En même temps, qu'est ce qui ne l'est pas ?

Éclaboussé par un nouveau scandale lié à son assistant dédié au code, Grok Build, Elon Musk a promis mercredi 15 juillet qu’il publierait l’intégralité du code source de son réseau social X au terme d’un audit de sécurité. L’annonce intervient dans un contexte particulier en France, entre soutien indirect affiché par Musk à la candidature de Marine Le Pen et débat sur la notion d’ingérence intérieure soulevée par un rapport sénatorial consacré à la lutte contre les fausses informations.

Cette fois, juré craché, c’est la bonne. « Une fois notre analyse des vulnérabilités de sécurité terminée, nous rendrons l’intégralité du code source de X open source, sans exception », a déclaré Elon Musk sur son réseau social mercredi 15 juillet. Cet engagement fait suite à une découverte embarrassante, liée à la façon dont Grok Build, l’assistant IA développé par SpaceXAI (désormais maison-mère de Grok et de X) copiait sans prévenir des pans entier de projet sur des serveurs distants. L’entreprise en a minimisé la portée mais elle a reconnu un comportement problématique et assuré que l’on n’y reprendrait plus.

Des promesses non tenues ou exécutées de façon incomplète

C’est dans la foulée de cette première déclaration relative à Grok Build que Musk a poussé le bouchon un cran plus loin en promettant donc la libération complète du code de son réseau social. Et si l’on se permet un brin d’ironie, c’est que l’entrepreneur a formulé de nombreuses promesses de transparence accrue quant au fonctionnement de Twitter, devenu X, et toutes n’ont pas été tenues.

Avant même le rachat de Twitter en 2022, Elon Musk avait formulé la promesse de principe de rendre les algorithmes du réseau social open source pour « renforcer la confiance » dans le cadre de son discours sur la liberté d’expression. Au printemps 2023, il a renouvelé cette promesse, et mis en ligne un dépôt jugé incomplet et jamais actualisé par la suite. En parallèle, X a attendu deux ans après le rachat pour répondre à son obligation de publication d’un rapport de transparence sur les actions de modération tous les six mois, telle qu’exigée par le DSA.

La donne a un peu changé début 2026. Le 10 janvier dernier, Elon Musk a ainsi affirmé que l’ensemble de l’algorithme qui préside à l’affichage des messages sur X serait publié sous sept jours, puis actualisé toutes les quatre semaines. Le dépôt concerné a bien été mis en ligne le 20 janvier (avec trois jours de retard donc) mais le rythme d’actualisation est loin d’avoir été respecté, puisqu’il n’a été mis à jour que deux fois depuis, avec une dernière publication datée du 15 mai dernier.

Cette fois sera-t-elle la bonne ? La nouvelle promesse de Musk ne spécifie aucune date précise. Elle s’accompagne en revanche d’un engagement supplémentaire d’audit des systèmes de X pour contrôler que le code qui tourne en production est bien celui qui a été rendu public. « La confiance fondée sur une transparence totale est la seule chose à laquelle il faille croire », déclame l’entrepreneur.

Un engagement qui résonne dans le débat politique français

Au-delà du monde professionnel et de la communauté des développeurs qui utilisent Grok Build, cette volonté de transparence trouve un écho particulier dans le débat politique français, désormais tourné vers l’échéance électorale de 2027.

C’est à nouveau une déclaration publique de Musk qui a mis le feu aux poudres. Elle a été formulée tout juste six minutes avant le message annonçant la publication du code de X, et prend la forme d’un retweet.

À 13h49, Musk relaie un post émanant d’un compte commentant l’avance dans les sondages de Marine Le Pen, candidate du Rassemblement national, et l’accompagne du commentaire suivant : « Elle est le dernier espoir de la France ». 24 heures plus tard, le post affiche plus de 7 millions de vues.

Il a dans le même temps suscité une large couverture médiatique et de nombreuses réactions politiques. Moins d’une heure plus tard, le député de l’Essonne Antoine Léaument (LFI) a par exemple dénoncé « l’ingérence étrangère d’Elon Musk » dans l’élection présidentielle. « Les manipulations algorithmiques de l’élection font partie des risques pointés dans mon rapport parlementaire sur l’organisation des élections en France », s’est-il exclamé… sur X.

• Qu’attendent nos représentants politiques pour communiquer en dehors de X ?

Sur X toujours, plusieurs comptes populaires prennent la défense d’Elon Musk et font valoir qu’il exprime un avis sur la situation du pays, et non une recommandation politique. Force est tout de même de constater que le premier ex-trillionnaire de l’histoire (SpaceX a perdu de sa superbe en bourse ces derniers jours) n’en est pas à son coup d’essai. Au printemps 2025, il avait déjà réagi à la condamnation de Marine Le Pen pour détournement de fonds publics, en l’encourageant à se présenter en 2027.

Outre son soutien affiché à Donald Trump en 2024, Elon Musk encourage par ailleurs ouvertement, pour ne pas dire plus, les personnalités européennes de la droite populiste européenne, de Giorgia Meloni en Italie à l’AfD en Allemagne, en passant par Victor Orban en Hongrie. Plus récemment, Musk s’est illustré en reprenant les appels du militant d’extrême-droite Tommy Robinson et du parti nationaliste Restore Britain à manifester alors que Belfast était traversée par des émeutes.

Bien qu’il soit difficile de mesurer l’influence réelle de Musk au-delà du nombre d’affichages de ses posts sur X et des relais médiatiques, le Rassemblement national n’a pas manifesté d’enthousiasme excessif face à cette nouvelle manifestation de soutien. Interrogé sur France 2 jeudi matin, le vice-président du parti Sébastien Chenu a tenu à marquer une certaine distance. « On ne doit rien à Elon Musk, Elon Musk ne nous doit rien. Il fait ce qu’il veut », a-t-il déclaré, estimant que le milliardaire se contentait d’exprimer un avis qui ne formalisait aucun lien.

Controverse sur les risques d’ingérence intérieure

Le RN et Elon Musk risquent toutefois de se trouver des positions communes dans un autre débat français connexe : celui qui entoure le récent rapport sénatorial sur les zones grises de l’information, présenté le 9 juillet dernier. Dédié aux possibles évolutions de la régulation de l’information dans l’espace numérique, ce document de 155 pages dans sa version provisoire (PDF) formule 56 propositions.

La première suggère la création d’un observatoire indépendant de la désinformation, chargé notamment « d’inciter les plateformes à modifier leurs algorithmes ou à invisibiliser un utilisateur fautif en cas de menace grave pour la qualité de l’information à l’approche des élections ». Ce dispositif est présenté comme le pendant de Viginum (dédié à la lutte contre les menaces venues de l’étranger) pour « les manipulations de l’information d’origine interne » au pays.

« Plutôt qu’une agence d’État, il s’agirait d’un organisme ancré dans la société civile, par exemple un consortium de chercheurs indépendants, issus des sciences de l’information, de la science politique et de l’informatique, financé par des fonds publics attribués selon des critères transparents (via l’Agence nationale de la recherche (ANR) ou un mécanisme similaire), à l’abri de toute orientation donnée par le Gouvernement », décrivent les trois sénateurs (LR-PS-UC) en charge du rapport.

Ces précautions n’ont pas suffi à tarir un flot de critiques, incarné très directement par un communiqué de Marine Le Pen, lui aussi daté du 15 juillet. La présidente du RN y dénonce une « dérive sans précédent », qui conduirait selon elle à inventer un « délit d’opinion à la française » pour lutter contre une hypothétique « ingérence intérieure ».

L’ampleur prise par la polémique a conduit Agnès Evren, sénatrice LR de Paris et coautrice du rapport, à déclarer qu’aucune proposition de loi n’avait été déposée et qu’elle ne cosignerait ou ne voterait « jamais un texte qui viserait à restreindre la liberté d’opinion ou à instaurer une police de la pensée ». Elle souligne par ailleurs que le terme « ingérence intérieure », qui relève de l’oxymore et sur lequel se focalisent les critiques, ne figure pas dans le texte du rapport.

Elle rappelle enfin qu’une portion significative du rapport s’attache à la façon dont les grandes plateformes numériques pourraient servir d’instruments, volontaires ou non, à des tentatives de manipulation. Un point sur lequel l’éventuelle publication du code source de X ne changera pas totalement la donne, puisqu’il restera à Musk l’extraordinaire chambre d’écho de ses 240 millions de followers, de ses soutiens, et des reprises médiatiques qu’engendre la moindre de ses provocations.

• [Tuto] Emmanuel Macron, voici comment crossposter sur X, Bluesky, Mastodon

En même temps, qu'est ce qui ne l'est pas ?

Éclaboussé par un nouveau scandale lié à son assistant dédié au code, Grok Build, Elon Musk a promis mercredi 15 juillet qu’il publierait l’intégralité du code source de son réseau social X au terme d’un audit de sécurité. L’annonce intervient dans un contexte particulier en France, entre soutien indirect affiché par Musk à la candidature de Marine Le Pen et débat sur la notion d’ingérence intérieure soulevée par un rapport sénatorial consacré à la lutte contre les fausses informations.

Cette fois, juré craché, c’est la bonne. « Une fois notre analyse des vulnérabilités de sécurité terminée, nous rendrons l’intégralité du code source de X open source, sans exception », a déclaré Elon Musk sur son réseau social mercredi 15 juillet. Cet engagement fait suite à une découverte embarrassante, liée à la façon dont Grok Build, l’assistant IA développé par SpaceXAI (désormais maison-mère de Grok et de X) copiait sans prévenir des pans entier de projet sur des serveurs distants. L’entreprise en a minimisé la portée mais elle a reconnu un comportement problématique et assuré que l’on n’y reprendrait plus.

Des promesses non tenues ou exécutées de façon incomplète

C’est dans la foulée de cette première déclaration relative à Grok Build que Musk a poussé le bouchon un cran plus loin en promettant donc la libération complète du code de son réseau social. Et si l’on se permet un brin d’ironie, c’est que l’entrepreneur a formulé de nombreuses promesses de transparence accrue quant au fonctionnement de Twitter, devenu X, et toutes n’ont pas été tenues.

Avant même le rachat de Twitter en 2022, Elon Musk avait formulé la promesse de principe de rendre les algorithmes du réseau social open source pour « renforcer la confiance » dans le cadre de son discours sur la liberté d’expression. Au printemps 2023, il a renouvelé cette promesse, et mis en ligne un dépôt jugé incomplet et jamais actualisé par la suite. En parallèle, X a attendu deux ans après le rachat pour répondre à son obligation de publication d’un rapport de transparence sur les actions de modération tous les six mois, telle qu’exigée par le DSA.

La donne a un peu changé début 2026. Le 10 janvier dernier, Elon Musk a ainsi affirmé que l’ensemble de l’algorithme qui préside à l’affichage des messages sur X serait publié sous sept jours, puis actualisé toutes les quatre semaines. Le dépôt concerné a bien été mis en ligne le 20 janvier (avec trois jours de retard donc) mais le rythme d’actualisation est loin d’avoir été respecté, puisqu’il n’a été mis à jour que deux fois depuis, avec une dernière publication datée du 15 mai dernier.

Cette fois sera-t-elle la bonne ? La nouvelle promesse de Musk ne spécifie aucune date précise. Elle s’accompagne en revanche d’un engagement supplémentaire d’audit des systèmes de X pour contrôler que le code qui tourne en production est bien celui qui a été rendu public. « La confiance fondée sur une transparence totale est la seule chose à laquelle il faille croire », déclame l’entrepreneur.

Un engagement qui résonne dans le débat politique français

Au-delà du monde professionnel et de la communauté des développeurs qui utilisent Grok Build, cette volonté de transparence trouve un écho particulier dans le débat politique français, désormais tourné vers l’échéance électorale de 2027.

C’est à nouveau une déclaration publique de Musk qui a mis le feu aux poudres. Elle a été formulée tout juste six minutes avant le message annonçant la publication du code de X, et prend la forme d’un retweet.

À 13h49, Musk relaie un post émanant d’un compte commentant l’avance dans les sondages de Marine Le Pen, candidate du Rassemblement national, et l’accompagne du commentaire suivant : « Elle est le dernier espoir de la France ». 24 heures plus tard, le post affiche plus de 7 millions de vues.

Il a dans le même temps suscité une large couverture médiatique et de nombreuses réactions politiques. Moins d’une heure plus tard, le député de l’Essonne Antoine Léaument (LFI) a par exemple dénoncé « l’ingérence étrangère d’Elon Musk » dans l’élection présidentielle. « Les manipulations algorithmiques de l’élection font partie des risques pointés dans mon rapport parlementaire sur l’organisation des élections en France », s’est-il exclamé… sur X.

• Qu’attendent nos représentants politiques pour communiquer en dehors de X ?

Sur X toujours, plusieurs comptes populaires prennent la défense d’Elon Musk et font valoir qu’il exprime un avis sur la situation du pays, et non une recommandation politique. Force est tout de même de constater que le premier ex-trillionnaire de l’histoire (SpaceX a perdu de sa superbe en bourse ces derniers jours) n’en est pas à son coup d’essai. Au printemps 2025, il avait déjà réagi à la condamnation de Marine Le Pen pour détournement de fonds publics, en l’encourageant à se présenter en 2027.

Outre son soutien affiché à Donald Trump en 2024, Elon Musk encourage par ailleurs ouvertement, pour ne pas dire plus, les personnalités européennes de la droite populiste européenne, de Giorgia Meloni en Italie à l’AfD en Allemagne, en passant par Victor Orban en Hongrie. Plus récemment, Musk s’est illustré en reprenant les appels du militant d’extrême-droite Tommy Robinson et du parti nationaliste Restore Britain à manifester alors que Belfast était traversée par des émeutes.

Bien qu’il soit difficile de mesurer l’influence réelle de Musk au-delà du nombre d’affichages de ses posts sur X et des relais médiatiques, le Rassemblement national n’a pas manifesté d’enthousiasme excessif face à cette nouvelle manifestation de soutien. Interrogé sur France 2 jeudi matin, le vice-président du parti Sébastien Chenu a tenu à marquer une certaine distance. « On ne doit rien à Elon Musk, Elon Musk ne nous doit rien. Il fait ce qu’il veut », a-t-il déclaré, estimant que le milliardaire se contentait d’exprimer un avis qui ne formalisait aucun lien.

Controverse sur les risques d’ingérence intérieure

Le RN et Elon Musk risquent toutefois de se trouver des positions communes dans un autre débat français connexe : celui qui entoure le récent rapport sénatorial sur les zones grises de l’information, présenté le 9 juillet dernier. Dédié aux possibles évolutions de la régulation de l’information dans l’espace numérique, ce document de 155 pages dans sa version provisoire (PDF) formule 56 propositions.

La première suggère la création d’un observatoire indépendant de la désinformation, chargé notamment « d’inciter les plateformes à modifier leurs algorithmes ou à invisibiliser un utilisateur fautif en cas de menace grave pour la qualité de l’information à l’approche des élections ». Ce dispositif est présenté comme le pendant de Viginum (dédié à la lutte contre les menaces venues de l’étranger) pour « les manipulations de l’information d’origine interne » au pays.

« Plutôt qu’une agence d’État, il s’agirait d’un organisme ancré dans la société civile, par exemple un consortium de chercheurs indépendants, issus des sciences de l’information, de la science politique et de l’informatique, financé par des fonds publics attribués selon des critères transparents (via l’Agence nationale de la recherche (ANR) ou un mécanisme similaire), à l’abri de toute orientation donnée par le Gouvernement », décrivent les trois sénateurs (LR-PS-UC) en charge du rapport.

Ces précautions n’ont pas suffi à tarir un flot de critiques, incarné très directement par un communiqué de Marine Le Pen, lui aussi daté du 15 juillet. La présidente du RN y dénonce une « dérive sans précédent », qui conduirait selon elle à inventer un « délit d’opinion à la française » pour lutter contre une hypothétique « ingérence intérieure ».

L’ampleur prise par la polémique a conduit Agnès Evren, sénatrice LR de Paris et coautrice du rapport, à déclarer qu’aucune proposition de loi n’avait été déposée et qu’elle ne cosignerait ou ne voterait « jamais un texte qui viserait à restreindre la liberté d’opinion ou à instaurer une police de la pensée ». Elle souligne par ailleurs que le terme « ingérence intérieure », qui relève de l’oxymore et sur lequel se focalisent les critiques, ne figure pas dans le texte du rapport.

Elle rappelle enfin qu’une portion significative du rapport s’attache à la façon dont les grandes plateformes numériques pourraient servir d’instruments, volontaires ou non, à des tentatives de manipulation. Un point sur lequel l’éventuelle publication du code source de X ne changera pas totalement la donne, puisqu’il restera à Musk l’extraordinaire chambre d’écho de ses 240 millions de followers, de ses soutiens, et des reprises médiatiques qu’engendre la moindre de ses provocations.

• [Tuto] Emmanuel Macron, voici comment crossposter sur X, Bluesky, Mastodon

Opération portes ouvertes

Bruxelles fixe les nouvelles règles que devra respecter Google en vertu du règlement sur les marchés numériques (DMA). Au menu : d’importants changements pour ouvrir Android aux assistants IA et aux moteurs de recherche rivaux.

La Commission européenne vient de préciser comment Google doit appliquer deux obligations inscrites dans le DMA (l’entreprise étant un contrôleur d’accès). Ce n’est pas une sanction ni une nouvelle enquête pour infraction, mais de nouvelles règles à suivre, suite à une enquête lancée en janvier.

« Nous voulons soutenir l’innovation et la diversité dans l’Union européenne, en permettant une concurrence équitable sur les marchés des assistants d’IA destinés aux appareils Android et des moteurs de recherche », explique Henna Virkkunen, vice-présidente de la Commission en charge de la Souveraineté technologique. « Nous espérons voir émerger des solutions alternatives à Google Search et aux services d’IA de Google, comme Gemini, et offrir aux utilisateurs européens un plus grand choix de services. »

Des données Google pour les moteurs de recherche

À compter de janvier prochain, Google va devoir partager davantage de données de recherche avec les moteurs rivaux. La Commission exige en effet que les données produites par la recherche de Google (les requêtes, les clics et autres signaux) soient accessibles à la concurrence, qui a besoin de ces informations pour entraîner et optimiser leurs propres services.

Au vu du poids énorme de Google sur le marché de la recherche en ligne (90 % en Europe), c’est le seul acteur capable de recueillir autant de données à une si grande échelle. L’entreprise américaine devra donc mettre à disposition ce trésor d’informations aux moteurs de recherche classiques, ainsi qu’aux chatbots et autres agents IA qui intègrent une fonction de recherche en ligne.

Google aura la possibilité de refuser un demandeur s’il représente un risque grave pour la sécurité des données personnelles. Des données qui seront anonymisées à plusieurs niveaux. Bruxelles trace une autre ligne rouge : pas question d’exploiter ces données pour entraîner des modèles d’IA ou améliorer des services n’entretenant aucun lien avec la recherche en ligne (comme le profilage des internautes ou la publicité ciblée).

Il ne s’agit pas non plus de créer un clone de Google, en reproduisant ses résultats de recherche. Tout cela ne sera cependant pas gratuit : Google pourra facturer cet accès, en fonction d’une formule « équitable ».

Cet accès aux données de Google devrait améliorer la qualité des services des moteurs de recherche (on songe à Qwant ou Ecosia), par exemple dans la compréhension des requêtes, avec des propositions de saisie semi-automatique performantes ou des requêtes associées. Les systèmes de classement devraient aussi bénéficier des données du leader du secteur. La Commission espère aussi une amélioration de l’indexation : « Le jeu de données [de Google] peut aider ses bénéficiaires à déterminer quels sites doivent être indexés en priorité. »

La Commission espère ainsi favoriser l’émergence d’une offre diversifiée. « Les utilisateurs pourront ainsi privilégier les services correspondant à leurs préférences, qu’ils mettent l’accent sur la protection de la vie privée, la durabilité, des causes sociales ou qu’ils associent recherche et intelligence artificielle », précise l’exécutif.

La question de l’anonymisation des données a alimenté les débats entre Google et Bruxelles. Les mesures techniques ont été développées avec des experts en interne et externe, et suivent les bonnes pratiques de l’anonymisation. Plusieurs rounds de tests ont été réalisés avec Google. En avril, durant une de ces réunions, un chercheur de l’entreprise avait montré qu’il était possible d’identifier des utilisateurs à partir de données anonymisées, en quelques heures, comme le rapportait Politico.

Plusieurs recherches à la suite peuvent révéler une maladie, une adresse, un emploi, un déplacement ou d’autres éléments personnels, même lorsque le nom et l’adresse IP ont été supprimés. Une fois ces données transmises à des tiers, Google ne peut plus contrôler l’usage qui en sera fait, ni les fuites éventuelles. Un argument battu en brèche par des concurrents qui parlent d’instrumentalisation d’un risque pour limiter ou retarder la mise en œuvre d’une obligation qui menace l’avantage concurrentiel de Google.

Par ailleurs, ces données ne seront pas en accès libre : il faudra montrer patte blanche. Seuls les moteurs de recherche et les chatbots intégrant une telle fonction et jugés fiables pourront l’obtenir. Comme on l’a dit, Google pourra écarter les entreprises considérées comme risquées au regard du droit européen (entités sanctionnées ou contrôlées par certains pays tiers ou ne disposant pas de garanties suffisantes pour traiter des données sensibles) ; les demandeurs devront également respecter les règles du RGPD sur les transferts internationaux de données.

• Le Data Privacy Framework remis en question par la fin de l’indépendance de la FTC

Les assistants IA traités comme Gemini

Deuxième gros chantier pour Google : l’ouverture plus large d’Android aux assistants IA. Actuellement, Gemini a un accès privilégié aux fonctions bas niveau du système d’exploitation. Les possibilités sont plus limitées pour les concurrents. Google devra leur ouvrir la porte.

Bruxelles compte 11 fonctions Android, dont l’accès permettra aux utilisateurs d’activer par la voix l’assistant de leur choix (à la manière de « Hey Google »). Les rivaux de Gemini seront en mesure d’effectuer plusieurs actions à la chaîne, par exemple rédiger et envoyer un courriel avec l’app de messagerie de leur choix ; d’automatiser certaines tâches comme la commande d’un repas (ouvrir l’app de livraison, sélectionner le menu désiré, renseigner les informations de livraison) ; de recevoir automatiquement des suggestions utiles ou des informations pertinentes dans les applications, sans que l’utilisateur ait besoin de les demander.

La plupart de ces fonctions devront être disponibles avec la prochaine révision majeure d’Android (Android 18), ou au plus tard le 1ᵉʳ août 2027. Seule exception : l’invocation par la voix devra être implémentée dans Android 19, ou le 1ᵉʳ août 2028 au plus tard. La Commission avait envoyé ses conclusions préliminaires fin avril.

« Les décisions prises aujourd’hui risquent d’affaiblir des garde-fous essentiels en matière de confidentialité et de sécurité pour des millions d’Européens », affirme Kent Walker, directeur juridique de Google. Il déplore que la Commission n’ait pas pris en compte les « nombreux éléments montrant les préjudices potentiels pour les utilisateurs ».

La décision concernant l’ouverture des assistants IA « menace la sécurité des appareils en accordant à des applications externes des autorisations sensibles et étendues, sans ces garde-fous », indique-t-il encore, alors que « les assistants d’IA peuvent déjà accéder de manière sécurisée aux fonctionnalités d’Android, les fabricants de smartphones jouant un rôle essentiel dans leur évaluation ».

Opération portes ouvertes

Bruxelles fixe les nouvelles règles que devra respecter Google en vertu du règlement sur les marchés numériques (DMA). Au menu : d’importants changements pour ouvrir Android aux assistants IA et aux moteurs de recherche rivaux.

La Commission européenne vient de préciser comment Google doit appliquer deux obligations inscrites dans le DMA (l’entreprise étant un contrôleur d’accès). Ce n’est pas une sanction ni une nouvelle enquête pour infraction, mais de nouvelles règles à suivre, suite à une enquête lancée en janvier.

« Nous voulons soutenir l’innovation et la diversité dans l’Union européenne, en permettant une concurrence équitable sur les marchés des assistants d’IA destinés aux appareils Android et des moteurs de recherche », explique Henna Virkkunen, vice-présidente de la Commission en charge de la Souveraineté technologique. « Nous espérons voir émerger des solutions alternatives à Google Search et aux services d’IA de Google, comme Gemini, et offrir aux utilisateurs européens un plus grand choix de services. »

Des données Google pour les moteurs de recherche

À compter de janvier prochain, Google va devoir partager davantage de données de recherche avec les moteurs rivaux. La Commission exige en effet que les données produites par la recherche de Google (les requêtes, les clics et autres signaux) soient accessibles à la concurrence, qui a besoin de ces informations pour entraîner et optimiser leurs propres services.

Au vu du poids énorme de Google sur le marché de la recherche en ligne (90 % en Europe), c’est le seul acteur capable de recueillir autant de données à une si grande échelle. L’entreprise américaine devra donc mettre à disposition ce trésor d’informations aux moteurs de recherche classiques, ainsi qu’aux chatbots et autres agents IA qui intègrent une fonction de recherche en ligne.

Google aura la possibilité de refuser un demandeur s’il représente un risque grave pour la sécurité des données personnelles. Des données qui seront anonymisées à plusieurs niveaux. Bruxelles trace une autre ligne rouge : pas question d’exploiter ces données pour entraîner des modèles d’IA ou améliorer des services n’entretenant aucun lien avec la recherche en ligne (comme le profilage des internautes ou la publicité ciblée).

Il ne s’agit pas non plus de créer un clone de Google, en reproduisant ses résultats de recherche. Tout cela ne sera cependant pas gratuit : Google pourra facturer cet accès, en fonction d’une formule « équitable ».

Cet accès aux données de Google devrait améliorer la qualité des services des moteurs de recherche (on songe à Qwant ou Ecosia), par exemple dans la compréhension des requêtes, avec des propositions de saisie semi-automatique performantes ou des requêtes associées. Les systèmes de classement devraient aussi bénéficier des données du leader du secteur. La Commission espère aussi une amélioration de l’indexation : « Le jeu de données [de Google] peut aider ses bénéficiaires à déterminer quels sites doivent être indexés en priorité. »

La Commission espère ainsi favoriser l’émergence d’une offre diversifiée. « Les utilisateurs pourront ainsi privilégier les services correspondant à leurs préférences, qu’ils mettent l’accent sur la protection de la vie privée, la durabilité, des causes sociales ou qu’ils associent recherche et intelligence artificielle », précise l’exécutif.

La question de l’anonymisation des données a alimenté les débats entre Google et Bruxelles. Les mesures techniques ont été développées avec des experts en interne et externe, et suivent les bonnes pratiques de l’anonymisation. Plusieurs rounds de tests ont été réalisés avec Google. En avril, durant une de ces réunions, un chercheur de l’entreprise avait montré qu’il était possible d’identifier des utilisateurs à partir de données anonymisées, en quelques heures, comme le rapportait Politico.

Plusieurs recherches à la suite peuvent révéler une maladie, une adresse, un emploi, un déplacement ou d’autres éléments personnels, même lorsque le nom et l’adresse IP ont été supprimés. Une fois ces données transmises à des tiers, Google ne peut plus contrôler l’usage qui en sera fait, ni les fuites éventuelles. Un argument battu en brèche par des concurrents qui parlent d’instrumentalisation d’un risque pour limiter ou retarder la mise en œuvre d’une obligation qui menace l’avantage concurrentiel de Google.

Par ailleurs, ces données ne seront pas en accès libre : il faudra montrer patte blanche. Seuls les moteurs de recherche et les chatbots intégrant une telle fonction et jugés fiables pourront l’obtenir. Comme on l’a dit, Google pourra écarter les entreprises considérées comme risquées au regard du droit européen (entités sanctionnées ou contrôlées par certains pays tiers ou ne disposant pas de garanties suffisantes pour traiter des données sensibles) ; les demandeurs devront également respecter les règles du RGPD sur les transferts internationaux de données.

• Le Data Privacy Framework remis en question par la fin de l’indépendance de la FTC

Les assistants IA traités comme Gemini

Deuxième gros chantier pour Google : l’ouverture plus large d’Android aux assistants IA. Actuellement, Gemini a un accès privilégié aux fonctions bas niveau du système d’exploitation. Les possibilités sont plus limitées pour les concurrents. Google devra leur ouvrir la porte.

Bruxelles compte 11 fonctions Android, dont l’accès permettra aux utilisateurs d’activer par la voix l’assistant de leur choix (à la manière de « Hey Google »). Les rivaux de Gemini seront en mesure d’effectuer plusieurs actions à la chaîne, par exemple rédiger et envoyer un courriel avec l’app de messagerie de leur choix ; d’automatiser certaines tâches comme la commande d’un repas (ouvrir l’app de livraison, sélectionner le menu désiré, renseigner les informations de livraison) ; de recevoir automatiquement des suggestions utiles ou des informations pertinentes dans les applications, sans que l’utilisateur ait besoin de les demander.

La plupart de ces fonctions devront être disponibles avec la prochaine révision majeure d’Android (Android 18), ou au plus tard le 1ᵉʳ août 2027. Seule exception : l’invocation par la voix devra être implémentée dans Android 19, ou le 1ᵉʳ août 2028 au plus tard. La Commission avait envoyé ses conclusions préliminaires fin avril.

« Les décisions prises aujourd’hui risquent d’affaiblir des garde-fous essentiels en matière de confidentialité et de sécurité pour des millions d’Européens », affirme Kent Walker, directeur juridique de Google. Il déplore que la Commission n’ait pas pris en compte les « nombreux éléments montrant les préjudices potentiels pour les utilisateurs ».

La décision concernant l’ouverture des assistants IA « menace la sécurité des appareils en accordant à des applications externes des autorisations sensibles et étendues, sans ces garde-fous », indique-t-il encore, alors que « les assistants d’IA peuvent déjà accéder de manière sécurisée aux fonctionnalités d’Android, les fabricants de smartphones jouant un rôle essentiel dans leur évaluation ».

Tout bloquer, faire le tri ensuite

Google demande à Bruxelles de manier le blocage des sites pirates avec beaucoup plus de précautions. Le groupe juge les mesures visant les DNS, les VPN, les CDN ou les adresses IP trop faciles à contourner et susceptibles d’emporter dans leur chute des millions de services parfaitement légaux.

Au premier trimestre 2027, Bruxelles prendra à bras le corps la question du piratage, en particulier pour les événements en direct, via la révision de la directive 2019/790 sur le droit d’auteur. Dans le cadre de cette initiative ciblée pour créer « un meilleur environnement de droit d’auteur », Bruxelles a lancé un appel à contribution ouvert largement : association, chercheur, organisation professionnelle, ONG… et entreprises.

Les dommages collatéraux de la lutte contre le piratage

Google n’a pas manqué l’occasion de soumettre sa contribution, dans laquelle le géant du web s’oppose aux blocages tous azimuts obtenus ces derniers mois devant différentes juridictions des États membres (PDF). Google estime que les blocages des infrastructures techniques d’internet sont non seulement inefficaces et disproportionnées, mais aussi dangereux pour les services parfaitement légaux.

Pour le groupe, le blocage d’un résolveur DNS, d’une adresse IP ou d’un VPN ne fait pas disparaitre le contenu illégal. Google explique que « [ces dispositifs] ne suppriment aucun contenu et peuvent facilement être contournés », en utilisant un autre résolveur DNS, par exemple. Ils n’offrent donc aucun effet durable contre le piratage.

L’entreprise ajoute que « le blocage d’une seule adresse IP risque inévitablement de restreindre l’accès à des milliers, voire des millions, de sites parfaitement légaux et sans aucun lien avec l’infraction. » Elle en veut pour preuve le blocage d’adresses Cloudflare en Italie : le Piracy Shield du pays a empêché l’accès à 42 millions de domaines, ainsi qu’à Google Drive et des services légitimes de VPN.

• Cloudflare crie à la censure et menace de quitter l’Italie après une amende salée

Google évoque aussi la décision de Cisco de retirer son service OpenDNS de France en 2024, suite à une décision de justice de blocage de sites web obtenu par Canal+. Le moteur de recherche rappelle à toutes fins utiles que les services de VPN sont des services techniques « accessibles légalement », et que leur usage licite ou illicite revient aux utilisateurs. « Le simple fait que ces services, ou des services similaires, puissent être utilisés à de telles fins ne suffit pas à établir que leurs fournisseurs communiquent eux-mêmes l’œuvre protégée au public », ajoute Google.

Pour le groupe américain, un blocage ne devrait intervenir qu’en dernier recours, après que les ayants droit ont démontré qu’ils ont tenté de contacter l’auteur de l’infraction, que les procédures de notification et de retrait ne suffisent pas, et que la suppression du contenu chez l’hébergeur a échoué. Évidemment, tout cela demande du temps alors que les diffuseurs essaient de couper l’herbe sous le pied du streaming illégal dès les premières minutes de la retransmission de la compétition.

Google défend le DSA

Google défend l’idée que « les injonctions ne devraient pas viser des infrastructures mondiales de l’internet telles que les résolveurs DNS, les VPN ou les CDN ». Et pour être proportionnées, « les injonctions devraient viser le niveau approprié et la source du contenu. »

Aussi incroyable que cela puisse paraitre, Google se fait aussi le chevalier blanc du DSA, le règlement sur les services numériques. La société pense ainsi que « les injonctions ne constituent ni un substitut ni un moyen de contourner le mécanisme de notification et d’action prévu par le DSA ». Certains dispositifs nationaux permettent à des acteurs privés de transmettre des listes de blocage, qui sont ensuite transformées « presque automatiquement » en décisions administratives.

C’est de cette manière – consolidée par une récente décision de la Cour d’appel de Paris, n’en déplaise à Google – que fonctionne le mécanisme qui permet à Canal+ et autres diffuseurs de bloquer des sites illégaux. Une fois qu’un ayant droit a décroché une ordonnance enjoignant le blocage d’une liste de sites pour la durée de la compétition, le titulaire des droits a la possibilité de demander à l’Arcom de mettre à jour ou d’étendre cette liste pour y intégrer les sites miroir découverts par l’ayant droit. Plus besoin de retourner en justice, avec les formalités que cela implique.

• Formule 1, MotoGP : Canal+ fait feu de tout bois pour faire bloquer le streaming pirate

Google n’est pas opposée au blocage, mais l’entreprise réclame des mesures beaucoup plus ciblées, limitées dans le temps et soumises à un véritable contrôle judiciaire. Elle propose aussi de créer « davantage d’alternatives légales, et de meilleure qualité ». L’insatisfaction des consommateurs est un des principaux moteurs du piratage, souligne la société.

« L’un des meilleurs moyens de lutter contre ce phénomène consiste donc à proposer des offres légales plus pratiques et plus attractives. Nous avons ainsi développé des produits offrant une expérience utilisateur convaincante, comme YouTube Music, afin de générer des revenus pour les industries créatives et d’orienter le public vers des alternatives légales. »

Comme le souligne TorrentFreak, la position très critique de Google en Europe contraste avec le silence de l’entreprise face à un projet législatif aux États-Unis pour permettre à des ayants droit d’obtenir devant un tribunal le blocage de sites étrangers consacrés au piratage.

• Piratage : l’Arcom revendique le blocage de plus de 15 000 noms de domaine depuis 2022

Mise à jour, 11h30 : ajout d’une mention d’une récente décision de la Cour d’appel de Paris, qui invalide une partie de l’argumentation de Google vis-à-vis du DSA.

Tout bloquer, faire le tri ensuite

Google demande à Bruxelles de manier le blocage des sites pirates avec beaucoup plus de précautions. Le groupe juge les mesures visant les DNS, les VPN, les CDN ou les adresses IP trop faciles à contourner et susceptibles d’emporter dans leur chute des millions de services parfaitement légaux.

Au premier trimestre 2027, Bruxelles prendra à bras le corps la question du piratage, en particulier pour les événements en direct, via la révision de la directive 2019/790 sur le droit d’auteur. Dans le cadre de cette initiative ciblée pour créer « un meilleur environnement de droit d’auteur », Bruxelles a lancé un appel à contribution ouvert largement : association, chercheur, organisation professionnelle, ONG… et entreprises.

Les dommages collatéraux de la lutte contre le piratage

Google n’a pas manqué l’occasion de soumettre sa contribution, dans laquelle le géant du web s’oppose aux blocages tous azimuts obtenus ces derniers mois devant différentes juridictions des États membres (PDF). Google estime que les blocages des infrastructures techniques d’internet sont non seulement inefficaces et disproportionnées, mais aussi dangereux pour les services parfaitement légaux.

Pour le groupe, le blocage d’un résolveur DNS, d’une adresse IP ou d’un VPN ne fait pas disparaitre le contenu illégal. Google explique que « [ces dispositifs] ne suppriment aucun contenu et peuvent facilement être contournés », en utilisant un autre résolveur DNS, par exemple. Ils n’offrent donc aucun effet durable contre le piratage.

L’entreprise ajoute que « le blocage d’une seule adresse IP risque inévitablement de restreindre l’accès à des milliers, voire des millions, de sites parfaitement légaux et sans aucun lien avec l’infraction. » Elle en veut pour preuve le blocage d’adresses Cloudflare en Italie : le Piracy Shield du pays a empêché l’accès à 42 millions de domaines, ainsi qu’à Google Drive et des services légitimes de VPN.

• Cloudflare crie à la censure et menace de quitter l’Italie après une amende salée

Google évoque aussi la décision de Cisco de retirer son service OpenDNS de France en 2024, suite à une décision de justice de blocage de sites web obtenu par Canal+. Le moteur de recherche rappelle à toutes fins utiles que les services de VPN sont des services techniques « accessibles légalement », et que leur usage licite ou illicite revient aux utilisateurs. « Le simple fait que ces services, ou des services similaires, puissent être utilisés à de telles fins ne suffit pas à établir que leurs fournisseurs communiquent eux-mêmes l’œuvre protégée au public », ajoute Google.

Pour le groupe américain, un blocage ne devrait intervenir qu’en dernier recours, après que les ayants droit ont démontré qu’ils ont tenté de contacter l’auteur de l’infraction, que les procédures de notification et de retrait ne suffisent pas, et que la suppression du contenu chez l’hébergeur a échoué. Évidemment, tout cela demande du temps alors que les diffuseurs essaient de couper l’herbe sous le pied du streaming illégal dès les premières minutes de la retransmission de la compétition.

Google défend le DSA

Google défend l’idée que « les injonctions ne devraient pas viser des infrastructures mondiales de l’internet telles que les résolveurs DNS, les VPN ou les CDN ». Et pour être proportionnées, « les injonctions devraient viser le niveau approprié et la source du contenu. »

Aussi incroyable que cela puisse paraitre, Google se fait aussi le chevalier blanc du DSA, le règlement sur les services numériques. La société pense ainsi que « les injonctions ne constituent ni un substitut ni un moyen de contourner le mécanisme de notification et d’action prévu par le DSA ». Certains dispositifs nationaux permettent à des acteurs privés de transmettre des listes de blocage, qui sont ensuite transformées « presque automatiquement » en décisions administratives.

C’est de cette manière – consolidée par une récente décision de la Cour d’appel de Paris, n’en déplaise à Google – que fonctionne le mécanisme qui permet à Canal+ et autres diffuseurs de bloquer des sites illégaux. Une fois qu’un ayant droit a décroché une ordonnance enjoignant le blocage d’une liste de sites pour la durée de la compétition, le titulaire des droits a la possibilité de demander à l’Arcom de mettre à jour ou d’étendre cette liste pour y intégrer les sites miroir découverts par l’ayant droit. Plus besoin de retourner en justice, avec les formalités que cela implique.

• Formule 1, MotoGP : Canal+ fait feu de tout bois pour faire bloquer le streaming pirate

Google n’est pas opposée au blocage, mais l’entreprise réclame des mesures beaucoup plus ciblées, limitées dans le temps et soumises à un véritable contrôle judiciaire. Elle propose aussi de créer « davantage d’alternatives légales, et de meilleure qualité ». L’insatisfaction des consommateurs est un des principaux moteurs du piratage, souligne la société.

« L’un des meilleurs moyens de lutter contre ce phénomène consiste donc à proposer des offres légales plus pratiques et plus attractives. Nous avons ainsi développé des produits offrant une expérience utilisateur convaincante, comme YouTube Music, afin de générer des revenus pour les industries créatives et d’orienter le public vers des alternatives légales. »

Comme le souligne TorrentFreak, la position très critique de Google en Europe contraste avec le silence de l’entreprise face à un projet législatif aux États-Unis pour permettre à des ayants droit d’obtenir devant un tribunal le blocage de sites étrangers consacrés au piratage.

• Piratage : l’Arcom revendique le blocage de plus de 15 000 noms de domaine depuis 2022

Mise à jour, 11h30 : ajout d’une mention d’une récente décision de la Cour d’appel de Paris, qui invalide une partie de l’argumentation de Google vis-à-vis du DSA.

Le pixel qui en savait trop

À partir du 14 juillet, les éditeurs de services en ligne qui utilisent des pixels de suivi dans leurs emails sont censés être en conformité avec le cadre fixé par la CNIL en mars dernier, ce qui a déclenché une vaste campagne d’information. L’occasion de rappeler qu’il est aussi possible de reprendre la main sur le sujet, en bloquant l’affichage de ces fameux pixels traçants.

Banques, médias, régies de transport en commun, musique en ligne, e-commerçants… vous avez certainement reçu des messages d’information vous proposant de refuser l’utilisation de « pixels de suivi » de la part d’organisations ou de services en ligne dont vous recevez habituellement les emails.

Pourquoi une telle mobilisation en plein cœur d’un été bouillant ? Le 14 juillet correspond à la fin du délai de trois mois fixé par la CNIL pour mettre en application le nouveau cadre réglementaire dédié aux mécanismes de suivi (parfois appelés pixels traçants) mis en œuvre dans les campagnes d’email marketing.

Issu d’une recommandation adoptée le 12 mars et publiée le 14 avril dernier, la recommandation de la CNIL fixe qu’il est désormais nécessaire d’obtenir le consentement de l’internaute avant de l’exposer à un pixel de suivi, un régime inspiré des règles déjà en vigueur pour les cookies marketing.

La Commission n’impose pas d’obtenir un consentement rétroactif, mais elle exige que les destinataires d’emails faisant appel à des pixels de suivi soient dûment informés dans un délai de trois mois. D’où cette avalanche de messages titrés par exemple « Information relative à vos emails » chez TF1.

• Pixels de suivi dans les emails : la Cnil demande une mise en conformité sous trois mois

Un pixel pour analyser les taux d’ouverture (et créer des profils marketing)

Au fait, de quoi parle-t-on ici ? Pour identifier les interactions du destinataire avec leurs envois, les professionnels de l’email marketing ont recours à une image d’un seul pixel. Invisible à l’œil nu, elle est associée à un identifiant unique, hébergée sur un serveur distant, et intégrée dans le corps de l’email.

Lorsque votre client de messagerie interprète le code de l’email pour vous l’afficher, le pixel en question est appelé depuis le serveur. En consultant ses logs, l’émetteur (ou son prestataire) peut ainsi savoir si vous avez ouvert l’email.

La plupart des éditeurs justifient l’utilisation de ce pixel par la nécessité de savoir si l’email a bien été reçu (délivrabilité) et ouvert. Selon les cas, l’émetteur peut tout de même en profiter pour collecter d’autres informations, comme la date et l’heure d’ouverture, l’adresse IP utilisée, le client de messagerie employé, etc. Des données qui peuvent ensuite être mises à profit pour optimiser l’envoi de campagnes, personnaliser les messages ou travailler le ciblage publicitaire.

La pratique n’a rien de nouveau, mais elle échappait jusqu’ici à tout cadre réglementaire, alors qu’elle tombe sous le coup de l’article 82 de la loi Informatique et Libertés qui impose, sauf exception, de recueillir le consentement de l’utilisateur final avant toute opération d’écriture ou de lecture sur son terminal.

Consentement exigé pour tous les usages marketing

Le fondement est exactement le même que pour les cookies. L’usage du pixel de suivi est autorisé, sans accord préalable, pour « la mise en œuvre de mesures de sécurité participant à l’authentification de l’utilisateur » (par exemple, une double authentification), et pour « la mesure individuelle du taux d’ouverture des courriels à des fins de délivrabilité ».

Il est également admis pour les emails transactionnels, entendus comme les messages déclenchés à la demande de l’utilisateur (par exemple, la confirmation d’une commande en ligne, le suivi d’un colis, la réinitialisation de mot de passe, le rappel programmé de rendez-vous, etc.), que l’on peut considérer comme sollicités par l’internaute.

En revanche, le consentement est exigé pour les usages qui relèvent de l’optimisation ou du suivi de la performance au sens marketing du terme, et la finalité de chaque pixel ou traceur doit être expliquée, de façon à ce que l’internaute puisse formuler un consentement « éclairé ». Ce consentement doit aussi pouvoir être modifié ou supprimé aussi simplement qu’il a été donné.

À compter du 14 juillet, le consentement doit être préalable à l’utilisation de pixels de suivi pour tous les nouveaux abonnés à une campagne email. Cependant, pour les bases déjà constituées, l’obligation se limite à informer les destinataires de l’usage de pixels et à leur permettre de s’y opposer facilement, via un lien de désinscription par exemple, différent du lien de désabonnement.

C’est ce choix que proposent tous les éditeurs de services qui communiquent en ce moment sur le sujet. « Si tu ne souhaites pas que nous adaptions nos messages selon tes interactions, tu peux le refuser dès maintenant en cliquant sur ce lien d’opposition. Si tu ne fais rien, nous continuerons à utiliser les pixels de suivi d’ouverture dans nos emails dans les conditions décrites ci-dessus », écrit par exemple Deezer à ses utilisateurs.

Se protéger soi-même, en attendant une mise en conformité généralisée

La CNIL n’a pas encore communiqué sur les éventuelles sanctions qui pourraient être mises en œuvre en cas d’infraction à ce nouveau cadre, mais il est possible, voire probable, que tous les acteurs de l’email marketing ne soient pas en conformité avant la date butoir du 14 juillet. On peut donc légitimement chercher à prendre les devants. Pour ce faire, il suffit de bloquer le chargement automatique du pixel de suivi : s’il n’est pas affiché, les informations associées ne remontent pas.

Du côté des clients de messagerie logiciels, la plupart des outils courants proposent une option de blocage du téléchargement automatique des images. Pionnier sur le sujet, Thunderbird a été rejoint par Outlook dans sa version desktop, qui propose un réglage dédié dans le centre de gestion de la confidentialité. Sur Mac ou iPhone, Apple Mail intègre depuis plusieurs années des fonctions dédiées, dont Mail Privacy Protection qui fait transiter les images par un serveur proxy, et masque donc une partie des données liées à la consultation.

Chez les fournisseurs de messagerie en ligne, certains comme Proton ou Tuta bloquent nativement le chargement des images distantes, sans réglage à effectuer. D’autres, comme Gmail, le proposent en option (via les paramètres, menu Général, rubrique images), mais l’activation de cette protection bloque les fonctions de messagerie dynamique (qui permettent d’effectuer certaines tâches directement depuis le contenu d’un email, par exemple ajouter un événement à son calendrier). Il existe également plusieurs extensions dédiées au signalement de ces pixels traceurs.

Notez toutefois que le blocage des pixels de suivi ne suffit pas à gommer toute traçabilité : la plupart des plateformes d’emailing convertissent par exemple les liens hypertexte contenus à l’intérieur d’un email en leur ajoutant des éléments de suivi. Certaines messageries comme Proton promettent de réécrire ces liens, mais la vigilance reste de mise dès que vous interagissez avec le contenu.

• Utiq, l’identifiant publicitaire des telcos que vous allez adorer détester

NB : Next ne recourt à aucun pixel de suivi dans ses communications par email

Le pixel qui en savait trop

À partir du 14 juillet, les éditeurs de services en ligne qui utilisent des pixels de suivi dans leurs emails sont censés être en conformité avec le cadre fixé par la CNIL en mars dernier, ce qui a déclenché une vaste campagne d’information. L’occasion de rappeler qu’il est aussi possible de reprendre la main sur le sujet, en bloquant l’affichage de ces fameux pixels traçants.

Banques, médias, régies de transport en commun, musique en ligne, e-commerçants… vous avez certainement reçu des messages d’information vous proposant de refuser l’utilisation de « pixels de suivi » de la part d’organisations ou de services en ligne dont vous recevez habituellement les emails.

Pourquoi une telle mobilisation en plein cœur d’un été bouillant ? Le 14 juillet correspond à la fin du délai de trois mois fixé par la CNIL pour mettre en application le nouveau cadre réglementaire dédié aux mécanismes de suivi (parfois appelés pixels traçants) mis en œuvre dans les campagnes d’email marketing.

Issu d’une recommandation adoptée le 12 mars et publiée le 14 avril dernier, la recommandation de la CNIL fixe qu’il est désormais nécessaire d’obtenir le consentement de l’internaute avant de l’exposer à un pixel de suivi, un régime inspiré des règles déjà en vigueur pour les cookies marketing.

La Commission n’impose pas d’obtenir un consentement rétroactif, mais elle exige que les destinataires d’emails faisant appel à des pixels de suivi soient dûment informés dans un délai de trois mois. D’où cette avalanche de messages titrés par exemple « Information relative à vos emails » chez TF1.

• Pixels de suivi dans les emails : la Cnil demande une mise en conformité sous trois mois

Un pixel pour analyser les taux d’ouverture (et créer des profils marketing)

Au fait, de quoi parle-t-on ici ? Pour identifier les interactions du destinataire avec leurs envois, les professionnels de l’email marketing ont recours à une image d’un seul pixel. Invisible à l’œil nu, elle est associée à un identifiant unique, hébergée sur un serveur distant, et intégrée dans le corps de l’email.

Lorsque votre client de messagerie interprète le code de l’email pour vous l’afficher, le pixel en question est appelé depuis le serveur. En consultant ses logs, l’émetteur (ou son prestataire) peut ainsi savoir si vous avez ouvert l’email.

La plupart des éditeurs justifient l’utilisation de ce pixel par la nécessité de savoir si l’email a bien été reçu (délivrabilité) et ouvert. Selon les cas, l’émetteur peut tout de même en profiter pour collecter d’autres informations, comme la date et l’heure d’ouverture, l’adresse IP utilisée, le client de messagerie employé, etc. Des données qui peuvent ensuite être mises à profit pour optimiser l’envoi de campagnes, personnaliser les messages ou travailler le ciblage publicitaire.

La pratique n’a rien de nouveau, mais elle échappait jusqu’ici à tout cadre réglementaire, alors qu’elle tombe sous le coup de l’article 82 de la loi Informatique et Libertés qui impose, sauf exception, de recueillir le consentement de l’utilisateur final avant toute opération d’écriture ou de lecture sur son terminal.

Consentement exigé pour tous les usages marketing

Le fondement est exactement le même que pour les cookies. L’usage du pixel de suivi est autorisé, sans accord préalable, pour « la mise en œuvre de mesures de sécurité participant à l’authentification de l’utilisateur » (par exemple, une double authentification), et pour « la mesure individuelle du taux d’ouverture des courriels à des fins de délivrabilité ».

Il est également admis pour les emails transactionnels, entendus comme les messages déclenchés à la demande de l’utilisateur (par exemple, la confirmation d’une commande en ligne, le suivi d’un colis, la réinitialisation de mot de passe, le rappel programmé de rendez-vous, etc.), que l’on peut considérer comme sollicités par l’internaute.

En revanche, le consentement est exigé pour les usages qui relèvent de l’optimisation ou du suivi de la performance au sens marketing du terme, et la finalité de chaque pixel ou traceur doit être expliquée, de façon à ce que l’internaute puisse formuler un consentement « éclairé ». Ce consentement doit aussi pouvoir être modifié ou supprimé aussi simplement qu’il a été donné.

À compter du 14 juillet, le consentement doit être préalable à l’utilisation de pixels de suivi pour tous les nouveaux abonnés à une campagne email. Cependant, pour les bases déjà constituées, l’obligation se limite à informer les destinataires de l’usage de pixels et à leur permettre de s’y opposer facilement, via un lien de désinscription par exemple, différent du lien de désabonnement.

C’est ce choix que proposent tous les éditeurs de services qui communiquent en ce moment sur le sujet. « Si tu ne souhaites pas que nous adaptions nos messages selon tes interactions, tu peux le refuser dès maintenant en cliquant sur ce lien d’opposition. Si tu ne fais rien, nous continuerons à utiliser les pixels de suivi d’ouverture dans nos emails dans les conditions décrites ci-dessus », écrit par exemple Deezer à ses utilisateurs.

Se protéger soi-même, en attendant une mise en conformité généralisée

La CNIL n’a pas encore communiqué sur les éventuelles sanctions qui pourraient être mises en œuvre en cas d’infraction à ce nouveau cadre, mais il est possible, voire probable, que tous les acteurs de l’email marketing ne soient pas en conformité avant la date butoir du 14 juillet. On peut donc légitimement chercher à prendre les devants. Pour ce faire, il suffit de bloquer le chargement automatique du pixel de suivi : s’il n’est pas affiché, les informations associées ne remontent pas.

Du côté des clients de messagerie logiciels, la plupart des outils courants proposent une option de blocage du téléchargement automatique des images. Pionnier sur le sujet, Thunderbird a été rejoint par Outlook dans sa version desktop, qui propose un réglage dédié dans le centre de gestion de la confidentialité. Sur Mac ou iPhone, Apple Mail intègre depuis plusieurs années des fonctions dédiées, dont Mail Privacy Protection qui fait transiter les images par un serveur proxy, et masque donc une partie des données liées à la consultation.

Chez les fournisseurs de messagerie en ligne, certains comme Proton ou Tuta bloquent nativement le chargement des images distantes, sans réglage à effectuer. D’autres, comme Gmail, le proposent en option (via les paramètres, menu Général, rubrique images), mais l’activation de cette protection bloque les fonctions de messagerie dynamique (qui permettent d’effectuer certaines tâches directement depuis le contenu d’un email, par exemple ajouter un événement à son calendrier). Il existe également plusieurs extensions dédiées au signalement de ces pixels traceurs.

Notez toutefois que le blocage des pixels de suivi ne suffit pas à gommer toute traçabilité : la plupart des plateformes d’emailing convertissent par exemple les liens hypertexte contenus à l’intérieur d’un email en leur ajoutant des éléments de suivi. Certaines messageries comme Proton promettent de réécrire ces liens, mais la vigilance reste de mise dès que vous interagissez avec le contenu.

• Utiq, l’identifiant publicitaire des telcos que vous allez adorer détester

NB : Next ne recourt à aucun pixel de suivi dans ses communications par email

La surprise du vendredi soir

Apple sort l’artillerie lourde contre OpenAI. Le constructeur informatique a porté plainte contre le labo IA, accusé d’avoir au minimum organisé la récupération systématique de secrets industriels pour accélérer la conception de futurs appareils grand public. La plainte vise OpenAI, la filiale io Products, et deux anciens cadres d’Apple.

Les bruits de couloir qui couraient ces derniers mois dans la Silicon Valley prédisaient qu’Apple et OpenAI ne passeront pas leurs vacances ensemble. C’est désormais chose faite, avec le dépôt d’une plainte ce 10 juillet devant le tribunal fédéral du nord de la Californie (PDF).

Apple et OpenAI ont pourtant travaillé en bon terme, allant jusqu’à intégrer ChatGPT (certes, au forceps) dans Siri. En juillet 2024, le constructeur aurait même pu obtenir un poste d’observateur au conseil d’administration du labo IA. C’est Phil Schiller, ancien directeur du marketing et désormais responsable de l’App Store, qui était pressenti pour ce rond de serviette, sans droit de vote. Cette coopération très étroite ne s’est jamais concrétisée, pire encore les relations se sont franchement détériorées.

Le débauchage chez Apple comme méthode de collecte d’infos

Jusqu’à aujourd’hui donc, et cette plainte contre la fondation OpenAI et OpenAI Group PBC, les deux piliers du groupe ; io Products, la startup matérielle créée par Jony Ive (ancien designer en chef d’Apple) rachetée en mai 2025 par OpenAI ; et deux individus : Chang Liu et Tang Tan. Ces derniers sont d’anciens ingénieurs d’Apple ayant rejoint OpenAI.

Chang Liu a travaillé 8 ans chez Apple comme ingénieur principal en systèmes électriques, notamment sur l’iPhone. Il a rejoint OpenAI en début d’année. Tang Tan est un vétéran de Cupertino où il a travaillé pendant 24 ans. Il était vice-président chargé du design produit de l’iPhone et de l’Apple Watch. Il est devenu directeur du matériel d’OpenAI après avoir participé à la création d’io Products.

Les accusations les plus précises concernent Chang Liu. L’ingénieur n’aurait pas rendu au moins un ordinateur professionnel quand il a quitté Apple. Il n’aurait pas non plus répondu aux demandes d’entretien de départ ni aux sollicitations de son ex employeur pour vérifier s’il avait bien restitué le matériel et supprimé des données confidentielles. Ces informations et documents ont-ils permis à Chang Liu de décrocher plus facilement un poste chez OpenAI ?

Ça n’est pas tout, Apple accuse aussi Chang Liu d’avoir aidé une collègue, Alyssa Peng, à préparer son recrutement chez OpenAI. Il lui aurait ainsi indiqué les dossiers internes à consulter et comment copier des fichiers sans attirer l’attention des collègues. Elle a rejoint OpenAI au mois d’avril.

En ce qui concerne Tang Tan, la plainte rapporte qu’il demandait aux employés d’Apple passant des entretiens d’embauche chez OpenAI de donner des détails sur des produits en développement. Ils devaient donner des noms de code internes, détailler leur expérience des fournisseurs et des procédés de fabrication, et même fournir des composants (batteries, cartes mères, boîtiers…).

En parallèle, OpenAI aurait conseillé aux futurs salariés de ne pas révéler immédiatement qu’ils partaient chez OpenAI, d’éviter un départ immédiat imposé par Apple, de rester en poste aussi longtemps que possible, de ne signer aucun nouveau document pendant l’entretien de sortie et de prévenir OpenAI si Apple leur demandait une signature. Une manière, selon le constructeur, de conserver plus longtemps l’accès à des informations internes.

« Plutôt que d’investir les ressources qu’exigerait un développement légitime, OpenAI aurait choisi de détourner des secrets commerciaux pour profiter de décennies d’innovation chez Apple », estime l’entreprise. En plus de ces secrets provenant d’anciens employés, Apple reproche à OpenAI d’avoir soutiré des informations de fournisseurs concernant des technologies de batterie, sur des finitions, et plus généralement de production industrielle.

« Récemment, des éléments importants ont émergé, laissant penser que des personnes employées par OpenAI se sont indûment approprié des informations secrètes et confidentielles d’Apple concernant nos technologies, nos procédés et nos produits qui n’ont pas encore été dévoilés », a expliqué un porte-parole d’Apple à la presse US. « Nous défendrons toujours le travail et les innovations de nos équipes, et nous prenons toutes les mesures appropriées pour le faire. »

Les futurs appareils d’OpenAI sous la menace d’une injonction

Ce n’est un secret pour personne qu’OpenAI développe des appareils basés sur l’IA, avec l’aide de Jony Ive. La plainte évoque d’ailleurs plus de 400 anciens salariés d’Apple travaillant désormais au sein du labo. Des ex employés ont bien sûr le droit de travailler ailleurs avec leurs connaissances et leurs bagages, mais la ligne rouge tracée par Apple est la conservation de documents confidentiels, la révélation d’informations non publiques, le vol de prototypes ou de procédés de fabrication.

Pour Apple, OpenAI a voulu éviter plusieurs années de recherche et développement coûteuses en s’appuyant sur les connaissances d’anciens employés et sur des infrastructures patiemment construites au fil des ans par le constructeur.

OpenAI, prévenue en février de l’enquête menée par Apple, n’aurait pas répondu aux demandes d’éclaircissements de l’entreprise. Un silence présenté comme l’une des raisons ayant poussé Apple à porter plainte. Celle-ci utilise des formules très agressives pour faire valoir sa position :

« Apple n’a aucune visibilité sur ce qui se passe à huis clos chez OpenAI, où de tels agissements seraient devenus la norme et incarnés par la direction. Une chose est toutefois claire : à tous les niveaux, des membres du personnel technique jusqu’au directeur du matériel, et en coordination avec ses partenaires commerciaux, OpenAI détournerait les secrets commerciaux et les informations confidentielles d’Apple. En conséquence, l’activité matérielle naissante d’OpenAI repose désormais sur des fondations extrêmement fragiles, pourries jusqu’à la moelle par son recours illégal au détournement de secrets commerciaux. »

Apple ne réclame pas une somme précise en dommages-intérêts, mais le montant sera déterminé pendant la procédure ou durant un éventuel procès. Le constructeur informatique veut d’abord et avant tout obtenir une injonction qui obligerait OpenAI à restituer tous les documents et équipements d’Apple, de cesser de les exploiter, de ne détruire aucune preuve et de ne plus accéder à l’infrastructure d’Apple.

L’actualité de ces prochaines semaines et de ces prochains mois sera certainement rythmée par les soubresauts de ce dossier. OpenAI peut-elle poursuivre le développement de produits matériels avec une telle épée de Damoclès au-dessus de la tête ? Le risque évident à l’heure actuelle est un report du lancement de cette gamme… voire une annulation pure et simple.

Mise à jour — Drew Pusateri, le directeur des communications d’OpenAI, a brièvement réagi sur les réseaux sociaux à la plainte d’Apple : « Nous ne nous intéressons aucunement aux secrets industriels d’autres entreprises. Nous restons concentrés sur le développement de technologies innovantes qui donnent à chacun, partout dans le monde, les moyens d’agir. »

La surprise du vendredi soir

Apple sort l’artillerie lourde contre OpenAI. Le constructeur informatique a porté plainte contre le labo IA, accusé d’avoir au minimum organisé la récupération systématique de secrets industriels pour accélérer la conception de futurs appareils grand public. La plainte vise OpenAI, la filiale io Products, et deux anciens cadres d’Apple.

Les bruits de couloir qui couraient ces derniers mois dans la Silicon Valley prédisaient qu’Apple et OpenAI ne passeront pas leurs vacances ensemble. C’est désormais chose faite, avec le dépôt d’une plainte ce 10 juillet devant le tribunal fédéral du nord de la Californie (PDF).

Apple et OpenAI ont pourtant travaillé en bon terme, allant jusqu’à intégrer ChatGPT (certes, au forceps) dans Siri. En juillet 2024, le constructeur aurait même pu obtenir un poste d’observateur au conseil d’administration du labo IA. C’est Phil Schiller, ancien directeur du marketing et désormais responsable de l’App Store, qui était pressenti pour ce rond de serviette, sans droit de vote. Cette coopération très étroite ne s’est jamais concrétisée, pire encore les relations se sont franchement détériorées.

Le débauchage chez Apple comme méthode de collecte d’infos

Jusqu’à aujourd’hui donc, et cette plainte contre la fondation OpenAI et OpenAI Group PBC, les deux piliers du groupe ; io Products, la startup matérielle créée par Jony Ive (ancien designer en chef d’Apple) rachetée en mai 2025 par OpenAI ; et deux individus : Chang Liu et Tang Tan. Ces derniers sont d’anciens ingénieurs d’Apple ayant rejoint OpenAI.

Chang Liu a travaillé 8 ans chez Apple comme ingénieur principal en systèmes électriques, notamment sur l’iPhone. Il a rejoint OpenAI en début d’année. Tang Tan est un vétéran de Cupertino où il a travaillé pendant 24 ans. Il était vice-président chargé du design produit de l’iPhone et de l’Apple Watch. Il est devenu directeur du matériel d’OpenAI après avoir participé à la création d’io Products.

Les accusations les plus précises concernent Chang Liu. L’ingénieur n’aurait pas rendu au moins un ordinateur professionnel quand il a quitté Apple. Il n’aurait pas non plus répondu aux demandes d’entretien de départ ni aux sollicitations de son ex employeur pour vérifier s’il avait bien restitué le matériel et supprimé des données confidentielles. Ces informations et documents ont-ils permis à Chang Liu de décrocher plus facilement un poste chez OpenAI ?

Ça n’est pas tout, Apple accuse aussi Chang Liu d’avoir aidé une collègue, Alyssa Peng, à préparer son recrutement chez OpenAI. Il lui aurait ainsi indiqué les dossiers internes à consulter et comment copier des fichiers sans attirer l’attention des collègues. Elle a rejoint OpenAI au mois d’avril.

En ce qui concerne Tang Tan, la plainte rapporte qu’il demandait aux employés d’Apple passant des entretiens d’embauche chez OpenAI de donner des détails sur des produits en développement. Ils devaient donner des noms de code internes, détailler leur expérience des fournisseurs et des procédés de fabrication, et même fournir des composants (batteries, cartes mères, boîtiers…).

En parallèle, OpenAI aurait conseillé aux futurs salariés de ne pas révéler immédiatement qu’ils partaient chez OpenAI, d’éviter un départ immédiat imposé par Apple, de rester en poste aussi longtemps que possible, de ne signer aucun nouveau document pendant l’entretien de sortie et de prévenir OpenAI si Apple leur demandait une signature. Une manière, selon le constructeur, de conserver plus longtemps l’accès à des informations internes.

« Plutôt que d’investir les ressources qu’exigerait un développement légitime, OpenAI aurait choisi de détourner des secrets commerciaux pour profiter de décennies d’innovation chez Apple », estime l’entreprise. En plus de ces secrets provenant d’anciens employés, Apple reproche à OpenAI d’avoir soutiré des informations de fournisseurs concernant des technologies de batterie, sur des finitions, et plus généralement de production industrielle.

« Récemment, des éléments importants ont émergé, laissant penser que des personnes employées par OpenAI se sont indûment approprié des informations secrètes et confidentielles d’Apple concernant nos technologies, nos procédés et nos produits qui n’ont pas encore été dévoilés », a expliqué un porte-parole d’Apple à la presse US. « Nous défendrons toujours le travail et les innovations de nos équipes, et nous prenons toutes les mesures appropriées pour le faire. »

Les futurs appareils d’OpenAI sous la menace d’une injonction

Ce n’est un secret pour personne qu’OpenAI développe des appareils basés sur l’IA, avec l’aide de Jony Ive. La plainte évoque d’ailleurs plus de 400 anciens salariés d’Apple travaillant désormais au sein du labo. Des ex employés ont bien sûr le droit de travailler ailleurs avec leurs connaissances et leurs bagages, mais la ligne rouge tracée par Apple est la conservation de documents confidentiels, la révélation d’informations non publiques, le vol de prototypes ou de procédés de fabrication.

Pour Apple, OpenAI a voulu éviter plusieurs années de recherche et développement coûteuses en s’appuyant sur les connaissances d’anciens employés et sur des infrastructures patiemment construites au fil des ans par le constructeur.

OpenAI, prévenue en février de l’enquête menée par Apple, n’aurait pas répondu aux demandes d’éclaircissements de l’entreprise. Un silence présenté comme l’une des raisons ayant poussé Apple à porter plainte. Celle-ci utilise des formules très agressives pour faire valoir sa position :

« Apple n’a aucune visibilité sur ce qui se passe à huis clos chez OpenAI, où de tels agissements seraient devenus la norme et incarnés par la direction. Une chose est toutefois claire : à tous les niveaux, des membres du personnel technique jusqu’au directeur du matériel, et en coordination avec ses partenaires commerciaux, OpenAI détournerait les secrets commerciaux et les informations confidentielles d’Apple. En conséquence, l’activité matérielle naissante d’OpenAI repose désormais sur des fondations extrêmement fragiles, pourries jusqu’à la moelle par son recours illégal au détournement de secrets commerciaux. »

Apple ne réclame pas une somme précise en dommages-intérêts, mais le montant sera déterminé pendant la procédure ou durant un éventuel procès. Le constructeur informatique veut d’abord et avant tout obtenir une injonction qui obligerait OpenAI à restituer tous les documents et équipements d’Apple, de cesser de les exploiter, de ne détruire aucune preuve et de ne plus accéder à l’infrastructure d’Apple.

L’actualité de ces prochaines semaines et de ces prochains mois sera certainement rythmée par les soubresauts de ce dossier. OpenAI peut-elle poursuivre le développement de produits matériels avec une telle épée de Damoclès au-dessus de la tête ? Le risque évident à l’heure actuelle est un report du lancement de cette gamme… voire une annulation pure et simple.

Mise à jour — Drew Pusateri, le directeur des communications d’OpenAI, a brièvement réagi sur les réseaux sociaux à la plainte d’Apple : « Nous ne nous intéressons aucunement aux secrets industriels d’autres entreprises. Nous restons concentrés sur le développement de technologies innovantes qui donnent à chacun, partout dans le monde, les moyens d’agir. »

All Cops Are GASPARD

En 2011, la CNIL déplorait l’absence de base légale du fichier GASPARD de photos biométriques policières. 15 ans plus tard, policiers et gendarmes s’en servent quotidiennement depuis leurs téléphones portables pour recourir, en toute illégalité, à la reconnaissance faciale lors de simples contrôles d’identité. Un juge vient de relaxer huit manifestants, dont certains avaient été identifiés (à tort) grâce à la reconnaissance faciale, au motif que la police s’en était servi illégalement.

L’ONG d’investigation Disclose avait déjà révélé, en mars dernier, que 230 000 smartphones NEO 2 utilisés par les policiers depuis 2022 et NeoGend de la gendarmerie depuis 2020 permettent de recourir à la reconnaissance faciale. Une technologie utilisée lors de contrôles d’identité, ce qui est pourtant interdit par la loi.

• Des contrôles d’identité « au faciès » recourent illégalement à la reconnaissance faciale

Ce nouvel équipement opérationnel (NEO), des smartphones Android Xperia X (Sony) ou Core-X4 (Crosscall) modifiés à l’aide de Secdroid, disposent en effet de nombreuses applications métier. Pami elles, une app permettant d’accéder au TAJ (pour « traitement d’antécédents judiciaires »), sorte de « casier judiciaire bis » contenant 24 millions de signalements de personnes « mises en cause » (« MEC », et donc « défavorablement connues », pour reprendre l’expression consacrée dans les médias), dont 16 millions le sont nominativement.

• 24 millions et moi, et moi… : l’équivalent du tiers de la population est « défavorablement connue » de la police

Le TAJ est en outre adossé à un autre fichier, « GASPARD-NG » (pour Gestion automatisée des signalements et des photographies anthropométriques répertoriées et distribuables – Nouvelle génération) qui, bien qu’existant depuis au moins 2008, n’avait été officialisé qu’en 2012. Il pourrait être entâché d’illégalité faute d’avoir été soumis à l’avis de la CNIL.

En 2024, un appel d’offres que Next avait décrypté indiquait que le fichier dénombrait alors quelques 9 millions de photos de face (+ 135 000 nouvelles photos par mois) « comportant des caractéristiques techniques permettant de recourir à un dispositif de reconnaissance faciale (photographie du visage de face) », 4 134 000 tatouages (+ 52 000), et 921 000 signes particuliers (+ 9 000).

Les terminaux NEO disposent quant à eux d’une app dédiée, Reco-TAJ, permettant d’interroger GASPARD à partir d’une photo. De plus en plus de forces de l’ordre se servent de leurs NEO pour prendre en photo des suspects, ou des personnes faisant l’objet de contrôles d’identité… quand bien même l’application précise pourtant qu’elle ne peut être utilisée que « dans le cadre d’une enquête judiciaire (interdit pour un contrôle d’identité) ».

Un mode d’emploi du logiciel de la société allemande Cognitec consulté par Disclose précise qu’il suffirait de charger la photo d’un individu puis de cliquer sur un bouton « Rapprocher » pour obtenir « les 200 photos les plus pertinentes » enregistrées dans le TAJ au bout de « quelques secondes, normalement moins d’une minute ».

Or, le code de procédure pénale limite la consultation du TAJ aux seuls « besoins des enquêtes judiciaires », et donc à la résolution d’infractions, délits ou crimes, et « le fichier ne peut aucunement être consulté lors de contrôles en « temps réel » », souligne Disclose.

« Cette technique n’est pas légale. Il n’y a donc aucune raison que je la cautionne ; au contraire, je la dénonce », avait rappelé le ministre de l’Intérieur Laurent Nuñez au Sénat suite aux révélations de Disclose, le 1er avril dernier, tout en précisant : « je n’ai pas à rappeler les instructions, puisqu’elles sont permanentes ».

« Le ministre de l’Intérieur a dit que c’est illégal. Mais il est coincé par les syndicats »

Disclose et L’œil du 20 heures de France 2 ont néanmoins recueilli plusieurs témoignages de policiers et gendarmes indiquant que la pratique, bien qu’illégale, continue. Ils n’ont depuis reçu aucune consigne leur rappelant le cadre légal d’utilisation de la reconnaissance faciale, ni les risques encourus, à savoir une peine de 3 à 5 ans de prison et jusqu’à 300 000 euros d’amende.

Sous couvert d’anonymat, un gendarme confie à L’œil du 20 h que son supérieur qualifiait le logiciel de reconnaissance faciale d’« outil miracle », et que s’il était installé par défaut sur les terminaux NEO des gendarmes et policiers, c’était pour qu’ils s’en servent, y compris lors des contrôles d’identité.

Le fait de pouvoir l’utiliser aussi facilement générerait également une « confiance aveugle » dans sa capacité d’identifier correctement les personnes déjà fichées, souligne le gendarme, au motif que « le fichier est plus fort que tout »… quitte à verbaliser un innocent.

Or, l’identification biométrique ou génétique, tout comme de nombreuses autres techniques utilisées par la police scientifique, repose sur des calculs de probabilité, qui génèrent donc forcément des faux positifs et faux négatifs. Elle ne saurait donc être considérée comme des « preuves scientifiques », nonobstant le fait que les « experts » peuvent aussi se tromper.

De plus, le Traitement des Antécédents Judiciaires peut lui-même induire en erreur. Il est en effet né sous Nicolas Sarkozy de la fusion de deux fichiers : le STIC de la police et JUDEX pour la gendarmerie. Deux fichiers créés illégalement, et ayant fonctionné dans l’illégalité pendant des années avant d’être légalisés par la CNIL. L’institution les brocardait régulièrement pour être truffés d’erreurs, et pas mis à jour. Des millions de personnes, bien qu’innocentées par la justice, y figuraient ainsi comme « suspectes ».

« Le ministre de l’Intérieur a dit que c’est illégal. Mais le truc, c’est qu’ils ne peuvent pas vérifier les accès au logiciel de Reco-TAJ de tous les flics », explique à Disclose un policier, pour qui l’ancien préfet de police de Paris serait coincé : « Demain, s’il nous dit que ça ne va pas, il aura tous les syndicats de police sur le dos. »

« Une prise de 1 kg de cocaïne est égale à 0,02 gramme de shit verbalisé »

Ce recours banalisé serait en outre encouragé par la « course aux chiffres » à laquelle ils sont poussés, afin de multiplier les « amendes forfaitaires délictuelles » (AFD). Instaurées en 2016 afin d’accélérer le traitement de certains délits dits « de masse », sans avoir à passer par la voie judiciaire, ce traitement pénal simplifié est régulièrement critiqué par le Défenseur des droits et la Cour des comptes, rappelle vie-publique.fr.

Le dispositif n’en a pas moins été considérablement élargi depuis, passant de 3 délits routiers en 2016 à 91 infractions en 2023 (de l’usage illicite de stupéfiants au défaut d’assurance et de permis de conduire en passant par la vente à la sauvette, le vol à l’étalage, l’outrage sexiste, etc.). Le nombre de verbalisations a ainsi quasi-triplé entre 2021 et 2024, et celui des contestations a quadruplé.

1,6 million d’AFD ont en effet été dressées entre 2019 et 2024, selon le service statistique ministériel de la sécurité intérieure (SSMSI), dont près de 500 000 sur la seule année 2024. La part des AFD dans l’ensemble des délits enregistrés explose ainsi de 1 à 10 % en cinq ans.

« La chasse aux statistiques nous encourage à mettre le plus d’AFD possibles », explique une source à Disclose. Elle estime que cette politique du chiffre encourage les contrôles au faciès : « Quand j’ai été formé à l’utilisation de l’outil, on nous a dit que c’était le Graal, l’outil miracle pour bien aiguiller nos contrôles ».

Une autre source avance que « c’est d’abord pour cette raison que l’appli du TAJ avec reco faciale est généralisée sur les NEO », et déplore que cette politique du chiffre se fasse « au détriment du vrai boulot de policiers de terrain » :

« Une prise de 1 kg de cocaïne est égale à 0,02 gramme de shit verbalisé en AFD. Donc, un policier qui fait 50 AFD pour du shit sera considéré comme meilleur qu’un policier qui fait une prise de 1 kg de cocaïne. »

Une vidéo, datant de fin mai et diffusée par Disclose, montre ainsi un policier en civil de la brigade anticriminalité photographiant avec un terminal NEO le visage d’un individu, contrôlé dans la rue, puis scroller une liste de photographies semblant indiquer qu’il utilise le logiciel de reconnaissance faciale.

Un recours illégal au fichier qui peut lui-même entraîner des erreurs d’identification. Disclose évoque le cas d’une jeune femme rom arrêtée pour cambriolage en 2022 dont les traits du visage « présentent une similitude à 68 % » avec la photo contenue dans GASPARD d’une femme visée par une obligation de quitter le territoire (OQTF).

Condamnée à six mois de prison ferme, la jeune femme fut placée en centre de rétention en vue d’être expulsée vers la Serbie ou la Croatie. Une expulsion finalement empêchée du fait de ne pouvoir attester de sa véritable identité. Mais la personne initialement fichée s’est vue quant à elle attribuer un cambriolage qu’elle n’avait pas commis, relève Disclose.

« Formellement identifié via la reconnaissance faciale »… à tort

Nos confrères reviennent sur une autre erreur d’identification. Mi-mai, huit activistes étaient interpellés pour avoir bloqué pendant une heure un pont, en protestation d’un projet autoroutier. Arrêtés sans opposer de résistance, ils avaient ensuite invoqué leur droit au silence, refusé de décliner leur identité, ainsi que le prélèvement de leurs empreintes digitales et de leur ADN.

Sauf que l’enquêteur qui les auditionnait a branché sa caméra, quand bien même ce dispositif est normalement réservé aux suspects de crimes ou aux victimes mineures précise Disclose, afin de pouvoir faire une capture d’écran de leurs visages, et interroger le TAJ.

L’un des manifestants, Julien* (prénom d’emprunt, ndlr), 22 ans, fut ainsi confondu, à tort, avec un autre jeune homme de 23 ans, Marius*, « défavorablement connu des services de police » (car fiché au TAJ) pour « usage illicite de stupéfiants » et « violence sur une personne dépositaire de l’autorité publique sans incapacité lors d’une manifestation sur la voie publique ».

Julien*, qui a depuis pu consulter les pièces de la procédure, à commencer par la fiche TAJ du vrai Marius*, et donc sa photo, a pu constater qu’ils portent certes tous deux la moustache, ont des cheveux bruns, mais aussi que leurs visages ne sont pas si ressemblants que ça : « C’est à croire qu’ils ont pris pour argent comptant les résultats de l’intelligence artificielle sans même comparer nos photos », déplore l’activiste.

Au total, trois des huit militants furent « formellement identifié [sic] via la reconnaissance faciale », sans que Disclose ne précise si les deux autres avaient été dument identifiés, ou pas. Mediapart, qui a couvert leur procès au tribunal de Valence, ce lundi 6 juillet, pointe d’autres problèmes.

Hébergeurs - éditeurs

Dans un rapport de 160 pages sur les zones grises de l’information, trois sénatrices et sénateurs appellent à protéger et financer la pluralité de la presse et à responsabiliser les géants numériques.

Sommes-nous prémunis contre une ingérence informationnelle venue de l’intérieur du pays ? À cette question, la réponse du sénateur Laurent Lafon (Union Centriste), président de la commission sénatoriale de la culture, de l’éducation, de la communication et du sport est très claire : « Non ». La France a beau être bien protégée par une entité comme VIGINUM sur tout ce qui a trait aux ingérences numériques étrangères, elle présente une « vulnérabilité » sur ce qui relève des manipulations perpétrées depuis l’intérieur du pays, que celle-ci soit le fait d’une personnalité, d’un parti politique, ou de toute autre entité trouvant un intérêt politique ou financier à manipuler les espaces numériques où circule l’information. 



Tel est l’un des principaux constats dressés par la commission à l’occasion de la publication, ce 9 juillet, de son rapport sur « Les zones grises de l’information ». Aux côtés des co-rapporteures Agnès Evren (Les Républicains) et Sylvie Robert (Socialistes), celui-ci décrit un environnement dans lequel non seulement le secteur de la presse est singulièrement abîmé, mais où la circulation de l’information de qualité est compliquée par l’architecture des plateformes numériques les plus utilisées par le public et par la production à grande ampleur de contenus de mal- ou de désinformation.

« Notre première préoccupation, c’est de protéger nos échéances électorales », indique Laurent Lafon. Les trois sénateurs déposeront à la fin de l’été une proposition de loi qui intégrera l’essentiel des 56 recommandations formulées dans leur travail. En tête de ces dernières : celle de créer un Observatoire de la désinformation interne, indépendant, qui effectue l’équivalent des missions de VIGINUM à l’intérieur du pays. Celui-ci serait « chargé d’inciter les plateformes à modifier leurs algorithmes ou à invisibiliser un utilisateur fautif en cas de menace grave pour la qualité de l’information à l’approche des élections ». Il pourrait aussi être en mesure de saisir la Commission nationale de contrôle de la campagne électorale en vue de l’élection présidentielle (CNCCEP) ou l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) en cas, notamment, « d’atteinte à l’égalité entre les candidats ».

• Désinformation : comment Viginum lutte contre les ingérences numériques étrangères

Presse à la peine et évolution des pratiques d’information

Mené pendant six mois, tirant les leçons des différentes opérations d’ingérence informationnelle constatées en France et en Europe, notamment autour de rendez-vous électoraux, le travail des sénateurs aboutit à la nécessité d’agir sur plusieurs fronts.

Tout est relatif, et cela seul est absolu

Le Parlement européen a voté jeudi 9 juillet la prolongation de la dérogation qui autorise les grandes plateformes à surveiller volontairement les communications électroniques pour y détecter les contenus relevant d’abus sexuels sur mineurs. La demande de rejet a pourtant recueilli 314 votes favorables, soit une majorité relative.

Deux jours après l’approbation de la procédure d’urgence, le Parlement européen s’est exprimé jeudi sur la proposition du Conseil européen visant à restaurer la possibilité offerte aux acteurs du numérique de surveiller les communications électroniques pour y détecter les contenus relevant d’abus sexuels sur mineurs (CSAM, pour child sexual abuse material en anglais).

Chat Control 1.0 approuvé en dépit d’une majorité relative

Une trentaine d’amendements ont été déposés sur la proposition initiale, rejetée par le Parlement européen en première lecture le 26 mars dernier. Le vote a débuté par les amendements de retrait, ceux qui auraient donc conduit le Parlement à rejeter formellement la nouvelle soumission organisée par le Conseil européen. Ces amendements de rejet ont obtenu 314 voix pour, 276 voix contre et 17 abstentions.

La majorité des parlementaires s’est donc exprimée en faveur du rejet, mais le texte fait ici l’objet d’une seconde lecture. C’est donc la majorité absolue, soit 361 suffrages, qui est requise, selon la procédure législative en vigueur. De ce fait, la proposition de « Dérogation temporaire à certaines dispositions de la directive » ePrivacy a donc été adoptée, ce qui réinstaure la possibilité de surveillance jusqu’au 3 avril 2028.

Seule consolation pour les opposants au texte : les amendements spécifiant que les communications chiffrées de bout en bout devaient être exclues du champ de cette dérogation ont été approuvés. La proposition réduisant la durée de la dérogation à un an (soit jusqu’au 3 avril 2027) a quant à elle été rejetée.

« La position du Parlement (texte tel qu’amendé) va désormais être transmise au Conseil, qui dispose de trois mois pour approuver ou rejeter les amendements. Si le Conseil n’accepte pas l’ensemble des amendements, le Parlement et le Conseil entameront une procédure de conciliation afin de parvenir à un accord sur le texte législatif », précise l’institution dans un communiqué.

Un pis-aller en attendant le CSAR

Rappelons que ce vote intervient alors que les discussions achoppent, entre les institutions européennes, autour du « Règlement établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants », dit CSAR, pour Child sexual abuse regulation. Ce texte prendrait la forme d’une réglementation permanente, imposée aux plateformes (alors que la dérogation qui vient d’être prolongée fonctionne sur la base du volontariat) avec, cette fois, de possibles implications sur la sécurité des messageries chiffrées de bout en bout.

De quoi exacerber les craintes des opposants au texte, surnommé Chat Control (1.0 dans sa version dérogatoire, 2.0 dans la mouture définitive envisagée par le CSAR), qui voient dans le vote du 9 juillet un coup de canif porté à la sécurité des communications électroniques, sans réelle efficacité quant à l’objectif de protection des jeunes victimes d’abus.

« Contrôler systématiquement les conversations en ligne est tout aussi inacceptable que d’ouvrir sans discernement le courrier de tout le monde. Depuis cinq ans, ce système défaillant sert de paravent pour retarder les actions concrètes, tout en submergeant les forces de l’ordre de fausses alertes », s’insurge l’ancien député européen Patrick Breyer, qui emmène l’initiative fightchatcontrol.eu.

« La résistance que nous avons constatée aujourd’hui au Parlement était si forte qu’obtenir une majorité pour un système de surveillance de masse permanent et sans suspicion lors de futures négociations relève de l’utopie », veut-il encore croire, même si l’expérience vient de lui donner tort.

Tout est relatif, et cela seul est absolu

Le Parlement européen a voté jeudi 9 juillet la prolongation de la dérogation qui autorise les grandes plateformes à surveiller volontairement les communications électroniques pour y détecter les contenus relevant d’abus sexuels sur mineurs. La demande de rejet a pourtant recueilli 314 votes favorables, soit une majorité relative.

Deux jours après l’approbation de la procédure d’urgence, le Parlement européen s’est exprimé jeudi sur la proposition du Conseil européen visant à restaurer la possibilité offerte aux acteurs du numérique de surveiller les communications électroniques pour y détecter les contenus relevant d’abus sexuels sur mineurs (CSAM, pour child sexual abuse material en anglais).

Chat Control 1.0 approuvé en dépit d’une majorité relative

Une trentaine d’amendements ont été déposés sur la proposition initiale, rejetée par le Parlement européen en première lecture le 26 mars dernier. Le vote a débuté par les amendements de retrait, ceux qui auraient donc conduit le Parlement à rejeter formellement la nouvelle soumission organisée par le Conseil européen. Ces amendements de rejet ont obtenu 314 voix pour, 276 voix contre et 17 abstentions.

La majorité des parlementaires s’est donc exprimée en faveur du rejet, mais le texte fait ici l’objet d’une seconde lecture. C’est donc la majorité absolue, soit 361 suffrages, qui est requise, selon la procédure législative en vigueur. De ce fait, la proposition de « Dérogation temporaire à certaines dispositions de la directive » ePrivacy a donc été adoptée, ce qui réinstaure la possibilité de surveillance jusqu’au 3 avril 2028.

Seule consolation pour les opposants au texte : les amendements spécifiant que les communications chiffrées de bout en bout devaient être exclues du champ de cette dérogation ont été approuvés. La proposition réduisant la durée de la dérogation à un an (soit jusqu’au 3 avril 2027) a quant à elle été rejetée.

« La position du Parlement (texte tel qu’amendé) va désormais être transmise au Conseil, qui dispose de trois mois pour approuver ou rejeter les amendements. Si le Conseil n’accepte pas l’ensemble des amendements, le Parlement et le Conseil entameront une procédure de conciliation afin de parvenir à un accord sur le texte législatif », précise l’institution dans un communiqué.

Un pis-aller en attendant le CSAR

Rappelons que ce vote intervient alors que les discussions achoppent, entre les institutions européennes, autour du « Règlement établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants », dit CSAR, pour Child sexual abuse regulation. Ce texte prendrait la forme d’une réglementation permanente, imposée aux plateformes (alors que la dérogation qui vient d’être prolongée fonctionne sur la base du volontariat) avec, cette fois, de possibles implications sur la sécurité des messageries chiffrées de bout en bout.

De quoi exacerber les craintes des opposants au texte, surnommé Chat Control (1.0 dans sa version dérogatoire, 2.0 dans la mouture définitive envisagée par le CSAR), qui voient dans le vote du 9 juillet un coup de canif porté à la sécurité des communications électroniques, sans réelle efficacité quant à l’objectif de protection des jeunes victimes d’abus.

« Contrôler systématiquement les conversations en ligne est tout aussi inacceptable que d’ouvrir sans discernement le courrier de tout le monde. Depuis cinq ans, ce système défaillant sert de paravent pour retarder les actions concrètes, tout en submergeant les forces de l’ordre de fausses alertes », s’insurge l’ancien député européen Patrick Breyer, qui emmène l’initiative fightchatcontrol.eu.

« La résistance que nous avons constatée aujourd’hui au Parlement était si forte qu’obtenir une majorité pour un système de surveillance de masse permanent et sans suspicion lors de futures négociations relève de l’utopie », veut-il encore croire, même si l’expérience vient de lui donner tort.

« De bonne foi »

Considérant que les pratiques de Meta portent une « atteinte grave et immédiate » au secteur de la presse, l’autorité de la concurrence enjoint l’entreprise à « négocier de bonne foi avec les éditeurs et agences de presse » concernant les contenus repris depuis début 2025. Et ce, sans dégrader les modalités d’affichage des contenus sur ses services en ligne.

Les négociations des droits voisins de la presse avec les GAFAM sont un serpent de mer. Que ce soit en France ou ailleurs, par exemple au Canada. Sur le sujet, l’Autorité de la concurrence française a infligé ce mercredi 8 juillet un carton jaune à Meta, considérant que l’entreprise ne faisait pas d’effort pour réellement négocier avec les différents médias.

En France, c’est une loi du 24 juillet 2019 qui a créé un droit voisin au profit des agences de presse et des éditeurs de presse. Celle-ci oblige « les services de communication au public en ligne » à rémunérer les éditeurs de presse et les agences pour la reproduction et la communication au public des publications de presse sous une forme numérique. Ainsi Google mais aussi les entreprises de réseaux sociaux comme Meta doivent négocier cette rémunération.

Suite à la loi, Meta a bien négocié avec l’Alliance de la Presse d’Information Générale (l’APIG, dont sont membres Le Monde et Libération, par exemple) et la Société des Droits Voisins de la Presse (DVP, qui compte dans ses rangs Le Point, l’AFP ou encore Médiapart) pour des accords conclus jusqu’au 31 janvier 2025 pour l’un et jusqu’au 31 décembre 2024 pour l’autre. Mais depuis, Meta ne verse plus rien aux éditeurs membres de ces associations et les négociations patinent pour de nouveaux accords. Excédées, les deux organisations ont saisi l’Autorité de la concurrence.

Un possible abus de position dominante dans les négociations

Dans un communiqué, celle-ci explique qu’elle considère que l’entreprise de Mark Zuckerberg est « susceptible de détenir une position dominante sur le marché des services de réseaux sociaux personnels (incluant les plateformes hybrides) », en prenant surtout en compte le nombre d’utilisateurs de Facebook. Et, selon l’autorité, Meta a abusé de cette position dominante dans les négociations en cours.

Ainsi, par exemple, l’entreprise a imposé de sortir de la méthodologie d’évaluation des sommes à verser « l’ensemble des services de Meta diffusant du contenu de presse, hormis les contenus postés par les utilisateurs sur Facebook », explique l’autorité. Elle estime que l’étroitesse du champ pris en compte « pourrait revenir à amoindrir le dispositif de la Loi sur les droits voisins ».

D’autre part, l’Autorité de la concurrence estime que Meta est « susceptible d’avoir contourné la loi sur les droits voisins ». En effet, celle-ci oblige « les services de communication au public » à « fournir aux éditeurs de presse et aux agences de presse tous les éléments d’information relatifs aux utilisations des publications de presse par leurs usagers ainsi que tous les autres éléments d’information nécessaires à une évaluation transparente de la rémunération mentionnée au premier alinéa du présent article et de sa répartition ». Or, l’entreprise aurait refusé de communiquer ces informations ou les aurait données « dans des conditions dégradées et avec retard ».

Des négociations qui doivent se dérouler « de bonne foi »

L’autorité de la concurrence enjoint donc Meta à négocier « de bonne foi » avec l’APIG et la DVP et « selon des critères transparents, objectifs et non discriminatoires ». Elle lui demande aussi de leur envoyer sous 15 jours les informations utiles aux discussions. Enfin, elle lui impose de « ne pas dégrader, pendant toute la période de négociation, les modalités d’affichage des contenus » des médias concernés sur Facebook, Instagram, etc. En effet, c’est un moyen que n’hésite pas à utiliser Meta pour peser sur ce genre de négociations, par exemple pour mettre la pression sur les médias canadiens.

• Droits voisins : Meta coupera l’accès aux médias canadiens sur Facebook et Instagram

« Cette décision est porteuse d’un signal fort dans un dossier qui dépasse les seuls intérêts des membres de DVP. Elle témoigne de l’importance attachée à la préservation de l’effectivité des droits voisins de la presse, ainsi qu’à la prévention d’un risque d’atteinte grave et immédiate au secteur », salue DVP.

De son côté, dans un communiqué envoyé à Reuters, Meta a annoncé son désaccord avec l’autorité. Elle se soumettra toutefois à la procédure, ajoutant : « Nous restons déterminés à parvenir à un accord équitable avec DVP et APIG, et nous espérons que ces décisions inciteront désormais les éditeurs à agir de bonne foi ».

« De bonne foi »

Considérant que les pratiques de Meta portent une « atteinte grave et immédiate » au secteur de la presse, l’autorité de la concurrence enjoint l’entreprise à « négocier de bonne foi avec les éditeurs et agences de presse » concernant les contenus repris depuis début 2025. Et ce, sans dégrader les modalités d’affichage des contenus sur ses services en ligne.

Les négociations des droits voisins de la presse avec les GAFAM sont un serpent de mer. Que ce soit en France ou ailleurs, par exemple au Canada. Sur le sujet, l’Autorité de la concurrence française a infligé ce mercredi 8 juillet un carton jaune à Meta, considérant que l’entreprise ne faisait pas d’effort pour réellement négocier avec les différents médias.

En France, c’est une loi du 24 juillet 2019 qui a créé un droit voisin au profit des agences de presse et des éditeurs de presse. Celle-ci oblige « les services de communication au public en ligne » à rémunérer les éditeurs de presse et les agences pour la reproduction et la communication au public des publications de presse sous une forme numérique. Ainsi Google mais aussi les entreprises de réseaux sociaux comme Meta doivent négocier cette rémunération.

Suite à la loi, Meta a bien négocié avec l’Alliance de la Presse d’Information Générale (l’APIG, dont sont membres Le Monde et Libération, par exemple) et la Société des Droits Voisins de la Presse (DVP, qui compte dans ses rangs Le Point, l’AFP ou encore Médiapart) pour des accords conclus jusqu’au 31 janvier 2025 pour l’un et jusqu’au 31 décembre 2024 pour l’autre. Mais depuis, Meta ne verse plus rien aux éditeurs membres de ces associations et les négociations patinent pour de nouveaux accords. Excédées, les deux organisations ont saisi l’Autorité de la concurrence.

Un possible abus de position dominante dans les négociations

Dans un communiqué, celle-ci explique qu’elle considère que l’entreprise de Mark Zuckerberg est « susceptible de détenir une position dominante sur le marché des services de réseaux sociaux personnels (incluant les plateformes hybrides) », en prenant surtout en compte le nombre d’utilisateurs de Facebook. Et, selon l’autorité, Meta a abusé de cette position dominante dans les négociations en cours.

Ainsi, par exemple, l’entreprise a imposé de sortir de la méthodologie d’évaluation des sommes à verser « l’ensemble des services de Meta diffusant du contenu de presse, hormis les contenus postés par les utilisateurs sur Facebook », explique l’autorité. Elle estime que l’étroitesse du champ pris en compte « pourrait revenir à amoindrir le dispositif de la Loi sur les droits voisins ».

D’autre part, l’Autorité de la concurrence estime que Meta est « susceptible d’avoir contourné la loi sur les droits voisins ». En effet, celle-ci oblige « les services de communication au public » à « fournir aux éditeurs de presse et aux agences de presse tous les éléments d’information relatifs aux utilisations des publications de presse par leurs usagers ainsi que tous les autres éléments d’information nécessaires à une évaluation transparente de la rémunération mentionnée au premier alinéa du présent article et de sa répartition ». Or, l’entreprise aurait refusé de communiquer ces informations ou les aurait données « dans des conditions dégradées et avec retard ».

Des négociations qui doivent se dérouler « de bonne foi »

L’autorité de la concurrence enjoint donc Meta à négocier « de bonne foi » avec l’APIG et la DVP et « selon des critères transparents, objectifs et non discriminatoires ». Elle lui demande aussi de leur envoyer sous 15 jours les informations utiles aux discussions. Enfin, elle lui impose de « ne pas dégrader, pendant toute la période de négociation, les modalités d’affichage des contenus » des médias concernés sur Facebook, Instagram, etc. En effet, c’est un moyen que n’hésite pas à utiliser Meta pour peser sur ce genre de négociations, par exemple pour mettre la pression sur les médias canadiens.

• Droits voisins : Meta coupera l’accès aux médias canadiens sur Facebook et Instagram

« Cette décision est porteuse d’un signal fort dans un dossier qui dépasse les seuls intérêts des membres de DVP. Elle témoigne de l’importance attachée à la préservation de l’effectivité des droits voisins de la presse, ainsi qu’à la prévention d’un risque d’atteinte grave et immédiate au secteur », salue DVP.

De son côté, dans un communiqué envoyé à Reuters, Meta a annoncé son désaccord avec l’autorité. Elle se soumettra toutefois à la procédure, ajoutant : « Nous restons déterminés à parvenir à un accord équitable avec DVP et APIG, et nous espérons que ces décisions inciteront désormais les éditeurs à agir de bonne foi ».

La bête noire qui court sur les nerfs d'Apple

Apple est un contrôleur d’accès aux yeux du règlement sur les marchés numériques (DMA), a jugé le Tribunal de l’Union européenne. Les recours introduits par le constructeur américain ont été rejetés par la juridiction.

En septembre 2023, la Commission européenne nommait les six premiers contrôleurs d’accès (« gatekeepers ») concernés par le DMA, qui totalisaient 22 services de plateformes essentiels (SPE). Parmi eux, Apple, à la tête de l’App Store, d’iOS et du navigateur Safari. Cette désignation, basée sur des critères quantitatifs, impose aux entreprises des obligations liées à la concurrence et à l’interopérabilité.

Bruxelles conforté dans ses décisions

Apple n’a pas cessé de batailler contre ce dispositif, en prenant le grand public à témoin ou devant la justice européenne. C’est peine perdue : le Tribunal de l’Union européenne a rejeté les recours introduits par l’entreprise et confirmé sa désignation « en tant que contrôleur d’accès pour l’App Store et iOS et juge irrecevables les recours relatifs au service iMessage ».

Le dossier iMessage avait rebondi en février 2024. La Commission avait alors finalement décidé de ne pas désigner Apple comme contrôleur d’accès pour son protocole propriétaire d’envoi et de réception de messages texte dans l’application Messages. Néanmoins, l’enquête de Bruxelles a continué de qualifier iMessage comme service de communication interpersonnelle non fondé sur la numérotation (NIICS), ce qui constitue un service de plateforme essentiel.

Apple avait alors saisi le Tribunal pour contester cette décision concernant iMessage, ainsi que sa désignation en tant que contrôleur d’accès pour l’App Store et iOS. La justice a renvoyé (PDF) le groupe dans les cordes. Le Tribunal écarte d’abord un argument procédural d’Apple : l’entreprise ne peut pas contester, dans ce recours, la légalité des obligations d’interopérabilité du DMA. Ces règles ne sont pas directement liées à la décision qui l’a désignée comme contrôleur d’accès.

Apple dans les cordes

Le Tribunal conforte également la Commission dans son appréciation de l’App Store, qui constitue bien un seul et unique service de plateforme essentiel. Apple tentait de faire valoir les différences dans les déclinaisons de sa boutique (pour l’iPhone, pour l’iPad, le Mac, etc.). L’objectif pour l’entreprise était évidemment de circonscrire le statut de SPE à l’App Store pour l’iPhone, le seul qui atteint les seuils requis de désignation.

« Indépendamment des appareils concernés, ces boutiques poursuivent une finalité identique, à savoir mettre en relation les développeurs d’applications et les utilisateurs finaux afin de faciliter la distribution d’applications logicielles », explique le Tribunal. Quant aux griefs d’Apple concernant la qualification d’iMessage comme NIICS constituant un SPE, le jugement les retoque : « cette qualification ne produit pas, à elle seule, d’effets juridiques obligatoires modifiant la situation juridique d’Apple ».

Aucune obligation du DMA ne s’applique à iMessage et pour cause, le service n’est pas désigné comme point d’accès majeur. Malgré ce revers, Apple continue de critiquer le DMA. « Nous sommes fermement convaincus que les obligations imposées par le DMA vont au-delà de ce qui est légal et proportionné, menaçant de fragiliser des décennies de protections en matière de confidentialité et de sécurité que nous avons construites, et exposant nos utilisateurs à de nouveaux risques », s’est plaint un porte-parole à Reuters.

L’entreprise peut faire appel de ce jugement auprès de la Cour de justice de l’Union, la plus haute juridiction européenne.

La bête noire qui court sur les nerfs d'Apple

Apple est un contrôleur d’accès aux yeux du règlement sur les marchés numériques (DMA), a jugé le Tribunal de l’Union européenne. Les recours introduits par le constructeur américain ont été rejetés par la juridiction.

En septembre 2023, la Commission européenne nommait les six premiers contrôleurs d’accès (« gatekeepers ») concernés par le DMA, qui totalisaient 22 services de plateformes essentiels (SPE). Parmi eux, Apple, à la tête de l’App Store, d’iOS et du navigateur Safari. Cette désignation, basée sur des critères quantitatifs, impose aux entreprises des obligations liées à la concurrence et à l’interopérabilité.

Bruxelles conforté dans ses décisions

Apple n’a pas cessé de batailler contre ce dispositif, en prenant le grand public à témoin ou devant la justice européenne. C’est peine perdue : le Tribunal de l’Union européenne a rejeté les recours introduits par l’entreprise et confirmé sa désignation « en tant que contrôleur d’accès pour l’App Store et iOS et juge irrecevables les recours relatifs au service iMessage ».

Le dossier iMessage avait rebondi en février 2024. La Commission avait alors finalement décidé de ne pas désigner Apple comme contrôleur d’accès pour son protocole propriétaire d’envoi et de réception de messages texte dans l’application Messages. Néanmoins, l’enquête de Bruxelles a continué de qualifier iMessage comme service de communication interpersonnelle non fondé sur la numérotation (NIICS), ce qui constitue un service de plateforme essentiel.

Apple avait alors saisi le Tribunal pour contester cette décision concernant iMessage, ainsi que sa désignation en tant que contrôleur d’accès pour l’App Store et iOS. La justice a renvoyé (PDF) le groupe dans les cordes. Le Tribunal écarte d’abord un argument procédural d’Apple : l’entreprise ne peut pas contester, dans ce recours, la légalité des obligations d’interopérabilité du DMA. Ces règles ne sont pas directement liées à la décision qui l’a désignée comme contrôleur d’accès.

Apple dans les cordes

Le Tribunal conforte également la Commission dans son appréciation de l’App Store, qui constitue bien un seul et unique service de plateforme essentiel. Apple tentait de faire valoir les différences dans les déclinaisons de sa boutique (pour l’iPhone, pour l’iPad, le Mac, etc.). L’objectif pour l’entreprise était évidemment de circonscrire le statut de SPE à l’App Store pour l’iPhone, le seul qui atteint les seuils requis de désignation.

« Indépendamment des appareils concernés, ces boutiques poursuivent une finalité identique, à savoir mettre en relation les développeurs d’applications et les utilisateurs finaux afin de faciliter la distribution d’applications logicielles », explique le Tribunal. Quant aux griefs d’Apple concernant la qualification d’iMessage comme NIICS constituant un SPE, le jugement les retoque : « cette qualification ne produit pas, à elle seule, d’effets juridiques obligatoires modifiant la situation juridique d’Apple ».

Aucune obligation du DMA ne s’applique à iMessage et pour cause, le service n’est pas désigné comme point d’accès majeur. Malgré ce revers, Apple continue de critiquer le DMA. « Nous sommes fermement convaincus que les obligations imposées par le DMA vont au-delà de ce qui est légal et proportionné, menaçant de fragiliser des décennies de protections en matière de confidentialité et de sécurité que nous avons construites, et exposant nos utilisateurs à de nouveaux risques », s’est plaint un porte-parole à Reuters.

L’entreprise peut faire appel de ce jugement auprès de la Cour de justice de l’Union, la plus haute juridiction européenne.

No kids zone

Le gouvernement prend acte des réserves émises par la Commission européenne, mais estime que l’avis circonstancié rendu par cette dernière porte sur deux points de détail qui n’invalident pas la proposition d’interdire l’accès aux réseaux sociaux aux moins de 15 ans. Il maintient son objectif d’une mise en œuvre dès la rentrée de septembre.

Mise à jour, 21 juillet, 8 heures : conformément aux vœux du gouvernement, le texte a fait l’objet d’un examen express par une commission mixte paritaire (CMP) chargée d’harmoniser les versions issues du Sénat et de l’Assemblée nationale tout en prenant en compte les observations formulées par la Commission européenne.

Réunie lundi 20 juillet, cette CMP a accouché d’un nouveau texte discuté et voté mardi 21 juillet à l’Assemblée nationale, dans le cadre de la dernière séance publique de la session extraordinaire du Parlement.

Le texte issu de la CMP revient pour l’essentiel à la version proposée par le gouvernement. Il supprime les deux points introduits par le Sénat sur lesquels l’Europe tiquait, à savoir la constitution d’une liste de réseaux sociaux interdits aux moins de 15 ans établie sur avis de l’Arcom, et la possibilité d’une dérogation supervisée par les représentants légaux de l’enfant mineur.

« Je me félicite de l’accord trouvé par les parlementaires en CMP sur l’interdiction des réseaux sociaux aux moins de 15 ans. Demain, la France sera le premier pays d’Europe à instaurer une majorité numérique pour mieux protéger nos enfants en ligne », s’est réjouie lundi la ministre déléguée chargée du Numérique, Anne Le Hénanff.

• 85 % des ados australiens utilisent les réseaux sociaux 3 mois après l’interdiction

Publication initiale, 8 juillet, 10h24 :

Le cabinet de la ministre déléguée au Numérique et à l’IA, Anne Le Hénanff, s’est dit mardi optimiste quant à la possibilité de faire promulguer, au 1er septembre, l’interdiction des réseaux sociaux aux moins de 15 ans, et ce malgré les réserves exprimées par la Commission européenne dans son avis circonstancié, rendu public lundi 7 juillet.

« La Commission européenne pointe le fait que nous sommes fondés à agir. Niveau calendrier, nous sommes donc toujours sur une entrée en vigueur au 1er septembre, conformément à l’ambition du président de la République. Ce délai nous permet de continuer les travaux parlementaires, et notamment de convoquer une commission mixte paritaire, ce que nous allons faire dans la suite de la session extraordinaire », a déclaré le cabinet lors d’un point presse téléphonique.

Deux dispositions ajoutées par le Sénat en question

Si Bruxelles ne remet pas en cause les velléités françaises de limiter l’accès des plus jeunes aux réseaux sociaux, l’avis rendu par la Commission pointe toutefois deux dispositions considérées comme non compatibles avec le droit européen. Les deux points concernés ne figuraient pas dans la proposition de loi initialement votée à l’Assemblée nationale, souligne le cabinet.

Ajoutées lors de la lecture du texte au Sénat, le 31 mars dernier, elles concernent respectivement la création d’une liste des réseaux sociaux interdits aux mineurs de moins de 15 ans, et la possibilité d’un accès dérogatoire sous réserve de l’accord parental. Le cabinet d’Anne Le Hénanff avait alerté dans la foulée du vote d’un risque d’incompatibilité avec le droit européen.

L’avis rendu par Bruxelles semble lui donner raison. « Sur ces deux points, l’avis nous dit que la mise en œuvre serait contraire aux pratiques d’harmonisation maximales du DSA, puisqu’on viendrait imposer de nouvelles contraintes aux plateformes, ce qui ne peut être fait qu’au niveau européen », décrit Bercy.

Dans la petite loi issue du Sénat, il est prévu que l’interdiction s’applique à une liste de réseaux sociaux « établie par un arrêté du ministre chargé du numérique pris après avis de l’Autorité de régulation de la communication audiovisuelle et numérique ».

« L’Arcom n’est pas fondée à établir des critères qui viendraient discriminer les plateformes, on ne peut pas qualifier de façon individuelle les acteurs », déchiffre à ce sujet le cabinet ministériel.

La dérogation qui permettrait à un mineur de moins de 15 ans d’accéder à un réseau « s’il peut justifier de l’accord préalable exprès d’au moins l’un de ses administrateurs légaux » poserait quant à elle un problème dans la mesure où elle imposerait aux plateformes la mise en place d’un dispositif de recueil du consentement spécifique à la France. « C’est contraire au principe du pays d’origine de la directive e-commerce », résument les conseillers d’Anne Le Hénanff.

Rappelons que ce principe prévoit qu’une société obéisse aux règles du pays dans lequel elle est implantée pour tout ce qui relève du « domaine coordonné », c’est-à-dire la façon dont le service fonctionne (par opposition à d’autres aspects plus spécifiques comme la fiscalité, la livraison, etc.).

Un calendrier (très) serré

L’examen des travaux de la Commission mixte paritaire (CMP) est d’ores et déjà à l’ordre du jour du 21 juillet de l’Assemblée nationale. Les deux chambres ont donc environ deux semaines pour réunir cette CMP et la faire plancher vers une proposition harmonisée répondant aux deux objections formulées par Bruxelles, avant le vote final.

En cas de succès, il ne sera pas nécessaire de solliciter un nouvel avis de la Commission, estime Bercy, ce qui permettrait donc d’envisager une promulgation expresse à la rentrée de septembre. La vérification d’âge s’appliquerait alors à l’ensemble des services qui répondent à la double définition de réseau social selon le DMA et de plateforme en ligne selon le DSA.

Le cas échéant, il restera à juger sur pièces de la qualité des dispositifs de vérification d’âge mis en œuvre. L’expérience acquise avec les sites pornographiques permet pour l’instant de douter de leur efficacité…

• Sites pornos : la vérification d’âge reste une blague, Dora l’Exploratrice passe toujours

No kids zone

Le gouvernement prend acte des réserves émises par la Commission européenne, mais estime que l’avis circonstancié rendu par cette dernière porte sur deux points de détail qui n’invalident pas la proposition d’interdire l’accès aux réseaux sociaux aux moins de 15 ans. Il maintient son objectif d’une mise en œuvre dès la rentrée de septembre.

Mise à jour, 21 juillet, 8 heures : conformément aux vœux du gouvernement, le texte a fait l’objet d’un examen express par une commission mixte paritaire (CMP) chargée d’harmoniser les versions issues du Sénat et de l’Assemblée nationale tout en prenant en compte les observations formulées par la Commission européenne.

Réunie lundi 20 juillet, cette CMP a accouché d’un nouveau texte discuté et voté mardi 21 juillet à l’Assemblée nationale, dans le cadre de la dernière séance publique de la session extraordinaire du Parlement.

Le texte issu de la CMP revient pour l’essentiel à la version proposée par le gouvernement. Il supprime les deux points introduits par le Sénat sur lesquels l’Europe tiquait, à savoir la constitution d’une liste de réseaux sociaux interdits aux moins de 15 ans établie sur avis de l’Arcom, et la possibilité d’une dérogation supervisée par les représentants légaux de l’enfant mineur.

« Je me félicite de l’accord trouvé par les parlementaires en CMP sur l’interdiction des réseaux sociaux aux moins de 15 ans. Demain, la France sera le premier pays d’Europe à instaurer une majorité numérique pour mieux protéger nos enfants en ligne », s’est réjouie lundi la ministre déléguée chargée du Numérique, Anne Le Hénanff.

• 85 % des ados australiens utilisent les réseaux sociaux 3 mois après l’interdiction

Publication initiale, 8 juillet, 10h24 :

Le cabinet de la ministre déléguée au Numérique et à l’IA, Anne Le Hénanff, s’est dit mardi optimiste quant à la possibilité de faire promulguer, au 1er septembre, l’interdiction des réseaux sociaux aux moins de 15 ans, et ce malgré les réserves exprimées par la Commission européenne dans son avis circonstancié, rendu public lundi 7 juillet.

« La Commission européenne pointe le fait que nous sommes fondés à agir. Niveau calendrier, nous sommes donc toujours sur une entrée en vigueur au 1er septembre, conformément à l’ambition du président de la République. Ce délai nous permet de continuer les travaux parlementaires, et notamment de convoquer une commission mixte paritaire, ce que nous allons faire dans la suite de la session extraordinaire », a déclaré le cabinet lors d’un point presse téléphonique.

Deux dispositions ajoutées par le Sénat en question

Si Bruxelles ne remet pas en cause les velléités françaises de limiter l’accès des plus jeunes aux réseaux sociaux, l’avis rendu par la Commission pointe toutefois deux dispositions considérées comme non compatibles avec le droit européen. Les deux points concernés ne figuraient pas dans la proposition de loi initialement votée à l’Assemblée nationale, souligne le cabinet.

Ajoutées lors de la lecture du texte au Sénat, le 31 mars dernier, elles concernent respectivement la création d’une liste des réseaux sociaux interdits aux mineurs de moins de 15 ans, et la possibilité d’un accès dérogatoire sous réserve de l’accord parental. Le cabinet d’Anne Le Hénanff avait alerté dans la foulée du vote d’un risque d’incompatibilité avec le droit européen.

L’avis rendu par Bruxelles semble lui donner raison. « Sur ces deux points, l’avis nous dit que la mise en œuvre serait contraire aux pratiques d’harmonisation maximales du DSA, puisqu’on viendrait imposer de nouvelles contraintes aux plateformes, ce qui ne peut être fait qu’au niveau européen », décrit Bercy.

Dans la petite loi issue du Sénat, il est prévu que l’interdiction s’applique à une liste de réseaux sociaux « établie par un arrêté du ministre chargé du numérique pris après avis de l’Autorité de régulation de la communication audiovisuelle et numérique ».

« L’Arcom n’est pas fondée à établir des critères qui viendraient discriminer les plateformes, on ne peut pas qualifier de façon individuelle les acteurs », déchiffre à ce sujet le cabinet ministériel.

La dérogation qui permettrait à un mineur de moins de 15 ans d’accéder à un réseau « s’il peut justifier de l’accord préalable exprès d’au moins l’un de ses administrateurs légaux » poserait quant à elle un problème dans la mesure où elle imposerait aux plateformes la mise en place d’un dispositif de recueil du consentement spécifique à la France. « C’est contraire au principe du pays d’origine de la directive e-commerce », résument les conseillers d’Anne Le Hénanff.

Rappelons que ce principe prévoit qu’une société obéisse aux règles du pays dans lequel elle est implantée pour tout ce qui relève du « domaine coordonné », c’est-à-dire la façon dont le service fonctionne (par opposition à d’autres aspects plus spécifiques comme la fiscalité, la livraison, etc.).

Un calendrier (très) serré

L’examen des travaux de la Commission mixte paritaire (CMP) est d’ores et déjà à l’ordre du jour du 21 juillet de l’Assemblée nationale. Les deux chambres ont donc environ deux semaines pour réunir cette CMP et la faire plancher vers une proposition harmonisée répondant aux deux objections formulées par Bruxelles, avant le vote final.

En cas de succès, il ne sera pas nécessaire de solliciter un nouvel avis de la Commission, estime Bercy, ce qui permettrait donc d’envisager une promulgation expresse à la rentrée de septembre. La vérification d’âge s’appliquerait alors à l’ensemble des services qui répondent à la double définition de réseau social selon le DMA et de plateforme en ligne selon le DSA.

Le cas échéant, il restera à juger sur pièces de la qualité des dispositifs de vérification d’âge mis en œuvre. L’expérience acquise avec les sites pornographiques permet pour l’instant de douter de leur efficacité…

• Sites pornos : la vérification d’âge reste une blague, Dora l’Exploratrice passe toujours