Droit du numérique

Vue d’ensemble
Les outils numériques, omniprésents, transforment les comportements, l’économie et les équilibres démocratiques.
Le droit du numérique encadre ces transformations, tout en évoluant avec les techniques.
Sa construction repose notamment sur la protection des droits fondamentaux et la recherche d’un équilibre entre innovation, liberté et protection.
Son application mobilise des acteurs privés, qui publient, hébergent ou organisent les contenus, ainsi que des acteurs publics chargés de réguler et de contrôler.

Le droit du numérique encadre les transformations provoquées par l’omniprésence des outils numériques et organise l’équilibre entre innovation, libertés et protection. Les objets de la vie quotidienne sont très souvent des outils numériques ; leur omniprésence transforme les comportements individuels, les aspects économiques et les équilibres démocratiques. Ces transformations soulèvent des enjeux juridiques importants, notamment la protection des mineurs.

Le droit du numérique se construit au rythme des évolutions techniques et encadre leurs usages, leurs acteurs et leurs effets.

Le droit du numérique régit les contenus publiés sur Internet et organise la protection des données personnelles ainsi que leur traitement. Il encadre également les contrats numériques, s’efforce de garantir la cybersécurité et tente d’encadrer certaines techniques, notamment les algorithmes et l’intelligence artificielle.

Plateforme : service d’hébergement qui stocke des contenus, les organise, les diffuse et met en relation les utilisateurs.

La catégorie des plateformes est vaste. Elle comprend notamment :

• les réseaux sociaux ;
• les plateformes vidéo ;
• les places de marché ;
• les moteurs de recherche ;
• les services collaboratifs, comme Wikipédia.

On distingue plusieurs types d’algorithmes :

• Algorithmes de classement : ils déterminent ce que l’utilisateur voit en premier, comme sur Instagram ou YouTube, et reposent sur des statistiques.
• Algorithmes de recommandation : ils analysent les comportements de l’utilisateur pour lui proposer des contenus ou des services, notamment dans le système de publicité.
• Algorithmes décisionnaires : ils prévoient ou évaluent, par exemple, le niveau de risque d’un client pour une banque ou une assurance.

Les algorithmes occupent une place centrale dans le numérique et soulèvent plusieurs difficultés. Ils influencent la liberté d’expression, car ils déterminent en partie ce que l’on voit ou ne voit pas. Cette influence peut conduire à une boucle algorithmique.

Les biais constituent également un danger : ce sont des erreurs systémiques dans un résultat, causées par les données ou par la manière dont l’algorithme a été conçu. L’algorithme n’a pas d’opinion : le biais est un effet mécanique de son fonctionnement. Trois grandes sources de biais sont identifiées :

• Les données d’entraînement : si elles sont incomplètes ou stéréotypées, l’algorithme hérite de ces déséquilibres.
• La conception de l’algorithme : les choix humains du concepteur, qui privilégie certaines variables et optimise certains paramètres, se traduisent dans les résultats.
• L’usage de l’algorithme : un biais peut apparaître selon l’usage qui en est fait. Par exemple, si un utilisateur choisit toujours le même type de musique sur YouTube, l’algorithme peut amplifier cette habitude en ne proposant que l’artiste en question.

Les biais peuvent porter atteinte à la liberté d’expression et conduire à des discriminations. Pour les prévenir, les plateformes sont soumises à une obligation de transparence concernant les algorithmes qu’elles utilisent.

Le numérique évolue toutefois plus vite que le droit. Le principe de neutralité technique vise à éviter que les règles deviennent immédiatement dépassées : la loi pose une règle sans viser une technique particulière afin qu’elle puisse s’appliquer aux évolutions techniques. Ce principe a des limites lorsque le développement d’une technique, comme l’intelligence artificielle, fait apparaître de nouveaux enjeux et dangers. L’Union européenne a adopté un premier cadre réglementaire face au développement de l’intelligence artificielle. Légiférer dans ce domaine est délicat : il s’agit d’éviter de freiner l’innovation tout en protégeant efficacement les citoyens et leurs droits fondamentaux.

L’Union européenne est aujourd’hui le principal acteur de la construction du droit du numérique. Elle adopte des textes structurants, notamment :

• le RGPD de 2016, qui a pour objet la protection des données ;
• le DSA de 2022, qui régule les plateformes et leurs contenus ;
• le DMA de 2022, qui régule les marchés numériques ;
• la directive du 14 décembre 2022, qui régule les données bancaires sur plateforme ;
• le règlement de mars 2024, qui encadre l’intelligence artificielle.

Le droit du numérique est pensé à l’échelle de l’Union européenne et s’applique de manière uniforme dans les États membres. Ces textes européens imposent de nouvelles obligations, notamment de transparence, de sécurité et de modération.

Bien qu’il semble technique, le droit du numérique est profondément lié à la protection des droits fondamentaux.

Le numérique touche directement :

• la vie ;
• la liberté d’expression ;
• le commerce ;
• la non-discrimination ;
• la sécurité ;
• la protection des mineurs.

Les règles du droit du numérique cherchent à équilibrer :

• l’innovation et la protection ;
• la liberté et la responsabilité ;
• la créativité et la sécurité.

L’écosystème numérique rassemble des acteurs privés qui interviennent sur les contenus et des acteurs publics qui les régulent ou contrôlent leurs activités.

Les acteurs privés se distinguent notamment par leur rôle dans la sélection, le stockage et l’organisation des contenus.

• L’éditeur choisit ce qui est publié et exerce un pouvoir de contrôle sur le contenu mis en ligne.
• L’hébergeur est un intermédiaire technique qui stocke des contenus sans exercer de contrôle ni porter de regard sur les contenus stockés.
• Les plateformes, ou « super-hébergeurs », stockent des contenus, les organisent et mettent des utilisateurs en relation.
• Les créateurs de contenu diffusent leurs contenus sur des plateformes et sont soumis à des obligations de transparence concernant leurs partenaires commerciaux.
• Les fournisseurs d’intelligence artificielle conçoivent, entraînent et exploitent des intelligences artificielles.

Les acteurs publics régulent les services numériques et contrôlent notamment la protection des droits, des données personnelles et des consommateurs.

• L’ARCOM, autorité de régulation de la communication audiovisuelle et numérique, est une autorité indépendante qui existe depuis 2022. Elle régule les médias audiovisuels, notamment la télévision et la radio. Elle encadre aussi les plateformes numériques et lutte contre les contenus haineux, violents et illicites. Ses missions comprennent :
  • le contrôle des très grandes plateformes ;
  • la garantie de la transparence des algorithmes ;
  • la protection des mineurs en ligne ;
  • la lutte contre le piratage ;
  • la veille au respect du droit d’auteur ;
  • le blocage des sites de streaming illégaux.

• La CNIL, Commission nationale de l’informatique et des libertés, est l’acteur central du RGPD en France. Elle protège les données personnelles, contrôle les organismes qui les traitent et sanctionne les manquements.

• La DGCCRF, rattachée au ministère de l’Économie, protège les consommateurs et la concurrence. Dans le numérique, elle contrôle les plateformes au regard de la protection des consommateurs, la loyauté des services en ligne, les pratiques trompeuses et la sécurité des produits vendus sur Internet.

• La Commission européenne prend l’initiative des grandes règles du droit numérique et dispose de pouvoirs spécifiques dans ce domaine. Elle contrôle les grandes plateformes ainsi que les transferts de données vers des régions tierces à l’Union européenne.

La responsabilité dépend du rôle joué par chaque acteur : l’éditeur choisit les contenus et répond de ses décisions, tandis que l’hébergeur joue un rôle technique et bénéficie d’une responsabilité limitée, sauf s’il reste inactif après avoir eu connaissance d’un contenu illicite.

Deux textes structurent cette responsabilité :

• La loi pour la confiance en l’économie numérique (LCEN) de 2004.
• Le règlement européen sur les services numériques (DSA) de 2022.

L’analyse se déroule donc en deux temps : identifier l’acteur — éditeur ou hébergeur — puis déterminer les obligations déclenchées par la publication ou le signalement d’un contenu illicite, par exemple une atteinte à la vie privée.

L’éditeur exerce un contrôle éditorial sur les contenus mis en ligne et doit assumer les obligations qui découlent de ce pouvoir de décision.

La LCEN ne donne pas de définition générale de l’éditeur. Elle impose toutefois à toute personne qui exerce un contrôle éditorial de s’identifier : c’est donc l’exercice de ce contrôle qui caractérise l’éditeur, et non un statut juridique particulier.

Cette distinction est importante parce que les éditeurs professionnels et non professionnels ne supportent pas les mêmes obligations.

A) éditeur pro

L’activité de l’éditeur professionnel s’inscrit dans un cadre économique. Une société commerciale, un influenceur rémunéré ou encore l’auteur d’un blog monétisé peuvent donc relever de cette catégorie, même si les revenus du blog sont accessoires.

B) l'éditeur non pro

La jurisprudence considère comme éditeur non professionnel la personne physique qui édite un site sans but lucratif, donc sans rémunération. L’anonymat public dont il peut bénéficier n’efface pas sa responsabilité pour les contenus qu’il met en ligne.

L’éditeur professionnel doit désigner un directeur de la publication et faire figurer sur le site les mentions légales prévues par l’article 6 de la LCEN.

1er paragraphe : le directeur de la publication

L’article 6 de la LCEN oblige l’éditeur professionnel à désigner un directeur de la publication. Cette personne est juridiquement responsable de ce qui est publié sur le site et peut être poursuivie en cas de manquement au droit ou à la loi.

• Si l’éditeur du site est une personne physique, il est lui-même directeur de la publication.
• Si l’éditeur est une société, le directeur de la publication est le représentant légal de la société.

La désignation permet aux tiers d’identifier immédiatement la personne responsable des contenus publiés.

Paragraphe 2 : l'identification de l'éditeur pro

L’article 6 de la LCEN oblige l’éditeur professionnel à faire figurer sur le site différentes mentions légales, dont le nom et les coordonnées du directeur de la publication.

• Si l’éditeur est une personne physique, il indique :
  • ses nom et prénom ;
  • son domicile ;
  • son numéro de téléphone ;
  • son numéro d’immatriculation au RNE et, s’il est commerçant, au RCS.

Ces registres publics peuvent être vérifiés par des tiers.

• Si l’éditeur est une société, elle indique :
  • sa dénomination sociale ;
  • son siège social ;
  • son capital social ;
  • un numéro de téléphone ou une adresse de messagerie ;
  • son numéro d’immatriculation au RNE et au RCS.

Paragraphe 3 : la mention obligatoire de l'hébergeur

L’article 6 de la LCEN oblige aussi l’éditeur professionnel à indiquer le nom et les coordonnées de l’hébergeur du site. Lorsqu’un contenu est illicite, la victime peut demander son retrait à l’hébergeur : elle doit donc pouvoir identifier celui-ci.

L’article 6 de la LCEN permet à l’éditeur non professionnel de rester anonyme vis-à-vis du public : il n’a pas à s’identifier personnellement. Il doit néanmoins indiquer le nom et les coordonnées de son hébergeur.

Cette identification de l’hébergeur permet aux tiers de le saisir au sujet d’un contenu illicite. En outre, les hébergeurs doivent conserver les informations permettant d’identifier les personnes à l’origine des contenus qu’ils stockent.

L’anonymat ne supprime pas la responsabilité de l’éditeur non professionnel pour les contenus mis en ligne.

En théorie, le non-respect des mentions légales imposées par l’article 6 de la LCEN constitue un délit pénal, puni d’un an d’emprisonnement et de 75 000 euros d’amende. Si l’éditeur est une personne morale, il n’y a pas d’emprisonnement ; seule l’amende est applicable.

En pratique, cette sanction pénale est peu utilisée, notamment parce qu’elle peut apparaître disproportionnée au regard de la lourdeur d’un procès pénal.

Pour les sites commerciaux ou monétisés, la DGCCRF peut également prononcer des sanctions administratives, notamment en cas d’absence de mentions légales ou de pratiques commerciales trompeuses. Ces sanctions peuvent être prononcées rapidement.

L’hébergeur stocke techniquement les contenus et bénéficie en principe d’une responsabilité limitée ; cette protection dépend toutefois de sa réaction lorsqu’il a connaissance d’un contenu illicite.

La définition repose sur le stockage des contenus. L’article 6 de la LCEN et l’article 3 du DSA retiennent la même définition.

Cette catégorie comprend certains réseaux sociaux, certaines plateformes et les services de stockage en ligne, comme Drive. La qualité d’hébergeur donne lieu à de nombreux contentieux, car elle ouvre droit à un régime de responsabilité favorable. Le juge examine donc au cas par cas l’activité réelle de l’acteur. S’il intervient fortement sur les contenus, les met en avant ou exerce un contrôle éditorial, il peut être qualifié d’éditeur plutôt que d’hébergeur.

Le DSA distingue aussi les très grandes plateformes. Pour être désignée comme telle par la Commission européenne, une plateforme doit dépasser 45 millions d’utilisateurs actifs mensuels dans l’Union européenne. En 2023, la Commission européenne a établi une liste de 17 grandes plateformes.

Ces plateformes restent des hébergeurs, mais le DSA leur impose des obligations renforcées en raison de leur impact systémique : leur usage est devenu suffisamment important pour qu’elles puissent influencer la société tout entière.

La LCEN et le DSA posent le même principe : l’hébergeur n’est pas responsable des contenus qu’il stocke. Il est un intermédiaire technique au rôle passif et n’est pas soumis à une obligation générale de surveillance des contenus.

Cette limitation de responsabilité contribue à protéger la liberté d’expression, puisque les utilisateurs peuvent publier sans contrôle préalable des hébergeurs.

La situation change dès que l’hébergeur a connaissance d’un contenu illicite : il doit alors le retirer ou en bloquer l’accès dans les plus brefs délais. S’il n’agit pas, sa responsabilité peut être engagée pour son inaction.

Plusieurs mécanismes permettent de porter le contenu illicite à la connaissance de l’hébergeur.

Paragraphe 1 : la notification selon la lcen.

L’article 6 de la LCEN prévoit une procédure de notification pour informer l’hébergeur de l’existence d’un contenu illicite. La notification doit communiquer :

• la date ;
• la localisation précise du contenu ;
• la description du contenu litigieux ;
• le motif juridique de son caractère illicite ;
• la demande de retrait du contenu.

Lorsque ces informations sont communiquées, l’hébergeur est présumé avoir connaissance du contenu illicite et doit réagir. Il doit retirer le contenu ou rendre son accès impossible dans un délai raisonnable. La LCEN ne fixe pas de délai précis : en cas de contentieux, le juge apprécie le délai. En pratique, l’hébergeur doit agir le plus rapidement possible, en général dans un délai de quelques heures.

Si l’hébergeur ne réagit pas, son comportement est fautif et peut engager sa responsabilité envers la victime.

Paragraphe 2 : la notification selon le DSA

L’article 16 du DSA harmonise la procédure de notification dans l’ensemble de l’Union européenne. Les plateformes doivent mettre en place un mécanisme de signalement des contenus illicites.

Paragraphe 3 : injonction d'une autorité

Les articles 9 et 6 du DSA prévoient que l’hébergeur a connaissance du contenu illicite lorsqu’il reçoit une injonction d’une autorité compétente, telle que l’ARCOM.

Paragraphe 4 : le signalement par un signalogue de confiance

L’article 22 du DSA a créé les signaleurs de confiance : des entités certifiées par l’ARCOM dont les signalements doivent être traités en priorité par les hébergeurs. Le statut a été créé par le règlement européen DSA du 19 octobre 2022.

La certification relève de la compétence de l’ARCOM. Les entités demandent volontairement à être certifiées. Le statut est notamment ouvert aux associations, aux organismes publics et aux autorités administratives indépendantes. Il permet de reconnaître la stabilité et la compétence de l’organisme.

Les hébergeurs doivent traiter sans délai et en priorité les signalements transmis par ces entités. Le signaleur de confiance n’a pas à suivre la procédure de notification prévue à l’article 6 de la LCEN : il lui suffit de demander le retrait ou le blocage du contenu pour que l’hébergeur doive réagir immédiatement.

Quel que soit le mécanisme par lequel le contenu illicite a été porté à sa connaissance, l’hébergeur est alors présumé en avoir connaissance. Deux obligations principales en découlent.

1. Retirer le contenu ou en rendre l’accès impossible. L’article 6 de la LCEN impose une réaction prompte, sans fixer de délai précis. « Promptement » signifie le plus rapidement possible, voire immédiatement. Selon la jurisprudence, le retrait ou le blocage intervient généralement dans un délai de 24 à 48 heures, délai qui peut être plus long en cas de problème technique.

1. Informer les autorités compétentes lorsque le contenu constitue une infraction pénale. La LCEN ne prévoit pas d’obligation générale d’alerte. Toutefois, l’article 40 du Code de procédure pénale prévoit que toute personne ayant connaissance d’un crime ou d’un délit doit en informer le procureur de la République. Cette obligation s’applique également à l’hébergeur lorsque le contenu réalise une infraction pénale.

Si l’hébergeur respecte ces obligations, sa responsabilité ne peut pas être engagée. À l’inverse, le défaut de retrait ou l’absence d’information des autorités constitue une faute. L’hébergeur n’est pas responsable du seul fait d’avoir stocké un contenu illicite : c’est son inaction après en avoir eu connaissance qui peut engager sa responsabilité.

• La responsabilité civile peut être engagée envers la victime, à laquelle l’hébergeur peut être condamné à verser des dommages et intérêts.
• Le défaut d’information des autorités compétentes constitue un délit pénal puni d’un an d’emprisonnement et de 250 000 euros d’amende.
• Pour une personne morale, l’amende est multipliée par cinq et l’interdiction d’exercer le métier peut être prononcée pendant cinq ans.

La protection des données s’est construite avec le développement de l’informatique, puis du numérique ; elle repose sur le RGPD et organise les rôles, les obligations des responsables de traitement et les droits des personnes concernées.

Dans les années 1970, le développement de l’informatique et son utilisation croissante par l’administration ont fait émerger la question de l’encadrement des données personnelles. Un projet informatique appelé « Safari » devait attribuer un numéro d’identification unique à chaque individu, réutilisé par les administrations pour interconnecter leurs fichiers. Il a suscité une forte inquiétude dans l’opinion publique, qui craignait un fichage généralisé de la population. Le projet a finalement été abandonné, puis la loi Informatique et Libertés du 6 janvier 1978 a été adoptée.

Cette loi est toujours en vigueur. Elle a créé la CNIL, Commission nationale de l’informatique et des libertés, autorité indépendante chargée de veiller à la bonne application du droit de la protection des données. Elle définit l’organisation et les pouvoirs de la CNIL et contient aussi des régimes spéciaux, notamment pour les traitements de données dans les domaines de la police et de la justice.

Avec le développement d’internet et de la société numérique, les traitements de données se sont généralisés dans les administrations et les entreprises, et ont acquis une dimension européenne ou mondiale. Ils sont aussi devenus un enjeu économique important : les données constituent une ressource économique essentielle et leur maîtrise représente un investissement stratégique pour les organisations.

La protection des données personnelles concerne les personnes physiques : les personnes morales, notamment les sociétés, n’ont pas de données personnelles. Une donnée identifie directement une personne lorsqu’elle permet de la désigner immédiatement. Plusieurs données qui ne permettent pas, prises séparément, d’identifier quelqu’un peuvent aussi conduire à l’identification par leur recoupement.

Les données personnelles peuvent notamment être :

• le nom ;
• le prénom ;
• l’adresse ;
• l’adresse électronique ;
• l’empreinte digitale ;
• les cookies ;
• l’adresse IP.

Cette liste est indicative. Le RGPD ne vise pas une technique particulière : cette neutralité technique permet au texte de s’appliquer aux évolutions techniques.

Dans les années 2010, la Commission européenne a décidé d’adopter un règlement afin d’harmoniser la protection des données dans l’Union européenne. Le règlement général sur la protection des données (RGPD) a été adopté le 27 avril 2016 et est entré en application le 25 mai 2018. Un règlement européen est directement applicable dans tous les États membres et obligatoire dans tous ses éléments ; il n’a pas besoin d’être transposé par les États. La loi Informatique et Libertés n’a pas été abrogée : elle a été réformée le 20 juin 2018 pour être mise en conformité avec le RGPD.

Le RGPD s’applique en principe à tous les traitements de données personnelles, sauf exception expressément prévue. Selon l’article 3, il s’applique :

• lorsque le responsable du traitement ou le sous-traitant est établi dans l’Union européenne ;
• lorsque le traitement cible des habitants de l’Union européenne, notamment en leur proposant des biens ou des services, quel que soit le lieu d’établissement du responsable du traitement.

Un responsable du traitement ne peut donc échapper au RGPD en s’établissant hors de l’Union européenne tout en ciblant des habitants de l’Union.

Un traitement de données fait intervenir différents acteurs, définis principalement par leur rôle dans la décision, l’exécution ou la réception des données.

Selon l’article 4 du RGPD, la personne concernée est la personne physique dont les données personnelles font l’objet d’un traitement. Les droits reconnus par le RGPD lui permettent de conserver la maîtrise de ses données.

Selon l’article 4 du RGPD, le responsable du traitement est la personne physique ou morale, l’autorité, le service ou un autre organisme qui détermine les finalités et les moyens du traitement.

Sa forme juridique est indifférente. Il peut être une personne physique ou morale, publique ou privée. Ce qui le caractérise est son pouvoir de décision :

• il détermine la finalité, c’est-à-dire pourquoi les données sont traitées ;
• il détermine les moyens du traitement, c’est-à-dire comment les données sont traitées, qui peut y accéder et combien de temps elles sont conservées.

Parce qu’il décide des finalités et des moyens, le responsable est le garant de la conformité du traitement.

L’article 26 du RGPD permet à deux ou plusieurs personnes de partager des données pour une finalité commune. Elles sont alors responsables conjoints du traitement, à condition de disposer chacune d’un pouvoir de décision sur les finalités et les moyens.

La CJUE a précisé cette notion dans deux arrêts importants, rendus le 5 juin 2018 et le 29 juillet 2019. Bien qu’ils portent sur des situations liées à Facebook, leur portée est plus générale.

Dans l’affaire de 2019, un site de vente de vêtements en ligne avait intégré un bouton « J’aime » renvoyant à Facebook. Des données personnelles étaient collectées grâce au site puis transférées à Facebook. Le transfert pouvait avoir lieu même si les visiteurs ne cliquaient pas sur le bouton et même s’ils n’étaient pas membres de Facebook. Une association allemande de défense des consommateurs reprochait au commerçant d’avoir transmis les données sans consentement et sans information.

Le commerçant contestait sa responsabilité, en soutenant que Facebook était à l’origine de la collecte. La juridiction allemande a interrogé la CJUE sur la responsabilité de l’éditeur du site.

La CJUE a retenu que le commerçant et Facebook étaient coresponsables du traitement, car Facebook avait proposé le module et le commerçant avait choisi de l’intégrer. Le commerçant avait ainsi rendu possible la collecte et la transmission des données à Facebook. La coresponsabilité n’implique cependant pas une responsabilité équivalente : chaque acteur répond des opérations qu’il contrôle.

En pratique, les coresponsables doivent tous respecter le RGPD, notamment les obligations d’information des personnes concernées et de sécurité des données.

Le responsable du traitement n’est pas nécessairement un spécialiste de l’informatique. Il recourt donc souvent à un prestataire chargé des aspects techniques : le sous-traitant.

Le sous-traitant traite les données pour le compte du responsable, et non dans son propre intérêt. Il n’a pas de pouvoir de décision sur les finalités et les moyens : il traite les données conformément aux instructions du responsable.

Un contrat technique doit obligatoirement être rédigé entre le responsable du traitement et le sous-traitant afin de préciser leurs droits et obligations. Le sous-traitant est soumis à une obligation de sécurité.

Selon l’article 4 du RGPD, le destinataire est la personne physique ou morale, l’autorité publique ou le service qui reçoit communication de données personnelles. Sa forme juridique importe peu ; il est habilité à recevoir les données.

Le responsable du traitement définit les destinataires. Seules les personnes pour lesquelles les données sont indispensables doivent pouvoir les recevoir.

Les tiers sont définis de manière négative : ils ne relèvent pas des catégories précédentes. Ils n’ont aucun droit sur les données personnelles et n’y ont pas accès.

Le responsable du traitement doit respecter le cadre contraignant fixé par le RGPD, depuis la conception du traitement jusqu’à la gestion de ses données et des risques qui leur sont associés.

Le responsable du traitement doit respecter plusieurs principes et obligations, notamment la conformité, la licéité, la loyauté, la transparence et une durée de conservation limitée.

L’article 24 du RGPD prévoit l’obligation principale du responsable du traitement : mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir et pouvoir démontrer que le traitement est effectué conformément au règlement.

Cette obligation introduit le concept d’accountability, parfois traduit par « responsabilité ». Le responsable doit respecter le RGPD, mais aussi être capable de prouver qu’il le respecte. Il doit donc à la fois appliquer les règles et documenter la manière dont il les applique.

La protection des données est un processus à la fois technique et juridique. Le responsable doit mettre en place des mesures de protection et des procédures permettant de vérifier à tout moment la conformité du traitement.

L’article 25 précise que la protection des données doit être pensée dès la conception du logiciel ou du traitement : c’est la privacy by design. Les contraintes juridiques sont intégrées dès la phase de conception technique.

Cette obligation conduit au principe de minimisation : le responsable doit retenir les solutions qui limitent le traitement des données et garantissent la meilleure protection des personnes concernées. Il doit notamment :

• limiter la collecte aux données strictement nécessaires à la finalité ;
• ne pas collecter une donnée qui n’est pas indispensable à cette finalité ;
• retenir la durée de conservation la plus courte possible.

La minimisation doit guider l’ensemble des choix du responsable.

Une délibération de la CNIL de 2023 concerne Amazon Logistique France. Dans ses entrepôts, chaque salarié disposait d’un scanner indiquant les tâches qui lui étaient assignées. Le système permettait aussi de contrôler la productivité et les périodes d’inactivité. La CNIL a jugé le suivi excessif, notamment parce que les salariés devaient justifier chaque pause ou interruption. Elle a également estimé excessive la conservation des données pendant un mois. Le traitement méconnaissait le principe de minimisation de l’article 25 du RGPD. Amazon Logistique France a reçu une amende de 32 millions d’euros.

Le RGPD prévoit plusieurs outils pour aider le responsable à établir sa conformité.

Le registre des traitements. Prévu par l’article 30 du RGPD, il est en principe obligatoire pour le responsable du traitement. Il doit être écrit et recenser les traitements mis en œuvre au sein de l’organisme. Pour chaque traitement, il rassemble notamment :

• l’identité du responsable et du sous-traitant ;
• la nature des données collectées ;
• la durée de conservation.

Le registre doit être régulièrement mis à jour et la CNIL peut en demander la communication. La CNIL a publié un modèle de registre adapté à la majorité des traitements.

La tenue du registre est facultative pour certaines entreprises ou associations de moins de 25 salariés, à condition que les traitements ne portent pas sur des données sensibles au sens des articles 9 et 10 du RGPD.

L’analyse d’impact sur la vie privée. Prévue par l’article 35 du RGPD, elle est imposée avant la mise en œuvre des traitements potentiellement les plus dangereux. Aucune collecte de données ne peut commencer avant sa réalisation. L’article 35 vise notamment les situations suivantes :

• profilage utilisé pour prendre des décisions ayant un effet juridique ou important sur les personnes concernées ;
• traitement à grande échelle de données sensibles relevant des articles 9 ou 10 du RGPD ;
• surveillance systématique d’un espace public.

Le profilage consiste à utiliser des données personnelles pour analyser une personne. Une banque peut, par exemple, analyser ses dépenses et ses revenus afin d’établir un score de crédit destiné à déterminer les services bancaires proposés. Un hôpital peut mettre en place un traitement de dossiers patients à grande échelle. Un centre commercial peut instaurer un système de surveillance systématique.

Cette liste n’est pas limitative. La CNIL a publié deux listes de traitements qui, selon elle, sont soumis à une analyse d’impact. En cas de doute, le responsable doit réaliser l’analyse avant toute collecte.

L’analyse d’impact comprend notamment :

• la description systématique des opérations de traitement et de leurs finalités ;
• l’évaluation des risques pour les droits et libertés des personnes concernées ;
• l’évaluation de la nécessité et de la proportionnalité du traitement ;
• la description des mesures envisagées pour faire face aux risques identifiés.

Après sa réalisation, le responsable peut mettre en œuvre le traitement. L’analyse doit être régulièrement mise à jour et tenue à la disposition de la CNIL.

L’article 5 du RGPD impose que les données soient traitées de façon licite, loyale et transparente.

Le traitement est licite lorsqu’il est conforme au RGPD et à la loi Informatique et Libertés. La loyauté et la transparence renvoient notamment à l’obligation d’information : avant toute collecte, la personne concernée doit être informée qu’un traitement va être mis en œuvre.

Les données personnelles ne peuvent pas être conservées sans limite. Selon l’article 5 du RGPD, elles doivent être conservées pendant une durée qui n’excède pas celle nécessaire au regard des finalités du traitement.

Deux situations sont à distinguer :

• Une loi peut fixer la durée de conservation. L’article L. 123-22 du code de commerce prévoit que les données de facturation et les pièces justificatives sont conservées pendant 10 ans à compter de la clôture de l’exercice.
• En l’absence de durée fixée par la loi, la CNIL publie des référentiels indiquant des durées de conservation. Ils ne sont pas contraignants, mais constituent une base de travail et sont pris en compte par la CNIL lors de ses contrôles.

Pour les données d’un candidat à l’embauche qui n’a pas été retenu, la CNIL autorise une conservation maximale de 2 ans après le dernier contact, sauf opposition du candidat.

À l’issue de la durée de conservation, les données ne peuvent plus faire l’objet d’un traitement et le responsable doit les effacer.

L’article 6 du RGPD exige que le traitement soit licite. Il doit donc reposer sur une base légale, c’est-à-dire un fondement juridique qui l’autorise. Le RGPD interdit un traitement dépourvu de base légale.

Le responsable choisit la base légale, choix influencé par les finalités et les modalités du traitement. Ce choix peut aussi conditionner les droits des personnes concernées : lorsque le traitement repose sur une obligation légale, la personne ne dispose pas du droit d’opposition.

L’article 6 énumère six bases légales. Parmi les bases abordées figurent le consentement, la nécessité du traitement pour satisfaire une demande de la personne et l’obligation légale.

Le consentement est une base légale privilégiée par le RGPD parce qu’il permet à la personne concernée de maîtriser ses données. Si elle refuse un traitement fondé sur son consentement, la collecte ne peut pas avoir lieu.

Quatre critères cumulatifs sont nécessaires pour que le consentement soit valable :

• Libre : il ne doit être ni contraint ni influencé. La personne doit disposer d’un véritable choix et pouvoir refuser le traitement sans subir de conséquences excessives.
• Spécifique : il doit viser un traitement et une finalité précis. La personne ne peut pas autoriser de manière générale le traitement de ses données.
• Éclairé : les informations nécessaires doivent être communiquées au préalable.
• Univoque : il doit résulter d’une déclaration de la personne ou d’un acte positif clair.

La CNIL admet le consentement lorsque la personne coche une case. En revanche, une case déjà cochée, que la personne devrait décocher pour refuser, ne constitue pas un consentement valable.

Le modèle du « consentir ou payer » consiste à proposer un service — par exemple l’accès à un article de journal — en laissant à l’utilisateur le choix entre consentir au traitement de ses données ou payer une somme. La CNIL ne condamne pas ce modèle par principe ; elle vérifie au cas par cas que le consentement est libre. Le coût de l’alternative payante doit rester raisonnable par rapport au service proposé.

Une délibération de la CNIL du 31 janvier 2024 concerne la société Foriou, qui menait des campagnes de démarchage téléphonique pour proposer des programmes et cartes de fidélité. Elle achetait les données des personnes démarchées auprès de courtiers, lesquels les collectaient au moyen de jeux-concours et de tests de produits.

Les formulaires de collecte ne respectaient pas la liberté du consentement : les liens autorisant la transmission des données étaient davantage mis en valeur que ceux permettant de participer aux jeux ou aux tests sans transmettre les données. Cette présentation orientait les utilisateurs vers l’acceptation. La CNIL a conclu que le traitement était dépourvu de base légale faute de consentement valable, en violation de l’article 6 du RGPD. Elle a infligé à Foriou une amende de 310 000 euros, rendue publique au regard du nombre de personnes concernées.

Le responsable peut traiter des données sans le consentement de la personne concernée dans certains cas.

Le traitement peut être nécessaire pour satisfaire la demande de la personne. Il peut notamment être nécessaire à la conclusion ou à l’exécution d’un contrat. Dans une vente à distance sur internet, le vendeur a besoin du nom et de l’adresse de l’acheteur pour exécuter le contrat, notamment pour délivrer le bien. Il peut utiliser ces données à cette fin sans recueillir le consentement.

La finalité contractuelle limite toutefois cet usage : le vendeur ne peut pas, par exemple, réutiliser l’adresse de l’acheteur pour lui envoyer un message publicitaire.

Le traitement peut aussi reposer sur une obligation légale, lorsque la loi impose à un organisme de mettre en œuvre le traitement. Certains traitements de l’administration, notamment dans le domaine fiscal, reposent sur cette base. Lorsque la collecte est imposée par la loi, la personne concernée ne dispose pas d’un droit d’opposition.

La collecte des données n’est jamais une fin en soi. Le responsable doit poursuivre un objectif précis : la finalité du traitement. Elle doit être déterminée et explicitement exprimée afin que la personne concernée puisse comprendre dans quel but ses données sont traitées.

Le responsable définit la finalité dès la conception du projet. Celle-ci influence les modalités du traitement et doit être respectée pendant toute sa durée. Elle est liée au principe de minimisation :

• seules les données indispensables à la finalité peuvent être collectées ;
• la durée de conservation doit être définie en fonction de cette finalité.

L’article 4 du RGPD interdit de réutiliser les données pour une finalité incompatible avec la finalité initiale. Une réutilisation nécessite un nouveau consentement des personnes concernées.

Une délibération de la formation restreinte de la CNIL du 12 février 2015 concerne le Théâtre national de Bretagne. Des abonnés avaient donné leur consentement au traitement de leur adresse électronique pour deux finalités : la gestion de leur abonnement et la diffusion d’informations culturelles par le théâtre.

Ils ont ensuite reçu un message électronique du directeur critiquant la politique culturelle menée par la ville de Rennes. Ce message avait un caractère politique et ne correspondait pas aux finalités annoncées. La CNIL a sanctionné le détournement de finalité par un avertissement public.

L’expression données sensibles provient de la loi Informatique et Libertés. Le RGPD parle de catégories particulières de données, régies par son article 9. Elles bénéficient d’une protection renforcée parce qu’elles touchent à des aspects particulièrement intimes de la personne concernée.

L’article 9 vise les données qui révèlent :

• l’origine raciale ou ethnique ;
• les opinions politiques ;
• les convictions religieuses ou philosophiques ;
• l’appartenance syndicale ;
• les données génétiques ;
• les données biométriques ;
• les données de santé ;
• la vie sexuelle ou l’orientation sexuelle.

Le principe posé par l’article 9 du RGPD est l’interdiction du traitement des données sensibles. Le texte prévoit toutefois plusieurs exceptions.

Le traitement est possible avec le consentement explicite de la personne concernée. Le responsable doit disposer d’une déclaration expresse, car le risque lié à ces données justifie un contrôle renforcé de la personne. L’information est elle aussi renforcée : le responsable doit préciser qu’il souhaite collecter une ou plusieurs données relevant de l’article 9.

Selon la CNIL, le consentement explicite peut être donné par une déclaration écrite et signée ou par un courriel indiquant que la personne accepte expressément le traitement de données sensibles. La CNIL contrôle notamment les sites et applications de rencontre, qui traitent fréquemment ce type de données.

Certaines organisations disposent d’une autorisation leur permettant de traiter certaines catégories de données sensibles. Les partis politiques peuvent, par exemple, traiter les données de leurs membres et de leurs sympathisants.

Le paragraphe 3 de l’article 9 prévoit un régime particulier pour les données de santé, afin que les professionnels de santé puissent les traiter dans le cadre de leur exercice professionnel. Les professionnels soumis au secret professionnel, notamment les médecins, les dentistes et les sages-femmes, peuvent traiter les données de santé de leurs patients dans ce cadre.

Le responsable doit mettre en place des procédures garantissant la sécurité des données. L’article 5 du RGPD exige qu’il les traite de manière à assurer une sécurité appropriée, notamment leur intégrité et leur confidentialité. Cette obligation est définie de manière générale et impose des mesures adaptées aux risques du traitement.

Les données doivent être protégées contre :

• la destruction ;
• la perte ;
• l’altération ;
• l’accès non autorisé ;
• la divulgation non autorisée.

La sécurité est importante pour les organisations, car les données ont une valeur marchande considérable et peuvent conditionner la survie d’une entreprise. Elle protège aussi les personnes concernées contre les atteintes à leur vie privée et les risques d’usurpation d’identité.

Les mesures doivent être adaptées aux risques : des données médicales doivent, par exemple, être protégées plus efficacement qu’un dossier fournisseur. En mars 2024, la CNIL a publié une nouvelle version de son guide de sécurité, composé de fiches thématiques. Elle attend des responsables une politique globale de sécurité, qui s’appuie sur quatre leviers :

• Agir sur les données : limiter la collecte au strict nécessaire et utiliser, par exemple, le chiffrement ou l’anonymisation.
• Agir sur les sources de risque : mettre en place des contrôles d’accès et des mécanismes d’habilitation.
• Utiliser des outils de sécurité : prendre des mesures physiques pour protéger les locaux et recourir à des outils de sécurité informatique, tels qu’un antivirus.
• Anticiper les conséquences d’une violation : prévoir des mécanismes de récupération des données et mettre en place la traçabilité de l’activité.

Les mesures doivent évoluer avec les risques et être adaptées aux caractéristiques du traitement.

Une violation de données correspond à la destruction, à la perte ou à la divulgation non autorisée de données, ou à l’accès non autorisé à celles-ci. Le responsable doit tenir un registre des violations, les documenter et consigner les mesures de sécurité. Ces informations sont tenues à la disposition de la CNIL.

Les délibérations de la CNIL montrent que des responsables de traitement, y compris de grandes entreprises, négligent parfois la sécurité.

La délibération de la formation restreinte de la CNIL du 19 décembre 2018 concerne Uber. Un article de presse avait révélé le vol des données de 57 millions de clients européens. Après enquête, la CNIL a constaté que la société avait pris très peu de mesures pour protéger ces données. Elle lui a infligé une amende administrative de 400 000 euros pour manquement à l’obligation de sécurité.

Des violations ont aussi concerné des établissements de santé. Selon une délibération de la CNIL du 3 septembre 2026, un attaquant avait réussi, au cours de l’année 2025, à accéder facilement à un dossier patient informatisé centralisant les données des patients pris en charge, soit 520 000 personnes. Des médecins libéraux externes à l’hôpital pouvaient également accéder très facilement au dossier patient. La CNIL a retenu un manquement à l’obligation de sécurité à l’encontre du HPL, l’hôpital privé de la Loire, et l’a condamné à une amende.

Lorsqu’il constate une violation de données, le responsable doit réagir immédiatement. Le RGPD prévoit des procédures de notification.

Selon l’article 33 du RGPD, lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes concernées, le responsable doit en informer la CNIL. La notification doit en principe intervenir dans les 72 heures suivant la découverte de la violation. Si ce délai n’est pas respecté, le responsable doit justifier son retard.

La notification permet à la CNIL d’évaluer la gravité de l’incident et l’efficacité des solutions et des mesures prises par le responsable.

Les personnes concernées disposent de droits relatifs à leurs propres données personnelles. Le responsable doit vérifier l’identité du demandeur avant de donner suite à une demande.

L’article 12 du RGPD fixe le cadre général d’exercice de ces droits :

• leur exercice est gratuit ;
• le responsable doit en principe répondre dans un délai d’un mois à compter de la réception de la demande ;
• si la demande est présentée sous forme électronique, le responsable peut répondre sous forme électronique, sauf refus de la personne concernée ;
• les droits peuvent, dans certains contextes, notamment lorsque l’intérêt général est en jeu, être limités ou écartés ;
• il n’y a pas de droit d’opposition lorsque le traitement repose sur une obligation légale.

Le droit d’accès, prévu par l’article 15 du RGPD, permet à une personne d’interroger un responsable pour savoir s’il détient des données qui la concernent. Si tel est le cas, elle peut demander une copie de l’ensemble des données détenues.

Ce droit est important parce qu’il permet à la personne de savoir que ses données font l’objet d’un traitement et conditionne ainsi l’exercice de plusieurs autres droits.

Le droit à l’information permet à la personne concernée de savoir ce qui sera fait de ses données personnelles. Il constitue aussi une obligation du responsable du traitement.

Les articles 12, 13 et 14 du RGPD encadrent le droit à l’information. Le responsable doit informer la personne concernée qu’il va procéder à un traitement de ses données et lui communiquer ses principales caractéristiques, notamment :

• l’identité du responsable ;
• la finalité du traitement ;
• les catégories de données collectées ;
• la durée de conservation ;
• les destinataires des données ;
• les éventuelles cessions de données ;
• le caractère obligatoire ou facultatif de la collecte ;
• les conséquences d’un refus de communiquer les données ;
• les droits reconnus par le RGPD, notamment le droit d’opposition ;
• la possibilité de présenter un recours devant la CNIL.

L’information doit être facilement accessible et compréhensible, et pas seulement délivrée. La formation restreinte de la CNIL constate fréquemment des manquements à cette obligation. Plusieurs délibérations ont condamné Google parce que l’accès aux informations nécessitait plusieurs opérations complexes de la part des personnes concernées.

Un cookie est un petit fichier texte enregistré sur un outil numérique lors de la visite d’un site internet. Il peut mémoriser des informations comme les identifiants ou la langue. Les cookies peuvent aussi mesurer l’audience et personnaliser la publicité, notamment en suivant la navigation de l’internaute afin de lui proposer des publicités ciblées. Leur utilisation peut donc impliquer l’exploitation de nombreuses données personnelles.

Les pixels invisibles sont d’autres types de traceurs. Ce sont de minuscules images transparentes intégrées à une page web ou à un message électronique. Elles se chargent automatiquement à l’ouverture de la page ou du message et transmettent des informations au serveur qui les a placées, notamment :

• l’adresse IP de l’utilisateur ;
• le type d’appareil ;
• le navigateur ;
• la date et la durée de consultation.

Un pixel peut indiquer si un courriel a été ouvert et permettre de suivre le comportement de l’utilisateur : pages consultées, clics effectués et durée de consultation. Les données recueillies peuvent servir à afficher des publicités ciblées en fonction des centres d’intérêt ou intervenir dans une tarification dynamique, par exemple pour des billets d’avion ou de train.

Pour la CNIL, les pixels invisibles sont des traceurs au même titre que les cookies.

Le RGPD ne traite pas directement des traceurs. La CNIL a précisé leur régime juridique en s’appuyant sur la jurisprudence de la CJUE et sur l’article 82 de la loi Informatique et Libertés. En principe, leur utilisation nécessite le consentement préalable de la personne concernée.

Ce consentement doit :

• être actif : l’utilisateur accomplit une action positive ;
• être spécifique : il porte sur une finalité précise ;
• être refusé aussi facilement qu’il peut être accepté.

La charge de la preuve du consentement incombe à celui qui dépose le traceur.

La CNIL recommande une information préalable en deux niveaux :

• Premier niveau : présenter les principales informations sur les traceurs et indiquer notamment l’identité du responsable du traitement.
• Second niveau : détailler chaque finalité, les catégories de traceurs et les tiers destinataires des données liées aux traceurs.

La formation restreinte de la CNIL a sanctionné Google le 1er septembre 2025. Il lui était reproché d’utiliser des cookies et des traceurs sans informer les utilisateurs de Gmail. Certains services étaient aussi conditionnés à l’acceptation des traceurs publicitaires, privant les utilisateurs de choix. La CNIL a prononcé une amende de 325 millions d’euros.

À la même date, la formation restreinte a sanctionné Shein. Des traceurs étaient déposés sans informer les utilisateurs, les informations sur les traceurs étaient incomplètes et des traceurs subsistaient après un refus. L’amende s’est élevée à 150 millions d’euros.

L’article 21 du RGPD reconnaît le droit d’opposition, qui permet à la personne concernée de garder la maîtrise de ses données. Ce droit n’est pas absolu.

Pour un traitement fondé sur l’intérêt public, la personne doit justifier son opposition, notamment en faisant valoir que le traitement met en danger sa vie privée.

Le droit est plus fort en matière de prospection commerciale : la personne n’a pas à fournir de justification. Si elle refuse que ses données soient traitées à des fins publicitaires, le responsable doit interrompre ce traitement.

Dans une délibération du 18 décembre 2021, la CNIL a sanctionné Free Mobile, qui continuait à prospecter des personnes ayant demandé à ne plus être démarchées. La société avait pourtant enregistré ces demandes. La CNIL a prononcé une amende de 300 000 euros pour violation de l’article 21 du RGPD.

L’article 16 du RGPD reconnaît le droit de rectification. La personne concernée peut demander la correction d’une erreur ou la mise à jour de ses données personnelles. Elle peut également obtenir la suppression de données obtenues de manière irrégulière. Le responsable doit lui fournir une copie des données corrigées.

Le droit au déréférencement permet de limiter l’accès, par les résultats d’un moteur de recherche, à certains contenus licites qui restent en ligne. Avant sa consécration, les textes antérieurs ne prévoyaient pas de mécanisme permettant le retrait de tels contenus. La CJUE a reconnu ce droit dans son arrêt du 13 mai 2014.

L’affaire concernait un journal espagnol qui avait publié en 1998, dans son édition papier, une annonce relative à une vente aux enchères publique de biens appartenant à un homme ayant de nombreuses dettes. En 2009, le journal a mis gratuitement ses archives en ligne. L’intéressé a constaté que son nom et son prénom, recherchés sur Google, faisaient apparaître en premier le résultat du journal, alors qu’il avait réglé ses dettes depuis longtemps.

L’autorité espagnole chargée des données a saisi la CJUE afin de connaître les obligations du moteur de recherche. La Cour a reconnu pour la première fois le droit au déréférencement :

• l’exploitant du moteur de recherche réalise un traitement de données personnelles dont il est responsable ;
• la personne concernée peut demander la suppression de certains résultats de recherche.

La protection de la vie privée peut l’emporter sur l’intérêt économique du moteur de recherche. Le droit n’est toutefois pas absolu : la protection de la personne doit être mise en balance avec la liberté d’information. Des informations excessives ou anciennes peuvent être déréférencées.

Les exploitants de moteurs de recherche doivent mettre à disposition un formulaire permettant de demander le déréférencement. Celui-ci ne supprime pas nécessairement le contenu : le lien peut être supprimé des résultats affichés à partir du nom et du prénom de la personne, tandis que le contenu reste en ligne. Le déréférencement rend l’accès au contenu plus difficile, mais ne l’efface pas.

La portée territoriale de ce droit a fait l’objet d’un arrêt de la CJUE du 24 septembre 2019. La CNIL considérait qu’elle pouvait ordonner un déréférencement sur toutes les versions d’un moteur de recherche, notamment Google.com. La CJUE a limité cette possibilité : la protection des données personnelles étant organisée au niveau de l’Union européenne, le déréférencement doit être limité à l’Union et à ses versions des moteurs de recherche. Un résultat supprimé dans l’Union peut ainsi être retrouvé en utilisant un moteur de recherche en dehors de l’Union.

L’article 17 du RGPD consacre le droit à l’effacement. Lorsqu’il s’applique, le responsable du traitement doit supprimer les données personnelles.

Sa portée est limitée : le droit n’est pas discrétionnaire et l’article reprend des hypothèses dans lesquelles l’effacement peut être obtenu. Il prévoit notamment la suppression lorsqu’une obligation d’effacement s’impose.

Une protection particulière concerne les enfants dont les données ont été collectées dans le cadre de services en ligne. Devenu majeur, l’intéressé peut demander l’effacement des données personnelles qu’il a communiquées pendant sa jeunesse dans le cadre de ces services.

La protection d’une œuvre en ligne repose sur son originalité et sur le droit d’auteur : celui-ci encadre sa reproduction, sa représentation et les conditions de sa mise en ligne, tandis que l’utilisation sans autorisation peut constituer une contrefaçon.

Le support numérique ne modifie pas la protection de l’œuvre : une œuvre numérique est protégée par le droit d’auteur comme une œuvre sur un support physique.

Le cadre évoqué repose sur trois textes :

• La LCEN.
• La directive du 17 avril 2019 sur le droit d’auteur dans le marché numérique.
• Le règlement du 19 octobre 2022, le DSA.

Le code de la propriété intellectuelle protège les œuvres de l’esprit, qu’elles soient physiques ou numériques : films, musiques, images et vidéos, notamment. La protection est automatique et gratuite. L’œuvre est protégée dès sa création, sans démarche à accomplir par l’auteur.

Pour être protégée, l’œuvre doit être originale, c’est-à-dire exprimer la personnalité de l’auteur à travers des choix libres et créatifs. L’auteur doit apporter quelque chose de personnel à sa création ; une simple idée n’est pas protégée et peut être reprise par chacun.

Le support ne change rien à cette protection : une photographie publiée sur Instagram est protégée comme un tableau au Louvre.

L’intelligence artificielle complique l’appréciation de l’originalité, car il faut déterminer quelle est la part de création humaine dans l’œuvre.

Le droit d’auteur confère à l’auteur des droits patrimoniaux et des droits moraux, qui s’appliquent également en ligne mais soulèvent des difficultés dans le contexte numérique.

Les droits patrimoniaux permettent à l’auteur de contrôler l’exploitation économique de son œuvre. Ils peuvent être cédés, par exemple lorsqu’un romancier cède ses droits à l’éditeur chargé de publier ses romans.

Ils s’éteignent 70 ans après la mort de l’auteur. L’œuvre tombe alors dans le domaine public et peut être librement exploitée, à condition de respecter le droit moral de l’auteur.

Paragraphe 1 : droit de reproduction

Le droit de reproduction permet à l’auteur d’autoriser ou d’interdire la reprise de son œuvre, quel que soit le procédé. La reproduction nécessite son autorisation. Le téléchargement et la copie sont des actes de reproduction.

Paragraphe 2 : le droit de représentation

Le droit de représentation permet à l’auteur d’autoriser ou d’interdire la communication de son œuvre au public. Il concerne sa diffusion, par exemple la projection d’un film dans un cinéma.

La diffusion d’une œuvre sur une plateforme, sa publication sur internet ou sa mise en ligne sur un réseau relèvent également du droit de représentation.

Les droits moraux n’ont pas de valeur pécuniaire. Ils sont incessibles et illimités dans le temps.

Droits a la paternité de l'oeuvre

L’auteur peut exiger que son nom soit mentionné lorsque son œuvre est reproduite ou représentée. Il doit être crédité comme créateur de l’œuvre.

Paragraphe 2 : le droit au respect de l'oeuvre

Le droit au respect de l’œuvre protège son intégrité. L’auteur peut interdire sa modification ou sa déformation : réécrire un passage d’un roman, par exemple, peut porter atteinte à ce droit.

Dans l’environnement numérique, les œuvres peuvent être facilement altérées. Couper certaines séquences d’une vidéo peut en changer le sens. L’intelligence artificielle pose également des questions relatives au respect de l’œuvre : elle peut imiter le style d’un artiste ou s’approprier son image ou sa voix, ce qui peut conduire à une dénaturation de l’œuvre.

Paragraphe 3 : droit de retrait

Le droit de retrait permet à l’auteur de retirer son œuvre de la diffusion ou d’en modifier le contenu, même après avoir autorisé sa publication. Il peut l’exercer si l’œuvre ne correspond plus à ses idées.

L’auteur peut exercer son droit de repentir, mais il doit alors indemniser le titulaire des droits patrimoniaux sur l’œuvre. L’exercice du retrait est particulièrement difficile en ligne : l’œuvre peut avoir été copiée des milliers de fois et des copies peuvent subsister sur des serveurs ou dans des archives.

De nombreux artistes sont hostiles à l’utilisation de leurs œuvres pour entraîner des intelligences artificielles.

La mise en ligne d’une œuvre relève du droit de représentation ; son téléchargement relève du droit de reproduction. Une autorisation est en principe nécessaire pour accomplir ces actes.

Le régime classique repose sur les licences propriétaires. L’auteur n’autorise que les usages qu’il accepte : la licence autorise un ou plusieurs actes de reproduction ou de représentation et s’interprète strictement. L’utilisateur ne peut exercer que les droits expressément prévus.

Ainsi, une licence autorisant un éditeur à publier la version papier d’un roman n’autorise pas sa représentation numérique si elle ne prévoit rien à ce sujet. Tout usage non prévu est interdit.

L’auteur peut imposer des conditions particulières d’exploitation, notamment des conditions techniques destinées à protéger la qualité d’une œuvre numérique, comme une photographie, une vidéo ou une musique.

Les licences propriétaires doivent être rédigées par écrit et préciser :

• La durée de l’exploitation autorisée.
• Le territoire sur lequel l’exploitation est autorisée.
• Le mode d’exploitation autorisé.

Une musique autorisée pour une diffusion interne dans une entreprise ne peut pas, sans autorisation correspondante, être publiée sur les réseaux sociaux. Le bénéficiaire doit aussi respecter les droits moraux de l’auteur : toute modification de l’œuvre est interdite. La licence prévoit généralement une contrepartie financière due à l’auteur, proportionnelle à l’usage de l’œuvre.

Des licences dites « libres » sont apparues dans le domaine numérique et garantissent aux utilisateurs des libertés supplémentaires. L’auteur reste titulaire de ses droits, mais accorde par avance certaines autorisations générales. La compatibilité de ces licences avec le droit français est incertaine : elles ont été conçues dans d’autres systèmes juridiques et les dispositions du code de la propriété intellectuelle relatives aux licences propriétaires sont impératives.

Les licences Creative Commons sont notamment utilisées pour des photographies reproduites sur Wikipédia. L’auteur conserve ses droits, mais peut autoriser les utilisateurs à copier ou modifier son œuvre, à l’utiliser sur internet et même à en faire un usage commercial. L’utilisateur doit toujours citer le nom de l’auteur. Ces licences permettent aux auteurs de diffuser largement leurs créations, de contribuer à des projets collaboratifs et de gagner en visibilité. Elles sont admises en droit français car elles reposent sur le consentement préalable de l’auteur, sous réserve de le citer.

Lorsque l’œuvre tombe dans le domaine public, 70 ans après la mort de l’auteur, les droits patrimoniaux s’éteignent et aucune licence n’est nécessaire pour exploiter l’œuvre. Le droit moral demeure toutefois illimité dans le temps : la paternité et l’intégrité de l’œuvre doivent toujours être respectées.

Une œuvre dérivée est créée à partir d’une œuvre préexistante. Si elle est originale, elle est elle-même protégée par le droit d’auteur, et une licence est nécessaire pour l’exploiter. Une photographie de la Joconde, qui appartient au domaine public, peut elle-même être protégée si elle présente une originalité. Un enregistrement d’une chanson de Mozart réalisé par un orchestre peut également être une œuvre dérivée.

L’originalité d’une œuvre dérivée s’apprécie selon ses particularités, notamment pour les photographies. Une photographie strictement technique, sans choix créatif, ne présente pas d’originalité ; selon la jurisprudence, les photographies de tableaux appartenant au domaine public ne sont pas des œuvres dérivées lorsqu’elles ne sont pas originales. Dans le domaine musical, les enregistrements réalisés notamment par des chefs d’orchestre reconnus sont souvent considérés comme des œuvres dérivées protégées par le droit d’auteur. La diffusion d’un enregistrement de l’orchestre de Berlin interprétant Beethoven nécessite ainsi une licence, même si l’œuvre de Beethoven appartient au domaine public.

La contrefaçon peut résulter de la reproduction, de la représentation ou de la diffusion d’une œuvre sans autorisation, ou d’un usage qui dépasse l’autorisation accordée.

L’article L122-4 du code de la propriété intellectuelle prévoit que toute représentation ou reproduction faite sans le consentement de l’auteur est illégale, qu’elle soit intégrale ou partielle.

Mettre en ligne une photographie sans autorisation constitue une reproduction et une représentation illicites. Utiliser une musique dans une vidéo publiée sur internet constitue une représentation illicite. Même si une autorisation existe, l’usage devient illicite lorsqu’il dépasse ce qui était prévu : l’autorisation d’utiliser une photographie pour illustrer une affiche imprimée ne permet pas de la publier sur internet.

La contrefaçon entraîne des sanctions civiles et pénales.

• Sanctions civiles :
  • Le juge peut ordonner la cessation de l’atteinte aux droits d’auteur, par exemple le retrait d’une photographie, d’une musique ou d’une vidéo.
  • Le juge peut accorder des dommages et intérêts pour réparer le préjudice de l’auteur. Pour l’évaluer, il tient compte du manque à gagner de l’auteur, des bénéfices réalisés par le contrefacteur et du préjudice moral subi par l’auteur.
• Sanctions pénales :
  • La contrefaçon est punie en principe de 3 ans d’emprisonnement et de 300 000 euros d’amende.
  • Le juge peut ordonner la fermeture d’un site internet.
  • Le juge peut ordonner la publicité du jugement de condamnation.

Les contrats conclus en ligne obéissent au droit commun des contrats, mais leur dématérialisation et la relation professionnel-consommateur entraînent des règles spécifiques de preuve, d’information et de protection.

Acheter un produit sur internet, souscrire un abonnement en ligne ou accepter des conditions générales d’utilisation sont des actes juridiques à part entière. Les articles 1127-1 et suivants du code civil consacrent l’équivalence entre contrat classique et contrat conclu par voie numérique : tout le droit commun des contrats s’applique.

Des règles particulières renforcent toutefois la protection du public, notamment lorsque le contrat est conclu entre un professionnel et un consommateur. La dématérialisation soulève des enjeux de preuve et de sécurité, ainsi que de protection contre les pratiques trompeuses. Le droit européen encadre ces enjeux afin de garantir la fiabilité des transactions et la loyauté des interfaces.

Les conditions générales d’utilisation (CGU) fixent les règles d’accès et d’utilisation d’un service numérique.

Elles sont établies par l’exploitant d’un site internet, d’une application, d’une plateforme ou même d’un objet connecté. Lorsque leur acceptation est nécessaire, elles forment un contrat entre l’utilisateur et le fournisseur.

Les CGU peuvent notamment préciser :

• les conditions d’accès au service ;
• les droits et obligations des utilisateurs ;
• les modalités de suppression d’un compte ;
• les responsabilités de chacun ;
• les informations sur le traitement des données personnelles.

Elles conditionnent parfois l’accès au service : lors de la création d’un compte sur un service numérique, l’utilisateur doit généralement accepter les CGU.

Les CGU sont des contrats d’adhésion : une partie les rédige et l’autre peut uniquement les accepter ou les refuser en bloc. Il n’y a pas de négociation entre les parties. Cette absence de négociation justifie un encadrement juridique renforcé, mais ne permet pas à l’exploitant d’imposer n’importe quelle règle.

Les CGU doivent respecter l’ordre public. Lorsqu’elles encadrent une relation entre un professionnel et un consommateur, elles doivent également respecter les règles protectrices du code de la consommation et ne pas contenir de clauses abusives.

Clause abusive : clause qui crée un déséquilibre significatif entre les droits et obligations des parties, au détriment du consommateur.

Par exemple, une clause permettant à une plateforme de supprimer le compte d’un utilisateur sans justification serait abusive. Une fois acceptées, les CGU constituent un véritable contrat et s’imposent aux deux parties : la plateforme et l’utilisateur.

Le contrat se forme par l’échange des consentements ; dans l’univers numérique, le principe reste le même, mais ses modalités et sa preuve s’adaptent au contexte dématérialisé.

Le principe est posé par l’article 1113 du code civil : le contrat naît de la rencontre d’une offre et d’une acceptation par lesquelles les parties manifestent leur volonté de s’engager.

Le droit français des contrats est consensualiste : le consentement peut être exprimé librement, sans formalisme particulier. Il peut se manifester par des paroles, des écrits ou des actes.

Dans le contexte numérique, toute démarche permettant à une partie d’exprimer sa volonté de conclure le contrat peut manifester le consentement. Le clic en est un exemple : il constitue une application du consensualisme.

Dans un arrêt du 6 avril 2016, la première chambre civile de la Cour de cassation a admis que le clic vaut acceptation dès lors que les conditions générales étaient accessibles.

Le consentement électronique soulève un enjeu de preuve. Le professionnel doit pouvoir établir que l’utilisateur a consenti, à quelle date et dans quelles circonstances. Il peut notamment utiliser :

• un système d’horodatage, qui indique la date et l’heure de l’acceptation ;
• des logs informatiques, c’est-à-dire des enregistrements conservés par un système informatique qui retracent les actions effectuées par les utilisateurs.

En cas de litige, ces traces numériques peuvent établir si le consentement a été donné, à quelle heure et comment.

La seule existence du consentement ne suffit pas : pour être valable, il doit être libre et ne pas être affecté d’un vice. Il doit aussi être éclairé.

L’article 1112-1 du code civil consacre une obligation générale d’information précontractuelle. Une partie doit communiquer à l’autre les informations importantes dont elle dispose lorsqu’elles sont déterminantes pour le consentement. Le consentement n’est éclairé que si la personne dispose des informations déterminantes pour son engagement.

Par exemple, avant de souscrire un abonnement à une plateforme de streaming, l’utilisateur doit pouvoir connaître le montant de l’abonnement, sa durée ainsi que les modalités de renouvellement et de résiliation.

Si ces informations sont cachées ou présentées de manière trompeuse, le consentement peut ne pas être éclairé. Ce risque existe notamment avec les dark patterns, des interfaces trompeuses destinées à orienter le comportement de l’utilisateur dans un sens favorable au vendeur ou à la plateforme.

La liberté de choix peut alors sembler préservée, alors que la présentation des informations influence l’utilisateur. Par exemple :

• une plateforme met en avant un essai gratuit, mais relègue en bas de page les informations sur l’engagement payant qui suit ;
• une offre est présentée comme valable pour une durée très courte.

L’analyse ne porte donc pas seulement sur ce sur quoi l’utilisateur a cliqué, mais aussi sur la manière dont il a été conduit à cliquer.

Le contrat conclu entre un professionnel et un consommateur est soumis au code de la consommation afin de protéger le consommateur. Les contrats conclus à distance, notamment dans le contexte numérique, sont soumis à des règles particulières.

L’article 1112-1 du code civil établit une obligation générale d’information précontractuelle, applicable à tous les contrats. L’article L221-5 du code de la consommation renforce cette obligation lorsque le contrat est conclu entre un professionnel et un consommateur.

Le professionnel doit notamment informer le consommateur sur :

• les caractéristiques du produit ;
• son prix ;
• les frais supplémentaires ;
• les modalités de livraison ;
• l’existence du droit de rétractation.

L’information doit être claire, compréhensible et accessible afin que le consommateur puisse décider en connaissance de cause.

Les articles L121-1 et suivants du code de la consommation interdisent les pratiques commerciales trompeuses. Une pratique est trompeuse lorsqu’elle induit, ou est susceptible d’induire, le consommateur en erreur sur des éléments essentiels de l’offre et d’altérer ainsi son comportement économique.

Les faux avis en ligne publiés par une entreprise et les fausses promotions sont des exemples de telles pratiques. Elles portent atteinte à la qualité du consentement : le consommateur a choisi de conclure le contrat, mais son choix a été influencé par une information fausse ou présentée de manière trompeuse.

Une pratique commerciale trompeuse peut entraîner des sanctions civiles et pénales.

En principe, le consentement donné lors de la formation du contrat est définitif et le contrat doit être exécuté. Il faut normalement un nouvel accord des parties pour y mettre fin.

Par exception, l’article L221-18 du code de la consommation prévoit un droit de rétractation pour les contrats conclus à distance, notamment sur internet. Le délai est en principe de 14 jours à compter de la réception du bien.

Le consommateur peut changer d’avis unilatéralement, sans donner de motif et sans supporter d’autres frais que ceux éventuellement prévus par la loi. Il peut obtenir le remboursement du prix du produit ; le vendeur ne peut pas appliquer de pénalité de rétractation.

Les frais de réexpédition peuvent rester à la charge du consommateur si le professionnel l’a clairement prévu et annoncé avant la vente.

Le vendeur est principalement tenu à une obligation de délivrance : dans le contexte numérique, le professionnel doit livrer le bien ou fournir le service dans le délai indiqué au consommateur lors de la conclusion du contrat.

Selon les articles L216-1 et suivants du code de la consommation, si aucun délai n’est indiqué, le professionnel doit en principe exécuter le contrat dans les 30 jours suivant la commande.

En cas de retard :

1. Le consommateur peut mettre le professionnel en demeure de le livrer.
2. Si le professionnel ne livre pas après un délai raisonnable, le consommateur peut résoudre le contrat.
3. Le consommateur peut alors obtenir le remboursement des sommes versées.

Les obligations de garantie, notamment contre les vices cachés, et les obligations de conformité s’imposent également aux vendeurs sur internet.

La multiplication des abonnements à des services numériques a conduit le législateur à intervenir pour protéger les consommateurs.

La reproduction tacite désigne le renouvellement automatique du contrat à son échéance lorsque le consommateur ne manifeste pas sa volonté d’y mettre fin. L’abonnement continue donc aussi longtemps que l’utilisateur ne le résilie pas.

L’article L215-1 du code de la consommation encadre ce mécanisme. Il s’applique à tous les contrats de prestation de services conclus pour une durée déterminée et comportant une clause de reproduction tacite ; il n’est pas réservé aux contrats conclus sur internet.

Le professionnel doit rappeler au consommateur la date d’échéance du contrat et la possibilité de ne pas le renouveler. L’information doit être :

• communiquée par écrit ;
• formulée de manière claire et compréhensible ;
• délivrée entre 1 et 3 mois avant l’échéance du contrat.

Si le professionnel ne transmet pas cette information, le consommateur peut mettre fin au contrat à tout moment à compter de sa reproduction.

Le consommateur doit pouvoir mettre fin au contrat de manière simple et effective. Le professionnel ne doit pas rendre artificiellement difficile la résiliation.

L’article L215-1-1 du code de la consommation prévoit un mécanisme permettant au consommateur de résilier sans obstacle technique, procédure inutilement complexe ni frais abusifs. Lorsqu’un professionnel propose la souscription d’un contrat en ligne, il doit mettre à disposition une fonctionnalité de résiliation en ligne facilement accessible.

L’utilisateur doit pouvoir mettre fin au contrat aussi facilement qu’il l’a conclu. Le professionnel qui ne respecte pas cette obligation s’expose à des sanctions administratives prononcées par la DGCCRF.

Par exemple, un professionnel qui propose un abonnement en ligne ne peut pas imposer l’envoi d’un courrier recommandé pour le résilier.