Navigation – Plan du site
Chroniques

Chronique de jurisprudence des droits numériques 2016-2017

A Chronicle of Digital-Rights Case Law 2016-2017
Quentin Butavand, Léa Duval et Yann Paquier
p. 189-200

Résumés

Cette nouvelle chronique biennale fait son apparition dans un contexte particulier qu’est celui de l’avènement des droits numériques dans nos sociétés. Les auteurs mettent l’accent sur la consécration de principes directeurs à l’ère du numérique ainsi que sur l’évolution de leurs régimes juridiques, tout en prenant soin de les analyser d’un point de vue critique.

Haut de page

Plan

Haut de page

Texte intégral

1Cette chronique biennale fait son apparition dans un contexte particulier qui est celui de l’avènement des droits numériques dans nos sociétés. Le numérique a pour incidence de transformer des droits déjà reconnus et d’en consacrer de nouveaux. Cette publication s’intéressera à la consécration de principes directeurs à l’ère du numérique ainsi qu’à l’évolution de leurs régimes juridiques.

  • 1 Loi nº 2016-1321 du 7 octobre 2016 pour une République numérique.
  • 2 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protectio (...)
  • 3 Conformément à l’article 4, § 1 du règlement (UE) 2016/679, il faut comprendre par cette expression (...)
  • 4 Conformément à l’article 1er de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et (...)

2Pour cette première édition, la priorité a été donnée à l’étude des droits essentiels consacrés par la loi pour une République numérique (LRN) du 7 octobre 20161 et les articulations de cette loi avec le nouveau règlement européen pour la protection des données à caractère personnel (RGPD) du 27 avril 20162. Il s’agira d’évoquer les évolutions en matière de protection des données à caractère personnel3, notamment par le truchement du principe d’autodétermination informationnelle4 défini à l’article 1er de la loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés tel que modifié par la LRN (I). À cet égard, la LRN revalorise le rôle de la Commission nationale de l’informatique et des libertés (CNIL) dans la protection des données à caractère personnel (A). Cette loi et le nouveau RGPD reconnaissent de plus de nouveaux droits aux individus tels que le droit à l’oubli numérique (B) mais également le droit à la récupération et à la portabilité des données (C). La LRN prévoit aussi des dispositions relatives à la mort numérique (D).

3Le second champ d’étude de cette chronique porte sur le droit des outils numériques (II), dont le principe de neutralité du Net (A), le droit d’accès à Internet (B) et l’accès des personnes handicapées aux sites Internet publics (C). Pour finir, il sera question du droit à la transparence de certains codes sources (D).

I. La protection des données à caractère personnel

A. La revalorisation du rôle de la Commission nationale de l’informatique et des libertés (CNIL)

1. Une plus grande effectivité de la CNIL par une revalorisation de son pouvoir de sanction et de conseil

  • 5 Sont créées par l’article 59 de la LRN trois missions de la CNIL qui ne pourront être développées i (...)
  • 6 Il s’agit alors, par ces prérogatives renouvelées, de favoriser la conformité des comportements aux (...)

4La LRN transforme les pouvoirs et les missions de la CNIL5 de manière à améliorer l’effectivité6 de son action dans la protection des données à caractère personnel consacrée par l’article 8, alinéa 1er de la Charte des droits fondamentaux de l’Union européenne (CDFUE) en tant que droit fondamental ; disposition rattachée à l’article 8 de la Convention européenne des droits de l’homme (Convention EDH) qui consacre le droit au respect de la vie privée et familiale.

  • 7 Loi nº 2016-1321, art. 65.
  • 8 Règlement (UE) 2016/679, art. 83.
  • 9 Cette réforme confirme l’approche répressive présente au niveau européen depuis la directive du 24  (...)
  • 10 Loi nº 2016-1321, art. 64.
  • 11 Ibid.

5La revalorisation du rôle de la CNIL passe d’abord par une augmentation du plafond des sanctions pécuniaires pouvant être prononcées, celles-ci pouvant aller jusqu’à 3 millions d’euros et non plus 150 000 euros7. Cette revalorisation peut néanmoins sembler insuffisante et donc finalement peu dissuasive à l’égard des acteurs qui ne se conformeraient pas aux principes de la loi de 1978. Cela est particulièrement frappant au regard du RGPD qui entrera en vigueur le 24 mai 2018 et qui prévoit la possibilité d’infliger des amendes administratives pouvant s’élever jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent8. La revalorisation de son rôle répressif, qui va dans le sens de la politique européenne en la matière9, passe aussi par les nouvelles modalités de mise en demeure prévues à l’article 64 de la LRN. Le président de la CNIL a désormais la possibilité de fixer, « en cas d’extrême urgence », un délai de mise en conformité de vingt-quatre heures et non plus de cinq jours10. Enfin, la LRN prévoit la possibilité, inédite, pour la formation restreinte de la CNIL de prononcer des sanctions sans mise en demeure préalable et après une procédure contradictoire, quand le comportement ne peut être rendu conforme dans le cadre d’une telle mise en demeure11. Ce pouvoir de sanction directe devrait permettre à la CNIL de réprimer plus fréquemment et plus rapidement.

  • 12 Il s’agit d’avis, de recommandations ou encore de rapports. Sur la notion de « droit souple », voir (...)
  • 13 Céline Bloud-Rey observe que « ce n’est pas l’exercice effectif de son pouvoir de sanction qui lui (...)

6Parallèlement au renforcement de son pouvoir de sanction, son rôle de « conseiller » dans l’élaboration des normes est aussi revalorisé. Le but est d’accroître l’influence qu’elle exerce sur les décideurs de par son expertise et ses recommandations, sachant que c’est plus par ses instruments de droit souple12 que par la sanction que l’action de la CNIL a des répercussions13. Ainsi est prévue par l’article 59 de la loi une consultation systématique de la CNIL pour avis « sur tout projet de loi ou de décret ou toute disposition de projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données », ainsi qu’une publicité automatique de ses avis.

7En plus d’un pouvoir de sanction et de conseil renforcé, la collaboration de la CNIL avec ses homologues se trouve aussi revalorisée.

2. Une plus grande effectivité de la CNIL par la consécration d’une collaboration plus étroite avec les autres autorités de régulation

  • 14 J.-L. Autin, « Le devenir des autorités administratives indépendantes », Revue française de droit a (...)
  • 15 Règlement (UE) 2016/679, art. 70, § 1.

8L’amélioration des prérogatives de la CNIL et de son effectivité passe également par la volonté affichée par le législateur français et le législateur de l’Union de favoriser la coopération de la CNIL avec d’autres « autorités de régulation »14 chargées de la protection de données à caractère personnel. L’article 66 de la LRN permet à la CNIL, sous certaines conditions, de procéder à certaines vérifications à la demande d’une autorité analogue d’un État tiers à l’Union européenne mais aussi de lui communiquer des informations. Au niveau de l’Union européenne, le RGPD prévoit aux articles 60 à 67 toute une série de dispositions destinées à favoriser la coopération entre la CNIL et ses homologues européens. Cette coopération se fera sous la houlette du Comité européen de la protection des données dont la mission principale est de veiller à l’application cohérente du règlement15. Cette volonté de coopération renforcée avec d’autres autorités de régulation s’observe aussi au niveau national par l’article 61 de la LRN qui permet à la CNIL de « saisir pour avis » l’Autorité de régulation des communications électroniques et des postes (ARCEP). Celle-ci devenue, par la suite, gendarme de la neutralité du Net, peut également saisir la CNIL pour avis dans le cadre de l’article 61. Là aussi, cet avis peut être de nature à éclairer l’action de la CNIL.

B. Le droit à l’oubli numérique

1. Le droit au déréférencement

  • 16 CJUE, GC, 13 mai 2014, Google Spain SL et Google Inc. c. Agencia Española de Protección de Datos et (...)

9La Cour de justice de l’Union européenne (CJUE) a reconnu, sur le fondement de la CDFUE et de la directive 95/46/CE du 24 octobre 1995, le droit au déréférencement16. Les juges ont considéré qu’un individu peut demander à ce qu’une information le concernant ne soit plus mise à disposition du grand public par l’intermédiaire d’un moteur de recherche. L’information n’est pas effacée puisqu’elle demeure sur le site Internet source, mais n’est plus référencée par le moteur de recherche. Le juge de l’Union en a opéré une conciliation avec d’autres droits en précisant que :

  • 17 Ibid., § 97.

[…] ces droits prévalent, en principe, non seulement sur l’intérêt économique de l’exploitant du moteur de recherche, mais également sur l’intérêt de ce public à trouver ladite information lors d’une recherche portant sur le nom de cette personne17.

  • 18 Ibid.

10Toutefois, ce droit n’est pas absolu puisque si une personne physique joue un rôle particulier dans la vie publique, et qu’il en va de l’intérêt prépondérant du public de connaître cette information, le déréférencement ne pourra pas être mis en œuvre18.

  • 19 CE, Ass., 24 février 2017, nº 391000, publié au Recueil Lebon.

11Cette décision novatrice pose encore question : le Conseil d’État a d’ores et déjà été confronté à l’application de la jurisprudence Google Spain, mais estime que les conditions de mise en œuvre de ce droit ne sont pas suffisamment précises. Il a d’ailleurs soulevé une question préjudicielle auprès de la CJUE à ce propos19.

2. Le droit à l’effacement des données à caractère personnel

  • 20 Règlement (UE) 2016/679, art. 17.
  • 21 Conformément à l’article 4, § 7 du règlement (UE) 2016/679, il faut comprendre par cette expression (...)
  • 22 Voir les conditions de l’article 17, § 1, § 2, § 3 du règlement (UE) 2016/679.

12Le RGPD, qui entrera en vigueur en le 24 mai 2018, abrogera la directive 95/46/CE du Parlement européen du 24 octobre 1995, et ira plus loin en consacrant un droit à l’effacement des données20 : il s’agit de la possibilité pour toute personne physique d’obtenir du responsable du traitement21 l’effacement des données à caractère personnel22.

13Il peut paraître regrettable qu’à l’heure où de nombreuses données sont stockées, alors même que nous sommes incapables de connaître avec exactitude qui détient nos données et dans quelles proportions, il ne s’agisse que d’un droit de l’individu et non d’une obligation du responsable du traitement.

  • 23 Loi nº 2016-1321, art. 63.
  • 24 Ibid.

14La LRN prévoit de plus un droit à l’effacement accéléré pour les données à caractère personnel collectées lorsque la personne est mineure23. Ces données personnelles devront être effacées par le responsable du traitement dans les meilleurs délais. Ce droit n’est pas absolu, car il se cantonne aux données collectées « dans le cadre de l’offre de services de la société de l’information »24.

  • 25 Règlement (UE) 2016/679, art. 17, § 3.
  • 26 Ibid., art. 17, § 3 b.
  • 27 Ibid., art. 17, § 3 e.

15Le RGPD opère aussi, tout comme la CJUE avec le droit au déréférencement, une conciliation avec les autres droits25. Ce droit ne s’applique pas lorsque le traitement est nécessaire à l’exercice du droit à la liberté d’expression et d’information ; ni si le respect d’une obligation légale nécessitant un traitement est prévu par le droit de l’Union, ou par le droit de l’État membre auquel le responsable du traitement est soumis, « ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement »26. Des motifs d’intérêts publics dans les domaines de la santé publique, de l’archivistique, de la recherche scientifique ou historique l’emportent également sur le droit à l’effacement. Il en va de même pour ce qui touche « à la constatation, à l’exercice ou à la défense de droits en justice »27.

16Dans ce cadre, les responsables du traitement ont l’obligation, au titre de l’article 19 du RGPD, de notifier l’effacement de données à caractère personnel, « à moins que [cette] communication se révèle impossible ou exige des efforts disproportionnés ».

*

17Ces deux droits – droit au déréférencement et droit à l’effacement des données – ne concernent pas les personnes morales, et participent à la mise en œuvre du droit à l’oubli numérique. Au-delà de la reconnaissance de ces droits et de la construction de leur régime juridique, c’est bel et bien la question de l’effectivité de ces derniers qui se pose, notamment à travers la problématique de l’extraterritorialité du droit.

C. Le droit à la portabilité des données

1. Un droit à la récupération et à la portabilité des données à caractère personnel par les personnes physiques

  • 28 Ibid., art. 20.

18Le RGPD traite de la récupération et de la portabilité des données à caractère personnel et non des données au sens large28. Toute personne physique a le droit de recevoir les données à caractère personnel qu’elle a pu fournir à un responsable du traitement, notamment dans le but de les transmettre à un autre responsable du traitement.

  • 29 Ibid., § 4 du préambule.

19Les personnes morales sont exclues de ce dispositif : fondé sur l’article 8 de la CDFUE, le traitement des données à caractère personnel est « conçu pour servir l’humanité »29 et il convient donc de protéger les individus.

  • 30 Ibid., art. 6, § 1 a.
  • 31 Ibid., art. 6, § 1 b.
  • 32 Ibid., art. 20, § 1 b.
  • 33 Pour plus de précisions, voir les conditions du règlement (UE) 2016/679, art. 9, § 2.

20Ce droit peut être mis en œuvre lorsque la personne a consenti au traitement de ses données à caractère personnel dans le cadre d’une finalité particulière30 : tel est le cas si « le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci »31. Il en va de même si le traitement est effectué à l’aide de procédés automatisés32. Dans l’hypothèse où un individu a consenti au traitement de données à caractère personnel sensibles, pour certaines finalités, le droit de l’Union lui permet tout de même d’obtenir la récupération de ses données33.

  • 34 Ibid., art. 20, § 1.
  • 35 Ibid., art. 20, § 2.

21Le responsable du traitement doit fournir les données dans un format structuré, couramment utilisé et lisible par la machine34. La personne concernée pourra même obtenir que les données énumérées précédemment soient directement transmises d’un responsable du traitement à l’autre lorsque c’est techniquement possible35. Il s’agit donc de garantir l’interopérabilité des données d’un système à l’autre.

  • 36 Ibid., art. 20, § 3.

22L’exercice de ce droit n’empêche pas de recourir au droit à l’effacement des données à caractère personnel prévu par l’article 17 du RGPD. Néanmoins, le droit à la récupération et à la portabilité ne s’applique pas « au traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement »36. Enfin, ce droit ne doit pas porter atteinte aux droits et libertés de tiers.

2. Un droit à la récupération et à la portabilité des données par le consommateur

  • 37 Art. L. 224-42-1 du Code de la consommation.
  • 38 Voir supra.

23La LRN a souhaité aller plus loin en permettant cette fois-ci non pas à toute personne physique mais plus particulièrement au consommateur de récupérer et de demander la portabilité de ses données37 : il s’agit donc d’élargir le type de données concerné. Cette disposition ne concerne que les données qui ne sont pas à caractère personnel puisque le RGPD fixe les règles dans ce domaine38.

  • 39 Loi nº 2016-1321, art. 48.

24Ce droit est applicable sous réserve du secret en matière commerciale et industrielle ainsi que du respect des droits d’auteur39. En l’absence de tels préjudices pour le responsable du traitement, le consommateur peut demander la récupération gratuite de tous les fichiers qu’il a pu mettre en ligne. Pour cela, il doit adresser une requête unique au fournisseur afin de récupérer les données ou les fichiers concernés, comme

  • 40 Art. L. 224-42-3 2° du Code de la consommation.

[…] toutes les données résultant de l’utilisation du compte utilisateur du consommateur et consultables en ligne par celui-ci, à l’exception de celles ayant fait l’objet d’un enrichissement significatif par le fournisseur en cause40.

25L’enrichissement est présumé non significatif, mais ces cas de figure seront précisés par voie réglementaire. Cette approche fait écho au débat relatif à la patrimonialisation des données.

  • 41 Ibid.

26De plus, ces données doivent être récupérables « dans un standard ouvert, aisément réutilisable et exploitable par un système de traitement automatisé »41.

  • 42 Art. L. 224-42-3 3° du Code de la consommation.

27D’autres données associées au compte utilisateur du consommateur42, qui seront également précisées par voie réglementaire, peuvent aussi être récupérées par le consommateur. Toutefois, le législateur précise que ces données doivent être identifiées en prenant

  • 43 Art. L. 224-42-3 3° b du Code de la consommation.

[…] en compte l’importance économique des services concernés, l’intensité de la concurrence entre les fournisseurs, l’utilité pour le consommateur, la fréquence et les enjeux financiers de l’usage de ces services43.

  • 44 Art. L. 224-42-3 du Code de la consommation.

28Ces données doivent également être restituées dans un standard aisément réutilisable et ouvert. À défaut, le fournisseur doit informer le consommateur des modalités alternatives de récupération de ces données et préciser « les caractéristiques techniques du format du fichier de récupération, notamment son caractère ouvert et interopérable »44.

29Par ailleurs, ce droit ne s’applique pas

  • 45 Art. L. 224-42-4 du Code de la consommation.

[…] aux fournisseurs d’un service de communication au public en ligne dont le nombre de comptes utilisateurs ayant fait l’objet d’une connexion au cours des six derniers mois est inférieur à un seuil fixé par décret45.

D. Le droit à la mort numérique

1. La consécration du droit à la mort numérique : une réforme complexe mais incomplète ?

  • 46 « L’identité numérique est le plus souvent composée d’un compte personnel, d’un mot de passe et d’u (...)
  • 47 Au niveau européen, le règlement (UE) 2016/679 n’impose pas aux États de prévoir des législations p (...)
  • 48 Pour deux points de vue contraires sur la question voir M. Amblard, « Le devenir de nos données per (...)

30La mort numérique est le droit reconnu aux personnes d’organiser le sort de leurs données à caractère personnel numériques – c’est-à-dire de leur identité numérique46 – après leur mort. Ce droit est consacré par l’article 63 de la LRN47. Cette disposition confère à toute personne le droit de déterminer des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès. Ces directives sont alors générales ou particulières. L’article 63 définit les premières comme celles qui sont relatives à l’ensemble des données à caractère personnel de la personne concernée et qui peuvent être enregistrées auprès d’un tiers de confiance numérique qui doit être certifié par la CNIL. Les secondes sont, selon le législateur, celles qui « concernent les traitements de données à caractère personnel mentionnés par ces directives » et sont enregistrées auprès du responsable du traitement concerné, c’est-à-dire l’opérateur. L’article 63 insiste bien sur le fait que ces directives particulières doivent faire l’objet du consentement spécifique de la personne et ne peuvent simplement découler de l’acceptation par la personne des conditions générales d’utilisation. Il est ensuite prévu que la personne concernée puisse, de par ces directives, désigner une personne qui sera en charge de leur exécution. Si le titulaire des droits concernés n’opère aucune désignation, ou si la personne désignée décède, dans ce cas les héritiers ont alors la prérogative de prendre connaissance des directives et de demander au responsable du traitement leur application. Enfin, en l’absence de directives ou de mentions contraires dans ces dernières, ce sont les héritiers de la personne concernée qui ont la possibilité d’exercer les droits du défunt. La question qui se pose est alors celle de savoir si est opérée une translation des droits du défunt sur ses données à caractère personnel à l’héritier ou s’il s’agit de nouveaux droits qui sont concédés sur ces données48.

  • 49 Voir M. Amblard, « Le devenir de nos données personnelles… ».

31Si la loi semble régler avec précision les modalités de la mort numérique, elle reste silencieuse par exemple sur des situations qui pourraient advenir comme celle où la personne concernée n’a laissé aucune directive quant à ses données à caractère personnel et ne dispose d’aucun héritier49.

32Si la loi opère une consécration de la mort numérique imparfaite, elle est néanmoins souhaitable car elle apporte une réponse au problème de « l’éternité numérique ».

2. Une réforme souhaitable pour traiter la question de « l’éternité numérique »

  • 50 J. Groffe, « La mort numérique », Recueil Dalloz, 2015, p. 1609 sq.
  • 51 Cette réforme, souhaitable, avait néanmoins été précédée d’une période pendant laquelle certaines g (...)
  • 52 Voir C. Pérès, « Les données à caractère personnel et la mort… ».
  • 53 Ibid.
  • 54 Ibid.
  • 55 CNIL, délibération nº 2015-414 du 19 novembre 2015 portant avis sur un projet de loi pour une Répub (...)
  • 56 M. Amblard, « Le devenir de nos données personnelles… ».

33De par l’expansion des technologies numériques, l’individu a non seulement une vie et une identité « physique » qui s’acquiert à la naissance et s’éteint au décès et qui correspond donc à la notion de personnalité juridique ; mais aussi une identité « numérique » qui, elle, en est complètement détachée. Cette réforme est donc souhaitable dans la mesure où elle permet à l’individu d’avoir une emprise sur son identité numérique après sa mort. Elle lui permet de faire valoir sa volonté sur ce qu’elle souhaite laisser de ses données personnelles après son décès. Cette loi met donc un terme à « l’éternité numérique »50 qui s’imposait auparavant aux personnes, même si quelques aménagements en la matière existaient et permettaient aux héritiers d’avoir une certaine emprise sur le statut de la personne décédée51. L’article 40 de la loi du 6 janvier 1978 offrait ainsi la possibilité aux héritiers d’exiger du responsable d’une plateforme « qu’il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence ». En dépit de cette possibilité, la règle était, pour les « conditions générales d’utilisation », de prévoir l’indisponibilité des données à caractère personnel de l’individu. En effet, il était monnaie courante que des grandes compagnies comme Facebook ou Google incluent des « clauses de non transmissibilité pour cause de mort ». Ces clauses étaient en plus conçues de manière unilatérale, et témoignaient d’une impossibilité pour la personne d’avoir une emprise sur le sort de son identité numérique après sa mort52. Les professionnels du numérique arguaient ainsi du consentement que le défunt a apporté, lors de l’élaboration du contrat, à ces conditions générales « pour refuser à la famille tout accès au contenu des comptes et toute transmission à ses héritiers de valeurs numériques »53. La justification de cette indisponibilité donnée par les fournisseurs de services était la volonté de protéger la vie privée de la personne concernée, ce qui était critiquable dans la mesure où le droit au respect de la vie privée étant un droit personnel, il s’éteint logiquement au décès de la personne54. Bien plus, une telle indisponibilité résultait aussi des principes classiques du droit successoral avec lesquels la LRN est en complète rupture. Cette dernière prévoit la possible transmission de droits relatifs aux données à caractère personnel du défunt à un tiers. Il s’agit donc de transmettre des droits personnels – des droits qui ici se rattachent au droit à la protection de la vie privée – qui selon les principes du droit des successions s’éteignent au décès de la personne et sont normalement donc intransmissibles. C’est ce qui ressortait par exemple de l’arrêt du Conseil d’État M. F. du 27 avril 2011 et de l’avis de la CNIL sur le projet de loi pour une République numérique rendu le 19 novembre 201555. La loi, selon certains, en s’inscrivant en dehors de ces règles successorales, qui subsistent aujourd’hui, « consacre un régime dérogatoire »56.

  • 57 Voir supra.
  • 58 M. Cahen, « Identité et mort numérique ».

34Comme l’observe Murielle Cahen, si la mort numérique a été consacrée par le législateur, il ne s’agit nullement d’un droit à l’oubli ou d’un droit au déréférencement57 qui s’exercerait au-delà de la mort. En effet, l’opportunité et les modalités d’application d’un tel droit demeurent des questions non résolues58.

II. Le droit des outils numériques

A. La neutralité du Net

1. La consécration de la neutralité du Net en droit français : l’option de la régulation choisie par le législateur

  • 59 T. Wu, « Network Neutrality, Broadband Discrimination », Journal of Telecommunications and High Tec (...)
  • 60 C. Petillon, « C’est quoi la neutralité du net ? », 27 octobre 2015, en ligne sur le site de France (...)

35La neutralité du Net, concept inventé par le juriste américain Tim Wu dans un article paru en 200359, est le « principe selon lequel les tuyaux n’ont pas d’avis »60. L’imposer

[…] est une manière de s’assurer que l’ensemble des contenus publiés sur internet, quel que soit leur émetteur et leur(s) destinataire(s), sont traités de la même manière par les fournisseurs d’accès à internet. Donc, que personne ne bénéficie d’un accès privilégié61.

  • 62 « […] les pouvoirs publics peuvent imposer aux opérateurs de bloquer ou au contraire de favoriser c (...)
  • 63 CE, Étude annuelle : le numérique et les droits fondamentaux, p. 93.

36Il s’agit entre autres d’éviter qu’un fournisseur d’accès ne favorise un certain fournisseur de contenu en échange d’un versement financier. Ce principe n’est néanmoins pas absolu. Il peut d’abord faire l’objet de restrictions légitimes62, même si celles-ci sont parfois contestées. Ensuite, celui-ci repose plus sur la technique du « meilleur effort » (best effort) : « chaque opérateur fait de son mieux pour assurer la transmission de tous les paquets de données qui transitent par son réseau, sans garantie de résultat et sans discrimination »63.

  • 64 Réflexion débutée au niveau européen en 2009 avec l’adoption du troisième paquet télécommunications (...)
  • 65 Par exemple, l’ARCEP a, entre autres, formulé en 2010 dix recommandations non contraignantes. Pour (...)
  • 66 Loi nº 2016-1321, art. 46.
  • 67 Voir J.-L. Autin, « Le devenir des autorités administratives indépendantes ». On peut dresser un pa (...)
  • 68 Voir note de bas de page 13.
  • 69 D. Necib, « Vers une régulation “nouvelle génération” : la loi République numérique passée au cribl (...)
  • 70 Pour plus de précision sur le « pouvoir de sanction » de l’ARCEP, voir « Rétablissement du pouvoir (...)
  • 71 Loi nº 2016-1321, art. 43. Ce pouvoir d’enquête inclut par exemple la possibilité pour les fonction (...)
  • 72 Pour les compétences traditionnelles de l’ARCEP, voir « Les compétences de l’ARCEP », en ligne sur (...)

37C’est l’article 40 de la LRN qui, à la suite d’un processus de réflexion tant européen64 que national65, consacre ce principe de neutralité du Net dans l’ordre juridique national. L’ARCEP, qualifiée par la LRN d’autorité administrative indépendante (AAI)66, reçoit la mission de veiller au respect de ce principe. La LRN s’inscrit donc dans ce mouvement de multiplication de création d’AAI dans des secteurs variés67 et dans la tendance à faire appel à la régulation68 et au droit souple dans la mise en œuvre des droits qui découlent du numérique. L’objectif premier de l’ARCEP est d’arriver à rendre conforme le comportement des agents par le biais de la discussion. La sanction est donc destinée à être avant tout « un outil de dissuasion utilisé de façon très sélective »69. Si la sanction70 est destinée à être employée de manière secondaire, il n’en demeure pas moins que le législateur confie expressément un pouvoir d’enquête71 et de sanction à l’ARCEP faisant d’elle un véritable « gendarme » de la neutralité du Net72.

38Les modalités de consécration de la neutralité du Net dans la LRN témoignent, en plus d’une volonté d’opter pour la régulation, celle de consacrer un principe qui est une condition même au bon fonctionnement de nos démocraties numériques.

2. Une consécration fondamentale : la neutralité, un principe essentiel aux démocraties numériques

  • 73 Conseil national du numérique, avis Net neutralité nº 2013-1 du 1er mars 2013.

39Elle conditionne d’abord l’exercice des libertés d’expression73, de communication et d’information consacrées entre autres par les articles 10 et 11 de la Déclaration des droits de l’homme et du citoyen du 26 août 1789 (DDHC) et par l’article 10 de la Convention EDH. La neutralité du Net signifiant l’absence de discriminations dans la distribution des contenus sur Internet, celle-ci doit permettre à toute personne et à tout citoyen de pouvoir s’exprimer ou s’informer sur le Web sans aucune restriction – sauf celles légitimes. Le législateur en consacrant ce principe de neutralité remplirait même les objectifs à valeur constitutionnelle de pluralisme et de transparence qui correspondent aux nécessités de protéger la liberté du destinataire de l’information et celle de l’émetteur de l’information, corollaires à la liberté d’expression. La consécration de la neutralité du Net constitue un premier pas important dans nos démocraties numériques, elle doit permettre le pluralisme d’idées nécessaire aux sociétés démocratiques.

  • 74 Voir par exemple CC, déc. nº 81-132 DC du 16 janvier 1982, Loi de nationalisation.

40La liberté d’entreprendre, qui selon le Conseil constitutionnel74 découle de l’article 4 de la DDHC, est aussi directement concernée par le principe de neutralité du Net. En effet, celle-ci inclut la liberté pour la personne d’exploiter son entreprise et d’exercer son activité. Or, la garantie qui lui est reconnue par le principe de neutralité du Net de pouvoir faire sa publicité sur Internet sans que le contenu qu’il propose ne soit entravé est indéniablement un atout précieux dans l’exploitation de son entreprise.

  • 75 CC, déc. nº 2009-580 DC du 10 juin 2009, Loi favorisant la diffusion et la protection de la créatio (...)

41La reconnaissance de la neutralité du Net par la loi permet aussi la réalisation d’un droit fondamental que l’on peut considérer comme nouveau car lié à l’apparition et au développement du numérique. Il s’agit du droit d’accès à Internet qui selon le Conseil constitutionnel découle de la liberté de communication consacrée à l’article 11 de la DDHC75. Or, un tel droit semble indispensable aux sociétés démocratiques numériques dans lesquelles nous vivons dans la mesure où il conditionne l’exercice de tous les autres droits.

B. Le droit d’accès à Internet

1. La proclamation du droit au maintien de la connexion à Internet

  • 76 Loi nº 2016-1321, art. 108, I, 2°.

42Le droit au maintien de la connexion à Internet, tel qu’il est consacré dans la LRN, consiste en la possibilité de conserver un accès à Internet, malgré des difficultés financières empêchant le paiement d’un abonnement. Dans ce cas, le service d’accès à Internet est maintenu, pour laisser au fonds de solidarité situé dans chaque département le temps de statuer sur la demande d’aide. Il s’agit donc d’un droit au maintien de la connexion qui s’exerce de manière temporaire, mais également de manière limitée, car le fournisseur d’accès a la possibilité de restreindre cet accès, « sous réserve de préserver un accès fonctionnel aux services de communication au public en ligne et aux services de courrier électronique »76.

  • 77 Art. L. 115-3, al. 1er du Code de l’action sociale et des familles : « Dans les conditions fixées p (...)

43La modification de l’alinéa 1er de l’article L. 115-3 du Code de l’action sociale et des familles77, en instituant le droit d’accès à Internet au même rang que la fourniture d’eau, d’énergie ou de téléphone, permet de se rendre compte de l’importance prise par Internet, et comprise par la loi. Celle-ci, en reconnaissant un droit d’accès à Internet malgré le non-paiement, va encore plus loin que ne l’avaient d’abord fait le juge constitutionnel et les juges européens.

  • 78 Art. 11 de la DDHC : « La libre communication des pensées et des opinions est un des droits les plu (...)

44Le Conseil constitutionnel, dans sa décision du 10 juin 2009, avait en effet indiqué que l’article 11 de la DDHC78 impliquait :

  • 79 CC, déc. nº 2009-580 DC, cons. 12.

[…] en l’état actuel des moyens de communication et eu égard au développement généralisé des services de communication au public en ligne ainsi qu’à l’importance prise par ces services pour la participation à la vie démocratique et l’expression des idées et des opinions […]79

  • 80 CJUE, 24 novembre 2011, Scarlet Extended SA c. Société belge des auteurs, compositeurs et éditeurs (...)
  • 81 Cour EDH, 18 décembre 2012, Ahmet Yildirim c. Turquie, nº 3111/10, § 54.

la liberté d’accéder à ces services. Ce faisant, le Conseil liait la liberté d’accès à Internet à l’exercice de la liberté de communication et n’en faisait pas une liberté autonome. Au sein de l’Union européenne, la CJUE, en censurant une mesure de filtrage demandée par une société d’auteurs et de compositeurs à un fournisseur d’accès Internet, au titre de la liberté d’entreprendre, mais également au titre de la liberté d’expression des clients du fournisseur, consacrait une forme de liberté d’accès à Internet80. Elle a ensuite été suivie par la Cour européenne des droits de l’homme, dans son arrêt Ahmet Yildirim du 18 décembre 2012, dans lequel elle reconnaissait Internet comme « un des principaux moyens d’exercice par les individus de leur droit à la liberté d’expression et d’information »81.

  • 82 Livre vert sur le développement du marché commun des services et équipements des télécommunications (...)
  • 83 Directive 97/67/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant des règles co (...)
  • 84 Directive 2002/22/CE du Parlement européen et du Conseil du 7 mars 2002 concernant le service unive (...)

45Cette liberté d’accès à Internet, dans la LRN, tend à s’autonomiser, puisque la loi ne fait en aucun cas référence à la liberté d’expression pour justifier le droit au maintien de la connexion. Cette autonomisation peut être liée à la nature d’Internet, qui a été qualifié par l’Union européenne de service universel. Ce concept, dégagé par l’Union dans un livre vert de 1987, a été défini comme un « service minimum déterminé, d’une certaine qualité, offert à tous les utilisateurs à un prix abordable, fondé sur les principes d’universalité, d’égalité et de continuité »82. Cette définition a été reprise par une directive de 199783, relative au service des postes. Enfin, la notion de service universel a été appliquée aux services Internet avec une directive de 200284.

2. Les incertitudes liées à l’accès aux infrastructures

  • 85 ARCEP, Rapport sur la couverture et la qualité des services mobiles en France métropolitaine, novem (...)

46La qualité de service universel a également pu influer sur la mise en place d’infrastructures permettant l’accès à Internet. En effet, la liberté d’accès à Internet, ainsi que le droit au maintien de la connexion ne peuvent s’exercer que si les individus ont la possibilité d’être raccordés à Internet. Or, certains endroits, que l’ARCEP a qualifiés de « zones blanches »85, ne sont couverts par aucun opérateur mobile. La définition peut être étendue aux zones qui ne sont pas reliées au haut débit Internet (ADSL) et encore moins au très haut débit (fibre). Elles correspondent à des lieux qui ne sont guère peuplés, souvent des zones rurales, où les opérateurs privés n’ont aucun intérêt à s’installer car ils ne feront aucun bénéfice. Ainsi, lorsque les opérateurs n’ont pas mis en place ces infrastructures, l’article L. 1425-1 du Code général des collectivités territoriales autorise les collectivités territoriales à construire et exploiter ces infrastructures et réseaux de communications électroniques, et à les mettre ensuite à disposition d’opérateurs, ou d’utilisateurs de réseaux indépendants. En l’absence d’une telle initiative privée, la collectivité pourra fournir elle-même, aux utilisateurs finals, les services de communication électronique.

47Pour autant, malgré ces dispositions, les inégalités entre les territoires restent prégnantes, ce qui explique les dispositions en matière de couverture numérique contenues dans la LRN.

  • 86 Loi nº 2016-1321, art. 79.
  • 87 Ibid., art. 69.
  • 88 Loi nº 2009-1572 du 17 décembre 2009 relative à la lutte contre la fracture numérique, art. 23.

48Si la loi augmente les sanctions pécuniaires des opérateurs n’ayant pas rempli leur obligation de couverture numérique d’une zone86, elle favorise également, dans son article 72, les investissements des collectivités territoriales en matière d’infrastructures destinées à étendre la couverture numérique du territoire, par les réseaux de téléphonie mobile, puisqu’elle les rend éligibles au fonds de compensation de la taxe sur la valeur ajoutée (FCTVA). Dans le cadre de ce fonds, l’État aidera financièrement les collectivités. Enfin, la loi renforce également la stratégie numérique des territoires, puisqu’elle permet aux régions et aux départements de mettre en œuvre une stratégie de développement des usages et des services numériques, au sein des schémas directeurs territoriaux d’aménagement numérique87, schémas créés par la loi sur la fracture numérique88. Ces différentes dispositions visent à équilibrer l’offre de services numériques, pour aller vers une couverture maximale et se rapprocher de l’égalité entre les différents territoires. Pour autant, les différences de débit selon les zones restent importantes, et la loi, si elle favorise et permet aux collectivités territoriales d’intervenir en la matière, ne les contraint pas.

  • 89 L. Marino, « Le droit d’accès à internet, nouveau droit fondamental », Recueil Dalloz, 2009, p. 204 (...)

49La LRN, en reconnaissant le droit au maintien de la connexion à Internet, n’implique pas pour autant le droit d’être connecté à Internet, ni un droit « à l’accès à internet »89, ce qui semble paradoxal. Comment la liberté d’accès à Internet peut-elle s’exercer lorsque la connexion est matériellement impossible ?

50Enfin, les dispositions de la LRN visant à résorber la fracture numérique pour les personnes n’ayant plus les moyens de payer un abonnement, et celles qui se trouvent dans des zones plus isolées, ne s’intéressent pas aux personnes ne maîtrisant pas les outils liés à Internet, ce qui se traduira par des inégalités saillantes.

C. L’accès des personnes handicapées aux sites Internet publics

51Si le développement des nouvelles techniques de l’information et de la communication (Internet, smartphones, technique wifi, etc.) est facteur d’avancées, notamment au regard des services publics (dématérialisation de procédures, services administratifs en ligne), il peut également creuser certaines inégalités, notamment à l’égard des personnes handicapées. En effet, de nombreux handicaps, qu’ils soient « visuels, auditifs, physiques, de parole, cognitifs et neurologiques »90, rendent difficile l’accès au Web. Sans l’intervention du législateur pour rendre les sites Internet publics accessibles, il est à craindre que les personnes handicapées se trouvent d’autant plus fragilisées et exclues par le développement des nouvelles technologies. Une nouvelle fois, c’est le risque d’une fracture numérique qui est envisagé.

  • 91 Loi nº 2005-102 du 11 février 2005 pour l’égalité des droits et des chances, la participation et la (...)
  • 92 Arrêté du 21 octobre 2009 relatif au référentiel général d’accessibilité pour les administrations.

52C’est pourquoi la LRN rappelle le principe de l’accessibilité des personnes handicapées aux sites Internet publics. Cela étant, ce principe avait déjà été affirmé par l’article 47 de la loi pour l’égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées du 11 février 2005. Cet article consacre l’accessibilité des « services de communication au public en ligne des services de l’État, des collectivités territoriales et des établissements publics qui en dépendent »91. Pour le détail des règles d’accessibilité, cet article renvoie à un décret en Conseil d’État, décret qui n’a été pris que le 16 mai 2009. Ce décret renvoie lui-même à un référentiel, adopté par un arrêté du 21 octobre 200992, fixant

  • 93 Décret nº 2009-546 du 14 mai 2009 pris en application de l’article 47 de la loi nº 2005-102 du 11 f (...)

[…] les règles techniques, sémantiques, organisationnelles et d’ergonomie que doivent respecter [les] services [de l’État, des collectivités territoriales et des établissements publics qui en dépendent] de communication publique en ligne afin d’assurer aux personnes handicapées la réception et la compréhension de tout type d’information diffusée sous forme numérique, de leur permettre d’utiliser ces services et, le cas échéant, d’interagir avec ces derniers93.

53Ce texte a été abrogé par un arrêté du 29 avril 201594 mettant en place une nouvelle version du référentiel. Celui-ci pose quatre grands principes d’accessibilité : le site Internet doit être perceptible, c’est-à-dire qu’il peut être « saisi par les organes des sens ». Concrètement, cela revient à présenter de façon différente les contenus des sites, en proposant des alternatives textuelles pour tous les contenus n’étant pas des textes, et ensuite à présenter ces contenus textuels sous des formes adaptées : grands caractères, braille, synthèse vocale, symboles ou langage simplifié. Les sites doivent également être utilisables, ce qui passe notamment par la possibilité d’utiliser seulement le clavier pour parcourir le site, mais également par l’apport d’« éléments d’orientation pour naviguer, trouver le contenu et se situer dans le site »95. Les sites doivent aussi répondre à un critère de compréhensibilité, ce qui implique qu’ils soient lisibles, qu’ils fonctionnent correctement et qu’ils « aid[ent] l’utilisateur à éviter et à corriger les erreurs de saisie »96. Enfin, les sites Internet publics doivent être robustes, ce qui implique l’optimisation de « la compatibilité avec les agents utilisateurs actuels et futurs, y compris avec les technologies d’assistance »97.

54Permettre aux personnes handicapées d’accéder au Web est une idée dégagée dès 1996 par le World Wide Web Consortium, une organisation à but non lucratif ayant pour objectif de standardiser les différentes technologies entre les États. Elle a lancé le projet Web Accessibility Initiative, qui s’est intéressé à l’accessibilité du Web, signifiant

[…] que les personnes en situation de handicap peuvent utiliser le Web. Plus précisément, qu’elles peuvent percevoir, comprendre, naviguer et interagir avec le Web, et qu’elles peuvent contribuer sur le Web98.

55Elle a ensuite publié des règles d’accessibilité au contenu Internet (« Web Content Accessibility Guidelines »), d’abord en 1999, puis en 2008, qui définissent les principes et critères pour que le Web soit accessible, sur lesquels se fonde le référentiel adopté dans l’arrêté de 2009, et modifié dans l’arrêté de 2015.

56Ainsi, malgré l’absence de définition de l’accessibilité et des critères qui y sont liés par la LRN, il est très possible que les futurs décrets d’application renvoient à ce référentiel. En effet, la seule nouveauté de la loi est d’élargir les exigences d’accessibilité des sites Internet publics aux organismes délégataires d’une mission de service public et aux entreprises dont le chiffre d’affaires dépasse un certain seuil, seuil déterminé par un décret en Conseil d’État qui n’a pas encore été adopté. Le législateur marque ici sa volonté d’étendre les exigences d’accessibilité à davantage de sites Internet.

  • 99 Loi nº 2016-1321, art. 106, I.
  • 100 Défenseur des droits, avis nº 16-09 du 7 avril 2016, p. 4.

57La loi précise également que l’accessibilité concerne tout type d’informations sous forme numérique, quel que soit le moyen : sites Internet, extranet, intranet, mais également les applications mobiles, disponibles sur les tablettes et smartphones. Ainsi, la loi prend en compte l’évolution des supports d’accès aux services publics. Par ailleurs, elle met aussi en place une sanction administrative de 5 000 euros lorsque le site ne comporte pas de « mention clairement visible précisant s’il est ou non conforme aux règles relatives à l’accessibilité »99, ce qui constitue une certaine avancée par rapport à la loi de 2005 et au décret de 2009 précités, qui ne prévoyaient dans ce cas que l’inscription sur une liste de sites non conformes, ce qui ne revêtait pas un caractère dissuasif. Ce caractère est cependant discuté par le Défenseur des droits dans son avis du 7 avril 2016 sur la LRN. Il estime effectivement que ce dispositif est peu contraignant, « tant en termes d’obligation de réalisation que de sanction »100. En effet, les personnes ne seront sanctionnées que si elles ne précisent pas l’accessibilité de leur site, et non si ce site ne remplit pas les critères d’accessibilité.

  • 101 Directive (UE) 2016/2102 du Parlement européen et du Conseil du 26 octobre 2016 relative à l’access (...)
  • 102 Ibid., art. 1er, § 3 b.

58Les quatre grands principes d’accessibilité cités par le référentiel de 2009 sont également repris par l’Union européenne dans sa directive du 26 octobre 2016, relative à l’accessibilité des sites Internet et des applications mobiles des organismes du secteur public101, qui devra être transposée au plus tard le 23 septembre 2018. Le droit français a donc pris de l’avance et répond déjà aux exigences de l’Union européenne. Cependant, cette directive paraît étendre ces exigences d’accessibilité à d’autres sites que les sites Internet publics puisqu’elle exclut de son champ d’application les sites Internet des ONG ne fournissant pas de « services essentiels pour le public, ni de services répondant spécifiquement aux besoins des personnes handicapées ou destinés à celles-ci »102. Cela semble donc impliquer qu’a contrario les sites des autres ONG doivent être adaptés, or ceux-ci n’étaient pas mentionnés dans la loi de 2005 précitée, et ne l’ont pas non plus été dans la LRN. Le législateur devra donc élargir ce champ d’application d’ici la date butoir fixée par l’Union.

D. Le droit à la transparence de certains codes sources

1. La communication des codes sources

  • 103 CE, avis nº 390741 sur le projet de loi pour une République numérique, 3 décembre 2015, § 24.

59Même si aucune décision administrative « ne peut être prise sur le seul fondement d’un traitement automatisé de données »103, force est de constater que les algorithmes et logiciels participent de plus en plus aux prises de décision de l’administration. Il convenait de s’assurer que les choix politiques ne sont pas remis en cause par cette automatisation, les programmeurs informatiques ignorant parfois l’état du droit dans les domaines pour lesquels ils sont amenés à créer des algorithmes et des logiciels. La consécration de l’étendue de l’accès à ces documents administratifs permet de s’assurer que l’administration n’utilise pas des traitements automatisés illégaux, qu’elle n’est d’ailleurs pas toujours à même de comprendre au regard de la complexité de certaines opérations.

  • 104 CE, 29 avril 2002, Ullmann, nº 228830.
  • 105 CADA, avis nº 20161989 du 23 juin 2016.

60Les dispositions relatives au droit d’accès aux documents administratifs sont des « garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques »104 et il ne paraissait pas illogique que les codes sources des logiciels et algorithmes deviennent communicables. La Commission d’accès aux documents administratifs (CADA) définit le code source comme étant « un ensemble de fichiers informatiques qui contient les instructions devant être exécutées par un microprocesseur »105.

  • 106 Art. L. 300-2 du Code des relations entre le public et l’administration.
  • 107 CADA, avis nº 20144578 du 8 janvier 2015.
  • 108 CADA, avis nº 20161989 du 23 juin 2016.

61Le législateur entérine106 un mouvement que la CADA avait déjà opéré à travers plusieurs affaires relatives à une demande de communication du code source d’un logiciel ou d’un algorithme. Dans une première affaire, un enseignant-chercheur avait demandé à la Direction générale des finances publiques la communication du code source du logiciel permettant le calcul de l’impôt sur les revenus des personnes physiques afin de pouvoir le réutiliser dans le cadre de ses recherches107. Puis, dans une seconde affaire bien plus polémique, une association de lycéens demandait à ce que l’Éducation nationale lui communique le code source de l’algorithme « admission post bac » relatif à la pré-inscription des lycéens dans les établissements de l’enseignement supérieur108. L’association arguait que l’algorithme avait notamment pour finalité le tirage au sort des lycéens souhaitant intégrer des filières dont les demandes excèdent les capacités d’accueil. Elle accusait l’algorithme de procéder à cette sélection. À défaut d’obtenir la communication de ce document, il n’était pas possible de lever l’opacité qui entoure cet algorithme. La CADA avait émis un avis favorable à ce que ces documents administratifs soient communiqués aux intéressés.

  • 109 Voir le livre III du Code des relations entre le public et l’administration.

62Les codes sources sont désormais communicables dans les mêmes conditions que les autres documents administratifs109. L’apport de la LRN est cependant à nuancer puisque, à titre d’exemple, sous couvert du secret de la défense nationale, ne pourra pas être divulgué le code source de l’algorithme de la loi renseignement qui est destiné à détecter les connexions susceptibles de révéler une menace terroriste.

63Dans l’hypothèse où les codes sources comportent des données à caractère personnel, le Code des relations entre le public et l’administration précise qu’ils

  • 110 Art. L. 312-1-2 du Code des relations entre le public et l’administration.

[…] ne peuvent être rendus publics qu’après avoir fait l’objet d’un traitement permettant de rendre impossible l’identification de ces personnes. Une liste des catégories de documents pouvant être rendus publics sans avoir fait l’objet du traitement susmentionné est fixée par décret pris après avis motivé et publié de la Commission nationale de l’informatique et des libertés110.

2. La communication des principales caractéristiques et des règles définissant un traitement algorithmique ayant fondé une décision administrative individuelle

  • 111 Voir supra.

64L’étendue du droit à la communication aux codes sources est une avancée majeure, même s’il existe encore bien des exceptions à ce principe111. Toutefois, la communication du code source ne se suffit pas à elle-même car le code source n’est pas intelligible pour un administré profane en programmation informatique, surtout lorsque ce dernier fait l’objet d’une décision administrative individuelle.

  • 112 Décret nº 2017-330 du 14 mars 2017 relatif aux droits des personnes faisant l’objet de décisions in (...)

65L’article 4 de la LRN, qui entrera en vigueur le 1er septembre 2017112, prévoit qu’

[…] une décision individuelle prise sur le fondement d’un traitement algorithmique comporte une mention explicite en informant l’intéressé. Les règles définissant ce traitement ainsi que les principales caractéristiques de sa mise en œuvre sont communiquées par l’administration à l’intéressé s’il en fait la demande.

  • 113 Ibid., art. 1er.
  • 114 Ibid.

66La décision administrative individuelle doit mentionner la finalité poursuivie par le traitement algorithmique qui fonde la décision113. Si l’intéressé souhaite connaître les règles définissant le traitement ainsi que les principales caractéristiques de l’algorithme, sous réserve de ne pas porter atteinte à des secrets protégés par la loi, l’administration doit lui communiquer ces éléments sous une forme intelligible comprenant le degré et le mode de contribution du traitement algorithmique à la prise de décision, les données traitées et leurs sources, les paramètres de traitement et, le cas échéant, leur pondération, appliqués à la situation de l’intéressé ainsi que les opérations effectuées par le traitement114. Le législateur ne souhaite pas que la divulgation de ces règles ne permette un contournement éventuel de ces outils.

  • 115 Art. L. 311-5 2° du Code des relations entre le public et l’administration.

67Toutefois, l’intéressé ignorera que la décision administrative individuelle a été prise sur le fondement d’un traitement algorithmique dans les hypothèses où la communication porte atteinte au secret des délibérations du gouvernement et des autorités responsables relevant du pouvoir exécutif, au secret de la défense nationale, à la conduite de la politique extérieure de la France, à la sûreté de l’État, à la sécurité publique, à la sécurité des personnes ou à la sécurité des systèmes d’information des administrations, à la monnaie ou au crédit public, au déroulement des procédures engagées devant les juridictions ou d’opérations préliminaires à de telles procédures, sauf autorisation donnée par l’autorité compétente, à la recherche et à la prévention, par les services compétents, d’infractions de toute nature, ou sous réserve de l’article L. 124-4 du Code de l’environnement, et aux autres secrets protégés par la loi115.

68Même si cette loi ouvre la voie à des progrès significatifs, force est de constater que la transparence des codes sources est un enjeu qui va bien au-delà des algorithmes communicables par l’administration, dans la mesure où les menaces aux droits et libertés proviennent également des entreprises du numérique qui manipulent les données personnelles dans l’opacité la plus totale. Faute de connaître les codes sources utilisés, il est difficile de s’assurer que ces entreprises soient en conformité avec les exigences législatives et réglementaires.

Haut de page

Notes

1 Loi nº 2016-1321 du 7 octobre 2016 pour une République numérique.

2 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE.

3 Conformément à l’article 4, § 1 du règlement (UE) 2016/679, il faut comprendre par cette expression « toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée “personne concernée”) ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale ».

4 Conformément à l’article 1er de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, ce principe est défini de la manière suivante : « Toute personne dispose du droit de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant, dans les conditions fixées par la présente loi ».

5 Sont créées par l’article 59 de la LRN trois missions de la CNIL qui ne pourront être développées ici : 1) sa mission de promotion de l’utilisation des technologies protectrices de la vie privée ; 2) son rôle dans la certification de la conformité des processus d’anonymisation des données personnelles dans la perspective de leur mise en ligne et de leur réutilisation ; et enfin 3) son rôle de conduite d’une réflexion sur les problèmes éthiques et les questions de société soulevés par l’évolution des technologies numériques.

6 Il s’agit alors, par ces prérogatives renouvelées, de favoriser la conformité des comportements aux modèles de conduite, c’est-à-dire aux règles de droit qui incluent également, selon nous, des règles de droit souple.

7 Loi nº 2016-1321, art. 65.

8 Règlement (UE) 2016/679, art. 83.

9 Cette réforme confirme l’approche répressive présente au niveau européen depuis la directive du 24 octobre 1995 et approfondie avec le règlement du 27 avril 2016.

10 Loi nº 2016-1321, art. 64.

11 Ibid.

12 Il s’agit d’avis, de recommandations ou encore de rapports. Sur la notion de « droit souple », voir C. Thibierge, « Le droit souple. Réflexion sur les textures du droit », Revue trimestrielle de droit civil, 2003, p. 599 sq.

13 Céline Bloud-Rey observe que « ce n’est pas l’exercice effectif de son pouvoir de sanction qui lui a permis, au fil des années, d’asseoir son autorité » mais « ses prises de position stables, répétées, largement diffusées qui ont permis à la CNIL de conquérir le rôle central qu’elle joue aujourd’hui. Depuis son institution, la ligne de conduite de la CNIL a toujours été de favoriser la pédagogie et le dialogue plutôt que la répression » (C. Bloud-Rey, « Quelle place pour l’action de la CNIL et du juge judiciaire dans le système de protection des données personnelles ? Analyse et perspectives », Recueil Dalloz, 2013, p. 2795 sq).

14 J.-L. Autin, « Le devenir des autorités administratives indépendantes », Revue française de droit administratif, 2010, p. 875 sq. La « régulation » dans laquelle s’inscrit la CNIL peut être définie comme une tentative d’influer sur le comportement des opérateurs par « des moyens qui ne se limitent pas à la sphère du droit strictement entendue » donc à l’existence d’une sanction juridique.

15 Règlement (UE) 2016/679, art. 70, § 1.

16 CJUE, GC, 13 mai 2014, Google Spain SL et Google Inc. c. Agencia Española de Protección de Datos et Mario Costeja González, C-131/12.

17 Ibid., § 97.

18 Ibid.

19 CE, Ass., 24 février 2017, nº 391000, publié au Recueil Lebon.

20 Règlement (UE) 2016/679, art. 17.

21 Conformément à l’article 4, § 7 du règlement (UE) 2016/679, il faut comprendre par cette expression « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ».

22 Voir les conditions de l’article 17, § 1, § 2, § 3 du règlement (UE) 2016/679.

23 Loi nº 2016-1321, art. 63.

24 Ibid.

25 Règlement (UE) 2016/679, art. 17, § 3.

26 Ibid., art. 17, § 3 b.

27 Ibid., art. 17, § 3 e.

28 Ibid., art. 20.

29 Ibid., § 4 du préambule.

30 Ibid., art. 6, § 1 a.

31 Ibid., art. 6, § 1 b.

32 Ibid., art. 20, § 1 b.

33 Pour plus de précisions, voir les conditions du règlement (UE) 2016/679, art. 9, § 2.

34 Ibid., art. 20, § 1.

35 Ibid., art. 20, § 2.

36 Ibid., art. 20, § 3.

37 Art. L. 224-42-1 du Code de la consommation.

38 Voir supra.

39 Loi nº 2016-1321, art. 48.

40 Art. L. 224-42-3 2° du Code de la consommation.

41 Ibid.

42 Art. L. 224-42-3 3° du Code de la consommation.

43 Art. L. 224-42-3 3° b du Code de la consommation.

44 Art. L. 224-42-3 du Code de la consommation.

45 Art. L. 224-42-4 du Code de la consommation.

46 « L’identité numérique est le plus souvent composée d’un compte personnel, d’un mot de passe et d’une adresse email, mais elle ne saurait se définir qu’à travers ces composantes. En effet, d’autres facteurs doivent être pris en considération tels que les traces laissées par un individu lors de ses différentes connexions (adresses IP, publications, cookies) » (M. Cahen, « Identité et mort numérique », en ligne : https://www.murielle-cahen.com/publications/mort-numerique.asp).

47 Au niveau européen, le règlement (UE) 2016/679 n’impose pas aux États de prévoir des législations prenant en compte la « mort numérique », mais leur laisse le choix d’en adopter ou pas (§ 27 du préambule).

48 Pour deux points de vue contraires sur la question voir M. Amblard, « Le devenir de nos données personnelles numériques à notre mort : un droit à la mort numérique », 26 octobre 2016, texte consulté en ligne mais qui n’est plus disponible ; C. Pérès, « Les données à caractère personnel et la mort. Observations relatives au projet de loi pour une République numérique », Recueil Dalloz, 2016, p. 90 sq.

49 Voir M. Amblard, « Le devenir de nos données personnelles… ».

50 J. Groffe, « La mort numérique », Recueil Dalloz, 2015, p. 1609 sq.

51 Cette réforme, souhaitable, avait néanmoins été précédée d’une période pendant laquelle certaines grandes compagnies comme Facebook, Google ou Twitter reconnaissaient diverses possibilités de prendre en compte le décès de la personne dans la gestion de son profil. Voir M. Cahen, « Identité et mort numérique ».

52 Voir C. Pérès, « Les données à caractère personnel et la mort… ».

53 Ibid.

54 Ibid.

55 CNIL, délibération nº 2015-414 du 19 novembre 2015 portant avis sur un projet de loi pour une République numérique, p. 16-17.

56 M. Amblard, « Le devenir de nos données personnelles… ».

57 Voir supra.

58 M. Cahen, « Identité et mort numérique ».

59 T. Wu, « Network Neutrality, Broadband Discrimination », Journal of Telecommunications and High Technology Law, nº 2, 2003, p. 141-176.

60 C. Petillon, « C’est quoi la neutralité du net ? », 27 octobre 2015, en ligne sur le site de France culture : https://www.franceculture.fr/politique/cest-quoi-la-neutralite-du-net.

61 « La neutralité du net », 2 novembre 2015, en ligne sur le site Toute l’Europe : http://www.touteleurope.eu/les-politiques-europeennes/numerique/synthese/la-neutralite-du-net.html.

62 « […] les pouvoirs publics peuvent imposer aux opérateurs de bloquer ou au contraire de favoriser certains contenus » (CE, Étude annuelle : le numérique et les droits fondamentaux, rapport adopté par l’Assemblée générale du Conseil d’État le 17 juillet 2014, Paris, La documentation française, 2014, p. 94). C’est ainsi que la loi du 14 mars 2011 (LOPSI 2) a conféré à l’autorité administrative des pouvoirs de blocage de sites pédopornographiques.

63 CE, Étude annuelle : le numérique et les droits fondamentaux, p. 93.

64 Réflexion débutée au niveau européen en 2009 avec l’adoption du troisième paquet télécommunications. C’est l’adoption du règlement européen 2015/2120 qui introduit pour la première fois dans le droit de l’Union européenne les principes découlant de la neutralité du Net. Voir « La neutralité du net » sur le site Toute l’Europe.

65 Par exemple, l’ARCEP a, entre autres, formulé en 2010 dix recommandations non contraignantes. Pour plus de précision sur le rôle de l’ARCEP dans la promotion du principe de neutralité, voir « Neutralité de l’Internet. État des lieux du cadre de régulation », Les actes de l’ARCEP, septembre 2015, p. 5.

66 Loi nº 2016-1321, art. 46.

67 Voir J.-L. Autin, « Le devenir des autorités administratives indépendantes ». On peut dresser un parallèle avec le cas de la CNIL déjà évoqué : ces deux AAI marquent une volonté de l’État de permettre l’effectivité du droit du numérique par le biais de la régulation.

68 Voir note de bas de page 13.

69 D. Necib, « Vers une régulation “nouvelle génération” : la loi République numérique passée au crible du président de l’ARCEP », 13 décembre 2016, en ligne : http://www.actualitesdudroit.fr/browse/public/droit-public-des-affaires/3870/vers-une-regulation-nouvelle-generation-la-loi-republique-numerique-passee-au-crible-du-president-de-l-arcep.

70 Pour plus de précision sur le « pouvoir de sanction » de l’ARCEP, voir « Rétablissement du pouvoir de sanction de l’ARCEP et clarification des règles relatives au fibrage des immeubles », 14 mars 2014, en ligne sur le site de l’ARCEP : https://www.arcep.fr/actualites/les-communiques-de-presse/detail/n/retablissement-du-pouvoir-de-sanction-de-larcep-et-clarification-des-regles-relatives-au-fibrage-de.html.

71 Loi nº 2016-1321, art. 43. Ce pouvoir d’enquête inclut par exemple la possibilité pour les fonctionnaires et agents placés sous l’autorité de l’ARCEP d’« opérer sur la voie publique […], [de] demander la communication de tout document nécessaire à l’accomplissement de leur mission […], [de] recueillir, sur place ou sur convocation, tout renseignement, tout document ou toute justification utiles ».

72 Pour les compétences traditionnelles de l’ARCEP, voir « Les compétences de l’ARCEP », en ligne sur le site de l’ARCEP : https://www.arcep.fr/professionnels/operateurs-postaux-et-de-colis/les-competences-de-larcep.html.

73 Conseil national du numérique, avis Net neutralité nº 2013-1 du 1er mars 2013.

74 Voir par exemple CC, déc. nº 81-132 DC du 16 janvier 1982, Loi de nationalisation.

75 CC, déc. nº 2009-580 DC du 10 juin 2009, Loi favorisant la diffusion et la protection de la création sur internet.

76 Loi nº 2016-1321, art. 108, I, 2°.

77 Art. L. 115-3, al. 1er du Code de l’action sociale et des familles : « Dans les conditions fixées par la loi nº 90-449 du 31 mai 1990 visant à la mise en œuvre du droit au logement, toute personne ou famille éprouvant des difficultés particulières, au regard notamment de son patrimoine, de l’insuffisance de ses ressources ou de ses conditions d’existence, a droit à une aide de la collectivité pour disposer de la fourniture d’eau, d’énergie, d’un service de téléphonie fixe et d’un service d’accès à internet ».

78 Art. 11 de la DDHC : « La libre communication des pensées et des opinions est un des droits les plus précieux de l’Homme : tout Citoyen peut donc parler, écrire, imprimer librement, sauf à répondre de l’abus de cette liberté dans les cas déterminés par la Loi ».

79 CC, déc. nº 2009-580 DC, cons. 12.

80 CJUE, 24 novembre 2011, Scarlet Extended SA c. Société belge des auteurs, compositeurs et éditeurs SCRL (SABAM), C-70/10.

81 Cour EDH, 18 décembre 2012, Ahmet Yildirim c. Turquie, nº 3111/10, § 54.

82 Livre vert sur le développement du marché commun des services et équipements des télécommunications, publié le 30 juin 1987.

83 Directive 97/67/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant des règles communes pour le développement du marché intérieur des services postaux de la communauté et l’amélioration de la qualité du service, chap. II, art. 3, § 1.

84 Directive 2002/22/CE du Parlement européen et du Conseil du 7 mars 2002 concernant le service universel et les droits des utilisateurs au regard des réseaux et services de communications électroniques (directive « service universel »).

85 ARCEP, Rapport sur la couverture et la qualité des services mobiles en France métropolitaine, novembre 2012.

86 Loi nº 2016-1321, art. 79.

87 Ibid., art. 69.

88 Loi nº 2009-1572 du 17 décembre 2009 relative à la lutte contre la fracture numérique, art. 23.

89 L. Marino, « Le droit d’accès à internet, nouveau droit fondamental », Recueil Dalloz, 2009, p. 2045 sq.

90 http://references.modernisation.gouv.fr/aide-et-accessibilite

91 Loi nº 2005-102 du 11 février 2005 pour l’égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées, art. 47, al. 1er.

92 Arrêté du 21 octobre 2009 relatif au référentiel général d’accessibilité pour les administrations.

93 Décret nº 2009-546 du 14 mai 2009 pris en application de l’article 47 de la loi nº 2005-102 du 11 février 2005 sur l’égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées et créant un référentiel d’accessibilité des services de communication publique en ligne, art. 1er, al. 1er.

94 Arrêté du 29 avril 2015 relatif au référentiel général d’accessibilité pour les administrations.

95 http://references.modernisation.gouv.fr/accessibilite-numerique

96 Ibid.

97 Ibid.

98 http://references.modernisation.gouv.fr/aide-et-accessibilite

99 Loi nº 2016-1321, art. 106, I.

100 Défenseur des droits, avis nº 16-09 du 7 avril 2016, p. 4.

101 Directive (UE) 2016/2102 du Parlement européen et du Conseil du 26 octobre 2016 relative à l’accessibilité des sites Internet et des applications mobiles des organismes du secteur public.

102 Ibid., art. 1er, § 3 b.

103 CE, avis nº 390741 sur le projet de loi pour une République numérique, 3 décembre 2015, § 24.

104 CE, 29 avril 2002, Ullmann, nº 228830.

105 CADA, avis nº 20161989 du 23 juin 2016.

106 Art. L. 300-2 du Code des relations entre le public et l’administration.

107 CADA, avis nº 20144578 du 8 janvier 2015.

108 CADA, avis nº 20161989 du 23 juin 2016.

109 Voir le livre III du Code des relations entre le public et l’administration.

110 Art. L. 312-1-2 du Code des relations entre le public et l’administration.

111 Voir supra.

112 Décret nº 2017-330 du 14 mars 2017 relatif aux droits des personnes faisant l’objet de décisions individuelles prises sur le fondement d’un traitement algorithmique, art. 3.

113 Ibid., art. 1er.

114 Ibid.

115 Art. L. 311-5 2° du Code des relations entre le public et l’administration.

Haut de page

Pour citer cet article

Référence papier

Quentin Butavand, Léa Duval et Yann Paquier, « Chronique de jurisprudence des droits numériques 2016-2017 », Cahiers de la recherche sur les droits fondamentaux, 15 | 2017, 189-200.

Référence électronique

Quentin Butavand, Léa Duval et Yann Paquier, « Chronique de jurisprudence des droits numériques 2016-2017 », Cahiers de la recherche sur les droits fondamentaux [En ligne], 15 | 2017, mis en ligne le 01 octobre 2019, consulté le 17 février 2020. URL : http://journals.openedition.org/crdf/573 ; DOI : https://doi.org/10.4000/crdf.573

Haut de page

Auteurs

Quentin Butavand

Doctorant en droit public à l’université de Caen Normandie
Centre de recherche sur les droits fondamentaux et les évolutions du droit (CRDFED, EA 2132)
Membre associé au Centre de recherche sur les droits fondamentaux et les évolutions du droit (CRDFED, EA 2132)

Doctorant en droit public au Centre de recherches et d’études sur les droits fondamentaux de l’université Paris Nanterre (CREDOF, EA 3933) et chercheur associé au Centre de recherche sur les droits fondamentaux et les évolutions du droit (CRDFED, EA 2132), il est actuellement en quatrième année de thèse. Son travail porte sur l’étude de la justice constitutionnelle au Royaume-Uni et sur la question du renouvellement du concept général de justice constitutionnelle à l’aune de l’expérience britannique, sous la direction de Charlotte Girard, maître de conférences.

Articles du même auteur

Léa Duval

Doctorante en droit public à l’université de Caen Normandie
Centre de recherche sur les droits fondamentaux et les évolutions du droit (CRDFED, EA 2132)

Doctorante en droit public au Centre de recherche sur les droits fondamentaux et les évolutions du droit (CRDFED, EA 2132), elle est actuellement en première année de thèse. Ses recherches portent sur la lutte contre les violences et les discriminations à l’égard des femmes aux plans international et européen, sous la direction du professeur Jean-Manuel Larralde.

Articles du même auteur

Yann Paquier

Doctorant en droit public à l’université de Caen Normandie
Centre de recherche sur les droits fondamentaux et les évolutions du droit (CRDFED, EA 2132)
Centre de recherche sur les droits fondamentaux et les évolutions du droit (CRDFED, EA 2132)

Doctorant en droit public au Centre de recherche sur les droits fondamentaux et les évolutions du droit (CRDFED, EA 2132) de l’université de Caen Normandie, il est actuellement en deuxième année de thèse. Son travail porte sur l’étude de la transformation et de la consécration des droits à l’ère du numérique, sous la direction du professeur Jean-Manuel Larralde.

Articles du même auteur

Haut de page

Droits d’auteur

Cahiers de la recherche sur les droits fondamentaux

Haut de page
  • Logo Presses universitaires de Caen
  • Logo CRDF
  • OpenEdition Journals