Archives par mot-clé : Politique

RGPD : toute personne a un droit d’accès étendu à ses données personnelles, à deux limites près

Publié le par

La Cour de justice de l’Union européenne (CJUE) devrait suivre les conclusions de son avocat général sur l’interprétation étendue de l’article 15 du RGPD donnant droit aux individus l’accès à leurs données personnelles et à l’identité des destinataires de ces données. Sauf dans deux cas de figure.

D’après Giovanni Pitruzzella, avocat général à la Cour de justice de l’Union européenne (CJUE).

Giovanni Pitruzzella (photo), avocat général à la Cour de justice de l’Union européenne (CJUE), a présenté le 9 juin dernier ses conclusions dans une affaire opposant un citoyen autrichien dit « RW » et la poste autrichienne Österreichische Post (OP). Le litige commence en janvier 2019 lorsque le premier a demandé à la seconde d’accéder aux données à caractère personnel le concernant. Sa demande portait non seulement sur ses données personnelles conservées par l’OP, mais aussi celles communiquées à des tiers – afin d’être informé sur l’identité des destinataires. Et ce, en application de l’article 15 « Droit d’accès de la personne concernée » du RGPD, le règlement général européen sur la protection des données (1).

Le « ou » de la discorde
La poste autrichienne a répondu à RW en lui expliquant qu’elle utilise des données dans le cadre de son activité d’éditeur d’annuaires téléphoniques et qu’elle les propose à des partenaires commerciaux à des fins de marketing. L’OP a aussi renvoyé le requérant vers deux sites web d’information, l’un sur les finalités du traitement des données, l’autre sur les catégories générales de destinataires auxquels elle communique les données à caractère personnel (en l’occurrence à des partenaires commerciaux, parmi lesquels des annonceurs dans le secteur de la vente par correspondance et du commerce physique, des entreprises informatiques, des éditeurs d’annuaires téléphoniques et des associations telles que des organisations caritatives, des ONG ou des partis politiques). Pour autant, à aucun moment, l’OP n’a révélé à RW les destinataires spécifiques auxquels elle avait communiqué ses données.
L’intéressé a alors introduit un recours pour tenter de faire condamner la poste autrichienne à lui fournir davantage d’informations en application de l’article 15 du RGPD, concernant notamment d’éventuels transferts de ses données à caractère personnel à des tiers, ainsi que le ou les destinataires spécifiques auxquels ces données ont été communiquées. La demande de RW a ensuite été rejetée par les juridictions autrichiennes, tant en première instance qu’en appel, en invoquant le fait que l’article 15 du RGPD mentionne – parmi les huit types d’informations que doit fournir le responsable du traitement des données – « les destinataires ou catégories de destinataires auxquels les données à caractère personnel ont été ou seront communiquées ». C’est ce « ou » qui rend flou l’interprétation de cet article 15. Selon l’avocat général de la CJUE, « cette disposition accorde au responsable du traitement la possibilité de choisir de se limiter à communiquer à la personne concernée les catégories de destinataires, sans devoir indiquer de manière nominative les destinataires spécifiques auxquels ses données à caractère personnel sont transmises ».
Or, sur ce point, il y a débat justement, certains voyant au contraire dans ce « ou » la possibilité pour la personne concernée soit de se contenter d’obtenir du responsable du traitement des données les « catégories » de destinataires auxquels ses données personnelles ont été communiquées, soit d’aller plus loin en exigeant la liste spécifique de ces mêmes destinataires. C’est dans ce sens que le citoyen RW s’est pourvu en cassation en introduisant un nouveau recours. Du coup, la cour suprême d’Autriche – Oberster Gerichtshof – a eu un doute quant à l’interprétation de l’article 15 du RGPD qui a été retenue par les juridictions du fond, et a donc décidé de surseoir à statuer et de poser à la CJUE la question préjudicielle suivante : « L’article 15, paragraphe 1, sous c), du [RGPD] doit-il être interprété en ce sens que le droit d’accès [de la personne concernée] est limité à l’information sur les catégories de destinataires si les destinataires concrets ne sont pas encore connus lorsque les communications sont envisagées, mais qu’il doit impérativement s’étendre également à l’information sur les destinataires de ces informations lorsque des données ont déjà été communiquées ? ».

L’interprétation de l’article 15
Après avoir rappelé que l’article 15 du RGPD concrétise et précise le droit de toute personne d’accéder aux données la concernant, lequel droit est consacré par la charte des droits fondamentaux de l’Union européenne (2), l’avocat général Giovanni Pitruzzella s’est attardé plus précisément sur l’interprétation du « ou » (dans « les destinataires ou catégories de destinataires ») : « Le libellé de la disposition (…) ne permet pas (…), indique-t-il, d’apporter une réponse définitive à la question de savoir s’il convient de considérer que le droit d’accès de la personne concernée qui est prévu à cet article inclut nécessairement l’accès à des informations relatives aux destinataires précis de la communication de données à caractère personnel la concernant, ou si sa portée peut être limitée à l’accès à des informations relatives aux catégories de destinataires ». Et d’ajouter : « Cette disposition ne précise pas non plus explicitement s’il est possible de choisir entre les deux catégories d’informations possibles qui sont prévues (à savoir les “destinataires” ou les “catégories de destinataires“) ni à qui (c’est-à-dire à la personne concernée ou au responsable du traitement) il appartient, le cas échéant, de choisir à quel type d’informations l’accès doit être garanti ». Informations sur les destinataires Cependant, Giovanni Pitruzzella indique privilégier une interprétation de la disposition permettant à la personne concernée – « et donc pas au responsable du traitement comme l’ont jugé les deux juridictions nationales du fond dans la présente affaire » – de choisir entre les deux solutions alternatives qui y sont prévues. Et, dans cette logique, cet article prévoit le droit pour la personne concernée de demander, lorsque c’est possible, l’accès aux informations relatives aux destinataires spécifiques auxquels ses données à caractère personnel sont communiquées. Pour conforter cette interprétation, l’avocat général a rappelé le considérant 63 du RGPD prévoyant explicitement que la personne concernée doit « avoir le droit de connaître et de se faire communiquer […] l’identité des destinataires de ces données à caractère personnel ». Aussi, dans cette affaire « RW contre l’OP », ce considérant ne mentionne en aucune manière que ce droit d’accès de la personne concernée pourrait être limité, à la discrétion du responsable du traitement, aux seules catégories de destinataires.
La spécification des destinataires auxquels les données à caractère personnel de l’individu sont communiquées participe en outre à l’objectif du RGPD visant à la transparence des modalités de traitement des données à l’égard des personnes concernées, lesquelles peuvent prendre connaissance du traitement de leurs données et d’en vérifier la licéité : « L’exercice de ce droit d’accès doit, en particulier, permettre à la personne concernée de vérifier non seulement que les données la concernant sont exactes, mais également qu’elles ont été communiquées à des destinataires autorisés. Cela présuppose en principe que les indications fournies soient les plus précises possibles », relève Giovanni Pitruzzella. Le considérant 39 du RGPD consacre aussi le principe de transparence (3). De plus, ce droit d’accès permet à la personne concernée d’exercer le droit de rectification, le droit à l’effacement – le droit à l’oubli – et le droit à la limitation du traitement qui lui sont conférés par, respectivement, les articles 15, 17 et 18 du RGDP. Aussi, le responsable du traitement est tenu de notifier à chaque destinataire – auquel les données à caractère personnel ont été communiquées – toute rectification ou tout effacement de données à caractère personnel ou toute limitation du traitement effectué, « à moins qu’une telle communication se révèle impossible ou exige des efforts disproportionnés » (4).
Les destinataires ainsi informés sont dès lors obligés de procéder immédiatement à la rectification, à l’effacement ou à la limitation du traitement, pour autant qu’ils sont encore en train de traiter les données en question. En conséquence, afin de garantir l’effet utile des droits de la personne concernée à l’effacement, à la rectification ou à la limitation du traitement, celle-ci doit disposer – « en principe » – d’un droit à être informée de l’identité des destinataires spécifiques.
Néanmoins, l’avocat général de la CJUE voit « une limite » à cette extension du droit d’accès prévu par le RGPD, « dans au moins deux cas de figure » :
• Dans le cas où il est matériellement impossible de fournir des informations sur les destinataires spécifiques, par exemple parce que ceux-ci ne sont pas encore effectivement connus. Aussi, dans ce cas, le droit d’accès de la personne concernée ne pourra porter que sur les « catégories » de destinataires.
• L’exercice du droit d’accès de la personne concernée doivent être examinés au regard des principes de loyauté et de proportionnalité. Les demandes de la personne concernée ne doivent pas être manifestement infondées ou excessives et que, si tel est le cas, le responsable du traitement peut également refuser de donner suite à ces demandes.
Au-delà de ces deux cas de figure limitatifs, Giovanni Pitruzzella a rappelé qu’il convenait de « trouver un juste équilibre entre, d’un côté, l’intérêt de la personne à protéger sa vie privée (…) et, de l’autre, les obligations incombant au responsable du traitement ».

Deux limitations sont avancées
Conclusion de l’avocat général que la CJUE devrait suivre dans son prochain arrêt – comme elle le fait le plus souvent : « Il est possible de limiter ce droit d’accès à la seule indication des catégories de destinataires lorsqu’il est matériellement impossible d’identifier les destinataires spécifiques de la communication des données à caractère personnel de la personne concernée ou lorsque le responsable du traitement démontre que les demandes de la personne concernée sont manifestement infondées ou excessives » (5). @

Charles de Laubier

Jean-Noël Barrot, ministre tous azimuts du digital

Publié le par

En fait. Le 4 septembre, cela fait deux mois que Jean-Noël Barrot – fils de feu Jacques Barrot, ancien ministre et commissaire européen – est ministre délégué du gouvernement Borne, chargé de la Transition numérique et des Télécommunications. Son été fut studieux, entre sobriété et déploiement du numérique.

En clair. 4 juillet-4 septembre 2022 : les deux mois estivaux que vient de passer le nouveau ministre délégué chargé de la Transition numérique et des Télécommunications, Jean-Noël Barrot (39 ans), reflète la multitude de ses attributions qu’un décret daté du 29 juillet dernier est venu préciser. Etant entendu qu’il n’aura pas à s’occuper ni à connaître des dossiers concernant le groupe Uber, comme l’avait spécifié un décret précédent daté du 21 juillet. Et ce, afin d’écarter tout conflits d’intérêt (1) puisque sa soeur cadette – Hélène Barrot – y travaille depuis près de dix ans, actuellement comme directrice de la communication pour l’Europe de l’Ouest et du Sud (2).
Selon le décret de ses attributions, « JNB » traite de « toutes les affaires en matière de numérique et de télécommunication ». Ainsi, par délégation du ministre de l’économie, des finances et de la souveraineté industrielle et numérique, il s’occupe du numérique tous azimuts : de la « souveraineté numérique » à la « transformation numérique des entreprises », en passant par les « communications électroniques », les « objectifs de transition écologique et de souveraineté technologique » ou encore au « cadre juridique relatif au numérique ». En outre, « il veille aux droits et libertés fondamentaux dans le monde numérique, à l’éthique des technologies, à l’inclusion, l’accessibilité et la médiation numériques ». Les « communs numériques » et la « gouvernance de l’Internet » entrent aussi dans ses nombreux champs de compétences, dont font partie aussi « l’éducation et la formation au numérique » ainsi que les « mutations numériques du travail », le « déploiement des infrastructures numérique » et l’« inclusion numérique » (3).
Bref, Jean-Noël Barrot est un véritable couteau suisse du digital pour le gouvernement Borne. Sur le terrain, il s’est rendu le 26 août au chevet de l’hôpital CHSF de Corbeil-Essonnes victime d’une cyberattaque. Trois jours plus tôt, il était dans le Cantal pour parler « ruralité et numérique » (4). Fin juillet, il participait au lancement du « groupe de travail “numérique et télécommunication” » dans le cadre du plan « sobriété énergétique ». Cela débouchera fin septembre sur un « plan d’actions de mesures simples et opérationnelles ». Economiste de formation, JNB n’avait pas d’expériences dans le numérique ; il devra savoir vite où donner de la tête. @

Ebra – 1er groupe de presse régionale – lance la « saison 2 » de son redressement, avant d’être revendu à LVMH ?

Publié le par

Propriété du Crédit Mutuel, le groupe de presse régionale Ebra – incontournable dans l’Est de la France – entame la seconde phase de son plan de redressement après cinq ans de restructuration. Philippe Carli, son président depuis le 18 septembre 2017, est toujours à la manœuvre. Et après ? Il a répondu à EM@.

Cela fera cinq ans le 18 septembre que Philippe Carli (photo) a succédé à Michel Lucas à la présidence du groupe de presse régionale Est Bourgogne Rhône Alpes (Ebra), dont l’unique actionnaire est le Crédit Mutuel depuis septembre 2009. Ancien dirigeant du groupe Amaury durant cinq ans (2010-2015), Philippe Carli, partageait avec son prédécesseur un même passé informatique, tous les deux ayant travaillé chez Siemens, mais à des époques différentes – dans les années 1960 pour l’ancien dirigeant, dans les années 2000 pour son successeur.
Le discret banquier surnommé « Draluca » – Breton d’origine, Alsacien d’adoption – est décédé en décembre 2018, soit quinze mois après la passation de pouvoirs. Avant de prendre la direction du groupe Ebra qui édite Le Républicain Lorrain, L’Est Républicain, Vosges Matin, Les Dernières Nouvelles d’Alsace (DNA), L’Alsace, Le Bien Public, Le Journal de Saône-et-Loire, Le Progrès et Le Dauphiné Libéré (1), Philippe Carli avait été appelé en tant que consultant extérieur par Michel Lucas et par Nicolas Théry, l’actuel président du Crédit Mutuel Alliance Fédérale (la maison mère de la banque mutualiste), pour faire un audit de ce pôle presse alors sérieusement déficitaire. Il y a six ans, le groupe Ebra perdait entre 50 et 60 millions d’euros par an, tout en accusant un certain retard dans la numérisation de ses neufs journaux.

En 2015, Carli vendait Le Parisien à LVMH
L’ancien dirigeant du groupe Amaury avait à son crédit d’avoir mené à bien un plan d’économies au quotidien Le Parisien-Aujourd’hui en France et organisé sa cession – intervenue en octobre 2015 (régie publicitaire et imprimerie comprises) – au géant du luxe LVMH de Bernard Arnault (2), déjà propriétaire du quotidien Les Echos depuis 2007. C’est à se demander si Philippe Carli (62 ans) ne pourrait pas négocier à nouveau avec Bernard Arnault (73 ans), cette fois en vue de lui céder un groupe Ebra assaini.
Le PDG multimilliardaire – première fortune française (3) et troisième mondiale (4) – s’intéresse à la presse régionale (5). Bernard Arnault partageait par ailleurs avec Michel Lucas la passion de la musique classique. Edition Multimédi@ a soumis au patron d’Ebra cette hypothèse de cession à LVMH. « Le groupe Crédit Mutuel Alliance Fédérale a exprimé sa volonté de conserver son pôle presse sous réserve de sa profitabilité. Compte tenu des résultats obtenus, cette volonté a été à nouveau confirmée lors des derniers conseils d’administration de la banque », répond Philippe Carli. Il poursuit donc le redressement du premier groupe de presse quotidienne régionale. « La seconde phase du plan est de cinq ans, avec une stratégie du groupe plus tournée vers le développement. L’objectif général est de conserver des rédactions fortes tout en développant les contenus audiovisuels [notamment via ses filiales Est Infos TV et Ebra Prod, ndlr] et l’engagement », nous explique-t-il.

Plateforme de e-commerce lancée d’ici fin 2022
Le plan d’économies et de restructuration est entré dans sa « saison 2 », selon la propre expression de Philippe Carli et de Nicolas Théry (photo ci-contre), président du Crédit Mutuel. Cette seconde phase est engagée depuis le début de l’année : chaque titre doit maintenant trouver sa propre rentabilité. Cela passera par l’organisation d’événements sportifs, de salons voire de foires, mais aussi par le lancement d’une plateforme de ecommerce commune aux titres. « La plateforme de marché devrait être lancée avant la fin de l’année. Elle nous permettra de mieux commercialiser l’ensemble de nos offres horspresse et d’éditions ainsi que d’étendre nos services auprès des PME régionales », nous explique le président d’Ebra. Le pôle presse du Crédit Mutuel veut aussi que l’ensemble des rédactions deviennent toutes « Digital First » (6). « Nous restons sur l’objectif de 100 000 abonnés à fin décembre. Objectif qu’il me semble encore possible d’atteindre », indique Philippe Carli. Lors de son audition au Sénat en janvier 2022 devant la commission d’enquête sur la concentration dans les médias en France, il avait précisé que le groupe avait investi « plus de 40 millions d’euros pendant la “saison 1” pour remettre à plat [ses] sites Internet, [ses] applications (mobiles), produire des contenus adaptés aux usages, etc. ». En outre, des négociations sont en cours avec les syndicats pour le reversement aux journalistes des droits voisins collectés auprès de Google et de Facebook.
Pour étoffer son audience Internet, déjà forte de 17,5 millions de visites par jour, le groupe Ebra s’est emparé au printemps dernier de la société de presse en ligne Humanoid, éditeur de Numerama, Frandroid et deMadmoizelle. « Les récents investissements réalisés comme le rachat d’Humanoid montrent aussi que la banque est prête à accompagner Ebra pour son développement », assure Philippe Carli. Quant aux régies publicitaires Ebra Médias Alsace et Ebra Médias Lorraine/Franche-Comté, elles peuvent jouer la carte de la régie globale Ebra Médias en « 360° (print-digital-events) », avec ciblages et brand content (7). « Nos titres ont la capacité de financer eux-mêmes leur croissance », avait assuré Philippe Carli aux sénateurs. Son actionnaire – sans lequel la majorité des titres du groupe auraient disparus – exige justement « que cette activité soit à l’équilibre et puisse financer son développement, pour que les sociétaires du Crédit Mutuel ne se retrouvent pas tenus de combler des pertes ». Sinon…
En attendant, la « saison 1 » du redressement du groupe Ebra fut conduite « avec succès », d’après Nicolas Théry. Philippe Carli avait remis son audit d’Ebra en avril 2017 en convainquant le Crédit Mutuel de ne pas céder sa presse régionale contrairement à ce que la banque mutualiste songeait à faire. Banco ! L’ex-patron d’Amaury fut embauché en juin 2017 pour diriger tout ce pôle presse, avec pour mission délicate de le redresser afin d’être à l’équilibre financier fin 2020. « Cet objectif a été atteint avec trois mois de retard du fait du covid-19, ce qui constitue une superbe performance. Le résultat d’exploitation du groupe de presse est désormais positif », s’est félicité Nicolas Théry lors de son audition.
Ces cinq premières années de restructuration des journaux et de rationalisation des imprimeries ne se sont pas faites sans la suppression de plusieurs centaines de postes (386 évoqués en 2020), partiellement compensée par la création d’emplois (284 envisagés) au sein de la nouvelle entité commune Ebra Services. Ce « centre d’expertise partagé » basé à Houdemont (Meurthe-et-Moselle), sur le même site que le siège de L’Est Républicain près de Nancy, est opérationnel depuis le 1er janvier 2021 et regroupe pour les neuf titres les différentes fonctions « support » : services de pagination, création graphique, annonces légales, trafic digital, maintenance informatique ou encore relations clientèle. Les informations nationales générales et sportives sont, elles, mises en commun et produites par une trentaine de journalistes situés dans un bureau basé à… Paris – le patron d’Ebra écartant le risque pour l’indépendance éditoriale des rédactions locales. « En revanche, chacun des neuf titres régionaux dispose de sa propre rédaction, les rédactions étant regroupées par territoire – territoires lorrain, alsacien, dauphinois et rhônalpin », a précisé Philippe Carli au Sénat.

Holding séparée et indépendance éditoriale
Nicolas Théry, lui, a assuré qu’il veillait à l’indépendance éditoriale des 1.400 journalistes du pôle presse. C’est Philippe Carli qui préside Ebra, et non pas Nicolas Théry. Et toutes les sociétés de presse du groupe ne sont plus filiales directes de la Banque fédérative Crédit Mutuel ou de holdings de la banque, mais regroupées depuis un an sous la seule holding Société d’investissements médias (SIM) que Philippe Carli préside et « qui prendra le nom d’Ebra avant la fin de l’année ». De quoi faciliter une éventuelle cession à l’avenir ? Si la banque mutualiste – constitué du Crédit Mutuel et du CIC – a réalisé un total de 15,9 milliards d’euros de chiffre d’affaires en 2021, son pôle presse, lui, a généré 491 millions d’euros. @

Charles de Laubier

Livre : l’Arcep veut ménager libraires et Amazon

Publié le par

En fait. Le 27 mai, se termine la consultation publique de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep) sur sa proposition de « tarif minimum » pour la livraison de livres vendus en e-commerce. Fini les 0,01 euro TTC d’Amazon ? Pas vraiment.

En clair. Etant déjà régulateur des télécoms et, depuis octobre 2019, de la distribution de la presse, l’Arcep est en plus depuis décembre 2021 celui des tarifs d’expédition des livres. A ce titre, elle va proposer aux ministres de la Culture et de l’Economie « un montant minimal de tarification » de livraison du livre qui sera rendu obligatoire par arrêté aux plateformes de e-commerce – Amazon en tête – et aux librairies.
Le but de la loi « Economie du livre » du 30 décembre 2021 (1) à l’origine de ce projet est d’empêcher la pratique de livraison de livres à 0,01 euro TTC, initiée par le géant américain du e-commerce, avec lequel les librairies physiques ne peuvent rivaliser. Dans sa proposition de « tarif minimum pour la livraison des livres » soumise à consultation publique jusqu’au 27 mai (2), l’Arcep ménage la chèvre (Amazon) et le chou (le libraire) en avançant deux prix de livraison de livres. Le premier – « le tarif minimum d’expédition des livres neufs » – est proposé à « 3 euros TTC ». Ce qui devrait être accueilli favorablement par les librairies. Le second – « le tarif minimum d’envoi des livres à partir d’un seuil d’achat de livres neufs » – devrait rencontrer en revanche plus d’opposition, étant proposé à « 0,01 euro TTC » à partir d’un seuil « aux alentours de 25 euros d’achat ». Contactée par Edition Multimédi@, la sénatrice (LR) Laure Darcos à l’origine de la loi « Economie du livre » se dit « totalement défavorable à cette proposition ». Selon elle, « le point d’équilibre consisterait, d’une part à fixer un tarif minimal de livraison entre 3 euros et 4,50 euros, d’autre part à fixer le seuil de déclenchement de la quasi-gratuité des frais de port à 50 ou 60 euros ». L’Arcep justifie ce « seuil de quasi-gratuité » par le fait qu’il est déjà pratiqué par les acteurs du e-commerce pour inciter les acheteurs à « commander plus de livres ».
Ces deux tarifs s’appliqueront aussi pour les abonnements de type Amazon Prime ou Fnac+. L’Arcep prévoit en outre 0 euro de frais de port « si le livre est retiré dans un commerce de vente au détail de livres » (3). Le gouvernement pourrait notifier cet été le projet d’arrêté à la Commission européenne. S’il y avait feu vert au bout de trois mois de « statu quo », l’arrêté pourra être publié au J.O. et les vendeurs de livres auront six mois pour se mettre en conformité, soit pas avant 2023. @

Ce que les GAFAM pensent de l’« accord politique provisoire » européen sur le Digital Services Act

Publié le par

Les grandes plateformes « systémiques » concernées par la future régulation du Digital Services Act (DSA) font bonne figure face à l’arsenal législatif qui entrera en vigueur d’ici fin 2023. Google, Amazon, Facebook, Apple ou encore Microsoft devront être plus précautionneux en Europe. Qu’en disent-ils ?

« Nous apprécions les efforts déployés pour créer un marché unique numérique européen plus efficace, clarifier les responsabilités de chacun et protéger les droits en ligne », a déclaré Victoria de Posson (photo de gauche), directrice des affaires publiques de la CCIA Europe, la représentation à Bruxelles de l’association américaine du même sigle, dont sont notamment membres les géants du Net, mais pas Microsoft (1). Elle « reconnaît le travail acharné des décideurs pour parvenir à cet accord historique », tout en mettant un bémol : « Cependant, un certain nombre de détails importants restent à éclaircir » (2). C’est le cas des obligations de retrait de contenus notifiés comme illicites.

« Accord politique provisoire » : et après ?
Car ce qui a été signé le 23 avril vers 2 heures du matin (3), après de longues négociations entamées la veille, n’est encore qu’un « accord politique provisoire » obtenu à l’arrachée entre les négociateurs de la commission « marché intérieur et protection des consommateurs » (Imco), tête de file dans le processus législatif de ce projet de règlement européen sur les services numériques, et le Conseil de l’Union européenne – dont Cédric O représentait la France qui préside l’Union européenne jusqu’au 30 juin prochain. Le DSA en cours de finalisation prévoit de réguler les grandes plateformes numériques dites « systémiques » pour : les obliger à lutter contre le piratage et les contenus illicites, les contraindre à donner accès à leurs algorithmes, les amener à renforcement de la protection des mineurs notamment vis-à-vis des contenus pornographiques ou vis-à-vis de la publicité ciblée fondée sur des données sensibles (orientation sexuelle, religion, origine ethnique, etc.), les forcer à mieux informer les utilisateurs sur la manière dont les contenus leur sont recommandés.
Mais le diable étant dans « les détails importants », la CCIA Europe attend beaucoup de la dernière ligne droite de ce texte unique au monde. Selon les informations de Edition Multimédi@, ce futur règlement DSA devra être approuvé par le Coreper, à savoir le comité des représentants permanents au Conseil de l’UE, et par l’Imco. « Nous espérons que le vote final en plénière aura lieu en juillet, mais cela doit encore être confirmé. Le vote en plénière sera suivi d’un accord formel au Conseil de l’UE », indique une porte-parole du Parlement européen. Pour l’heure, le texte passe par les fourches caudines des juristes-linguistes pour être finalisé techniquement et vérifié jusqu’à la virgule près. Une fois la procédure terminée, probablement l’été prochain, il entrera en vigueur vingt jours après sa publication au Journal officiel de l’UE – sous la présidence cette fois de la République tchèque – et les règles commenceront à s’appliquer quinze mois après, c’est-à-dire au second semestre 2023. Car un règlement européen s’applique dans sa totalité et directement, contrairement à une directive européenne qui donne des objectifs à atteindre par les Etats membres, en leur accordant un délai de plusieurs mois pour les transposer dans la législation nationale.
Les GAFAM auront le temps (quinze mois) de se préparer pour ne pas tomber sous le coup de cette nouvelle loi européenne. Par ailleurs, il ne faudra pas s’attendre à ce que le voyage prévu du 23 au 27 mai prochain dans la Silicon Valley par une délégation de la commission Imco – pour notamment visiter plusieurs sièges sociaux de Big Tech telles que Meta (ex-Facebook), Google ou Apple – change les données du problème. Cette délégation d’eurodéputés y rencontrera également d’autres entreprises du numérique, des start-up, des universitaires américains ainsi que des représentants du gouvernement. « La mission aux Etats-Unis n’affectera pas l’accord politique déjà conclu avec les autres institutions. Elle sera une occasion d’explorer plus en profondeur les questions actuelles liées aux dossiers en cours sur le marché unique numérique au sein de la commission du marché intérieur (Imco) », nous précise la porte-parole du Parlement européen.

Attention aux libertés fondamentales
Cette escapade au pays des GAFAM sera notamment une opportunité pour les députés d’examiner la législation américaine sur le commerce électronique et les plateformes, en faisant le point sur les négociations récemment conclues en rapport avec les dossiers DSA et DMA (Digital Markets Act, pendant concurrentiel du DSA), ainsi que sur d’autres dossiers en cours comme celui sur l’intelligence artificielle. Également contactée, Victoria de Posson n’attend « pas d’impact sur le DSA » de ce voyage. Reste que le DSA, lui, ne sera pas facile à mettre en oeuvre par les GAFAM tant il touche à la liberté des internautes européens. C’est en tout cas ce que pointe DigitalEurope (ex-Eicta), organisation professionnelle des GAFAM entre autres Big Tech (4), et également installée à Bruxelles : « Le cadre du DSA crée un ensemble d’obligations à plusieurs niveaux pour différents types et tailles de services Internet, dont certains seront très complexes à mettre en oeuvre parce qu’ils touchent aux droits fondamentaux comme la liberté d’expression. Nous exhortons tous les intervenants à collaborer de façon pragmatique pour obtenir les meilleurs résultats », prévient sa directrice générale, Cecilia Bonefeld-Dahl (photo de droite).

Retrait de contenus : risque de censure
Bien que le futur règlement sur les services numériques aidera, d’après DigitalEurope, à rendre l’Internet plus sûr et plus transparent, tout en réduisant la propagation de contenus illégaux et de produits dangereux en ligne, « la modération du contenu sera toujours difficile, compte tenu des intérêts concurrents en cause » (5). D’autant que la réglementation d’Internet est un équilibre entre la protection des droits fondamentaux comme la liberté d’expression, d’une part, et la prévention des activités illégales et nuisibles en ligne, d’autre part.
Il y a un an, dans un « position paper » sur le DSA, DigitalEurope se félicitait déjà que « la proposition préserve les principes fondamentaux de la directive sur le commerce électronique, qui ont permis à l’Europe de se développer et de bénéficier d’une économie Internet dynamique ». Et de se dire satisfaite : « Le maintien de principes tels que la responsabilité limitée, l’absence de surveillance générale et le pays d’origine est essentiel à la poursuite de l’innovation et de la croissance de ces services numériques en Europe et sera crucial pour une reprise économique rapide ». Par exemple, le lobby des GAFAM a souligné que le DSA reconnaît que le contenu préjudiciable (mais légal) exige un ensemble de dispositions différent du contenu illégal. Le contenu nuisible et contextuel, difficile à définir, peut être subjectif sur le plan culturel et est souvent juridiquement ambigu. Est apprécié également le fait que le texte impose aux plateformes numériques des « exigences de diligence raisonnable » (signaleurs fiables, traçabilité des négociants et mécanismes de transparence), « de façon proportionnelle et pratique ». De plus, DigitalEurope est favorable pour fournir aux intervenants une transparence significative au sujet des pratiques de modération du contenu et d’application de la loi. « Toutefois, ajoute DigitalEurope, il sera important que les mesures de transparence du DSA garantissent que la vie privée des utilisateurs est protégée, que les mauvais acteurs ne peuvent pas manipuler le système et que les renseignements commerciaux sensibles ne sont pas divulgués » (6).
Les intermédiaires de l’écosystème numérique, à savoir les plateformes en ligne que sont les réseaux sociaux et les places de marché, devront prendre des mesures pour protéger leurs utilisateurs contre les contenus, les biens et les services illicites. Une procédure de notification et d’action plus claire permettra aux utilisateurs de signaler du contenu illicite en ligne et obligera les plateformes en ligne à réagir rapidement (les contenus cyberviolents comme le « revenge porn » seront retirés immédiatement). Et ces notifications devront être traitées de manière non-arbitraire et non-discriminatoire, tout en respectant les droits fondamentaux, notamment la liberté d’expression et la protection des données. Quant aux places de marché en ligne, elles seront plus responsables : les consommateurs pourront acheter des produits et services en ligne sûrs et non-illicites, « en renforçant les contrôles permettant de prouver que les informations fournies par les vendeurs sont fiables (principe de “connaissance du client”, (…) notamment via des contrôles aléatoires ».
En cas d’infraction à toutes ces obligations et bien d’autres, des pénalités pécuniaires sont prévues à l’encontre des plateformes en ligne et des moteurs de recherche qui pourront se voir infliger des amendes allant jusqu’à 6% de leur chiffre d’affaires mondial. Concernant les très grandes plateformes (disposant de plus de 45 millions d’utilisateurs), la Commission européenne aura le pouvoir exclusif d’exiger le respect des règles. Algorithmes de recommandation, publicité en ligne, protection des mineurs, choix et désabonnement facilités, compensation des utilisateurs en cas d’infraction, … Une multitude de mesures en faveur du consommateur seront mises en place pour un Internet plus sûr.

Bruxelles dompte la Silicon Valley
Par exemple, les plateformes numériques qui utilisent des « systèmes de recommandation » – basés sur des algorithmes qui déterminent ce que les internautes voient à l’écran – devront fournir au moins une option qui ne soit pas fondée sur le profilage des utilisateurs. « Les très grandes plateformes devront évaluer et atténuer les risques systémiques et se soumettre à des audits indépendants chaque année », est-il en outre prévu (7). Malgré la distance de 8.894 km qui les séparent, Bruxelles et la Silicon Valley n’ont jamais été aussi proches. @

Charles de Laubier