rapport sur le projet de loi, adopté par le Sénat après engagement de la procédure accélérée, visant à sécuriser et réguler l’espace numérique (n°1514 rectifié).

1. AVANT-PROPOS DU RAPPORTEUR GÉNÉRAL
2. Principaux apports de la commission spéciale
3. COMMENTAIRES DES ARTICLES
4. Titre Ier PROTECTION DES MINEURS EN LIGNE
5. Section 1 Renforcement des pouvoirs de l’autorité de régulation de la communication audiovisuelle et numérique en matière de protection en ligne des mineurs
6. Article 1er Nouvelles missions confiées à l’Arcom en matière de contrôle de l’inaccessibilité aux mineurs des contenus pornographiques en ligne et d’établissement d’un référentiel obligatoire s’agissant des systèmes de vérification d’âge pour l’accès à ces contenus
7. Article 2 Renforcement des pouvoirs de contrôle et de sanction de l’Arcom en matière de restriction d’accès des mineurs aux sites pornographiques
8. Article 2 bis Obligations portant sur les boutiques d’applications logicielles en matière de restrictions d’accès des mineurs aux sites pornographiques et aux réseaux sociaux
9. Section 2 Pénalisation du défaut d’exécution en vingt-quatre heures d’une demande de l’autorité administrative de retrait de contenu pédopornographique
10. Article 3 Pénalisation du défaut d’exécution d’une demande de retrait de contenu pédopornographique par un hébergeur
11. Article 3 bis (nouveau) Remise d’un rapport du Gouvernement sur l’extension des compétences de l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication en matière de retraits de contenus
12. Titre II PROTECTION DES citoyens dans l’environnement numÉrique
13. Article 4 AA (nouveau) Extension du contenu de l’attestation scolaire de bon usage des outils numériques à l’intelligence artificielle et information annuelle des représentants légaux des élèves
14. Article 4 AB (nouveau) Remise d’un rapport du Gouvernement au Parlement sur les actions de prévention et de sensibilisation au harcèlement et au cyberharcèlement mises en place dans les établissements scolaires
15. Article 4 AC (nouveau) Généralisation de l’offre d’une identité numérique pour les Français
16. Article 4 A Avertissement sur le caractère illégal des comportements simulés dans des vidéos pornographiques
17. Article 4 B (supprimé) Obligation de retrait de contenus pornographiques diffusés en violation d’un accord de cession de droit
18. Article 4 Protection des citoyens contre les vecteurs de propagande étrangère manifestement destinés à la désinformation et à l’ingérence
19. Article 4 bis Pénalisation de l’hypertrucage publié sans consentement
20. Article 5 Peine complémentaire de suspension de l’accès à un service de plateforme en ligne
21. Article 5 bis Création d’un délit général d’outrage en ligne pouvant faire l’objet d’une amende forfaitaire délictuelle
22. Article 5 ter A (nouveau) Ajout dans le code pénal d’un stage de sensibilisation au respect des personnes dans l’espace numérique et à la prévention des infractions en ligne dont le cyber-harcèlement
23. Article 5 ter Création d’un délit de publication d’hypertrucage (deepfake) à caractère sexuel
24. Article 5 quater (nouveau) Ajout d’une circonstance aggravante à l’outrage sexiste et sexuel lorsqu’il est commis en ligne
25. Article 6 Déploiement d’un filtre national de cybersécurité grand public
26. TITRE III rENFORCER LA CONFIANCE ET LA CONCURRENCE DANS L’ÉCONOMIE DE LA DONNÉE
27. Chapitre Ier Pratiques commerciales déloyales entre entreprises sur le marché de l’informatique en nuage
28. Article 7 Encadrement des crédits d’informatique en nuage et des frais de transfert
29. Article 7 bis (nouveau) Encadrement des frais de transfert
30. Chapitre II Interopérabilité des services d’informatique en nuage
31. Article 8 Obligations d’interopérabilité et de portabilité à la charge des fournisseurs de services d’informatique en nuage
32. Article 9 Obligations d’interopérabilité et de portabilité à la charge des services d’informatique en nuage
33. Article 10 Compétence de l’Arcep pour constater et sanctionner les manquements aux obligations nouvelles supportées par les fournisseurs de services d’informatique en nuage
34. Chapitre II bis A Protection des données stratégiques et sensibles sur le marché de l’informatique en nuage
35. Article 10 bis A (supprimé) Renforcement de la protection des données sensibles dans le cadre des offres d’informatique en nuage souscrites par les autorités publiques
36. Article 10 bis B (nouveau) Renforcement des exigences de sécurité relatives à l'hébergement des données de santé
37. Chapitre II bis Transparence sur le marché de l’informatique en nuage
38. Article 10 bis Obligations renforcées de transparence et de sécurisation des données à destination des fournisseurs de services d’informatique en nuage
39. Chapitre III Régulation des services d’intermédiation des données
40. Article 11 Compétence de l’Arcep en matière de régulation des services d’intermédiation de données
41. Article 12 Compétence de l’Arcep en matière de régulation des services d’intermédiation de données
42. Article 13 Articulation de la compétence de la Cnil et de l’Arcep s’agissant des données à caractère personnel, dans le cadre de la mission de régulation des services d’intermédiation de données par l’Arcep
43. Article 14 Coordinations juridiques au sein du code des postes et des communications électroniques
44. titre iv assurer le développement en France de l’ Économie des objets de jeux numériques monétisables dans un cadre protecteur
45. Article 15 Encadrement des jeux à objet numérique monétisable (Jonum)
46. Article 15 bis (nouveau) Cadre de régulation de l’expérimentation des jeux à objets numériques monétisables (Jonum)
47. titre V Permettre à l’État d’analyser plus efficacement l’évolution des marchés numériques
48. Article 16 Élargissement des pouvoirs de collecte des données par le Pôle d’expertise de la régulation numérique (PEReN) pour des activités de recherche publique
49. Article 17 Centralisation des données devant être transmises par les opérateurs numériques aux communes en matière de location de meublés de tourisme
50. titre VI Renforcer la gouvernance de la régulation du numérique
51. Article 18 Coopération du coordinateur pour les services numériques avec le Pôle d’expertise de la régulation numérique
52. titre VII CONTRÔLE DES OPÉRATIONS DE TRAITEMENT DE DONNÉES À CARACTÈRE PERSONNEL EFFECTUÉES PAR LES JURIDICTIONS DANS L’EXERCICE DE LEUR FONCTION JURIDICTIONNELLE
53. Article 19 Création d’une autorité de contrôle des traitements des données à caractère personnel effectués par le tribunal des conflits et les juridictions de l’ordre administratif
54. Article 20 Création d’une autorité de contrôle des traitements des données à caractère personnel effectués par les juridictions de l’ordre judiciaire et le Conseil supérieur de la magistrature
55. Article 21 Création d’une autorité de contrôle des traitements des données à caractère personnel effectués par les juridictions financières
56. titre viii adaptations du droit national
57. Chapitre Ier Mesures d’adaptation de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique
58. Article 22 Adaptation de la loi pour la confiance dans l’économie numérique (LCEN)
59. Article 23 Dispositions relatives au retrait des contenus terroristes et pédopornographiques
60. Article 24 Dispositions relatives au retrait judiciaire des contenus illicites et aux obligations des opérateurs de plateforme en ligne
61. Article 25 Adaptation de la loi du 21 juin 2004 pour la confiance dans l’économie numérique et désignation de l’Arcom en tant que coordinateur national pour les services numériques pour la France
62. Chapitre II Modification du code de la consommation
63. Article 26 Mise en cohérence du code de la consommation avec le règlement européen sur les services numériques (RSN)
64. Chapitre III Modification du code du commerce
65. Article 27 Adaptation du Code de commerce au règlement européen sur les marchés numériques
66. Chapitre IV Mesures d’adaptation de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication
67. Article 28 Adaptations de la loi du 30 septembre 1986 relative à la liberté de communication au règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques
68. Chapitre V Mesures d’adaptation de la loi relative à la lutte contre la manipulation de l’information
69. Article 29 Abrogation de trois dispositifs de la loi du 22 décembre 2018 relative à la lutte contre la manipulation de l’information
70. Chapitre VI Mesures d’adaptation du code électoral
71. Article 30 Rehaussement du seuil de connexions à partir duquel s’applique l’obligation, en période électorale, de tenue par les opérateurs de plateforme en ligne d’un registre public assurant la transparence sur les commanditaires de la publicité en ligne
72. Chapitre VII Mesures d'adaptation de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
73. Article 31 Adaptations de la loi « informatique et libertés » au règlement européen portant sur la gouvernance européenne des données
74. Article 32 Adaptations de la loi « informatique et libertés » au règlement européen sur les services numériques
75. Chapitre VIII Mesures d’adaptation de la loi n° 47-585 du 2 avril 1947 relative au statut des entreprises du groupage et de distribution des journaux et publications périodiques
76. Article 33 Adaptations de la loi du 2 avril 1947 relative au statut des entreprises du groupage et de distribution des journaux et publications périodiques
77. Chapitre IX Mesures d’adaptation de la loi n° 2017-261 du 1er mars 2017 visant à préserver l’éthique du sport, à renforcer la régulation et la transparence du sport professionnel et à améliorer la compétitivité des clubs, du code de la propriété intellectuelle, de la loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique et du code pénal
78. Article 34 Adaptations de la loi du 1er mars 2017 visant à préserver l’éthique du sport, du code de la propriété intellectuelle, de la loi du 25 octobre 2021 relative à la régulation et à la protection de l’accès aux œuvres culturelles et du code pénal
79. Chapitre X Dispositions transitoires et finales
80. Article 35 Habilitation à légiférer par ordonnance pour l’application dans les territoires ultramarins du projet de loi et de plusieurs règlements européens
81. Article 36 Dispositions d’entrée en vigueur
82. TRAVAUX DE LA COMMISSION SPéciale
83. I. Audition de M. Jean-noël barrot, ministre délégUé auprès du ministre de l’économie, des finances et de la souveraineté industrielle et numérique, chargé du numérique, ET discussion générale
84. 1. Première réunion du mardi 19 septembre 2023, 15 heures
85. II. Examen DES ARTICLES
86. 1. Deuxième réunion du mardi 19 septembre 2023 à 21 heures 30
87. 2. Première réunion du mercredi 20 septembre 2023 à 9 heures 30
88. 3. Deuxième réunion du mercredi 20 septembre 2023 à 15 heures
89. 4. Troisième réunion du mercredi 20 septembre 2023 à 21 heures 30
90. 5. Première réunion du jeudi 21 septembre 2023 à 9 heures 30
91. 6. Deuxième réunion du jeudi 21 septembre 2023 à 15 heures
92. LISTE DES Personnes AUDITIONNÉES PAR LES RAPPORTEURS DE LA COMMISSION SPÉCIALE
93. Annexe : textes susceptibles d’être abrogés ou modifiés à l’occasion de l’examen du projet de loi visant à sécuriser et réguler l’espace numérique

AVANT-PROPOS DU RAPPORTEUR GÉNÉRAL

Au premier semestre 2022, sous Présidence française de l’Union européenne, étaient adoptés les règlements européens sur les services numériques et les marchés numériques. Le premier doit rendre illégal en ligne ce qui est illégal dans le monde physique là où le second vise à lutter contre les quasi-monopoles des géants du numérique.

Ce besoin de régulation est à la fois une demande de nos concitoyens et de nos entreprises qui ont trop souvent le sentiment d’évoluer dans un « Far West » lorsqu’ils sont dans l’espace numérique : 50 % des arnaques ont maintenant lieu en ligne, 50 % de nos jeunes ont déjà été harcelés en ligne, 80 % de nos enfants ont été exposés à la pornographie en ligne, et on ne compte plus les injures misogynes, racistes, homophobes, antisémites, islamophobes qui envahissent les réseaux sociaux.

C’est pourquoi le présent projet de loi s’attache à assurer la mise en conformité de notre droit avec les règlements européens Data Government Act (DGA), Digital Services Act (DSA), Digital Markets Act (DMA), tout en portant l’ambition du Gouvernement français d’apporter plus de sécurité à nos concitoyens dans l’espace numérique.

Le présent projet de loi de loi marque une étape majeure pour rendre l’espace numérique au moins aussi sûr et civilisé que l’espace physique : il n’a pas vocation à changer les équilibres définis dans la vie physique mais à les traduire dans l’espace numérique avec ses spécificités.

Le projet de loi prévoit un ensemble de mesures pour améliorer le quotidien des Français sur internet. Cette loi doit nous permettre notamment de mettre en place des mesures très concrètes comme le filtre anti-arnaque, promis par le Président de la République, de lutter contre le cyberharcèlement et la violence sur les réseaux sociaux ou encore de protéger nos enfants de l’accès aux sites pornographiques.

Pour nos entreprises, la régulation n’est pas un manque d’ambition. Au contraire elle doit soutenir l’innovation. Une régulation souple, adaptée et bien calibrée sera favorable au développement de notre écosystème d’innovation. Elle doit à la fois permettre de lutter contre le monopole des géants du numérique, tout en inspirant l’Europe et le monde entier sur les règles à mettre en œuvre, permettant à nos champions français de prendre de l’avance comme nous avons su le faire par exemple pour le secteur des crypto-actifs.

Un principe fondamental a guidé les travaux sur ce texte, de sa conception à son examen au Parlement : la conformité des nouvelles normes proposées à la Constitution et au droit européen, et nous serons vigilants à maintenir les équilibres qui ont été trouvés dans le respect du droit fondamental.

Bien sûr, comme pour tout texte sur le numérique, les débats ont fait ressortir des sujets d’importance (les infrastructures, les casinos en ligne, etc.) mais qui n’ont pas toute leur place dans le présent projet de loi. Nous avons eu à cœur de rester fidèles à l’esprit du texte, à savoir la sécurisation et la régulation de l'espace numérique. À ce titre, il y a un sujet sur lequel nous avons fait le choix d’ouvrir le débat : celui de l’anonymat dans l’espace numérique, au cœur de notre capacité à rendre l’espace numérique vivable.

Enfin, je tiens à remercier le président de la commission spéciale Luc Lamirault pour sa conduite efficace des débats, les rapporteurs thématiques Louise Morel, Anne Le Hénanff, Denis Masséglia et Mireille Clapot pour leurs contributions exceptionnelles, l’ensemble des experts qui ont contribué à nos travaux préparatoires, ainsi bien sûr que l’ensemble de mes collègues qui ont montré, tout au long de l’examen du projet de loi en commission, un fort intérêt pour un texte ambitieux qui doit continuer à faire de la France une grande nation numérique.

Principaux apports de la commission spéciale

● Le projet de loi visant à sécuriser et réguler l’espace numérique comprenait initialement trente-six articles dans sa version adoptée en conseil des ministres le 10 mai 2023.

Le Sénat en ajouté huit (2 bis, 4 A, 4 B, 4 bis, 5 bis, 5 ter, 10 bis A et 10 bis). Le projet qu’il a adopté en première lecture, le 5 juillet 2023, comprenait ainsi quarante-quatre articles.

● La commission a supprimé deux articles (4 B et 10 bis A). Sur les quarante-deux articles restants, elle en a adopté trente-six avec modifications (1, 2, 2 bis, 3, 4 A, 4, 5, 5 bis, 5 ter, 6, 7, 8, 9, 10, 10 bis, 11, 12, 13, 15, 16, 17, 18, 19, 20, 21, 22, 23, 24, 25, 28, 29, 31, 32, 33, 34 et 36) et six sans modification (4 bis, 14, 26, 27, 30 et 35).

La commission a également ajouté neuf articles (3 bis, 4 AA, 4 AB, 4 AC, 5 ter A, 5 quater, 7 bis, 10 bis B et15 bis). Elle a donc adopté au total cinquante-et-un articles.

1. Modalités de contrôle de l’inaccessibilité aux mineurs des contenus pornographiques en ligne et sanctions encourues (articles 1 et 2)

La commission spéciale a ajouté la possibilité, pour l’L'Autorité de régulation de la communication audiovisuelle et numérique (Arcom), d’exiger des services de communication au public en ligne qu’ils conduisent un audit des systèmes de vérification de l’âge qu’ils mettent en œuvre. Elle devra rendre compte chaque année au Parlement de ces exigences. Le référentiel qu’elle établira et publiera sera actualisé en tant que de besoin dans le futur.

Par ailleurs, la commission spéciale a considérablement renforcé les sanctions encourues par les éditeurs, les fournisseurs de services d’accès à internet, les fournisseurs de systèmes de résolution de noms de domaine, les moteurs de recherche et les annuaires. Parallèlement, elle a raccourci de cinq jours à quarante-huit heures le délai laissé à ces quatre derniers acteurs pour bloquer ou déréférencer les services en cause.

2. Extension du contenu de l’attestation scolaire de bon usage des outils numériques à l’intelligence artificielle et information annuelle des représentants légaux des élèves (article 4 AA)

La commission spéciale a complété l’article L. 312-9 du code de l’éducation afin :

– d’étendre le contenu de l’attestation scolaire délivrée à l’issue de l’école primaire et du collège et certifiant que les élèves ont bénéficié d’une sensibilisation au bon usage des outils numériques et des réseaux sociaux ainsi qu’aux risques liés à ces outils. Le contenu de cette attestation est étendu au bon usage des outils de l’intelligence artificielle, aux risques liés à l’ensemble de ces outils et aux contenus générés par l’intelligence artificielle ;

– de dispenser une information annuelle sur l’apprentissage de la citoyenneté́ numérique aux représentants légaux des élèves par un membre de l’équipe pédagogique.

3. Généralisation de l’offre d’une identité numérique pour les Français (article 4 AC)

La commission spéciale a adopté un article qui fixe à l’État un objectif relatif au développement de l’identité numérique en prévoyant que 80 % des Français disposent d’une telle identité au 1er janvier 2027, et près de 100 % d’entre eux au 1er janvier 2030. En complément, il prévoit la remise d’un rapport du Gouvernement au Parlement, « sur sa capacité à généraliser l’identité numérique pour les Français et les actions et modifications législatives nécessaires pour mettre en œuvre cette généralisation ».

4. Suppression de l’obligation pour les plateformes de retirer promptement tout contenu signalé comme étant diffusé en violation de l’accord de cession de droits (article 4 A)

La commission spéciale a supprimé l’article 4 A introduit par le Sénat, considérant qu’il ne constituait pas une solution satisfaisante au problème posé par les contrats de cession de droit à l’image dans le cadre de tournages pornographiques.

5. Encadrement du dispositif de peine complémentaire de bannissement des réseaux sociaux (article 5)

● La commission a modifié la liste des délits pour lesquels une peine complémentaire de suspension de compte peut être prononcée, en ajoutant notamment le délit d’entrave à l’avortement. Elle a retiré plusieurs délits ajoutés par le Sénat, considérant que ces délits ne présentaient pas un rapport direct avec la liberté d’expression et les réseaux sociaux.

● Dans le même souci de conserver un dispositif équilibré, la commission a supprimé la possibilité pour le juge de prononcer une interdiction d’accès à des comptes dans le cadre d’un sursis probatoire. Elle a également encadré le recours à l’interdiction d’utiliser les comptes dans le cadre d’une alternative à la peine et d’une composition pénale.

6. Application de l’amende forfaitaire délictuelle (AFD) pour certaines infractions commises dans l’espace numérique (articles 5 bis et 5 quater)

● La commission a réécrit, par l’adoption d’amendements identiques de rédaction globale, l’article 5 bis, introduit par le Sénat.

Elle a conservé le principe d’une amende forfaitaire délictuelle (AFD) de 300 euros pour certains faits commis en ligne, mais a recentré le dispositif sur les infractions existantes suivantes :

– les injures et diffamations publiques racistes, c’est à dire à raison de l’origine ou de l’appartenance ou de la non-appartenance à une ethnie, une nation, une race ou une religion déterminée ;

– et les injures et diffamations publiques sexistes, homophobes, handiphobes et transphobes, c’est-à-dire à raison du sexe, de l’orientation sexuelle, de l’identité de genre ou du handicap.

● Dans le même esprit, la commission a inséré un nouvel article (5 quater) qui crée une nouvelle circonstance aggravante pour l’outrage sexiste et sexuel lorsqu’il est commis en ligne, ce qui permet, dans ce cas, une qualification délictuelle et la délivrance d’une AFD de 300 euros.

7. Création d’un stage de sensibilisation au respect des personnes dans l’espace numérique (article 5 ter A)

La commission a inséré un nouvel article (5 ter A) créant un nouveau type de stage dans le code pénal dédié à la sensibilisation au respect des personnes dans l’espace numérique.

Cette peine de stage pourra être prononcée à l’encontre des auteurs des délits punis d’une peine d’emprisonnement.

8. Adaptations du filtre « anti-arnaque » : inclusion des faux sites de vente, affirmation du principe d’un filtrage pour les navigateurs, suppression de l’avis conforme de la personnalité qualifiée pour la prolongation de la mesure (article 6)

La commission a procédé à plusieurs adaptations du filtre « anti-arnaque » dont les principales ont consisté à :

– inclure les faux sites de vente dans le champ du filtre « anti-arnaque » en visant les techniques de hameçonnage qui incitent l’utilisateur, à son préjudice ou au préjudice d’un tiers, à fournir des données personnelles ou à verser une somme d’argent ;

– limiter au filtrage, à l’exclusion du blocage, le type de mesures pouvant être demandées aux fournisseurs de navigateurs ;

– et supprimer l’avis conforme de la personnalité qualifiée pour la prolongation de la mesure.

9. Encadrement des frais de transfert (article 7 bis)

La commission a renforcé l’encadrement des frais de transfert en fixant un cadre complet de régulation au sein d’un nouvel article 7 bis.

Cet article interdit aux fournisseurs de services d’informatique en nuage de facturer à un client souhaitant migrer vers un fournisseur tiers des frais de transfert de données et des frais de changement de fournisseur supérieurs aux coûts réels supportés par le fournisseur initial, et confie à l’Arcep le soin d’édicter des lignes directrices portant sur les coûts susceptibles d’être pris en compte dans la détermination des frais de changement de fournisseur de services d’informatique en nuage.

10. Suppression de l’obligation pour les fournisseurs de service d’informatique en nuage d’être certifiés SecNumCloud pour pouvoir héberger des données sensibles (article 10 bis A)

La commission a supprimé l’article 10 bis A qui prévoyait que l’hébergement des données sensibles des administrations publiques devait impérativement se faire par le biais d’une solution d’informatique en nuage certifiée SecNumCloud.

La commission a en effet estimé qu’il n’était pas opportun d’inscrire, dans la loi, le contenu de la circulaire du 31 mai 2023, qui prévoit d’ores et déjà une telle obligation. Elle a en outre estimé qu’il existait un risque élevé d’effets contreproductifs compte tenu de l’offre insuffisante de services d’informatique en nuage certifiés SecNumCloud.

11. Obligation pour les hébergeurs de données de santé d’être certifiés SecNumCloud (article 10 bis B) à compter du 1er juillet 2024

La commission a renforcé les contraintes de sécurisation des données de santé, en prévoyant qu’à compter du 1er juillet 2024, pour être autorisés à héberger des données de santé, les hébergeurs de données devront satisfaire aux exigences fixées par le référentiel de sécurité SecNumCloud publié par l’Agence nationale de sécurité des systèmes d’information (Anssi).

12. Définition d’un cadre de régulation rigoureux pour l’expérimentation des jeux à objets numériques monétisables (article 15 bis)

La commission a adopté un cadre robuste de régulation afin d’encadrer l’expérimentation des jeux à objets numériques monétisables (Jonum) prévue par l’article 15 du projet de loi.

Dans cette perspective, l’Autorité nationale des jeux (ANJ) se voit doter de pouvoirs renforcés pour contrôler les obligations que devront respecter les entreprises de Jonum, en termes de respect des procédures de vérification d’âge et d’identité, de protection des joueurs contre le jeu excessif, et enfin de lutte contre le blanchiment de capitaux et contre le financement du terrorisme, et pour sanctionner tout manquement éventuel constaté.

13. Ouverture aux avocats généraux de la fonction d’autorité de contrôle des traitements de données à caractère personnel effectués par les juridictions de l’ordre judicaire et leurs ministères publics (article 20)

La commission a ouvert la composition de l’autorité instituée par l’article 20 aux magistrats hors hiérarchie du parquet général de la Cour de cassation. La commission a en effet considéré qu’aucune raison objective, au regard des objectifs poursuivis, n’imposait que seul un magistrat du siège de la Cour de cassation pouvait être élu pour exercer les fonctions d’autorité de contrôle.

14. Abrogation de trois dispositifs de la loi du 22 décembre 2018 relative à la lutte contre la manipulation de l’information (article 29)

La commission spéciale a rétabli l’article 29 dans sa version résultant du projet de loi initialement déposé par le Gouvernement.

15. Renforcement des sanctions pouvant être prononcées par la Cnil dans le cadre de sa mission de surveillance des fournisseurs de plateformes en ligne au titre de leurs obligations issues du RSN (article 32)

L’article 32 permet au président de la Commission nationale de l’informatique et des libertés (Cnil) d’adopter des injonctions à caractère provisoire, assortie d’une astreinte, en cas de manquement aux règles issues du règlement sur les services numériques (RSN) susceptibles de « créer un dommage grave ».

La commission a réintroduit la possibilité, supprimée par le Sénat, de calculer le montant de l’astreinte journalière que peut imposer la Cnil à un fournisseur de plateforme en ligne en fonction de ses revenus.

Elle a également porté le montant maximal de l’astreinte encourue au montant maximal de l’amende encoure, soit 5 % du chiffre d’affaires mondial hors taxes journalier moyen réalisé par le mis en cause au cours du dernier exercice clos, à compter de la date figurant dans l’injonction.

COMMENTAIRES DES ARTICLES

Titre Ier PROTECTION DES MINEURS EN LIGNE

Section 1 Renforcement des pouvoirs de l’autorité de régulation de la communication audiovisuelle et numérique en matière de protection en ligne des mineurs

Article 1er

Nouvelles missions confiées à l’Arcom en matière de contrôle de l’inaccessibilité aux mineurs des contenus pornographiques en ligne et d’établissement d’un référentiel obligatoire s’agissant des systèmes de vérification d’âge pour l’accès à ces contenus

Le présent article confie à l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) la compétence de veiller à ce que les contenus pornographiques mis en ligne ne puissent être accessibles aux mineurs, en s’assurant que les éditeurs de tels services vérifient préalablement l’âge de leurs utilisateurs.

L’Arcom est chargée d’établir et de publier, après consultation de la Commission nationale de l’informatique et des libertés (Cnil), un référentiel déterminant les exigences techniques auxquelles devraient répondre les systèmes de vérification d’âge tout en respectant la vie privée des utilisateurs.

Le présent article a été adopté par le Sénat avec plusieurs modifications, en lien avec les modifications apportées à l’article 2, afin de distinguer le rôle de l’Arcom s’agissant de l’établissement du référentiel, et son rôle d’autorité administrative dotée de pouvoirs de sanction.

Le présent article a été adopté par la commission modifié par plusieurs amendements de la rapporteure qui prévoient notamment l’actualisation du référentiel en tant que de besoin et la possibilité pour l’Arcom d’exiger des services de communication au public en ligne qu’ils conduisent un audit des systèmes de vérification de l’âge qu’ils mettent en œuvre. L’Arcom devra rendre compte chaque année au Parlement de ces exigences.

II. Le droit en vigueur

La description du droit en vigueur concerne les articles 1er et 2 du présent projet de loi, dont les dispositifs sont liés.

A. La multiplication des dispositions de vérification de l’âge des internautes

1. La protection des jeunes internautes

La diversité des offres de services sur internet et le caractère inapproprié voire dangereux de certains contenus accessibles dans cet espace numérique a entraîné, dans une volonté de protection de la jeunesse en ligne, la mise en place d’obligations légales de vérification de l’âge des utilisateurs. La combinaison des législations européenne et française a contraint les sites proposant certaines prestations de services en ligne ou la vente en ligne de certains biens spécifiques à mettre en place des dispositifs de contrôle et de justification d’identité ou d’âge pour accéder à ceux-ci. Sont par exemple concernées les activités relatives aux jeux d’argent et de hasard, aux paris, la vente d’alcool ou, plus classiquement, les services bancaires.

La massification et l’autonomisation des pratiques numériques des jeunes publics les exposent à un flot de contenus dont le contrôle échappe largement aux parents, en particulier sur les réseaux sociaux. Ainsi, deux récentes lois sont venues renforcer les mesures de contrôle des utilisateurs mineurs, en exigeant des solutions techniques robustes.

La loi n° 2022-300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet impose aux fabricants d’installer sur les appareils connectés à internet vendus en France des dispositifs de contrôle par les parents facilement accessibles et compréhensibles. Les fabricants doivent ainsi s’assurer que les systèmes d’exploitation installés sur leurs appareils incluent bien un tel logiciel de contrôle. Les importateurs, les distributeurs et les commerçants vendant des appareils d’occasion doivent vérifier que les produits sont certifiés par les fabricants. Le décret n° 2023-588 du 11 juillet 2023 pris pour l’application de l’article 1er de la loi n° 2022-300 du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet précise les exigences techniques du dispositif et prévoit son entrée en vigueur en juillet 2024.

La loi n° 2023-566 du 7 juillet 2023 visant à instaurer une majorité numérique et à lutter contre la haine en ligne instaure une majorité numérique à 15 ans, âge à partir duquel un mineur n’aurait plus besoin du consentement de ses parents pour s’inscrire sur un réseau social. Ce dispositif suppose la mise en place, par les fournisseurs de services de réseaux sociaux, d’une solution technique conforme à un référentiel élaboré par l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom), après consultation de la Commission nationale de l’informatique et des libertés (Cnil). Cette loi entrera en vigueur au plus tard trois mois après la date de réception par le Gouvernement de la réponse de la Commission européenne permettant de considérer le dispositif notifié comme conforme au droit de l’Union européenne. Les fournisseurs de réseaux sociaux en ligne pourront être sanctionnés par le président du tribunal judiciaire de Paris, saisi par l’Arcom, s’ils n’ont pas mis en place ladite solution technique un an après l’entrée en vigueur de la loi.

La robustesse des solutions techniques de vérification d’âge doit permettre d’assurer, d’une part, l’effectivité de la loi en évitant le contournement des dispositifs par les mineurs et, d’autre part, sa compatibilité avec les exigences de protection de la vie privée de l’ensemble des utilisateurs et en particulier avec le règlement général sur la protection des données (RGPD) ([2]).

2. Un motif de préoccupation grandissant s’agissant de l’accès aux contenus pornographiques

L’enjeu est particulièrement grave et sensible s’agissant du contrôle de l’inaccessibilité des mineurs aux sites pornographiques.

Le rapport de la délégation aux droits des femmes du Sénat intitulé Porno : l’enfer du décor ([3]) a décrit la massification de l’accès à la pornographie en ligne. Les rapporteures ont fait état de 19 millions de visiteurs uniques de sites pornographiques par mois en France (dont 1,2 million d’enfants de moins de 15 ans). Plus précisément, 95 % des garçons mineurs ont déjà vu des contenus pornographiques, dont 36 % avant 13 ans et 11 % avant 11 ans.

Les risques psychologiques et psychopathologiques induits par le visionnage précoce et massif de ces contenus pourtant interdits aux mineurs sont tels qu’il est devenu urgent d’assurer l’effectivité de la loi par un système de vérification d’âge fiable et utilisé par tous les éditeurs de sites pornographiques.

B. La difficile mise en œuvre de l’article 227-24 du code pénal

L’article 227-24 du code pénal punit de trois ans d’emprisonnement et de 75 000 euros d’amende le fait « soit de fabriquer, de transporter, de diffuser par quelque moyen que ce soit et quel qu’en soit le support un message à caractère violent, incitant au terrorisme, pornographique, y compris des images pornographiques impliquant un ou plusieurs animaux, ou de nature à porter gravement atteinte à la dignité humaine ou à inciter des mineurs à se livrer à des jeux les mettant physiquement en danger, soit de faire commerce d’un tel message […] lorsque ce message est susceptible d’être vu ou perçu par un mineur ».

Il résulte de cet article que l’accès des mineurs aux sites pornographiques est interdit.

L’article 22 de la loi n° 2020-936 du 30 juillet 2020 visant à protéger les victimes de violences conjugales a complété le dispositif de l’article 227-24 du code pénal afin de prévoir qu’un éditeur de contenu pornographique en ligne ne puisse s’exonérer de sa responsabilité pénale en se contentant de demander à l’internaute de déclarer qu’il est âgé de plus de dix-huit ans. Cet article a codifié la jurisprudence de la Cour de cassation précisant que le délit peut être constitué lorsque l’auteur des faits a manqué de toute prudence ([4]) mais aussi si les précautions prises sont insuffisantes, par exemple lorsqu’elles consistent en une simple déclaration d’un âge supérieur à dix-huit ans ([5]).

Ce dispositif ne crée pas d’obligation de moyens pour les éditeurs qui restent libres du choix de la solution technique à mettre en œuvre pour assurer le contrôle de l’âge de l’utilisateur.

L’article 23 de la loi du 30 juillet 2020 précitée a créé une nouvelle procédure permettant au président de l’Arcom d’enjoindre à l’éditeur d’un site qui ne respecterait pas l’article 227-24 du code pénal de prendre toute mesure pour bloquer l’accès aux contenus pornographiques pour les utilisateurs mineurs, y compris sur les sites « miroirs » c’est-à-dire des sites identiques accessibles par d’autres adresses URL ([6]).

En cas d’inexécution de l’injonction dans un délai de quinze jours et si le contenu reste accessible aux mineurs, le président de l’Arcom peut saisir le président du tribunal judiciaire de Paris afin qu’il ordonne aux fournisseurs de services d’accès à internet (FAI), selon la procédure accélérée au fond, de mettre fin à l’accès à ces services, c’est-à-dire de mettre en œuvre une mesure de blocage ([7]). Selon la même procédure, le président du tribunal judiciaire de Paris peut ordonner le déréférencement du service par un moteur de recherche ou un annuaire. Le président de l’Arcom peut agir d’office ou sur saisine du ministère public ou de toute personne physique ou morale ayant intérêt à agir, telles que des associations de protection de l’enfance, par exemple.

Ce dispositif s’inspire de celui mis en place pour lutter contre les cercles de jeu en ligne illégaux, qui repose sur le contrôle exercé par l’Autorité de régulation des jeux en ligne (Arjel).

L’article 3 du décret n° 2021-1306 du 7 octobre 2021 relatif aux modalités de mise œuvre des mesures visant à protéger les mineurs contre l’accès à des sites diffusant un contenu pornographique précise que le président de l’Arcom « tient compte du niveau de fiabilité du procédé technique mis en place par [l’éditeur du service] afin de s’assurer que les utilisateurs souhaitant accéder au service sont majeurs. » Il précise par ailleurs que l’Arcom peut adopter des lignes directrices concernant la fiabilité de ces procédés techniques, après consultation éventuelle de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep) et de la Cnil. Ces lignes directrices n’ont pas été adoptées et la pratique d’un contrôle de l’âge des internautes via une simple question sur le modèle : « Avez-vous 18 ans ? » reste majoritaire ([8]).

C. Dans l’attente de plusieurs décisions de justice, un dispositif ineffectif

1. Plusieurs procédures judiciaires et administratives en cours

● Saisie par trois associations ([9]) , l’Arcom, a, le 13 décembre 2021, mis en œuvre l’article 23 de la loi du 30 juillet 2020 précitée en mettant en demeure les sociétés éditrices des sites Pornhub ([10]), Tukif ([11]), Xhamster ([12]), Xnxx ([13]) et Xvideos ([14]) de se conformer à l’obligation légale d’empêcher l’accès des mineurs à leurs contenus en application de l’article 227-24 du code pénal. Ces mises en demeure n’ayant pas été suivies d’effet, le président de l’Arcom a, le 8 mars 2022, saisi le président du tribunal judiciaire de Paris pour qu’il ordonne aux principaux FAI le blocage des services en cause.

● Postérieurement, l’Arcom a également mis en demeure plusieurs autres sociétés d’empêcher l’accès des mineurs aux sites pornographiques qu’elles éditent.

● Trois mises en demeure ont été contestées devant le juge administratif.

● Le décret n° 2021-1306 du 7 octobre 2021 relatif aux modalités de mise œuvre des mesures visant à protéger les mineurs contre l’accès à des sites diffusant un contenu pornographique fait actuellement l’objet d’un recours en annulation devant le Conseil d’État ([15]). Le 7 juillet 2023, alors que plusieurs décisions judiciaires étaient attendues s’agissant des cinq sites mis en cause par l’Arcom depuis 2021, le tribunal judiciaire de Paris a décidé de surseoir à statuer dans l’attente de l’issue des recours contre ledit décret.

2. Le rejet d’une question prioritaire de constitutionnalité par la Cour de cassation

Par ailleurs, la loi n’ayant pas prescrit d’exigences techniques relatives aux systèmes de vérification d’âge, plusieurs éditeurs de sites pornographiques mis en demeure par l’Arcom ont contesté la conformité de l’article 23 de la loi du 30 juillet 2020 précitée et de l’article 227-24 du code pénal aux principes de légalité des délits et des peines et de la liberté d’expression et de communication, par la voie d’une question prioritaire de constitutionnalité (QPC).

Dans sa décision du 5 janvier 2023 ([16]), la Cour de cassation a jugé qu’il n’y avait pas lieu de transmettre la QPC au Conseil constitutionnel pour deux motifs :

– en premier lieu, les dispositifs législatifs en cause sont « suffisamment clairs et précis pour exclure tout risque d’arbitraire » ;

– en second lieu, « l’atteinte portée à la liberté d’expression, en imposant de recourir à un dispositif de vérification de l’âge de la personne accédant à un contenu pornographique, autre qu’une simple déclaration de majorité, est nécessaire, adaptée et proportionnée à l’objectif de protection des mineurs ».

III. Le dispositif proposé

Le faible nombre de condamnations sur le fondement du dispositif ci-avant présenté démontre qu’imposer une simple obligation de résultat aux éditeurs de sites pornographiques est inopérant. Le prétexte des obstacles techniques qu’ils mettent en avant doit être surmonté. Dans sa rédaction initiale, commentée ci-après, l’article 1er du projet de loi confie à l’Arcom un nouveau pouvoir de contrôle, assorti de la possibilité de prononcer, le cas échéant, des sanctions pécuniaires (amende administrative).

Dans sa version initiale, l’article 1er propose ainsi une nouvelle rédaction de l’article 10 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (ci-après « LCEN ») ([17]), afin de confier à l’Arcom la responsabilité de veiller à ce que les contenus pornographiques mis en ligne ne puissent pas être accessibles aux mineurs (I).

Pour ce faire, l’Arcom devra élaborer, après avis de la Cnil, un référentiel général déterminant les exigences techniques auxquelles devront répondre les systèmes de vérification de l’âge mis en place pour l’accès aux sites internet comportant des contenus pornographiques. Ces exigences porteront sur la fiabilité du contrôle de l’âge des utilisateurs et le respect de leur vie privée (I).

Dès que ce référentiel aura été élaboré, l’Arcom pourra mettre en demeure tout éditeur de site comportant des contenus pornographiques de s’y conformer et ce sous un délai d’un mois. Ce dispositif est assorti de la possibilité, pour le régulateur, de prononcer une sanction pécuniaire dans les conditions prévues à l’article 42-7 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication, c’est-à-dire sous la responsabilité d’un rapporteur nommé par le vice-président du Conseil d’État, après avis de l’Arcom. Ce rapporteur assure l’engagement des poursuites et l’instruction préalable au prononcé des sanctions (II).

La sanction ne pourra excéder 75 000 euros ou 1 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu (150 000 euros ou 2 % du chiffre d’affaires mondial hors taxes en cas de réitération du manquement dans un délai de cinq ans après une première sanction). Le montant de la sanction prendra en compte la nature, la gravité et la durée du manquement ainsi que, le cas échéant, les avantages tirés de ce manquement et les manquements commis précédemment (II).

Le dispositif de l’article 23 de la loi du 30 juillet 2020 précitée est réécrit par l’article 2 du présent projet de loi.

IV. Les modifications apportées par le Sénat

L’article 1er du projet de loi a été adopté par le Sénat, tout comme l’article 2, après une réorganisation de leur articulation afin de distinguer le rôle de l’Arcom s’agissant de l’établissement du référentiel, et son rôle d’autorité administrative dotée de pouvoirs de sanction.

Le Sénat a choisi de cantonner l’article 1er à la description de la responsabilité de l’Arcom s’agissant de l’inaccessibilité des contenus pornographiques en ligne aux mineurs et de l’élaboration et la publication du référentiel. L’article 2 aurait dès lors trait à la description de l’ensemble des pouvoirs de l’Arcom pour lutter contre l’accessibilité de ces mêmes contenus, à savoir une procédure administrative de mise en demeure de retirer les contenus en cause avec sanction pécuniaire et, le cas échéant, mesure administrative de blocage et de déréférencement du site.

À l’initiative de son rapporteur, la commission spéciale a donc adopté un amendement ([18]) supprimant le II (le déplaçant par ailleurs à l’article 2 du présent projet de loi ([19])) et précisant le reste du dispositif :

– l’obligation de vérifier l’âge des utilisateurs repose sur les éditeurs ;

– l’Arcom « établit et publie » le référentiel.

En séance publique ([20]), le Sénat a complété l’article afin de prévoir que l’Arcom établisse et publie le référentiel dans un délai de six mois après la promulgation de la loi, réécrivant de ce fait un amendement adopté par la commission spéciale ([21]).

V. Les modifications apportÉes par la commission

Outre un amendement rédactionnel, la commission spéciale a adopté quatre amendements de la rapporteure et un amendement identique de M. Bataillon (RE) qui précisent l’objectif et les conditions de mise en place du référentiel que l’Arcom devra établir et publier.

● Répondant à une préoccupation partagée par plusieurs membres de la commission spéciale, l’amendement CS887 de la rapporteure rappelle que c’est dans le cadre de l’article 227-24 du code pénal que le renforcement des pouvoirs de l’Arcom s’inscrit. La mention de cet article permet de réaffirmer que se cumuleront, pour les éditeurs, l’obligation de résultat prévue au code pénal et l’obligation de moyens prévue au présent article.

● Les amendements identiques CS735 de la rapporteure et CS710 de M. Bataillon ont été adoptés afin de répondre aux besoins futurs d’actualisation du référentiel. Ils prévoient, d’une part, l’actualisation du référentiel en tant que de besoin et, d’autre part, la possibilité pour l’Arcom d’exiger des éditeurs qu’ils conduisent un audit des systèmes de vérification de l’âge qu’ils mettent en œuvre afin d’en attester la conformité avec les caractéristiques techniques définies par le référentiel. Le référentiel devra préciser les modalités de réalisation et de publicité de cet audit, qui, en tout état de cause, devra être confié à un organisme indépendant disposant d’une expérience avérée.

L’objectif de ce dispositif est de faciliter le contrôle et la redevabilité des systèmes de vérification d’âge en mettant à disposition du public et du régulateur des informations sur la performance des solutions mises en œuvre. Les audits devraient également permettre aux éditeurs de sites de s’appuyer sur une expertise objective, afin d’améliorer leurs systèmes de vérification d’âge.

● L’adoption de l’amendement CS878 de la rapporteure complète les obligations des éditeurs : ceux-ci devront prévoir l’affichage d’un écran noir ne comportant aucun contenu à caractère pornographique tant que l’âge de l’utilisateur n’aura pas été vérifié. Ce complément reprend, en l’explicitant, la recommandation n° 13 ([22]) du rapport du Sénat n° 900 (2021-2022) « Porno : l’enfer du décor ».

● Enfin, l’amendement CS741 de la rapporteure prévoit que l’Arcom rende compte chaque année au Parlement des actualisations du référentiel et des audits des systèmes de vérification de l’âge mis en œuvre par les éditeurs.

Article 2

Renforcement des pouvoirs de contrôle et de sanction de l’Arcom en matière de restriction d’accès des mineurs aux sites pornographiques

Le présent article s’articule avec l’article 1er du présent projet de loi.

Il transforme la procédure judiciaire de blocage et de déréférencement des sites ne respectant pas la restriction d’accès aux mineurs conformément au référentiel mentionné audit article 1er en procédure administrative de mise en demeure et de sanction pécuniaire, confiée également à l’Arcom et sous le contrôle a posteriori du juge administratif, après une phase contradictoire préalable auprès de l’éditeur.

Le présent article a été adopté par le Sénat avec plusieurs modifications qui déplacent le dispositif au sein de la LCEN et prévoient la mise en place d’un système de sanction pécuniaire modulée selon le degré de coopération de l’éditeur et la simultanéité des procédures de mise en demeure des éditeurs et d’injonction de blocage et de déréférencement de leurs adresses électroniques auprès des FAI, moteurs de recherche ou annuaires.

La commission spéciale a adopté plusieurs amendements qui renforcent les sanctions encourues par les éditeurs de services de communication au public en ligne mettant à la disposition du public des contenus pornographiques : doublement des sanctions qu’ils encourent ; doublement, à dix ans, du délai de réitération du manquement par un même éditeur, fournisseur de services d’accès à internet, fournisseur de systèmes de résolution de noms de domaine, moteur de recherche ou annuaire ; et retenue du plus élevé des deux montants de sanctions s’agissant des amendes encourues entre le montant mentionné en valeur absolue et celui qui résulte d’une fraction du chiffre d’affaires réalisé par l’éditeur en cause.

Par ailleurs, le délai laissé aux moteurs de recherche et annuaires pour effectuer le déréférencement des services a été aligné sur celui des fournisseurs d’accès à internet et des fournisseurs de systèmes de résolution de noms de domaine (quarante-huit heures).

Enfin, le rapport d’activité que devra publier l’Arcom mentionnera les éventuelles décisions de justice prises sur les recours engagés contre les décisions d’injonction qu’elle aura prononcées.

Le droit en vigueur

Voir le commentaire de l’article 1er.

II. Le dispositif proposé

Le présent article 2 propose une nouvelle rédaction de l’article 23 de la loi du 30 juillet 2020 visant à protéger les victimes de violences conjugales afin de substituer à la procédure judiciaire de blocage et de déréférencement des sites permettant à des mineurs d’avoir accès à un contenu pornographique en violation de l’article 227-24 du code pénal une procédure administrative, relevant de la responsabilité exclusive de l’Arcom.

A. Une procédure administrative de blocage et de déréférencement des services

Premièrement, alors que la procédure administrative en vigueur débute par une mise en demeure de l’éditeur d’un site par le président de l’Arcom, le nouveau I de l’article 23 précité crée une première étape au cours de laquelle l’éditeur est avisé par une lettre d’observations motivée du président de l’Arcom. Le destinataire de la lettre dispose d’un délai de quinze jours pour présenter ses observations.

Deuxièmement, si le président de l’autorité de régulation estime, à l’issue de ce délai de quinze jours, que les faits sont caractérisés, alors seulement peut-il mettre en demeure la personne concernée de prendre toute mesure de nature à empêcher l’accès des mineurs au contenu incriminé. Le délai d’exécution de cette injonction – dont une copie est adressée aux FAI – ne peut être inférieur à quinze jours.

Troisièmement, alors qu’en application des dispositions actuellement en vigueur le président de l’Arcom peut saisir le président du tribunal judiciaire de Paris afin qu’il ordonne aux FAI, moteurs de recherche et annuaires, selon la procédure accélérée au fond mais sans délai d’exécution, de mettre en œuvre une mesure de blocage et de déréférencement du service, le nouveau II de l’article 23 précité donne directement pouvoir à l’Arcom (et non seulement à son président) de notifier aux FAI les adresses électroniques des services ayant fait l’objet d’une injonction, ainsi que celles des services qui reprennent le même contenu et qui présentent les mêmes modalités d’accès (c’est-à-dire les sites miroirs). Les FAI doivent alors empêcher l’accès à ces adresses dans un délai de quarante-huit heures. Toutefois, si l’éditeur n’a pas mis à disposition sur son site ses coordonnées, l’Arcom peut directement notifier les adresses électroniques sans procéder à l’envoi de la lettre d’observations et à la mise en demeure prévues au I. L’Arcom procède de même avec les moteurs de recherche et les annuaires, qui disposent quant à eux d’un délai de cinq jours pour procéder au déréférencement du service.

Quatrièmement, les procédures administratives de blocage et de déréférencement sont prononcées pour une durée maximale de vingt-quatre mois avec réévaluation – d’office ou sur demande – tous les douze mois, sauf si les faits ne sont plus constitués (les mesures sont alors levées).

Par ailleurs, l’Arcom est tenue de publier annuellement un rapport d’activité sur la mise en œuvre de ce dispositif renseignant notamment le nombre de décisions d’injonction et les suites qui y sont données, ainsi que le nombre d’adresses électroniques ayant fait l’objet d’une mesure de blocage d’accès ou de déréférencement. Ce rapport est transmis au Gouvernement et au Parlement.

B. Un droit au recours pour les personnes mises en demeure ou destinataires d’une injonction

Le nouveau III de l’article 23 précité prévoit la possibilité pour les éditeurs, les FAI, les moteurs de recherche et les annuaires de demander au président du tribunal administratif (ou au magistrat délégué par celui-ci) l’annulation des mesures prononcées par l’Arcom dans un délai de cinq jours à compter de leur réception. La procédure de référé prévue aux articles L. 521-1 et L. 521 2 du code de justice administrative est applicable. Le tribunal statue dans un délai d’un mois à l’issue d’une audience publique et sans conclusions du rapporteur public. Une procédure d’appel est possible dans un délai de dix jours. Le délai octroyé à la juridiction d’appel est alors de trois mois.

C. Une sanction pécuniaire prévue à chaque étape de la procédure administrative

Le nouveau IV de l’article 23 précité prévoit la possibilité pour l’Arcom de prononcer une sanction pécuniaire « pour tout manquement aux obligations prévues [à ce même article] » dans les conditions fixées à l’article 42-7 de la loi du 30 septembre 1986 précitée c’est-à-dire sous la responsabilité d’un rapporteur nommé par le vice-président du Conseil d’État, après avis de l’Arcom. Ce rapporteur assure l’engagement des poursuites et l’instruction préalable au prononcé des sanctions.

Toutefois, aucune sanction ne peut être prononcée lorsqu’en raison de motifs de force majeure ou d’impossibilité de fait qui ne lui sont pas imputables, la personne concernée est placée dans l’impossibilité de respecter l’obligation qui lui a été faite, ou lorsqu’un recours est engagé, tant qu’elle n’a pas fait l’objet d’une décision devenue définitive.

Pour les manquements aux obligations prévues au I de l’article 23 précité, c’est-à-dire les manquements éventuels des éditeurs, la sanction ne peut excéder 250 000 euros ou 4 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu (500 000 euros ou 6 % du chiffre d’affaires mondial hors taxes en cas de réitération du manquement dans un délai de cinq ans après une première sanction).

Pour les manquements aux obligations prévues au II c’est-à-dire les manquements éventuels des FAI, moteurs de recherche ou annuaires, la sanction ne peut excéder 75 000 euros ou 1 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu (150 000 euros ou 2 % du chiffre d’affaires mondial hors taxes en cas de réitération du manquement dans un délai de cinq ans après une première sanction).

Dans les deux cas, le montant de la sanction prend en compte la nature, la gravité et la durée du manquement ainsi que, le cas échéant, les avantages tirés de ce manquement et les manquements commis précédemment.

Lorsque sont prononcées, à l’encontre de la même personne, une amende administrative en application du présent article et une amende pénale à raison des mêmes faits (sur le fondement de l’article 227-24 du code pénal), le montant global des amendes prononcées ne peut pas dépasser le maximum légal le plus élevé des sanctions encourues.

D. L’assermentation des agents de l’Arcom

Le nouveau V de l’article 23 précité prévoit la possibilité pour l’Arcom d’assermenter ses agents, dans des conditions fixées par décret en Conseil d’État, afin qu’ils puissent constater par procès-verbal qu’un service de communication au public en ligne permet à des mineurs d’avoir accès à un contenu pornographique.

Actuellement, ce sont des huissiers de justice qui établissent de tels constats.

E. Des conditions d’application de l’article prévues par décret en Conseil d’État

Le nouveau VI de l’article 23 précité prévoit qu’un décret en Conseil d’État précise les conditions d’application de ce même article.

Selon les dispositions en vigueur, c’est un décret simple qui est prévu au dernier alinéa de l’article 23. Il s’agit en l’espèce du décret n° 2021-1306 du 7 octobre 2021 précité, qui fait actuellement l’objet d’un recours devant le Conseil d’État.

III. Les modifications apportées par le Sénat

Le présent article 2 a été adopté par le Sénat après une réécriture partielle par deux amendements en commission spéciale et deux amendements en séance publique.

En commission spéciale, le rapporteur a choisi ([23]) de déplacer le dispositif au sein d’un nouvel article 10-1 de la LCEN (I) tout en abrogeant l’article 23 de la loi n° 2020-936 du 30 juillet 2020 précitée (II).

Ce nouvel article 10-1 de la LCEN fait le lien avec l’article 10 de cette même loi, dans sa rédaction résultant de l’article 1er du présent projet de loi, c’est-à-dire que c’est l’absence de mise en œuvre ou la non-conformité du système de vérification de l’âge par rapport aux caractéristiques techniques du référentiel qui sera l’élément déclencheur de la procédure administrative.

Le dispositif adopté ajoute également la possibilité pour le président de la Cnil d’émettre un avis avant la mise en demeure de l’éditeur et ajoute l’obligation, pour l’Arcom, de rendre publique cette mise en demeure (en lieu et place de l’information obligatoire du FAI). Le délai de quinze jours pour la mise en conformité de l’éditeur devient un maximum. Les mises en demeure relèvent de l’Arcom et non de son seul président.

Les principaux apports de la commission spéciale sont la mise en place d’un système de sanction pécuniaire modulée selon le degré de coopération de l’éditeur et la simultanéité des procédures de mise en demeure des éditeurs et d’injonction de blocage et de déréférencement de leurs adresses électroniques auprès des FAI, moteurs de recherche ou annuaires.

● Si l’éditeur n’a pas mis en place de système conforme au référentiel ou s’il s’est contenté d’une déclaration de majorité, il encourt une amende maximale de 250 000 euros ou 4 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu (500 000 euros ou 6 % du chiffre d’affaires mondial hors taxes en cas de réitération du manquement dans un délai de cinq ans après une première sanction).

● Si cet éditeur met en œuvre un système de vérification de l’âge qui n’est pas conforme au référentiel, il encourt une amende de 75 000 euros ou 1 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu (150 000 euros ou 2 % du chiffre d’affaires mondial hors taxes en cas de réitération du manquement dans un délai de cinq ans après une première sanction).

Par ailleurs :

– le président de la Cnil est également consulté pour évaluer la sanction ;

– les utilisateurs des services auxquels l’accès est empêché sont dirigés vers une page d’information de l’Arcom indiquant les motifs de la mesure de blocage ;

– une copie des notifications adressées aux FAI et aux moteurs de recherche ou aux annuaires est adressée simultanément à l’éditeur ;

– lors de l’audience devant le tribunal administratif, les conclusions du rapporteur public sont rétablies ;

– l’assermentation des agents de l’Arcom est faite dans les conditions prévues au 2° du I de l’article 19 de la loi du 30 septembre 1986 précitée (relatif aux conditions des enquêtes).

La commission spéciale a adopté un deuxième amendement ([24]) supprimant les termes « le cas échéant » à l’alinéa 13 au sujet des avantages tirés par un éditeur à ne pas se conformer à la décision de l’autorité publique. Selon l’auteur de l’amendement, ces termes pourraient laisser penser qu’un éditeur pourrait ne pas voir la mise en demeure ou qu’il ne gagnerait rien à laisser un contenu à caractère pornographique accessible à des mineurs.

En séance publique, outre un amendement rédactionnel ([25]), le Sénat a ajouté ([26]) à la liste des acteurs susceptibles de contribuer au blocage des sites les navigateurs et les systèmes d’exploitation fournissant des systèmes de résolution de nom de domaine (c’est-à-dire les personnes mettant à disposition un service permettant la traduction d’un nom de domaine en un numéro unique identifiant un appareil connecté à internet, soit l’adresse IP).

IV. Les modifications apportÉes par la commission

Outre un amendement rédactionnel CS400 de M. Saulignac (SOC), la commission spéciale a adopté vingt amendements rédactionnels de la rapporteure.

● Elle a également adopté trois amendements identiques CS897 du rapporteur général, CS174 de Mme Loir (RN) et CS335 de Mme K/Bidi (GDR-NUPES) qui doublent le plafond des sanctions pouvant être prononcées à l’encontre des éditeurs de services de communication au public en ligne mettant à la disposition du public des contenus pornographiques qui mettraient en place un système de contrôle de l’âge non conforme au référentiel mentionné à l’article 1er du projet de loi. Le plafond des sanctions est également doublé en cas de réitération du manquement par un même éditeur. Ce même délai de réitération a été porté à dix ans au lieu de cinq ans par l’amendement du rapporteur général CS886 : ce délai concerne les manquements des éditeurs, des fournisseurs de services d’accès à internet, des fournisseurs de systèmes de résolution de noms de domaine, de moteurs de recherche et des annuaires.

● La commission spéciale a adopté deux amendements de M. Saulignac (SOC) qui prévoient qu’en cas de récidive des éditeurs pour non-conformité au référentiel (CS368) ou pour absence de mise en place de tout référentiel (CS399), le plus haut des deux montants proposés est retenu à titre de sanction.

● Trois amendements identiques CS841 de la rapporteure, CS121 de Mme Spillebout (RE) et CS178 de Mme Loir (RN) ont permis d’aligner le délai laissé aux moteurs de recherche et annuaires pour effectuer le déréférencement des services (cinq jours) sur celui des fournisseurs d’accès à internet et des fournisseurs de systèmes de résolution de noms de domaine (quarante-huit heures).

● La rapporteure est à l’origine de l’adoption d’un amendement CS888 qui complète le rapport d’activité que devra publier l’Arcom afin qu’il mentionne également les éventuelles décisions de justice prises sur les recours engagés contre les décisions d’injonction prononcées.

Article 2 bis

Obligations portant sur les boutiques d’applications logicielles en matière de restrictions d’accès des mineurs aux sites pornographiques et aux réseaux sociaux

Adopté par la commission avec modifications

Le présent article, introduit par le Sénat en séance, vise à responsabiliser les boutiques d’applications logicielles en prévoyant la possibilité pour l’Arcom de demander aux gestionnaires de ces boutiques d’empêcher le téléchargement des applications logicielles ne respectant pas les obligations de vérification d’âge (applications à caractère pornographique ou diffusant ce type de contenus et réseaux sociaux en ligne).

La commission spéciale a adopté l’article 2 bis avec modifications de portée rédactionnelle. Une réflexion sera engagée, d’ici la séance publique, sur la proportionnalité de la mesure de blocage des applications des fournisseurs de réseaux sociaux en ligne qui ne mettent pas en place la solution technique certifiée de vérification de l’âge de leurs utilisateurs après la mise en demeure de l’Arcom.

Le droit en vigueur

A. Les dispositifs de contrôle de l’âge des utilisateurs sur internet

Pour rappel ([27]), la loi du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet, la loi du 7 juillet 2023 visant à instaurer une majorité numérique et à lutter contre la haine en ligne ainsi que les articles 1er et 2 du présent projet de loi instaurent des dispositifs de contrôle parental et de contrôle de l’âge des utilisateurs des services des réseaux sociaux en ligne (interdiction aux mineurs de quinze ans, sauf si le titulaire de l’autorité parentale en donne son accord) et des sites internet présentant des contenus à caractère pornographique (interdiction aux mineurs en application de l’article 227-24 du code pénal).

Le contrôle de l’âge des utilisateurs mineurs (âgés de moins de quinze ans ou de moins de dix-huit ans selon les hypothèses), reposera dans les deux cas sur la mise en place, par les fournisseurs de services de réseaux sociaux et par les éditeurs de sites pornographiques d’une solution technique conforme à un référentiel élaboré et publié par l’Arcom, après consultation de la Cnil.

Les articles 1er et 2 du présent projet de loi responsabilisent :

– les fournisseurs de services d’accès à internet (FAI) et les fournisseurs de systèmes de résolution de noms de domaine, auxquels l’Arcom peut enjoindre de bloquer l’accès aux sites des éditeurs ;

– les moteurs de recherche et les annuaires, auxquels la même autorité peut enjoindre de déréférencer ces mêmes sites.

En revanche, en dehors d’une sanction judiciaire, la loi du 7 juillet 2023 visant à instaurer une majorité numérique et à lutter contre la haine en ligne ne prévoit pas de sanction de blocage ou de déréférencement des services de réseaux sociaux. Un tel dispositif aurait été jugé disproportionné, compte tenu du nombre d’utilisateurs de tels sites.

L’accès aux contenus et sites interdits aux mineurs doit être contrôlé de la manière la plus large possible et couvrir toutes les modalités d’accès technique qui s’offrent à eux. Or la plupart des mineurs accèdent à internet via un smartphone. Selon une étude ([28]) conduite par l’association e-Enfance, 46 % des enfants de 6-10 ans possèdent déjà un smartphone ; à 12 ans, ce taux passe à 89 % ([29]). 87 % des enfants de 11-12 ans utilisent régulièrement au moins un réseau social en France. L’entrée en vigueur de la loi du 2 mars 2022 visant à renforcer le contrôle parental sur les moyens d’accès à internet en juillet 2024 devrait permettre de mieux contrôler les usages des plus jeunes, sous la responsabilité des titulaires de l’autorité parentale.

B. La terminologie dans les récents règlements européens

● Le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques) fait mention des applications mobiles. Son article 3 consacré aux définitions indique que la notion d’ « interface en ligne » désigne « tout logiciel, y compris un site internet ou une section de site internet, et des applications, notamment des applications mobiles ».

● Le considérant 41 du règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (règlement sur les marchés numériques) utilise les termes d’« application logicielle » et de « boutique d’applications logicielles » ainsi que d’« assistant virtuel » dans un contexte d’achat de contenu en ligne.

II. Le dispositif adopté par le Sénat

Le présent article 2 bis est issu de l’adoption, en séance publique, d’un amendement de Mme Catherine Morin-Desailly ([30]). Cet amendement a reçu un avis favorable de la commission spéciale et du Gouvernement.

Le dispositif complète :

– celui prévu à l’article 6-7 de la loi du 21 juin 2004 pour la confiance dans l’économie numérique (ci-après « LCEN »), issu de la loi du 7 juillet 2023 visant à instaurer une majorité numérique et à lutter contre la haine en ligne s’agissant du contrôle de l’accès des mineurs de quinze ans aux réseaux sociaux ;

– celui prévu aux articles 1er et 2 du présent projet de loi s’agissant du contrôle de l’accès des mineurs aux sites (« services de communication au public en ligne ») à caractère pornographique ou diffusant des contenus à caractère pornographique.

Il insère un nouvel article 6-8 à la LCEN afin de donner à l’Arcom la capacité d’intervenir sur le blocage des applications en empêchant leur téléchargement via les boutiques d’applications logicielles. Il s’agit encore une fois de rendre inaccessible le contenu des sites des éditeurs qui ne mettront pas en place des dispositifs de contrôle de l’âge conforme au référentiel élaboré par l’Arcom.

Le dispositif responsabilise les boutiques d’applications logicielles parmi lesquelles deux dominent le marché : Google Play et Apple Store, appartenant à deux « très grandes plateformes en ligne » au sens du règlement sur les services numériques précité.

Le I de l’article 6-8 prévoit que si les fournisseurs de réseaux sociaux en ligne ne mettent pas en place la solution technique certifiée de vérification de l’âge de leurs utilisateurs après la mise en demeure de l’Arcom prévue au II de l’article 6-7 de la LCEN et sous le délai de quinze jours prévu par ce même dispositif, la même autorité pourra demander aux boutiques d’applications logicielles d’empêcher le téléchargement de l’application logicielle en cause. Ces boutiques disposeront alors d’un délai de quarante-huit heures pour satisfaire cette demande.

Le II prévoit le même dispositif, relevant de la responsabilité de l’Arcom, s’agissant de la mise en demeure prévue au I de l’article 10-1 de la LCEN dans sa rédaction résultant de l’article 2 du présent projet de loi et pour les éditeurs d’applications donnant accès à des contenus à caractère pornographique.

Le III prévoit que les procédures administratives de blocage du téléchargement des applications en cause seraient prononcées pour une durée maximale de vingt-quatre mois avec réévaluation – d’office ou sur demande – tous les douze mois, sauf si les faits ne sont plus constitués (les mesures sont alors levées).

Le IV prévoit une sanction pécuniaire pouvant atteindre 1 % du chiffre d’affaires mondial de l’exercice précédent réalisé par la boutique d’applications logicielles.

Un décret en Conseil d’État, pris après l’avis de l’Arcom, déterminant les conditions d’application de l’article 6-8 précité est prévu en son V.

III. Les modifications apportÉes par la commission

La commission spéciale a adopté l’article 2 bis modifié de quatre amendements rédactionnels de la rapporteure.

L’entrée en vigueur du I est différée (amendement CS838 du rapporteur général à l’article 36, voir infra) en attendant l’issue de la réflexion des rapporteurs, d’ici la séance publique, sur la proportionnalité de la mesure de blocage des applications des fournisseurs de réseaux sociaux en ligne qui ne mettent pas en place la solution technique certifiée de vérification de l’âge de leurs utilisateurs après la mise en demeure de l’Arcom.

Section 2 Pénalisation du défaut d’exécution en vingt-quatre heures d’une demande de l’autorité administrative de retrait de contenu pédopornographique

Article 3

Pénalisation du défaut d’exécution d’une demande de retrait de contenu pédopornographique par un hébergeur

Adopté par la commission avec modifications

Le présent article instaure une sanction pénale applicable aux hébergeurs qui ne satisfont pas à la demande émise par l’autorité compétente (l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication) de procéder au retrait dans un délai de vingt-quatre heures d’un contenu en ligne d’images ou de représentations de mineurs présentant un caractère pédopornographique relevant de l’article 227-3 du code pénal.

Ce faisant, le dispositif proposé aligne le régime de responsabilité pénale des hébergeurs en matière de demandes de retrait de contenus pédopornographiques sur celui qui existe en matière de terrorisme.

Le présent article a été adopté par le Sénat avec plusieurs modifications.

La commission spéciale a adopté cet article avec une modification qui offre une marge d’appréciation à l’autorité administrative s’agissant des motifs tenant à la force majeure ou à une impossibilité de fait – avancés par le fournisseur de services d’hébergement – de se conformer à la demande de retrait.

Le droit en vigueur

La loi du 21 juin 2004 pour la confiance dans l’économie numérique (ci-après « LCEN »), transposant la directive dite « e-commerce » ([31]) instaure un régime général de responsabilité allégée pour les hébergeurs, dont la responsabilité civile et pénale ne peut être engagée que si, après avoir été informés de son caractère illicite, ils n’ont pas agi promptement pour retirer le contenu concerné ou en rendre l’accès impossible.

Elle crée néanmoins un régime de responsabilité renforcée pour certaines infractions portant gravement atteinte à l’ordre public, constitutives de la haine en ligne, en posant un principe de coopération de ces prestataires à la lutte contre les contenus les plus gravement réprimés ([32]). Les hébergeurs doivent ainsi disposer d’un mécanisme de signalement de ces contenus, en informer les autorités publiques et rendre publics les moyens consacrés à la prévention de leur diffusion.

Dès l’origine, la LCEN a prévu un dispositif de blocage judiciaire de certains sites et de retrait des contenus litigieux, permettant à l’autorité judiciaire de prescrire, « à toute personne susceptible d’y contribuer toutes mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d’un service de communication au public en ligne » ([33]). Le juge judiciaire peut ainsi enjoindre au fournisseur d’accès à internet (FAI) ou à l’hébergeur de retirer le contenu litigieux, voire de bloquer l’accès au site internet sur lequel ce contenu est diffusé. L’article 24 du présent projet de loi procède à une réécriture de ce dispositif.

C’est avec l’adoption de la loi n° 2014-1353 du 13 novembre 2014 renforçant les dispositions relatives à la lutte contre le terrorisme créant l’article 6-1 de la LCEN qu’est mise en place une procédure de blocage administratif unique des contenus faisant l’apologie ou appelant à commettre un acte terroriste, ainsi que des contenus à caractère pédopornographique.

A. La procédure administrative de retrait des contenus terroristes et pédopornographiques

L’article 6-1 de la LCEN impose des obligations renforcées à l’égard :

– des éditeurs et des hébergeurs, consistant au retrait d’un contenu litigieux dans un premier temps ;

– des FAI, moteurs de recherche et annuaires dans un second temps, si éditeurs et hébergeurs ne s’exécutent pas ou ne peuvent être identifiés, obligation qui prend la forme d’un blocage de l’accès au site internet ou d’un déréférencement dudit contenu.

1. Les contenus couverts par l’article 6-1 de la LCEN

L’article 6-1 de la LCEN couvre la lutte contre deux types d’actes :

– la provocation à des actes terroristes ou l’apologie de tels actes relevant de l’article 421-2-5 du code pénal ;

– la diffusion des images ou des représentations de mineurs relevant de l’article 227-23 du code pénal.

2. Un dispositif de blocage administratif

L’autorité administrative – en l’espèce, l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC) de la direction générale de la police nationale ([34]) – peut demander aux éditeurs de services (mentionnés au III de l’article 6 de la LCEN) ou aux hébergeurs (mentionnés au 2 du I du même article 6) le retrait du contenu faisant l’apologie du terrorisme ou provoquant à de tels actes, ou du contenu à caractère pédopornographique. Simultanément, les fournisseurs d’accès à internet (FAI) sont informés de cette demande.

L’OCLCTIC opère sur les signalements effectués via la plateforme d’harmonisation, d’analyse, de recoupement et d’orientation des signalements (Pharos) ([35]).

Dans un second temps, en l’absence de retrait de ces contenus dans un délai de vingt-quatre heures, l’OCLCTIC peut notifier aux FAI, aux moteurs de recherche et aux annuaires la liste des adresses électroniques des services de communication au public en ligne contrevenants. Les FAI « doivent alors empêcher sans délai l’accès à ces adresses », c’est-à-dire procéder au blocage des services. Les moteurs de recherche et les annuaires « prennent [également] toute mesure utile destinée à faire cesser le référencement du service ».

Si le service contrevenant ne contient pas d’informations permettant d’identifier la personne qui en exerce le contrôle, l’autorité administrative peut saisir sans délai le FAI concerné.

3. Un contrôle de régularité des demandes de retrait opéré par une autorité indépendante

L’article 6-1 prévoit qu’une personnalité qualifiée désignée en son sein par l’Arcom ([36]) est destinataire des demandes de blocage et de la liste des adresses électroniques concernées par un déréférencement. Elle est chargée de s’assurer de la régularité des demandes de retrait de contenus terroristes et pédopornographiques effectuées et des conditions d’établissement, de mise à jour, de communication et d’utilisation de la liste.

Si la personnalité qualifiée constate une irrégularité, elle peut recommander à l’OCLCTIC d’y mettre fin ([37]). Si l’Office ne suit pas cette recommandation, la personnalité qualifiée peut saisir le juge administratif en référé ou sur requête afin de la faire appliquer.

La personnalité qualifiée rend compte de son activité dans un rapport annuel remis au Gouvernement et au Parlement.

En application de l’article 6-1-2 de la LCEN créé par la loi n° 2022-1159 du 16 août 2022 portant diverses dispositions d’adaptation au droit de l’Union européenne en matière de prévention de la diffusion de contenus à caractère terroriste en ligne, la personnalité qualifiée dispose d’un suppléant, également désigné en son sein par l’Arcom.

Depuis le 7 juin 2022 c’est Mme Laurence Pécaut-Rivolier, conseillère à la Cour de cassation, qui assure ces fonctions. En cas d’indisponibilité, M. Denis Rapone, conseiller d’État, la supplée.

En 2022, la vérification par le visionnage des contenus à caractère pédopornographique a constitué 82 % de l’activité de la personnalité qualifiée ([38]), 18 % de son activité étant consacrée aux contenus à caractère terroriste. Cela représente l’examen de 82 754 demandes de retraits de contenus (dont 73 685 ont été effectivement retirés), 2 951 demandes de déréférencement et 392 demandes de blocage.

Évolution des demandes de retrait

Source : Rapport annuel 2022 de la personnalité qualifiée de l’Arcom

B. Un cadre procédural renforcé s’agissant des contenus à caractère terroriste

1. S’agissant des contenus à caractère pédopornographique, seule la non-exécution des injonctions de blocage et de déréférencement est pénalement sanctionnée

S’agissant des contenus à caractère pédopornographique, le fait pour un éditeur ou un hébergeur de ne pas donner suite à une demande de retrait des contenus dans les vingt-quatre heures n’entraîne aucune sanction pénale. Il existe seulement la possibilité, pour l’OCLCTIC, de faire procéder « sans délai » au blocage administratif ou au déréférencement du site mettant à la disposition du public ces contenus illicites ([39]).

En revanche, la méconnaissance de l’injonction de blocage ou de déréférencement entraîne les mêmes sanctions pénales que celles prévues au 1 du VI de l’article 6 de la LCEN (dernier alinéa de l’article 6-1 précité) :

– 250 000 euros d’amende et un an de prison ;

– pour une personne morale, l’amende encourue est égale au quintuple, soit 1 250 000 euros au plus. Celle-ci peut également être condamnée à une interdiction d’exercer une activité professionnelle ou sociale et à une interdiction de percevoir des aides financières publiques.

2. S’agissant des contenus à caractère terroriste, des délais plus contraints et des sanctions pénales pour tous les opérateurs

Un dispositif bien plus contraignant a récemment été mis en place s’agissant des contenus à caractère terroriste par le règlement (UE) 2021/784 relatif à la lutte contre la diffusion des contenus à caractère terroriste en ligne (dit « TCO » pour Terrorist Content Online), applicable depuis le 7 juin 2022.

Ce dispositif spécifique aux contenus à caractère terroriste a été introduit aux articles 6-1-1 à 6-1-5 de la LCEN par la loi n° 2022-1159 du 16 août 2022 précitée. Il permet à l’autorité administrative compétente (l’OCLCTIC) de délivrer une injonction de retrait, cette fois dans un délai d’une heure, de certains contenus à caractère terroriste à l’encontre des « fournisseurs de services d’hébergement au public en ligne » ([40]) (article 3 du règlement (UE) 2021/784 « TCO »), ci-après « hébergeurs ». La personnalité qualifiée au sein de l’Arcom est également compétente pour procéder à l’examen approfondi des injonctions de retrait et pour saisir le juge administratif aux fins, le cas échéant, d’en obtenir le retrait.

La méconnaissance des injonctions de retrait, de blocage ou de déréférencement est pénalement sanctionnée par 250 000 euros d’amende et un an d’emprisonnement, le quintuple de ce montant (1 250 000 euros) pour une personne morale ([41]). En cas d’infraction commise de manière habituelle par une personne morale, le montant de l’amende peut être porté à 4 % de son chiffre d’affaires mondial pour l’exercice précédent.

La personne morale peut également être condamnée à une interdiction d’exercer pendant cinq ans au plus une activité professionnelle ou sociale en lien avec l’infraction ([42]). La décision peut être affichée ou diffusée ([43]).

Les mêmes peines sont encourues contre les hébergeurs qui n’informeraient pas les autorités d’un contenu terroriste « présentant une menace imminente pour la vie » ([44]), par exemple un projet d’attentat.

Afin de garantir le droit au recours effectif, l’article 6-1-5 de la LCEN prévoit que les hébergeurs et les fournisseurs de contenus ([45]) (les éditeurs) peuvent saisir le tribunal administratif pour solliciter l’annulation de l’injonction de retrait prononcée par l’autorité administrative ou la réformation de la décision motivée de la personnalité qualifiée de l’Arcom prise dans le cadre d’un examen approfondi de l’injonction de retrait. Cette demande doit être formulée dans un délai de quarante-huit heures à compter de la réception de l’injonction. Le tribunal administratif statue sous soixante-douze heures après la saisine. Un appel peut être formé dans les dix jours. La cour administrative d’appel dispose alors d’un mois pour se prononcer.

Le règlement (UE) 2021/784 « TCO » offre plusieurs garanties aux hébergeurs, précisées en son article 3 :

– l’information préalable douze heures avant toute première demande de retrait (point 2) ;

– la non-exécution de la demande de retrait en cas de force majeure, d’une impossibilité de fait non imputable au service ou d’une erreur matérielle (point 7) ;

– l’information dans les meilleurs délais des motifs du retrait et des voies de recours ouvertes à l’hébergeur et au fournisseur de contenus pour contester la demande (point 4).

En résumé, l’injonction de retrait d’un contenu à caractère terroriste peut donc être prononcée avec un délai d’exécution de vingt-quatre heures sur le fondement de l’article 6-1 de la LCEN, ou avec un délai d’une heure sur le fondement de l’article 6-1-1 de la même loi, ce dernier dispositif étant accompagné de garanties procédurales renforcées.

II. Le dispositif proposé

A. Une harmonisation du droit national

L’article 3 aligne le régime de responsabilité des hébergeurs en matière de retrait des contenus à caractère pédopornographiques sur leur régime de responsabilité en matière de contenus à caractère terroriste, exception faite du délai de mise en œuvre de l’injonction de retrait, maintenue à vingt-quatre heures.

Ainsi l’article 6-1 de la LCEN n’est pas modifié par le présent article 3. C’est l’article 23 du présent projet de loi qui procède, notamment, aux modifications terminologiques rendues nécessaires par coordination avec les règlements européens.

Les articles 6-2, 6-2-1 et 6-2-2 qui seraient introduits dans la LCEN reprennent les garanties, les peines et des voies de recours accélérées prévues à l’article 3 du règlement (UE) 2021/784 « TCO » et aux articles 6-1-3 et 6-1-5 de ladite loi.

Le nouvel article 6-2 de la LCEN reprend une partie des garanties offertes par l’article 3 du règlement (UE) 2021/784 « TCO » au fournisseur de services d’hébergement, ci-après « l’hébergeur ». Si ce dernier n’a jamais fait l’objet d’une demande de retrait d’un contenu pédopornographique sur le fondement de l’article 6-1 de la même loi, l’autorité administrative (l’OCLCTIC) communique à ladite personne des informations sur les procédures et les délais applicables, et ce au moins douze heures avant d’émettre la demande de retrait (I).

L’article 6-2 prévoit également (II) :

– les cas de force majeure et d’impossibilité de fait non imputable à l’hébergeur. Dans ces cas, le délai de vingt-quatre heures accordé pour procéder au retrait du contenu commence à courir dès que ces motifs ont cessé d’exister ;

– l’impossibilité pour un hébergeur de se conformer à la demande de retrait prévue en cas d’erreur manifeste ou de défaut d’informations suffisantes pour l’exécution de ladite demande. Dans ces cas, le délai de vingt-quatre heures commence à courir dès que l’hébergeur a reçu les éclaircissements nécessaires.

Quels que soient les motifs faisant obstacle à l’exécution de la demande, l’hébergeur en informe l’autorité administrative à l’origine de la demande « sans retard indu ».

Lorsque l’hébergeur procède au retrait d’un contenu pédopornographique il en informe « dans les meilleurs délais » le fournisseur de contenus en précisant les motifs du retrait et des droits dont il dispose pour contester la demande de retrait devant la juridiction administrative compétente (III). Une copie de la demande de retrait est transmise par l’hébergeur au fournisseur de contenus.

L’article 6-2-1 de la LCEN prévoit la pénalisation du défaut d’exécution d’une demande de retrait de contenus à caractère pédopornographique selon le même quantum de peines que celui applicable en matière de contenus à caractère terroriste et prévu à l’article 6-1-3 de la même loi soit un an d’emprisonnement et 250 000 euros d’amende (I).

Une personne morale s’expose à une amende égale au quintuple de ce montant, soit 1 250 000 euros, et, en cas d’infraction commise à titre habituel, le montant de l’amende peut être porté à 4 % de son chiffre d’affaires mondial hors taxes de l’exercice précédent (I). La personne morale peut également être condamnée à une interdiction d’exercer pendant cinq ans au plus une activité professionnelle ou sociale en lien avec l’infraction. La décision peut être affichée ou diffusée (II).

L’article 6-2-2 de la même loi – introduit en réponse aux observations du Conseil d’État – reproduit les garanties procédurales prévues à l’article 6-1-5, à savoir l’ouverture d’un recours au fond au bénéfice des hébergeurs, des fournisseurs de contenus, ainsi que de la personnalité qualifiée de l’Arcom, dans un délai de quarante-huit heures suivant la réception de la demande de retrait ou, s’agissant du fournisseur de contenus, du moment où il est informé du retrait (I). La procédure de référé prévue aux articles L. 521-1 et L. 521-2 du code de justice administrative reste applicable.

Le tribunal administratif dispose de soixante-douze heures pour statuer. L’audience est publique et se déroule sans conclusions du rapporteur public, compte tenu des délais de la procédure (II).

Une procédure d’appel est possible dans un délai de dix jours à compter de la notification du jugement. Dans ce cas, la juridiction d’appel statue dans un délai d’un mois à compter de sa saisine (III).

Un décret en Conseil d’État devra préciser les modalités d’application de cet article 6-2-2 (IV).

B. Une anticipation de l’adoption de la proposition de règlement européen établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants

Le 11 mai 2023, la Commission européenne a présenté une proposition de règlement visant à prévenir et combattre les abus sexuels sur les enfants en ligne ([46]). Ce règlement vise à instaurer la possibilité, pour les autorités nationales compétentes, d’émettre des injonctions de détection de contenus pédopornographiques et de signalement et de retrait de ces contenus auprès des fournisseurs de services d’hébergement, de services de communications interpersonnelles et d’autres services opérant dans l’Union européenne. Il instituerait en outre un « centre de l’Union européenne » autonome, placé auprès d’Europol, chargé de soutenir les États membres et les fournisseurs de services en ligne dans leur lutte contre ces contenus.

À l’Assemblée nationale, une résolution européenne de Mme Perrine Goulet adoptée le 21 juin 2023 (n° 165) est venue appuyer cette initiative. Son rapport ([47]) rappelle que la réglementation de l’Union européenne en matière de lutte contre les abus sexuels sur les enfants en ligne est demeurée limitée puisqu’elle repose un règlement provisoire et une directive :

– la directive 2011/92/UE du 13 décembre 2011 relative à la lutte contre les abus sexuels et l’exploitation sexuelle des enfants ainsi que la pédopornographie ([48]), qui définit les infractions liées aux abus sexuels sur mineurs et impose aux États membres de mettre en place des dispositifs permettant le retrait rapide des contenus pédopornographiques hébergés sur leur territoire ;

– le règlement provisoire 2021/1232 du 14 juillet 2021 ([49]) permettant aux fournisseurs de services de communications interpersonnelles non fondées sur la numérotation ([50]), de déroger aux obligations relatives au respect de la vie privée et à la confidentialité des communications imposées par la directive dite « e-privacy » ([51]). Leurs activités dérogatoires portent sur la détection volontaire des contenus diffusés sur leur service par le traitement de données personnelles des utilisateurs.

L’application du règlement provisoire prendra fin le 3 août 2024, nécessitant l’adoption d’une nouvelle base juridique afin de permettre la poursuite de politiques de détection des contenus pédopornographiques.

Le présent article 3 anticipe l’adoption de la proposition de règlement du 11 mai 2023 qui instaurerait des règles uniformes et contraignantes dans l’espace numérique et notamment une obligation de détection des contenus relatifs à des abus sexuels sur des enfants diffusés sur les plateformes.

III. Les modifications apportées par le Sénat

L’article 3 du projet de loi a été adopté avec modifications par le Sénat.

● À l’initiative de son rapporteur Loïc Hervé, la commission spéciale a apporté des modifications d’ordre rédactionnel ([52]). Le rapporteur est également à l’origine de l’introduction des conclusions du rapporteur public, laissant ainsi au pouvoir réglementaire la possibilité de permettre au magistrat de dispenser le rapporteur public de prononcer des conclusions à l’audience ([53]). Il convient de préciser que l’article 23 du présent projet de loi prévoit que l’audience prévue à l’article 6-1-5 soit également publique, la mention de l’absence de conclusions du rapporteur public ayant également été supprimée en commission spéciale ([54]).

● En séance publique, le rapporteur est à l’origine d’un amendement ([55]) de coordination qui prévoit que l’article 6-2 de la LCEN devienne l’article 6-5. Ce dispositif est déjà mentionné au dernier alinéa de l’article 23 du présent projet de loi : il conviendra donc de supprimer l’une des deux occurrences.

Le Sénat a également adopté un amendement du Gouvernement qui prévoit que la communication obligatoire de la copie de la demande de retrait par l’hébergeur à l’éditeur ne soit obligatoire que lorsque ce dernier lui en fait la demande, sauf si l’autorité administrative, l’OCLTIC, estime qu’une telle divulgation entraverait le bon déroulement d’actions de prévention, de détection, de recherche et de poursuite des auteurs des contenus pédopornographiques en cause. Le dispositif adopté prévoit une période de six semaines, reconductible une fois, au cours de laquelle il sera possible, pour les raisons précitées, de déroger à l’obligation d’informer l’éditeur du retrait du contenu à caractère pédopornographique ; à l’issue de ce délai, cette obligation d’information s’appliquera à nouveau.

IV. Les modifications apportÉes par la commission

La commission spéciale a adopté l’article 3 modifié de quatre amendements rédactionnels de la rapporteure.

Elle a également adopté un amendement CS403 de Mme Pasquini (Écolo-NUPES) qui offre une voie d’appréciation à l’autorité administrative des motifs tenant à la force majeure ou à une impossibilité de fait – qui ne sont pas imputables au fournisseur de services d’hébergement, y compris pour des raisons techniques ou opérationnelles objectivement justifiables – de se conformer à la demande de retrait. Après examen de ces motifs, l’autorité administrative pourra dès lors enjoindre à ce même fournisseur de se conformer à la demande de retrait.

Article 3 bis (nouveau)

Remise d’un rapport du Gouvernement sur l’extension des compétences de l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication en matière de retraits de contenus

Introduit par la commission

Résultant d’un amendement adopté par la commission avec un avis favorable de la rapporteure et du Gouvernement, cet article prévoit la remise d’un rapport du Gouvernement au Parlement sur l’extension des compétences de l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC), au retrait des contenus présentant des actes de torture et de barbarie, des traitements inhumains et dégradants, des viols et des situations d’inceste.

I. L’état du droit

Voir le commentaire de l’article 3.

II. Le dispositif introduit par la commission

Le présent article résulte de l’adoption de l’amendement CS929 du rapporteur général, qui a reçu un avis de sagesse du Gouvernement.

L’article 3 du présent projet de loi instaure une sanction pénale applicable aux hébergeurs qui ne satisfont pas à la demande émise par l’autorité compétente, l’OCLCTIC, de procéder au retrait dans un délai de 24 heures d’un contenu en ligne d’images ou de représentations de mineurs présentant un caractère pédopornographique relevant de l’article 227-3 du code pénal.

L’OCLCTIC opère sur les signalements effectués via la plateforme Pharos.

Le Haut conseil à l’égalité (HCE) entre les femmes et les hommes a publié des recommandations pour faire face à la violence contre les femmes en ligne, notamment dans le domaine de la pornographie. Parmi ces recommandations figure un sujet de préoccupation majeure : l’absence de retrait, par l’OCLCTIC, des contenus présentant des actes de torture et de barbarie, des traitements inhumains et dégradants, et des viols.

Le présent article prévoit que le Gouvernement remette au Parlement, dans un délai de six mois à compter de la promulgation de la présente loi, un rapport sur ce sujet. Le rapporteur général estime que le Gouvernement devrait pouvoir consulter la personnalité qualifiée au sein de l’Arcom et les magistrats saisis de plaintes sur le fondement des articles du code pénal qui concernent ces infractions. Le rapport fera notamment état de la capacité des services à constater le bien-fondé de la demande de retrait.

Titre II PROTECTION DES citoyens dans l’environnement numÉrique

Article 4 AA (nouveau)

Extension du contenu de l’attestation scolaire de bon usage des outils numériques à l’intelligence artificielle et information annuelle des représentants légaux des élèves

Introduit par la commission

Résultant d’un amendement adopté par la commission avec un avis favorable de la rapporteure et du Gouvernement, le présent article modifie l’article L. 312-9 du code de l’éducation.

D’une part, il complète le contenu de l’attestation scolaire délivrée à l’issue de l’école primaire et du collège et certifiant que les élèves ont bénéficié d’une sensibilisation au bon usage des outils numériques et des réseaux sociaux ainsi qu’aux risques liés à ces outils. Le contenu de cette attestation est étendu au bon usage des outils de l’intelligence artificielle, aux risques liés à l’ensemble de ces outils et aux contenus générés par l’intelligence artificielle.

D’autre part, il prévoit qu’une information annuelle sur l’apprentissage de la citoyenneté numérique soit dispensée à chaque début d’année scolaire aux représentants légaux des élèves par un membre de l’équipe pédagogique. Le détail de la formation figure à ce même article.

L’état du droit

L’article L. 312-9 du code de l’éducation prévoit la dispense d’une formation à l’utilisation responsable des outils et des ressources numériques dans les écoles et les établissements d’enseignement, y compris agricoles, ainsi que dans les unités d’enseignement des établissements et services médico-sociaux et des établissements de santé. Le contenu de cette formation n’a cessé d’évoluer ces dernières années ([56]).

Cette formation comporte une éducation aux droits et aux devoirs liés à l’usage d’internet et des réseaux, dont la protection de la vie privée et le respect de la propriété intellectuelle, de la liberté d’opinion et de la dignité de la personne humaine et à l’image des femmes ([57]) , ainsi qu’aux règles applicables aux traitements de données à caractère personnel. Elle contribue au développement de l’esprit critique, à la lutte contre la diffusion des contenus haineux en ligne, à la sensibilisation contre la manipulation d’ordre commercial et les risques d’escroquerie en ligne ([58]) et à l’apprentissage de la citoyenneté numérique.

La loi n° 2023-451 du 9 juin 2023 visant à encadrer l’influence commerciale et à lutter contre les dérives des influenceurs sur les réseaux sociaux a complété le contenu de cette formation qui comporte désormais une sensibilisation à l’usage des dispositifs de signalement des contenus illicites mis à disposition par les plateformes.

Une attestation scolaire certifie que les élèves de primaire et du collège ont bénéficié d’une sensibilisation au bon usage des outils numériques et des réseaux sociaux ainsi qu’aux dérives et aux risques liés à ces outils. Cette attestation prend aujourd’hui la forme de l’outil Pix qui certifie les compétences numériques obligatoires pour les élèves de 3e au collège et de terminale au lycée général, technologique et professionnel. Le ministère de l’éducation nationale et de la jeunesse a annoncé ([59]) en janvier 2023, l’extension de cette certification pour les élèves de 6e.

II. Le dispositif introduit par la commission

La commission a adopté deux amendements portant article additionnel avant l’article 4 A et qui complètent l’article L. 312-9 du code de l’éducation. Ces amendements ont reçu un avis favorable de la rapporteure et du Gouvernement

● La commission a d’abord adopté l’amendement CS103 de Mme Violette Spillebout (RE).

Le dispositif adopté complète le contenu de l’attestation scolaire délivrée à l’issue de l’école primaire et du collège et certifiant que les élèves ont bénéficié d’une sensibilisation au bon usage des outils numériques et des réseaux sociaux ainsi qu’aux risques liés à ces outils. Le contenu de cette attestation est étendu au bon usage des outils de l’intelligence artificielle, aux risques liés à l’ensemble de ces outils et aux contenus générés par l’intelligence artificielle.

Selon l’auteure de l’amendement, le développement de l’intelligence artificielle peut être source de création et de diffusion de nombreuses fake news (fausses informations). À ce titre, il convient que les jeunes soient bien informés à l’école des possibilités de l’intelligence artificielle, mais aussi des risques qu’elle induit. Le présent dispositif devrait contribuer à développer l’esprit critique des élèves.

● La commission a ensuite adopté deux amendements identiques CS669 de Mme Marie Guévenoux (RE) et CS788 de Mme Agnès Carel (HOR) qui prévoient une information annuelle sur l’apprentissage de la citoyenneté numérique, dispensée à chaque début d’année scolaire aux représentants légaux des élèves par un membre de l’équipe pédagogique.

Cette formation comprendra notamment des messages d’information relatifs au temps d’utilisation des écrans par les élèves ; une sensibilisation à l’exposition des mineurs aux contenus illicites, à la lutte contre la diffusion des contenus haineux en ligne ; une sensibilisation contre la manipulation d’ordre commercial et les risques d’escroquerie en ligne ; une sensibilisation à l’usage des dispositifs de signalement des contenus illicites mis à disposition par les plateformes et une sensibilisation sur l’interdiction du harcèlement commis dans l’espace numérique ainsi qu’un renvoi aux différentes plateformes et services publics susceptibles de les accompagner.

Article 4 AB (nouveau)

Remise d’un rapport du Gouvernement au Parlement sur les actions de prévention et de sensibilisation au harcèlement et au cyberharcèlement mises en place dans les établissements scolaires

Introduit par la commission

Résultant d’un amendement adopté par la commission avec un avis défavorable de la rapporteure et du Gouvernement, cet article prévoit la remise d’un rapport du Gouvernement au Parlement sur les actions de prévention et de sensibilisation au harcèlement et au cyberharcèlement mises en place dans les établissements scolaires.

I. L’état du droit

Le dernier alinéa de l’article L. 111-6 du code de l’éducation créé par la loi n° 2022-299 du 2 mars 2022 visant à combattre le harcèlement scolaire prévoit qu’« [u]ne information sur les risques liés au harcèlement scolaire, notamment au cyberharcèlement, [soit] délivrée chaque année aux élèves et parents d’élèves. » Le programme de prévention et de lutte contre le harcèlement en milieu scolaire (Phare) prévoit ainsi un volume de 10 heures annuelles par an pour chaque élève sur cette thématique.

La formation des professeurs est également obligatoire, en application de l’article 5 de la même loi n° 2022-299 du 2 mars 2022 : « […] les personnels de l’éducation nationale […] reçoivent, dans le cadre de leur formation initiale, une formation à la prévention des faits de harcèlement au sens de l’article 222-33-2-3 du code pénal ainsi qu’à l’identification et à la prise en charge des victimes, des témoins et des auteurs de ces faits. Une formation continue relative à la prévention, à la détection et à la prise en charge du harcèlement scolaire et universitaire est proposée à l’ensemble de ces personnes ainsi qu’à toutes celles intervenant à titre professionnel dans les établissements d’enseignement. »

II. Le dispositif introduit par la commission

Le présent article résulte de l’adoption, par la commission, d’un amendement CS676 de M. Croizier (DEM). Le Gouvernement et la rapporteure y ont donné un avis défavorable au motif que le Gouvernement est pleinement mobilisé sur les enjeux relevés par l’amendement. Un plan interministériel de lutte contre le harcèlement a d’ailleurs été présenté le 27 septembre 2023.

Le présent article prévoit la remise d’un rapport du Gouvernement au Parlement, dans un délai de douze mois à compter de la promulgation de la présente loi. Ce rapport portera « sur les actions de prévention et de sensibilisation au harcèlement et au cyberharcèlement mises en place dans les établissements scolaires. » Il évaluera « la possibilité de rendre annuellement obligatoire une session de sensibilisation aux enjeux de harcèlement et de cyberharcèlement dans tous les établissements scolaires » ainsi que « la façon dont le harcèlement et le cyberharcèlement sont inclus dans la formation initiale et continue des enseignants et plus largement dans la formation de l’ensemble des personnels des établissements scolaires. »

Selon l’auteur de l’amendement, si le ministère chargé de l’éducation nationale a mis en place de nouvelles mesures contre le harcèlement à l’école à la rentrée 2023, les élèves n’ont pas d’obligation de suivre une formation dédiée à ce type de sensibilisation.

Cet amendement vise à recenser les actions déjà mises en place, mais surtout à évaluer la possibilité de rendre obligatoire une session de sensibilisation aux problématiques de harcèlement et de cyber-harcèlement en milieu scolaire.

Il permet aussi d’évaluer la façon dont sont inclus le harcèlement et le cyber-harcèlement dans la formation initiale et continue des enseignants mais aussi de l’ensemble des personnels des établissements scolaires.

Article 4 AC (nouveau)

Généralisation de l’offre d’une identité numérique pour les Français

Introduit par la commission

Résultant d’un amendement adopté par la commission avec un avis favorable de la rapporteure et un avis de sagesse du Gouvernement, cet article :

– d’une part, fixe à l’État un objectif relatif au développement de l’identité numérique en prévoyant que 80 % des Français disposent d’une telle identité au 1er janvier 2027, et près de 100 % d’entre eux au 1er janvier 2030 ;

– d’autre part, demande la remise d’un rapport du Gouvernement au Parlement, « sur sa capacité à généraliser l’identité numérique pour les Français et les actions et modifications législatives nécessaires pour mettre en œuvre cette généralisation ».

I. L’état du droit

● L’anonymat et le pseudonymat en ligne

En 2022, la France comptait 53 millions d’utilisateurs de réseaux sociaux, soit 80 % de la population. L’espace numérique est un espace d’opportunités, mais également un espace où se déploie un sentiment d’impunité permis par l’anonymat ou le pseudonymat.

Il n’existe pourtant pas de réel anonymat en ligne. Les autorités publiques sont en mesure d’identifier une personne à partir de son IP de connexion (pour Internet Protocol) mais :

– pour un utilisateur mobile, le fournisseur d’accès à internet est capable d’indiquer aux services d’enquête l’identité de la personne physique abonnée associée à une adresse IP à un instant donné ;

– pour un utilisateur fixe (ou un utilisateur utilisant son smartphone depuis un accès wifi domestique), le fournisseur d’accès à internet peut indiquer aux services d’enquête le nom et l’adresse physique de l’abonné de la ligne utilisée.

Les cas les plus complexes sont les cas où :

– la personne utilise un point d’accès wifi public : dans ce cas, il faut formuler une requête auprès de l’opérateur du point d’accès qui peut ou non avoir demandé l’identité des personnes qui se connectent ;

– la personne utilise un VPN (Virtual Private Network, ou réseau privé virtuel) ou un autre système de masquage de l’IP : dans ce cas l’enquête peut être compliquée, notamment si la personne utilise des intermédiaires qui ne collaborent pas ;

– la personne utilise un réseau d’entreprise : il convient alors de s’adresser à l’entreprise en question qui, en général, authentifie chacun de ses utilisateurs et peut dans certains cas retrouver l’activité incriminée en consultant les logs de connexion.

Les opérateurs télécoms répondent chaque année à plusieurs centaines de milliers de demandes de données de connexion visant à identifier les personnes.

● France identité numérique

France identité numérique est le service public de l’identité numérique. Selon la définition donnée par le rapport d’information de Mme Christine Hennion et de M. Jean-Michel Mis du 8 juillet 2020 sur l’identité numérique ([60]), l’identité numérique est « la capacité à utiliser de façon sécurisée les attributs de son identité pour accéder à un ensemble de ressources ».

Le programme interministériel France identité numérique, placé sous l’autorité des ministères de l’intérieur et de la justice et du secrétariat d’État chargé du numérique, a pour mission de développer une identité numérique régalienne.

La Poste développe également avec Docaposte son propre système, tout comme de multiples acteurs privés dont certains ont eu l’occasion de présenter aux membres de la commission spéciale leurs solutions techniques.

II. Le dispositif introduit par la commission

Par l’adoption des amendements CS899 et CS900 du rapporteur général, la commission a introduit un article qui prévoit la généralisation d’une identité numérique pour les Français.

● D’une part, l’État se fixe l’objectif que 80 % des Français disposent d’une identité numérique au 1er janvier 2027 et près de 100 % d’entre eux au 1er janvier 2030 (CS899).

● D’autre part, le Gouvernement devra remettre au Parlement, dans un délai de six mois à compter de la promulgation de la présente loi, « un rapport sur sa capacité à généraliser l’identité numérique pour les Français et les actions et modifications législatives nécessaires pour mettre en œuvre cette généralisation » (CS900).

Les modalités de l’identité numérique recouvriront plusieurs solutions telles que celles proposées par France identité numérique.

Article 4 A

Avertissement sur le caractère illégal des comportements simulés dans des vidéos pornographiques

Adopté par la commission avec modifications

Le présent article, introduit par le Sénat en séance, vise à obliger les éditeurs de sites pornographiques à afficher un message d’avertissement avant tout accès à des contenus simulant la commission d’un crime ou d’un délit.

La commission spéciale a complété le mécanisme introduit par le Sénat en ajoutant l’obligation d’afficher un avertissement sur le caractère illégal des contenus pendant toute la durée de visionnage du dit contenu.

LE DROIT EN VIGUEUR

Si la vente de certains biens est aujourd’hui encadrée par la diffusion d’un message d’avertissement (alcool, tabac, etc.) ([61]), il n’existe pas de disposition de nature législative applicable aux contenus qui mettraient en scène des crimes ou des délits.

II. lE DISPOSITIF adoptÉ par le SÉnat

Le présent article 4 A est issu de l’adoption, en séance publique, d’un amendement de Mme Annick Billon ([62]). Cet amendement a reçu un avis favorable de la commission spéciale et un avis de sagesse du Gouvernement.

Le dispositif crée un nouvel article 1-3 au sein de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (ci-après « LCEN »), qui impose aux éditeurs de sites pornographiques d’apposer un avertissement avant que leurs utilisateurs accèdent à des contenus simulant la commission d’un crime ou d’un délit.

Le premier alinéa oblige les éditeurs de sites pornographiques à afficher, avant tout accès par un utilisateur de leur site à un contenu simulant la commission d’un crime ou d’un délit, un avertissement portant sur le caractère illégal des comportements ainsi représentés. La deuxième phrase du premier alinéa précise que le message doit être clair, lisible, unique et compréhensible.

Le deuxième alinéa précise les crimes et les délits concernés par le premier alinéa, soit le viol, l’inceste et les autres agressions sexuelles ([63]), ainsi que les infractions sexuelles commises contre les mineurs ([64]).

Le troisième alinéa précise que la notion de commission simulée d’un crime ou d’un délit, mentionnée au premier alinéa, doit être appréciée en fonction du titre du contenu, des mots-clés, des expressions et des autres entrées qui renvoient vers ledit contenu. Cette formulation laisse de côté toute appréciation sur le contenu lui-même.

Le quatrième alinéa prévoit que tout manquement à cette obligation d’avertir les usagers est puni des peines prévues à l’article 1-2 de la LCEN, soit un an d’emprisonnement et de 75 000 euros d’amende.

Enfin, le dernier alinéa du nouvel article 1-3 de la LCEN précise que tout contenu qui ne fait pas l’objet d’un message d’avertissement est un contenu illicite ([65]) au sens du règlement du 19 octobre 2022 sur les services numériques, soit un contenu soumis aux obligations de retrait par les hébergeurs.

Cet article est issu des travaux conduits par le Sénat sur la pornographie, évoqués supra (commentaire de l’article 1er). Le rapport du Sénat souligne que la pornographie présente une vision déformée et violente de la sexualité, et ce, au détriment notamment des jeunes. Les sénatrices auteures du rapport font ainsi le constat que « les scénarisations de viols dans les vidéos pornographiques et le non-respect constant du "non" de la femme ont également des répercussions sur l’idée que se font les jeunes de la notion de consentement » ([66]).

Elles proposent donc d’ « imposer aux sites pornographiques des messages d’avertissement, concernant des contenus violents, précisant qu’il s’agit d’actes sexuels non simulés, pouvant constituer des infractions criminelles ou délictuelles » ([67]). L’objectif est de sensibiliser les usagers au fait que les contenus mettent en scène des comportements passibles de sanctions pénales.

III. La position de la commission

Sur proposition de la rapporteure, la commission spéciale a adopté l’amendement CS879 qui prévoit que tout contenu faisant l’objet d’un avertissement avant accès doit également comporter un bandeau rappelant le caractère illégal des comportements représentés et les sanctions pénales qui y sont associées.

La commission spéciale a également adopté l’amendement CS756 de M. Erwan Balanant (Dem), sous-amendé par l’amendement CS756 de la rapporteure et avec un avis favorable du Gouvernement, pour prévoir que le contenu du message et ses modalités de présentation seraient précisées par décret après avis de l’Arcom.

Article 4 B (supprimé)

Obligation de retrait de contenus pornographiques diffusés en violation d’un accord de cession de droit

Le présent article, introduit par le Sénat en séance, vise à créer une obligation de retrait par les hébergeurs de tout contenu pornographique qui aurait été signalé par une personne représentée dans le contenu comme violant un accord de cession de droit.

Il a été supprimé par la commission spéciale.

LE DROIT EN VIGUEUR

L’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (ci-après « LCEN ») prévoit un régime de responsabilité limité pour les hébergeurs. Ceux-ci ne peuvent pas voir leur responsabilité engagée pour le stockage de contenus illicites s’ils n’avaient pas effectivement connaissance du caractère illicite de ces contenus ou si, dès qu’ils en ont eu connaissance, ils ont agi pour les retirer ou en rendre l’accès impossible.

II. lE DISPOSITIF adoptÉ par le SÉnat

Le présent article 4 B est issu de l’adoption, en séance publique, d’un amendement de Mme Annick Billon ([68]). Cet amendement a reçu un avis favorable de la commission spéciale et un avis défavorable du Gouvernement.

Le dispositif crée un nouvel article 6-1-1 A au sein de la LCEN.

Ce nouvel article prévoit une nouvelle obligation pour les fournisseurs de services d’hébergement : dès lors qu’un contenu pornographique a été signalé par une personne représentée dans ce contenu comme étant diffusé en violation de l’accord de cession de droits, les hébergeurs doivent agir promptement pour retirer ledit contenu ou en rendre l’accès impossible.

Le signalement doit être réalisé conformément au mécanisme prévu par l’article 16 du règlement (UE) 2022/2065 du 19 octobre 2022 sur les services numériques.

Cet article est également issu des travaux conduits par le Sénat sur la pornographie, déjà évoqués ([69]). Il met en œuvre l’une des recommandations de ce rapport, qui était d’ « imposer aux plateformes de satisfaire gratuitement aux demandes de retrait de vidéos formulées par les personnes filmées, et non plus par les seuls propriétaires de vidéos » ([70]).

Cette préconisation est une des solutions mises en avant par les sénatrices auteures du rapport d’information pour répondre au problème des contrats de cession de droit à l’image. Celles-ci soulignent ainsi que les contrats de cession de droit à l’image signés par les personnes participant à des tournages de contenus pornographiques prévoient souvent une cession pour une durée très longue, voire illimitée. À cela s’ajoute la problématique de la procédure de retrait des vidéos une fois que celles-ci sont mises en ligne, décrite dans le rapport comme « relevant d’un parcours du combattant quasiment impossible » ([71]).

C’est dans ce contexte que le Sénat a adopté un amendement prévoyant une obligation de retrait spécifique aux contenus pornographiques signalés comme illicites car en violation de l’accord de cession de droits.

III. Les travaux de la commission

La commission spéciale a adopté l’amendement CS880 de suppression de l’article, présenté par la rapporteure Cet amendement avait reçu un avis favorable du Gouvernement.

En effet, les contenus diffusés aujourd’hui en violation des contrats sont déjà considérés comme des contenus illicites : la plateforme qui ne les retire pas alors qu’ils lui ont été signalés engage sa responsabilité pénale. Cet article, qui faisait peser sur les plateformes l’obligation de retirer promptement tout contenu signalé comme diffusé en violation d’un accord de cession de droits, ne permettait pas de résoudre le problème mis en avant par le rapport du Sénat, c’est-à-dire la durée des contrats de cession de droit à l’image. La rapporteure en a donc proposé la suppression.

Article 4

Protection des citoyens contre les vecteurs de propagande étrangère manifestement destinés à la désinformation et à l’ingérence

L’article 4 du présent projet de loi élargit les compétences de l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) pour assurer la mise en œuvre effective des mesures restrictives décidées par l’Union européenne à l’égard de gouvernements ou d’organisations étrangères. L’objectif est de donner les moyens à l’Autorité de faire retirer ou de faire cesser la diffusion de certains contenus, produits par des médias n’ayant plus l’autorisation de diffuser sur le territoire européen.

Le présent article a été adopté avec des modifications par le Sénat : celui-ci a notamment élargi la compétence de l’Arcom aux services de médias audiovisuels à la demande (Smad) extracommunautaires.

La commission spéciale, outre des précisions rédactionnelles, a ajouté les hébergeurs à la liste des personnes pouvant être mises en demeure par l’Arcom de retirer des contenus contraires aux dispositions prises sur le fondement de l’article 215 du TFUE.

Le droit en vigueur

A. La possibilitÉ pour l’Union europÉenne d’imposer des sanctions sur son territoire sans transposition nécessaire dans le droit national

L’Union européenne a la possibilité, dans le cadre de la politique étrangère et de sécurité commune (PESC), d’imposer des mesures restrictives à des gouvernements étrangers, des entreprises, des organisations ou des personnes physiques.

L’article 29 du traité sur l’Union européenne (TUE) prévoit ainsi que le Conseil est compétent pour adopter des décisions définissant la position de l’Union européenne sur des questions de nature géographique ou thématique, et que les États membres doivent veiller à la conformité de leurs politiques nationales avec ces positions.

L’article 215 du traité sur le fonctionnement de l’Union européenne (TFUE), reproduit ci-après, précise les compétences du Conseil en cas de restriction de relations avec un ou plusieurs pays tiers.

L’Union européenne a adopté des mesures restrictives à l’égard de la Russie depuis mars 2014, à la suite de l’annexion de la Crimée par la Russie. C’est le règlement (UE) n° 833/2014 du Conseil du 31 juillet 2014 concernant des mesures restrictives eu égard aux actions de la Russie déstabilisant la situation en Ukraine qui constitue la base légale pour ces sanctions. Le déclenchement de la guerre en Ukraine par la Fédération de Russie en février 2022 a conduit l’Union européenne à renforcer son arsenal de sanctions vis-à-vis de ce pays. Le dernier paquet de sanctions a été adopté en juin 2023 ([72]) : il prévoit notamment la suspension des licences de diffusion de cinq médias russes supplémentaires ([73]) et l’interdiction de diffusion de leurs contenus.

La capacité des médias placés sous le contrôle direct ou indirect de la Fédération de Russie à relayer la propagande des autorités russes et de fausses informations a été identifiée rapidement comme un levier de déstabilisation de l’Union et de ses États membres. Dès le 27 février 2022, la présidente de la Commission européenne, Ursula von der Leyen, s’engageait à mettre fin à la diffusion des médias Russia Today et Sputnik au sein de l’Union européenne ([74]).

Cet engagement s’est concrétisé par l’adoption dès le 1er mars 2022 de la décision PESC 2022/351 du 1er mars 2022 du Conseil modifiant la décision 2014/512/PESC concernant des mesures restrictives eu égard aux actions de la Russie déstabilisant la situation en Ukraine, prise sur le fondement de l’article 29 du TUE.

La décision du 1er mars 2022 crée un article 4 octies au sein de la décision 2014/512 qui prévoit à la fois la suspension des licences et des autorisations de diffusion de certaines entités, et l’interdiction aux opérateurs de diffuser ou de faciliter la diffusion via tout moyen de transmission des contenus produits par ces entités. Les personnes morales, les entités et les organismes visés par cet article sont listés à l’annexe IX de la décision Pesc. Initialement composée de six entités (Russia Today English, Russia Today UK, Russia Today Germany, Russia Today France, Russia Today Spanish et Sputnik), elle a été enrichie au fil de l’adoption des décisions de sanctions.

À cette décision s’ajoute le règlement (UE) 2022/350 du Conseil du 1er mars 2022, modifiant le règlement n° 833/2014 du 31 juillet 2014. Le règlement, pris sur le fondement de l’article 215 du TFUE, insère un nouvel article 2 septies au sein du règlement du 31 juillet 2014, qui prévoit l’interdiction de diffusion de contenus provenant des entités listées à l’annexe XV et la suspension de toute autorisation de diffusion de ces mêmes entités.

Ces interdictions n’empêchent pas les médias concernés de continuer à produire du contenu.

Russia Today France (ci-après « RT France ») a saisi le tribunal de l’Union européenne d’un recours en annulation de la décision et du règlement adoptés le 1er mars 2022. Dans son arrêt, rendu le 27 juillet 2022 ([75]), le tribunal a rejeté l’intégralité du recours formé par RT France.

Des contournements de ces interdictions de diffusion ont été observés au cours de l’année 2022. Il a été ainsi constaté que malgré les sanctions, la chaîne RT France restait accessible sur des plateformes domiciliées hors de l’Union européenne, notamment Odysee ([76]) et Rumble ([77]).

B. Les pouvoirs de l’ARCOM en matiÈre de sanctions

L’Arcom est issue de la fusion, au 1er janvier 2022, du Conseil supérieur de l’audiovisuel (CSA) et de la Haute autorité pour la diffusion des œuvres et la protection des droits sur l’internet (Hadopi). Outre la régulation de la communication audiovisuelle, l’Autorité est également chargée de la régulation des plateformes ayant une activité d’intermédiation en ligne (réseaux sociaux, moteurs de recherche, plateformes de partage de vidéos, etc.).

Les pouvoirs dont dispose l’Arcom pour assurer ses missions sont détaillés dans la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication.

L’article 42 de la loi précitée permet à l’Arcom de mettre en demeure les éditeurs ([78]) et distributeurs de services de communication audiovisuelle ([79]), ainsi que les opérateurs de réseaux satellitaires, de respecter les obligations imposées par les textes législatifs et réglementaires, ainsi que les principes définis aux articles 1er (liberté de communication) et 3 (consentement à la levée du secret du choix de service de communications électroniques) de la même loi.

En cas d’absence de mise en conformité avec la mise en demeure prononcée, l’article 42-1 de la même loi donne la possibilité à l’Arcom de prononcer plusieurs sanctions, qui vont de la suspension d’une catégorie de programmes au retrait de l’autorisation de diffusion.

L’article 42-7 de la même loi détaille les conditions dans lesquelles l’Arcom prononce des sanctions : un rapporteur, nommé par le vice-président du Conseil d’État parmi les membres des juridictions administratives, assure l’engagement des poursuites et l’instruction préalable au prononcé des sanctions. C’est à lui que revient la décision d’engager ou non une procédure de sanction. À l’issue de son instruction, le rapporteur communique son rapport à la personne mise en cause. Il expose ensuite son opinion sur les griefs notifiés devant l’Arcom, qui entend également la personne mise en cause. Au terme de cette procédure, l’Autorité prend une décision, motivée et notifiée à la personne mise en cause.

L’article 42-10 de la même loi prévoit une procédure de référé en matière de communication audiovisuelle (ci-après, « référé audiovisuel »).

Le président de l’Arcom peut, en cas de manquement aux obligations résultant de la loi de 1986 relative à la liberté de communication et dans le cadre des pouvoirs dévolus à l’Autorité, demander en justice à ce qu’il soit ordonné à la personne responsable du manquement soit de se conformer à ces dispositions, soit de mettre fin à l’irrégularité, ou encore de supprimer les effets de l’irrégularité. L’objet de la demande peut avoir pour objectif de faire cesser la diffusion d’un service de télévision dont les programmes portent atteinte à l’un au moins des principes mentionnés aux articles 1er, 3-1 ou 15 de la loi.

La demande du président de l’Autorité est portée devant le président de la section du contentieux du Conseil d’État, qui statue en référé.

Selon le rapport d’activité 2022 de l’Arcom, celle-ci a prononcé 19 mises en demeure et 9 sanctions en 2022.

II. Le dispositif proposÉ

Le présent article élargit les pouvoirs de l’Arcom pour lui permettre de faire retirer un contenu qui contreviendrait aux dispositions prises sur le fondement de l’article 215 du TFUE, quel que soit son canal de diffusion.

Le I modifie deux articles de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication.

Le 1° insère un nouvel alinéa à l’article 42 de la loi précitée : celui complète le champ des motifs sur le fondement desquels l’Arcom peut prononcer des mises en demeure. Celles-ci pourront désormais être également prononcées au titre du respect des obligations imposées par les dispositions prises sur le fondement de l’article 215 du TFUE qui portent sur l’interdiction de diffusion de contenus de services de communication audiovisuelle.

La liste des personnes concernées par cette procédure, outre les éditeurs et distributeurs de services de communication audiovisuelle et opérateurs de réseaux satellitaires, déjà concernés par le premier alinéa de l’article 42, comprend les prestataires techniques auxquels ces personnes recourent.

Le 2° complète l’article 42-10 de la même loi pour ajouter les manquements à la réglementation européenne prise sur le fondement de l’article 215 du TFUE portant sur l’interdiction de diffusion de contenus de services de communication audiovisuelle à la liste des manquements pouvant justifier un référé en matière de communication audiovisuelle par le président de l’Arcom.

Le II du présent article réécrit l’article 11 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (ci-après, « LCEN ») pour prévoir une nouvelle procédure de mise en demeure et de sanctions vis-à-vis des fournisseurs d’accès, des hébergeurs et des éditeurs de contenus sur internet ([80]) . Ce nouvel article s’inspire des dispositions de l’article 6-1 de la LCEN, qui prévoit une procédure de blocage administratif unique des contenus faisant l’apologie ou appelant à commettre un acte terroriste, ainsi que des contenus à caractère pédopornographique ([81]).

La procédure prévue par le présent article comprend plusieurs étapes.

Le I du nouvel article 11 de la LCEN autorise l’Arcom à mettre en demeure les personnes mentionnées à l’article 1-1 de la LCEN de retirer des contenus ou de faire cesser la diffusion des contenus qui contreviennent aux dispositions prises sur le fondement de l’article 215 du TFUE portant sur l’interdiction de diffusion de contenus. Les personnes visées au I de l’article 1-1, créé par l’article 22 du présent projet de loi, sont celles dont l’activité est d’éditer un service de communication au public en ligne. La personne mise en demeure peut présenter des observations dans un délai de 72 heures.

Le II prévoit qu’une fois le délai expiré, si les contenus sont toujours diffusés, l’Arcom a la possibilité de notifier aux fournisseurs de services d’accès à internet une liste des adresses électroniques des services diffusant ou hébergeant des contenus provenant des personnes ayant fait l’objet de la mise en demeure. Ces fournisseurs doivent alors, sans délai, empêcher l’accès à ces adresses.

La deuxième phrase du II prévoit le cas où l’identification des personnes visées au I de l’article 1-1 de la LCEN n’est pas possible : dans ce cas, l’Arcom peut procéder à la notification aux fournisseurs d’accès sans mise en demeure préalable.

Elle peut également notifier ces mêmes adresses électroniques aux moteurs de recherche et aux annuaires afin que ceux-ci procèdent à leur déréférencement.

Le III de l’article 4 prévoit que l’Arcom peut agir d’office, mais aussi sur saisine du ministère public ou de toute personne physique ou morale.

Enfin, le IV établit le montant des sanctions encourues en cas de manquement aux obligations prévues au I et au II, sanctions qui sont prononcées par l’Arcom dans les conditions prévues à l’article 42-7 de la loi de 1986 relative à la liberté de communication.

En cas de méconnaissance par une personne de l’obligation prévue au I de retirer les contenus ou de faire cesser la diffusion des contenus qui contreviennent aux dispositions prises sur le fondement de l’article 215 du TFUE, l’Arcom peut prononcer à son égard une sanction pécuniaire dont le montant est plafonné à 4 % du chiffre d’affaires hors taxes réalisé au cours du dernier exercice clos calculé sur une période de douze mois. En l’absence de chiffre d’affaires, le plafond est fixé à 250 000 euros. Le montant de la sanction pécuniaire est fixé en fonction de la gravité du manquement.

En cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive, le plafond est porté à 6 % du chiffre d’affaires ou, en l’absence du chiffre d’affaires, à 500 000 euros.

En cas de méconnaissance par une personne de l’obligation prévue au II d’empêcher l’accès aux adresses notifiées ou de faire cesser le référencement de ces mêmes adresses, l’Arcom peut prononcer à son égard une sanction pécuniaire qui ne peut excéder 1 % du chiffre d’affaires hors taxes réalisé au cours du dernier exercice clos calculé sur une période de douze mois. En l’absence de chiffre d’affaires, ce plafond est fixé à 75 000 euros. En cas de réitération du manquement, le plafond est fixé à 2 % du chiffre d’affaires ou, en l’absence de chiffre d’affaires, à 150 000 euros.

sanctions prévues en cas de manquement aux obligations prÉvues aux I et II de l’article 11 de la LCEN dans sa rédaction proposée par le projet de loi

Source : commission spéciale

Le deuxième alinéa du IV prévoit que, lorsqu’une même personne cumule, pour les mêmes faits, une sanction prononcée par l’Arcom pour ne pas avoir retiré ou fait cesser la diffusion de contenus mentionnés au I, et une amende pénale prononcée en application de l’article 459 du code des douanes ([82]), le montant global des amendes prononcées ne peut pas dépasser le maximum légal le plus élevé des sanctions encourues. Cette précision permet de garantir le principe de nécessité et de proportionnalité des délits et des peines : le Conseil constitutionnel a ainsi considéré, dans une décision du 3 septembre 2021, que « si l’éventualité que deux procédures soient engagées peut conduire à un cumul de sanctions, le principe de proportionnalité implique qu’en tout état de cause le montant global des sanctions éventuellement prononcées ne dépasse pas le montant le plus élevé de l’une des sanctions encourues » ([83]).

À la différence du dispositif prévu par la loi n° 2020-766 du 24 juin 2020 visant à lutter contre les contenus haineux sur internet et partiellement censuré par le Conseil constitutionnel ([84]), le dispositif prévu par le présent article ne fait pas reposer sur l’autorité administrative la détermination du caractère illicite des contenus en cause. Le Conseil constitutionnel avait en effet censuré le dispositif de retrait de contenus illicites prévu au paragraphe I de l’article 1er de la loi précitée, considérant que la détermination du caractère illicite des contenus ne reposait pas sur leur caractère manifeste mais sur la seule appréciation de l’administration.

III. Les modifications apportÉes par le SÉnat

Le Sénat a apporté plusieurs modifications à cet article.

En commission, trois amendements du rapporteur M. Loïc Hervé ont été adoptés.

● L’amendement COM-95 rect. modifie plusieurs articles de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication pour inclure les services de télévision et les services de médias audiovisuels à la demande (Smad) extra-communautaires diffusés en France.

Il en modifie l’article 43-2, qui prévoit l’application de ladite loi aux services de télévision et aux Smad ([85]) dont l’éditeur est établi en France ou qui relève de la compétence de la France. L’amendement COM-95 rect. insère ainsi un nouvel alinéa au sein de l’article 4 du présent texte pour compléter l’article 43-2 de la loi de 1986 relative à la liberté de communication.

Ce nouvel alinéa prévoit que les articles 1er, 15, 42, 42-1, 42-7 et 42-10 de la même loi sont applicables aux Smad diffusés en France ne relevant pas de la compétence d’un autre État membre de l’Union européenne, d’un autre État partie à l’accord sur l’Espace économique européen ou d’un autre État partie à la convention européenne. Le tableau ci-dessous récapitule les articles applicables à ces Smad, ainsi que leur objet.

articles de la loi n° 86-1067 applicables à certains SMAD extra-communautaires diffusés en france

Source : commission spéciale.

L’amendement modifie également les articles 33-1 ([86]) et 33-3 ([87]) de la loi n° 86-0167 du 30 septembre 1986 pour exclure les services de télévision et les Smad extra-communautaires des obligations de conventionnement et de déclaration des services (inclus automatiquement suite à la modification décrite supra de l’article 43-2 de la même loi).

L’amendement complète également deux articles de la loi du 30 septembre 1986 relative à la liberté de communication pour permettre à l’Arcom de saisir les fournisseurs d’accès à internet, afin que ceux-ci fassent cesser la diffusion d’une chaîne diffusée sans l’intermédiation d’un distributeur de services (diffusion dite over-the-top, ou OTT ([88])).

Il ajoute ainsi les fournisseurs d’accès à internet dans la liste des personnes pouvant être mises en demeure par l’Arcom de respecter les obligations prévues par les dispositions législatives et réglementaires, prévue au premier alinéa de l’article 42 de la loi n° 86-1067.

Il ajoute également les fournisseurs d’accès à internet dans la liste des personnes pouvant faire l’objet du « référé-audiovisuel » prévu à l’article 42-10 de la même loi. Il ajoute enfin les Smad à la liste des services pouvant être visés par une demande de cessation de diffusion.

● L’amendement COM-96 modifie l’obligation faite aux fournisseurs d’accès à internet d’empêcher sans délai l’accès aux adresses notifiées. Il prévoit ainsi que le délai dans lequel les fournisseurs devront y procéder sera fixé par l’Arcom, considérant qu’il est difficilement envisageable qu’un tel blocage puisse être opéré immédiatement.

● L’amendement COM-97 insère un nouvel alinéa à la fin de l’article 11 de la LCEN dans sa rédaction issue du présent article pour prévoir que les modalités d’application seront précisées par décret en Conseil d’État.

Le Sénat a adopté en séance un seul amendement.

● L’amendement n° 48 rect. quater, déposé par Mme Noël (Les Républicains), et adopté avec des avis favorables du Gouvernement et du rapporteur, a ajouté les fournisseurs de systèmes de résolution de nom de domaine définis au II de l’article 12 du présent projet de loi à la liste des personnes pouvant être saisies par l’Arcom en vue d’empêcher l’accès à une adresse. Cet amendement permet ainsi d’inclure notamment les navigateurs et les systèmes d’exploitation.

IV. La position de la commission

La commission a adopté l’article 4 avec plusieurs modifications.

Les compétences de l’Arcom ont été élargies aux services de télévision linéaires diffusés en France qui ne relèvent pas de la compétence d’un autre État membre de l’Union européenne, de l’Espace économique européen ou de la Convention européenne sur la télévision transfrontière par l’amendement CS713 de M. Quentin Bataillon (RE), adopté avec un avis favorable de la rapporteure et du Gouvernement.

Sur proposition de la rapporteure et de M. Quentin Bataillon (RE) ([89]) et avec un avis favorable du Gouvernement, la commission a donné la possibilité à l’Arcom de mettre en demeure non seulement les éditeurs de contenu mais également les hébergeurs, pour que ceux-ci retirent les contenus contraires aux dispositions prises sur le fondement de l’article 215 du traité sur le fonctionnement de l’Union européenne.

La commission a également adopté l’amendement CS779 de la rapporteure pour préciser que seules les adresses électroniques des personnes ayant fait l’objet d’une mise en demeure de retirer ou de faire cesser la diffusion de contenus contraires aux dispositions prises sur le fondement de l’article 215 du TFUE seront notifiées aux fournisseurs de services d’accès à internet.

Trois amendements rédactionnels de la rapporteure (CS778, CS880 et CS777) ont également été adoptés avec des avis favorables du Gouvernement.

Article 4 bis

Pénalisation de l’hypertrucage publié sans consentement

Le présent article, introduit par le Sénat en séance, élargit le périmètre de l’article 226-8 du code pénal relatif à la publication de montage d’une personne sans son consentement, en ajoutant la publication de contenus générés par une intelligence artificielle et reproduisant l’image ou les paroles d’une personne sans son consentement. La publication d’un hypertrucage sans consentement serait passible d’un an d’emprisonnement et de 45 000 euros d’amende.

I. Le droit en vigueur

L’hypertrucage (deepfake) est une technique de synthèse multimédia reposant sur l’intelligence artificielle, pouvant servir à superposer ou fusionner des images, des fichiers audio ou vidéo existants sur d’autres fichiers vidéo (changement de visage d’une personne sur une vidéo) ou audio (substitution de propos en reproduisant la voix de la personne), à créer un contenu artificiel sur une personne cible à partir du comportement d’une personne source, ou même à créer artificiellement des contenus ressemblants à partir de commandes textuelles ([90]).

La multiplication des solutions permettant de générer des contenus grâce à l’intelligence artificielle a facilité l’expansion de ce phénomène. Or le droit actuel ne permettrait pas de lutter contre les vidéos hypertruquées et diffusées sans le consentement de la personne représentée ([91]).

Ainsi, l’article 226-8 du code pénal prévoit que le fait de publier un montage réalisé avec les paroles ou l’image d’une personne sans son consentement, par quelque moyen que ce soit, est puni d’un an d’emprisonnement et de 15 000 euros d’amende, sauf s’il apparaît évident qu’il s’agit d’un montage ou qu’il en est fait expressément mention.

Néanmoins, la notion de montage paraît trop imprécise pour recouvrir les contenus générés par une intelligence artificielle.

II. Le dispositif adopté par le Sénat

Le présent article 4 bis est issu de l’adoption, en séance publique, de l’amendement n° 127 du Gouvernement, qui a reçu un avis favorable de la commission.

Le nouvel article 4 bis crée un cadre spécifique en ajoutant un nouveau délit, celui de publication d’un hypertrucage représentant l’image ou les paroles d’une personne sans son consentement.

Le fait de publier, par quelque voie que ce soit, « un contenu visuel ou sonore généré par un traitement algorithmique et reproduisant l’image ou les paroles d’une personne, sans son consentement », sera punie des mêmes peines que celle de publication d’un montage sans consentement, soit un an d’emprisonnement et 15 000 euros d’amende, sauf s’il est évident qu’il s’agit d’un contenu généré algorithmiquement ou s’il en est fait expressément mention.

Le deuxième alinéa du nouvel article crée une circonstance aggravante : lorsque l’infraction a été réalisée en utilisant un service de communication au public en ligne, la peine est alors portée à deux ans d’emprisonnement et 45 000 euros d’amende.

Ce nouvel article s’articule avec l’article 5 ter, également adopté par le Sénat, qui crée un délit de publication d’hypertrucage à caractère sexuel.

III. Les travaux de la commission

La commission spéciale a adopté le présent article sans y apporter de modifications.

Article 5

Peine complémentaire de suspension de l’accès à un service de plateforme en ligne

Le présent article crée une nouvelle peine complémentaire de suspension de l’accès à un service de plateforme en ligne lorsqu’une infraction a été commise en utilisant ledit service. L’article dresse la liste des infractions pour lesquelles cette peine complémentaire peut être décidée par le juge. Les plateformes se voient notifier la condamnation à la peine complémentaire et doivent suspendre l’accès de l’utilisateur à son compte.

Le Sénat a significativement élargi la liste des infractions pour lesquelles pouvait être prononcée cette peine complémentaire. Il a également complété la liste des fournisseurs concernés par la suspension des comptes, en ajoutant les services de réseaux sociaux en ligne et les services de plateformes de partage de vidéos. Enfin, le Sénat a ouvert la possibilité que la suspension d’accès à un compte soit proposée dans le cadre d’une composition pénale, d’une alternative à la peine ou comme une obligation dans le cadre de l’application des peines.

La commission a modifié la liste des délits passibles d’une peine complémentaire. Elle a également supprimé la possibilité pour le juge de prononcer une interdiction d’accès à des comptes dans le cas d’un sursis probatoire. Elle a également encadré la possibilité du juge de prononcer une interdiction d’utilisation des comptes d’accès à des plateformes dans le cadre d’une composition pénale ou d’une alternative à l’emprisonnement.

LE DROIT EN VIGUEUR

● Le contrôle interne opéré par les plateformes

Les fournisseurs de services de plateformes en ligne ont la faculté de suspendre l’accès de certains utilisateurs à leur compte lorsqu’ils constatent des infractions à leurs conditions générales d’utilisation ou à la loi.

Le réseau social X (anciennement Twitter) fait ainsi état de 72 139 comptes suspendus au niveau européen pour avoir enfreint les règles de la plateforme relatives au cyber harcèlement, et 127 954 comptes suspendus pour avoir enfreint celles relatives à la haine en ligne ([92]).

Dans sa contribution écrite aux travaux de la rapporteure, l’entreprise Meta (qui comprend notamment le réseau Instagram) a indiqué qu’au premier trimestre de l’année 2023, plus de 6,6 millions de contenus avaient été supprimés par l’entreprise sur Instagram car ils allaient à l’encontre des règles en matière de harcèlement. 90 % de ces contenus avaient été identifiés de manière proactive par la plateforme.

L’article 23 du règlement (UE) 2022/2065 sur les services numériques (RSN) prévoit la mise en place par les plateformes en ligne de mesures de lutte et de protection contre les utilisations abusives.

● Les peines complémentaires

Les peines complémentaires s’ajoutent à une peine principale d’amende ou d’emprisonnement.

Il existe des peines complémentaires obligatoires : le juge n’a alors pas d’autre choix que de les prononcer. À titre d’exemple, l’article 131-26-2 du code pénal prévoit ainsi une peine complémentaire d’inéligibilité obligatoire pour toute personne coupable d’un délit mentionné au II du même article ou d’un crime. Le III de l’article prévoit néanmoins la possibilité pour la juridiction de ne pas prononcer la peine prévue, en considération des circonstances de l’infraction et de la personnalité de son auteur.

À l’inverse, certaines peines complémentaires sont facultatives : le juge doit les prononcer expressément pour qu’elles soient retenues. C’est le cas par exemple des peines complémentaires prévues à l’article 222-44 du code pénal, parmi lesquelles l’interdiction de porter une arme et l’annulation du permis de conduire.

II. lE DISPOSITIF PROPOSÉ

L’article 5 crée une peine complémentaire de « bannissement » des réseaux sociaux en rétablissant l’article 131-35-1 du code pénal.

Dans sa nouvelle rédaction issue du présent article, l’article 131-35-1 du code pénal prévoit que pour les délits mentionnés au II de l’article, une peine complémentaire de suspension du compte d’accès au service de plateforme en ligne ([93]) ayant été utilisé pour commettre l’infraction peut être prononcée par le tribunal. Cette peine peut être prononcée pour une durée qui ne peut excéder six mois. Cette durée peut être portée à un an si la personne mise en cause est en état de récidive légale.

Le deuxième alinéa de l’article 131-35-1 du code pénal organise la notification de la condamnation aux plateformes. La décision de condamnation est signifiée au fournisseur de service de plateforme en ligne concerné. Ledit fournisseur doit ensuite, pendant la durée d’exécution de la peine :

– procéder au blocage du compte ayant fait l’objet d’une suspension ;

– mettre en œuvre des mesures pour bloquer les autres comptes d’accès à sa plateforme de la personne concernée par la condamnation, ainsi que l’empêcher de créer de nouveaux comptes.

Le fournisseur qui ne procède pas au blocage du compte ayant fait l’objet d’une suspension est passible de 75 000 euros d’amende.

La personne condamnée à cette peine complémentaire peut en solliciter le relèvement devant la juridiction compétente à l’issue d’un délai de trois mois après la décision initiale de condamnation (troisième alinéa de l’article 131-35-1 précité). Ce délai constitue une dérogation au troisième alinéa de l’article 702-1 du code de procédure pénale, qui prévoit qu’une telle demande ne peut être portée devant la juridiction compétente qu’à l’issue d’un délai de six mois après la décision initiale de condamnation. Elle doit dans ce cas spécialement motiver sa décision.

Le II de l’article 131-35-1 précité dresse la liste des délits pour lesquels cette peine complémentaire est encourue. Elle reprend la liste des infractions visées au 7 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN).

La liste complète des délits est retracée dans le tableau ci-dessus, qui rappelle également les peines encourues pour chacun des délits.

Infractions concernées par la peine complémentaire de suspension de compte d’accès à un service en ligne

Source : commission spéciale

III. Les modifications apportÉes par le SÉnat

Le Sénat a apporté plusieurs modifications d’ampleur au présent article.

A. L’élargissement de la portée de la peine complémentaire

● L’amendement COM-98 du rapporteur M. Loïc Hervé, adopté en commission procède à une nouvelle rédaction des deux premiers alinéas de l’article 131-35-1 du code pénal :

– il donne la possibilité au juge de réclamer la suspension de plusieurs comptes d’accès à des services en ligne utilisés pour commettre l’infraction, en précisant que cela est possible même lorsque ces services n’ont pas constitué le moyen principal ou unique de la commission de celle-ci ;

– il ajoute aux plateformes en ligne les services de réseaux sociaux en ligne et les services de plateformes de partage de vidéos, qui devront également procéder à la suspension des comptes d’accès ;

– il complète la procédure de notification aux plateformes en prévoyant que le prononcé de la peine complémentaire de suspension d’un compte d’accès est également signifié aux fournisseurs de services concernés, en plus de la dénomination du compte d’accès ;

– enfin, il encadre la mise en œuvre par les fournisseurs concernés de mesures visant à bloquer les autres comptes d’accès et interdire la création de nouveaux comptes, en prévoyant que ces mesures doivent respecter les limites prévues à l’article 46 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui précise le cadre des traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions et aux mesures de sûreté.

● L’amendement n° 133, déposé en séance par le rapporteur M. Loïc Hervé au nom de la commission spéciale, apporte plusieurs clarifications rédactionnelles. Il a été adopté avec un avis favorable du Gouvernement.

B. L’élargissement de la liste des délits pour lesquels la peine complémentaire peut être prononcée

● L’amendement COM-99 rect. du rapporteur M. Loïc Hervé, adopté au stade de l’examen du texte en commission, élargit significativement la liste des délits pour lesquels une peine complémentaire de suspension à un compte d’accès à une plateforme en ligne peut être prononcée.

Considérant que le champ matériel de la nouvelle peine complémentaire ne couvrait pas l’ensemble des infractions pouvant être commises en utilisant un service en ligne, la commission a ainsi élargi l’application de la peine complémentaire, entre autres, aux faits analogues au harcèlement, mais également à divers délits de provocation et à l’entrave, par voie de menaces, à l’exercice des libertés publiques et aux débats des assemblées parlementaires ou organes délibérants des collectivités territoriales.

● L’amendement n° 134 déposé par M. Haye (groupe Rassemblement des démocrates, progressistes et indépendants), a été adopté en séance avec un avis favorable de la commission et un avis défavorable du Gouvernement. Il a retiré certains délits de la liste des infractions qui peuvent faire l’objet d’une peine complémentaire de suspension d’accès à un compte.

Le tableau ci-dessous retrace les ajouts et les retraits réalisés au Sénat. La liste complète des délits ajoutés par la commission du Sénat est retracée en gras. Les délits ajoutés en commission puis retirés en séance sont indiqués en gras et italique. Le délit ajouté en séance par le Sénat est souligné.

évolution, au cours des débats au sénat, de la liste des Infractions susceptibles de faire l’objet d’une peine complémentaire de suspension d’accès à un compte

Source : commission spéciale.

C. Laisser la possibilité au juge de prononcer une suspension d’accès dans d’autres cas

● L’amendement COM-100 du rapporteur M. Loïc Hervé, adopté en commission, complète l’article pour étendre la peine de suspension d’accès à un compte d’une plateforme en ligne aux peines alternatives à l’emprisonnement, à l’application des peines et à la composition pénale.

Il modifie l’article 131-6 du code pénal qui concerne les peines privatives ou restrictives de liberté qui peuvent être prononcées comme alternative à une peine d’emprisonnement. Ce nouvel alinéa ajoute une peine alternative d’interdiction, pendant une période de trois ans au plus, d’accès à un ou plusieurs services de plateformes, de réseaux sociaux en ligne et de services de plateformes de partage de vidéos. Il est précisé que cette peine peut être proposée lorsque l’infraction a été commise en recourant à un service en ligne, y compris si celui-ci n’a pas été le moyen unique ou principal de l’infraction.

L’amendement n° 135, déposé par M. Haye (groupe Rassemblement des démocrates, progressistes et indépendants) a été adopté au stade de l’examen du texte en séance publique avec un avis de sagesse de la commission et un avis favorable du Gouvernement. Il raccourcit la durée de la peine de bannissement des plateformes et des réseaux à six mois, pour l’aligner sur la durée prévue pour la peine complémentaire et garantir la proportionnalité des peines.

L’amendement COM-100 insère également un nouvel alinéa au sein de l’article 132-45 du code pénal, qui liste les obligations qu’une juridiction de condamnation ou qu’un juge d’application des peines peut imposer à un condamné placé sous le régime de la probation.

Ce nouvel alinéa ouvre la possibilité pour le juge d’obliger le condamné à s’abstenir d’utiliser un compte d’accès à certains services en ligne, désignés par le juge, au risque sinon de voir révoquer son sursis probatoire. Cette possibilité est limitée aux cas où l’infraction a été commise en recourant à un service en ligne, y compris si celui-ci n’a pas été le moyen unique ou principal de commettre cette infraction.

Enfin, l’amendement COM-100 insère un nouvel alinéa au sein de l’article 41-2 du code de procédure pénale, qui prévoit les conditions dans lesquelles le procureur de la République peut proposer à une personne qui reconnaît avoir commis un délit, une composition pénale, c’est-à-dire l’application d’une sanction qui évite la tenue d’un procès. La peine encourue pour les délits commis doit être d’une durée inférieure ou égale à cinq ans.

Le nouvel alinéa ouvre la possibilité au procureur de la République de proposer une nouvelle mesure dans le cadre d’une composition pénale, soit le fait pour la personne ayant commis un délit de ne pas utiliser un compte d’accès à un ou des services de plateformes en ligne, services de réseaux sociaux et services de plateformes en ligne de partage de vidéos. Cette mesure ne peut pas excéder six mois. Contrairement aux deux précédents ajouts, la mention de l’utilisation d’un ou plusieurs comptes pour commettre l’infraction n’est pas mentionnée ici.

IV. La position de la commission

A. La modification de la liste des dÉlits pour lesquels la peine complÉmentaire peut Ȇtre prononcÉe

La commission spéciale a apporté plusieurs modifications à la liste des délits pour lesquels une peine complémentaire peut être prononcée par le juge.

La rapporteure, attentive à l’équilibre du dispositif, s’est attachée à restreindre la liste des délits pour lesquels une peine complémentaire peut être proposée. Elle a notamment écarté les délits dont le lien avec les réseaux sociaux était plus ténu, comme la gestion d’un établissement de prostitution prévu à l’article 225-10 du code pénal.

À l’inverse, plusieurs députés ont souhaité élargir la liste des délits : le délit d’entrave à l’avortement, prévu à l’article L. 2223-2 du code de la santé publique, a ainsi été ajouté après l’adoption de quatre amendements identiques déposés par plusieurs groupes.

Le tableau ci-dessous récapitule les délits ajoutés et les délits retirés par la commission spéciale.

Évolution, au cours des débats en commission spéciale, des INFRACTIONS pour lesquelles une peine complémentaire de bannissement peut être prononcée

Source : commission spéciale.

B. Recentrer le recours À l’interdiction d’utiliser un compte d’accÈs

Sur proposition de la rapporteure et avec des avis favorables du Gouvernement, l’interdiction d’utiliser un compte d’accès à une plateforme en ligne dans le cadre d’une alternative à l’emprisonnement a été recentrée :

– l’amendement CS796 a restreint le champ des infractions aux délits pour lesquels peut être prononcée une peine complémentaire ;

– l’amendement CS799 a restreint l’interdiction aux comptes ayant été utilisés pour commettre l’infraction.

Sur proposition de la rapporteure, de Mme Sophia Chikirou (LFI-NUPES) et de M. Aurélien Taché (Écolo-NUPES), et avec un avis favorable du Gouvernement, la possibilité pour le juge de prononcer une interdiction d’utiliser des comptes d’accès dans le cadre d’un sursis probatoire a été supprimée (CS794, CS439 et CS851). Le sursis probatoire pouvant être prononcé pour une période allant jusqu’à cinq ans, il est apparu trop restrictif pour la liberté d’expression des personnes condamnées d’y associer une interdiction d’utilisation des comptes d’accès.

Sur proposition de la rapporteure et avec des avis favorables du Gouvernement, l’interdiction d’utiliser un compte d’accès à une plateforme en ligne dans le cadre d’une composition pénale a été recentrée :

– l’amendement CS797 a restreint le champ des infractions aux délits pour lesquels peut être prononcée une peine complémentaire ;

– l’amendement CS798 a restreint l’interdiction aux comptes ayant été utilisés pour commettre l’infraction.

La rapporteure a également simplifié les éléments qui sont notifiés aux plateformes en faisant adopter l’amendement CS795 avec un avis favorable du Gouvernement.

Sur proposition de la rapporteure, la commission spéciale a adopté quatre amendements apportant des modifications rédactionnelles (CS783, CS784, CS785, CS782).

Article 5 bis Création d’un délit général d’outrage en ligne pouvant faire l’objet d’une amende forfaitaire délictuelle

Le présent article, introduit par le Sénat en séance, crée un délit d’outrage en ligne.

Ce délit est puni d’une amende de 3 750 euros et d’un an d’emprisonnement. En présence d’une circonstance aggravante, la peine d’amende encourue est portée à 7 500 euros. Il peut également faire l’objet des peines complémentaires telles que certaines peines de stage ainsi que l’interdiction d’utiliser un compte d’accès à un service en ligne.

Le présent article prévoit la possibilité que l’action publique sur ce délit puisse être éteinte par le versement d’une amende forfaitaire délictuelle (AFD) d’un montant de 300 euros. Ce montant est porté à 600 euros en présence d’une circonstance aggravante.

Le présent article a été adopté par la commission modifié par deux amendements identiques de rédaction globale, ayant fait l’objet d’un sous-amendement. Ce faisant, la commission a conservé le principe d’une amende forfaitaire délictuelle mais uniquement pour les faits commis en ligne qui constituent manifestement :

– des injures et diffamations publiques racistes c’est-à-dire à raison de l’origine ou de l’appartenance ou de la non-appartenance à une ethnie, une nation, une race ou une religion déterminée,

– ou des injures et diffamations publiques sexistes, homophobes, handiphobes, transphobes c'est-à-dire à raison du sexe, de l’orientation sexuelle, de l’identité de genre ou du handicap.

I. le droit en vigueur

A. L’appréhension de l’outrage en ligne par le droit pénal

1. Une appréhension générale par le biais du droit de la presse ou du harcèlement moral

L’outrage – défini au sens commun comme une expression quelconque (parole ou écrit, dessin ou geste, etc.) qui porte atteinte à l’honneur ou la dignité d’une personne – est appréhendé par le droit pénal par le biais du droit de la presse ou de l’infraction de harcèlement moral.

Dans les deux cas, le fait qu’il soit commis en ligne n’a pas d’incidence sur la caractérisation de l’infraction mais il peut en avoir une sur la peine encourue lorsque ce fait constitue une circonstance aggravante.

a. L’injure et la diffamation en droit de la presse

● L’article 29 de la loi du 29 juillet 1881 définit l’injure et la diffamation de la façon suivante :

– « toute expression outrageante, termes de mépris ou invective qui ne renferme l’imputation d’aucun fait est une injure » ;

– « toute allégation ou imputation d’un fait qui porte atteinte à l’honneur ou à la considération de la personne ou du corps auquel le fait est imputé est une diffamation ».

L’injure et la diffamation sont des délits lorsque la condition de publicité, posée à l’article 23 de la même loi, est caractérisée.

L’injure publique – non précédée d’une provocation – et la diffamation publique envers un particulier sont punissables d’une amende de 12 000 euros (articles 32 et 33 de la loi précitée).

Ces peines sont aggravées dans certaines circonstances et peuvent aller jusqu’à trois ans d’emprisonnement et 75 000 euros d’amende pour une injure publique à caractère raciste ou discriminatoire commise par une personne dépositaire de l’autorité publique ou chargée d’une mission de service public.

● Ces délits peuvent être constitués pour des faits commis en ligne.

Toutefois, la condition de publicité n’est pas toujours acquise même lorsque l’auteur des faits a agi sur internet. La Cour de cassation a par exemple estimé que des injures diffusées sur un compte de réseau social accessible aux seules personnes agréées, en nombre très restreint, par l’auteur des propos injurieux, et qui forment entre elles une communauté d’intérêts, ne constituent pas des injures publiques (Cour de cassation, 1ère chambre civile, 10 avril 2013, pourvoi n° 11-19530).

● Le code pénal réprime par des contraventions la diffamation et l’injure non publiques. Ces contraventions peuvent dès lors s’appliquer à des faits commis en ligne ne répondant pas à la condition de publicité prévue pour les délits d’injure et de diffamation.

b. Le harcèlement moral

Les outrages en ligne peuvent faire l’objet d’une qualification pénale s’ils constituent un harcèlement moral au sens des articles 222-33-2 et suivants du code pénal. Cela implique des « propos ou comportements répétés » si bien qu’un outrage en ligne isolé ne peut pas être appréhendé par cette qualification pénale.

Le harcèlement moral simple – ayant pour objet ou pour effet une dégradation des conditions de vie se traduisant par une altération de la santé physique ou mentale de la victime – est puni d’un an d’emprisonnement et de 15 000 euros d’amende (article 222-33-2-2 du code pénal).

L’utilisation d’un service de communication au public en ligne, d’un support numérique ou d’un support électronique constitue l’une des circonstances aggravantes du harcèlement moral simple. Les peines encourues sont alors portées à deux ans d’emprisonnement et à 30 000 euros d’amende. Lorsqu’une seconde circonstance aggravante est caractérisée, les peines encourues sont portées à trois ans d’emprisonnement et 45 000 euros d’amende.

Les peines encourues sont également plus importantes pour le harcèlement moral sur conjoint, en milieu professionnel et en milieu scolaire. Elles sont de trois ans d’emprisonnement et de 45 000 euros d’amende pour le harcèlement moral en milieu scolaire ainsi que pour le harcèlement moral sur conjoint, partenaire de PACS ou concubin. Elles sont de deux ans d’emprisonnement et de 30 000 euros d’amende pour le harcèlement moral en milieu professionnel.

Pour ces derniers types de harcèlement moral, il n’est pas prévu de circonstance aggravante lorsque les faits ont été commis en ligne. D’autres circonstances aggravantes existent et peuvent porter les sanctions encourues jusqu’à dix ans d’emprisonnement et 150 000 euros d’amende lorsque le harcèlement a conduit la victime à se suicider ou à tenter de se suicider.

En résumé, l’échelle des peines encourues pour la répression du harcèlement moral va d’un à dix ans d’emprisonnement et de 15 000 à 150 000 euros d’amende.

Répression du harcèlement moral par le code pénal

Source : commission spéciale.

2. Une appréhension spécifique pour certains outrages

Plusieurs délits sont prévus par le code pénal en matière d’outrage, lesquels peuvent s’appliquer pour des faits commis en ligne lorsque les éléments constitutifs de l’infraction sont réunis.

a. L’outrage à agent

● L’outrage à une personne chargée d’une mission de service public, dans l’exercice ou à l’occasion de l’exercice de sa mission, est puni de 7 500 euros d’amende (article 433-5 du code pénal).

Il est constitué par des paroles, gestes ou menaces, des écrits ou des images de toute nature non rendus publics ou par l’envoi d’objets quelconques adressés lorsque les faits sont de nature à porter atteinte à la dignité de l’agent ou au respect dû à la fonction dont il est investi.

Lorsqu’il est adressé à une personne dépositaire de l’autorité publique, à un sapeur-pompier ou à un marin-pompier dans l’exercice ou à l’occasion de l’exercice de ses missions, l’outrage est puni d’un an d’emprisonnement et de 15 000 euros d’amende.

Lorsqu’il est adressé à une personne chargée d’une mission de service public et que les faits ont été commis à l’intérieur d’un établissement scolaire ou éducatif, ou, à l’occasion des entrées ou sorties des élèves, aux abords d’un tel établissement, l’outrage est puni de six mois d’emprisonnement et de 7 500 euros d’amende.

Lorsqu’il est commis en réunion, les peines sont aggravées de la façon suivante :

– six mois d’emprisonnement et 7 500 euros d’amende pour l’outrage adressé à une personne chargée d’une mission de service public, dans l’exercice ou à l’occasion de l’exercice de sa mission ;

– deux ans d’emprisonnement et 30 000 euros d’amende pour l’outrage adressé à une personne dépositaire de l’autorité publique, à un sapeur-pompier ou à un marin-pompier dans l’exercice ou à l’occasion de l’exercice de ses missions.

● Sur le même principe, l’outrage à un membre d’une juridiction est réprimé par l’article 434-24 du code pénal.

Il est puni d’un an d’emprisonnement et de 15 000 euros d’amende. Les peines sont portées à deux ans d’emprisonnement et 30 000 euros d’amende lorsque l’outrage est commis à l’audience.

● Enfin, l’outrage à un agent d’un réseau de transport fait l’objet d’une incrimination spécifique prévue à l’article L. 2242-7 du code des transports. Il est puni de six mois d’emprisonnement et de 15 000 euros d’amende. Les peines sont portées à un an d’emprisonnement et 30 000 euros d’amende lorsqu’il est commis en réunion.

b. L’outrage sexiste ou sexuel

L’outrage sexiste ou sexuel est constitué par tout propos ou tout comportement à connotation sexuelle ou sexiste imposé à une personne, dans certaines circonstances ([94]), lorsqu’il porte atteinte à sa dignité en raison de son caractère dégradant ou humiliant, ou crée à son encontre une situation intimidante, hostile ou offensante (article 222-33-1-1 du code pénal).

Il est puni de 3 750 euros d’amende.

Il peut également, en contrepartie d’une extinction de l’action publique, faire l’objet d’une amende forfaitaire délictuelle (AFD) de 300 euros (voir B).

B. L’amende forfaitaire délictuelle (AFD)

1. Définition de l’AFD

La procédure de l’amende forfaitaire délictuelle (AFD) a été créée par l’article 36 de la loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice. Elle est codifiée aux articles 495-17 à 495-25 du code de procédure pénale.

Il s’agit d’une procédure de transaction – sur le modèle de l’amende forfaitaire contraventionnelle – qui permet d’apporter une réponse pénale simplifiée et rapide, sans jugement par un tribunal. Le recours à l’AFD est facultatif et dépend de la politique pénale locale mise en œuvre par le procureur de la République qui conserve toujours la possibilité d’engager des poursuites devant le tribunal. L’agent qui délivre une AFD agit, en vertu des articles 12 et 39-3 du code de procédure pénale, sous la direction du procureur de la République et conformément à ses instructions générales ou particulières.

2. Champ d’application de l’AFD

La procédure de l’AFD n’est pas généralisée à l’ensemble des délits. Il s’agit d’une procédure spéciale qui ne peut être appliquée que si la loi la prévoit expressément pour la répression du délit concerné.

Le champ d’application de l’AFD a fait l’objet de plusieurs extensions dont la dernière en date est celle prévue par l’article 25 de la loi n° 2023-22 du 24 janvier 2023 d’orientation et de programmation du ministère de l’intérieur (dite « Lopmi »). Actuellement, une cinquantaine de délits peuvent faire l’objet d’une AFD au titre de leur répression.

Une réserve du Conseil constitutionnel a prévu que cette procédure ne peut pas s’appliquer à des délits punis d’une peine d’emprisonnement supérieure à trois ans ([95]) Dans une autre décision, il a posé les principes selon lesquels l’AFD ne peut porter que sur des infractions dont les éléments constitutifs peuvent être « aisément constatés » et doit demeurer d’un « faible montant » ([96])

La procédure de l’AFD n’est pas applicable si le délit a été commis par un mineur ou si plusieurs infractions, dont l’une au moins ne peut donner lieu à une AFD, ont été constatées simultanément. Elle n’est pas non plus applicable en état de récidive légale, sauf lorsque la loi en dispose autrement.

3. Montant de l’AFD

Le montant de l’AFD est fixé pour chaque délit.

Il ne peut excéder 3 000 euros (contre 200 euros pour les amendes forfaitaires contraventionnelles).

Le montant de l’AFD est minoré si l’intéressé effectue le paiement directement entre les mains de l’agent verbalisateur au moment de la constatation de l’infraction ou s’il règle le montant dans un délai de quinze jours à compter de l’envoi de l’avis d’infraction. À l’inverse, le montant est majoré si l’AFD n’est pas payée dans un délai de 45 jours suivant la constatation de l’infraction ou l’envoi de l’avis d’infraction.

principaux Délits pouvant faire l’objet d’une AFD et montants associés

Source : commission spéciale.

4. Inscription au casier judiciaire et recours

En cas de paiement ou d’absence de contestation dans les délais autorisés, l’AFD est inscrite au casier judiciaire.

Si une contestation de l’AFD est introduite dans les formes et les délais prévus par le code de procédure pénale, le procureur de la République doit soit renoncer aux poursuites, soit envisager d’autres modalités pour exercer l’action publique (saisine du tribunal correctionnel, procédure simplifiée de l’ordonnance pénale, ou encore procédure comparution sur reconnaissance préalable de culpabilité). En revanche, le ministère public ne peut pas faire usage des mesures alternatives aux poursuites.

Il peut aussi prononcer l’irrecevabilité de la contestation de l’AFD si celle-ci n’est pas motivée ou n’a pas été adressée dans les formes prévues. La décision d’irrecevabilité peut être contestée devant le président du tribunal correctionnel ou un magistrat délégué.

En cas de condamnation à la suite de poursuites consécutives à une contestation de l’AFD, le tribunal correctionnel doit prononcer une peine d’amende qui ne peut pas être inférieure au montant de l’AFD ou de l’AFD majorée, augmentée d’un taux de 10 %. Toutefois, à titre exceptionnel, le tribunal peut, par décision spécialement motivée au regard des charges et des revenus de la personne, ne pas prononcer d’amende ou prononcer une amende d’un montant inférieur à celui de l’AFD ou de l’AFD majorée.

5. Application de l’AFD en matière d’outrage

En matière d’outrage, la procédure d’AFD est aujourd’hui applicable, y compris en cas de récidive, uniquement à l’outrage sexiste ou sexuel prévu et réprimé par l’article 222-33-1-1 du code pénal.

Le montant de l’AFD est de 300 euros (250 euros pour l’amende minorée et 600 euros pour l’amende majorée).

En théorie, des AFD peuvent donc être délivrées pour des outrages sexistes et sexuels commis en ligne.

II. le Dispositif introduit par le Sénat

Le présent article a été introduit en séance par un amendement présenté par M. Loïc Hervé, rapporteur, au nom de la commission spéciale (n° 134). Il a recueilli un avis défavorable du Gouvernement.

Il crée un délit général d’outrage en ligne.

Pour ce faire, il introduit une nouvelle section dans le code pénal – intitulée « De l’outrage en ligne » – et comprenant deux nouveaux articles. Cette nouvelle section est insérée après la section 4 du chapitre II du titre II du livre II du code pénal, c’est-à-dire après l’article 222-33-1-1 relatif au délit d’outrage sexiste et sexuel.

L’auteur de l’amendement a justifié, dans l’exposé sommaire, la création de ce nouveau délit par le fait que le harcèlement en ligne – le « cyberharcèlement » – serait aujourd’hui mal appréhendé par l’infraction générale de harcèlement moral.

Il serait également réprimé trop tardivement, la sanction pénale n’intervenant que « plusieurs mois, voire plusieurs années après la commission des faits ». L’objectif recherché par l’auteur de l’amendement est d’obtenir, sur le modèle du délit d’outrage sexiste et sexuel, une « sanction immédiate par le biais d’une amende forfaitaire délictuelle, outil qui a fait la preuve de son efficacité pour certains délits ».

A. Les éléments constitutifs du délit d’outrage en ligne

● L’article 222-33-1-2 (nouveau) du code pénal punit le fait de « diffuser en ligne tout contenu qui soit porte atteinte à la dignité d’une personne ou présente à son égard un caractère injurieux, dégradant ou humiliant, soit crée à son encontre une situation intimidante, hostile ou offensante ».

La diffusion en ligne est définie comme « tout contenu transmis au moyen d’un service de plateforme en ligne », « d’un service de réseaux sociaux en ligne ou d’un service de plateformes de partage de vidéo ».

Contrairement au harcèlement moral, l’infraction est caractérisée au premier acte. Il n’est pas nécessaire d’établir un comportement ou des propos répétés.

● L’article 222-33-1-3 (nouveau) du même code prévoit sept circonstances aggravantes constituées lorsque l’infraction est commise :

– par une personne qui abuse de l’autorité que lui confèrent ses fonctions ;

– sur un mineur ;

– sur une personne dont la particulière vulnérabilité due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse est apparente ou connue de son auteur ;

– sur une personne dont la particulière vulnérabilité ou dépendance résultant de la précarité de sa situation économique ou sociale est apparente ou connue de son auteur ;

– par plusieurs personnes agissant en qualité d’auteur ou de complice ;

– en raison de l’orientation sexuelle ou de l’identité de genre, vraie ou supposée, de la victime ;

– par une personne qui commet la même infraction en étant en état de récidive.

Il s’agit de sept des huit cas de figure dans lesquels trouve à s’appliquer, en l’état du droit, l’outrage sexiste et sexuel (seule la circonstance d’une commission des faits dans un véhicule de transport collectif ou public n’a pas été reprise dès lors que l’infraction créée vise exclusivement la commission des faits en ligne).

B. La pénalisation du délit d’outrage en ligne

1. Les peines principales

Le délit d’outrage en ligne institué par le présent article est puni d’une amende de 3 750 euros et d’un an d’emprisonnement.

En présence de l’une des sept circonstances aggravantes envisagées, la peine d’amende encourue est portée à 7 500 euros. La peine d’emprisonnement encourue demeure, quant à elle, d’une année.

2. Les peines complémentaires

Le délit d’outrage en ligne peut également faire l’objet de deux peines complémentaires.

En premier lieu, la juridiction peut prononcer une peine de stage parmi les quatre types de stage suivants :

– stage de citoyenneté, tendant à l’apprentissage des valeurs de la République et des devoirs du citoyen ;

– stage de responsabilisation pour la prévention et la lutte contre les violences au sein du couple et sexistes ;

– stage de sensibilisation à la lutte contre l’achat d’actes sexuels ;

– stage de lutte contre le sexisme et de sensibilisation à l’égalité entre les femmes et les hommes.

En second lieu, la juridiction peut prononcer l’interdiction d’utiliser un compte d’accès à un service en ligne pour une durée de six mois au plus.

3. L’amendement forfaitaire délictuelle (AFD)

Enfin, le présent article prévoit expressément que ce nouveau délit pourrait faire l’objet d’une AFD en vue de l’extinction de l’action publique.

Le montant de l’AFD est fixé à 300 euros (250 euros pour l’amende minorée et 600 euros pour l’amende majorée).

Il est porté à 600 euros en présence d’une circonstance aggravante (500 euros pour l’amende minorée et 1 200 euros pour l’amende majorée).

III. Les modifications apportÉes par la commission

● La commission a adopté deux amendements identiques de rédaction globale (CS817 et CS662), dont l’un présenté par les rapporteurs, ainsi qu’un sous-amendement (CS942) présenté par Mme Caroline Yadan (RE), ayant recueilli un avis favorable des rapporteurs.

Ce faisant, la commission a conservé le principe d’une AFD, mais uniquement pour les faits commis en ligne qui constituent manifestement :

– des injures et diffamations publiques racistes c’est-à-dire à raison de l’origine ou de l’appartenance ou de la non-appartenance à une ethnie, une nation, une race ou une religion déterminée,

– ou des injures et diffamations publiques sexistes, homophobes, handiphobes, transphobes c'est-à-dire à raison du sexe, de l’orientation sexuelle, de l’identité de genre ou du handicap.

Le sous-amendement adopté a eu pour objet de retirer du champ de l’AFD les propos négationnistes qui figuraient initialement dans la liste des faits prévus par les amendements de rédaction globale. En effet, il est apparu à la commission que ces propos méritaient toujours la mise en œuvre de modalités de poursuites plus lourdes.

● La nouvelle rédaction de l’article conduit à insérer, dans la loi du 29 juillet 1881 sur la liberté de la presse, un nouveau paragraphe intitulé « Amende forfaitaire pour certaines infractions commises dans l’espace numérique », et comprenant un seul article numéroté 65-5.

L’objectif de la commission est de punir des faits qui ne sont à l’heure actuelle pas ou peu poursuivis, en créant un outil supplémentaire pour permettre une réponse pénale plus rapide et plus efficace.

La rédaction retenue respecte les principes fixés par le Conseil constitutionnel. En effet, les délits mentionnés sont punis d’un an d’emprisonnement et de 45 000 euros d’amende. Ils sont donc éligibles à l’AFD.

Au surplus, la rédaction retenue ne vise que les faits qui constituent « manifestement » ces délits. Ils sont donc aisément constatables au sens de la jurisprudence constitutionnelle précitée.

Article 5 ter A (nouveau) Ajout dans le code pénal d’un stage de sensibilisation au respect des personnes dans l’espace numérique et à la prévention des infractions en ligne dont le cyber-harcèlement

Le présent article, introduit par la commission, crée un nouveau type de stage dans le code pénal, dédié à la sensibilisation au respect des personnes dans l’espace numérique.

I. Le droit en vigueur

La peine de stage est une peine correctionnelle prévue par l’article 131-5-1 du code pénal lorsqu'un délit est puni d'une peine d’emprisonnement. La juridiction peut la prononcer à la place ou en même temps que l’emprisonnement. La durée du stage ne peut excéder un mois.

La rédaction actuelle de l’article précité prévoit huit types de stage : stage de citoyenneté, stage de sensibilisation à la sécurité routière, stage de sensibilisation aux dangers de l’usage de produits stupéfiants, stage de responsabilisation pour la prévention et la lutte contre les violences au sein du couple et sexistes, stage de sensibilisation à la lutte contre l’achat d'actes sexuels, stage de responsabilité parentale, stage de lutte contre le sexisme, stage de sensibilisation à la prévention et à la lutte contre la maltraitance animale.

II. Le dispositif introduit par la commission

Le présent article a été introduit par la commission à la suite de l’adoption d’un amendement présenté par les rapporteurs (CS549), ayant fait l’objet d’un sous-amendement de portée rédactionnelle présenté par Mme Caroline Yadan (RE) (CS951).

Il ajoute un nouveau type de stage à l'article L. 131-5-1 du code pénal, dédié à la sensibilisation au respect des personnes dans l’espace numérique et à la prévention des infractions commises en ligne, dont le cyber-harcèlement.

Article 5 ter Création d’un délit de publication d’hypertrucage (deepfake) à caractère sexuel

Le présent article, introduit par le Sénat en séance, crée un délit de publication d’hypertrucage à caractère sexuel (deepfake érotique ou pornographique) représentant l’image ou les paroles d’une personne sans son consentement, puni de deux ans d’emprisonnement et de 60 000 euros d’amende.

Les peines encourues sont portées à trois ans d’emprisonnement et 75 000 euros d’amende lorsque la publication du montage ou du contenu généré par un traitement algorithmique a été réalisée en utilisant un service de communication au public en ligne.

Le présent article a été adopté par la commission modifié par des amendements rédactionnels et un amendement ayant permis d’élargir le champ de l’infraction, au-delà de la publication du deepfake, au fait de l’avoir porté à la connaissance du public ou d’un tiers.

I. le droit en vigueur

La technologie de l’« hypertrucage » ou « permutation intelligente de visages » (deepfake) est une technique reposant sur l'intelligence artificielle et visant à fabriquer des synthèses d’images ou de vidéos réalistes.

Il s’agit d’un phénomène en pleine expansion apparu il y a quelques années.

Ainsi que le rappelle une réponse ministérielle de 2019, ces hypertrucages « ont d’abord été popularisés sur internet, notamment via le site Reddit, où des internautes se sont servi de la technologie disponible afin de créer de fausses vidéos érotiques mettant en scène des célébrités » ([97]).

Dans un article publié en 2020, Mme Claire Langlais-Fontaine a mis en évidence l’insuffisance du cadre législatif français pour lutter contre les deepfakes érotiques ou pornographiques ([98]).

Les diverses infractions d’atteinte à la vie privée ou d’atteinte à la représentation de la personne ne permettent pas de pénaliser efficacement la publication d’images ou de vidéos hypertruquées à caractère sexuel.

Tel est le cas, en particulier, de l’article 226-2-1 du code pénal qui réprime la diffusion, sans le consentement de la personne représentée, d’images présentant un caractère sexuel même si ces images ont été réalisées avec le consentement de cette dernière (pratique dite du revenge porn). Ce texte ne traite pas, en effet, de la création d’images ou de paroles, ou de la transformation d’images ou de paroles. Les principes de légalité et d’interprétation stricte du droit pénal rendent dès lors difficiles son éventuelle application aux deepfakes à caractère sexuel.

Tel est le cas aussi de l’article 226-8 du même code qui punit « le fait de publier, par quelque voie que ce soit, le montage réalisé avec les paroles ou l’image d’une personne sans son consentement, s’il n'apparaît pas à l’évidence qu’il s’agit d’un montage ou s’il n’en est pas expressément fait mention ».

Ce texte n’est pas plus adapté à la répression du deepfake érotique ou pornographique.

En effet, la plupart du temps, le deepfake à caractère sexuel n’est pas présenté au spectateur comme une vidéo réelle. La personne représentée peut dès lors avoir des difficultés à établir que l’auteur ou le diffuseur de la vidéo n’auraient pas fait mention qu’il s’agissait d’un montage.

● Au final, en l’état du droit, seule une action civile, sur le fondement d’une atteinte au droit à l’image – découlant de l’article 9 du code civil qui protège la vie privée – permettrait de sanctionner efficacement la diffusion d’un deepfake à caractère sexuel.

II. le Dispositif introduit par le sénat

● Le présent article vise à permettre une répression pénale du deepfake à caractère sexuel.

Le Sénat l’a introduit par l’adoption d’un amendement du Gouvernement (n° 128), ayant recueilli un avis favorable de la commission, modifié par un sous-amendement (n° 129 rectifié bis) présenté par Mme Alexandra Borchio Fontimp (Les Républicains), ayant également recueilli un avis favorable de la commission ainsi qu’un avis favorable du Gouvernement.

Selon l’exposé sommaire de l’amendement adopté du Gouvernement, « 96 % des vidéos "deepfake" sont des vidéos pornographiques » et « en 2019, 8 des 10 sites pornographiques les plus consultés [en] hébergeaient ».

● Le présent article crée un nouveau délit de publication d’hypertrucage (deepfake) à caractère sexuel représentant l’image ou les paroles d’une personne sans son consentement.

Pour ce faire, il insère dans le code pénal un article 226-8-1 nouveau qui punit de deux ans d’emprisonnement et de 60 000 euros d’amende :

– « le fait de publier, sans son consentement, par quelque voie que ce soit, le montage réalisé avec les paroles ou l’image d’une personne, et présentant un caractère sexuel » ;

– ou encore « le fait de publier par quelque voie que ce soit, un contenu visuel ou sonore généré par un traitement algorithmique et reproduisant l’image ou les paroles d’une personne, sans son consentement, et présentant un caractère sexuel ».

Ce même article prévoit des circonstances aggravantes issues du sous-amendement de Mme Alexandra Borchio Fontimp.

Les peines encourues sont portées à trois ans d’emprisonnement et 75 000 euros d’amende « lorsque la publication du montage ou du contenu généré par un traitement algorithmique a été réalisée en utilisant un service de communication au public en ligne ».

Enfin, toujours à la suite de l’adoption du sous-amendement précité, il dispose que les dispositions particulières des lois qui régissent le droit de la presse sont applicables pour déterminer les personnes responsables lorsque le délit est commis par la voie de la presse écrite ou audiovisuelle.

Il s’ensuit que le directeur de publication concerné peut également être poursuivi.

● Le nouveau délit institué par le présent article doit permettre de sanctionner plus efficacement, sur le plan pénal, les auteurs et diffuseurs de deepfakes à caractère sexuel sans qu’il soit nécessaire d’établir, par exemple, leur intention de tromper le spectateur sur le caractère réel de la vidéo.

III. Les modifications apportÉes par la commission

Outre trois amendements rédactionnels présentés par les rapporteurs (CS527, CS528, CS529), la commission a adopté un amendement de Mme Virginie Duby-Muller (LR), ayant recueilli un avis favorable des rapporteurs, qui a élargi le champ de l’infraction, au-delà de la publication du deepfake, au fait de l’avoir porté à la connaissance du public ou d’un tiers (CS465). L’objectif recherché est de pénaliser le partage d’un deepfake présentant un caractère sexuel.

Article 5 quater (nouveau) Ajout d’une circonstance aggravante à l’outrage sexiste et sexuel lorsqu’il est commis en ligne

Le présent article, introduit par la commission, instaure une nouvelle circonstance aggravante à l’outrage sexiste et sexuel lorsqu’il est commis en ligne.

I. Le droit en vigueur

L’outrage sexiste et sexuel consiste à imposer à une personne un propos ou un comportement à connotation sexiste ou sexuelle, qui porte atteinte à sa dignité ou qui l’expose à une situation intimidante, hostile ou offensante (article R. 625-8-3 du code pénal).

Il s'agit d'une contravention punie d’une amende de 1 500 euros.

Dans huit circonstances listées par l’article 222-33-1-1 du code pénal, l’outrage sexiste et sexuel est un délit puni de 3 750 euros d'amende.

Ce délit peut faire l’objet d'une amende forfaitaire et délictuelle, qui éteint l’action publique, d'un montant de 300 euros.

Les huit circonstances aggravantes faisant passer l’outrage sexiste et sexuel de la catégorie de la contravention à celle du délit sont caractérisées lorsque les faits sont commis :

– par une personne qui abuse de l’autorité que lui confèrent ses fonctions ;

– sur un mineur ;

– sur une personne dont la particulière vulnérabilité due à son âge, à une maladie, à une infirmité, à une déficience physique ou psychique ou à un état de grossesse est apparente ou connue de son auteur ;

– sur une personne dont la particulière vulnérabilité ou dépendance résultant de la précarité de sa situation économique ou sociale est apparente ou connue de son auteur ;

– par plusieurs personnes agissant en qualité d’auteur ou de complice ;

– dans un véhicule affecté au transport collectif de voyageurs ou au transport public particulier ou dans un lieu destiné à l’accès à un moyen de transport collectif de voyageurs ;

– en raison de l’orientation sexuelle ou de l’identité de genre, vraie ou supposée, de la victime ;

– ou par une personne déjà condamnée pour la contravention d’outrage sexiste et sexuel et qui commet la même infraction en étant en état de récidive.

II. Le dispositif introduit par la commission

Le présent article a été introduit par la commission à la suite de l’adoption de deux amendements identiques CS723 et CS762 présentés par M. Erwan Balanant (Dem) et Mme Caroline Yadan (RE).

Il ajoute une nouvelle circonstance aggravante à l’outrage sexiste et sexuel lorsque celui-ci est commis par l’utilisation d’un service de communication au public en ligne ou par le biais d’un support numérique ou électronique.

Il s’ensuit qu’un outrage sexiste et sexuel commis en ligne devient un délit pouvant faire l’objet, le cas échéant, d’une amende forfaitaire délictuelle.

Article 6 Déploiement d’un filtre national de cybersécurité grand public

Le présent article instaure un dispositif administratif de filtrage « anti-arnaque » des sites internet manifestement conçus pour le vol de données personnelles ou financières.

Ce dispositif prend la forme, dans un premier temps, et durant au maximum sept jours, d’un message délivré à l’internaute, à la demande de l’autorité administrative, par les fournisseurs de navigateurs internet en vue de l’avertir du risque qu’il encourt en se connectant au site réputé malveillant. Dans un deuxième temps, ce dispositif peut aboutir au blocage administratif du site internet mis en œuvre par les fournisseurs d’accès à internet, les fournisseurs de systèmes de résolution de noms de domaine et les fournisseurs de navigateurs internet. La durée du blocage administratif est de trois mois, renouvelable deux fois pour des durées de six mois, sur avis conforme d’une personnalité qualifiée membre de la Commission nationale de l’informatique et des libertés (Cnil).

Le présent article a été adopté par le Sénat avec plusieurs modifications tendant à renforcer l’efficacité du filtrage ainsi que le rôle de la personnalité qualifiée de la Cnil.

Le présent article a été adopté par la commission modifié par plusieurs amendements qui ont conduit à :

– limiter son champ d’application aux sites intrinsèquement cyber-malveillants ;

– inclure les faux sites de vente dans le champ du filtre « anti-arnaque » ;

– limiter au filtrage, à l’exclusion du blocage, le type de mesures dont la mise en œuvre peut être demandée aux fournisseurs de navigateurs ;

– permettre, lors de la mise en place du filtre, une redirection de l’internaute vers une page d’information à la main du fournisseur de navigateur, mais comportant un contenu défini par l’autorité administrative ;

– supprimer l’avis conforme de la personnalité qualifiée pour la prolongation de la mesure ;

– supprimer l’obligation, pour l’autorité administrative, de vérifier régulièrement le caractère actif des sites concernés par le filtre ;

– supprimer la notification aux moteurs de recherche et annuaires de sites ;

– compléter le rapport d'activité de la personnalité qualifiée avec des statistiques sur les sorts réservés aux recours ;

– et prévoir la publication par l’autorité administrative de la liste des adresses électroniques concernées par le filtre « anti-arnaque ».

I. le Droit en vigueur

Le blocage d’un site internet diffusant des contenus illicites peut intervenir par voie judiciaire ou par voie administrative.

Le blocage judiciaire comme le blocage administratif sont permis par le droit européen, en particulier par l’article 9 du règlement (UE) 2022/2065 du 19 octobre 2022 relatif à un marché unique des services numériques (dit règlement « RSN », ou « DSA » en anglais pour Digital Services Act). Cet article encadre, à compter du 17 février 2024, les injonctions d’agir contre les contenus illicites adressées aux « fournisseurs de service intermédiaire ».

A. Le blocage judiciaire des contenus illicites en ligne

● Il existe un dispositif général permettant le blocage judiciaire des sites litigieux, prévu au 8 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique (LCEN). Celui-ci est déplacé et réécrit, dans la LCEN, par les articles 22 et 24 du présent projet de loi. Il est décrit dans le commentaire de l’article 24.

● Il existe aussi divers dispositifs spécifiques permettant le blocage judiciaire de certains contenus en ligne :

– un dispositif spécifique pour les contenus portant atteinte aux droits d’auteur et aux droits voisins prévu à l’article L. 336-2 du code de la propriété intellectuelle ; celui-ci est similaire au dispositif général, sous réserve d’une ouverture plus large de la qualité pour agir puisqu’il peut être sollicité par des organismes de défense professionnelle et par le Centre national du cinéma et de l’image animée ;

– un dispositif spécifique pour les contenus terroristes, prévu par l’article 706-23 du code de procédure pénale, qui permet l’intervention du juge des référés pour des faits d’incitation au terrorisme ou d’apologie des actes de terrorisme prévus et réprimés à l’article 421-2-5 du code pénal ;

– et un dispositif spécifique, en période électorale, pour les contenus visant à altérer la sincérité du scrutin prévu à l’article L. 163-2 du code électoral ; il permet également l’intervention du juge des référés pour ordonner le retrait judiciaire des contenus en ligne constituant des allégations ou imputations inexactes ou trompeuses de nature à altérer la sincérité du scrutin lorsqu’ils sont diffusés de manière délibérée, artificielle ou automatisée et massive.

B. Le blocage administratif des contenus illicites en ligne

Il n’existe pas de dispositif administratif général permettant un blocage des contenus illicites sur internet.

Il existe, en revanche, deux dispositifs spécifiques, l’un pour les contenus pédopornographiques et terroristes, l’autre pour les contenus constituant des pratiques commerciales déloyales, trompeuses ou agressives.

Le blocage administratif de contenus en ligne doit respecter la liberté d’expression et de communication consacrée par l’article 11 de la Déclaration des droits de l’homme et du citoyen.

Le Conseil constitutionnel a jugé que la liberté d’accéder à des services de communication au public en ligne découle de la liberté d’expression et de communication compte tenu de « l’état actuel des moyens de communication et eu égard [à leur] développement généralisé […] ainsi qu’à l’importance prise par ces services pour la participation à la vie démocratique et l’expression des idées et des opinions » ([99])

Dans la même décision, le Conseil constitutionnel a validé le dispositif de blocage administratif des contenus pédopornographiques et terroristes après avoir relevé les diverses garanties dont il était assorti, et après avoir rappelé que les atteintes portées à l’exercice de la liberté d’expression et de communication étaient nécessaires, adaptées et proportionnées à l’objectif d’intérêt général poursuivi.

De même, le Conseil constitutionnel a jugé conforme à la Constitution le blocage administratif des contenus constituant des pratiques commerciales déloyales, trompeuses ou agressives, en soulignant dans sa décision que le législateur avait poursuivi un but d’intérêt général de protection des consommateurs et de loyauté des transactions commerciales, et que les garanties prévues étaient suffisantes ([100]).

Les garanties entourant ces deux dispositifs ont inspiré celles prévues pour le dispositif proposé par le présent article.

a. Les garanties prévues pour le blocage administratif des contenus pédopornographiques ou terroristes

La possibilité d’un blocage administratif des contenus pédopornographiques et terroristes est prévue aux articles 6-1 à 6-1-5 de la LCEN. L’autorité administrative désignée par décret pour la mise en œuvre de ce dispositif est l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC), rattaché à la direction générale de la police nationale.

Ce dispositif est aménagé par l’article 23 du présent projet de loi. Il est présenté plus en détail dans le commentaire d’article associé.

Trois grandes garanties sont prévues : le contrôle par une personnalité qualifiée, un examen accéléré des recours, et la remise d’un rapport public annuel.

En premier lieu, les demandes de retrait sont soumises à un contrôle a posteriori d’une personnalité qualifiée, désignée en son sein par l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) pour la durée de son mandat. La personnalité qualifiée s’assure de la régularité des demandes de retrait. Si elle constate une irrégularité, elle peut à tout moment recommander à l’autorité administrative d’y mettre fin. Si cette dernière ne suit pas cette recommandation, la personnalité qualifiée peut saisir la juridiction administrative compétente, en référé ou sur requête.

Cette personnalité qualifiée est aussi l’autorité administrative désignée pour statuer sur les demandes de retrait transfrontières. Elle statue par décision motivée.

En deuxième lieu, pour les contenus suspectés de terrorisme, des délais accélérés d’examen des recours sont obligatoires dans certaines circonstances.

Sans préjudice des recours de droit commun, le I de l’article 6-1-5 de la LCEN dispose que les fournisseurs de services d’hébergement, les fournisseurs de contenus et la personnalité qualifiée de l’Arcom peuvent saisir le président du tribunal administratif, dans un délai de quarante-huit heures à compter de la notification de l’injonction de retrait pour en demander l’annulation.

Dans ce cas, il est prévu que la juridiction doit statuer dans un délai de soixante-douze heures à compter de la saisine. En cas d’appel, la juridiction concernée est tenue de statuer dans le délai d’un mois.

Ce délai d’examen accéléré du recours est également prévu au II du même article en matière d’injonction de retrait transfrontière.

Enfin, en troisième lieu, la personnalité qualifiée rend public chaque année un rapport d’activité sur les conditions d’exercice et les résultats de son activité, qui précise notamment le nombre de demandes de retrait, le nombre de contenus qui ont été retirés, les motifs de retrait et le nombre de recommandations faites à l’autorité administrative.

Ce rapport est remis au Gouvernement et au Parlement.

b. Les garanties prévues pour le blocage administratif des contenus constituant des pratiques commerciales déloyales, trompeuses ou agressives

L’article L. 521-3-1 du code de la consommation régit le dispositif administratif de blocage des contenus sur internet constituant des pratiques commerciales déloyales, trompeuses ou agressives.

Ce dispositif ne peut être mis en œuvre que si l’auteur de la pratique frauduleuse constatée sur cette interface n’a pu être identifié ou s’il n’a pas déféré à une injonction de mise en conformité prise après une procédure contradictoire (article L. 521-1 du code de la consommation).

Dans ces deux cas, les agents habilités de la direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) peuvent :

– ordonner aux opérateurs de plateforme en ligne d’afficher un message avertissant les consommateurs du risque de préjudice encouru lorsqu’ils accèdent au contenu manifestement illicite ;

– et ordonner aux opérateurs de plateforme en ligne ou aux hébergeurs de contenus, pour les infractions les plus graves passibles d’une peine d’au moins deux ans d’emprisonnement, le blocage d’un nom de domaine, ou encore le déréférencement ou la limitation de l’accès aux adresses électroniques des sites dont les contenus sont manifestement illicites.

Les mesures ainsi ordonnées doivent être mises en œuvre dans un délai, fixé par la DGCCRF, qui ne peut être inférieur à quarante-huit heures.

II. le Dispositif proposé

● Le présent article institue un dispositif administratif de filtrage des sites présentant des contenus manifestement conçus pour le vol de données personnelles et financières (dit aussi « tentatives d’hameçonnage »). Ce dispositif est désigné comme un « filtre national de cybersécurité grand public » ou encore comme un « filtre anti-arnaque ».

Le dispositif proposé s’inspire des garanties prévues pour le blocage administratif des contenus terroristes et pédopornographiques.

Il s’inspire également de la procédure en deux phases du système de filtrage des contenus constituant des pratiques commerciales déloyales, trompeuses ou agressives avec, dans un premier temps, un message d’avertissement, et, dans un second temps, un blocage du site.

● Pour ce faire, le présent article remplace les dispositions – aujourd’hui sans objet – de l’article 12 de la LCEN par une nouvelle rédaction comprenant cinq divisions.

Le I confère à une autorité administrative le pouvoir d’enjoindre, à titre conservatoire, les fournisseurs de navigateurs internet d’afficher un message d’avertissement, pendant une durée de sept jours, visant à dissuader un utilisateur de se connecter à un site « manifestement conçu » pour commettre certaines infractions.

Le II permet, dans certaines conditions, à la même autorité administrative d’enjoindre, à titre conservatoire, le blocage du site pour une durée maximale de trois mois. Cette période de blocage peut être prolongée à deux reprises, après avis conforme d’une personnalité qualifiée désignée au sein de la Cnil, pour une nouvelle durée de six mois maximum.

Le III définit le rôle et les prérogatives de la personnalité qualifiée chargée de contrôler les injonctions de l’autorité administrative.

Le IV prévoit des sanctions pénales en cas de manquement aux obligations définies.

Le V prévoit un décret d’application.

A. le Champ d’application du filtre « anti-arnaque »

Le filtrage proposé vise les sites internet « manifestement conçu[s] pour réaliser des opérations constituant les infractions mentionnées aux articles 226-4-1, 226-18 et 323-1 du code pénal et à l’article L. 163-4 du code monétaire et financier ».

Autrement dit, il s’agit des infractions suivantes :

– l’usurpation d’identité ;

– la collecte de données à caractère personnel par un moyen frauduleux, déloyal ou illicite ;

– l’accès frauduleux à un système de traitement automatisé de données ;

– l’usage frauduleux de moyens de paiement.

On désigne parfois ces infractions sous le terme « d’hameçonnage » qui couvre toutes les tentatives de vols de données personnelles et financières.

B. les Modalités du filtre « anti-arnaque »

Dans un premier temps, le filtre « anti-arnaque » ne vise pas à un blocage du site mais, ainsi que l’indique l’étude d’impact annexée au projet de loi, à « une réorientation de l’internaute vers une page de signalement en lieu et place du site cybermalveillant ».

L’internaute reste libre de poursuivre sa navigation sur le site réputé malveillant.

Toujours selon l’étude d’impact, « le scénario typique contre lequel le dispositif vise à se prémunir est [celui dans lequel] un utilisateur reçoit un message (courriel, SMS) l’invitant à cliquer sur un lien imitant un service public ou un service marchand ».

Dans un second temps, le site peut être bloqué. Le renouvellement de la période de blocage nécessite l’avis conforme de la personnalité qualifiée.

1. Première étape : un message d’avertissement pour une durée de sept jours

Dans un premier temps, le filtrage prend la forme d’un message d’avertissement à destination de l’internaute cherchant à se connecter au site réputé malveillant. Ce message a pour but d’avertir « l’utilisateur du risque de préjudice encouru en cas d’accès à cette adresse ».

L’apposition du message incombe aux fournisseurs de navigateurs internet auxquels l’autorité administrative adresse une « notification ». Il doit intervenir sans délai, à titre conservatoire, après la notification, et pour une durée de sept jours.

Dans le même temps, l’autorité administrative doit informer l’éditeur du site concerné. Celui-ci est invité par l’autorité administrative à faire part de ses observations dans un délai de cinq jours.

Cette notification de l’autorité administrative peut être délivrée après le constat par un agent spécialement habilité que le site a été « manifestement conçu » dans le but de réaliser les infractions précitées.

2. Deuxième étape : un blocage du site pour une durée de trois mois

À l’issue du délai de sept jours, si le constat qui a motivé la notification précitée est toujours valable, l’autorité administrative peut, par décision motivée, adresser une « injonction » aux fournisseurs de navigateurs internet, aux fournisseurs d’accès à internet et aux fournisseurs de systèmes de résolution de noms de domaine d’ « empêcher l’accès à l’adresse de ce service, et d’afficher un message avertissant les utilisateurs du risque de préjudice encouru lorsqu’ils tentent d’y accéder ».

Il est possible de passer directement à l’étape du blocage du site, sans la phase préalable du message d’avertissement, lorsque l’éditeur du site litigieux n’a pas mis à disposition les informations permettant de l’identifier prévues à l’article 1-1 de LCEN, ou lorsque celles-ci ne permettent pas de le contacter

Ce blocage intervient pour une durée maximale de trois mois.

3. Troisième étape : une prolongation du blocage pour une durée de six mois, renouvelable une fois, sur avis conforme de la personnalité qualifiée

À l’issue de la première période de blocage de trois mois, la mesure destinée à empêcher l’accès à l’adresse du service peut être prolongée de six mois au plus sur avis conforme d’une personnalité qualifiée. Une durée supplémentaire de six mois peut être prescrite selon la même procédure.

La personnalité qualifiée est désignée au sein de la Cnil pour la durée de son mandat. Elle doit s’assurer « du caractère justifié des mesures et des conditions d’établissement, de mise à jour, de communication et d’utilisation de la liste des adresses électroniques concernées ». Elle doit également rendre public chaque année un rapport d’activité qui est remis au Parlement et au Gouvernement.

Ce faisant, le présent article reprend un ensemble de propositions formulées par le Conseil d’État dans son avis sur le projet de loi, ce dernier ayant suggéré que « la durée des mesures empêchant l’accès au service soit limitée à trois mois, que ces mesures ne puissent être renouvelées que deux fois pour une durée de six mois, au plus, sur avis conforme de la personnalité qualifiée et que cette dernière exerce un contrôle non seulement sur la régularité formelle des mesures mais aussi sur leur justification » (point n° 27).

4. Sanctions pénales

Tout manquement à ses obligations par une personne destinataire d’une notification est puni d’un an d’emprisonnement et de 250 000 euros d’amende.

C. la Suspension du filtre « anti-arnaque »

S’il peut être mis en œuvre pour une durée assez longue, le filtre « anti-arnaque » peut aussi être suspendu dans plusieurs circonstances.

En premier lieu, à tout moment, et à chaque étape, l’autorité administrative peut demander sans délai aux personnes destinataires de la notification ou de l’injonction de mettre fin aussitôt aux mesures conservatoires. Tel doit être le cas lorsque l’autorité administrative a été convaincue de l’absence de caractère malveillant du site à la suite des observations de son éditeur.

En deuxième lieu, la personnalité qualifiée peut à tout moment enjoindre à l’autorité administrative de mettre fin aux mesures qu’elle a prises. Cette dernière possède donc un pouvoir de suspension du filtre et non pas seulement d’une faculté de saisine du juge administratif comme c’est le cas pour le filtre administratif des contenus suspectés de pédopornographie ou de terrorisme.

La personnalité qualifiée peut aussi saisir le collège de la Cnil « lorsque l’enjeu le justifie ».

En troisième lieu, l’éditeur du site bloqué peut adresser un recours administratif suspensif à la personnalité qualifiée. Le blocage est suspendu durant l’instruction de ce recours. Là encore, il s’agit d’une différence notable avec le filtre administratif des contenus pédopornographiques et terroristes. Le dispositif proposé par le projet de loi offre davantage de garanties à l’éditeur du site compte tenu de la moindre gravité des infractions reprochées.

Au regard des nombreuses garanties prévues par le présent article, le Conseil d’État a d’ailleurs estimé dans son avis que « le dispositif prévu ne se heurte à aucun obstacle d’ordre constitutionnel ou conventionnel, notamment au regard de la liberté d’expression et de communication » (point n° 28).

III. les Modifications apportées par le sénat

Outre trois amendements de précision rédactionnelle (n° 136, COM-103, et COM-107) et un amendement de coordination (n° 135) tous présentés par le rapporteur M. Patrick Chaize en commission ou en séance, le Sénat a modifié le présent article par l’adoption de neuf amendements lors de l’examen du texte par la commission.

Ces amendements tendent à renforcer aussi bien l’efficacité du filtre administratif « anti-arnaque » que le rôle de la personnalité qualifiée désignée au sein de la Cnil.

A. Un renforcement du filtre administratif « anti-arnaque »

● Six amendements présentés par le rapporteur M. Patrick Chaize ont conduit à renforcer l’efficacité du filtrage des sites malveillants.

Un premier amendement a eu pour effet de faciliter l’activation du dispositif. La rédaction initiale du texte – qui prévoyait que les contenus litigieux devaient être « manifestement conçus pour réaliser » l’une des infractions mentionnées – a été remplacée par une nouvelle rédaction qui prévoit que le site peut être filtré s’il « réalise manifestement » l’une de ces infractions. Selon l’exposé sommaire de l’amendement, cette nouvelle rédaction permet de ne pas avoir à établir l’intention frauduleuse de l’éditeur du site (COM-101).

Un deuxième amendement a remplacé la simple information de l’éditeur du site en cas de mise en place du filtrage par une mise en demeure adressée par l’autorité administrative en vue de cesser les opérations litigieuses (COM-102).

Un troisième amendement a uniformisé l’information présentée aux internautes sur le message d’avertissement qui doit s’afficher sur leurs écrans en cas de tentative d’accès à un site soupçonné d’être frauduleux. L’amendement adopté prévoit que ce message doit être clair, lisible, unique et compréhensible et permettre aux utilisateurs d’accéder au site internet officiel du groupement d’intérêt public pour le dispositif national d’assistance aux victimes d’actes de cybermalveillance – GIP Acyma (COM-104).

Un quatrième amendement a clarifié la nature des mesures que l’autorité administrative peut enjoindre aux intermédiaires techniques de prendre afin d’empêcher l’accès aux sites frauduleux à l’issue de la première période de filtrage de sept jours. Il prévoit que la décision de l’autorité administrative désigne quel fournisseur est chargé d’empêcher l’accès à l’adresse de ce service, en fonction de l’injonction émise et de la nature de la mesure envisagée. Il ajoute la mise en place d’une redirection vers une page d’information de l’autorité administrative ayant ordonné la mesure de blocage afin d’informer les utilisateurs des raisons pour lesquelles ce blocage a été ordonné (COM-105).

Un cinquième amendement a instauré une obligation pour l’autorité administrative de vérifier, à l’approche de l’expiration de la période de blocage, si les sites dont l’accès a été bloqué sont toujours actifs ou non (COM-106).

Le sixième amendement du rapporteur a précisé que la peine d’un an d’emprisonnement et de 250 000 euros d’amende peut également s’appliquer aux personnes destinataires d’une « injonction » de l’autorité administrative – et non pas seulement d’une « notification » comme prévu par le dispositif proposé initialement – ce qui permet d’inclure plus explicitement dans le champ de l’infraction les fournisseurs de services d’accès à internet, les fournisseurs de systèmes de résolution de noms de domaine et les fournisseurs de navigateurs sur internet (COM-110).

● Enfin, un amendement présenté par Mme Sylvianne Noël (Les Républicains) a prévu que lors de l’étape permettant le blocage du site, l’autorité administrative peut également notifier les adresses électroniques aux moteurs de recherche ou aux annuaires en vue de prendre les mesures utiles pour faire cesser leur référencement (COM-8).

B. Un renforcement du rôle de la personnalité qualifiée

Deux amendements, présentés par le rapporteur M. Patrick Chaize, ont conduit à renforcer le rôle de la personnalité qualifiée de la Cnil chargée de veiller à l’application proportionnée du filtre « anti-arnaque ».

Un premier amendement a renforcé son information en prévoyant que l’autorité administrative doit la prévenir lorsqu’elle lève des mesures de filtrage ou de blocage de sa propre initiative (COM-108).

Un second amendement a complété, par des éléments statistiques, le contenu du rapport d’activité annuel établi par la personnalité qualifiée (COM-109).

IV. Les modifications apportÉes par la commission

Le présent article a été adopté par la commission modifié par vingt-un amendements, dont cinq de portée rédactionnelle présentés par les rapporteurs (CS536, CS542, CS544, CS545, CS546) et un par M. Éric Bothorel (RE) identique à un amendement des rapporteurs (CS410).

A. Les modifications portant sur le champ du filtre « anti-arnaque »

● L’adoption de deux amendements identiques, présentés par les rapporteurs et par M. Éric Bothorel (RE), ont conduit à limiter le champ d’application du filtre « anti-arnaque » aux sites intrinsèquement cyber-malveillants (CS404 et CS530).

Ces amendements sont ainsi revenus sur une modification du Sénat – tendant à viser les sites qui « réalisent manifestement » les infractions listées dans le champ du filtre – pour rétablir la version initiale du texte qui inclut dans le champ du filtre uniquement les sites « manifestement conçu pour réaliser » ces infractions.

Autrement dit, seuls les sites conçus nativement pour être des arnaques sont susceptibles d’être touchés par le filtre administratif institué par le présent article.

● L’adoption de trois amendement identiques, présentés par les rapporteurs, Mme Mireille Clapot (RE) et M. Éric Bothorel (RE) ont permis d’inclure les faux sites de vente dans le champ du filtre « anti-arnaque » (CS406, CS534 et CS659).

La rédaction retenue vise les « opérations de hameçonnage en ligne constitutives d’une escroquerie ». Le hameçonnage est défini par les mêmes amendements comme « le fait de mettre en ligne ou diriger l’utilisateur vers une interface dont les caractéristiques sont de nature à créer une confusion avec l’interface en ligne d’un service existant, et déterminer ainsi l’utilisateur de cette interface, à son préjudice ou au préjudice d’un tiers, à fournir des données personnelles ou à verser une somme d’argent ».

B. Les modifications portant sur la mise en œuvre du filtre « anti-arnaque »

● La commission a adopté un amendement de M. Éric Bothorel (RE), ayant recueilli un avis favorable des rapporteurs, dont l’objet est de limiter au filtrage, à l’exclusion du blocage, le type de mesures dont la mise en œuvre peut être demandée aux fournisseurs de navigateurs (CS620).

Cet amendement prévoit que la décision de l’autorité administrative doit indiquer que les fournisseurs de navigateurs permettent aux utilisateurs d’accéder au service concerné après affichage d’un message clair, lisible, unique et compréhensible avertissant du risque de préjudice encouru.

En conséquence, les fournisseurs de navigateurs ne peuvent être contraints de procéder à un blocage du site, contrairement aux fournisseurs d’accès à internet et aux fournisseurs de systèmes de résolution de noms de domaine.

● La commission a, par ailleurs, adopté un amendement des rapporteurs visant à préciser que le renvoi vers une page d’information, lors de la mise en place de la mesure de filtrage, ne doit pas nécessairement viser une page de l’autorité administrative (CS538). Autrement dit, le renvoi pourra s’opérer vers une page d’information à la main du fournisseur de navigateur, mais comportant un contenu défini par l’autorité administrative.

● La commission a adopté deux amendements identiques des rapporteurs et de M. Éric Bothorel (RE) qui ont supprimé la notification aux moteurs de recherche et annuaires de sites (CS413 et CS541). Cette modification se justifie par le fait que les sites malveillants ont souvent une durée d’existence très courte, si bien que les moteurs de recherche et annuaires n’auront, en tout état de cause, pas le temps de les référencer avant la mise en œuvre du filtrage ou du blocage.

C. Les modifications portant sur le rôle de la personnalité qualifiée

● La commission a supprimé l’avis conforme de la personnalité qualifiée s’agissant de la prolongation de la mesure, en adoptant deux amendements identiques CS418 et CS547 des rapporteurs et de M. Éric Bothorel (RE). Cet amendement a été suggéré par les représentants de la Cnil lors de leur audition. L’avis conforme leur est apparu comme une garantie supplémentaire non indispensable dès lors que la personnalité qualifiée était tenue informée des prolongations et que cette dernière disposait du pouvoir d’y mettre un terme.

● La commission a complété le rapport annuel d’activité de la personnalité qualifiée avec des statistiques sur les sorts réservés aux recours. Cet ajout résulte de l’adoption de deux amendements identiques CS7 et CS937 présentés par les rapporteurs et M. Philippe Ballard (RN).

D. Les modifications portant sur le rôle de l’autorité administrative

● La commission a adopté un amendement de M. Éric Bothorel (RE) qui a supprimé l’obligation, pour l'autorité administrative, de vérifier régulièrement le caractère actif des sites concernés par le filtre (CS417). Les sites malveillants ayant une durée de vie assez courte, il n’a pas été jugé utile d’imposer cette mission à l’autorité administrative. Cet amendement a recueilli un avis favorable des rapporteurs.

● Enfin, la commission a prévu la publication régulière, par l’autorité administrative, de la liste des adresses électroniques concernées par le filtre « anti-arnaque ». Cet ajout résulte de l’adoption d’un amendement de M. Éric Bothorel (RE), ayant recueilli un avis favorable des rapporteurs (CS630). L’entrée en vigueur de cette mesure a été reportée au 1er janvier 2025 par l’adoption d’un amendement des rapporteurs à l’article 36 (CS954).

TITRE III rENFORCER LA CONFIANCE ET LA CONCURRENCE DANS L’ÉCONOMIE DE LA DONNÉE

Chapitre Ier Pratiques commerciales déloyales entre entreprises sur le marché de l’informatique en nuage

Article 7

Encadrement des crédits d’informatique en nuage et des frais de transfert

L’article 7 du projet de loi encadre l’octroi d’avoirs d’informatique en nuage, les frais de changement de fournisseur de services d’informatique en nuage et supprime les frais de transfert sortant relatifs à ces offres (egress fees).

Lors de son examen en commission spéciale au Sénat, cet article a fait l’objet de plusieurs modifications visant à préciser la définition des notions d’avoir d’informatique en nuage et de service d’informatique en nuage, à fixer dans la loi une durée maximale pour l’octroi d’un crédit d’informatique en nuage et à préciser la régulation des egress fees.

Ont également été précisés le fait que la facturation des frais liés à un changement de fournisseur doit s’effectuer aux coûts réels et être communiquée de façon transparente aux utilisateurs, et le fait qu’en cas de désaccord sur ces frais, l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, peut être saisie, dans les conditions prévues à l’article L. 36-8 du code des postes et des communications électroniques.

Plusieurs amendements ont été adoptés en séance publique au Sénat afin, d’une part de prendre en compte les différentes pratiques à l’œuvre en matière de crédit cloud et, d’autre part, de préciser que des frais de transfert de données ne peuvent être facturés lors du changement de fournisseur de services d’informatique en nuage.

Cet article a également été modifié lors de son examen en commission spéciale à l’Assemblée nationale afin, d’une part, d’ajuster sa rédaction à la nouvelle version du règlement européen sur les données et, d’autre part, de distinguer au sein de deux articles distincts, la régulation de l’octroi de crédits d’informatique en nuage par des fournisseurs de service d’informatique en nuage de l’encadrement nécessaire des frais de transfert de données en cas de migration vers un fournisseur tiers de service d’informatique en nuage.

Le droit en vigueur

A. L’essor de l’économie de la donnée a fait « la part belle » aux acteurs dominants du marché des services d’informatique en nuage, qui sont pour l’essentiel non européens

L’essor de l’économie de la donnée a rendu indispensable le recours à des solutions de stockage des données. Le marché du cloud, c’est-à-dire des services d’informatique en nuage, est devenu un élément majeur de compétitivité et d’innovation pour les acteurs économiques.

Les éléments fournis par l’étude d’impact annexée au présent projet de loi indiquent à quel point ce marché est essentiel au sein de l’économie du numérique. Au niveau mondial, le marché du cloud public s’élevait à environ 384 milliards d’euros en 2022. En Europe, les revenus qu’il génère étaient de 65 milliards d’euros en 2021, et pourraient quasiment décupler d’ici 2030, pour atteindre 560 milliards d’euros, selon une étude du cabinet IDC. Le segment français, qui représente environ 16 milliards d’euros, devrait profiter de cette forte croissance anticipée, avec une hypothèse de + 14 % par an en moyenne jusqu’en 2030.

Ces perspectives favorables pour les acteurs du cloud sont néanmoins très inégalement réparties. En effet, comme beaucoup de marchés numériques, le marché du cloud est fortement concentré. Ainsi, en France, 71 % des parts de ce marché sont détenues par les trois fournisseurs dominants que sont AWS (Amazon détient 46 % de parts de marché), Microsoft Azure (17 % des parts de marché) et enfin Google Cloud (8 % des parts de marché).

B. Cette situation est préjudiciable à la compétitivité et à l’innovation des entreprises européennes

Cette situation est préjudiciable à la fois pour les acteurs français et européens de ce secteur d’activité, et pour les entreprises qui consomment ces services, et disposent, au regard de la structure de marché, d’une capacité parfois limitée de choix vis-à-vis des offres proposées. En effet, ainsi que notamment l’a relevé l’Autorité de la concurrence (ADLC), certaines pratiques des acteurs dominants de ce marché tendent à réduire la concurrence et à entraver la liberté de choix des entreprises concernées. C’est le cas, en particulier, de l’octroi de crédits cloud, et de la facturation excessive de frais de transfert des données en cas de changement, par une entreprise, de fournisseur([101]).

L’avantage retiré de cette situation imparfaite de marché est ainsi préjudiciable à la fois à la compétitivité et à l’innovation des entreprises européennes, et au développement des fournisseurs européens de services d’informatique en nuage, dont les solutions techniques, sur certains segments, apparaissent pourtant tout à fait compétitives vis-à-vis de celles des acteurs dominants.

C. Un effort de régulation au niveau national et européen est indispensable pour remédier à cette situation

Face à cette situation, la Commission européenne a engagé une initiative d’ampleur afin de réguler davantage les marchés numériques, et plus spécifiquement le marché de la donnée.

Plusieurs textes européens sont intervenus dans ce domaine :

– le règlement européen pour les marchés numériques (Digital Markets Act) ([102]) ;

– le règlement sur la gouvernance européenne des données (Data Governance Act) ([103]) ;

– le règlement européen sur les données (Data Act) ([104]).

Ce dernier règlement, en particulier, sur lequel un accord politique a été trouvé le 7 juillet dernier, contient en effet plusieurs dispositions visant à encadrer certaines pratiques commerciales considérées comme entravant la concurrence sur le marché des services d’informatique en nuage.

Les articles 23 et 24 du règlement précité encadrent ainsi de façon renforcée les conditions contractuelles liées à la migration entre fournisseurs. Dans le même temps, son article 25 prévoit la suppression des frais liés au transfert de données et à la migration.

L’enjeu de la maîtrise du développement des crédits de services d’informatique en nuage ne fait pas, en revanche, l’objet d’un encadrement strict, à défaut d’accord politique sur ce sujet entre les pays membres.

L’article 7 du présent projet de loi vient donc anticiper l’adaptation du droit national aux dispositions précitées du Data Act, tout en intervenant sur la question des crédits cloud sur une base juridique distincte, à savoir la lutte contre les pratiques anticoncurrentielles.

II. Le dispositif proposé

L’article 7 du projet de loi crée, au sein de la section II du chapitre II du titre IV du livre IV du code de commerce, un nouvel article L. 442-12.

Ce nouvel article précise, d’abord, la définition de ce que recouvrent les notions de « service d’informatique en nuage » et « d’avoir d’informatique en nuage » (I).

Il prévoit également, afin de rétablir des conditions de concurrence satisfaisantes sur le marché du cloud et d’anticiper l’adoption du règlement européen sur les données :

– un encadrement strict de l’octroi, par les fournisseurs de services d’informatique en nuage à leurs clients « entreprises » des avoirs d’informatique en nuage (II) ;

– une interdiction, pour ces mêmes fournisseurs de facturer à leurs clients « entreprises » des frais « au titre du transfert des données vers les infrastructures de cette personne ou vers celles mises à disposition, directement ou indirectement, par un autre fournisseur » (III).

L’article 7 fixe, enfin, le montant maximum de l’amende administrative qui peut être infligée en cas de conclusion d’un contrat qui violerait ces dispositions. Cette amende ne pourra ainsi excéder 200 000 euros pour une personne physique et un million d’euros pour une personne morale (IV). Elle pourra être majorée en cas de réitération du manquement dans un délai de deux ans (au maximum 400 000 euros pour une personne physique, et 2 millions d’euros pour une personne morale).

III. Les modifications apportées par le Sénat

A. En commission

L’article 7 du projet de loi a été adopté avec modifications par le Sénat.

Deux amendements, COM-111 et COM 112, présentés par le rapporteur du texte au Sénat, M. Patrick Chaize, ont procédé à des ajustements portant sur la définition des notions de « service d’informatique en nuage » et « d’avoir d’informatique en nuage » :

– l’amendement COM-111 a harmonisé la définition de la notion de « service d’informatique en nuage » avec le droit européen existant, à savoir la directive dite NIS 2 ([105]) .

– l’amendement COM-112, a modifié la définition de la notion « d’avoir d’informatique en nuage », afin de substituer à la seule approche quantitative (montant) une approche plus englobante.

Est ainsi défini comme avoir d’informatique en nuage tout « avantage temporaire octroyé par un fournisseur de services d’informatique en nuage à ses utilisateurs, utilisable sur ses différents services, sous la forme d’un montant de crédits offerts ou d’une quantité de services offerts ».

Un amendement COM113 du rapporteur a également modifié de façon significative le dispositif initial d’encadrement de l’octroi d’avoirs d’informatique en nuage :

– en insérant directement, au sein de l’article concerné, une durée temporelle maximale pour l’octroi de ces avoirs, fixée à une année maximum. La version initiale du projet de loi renvoyait en effet l’ensemble des modalités d’application de cet encadrement à l’adoption d’un décret en Conseil d’État (dont la référence est maintenue au sein de la version actuelle du texte) ;

– en intégrant, en outre, une interdiction explicite, pour les fournisseurs de services d’informatique en nuage, d’assortir le bénéfice de ces avoirs d’informatique en nuage à toute forme de condition d’exclusivité.

Un amendement COM-114 du rapporteur a précisé, pour sa part, l’articulation entre les frais de transfert de données qui sont supprimés et les frais liés au changement de fournisseur qui sont temporairement autorisés jusqu’à l’application des dispositions dédiées du Data Act.

Il est ainsi précisé, dans la version de l’article adoptée par le Sénat :

– que la facturation des frais liés à un changement de fournisseur doit s’effectuer aux coûts réels et être communiquée de façon transparente aux utilisateurs ;

– qu’en cas de désaccord sur ces frais, l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse, peut être saisie, dans les conditions prévues à l’article L. 36-8 du code des postes et des communications électroniques.

Enfin, la commission spéciale a adopté, au Sénat, deux amendements identiques COM-51 et COM-88 concernant les pratiques de vente liée sur le marché de l’informatique en nuage. Un V a été inséré en conséquence au sein du nouvel article L. 442-12 du code de commerce créé par le présent article 7 du projet de loi, qui fixe une interdiction de principe pour toute personne « de subordonner la vente d’un produit ou service à la conclusion concomitante d’un contrat de fourniture de services d’informatique en nuage » dès lors que celle-ci constitue une pratique commerciale déloyale.

B. En séance publique

Cet article a fait l’objet de plusieurs modifications au stade de la séance publique :

– deux amendements identiques n° 22 rect. quater et n° 94, présentés par Mmes Paoli-Gagin et Blatric-Contat ont complété la nouvelle définition de la notion d’avoir informatique en nuage, insérée au stade de la commission spéciale, pour prendre en compte les différentes pratiques à l’œuvre sur le marché du cloud et ainsi rendre l’encadrement de cette pratique pleinement efficace ;

– trois amendements identiques nos 24 rect. quater, 102 et 137 présentés par Mmes Paoli-Gagin et Blatric-Contat, et M. Chaize (rapporteur) ont précisé que des frais de transfert de données ne peuvent être facturés lors du changement de fournisseur de services d’informatique en nuage.

IV. Les modifications apportées par la commission

L’article 7 a été modifié à la suite de l’adoption, en commission spéciale, des six amendements suivants :

– un amendement CS907 de Mme Le Hénanff, rapporteure, visant à assurer l’alignement entre la définition de services d’informatique en nuage retenue dans le projet de loi et celle du règlement européen sur les données ;

– un amendement CS908 de Mme Le Hénanff, rapporteure, visant à supprimer, au sein de la définition d’un crédit d’informatique en nuage, le mot « temporaire » afin de limiter le risque de contournement de l’encadrement de cette pratique tel que prévu au sein de l’article 7 ;

– un amendement CS909 de Mme Le Hénanff, rapporteure, visant à remplacer le terme d’« utilisateurs » par celui de « client », employé par le règlement européen sur les données ;

– deux amendements CS948 et CS949, de Mme Le Hénanff, rapporteure, qui maintiennent une durée maximum d’un an pour l’octroi de crédits d’informatique en nuage, mais renvoient à un décret pour la définition précise des modalités de cet encadrement ;

– un amendement CS910 de Mme Le Hénanff, rapporteure, qui supprime les alinéas 8 à 10 de l’article 7 afin de permettre la création d’un article additionnel 7 bis consacré à la question de l’encadrement des frais de transfert (cf. infra).

Article 7 bis (nouveau)

Encadrement des frais de transfert

Introduit par la commission à la suite de l’adoption d’un amendement de la rapporteure, l’article 7 bis encadre les frais de transfert de données facturés par un fournisseur de services d’informatique en nuage à un client souhaitant migrer vers un fournisseur tiers offrant le même type de service.

Il définit ce que recouvrent les notions de « frais de transfert » et de « frais de changement de fournisseur », prévoit un régime spécifique d’encadrement de ces frais, ainsi que des obligations d’information pour les fournisseurs de services d’informatique en nuage vis-à-vis de leurs clients.

Le droit en vigueur

Voir le commentaire de l’article 7.

II. Le dispositif proposé

Résultant de l’adoption de l’amendement CS923 de Mme Anne Le Hénanff, rapporteure, l’article 7 bis procède à une rédaction plus complète des dispositions relatives à l’encadrement des frais de transfert initialement insérées au sein de l’article 7.

Il crée, à cette fin, un article spécifique consacré à ce sujet au sein du code de commerce, numéroté L. 442-12.

Cet article contient :

– une définition nouvelle des frais de transfert, d’une part, et des frais de changement de fournisseur de services d’informatique en nuage, d’autre part ;

– un encadrement de ces frais conforme aux dispositions du règlement européen sur les données. Il est ainsi interdit à un fournisseur de services d’informatique en nuage de facturer à un client souhaitant migrer vers un autre fournisseur des frais de transfert de données et des frais de changement de fournisseurs « supérieurs aux coûts supportés par le fournisseur et directement liés à ce changement » ;

– une définition des modalités d’évaluation de ces frais. Il est ainsi prévu que les frais de transfert de données sont facturés « dans le respect d’un montant maximal de tarification fixé par arrêté du ministre chargé du numérique après proposition de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse ». L’Arcep doit, dans ce cadre, après consultation publique, adopter des lignes directrices précisant les coûts susceptibles d’être pris en compte dans ce cadre.

En outre, cet article sécurise l’information des clients des fournisseurs de services d’informatique en nuage à ce sujet, en faisant peser une obligation d’information spécifique sur ces derniers, que le contrat ait été conclu avant la promulgation de la présente loi, ou a posteriori. Afin que l’ensemble des clients concernés puissent bénéficier de ces dispositions, il est ainsi prévu que les fournisseurs informent expressément leurs clients lorsque les contrats sont en cours, et que ces informations sont insérées directement au sein des contrats qui seront signés après promulgation de la présente loi.

Enfin, l’article 7 bis prévoit une exception à l’application de ces dispositions pour les services d’informatique en nuage « sur-mesure » qui ne sont pas offerts à grande échelle, et ceux mis à disposition dans un environnement hors production à des fins de test et d’évaluation pour une durée limitée.

Chapitre II Interopérabilité des services d’informatique en nuage

Article 8

Obligations d’interopérabilité et de portabilité à la charge des fournisseurs de services d’informatique en nuage

L’article 8 prévoit, par anticipation de l’adoption du règlement européen sur les données (Data Act), les obligations d’interopérabilité, de portabilité, et d’équivalence fonctionnelle que les fournisseurs de services d’informatique en nuage devront respecter.

Cet article a fait l’objet de modifications lors de son examen devant le Sénat. La définition de la notion d’équivalence fonctionnelle a été précisée, en commission spéciale, afin d’éviter certains effets de bord. En séance publique, un amendement de coordination juridique a par ailleurs été adopté.

Cet article a également été modifié lors de son examen en commission spéciale à l’Assemblée nationale. Les modifications apportées procèdent à l’alignement de plusieurs définitions (équivalence fonctionnelle, actifs numériques) sur celles figurant dans la version actualisée du règlement européen sur les données. En outre, il a été précisé, conformément au règlement européen sur les données, que les exigences essentielles de portabilité et d’interopérabilité s’appliquent en tenant compte de la distinction entre les services IaaS (Infrastructure-as-a-Service), et les autres services d’informatique en nuage (Software-as-a-Service et Platform-as-a-Service).

Le droit en vigueur

A. L’essor de l’économie de la donnée a fait « la part belle » aux acteurs dominants du marché des services d’informatique en nuage

Voir le commentaire de l’article 7.

B. Des barrières techniques liées à un manque d’interopérabilité et de portabilité des données

Le marché de l’informatique en nuage souffre d’un manque de concurrence lié à l’existence de pratiques commerciales qui limitent la capacité des entreprises acheteuses à pouvoir librement et à tout moment choisir la solution optimale par rapport à leurs besoins.

L’article 7 du présent projet de loi entend agir sur la question des frais de transfert et sur l’octroi de crédits cloud. Il prévoit à cette fin une suppression des frais de transfert et un encadrement renforcé de l’octroi de ces crédits.

Il existe néanmoins, en outre, d’autres barrières techniques dues à un manque d’interopérabilité et de portabilité des données.

Cet enjeu fait l’objet de dispositions spécifiques au sein du Data Act, prévues par ses articles 28 et 29. Ces deux articles définissent les « exigences essentielles » en termes d’interopérabilité et de portabilité des données auxquelles devront se soumettre les fournisseurs de services d’informatique en nuage.

L’article 8 du présent projet de loi vient traduire, en application du droit européen, le contenu de ces exigences au sein du droit national, afin de renforcer la capacité de choix et de changement de fournisseur par les utilisateurs de ces services.

II. Le dispositif proposé

L’article 8 pose les jalons juridiques nécessaires en vue d’imposer aux fournisseurs de services d’informatique en nuage une exigence d’interopérabilité de leurs services.

Il introduit, en premier lieu, de nouvelles définitions juridiques pour les actifs numériques. Ces derniers sont ainsi entendus comme « tous les éléments en format numérique sur lesquels l’utilisateur d’un service informatique en nuage a un droit d’utilisation, y compris des actifs qui ne sont pas inclus dans le champ de sa relation contractuelle avec le service d’informatique en nuage ». Ces actifs numériques comprennent « les données, les applications, les machines virtuelles et les autres technologies de virtualisation telles que les conteneurs ».

Il consacre également une première définition juridique de l’équivalence fonctionnelle, inspirée de l’état actuel de la rédaction de l’article 2 du Data Act. En l’espèce, cette notion est entendue comme « un niveau minimal de fonctionnalité assurée dans l’environnement d’un nouveau service d’informatique en nuage après la migration, de manière à garantir aux utilisateurs un usage des éléments essentiels du service aux mêmes niveaux de performance, de sécurité, de résilience opérationnelle et de qualité que le service d’origine au moment de la résiliation du contrat ».

Enfin, au-delà des enjeux de définition, l’article 8 prévoit que les fournisseurs de services d’informatique en nuage doivent assurer la conformité desdits services avec les exigences essentielles en matière d’interopérabilité, de portabilité des actifs numériques et de mise à disposition gratuite aux utilisateurs et aux fournisseurs de services tiers d’interface de programmation applications nécessaires pour mettre en œuvre ces exigences.

III. Les modifications apportées par le Sénat

A. En commission

Lors de son examen en commission spéciale, cet article a fait l’objet d’une modification.

Un amendement COM-115 du rapporteur M. Patrick Chaize a ainsi modifié la rédaction de la définition de l’équivalence fonctionnelle en remplaçant les termes « aux mêmes niveaux », par les termes « à des niveaux équivalents ».

Cette modification doit permettre d’éviter un effet indésirable d’harmonisation de l’ensemble des offres proposées sur le marché des infrastructures d’informatique en nuage, étant entendu que cette définition devra être ajustée une fois le Data Act définitivement adoptée.

B. En séance publique

Au stade de la séance publique, un amendement de coordination juridique n° 138 présenté par le rapporteur M. Patrick Chaize, au nom de la commission spéciale, a également été adopté.

IV. Les modifications apportées par la commission

L’article 8 a été modifié à la suite de l’adoption, en commission spéciale, des cinq amendements suivants :

– un amendement CS914 de Mme Le Hénanff, rapporteure, visant à remplacer le terme d’« utilisateurs » par celui de « client », qui est employé par le règlement européen sur les données ;

– un amendement CS911 de Mme Le Hénanff, rapporteure, visant à assurer l’alignement entre la définition d’un actif numérique retenue dans le projet de loi et celle retenue au sein du règlement européen sur les données ;

– un amendement CS161 de M. Philippe Latombe (Dem), harmonisant la définition de la notion d’équivalence fonctionnelle retenue dans le projet de loi avec celle retenue au sein du règlement européen sur les données ;

– un amendement CS912 de Mme Le Hénanff, rapporteure, alignant la définition des données exportables retenue par le présent projet de loi avec celle prévue dans le règlement européen sur les données (Data Act) ;

– un amendement CS913 de Mme Le Hénanff, rapporteure, qui précise, conformément au règlement européen sur les données, que les exigences essentielles de portabilité et d’interopérabilité s’appliquent en tenant compte de la distinction entre, d’une part, les services IaaS (Infrastructure-as-a-Service), et, d’autre part, les autres services d’informatique en nuage (Software-as-a-Service et Platform-as-a-Service).

Article 9

Obligations d’interopérabilité et de portabilité à la charge des services d’informatique en nuage

L’article 9 confie à l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep) un rôle d’édiction des règles et modalités techniques relatives aux exigences d’interopérabilité et de portabilité des données, telles que prévues à l’article 8 du projet de loi.

Cet article a été modifié en commission spéciale par le Sénat afin de prévoir :

– que l’Arcep doit tenir compte des différences existant entre les infrastructures, les plateformes et les logiciels de services d’informatique en nuage ;

– que ces différences doivent être prises en compte lors de l’édiction des spécifications techniques, plutôt que dans la définition des exigences d’interopérabilité et de portabilité, afin de laisser davantage de souplesse à l’Arcep et aux opérateurs économiques concernés ;

– un délai d’édiction de ces spécifications techniques et donc un délai de mise en conformité des opérateurs économiques concernés à ces spécifications, qui sera fixé par décret, après consultation de l’Arcep.

Cet article a également été modifié en commission spéciale devant l’Assemblée nationale par des amendements visant à aligner la rédaction de certaines définitions insérées en son sein avec les dispositions prévues par la version actualisée du règlement européen sur les données. Ces modifications intègrent notamment une distinction claire entre les différents types d’offres de services d’informatique en nuage et précisent la nature des mesures que doivent prendre les fournisseurs de services d’informatique en nuage afin de faciliter l’équivalence fonctionnelle après la migration vers un service tiers.

Le droit en vigueur

L’accord politique obtenu sur le règlement européen sur les données (Data Act), le 7 juillet dernier, rend nécessaire la définition d’une autorité compétente pour assurer l’édiction des règles et modalités techniques relatives aux exigences d’interopérabilité et de portabilité des données, telles que prévues à l’article 8 du présent projet de loi.

L’article 31 de ce règlement précise, en effet, que chaque État membre « désigne une ou plusieurs autorités compétentes chargées de l’application et de l’exécution du présent règlement. Les États membres peuvent mettre en place une ou plusieurs nouvelles autorités ou s’appuyer sur des autorités existantes ».

Il convient donc de déterminer, dans la loi, l’autorité compétente dans cette matière.

II. Le dispositif proposé

L’article 9 prévoit la compétence de principe de l’Arcep quant à la définition des règles et modalités relatives aux exigences d’interopérabilité et de portabilité des données, telles que prévues à l’article 8 du projet de loi.

Il précise, en outre, que l’Autorité peut s’appuyer, pour l’édiction de ces spécifications, sur les organismes de normalisation existants et que ces spécifications doivent être correctement articulées avec celles mises en œuvre par les autorités compétentes des autres pays membres de l’Union européenne, ainsi que celles figurant dans les codes de conduite européens relatifs aux services d’informatique en nuage.

Cet article prévoit, en outre :

– que les fournisseurs concernés doivent publier et mettre à jour une « offre de référence technique d’interopérabilité » détaillant les conditions de mise en conformité de leurs services avec les obligations précitées ;

– que les fournisseurs de services d’informatique en nuage dont les ressources correspondent à des ressources informatiques modulables et variables limitées à des éléments d’infrastructure sont soumis à une obligation de moyens pour faciliter une équivalence fonctionnelle dans l’utilisation du service de destination, lorsqu’il couvre le même type de fonctionnalités.

III. Les modifications apportées par le Sénat

A. En commission

Un amendement COM-116 du rapporteur, M. Patrick Chaize, a inséré un nouvel alinéa au sein de l’article 9 afin de prévoir :

– que l’Arcep doit tenir compte des différences existant entre les infrastructures, les plateformes et les logiciels de services d’informatique en nuage ;

– que ces différences doivent être prises en compte lors de l’édiction des spécifications techniques, plutôt que dans la définition des exigences d’interopérabilité et de portabilité, afin de laisser davantage de souplesse à l’Arcep et aux opérateurs économiques concernés ;

– un délai d’édiction de ces spécifications techniques et donc un délai de mise en conformité des opérateurs économiques concernés à ces spécifications, qui sera fixé par décret, après consultation de l’Arcep.

B. En séance publique

Cet article n’a fait l’objet d’aucune modification au stade de son examen en séance publique au Sénat.

IV. Les modifications apportées par LA COMMISSION

L’article 9 a été modifié à la suite de l’adoption, en commission spéciale, des cinq amendements suivants :

– un amendement CS918 de Mme Le Hénanff, rapporteure, qui vise assurer le plein alignement avec les dispositions du règlement européen sur les données (Data Act) et la mise en œuvre des mesures d’interopérabilité et de portabilité présentes au sein du projet de loi (distinction entre les types d’offres d’informatique en nuage, précision apportée à la compétence de l’Arcep dans l’édiction de spécifications techniques) ;

– un amendement CS915, de Mme Le Hénanff, rapporteure, de nature rédactionnelle ;

– un amendement CS916, de Mme Le Hénanff, rapporteure, qui précise que l’obligation de publication d’une offre de référence technique doit s’appuyer, le cas échéant, sur les décisions adoptées par l’Arcep pour préciser la mise en œuvre des exigences essentielles d’interopérabilité et de portabilité ;

– un amendement CS711, de M. Philippe Latombe (Dem), apportant une précision rédactionnelle sur la nature des mesures que doivent prendre les fournisseurs de services d’informatique en nuage afin de faciliter l’équivalence fonctionnelle après la migration vers un service tiers ;

– un amendement CS917 de Mme Le Hénanff, rapporteure, qui assure l’alignement entre le champ d’application prévu par le règlement européen sur les données et le champ d’application des obligations du présent projet de loi en matière d’interopérabilité.

Article 10

Compétence de l’Arcep pour constater et sanctionner les manquements aux obligations nouvelles supportées par les fournisseurs de services d’informatique en nuage

L’article 10 confie à l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep) des pouvoirs d’enquête et de sanction lui permettant d’agir en cas de manquements aux obligations nouvelles que doivent respecter les fournisseurs de services d’informatique en nuage.

Cet article a fait l’objet de modifications lors de son examen par le Sénat.

A ainsi été prévue une procédure de saisine de l’Autorité de la concurrence (ADLC) par l’Arcep lorsque cette dernière a connaissance d’abus de position dominante et de pratiques entravant le libre exercice de la concurrence dans le secteur de l’informatique en nuage.

Cet article a également été modifié en commission spéciale devant l’Assemblée nationale par un amendement de précision juridique.

Le droit en vigueur

Voir le commentaire d’article de l’article 9.

II. Le dispositif proposé

L’article 10 donne à l’Arcep la capacité de contrôler les obligations des fournisseurs de services d’informatique en nuage.

Cet article prévoit que l’Arcep peut, « de manière proportionnée aux besoins liés à l’accomplissement de ses missions », et sur la base d’une décision motivée recueillir les informations et documents nécessaires auprès des personnes physiques ou morales concernées et procéder auprès de ces mêmes personnes à des enquêtes. La procédure d’enquête mise en œuvre par l’Arcep est soumise à des règles classiques tenant à la préservation de la confidentialité des informations recueillies dans ce cadre.

L’article 10 fait également de l’Arcep l’autorité en charge de régler les différends pouvant survenir en cas de désaccord sur les conditions de mise en œuvre des obligations d’interopérabilité et de portabilité des données, telles que prévues à l’article 8 du projet de loi.

Enfin, pour rendre son action de régulation et de contrôle effective, l’Arcep se voit dotée d’un pouvoir de sanction des manquements aux obligations prévues aux articles 8 et 9 du projet de loi. Elle peut donc sanctionner ces manquements soit de sa propre initiative (saisine d’office), soit à la demande du ministre chargé de l’économie, d’une organisation professionnelle, d’une association agréée d’utilisateurs ou de toute personne physique ou morale concernée, sous réserve que la constatation de l’infraction soit avérée.

Le régime de sanction retenu est le suivant : une sanction pécuniaire dont le montant est proportionné à la gravité du manquement et aux avantages qui en sont tirés, sans pouvoir excéder 3 % du chiffre d’affaires hors taxes du dernier exercice clos. Ce taux peut être porté à 5 % en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive.

III. Les modifications apportées par le Sénat

A. En commission

Lors de l’examen en commission spéciale, celle-ci a adopté deux amendements de M. Patrick Chaize, rapporteur :

– un amendement COM-117, de nature rédactionnelle ;

– un amendement COM-118, qui instaure une procédure de saisine de l’Autorité de la concurrence (ADLC) par l’Arcep lorsque cette dernière a connaissance d’abus de position dominante et de pratiques entravant le libre exercice de la concurrence dans le secteur de l’informatique en nuage, à l’instar de la procédure existante en matière de communications électroniques.

B. En séance publique

En séance publique, un amendement rédactionnel n° 139, présenté par le rapporteur M. Patrick Chaize, a été adopté.

IV. Les modifications apportées par LA COMMISSION

L’article 10 a été modifié à la suite de l’adoption, en commission spéciale, d’un de précision juridique CS919 de Mme Le Hénanff, rapporteure.

Chapitre II bis A Protection des données stratégiques et sensibles sur le marché de l’informatique en nuage

Article 10 bis A (supprimé)

Renforcement de la protection des données sensibles dans le cadre des offres d’informatique en nuage souscrites par les autorités publiques

L’article 10 bis A, introduit par le Sénat au stade de l’examen en séance publique, renforce la protection des données sensibles et stratégiques détenues par les fournisseurs de services d’informatique en nuage dans le cadre de leurs relations avec les autorités publiques.

Il crée à cette fin des obligations spécifiques tenant, pour les premiers, à une obligation de moyens concernant la protection de ces données, et, pour les secondes, à l’encadrement des conditions dans lesquelles elles sont autorisées à souscrire à une offre cloud des fournisseurs concernés.

Cet article a été supprimé lors de son examen en commission spéciale à l’Assemblée nationale.

Le droit en vigueur

A. Une protection des données personnelles assurée, en droit, par le règlement général pour la protection des données (RGPD)

Le règlement général pour la protection des données (RGPD) prévoit un ensemble de dispositions visant à garantir la sécurité des données personnelles des utilisateurs des services d’informatique en nuage.

Dans ce cadre, les offreurs de services d’informatique en nuage doivent respecter un certain nombre de principes, parmi lesquels :

– le principe de transparence, qui se traduit notamment par l’information des personnes physiques concernées de l’usage qui va être fait des données personnelles confiées ;

– le principe de la limitation du traitement de ces données : l’usage des données par l’offreur de services d’informatique en nuage doit se limiter à ce pour quoi l’utilisateur concerné a été informé ;

– le principe de sécurisation des données : les acteurs du cloud doivent, en conséquence, sécuriser l’hébergement des données afin d’éviter toute forme de fuite de données ;

– le principe de portabilité des données qui, en théorie, doit garantir la capacité de l’utilisateur – personne physique ou personne morale – à transférer ses données chez un autre offreur de services s’il le souhaite.

Ces garanties s’appliquent néanmoins aux seules données personnelles, et ont pour objet de protéger d’abord les personnes physiques. En conséquence, les entreprises concernées doivent, en cas de recours à ces solutions, vérifier notamment que l’offreur de services choisi offre des garanties de sécurité suffisantes et intégrer, dans les contrats passés avec celui-ci, un certain nombre de clauses spécifiques visant à la protection de ces données.

B. Plusieurs règlements ont vocation à compléter cette régulation, afin de mieux intégrer les enjeux de l’économie de la donnée

Le cadre juridique européen est en cours de construction en ce qui concerne la protection des données non personnelles.

Dans le cadre de la stratégie européenne pour la donnée et dans un double objectif de protection des données et de promotion de la souveraineté numérique européenne, plusieurs textes ont été élaborés ou sont en cours d’élaboration pour renforcer le niveau de régulation du marché de la donnée.

Le Data Governance Act (DGA) ([106]), adopté au mois de mai 2022, fixe le cadre juridique afférent au partage des données personnelles et non personnelles. Ce règlement doit favoriser le partage des données personnelles et non personnelles, en instaurant des structures d’intermédiation. Il encadre notamment la réutilisation de certaines catégories de données protégées du secteur public, et met en place des certifications obligatoires pour les fournisseurs de services d’intermédiation de données

Le Data Act (DA) ([107]), en cours de finalisation, vise, pour sa part, à assurer une meilleure répartition de la valeur issue de l’utilisation des données personnelles et non personnelles entre les acteurs de l’économie de la donnée.

Il contient un ensemble de dispositions visant à favoriser le partage de données entre entreprises et consommateurs, et à faciliter le changement de fournisseur de services d’informatique en nuage.

Il renforce à cette fin les obligations de transparence, d’interopérabilité, et de portabilité qui s’imposent à ces derniers, et prévoit des dispositions spécifiques devant prévenir le risque d’accès illicite de gouvernements de pays tiers aux données non-personnelles contenues dans le cloud.

Il prévoit, enfin, des obligations renforcées concernant les garanties que doivent apporter les fournisseurs de services en matière d’accès et de transfert de données à l’international (article 27).

Le présent projet de loi, dans son titre III, vise notamment à anticiper la mise en œuvre de ces régulations (Data Act), en intégrant d’ores et déjà un certain nombre d’obligations à destination des offreurs de services d’informatique en nuage.

C. Des dispositions parfois considérées comme insuffisantes pour protéger la souveraineté numérique nationale et européenne

Plusieurs rapports parlementaires ont souligné que la protection des données personnelles et non personnelles vis-à-vis des tentatives d’accès d’État-tiers apparaît en l’état tout à fait insuffisante.

En 2019, le rapport sur le « devoir de souveraineté numérique », présenté par le sénateur M. Gérard Longuet ([108]), prônait la nécessité « d’opposer fermement notre législation nationale et européenne au Cloud Act ou à toute autre norme se voulant porteuse d’un ordre juridique extraterritorial », en s’appuyant, au niveau national, sur un renforcement de la loi de blocage du 26 juillet 1968 ([109]), et à l’extension du RGPD « aux données non personnelles stratégiques des personnes morales, pour sanctionner les intermédiaires qui transmettraient aux autorités étrangères des données en dehors de ce mécanisme d’entraide administrative ou judiciaire » ([110]).

En 2021, un rapport de l’Assemblée nationale intitulé « Bâtir et promouvoir une souveraineté numérique nationale et européenne » ([111]), présenté par M. Philippe Latombe relevait, avec justesse, que ces inquiétudes étaient parfaitement fondées. Par son arrêt Schrems II ([112]), la Cour de justice de l’Union européenne, a en effet invalidé, en 2020, le Privacy Shield, c’est-à-dire la décision d’adéquation de la Commission européenne qui rendait possible le transfert de données entre les États-Unis et l’Europe, en raison « d’un niveau insuffisant de protection des données personnelles dans le cas de leur transfert à finalité commerciale vers le sol américain ». Le rapport plaidait, en conséquence, pour un effort de localisation des données sur le territoire européen et un renforcement de la législation nationale et européenne sur ce sujet.

Au niveau national, la doctrine « Cloud au centre » a permis de garantir un niveau de protection des données maximal pour les données les plus sensibles, via la mise en place d’une certification SecNumCloud par l’Agence nationale de la sécurité des systèmes d’information (Anssi). Cette certification a pour objectif d’identifier les prestataires considérés comme « de confiance » afin de garantir un niveau élevé de protection des données concernées. Elle garantit, entre autres, la localisation des données sur le sol européen et constitue une protection contre le risque d’application de législations extraterritoriales.

Enfin, au niveau européen, des négociations sont en cours concernant l’adoption d’un schéma européen de certification des services cloud (EUCS), dont l’objet est de définir les normes de sécurité qui s’imposent aux fournisseurs de services d’informatique en nuage.

II. Le dispositif proposé

L’article 10 bis A, en lien avec l’article 10 bis, introduit par voie d’amendement en séance au Sénat, par Mme Morin Desailly et M. Chaize ([113]) vient renforcer le niveau de protection des données stratégiques et sensibles traitées par les fournisseurs de services d’informatique en nuage.

Cet article inscrit dans le droit plusieurs obligations nouvelles pour les fournisseurs de services d’informatique en nuage, ainsi que pour les autorités publiques faisant usage de ces solutions.

Pour les fournisseurs de services d’informatique en nuage, est ainsi créée une obligation de prendre « toutes les mesures techniques et organisationnelles » nécessaires pour empêcher tout accès, direct ou indirect, non autorisé par les autorités publiques, d’un État tiers, à ces données. Sont ici concernées les données relevant des articles L. 311-5 et L. 311-6 du code des relations entre le public et l’administration – données relevant de secrets protégés par la loi ([114]) –, des données de santé à caractère personnel mentionnées à l’article L. 1111-8 du code de la santé publique, et toute donnée nécessaire « à l’accomplissement des missions essentielles de l’État ».

Pour les autorités publiques, est également créée une obligation légale de vérification de la sécurité de la solution cloud retenue pour l’hébergement des données précitées, qui se traduit, en pratique, par le contrôle du fournisseur de services d’informatique en nuage quant au respect de cette nouvelle obligation ainsi que par des garanties d’indépendance de ces fournisseurs de services vis-à-vis des États tiers.

Pour pouvoir recourir à une offre d’hébergement de données sensibles, les autorités publiques doivent ainsi s’assurer que le fournisseur choisi a installé son siège statutaire, son administration centrale ou son principal établissement sur le territoire d’un État membre de l’Union européenne et que « le capital et les droits de vote dans la société du prestataire retenu ne sont pas, directement ou indirectement, individuellement détenus à plus de 24 % et collectivement détenus à plus de 39 % par des entités tierces possédant leur siège statutaire, leur administration centrale ou leur principal établissement en dehors de l’Union européenne » .

Une garantie supplémentaire est ajoutée, puisque ces entités tierces « ne peuvent pas, individuellement ou collectivement, en vertu d’un contrat ou de clauses statutaires, disposer d’un droit de veto ou désigner la majorité des membres des organes d’administration de direction ou de surveillance du prestataire ».

III. Les modifications apportées par LA COMMISSION

Deux amendements identiques de suppression de l’article, CS933 et CS589, présentés respectivement par Mme Le Hénanff, rapporteure et Mme Clara Chassaniol (RE) ont été adoptés.

La commission a en effet estimé que le dispositif présentait de sérieuses difficultés d’ordre juridique, au regard du droit européen, et qu’il était dépourvu de portée opérationnelle réelle, faute de disponibilité suffisante de l’offre de cloud sécurisée qu’il entend viser.

Article 10 bis B (nouveau) Renforcement des exigences de sécurité relatives à l'hébergement des données de santé

Résultant de l’adoption d’un amendement de M. Philippe Latombe (Dem), l’article 10 bis B modifie l’article L. 1111-8 du code de la santé publique afin de rendre obligatoire le recours à une solution de services d’informatique en nuage certifiée par le référentiel SecNumCloud pour l’hébergement des données de santé.

Le droit en vigueur

L’hébergement des données de santé fait l’objet d’exigences spécifiques visant à garantir leur protection contre l’existence d’éventuelles fuites de données.

L’article L.1111-8 du code de la santé publique prévoit que toute personne physique ou morale à l’origine de la production ou du recueil de données de santé à caractère personnel à l’occasion d’activités de prévention, de diagnostic, de soins ou de suivi social et médico-social doit recourir à un hébergeur certifié ou agréé lorsqu’elle externalise la conservation de données dont elle est responsable.

Cette obligation s’applique à toute entité qui propose un service d’hébergement portant sur des données de santé à caractère personnel recueillies à l'occasion d'activités de prévention, de diagnostic, de soins ou de suivi social et médico-social et pour le compte du patient ou pour le compte des professionnels de santé, des établissements et services de santé et tout autre organisme réalisant des missions de prévention, de soins, de suivi médico-social et social à l’origine de ces données.

L’Agence du numérique en santé (ANS) a mis en place, dans ce cadre, un référentiel de certification « Hébergement de données de santé », dite « HDS ».

II. Le dispositif proposé

Résultant de l’adoption, malgré les avis défavorables de la rapporteure et du Gouvernement, de l’amendement CS765 de M. Philippe Latombe (Dem), l’article 10 bis B complète l’article L. 1111-8 du code de la santé publique par un alinéa prévoyant une obligation pour les fournisseurs de service d’informatique en nuage, à compter du 1er juillet 2024, d’être certifié par le référentiel SecNumCloud publié par l’Agence nationale de sécurité des systèmes d’information (Anssi) pour pouvoir héberger des données de santé.

Chapitre II bis Transparence sur le marché de l’informatique en nuage

Article 10 bis

Obligations renforcées de transparence et de sécurisation des données à destination des fournisseurs de services d’informatique en nuage

L’article 10 bis prévoit que les fournisseurs de services d’informatique en nuage et leurs intermédiaires sont soumis à des obligations de publicité et de transparence concernant le niveau de sécurité des données qu’ils hébergent.

Cet article additionnel, introduit par le Sénat en commission spéciale, n’a pas fait l’objet de modifications en séance publique.

Cet article a été modifié lors de son examen en commission spéciale à l’Assemblée nationale. Un amendement de rédaction globale a aligné son contenu sur les dispositions prévues à l’article 27 du règlement européen sur les données.

Le droit en vigueur

Voir le commentaire d’article de l’article 10 bis A.

II. Le dispositif proposé

L’article 10 bis est un article additionnel introduit par le Sénat au stade de l’examen en commission spéciale à la suite de l’adoption de deux amendements identiques COM-52 et COM-157 rect. bis présentés respectivement par Mme Blatrix-Contat et Mme Paoli.

Il crée une obligation, pour les fournisseurs de services d’informatique en nuage et leurs intermédiaires, de mettre à disposition du public et d’actualiser lorsque cela est nécessaire un certain nombre d’informations concernant :

– l’emplacement physique de leurs infrastructures informatiques déployées pour le traitement des données de leurs services individuels ;

– l’existence d’un risque d’accès gouvernemental aux données de l’utilisateur du service d’informatique en nuage ;

– la description des « mesures techniques, juridiques et organisationnelles » mises en œuvre par l’opérateur pour prévenir le risque précité, « lorsque ce transfert ou cet accès créerait un conflit avec le droit de l’Union européenne ou le droit national de l’État membre concerné ».

Cet article prévoit, en outre, que les sites internet des fournisseurs de services d’informatique en nuage et de leurs intermédiaires soient mentionnés au sein des accords contractuels.

Sa rédaction n’a fait l’objet d’aucune modification au stade de la séance publique.

III. Les modifications apportées par LA COMMISSION

Un amendement de rédaction globale, CS932, de la rapporteure Mme Anne Le Hénanff, a été adopté. Il procède à un alignement des dispositions de l’article 10 bis sur celles du règlement européen sur les données.

Chapitre III Régulation des services d’intermédiation des données

Article 11

Compétence de l’Arcep en matière de régulation des services d’intermédiation de données

L’article 11 désigne l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep) comme autorité compétente pour réguler les services d’intermédiation de données, conformément à l’article 13 du règlement pour la gouvernance européenne des données (Data Governance Act).

Cet article n’a pas fait l’objet de modification lors de son examen au Sénat.

Cet article a été modifié lors de son examen par la commission spéciale à l’Assemblée nationale afin d’aligner la rédaction de son alinéa 3 sur les dispositions de l’article 29 du règlement européen sur les données.

Le droit en vigueur

A. Une régulation de la donnÉe renforcée au niveau européen

Dans le cadre de la stratégie européenne pour la donnée, plusieurs règlements européens ont été adoptés afin de compléter la régulation mise en œuvre en matière de services numériques (règlement pour les services numériques) et de marchés numériques (règlement pour les marchés numériques).