guichet unique ». @

Charles de Laubier