Données numériques : ce que prévoit le projet de loi Lemaire

Que reste-t-il du projet de loi sur le numérique porté par Axelle Lemaire ? Vendredi, le gouvernement a dévoilé la version « améliorée » du texte (*) qui intègre certains apports de la consultation publique (voir l'encadré). 

Parmi les mesures phares, la portabilité qui consiste à gérer ses propres data stockées en ligne. Le texte introduit un « droit de récupération des données » dont disposeraient aussi bien les particuliers que les professionnels. « Chaque citoyen doit pouvoir sans difficulté exercer son droit à disposer librement de ses données personnelles », a déclaré la secrétaire d'État au numérique, vendredi lors d'une conférence de presse. Ce principe de libre disposition est édicté par la loi, encore faut-il se donner les « moyens très concrets » de le rendre effectif, a-t-elle affirmé. 

Pour ce faire, le projet de loi impose à « tout fournisseur d'un service de communication au public en ligne » de proposer aux consommateurs une fonctionnalité gratuite de récupération de tous leurs fichiers mis en ligne et de toutes les données associées à leur compte utilisateur. Il a été ajouté que ces data soient restituées « dans un standard ouvert et aisément réutilisable, lisible par une machine et pouvant être exploité par un système de traitement automatisé ». Un mécanisme spécifique est prévu pour les services de courrier électronique (à l'exclusion des « messageries privées ») avec la possibilité de transférer gratuitement ses mails et la liste de ses contacts vers un autre prestataire. « Globalement, on a les bases d'un texte sain qui va pouvoir porter ses fruits et faire en sorte qu'un écosystème (…) alternatif à une approche centralisée [des données] puisse se développer », a relevé vendredi un entrepreneur.

Ces nouvelles obligations ne s'appliqueront pas aux fournisseurs TPE-PME. La nouvelle version du projet de loi prévoit des seuils (à fixer par arrêté) en fonction du nombre de comptes utilisateurs. « Nous avons écouté (...) les jeunes entreprises, les petites PME, les start-up innovantes » qui ont attiré l'attention du gouvernement sur les différences entre petites et grosses structures, a indiqué Axelle Lemaire. Ces mesures entreront en vigueur 18 mois à compter de la promulgation de la loi « pour laisser le temps aux entreprises concernées de se mettre en conformité ».

Parallèlement, un droit à l'auto-hébergement serait créé pour permettre à un client d'un fournisseur d'accès à internet d'installer chez lui un serveur accessible depuis internet.

Sur le sujet délicat de la transmission des données en cas de décès, peu de modifications ont été apportées par rapport au projet de loi initial (lire notre article). L'idée est d'instaurer la notion de mort numérique afin de permettre de décider par avance du sort de ses data en cas de décès. Toute personne pourrait ainsi définir des directives sur « la conservation et la communication » de ses données personnelles après sa mort. Aucune forme particulière ne serait imposée. Une personne désignée pourrait être chargée de l'exécution de ces instructions ; à défaut, les héritiers auront cette qualité. Le texte dans sa dernière version instaure un ordre de priorité « afin de rendre effectif l'exercice des droits par les héritiers pour le compte de la personne décédée » : les descendants puis le conjoint, les héritiers qui recueillent tout ou partie de la succession et les légataires universels. Parallèlement, les prestataires devraient informer l'utilisateur du sort des données à sa mort et lui permettre de choisir de communiquer ou non ses données à un tiers qu'il désigne.

Un autre article du projet de loi a quant à lui suscité d'importants débats et soulevé de « fortes craintes » de la part des entreprises. Ces dernières devraient en effet transmettre à l'Insee par voie électronique « certaines informations présentes dans les bases de données qu'elles détiennent », et ce à des fins statistiques dans certains cas précis. La collecte de données existe déjà mais par voie papier ou sur le terrain. Le texte a été modifié et affiné puisqu'au départ, il parlait « d'accès de la statistique publique aux bases de données privées » et concernait aussi les particuliers. 

Des garanties supplémentaires ont été accordées aux entreprises dans la nouvelle version. Par exemple, l'étude de faisabilité précédant la décision du ministre de l'Économie (d'imposer cette obligation) devrait s'appuyer sur une concertation avec les personnes morales enquêtées et être rendue publique. De plus, ces données transmises ne pourraient être communiquées à quiconque. Les sanctions administratives prévues en cas de refus de transmission d'informations ont aussi été réduites « pour répondre aux inquiétudes formulées par plusieurs entreprises ». Le montant maximal de l'amende serait fixé à 25 000 € (et 50 000 € en cas de récidive). Initialement, le gouvernement tablait sur 100 000 et 250 000 €.

Cette version du projet de loi a été transmise vendredi après-midi au Conseil d'État et sera présentée en conseil des ministres le 9 décembre, a indiqué Axelle Lemaire. L'examen à l'Assemblée nationale débutera en janvier 2016.

(*) Le document présenté vendredi laisse apparaître les modifications apportées et leurs explications. Retrouvez ici le texte final.