Fiche de révision : Droit du numérique et plateformes

📋 Plan du Cours

1. Fondements et évolution du droit numérique
2. Protection des droits fondamentaux
3. Acteurs de l’écosystème numérique
4. Responsabilité juridique des acteurs numériques
5. Œuvres numériques et originalité
6. Droits d’auteur en ligne
7. Licences Creative Commons
8. Contrats numériques et consommateurs
9. Plateformes et obligations du DSA
10. Champ et principes du RGPD
11. Acteurs et obligations du traitement
12. Droits, transferts et contrôle des données
13. Cadre juridique de l’intelligence artificielle

📅 Repères chronologiques

1. 24 octobre 1995La directive 95/46/CE sur la protection des données personnelles a été adoptée, avant d’être abrogée par le RGPD.
2. 21 juin 2004L’article 6-I-2 de la LCEN a transposé le régime d’exonération conditionnelle de responsabilité des hébergeurs.
3. 27 avril 2016Le RGPD a été adopté et il est directement applicable depuis le 25 mai 2018.
4. 18 juin 2020Le Conseil constitutionnel a censuré, dans sa décision n° 2020-801 DC sur la loi Avia, l’obligation de retirer certains contenus haineux sous 24 heures sous peine de sanctions pénales majeures, car elle incitait à la sur-censure et portait une atteinte disproportionnée à la liberté d’expression.
5. 21 avril 2021La Commission européenne a soumis la proposition initiale du règlement sur l’intelligence artificielle.
6. 19 octobre 2022Le DSA a unifié la procédure de notification et d’action (notice and action).

📖 1. Fondements et évolution du droit numérique

🔑 Notions clés & Définitions

• Numérique : Ensemble des technologies reposant sur la numérisation des données sous forme binaire, comprenant les infrastructures physiques, les logiciels, les réseaux et les services en ligne.
• Profilage : Le profilage est un traitement automatisé de données personnelles qui les utilise pour évaluer ou prédire des aspects concernant le rendement au travail, la situation économique, la santé, les préférences personnelles ou les déplacements d’une personne physique.
• Bulle de filtres : Une bulle de filtres est un isolement informationnel dans lequel les algorithmes d’une plateforme ne proposent à l’utilisateur que des contenus confirmant ses opinions préexistantes.
• Principe d’attribution des compétences : Le principe d’attribution des compétences, consacré à l’article 5 TUE, limite l’action de l’Union européenne aux compétences que les États membres lui ont attribuées dans les traités.

★ À maîtriser

• Le profilage peut enfermer l’usager dans une bulle de filtres, restreindre la confrontation aux opinions divergentes, altérer le débat démocratique et stimuler une dépendance cognitive.

• Le RGPD est un règlement européen directement applicable dans les États membres sans loi nationale de transposition, afin de garantir une application uniforme des droits fondamentaux.

• L’Union européenne peut agir dans les domaines où les États membres lui ont attribué une compétence, notamment sur le fondement du rapprochement des législations relatives au marché intérieur prévu à l’article 114 TFUE.

📌 L’éditeur crée, sélectionne ou orchestre des contenus sous sa maîtrise éditoriale, tandis que l’hébergeur fournit un stockage technique passif et neutre de données publiées par des tiers.

📌 L’hébergeur n’est soumis à aucune obligation générale de surveillance et ne peut être tenu responsable d’un contenu stocké que s’il en a eu connaissance effective et n’a pas agi promptement pour le retirer ou en rendre l’accès impossible.

Compléments

• Les infrastructures numériques matérielles comprennent :

  • les réseaux de fibres optiques
  • les câbles sous-marins transatlantiques
  • les fermes de serveurs
  • les processeurs de haute précision
  • les centres de données

• Les équipements numériques soulèvent des enjeux écologiques liés à leur consommation massive d’électricité et à leur besoin d’accès à d’importantes ressources en eau douce pour leur refroidissement.

• Les capteurs et puces intégrés aux véhicules autonomes, équipements médicaux et systèmes de domotique collectent en temps réel de grands volumes de données publiques et privées.

• Les algorithmes exploitent notamment :

  • les historiques de recherche
  • la géolocalisation
  • les cookies

• L’accumulation industrielle de données, appelée Big Data, alimente un marché mondial ultra-concentré où les données personnelles constituent une ressource économique primaire et une source de puissance financière et politique.

📖 2. Protection des droits fondamentaux

★ À maîtriser

• La vie privée et la protection des données personnelles sont garanties notamment par l’article 9 du Code civil et les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne.

• Les personnes disposent des droits :

  • d’accès
  • de rectification
  • d’opposition
  • d’effacement
  • de portabilité

📌 La sécurité nationale et la lutte contre la cybercriminalité peuvent justifier la conservation de données de connexion, mais elles ne justifient pas une surveillance massive, aveugle et indifférenciée de la population.

Compléments

• L’article 11 de la Charte des droits fondamentaux de l’Union européenne protège la liberté d’expression et le droit à l’information.

• La protection du débat public pluraliste implique de combattre :

  • les infox
  • les discours haineux
  • les manipulations algorithmiques

• La directive UE 2016/943 protège le secret des affaires, tandis que la propriété intellectuelle protège notamment les logiciels, bases de données, marques et algorithmes propriétaires contre les accès non autorisés, l’espionnage industriel et la contrefaçon.

• La transparence algorithmique nécessaire à l’audit des biais peut exiger l’accès aux codes sources et aux données d’entraînement, tandis que le secret des affaires protège les actifs d’innovation invoqués par les éditeurs contre leur divulgation.

• La vérification de l’âge destinée à protéger les jeunes doit être conciliée avec la vie privée des adultes et éviter la collecte excessive de pièces d’identité ou de données biométriques.

• Le stockage local de données sensibles souhaité au titre de la souveraineté numérique peut entrer en conflit avec l’application extraterritoriale des lois d’enquête de puissances étrangères.

• Le CLOUD Act permet aux autorités judiciaires américaines de sommer un prestataire américain de communiquer des données hébergées sur des serveurs situés en Europe, créant un conflit avec le RGPD.

💡 Astuce mémo

Transparence algorithmique face au secret des affaires

📖 3. Acteurs de l’écosystème numérique

🔑 Notions clés & Définitions

• Plateforme numérique : Selon l’article L. 111-7 du Code de la consommation, une plateforme numérique est une personne physique ou morale proposant professionnellement, directement ou indirectement, un service de communication au public en ligne fondé sur le classement, le référencement ou l’indexation de contenus, biens ou services de tiers, ou sur la mise en relation de parties en vue d’une vente ou d’une prestation.
• Conseil National du Numérique : Le Conseil National du Numérique est une instance consultative indépendante chargée d’éclairer le Gouvernement et le public sur les effets des technologies numériques sur la société, l’économie et les libertés.
• État plateforme : L’État plateforme est une stratégie de dématérialisation qui interconnecte les systèmes d’information administratifs afin de rationaliser les démarches administratives.

★ À maîtriser

• Les plateformes numériques comprennent notamment : l’intermédiation commerciale et le commerce électronique, les services et l’économie collaborative, les biens communs et les savoirs partagés

• Les plateformes de commerce électronique se rémunèrent par des commissions sur les transactions, tandis que les réseaux sociaux et moteurs de recherche proposent des services gratuits financés par l’exploitation publicitaire des données personnelles.

• La CNIL, instituée par la loi du 6 janvier 1978, veille à la vie privée et à la protection des données par des recommandations, des audits sur place, des injonctions et des sanctions financières.

• Les démarches exclusivement numériques risquent d’exclure les personnes victimes d’illectronisme, privées d’accès au haut débit ou dépourvues d’équipements informatiques.

Compléments

• Dans l’économie de l’attention, les données personnelles permettent de vendre aux annonceurs une attention visuelle ciblée.

• Les conglomérats technologiques font du lobbying auprès des institutions de l’Union européenne pour infléchir les règlements, retarder leurs contraintes techniques ou réduire les sanctions financières.

• L’État doit investir dans : la cohésion territoriale, la formation aux usages numériques, la cybersécurité des services publics essentiels

💡 Astuce mémo

Éditeur actif, hébergeur passif

📖 4. Responsabilité juridique des acteurs numériques

🔑 Notions clés & Définitions

• Éditeur en ligne : Un éditeur en ligne est une personne physique ou morale qui édite un service de communication au public en ligne, choisit les contenus diffusés et exerce un contrôle préalable ou une maîtrise structurante sur leur publication.
• Hébergeur : Un hébergeur est un prestataire technique qui stocke de manière directe, permanente et neutre des signaux, écrits, images ou sons fournis par les utilisateurs du service.
• Cascade de responsabilité : La cascade de responsabilité est un mécanisme pénal dérogatoire issu du droit de la presse qui impute prioritairement les infractions de communication au directeur de la publication.
• Signaleur de confiance : Un signaleur de confiance est une entité agréée par le coordonnateur des services numériques dont les notifications de contenus illicites doivent être traitées en priorité par les plateformes.

★ À maîtriser

• L’éditeur exerce une maîtrise intellectuelle et organisationnelle en sélectionnant, présentant, vérifiant ou modérant les contenus et en choisissant leur agencement.

📌 L’éditeur professionnel exerce son activité en cadre commercial, industriel, artisanal ou libéral et est soumis à des exigences renforcées d’information et répond des infractions de presse ; l’éditeur non professionnel gère à titre personnel et sans recherche de profit un site ou un blog, mais reste soumis aux responsabilités civile et pénale de droit commun.

📌 L’éditeur non professionnel peut garder ses nom, prénom et domicile personnels cachés au public, mais doit transmettre exactement ses données d’état civil et ses coordonnées téléphoniques et postales à son hébergeur.

• Le DSA définit les très grandes plateformes en ligne (VLOPs) comme les intermédiaires dépassant 45 millions d’utilisateurs actifs mensuels dans l’Union européenne.

📌 La LCEN n’impose pas à l’hébergeur de surveiller généralement les informations stockées ni de rechercher les circonstances révélant des activités illicites.

📌 L’hébergeur engage sa responsabilité civile ou pénale s’il a effectivement connaissance d’un contenu illicite et n’agit pas promptement pour le retirer ou en rendre l’accès impossible.

• Une notification LCEN doit indiquer : sa date, l’identité du notifiant (nom, prénom, adresse et nationalité), les faits litigieux et leur URL précise, les motifs juridiques du retrait, la copie de la demande de retrait adressée à l’auteur ou la justification de l’impossibilité de le contacter

📌 Une notification formellement conforme fait présumer la connaissance effective de l’illicéité par l’hébergeur, qui doit alors agir promptement sous peine d’engager sa responsabilité civile personnelle.

Compléments

• Le 29 juillet 1881, la loi sur la liberté de la presse a fondé le régime de responsabilité pénale en cascade.

• Une plateforme peut être qualifiée d’éditeur lorsqu’elle : restructure la présentation des contenus, aide les vendeurs à rédiger leurs annonces, oriente la diffusion des messages, optimise le référencement commercial des produits

📖 5. Œuvres numériques et originalité

🔑 Notions clés & Définitions

• Originalité : L’originalité est la condition de protection par le droit d’auteur qui exige que l’œuvre porte l’empreinte de la personnalité de son auteur à travers des choix créatifs libres et arbitraires.
• Œuvre numérique : Une œuvre numérique est une création de l’esprit exprimée sous forme binaire et protégée par le droit d’auteur si elle présente un caractère d’originalité.

★ À maîtriser

• L’article L. 112-1 du CPI protège les droits des auteurs sur toutes les créations de l’esprit, quels que soient leur genre, leur forme d’expression, leur mérite ou leur destination.

📌 L’originalité, qui exige l’empreinte de la personnalité de l’auteur, se distingue de la nouveauté technique, laquelle ne suffit pas à ouvrir la protection par le droit d’auteur.

Compléments

• La protection du droit d’auteur couvre notamment : les logiciels et codes sources, les bases de données structurées, les interfaces graphiques de sites web, les œuvres musicales, audiovisuelles et littéraires numérisées, les créations multimédias interactives

📌 Une production informatique exclusivement automatisée par une intelligence artificielle, sans intervention créative humaine dans les choix esthétiques ou structurants, ne satisfait pas au critère d’originalité et relève du domaine public.

• L’interface d’un site web peut être protégée lorsque sa combinaison de couleurs, sa typographie et la disposition de ses menus résultent de choix créatifs originaux du webdesigner.

💡 Astuce mémo

Originalité créative ≠ nouveauté technique

📖 6. Droits d’auteur en ligne

🔑 Notions clés & Définitions

• Droit de reproduction : Le droit de reproduction est la prérogative patrimoniale exclusive permettant à l’auteur d’autoriser ou d’interdire la fixation matérielle ou numérique de son œuvre sur un support quelconque.
• Droit de représentation : Le droit de représentation est la prérogative patrimoniale exclusive permettant à l’auteur d’autoriser ou d’interdire la communication directe de son œuvre au public.

★ À maîtriser

📌 Selon l’article L. 122-3 du CPI, le droit de reproduction porte sur la fixation matérielle de l’œuvre par tout procédé permettant de la communiquer indirectement au public.

📌 Selon l’article L. 122-2 du CPI, le droit de représentation porte sur la communication directe de l’œuvre au public par un procédé quelconque.

Compléments

• La reproduction numérique comprend notamment : la copie sur disque dur, le stockage temporaire en mémoire vive (RAM), le chargement d’une page web sur un serveur distant, le téléchargement

• La représentation en ligne s’effectue notamment par : le streaming, la mise en ligne d’une vidéo accessible au public, la mise à disposition de fichiers par des hyperliens d’intégration (embedding)

📌 Le droit au nom prévu à l’article L. 121-1 du CPI permet à l’auteur d’exiger que son nom civil, ses initiales ou son pseudonyme soient associés à son œuvre lors de sa diffusion, reproduction ou exploitation en ligne.

• L’auteur peut s’opposer à toute :
  • modification
  • altération
  • dénaturation graphique
  • compression détériorante
  • mutilation

📌 Le droit de retrait prévu à l’article L. 121-4 du CPI permet à l’auteur de faire cesser la circulation ou l’exploitation en ligne de sa création, à condition d’indemniser préalablement le cessionnaire ou l’exploitant du service du préjudice financier causé.

💡 Astuce mémo

Reproduction fixe l’œuvre, représentation la communique

📖 7. Licences Creative Commons

🔑 Notions clés & Définitions

• Licences Creative Commons : Contrats-types de droit privé permettant à un auteur d’autoriser par avance la réutilisation gratuite de sa création en combinant quatre options juridiques modulables.

★ À maîtriser

• Les quatre options Creative Commons sont :
  • BY, qui impose l’attribution de la paternité à l’auteur originel
  • NC, qui interdit l’exploitation commerciale ou lucrative
  • ND, qui interdit la modification, la transformation ou l’adaptation
  • SA, qui impose aux créations dérivées une licence identique à celle d’origine

Compléments

• Les licences Creative Commons facilitent la diffusion légale des savoirs en évitant les négociations contractuelles individuelles et soutiennent la science ouverte, les ressources éducatives libres et les encyclopédies collaboratives en ligne.

• Wikipédia utilise la licence CC BY-SA 4.0, qui autorise la reproduction, la modification et la redistribution de ses articles à condition de citer les auteurs et de conserver la même licence libre.

📖 8. Contrats numériques et consommateurs

🔑 Notions clés & Définitions

• Conditions générales d’utilisation : Stipulations contractuelles qui fixent unilatéralement les règles d’accès, de fonctionnement et de responsabilité applicables à un service en ligne.
• Consentement éclairé : Manifestation de volonté libre, spécifique, informée et univoque par laquelle une personne accepte un traitement de données ou s’engage dans un contrat.

★ À maîtriser

📌 Pour être opposables, les CGU doivent être rédigées dans une langue claire, accessible et compréhensible et être expressément acceptées lors de l’inscription.

• La règle du double clic prévue à l’article 1127-2 du Code civil impose un premier clic pour vérifier la commande, son prix total et corriger les erreurs, puis un second clic qui confirme définitivement l’acceptation, sans valoir à lui seul signature électronique du contrat.

📌 Selon l’article L. 221-18 du Code de la consommation, le consommateur dispose de quatorze jours francs pour se rétracter d’une vente à distance sans motif ni pénalité financière.

📌 Les professionnels proposant des abonnements par voie électronique doivent mettre gratuitement à disposition une fonctionnalité facilement accessible de résiliation directe en ligne, dite « résiliation en trois clics ».

Compléments

• Selon l’article L. 212-1 du Code de la consommation, une clause de CGU créant un déséquilibre significatif entre les droits et obligations des parties est abusive et peut être réputée non écrite par le juge.

• La preuve de l’existence et de la validité du consentement incombe au professionnel du numérique, qui doit pouvoir établir la date, l’heure et la version exacte des CGU acceptées au moyen de dispositifs d’horodatage, de journalisation et d’archivage sécurisé.

• Les cases précochées, le masquage des options de refus et les typographies trompeuses altèrent la sincérité du consentement et constituent des pratiques commerciales déloyales sanctionnées par la CNIL et les juridictions de la consommation.

• Le vendeur professionnel doit fournir avant la conclusion du contrat en ligne une information lisible sur les caractéristiques essentielles, le prix TTC incluant les frais de livraison, les modalités de paiement, le délai d’exécution et les garanties légales, conformément à l’article L. 221-5 du Code de la consommation.

• Selon l’article L. 221-28 du Code de la consommation, le droit de rétractation ne s’applique pas à un contenu numérique non fourni sur support matériel lorsque son exécution a commencé avec l’accord préalable exprès du consommateur et sa renonciation expresse au droit de rétractation.

• Le professionnel est responsable de plein droit de la bonne exécution du contrat à distance et doit délivrer un produit conforme aux spécifications contractuelles, y compris pour les services et contenus numériques, ainsi que fournir les mises à jour indispensables au maintien de la conformité.

• Selon l’article L. 215-1 du Code de la consommation, le prestataire doit informer par écrit l’abonné de sa faculté de refuser la reconduction entre trois mois et un mois avant le terme de la période permettant de s’y opposer.

📖 9. Plateformes et obligations du DSA

🔑 Notions clés & Définitions

• Plateforme numérique : Intermédiaire technique utilisant des algorithmes de classement, de filtrage et de recommandation pour mettre en relation au moins deux groupes d’utilisateurs et orienter leur accès aux données.

★ À maîtriser

📌 Une plateforme conserve l’exonération conditionnelle de responsabilité de l’hébergeur tant que son intermédiation est automatisée, neutre et passive ; si elle sélectionne subjectivement les données ou en altère le contenu commercial, elle perd sa neutralité et relève du régime de responsabilité des éditeurs.

• Le DSA, règlement européen 2022/2065, établit un cadre unifié d’obligations de modération, de transparence et de responsabilisation des intermédiaires en ligne.

• Le DSA qualifie de très grandes plateformes en ligne (VLOPs) celles qui dépassent 45 millions d’utilisateurs actifs mensuels dans l’Union européenne.

📌 Les VLOPs doivent évaluer chaque année les risques systémiques de leurs services et déployer des mesures contre les contenus illicites, les atteintes à la santé mentale des mineurs et la manipulation algorithmique du débat démocratique en période électorale.

Compléments

• Le DSA impose aux plateformes de l’Union européenne de rédiger des CGU claires décrivant leurs règles de modération, l’usage des outils automatisés et le fonctionnement des algorithmes de recommandation.

• Lorsqu’une plateforme suspend un compte, démonétise un profil ou supprime un contenu, elle doit adresser immédiatement à la personne un exposé motivé des raisons factuelles et juridiques de la décision ainsi que des voies de réclamation disponibles.

• Les plateformes doivent proposer un système électronique de signalement des contenus illicites, clair et accessible, puis traiter chaque signalement rapidement, impartialement et objectivement.

• Les VLOPs doivent se soumettre à des audits indépendants annuels financés par elles-mêmes et proposer au moins un système de recommandation ne reposant pas sur le profilage comportemental.

• La Commission européenne contrôle directement les VLOPs et peut leur infliger, en cas de manquement grave ou de refus d’obtempérer, une sanction financière maximale de 6 % de leur chiffre d’affaires mondial annuel.

💡 Astuce mémo

Sélection subjective des données → perte de neutralité → responsabilité d’éditeur.

📖 10. Champ et principes du RGPD

🔑 Notions clés & Définitions

• Donnée à caractère personnel : Toute information se rapportant à une personne physique identifiée ou identifiable directement ou indirectement.

★ À maîtriser

📌 Le RGPD s’applique aux traitements automatisés, même partiels, de données personnelles et aux traitements non automatisés de données contenues ou destinées à figurer dans un fichier structuré ; il protège les personnes physiques, quelle que soit leur nationalité ou leur résidence, mais pas les personnes morales.

📌 Le RGPD s’applique à un responsable non établi dans l’Union lorsque le traitement concerne des personnes qui s’y trouvent et est lié soit à l’offre de biens ou de services, même sans paiement, soit au suivi de leur comportement dans l’Union.

• Le RGPD poursuit deux objectifs d’égale valeur juridique : assurer un niveau élevé de protection des droits et libertés fondamentaux des personnes physiques et garantir la libre circulation des données personnelles dans le marché unique européen.

Compléments

• Le RGPD s’applique aux traitements effectués dans le cadre des activités d’un établissement situé dans l’Union, même si le traitement a lieu hors de l’Union.

• Le RGPD exclut les traitements exclusivement personnels ou domestiques, ceux relevant de la sécurité nationale hors du droit de l’Union et ceux réalisés par les autorités compétentes à des fins pénales, régis séparément par la directive 2016/680 dite « Police-Justice ».

📌 Les notions du RGPD sont des notions autonomes du droit de l’Union, dont l’interprétation uniforme et exclusive appartient à la Cour de justice de l’Union européenne sans dépendre des qualifications nationales.

• Les États membres peuvent préciser certaines règles du RGPD dans leur droit national, notamment fixer entre 13 et 16 ans l’âge de majorité numérique pour le consentement des mineurs.

• Dans l’arrêt Nowak du 20 décembre 2017 (C-434/16), la Cour de justice de l’Union européenne a jugé que les réponses écrites d’un candidat à un examen professionnel et les remarques de l’examinateur en marge de la copie sont des données personnelles soumises au droit d’accès du candidat.

📖 11. Acteurs et obligations du traitement

🔑 Notions clés & Définitions

• Responsable du traitement : Personne ou organisme qui détermine seul ou conjointement les finalités et les moyens d’un traitement de données personnelles.
• Sous-traitant : Personne ou organisme qui traite des données personnelles pour le compte et sur les instructions exclusives et documentées du responsable du traitement.
• Traitement de données : Toute opération ou tout ensemble d’opérations portant sur des données personnelles, comme la collecte, l’enregistrement, la conservation, la modification, l’extraction, la consultation ou l’effacement.

★ À maîtriser

• Les principes fondamentaux du traitement sont :

  • la licéité, la loyauté et la transparence
  • la minimisation des données
  • l’exactitude
  • la limitation de la conservation
  • l’intégrité et la confidentialité
  • la responsabilité, ou accountability

• Les six bases légales du traitement sont :

  • le consentement
  • l’exécution d’un contrat
  • l’obligation légale
  • la sauvegarde des intérêts vitaux
  • la mission d’intérêt public
  • l’intérêt légitime, si les droits fondamentaux de la personne concernée ne prévalent pas

📌 Après avoir pris connaissance d’une violation de données, le responsable du traitement doit la notifier à la CNIL dans un délai maximal de 72 heures ; si elle présente un risque élevé, il doit aussi en informer directement les personnes concernées.

Compléments

📌 Les responsables conjoints qui déterminent ensemble les finalités et les moyens d’un traitement doivent conclure une convention transparente répartissant leurs obligations relatives à l’exercice des droits des personnes, conformément à l’article 26 du RGPD.

📌 La relation entre un responsable du traitement et son sous-traitant doit être encadrée par un contrat écrit précisant notamment les exigences de sécurité et de confidentialité.

• Les catégories de données sensibles comprennent : les données révélant l’origine raciale ou ethnique, les données révélant les opinions politiques, les données révélant les convictions religieuses ou philosophiques, les données révélant l’appartenance syndicale, les données génétiques, les données biométriques utilisées pour identifier une personne physique, les données concernant la santé, les données concernant la vie sexuelle ou l’orientation sexuelle

📌 Le traitement des données sensibles est en principe interdit, sauf notamment en cas de consentement explicite, de données manifestement rendues publiques par la personne, de nécessité pour la médecine du travail ou le diagnostic médical, ou de motif d’intérêt public majeur prévu par la loi.

📌 Le traitement des données relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté est réservé aux autorités publiques ou placé sous leur contrôle, sauf dérogation prévue par la loi.

• Les mesures de sécurité peuvent comprendre :
  • la pseudonymisation
  • le chiffrement des données
  • le déploiement de pare-feu
  • l’authentification multifacteur

📌 Le responsable du traitement doit tenir un registre écrit de ses activités de traitement et réaliser une analyse d’impact relative à la protection des données lorsque celles-ci sont susceptibles d’engendrer un risque élevé pour les droits des personnes.

• L’information à la collecte précise : l’identité du responsable du traitement, la finalité du fichier, la base légale, la durée de conservation, la possibilité d’exercer les droits de la personne

📖 12. Droits, transferts et contrôle des données

🔑 Notions clés & Définitions

• Transfert de données : Opération par laquelle des données personnelles traitées dans l’Union sont transmises ou rendues accessibles à un destinataire situé dans un pays tiers non membre de l’Espace économique européen.

★ À maîtriser

• Les droits des personnes concernées comprennent : le droit d’accès, le droit de rectification, le droit à l’effacement, le droit à la limitation, le droit à la portabilité, le droit d’opposition, le droit de ne pas faire l’objet d’une décision exclusivement automatisée

• La CNIL est une autorité administrative indépendante créée par la loi Informatique et Libertés du 6 janvier 1978 après la révélation du projet Safari ; elle veille au respect des libertés fondamentales et de la vie privée dans l’usage des technologies numériques.

• La CNIL peut prononcer une mise en demeure, une injonction de cesser le traitement sous astreinte, une amende pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, et la publicité de la sanction aux frais de l’organisme.

Compléments

• L’exercice des droits des personnes concernées est gratuit et le responsable du traitement doit répondre dans un délai maximal d’un mois à compter de la réception de la demande.

• Une décision d’adéquation de la Commission européenne constate qu’un pays tiers assure une protection des données substantiellement équivalente à celle de l’Union ; les décisions d’adéquation concernant les États-Unis ont été annulées par la CJUE dans les arrêts Schrems I en 2015 et Schrems II en 2020 en raison des risques liés aux programmes de renseignement américains.

• En l’absence de décision d’adéquation, les clauses contractuelles types de la Commission européenne encadrent les transferts vers un pays tiers, tandis que les règles d’entreprise contraignantes, validées par la CNIL, permettent les transferts entre filiales d’un groupe multinational.

• Les agents habilités de la CNIL peuvent contrôler sur pièces, sur place, sur convocation ou en ligne, accéder aux locaux professionnels, obtenir des documents et auditer des systèmes d’information.

📌 La procédure de sanction de la CNIL est instruite par un rapporteur indépendant et jugée par sa Formation restreinte dans le respect du contradictoire et des droits de la défense.

📖 13. Cadre juridique de l’intelligence artificielle

🔑 Notions clés & Définitions

• Système d’IA : Système automatisé conçu pour fonctionner avec un certain niveau d’autonomie et générer des prédictions, recommandations ou décisions qui influencent des environnements réels ou virtuels.

★ À maîtriser

• Le Parlement européen a adopté l’AI Act le 12 mars 2024 et le Conseil de l’Union européenne l’a adopté définitivement le 21 mai 2024 ; le règlement est daté du 13 juin 2024.

• L’AI Act adopte une approche graduée selon le risque : les systèmes de notation sociale, de manipulation de publics vulnérables et certaines identifications biométriques à distance en temps réel sont interdits ; les systèmes à haut risque sont soumis à des exigences renforcées ; certains systèmes doivent signaler leur caractère artificiel.

📌 L’éthique numérique formule une réflexion morale sans sanction publique contraignante, tandis que le droit crée des obligations susceptibles d’être sanctionnées par les autorités publiques.

Compléments

• L’IA générative produit automatiquement des textes, du code, des images et des enregistrements audio ; elle soulève des questions de droit d’auteur liées à l’extraction des données d’entraînement et de responsabilité pour les contenus diffamatoires ou les deepfakes.

• L’audit des données d’entraînement vise à détecter les biais algorithmiques susceptibles de provoquer des discriminations, tandis que la lutte contre les bulles de filtres protège le libre arbitre face au profilage.

• Les domaines cités comme à haut risque comprennent :

  • l’éducation
  • le recrutement
  • le maintien de l’ordre
  • la gestion de la justice
  • l’accès aux services publics

📌 Les systèmes d’IA qui interagissent avec des personnes ou génèrent des contenus multimédias, notamment des deepfakes, doivent informer explicitement les utilisateurs de leur caractère artificiel.

• Le compromis associe trois institutions :

  • la Commission européenne, qui représente l’intérêt général de l’Union
  • le Parlement européen, qui représente les citoyens européens
  • le Conseil de l’Union européenne, qui représente les exécutifs nationaux

• L’AI Act s’articule avec l’article 22 du RGPD, qui garantit à toute personne le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé de données.

📊 Tableaux de synthèse

Éditeur et hébergeur