J’aime bien taper sur la CNIL, mais il faut tout de même resituer un peu le contexte.
Dans sa décision de juillet, la CNIL affirme bien que, en application du RGPD (et de 2-3 autres textes), le consentement implicite n’est pas valable. Et que donc, par défaut, implicitement, c’est forcément un refus.
En revanche, elle a assorti cette décision d’une sorte de délais de grâce, disant “On vous laisse un an pendant lequel on ne sanctionnera pas pour vous adapter”. C’est bien cette deuxième partie que nous attaquons devant le Conseil d’État.
Que quelques professionnels aient commencé à appliquer la décision de juillet sans tenir compte du délai de grâce, c’est peut-être parce qu’ils sont sages et gentils, ou c’est peut-être parce que notre référé leur fait peur (ce dont je doute un peu, quand même), ou simplement qu’ils ont préféré s’adapter sans attendre pour éviter tout risque légal. Toujours est-il que c’est une amélioration.
Le
19/08/2019 à
17h
57
Une grille de lecture plausible, en deux temps.
Premier temps, le délais.En général, le Conseil d’État prévoit l’audience d’une procédure une fois qu’il considère que l’instruction est close. C’est-à-dire qu’il a reçu les mémoires en défense du Gouvernement (2-3 mois après la requête, souvent ça monte jusqu’à 6 mois), que les requérants ont eu le temps d’y répondre (1 mois), que le Gouvernement a pu re-répondre s’il le souhaitait, et que le conseiller d’État en charge de l’instruction considère que la discussion est terminée.
Dans le cas qui nous intéresse, l’audience sur le fond du dossier a été prévue très tôt. Bien avant le délai laissé à la CNIL pour répondre. Bien entendu, la CNIL a présenté une défense dans le cadre du référé, et cette défense est globalement la même sur le fond. Mais prévoir une audience alors que la requête n’est déposée que depuis quelques jours, c’est très étrange. Comment le Conseil d’État peut-il considérer que l’instruction est close, alors qu’elle vient seulement de commencer ?
Il peut y avoir une raison simple à ça : si on suit les délais usuel (entre 12 et 36 mois), c’est un déni de justice, puisque la décision sur le fond du dossier arrivera alors que la décision attaquée n’aura plus d’effet. Donc, garder le rythme normal, c’est contraindre le juge du référé à considérer que c’est urgent. Et donc, ça force le juge du référé à trancher seul.
Après tout, c’est la procédure. En référé, ça va très vite, et il y a un seul juge qui planche sur le dossier. En quoi cette procédure relativement usuelle serait un problème ?
Deuxième temps, le droit.
Et bien, il se trouve que la question que nous posons est délicate. Pas spécialement compliquée, mais délicate. Parce qu’aucun texte de loi n’en parle de manière claire, et qu’il n’existe aucune jurisprudence. La question de droit est donc nouvelle : une autorité administrative indépendante a-t-elle le droit de dire que pendant un an, elle ne sanctionnera pas un comportement manifestement illégal qu’elle est chargée de sanctionner ?
Une autorité administrative a toujours le droit, sur un dossier particulier, de considérer que les circonstances particulières du dossier font qu’elle ne sanctionne pas, quelle que soit sa raison de le faire (c’est pas si grave, ça a été corrigé, c’est une boîte avec des petits moyens, pas envie, etc). Ça, c’est certain. Et on des jurisprudences du Conseil d’État sur le sujet, y compris récentes. Mais, dire à l’avance qu’on ne sanctionnera pas pendant un an, c’est tout à fait autre chose.
D’un côté, la présidente de la CNIL peut bien décider, en son fort intérieur, qu’elle ne sanctionnera pas. Et ne pas sanctionner. Simplement, ne pas l’annoncer. Et donc, annoncer ce qu’on va faire serait simplement de la transparence.
Mais d’un autre côté, dans ce cas, cette autorité administrative peut décider qu’une loi ne s’applique pas, juste parce qu’elle n’a pas envie. Alors qu’elle relève de l’exécutif, elle aurait le pouvoir de défaire une loi, de refuser de l’appliquer, sans rendre de compte à personne. Embêtant.
Il va donc falloir que le Conseil d’État tranche cette question de droit. Et comme il est la cour suprême en matière de droit administratif, ce qu’il décidera, et ce qu’il expliquera dans cette décision, va créer la jurisprudence en la matière. On peut comprendre qu’il n’ait pas souhaité confier ça à un juge seul.
C’est, à mon sens, l’explication de ce délai aussi court pour l’audience d’une affaire devant le Conseil d’État.
Mais je ne suis pas dans leurs têtes, je peux me tromper :)
Petite inversion dans la dernière phrase : le Safe Harbor est le texte ancien, invalidé par la CJUE, qui a été remplacé en catastrophe par le Privacy Shield, parce que la Commission Européenne voulait absolument que les échanges de données puissent continuer entre l’UE et les USA.
Grompf. L’interface m’a laissé éditer mon commentaire, mais semble avoir perdu mes modifs. En dehors de quelques fautes de frappe, j’y ajoutais un lien vers cet article de 2014, comme illustration de “conséquence de la responsabilité de la censure” :http://blog.fdn.fr/?post/2013/02/17/Loi-de-défense-de-la-liberté-d-exp…
Le
28/09/2018 à
18h
16
Autant, je suis d’accord sur le fait que Marc fait une analyse, autant je ne suis pas d’accord sur le fait qu’il prenne du recul. Mais, je suis partial.
La position historique de LQDN pouvait se résumer au fait de protéger les intermédiaires techniques (les hébergeurs), pour protéger la liberté d’expression. Sur le papier, ça fait très joli, mais ça ne marche pas. En particulier, quand ces intermédiaires agissent sur le contenu, quel que soit l’action, il ne leur arrive rien. Que ce soit de la censure (pratiquée tranquilement par Apple et Facebook depuis des années), de la hiérarchisation, de la mise en avant, tout cela devrait être sans conséquence.
Le point d’équilibre de la LCEN est rompu depuis bien longtemps. Il y a les cas simples à analyse (Nextinpact est éditeur, OVH est hébergeur) et il y a les cas plus complexes. Manifestement, Facebook n’est pas hébergeur. Cet intermédiaire technique est également autre chose, et cette autre chose est difficile à caractériser. Que les textes de la quadrature ne soient pas encore assez fins sur le sujet, c’est certain. Mais ça ne veut pas dire qu’on fait fausse route.
En droit, on considère trop souvent que la taille n’est pas un critère caractérisant. Or, manifestement, Leclerc et Carrefour, ce n’est pas la même chose que l’épicier en bas de chez moi. Ces très grandes entreprises ont par exemple une capacité de modifier le marché que l’épicier n’a pas. De la même manière, les grandes plateformes de diffusion/hébergement de contenu sortent du rôle simple de l’hébergeur. D’une part, par la position qu’elles occupent dans le réseau de communication (Facebook, via whatsapp, est une plateforme de communication colossale à échelle mondiale, sans même parler d’Apple et Google dans la téléphonie mobile), d’autre part par le rôle actif que ces plateformes ont choisi de jouer.
Se réfugier derrière un algorithme, c’est tricher. Quand Facebook écrit l’algo qui va trier une timeline, le tri résultant n’est pas choisi en fonction d’un paramétrage de l’utilisateur (comme dans un lecteur de flux RSS où je choisirai l’ordre d’affichage des articles selon mes critères d’utilisateur final), mais en fonction de critères qui servent essentiellement les intérêts de Facebook. L’effet de ça est diffus, mais certain. C’est la mise en avant des contenus qui clashent, parce qu’ils créent de l’engagement de la part de l’utilisateur, et donc augmentent la quantité de cerveau disponible qu’on peut vendre au publicitaire.
Quelle est la nature exacte de ces outils ? Compliqué à dire. Éditeur, c’est peu adapté. Par exemple parce qu’ils ne valident pas les contenus un par un avant publication, et que donc les tenir responsable des injures et des difamation, au sens de la loi de 1881, c’est délicat. Héberger, c’est peu adapté. Ils jouent un rôle très actif dans ce qui est diffusé, toutes les affaires récentes le montrent. Et leur position hyper-centrale leur donne un pouvoir de nuisance colossal. Twitter, ce n’est pas une instance Mastodon en plus gros. C’est autre chose. Sa nature est différente. Et sa taille joue, dans la définition de la nature de l’objet.
Typiquement, la taille et la centralisation devraient avoir des conséquences en matière de protection de la liberté d’expression. En effet, se faire censurer sur une instance Mastodon, c’est quelque chose de relativement faible, le fediverse est composé de ~4000 serveurs, être malvenu et maltraité sur un de ces serveurs porte moins à conséquence qu’être malvenu et maltraité par un système entièrement centralisé. La centralisation crée la toute-puissance du point central. Et la toute-puissance associée à une taille surhumaine, ça ne peut pas être sans conséquence.
Le régime des hébergeurs, des intermédiaires techniques, était pensé comme un équilibre. Tu te contentes d’un rôle strictement technique, alors tu n’es pas responsable des usages. Une espèce d’échange. La neutralité technique d’un côté, et l’irresponsabilité en contre-partie. Ces grands intermédiaires techniques sont sortis de la neutralité technique il y a longtemps. Il va donc falloir sortir de l’irresponsabilité qui va avec.
Pour moi, le point clef ensuite, c’est de savoir si on veut arriver à de la censure automatique (une conséquence possible de la responsabilité des contenus diffusés) ou à une forme particulière de protection de la liberté d’expression sur ces plateformes (une conséquence de la responsabilité de la censure). Mon avis personnel, sur ce point précis, c’est qu’il faut un peu des deux. Mais mon commentaire est déjà trop long :)
Notre gouvernement est contre le fait de se faire contredire, que ce soit par l’Europe ou par une cour de justice. Et, en matière européenne, la France a depuis des décennies une position totalement hypocrite. Typiquement quand nos gouvernements affirment que l’Europe leur impose un truc, alors que la France soutenait le truc en question (ou ne s’y est pas opposé). C’est un grand classique, typiquement français.
C’est précisément l’inverse. L’activité des exégètes est identifiée par la quadrature comme essentielle.
C’est le travail auprès des parlementaires, pour préparer les amendements, pour discuter des modifications sur les textes, qui va être mis au ralenti : ça ne sert à rien. Au mieux du mieux, ils écoutent, comprennent, et à la fin votent comme le chef à dit parce qu’ils n’ont en moyenne aucun courage. Il se trouve qu’en plus, dans l’année qui vient, ils feront n’importe quoi pour cause de campagne présidentielle.
7 commentaires
Surfer vaut consentement aux cookies : le Conseil d’État rejette le référé contre la CNIL
19/08/2019
Le 19/08/2019 à 19h 18
J’aime bien taper sur la CNIL, mais il faut tout de même resituer un peu le contexte.
Dans sa décision de juillet, la CNIL affirme bien que, en application du RGPD (et de 2-3 autres textes), le consentement implicite n’est pas valable. Et que donc, par défaut, implicitement, c’est forcément un refus.
En revanche, elle a assorti cette décision d’une sorte de délais de grâce, disant “On vous laisse un an pendant lequel on ne sanctionnera pas pour vous adapter”. C’est bien cette deuxième partie que nous attaquons devant le Conseil d’État.
Que quelques professionnels aient commencé à appliquer la décision de juillet sans tenir compte du délai de grâce, c’est peut-être parce qu’ils sont sages et gentils, ou c’est peut-être parce que notre référé leur fait peur (ce dont je doute un peu, quand même), ou simplement qu’ils ont préféré s’adapter sans attendre pour éviter tout risque légal. Toujours est-il que c’est une amélioration.
Le 19/08/2019 à 17h 57
Une grille de lecture plausible, en deux temps.
Premier temps, le délais.En général, le Conseil d’État prévoit l’audience d’une procédure une fois qu’il considère que l’instruction est close. C’est-à-dire qu’il a reçu les mémoires en défense du Gouvernement (2-3 mois après la requête, souvent ça monte jusqu’à 6 mois), que les requérants ont eu le temps d’y répondre (1 mois), que le Gouvernement a pu re-répondre s’il le souhaitait, et que le conseiller d’État en charge de l’instruction considère que la discussion est terminée.
Dans le cas qui nous intéresse, l’audience sur le fond du dossier a été prévue très tôt. Bien avant le délai laissé à la CNIL pour répondre. Bien entendu, la CNIL a présenté une défense dans le cadre du référé, et cette défense est globalement la même sur le fond. Mais prévoir une audience alors que la requête n’est déposée que depuis quelques jours, c’est très étrange. Comment le Conseil d’État peut-il considérer que l’instruction est close, alors qu’elle vient seulement de commencer ?
Il peut y avoir une raison simple à ça : si on suit les délais usuel (entre 12 et 36 mois), c’est un déni de justice, puisque la décision sur le fond du dossier arrivera alors que la décision attaquée n’aura plus d’effet. Donc, garder le rythme normal, c’est contraindre le juge du référé à considérer que c’est urgent. Et donc, ça force le juge du référé à trancher seul.
Après tout, c’est la procédure. En référé, ça va très vite, et il y a un seul juge qui planche sur le dossier. En quoi cette procédure relativement usuelle serait un problème ?
Deuxième temps, le droit.
Et bien, il se trouve que la question que nous posons est délicate. Pas spécialement compliquée, mais délicate. Parce qu’aucun texte de loi n’en parle de manière claire, et qu’il n’existe aucune jurisprudence. La question de droit est donc nouvelle : une autorité administrative indépendante a-t-elle le droit de dire que pendant un an, elle ne sanctionnera pas un comportement manifestement illégal qu’elle est chargée de sanctionner ?
Une autorité administrative a toujours le droit, sur un dossier particulier, de considérer que les circonstances particulières du dossier font qu’elle ne sanctionne pas, quelle que soit sa raison de le faire (c’est pas si grave, ça a été corrigé, c’est une boîte avec des petits moyens, pas envie, etc). Ça, c’est certain. Et on des jurisprudences du Conseil d’État sur le sujet, y compris récentes. Mais, dire à l’avance qu’on ne sanctionnera pas pendant un an, c’est tout à fait autre chose.
D’un côté, la présidente de la CNIL peut bien décider, en son fort intérieur, qu’elle ne sanctionnera pas. Et ne pas sanctionner. Simplement, ne pas l’annoncer. Et donc, annoncer ce qu’on va faire serait simplement de la transparence.
Mais d’un autre côté, dans ce cas, cette autorité administrative peut décider qu’une loi ne s’applique pas, juste parce qu’elle n’a pas envie. Alors qu’elle relève de l’exécutif, elle aurait le pouvoir de défaire une loi, de refuser de l’appliquer, sans rendre de compte à personne. Embêtant.
Il va donc falloir que le Conseil d’État tranche cette question de droit. Et comme il est la cour suprême en matière de droit administratif, ce qu’il décidera, et ce qu’il expliquera dans cette décision, va créer la jurisprudence en la matière. On peut comprendre qu’il n’ait pas souhaité confier ça à un juge seul.
C’est, à mon sens, l’explication de ce délai aussi court pour l’audience d’une affaire devant le Conseil d’État.
Mais je ne suis pas dans leurs têtes, je peux me tromper :)
Le transfert de données personnelles vers les États-Unis à nouveau devant la justice européenne
08/07/2019
Le 08/07/2019 à 10h 04
Petite inversion dans la dernière phrase : le Safe Harbor est le texte ancien, invalidé par la CJUE, qui a été remplacé en catastrophe par le Privacy Shield, parce que la Commission Européenne voulait absolument que les échanges de données puissent continuer entre l’UE et les USA.
Directive droit d’auteur : la gymnastique dangereuse de la Quadrature du Net
28/09/2018
Le 28/09/2018 à 18h 34
Grompf. L’interface m’a laissé éditer mon commentaire, mais semble avoir perdu mes modifs. En dehors de quelques fautes de frappe, j’y ajoutais un lien vers cet article de 2014, comme illustration de “conséquence de la responsabilité de la censure” :http://blog.fdn.fr/?post/2013/02/17/Loi-de-défense-de-la-liberté-d-exp…
Le 28/09/2018 à 18h 16
Autant, je suis d’accord sur le fait que Marc fait une analyse, autant je ne suis pas d’accord sur le fait qu’il prenne du recul. Mais, je suis partial.
La position historique de LQDN pouvait se résumer au fait de protéger les intermédiaires techniques (les hébergeurs), pour protéger la liberté d’expression. Sur le papier, ça fait très joli, mais ça ne marche pas. En particulier, quand ces intermédiaires agissent sur le contenu, quel que soit l’action, il ne leur arrive rien. Que ce soit de la censure (pratiquée tranquilement par Apple et Facebook depuis des années), de la hiérarchisation, de la mise en avant, tout cela devrait être sans conséquence.
Le point d’équilibre de la LCEN est rompu depuis bien longtemps. Il y a les cas simples à analyse (Nextinpact est éditeur, OVH est hébergeur) et il y a les cas plus complexes. Manifestement, Facebook n’est pas hébergeur. Cet intermédiaire technique est également autre chose, et cette autre chose est difficile à caractériser. Que les textes de la quadrature ne soient pas encore assez fins sur le sujet, c’est certain. Mais ça ne veut pas dire qu’on fait fausse route.
En droit, on considère trop souvent que la taille n’est pas un critère caractérisant. Or, manifestement, Leclerc et Carrefour, ce n’est pas la même chose que l’épicier en bas de chez moi. Ces très grandes entreprises ont par exemple une capacité de modifier le marché que l’épicier n’a pas. De la même manière, les grandes plateformes de diffusion/hébergement de contenu sortent du rôle simple de l’hébergeur. D’une part, par la position qu’elles occupent dans le réseau de communication (Facebook, via whatsapp, est une plateforme de communication colossale à échelle mondiale, sans même parler d’Apple et Google dans la téléphonie mobile), d’autre part par le rôle actif que ces plateformes ont choisi de jouer.
Se réfugier derrière un algorithme, c’est tricher. Quand Facebook écrit l’algo qui va trier une timeline, le tri résultant n’est pas choisi en fonction d’un paramétrage de l’utilisateur (comme dans un lecteur de flux RSS où je choisirai l’ordre d’affichage des articles selon mes critères d’utilisateur final), mais en fonction de critères qui servent essentiellement les intérêts de Facebook. L’effet de ça est diffus, mais certain. C’est la mise en avant des contenus qui clashent, parce qu’ils créent de l’engagement de la part de l’utilisateur, et donc augmentent la quantité de cerveau disponible qu’on peut vendre au publicitaire.
Quelle est la nature exacte de ces outils ? Compliqué à dire. Éditeur, c’est peu adapté. Par exemple parce qu’ils ne valident pas les contenus un par un avant publication, et que donc les tenir responsable des injures et des difamation, au sens de la loi de 1881, c’est délicat. Héberger, c’est peu adapté. Ils jouent un rôle très actif dans ce qui est diffusé, toutes les affaires récentes le montrent. Et leur position hyper-centrale leur donne un pouvoir de nuisance colossal. Twitter, ce n’est pas une instance Mastodon en plus gros. C’est autre chose. Sa nature est différente. Et sa taille joue, dans la définition de la nature de l’objet.
Typiquement, la taille et la centralisation devraient avoir des conséquences en matière de protection de la liberté d’expression. En effet, se faire censurer sur une instance Mastodon, c’est quelque chose de relativement faible, le fediverse est composé de ~4000 serveurs, être malvenu et maltraité sur un de ces serveurs porte moins à conséquence qu’être malvenu et maltraité par un système entièrement centralisé. La centralisation crée la toute-puissance du point central. Et la toute-puissance associée à une taille surhumaine, ça ne peut pas être sans conséquence.
Le régime des hébergeurs, des intermédiaires techniques, était pensé comme un équilibre. Tu te contentes d’un rôle strictement technique, alors tu n’es pas responsable des usages. Une espèce d’échange. La neutralité technique d’un côté, et l’irresponsabilité en contre-partie. Ces grands intermédiaires techniques sont sortis de la neutralité technique il y a longtemps. Il va donc falloir sortir de l’irresponsabilité qui va avec.
Pour moi, le point clef ensuite, c’est de savoir si on veut arriver à de la censure automatique (une conséquence possible de la responsabilité des contenus diffusés) ou à une forme particulière de protection de la liberté d’expression sur ces plateformes (une conséquence de la responsabilité de la censure). Mon avis personnel, sur ce point précis, c’est qu’il faut un peu des deux. Mais mon commentaire est déjà trop long :)
Les Exégètes accentuent leur pression sur l’obligation de rétention des données
23/05/2016
Le 23/05/2016 à 19h 37
Notre gouvernement est contre le fait de se faire contredire, que ce soit par l’Europe ou par une cour de justice. Et, en matière européenne, la France a depuis des décennies une position totalement hypocrite. Typiquement quand nos gouvernements affirment que l’Europe leur impose un truc, alors que la France soutenait le truc en question (ou ne s’y est pas opposé). C’est un grand classique, typiquement français.
[Interview] La Quadrature du Net « ne frappera plus aux portes qui ne veulent pas s’ouvrir »
18/05/2016
Le 23/05/2016 à 18h 41
C’est précisément l’inverse. L’activité des exégètes est identifiée par la quadrature comme essentielle.
C’est le travail auprès des parlementaires, pour préparer les amendements, pour discuter des modifications sur les textes, qui va être mis au ralenti : ça ne sert à rien. Au mieux du mieux, ils écoutent, comprennent, et à la fin votent comme le chef à dit parce qu’ils n’ont en moyenne aucun courage. Il se trouve qu’en plus, dans l’année qui vient, ils feront n’importe quoi pour cause de campagne présidentielle.