Le tribunal administratif régional du Tyrol (Autriche) a saisi la Cour de justice de l’Union européenne pour jauger la compatibilité avec le droit européen de l’accès au téléphone d’une personne par les autorités, en matière de prévention, recherche, détection et poursuite d’infractions pénales.

Elle veut savoir si cet accès doit être limité à la criminalité grave. De même, les autorités nationales chargées de la sécurité peuvent-elles bénéficier, de leur propre initiative, au cours d’une procédure d’enquête pénale, et sans autorisation d’une juridiction ou d’une autorité administrative indépendante, d’« un accès complet et non contrôlé à l’ensemble des données numériques stockées » dans l’appareil ?

Autre question : est-il possible d’exploiter ces données sans que la personne concernée ne soit informée de la mesure au préalable ou, à la rigueur a posteriori ?

Les faits remontaient à février 2021. Les douanes avaient saisi un colis contenant 85 grammes de cannabis. Les fonctionnaires de police étaient remontés jusqu’au destinataire. S’en suivaient perquisition du domicile, mais aussi saisie du téléphone, le détenteur du smartphone ayant refusé de communiquer le code de déverrouillage. Ce n’est qu’après coup qu’il découvrit que les autorités avaient tenté plusieurs fois de rentrer dans son appareil.

• Le document de travail diffusé par la CJUE

Dans ce domaine sensible, en France, la Cour de cassation a considéré en 2020 que refuser de fournir le code de déverrouillage d’un téléphone peut constituer une infraction, si ce code a un lien avec le chiffrement des données.

« Non-conformité partielle ». Le Conseil constitutionnel a censuré plusieurs dispositions relatives aux drones et caméras installées dans des aéronefs, dans la loi relative à la responsabilité pénale et à la sécurité intérieure. Il y a ajouté plusieurs réserves d'interprétation, pour imposer sa grille de lecture sur l’autel des droits et libertés.

Une nouvelle fois, il a rappelé que ces yeux électroniques dans le ciel, « eu égard à leur mobilité et à la hauteur à laquelle ils peuvent évoluer », sont susceptibles « de capter, en tout lieu et sans que leur présence soit détectée, des images d'un nombre très important de personnes et de suivre leurs déplacements dans un vaste périmètre ».

Une atteinte à la vie privée qui doit être accompagnée de solides garanties, quand bien même l’objectif poursuivi est la prévention des atteintes à l'ordre public.

Si ces dispositifs supposent une autorisation préfectorale, le Conseil constitutionnel a exigé que le préfet s’assure d’abord « que le service ne peut employer d'autres moyens moins intrusifs » ou « que l'utilisation de ces autres moyens serait susceptible d'entraîner des menaces graves pour l'intégrité physique des agents ».

Le texte interdit le couplage drone-reconnaissance faciale. Dans une autre réserve d’interprétation, le Conseil constitutionnel prévient que cela ne signifie aucunement que les autorités puissent procéder à un tel traitement « au moyen d'autres systèmes automatisés de reconnaissance faciale qui ne seraient pas placés sur ces dispositifs aéroportés ».

Au passage, il a considéré comme contraire aux textes fondamentaux la procédure d’urgence qui permettait de lancer ces essaims de drones, sans autorisation du préfet, pendant une durée de quatre heures. Le législateur a été trop généreux puisqu’il voulait autoriser ces vols sans les réserver à des situations d’une particulière gravité. Même sort pour les drones utilisés par la police municipale, pour les mêmes raisons.

« Les députés approuvent un projet de mesures qui lutte contre les contenus illicites, afin d’assurer la responsabilité des plateformes et d’améliorer les processus de modération de contenus ». Le Digital Services Act a ainsi été approuvé par le Parlement européen par 530 voix pour, 78 contre et 80 abstentions.

Ce vote servira de mandat de négociation avec la présidence française du Conseil qui représente les États membres.

• Le DSA ligne par ligne (version Commission Européenne)

Le projet de législation « définit clairement les responsabilités et les obligations des prestataires de services intermédiaires », indique le Parlement européen. « Ces mesures établissent une procédure de notification et d’action, ainsi que des garanties pour la suppression de produits, services ou contenus illicites ».

Les fournisseurs de services d’hébergement « devraient donner suite aux notifications "sans retard excessif, en tenant compte du type de contenu illégal notifié et de l’urgence d’agir" ».

Des garanties « renforcées » ont été prévues pour assurer que les notifications soient « traitées de manière non arbitraire et non discriminatoire et dans le respect des droits fondamentaux, notamment la liberté d’expression ».

Les très grandes plateformes en ligne « seront soumises à des obligations spécifiques en raison des risques particuliers qu’elles présentent en ce qui concerne la diffusion de contenus préjudiciables et illicites ». Elles devront évaluer les risques et les mesures d’atténuation de ces risques, outre mettre en place « des audits indépendants et une transparence des "systèmes de recommandation " ».

Outre une « exemption pour les micros et petites entreprises de certaines obligations liées à la législation sur les services numériques », le texte demande plus de transparence dans la publicité ciblée et sa monétisation.

« Le refus de consentement ne doit pas être plus difficile ou plus long pour le destinataire que l’octroi du consentement ». En outre, « en cas de refus ou de retrait du consentement, les destinataires se verront proposer d'autres options pour accéder à la plateforme en ligne, notamment des "options fondées sur la publicité sans suivi" ».

« Les techniques de ciblage ou d'amplification impliquant les données de mineurs à des fins d'affichage de publicités seront interdites, tout comme le ciblage de personnes sur la base de catégories spéciales de données permettant de cibler des groupes vulnérables ».

Le non-respect des obligations des plateformes devra pouvoir générer des dédommagements pour les utilisateurs, via des voies de recours.

Le texte prévoit aussi « une possible interdiction pour les plateformes en ligne d’utiliser des techniques de tromperie ou de "nudge" pour influencer le comportement des utilisateurs par le biais "d’interfaces truquées" ».

Relevons enfin que « les très grandes plateformes en ligne devraient fournir au moins un système de recommandation qui ne soit pas basé sur le profilage ». Une disposition voudrait reconnaître « le droit d'utiliser et de payer des services numériques de manière anonyme » plénière).

Le gouvernement rappelle qu’il appartiendra à la France de conduire maintenant les « trilogues », à savoir ces réunions informelles entre les représentants du Parlement, du Conseil et de la Commission, pour aboutir à un texte acceptable. Pour Cédric O, « il est impératif d’actualiser rapidement les règles issues de la directive e-commerce et de responsabiliser les plateformes à hauteur de leur rôle dans la diffusion des contenus. »

Nous reviendrons plus en détail sur ce volet.