Cette nouvelle institution administrative aurait pour mission de faciliter l’identification des auteurs d’infractions en ligne et de lutter contre le cyberharcèlement. Bien que justifiées par des intérêts légitimes, les dispositions de cette loi se heurtent à des conditions de légalité très strictes en matière de protection des personnes et de la vie privée sur Internet.
Que prévoit la proposition de loi du 14 octobre 2021 ?
La question de la vérification d’identité sur les médias sociaux fait débat depuis plusieurs années sur la scène politique. Le 14 octobre 2021, une proposition de loi a mis en lumière la nécessité de créer une autorité administrative compétente pour procéder à ces contrôles.
Alors, quelles sont les mesures phares du texte et apporte-t-il de réelles nouveautés en droit du numérique ?
Le contrôle d’identité préalable à une inscription sur les réseaux sociaux.
L’objectif du texte législatif est de simplifier l’identification des auteurs d’infractions en ligne et de « mettre un terme au réel sentiment d’impunité des auteurs de messages haineux, racistes, homophobes ou sexistes ». L’obligation de fournir une pièce d’identité au moment de s’inscrire vise à dissuader les utilisateurs d’adopter des comportements répréhensibles, dans la mesure où ils ont conscience d’être reconnaissables beaucoup plus facilement.
Le contrôle d’identité des utilisateurs prend la forme d’un dépôt numérique, c’est-à-dire du scan d’une preuve d’identité telle qu’elle existe déjà pour les banques ou sur certains sites d’achats en ligne. Les entreprises concernées sont les plateformes et les réseaux sociaux proposant un service de communication « reposant sur la mise en relation de plusieurs parties en vue du partage public de contenus et dont l’activité dépasse un seuil de nombres de connexions défini [ultérieurement] par décret », au sens de l’article L111-7 du Code de la consommation.
L’autorité de contrôle dispose de 3 mois pour vérifier l’identité des nouveaux utilisateurs. Pour les comptes déjà existants, ils doivent faire l’objet d’une vérification dans le délai de 12 mois.
Les missions de l’autorité de contrôle de l’identité numérique.
La proposition de loi du 14 octobre 2021 envisage de constituer une nouvelle autorité administrative indépendante chargée de contrôler l’identité numérique des utilisateurs. Elle exerce 4 missions principales :
la réception et la vérification des pièces d’identité, préalablement à l’inscription sur une plateforme en ligne ou un réseau social tels que définis dans le paragraphe précédent ;
la conservation des données d’identification de chaque utilisateur de manière à en préserver la confidentialité ;
la délivrance d’un identifiant non-nominatif permettant de finaliser l’inscription sur les sites concernés ;
la transmission des données personnelles recueillies aux juridictions compétentes et uniquement en cas de poursuites pénales.
L’autorité de contrôle occupe donc le rôle d’un intermédiaire entre les individus souhaitant s’inscrire sur les médias sociaux et les entreprises en elles-mêmes. Ce mécanisme permet d’écarter la crainte de voir ses données utilisées à des fins commerciales par de grandes sociétés américaines aux pratiques peu scrupuleuses ou, du moins, inconnues.
« Ce dispositif permettrait, en instituant la crainte d’une sanction effective, de dissuader l’immense majorité des dérives tout en sauvegardant les libertés individuelles, notamment en conservant le pseudonymat ».
Les conditions de légalité du contrôle de l’identité préalable à une inscription sur les réseaux sociaux.
La mise en œuvre de ce texte de loi implique de créer une base de données contenant les informations personnelles de nombreux citoyens (aujourd’hui, plus de 75% de la population française est sur les réseaux sociaux). Compte tenu de la sensibilité de ces données, la collecte doit être réalisée de façon sécurisée. La loi, si elle aboutit, doit respecter plusieurs principes fondamentaux relatifs aux libertés individuelles et au traitement des données.
Le droit au respect de la vie privée sur Internet.
L’article 9 du Code civil dispose : « Chacun a droit au respect de sa vie privée ». Ce droit absolu et constitutionnel comprend la protection de la vie privée et familiale en ligne. Il n’est donc pas possible d’y déroger, sauf disposition légale contraire. La jurisprudence européenne est claire à ce sujet : toutes les restrictions des droits fondamentaux et des libertés civiles doivent respecter les principes de légalité, de nécessité et de proportionnalité.
Ce sont autant de critères que les États doivent évaluer dans le cadre de leur législation. Toute limitation du droit à la vie privée doit donc être :
prévue expressément par la loi ;
nécessaire à la réalisation d’un objectif légitime ;
et proportionnée au résultat attendu.
La protection des données à caractère personnel.
La loi Informatique et Libertés du 6 janvier 1978 encadre les droits des internautes en matière de traitement des données. Sont ainsi entendues comme données personnelles toutes les « informations nominatives » se rattachant à l’identité propre d’une personne.
Au niveau européen, le Règlement Général pour la Protection des Données (RGPD), entré en vigueur le 25 mai 2018, définit une donnée à caractère personnel comme « toute information se rapportant à une personne physique identifiée ou identifiable […] directement ou indirectement […] ». Le règlement a donc vocation à s’appliquer à toute information qui, seule ou combinée à d’autres, permet de remonter à une personne physique déterminée. Il s’agit notamment des : nom, prénom, date de naissance, numéro de téléphone, code postal, donnée biométrique ou encore numéro client.
Une bonne illustration de ce raisonnement se trouve dans cette étude [1] réalisée par un chercheur américain. Avec seulement trois informations d’apparence inoffensives (le sexe, le code postal et la date de naissance), il parvient à identifier de manière unique 63% de la population du pays.
Le traitement des données confidentielles.
Selon l’article 5 de la loi Informatique et Libertés, le traitement de données à caractère personnel, pour être licite, doit s’appuyer sur le consentement libre et éclairé de la personne concernée. Si ce n’est pas le cas, le traitement doit répondre à une nécessité et être proportionné à des intérêts légitimes, que le responsable du traitement est tenu de préciser.
Ici, le principe est le même que celui qui s’applique pour le droit au respect de la vie privée.
Il existe toutefois une exception pour les traitements de données à caractère personnel mis en œuvre pour le compte de l’État : ils peuvent être autorisés lorsqu’ils ont pour objet « la prévention, la recherche, la constatation ou la poursuite des infractions pénales ou l’exécution des condamnations pénales ou des mesures de sûreté ».
En ce qui concerne l’anonymat, il n’est plus vraiment d’actualité à l’ère du numérique. La loi du 21 juin 2004 a introduit l’obligation pour les plateformes en ligne de conserver l’ensemble des données de nature à permettre l’identification des titulaires des comptes. La conservation de ces données ne doit toutefois pas excéder un an.
Les conditions d’application de la vérification d’identité sur les réseaux sociaux.
La promulgation d’une telle loi nécessite, outre les conditions évoquées, de fixer des modalités d’application. Dans ce cas précis, il convient également de prendre en compte l’évolution rapide de la société, de l’informatique et des techniques permettant de contourner les outils de géolocalisation.
Le délai de conservation des données personnelles.
Même si un délai raisonnable de conservation est communément admis, en l’espèce, un décret d’application de la loi devrait venir préciser les conditions de stockage des preuves d’identité fournies par les utilisateurs de réseaux sociaux, ainsi que l’objectif poursuivi par le législateur. A ce jour, l’ambition du texte est bien de « répondre aux demandes des juridictions pour les besoins de la recherche, de la constatation et de la poursuite des infractions pénales ». Mais si le cadre juridique est amené à évoluer dans les années à venir, rien ne permet d’affirmer que les données personnelles collectées ne seront pas utilisées à d’autres fins que celles prévues initialement. Il apparaît donc indispensable, d’une part, de fixer un délai raisonnable de conservation des données à caractère personnel et, d’autre part, d’indiquer avec clarté les objectifs poursuivis par l’adoption de cette loi.
Les modalités de contrôle des pièces d’identité.
Le texte de loi doit également prévoir les circonstances dans lesquelles le contrôle doit être effectué. En effet, en l’absence de directives exactes, la mise en œuvre du contrôle est laissée à la libre appréciation des sites concernés. Il arrive donc que le contrôle ne soit que partiellement réalisé, voire pas du tout. C’est ce qui a conduit récemment les pouvoirs publics à demander la fin de l’accès libre aux sites pornographiques (Voir l’article La fin de l’accès libre aux sites pornographiques ? (partie 2). Par Simon Takoudju, Avocat.), qui ne vérifient pas de manière effective l’âge des visiteurs. Cette obligation avait été introduite par la loi du 30 juillet 2020 visant à protéger les victimes de violences conjugales, mais elle n’avait jamais fait l’objet d’un décret d’application.
Le concept d’identité numérique.
La proposition de loi s’inscrit dans la lignée du projet d’identité numérique initié par la Commission européenne. Ce système permettrait de réunir des documents personnels sur une plateforme en ligne utilisable dans tous les pays de l’Union européenne. L’idée est d’accomplir des démarches administratives plus facilement et de simplifier l’accès à ces données pour les organismes ou les sites qui en font la demande. Mais les discussions sur l’identité numérique sont en cours depuis peu et, à première vue, une harmonisation des législations des États membres serait nécessaire pour la consacrer sur le plan juridique.
Les limites juridiques de la géolocalisation.
L’évolution numérique est exponentielle et, avec elle, fleurissent les nouvelles technologies informatiques. Un grand nombre d’utilisateurs utilise quotidiennement des méthodes dites de falsification de position GPS, pour renforcer la sécurité d’une connexion internet ou tout simplement pour accéder à des contenus provenant d’autres pays. Une loi relative au contrôle d’identité basée sur la localisation des internautes semble difficile à mettre en œuvre à l’heure actuelle, d’autant plus que l’utilisation d’outils tels que les VPN (Virtual Private Network) est tout à fait légale en droit français.
