Panorama rapide de l’actualité « Technologies de l’information » des semaines des 5 au 11 mai 2025

Intelligence artificielle

Remise du rapport « Cour de cassation et intelligence artificielle : préparer la Cour de demain »

• Par un rapport rendu public le 28 avril 2025, la Cour de cassation propose une méthodologie d’évaluation des cas d’usage de l’intelligence artificielle dans le cadre de ses missions juridictionnelles. Ce rapport a été établi par un groupe de travail avec pour double objectif (i) de recenser les cas d’usage actuels ou envisagés de l’IA au sein de la Cour, et (ii) d’identifier les conditions juridiques requises pour assurer leur conformité aux droits humains et à l’office du juge. Le cadre juridique de référence utilisé inclut principalement le RGPD et le règlement européen sur l’intelligence artificielle (RIA).
  Sur le plan méthodologique, le groupe a évalué chaque cas d’usage sur la base de cinq catégories de critères : éthiques, juridiques, fonctionnels, techniques et économiques. Les aspects juridiques ont porté sur la qualification des systèmes comme « à haut risque » et la gestion des données sensibles, fréquentes en justice. L’analyse technique s’est concentrée sur la disponibilité des données, la faisabilité et les coûts associés.
  Les cas d’usage identifiés par le groupe de travail, selon leur complexité, vont des tâches simples comme la structuration de documents à des cas plus complexes, tels que l’analyse des écritures ou la détection automatique de précédents et divergences jurisprudentielles. Si les premiers sont peu sensibles juridiquement, les seconds exigent une vigilance accrue en raison des implications directes sur la fonction de juge.
  Enfin, le groupe de travail dégage un ensemble de principes directeurs structurant le déploiement des systèmes d’IA à la Cour. Sur le plan éthique, il rappelle que le respect du RGPD et du RIA, bien qu’essentiel, ne saurait suffire. Le développement de l’IA doit également s’inscrire dans le respect des cinq principes posés par la Charte éthique de la Commission européenne pour l’efficacité de la justice (CEPEJ) de 2018 : respect des droits fondamentaux, non-discrimination, qualité et sécurité des systèmes, transparence et explicabilité, et primauté de la décision humaine. Le groupe de travail insiste sur la nécessité de garantir, à chaque étape du processus décisionnel juridictionnel, une intervention humaine significative. Sur le plan de la gouvernance, le rapport recommande la mise en place d’un comité consultatif d’éthique pour les SIA, l’élaboration d’un guide de bonnes pratiques, ainsi qu’une politique de formation des utilisateurs. L’ensemble de ces préconisations vise à inscrire l’usage de l’intelligence artificielle dans un cadre de confiance, garant de l’indépendance de la justice et de la qualité de la décision juridictionnelle.

Données personnelles

Concurrence déloyale et accès aux décisions de justice : Doctrine condamnée

• Plusieurs éditeurs juridiques ont assigné la société Forseti, éditrice du site doctrine.fr, pour concurrence déloyale et pratiques commerciales trompeuses. Ils l’accusent d’avoir illégalement collecté et réutilisé des décisions rendues par les juridictions judiciaires, administratives et commerciales.
  La Cour constate que la société Forseti a publié sur son site des centaines de milliers de décisions de justice sans avoir obtenu l’autorisation formelle des greffes, en méconnaissance des exigences posées par l’article R. 123-5 du code de l’organisation judiciaire et par la loi Informatique et libertés. Forseti ne justifie pas de la licéité de cette collecte, se contentant d’évoquer des remises informelles, non documentées.
  La Cour rappelle que le régime actuel d’open data des décisions de justice ne s’applique pas rétroactivement aux faits en cause, antérieurs au 31 décembre 2018, et que ces décisions contiennent des données à caractère personnel. Leur traitement devait donc être, dès l’origine, loyal et licite.
  En l’espèce, il ressort des éléments versés aux débats des présomptions graves, précises et concordantes (au sens de l’article 1382 ancien du code civil, devenu 1240) que Forseti a procédé à une collecte massive de décisions sans autorisation, en violation de l’article 6 de la loi Informatique et libertés et de l’article R. 123-5 précité. Elle s’est ainsi ménagé un avantage concurrentiel indu, contrairement à ses concurrents – tels que Lexbase – qui, eux, ont sollicité et obtenu les autorisations nécessaires auprès des greffes.
  La Cour retient également l’usage trompeur des noms de domaine cassation.fr et conseildetat.fr, redirigeant vers doctrine.fr, créant une confusion dans l’esprit du public.
  Enfin, la publicité comparative de Forseti (chiffres gonflés incluant des décisions obtenues illicitement) est jugée mensongère et déloyale, faute de preuve de véracité.
  En revanche, les pratiques commerciales trompeuses (accès prétendu aux contenus d’éditeurs tiers) sont écartées, la Cour considérant que le public visé (professionnels du droit) n’a pas été trompé et qu’aucun préjudice n’est établi.
  La Cour retient donc plusieurs cas de concurrence déloyale, mais rejette les autres griefs. (Paris, 7 mai 2025, n° 23/06063)

Contrôle audiovisuel dans les transports en commun

• L’article 10 introduit au sein du code des transports un nouveau dispositif légal encadrant l’usage de caméras individuelles par les agents chargés de la sûreté dans les transports publics. Il insère à cet effet un article L. 2241-6-1, qui autorise l’enregistrement audiovisuel des interventions des agents lorsque se produit, ou est susceptible de se produire, un incident. Ce recours aux caméras, non permanent, poursuit des finalités précises : prévention des troubles, constatation des infractions, collecte de preuves, et formation professionnelle.
  L’usage de ces dispositifs est strictement encadré pour respecter notamment pour se conformer aux règles de protection des données à caractère personnel (caméras portées de façon visible, signalisation de l’enregistrement, information des personnes, limitation aux lieux affectés aux transports, et interdiction pour les agents d’accéder eux-mêmes aux enregistrements). La conservation des enregistrements est de 30 jours, sauf procédure en cours.
  Par ailleurs, l’article modifie l’article L. 2251-4-1 afin de permettre, à titre exceptionnel, que l’enregistrement se poursuive même en dehors des lieux habituellement autorisés, lorsque les agents doivent escorter une personne jusqu’à un officier de police judiciaire, notamment en véhicule. (Loi n° 2025-379 du 28 avr. 2025 relative au renforcement de la sûreté dans les transports (art. 10))

Consentement à des fins de prospection : le Conseil d’État pose deux questions préjudicielles à la CJUE

• Dans une décision du 5 mai 2025, le Conseil d’État a décidé de surseoir à statuer sur le recours formé par la société Groupe Canal+ contre une délibération de la CNIL ayant prononcé à son encontre une amende de 600 000 € pour divers manquements au RGPD et à l’article L. 34-5 du CPCE. L’affaire porte sur des opérations de prospection commerciale menées par Canal+, reposant sur des données personnelles collectées par des fournisseurs d’accès à Internet (« FAI ») auprès de leurs abonnés, dans des conditions contestées au regard des exigences relatives au consentement des personnes concernées (v. Panorama rapide de l’actualité « Nouvelles technologies » de la semaine du 16 octobre 2023, D.actu., 24 oct. 2023).
  Au cœur de cette affaire se trouve la question du caractère valide du consentement recueilli par les FAI, qui ont invité les utilisateurs à accepter la transmission de leurs données à des « partenaires », sans que ces derniers soient identifiés ou même mentionnés de manière accessible. Le Groupe Canal+, destinataire de ces données, a ensuite procédé à une vaste campagne de prospection électronique sans recueillir de consentement complémentaire. La CNIL a considéré que cette pratique violait les obligations d’information et de preuve d’un consentement libre, spécifique, éclairé et univoque, telles que posées par le RGPD et le CPCE.
  Le Conseil d’État a estimé que la résolution du litige était conditionnée par l’interprétation du droit de l’Union européenne, et plus particulièrement par le RGPD ainsi que par l’article 13 de la directive du 12 juillet 2002 relative à la vie privée et aux communications électroniques. Deux questions préjudicielles ont ainsi été adressées à la CJUE :
  - D’une part, un consentement donné à un primo-collectant pour que ses données soient utilisées par une « catégorie » de destinataires, bénéficie-t-il également à ce « partenaire » pour procéder à une nouvelle prospection commerciale sans qu’il soit nécessaire de recueillir un nouveau consentement ?
  - D’autre part, quel niveau de précision de la notion de « catégorie » de destinataires est requis pour respecter les exigences du consentement éclairé au sens de la réglementation européenne ?
  Dans l’attente de la réponse de la CJUE, cette décision s’inscrit dans un besoin de précision de la jurisprudence européenne concernant la notion de consentement dans les chaînes complexes de collecte et de réutilisation des données personnelles. La réponse de la CJUE aura des implications importantes pour les acteurs de la publicité en ligne, les plateformes et les responsables de traitements indirects. (CE 5 mai 2025, n° 490202, Canal+ c/ CNIL)

Sanction de TikTok pour ses transferts illégaux de données vers la Chine : décision de la CNIL irlandaise

• Par une décision rendue le 2 mai 2025, la Data Protection Commission (DPC) irlandaise a infligé une sanction administrative d’un montant total de 530 millions d’euros à l’encontre de la société TikTok, pour manquements au RGPD. Cette décision intervient à l’issue d’une enquête menée par la DPC, en sa qualité d’autorité-chef de file au titre de l’article 60 du RGPD, relative à la légalité des transferts de données personnelles des utilisateurs établis dans l’Espace économique européen (EEE) vers la Chine. L’enquête a également porté sur la conformité des informations fournies aux utilisateurs concernant ces transferts, au regard des obligations de transparence prévues par le RGPD
  S’agissant de la licéité des transferts internationaux, la DPC a constaté une violation de l’article 46, § 1, du RGPD, TikTok n’ayant pas démontré que les garanties contractuelles mises en place, notamment les clauses contractuelles types (CCT), permettaient d’assurer un niveau de protection des données personnelles « essentiellement équivalent » à celui garanti au sein de l’Union européenne. TikTok avait produit au cours de l’enquête une évaluation du cadre juridique chinois, laquelle faisait état d’une divergence substantielle entre les normes applicables en Chine (notamment en matière de cybersécurité, d’antiterrorisme, de renseignement ou de contre-espionnage) et les exigences du droit européen.
  Par ailleurs, la DPC a retenu une seconde infraction portant sur le manquement de TikTok à son obligation de transparence, en méconnaissance de l’article 13, § 1, point f) du RGPD. La politique de confidentialité en vigueur jusqu’au 1^er décembre 2022 ne permettait pas aux utilisateurs de l’EEE d’identifier les pays tiers vers lesquels leurs données étaient transférées ou de comprendre la nature des opérations de traitement associées à ces transferts. Notamment, cette politique ne mentionnait pas que certaines données personnelles étaient accessibles à distance par des employés basés en Chine.
  Enfin, le manquement de TikTok a été aggravé par la révélation, en février 2025, de l’existence d’un stockage de données de l’EEE sur des serveurs situés en Chine, contredisant les déclarations initiales de TikTok à l’autorité. Bien que TikTok ait indiqué que ces données avaient depuis été supprimées, la DPC a annoncé l’ouverture d’un nouvel examen afin de déterminer les suites réglementaires à donner à cette déclaration erronée. La décision rendue le 2 mai 2025 ordonne, en tout état de cause, à TikTok de mettre ses traitements en conformité avec le RGPD dans un délai de six mois à compter de l’expiration du délai de recours, sous peine de suspension automatique des transferts de données vers la Chine, tout en prononçant des peines pécuniaires de près de 530 millions d’euros. (CNIL irlandaise , Décis. du 2 mai 2025)

Publication d’un décret relatif aux conditions selon lesquelles l’Autorité de régulation des communications électroniques (Arcep) doit collaborer avec la Commission nationale de l’informatique et des libertés (CNIL)

• Le décret n° 2025-387 du 28 avril 2025, publié au Journal officiel le 30 avril, précise les conditions dans lesquelles l’ARCEP saisit et consulte la CNIL sur les questions liées à la protection des données personnelles dans le cadre de l’instruction des demandes et des réclamations formées à l’encontre d’un prestataire de services d’intermédiation de données.
  Il confie à l’ARCEP, par l’article 1, la mission de veiller au respect des exigences énoncées aux articles 11 et 12 du règlement (UE) 2022/868 sur la gouvernance européenne des données et lui confère la faculté d’engager des procédures d’office ou de recevoir tout signalement de manquement ou plainte formulée par une personne physique ou morale conformément aux articles 37 et 38 de la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique.
  Conformément à l’article 2 de ce décret, avant toute décision relative à des pratiques susceptibles d’affecter la protection des données personnelles, l’ARCEP doit obligatoirement saisir la CNIL pour recueillir ses observations : cela couvre l’instruction des demandes d’obtention du label « prestataire de services d’intermédiation de données reconnu dans l’Union », le traitement des réclamations des usagers et les procédures engagées à l’encontre des prestataires. L’ARCEP informe par ailleurs la CNIL de l’ouverture et du suivi de ces procédures.
  Pour assurer une coopération effective, en application de l’article 3 du décret visé, l’ARCEP transmet à la CNIL l’ensemble des documents et informations utiles, tout en préservant les secrets protégés par les articles L. 311-5 et L. 311-6 du code des relations entre le public et l’administration. La CNIL dispose d’un délai de quatre semaines, prorogeable une fois, à compter de sa saisine pour formuler ses observations. Avec l’accord du président de la CNIL, l’ARCEP peut communiquer ces observations au prestataire ou au requérant afin de recueillir leurs commentaires tel que le prévoit l’article 4 du décret n° 2025-387. Le ministre de l’Économie, des Finances et de la Souveraineté industrielle et numérique est chargé de l’exécution du décret.
  Entré en vigueur dès le lendemain de sa publication, ce décret concrétise les mesures de la loi du 21 mai 2024 visant à réguler et sécuriser l’espace numérique. Il renforce la surveillance des pratiques d’intermédiation de données au sein de l’Union européenne, tout en augmentant la transparence et la responsabilité des acteurs concernés. (Décr. n° 2025-387 du 28 avr. 2025, précisant les modalités de coopération entre l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse et la Commission nationale de l’informatique et des libertés dans le cadre de certaines procédures en application de l’article 38 de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique)

Absence de caractère contraignant de l’avis des CNIL européennes sur le modèle « ciblage ou paiement »

• Par une ordonnance du 29 avril 2025, le Tribunal de l’Union européenne a rejeté comme irrecevable le recours formé par Meta Platforms Ireland Ltd tendant à l’annulation de l’avis 8/2024 du Comité européen de la protection des données (CEPD) relatif aux conditions de validité du consentement dans les modèles dits « consentir ou payer ». Le Tribunal a considéré que cet avis ne produisait pas d’effets juridiques contraignants et ne constituait donc pas un acte susceptible de recours au sens de l’article 263 TFUE.
  L’avis attaqué, adopté sur le fondement de l’article 64, § 2, du RGPD, avait été sollicité par trois autorités de contrôle (Norvège, Pays-Bas, Allemagne) afin d’obtenir d’évaluer la conformité au RGPD des modèles consistant à offrir aux utilisateurs d’un service en ligne le choix entre accepter un traitement de leurs données à des fins de publicité comportementale ou s’acquitter d’un paiement pour accéder à un service sans ce traitement. Dans cet avis, le CEPD indiquait qu’en règle générale, une alternative uniquement payante ne permettait pas de garantir un consentement libre au sens de l’article 4, point 11, du RGPD, et recommandait aux grandes plateformes de proposer une option gratuite sans publicité personnalisée. Il précisait néanmoins que l’appréciation du caractère libre du consentement devait s’effectuer au cas par cas, en tenant compte notamment du caractère essentiel du service, du coût de l’option payante et du déséquilibre entre l’utilisateur et le responsable de traitement.
  Meta soutenait que l’avis produisait des effets juridiques obligatoires affectant directement sa situation juridique, en contraignant notamment l’autorité irlandaise de protection des données (DPC) à s’y conformer. Elle invoquait également une atteinte à son droit à un recours effectif garanti par l’article 47 de la Charte des droits fondamentaux de l’Union européenne. Le Tribunal a écarté ces arguments, en rappelant que les avis rendus au titre de l’article 64, § 2, RGPD, ont une portée purement consultative et ne lient pas les autorités de contrôle. En l’espèce, l’avis attaqué ne faisait que formuler une grille d’analyse et des recommandations, sans imposer de règles juridiques obligatoires. Le Tribunal a souligné que même si une autorité de contrôle appliquait spontanément cette grille ou en reprenait les termes dans une décision ultérieure, cela ne conférerait, a posteriori, un caractère contraignant à l’avis initial.
  S’agissant de la demande subsidiaire de Meta fondée sur la responsabilité non contractuelle de l’article 268 du TFUE, le Tribunal l’a également rejetée comme manifestement non fondée en droit. Il a rappelé que l’engagement de cette responsabilité suppose la réunion cumulative de trois conditions : l’illégalité du comportement, l’existence d’un préjudice réel et certain, et un lien de causalité direct entre les deux. En l’occurrence, Tribunal a estimé que le préjudice allégué reposait sur des hypothèses incertaines et une interprétation erronée de la portée juridique de l’avis contesté. En conséquence, l’ensemble du recours a été rejeté. Le Tribunal confirme ainsi que seuls les actes produisant des effets juridiques obligatoires sont susceptibles de faire l’objet d’un recours en annulation au sens de l’article 263 TFUE. (TUE, ord., 29 avr. 2025, aff. T‑319/24)

Questions environnementales du numérique

Publication de la loi DDADUE 2025 : exigences spécifiques liées à la transition énergétique dans le cadre des activités numériques

• La loi n° 2025-391 du 30 avril 2025, publiée le 2 mai 2025 au Journal officiel, porte sur diverses dispositions d’adaptation au droit de l’Union européenne en matière économique, financière, environnementale, énergétique, de transport, de santé et de circulation des personnes et notamment sur les questions environnementales du numérique.
  Le texte, et plus particulièrement son article 25, modifie plusieurs aspects du code de l’environnement et du code de l’énergie pour intégrer des exigences spécifiques liées à la transition énergétique dans le cadre des activités numériques. Il met en place des obligations pour les centres de données, qui deviennent un secteur clé de régulation en raison de leur consommation énergétique croissante. Ces centres doivent désormais rendre compte de leur efficacité énergétique et de leur impact environnemental dans une logique de sobriété énergétique. Des règles strictes sont imposées concernant l’utilisation de la chaleur fatale produite par ces infrastructures et la transparence sur leur consommation d’énergie.
  Ces mesures visent à répondre à l’augmentation de la consommation énergétique des infrastructures numériques, notamment des centres de données, dans un contexte où leur régulation énergétique et environnementale devient essentielle à la réduction de l’empreinte carbone du secteur. (Loi n° 2025-391 du 30 avr. 2025, portant diverses dispositions d’adaptation au droit de l’Union européenne en matière économique, financière, environnementale, énergétique, de transport, de santé et de circulation des personnes)

Intermédiaires techniques et éditeurs

Le raccordement des locaux à la fibre optique : mise en demeure d’Orange par l’ARCEP

• Par une décision du 10 avril 2025, l’ARCEP a mis en demeure la société Orange de respecter les engagements souscrits auprès du Gouvernement le 11 janvier 2024 et rendus juridiquement opposables par arrêté du 14 mars 2024, au titre de l’article L. 33-13 du code des postes et des communications électroniques (CPCE). Ces engagements visent à accélérer le raccordement des locaux à la fibre optique avec des obligations précises de volume et de délai.
  L’ARCEP reproche à Orange de ne pas avoir respecté le délai maximal de six mois pour rendre raccordables les immeubles déclarés « raccordables à la demande » (RAD), à la suite de commandes d’opérateurs tiers. Près de 12 300 immeubles, sur environ 19 757 commandés entre juin et août 2024, n’étaient pas raccordables dans le délai imparti. Cette carence constitue, selon l’Autorité, une violation manifeste des engagements contractés, non justifiée par les difficultés opérationnelles invoquées par Orange.
  Orange a tenté de justifier ces retards par une surcharge de commandes, des contraintes techniques liées aux RAD, des défaillances de sous-traitants ou encore d’autres blocages non précisés. Toutefois, l’ARCEP considère que ces éléments ne sauraient exonérer l’opérateur de ses responsabilités, d’autant plus qu’il avait lui-même défini un plafond de commandes censé tenir compte de ses capacités de traitement. Le régulateur souligne également le caractère structurel et prévisible des difficultés rencontrées.
  Orange est désormais tenu de rendre raccordables 47 800 immeubles RAD d’ici au 31 octobre 2025, sous peine de sanctions. Il devra prouver sa conformité d’ici au 30 novembre 2025, faute de quoi l’ARCEP pourrait engager une procédure de sanction sur le fondement de l’article L. 36-11 du CPCE. Cette décision s’inscrit dans une logique de fermeté renforcée de l’ARCEP face aux retards persistants dans le déploiement de la fibre, notamment dans les territoires les moins bien desservis. (ARCEP, Décis. n° 2025-0468, 10 avr. 2025)

Obligation de vérification de l’âge des utilisateurs par les plateformes de vidéos

• Par une ordonnance du 2 mai 2025, le juge des référés du Tribunal administratif de Paris a rejeté la demande de suspension déposée par la société Hammy Media LTD, éditrice du site XHamster, contre l’arrêté ministériel du 26 février 2025. Cet arrêté soumet dix-sept plateformes de partage de vidéos, établis dans d’autres États membres de l’Union européenne, dont XHamster, à l’obligation de mettre en place un dispositif de vérification de l’âge des utilisateurs, conformément aux articles 10 et 10-1 de la loi n° 2004-575 du 21 juin 2004. Ces dispositions visent à empêcher l’accès des mineurs aux contenus à caractère pornographique.
  Aux termes de l’article L. 521-1 du code de justice administrative, le juge des référés peut prononcer la suspension de l’exécution d’une décision administrative lorsqu’il est justifié, d’une part, d’une urgence et, d’autre part, de l’existence d’un moyen propre à créer un doute sérieux quant à la légalité de la décision attaquée. En l’espèce, la société requérante faisait valoir que l’obligation de se conformer au référentiel publié par l’ARCOM, ou à défaut de s’exposer à des sanctions pécuniaires, à des mesures de blocage ou de déréférencement, porterait une atteinte grave et immédiate à ses intérêts économiques ainsi qu’à sa réputation, caractérisant ainsi une situation d’urgence.
  Le régime applicable, issu des articles 10, 10-1 et 10-2 de la loi de 2004, modifiée par la loi du 21 mai 2024, impose aux fournisseurs de contenus pornographiques, qu’ils soient établis dans l’Union européenne ou à l’étranger, de mettre en œuvre un dispositif de vérification de l’âge des utilisateurs. Ce dispositif doit être conforme à un référentiel adopté et publié par l’ARCOM, précisant les exigences techniques minimales permettant de garantir une vérification efficace, respectueuse de la vie privée et proportionnée. En l’absence de réponse satisfaisante, l’ARCOM peut notamment prononcer une sanction financière comprise entre 2 % et 6 % du chiffre d’affaires mondial, ordonner le blocage de l’accès au site par les fournisseurs d’accès à Internet pour une durée maximale de deux ans, ou encore solliciter le déréférencement du service par les moteurs de recherche.
  Le juge des référés a néanmoins considéré que la condition d’urgence n’était pas remplie. Il a souligné que les sanctions ne peuvent être prononcées qu’à l’issue d’une procédure contradictoire comportant des mises en demeure successives, offrant au fournisseur la possibilité d’y répondre ou de se mettre en conformité. En outre, la société requérante n’apportait aucun élément probant de nature à démontrer l’existence d’un préjudice grave et immédiat résultant de l’application de l’arrêté ministériel, que ce soit en matière de perte de fréquentation, d’exclusion durable du marché français ou d’atteinte à sa réputation. Faute d’urgence caractérisée, la demande a été rejetée par ordonnance sur le fondement de l’article L. 522-3 du code de justice administrative. (TA Paris, réf., ord. du 2 mai 2025)