Au Journal officiel, un décret est venu fixer les seuils de connexions à partir desquels les plateformes en ligne comme Twitter ou Facebook sont désormais soumises à des obligations dites « renforcées » dans la lutte contre la diffusion de contenus illicites. Inventaire de ces obligations, issues du « Digital Services Act » à la française.

Le 18 juin 2020, les principales dispositions de la loi Avia avaient été réduites en cendres à la porte du Conseil constitutionnel. Les neuf Sages avaient détecté ce que la députée LReM refusait d’admettre : de lourdes atteintes à la Déclaration des droits de l’Homme de 1789.

• Cyberhaine : la loi Avia largement censurée par le Conseil constitutionnel 

Quand le législateur espérait obliger les plateformes à supprimer les contenus manifestement illicites dans les 24 heures, le Conseil notait que le dispositif allait aussi conduire les intermédiaires à retirer d’autres propos parce qu’ils ont simplement fait l’objet d’un signalement :

« Compte tenu des difficultés d’appréciation du caractère manifestement illicite des contenus signalés dans le délai imparti, de la peine encourue dès le premier manquement et de l’absence de cause spécifique d’exonération de responsabilité, les dispositions contestées ne peuvent qu’inciter les opérateurs de plateforme en ligne à retirer les contenus qui leur sont signalés, qu’ils soient ou non manifestement illicites. Elles portent donc une atteinte à l’exercice de la liberté d’expression et de communication qui n’est pas nécessaire, adaptée et proportionnée »

Le cœur du texte ayant été frappé, les autres mesures qui lui étaient adossées tombèrent comme un domino, en particulier celles qui envisageaient d’imposer des obligations dites « de moyens » aux opérateurs de plateforme comme YouTube ou Twitter. 

Le DSA à la française

Ces obligations ont cependant réapparu au détour d’un autre texte : le projet de loi Séparatisme, finalement publié au Journal officiel le 25 août  dernier sous le nom de « loi confortant le respect des principes de la République ».

Il prévoit en substance que ces intermédiaires doivent mettre en œuvre une série de procédures et des moyens humains et technologiques proportionnés pour lutter contre toute une série de contenus illicites, allant de la répression de l'apologie des crimes contre l'humanité à la provocation à la commission d'actes de terrorisme et de leur apologie, en passant par l'incitation à la haine raciale, à la haine à l'égard des personnes à raison de leur sexe, jusqu’aux contenus pornographiques ou violents accessibles aux mineurs…

Sur amendement gouvernemental, le législateur a adopté rapidement ces dispositions en se plaçant dans le sillage d’une réglementation en cours d’examen devant les instances européennes, le Digital Services Act. Une manière d'anticiper le droit à venir, en prenant le risque de s'écarter du droit existant. Un DSA devenu sujet majeur à l'occasion de la présidence française de l'UE. 

Plus exactement, le texte français désormais en vigueur sera applicable au plus tard jusqu’au 31 décembre 2023, le temps que le chantier européen aboutisse. Un chantier européen qui prévoit aussi plusieurs obligations de moyens, comme rappelé dans nos explications ligne par ligne.

• Le Digital Services Act expliqué ligne par ligne (version Commission européenne) 

Pour le DSA à la française, le législateur a renvoyé à un décret le soin de définir les paliers d’activation de la longue liste des fameuses obligations de moyens. Ce décret a été publié ce week-end au Journal officiel. Il prévoit deux seuils : l’un relatif aux obligations renforcées pesant sur les grandes plateformes, l’autre ajoute d’autres poids sur les épaules cette fois des très grandes plateformes.

Les obligations renforcées pour les grandes plateformes

C’est à partir du seuil de 10 millions de visiteurs uniques par mois « depuis le territoire français », que les opérateurs devront respecter la longue série d’obligations de moyens dressée par la loi Séparatisme. 

Les plateformes concernées devront :

• Mettre en œuvre des procédures et des moyens humains et technologiques proportionnés permettant :
  1. D’informer, dans les meilleurs délais, les autorités judiciaires ou administratives des actions qu’ils ont mises en œuvre à la suite des injonctions reçues
  2. D’accuser réception sans délai des demandes des autorités judiciaires ou administratives tendant à l’identification des utilisateurs
  3. De conserver temporairement les contenus signalés qu’ils ont retirés
• Désigner un point de contact unique
• Mettre à la disposition du public, de façon facilement accessible, leurs CGU où « ils y décrivent en termes clairs et précis leur dispositif de modération visant à détecter, le cas échéant, à identifier et à traiter ces contenus, en détaillant les procédures et les moyens humains ou automatisés employés à cet effet ainsi que les mesures qu’ils mettent en œuvre affectant la disponibilité, la visibilité et l’accessibilité de ces contenus »
• Rendre compte au public des moyens mis en œuvre et des mesures adoptées pour lutter contre la diffusion des contenus haineux
• Mettre en place des dispositifs d’alertes
• Mettre en œuvre des procédures et des moyens humains et technologiques proportionnés permettant
  1. D’accuser réception sans délai des notifications visant au retrait d’un contenu
  2. De garantir l’examen approprié de ces notifications dans un prompt délai
  3. D’informer leur auteur des suites qui y sont données
  4. D’en informer l’utilisateur à l’origine de sa publication, si ces acteurs décident de retirer (même si le contenu est pédopornographique ou terroriste…). Les raisons sont données et il est informé des voies de recours
• Mettre en œuvre des dispositifs de recours interne permettant de contester les décisions relatives aux contenus (retrait ou non)
• Exposer dans leurs conditions d’utilisation, en des termes clairs et précis, ces procédures de retrait, pouvant conduire à des résiliations de compte pour les cas les plus graves (car répétés)
• Pour les acteurs dépassant un seuil de connexion, évaluer les risques systémiques liés à leurs services. Ils devront mettre en place des mesures destinées à atténuer les risques de diffusion des contenus illicites rattachés à la liste.
• Rendre compte au CSA des procédures et moyens

Ces moyens proportionnés, avec obligation de reporting devraient permettre de mieux jauger les moyens mis en oeuvre en France par Facebook, Google, mais aussi Twitter, service qui dispose, pour faire face à des millions de posts quotidiens, de 1 867 modérateurs dans le monde (soit un modérateur pour 200.000 internautes), épaulés par des solutions d'IA (et donc des traitements automatisés des signalements).

Le CSA, devenu ARCOM depuis le 1er janvier, sera le gendarme de ces obligations. Il pourra même sanctionner les intermédiaires qui ne se conformeraient pas à ses mises en demeure avec, à la clef, une amende maximale de 20 millions d’euros, ou 6 % du chiffre d’affaires annuel mondial total de l’exercice précédent (le montant le plus élevé étant retenu).

Les obligations additionnelles pour les très grandes plateformes

Le second seuil a été fixé à 15 millions de visiteurs uniques par mois depuis le territoire français. Cette fois, les opérateurs concernés devront :

• Évaluer chaque année les risques systémiques liés au fonctionnement et à l'utilisation de leurs services en matière de diffusion des contenus illicites, en évoquant aussi les atteintes aux droits fondamentaux, notamment à la liberté d'expression. Une évaluation qui devra tenir compte « des caractéristiques de ces services, notamment de leurs effets sur la propagation virale ou la diffusion massive des contenus susvisés ».
• Mettre en œuvre « des mesures raisonnables, efficaces et proportionnées », visant à atténuer les risques de diffusion des contenus prohibés. Mais ils devront aussi veiller à prévenir les risques de retrait non justifié.
• Enfin rendre compte au public de l'évaluation de ces risques systémiques et des mesures d'atténuation, avec des modalités fixées par l'Arcom.

Là encore, l'Arcom pourra mettre un opérateur en demeure de se conformer aux dispositions de la loi française, outre de répondre aux demandes d'informations. Il pourra aussi rendre publiques chacune de ces décisions, publications qui seront proportionnées à la gravité du manquement. 

Une entorse à la règle du pays d'origine

Lorsque la France a notifié ce texte à la Commission européenne, Paris a prévenu Bruxelles que ces obligations seront « imposées aux opérateurs qu’ils soient établis ou non sur le territoire français ». 

En retour, la Commission a dénoncé le risque d'une « fragmentation croissante » au point qu’il soit désormais difficile « de garantir que tous les Européens bénéficient d'un niveau comparable de protection efficace en ligne ».

Elle avait ajouté que le dispositif français « est susceptible de créer des restrictions à la libre prestation transfrontalière de services de la société de l’information établis dans un autre État membre ». Sans être vraiment convaincue de cette exception à la directive e-commerce de 2000.

Un texte qui encadre la responsabilité de ces intermédiaires où c'est, en principe, la loi du pays d'origine du service qui s'applique, non celle du pays de destination, là où sont les internautes visés.

On imagine en effet sans mal le sac de noeuds si chacun des pays européens adopte, à l'image de Paris, une législation extensive pour imposer une série d'obligations non harmonisées aux acteurs du numérique, peu importe leur lieu d'installation.

Un joli sujet que saura à coup sûr défendre la France durant sa présidence de l'UE.