La loi visant à sécuriser et à réguler l’espace numérique est promulguée

Promulguée le 21 mai 2024, la loi visant à sécuriser et à réguler l’espace numérique a passé avec un succès relatif l’examen du Conseil constitutionnel, qui avait fait l’objet d’une double saisine sur plusieurs de ses dispositions. L’ensemble de la loi reste fortement critiquable pour sa complexité.

« L’adoption en Europe des deux règlements sur les services et marchés numériques (DSA et DMA) et du règlement sur la gouvernance des données (DGA) constitue une première étape fondamentale à l’avènement d’un marché unique du numérique européen fondé sur nos valeurs. […] Le succès de la transition numérique, tant pour les citoyens que pour les entreprises et pour les services publics, dépend en priorité de notre capacité à créer les conditions d’un environnement numérique propice à la confiance, à la loyauté et à l’équité de l’économie et des échanges sur ces nouvelles interfaces technologiques. Ce nouveau cadre inédit et ambitieux doit continuer de s’incarner dans une mise en œuvre nationale efficace et proche des citoyens » : ainsi était présenté le projet de loi visant à sécuriser et à réguler l’espace numérique déposé au bureau du Sénat le 10 mai 2023.

Les remontrances initiales de la Commission européenne

L’affaire était si mal engagée que l’examen du projet de loi par le Parlement a fait l’objet de deux avis circonstanciés de la Commission européenne, respectivement le 25 octobre 2023¹ et le 17 janvier 2024², dans lesquels elle soulevait plusieurs risques de non- conformité au droit de l’Union européenne.

En substance, il était reproché au texte d’empiéter sur plusieurs dispositions du règlement sur les services numériques (Digital Services Act, ou DSA)³, qui est pourtant directement applicable dans l’ordre interne des États membres. L’adoption de dispositifs nationaux pourrait logiquement nuire à l’objectif d’harmonisation des législations. D’autres griefs plus précis ont également été soulevés par la Commission. Ainsi en est-il des articles du projet de loi applicables à toute plateforme proposant ses services sur le territoire français ; la règle de l’État de destination se trouverait ainsi substituée à celle de l’État d’origine, en contradiction flagrante avec l’article 3 de la directive Commerce électronique⁴, qui n’est pas remise en cause par le DSA. Il en était de même pour ce qui concerne la compétence des autorités françaises à l’égard des fournisseurs de services de plateformes, laquelle ne pourrait faire abstraction ni des mécanismes de coopération entre les autorités nationales ni de la compétence exclusive de la Commission à l’égard des très grandes plateformes en ligne. Enfin, celle-ci a pu appeler à la retenue vis-à-vis de certaines initiatives du projet de loi, notamment pour les dispositifs de vérification de l’âge des utilisateurs, la France étant invitée à ne retenir qu’une procédure transitoire vouée à être abrogée en cas d’adoption d’une solution européenne.

En dépit de ces recommandations, le projet de loi a fini par être adopté en commission mixte paritaire le 10 avril 2024. Il en ressort un texte d’une rare technicité et d’une lisibilité très relative, réformant des pans entiers de législation dans un ordre qui échappe à toute logique, allant de la protection en ligne des mineurs à l’encadre- ment des jeux à objets numériques monétisables, en passant par la régulation des pratiques commerciales entre entreprises sur le marché du cloud computing. La loi du 21 juin 2004 pour la confiance dans l’économie numérique y fait l’objet d’un important toilettage, en particulier les articles 6 et suivants, tout comme d’autres textes, pour assurer leur mise en conformité au DSA. Certaines dispositions se limitent d’ailleurs à reprendre le texte du règlement sur des points qui ne méritaient guère plus de précisions.

Mais les plus importantes, et certaines des plus controversées, figurent dans le titre I, relatif à la protection en ligne des mineurs, et dans le titre II, qui porte sur la protection des citoyens dans l’environnement numérique. Si le Conseil constitutionnel a déclaré plusieurs d’entre elles contraires à la Constitution dans sa décision du 17 mai 2024⁵, force est de constater que l’essentiel a quand même survécu dans la version finale du texte. Le glaive destiné à sécuriser et réguler l’espace numérique aurait bien pu se briser entre le marteau et l’enclume.

La protection en ligne des mineurs

Tout d’abord, le premier volet de la loi s’attache à renforcer les pouvoirs de l’Arcom (Autorité de régulation de la communication audiovisuelle et numérique) « en matière de protection en ligne des mineurs », ce qui vise essentiellement des pouvoirs de contrainte sur les sites donnant accès à des contenus pornographiques.

On sait le sujet sensible depuis plusieurs années, l’autorité ayant fini par être mise au centre des dispositifs visant à empêcher l’accès des mineurs à de tels contenus. Ainsi, les articles 1 à 3 lui permettent de mettre en demeure les éditeurs ou fournisseurs de services de plateforme de partage de vidéos à se conformer techniquement à cette obligation, soit sur la base d’un référentiel qui devra être établi par l’autorité, soit sur le fondement de l’article 227-24 du code pénal. Sur ce dernier point, un même manquement pourrait donc faire l’objet à la fois d’une sanction pénale et d’une sanction administrative, laquelle peut inclure des mesures de blocage et de déréférencement ainsi qu’une amende. Les deux hypothèses donnent lieu à un luxe de détails quant à la procédure mise en œuvre, aux sanctions encourues, qui ne sont pas les mêmes, et aux obligations des personnes concernées, telles que celle de ne pas afficher de contenus pornographiques tant que l’âge de l’utilisateur n’est pas vérifié. De même, l’autorité peut demander aux boutiques d’applications d’empêcher le téléchargement de celle liée à un service non conforme au regard de ces dispositions.

L’article 1^er de la loi a notamment été soumis à l’examen du Conseil constitutionnel par la saisine déposée le 18 avril 2024 des députés du groupe LFI – Nupes⁶. Selon eux, le fait de confier à l’Arcom le soin d’élaborer un référentiel relatif aux exigences techniques mini- males applicables aux systèmes de vérification de l’âge, s’agissant des sites comportant des contenus pornographiques, constituerait une incompétence négative du législateur au sens de l’article 34 de la Constitution, alors même qu’il s’agit de dispositifs pouvant mettre en cause le droit au respect de la vie privée. Le pouvoir de sanction conféré à l’Arcom était également contesté au regard de son caractère disproportionné, les contenus pornographiques n’étant pas nécessairement illicites, à la différence d’autres contenus présentant des risques beaucoup plus importants.

Le Conseil constitutionnel n’a cependant pas remis en cause ces dispositions, estimant que le pouvoir confié à l’Arcom était précisément circonscrit dans son champ d’application, qui reste essentiellement d’ordre technique. Il en est de même s’agissant des mesures de blocage et de déréférencement qui peuvent être ordon- nées par l’autorité, la durée maximale prévue (deux ans) n’étant pas jugée excessive au regard des voies de recours qui restent ouvertes aux services visés et à la possibilité pour eux de demander une réévaluation de leur situation. Ces mesures, qui sont de police administrative, ne méconnaissent donc pas le principe de légalité des délits et des peines.

Renforcement et extension des demandes administratives de blocage de contenus

Les articles 4 et 5 viennent ensuite préciser la portée des demandes administratives de blocage de contenus en pénalisant le défaut d’exécution en 24 heures d’une mesure ordonnée sur le fondement de l’article 6-1 de la loi du 21 juin 2004, cette possibilité étant étendue à titre expérimental aux images de torture ou d’actes de barbarie relevant de l’article 222-1 du code pénal sous des conditions très similaires à celles qui sont prévues de façon plus générale par le DSA. Il en est de même avec les contenus constitutifs d’usurpation d’identité ou de hameçonnage (art. 24).

La mise en œuvre de cette procédure reste sous le contrôle d’une personnalité qualifiée de l’Arcom dans le premier cas et de la Cnil (Commission nationale de l’informatique et des libertés) dans le deuxième, celle-ci étant censée prévenir le risque de surcensure. Elle peut ainsi saisir le tribunal administratif aux fins d’annulation d’une demande qu’elle juge infondée, comme cela avait pu être le cas à l’égard de contenus faisant prétendument l’apologie du terrorisme⁷. On notera également que les éditeurs de contenus et services d’hébergement qui sont visés par la mesure peuvent en demander l’annulation dans les 48 heures, le juge administratif ayant 72 heures pour statuer sur le recours. Ces dispositions ont fait l’objet de critiques similaires à celles qui avaient pu en 2020 être soulevées à l’égard de la loi Avia (voir La rem n°55-56, p.17), en particulier pour ce qui concerne les délais de recours, qui sont extrêmement courts. Saisi sur ce point, le Conseil constitutionnel les a néanmoins estimés suffisants, là encore les hébergeurs et éditeurs de contenus concernés pouvant dans ce laps de temps apporter de nouveaux éléments pour contester la légitimité des mesures de blocage.

L’incrimination relative des deepfakes

Le titre II de la loi, composé des articles 7 à 25, est un ensemble fourre-tout, où l’on trouve aussi bien des mesures d’éducation et de sensibilisation que des nouvelles infractions et peines portant sur la diffusion de contenus illicites. C’est ainsi que l’article 15 entend renforcer l’article 226-8 du code pénal, qui réprime le montage de l’image ou de la voix d’une personne identifiée réalisé sans son consentement, en y intégrant les contenus générés par un traitement algorithmique, autrement dit les deepfakes. À l’instar du montage photographique, le délit ne peut être constitué s’il apparaît évident qu’il s’agit d’un contenu généré algorithmiquement ou s’il en est expressément fait mention. Les deepfakes disposant d’un marquage du type « généré par intelligence artificielle » ne sont donc pas concernés. Ceux-ci sont pour autant très nombreux, et si certains ont un caractère satirique explicite excluant toute ambiguïté, d’autres peuvent se présenter sur un ton plus neutre et porter sur d’authentiques sujets d’ordre politique, économique ou social, ce qui est susceptible de provoquer la confusion. Le risque est d’autant plus grand dans les réseaux sociaux, où l’indication précitée figure souvent dans les informa- tions afférentes aux comptes qui sont à l’origine de ces contenus, sans être reprise lorsqu’ils sont partagés. Là encore, l’actualité la plus récente en fait un sujet sensible dans le cadre des élections européennes, la nouvelle infraction n’étant que d’un intérêt relatif⁸. Il est également ajouté un article 226-8-1 réprimant la diffusion de deepfakes à caractère sexuel reprenant l’image ou les paroles d’une personne identifiée (article 21).

Une peine complémentaire de bannissement des réseaux sociaux

De même, l’article 16 appelle l’attention puisqu’il établit une peine complémentaire de suspension des comptes d’accès aux services en ligne ayant été utilisés pour commettre une infraction, en établissant la liste des délits pouvant justifier une telle sanction.

Ce bannissement des réseaux sociaux et autres services de partage de contenus en ligne sera d’une durée maximale de six mois, pouvant être portée à un an en cas de récidive. Cette peine ne manque pas de soulever des interrogations quant à son caractère proportionné au regard du nombre important d’infractions en cause. Une telle suspension pourrait en effet restreindre considérablement la liberté de communication des personnes pour bien d’autres raisons essentielles, eu égard à l’importance de ces services dans la vie quoti- dienne. C’est exactement à ce propos que la Cour suprême a pu affirmer que l’accès aux réseaux sociaux constituait un moyen d’exercice de cette liberté (voir La rem n°44, p.62). Il n’empêche que le DSA prévoit déjà la possibilité pour les fournisseurs de plateformes de suspendre l’accès à leurs services aux personnes « qui fournissent fréquemment des contenus manifestement illicites » (art. 23), donc plus rapidement qu’une décision judiciaire, et pour des cas relevant assurément des différents délits mentionnés, ce pourquoi on peut s’interroger sur l’utilité de cette peine complémentaire.

Certains tribunaux n’ont pas attendu le vote du projet de loi pour commencer à infliger cette peine de suspension des réseaux sociaux. Le tribunal judiciaire de Saint- Brieuc l’a, en effet, déjà appliqué en juin 2023 à l’égard d’une personne ayant commis des actes de cyber- harcèlement à l’encontre de Tariq Ramadan et de l’une de ses accusatrices, le bannissement ayant été prévu pour une durée égale à celle de son inscription sur le casier judiciaire⁹.

Le délit d’outrage en ligne, finalement déclaré contraire à la Constitution

L’article 19, qui institue le délit d’outrage en ligne, a également été sous le feu des critiques. Cette nouvelle infraction serait, en effet, constituée par la diffusion de tout contenu « qui, soit porte atteinte à la dignité d’une personne ou présente à son égard un caractère injurieux, dégradant ou humiliant, soit crée à son encontre une situation intimidante, hostile ou offensante » (3 750 euros d’amende et un an de prison), avec des circonstances aggravantes, notamment si la victime est mineure, est une personne vulnérable ou si l’infraction est commise en fonction de son orientation sexuelle ou de son identité de genre (7 500 euros et un an de prison). Il est prévu que l’action publique puisse être éteinte par le versement d’une amende forfaitaire de 300 euros. La lecture même de l’article précité évoque spontanément un risque important de recoupement avec d’autres infractions, telles que les menaces, le harcèlement sexuel ou moral et l’injure publique, si ce n’est que celles-ci sont explicitement exclues. Il reste alors à savoir en quoi peut bien consister une expression offensante, tout en tenant compte du contexte dans lequel celle-ci est diffusée.

À ce titre, les tribunaux ont eu plusieurs fois l’occasion de rappeler que l’usage des réseaux sociaux pouvait imposer « des réponses lapidaires » comportant des termes virulents ou grossiers, pour peu qu’ils expriment une opinion sur un mode satirique ou potache sur un sujet d’intérêt général et ne visent pas à atteindre les personnes dans leur réputation¹⁰. La limite est incertaine et le fait de rajouter de nouvelles dispositions pénales ne peut être qu’un vecteur d’insécurité juridique, surtout avec des critères aussi incertains et subjectifs que le caractère intimidant, hostile ou offensant du contenu.

C’est justement ce nouveau délit qui a fait l’objet d’une autre saisine du Conseil constitutionnel par soixante-seize députés du Rassemblement national, déposée le 17 avril 202411. En substance, ceux-ci estimaient que la nouvelle infraction constituerait une atteinte non nécessaire à l’exercice de la liberté d’expression, au vu de celles déjà existantes qui sont susceptibles de recouvrir les mêmes faits. De même soulignaient-ils que le législateur a pris soin de délimiter le champ de l’outrage par exclusion de ces mêmes autres infractions, reconnaissant implicitement le concours de qualification. L’ingérence dans la liberté d’expression serait également disproportionnée, tant au regard du manque d’objecti- vité des éléments de l’infraction qu’en raison du recours à l’amende forfaitaire délictuelle, infligée en dehors de tout procès, ce qui présente des risques d’arbitraire importants. La saisine rappelle à ce titre que « le pluralisme d’opinions propre à une société démocratique implique, sauf abus caractérisé et à ce titre passible de sanctions par le juge, de pouvoir tenir des propos marquant une désapprobation ou exprimant des critiques, y compris, le cas échéant, sous une forme empreinte d’ironie ou de véhémence », ce qui évoque bien entendu la célèbre formule de la Cour européenne des droits de l’homme dans son arrêt Handyside c./ Royaume-Uni¹². Par extension, la saisine soulevait des griefs de non-conformité aux principes de légalité des délits et des peines et d’égalité devant la justice. Ceux-ci étaient également repris dans la saisine formulée par les députés du groupe LFI – Nupes.

Si les critiques semblaient sérieuses, certains commentateurs ont néanmoins appelé à la vigilance, la nouvelle infraction pouvant, malgré tout, permettre d’endiguer une certaine déshumanisation de la liberté d’expression. L’exigence d’appréciation objective des faits a par ailleurs pu être exigée à l’égard d’autres délits de presse qui en sont proches, tels que la diffamation et l’injure¹³. C’est notamment ce qui avait été souligné par le Tribunal judiciaire de Paris dans une affaire concernant des propos injurieux publiés sur la page Facebook du site d’information parodique Nordpresse : « L’appréciation du caractère injurieux du propos doit être effectuée en fonction du contexte, en tenant compte des éléments intrinsèques comme extrinsèques au message, et de manière objective, sans prendre en considération la perception personnelle de la victime. »¹⁴ L’excuse de provocation pourrait également être invoquée à l’égard de contenus constitutifs d’outrage en ligne.

En dépit de ces arguments, le Conseil constitutionnel a finalement déclaré contraire à la Constitution l’article 19, estimant que la nouvelle infraction n’est ni nécessaire, ni adaptée, ni proportionnée. Outre le recoupement qu’elle opère avec d’autres délits, dont le Conseil prend soin de relever les éléments communs, l’infraction fait « dépendre la caractérisation de l’infraction de l’appréciation d’éléments subjectifs tenant à la perception de la victime », ce qui fait « peser une incertitude sur la licéité des comportements réprimés ».

D’autres dispositions de la loi, sur lesquelles nous ne revenons pas dans cette chronique, subissent le même sort, la censure n’entamant que faiblement l’édifice monstrueux de cette loi, finalement « sauvée des eaux ». On ne peut que déplorer son adoption précipitée, qui semble avoir été dictée pour des raisons politiques, et qui porte sur des sujets qui auraient mérité bien plus de recul.

Sources :

1. Commission européenne, courrier C(2023) 7417 final, 25 octobre 2023.
2. Commission européenne, courrier C(2024) 389 final, 17 janvier 2024.
3. Règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (règlement sur les services numériques).
4. Directive 2000/31/CE du Parlement européen et du Conseil du 8 juin 2000 relative à certains aspects juridiques des services de la société de l’information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique »).
5. Décision n° 2024-866 DC du 17 mai 2024.
6. Recours au Conseil constitutionnel sur le projet de loi visant à sécuriser et à réguler l’espace numérique, n° 2024-866 DC, reçu au greffe du Conseil constitutionnel le 19 avril 2024.
7. Tribunal administratif de Cergy-Pontoise, du 04-02-2019, n° 1801344, AJDP, avril 2019, p. 206-207, obs. J.-B. Thierry ; Dalloz IP/IT, mai 2019, p. 332-335, note E. Derieux.

8. Mouron Philippe, « Quelle régulation pour les deepfakes de type « Amandine Le Pen » ? », Les Surligneurs, 18 avril 2024.
9. « Justice : un Breton lourdement condamné pour cyberharcèlement, à l’encontre notamment de Tariq Ramadan et d’une de ses accusatrices », France Info, 15 juin 2023.
10. Cour de cassation, chambre criminelle, 8 janvier 2019, n° 17-81.396, , 2019, p. 512-516, note E. Raschel ; Lexbase Pénal, 23 février 2019, note N. Droin.

11. Recours tendant à la déclaration de non-conformité à la Constitution de l’article 5 bis (devenu l’article 19) de la loi visant à sécuriser et réguler l’espace numérique, n° 2024-866 DC, reçu au greffe du Conseil constitutionnel le 17 avril 2024.
12. Cour européenne des droits de l’homme, Handyside c./ Royaume-Uni, 7 décembre 1976, n° 5493/72, § 49.
13. Dimeglio Arnaud, « Le délit d’outrage en ligne est-il conforme à la constitution ? », Dimeglio Avocat, 22 avril 2024.
14. Tribunal judiciaire de Paris, 17e chambre correctionnelle, 3 avril 2023.