Loi SREN : une régulation du numérique à la française très critiquée - Marc Rees

Titre : Loi SREN : une régulation du numérique à la française très critiquée

Intervenants : Marc Rees - Grégoire Levy

Lieu : Culture Numérique - Siècle Digital

Date : 15 janvier 2024

Durée : 34 min 38

Podcast

Présentation de l'épisode

Licence de la transcription : Verbatim

Illustration : À prévoir

NB : transcription réalisée par nos soins, fidèle aux propos des intervenant·e·s mais rendant le discours fluide.
Les positions exprimées sont celles des personnes qui interviennent et ne rejoignent pas nécessairement celles de l'April, qui ne sera en aucun cas tenue responsable de leurs propos.

Transcription

Grégoire Levy : Connaissez-vous la loi française visant à sécuriser et réguler l'espace numérique ? Elle est appelée loi SREN, déposée sous forme de projet de loi par le gouvernement en mai 2023, ce texte a fait beaucoup, mais alors beaucoup parler, à bien des égards nous pourrions même dire qu'il a fait polémique.

Concrètement la loi SREN a pour objectif, par exemple, de protéger les citoyens des arnaques en ligne, de protéger les mineurs contre la pornographie, ou encore de faciliter la migration d'un cloud à un autre. Des objectifs honorables, bien-sûr, mais qu'en est-il de la méthode ? Plusieurs associations et experts évoquent une loi autoritaire qui viendrait remettre en cause le sacro-saint principe du pseudonymat sur Internet. Aujourd'hui, une chose est certaine, ce projet de loi a d'énormes implications : par exemple, en voulant contrôler l'identité des personnes allant sur des sites pornographiques, ce sont tous les modes d'accès aux plateformes, comme les réseaux sociaux, qui changeront. Le Gouvernement souhaite aller tellement loin que son texte vient marcher sur les plates-bandes du RGPD et surtout du récent DSA le Digital Services Act. De quoi susciter l'ire de la Commission européenne au point que l'adoption et l'examen de la loi prennent du retard, nous le verrons.
Dans ce podcast, je vous emmène à la rencontre de Marc Rees, journaliste au média l'Informé, pour évoquer les mesures de cette loi SREN, son avenir ainsi que les raisons de la colère de la Commission européenne. Vous écoutez un épisode de Culture Numérique, un podcast de Siècle Digital.

Grégoire Levy : Bonjour Marc.

Marc Rees : Bonjour Grégoire.

Grégoire Levy : Merci d'avoir trouvé le temps de répondre à mes questions sur la loi SREN, je crois que c'est comme cela que l'on dit SREN.

Marc Rees : Oui, SREN, pour projet de loi visant à sécuriser et réguler le numérique.

Grégoire Levy : Je rappelle que tu es actuellement journaliste aux médias l'Informé, spécialiste dans le droit et la tech, si je devais résumer.

Marc Rees : C'est un excellent résumé. Je fais ça depuis plus de 20 ans maintenant, j'ai arrêté de compter parce que c'est assez décourageant ou démoralisant. Plus de 20 ans, on va dire.

Grégoire Levy : Mais non, il ne faut pas le voir comme ça!
La loi SREN, justement, a fait un petit peu de bruit déjà ces derniers mois et elle va sans doute encore beaucoup parce que son processus n'est pas terminé, parce qu'elle fait polémique pour certains acteurs concernés. Elle doit, pour résumer, tu l'as déjà un peu fait, réguler les plateformes en ligne finalement, mieux protéger, entre autres, les mineurs de la pornographie, lutter contre le cyberharcèlement, les arnaques en ligne et j'en passe. Mais alors, Marc, pourquoi cette loi pose-t-elle problème à certains ? Pourquoi fait-elle polémique ? Elle est dénoncée par de nombreux élus mais aussi par des associations comme, notamment, La Quadrature du Net, alors que les objectifs de cette loi semblent tout à fait louables.

Marc Rees : Oui. Déjà, d'un point de vue factuel, on voit qu'il y a un petit souci puisque la loi avait été déposée en 2023, je crois que c’était le 10 mai 2023, au Sénat. Là on se rapproche tout doucement du premier anniversaire, dans quelques mois on sera au premier anniversaire de ce texte qui n'a toujours pas été adopté, tout simplement parce qu’il comporte de nombreuses dispositions extrêmement lourdes à être mises en place et, forcément, ça provoque des grincements.
Déjà, si on s'arrête au titre, un projet de loi qui vise à sécuriser et réguler le numérique, j'allais dire, qui est contre ? Sécuriser le numérique, la sécurisation, c'est plutôt bien, et la régulation aussi, même si le titre, l'appellation de ce projet de loi, laisse entendre que le la tech n'est pas régulée, puisqu’on a un projet de loi qui vient la réguler. Mais cette interprétation a contrario est extrêmement piégeuse, puisque le droit des nouvelles technologies est mûr depuis des dizaines années, il est fort d'une épaisse jurisprudence, aussi bien française qu'européenne, donc on a des lois de tous les côtés pour réguler aussi bien le contenant, je pense en particulier aux fournisseurs d'accès, aux hébergeurs, aujourd'hui les plateformes, que le contenu donc ce qui est diffamation, piratage et tout ça.

Ce texte-là est extrêmement ambitieux, tu l'as évoqué dans ton introduction, parce qu’une des principales dispositions, un des piliers majeurs de ce texte, c'est celui qui consiste à instaurer un contrôle d'âge pour accéder à des contenus qui, normalement, sont réservés aux adultes. Rien que ce projet-là laisse présager un changement complet du visage de l'accès aux contenus d’Internet qu'on a l'habitude de pratiquer depuis longtemps, puisque, lorsqu'on surfe en ligne, on peut tomber sur des contenus pour adultes et, pour autant, on n'a pas nécessairement à prouver son âge. Je ne veux pas être complètement naïf, se pose nécessairement une problématique de protection des mineurs, il faut évidemment y penser, mais, dans le même temps, on a une difficulté : comment fait-on concrètement pour contrôler l'âge d'une personne distante ? Comment fait-on pour contrôler la personne qui est derrière une adresse IP. C’est là un enjeu extrêmement lourd et qui peut changer le visage de l'accès aux contenus en ligne, puisque du contenu pornographique, c'est de cela dont on parle ici, on en trouve certes sur Pornhub, YouPorn, etc., je ne vais pas tous les citer, mais on en trouve aussi sur d'autres plateformes comme Twitter devenu X. Si on tape un élément quelconque d'une anatomie humaine sur Twitter, eh bien on trouve de nombreuses images ou vidéos, parfois extrêmement explicites.

Grégoire Levy : Oui, cette problématique ne concerne vraiment pas que les plateformes pornographiques.

Marc Rees : D'ailleurs, c'est finalement une vérification j'allais dire industrielle, à l'échelle de l'ensemble des plateformes, qui est en train de se dessiner pour accéder à des contenus qui, je le rappelle, sont licites : la pornographie est licite, par contre, son accès ou le fait de laisser accessibles aux mineurs ces mêmes contenus est illicite. On a vraiment une difficulté extrêmement complexe.
Sur ce chantier, je ne vais pas faire de la légistique pendant des heures, mais on avait déjà eu une tentative de réforme législative, en juillet 2020, et ce texte-là, cette loi, avait introduit une première procédure un peu hybride. Hybride en ce sens qu’elle laissait place à une phase d'abord administrative, entre les mains du président de l'Arcom, l’ex CSA, et une phase judiciaire. Aujourd'hui encore, puisque la loi SREN n'est pas encore en vigueur, n'importe qui peut dénoncer l'existence d'un site pornographique en ligne qui ne détient pas un solide contrôle d'âge pour s'assurer que les mineurs ne peuvent avoir accès à ses contenus. Il peut le dénoncer aux oreilles du président du CSA qui, une fois les vérifications faites, peut envoyer une mise en demeure à l'éditeur du site pornographique pour lui laisser généralement 15 jours. Si, dans les 15 jours, il n'a pas trouvé la martingale pour contrôler l'âge des personnes derrière une adresse IP, à ce moment-là, il peut saisir la justice pour réclamer le blocage d'accès de ce site à l'égard de tous les internautes qui est trop ouvert aux mineurs. Plusieurs procédures sont en cours, des procédures devant les juridictions judiciaires, des procédures devant les juridictions administratives, c'est extrêmement complexe.

Grégoire Levy : Du coup, la loi SREN va plus loin que ça ?

Marc Rees : La loi SREN va plus loin que ça puisque le droit actuel, même s'il est encore théorique en ce sens où on n'a pas encore eu de décision judiciaire de blocage, puisqu’on passe d'une procédure hybride, administrative puis judiciaire, à une procédure uniquement administrative où, finalement, c'est l'Arcom qui, dans sa toute puissance, va gérer à la fois les mises en demeure, les injonctions de mettre en place un système de contrôle d'âge et en plus, derrière, pourra asséner des sanctions, voire ordonner un blocage d'accès du site en question. Et cela change complètement la donne puisqu’un blocage purement administratif est un blocage qui n'est pas dans les rouages des décisions, n’est pas ouvert au public, à savoir que si tu as envie d’assister à une audience devant une juridiction judiciaire, les portes sont ouvertes, tu y accèdes ; là, on n'a plus rien ! Donc tout va se faire dans le silence feutré de l'Arcom. D'ailleurs, l’idée c'est d'industrialiser ces mesures de blocage pour espérer qu’un contrôle d'âge solide puisse être mis en œuvre.
Le texte, actuellement, est hyper ambitieux, pas seulement pour cette question de procédure administrative, mais aussi parce qu'il charge l'Arcom de définir un référentiel technique que devra suivre docilement l'ensemble des éditeurs de sites pornographiques, mais aussi Twitter. Référentiel qui devra fixer, grosso modo, ce qui est attendu d'une solution de contrôle d'âge ; un référentiel technique donc normalement on aura des éléments un peu techniques sur les modalités concrètes de ce dispositif et on n’y est pas encore.

Grégoire Levy : OK. Justement, avant d'arriver sur où on en est aussi de cette loi qui a été présentée en mai 2023, j'aimerais qu'on s'attarde un petit peu sur ce qu'elle contient, sur ses mesures, il y en a beaucoup : il y a le filtre anti-arnaques, blocage rapide, on en parlait, des sites pornographiques accessibles aux mineurs. Lesquelles, selon toi, faut-il absolument retenir ?

Marc Rees : Pour moi, la question du blocage administratif des sites pornographiques c'est une décision majeure, non pas parce que ça concerne les contenus pornographiques, mais parce que, a contrario, ça concerne tous les accès à tous les réseaux sociaux. D'autant plus qu'on n'a pas de définition légale, dans un code quelconque, de ce qu'est un contenu pornographique. C'est donc une notion qui est évolutive et forcément complexe à appréhender pour les éditeurs de solutions.
Le filtre anti-arnaques est une autre mesure hyper intéressante, qui peut soulever des inquiétudes. Beaucoup d'internautes connaissent déjà cette solution, puisque, actuellement, elle est privée : quand on arrive sur un site qui a été dénoncé comme étant un site dangereux, parce que, derrière, on a des arnaqueurs à la pelle, on a un message d'alerte de son navigateur qui explique « attention, ce site-là présente éventuellement un risque », mais on a la possibilité de passer outre ce message d'alerte pour, effectivement, aller voir le site. Heureusement, d'ailleurs, parce que, souvent, on a des faux positifs ou un site complètement ??? [10 min 48], comme on dit, complètement sain j’allais dire, affiche, préalablement à son accès donc, ce message d'alerte. Là, grosso modo, il s'agira de légaliser ce dispositif pour l'inscrire dans la loi.
On a d'autres mesures qui sont intéressantes comme le bannissement des réseaux sociaux.

Grégoire Levy : La peine supplémentaire.

Marc Rees : Oui, la peine complémentaire exactement : en plus d'une sanction pénale, qu'on peut espérer lourde lorsque les propos sont extrêmement crasses, la justice pourra demander aux plateformes de provoquer un bannissement numérique. Après, derrière la lettre de la loi, derrière la plume du législateur, se posent des questions sur la mise en œuvre concrète de ce mécanisme-là. Comment fait-on, techniquement, pour s'assurer que telle personne va effectivement être bannie ? Quid si elle utilise un VPN ? Etc. Ces problématiques se posent systématiquement dès lors qu’on a des mesures de restrictions.
On a d'autres éléments qui concernent de l'hypertrucage, toutes les modifications par IA des images sans consentement.
De la même façon, de mémoire, je crois que les éditeurs de plateformes qui mettent en ligne des scènes pornographiques simulant un crime, devront afficher un message de sensibilisation. Ça part d'un bon sentiment, mais, au-delà de la volonté du législateur, comment fait-on concrètement ? Est-ce qu'on va demander aux éditeurs de sites pornographiques, par exemple, de scruter l'intégralité des vidéos pour faire un tri entre celles qui sont, j’allais dire, tout à fait « classiques », avec plein de guillemets, et celles qui, effectivement, simulent un crime. Il faudra donc faire une espèce de listing. Quelque part, ne va-t-on pas imposer à cet éditeur ou à ces hébergeurs une obligation de contrôle, de surveillance généralisée de l'ensemble des contenus qui sont uploadés sur leurs infrastructures afin de faire un tri ? D'après la Commission européenne, c’est un peu le risque.

Grégoire Levy : Ça pose pas mal de questions. Si j'ai bien compris, ce n'est pas tant la volonté, ce sont vraiment les moyens et la façon de faire qui posent problème. Ça me fait penser à ce que déclarait, par exemple, un membre, un représentant de La Quadrature du Net qui parlait de solutions autoritaires choisis par le gouvernement pour, justement, protéger les citoyens sur le numérique, pour réguler tout ça. J'ai l'impression que ce sont souvent les deux mesures qui font le plus polémique, ces deux mesures reviennent assez souvent : la vérification de l'âge pour les sites pornographiques, donc la fameuse peine complémentaire de bannissement des réseaux sociaux, notamment pour les coupables de cyberharcèlement. Emmanuel Macron avait parlé de six mois de bannissement, d'empêcher de recréer un compte. Encore une fois comment s'assure-t-on qu'ils ne recréent pas de compte ? Est-ce que la vérification de l'âge, pour accéder à des sites pornographiques, va passer par une solution officielle comme FranceConnect, ce genre de chose ?

Marc Rees : Tu évoquais, très justement, les propos de La Quadrature. En substance, les associations sensibilisées aux questions des libertés numériques estiment ce texte autoritaire. Moi, je le vois, avant tout, comme étant souverainiste, à savoir qu’il fait l'impasse sur tout un carcan européen qui existe et que la France a sollicité, qu'elle semble aujourd'hui, en tout cas d'après les propos de la Commission européenne, un peu trop oublier. C’est donc cela qui est symptomatique.
Pour répondre à ta question plus ouvertement, aujourd'hui on n'a pas de solution concrète. La CNIL a planché sur une solution de contrôle d'âge destinée à essayer de rester dans les clous de la loi, à savoir respecter le législateur lorsqu'il trempe sa plume dans l'encrier du droit pénal, mais également respecter le législateur européen lorsque celui-ci, le 25 mai 2018 a mis en application le fameux Règlement général sur protection des données à caractère personnel. Pourquoi je parle de ce fameux RGPD ? Tout simplement parce qu’un traitement de données à caractère personnel un peu trop intrusif pour essayer déterminer l'âge d'une personne est problématique. Pour parler concrètement, encore une fois, lorsque je scrute les habitudes de consommation d'un internaute sur un site pornographique, il m'est extrêmement facile, finalement, de deviner quelles sont ses orientations sexuelles. On se retrouve là dans un océan très particulier, l'océan des données sensibles, qui font l'objet d'une protection appuyée, un peu plus importante, voire plus beaucoup plus importante, que les données à caractère personnel, j'allais dire classiques – nom, prénom, adresse IP ou autres – et sur lesquelles il y a une sensibilité extrêmement forte. Donc la CNIL, tout comme l'Arcom puisque celle-ci est soumise au RGPD, sont prises dans un étau complexe entre le droit pénal, le droit des données à caractère personnel ou, plus largement, le droit à la vie privée. Il y a donc un déchirement complet des objectifs qui sont attendus, qui sont fixés par le législateur, et la mise en œuvre est extrêmement complexe, au-delà encore de la norme telle que celle-ci va aboutir dans quelques semaines, si tant est qu'elle aboutisse, ce qui n’est pas encore assuré.

Grégoire Levy : Exactement, tu fais bien de le préciser. Du coup, cette possibilité, mine de rien, offerte par la loi SREN de contrôle de l'identité, ce débat suscite aussi pas mal de fantasmes : certains disent qu'on va devoir mettre, par exemple, nos cartes d'identité, même si tu as bien dit qu'il n'y avait pas forcément encore de solutions qui respectent toutes les lois pour faire ça, mais ça ouvre peut-être la porte à ça plus tard et ça fait apparaître des craintes, notamment pour l’anonymat en ligne, si on reprend l'exemple de La Quadrature du Net.

Marc Rees : Pseudonymat plutôt.

Grégoire Levy : Eux parlaient vraiment d'anonymat en ligne, mais, en effet, il est plus juste de parler de pseudonymat. Ce grand principe d’Internet est-il menacé ?

17 ‘ 11

Marc Rees : Paul Midy