Vive le marché unique connecté ! Mais pas à n’importe quel prix

Vive le marché unique connecté ! La Commission européenne a pour objectif de tirer profit des possi­bilités offertes par les technologies numériques et se montre convaincue, pour ce faire, qu’il faut briser les barrières nationales en matière de réglementation des télécommunications, de droit d’auteur, de protection des données, de gestion des ondes radio et d’application du droit de la concurrence. Les technologies numériques ne connaissent en effet aucune frontière. Pour autant, les États membres rencontrent des difficultés à instaurer des législations efficaces à l’échelle nationale, difficultés qui justifieraient l’initiative réglementaire européenne impulsée par la Commission. La stratégie du marché unique qu’elle adopte repose alors sur trois piliers : l’amélioration de l’accès aux biens et services numériques dans toute ­l’Europe pour les consommateurs et les entreprises ; la mise en place d’un environnement propice au développement des réseaux et services numériques favorisant l’innovation, tout en ­pré­servant les droits fondamentaux des consommateurs ; la maximisation du potentiel de croissance de l’économie numérique européenne.
Dans cette perspective, une consultation publique relative à l’environnement réglementaire concernant les plateformes, les intermédiaires en ligne, les données et l’informatique en nuage ainsi que l’économie collaborative a été organisée, à laquelle a répondu le pôle « Droit de la propriété intellectuelle et du numérique » de l’association Trans Europe Experts(2). Le pôle s’est particulièrement intéressé à la définition des plateformes en ligne, au régime qui leur est applicable, ainsi qu’aux questions que soulèvent les données et ­l’informatique en nuage dans les écosystèmes numériques. Il a au ­préalable relevé la formulation de quelques questions et/ou le choix de certains concepts employés par la Com­mission qui attestent, de façon discutable, d’orientations d’ores et déjà prises par celle-ci.

Des infrastructures d’intermédiation de l’information

En premier lieu, on peut tomber d’accord sur la nécessité d’encadrer la notion de « plateformes en ligne » : ces acteurs sont devenus omniprésents dans l’environnement numérique, au point qu’il paraît légitime de les soumettre à un certain nombre d’obligations, corrélatives à leurs importants pouvoirs. Mais, comment définir ces plateformes ? La réponse est loin d’être évidente et l’on peut déplorer la lecture éminemment restrictive que semble en proposer la Commission : elle exploite l’idée d’une entreprise génératrice de valeur du fait de son rôle d’intermédiaire dans les échanges entre utilisateurs. De fait, elle ne s’intéresse qu’au rôle d’acteur de marché. Or, il est tout aussi important de viser l’objet de l’activité, à savoir une intermédiation d’informations entre différents acteurs opérant en ligne, ce pour assurer la distribution de produits ou de services (ce critère intégrant celui d’un marché multiface).
La définition devrait donc être beaucoup plus ample et également appréhendée par l’objet sur lequel porte l’intermédiation : l’aspect « informationnel » est essentiel et doit être entendu largement. La notion de plateforme devrait ainsi viser toute « infrastructure d’infomédiation ». Cela permettrait de rendre compte non seulement de sa fonction d’intermédiaire, mais également de l’objet sur lequel porte cette intermédiation. Cette définition et la reconnaissance d’un statut des plateformes en ligne seraient-elles posées qu’il faudrait s’interroger sur la pertinence du maintien de la distinction hébergeur/éditeur de la directive 2000/31 : il paraît malaisé d’appréhender la responsabilité de ces plateformes par le prisme de ces statuts s’ils ne leur correspondent pas.
Quant au régime à appliquer aux plateformes en effet, outre une responsabilité quant au contenu informationnel dont elles sont les intermédiaires, il conviendrait de leur imposer une obligation de loyauté. Une telle obligation se doit d’être plurielle et porter à la fois sur l’information à fournir aux utilisateurs – qui doit être loyale, transparente et compréhensible afin d’éclairer ces derniers sur le rôle joué par la plateforme – et sur les liens que celle-ci entretient avec les différents acteurs de l’économie numérique. Elle doit aussi porter sur les finalités des collectes des données générées ou publiées par l’utilisateur de la plateforme. Évidemment, pour assurer l’efficacité d’une telle obligation, des sanctions adéquates devraient être adoptées : celles pécuniaires ne seraient pertinentes que si elles sont proportionnelles à la taille économique des opérateurs sanctionnés ; celles « réputationnelles » devraient être promues, par exemple via l’élaboration de guides de bonnes pratiques dont le respect serait évalué par une agence européenne de notation (voire via une liste noire des plateformes qui se rendraient coupables de pratiques déloyales, liste qui pourrait être relayée par la multitude des internautes). La loyauté deviendrait alors un argument marketing fort, facteur de confiance pour l’utilisateur.

Libre circulation des données à certaines conditions

Du côté des données, si leur circulation est une réalité, ce que ne renie pas le règlement européen adopté en décembre 2015, on peut se montrer réservé sur le fait d’inscrire cette circulation dans une logique mercantile. Or, cette logique semble illustrée par l’absence d’établissement, dans le droit européen, d’un statut de la donnée et par la réification que semble en admettre la Commission. Le régime qui leur est applicable puise beaucoup, par analogie, dans celui de la libre circulation des marchandises. Or, les données ne sont en aucun cas des biens et elles ne doivent pas être appréhendées par le prisme d’un droit de propriété.
On militera donc, à l’inverse, pour l’établissement d’un principe de libre circulation, sous d’importantes réserves : dans le respect de conditions raisonnables, équitables et non-discriminatoires et avec des définitions claires des types de données concernées par la libre circulation et des distinctions nettes entre celles à caractère personnel et les autres (cf. le règlement évoqué sur ces points). On insistera tout particulièrement, dans cette circulation, sur l’importance des restrictions relatives à la localisation des données : quand il en va de la sûreté de l’État ou de la protection des personnes, certaines localisations devraient être exigées (plus généralement, il serait opportun d’opérer une distinction en fonction du degré de sensibilité des données en cause, celles médicales par exemple devant être particulièrement protégées). Dans cet esprit, si des atteintes à la protection des données devaient être observées au sein d’un État membre, des limitations strictes à la libre circulation vers cet État devraient, à titre de sanctions, pouvoir être adoptées.
Plus généralement, c’est un droit général des individus à présider au sort de leurs données qui devrait être officiellement reconnu par la Commission (« droit à l’autodétermination informationnelle ») : chacun doit avoir la possibilité de choisir les usages qu’il souhaite autoriser et, notamment, de bénéficier d’un droit à la portabilité de ses données, c’est-à-dire qu’elles lui soient restituées dans un format ouvert et interopérable (sous réserve que le coût lié à cette portabilité ne porte pas une atteinte disproportionnée à la liberté d’entreprendre ; cf. le règlement sur ce point). Dans ce même esprit, il paraît souhaitable de promouvoir les différents outils permettant de mettre l’utilisateur en capacité de mieux contrôler ses propres données et de participer à leur processus de valorisation, sur le modèle des Personal Information Management Systems (PIMS) ou des Cloud Computing personnels.
Enfin, les opérateurs ne devraient pas pouvoir, conventionnellement, exclure leurs obligations et devraient être obligés d’adopter des mesures matérielles permettant de garantir le respect des droits des utilisateurs (« Legal Design »), ainsi qu’être incités à de bonnes pratiques (information relative au lieu de conservation des données ; à la durée de conservation ; aux garanties de sécurité existantes ; voir le règlement sur ces points). Le tout devrait s’accompagner de l’instauration d’une véritable action de groupe à l’échelle de l’Union européenne (celle est menée par Max Schrems, un avocat autrichien ayant réuni plus de 25 000 Européens accusant Facebook d’utilisation illégale de leurs données personnelles, a pour l’heure été jugée irrecevable…).