Un an après sa promulgation, la loi Numérique peine encore à produire ses effets

Promulguée le 7 octobre 2016 par François Hollande, la loi Numérique a soufflé sa première bougie ce week-end. Force est toutefois de constater que le texte porté par Axelle Lemaire a du mal à produire ses pleins effets. Ceux-ci devraient surtout se faire sentir à compter de l’année prochaine.

Hasard du calendrier ? À quelques jours de cet anniversaire symbolique, et alors qu’aucun décret d’application de la loi Lemaire n’était paru depuis le changement de majorité, le gouvernement d’Édouard Philippe a procédé à un tir groupé, jeudi 5 octobre.

Plusieurs décrets (attendus de longue date) sont ainsi venus fixer le coup d’envoi des nouvelles règles concernant les avis en ligne de consommateurs et la « loyauté des plateformes », dont l’entrée en vigueur a finalement été fixée au 1er janvier 2018.

Deux ordonnances ont d’autre part été publiées au Journal officiel, la première portant sur « la dématérialisation des relations contractuelles dans le secteur financier », la seconde sur « l'identification électronique et [les] services de confiance pour les transactions électroniques ».

L’exécutif n’avait toutefois plus guère le choix... L’habilitation à légiférer par voie d’ordonnance expirait au bout d’un an à compter de la promulgation de la loi Numérique.

Près d'un décret sur deux manque encore à l’appel

La publication de ces textes permet de souligner que les mesures prévues par la loi Numérique sont loin d’être toutes entrées en vigueur. Il y a quelques semaines, nous avons d’ailleurs dressé un panorama des décrets manquants (voir notre article). Le bilan ? Une moitié environ de ces compléments aux dispositions législatives doit encore être publiée au Journal officiel.

Parmi les plus attendus, on peut citer le décret sur la mise en Open Data des décisions de justice (qui est actuellement préparé par un groupe de travail lancé par la Chancellerie), celui encadrant l’avenir des données personnelles d’un défunt, celui encadrant l’exception de « text & data mining », celui sur le statut de zone fibrée, ou bien encore celui fixant la liste des pièces entrant dans le périmètre du programme « Dites-le nous une fois » pour les particuliers.

« Tous les décrets qui doivent sortir vont sortir », nous a néanmoins assuré le cabinet du secrétaire d’État au Numérique, Mounir Mahjoubi. « Ce sont des choses qui sont dans les tuyaux depuis un bout de temps déjà. Il y a plusieurs décrets qui sont encore en train d'être travaillés », mais « tout est bien en cours », promet-on dans l’entourage de l’ancien président du Conseil national du numérique.

Des dispositions législatives qui restent peu (ou pas) appliquées

Le problème est que parfois, la simple entrée en vigueur de dispositions législatives ne suffit pas...

Depuis la mi-avril, en application de l’article 6 de la loi Numérique, les administrations sont par exemple tenues de mettre en ligne tous les documents administratifs (rapports, études, statistiques, codes source...) qu’elles communiquent à des citoyens ayant exercé leur droit « CADA » d’accès aux informations publiques.

Or, rares sont les acteurs publics à s’être mis à la page, puisque parmi les cinq grands ministères que nous avons mis à l’épreuve il y a quelques semaines, aucun ne respectait ses nouvelles obligations (voir notre enquête).

Le problème est exactement le même pour l’explicitation des traitements algorithmiques utilisés par les administrations pour prendre des décisions individuelles (attribution d’aides, affectation via Admission Post-Bac...). En dépit de la parution d’un décret fixant le coup d’envoi de cette réforme au mois de septembre, difficile pour l’heure de trouver un acteur public s’étant mis en conformité avec l’article 4 de la loi Numérique, qui impose notamment qu’une « décision individuelle prise sur le fondement d'un traitement algorithmique comporte une mention explicite en informant l'intéressé »...

On pourrait également parler de la liste de suivi des avis favorables qu’est censée instaurer la Commission d’accès aux documents administratifs (CADA), ou du consentement que doivent dorénavant recueillir les webmails, réseaux sociaux ou messageries instantanées qui auscultent les échanges de leurs utilisateurs à des fins publicitaires...

Autre exemple : le gouvernement était appelé à rendre sous trois mois un rapport « sur la possibilité de créer un Commissariat à la souveraineté numérique rattaché aux services du Premier ministre », et dont il avait un temps été envisagé qu’il se penche sur la possibilité de créer un système d’exploitation « Made in France ». Sauf erreur de notre part, ce document n’a toujours pas été remis au Parlement (ce qui serait loin d’être un cas isolé...).

Il n’est peut-être pas non plus nécessaire de revenir sur certaines dispositions dont le manque d’ambition fut clairement pointé du doigt lors des débats parlementaires... Ce fut le cas notamment sur « l’encouragement » fait aux administrations d’utiliser des logiciels libres ou sur la liberté, très encadrée, de panorama.

De nombreuses mesures reportées dans le temps, bien souvent à 2018

Autre cas de figure, moins problématique : certaines mesures de la loi Numérique ont été programmées pour entrer en vigueur à une date ultérieure.

Il en va ainsi de plusieurs dispositions relatives aux données personnelles, l’objectif étant de se caler sur le calendrier du règlement européen relatif aux données personnelles (RGPD). Ce n’est par exemple qu’à partir du 25 mai 2018 que les internautes pourront télécharger en quelques clics l’ensemble des données qu’ils ont mises en ligne sur des services tels que Facebook, Deezer, Flickr, YouTube... Le tout dans l’objectif qu’ils puissent plus facilement changer de fournisseur de service (sous couvert néanmoins de parution de plusieurs décrets...).

Certaines mesures concernant les sourds et malentendants, qui devraient notamment disposer à terme d’un service vidéo de traduction simultanée pour leurs contacts avec les administrations et les entreprises chargées d’une mission de service public, ont par ailleurs vocation à s’étaler dans le temps. Il faudra ainsi attendre octobre 2018 pour que cette réforme commence à s’appliquer, et jusqu’à octobre 2022 pour que les plus petits acteurs publics (de type communes de moins de 10 000 habitants) soient concernés.

On constate d’ailleurs que de nombreuses réformes impulsées par le législateur devraient prendre leur envol à partir de l’année prochaine :

• Obligation de publication « par défaut », en Open Data, des « bases de données » des administrations, de leurs données « dont la publication présente un intérêt économique, social, sanitaire ou environnemental », ainsi que leurs mises à jour (octobre 2018)
• Principe de « loyauté des plateformes » (au 1er janvier 2018)
• Obligation, pour tous les équipements terminaux commercialisés ou loués, d’être compatibles avec la norme IPv6 (au 1er janvier 2018)
• Nouvelles règles encadrant les avis en ligne (au 1er janvier 2018)
• Obligation pour les entreprises – dont le chiffre d’affaires dépassera un seuil fixé par décret – de fournir un service de traduction vidéo pour les sourds et malentendants dans le cadre de leur SAV (octobre 2018)

Des choses qui fonctionnent

Ce bilan assez triste ne doit pas faire oublier ce qui fonctionne aussi d’ores et déjà. On peut ainsi citer en exemple :

• Le « service public de la donnée », organisé autour de neuf jeux de données dites de référence (base SIRENE, cadastre...), se met progressivement en place.
• Les nouvelles dispositions du Code pénal réprimant ce qu’on appelle parfois le « revenge porn » sont opérationnelles.
• En attendant l’entrée en vigueur du règlement européen sur les données personnelles, la CNIL dispose d’un pouvoir de sanction renforcé, qui peut au passage atteindre les trois millions d’euros (contre 150 000 euros auparavant), même si l’institution en a peu fait usage jusqu’ici.
• Les chercheurs peuvent rendre publics leurs travaux sur Internet, même s’ils ont préalablement « accordé des droits exclusifs à un éditeur » (à condition de respecter un délai d’embargo de six ou douze mois en fonction de l’objet des recherches).
• Le « droit au maintien de la connexion à Internet » a été déployé à titre expérimental dans deux départements au cours de l’année 2017.
• Un cadre a été fixé pour les joueurs professionnels de jeux vidéo.
• L’échange de données entre administrations est désormais gratuit.
• Il est possible de signaler anonymement des failles de sécurité, concernant aussi bien des sites publics que privés, à l’Agence nationale des systèmes d’information (ANSSI).
• La CNIL a commencé à promouvoir « l’utilisation des technologies protectrices de la vie privée, notamment les technologies de chiffrement des données » (ce qui fait désormais partie de ses missions). L’autorité administrative indépendante a également organisé un grand cycle de débats autour des algorithmes, la loi Numérique lui demandant de lancer des réflexions « sur les problèmes éthiques et les questions de société soulevés par l’évolution des technologies numériques ».
• L’ARCEP a publié en Open Data des cartes de couverture du territoire plus précises (pour la 2G, la 3G et la 4G).