Expertises
Droit, technologies & prospectives
interview / Philippe Latombe
Souveraineté numérique : idéal ou réalité ?
Droit, technologies & prospectives
Tous les mois, toute l'actualité du numérique... Et tellement plus !
Nos derniers numéros
N°457 – mai 2020
N°456 – avril 2020
N°455 – mars 2020
N°454 – février 2020
N°452 – décembre 2019
N°451 – novembre 2019
N°450 – octobre 2019
N°449 – septembre 2019
N°448 – juillet 2019
Sommaire
Edito
Focus
En bref
L’information rapide sur le monde du numérique
Magazine
L’information légale et jurisprudentielle du numérique
Interview
Doctrines
Pour une anonymisation innovante au service de la confidentialité
Dora: premiers pas et derniers développements
Logiciel en SaaS : quel dépôt ?
La règlementation européenne face aux défis de l’IA
L’interdiction des taxis volants au-dessus de Paris : une décision définitive ?
Quand le RGPD fait échec à l’exécution du contrat
L'édito du mois
Backdoor, frontdoor
L’accès aux communications chiffrées des messageries instantanées est une vieille revendication des services de renseignement. Elle est réapparue dans le cadre de la lutte contre les narcotrafics en juillet dernier, dans une proposition de loi sénatoriale par le biais d’un amendement, par la petite porte législative en quelque sorte, sans passer par un avis du Conseil d’Etat et une étude d’impact qui s’impose aux projets de loi. Mais une fois encore, les experts en cybersécurité ont été écoutés. Non seulement cette mesure serait inefficace car les criminels ne passeront plus par des messageries utilisées en France mais en plus elle fragiliserait le chiffrement en introduisant des failles. Et puis, cela affecterait le secret des correspondances des personnes, des entreprises, des avocats, etc.
Les députés qui suivent particulièrement les dossiers numériques, Eric Bothorel en tête mais aussi Philippe Latombe (voir interview), ont réussi à convaincre leurs collègues de la dangerosité du projet. L’article 8 ter de la proposition de loi visant à sortir la France du narcotrafic a été rejeté par 119 députés contre 24 dans la nuit du 20 au 21 mars 2025. Une rédaction modifiée de cet article adopté par le Sénat avait été soumis à la commission des lois de l’Assemblée nationale qui l’avait rejetée. Elle proposait de laisser chaque plateforme soumettre sa solution technologique pour avoir accès aux communications cryptées. Puis l’article avait été réintroduit en séance par la voie d’amendements d’Olivier Marleix, Mathieu Lefèvre et Paul Midy pour être définitivement supprimé.
En commission des lois, le ministre de l’Intérieur Bruno Retailleau avait défendu cette mesure en expliquant qu’il ne s’agissait pas d’introduire une porte dérobée, une « backdoor », mais un dispositif de « frontdoor », c’est-à-dire une porte d’entrée assumée. Selon lui, il n’y a pas de porte dérobée, donc pas de faille et par conséquent pas d’affaiblissement du chiffrement. Il s’agit simplement de laisser un tiers écouter une conversation sans en avertir les correspondants. Dans ce cas, les messages sont « dupliqués » et envoyés directement à une tierce personne ». En clair, il s’agit de la technique du « ghost », mais ce qui n’est pas non plus sans dangers. « La question de savoir s’il s’agit ou pas de backdoors est stérile. Modifier des fonctions de sécurité de manière cachée afin de contrevenir à leur raison d’être, c’est introduire une porte dérobée. Point », affirme Guillaume Poupard, l’ex-directeur de l’Anssi.
Même modifiée, la proposition suscite le même rejet unanime des opérateurs de télécoms, des spécialistes de la cryptographie ou de la cybersécurité qui pensent que porter atteinte au chiffrement mettrait à mal toute la stratégie cyber de la France et de l’Europe.
La lutte contre les trafics de drogue ne peut qu’être approuvée mais pas à n’importe quel prix. Et la solution qui paraissait s’imposer peut comporter plus de risques et de dangers que de bénéfices. L’enfer est parfois pavé de bonnes intentions.
Le focus du mois
Une infrastructure de partage des données juridiques
Création en France d’une infrastructure technologique pour le partage des données juridiques publiques et privées dans un cadre sécurisé et normalisé pour un usage contrôlé, tracé et monétisé.
Grâce au Data Governance Act qui crée les conditions d’un marché européen de la donnée, le premier projet d’espace numérique souverain en Europe dédié au partage des données juridiques publiques et privées vient d’être lancé en France. Plus de soixante-dix acteurs de la legal tech et des technologies, des avocats, des juristes d’entreprise, le Conseil national des barreaux et l’Association française des juristes d’entreprise, etc., étaient réunis le 5 mars dernier à Paris pour la présentation officielle du projet Legal Data Space : une infrastructure de partage de données juridiques dans un cadre sécurisé et normalisé pour un usage contrôlé et tracé grâce à la blockchain, permettant aux systèmes d’information et logiciels d’IA des utilisateurs de s’y connecter. Elle permet le partage de l’accès aux données mais pas le partage des données qui restent chez les détenteurs qui autorisent un droit d’usage.
Le Legal Data Space s‘inscrit dans le cadre du règlement européen sur la gouvernance des données (Data Governance Act ou DGA), adopté le 23 juin 2022 et entré en vigueur le 24 septembre 2023 et dans celui du règlement européen sur les données (Data Act ou DA)du 13 décembre 2023, entré en vigueur le 11 janvier 2024 et applicable le 12 septembre 2025. Ces deux textes sont issus de la « stratégie européenne pour les données », dévoilée en février 2020 par la Commission européenne. L’objectif est de créer « un modèle alternatif aux pratiques de traitement des données des géants du numérique, qui disposent d’un pouvoir de marché élevé parce qu’ils contrôlent de grandes quantités de données ». Dans cette perspective, le DGA réglemente les processus et les structures qui facilitent le partage volontaire de données et le DA précise qui peut créer de la valeur à partir des données et dans quelles conditions, contribuant ainsi à la mise en place d’un marché unique des données de l’UE.
Plus particulièrement, le DGA crée un cadre de partage et d’utilisation des données, notamment par la mise en place d’ « espaces de données » sectoriels. Un espace de données peut être défini comme un cadre interopérable, basé sur des principes de gouvernance, des normes, des pratiques et des services communs, qui permet des transactions de données de confiance entre les participants. Il rassemble les infrastructures de données de différents partenaires et partage les informations de manière interopérable, sécurisée et standardisée, en intégrant des normes claires et des cadres de gouvernance. Il s’agit ainsi de mettre le maximum de données à disposition du plus grand nombre, tout en garantissant que ceux qui génèrent ces données en gardent le contrôle.
Les intermédiaires de données constituent des tiers neutres qui relient les détenteurs de données aux utilisateurs. Ils devront se conformer à des exigences strictes pour garantir cette neutralité et éviter les conflits d’intérêts. Cela implique une séparation structurelle et juridique entre le service d’intermédiation de données et tout autre service fourni.
C’est dans ce cadre que Thomas Saint-Aubain (co-fondateur de Seraphin.legal) et Martin Bussy (co-fondateur de JarvisLegal) avec le soutien de Droit.org ont eu l’idée de mobiliser l’écosystème du droit en vue de créer un commun en incitant au partage de la donnée, par le biais d’une infrastructure technologique à laquelle chacun des membres peut connecter son système d’information pour accéder aux données autorisées par leurs détenteurs : données publiques françaises et européennes en open data, données judiciaires, fonds doctrinaux, données contractuelles, corporate ou administratives. En aucun cas, il ne peut s’agir de données confidentielles ou sensibles. Le détenteur choisit les données dont il autorise la mise à disposition. L’accès à la donnée sera tracé via un smart contract et le détenteur sera rémunéré au moyen d’un token. Une couche d’IA a été introduite pour faciliter la collecte des données qui sont éparpillées. Par exemple pour produire un procès-verbal d’assemblée générale, un agent IA va automatiquement récupérer toutes les données nécessaires et générer le PV.
La gouvernance de l’infrastructure est orchestrée par l’association Droit.org, Institut français de l’information juridique, pour la détermination des règles d’usage et une start up va être créée pour l’exploitation de cette infrastructure. C’est cette structure qui sera juridiquement l’intermédiaire de données et qui émettra les tokens pour rémunérer les transactions. Ainsi les deux fonctions seront séparées comme le DGA l’impose.
Le projet Legal Data Space est donc lancé et montera en puissance en quatre tranches de neuf mois, chaque tranche ayant ses objectifs ambitieux, notamment en termes technologiques et d’inclusion de nouveaux participants : professionnels du droit (directions juridiques, cabinets d’avocats -petits et grands, notaires), associations professionnelles, ainsi que les legal techs. Aujourd’hui, il manque à l’appel les grands éditeurs juridiques qui disposent des plus importants fonds doctrinaux. Si les plus petits d’entre eux ont intérêt à rejoindre cet espace, ce qui leur donnerait plus de visibilité, ce n’est peut-être pas le cas des plus gros. Un appel à manifestation d’intérêt (AMI) est lancé pour les inviter à rejoindre ce projet. Reste encore beaucoup de sujets à finaliser comme le modèle économique ou la détermination de la valeur de la donnée.
L'invité du mois
Interview / Philippe Latombe
Souveraineté numérique : idéal ou réalité ?
Philippe Latombe est l’un des rares députés à être très actif sur les dossiers liés au numérique et les questions liées à la souveraineté numérique. Par ailleurs membre de la Cnil, il s’investi depuis son premier mandat aux données personnelles. Il est d’ailleurs à l’origine d’un recours, en son nom, contre le Data Privacy Framework devant le tribunal de l’UE jugé au fond le 1er avril dernier. Il nous livre son éclairage sur ces sujets mais aussi sur les textes en cours.
Sylvie Rozenfeld : Vous êtes député MoDem de la Vendée depuis 2017, et vous faites partie du groupe Les Démocrates depuis 2024. Vous êtes membre de la Cnil depuis 2022. En tant que parlementaire, vous vous êtes particulièrement investi dans les questions qui touchent au numérique. C’est pourquoi j’ai voulu vous rencontrer, d’autant que ce domaine est devenu particulièrement politique, voire géopolitique, avec des aspects de souveraineté qui vous sont chers.
Le numérique, et l’intelligence artificielle au-
jourd’hui, bouleverse en profondeur la société, notre vie quotidienne, les équilibres économiques et la politique. Pourtant, les parlementaires, les hommes et femmes politiques restent rares à s’en emparer. À l’Assemblée nationale, vous êtes peut-être moins d’une dizaine, pourquoi ce peu d’appétence, voire de compétence, pour ces questions ?
Philippe Latombe : Nous ne sommes pas nombreux en effet, et c’est la même chose au Sénat. Cela a toujours été le cas. D’abord, ce n’est pas un sujet très électoral. En circonscription, on m’interroge beaucoup plus sur les sujets du quotidien que sur ceux du numérique. Cela a un peu changé l’année dernière lors de la vague de rançongiciels et de fuites de données qui ont notamment touché France Travail, des hôpitaux et des mutuelles. Les gens ont été choqués d’apprendre que leurs données avaient potentiellement été atteintes. À cette occasion, dans ma circonscription, ils se sont rendus compte que j’étais membre de la Cnil, que je m’intéressais à ce sujet et ils m’ont questionné dessus. Mais c’est la première fois en sept ans.
Pourtant, ce sont devenus des sujets « grand public » ?
Pour autant au quotidien, ils se préoccupent de questions locales ou de pouvoir d’achat, sauf actualité particulière. Donc, ce n’est pas un sujet de campagne ou sur lequel on peut dire qu’à l’Assemblée on s’en est occupé. Une autre raison s’explique aussi par la compétence passée des députés. Jusqu’en 2017, ils étaient surtout des élus locaux qui n’avaient pas eu d’activités professionnelles par le passé, notamment dans le secteur privé. L’informatique n’était pas un champ auquel ils avaient été confrontés.
Pourtant, les technologies de l’information transforment notre société en profondeur et la politique.
Et on n’a encore rien vu, notamment en matière d’ingérences étrangères et de modifications de scrutin. Aujourd’hui, on sort d’une dissolution et de nouvelles élections pour lesquelles nos comptes de campagne ont été contrôlés et validés par la Commission nationale des comptes de campagne et des financements politiques. Elle nous demande des justificatifs d’une autre époque, comme le paiement des affiches. Or aujourd’hui, c’est sur les réseaux sociaux que ça se passe. Et la Commission ne s’intéresse pas à la partie numérique ou à la marge si, en cas de dénonciation, le candidat a payé un abonnement à X pour être certifié. Le numérique change la manière de faire campagne. Prenons l’exemple de la Roumanie. Donc s’intéresser aux données personnelles, à l’IA, à toutes les évolutions du numérique, c’est essentiel pour l’avenir.
Votre cursus et votre expérience professionnelle n’étaient pas liés au numérique. Comment vous est venu cet intérêt pour ces questions techniques ?
J’ai fait toute ma carrière dans le financement bancaire et ensuite dans le contentieux. Quand je travaillais pour le financement bancaire, j’adorais m’occuper des start up et quand j’étais au contentieux bancaire, je traitais notamment ceux liés aux données personnelles et au secret bancaire. Puis quand je suis devenu député, je me suis investi à la commission des lois, sur la transposition du « paquet RGPD ».
Vous avez une appétence pour les sujets de souveraineté. En 2021, vous avez été rapporteur du rapport d’information intitulé « Bâtir et promouvoir une souveraineté numérique nationale et européenne ». À l’époque, vous concluiez : « la construction d’une souveraineté numérique nationale et européenne doit être le fil rouge des décisions politiques mises en œuvre dans la décennie à venir. Il s’agit en effet d’un impératif absolu ». Une évidence aujourd’hui, mais à l’époque comment avait-il été accueilli par les parlementaires et par le gouvernement ?
Pendant le covid, au moment du confinement, l’Assemblée nationale n’a pas pu fonctionner en présentiel. Les débats se sont arrêtés alors qu’on en avait besoin. Le président de l’Assemblée s’est alors rendu compte que nos outils ne nous permettaient pas de garantir le secret des échanges et des délibérations. Les réunions de commission se faisaient par Zoom. À la commission de la défense, certains avaient …
Les doctrines du mois
Pour une anonymisation innovante au service de la confidentialité
Entre exigences réglementaires, divergences d’interprétation entre les autorités et réalité technique, l’anonymisation s’impose comme un sujet central dans les débats sur la protection des données. L'identification est-elle un concept absolu ou une notion relative qui dépend du contexte et des outils d'analyse ? L’anonymisation à l’ère du numérique soulève des paradoxes et des défis, notamment en ce qui concerne ses limites, ses implications légales et les nouvelles perspectives offertes par l’évolution technologique.
Dora: premiers pas et derniers développements
Etat des lieux sur l'application de Dora, les normes techniques associées et les impacts pratiques sur l'implémentation de Dora.
Le règlement (UE) 2022/2554 du Parlement Européen et du Conseil du 14 décembre 2022 sur la résilience opérationnelle numérique du secteur financier (le "règlement Dora") établit un cadre harmonisé relatif à la gestion par les entités financières des risques liés aux technologies de l’information et de la communication (TIC). Il est applicable depuis le 17 janvier 2025.
Logiciel en SaaS : quel dépôt ?
Le passage de l’usage on-premise vers le SaaS pose la question de la protection du client en cas de disparition ou de défaillance du prestataire. Le dépôt doit être repensé, les clauses de séquestre dans les contrats revisitées et les contrats d’entiercement modifiés.
La règlementation européenne face aux défis de l’IA
Entrées en application le 2 février 2025, les interdictions relatives aux IA inacceptables sont déjà le fondement de premières actions collectives dans l’Union européenne.
L’interdiction des taxis volants au-dessus de Paris : une décision définitive ?
La décision du Conseil d’Etat du 18 décembre 2024 qui a annulé l’arrêté du 4 juillet 2024 qui encadrait une expérimentation d’aéronefs à décollage et atterrissage verticaux électriques ( eVTOL ou drones taxis électriques avec ou sans pilote à bord) dans Paris, ne remet pas pour autant en cause le principe d’une hélistation dédiée aux taxis volants.
Quand le RGPD fait échec à l’exécution du contrat
Comme chaque mois, Alexandre Fievée tente d’apporter des réponses aux questions que tout le monde se pose en matière de protection des données personnelles, en s’appuyant sur les décisions rendues par les différentes autorités de contrôle nationales au niveau européen et les juridictions européennes. Ce mois-ci, il se penche sur la question de savoir si le RGPD peut faire obstacle à l’exécution d’un contrat entre un distributeur et un diffuseur, auquel la personne concernée n’est pas partie.
Tous les mois, toute l'actualité du numérique... Et tellement plus !
FORMULES D'ABONNEMENT