Le règlement européen sur le retrait des contenus terroristes, un danger pour la protection des données ?

C'est un nouveau front judiciaire qui s'ouvre contre le règlement européen du 29 avril 2021 sur la lutte contre la diffusion de contenus terroristes en ligne, dit règlement TCO (Terrorist Content Online). Six organismes viennent de déposer un recours devant le Conseil d'État pour faire annuler le décret du 3 juin 2022 relatif au retrait des contenus à caractère terroriste en ligne, pris en application de la loi française du 16 août 2022 qui transpose le règlement TCO. Il s'agit de la Quadrature du Net, European Centre for Not-for-Profit Law Stichting (ECNL), Access Now Europe, European Digital Rights, Article 19 ainsi que Wikimédia France.

Transmettre une question préjudicielle

Précision importante, le Conseil d'Etat n'a pas la compétence d'invalider un acte de l'Union européenne. C'est la raison pour laquelle les requérants attaquent un texte pris en application de la loi française de transposition. En pratique, ils souhaitent que les juges administratifs français transmettent une question préjudicielle sur la validité du règlement TCO en particulier sur sa conformité à la Charte des droits fondamentaux de l'Union européenne qui protège notamment le droit à la vie privée et à la protection des données personnelles.

Le règlement TCO prévoit une procédure de retrait des contenus terroristes en ligne pour les grandes plateformes telles que Google, Facebook, YouTube ou encore Twitter. Ainsi, chaque Etat membre doit désigner une autorité compétente qui a le pouvoir d'enjoindre aux fournisseurs de services d'hébergement de retirer les contenus à caractère terroriste ou de bloquer leur accès dans tous les Etats membres dans un délai d'une heure à compter de la réception de l’injonction. La France a désigné l'Office central de lutte contre la criminalité liée aux technologies de l'information et de la communication (OCLCTIC), qui dépend de la direction centrale de la police judiciaire, pour émettre les injonctions nationales de retrait ou de blocage. De son côté, l'Autorité de régulation de la communication audiovisuelle et numérique (Arcom) est chargée d'instruire les injonctions transfrontalières.

Une obligation de contrôle préventif pour les fournisseurs

Le texte prévoit également que les fournisseurs de services d'hébergement "exposés" par cette même autorité prennent "des mesures spécifiques" pour lutter contre l'utilisation abusive de leurs plateformes. Ainsi, ils doivent "faire en sorte que les contenus hébergés sur [leurs] services qui seraient à caractère terroriste [puissent] être identifiés préventivement", expliquent les associations.

Les fournisseurs sont dits "exposés" lorsque l'autorité nationale a pris une décision fondée sur "des facteurs objectifs", telle que la réception par le fournisseur de services d'hébergement de deux injonctions de retrait ou plus au cours des 12 derniers mois. Les hébergeurs prennent les mesures qu'ils souhaitent à condition qu'elles soient ciblées, proportionnées, dans l'intérêt légitime des utilisateurs et qu'elles soient appliquées de façon diligente et non discriminatoire.

Or, d'après les requérants, ces mesures peuvent provoquer "des traitement de données non nécessaires, radicalement inadaptés et manifestement disproportionné stricto sensu, et sans être assorti de garanties suffisantes". Ils jugent qu'il y a un risque que "l'ensemble des contenus hébergés par le fournisseur [soit] apparaît révélé, bien au-delà de ce qui a pu être admis en matière d'injonction judiciaire". C'est bien le risque qui est ici visé : bien qu'il soit possible que "l'ensemble des contenus ne soit pas analysé", "cela est sans incidence sur le risque ainsi créé et le contrôle de proportionnalité qui doit en découler", peut-on lire dans le mémoire.

Des algorithmes pour filtrer et intercepter les contenus terroristes

Ce que craignent les demandeurs, c'est la mise en place par les fournisseurs de services de systèmes d'apprentissage automatique pour filtrer et intercepter les contenus présentés comme "terroristes". "(...) Le fait d'analyser, possiblement massivement, les messages publiés, au surplus sans que l'utilisation ne puisse savoir qui sont analysés en pratique, constituant une ingérence dans le droit la vie privée et à la protection des données (...)", jugent les requérants.

Ils ajoutent que les conditions permettant à l'autorité nationale d'obliger un fournisseur à mettre en place des mesures spécifiques ne sont pas "de nature à cibler correctement les services d'hébergement qui devraient être concernés en raison de leur champ trop large". Par ailleurs, l'analyse des contenus hébergés "n'est pas de nature à circonscrire l'atteinte aux droits fondamentaux à ce qui est nécessaire, et encore moins à ce qui est absolument nécessaire".

La défense du gouvernement est attendue "pour les prochains mois". Ainsi, la décision du Conseil d'Etat ne sera pas rendue "avant l'année prochaine", précise La Quadrature du Net.

Sélectionné pour vous

"Sur l'IA, la France n'a absolument pas à rougir", Amaury Delplancq, VP Europe du Sud de Dataiku

La FTC enquête sur l'impact des chatbots développés par les Big Tech sur les plus jeunes

Une organisation sur deux a déjà écarté une solution IT pour des raisons de souveraineté