• 1 Loi nº 2016-1321 du 7 octobre 2016 pour une République numérique.
• 2 Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protectio (...)
• 3 Conformément à l’article 4, § 1 du règlement (UE) 2016/679, il faut comprendre par cette expression (...)
• 4 Conformément à l’article 1^er de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et (...)

2Pour cette première édition, la priorité a été donnée à l’étude des droits essentiels consacrés par la loi pour une République numérique (LRN) du 7 octobre 20161 et les articulations de cette loi avec le nouveau règlement européen pour la protection des données à caractère personnel (RGPD) du 27 avril 20162. Il s’agira d’évoquer les évolutions en matière de protection des données à caractère personnel3, notamment par le truchement du principe d’autodétermination informationnelle4 défini à l’article 1^er de la loi nº 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés tel que modifié par la LRN (I). À cet égard, la LRN revalorise le rôle de la Commission nationale de l’informatique et des libertés (CNIL) dans la protection des données à caractère personnel (A). Cette loi et le nouveau RGPD reconnaissent de plus de nouveaux droits aux individus tels que le droit à l’oubli numérique (B) mais également le droit à la récupération et à la portabilité des données (C). La LRN prévoit aussi des dispositions relatives à la mort numérique (D).

• 5 Sont créées par l’article 59 de la LRN trois missions de la CNIL qui ne pourront être développées i (...)
• 6 Il s’agit alors, par ces prérogatives renouvelées, de favoriser la conformité des comportements aux (...)

4La LRN transforme les pouvoirs et les missions de la CNIL5 de manière à améliorer l’effectivité6 de son action dans la protection des données à caractère personnel consacrée par l’article 8, alinéa 1^er de la Charte des droits fondamentaux de l’Union européenne (CDFUE) en tant que droit fondamental ; disposition rattachée à l’article 8 de la Convention européenne des droits de l’homme (Convention EDH) qui consacre le droit au respect de la vie privée et familiale.

• 7 Loi nº 2016-1321, art. 65.
• 8 Règlement (UE) 2016/679, art. 83.
• 9 Cette réforme confirme l’approche répressive présente au niveau européen depuis la directive du 24  (...)
• 10 Loi nº 2016-1321, art. 64.
• 11 Ibid.

5La revalorisation du rôle de la CNIL passe d’abord par une augmentation du plafond des sanctions pécuniaires pouvant être prononcées, celles-ci pouvant aller jusqu’à 3 millions d’euros et non plus 150 000 euros7. Cette revalorisation peut néanmoins sembler insuffisante et donc finalement peu dissuasive à l’égard des acteurs qui ne se conformeraient pas aux principes de la loi de 1978. Cela est particulièrement frappant au regard du RGPD qui entrera en vigueur le 24 mai 2018 et qui prévoit la possibilité d’infliger des amendes administratives pouvant s’élever jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent8. La revalorisation de son rôle répressif, qui va dans le sens de la politique européenne en la matière9, passe aussi par les nouvelles modalités de mise en demeure prévues à l’article 64 de la LRN. Le président de la CNIL a désormais la possibilité de fixer, « en cas d’extrême urgence », un délai de mise en conformité de vingt-quatre heures et non plus de cinq jours10. Enfin, la LRN prévoit la possibilité, inédite, pour la formation restreinte de la CNIL de prononcer des sanctions sans mise en demeure préalable et après une procédure contradictoire, quand le comportement ne peut être rendu conforme dans le cadre d’une telle mise en demeure11. Ce pouvoir de sanction directe devrait permettre à la CNIL de réprimer plus fréquemment et plus rapidement.

• 12 Il s’agit d’avis, de recommandations ou encore de rapports. Sur la notion de « droit souple », voir (...)
• 13 Céline Bloud-Rey observe que « ce n’est pas l’exercice effectif de son pouvoir de sanction qui lui (...)

6Parallèlement au renforcement de son pouvoir de sanction, son rôle de « conseiller » dans l’élaboration des normes est aussi revalorisé. Le but est d’accroître l’influence qu’elle exerce sur les décideurs de par son expertise et ses recommandations, sachant que c’est plus par ses instruments de droit souple12 que par la sanction que l’action de la CNIL a des répercussions13. Ainsi est prévue par l’article 59 de la loi une consultation systématique de la CNIL pour avis « sur tout projet de loi ou de décret ou toute disposition de projet de loi ou de décret relatifs à la protection des données à caractère personnel ou au traitement de telles données », ainsi qu’une publicité automatique de ses avis.

• 14 J.-L. Autin, « Le devenir des autorités administratives indépendantes », Revue française de droit a (...)
• 15 Règlement (UE) 2016/679, art. 70, § 1.

8L’amélioration des prérogatives de la CNIL et de son effectivité passe également par la volonté affichée par le législateur français et le législateur de l’Union de favoriser la coopération de la CNIL avec d’autres « autorités de régulation »14 chargées de la protection de données à caractère personnel. L’article 66 de la LRN permet à la CNIL, sous certaines conditions, de procéder à certaines vérifications à la demande d’une autorité analogue d’un État tiers à l’Union européenne mais aussi de lui communiquer des informations. Au niveau de l’Union européenne, le RGPD prévoit aux articles 60 à 67 toute une série de dispositions destinées à favoriser la coopération entre la CNIL et ses homologues européens. Cette coopération se fera sous la houlette du Comité européen de la protection des données dont la mission principale est de veiller à l’application cohérente du règlement15. Cette volonté de coopération renforcée avec d’autres autorités de régulation s’observe aussi au niveau national par l’article 61 de la LRN qui permet à la CNIL de « saisir pour avis » l’Autorité de régulation des communications électroniques et des postes (ARCEP). Celle-ci devenue, par la suite, gendarme de la neutralité du Net, peut également saisir la CNIL pour avis dans le cadre de l’article 61. Là aussi, cet avis peut être de nature à éclairer l’action de la CNIL.

• 16 CJUE, GC, 13 mai 2014, Google Spain SL et Google Inc. c. Agencia Española de Protección de Datos et (...)

9La Cour de justice de l’Union européenne (CJUE) a reconnu, sur le fondement de la CDFUE et de la directive 95/46/CE du 24 octobre 1995, le droit au déréférencement16. Les juges ont considéré qu’un individu peut demander à ce qu’une information le concernant ne soit plus mise à disposition du grand public par l’intermédiaire d’un moteur de recherche. L’information n’est pas effacée puisqu’elle demeure sur le site Internet source, mais n’est plus référencée par le moteur de recherche. Le juge de l’Union en a opéré une conciliation avec d’autres droits en précisant que :

• 18 Ibid.

10Toutefois, ce droit n’est pas absolu puisque si une personne physique joue un rôle particulier dans la vie publique, et qu’il en va de l’intérêt prépondérant du public de connaître cette information, le déréférencement ne pourra pas être mis en œuvre18.

• 19 CE, Ass., 24 février 2017, nº 391000, publié au Recueil Lebon.

11Cette décision novatrice pose encore question : le Conseil d’État a d’ores et déjà été confronté à l’application de la jurisprudence Google Spain, mais estime que les conditions de mise en œuvre de ce droit ne sont pas suffisamment précises. Il a d’ailleurs soulevé une question préjudicielle auprès de la CJUE à ce propos19.

• 20 Règlement (UE) 2016/679, art. 17.
• 21 Conformément à l’article 4, § 7 du règlement (UE) 2016/679, il faut comprendre par cette expression (...)
• 22 Voir les conditions de l’article 17, § 1, § 2, § 3 du règlement (UE) 2016/679.

12Le RGPD, qui entrera en vigueur en le 24 mai 2018, abrogera la directive 95/46/CE du Parlement européen du 24 octobre 1995, et ira plus loin en consacrant un droit à l’effacement des données20 : il s’agit de la possibilité pour toute personne physique d’obtenir du responsable du traitement21 l’effacement des données à caractère personnel22.

• 23 Loi nº 2016-1321, art. 63.
• 24 Ibid.

14La LRN prévoit de plus un droit à l’effacement accéléré pour les données à caractère personnel collectées lorsque la personne est mineure23. Ces données personnelles devront être effacées par le responsable du traitement dans les meilleurs délais. Ce droit n’est pas absolu, car il se cantonne aux données collectées « dans le cadre de l’offre de services de la société de l’information »24.

• 25 Règlement (UE) 2016/679, art. 17, § 3.
• 26 Ibid., art. 17, § 3 b.
• 27 Ibid., art. 17, § 3 e.

15Le RGPD opère aussi, tout comme la CJUE avec le droit au déréférencement, une conciliation avec les autres droits25. Ce droit ne s’applique pas lorsque le traitement est nécessaire à l’exercice du droit à la liberté d’expression et d’information ; ni si le respect d’une obligation légale nécessitant un traitement est prévu par le droit de l’Union, ou par le droit de l’État membre auquel le responsable du traitement est soumis, « ou pour exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement »26. Des motifs d’intérêts publics dans les domaines de la santé publique, de l’archivistique, de la recherche scientifique ou historique l’emportent également sur le droit à l’effacement. Il en va de même pour ce qui touche « à la constatation, à l’exercice ou à la défense de droits en justice »27.

• 28 Ibid., art. 20.

18Le RGPD traite de la récupération et de la portabilité des données à caractère personnel et non des données au sens large28. Toute personne physique a le droit de recevoir les données à caractère personnel qu’elle a pu fournir à un responsable du traitement, notamment dans le but de les transmettre à un autre responsable du traitement.

• 29 Ibid., § 4 du préambule.

19Les personnes morales sont exclues de ce dispositif : fondé sur l’article 8 de la CDFUE, le traitement des données à caractère personnel est « conçu pour servir l’humanité »29 et il convient donc de protéger les individus.

• 30 Ibid., art. 6, § 1 a.
• 31 Ibid., art. 6, § 1 b.
• 32 Ibid., art. 20, § 1 b.
• 33 Pour plus de précisions, voir les conditions du règlement (UE) 2016/679, art. 9, § 2.

20Ce droit peut être mis en œuvre lorsque la personne a consenti au traitement de ses données à caractère personnel dans le cadre d’une finalité particulière30 : tel est le cas si « le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci »31. Il en va de même si le traitement est effectué à l’aide de procédés automatisés32. Dans l’hypothèse où un individu a consenti au traitement de données à caractère personnel sensibles, pour certaines finalités, le droit de l’Union lui permet tout de même d’obtenir la récupération de ses données33.

• 34 Ibid., art. 20, § 1.
• 35 Ibid., art. 20, § 2.

21Le responsable du traitement doit fournir les données dans un format structuré, couramment utilisé et lisible par la machine34. La personne concernée pourra même obtenir que les données énumérées précédemment soient directement transmises d’un responsable du traitement à l’autre lorsque c’est techniquement possible35. Il s’agit donc de garantir l’interopérabilité des données d’un système à l’autre.

• 36 Ibid., art. 20, § 3.

22L’exercice de ce droit n’empêche pas de recourir au droit à l’effacement des données à caractère personnel prévu par l’article 17 du RGPD. Néanmoins, le droit à la récupération et à la portabilité ne s’applique pas « au traitement nécessaire à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement »36. Enfin, ce droit ne doit pas porter atteinte aux droits et libertés de tiers.

• 37 Art. L. 224-42-1 du Code de la consommation.
• 38 Voir supra.

23La LRN a souhaité aller plus loin en permettant cette fois-ci non pas à toute personne physique mais plus particulièrement au consommateur de récupérer et de demander la portabilité de ses données37 : il s’agit donc d’élargir le type de données concerné. Cette disposition ne concerne que les données qui ne sont pas à caractère personnel puisque le RGPD fixe les règles dans ce domaine38.

• 39 Loi nº 2016-1321, art. 48.

24Ce droit est applicable sous réserve du secret en matière commerciale et industrielle ainsi que du respect des droits d’auteur39. En l’absence de tels préjudices pour le responsable du traitement, le consommateur peut demander la récupération gratuite de tous les fichiers qu’il a pu mettre en ligne. Pour cela, il doit adresser une requête unique au fournisseur afin de récupérer les données ou les fichiers concernés, comme

• 41 Ibid.

26De plus, ces données doivent être récupérables « dans un standard ouvert, aisément réutilisable et exploitable par un système de traitement automatisé »41.

• 42 Art. L. 224-42-3 3° du Code de la consommation.

27D’autres données associées au compte utilisateur du consommateur42, qui seront également précisées par voie réglementaire, peuvent aussi être récupérées par le consommateur. Toutefois, le législateur précise que ces données doivent être identifiées en prenant

• 44 Art. L. 224-42-3 du Code de la consommation.

28Ces données doivent également être restituées dans un standard aisément réutilisable et ouvert. À défaut, le fournisseur doit informer le consommateur des modalités alternatives de récupération de ces données et préciser « les caractéristiques techniques du format du fichier de récupération, notamment son caractère ouvert et interopérable »44.

• 46 « L’identité numérique est le plus souvent composée d’un compte personnel, d’un mot de passe et d’u (...)
• 47 Au niveau européen, le règlement (UE) 2016/679 n’impose pas aux États de prévoir des législations p (...)
• 48 Pour deux points de vue contraires sur la question voir M. Amblard, « Le devenir de nos données per (...)

30La mort numérique est le droit reconnu aux personnes d’organiser le sort de leurs données à caractère personnel numériques – c’est-à-dire de leur identité numérique46 – après leur mort. Ce droit est consacré par l’article 63 de la LRN47. Cette disposition confère à toute personne le droit de déterminer des directives relatives à la conservation, à l’effacement et à la communication de ses données à caractère personnel après son décès. Ces directives sont alors générales ou particulières. L’article 63 définit les premières comme celles qui sont relatives à l’ensemble des données à caractère personnel de la personne concernée et qui peuvent être enregistrées auprès d’un tiers de confiance numérique qui doit être certifié par la CNIL. Les secondes sont, selon le législateur, celles qui « concernent les traitements de données à caractère personnel mentionnés par ces directives » et sont enregistrées auprès du responsable du traitement concerné, c’est-à-dire l’opérateur. L’article 63 insiste bien sur le fait que ces directives particulières doivent faire l’objet du consentement spécifique de la personne et ne peuvent simplement découler de l’acceptation par la personne des conditions générales d’utilisation. Il est ensuite prévu que la personne concernée puisse, de par ces directives, désigner une personne qui sera en charge de leur exécution. Si le titulaire des droits concernés n’opère aucune désignation, ou si la personne désignée décède, dans ce cas les héritiers ont alors la prérogative de prendre connaissance des directives et de demander au responsable du traitement leur application. Enfin, en l’absence de directives ou de mentions contraires dans ces dernières, ce sont les héritiers de la personne concernée qui ont la possibilité d’exercer les droits du défunt. La question qui se pose est alors celle de savoir si est opérée une translation des droits du défunt sur ses données à caractère personnel à l’héritier ou s’il s’agit de nouveaux droits qui sont concédés sur ces données48.

• 49 Voir M. Amblard, « Le devenir de nos données personnelles… ».

31Si la loi semble régler avec précision les modalités de la mort numérique, elle reste silencieuse par exemple sur des situations qui pourraient advenir comme celle où la personne concernée n’a laissé aucune directive quant à ses données à caractère personnel et ne dispose d’aucun héritier49.

• 50 J. Groffe, « La mort numérique », Recueil Dalloz, 2015, p. 1609 sq.
• 51 Cette réforme, souhaitable, avait néanmoins été précédée d’une période pendant laquelle certaines g (...)
• 52 Voir C. Pérès, « Les données à caractère personnel et la mort… ».
• 53 Ibid.
• 54 Ibid.
• 55 CNIL, délibération nº 2015-414 du 19 novembre 2015 portant avis sur un projet de loi pour une Répub (...)
• 56 M. Amblard, « Le devenir de nos données personnelles… ».

33De par l’expansion des technologies numériques, l’individu a non seulement une vie et une identité « physique » qui s’acquiert à la naissance et s’éteint au décès et qui correspond donc à la notion de personnalité juridique ; mais aussi une identité « numérique » qui, elle, en est complètement détachée. Cette réforme est donc souhaitable dans la mesure où elle permet à l’individu d’avoir une emprise sur son identité numérique après sa mort. Elle lui permet de faire valoir sa volonté sur ce qu’elle souhaite laisser de ses données personnelles après son décès. Cette loi met donc un terme à « l’éternité numérique »50 qui s’imposait auparavant aux personnes, même si quelques aménagements en la matière existaient et permettaient aux héritiers d’avoir une certaine emprise sur le statut de la personne décédée51. L’article 40 de la loi du 6 janvier 1978 offrait ainsi la possibilité aux héritiers d’exiger du responsable d’une plateforme « qu’il prenne en considération le décès et procède aux mises à jour qui doivent en être la conséquence ». En dépit de cette possibilité, la règle était, pour les « conditions générales d’utilisation », de prévoir l’indisponibilité des données à caractère personnel de l’individu. En effet, il était monnaie courante que des grandes compagnies comme Facebook ou Google incluent des « clauses de non transmissibilité pour cause de mort ». Ces clauses étaient en plus conçues de manière unilatérale, et témoignaient d’une impossibilité pour la personne d’avoir une emprise sur le sort de son identité numérique après sa mort52. Les professionnels du numérique arguaient ainsi du consentement que le défunt a apporté, lors de l’élaboration du contrat, à ces conditions générales « pour refuser à la famille tout accès au contenu des comptes et toute transmission à ses héritiers de valeurs numériques »53. La justification de cette indisponibilité donnée par les fournisseurs de services était la volonté de protéger la vie privée de la personne concernée, ce qui était critiquable dans la mesure où le droit au respect de la vie privée étant un droit personnel, il s’éteint logiquement au décès de la personne54. Bien plus, une telle indisponibilité résultait aussi des principes classiques du droit successoral avec lesquels la LRN est en complète rupture. Cette dernière prévoit la possible transmission de droits relatifs aux données à caractère personnel du défunt à un tiers. Il s’agit donc de transmettre des droits personnels – des droits qui ici se rattachent au droit à la protection de la vie privée – qui selon les principes du droit des successions s’éteignent au décès de la personne et sont normalement donc intransmissibles. C’est ce qui ressortait par exemple de l’arrêt du Conseil d’État M. F. du 27 avril 2011 et de l’avis de la CNIL sur le projet de loi pour une République numérique rendu le 19 novembre 201555. La loi, selon certains, en s’inscrivant en dehors de ces règles successorales, qui subsistent aujourd’hui, « consacre un régime dérogatoire »56.

• 57 Voir supra.
• 58 M. Cahen, « Identité et mort numérique ».

34Comme l’observe Murielle Cahen, si la mort numérique a été consacrée par le législateur, il ne s’agit nullement d’un droit à l’oubli ou d’un droit au déréférencement57 qui s’exercerait au-delà de la mort. En effet, l’opportunité et les modalités d’application d’un tel droit demeurent des questions non résolues58.

• 59 T. Wu, « Network Neutrality, Broadband Discrimination », Journal of Telecommunications and High Tec (...)
• 60 C. Petillon, « C’est quoi la neutralité du net ? », 27 octobre 2015, en ligne sur le site de France (...)

35La neutralité du Net, concept inventé par le juriste américain Tim Wu dans un article paru en 200359, est le « principe selon lequel les tuyaux n’ont pas d’avis »60. L’imposer

• 62 « […] les pouvoirs publics peuvent imposer aux opérateurs de bloquer ou au contraire de favoriser c (...)
• 63 CE, Étude annuelle : le numérique et les droits fondamentaux, p. 93.

36Il s’agit entre autres d’éviter qu’un fournisseur d’accès ne favorise un certain fournisseur de contenu en échange d’un versement financier. Ce principe n’est néanmoins pas absolu. Il peut d’abord faire l’objet de restrictions légitimes62, même si celles-ci sont parfois contestées. Ensuite, celui-ci repose plus sur la technique du « meilleur effort » (best effort) : « chaque opérateur fait de son mieux pour assurer la transmission de tous les paquets de données qui transitent par son réseau, sans garantie de résultat et sans discrimination »63.

• 64 Réflexion débutée au niveau européen en 2009 avec l’adoption du troisième paquet télécommunications (...)
• 65 Par exemple, l’ARCEP a, entre autres, formulé en 2010 dix recommandations non contraignantes. Pour (...)
• 66 Loi nº 2016-1321, art. 46.
• 67 Voir J.-L. Autin, « Le devenir des autorités administratives indépendantes ». On peut dresser un pa (...)
• 68 Voir note de bas de page 13.
• 69 D. Necib, « Vers une régulation “nouvelle génération” : la loi République numérique passée au cribl (...)
• 70 Pour plus de précision sur le « pouvoir de sanction » de l’ARCEP, voir « Rétablissement du pouvoir (...)
• 71 Loi nº 2016-1321, art. 43. Ce pouvoir d’enquête inclut par exemple la possibilité pour les fonction (...)
• 72 Pour les compétences traditionnelles de l’ARCEP, voir « Les compétences de l’ARCEP », en ligne sur (...)

37C’est l’article 40 de la LRN qui, à la suite d’un processus de réflexion tant européen64 que national65, consacre ce principe de neutralité du Net dans l’ordre juridique national. L’ARCEP, qualifiée par la LRN d’autorité administrative indépendante (AAI)66, reçoit la mission de veiller au respect de ce principe. La LRN s’inscrit donc dans ce mouvement de multiplication de création d’AAI dans des secteurs variés67 et dans la tendance à faire appel à la régulation68 et au droit souple dans la mise en œuvre des droits qui découlent du numérique. L’objectif premier de l’ARCEP est d’arriver à rendre conforme le comportement des agents par le biais de la discussion. La sanction est donc destinée à être avant tout « un outil de dissuasion utilisé de façon très sélective »69. Si la sanction70 est destinée à être employée de manière secondaire, il n’en demeure pas moins que le législateur confie expressément un pouvoir d’enquête71 et de sanction à l’ARCEP faisant d’elle un véritable « gendarme » de la neutralité du Net72.

• 73 Conseil national du numérique, avis Net neutralité nº 2013-1 du 1^er mars 2013.

39Elle conditionne d’abord l’exercice des libertés d’expression73, de communication et d’information consacrées entre autres par les articles 10 et 11 de la Déclaration des droits de l’homme et du citoyen du 26 août 1789 (DDHC) et par l’article 10 de la Convention EDH. La neutralité du Net signifiant l’absence de discriminations dans la distribution des contenus sur Internet, celle-ci doit permettre à toute personne et à tout citoyen de pouvoir s’exprimer ou s’informer sur le Web sans aucune restriction – sauf celles légitimes. Le législateur en consacrant ce principe de neutralité remplirait même les objectifs à valeur constitutionnelle de pluralisme et de transparence qui correspondent aux nécessités de protéger la liberté du destinataire de l’information et celle de l’émetteur de l’information, corollaires à la liberté d’expression. La consécration de la neutralité du Net constitue un premier pas important dans nos démocraties numériques, elle doit permettre le pluralisme d’idées nécessaire aux sociétés démocratiques.

• 74 Voir par exemple CC, déc. nº 81-132 DC du 16 janvier 1982, Loi de nationalisation.

40La liberté d’entreprendre, qui selon le Conseil constitutionnel74 découle de l’article 4 de la DDHC, est aussi directement concernée par le principe de neutralité du Net. En effet, celle-ci inclut la liberté pour la personne d’exploiter son entreprise et d’exercer son activité. Or, la garantie qui lui est reconnue par le principe de neutralité du Net de pouvoir faire sa publicité sur Internet sans que le contenu qu’il propose ne soit entravé est indéniablement un atout précieux dans l’exploitation de son entreprise.

• 75 CC, déc. nº 2009-580 DC du 10 juin 2009, Loi favorisant la diffusion et la protection de la créatio (...)

41La reconnaissance de la neutralité du Net par la loi permet aussi la réalisation d’un droit fondamental que l’on peut considérer comme nouveau car lié à l’apparition et au développement du numérique. Il s’agit du droit d’accès à Internet qui selon le Conseil constitutionnel découle de la liberté de communication consacrée à l’article 11 de la DDHC75. Or, un tel droit semble indispensable aux sociétés démocratiques numériques dans lesquelles nous vivons dans la mesure où il conditionne l’exercice de tous les autres droits.

• 76 Loi nº 2016-1321, art. 108, I, 2°.

42Le droit au maintien de la connexion à Internet, tel qu’il est consacré dans la LRN, consiste en la possibilité de conserver un accès à Internet, malgré des difficultés financières empêchant le paiement d’un abonnement. Dans ce cas, le service d’accès à Internet est maintenu, pour laisser au fonds de solidarité situé dans chaque département le temps de statuer sur la demande d’aide. Il s’agit donc d’un droit au maintien de la connexion qui s’exerce de manière temporaire, mais également de manière limitée, car le fournisseur d’accès a la possibilité de restreindre cet accès, « sous réserve de préserver un accès fonctionnel aux services de communication au public en ligne et aux services de courrier électronique »76.

• 77 Art. L. 115-3, al. 1^er du Code de l’action sociale et des familles : « Dans les conditions fixées p (...)

43La modification de l’alinéa 1^er de l’article L. 115-3 du Code de l’action sociale et des familles77, en instituant le droit d’accès à Internet au même rang que la fourniture d’eau, d’énergie ou de téléphone, permet de se rendre compte de l’importance prise par Internet, et comprise par la loi. Celle-ci, en reconnaissant un droit d’accès à Internet malgré le non-paiement, va encore plus loin que ne l’avaient d’abord fait le juge constitutionnel et les juges européens.

• 78 Art. 11 de la DDHC : « La libre communication des pensées et des opinions est un des droits les plu (...)

44Le Conseil constitutionnel, dans sa décision du 10 juin 2009, avait en effet indiqué que l’article 11 de la DDHC78 impliquait :

• 80 CJUE, 24 novembre 2011, Scarlet Extended SA c. Société belge des auteurs, compositeurs et éditeurs (...)
• 81 Cour EDH, 18 décembre 2012, Ahmet Yildirim c. Turquie, nº 3111/10, § 54.

la liberté d’accéder à ces services. Ce faisant, le Conseil liait la liberté d’accès à Internet à l’exercice de la liberté de communication et n’en faisait pas une liberté autonome. Au sein de l’Union européenne, la CJUE, en censurant une mesure de filtrage demandée par une société d’auteurs et de compositeurs à un fournisseur d’accès Internet, au titre de la liberté d’entreprendre, mais également au titre de la liberté d’expression des clients du fournisseur, consacrait une forme de liberté d’accès à Internet80. Elle a ensuite été suivie par la Cour européenne des droits de l’homme, dans son arrêt Ahmet Yildirim du 18 décembre 2012, dans lequel elle reconnaissait Internet comme « un des principaux moyens d’exercice par les individus de leur droit à la liberté d’expression et d’information »81.

• 82 Livre vert sur le développement du marché commun des services et équipements des télécommunications (...)
• 83 Directive 97/67/CE du Parlement européen et du Conseil du 15 décembre 1997 concernant des règles co (...)
• 84 Directive 2002/22/CE du Parlement européen et du Conseil du 7 mars 2002 concernant le service unive (...)

45Cette liberté d’accès à Internet, dans la LRN, tend à s’autonomiser, puisque la loi ne fait en aucun cas référence à la liberté d’expression pour justifier le droit au maintien de la connexion. Cette autonomisation peut être liée à la nature d’Internet, qui a été qualifié par l’Union européenne de service universel. Ce concept, dégagé par l’Union dans un livre vert de 1987, a été défini comme un « service minimum déterminé, d’une certaine qualité, offert à tous les utilisateurs à un prix abordable, fondé sur les principes d’universalité, d’égalité et de continuité »82. Cette définition a été reprise par une directive de 199783, relative au service des postes. Enfin, la notion de service universel a été appliquée aux services Internet avec une directive de 200284.

• 85 ARCEP, Rapport sur la couverture et la qualité des services mobiles en France métropolitaine, novem (...)

46La qualité de service universel a également pu influer sur la mise en place d’infrastructures permettant l’accès à Internet. En effet, la liberté d’accès à Internet, ainsi que le droit au maintien de la connexion ne peuvent s’exercer que si les individus ont la possibilité d’être raccordés à Internet. Or, certains endroits, que l’ARCEP a qualifiés de « zones blanches »85, ne sont couverts par aucun opérateur mobile. La définition peut être étendue aux zones qui ne sont pas reliées au haut débit Internet (ADSL) et encore moins au très haut débit (fibre). Elles correspondent à des lieux qui ne sont guère peuplés, souvent des zones rurales, où les opérateurs privés n’ont aucun intérêt à s’installer car ils ne feront aucun bénéfice. Ainsi, lorsque les opérateurs n’ont pas mis en place ces infrastructures, l’article L. 1425-1 du Code général des collectivités territoriales autorise les collectivités territoriales à construire et exploiter ces infrastructures et réseaux de communications électroniques, et à les mettre ensuite à disposition d’opérateurs, ou d’utilisateurs de réseaux indépendants. En l’absence d’une telle initiative privée, la collectivité pourra fournir elle-même, aux utilisateurs finals, les services de communication électronique.

• 86 Loi nº 2016-1321, art. 79.
• 87 Ibid., art. 69.
• 88 Loi nº 2009-1572 du 17 décembre 2009 relative à la lutte contre la fracture numérique, art. 23.

48Si la loi augmente les sanctions pécuniaires des opérateurs n’ayant pas rempli leur obligation de couverture numérique d’une zone86, elle favorise également, dans son article 72, les investissements des collectivités territoriales en matière d’infrastructures destinées à étendre la couverture numérique du territoire, par les réseaux de téléphonie mobile, puisqu’elle les rend éligibles au fonds de compensation de la taxe sur la valeur ajoutée (FCTVA). Dans le cadre de ce fonds, l’État aidera financièrement les collectivités. Enfin, la loi renforce également la stratégie numérique des territoires, puisqu’elle permet aux régions et aux départements de mettre en œuvre une stratégie de développement des usages et des services numériques, au sein des schémas directeurs territoriaux d’aménagement numérique87, schémas créés par la loi sur la fracture numérique88. Ces différentes dispositions visent à équilibrer l’offre de services numériques, pour aller vers une couverture maximale et se rapprocher de l’égalité entre les différents territoires. Pour autant, les différences de débit selon les zones restent importantes, et la loi, si elle favorise et permet aux collectivités territoriales d’intervenir en la matière, ne les contraint pas.

• 89 L. Marino, « Le droit d’accès à internet, nouveau droit fondamental », Recueil Dalloz, 2009, p. 204 (...)

49La LRN, en reconnaissant le droit au maintien de la connexion à Internet, n’implique pas pour autant le droit d’être connecté à Internet, ni un droit « à l’accès à internet »89, ce qui semble paradoxal. Comment la liberté d’accès à Internet peut-elle s’exercer lorsque la connexion est matériellement impossible ?

• 90 http://references.modernisation.gouv.fr/aide-et-accessibilite

51Si le développement des nouvelles techniques de l’information et de la communication (Internet, smartphones, technique wifi, etc.) est facteur d’avancées, notamment au regard des services publics (dématérialisation de procédures, services administratifs en ligne), il peut également creuser certaines inégalités, notamment à l’égard des personnes handicapées. En effet, de nombreux handicaps, qu’ils soient « visuels, auditifs, physiques, de parole, cognitifs et neurologiques »90, rendent difficile l’accès au Web. Sans l’intervention du législateur pour rendre les sites Internet publics accessibles, il est à craindre que les personnes handicapées se trouvent d’autant plus fragilisées et exclues par le développement des nouvelles technologies. Une nouvelle fois, c’est le risque d’une fracture numérique qui est envisagé.

• 91 Loi nº 2005-102 du 11 février 2005 pour l’égalité des droits et des chances, la participation et la (...)
• 92 Arrêté du 21 octobre 2009 relatif au référentiel général d’accessibilité pour les administrations.

52C’est pourquoi la LRN rappelle le principe de l’accessibilité des personnes handicapées aux sites Internet publics. Cela étant, ce principe avait déjà été affirmé par l’article 47 de la loi pour l’égalité des droits et des chances, la participation et la citoyenneté des personnes handicapées du 11 février 2005. Cet article consacre l’accessibilité des « services de communication au public en ligne des services de l’État, des collectivités territoriales et des établissements publics qui en dépendent »91. Pour le détail des règles d’accessibilité, cet article renvoie à un décret en Conseil d’État, décret qui n’a été pris que le 16 mai 2009. Ce décret renvoie lui-même à un référentiel, adopté par un arrêté du 21 octobre 200992, fixant

• 94 Arrêté du 29 avril 2015 relatif au référentiel général d’accessibilité pour les administrations.
• 95 http://references.modernisation.gouv.fr/accessibilite-numerique
• 96 Ibid.
• 97 Ibid.

53Ce texte a été abrogé par un arrêté du 29 avril 201594 mettant en place une nouvelle version du référentiel. Celui-ci pose quatre grands principes d’accessibilité : le site Internet doit être perceptible, c’est-à-dire qu’il peut être « saisi par les organes des sens ». Concrètement, cela revient à présenter de façon différente les contenus des sites, en proposant des alternatives textuelles pour tous les contenus n’étant pas des textes, et ensuite à présenter ces contenus textuels sous des formes adaptées : grands caractères, braille, synthèse vocale, symboles ou langage simplifié. Les sites doivent également être utilisables, ce qui passe notamment par la possibilité d’utiliser seulement le clavier pour parcourir le site, mais également par l’apport d’« éléments d’orientation pour naviguer, trouver le contenu et se situer dans le site »95. Les sites doivent aussi répondre à un critère de compréhensibilité, ce qui implique qu’ils soient lisibles, qu’ils fonctionnent correctement et qu’ils « aid[ent] l’utilisateur à éviter et à corriger les erreurs de saisie »96. Enfin, les sites Internet publics doivent être robustes, ce qui implique l’optimisation de « la compatibilité avec les agents utilisateurs actuels et futurs, y compris avec les technologies d’assistance »97.

• 99 Loi nº 2016-1321, art. 106, I.
• 100 Défenseur des droits, avis nº 16-09 du 7 avril 2016, p. 4.

57La loi précise également que l’accessibilité concerne tout type d’informations sous forme numérique, quel que soit le moyen : sites Internet, extranet, intranet, mais également les applications mobiles, disponibles sur les tablettes et smartphones. Ainsi, la loi prend en compte l’évolution des supports d’accès aux services publics. Par ailleurs, elle met aussi en place une sanction administrative de 5 000 euros lorsque le site ne comporte pas de « mention clairement visible précisant s’il est ou non conforme aux règles relatives à l’accessibilité »99, ce qui constitue une certaine avancée par rapport à la loi de 2005 et au décret de 2009 précités, qui ne prévoyaient dans ce cas que l’inscription sur une liste de sites non conformes, ce qui ne revêtait pas un caractère dissuasif. Ce caractère est cependant discuté par le Défenseur des droits dans son avis du 7 avril 2016 sur la LRN. Il estime effectivement que ce dispositif est peu contraignant, « tant en termes d’obligation de réalisation que de sanction »100. En effet, les personnes ne seront sanctionnées que si elles ne précisent pas l’accessibilité de leur site, et non si ce site ne remplit pas les critères d’accessibilité.

• 101 Directive (UE) 2016/2102 du Parlement européen et du Conseil du 26 octobre 2016 relative à l’access (...)
• 102 Ibid., art. 1^er, § 3 b.

58Les quatre grands principes d’accessibilité cités par le référentiel de 2009 sont également repris par l’Union européenne dans sa directive du 26 octobre 2016, relative à l’accessibilité des sites Internet et des applications mobiles des organismes du secteur public101, qui devra être transposée au plus tard le 23 septembre 2018. Le droit français a donc pris de l’avance et répond déjà aux exigences de l’Union européenne. Cependant, cette directive paraît étendre ces exigences d’accessibilité à d’autres sites que les sites Internet publics puisqu’elle exclut de son champ d’application les sites Internet des ONG ne fournissant pas de « services essentiels pour le public, ni de services répondant spécifiquement aux besoins des personnes handicapées ou destinés à celles-ci »102. Cela semble donc impliquer qu’a contrario les sites des autres ONG doivent être adaptés, or ceux-ci n’étaient pas mentionnés dans la loi de 2005 précitée, et ne l’ont pas non plus été dans la LRN. Le législateur devra donc élargir ce champ d’application d’ici la date butoir fixée par l’Union.

• 103 CE, avis nº 390741 sur le projet de loi pour une République numérique, 3 décembre 2015, § 24.

59Même si aucune décision administrative « ne peut être prise sur le seul fondement d’un traitement automatisé de données »103, force est de constater que les algorithmes et logiciels participent de plus en plus aux prises de décision de l’administration. Il convenait de s’assurer que les choix politiques ne sont pas remis en cause par cette automatisation, les programmeurs informatiques ignorant parfois l’état du droit dans les domaines pour lesquels ils sont amenés à créer des algorithmes et des logiciels. La consécration de l’étendue de l’accès à ces documents administratifs permet de s’assurer que l’administration n’utilise pas des traitements automatisés illégaux, qu’elle n’est d’ailleurs pas toujours à même de comprendre au regard de la complexité de certaines opérations.

• 104 CE, 29 avril 2002, Ullmann, nº 228830.
• 105 CADA, avis nº 20161989 du 23 juin 2016.

60Les dispositions relatives au droit d’accès aux documents administratifs sont des « garanties fondamentales accordées aux citoyens pour l’exercice des libertés publiques »104 et il ne paraissait pas illogique que les codes sources des logiciels et algorithmes deviennent communicables. La Commission d’accès aux documents administratifs (CADA) définit le code source comme étant « un ensemble de fichiers informatiques qui contient les instructions devant être exécutées par un microprocesseur »105.

• 106 Art. L. 300-2 du Code des relations entre le public et l’administration.
• 107 CADA, avis nº 20144578 du 8 janvier 2015.
• 108 CADA, avis nº 20161989 du 23 juin 2016.

61Le législateur entérine106 un mouvement que la CADA avait déjà opéré à travers plusieurs affaires relatives à une demande de communication du code source d’un logiciel ou d’un algorithme. Dans une première affaire, un enseignant-chercheur avait demandé à la Direction générale des finances publiques la communication du code source du logiciel permettant le calcul de l’impôt sur les revenus des personnes physiques afin de pouvoir le réutiliser dans le cadre de ses recherches107. Puis, dans une seconde affaire bien plus polémique, une association de lycéens demandait à ce que l’Éducation nationale lui communique le code source de l’algorithme « admission post bac » relatif à la pré-inscription des lycéens dans les établissements de l’enseignement supérieur108. L’association arguait que l’algorithme avait notamment pour finalité le tirage au sort des lycéens souhaitant intégrer des filières dont les demandes excèdent les capacités d’accueil. Elle accusait l’algorithme de procéder à cette sélection. À défaut d’obtenir la communication de ce document, il n’était pas possible de lever l’opacité qui entoure cet algorithme. La CADA avait émis un avis favorable à ce que ces documents administratifs soient communiqués aux intéressés.

• 109 Voir le livre III du Code des relations entre le public et l’administration.

62Les codes sources sont désormais communicables dans les mêmes conditions que les autres documents administratifs109. L’apport de la LRN est cependant à nuancer puisque, à titre d’exemple, sous couvert du secret de la défense nationale, ne pourra pas être divulgué le code source de l’algorithme de la loi renseignement qui est destiné à détecter les connexions susceptibles de révéler une menace terroriste.

• 111 Voir supra.

64L’étendue du droit à la communication aux codes sources est une avancée majeure, même s’il existe encore bien des exceptions à ce principe111. Toutefois, la communication du code source ne se suffit pas à elle-même car le code source n’est pas intelligible pour un administré profane en programmation informatique, surtout lorsque ce dernier fait l’objet d’une décision administrative individuelle.

• 112 Décret nº 2017-330 du 14 mars 2017 relatif aux droits des personnes faisant l’objet de décisions in (...)

65L’article 4 de la LRN, qui entrera en vigueur le 1^er septembre 2017112, prévoit qu’

• 113 Ibid., art. 1^er.
• 114 Ibid.

66La décision administrative individuelle doit mentionner la finalité poursuivie par le traitement algorithmique qui fonde la décision113. Si l’intéressé souhaite connaître les règles définissant le traitement ainsi que les principales caractéristiques de l’algorithme, sous réserve de ne pas porter atteinte à des secrets protégés par la loi, l’administration doit lui communiquer ces éléments sous une forme intelligible comprenant le degré et le mode de contribution du traitement algorithmique à la prise de décision, les données traitées et leurs sources, les paramètres de traitement et, le cas échéant, leur pondération, appliqués à la situation de l’intéressé ainsi que les opérations effectuées par le traitement114. Le législateur ne souhaite pas que la divulgation de ces règles ne permette un contournement éventuel de ces outils.

• 115 Art. L. 311-5 2° du Code des relations entre le public et l’administration.

67Toutefois, l’intéressé ignorera que la décision administrative individuelle a été prise sur le fondement d’un traitement algorithmique dans les hypothèses où la communication porte atteinte au secret des délibérations du gouvernement et des autorités responsables relevant du pouvoir exécutif, au secret de la défense nationale, à la conduite de la politique extérieure de la France, à la sûreté de l’État, à la sécurité publique, à la sécurité des personnes ou à la sécurité des systèmes d’information des administrations, à la monnaie ou au crédit public, au déroulement des procédures engagées devant les juridictions ou d’opérations préliminaires à de telles procédures, sauf autorisation donnée par l’autorité compétente, à la recherche et à la prévention, par les services compétents, d’infractions de toute nature, ou sous réserve de l’article L. 124-4 du Code de l’environnement, et aux autres secrets protégés par la loi115.