Neutralité du Net, Open Data, renforcement de la CNIL, droit à l’oubli, maintien de la connexion Internet... L’avant-projet de loi « pour une République numérique », qui devrait être porté l’année prochaine devant le Parlement par Axelle Lemaire, contient comme prévu de nombreuses mesures. Next INpact vous propose une analyse de ses principales dispositions.

Après quasiment trois ans de reports à répétition, la « version bêta » du projet de loi numérique d’Axelle Lemaire a enfin été publiée samedi 26 septembre. Le texte, soumis à consultation publique jusqu’au 18 octobre, contient finalement trente articles. De très nombreuses dispositions initialement envisagées par la secrétaire d’État au Numérique sont donc passées à la trappe, notamment suite aux derniers arbitrages de Matignon.

• Consulter l’avant-projet de loi « pour une République numérique »

L’exécutif a manifestement retenu un texte recentré sur des mesures symboliques et consensuelles, quitte à revoir certaines ambitions à la baisse. Le tout reste quoi qu’il en soit articulé autour de trois grands axes, que nous allons désormais explorer en détail.

Open Data et économie du savoir

Deux limitations sont toutefois prévues. Premièrement, seuls les documents existant au format électronique devront être libérés. Deuxièmement, les institutions « dont le nombre d'agents ou de salariés [sera] inférieur à un seuil fixé par décret » n’auront pas à se plier à ces nouvelles obligations. Il faudra donc voir où se situe le curseur pour jauger de la véritable portée de cette mesure...

Ce fameux décret, qui déclenchera l’application de l’ensemble de cet article, devra d’ailleurs être publié « au plus tard deux ans après la publication » de la loi numérique au Journal officiel. Un délai intermédiaire de six mois (à compter de la promulgation du texte) est néanmoins prévu, afin que les administrations commencent à diffuser les documents qu’elles communiquent aujourd’hui au titre des procédures CADA.

Pour faire respecter ces dispositions, les pouvoirs de la Commission d’accès aux documents administratifs (CADA) ont été légèrement actualisés. Avec cet avant-projet de loi, l’institution pourrait effectivement être saisie par tout citoyen faisant désormais face à « un refus de diffusion » de la part d’une administration – et non plus à un simple refus de communication. Les administrations pourraient elles aussi se tourner vers la Commission, ce qui est encore impossible aujourd’hui. Le président de l’autorité administrative serait enfin en capacité de se voir déléguer « l’exercice de certaines attributions [relevant de la formation restreinte de la CADA] », le gouvernement souhaitant créer par décret « une procédure simplifiée de réponse aux demandes reçues par la CADA » – sans plus d’explications à ce sujet.

Création d’un « service public de la donnée » censé conduire à l’ouverture prioritaire de « données de référence ». Toutes les « autorités administratives » seraient tenues de concourir à la « mise à disposition et [à] la diffusion publique » de données de référence, c’est-à-dire d’informations faisant l'objet ou « susceptibles de faire l’objet d'une utilisation fréquente par un grand nombre d’acteurs tant publics que privés et dont la qualité, en termes notamment de précision, de fréquence de mise à jour ou d’accessibilité, est essentielle pour ces utilisations ». Il faudra là aussi attendre un décret pour en savoir plus sur la liste des données concernées, leur « fréquence de mise à jour, d’accessibilité et de format », etc. On remarque au passage qu’aucune date butoir n’a ici été prévue.

Ouverture des données produites dans le cadre de délégations de service public. Pour tous les contrats de délégation de service public conclus ou reconduits après la promulgation de la loi numérique, le prestataire retenu devra fournir aux pouvoirs publics « les données et bases de données collectées ou produites à l'occasion de l'exploitation du service public », et ce « dans un standard ouvert aisément réutilisable ». Le délégataire autorisera également les autorités « à extraire et exploiter librement tout ou partie de ces données et bases de données, notamment en vue de leur mise à disposition à titre gratuit à des fins de réutilisation à titre gratuit ou onéreux ». Seul hic : ces dispositions prévaudront par principe, « sauf stipulation contraire », ce qui laissera la porte ouverte à de nombreuses exceptions...

Ouverture des données produites grâce à des subventions publiques. Dans le même état d’esprit que pour les délégations de service public, l’avant-projet de loi Lemaire permet aux autorités attribuant une subvention (ministères, villes, régions...) d’intégrer une clause selon laquelle l’organisme bénéficiaire « fournit, dans un standard ouvert aisément réutilisable, les données et bases de données collectées ou produites dans le cadre de l’action subventionnée ». Encore une fois, il ne s’agit que d’une simple faculté mise à la disposition des personnes publiques. Celle-ci ne pourra en outre être activée que pour les enveloppes d’un montant annuel supérieur à 23 000 euros (seuil déclenchant la formalisation de la subvention).

On note toutefois un effort en faveur de la transparence : les acteurs publics accordant de tels coups de pouce seront tenus de rendre « accessible, sous un standard ouvert aisément réutilisable, les données essentielles de la convention de subvention, dans des conditions fixées par voie règlementaire ». On peut ainsi imaginer qu’il sera facile de comparer ensuite les villes distribuant le plus de subventions ou, inversement, les associations qui reçoivent le plus d’aides, etc.

Meilleur accès aux travaux de recherche financés par des fonds publics. Les éditeurs ne pourront plus s’opposer à ce que des écrits scientifiques ayant été financés « au moins pour moitié par des fonds publics » soient mis en ligne gratuitement par leurs auteurs, dès lors que la publication numérique en question ne donne lieu à aucune exploitation commerciale. La durée d’exclusivité serait en ce sens limitée à 12 mois pour les publications relatives aux sciences « dures » (médecine, techniques...), contre 24 mois pour travaux de sciences humaines et sociales.

Définition d’un « domaine commun informationnel ». L’avant-projet de loi Lemaire pose (de manière « provisoire » toutefois) le principe selon lequel certaines œuvres, inventions, découvertes... peuvent être considérées comme des « choses communes » au sens de l’article 714 du Code civil. « Elles ne peuvent, en tant que tels, faire l'objet d’une exclusivité, ni d'une restriction de l’usage commun à tous, autre que l’exercice du droit moral » indique le texte gouvernemental, qui s’appliquera notamment aux œuvres du domaine public.

La véritable nouveauté réside dans le fait que des associations agréées « ayant pour objet la diffusion des savoirs ou la défense des choses communes » pourront ainsi saisir les tribunaux, dès lors qu’il sera question « de faire cesser toute atteinte au domaine commun informationnel ». L’idée est bien entendu d’empêcher certains acteurs de revendiquer des droits de propriété intellectuelle sur des biens « communs », ce qu’on appelle parfois copyfraud.

Protection des individus (et de leurs données personnelles) dans la société numérique

Principe de « libre disposition de ses données à caractère personnel ». Dès l’article 1er de la loi Informatique et Libertés, serait introduit un principe en vertu duquel « toute personne dispose du droit de décider des usages qui sont faits de ses données à caractère personnel et de les contrôler ». Le gouvernement explique que cette évolution permettra de « clarifier l’absence de droit de propriété sur les données ». Plus concrètement, cela signifie que les fameuses conditions générales d’utilisation de sites qui affirment détenir un droit de propriété sur les données mises en ligne par leurs utilisateurs « pourront être annulées », selon l’exécutif.

Garantir la portabilité des données entre services en ligne. Afin que chaque internaute puisse facilement récupérer les données collectées à son égard sur Facebook, YouTube ou Spotify, le Code de commerce pourrait prévoir que « tout fournisseur d’un service de communication au public en ligne propose (...) au consommateur une fonctionnalité gratuite permettant la récupération licite :

1. de tous les fichiers mis en ligne par le consommateur ;
2. de toutes les données associées au compte utilisateur du consommateur et résultant de l’utilisation de ce compte, notamment les données relatives au classement de contenus. »

L’internaute devrait être averti « clairement » (avant la signature des conditions générales d’utilisation) « de l’impossibilité ou de la possibilité de récupérer les données ayant fait l’objet d’un traitement et, le cas échéant, des modalités de cette récupération et de la forme, notamment le format de fichier, sous laquelle les données sont récupérables ». Tout manquement serait passible d'une amende administrative d’un montant maximum de 15 000 euros.

Des dispositions spécifiques ont été rédigées pour les fournisseurs de services de courrier électronique. Les Gmail et autres Hotmail seraient ainsi tenus de « proposer une fonctionnalité gratuite permettant à tout consommateur de transférer directement les messages qu’il a émis ou reçus au moyen de ce service (...) ainsi que sa liste de contacts, vers un autre fournisseur de service de courrier électronique ». Tout manquement sera passible des mêmes sanctions.

Protection du secret des correspondances. Visant très clairement les services de messagerie gratuits (Gmail, Skype, Facebook...), le gouvernement a introduit un article en vertu duquel « les éditeurs de services de communication au public en ligne permettant aux utilisateurs de ces services d’échanger des correspondances sont tenus de respecter le secret de celles-ci », sous peine de sanctions pénales. Alors que certains webmails repèrent les termes présents dans les messages de leurs utilisateurs pour afficher ensuite des publicités ciblées, il est bien précisé que ces dispositions s’appliqueront au « contenu de la correspondance en ligne, l’en-tête du message ainsi que les documents joints à la correspondance ». Tout « traitement automatisé d’analyse » de ces éléments constituera d’ailleurs une atteinte au secret des correspondances, sauf lorsque cette opération aura pour fonction « l’affichage, le tri ou l’acheminement de ces correspondances, ou la détection de contenus non sollicités ou malveillants ».

Une CNIL davantage saisie. En l'état, la loi Lemaire oblige le gouvernement à consulter obligatoirement la CNIL pour tout projet de loi ou de décret comportant des dispositions relatives à « la protection des données à caractère personnel ou au traitement de telles données », alors que cette saisine est aujourd’hui limitée aux textes portant sur la seule « protection » des personnes à l'égard des traitements automatisés de données. Les propositions de loi, d’origine parlementaire, pourraient d’autre part faire l’objet d’un avis de la Commission nationale de l’informatique et des libertés, puisque les présidents de l’Assemblée nationale et du Sénat ont le pouvoir de déférer un texte à l’institution (sauf si son auteur s’y oppose).

Extension des missions de la CNIL. L’autorité administrative indépendante est avec ce texte expressément chargée de soutenir « le développement des technologies respectueuses de la vie privée ». L’institution accompagnerait d’autre part les organismes déployant des traitements automatisés de données à caractère personnel, alors qu’elle est aujourd’hui simplement tenue de les conseiller. Elle aurait également pour rôle de conduire « une réflexion sur les problèmes éthiques et les questions de société soulevés par l’évolution des technologies numériques » (intelligence artificielle, implants de puces NFC...).

Le pouvoir de sanction de la CNIL légèrement revu. Actuellement, lorsque la gardienne des données personnelles constate un manquement à la loi Informatique et Libertés, elle peut demander au responsable du traitement concerné de rentrer dans le pas sous cinq jours, dès lors qu’il y a urgence. Avec l’avant-projet de loi Lemaire, ce délai est ramené à 24 heures, ce qui permettra de presser davantage les acteurs laissant fuiter des données personnelles, notamment. Dans tous les cas, si l’organisme épinglé ne donne pas suite à la mise en demeure de l’autorité administrative, cette dernière continuera d’avoir les mêmes armes à son ceinturon : sanction pécuniaire, injonction de cesser le traitement, possibilité de saisir la justice (pour les cas les plus graves), etc. Le montant de l’amende maximale prononcée par la CNIL reste cependant inchangé : 150 000 euros, ou le double en cas de récidive.

Droit à l’oubli pour les mineurs. Tout responsable de traitement de données personnelles, à commencer par les réseaux sociaux et autres services de type YouTube ou Flickr, pourraient être tenus « d'effacer dans les meilleurs délais » les images, informations, vidéos... stockées au sujet d’une personne « mineure au moment de la collecte ». Ce nouveau droit profiterait ainsi aux adolescents, mais aussi aux adultes qui souhaiteraient faire disparaître de la Toile certains souvenirs de jeunesse peu glorieux, à condition qu’ils aient été mis en ligne avant leurs 18 ans... D’assez nombreuses exceptions ont été prévues, puisque ce droit ne pourra être activé lorsque le traitement des données litigieuses sera nécessaire « pour exercer le droit à la liberté d’expression et d’information », pour la constatation, l'exercice ou la défense de droits en justice, pour des « motifs d’intérêt public dans le domaine de la santé publique », etc. En cas de refus ou d’absence de réponse de la part du service en ligne, l’internaute aura le droit de saisir la CNIL, qui se prononcera sur sa demande dans un délai de 15 jours.

Droit de « mort numérique ». Chaque internaute pourra laisser des directives concernant le devenir de ses données personnelles, en cas de décès. L’idée est que « l’héritier » désigné puisse ensuite se tourner vers les réseaux sociaux ou d’autres services en ligne pour obtenir la communication (voire la suppression) des informations, documents... déposés par le défunt. Les Facebook, Deezer et Picasa devront au passage informer leurs utilisateurs « du sort » réservé à leurs données personnelles après leur décès, et leur permettre « de choisir de transmettre ou non [ces] données à un tiers », désigné préalablement à la conclusion du contrat de prestation.

Inscription du principe de neutralité du Net. Anticipant l’adoption du « Paquet télécom » par les institutions européennes, l’avant-projet de loi Lemaire contraint les FAI à respecter la « neutralité de l'internet, garantie par le traitement égal et non discriminatoire du trafic par les opérateurs ». L’ARCEP, le régulateur des télécoms, sera chargé de veiller au grain. « Un opérateur ne pourra pas décider de réduire la bande passante accordée à certains sites de partages de vidéos et augmenter cette bande passante auprès d’autres sites moyennant paiement », explique le gouvernement.

Loyauté des « plateformes en ligne », à commencer par les moteurs de recherche. L’avant-projet de loi Lemaire remet à plat le principe de loyauté des plateformes instauré par la loi Macron (non appliqué à ce jour faute de décret). Seraient qualifiées de « plateformes en ligne » toutes les personnes exerçant à titre professionnel des « activités consistant à classer ou référencer des contenus, biens ou services proposés ou mis en ligne par des tiers, ou de mettre en relation, par voie électronique, plusieurs parties en vue de la vente d’un bien, de la fourniture d’un service, y compris à titre non rémunéré, ou de l’échange ou du partage d’un bien ou d’un service ».

Autant dire que les géants que sont Google, Amazon, Airbnb, Booking... sont les premiers à rentrer dans le giron de ces dispositions. Avec à la clé une obligation pour eux de « délivrer une information loyale, claire et transparente sur les conditions générales d’utilisation du service d’intermédiation [proposé] et sur les modalités de référencement, de classement et de déréférencement des contenus, biens ou services auxquels ce service permet d’accéder ». Même si un décret devra préciser cet article, le gouvernement souhaite que les « plateformes en ligne » fassent « apparaître clairement » l’existence ou non d’une rémunération par les personnes référencées et, le cas échéant, l’impact de celle-ci sur le classement des contenus, biens ou services proposés. Pour tout manquement, les professionnels contrevenants s’exposeront à une amende administrative pouvant atteindre 375 000 euros.

Une agence de notation des plateformes. Pour veiller au respect des nouvelles obligations incombant aux plateformes en ligne, l’avant-projet de loi Lemaire ouvre la voie à la mise en place d’une sorte d’agence de notation, comme l’avait imaginé le Conseil national du numérique. Une « autorité administrative » (non désignée) aura en effet la possibilité de mettre sur pied « des indicateurs permettant d’apprécier et de comparer les pratiques mises en œuvre » par les Facebook, Google, BlaBlaCar, etc. L’institution disposera d’ailleurs d’un pouvoir d’enquête, au cas où certains acteurs se montreraient peu coopératifs.

Transparence sur les avis d’internautes. Alors que les faux avis sont légion sur la Toile, le texte élaboré par la secrétaire d’État au Numérique impose aux sites de préciser si ces commentaires « font l’objet ou non d’une vérification ». Si tel est le cas, « les caractéristiques principales de la vérification mise en œuvre » devront être indiqués (formulaire complet, envoi du ticket de caisse, etc.). Un décret viendra compléter ces dispositions, qui ne s’appliqueront qu’aux sites dont « l'activité consiste, à titre principal ou accessoire, à collecter, modérer ou diffuser des avis en ligne de consommateurs ». Pour tout manquement, c’est à nouveau une amende administrative de 375 000 euros maximum qui est prévue.

Information sur les débits pour l’internet fixe et mobile. Les opérateurs pourraient être tenus de préciser dans les contrats qu’ils font signer à leurs clients « les débits minimums, normalement disponibles, maximums montants et descendants fournis » lorsqu’il s’agit de services d’accès à Internet fixe. Pour les services d’accès à l’internet mobile (de type 4G), ils devront cette fois donner une simple « estimation des débits maximums montants et descendants fournis ». Les Free, Orange & co devraient surtout détailler « les compensations et formules de remboursement applicables lorsque le niveau de qualité de services ou les débits prévus dans le contrat, ne sont généralement pas atteints, de façon continue ou récurrente ».

Accès de tous au numérique

Droit au maintien de la connexion à Internet. Les pouvoirs publics devront accorder une aide à « toute personne ou famille éprouvant des difficultés particulières » et qui souhaiterait disposer d’un accès à Internet dans son logement – de la même manière que ce qui prévaut aujourd’hui pour l’eau, l’électricité ou le téléphone. En cas de factures impayées, les opérateurs ne pourront pas couper la connexion de l’abonné tant que la collectivité n’aura pas statué sur la demande d’aide. Ils ne seront d’ailleurs pas autorisés à imposer des restrictions de débit, contrairement à ce qui avait initialement été envisagé.

Accueil téléphonique pour les sourds et malentendants. Les standards téléphoniques des personnes chargées d’une mission de service public (SNCF, Sécurité sociale, mairies...) devront être accessibles sous cinq ans « aux personnes déficientes auditives par la mise à disposition d’un service de traduction écrite simultanée et visuelle ». Ces appels nécessitant la présence d'un interprète pourront être recueillis « à partir d’un service de communication au public en ligne », tel que Skype par exemple. Une obligation identique reposera sur les associations reconnues d’utilité publique – ADMR, Croix-Rouge, Restos du cœur... – dont le « montant annuel de ressources » sera supérieur à un seuil défini ultérieurement par décret.

Sous deux ans, les professionnels de la vente (dont le chiffre d’affaires sera supérieur à un seuil également défini par décret) devront eux aussi proposer, dans le cadre de leur SAV, un service de traduction accessible depuis Internet.

Accessibilité des sites publics aux personnes handicapées. Les sites Internet des services de l’État, des collectivités territoriales et des établissements publics qui en dépendent devront afficher « une mention visible qui précise, dès l’ouverture, le niveau de conformité ou de la non-conformité du site aux règles d’accessibilité » fixées par le « RGAA ». Les contrevenants s’exposeront à une peine d’amende de 5 000 euros (réduite à 1 500 euros pour les communes de moins de 5 000 habitants). Les acteurs publics devront également élaborer « un schéma pluriannuel de mise en accessibilité de leurs sites internet et intranet, des applications accessibles via un téléphone ou autre dispositif de communication mobile qu’ils éditent ainsi que de l’ensemble de leurs progiciels ».

Recommandé électronique. Des dispositions ont été intégrées afin de reconnaître expressément que « la lettre recommandée électronique bénéficie des mêmes effets juridiques que la lettre recommandée postale, papier ou hybride », lorsque celle-ci satisfait à certaines conditions :

• La lettre recommandée électronique devra être distribuée par un « prestataire postal » disposant d’une autorisation de l’ARCEP (attribuée pour trois ans renouvelables), et « dûment reconnu comme prestataire de service de confiance qualifié pour les services d’envoi recommandé électronique », tel que l’entend le règlement européen eIDAS.

• Le procédé électronique utilisé devra permettre « d'identifier le prestataire, de désigner l'expéditeur, de garantir l'identité du destinataire et d'établir si la lettre a été remise ou non au destinataire » – dans des conditions précisées ultérieurement par décret. Si le destinataire est un particulier, son accord exprès pour l’utilisation d’un tel procédé devra en outre être recueilli.

Le texte final attendu pour le mois de novembre

Cette « version bêta » du projet de loi Lemaire a rapidement fait réagir les internautes, puisqu’un peu de moins de 2 000 participants venant de divers horizons (associations, particuliers...) ont d’ores et déjà commencé à donner leur avis sur ce texte, que ce soit en approuvant – ou désapprouvant – ses mesures, ou en proposant des modifications. Le gouvernement s’est engagé à « répondre précisément aux propositions ayant reçu le plus de votes en expliquant pourquoi il les a retenues ou non », mais rien ne dit qu’il suivra les idées les plus populaires.

Rappelons que la version définitive du projet de loi numérique devrait être connue au mois de novembre, lorsque le Conseil d’État, la CNIL et l’ARCEP auront été consultés. Une fois devant le Parlement, probablement pas avant janvier 2016, députés et sénateurs auront tout le loisir de l’amender. Au regard des nombreuses mesures contenues pour l’instant dans ce texte – mais aussi de celles ayant été laissées sur le bord de la route – les débats promettent d’être nourris !