Référence complète: Frison-Roche, M.-A., Conditions de validité d'un contrat de gestion des données de santé entre une plateforme de droit public français et un entreprise de gestion de données, filiale d'une entreprise américaine : decision du Conseil d'Etat (Conditions for the legality of a platform managed by an American company hosting European health data​: French Conseil d'Etat decision), Newsletter MAFR - Law, Compliance, Regulation, 19 octobre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

_____

Résumé de la news : Dans son ordonnance de référé du 13 octobre 2020, Conseil national du logiciel libre (décision dite Health Data Hub), le Conseil d'Etat a déterminé les règles de droit gouvernant la possibilité de conférer la gestion de données sensible sur une plateforme à une entreprise non-européenne, à travers le cas particulier de l'arrêté et du contrat par lequel la gestion de la plateforme centralisant des données de santé pour lutter contre l'épidémie de Covid-19 a été confiée à la filiale irlandaise d'une entreprise américaine, en l'espèce Microsoft.

Le Conseil d'Etat a utilisé à titre principal la jurisprudence de la CJUE, notamment l'arrêt du 16 juillet 2020, dit Schrems 2, à la lumière duquel il a interprété et le droit français et le contrat liant le GIP et    

Le Conseil d'Etat a conclu qu'il n'était pas possible de transférer ces données aux Etats-Unis, que le contrat ne pouvait que s'interpréter ainsi et que les modifications de l'arrêté et du contrat sécurisé cela. Mais il a observé que le risque d'obtention par les Autorités publiques américain demeurait.

Parce que l'ordre public exige le maintien de cette plateforme et qu'il n'existe pas pour l'instant d'autre solution technique, le Conseil d'Etat a maintenu le principe pour l''instant de sa gestion par Microsoft, le temps qu'un opérateur européen soit trouvé. Pendant ce temps le contrôle de la CNIL, dont les observations ont été prises en considération, sera opéré. 

L'on peut tirer trois leçons de cette décision de grande importante :

• Il existe un parfait continuum entre l'Ex Ante et l'Ex Post, puisque par un référé, le Conseil d'Etat est parvenu à obtenir un modification de l'arrêté, une modification des clauses contractuelles par Microsoft et des propos engageant du Ministre pour que, le plus vite possible, la plateforme soit gérée par un opérateur Européen. Ainsi, parce que c'est du Droit de la Compliance, le temps pertinent du juge est le futur. 

• Le Conseil d'Etat a mis la protection des personnes au cœur de tout le raisonnement, ce qui est conforme à la définition du Droit de la Compliance. Il a réussi à résoudre le dilemme : soit protéger les personnes grâce à la personne pour lutter contre le virus, soit protéger les personne en empêchant la centralisation des données et leur captation par les Autorités politiques américaines. Par une décision "politique", c'est-à-dire une action pour le futur, le Conseil a trouvé une solution d'attente pour protéger les personnes et contre la maladie et contre la dépossession de leurs données, en exigeant d'une solution européenne soit trouvée. 

• Le Conseil d'Etat a mis en exergue la Cour de Justice de l'Union européenne comme l'alpha et l'oméga du Droit de la Compliance. En n'interprétant le contrat passé entre un Groupement d'intérêt public français et une filiale irlandaise d'un groupe américain qu'au regard de la jurisprudence de la Cour de Justice de l'Union européenne, le Conseil d'Etat montre que l'Europe souveraine des données peut se construire. Et que les juridictions sont au centre de cela. 

___________

Lire l'interview donnée à propos de cette Ordonnance Health Data Hub. 

Pour aller plus loin, sur la question du Droit de la Compliance en matière de protection des données de santé, lire la news du 25 août 2020: The always in expansion "Right to be Forgotten"​: a legitimate Oxymore in Compliance Law built on Information. Example of​ Cancer Survivors Protection 

Référence générale: Frison-Roche, M.-A., Juge entre plateforme et régulateur: l'exemple actuel de l'affaire Uber au Royaume-Uni (Judge between Platform and Regulator: current example of Uber case in U.K.), Newsletter MAFR - Law, Compliance, Regulation, 29 septembre 2020

Lire par abonnement gratuit d'autres news de la Newsletter MAFR - Law, Compliance, Regulation

Résumé de la news:

Le 22 septembre 2017, Transport for London (TFL), régulateur des transports pour la ville de Londres, a refusé de renouveler la licence autorisant le transport de personnes qu'il avait accordé pour une durée de cinq ans, le 31 mai 2012, à l'entreprise Uber sous prétexte d'infractions pénales graves commises par les conducteurs de la plateforme. Le 26 juin 2018, la Westminster Court a prolongé la licence d'Uber pour une durée de quinze mois à condition que la plateforme préviennent les comportements répréhensibles de ses chauffeurs. Au terme de ces quinze mois, la TFL a de nouveau refusé de prolonger la licence d'Uber en raison de la persistance d'actes d'agressions envers les passagers. Uber a, une nouvelle fois, contesté cette décision devant la Westminster Court.

Dans son arrêt du 28 septembre 2020, la Cour constate que durant les quinze mois durant lesquels Uber s'était vu accordé une prolongation de sa licence à titre conditionnel par la Cour, la plateforme a mis en oeuvre de nombreuses mesures de prévention des agressions, que le niveau de maturité de ces mesures s'est même amélioré avec le temps et que le nombre de violations a été réduit sur la période (passant de 55 en 2018 à 4 en 2020). La Cour estime que la mise en oeuvre de ces actions est suffisante pour qu'Uber se voit accorder une nouvelle licence par le TFL. 

Nous pouvons retenir trois leçons de cette décision:

1. L'obligation de Compliance n'est pas une obligation de résultat mais une obligation de moyens, ce qui signifie qu'il est aberrant d'attendre de l'opérateur crucial (ici Uber) qu'il prévienne tous les cas d'agressions mais qu'il est pertinent de le juger sur l'effort qu'il déploie pour tenter de se rapprocher de cet idéal. D'autre part, l'opérateur crucial se doit d'être proactif, c'est à dire de sortir de la figure du sujet de droit passif qui applique les mesures édictées par le régulateur en matière de lutte contre les aggressions mais d'être acteur de la recherche du meilleur moyen de combattre les comportements abusif en intériorisant ce "but monumental".
2. Le juge apprécie la violation commise par ceux dont l'entreprise est responsable "en contexte", c'est-à-dire évalue la situation concrète de manière raisonnable.
3. C'est le juge qui décide en dernier ressort et, par conséquent, comme l'opérateur crucial, il se doit de se montrer "raisonnable". 

Consulter par ailleurs pour aller plus loin: 

• Le rapport de l'Assemblée nationale sur la question
• Frison-Roche, M.-A., Entreprise, Régulateur et Juge: penser la Compliance par ces trois personnages, 2018

🌐suivre Marie-Anne Frison-Roche sur LinkedIn

🌐s'abonner à la Newsletter MAFR Regulation, Compliance, Law 

____

► Référence complète : M.-A. Frison-Roche, "Se tenir bien dans l'espace numérique", in Mélanges en l'honneur de Michel Vivant, Penser le droit de la pensée, Dalloz et Lexis Nexis, 2020, pp. 155-168.

____

📝Lire l'article

____

🚧Lire le document de travail sur lequel cet article est basé, enrichi de développements supplémentaires, de références techniques et de liens hypertextes

► Résumé de l'article : L'espace numérique est un des rares espaces non spécifiquement cadrés par le Droit, liberté qui a aussi pour grave conséquence d'offrir l'opportunité à ses acteurs de ne pas "se tenir bien", c'est-à-dire d'exprimer et de diffuser largement et immédiatement des pensées haineuses, lesquels demeuraient auparavant dans des cercles privés ou restreints. L'intimité du Droit et de la notion juridique de Personne en est atteinte : le numérique permet à des individus ou des organisations d'agir comme des personnages démultipliés et anonymes, acteurs numériques dépersonnalisés porteurs de comportements attentatoires à la dignité d'autrui.

Contre cela, le Droit de la Compliance offre une solution adéquate : internaliser dans les opérateurs numériques cruciaux la charge de tenir disciplinairement substantiellement l'espace numérique. L'espace numérique a été structuré par des entreprises puissantes à même d'y maintenir l'ordre. Parce que le Droit ne doit pas réduire l'espace digital à n'être qu'un simple marché neutre de prestations numériques, ces opérateurs cruciaux, comme les réseaux sociaux ou les moteurs de recherches doit être obligés de contrôler substantiellement les comportements. Il peut s'agir d'une obligation des internautes d'agir à visage découvert, politique de "l'identité réelle" contrôlée par les entreprises, et de respecter les droits d'autrui, droits intimes, dignité, droits de propriété intellectuelle. Dans leur fonction de régulation, les entreprises digitales cruciales doivent être supervisées par des Autorités publiques

Ainsi le Droit de la Compliance substantiellement défini est gardien de la personne comme "sujet de droit" dans l'espace digital, par le respect que les autres doivent en avoir, cet espace passant du statut d'espace libre à celui d'espace civilisé, dans lequel chacun est contraint de se tenir bien. 

______

► Consulter pour aller plus loin : 

• Frison-Roche, M.-A., 📓L'apport du Droit de la Compliance à la gouvernance d'Internet, 2019
• Frison-Roche, M.-A. (dir.), 📕Internet, un espace d'interrégulation, 2016

________

Référence complète: Faure-Muntian, V. et Fasquelle, D, Commission des Affaires économiques de l'Assemblée Nationale,  Rapport d'information sur les plateformes numériques, juin 2020, 104 p.

Lire le rapport

Le projet de loi de Finance a . proposé au Parlement de voter un article 57 dont l'intitulé est : Possibilité pour les administrations fiscales et douanières de collecter et exploiter les données rendues publiques sur les sites internet des réseaux sociaux et des opérateurs de plateformes. 

Son contenu est en l'état du texte voté à l'Assemblée Nationale le suivant :

"(1) I. - A titre expérimental et pour une durée de trois ans, pour les besoins de la recherche des infractions mentionnées aux b et c du 1 de l'article 1728, aux articles 1729, 1791, 1791 ter, aux 3°, 8° et 10° de l’article 1810 du code général des impôts, ainsi qu’aux articles 411, 412, 414, 414-2 et 415 du code des douanes, l’administration fiscale et l’administration des douanes et droits indirects peuvent, chacune pour ce qui la concerne, collecter et exploiter au moyen de traitements informatisés et automatisés n’utilisant aucun système de reconnaissance faciale les contenus, librement accessibles, publiés sur internet par les utilisateurs des opérateurs de plateforme en ligne mentionnés au 2° du I de l'article L. 111-7 du code de la consommation.

(2) Les traitements mentionnés au premier alinéa sont mis en œuvre par des agents spécialement habilités à cet effet par les administrations fiscale et douanière.

(3) Lorsqu’elles sont de nature à concourir à la constatation des infractions mentionnées au premier alinéa, les données collectées sont conservées pour une durée maximale d’un an à compter de leur collecte et sont détruites à l’issue de ce délai. Toutefois, lorsqu’elles sont utilisées dans le cadre d'une procédure pénale, fiscale ou douanière, ces données peuvent être conservées jusqu’au terme de la procédure.

(4) Les autres données sont détruites dans un délai maximum de trente jours à compter de leur collecte.

(5) Le droit d'accès aux informations collectées s'exerce auprès du service d'affectation des agents habilités à mettre en œuvre les traitements mentionnés au deuxième alinéa dans les conditions prévues par l'article 42 de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés.

(6) Le droit d'opposition, prévu par l'article 38 de la même loi, ne s'applique pas aux traitements mentionnés au deuxième alinéa.

(7) Les modalités d'application du présent I sont fixées par décret en Conseil d’État.

(8) II. - L'expérimentation prévue au I fait l'objet d'une évaluation dont les résultats sont transmis au Parlement ainsi qu’à la Commission nationale de l’informatique et des libertés au plus tard six mois avant son terme."

Cette initiative a provoqué beaucoup de commentaires, plutôt réservés, même après les explications données par le ministre du Budget à l'Assemblée Nationale. 

Qu'en penser juridiquement ?

Car la situation est assez simple, c'est pourquoi elle est difficile : d'un côté, l'Etat va capter des informations personnelles sans l'autorisation des personnes concernées, ce qui est contraire à l'objet même de la loi de 1978, ce qui entraîne une pleine désapprobation ; de l'autre côté, l'administration obtient les informations pour poursuivre des infractions fiscales et douanières, ce qui concrétise l'intéret général lui-même.

Alors qu'en penser ?

Lire ci-dessous.

Dans ce qu'il présente comme un ensemble de lignes directives conçues par une approche gouvernée par les risques, le GAFI a publié le 21 juin 2019 des recommandations pour lutter contre l'usage des plateformes de crypto-actifs et crypto-monnaies pour blanchir de l'argent et financer le terrorisme. 

Cette lutte contre le blanchiment d'argent est (avec la lutte contre la corruption) souvent présentée comme le coeur du "Droit de la Compliance". Le GAFI y prend une grande part. Même si celui-ci a vocation à cristalliser d'autres ambitions, comme la lutte contre la fraude fiscale ou le changement climatique, voire la promotion de la diversité ou l'éducation et la préservation de la démocratie, les textes de Droit de la Compliance sont matures en ce qui concerne la lutte contre le blanchiment d'argent et le financement du terrorisme, comme ils le sont en matière de lutte contre la corruption. 

L'actualité vient alors non pas des nouveaux mécanismes juridiques mais plutôt des nouveaux outils technologiques qui permettent la réalisation des comportements contre lesquels ces obligations de compliance ont été insérées dans le système juridique. C'est alors à ces technologies que le Droit doit s'adapter. Il en est ainsi des plateformes de crypto-actifs et de crypto-monnaies. Parce qu'il s'agit de technologies évoluant rapidement, à l'occasion de l'exercice de lignes directrices écrites en 2019 pour éclairer le sens de dispositions adoptées en 2018, le GAFI en profite pour faire évoluer la définition qu'il donne des crypto-actifs et des crypto-monnaies. Afin qu'une définition trop étroite par les textes ne permettent pas aux opérateurs d'échapper à la supervision (phénomène de "trou dans la raquette" - loophole). 

____

En effet, en octobe 2018, le GAFI (Groupe d'Action Financière Internationale) dont le sigle anglais est FATC (Financial Action Task Force) a élaboré 15 principes s'appliquant à ces plateformes, pour permettre à cet  organisme intergouvernemental de mener à bien sa mission générale de lutte contre le blanchiment d'argent et le financement du terrorisme. Il s'agit dans ces recommandations de juin 2019 de les interpréter.

Dans ce document très important, où il est expressément dit qu'il s'agit de "fixer les obligations" de ceux qui proposent des crypto-actifs" et des crypto-monnaies", la notion d'auto-régulation est rejetée : "Regarding VASP (virtual assets services providers) supervision, the Guidance makes clear that only competent authorities can act as VASP supervisory or monitoring bodies!footnote-1628, and not self-regulatory bodies. They should conduct risk-based supervision or monitoring, with adequate powers, including the power to conduct inspections, compel the production of information and impose sanctions. There is a specific focus on the importance of international co-operation between supervisors, given the cross-border nature of VASPs’ activities and provision of services."

Il s'agit au contraire d'élaborer des obligations de contrôle que ces prestataires doivent exercer sur les produits et leurs clients (Due Diligences), ce qui doit être supervisé par des Autorités publiques. 

Pour l'exercice de cette supervision et de "monitoring", les autorités nationales doivent elles-mêmes veiller à travailler ensemble : "As the Virtual Assets Services Providers (VASP) sector evolves, countries should consider examining the relationship between AML/CF (Anti-Money Laundering and Counter Terrorist Financint) measures for covered VA activities and other regulatory and supervisory measures (e.g., consumer protection, prudential safety and soundness, network IT security, tax, etc.), as the measures taken in other fields may affect the ML/TF risks. In this regard, countries should consider undertaking short- and longer-term policy work to develop comprehensive regulatory and supervisory frameworks for covered VA activities and VASPs (as well as other obliged entities operating in the VA space) as widespread adoption of VAs continues".

Après des informations de droit comparé particulièement intéressantes sur l'Italie, les pays scandinaves et les Etats-Unis, le rapport conclut : "International Co-operation is Key", en raison du caractère par nature global de cette activité.

Comme la question n'est pas celle de la régulation de ces plateformes et de ce types de produits mais uniquement des possibiles modes de blanchiments et de financement de terrorisme auxquels ils peuvent donner lieu, le GAFI rappelle que ni les crypto-produits, ni les fournisseurs de produits ne sont visés en tant que tels. Comme le rappelle le titre, commun au document de 2018 adoptant les 15 principes et au présent document d'interprétation, il s'agit de règles "basées sur le risque". Ainsi, c'est selon les situations que ceux-ci - produits et fournisseurs- que ceux-ci peuvent ou non présenter des risques de blanchissement et financement du terrorisme : suivant le type de transaction, le type de client, le type de pays, etc. Par exemple dès l'instant que la transaction est anonyme, ce qui est impossible la connaissance du "bénéficiaire", ou qu'elle est transnationale et instantannée, ce qui rend difficile la supervision en raison de l'hétérogénéité des supervisions nationales peu articulées entre elles.

Dans les rapports que les superviseurs publics doivent avoir avec les fournisseurs de crypto-produits, ils doivent s'ajuster en fonction du niveau de risque présenté par ceux-ci, plus ou moins élevé : "Adjusting the type of AML/CFT supervision or monitoring: supervisors should employ both offsite and onsite access to all relevant risk and compliance information.However, to the extent permitted by their regime, supervisors can determine the correct mix of offsite and onsite supervision or monitoring of Virtual Assets Services Providers (VASPs). Offsite supervision alone may not be appropriate in higher risk situations. However, where supervisory findings in previous examinations (either offsite or onsite) suggest a low risk for ML/TF, resources can be allocated to focus on higher risk VASPs. In that case, lower risk VASPs could be supervised offsite, for example through transaction analysis and questionnaires".

Cet "ajustement" requis n'empêche pas une très large conception de l'emprise de la supervision. Ainsi, pour que rien n'échappe aux recommandations (et notamment aux obligations qui en découlent pour les fournisseurs de ces produits), la définition des crypo-assets et crypo-monnaies est celle-ci : “Virtual asset” as a digital representation of value that can be digitally traded or transferred and can be used for payment or investment purposes. Virtual assets do not include digital representations of fiat currencies, securities, and other financial assets that are already covered elsewhere in the FATF Recommendations."

Et pour cette raison d'efficacité est posé le principe de neutralité technologique : "Whether a natural or legal person engaged in Virtual Assets (VA) activities is a Virtual Asset Services Provider (VASP) depends on how the person uses the VA and for whose benefit. As emphasized above, ...  then they are a VASP, regardless of what technology they use to conduct the covered VA activities. Moreover, they are a VASP, whether they use a decentralized or centralized platform, smart contract, or some other mechanism.".

Les lignes directrices interprétatives formulent ensuite des obligations que ces plateformes ont à l'égard des superviseurs dont ils relèvent (question de la "juridiction", au sens américain du terme c'est-à-dire de la compétence ratione materiae ; ratione loci), obligations qui ne concernent que ce souci spécifique. " The Guidance explains how these obligations should be fulfilled in a VA context and provides clarifications regarding the specific requirements applicable regarding the USD/EUR 1 000 threshold for virtual assets occasional transactions, above which VASPs must conduct customer due diligence (Recommendation 10); and the obligation to obtain, hold, and transmit required originator and beneficiary information, immediately and securely, when conducting VA transfers (Recommendation 16). As the guidance makes clear, relevant authorities should co-ordinate to ensure this can be done in a way that is compatible with national data protection and privacy rules. ".

Ces plateformes ne reçoivent pas une définition uniformes, en raison de la diversité de leurs activités. Car c'est leur activité qui les fait relever de tel ou tel régulateur. Par exemple de la Banque centrale ou du Régulateur financier. ". For example, a number of online platforms that provide a mechanism for trading assets, including VAs offered and sold in ICOs, may meet the definition of an exchange and/or a security-related entity dealing in VAs that are “securities” under various jurisdictions’ national legal frameworks. Other jurisdictions may have a different approach which may include payment tokens. The relevant competent authorities in jurisdictions should therefore strive to apply a functional approach that takes into account the relevant facts and circumstances of the platform, assets, and activity involved, among other factors, in determining whether the entity meets the definition of an “exchange”!footnote-1626 or other obliged entity (such as a securities-related entity) under their national legal framework and whether an entity falls within a particular definition. In reaching a determination, countries and competent authorities should consider the activities and functions that the entity in question performs, regardless of the technology associated with the activity or used by the entity".

____

A la lecture de ce très important document, l'on peut faire 6 observations :

1. Les documents d'interprétation des règles sont souvent plus importants que les documents d'émission des règles. Ainsi, et en premier lieu, ce sont des obligations majeures qui sont énoncés, non seulement pour les plateformes mais encore pour les Droits nationaux, et bien au-delà de la question du blanchiment d'argent. Ainsi, il est posé : "Countries should designate one or more authorities that have responsibility for licensing and/or registering VASPs. ...  at a minimum, VASPs should be required to be licensed or registered in the jurisdiction(s) where they are created. ". C'est une prescription à portée générale, impliquant la Régulation générale de ces plateforme, qui enregistrées d'une façon générale, seront donc probablement supervisées d'une façon générale.

En second lieu, c'est une série de mesures cohercitives dont il est demandé l'adoption par les Droits nationaux, par exemple la possibilité de saisir les crypto-valeurs.

Cela montre que la soft Law ils illustre le continuum des textes, et permet de fait leur évolution. Ici l'évolution de la définition de l'objet même : la définition des crypo-assets et les crypto-monnaies est élargie, afin que les techniques de blanchiment et de financement de terrorisme soient toujours contrés, sans qu'il soit besoin d'adopter de nouveaux principes. Nous sommes au-delà de la simple interprétation. Et encore plus du principe d'interprétation restrictive, attachée au Droit répressif ...

2. Pour l'efficacité du Droit de la Compliance, les définitions deviennent extrêmement larges. Ainsi, à suivre le GAFI, la définition d'une institution financière est la suivante : “Financial institution” as any natural or legal person who conducts as a business one or more of several specified activities or operations for or on behalf of a customer". Cela correspond plutôt à la définition d'une entreprise en Droit de la concurrence!footnote-1627.... Pourquoi ? Parce que sinon, un opérateur trouve un statut lui permettant d'échapper à la catégorie visée et aux obligations énumérées. Le principe d'efficacité l'implique. Le principe de "légalité", issu du Droit pénal, n'a plus guère d'existence. Mais cela correspond aussi à l'évolution générale du monde financier, dans lequel on ne part plus du statut (par exemple le statut de "banque") mais de l'activité, et d'une activité dont les métamorphoses sont si rapides qu'il convient de ne quasiment pas les définir....

3. De la même façon, la définition des crypo-assets ou des crypto-monnaies : "“Virtual asset” as a digital representation of value that can be digitally traded or transferred and can be used for payment or investment purposes. Virtual assets do not include digital representations of fiat currencies, securities, and other financial assets that are already covered elsewhere in the FATF Recommendations". Cette définition est purement opérationnelle car ainsi rien ne peut échapper au GAFI : tout ce qui est financier ou monétaire, quelque soit sa forme ou son support, sa forme traditionnelle ou une forme qui sera inventée demain, relève de sa compétence et, à travers une telle définition, des superviseurs nationaux. En Droit de la Compliance, et puisque c'est sur l'analyse des risques que tout est basé, l'idée est simple : rien ne doit échapper aux obligations et à la supervision. 

4. L'appréhension des plateformes est faite par le critère de l'activité, selon la méthode "fonctionnelle". Ainsi, sa supervision, voire sa régulation, et ses obligations de compliance, vont s'appliquer, suivant ce qu'elle fait, au Régulateur financier (si elle fait des ICO) ou à d'autres si elle n'utilise les tokens que comme instrument d'échange. Si elle en fait plusieurs usages, alors elle relèverait de plusieurs Régulateurs (critère rationae materie).

5. Le principe de "neutralité technologique" est un principe classique en Droit des télécommunications. L'on mesure ici  l'interférence entre les principes du Droit des télécommunications et le Droit financier, ce qui est logique puisque les crypto-objets financiers sont nés de la technologie digitale. Cette neutralité permet à la fois à l'innovation technologique de se développer et à la supervision de n'être pas entravée pour n'avoir pas prévu une technologie innovante apparaissant après l'adoption du texte. Là encore, l'efficacité de la Compliance et la gestion du risque sont servis, sans que l'innovation soit contrariée, ce que l'on oppose pourtant souvent. 

6. Ce qui est attendu des Autorités publiques nationales est une "interrégulation" très large. Celle-ci est à la fois "positive". En effet, cela engloble la matière financière mais encore la sécurité des réseaux (qui relève en France de l'ARCEP et de l'ANSSI)!footnote-1624, ou la protection des consommateurs!footnote-1625. On peut la qualifier d'interrégulation d'équilibre en ce que tous les buts convergent. Mais cela relève aussi d'une "interrégulation" que l'on peut qualifier d'équilibre. En effet, le GAFI se soucie de la protection des données personnelles. Or, là il souligne que l'efficacité du système de Compliance doit s'arrêter. Mais la protection des données personnelles est aussi du Droit de la Compliance .... C'est là un des enjeux majeurs à l'avenir : l'équilibre entre la sécurité et la lutte contre les maux globaux (ici la lutte contre le blanchiment et le terrorisme) et la protection de la vie privée des personnes, car les deux relèvent de la Compliance, mais les deux ont des effets juridiques contraires : l'un la transmission de l'information, et l'autre le secret de l'information. 

Référence complète : Parachkévova, I., et Teller, M., (dir.) Quelles régulations pour l'économie collaborative ? Un défi pour le droit économique, Dalloz, coll. "Thèmes et commentaires", 2018, 202 p.

Lire la quatrième de couverture.

Lire le sommaire.

Référence générale : Études en l'honneur du Professeur Jérôme Huet. Liber amicorum, LGDJ - Lextenso, 2017, 423 p.

Lire la 4ième de couverture.

Lire la table des contributions.

Consulter la présentation des contributions suivantes :

• Seidowsky, O., Audits logiciels et conformité digitale

• Vogel, L., Réseaux contre plates-forme : la distribution sélective à l'épreuve de l'internet

• Warusfel, B., La transversalité du droit du numérique

• Derieux, E., Données à caractère personnel et communication publique . Règlement (UE) 2016/79 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données

Référence complète : Warusfel, B., La transversalité du droit du numérique, in Études en l'honneur du Professeur Jérôme Huet. Liber amicorum, LGDJ - Lextenso, 2017, pp. 411-423.

Consulter une présentation générale de l'ouvrage.

Les étudiants de Sciences po peuvent lire l'article via le Drive dans le dossier "MAFR - Régulation".

Référence complète : Seidowsky, O., Audits logiciels et conformité digitale, in Études en l'honneur du Professeur Jérôme Huet. Liber amicorum, LGDJ - Lextenso, 2017, pp. 329-338.

Consulter une présentation générale de l'ouvrage.

Les étudiants de Sciences po peuvent lire l'article via le Drive dans le dossier "MAFR - Régulation".

Référence complète : Vogel, L., Réseaux contre plates-formes : la distribution sélective à l'épreuve de l'internet, in Études en l'honneur du Professeur Jérôme Huet. Liber amicorum, LGDJ - Lextenso, 2017, pp. 401-410.

Consulter une présentation générale de l'ouvrage.

Les étudiants de Sciences po peuvent lire l'article via le Drive dans le dossier "MAFR - Régulation".

Référence complète : Derieux, E., Données à caractère personnel et communication publique . Règlement (UE) 2016/79 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données in Études en l'honneur du Professeur Jérôme Huet. Liber amicorum, LGDJ - Lextenso, 2017, pp. 127-138.

Consulter une présentation générale de l'ouvrage.

Les étudiants de Sciences po peuvent lire l'article via le Drive dans le dossier "MAFR - Régulation & Compliance".

Retourner à la présentation générale de l'enseignement.

Retourner au plan général du Cours.

Retourner à la présentation générale de la leçon, qui comprend la bibliographie de base et la bibliographie approfondie.

Lire la problématique de la leçon.

Référence : Rochfeld, J., Les géant de l'internet et l'appropriation des données personnelles : plaidoyer contre la reconnaissance de leur "propriété", in Behar-Touchais, M. (dir.), L'effectivité du droit face à la puissance des géants de l'Internet, coll. "Bibliothèque de l'IRJS - André Tunc", vol.1,  IRJS Éditions, Université Panthéon-Sorbonne, p.73-87.

L'auteur se demande si les "géants d'Internet" peuvent s'approprier les données.

Si l'on pose la question ainsi, à un esprit innocent ou au contraire à un juriste solidement formé : "un algorithme peut-il être loyal ?", il répondrait tout à trac  : "quelle question stupide ... Bien sûr que non ! Comment un processus mathématique pourrait-il avoir une qualité de cette sorte, laquelle est de nature éthique, morale, et à ce titre n'est imputable qu'à des personnes ?". Peut-être la réponse viendra-t-elle avec condescendance : à question bête, réponse hautaine.

Effectivement, la loyauté est un comportement qui renvoie à une éthique, laquelle est en lien avec la morale.

Pourtant, l'on rencontre depuis quelque temps l'affirmation selon laquelle "les algorithmes doivent être loyaux". Cela fût affirmé par exemple dans le colloque du 23 octobre 2014 sur l'économie des plateformes numériques. Plus encore, c'est l'un des points forts du Rapport annuel du Conseil d'Etat 2014, Le numérique et les droits fondamentaux.

Comment peut-on avancer une telle affirmation, revenant à imposer à un processus mathématique un comportement moral ? En effet, pour imposer un devoir, encore faut-il que celui qui le subit en ait l'aptitude. Or, un processus mathématique n'a pas d'aptitude éthique. Ainsi, la formule n'a pas littéralement pas de sens.

En réalité, la formule est utilisée afin d'imputer à ceux qui conçoivent ou bénéficient des effets économiques des algorithmes, sur lesquels fonctionnent par exemple les moteurs de recherches ou les plateformes de rencontres et les réseaux sociaux, des obligations.

Ainsi, pour atteindre le régime, c'est-à-dire produire des obligations, l'on propose d'inventer par la seule force du droit la source d'obligation, laquelle serait "l'obligation de loyauté". Parce que le droit pourrait tout dire, l'on impute (au sens kelsénien du terme) cette obligation directement à une chose (ici les mathématiques).

Attention, les choses ne sont pas à ce point flexibles et la réalité n'est pas à ce point disponible au droit. Or, transformer les mathématiques en personnes, afin de pouvoir faire naître des obligations parce qu'on ne trouve pas d'autres pistes, c'est porter atteinte à la summa divisio que le droit établit entre les personnes et les choses.

Or, si l'on s'autorise à traiter des choses comme des personnes (ce que l'on fait ici), l'on ne doit pas s'étonner par ailleurs que beaucoup ne trouvent rien à redire - ni en droit, ni en morale --, lorsque l'on traite des personnes comme des choses;

Perdre la distinction entre les personnes et les choses fait perdre dans le droit non seulement son premier repère mais encore son premier garde-fou, contre sa tentation de disposer totalement de la réalité.

Accéder à la présentation du colloque.

Accéder aux slides.

Ce Working paper a servi également de base à un article paru dans la Revue  Concurrences.

Parce qu'il est difficile de réguler un "marché biface", sauf le temps fugace du contrôle des concentrations, l'idée accessible est de réguler directement l'entreprise qui tire tout son pouvoir de sa position sur une telle structure de marché.

On peut, comme le propose le Conseil d'État, dans son Rapport annuel Le numérique et les droits fondamentaux, considérer que la prise en considération par le droit de cette situation nouvelle doit prendre la forme d'une reconnaissance de la notion de "plateforme", pour l'ériger en catégorie juridique et lui associer une obligation de loyauté, sous la surveillance du régulateur des données personnelles.

L'on peut aussi recourir à une notion plus générale, ici utilisée, d'"entreprise cruciale", à laquelle correspondent des entreprises comme Google, FaceBook, Amazon, etc., parce que ces entreprises remplissent les critères de la définition, à la fois négative et positive de l'entreprise cruciale. La puissance publique est alors légitime, sans que l'État ait à devenir actionnaire, à se mêler de la gouvernance des entreprises et à surveiller les contrats, voire à certifier ceux-ci, comme en finance, sans exiger de l'entreprise ainsi régulée un comportement moral, car ces entreprises privées doivent par ailleurs poursuivre leur fin naturelle constituée par le profit, le développement et la domination, moteur du développement économique. Le développement technologique des plateformes n'en serait pas entravé, tandis que l'aliénation des personnes que l'on peut craindre pourrait être contrée.