Sept ans après la loi pour une République numérique, portée par la secrétaire d'Etat de l'époque Axelle Lemaire pour développer l'économie de la donnée en France, une nouvelle grande loi sur le numérique se prépare. Cette fois-ci, elle est portée par son successeur, Jean-Noël Barrot, sous la tutelle de Bruno Le Maire. Son nom : Sécuriser et réguler l'espace numérique (SREN). Son objectif : lutter contre « l'insécurité numérique », qui « progresse de jour en jour et sape la confiance des citoyens », explique le ministre délégué à la Transition numérique et aux Télécommunications.
De la même manière que la loi numérique d'Axelle Lemaire anticipait avec deux ans d'avance en 2016 certaines obligations du futur RGPD, la loi SREN de Jean-Noël Barrot anticipe, dans son volet cloud, le futur règlement européen Data Act, en discussions à Bruxelles et qui ne sera pas appliqué avant plusieurs années. Le projet de loi s'appuie également sur de récents travaux parlementaires et sur les consultations menées ces derniers mois par le Conseil national de la refondation (CNR), la nouvelle instance décriée d'Emmanuel Macron.
De nouveaux droits contre les cyber-arnaques
L'une des mesures les plus emblématiques du projet de loi SREN concerne la protection de l'internaute face aux arnaques en ligne, véritables fléaux de la vie numérique.
« 18 millions de Français ont été victimes de la cybercriminalité en 2022, et la moitié d'entre eux a perdu de l'argent » a indiqué Jean-Noël Barrot le 10 mai dernier dans une conférence de presse.
La solution du gouvernement : un filtre anti-arnaques. Une très bonne idée sur le papier : les arnaques au CPF, à l'envoi de colis, aux impôts, à la vignette Crit'air... se suivent à un rythme effréné, et elles fonctionnent. Le dispositif doit ainsi permettre d'empêcher les emails frauduleux d'atteindre leurs victimes pour leur voler de l'argent ou des données personnelles.
Concrètement, différentes autorités habilitées (police, gendarmerie, Anssi, régulateurs...) devront alimenter en permanence une liste noire de sites malveillants à bloquer. Cette liste sera ensuite envoyée aux navigateurs (Google Chrome, Mozilla Firefox, Microsoft Edge...) et aux fournisseurs d'accès internet (Orange, Bouygues, SFR, Free...). Ceux-ci auront alors à charge d'effectuer le blocage en redirigeant l'internaute qui cliquerait sur un lien frauduleux vers une page l'informant qu'il s'agit certainement d'une arnaque. Problème : ce mécanisme, appelé « DNS menteur » dans le jargon, est très critiqué par les experts en cybersécurité. Et pour cause, il peut aisément être contourné et générer des débordements.
De nouvelles protections contre le cyber-harcèlement et la pédopornographie
L'autre grand volet du texte est son arsenal de lutte contre le cyber-harcèlement et l'exposition des mineurs à la pornographie, ainsi qu'à la pédopornographie. Outre les sanctions pénales existantes, le texte introduit la notion de bannissement des réseaux sociaux pour les personnes reconnues coupables de cyber-harcèlement. Cette peine, prononcée par le juge, peut aller jusqu'à six mois de suspension, voire un an en cas de récidive. Une mesure que le gouvernement espère dissuasive, la présence sur les réseaux sociaux représentant une partie importante de la vie sociale pour les nouvelles générations.
Du côté de la lutte contre l'exposition à la pornographie, le ministère constate qu'à 12 ans, un tiers des enfants français a déjà été exposé au porno. « Les sites pornographiques ne vérifient pas l'âge malgré la loi de 2020. Ils préfèrent les recettes publicitaires et le trafic à la santé des enfants », critique Jean-Noël Barrot. Le projet de loi SREN prévoit de donner à l'Arcom, le super-régulateur français des médias et d'Internet, la possibilité de demander lui-même le blocage, et même le déréférencement des sites porno qui ne pratiquent pas la vérification de l'âge, aux fournisseurs d'accès internet et aux moteurs de recherche. Il intègre également une menace d'amende, pouvant aller jusqu'à 4% du chiffre d'affaires mondial de l'entreprise visée. Un « mécanisme de double anonymat », permettant de vérifier l'âge tout en protégeant l'anonymat de l'internaute, est en cours d'élaboration du côté de l'Arcom.
Enfin, le texte prévoit une peine d'un an d'emprisonnement et une amende de 500.000 euros pour les hébergeurs qui ne retireraient pas les contenus pédopornographiques après le signalement par les autorités, sur le modèle de ce qui existe déjà pour les contenus terroristes.
En finir avec les pratiques commerciales déloyales dans le cloud
Tout aussi important, le projet de loi SREN s'attaque frontalement aux pratiques commerciales jugées déloyales des leaders du marché du cloud, c'est-à-dire les Américains Amazon Web Services, Microsoft Azure et Google Cloud. Ces mesures anticipent le futur règlement européen intitulé Data Act, toujours en discussions à Bruxelles et qui ne devrait pas être appliqué avant plusieurs années encore.
Or, le gouvernement estime qu'il y a urgence : le trio américain capte à lui seul 72% du marché européen du cloud et 80% de sa croissance, dans un marché qui devrait quintupler de taille d'ici à 2030. Sa domination repose sur des mécanismes bien connus, que Bruxelles considère comme relevant de la concurrence déloyale, et qui ont pour conséquence de décourager les clients d'aller voir ailleurs en complexifiant au maximum le transfert d'un service à un autre.
« Face à une situation où trois acteurs sont en situation de monopole et où leurs concurrents ne jouent pas à armes égales, ces dispositions permettront aux entreprises françaises de changer de fournisseur cloud beaucoup plus facilement en faisant jouer la concurrence entre eux » a promis Jean-Noël Barrot début mai.
Une fois n'est pas coutume, l'écosystème français du cloud a applaudi des deux mains le projet de loi. Et pour cause, les OVHCloud, Clever Cloud, Linagora, Whaller et autres champions du cloud tricolore dénoncent depuis des années les pratiques d'Amazon, Microsoft et Google. Leur crainte est désormais que ces mesures, qu'ils considèrent comme nécessaires pour permettre la libre concurrence et ainsi avancer vers l'objectif de souveraineté numérique, soient détricotées lors du débat parlementaire sous l'effet du lobbying des Gafam. C'est la raison pour laquelle 20 entrepreneurs du cloud, de la data, de la cyber ou encore du quantique ont cosigné un appel aux parlementaires, publié le 27 juin dans les colonnes de La Tribune, pour leur demander de soutenir le texte du gouvernement.
Leurs craintes sont légitimes. Non seulement les Gafam ne lésinent pas sur le lobbying, mais ils peuvent s'appuyer sur le fait que le Data Act est encore en négociations à Bruxelles, et que le texte du gouvernement va plus loin que ce qui est envisagé à l'échelon européen. Par exemple, le gouvernement français veut supprimer les frais de transferts de données sans délai, alors que le projet de règlement européen, dans sa rédaction actuelle, donne aux fournisseurs cloud un délai de trois ans pour se conformer à cette obligation. C'est d'ailleurs la seule réserve du Conseil d'Etat, qui demande au gouvernement de justifier pourquoi cette entrée en vigueur anticipée est nécessaire.
Désinformation, jeux en ligne et surveillance des meublés touristiques
Enfin, ce projet de loi un peu fourre-tout s'attaque à plusieurs autres sujets très divers, de la location de meublés touristiques à l'encadrement des jeux d'argent numériques, jusqu'à la lutte contre la désinformation.
Ainsi, une base de données uniques a été imaginée pour recenser l'activité des meublés de tourisme. L'objectif : aider à l'application de la loi qui fixe 120 nuitées par an la limite pour louer un bien meublé, notamment via Airbnb. Sur les jeux en ligne, le texte prévoit l'encadrement les jeux numériques très spéculatifs, notamment liés au web3 et fonctionnant avec des cryptomonnaies, afin d'en éviter l'accès aux mineurs et de prévenir les mécanismes de blanchiment d'argent.
Enfin, sur la désinformation, Jean-Noël Barrot souhaite permettre des mises en demeure suivies d'un blocage, pour les sites internet diffusant des médias frappés par des sanctions internationales, comme RT France et Sputnik, instruments de la propagande russe.
Le texte a été déposé au Sénat le 10 mai, assorti d'une étude d'impact et d'un avis - globalement favorable - du Conseil d'Etat. Plusieurs amendements précisant et renforçant les différentes obligations ont été adoptés le 27 juin. Le texte sera débattu en séance à partir du 4 juillet.
Nucléaire : après 12 ans de retard, EDF va enfin mettre en service l’EPR de Flamanville
Sujets les + commentés