La loi visant à renforcer le contrôle parental sur les moyens d'accès à internet a été publiée le 2 mars au Journal officiel. Il lui manque un décret d’application, ainsi que la réponse définitive de la Commission européenne. Bruno Studer, député du Bas-Rhin et rapporteur du texte, a répondu à nos questions.

La loi vise à renforcer le contrôle parental en le rendant obligatoire lors de la configuration initiale de l’appareil, donc dès son premier démarrage. Elle va obliger les constructeurs à poser cette question à l'utilisateur : souhaitez-vous activer le contrôle parental ?

Conséquence directe, quand le décret d’application sera publié, les constructeurs auront obligation de fournir une solution de contrôle parental sur bon nombre de produits, dont les ordinateurs, smartphones et tablettes, et plus généralement les « équipements terminaux destinés à l’utilisation de services de communication au public en ligne donnant accès à des services et contenus susceptibles de nuire à l’épanouissement physique, mental ou moral des mineurs ».

Avant même le décret, la France attend le retour de la Commission européenne. Le projet avait en effet été déposé début novembre, avec une première lecture à l’Assemblée le 15. La Commission avait été notifiée dans la foulée, pour qu’elle fasse d’éventuels retours. Objectif : vérifier que le projet de loi rentre dans les clous du cadre législatif européen.

Le 18 janvier, le texte était adopté à l'unanimité et envoyé au Sénat. Après discussion le 9 février, des modifications ont été apportées. Le projet est donc passé entre les mains d’une commission mixte paritaire, pilotée par Bruno Studer, député LREM et rapporteur du texte, et Sylviane Noël, sénatrice LR. À l’issue de cette étape, le projet a été renotifié à Bruxelles. La Commission a encore un peu plus de deux mois pour livrer ses observations, s’il y en a.

Maintenant que la loi a été promulguée, et sauf surprise consistant en un feu rouge venu de Bruxelles, elle devrait entrer en application dans les mois à venir. Se posent néanmoins de nombreuses questions sur ses modalités pratiques, le champ des appareils concernés, les éventuelles atteintes au marché intérieur, les responsabilités de chacun, des entreprises ou encore des logiciels libres. Nous les avons posées à Bruno Studer.

Quelles sont les remarques de la Commission européenne à l'encontre du texte ?

La Commission européenne n’a pas fait en tant que tel des remarques. Il y a des pays qui ont fait des retours, la Suède et l’Italie, mais je n’en ai pas encore eu connaissance. De toute façon le texte a été renotifié suite à la version adoptée en CMP [Commission mixte paritaire, ndlr].

Mais d’après les informations que j’ai eues – c’est le gouvernement qui fait la notification – il n’y a rien qui soit incompatible avec l’entrée en vigueur de la loi, en tout cas dans la version que j’avais proposée initialement, c’est-à-dire sans les ajouts du Sénat.

Sachant que la rédaction que nous avons adoptée en CMP aboutit au fait que si ce qu’a introduit le Sénat – notamment sur les systèmes d’exploitation – devait faire l’objet de remarques de la Commission européenne, les dispositions initiales resteraient tout à fait valables. Ce sont des alinéas différents, le texte est donc protégé dans sa version initiale.

Ne craignez-vous pas que l’atteinte assumée au marché intérieur n’engendre un avis circonstancié ?

Non, parce qu’a priori il n’y a pas d’avis circonstancié sur la version initiale du texte. On a des remarques de certains pays, mais pas d’avis.

Je pense que c’est tout à fait proportionné. Finalement, par rapport à ce que nous avions mis dans le texte – à savoir la protection physique et psychique des mineurs, l’installation puis l’activation du contrôle parental dans le parcours utilisateur – sont tout à fait proportionnés.

Nous au sein de la commission, pendant plusieurs semaines, on a bien sûr expertisé les textes européens, notamment la fameuse directive RED [qui impose des obligations aux fabricants, importateurs et distributeurs d'équipements radioélectriques, ndlr] dans le cadre de laquelle ce texte pouvait être discuté. Moi j’ai toujours dit que j’étais confiant, donc je reste confiant.

Pensez-vous que ces mesures pourraient être généralisées en Europe ? Avez-vous eu des échos en ce sens ?

Oui, tout à fait. Pas des échos directs, mais j’ai rencontré le président de l’ARCOM, Roch-Olivier Maistre, qui m’a dit que l’Allemagne avait interrogé la France sur les dispositions qui étaient prévues dans le contrôle parental.

De fait, il y a de fortes chances pour que le parcours utilisateur soit in fine le même partout en Europe pour les produits destinés au marché intérieur. Rien n’exclut d’ailleurs que ça puisse aller au-delà des frontières de l’Europe, parce que ce n’est pas un problème franco-français, il fallait bien qu’un pays prenne l’initiative.

Sachant qu’encore une fois, on n’est pas sur un problème spécifique à la France. Donc moi j’espère qu’on montre la voie à d’autres pays européens. On verra comment les grands constructeurs adapteront leurs produits au marché, mais on ne peut pas exclure qu’ils adaptent leurs offres pour d’autres pays que la France.

De ce que l’on peut voir actuellement dans le projet, la responsabilité retomberait en grande partie sur les fournisseurs d’OS ?

Non, la responsabilité repose essentiellement sur les fabricants. C’est très clairement ce qui est écrit dans le texte de la CMP. Il y a des cas où les fabricants délèguent entièrement cette tâche aux fournisseurs de systèmes d’exploitation, ce qui n’est pas du tout la pratique courante.

C’était vraiment l’esprit du texte. C’était d’ailleurs ça qui a été l’objet de négociations avec le Sénat, parce qu’on tenait à ce que ça reste. Dans le cas où un fabricant s’appuie sur un fournisseur de système d’exploitation, ce dernier doit lui certifier que c’est bien le cas.

On y tient, et la meilleure preuve c’est qu’in fine si un produit ne répond pas aux critères, il peut être retiré du marché.

Justement, quelles sont les fonctions attendues d’une solution de contrôle parental pour la certification ?

Tout dépendra en fait du décret en Conseil d’État, qui va déterminer quelles seront les caractéristiques minimales de la solution de contrôle parental.

Dans le calendrier, on a cette période de trois mois de renotification à la Commission européenne. D’ores et déjà le gouvernement – je l’espère, je vais y être attentif – a engagé un travail avec les fabricants, les différentes parties prenantes et les associations pour savoir quoi mettre dans les caractéristiques minimales.

La définition donnée par le premier alinéa de l’article 1 n’est-elle pas trop généraliste ?

La loi est effectivement générale dans ses termes, mais très précise dans ses critères, ce qui permet « d'attraper » tous les appareils connectés, présents mais aussi futurs – et c'est essentiel quand le législateur intervient dans des domaines où les avancées technologiques sont aussi fréquentes –, mais seulement ceux qui permettent d'accéder à des contenus préjudiciables aux mineurs.

Quid des serveurs, ordinateurs professionnels, TV connectées, consoles, montres et de certaines voitures comme les Tesla ?

Nous avons souhaité viser uniquement les appareils pertinents avec la rédaction retenue, qui a fait l'objet de nombreuses concertations avec le secteur, précisément pour s'adapter à toutes les catégories d'appareils.

Ainsi, les serveurs et les box des FAI, qui ne permettent pas, en eux-mêmes, d'accéder à internet, ne sont pas concernés par l'obligation de contrôle parental. En revanche, les TV connectées, les consoles voire les montres et les voitures connectées, si elles donnent accès à des contenus préjudiciables – si elles comportent un navigateur, par exemple, ou permettent le téléchargement d'applications potentiellement préjudiciables –, tombent dans le champ de la loi.

Par exemple si vous avez une montre Garmin centrée sur la course à pied, vous n’avez pas besoin d’un contrôle parental.

Que se passe-t-il dans le cadre des ventes d’ordinateurs vendus aux entreprises ?

Même dans le cadre de commandes professionnelles, à partir du moment où vous vendez un appareil capable de se connecter à Internet, le contrôle parental doit figurer.

La loi est générale, nous ne souhaitions pas tomber dans un régime d’exception. D’autant que c’est une simple question posée au premier lancement d’une machine, il suffit de répondre « Non ». Et puis il arrive souvent que beaucoup de ces machines soient revendues pour une deuxième vie, parfois à des associations. Je ne pense pas qu’il faille avoir beaucoup d’états d’âme. Un ordinateur est un ordinateur. Si aucun système d’exploitation n’est fourni, l’appareil n’est pas concerné par la loi.

Pour résumer, les clients sont concernés, pas les serveurs, parce qu’un serveur ne permet pas directement d’accéder à Internet.

Quid des solutions libres ?

Dès lors qu’un ordinateur est vendu avec un système d’exploitation et permet l’accès à des services et contenus, il est concerné. Que le système soit libre ou non ne compte pas.

Donc même un constructeur comme Dell, qui vend des machines sous Ubuntu, sera concerné…

Effectivement. Soit ils s’en occupent eux-mêmes, soit ils délèguent au fournisseur du système d’exploitation, mais il faudra dans ce cas un certificat.

Quelles sont les grandes lignes attendues pour le décret d’application ?

Vous devinez très bien qu’on pourrait se dire qu’il y aurait une première brique qui n’autoriserait que certains sites. On pourrait très bien passer à une deuxième étape où on bloquerait d’autres sites. Puis une autre pour filtrer un certain type de contenu. On pourrait aussi demander à ce qu’une installation d’application fasse partie des paramètres, donc puisse être approuvée ou pas.

Je pense qu’on ne va pas d’un revers de la main balayer les solutions existantes et qui sont parfois de bonne qualité. Mais elles ne sont pas toujours accessibles, c’est un point qu’il faudra surveiller. L’esprit de la loi est de dire que ces choses-là soient un minimum standardisées pour que ce soit simple d’accès et de manipulation.

Le constat que nous on fait, c’est que beaucoup de parents sont découragés par la complexité de ces solutions. Ça c’est le deuxième étage de la fusée, le premier étant qu’en posant la question lors du parcours utilisateur ça vous fasse réfléchir.

Après les caractéristiques pourraient ressembler à ce que je viens de vous exposer, mais ce sera l’objet des négociations comme le fait le pouvoir réglementaire chaque fois qu’il doit prendre un décret. Avec l’intérêt quand même que ce sera soumis à l’avis de la CNIL. La loi précise également que les données personnelles des enfants ne doivent pas faire l’objet d’une exploitation commerciale.

Dans ce cas, lorsque l’on parle de contrôle parental, s’agit-il de solutions prévues sur les terminaux uniquement ou pilotables depuis d’autres équipements ?

Vous pouvez avoir les deux cas de figure. Rien n’empêche que les deux formes continuent à exister, que la solution soit native ou présente sous forme d’application. L’une ou l’autre doit être préinstallée et inscrite dans le parcours utilisateur. Dans tous les cas, l’appareil sera paramétré avec un contrôle parental.

La loi ne prévoit pas que la solution soit nécessairement pilotable à distance.

Y a-t-il un risque pour ce dispositif avec les prochaines élections présidentielles ?

Je ne crois pas. Le sujet est très consensuel, la proposition de loi a été adoptée à l'unanimité à l'Assemblée comme au Sénat. Je ne pense pas que l'issue des élections présidentielles conduira à revenir en arrière sur ce point, c'est une avancée réelle pour les parents et pour la protection des enfants sur internet.