Sécuriser et réguler l'espace numérique



I. – Après l’article 10 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, il est inséré un article 10-1 ainsi rédigé :



« Art. 10-1. – I. – Lorsqu’une personne dont l’activité est d’éditer un service de communication au public en ligne permettant d’avoir accès à des contenus pornographiques ne met pas en œuvre un système de vérification de l’âge conforme aux caractéristiques techniques du référentiel mentionné à l’article 10, l’Autorité de régulation de la communication audiovisuelle et numérique lui fait part de ses observations par une lettre motivée, remise par tout moyen propre à en établir la date de réception. Le destinataire de cette lettre dispose d’un délai de quinze jours pour présenter ses observations en retour.



« À l’expiration de ce délai, l’Autorité de régulation de la communication audiovisuelle et numérique peut, le cas échéant après avis du président de la Commission nationale de l’informatique et des libertés, mettre en demeure la personne dont l’activité est d’éditer un service de communication au public en ligne permettant l’accès à des contenus pornographiques de se conformer, dans un délai de quinze jours, aux caractéristiques techniques du référentiel mentionné au même article 10. Cette mise en demeure peut être assortie d’une injonction de prendre toute mesure de nature à empêcher l’accès des mineurs aux contenus incriminés. L’Autorité de régulation de la communication audiovisuelle et numérique rend publique cette mise en demeure.



« I bis (nouveau). – Lorsque la personne dont l’activité est d’éditer un service de communication au public en ligne permettant d’avoir accès à des contenus pornographiques ne se conforme pas à la mise en demeure à l’expiration du délai de quinze jours mentionné au second alinéa du I du présent article, l’Autorité de régulation de la communication audiovisuelle et numérique peut, après avis du président de la Commission nationale de l’informatique et des libertés, prononcer une sanction pécuniaire dans les conditions prévues à l’article 42-7 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication.



« Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement ainsi que les avantages tirés de ce manquement et les manquements commis précédemment.



« Lorsque la personne dont l’activité est d’éditer un service de communication au public en ligne permettant d’avoir accès à des contenus pornographiques a mis en œuvre un système de vérification de l’âge qui n’est pas conforme au référentiel mentionné à l’article 10 de la présente loi, la sanction ainsi prononcée ne peut excéder 75 000 euros ou 1 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 150 000 euros ou à 2 % du chiffre d’affaires mondial hors taxes en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive.



« Lorsque la personne dont l’activité est d’éditer un service de communication au public en ligne permettant d’avoir accès à des contenus pornographiques n’a mis en œuvre aucun système de vérification de l’âge ou s’est contentée d’une déclaration de majorité, la sanction ainsi prononcée ne peut excéder 250 000 euros ou à 4 % du chiffre d’affaires mondial hors taxes réalisé au cours de l’exercice précédent, le plus élevé des deux montants étant retenu. Ce maximum est porté à 500 000 euros ou à 6 % du chiffre d’affaires mondial hors taxes en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive.



« Les sanctions pécuniaires sont recouvrées comme les créances de l’État étrangères à l’impôt et au domaine.



« II. – Sans préjudice de l’engagement de la procédure prévue au I bis, lorsque l’Autorité de régulation de la communication audiovisuelle et numérique constate que l’absence de mise en conformité à la mise en demeure mentionnée au I par la personne dont l’activité est d’éditer un service de communication au public en ligne concernée permet à des mineurs d’avoir accès à des contenus pornographiques en violation de l’article 227-24 du code pénal, l’Autorité de régulation de la communication audiovisuelle et numérique peut notifier aux fournisseurs de services d’accès à internet ou aux fournisseurs de systèmes de résolution de noms de domaine définis au II de l’article 12 de la présente loi, par tout moyen propre à en établir la date de réception, les adresses électroniques des services de communication au public en ligne ayant fait l’objet de la procédure décrite au I du présent article, ainsi que celles des services qui reprennent le même contenu, en totalité ou de manière substantielle et qui présentent les mêmes modalités d’accès. Ces personnes doivent alors empêcher l’accès à ces adresses dans un délai de quarante-huit heures. Toutefois, en l’absence de mise à disposition par la personne éditant le service de communication au public en ligne des informations mentionnées à l’article 1-1 de la présente loi, l’Autorité de régulation de la communication audiovisuelle et numérique peut procéder à la notification prévue au présent II sans avoir mis en œuvre la procédure prévue au I.



« Les utilisateurs des services de communication au public en ligne auxquels l’accès est empêché sont dirigés vers une page d’information de l’Autorité de régulation de la communication audiovisuelle et numérique indiquant les motifs de la mesure de blocage.



« L’Autorité de régulation de la communication audiovisuelle et numérique peut également notifier les adresses électroniques de ces services de communication au public en ligne ainsi que celles des services qui reprennent le même contenu, en totalité ou de manière substantielle et qui présentent les mêmes modalités d’accès, aux moteurs de recherche ou aux annuaires, lesquels disposent d’un délai de cinq jours afin de faire cesser le référencement du service de communication au public en ligne.



« Une copie des notifications adressées aux fournisseurs de services d’accès à internet, aux fournisseurs de systèmes de résolution de noms de domaine et aux moteurs de recherche ou aux annuaires est adressée simultanément à la personne dont l’activité est d’éditer le service de communication au public en ligne concernée.



« Les mesures prévues au présent II sont prononcées pour une durée maximale de vingt-quatre mois. Leur nécessité est réévaluée, d’office ou sur demande, au minimum tous les douze mois. Lorsque les faits mentionnés au premier alinéa du I ne sont plus constitués, l’Autorité de régulation de la communication audiovisuelle et numérique avise sans délai les destinataires des notifications prévues au présent II de la levée de ces mesures.



« L’Autorité de régulation de la communication audiovisuelle et numérique rend public chaque année un rapport d’activité sur les conditions d’exercice et les résultats de son activité, qui précise notamment le nombre de décisions d’injonction et les suites qui y ont été données, ainsi que le nombre d’adresses électroniques qui ont fait l’objet d’une mesure de blocage d’accès ou de déréférencement. Ce rapport est remis au Gouvernement et au Parlement.



« III. – Sans préjudice des articles L. 521-1 et L. 521-2 du code de justice administrative, les personnes mentionnées aux I et II du présent article peuvent demander au président du tribunal administratif ou au magistrat délégué par celui-ci l’annulation des mesures mentionnées aux mêmes I et II dans un délai de cinq jours à compter de leur réception.



« Il est statué sur la légalité de la notification dans un délai d’un mois à compter de la saisine. L’audience est publique.



« Les jugements rendus en application des deux premiers alinéas du présent III sont susceptibles d’appel dans un délai de dix jours à compter de leur notification. Dans ce cas, la juridiction d’appel statue dans un délai de trois mois à compter de sa saisine.



« IV. – Pour tout manquement aux obligations définies au II du présent article, l’Autorité de régulation de la communication audiovisuelle et numérique peut, dans les conditions prévues à l’article 42-7 de la loi n° 86-1067 du 30 septembre 1986 précitée, prononcer une sanction pécuniaire.



« Toutefois, aucune sanction ne peut être prononcée lorsqu’en raison de motifs de force majeure ou d’impossibilité de fait qui ne lui sont pas imputables, la personne concernée est placée dans l’impossibilité de respecter l’obligation qui lui a été faite, ou lorsque la procédure prévue au III du présent article a été engagée, tant qu’elle n’a pas fait l’objet d’une décision devenue définitive.



« Le montant de la sanction prend en compte la nature, la gravité et la durée du manquement ainsi que les avantages tirés de ce manquement et les manquements commis précédemment.



« Pour les manquements aux obligations prévues au II, le montant de la sanction ne peut excéder la somme de 75 000 euros ou une somme équivalente à 1 % du chiffre d’affaires mondial hors taxes, le plus élevé des deux montants étant retenu. Ce maximum est porté à 150 000 euros ou à 2 % du chiffre d’affaires mondial hors taxes en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive.



« Les sanctions pécuniaires sont recouvrées comme les créances de l’État étrangères à l’impôt et au domaine.



« V. – Les agents de l’Autorité de régulation de la communication audiovisuelle et numérique peuvent, s’ils ont été spécialement habilités à cet effet par l’autorité et assermentés dans les conditions prévues au 2° du I de l’article 19 de la loi n° 86-1067 du 30 septembre 1986 précitée, constater par procès-verbal qu’un service de communication au public en ligne mettant à la disposition du public des contenus pornographiques ne met pas en œuvre un système de vérification de l’âge conforme aux caractéristiques techniques du référentiel mentionné à l’article 10 de la présente loi ou permet à des mineurs d’avoir accès à un contenu pornographique.



« VI. – Les conditions d’application du présent article sont précisées par décret en Conseil d’État. »



II (nouveau). – L’article 23 de la loi n° 2020-936 du 30 juillet 2020 visant à protéger les victimes de violences conjugales est abrogé.



La loi n° 2004-575 du 21 juin 2004 précitée est ainsi modifiée :



1° A (nouveau) L’article 6-2 devient l’article 6-5 ;



1° L’article 6-2 est ainsi rétabli :



« Art. 6-2. – I. – Si un fournisseur de services d’hébergement n’a jamais fait l’objet d’une demande en application de l’article 6-1 en vue de retirer une image ou une représentation de mineurs présentant un caractère pornographique relevant de l’article 227-23 du code pénal, l’autorité administrative mentionnée à l’article 6-1 de la présente loi communique à ladite personne des informations sur les procédures et les délais applicables, au moins douze heures avant d’émettre la demande de retrait.



« II. – Si la personne mentionnée au I du présent article ne peut se conformer à une demande de retrait pour des motifs tenant à la force majeure ou à une impossibilité de fait qui ne lui sont pas imputables, y compris pour des raisons techniques ou opérationnelles objectivement justifiables, elle informe de ces motifs, sans retard indu, l’autorité administrative qui a émis la demande de retrait.



« Le délai indiqué au deuxième alinéa de l’article 6-1 commence à courir dès que les motifs mentionnés au premier alinéa du présent II ont cessé d’exister.



« Si la personne mentionnée au I ne peut se conformer à une demande de retrait, au motif que cette dernière contient des erreurs manifestes ou ne contient pas suffisamment d’informations pour en permettre l’exécution, elle informe de ces motifs, sans retard indu, l’autorité administrative qui a émis la demande de retrait et demande les éclaircissements nécessaires.



« Le délai indiqué au deuxième alinéa de l’article 6-1 commence à courir dès que le fournisseur de services d’hébergement a reçu les éclaircissements nécessaires.



« III. – Lorsqu’un fournisseur de services d’hébergement retire une image ou une représentation de mineurs présentant un caractère pornographique relevant de l’article 227-23 du code pénal, il en informe, dans les meilleurs délais, le fournisseur de contenu en précisant les motifs qui ont conduit au retrait de l’image ou de la représentation, la possibilité de solliciter la transmission d’une copie de l’injonction de retrait et les droits dont il dispose pour contester la demande de retrait devant la juridiction administrative compétente.



« Sur demande du fournisseur de contenus, le fournisseur de services d’hébergement transmet une copie de l’injonction de retrait.



« Les obligations prévues aux deux premiers alinéas du présent III ne s’appliquent pas lorsque l’autorité compétente qui a émis la demande de retrait décide qu’il est nécessaire et proportionné de ne pas divulguer d’informations pour ne pas entraver le bon déroulement des actions de prévention, de détection, de recherche et de poursuite des auteurs de l’infraction prévue à l’article 227-23 du code pénal.



« En pareil cas, l’autorité compétente informe le fournisseur de services d’hébergement de sa décision en précisant sa durée d’application, aussi longue que nécessaire mais ne pouvant excéder six semaines à compter de ladite décision, et le fournisseur de services d’hébergement ne divulgue aucune information sur le retrait du contenu au fournisseur de ce dernier.



« Ladite autorité compétente peut prolonger cette période d’une nouvelle période de six semaines, lorsque la non-divulgation continue d’être justifiée. En pareil cas, elle en informe le fournisseur de services d’hébergement. » ;



2° Après le même article 6-2, sont insérés des articles 6-2-1 et 6-2-2 ainsi rédigés :



« Art. 6-2-1. – I. – Le fait, pour les fournisseurs de services d’hébergement, de ne pas retirer les images ou les représentations de mineurs présentant un caractère pornographique relevant de l’article 227-23 du code pénal dans un délai de vingt-quatre heures à compter de la réception de la demande de retrait prévue à l’article 6-1 de la présente loi, est puni d’un an d’emprisonnement et de 250 000 euros d’amende.



« Lorsque l’infraction définie au premier alinéa du présent article est commise de manière habituelle par une personne morale, le montant de l’amende peut être porté à 4 % de son chiffre d’affaires mondial hors taxes de l’exercice précédent.



« II. – Les personnes morales déclarées responsables pénalement, dans les conditions prévues à l’article 121-2 du code pénal, des infractions définies au I du présent article encourent, outre l’amende suivant les modalités prévues à l’article 131-38 du code pénal, les peines prévues aux 2° et 9° de l’article 131-39 du même code. L’interdiction prévue au 2° du même article 131-39 est prononcée pour une durée de cinq ans au plus et porte sur l’activité professionnelle dans l’exercice ou à l’occasion de laquelle l’infraction a été commise.



« Art. 6-2-2. – I. – Sans préjudice des articles L. 521-1 et L. 521-2 du code de justice administrative, les fournisseurs de services d’hébergement et les fournisseurs de contenus concernés par une demande en application de l’article 6-1 de la présente loi en vue de retirer une image ou une représentation de mineurs présentant un caractère pornographique relevant de l’article 227-23 du code pénal ainsi que la personnalité qualifiée mentionnée à l’article 6-1 de la présente loi peuvent demander au président du tribunal administratif ou au magistrat délégué par celui-ci l’annulation de cette demande, dans un délai de quarante-huit heures à compter soit de sa réception, soit, s’agissant du fournisseur de contenus, du moment où il est informé par le fournisseur de services d’hébergement du retrait du contenu.



« II. – Il est statué sur la légalité de l’injonction de retrait dans un délai de soixante-douze heures à compter de la saisine. L’audience est publique.



« III. – Les jugements rendus sur la légalité de la décision en application du I du présent article sont susceptibles d’appel dans un délai de dix jours à compter de leur notification. Dans ce cas, la juridiction d’appel statue dans un délai d’un mois à compter de sa saisine.



« IV. – Les modalités d’application du présent article sont précisées par décret en Conseil d’État. »



I. – La loi n° 86-1067 du 30 septembre 1986 précitée est ainsi modifiée :



1° A (nouveau) À la première phrase du premier alinéa du III de l’article 33-1, après la référence : « 43-5 », sont insérés les mots : « ou mentionnés au second alinéa de l’article 43-2 » ;



1° B (nouveau) L’article 33-3 est complété par un III ainsi rédigé :



« III. – Par dérogation aux I et II, les services de médias audiovisuels à la demande relevant de la compétence de la France en application des articles 43-4 et 43-5 ou mentionnés au second alinéa de l’article 43-2 peuvent être diffusés sans formalité préalable. » ;



1° C (nouveau) Au premier alinéa de l’article 42, après le mot : « audiovisuelle », sont insérés les mots : « , les personnes dont l’activité est d’offrir un accès à des services de communication au public en ligne » ;



1° Après le même premier alinéa, il est inséré un alinéa ainsi rédigé :



« Les éditeurs et les distributeurs de services de communication audiovisuelle, les opérateurs de réseaux satellitaires et les prestataires techniques auxquels ces personnes recourent peuvent être mis en demeure de respecter les obligations imposées par les dispositions prises sur le fondement de l’article 215 du traité sur le fonctionnement de l’Union européenne portant sur l’interdiction de diffusion de contenus de services de communication audiovisuelle. » ;



2° Le premier alinéa de l’article 42-10 est ainsi modifié :



a) À la première phrase, après le mot : « loi », sont insérés les mots : « ou de la réglementation européenne prise sur le fondement de l’article 215 du traité sur le fonctionnement de l’Union européenne portant sur l’interdiction de diffusion de contenus de services de communication audiovisuelle » ;



b) (nouveau) À la seconde phrase, après le mot : « satellitaire », sont insérés les mots : « , par une personne dont l’activité est d’offrir un accès à des services de communication au public en ligne », après le mot : « télévision », sont insérés les mots : « ou d’un service de médias audiovisuels à la demande » et, après le mot : « France », sont insérés les mots : « ou mentionné au second alinéa de l’article 43-2 » ;



3° (nouveau) L’article 43-2 est complété par un alinéa ainsi rédigé :



« Les articles 1er, 15, 42, 42-1, 42-7 et 42-10 de la présente loi sont applicables aux services de médias audiovisuels à la demande diffusés en France et ne relevant pas de la compétence d’un autre État membre de l’Union européenne, d’un autre État partie à l’accord sur l’Espace économique européen ou d’un autre État partie à la Convention européenne, du 5 mai 1989, sur la télévision transfrontière. » ;



4° (nouveau) Au II de l’article 43-7, après le mot : « sens », sont insérés les mots : « du premier alinéa ».



II. – L’article 11 de la loi n° 2004-575 du 21 juin 2004 précitée est ainsi rédigé :



« Art. 11. – I. – L’Autorité de régulation de la communication audiovisuelle et numérique peut mettre en demeure toute personne mentionnée au I de l’article 1-1 de la présente loi de retirer les contenus ou de faire cesser la diffusion des contenus qui contreviennent aux dispositions prises sur le fondement de l’article 215 du traité sur le fonctionnement de l’Union européenne portant sur l’interdiction de diffusion de contenus provenant des personnes visées par les sanctions. La personne destinataire de la mise en demeure dispose d’un délai de soixante-douze heures pour présenter ses observations.



« II. – À l’expiration de ce délai et en cas d’inexécution, l’autorité peut notifier aux fournisseurs de services d’accès à internet ou aux fournisseurs de systèmes de résolution de nom de domaine définis au II de l’article 12 de la présente loi la liste des adresses électroniques des services de communication au public en ligne hébergeant ou diffusant des contenus provenant des personnes ayant fait l’objet de la mise en demeure, afin qu’elles empêchent dans un délai fixé par l’Autorité de régulation de la communication audiovisuelle et numérique l’accès à ces adresses. Toutefois, en l’absence d’éléments d’identification des personnes mentionnées au I de l’article 1-1, l’autorité peut procéder à cette notification sans avoir préalablement demandé le retrait ou la cessation de la diffusion des contenus dans les conditions prévues au même I.



« L’autorité peut également notifier les adresses électroniques dont les contenus contreviennent au I du présent article aux moteurs de recherche ou aux annuaires, lesquels prennent toute mesure utile destinée à faire cesser leur référencement.



« III. – L’autorité peut agir d’office ou sur saisine du ministère public ou de toute personne physique ou morale.



« IV. – En cas de méconnaissance de l’obligation de retirer les contenus ou de faire cesser la diffusion des contenus mentionnés au I du présent article, l’autorité peut prononcer à l’encontre de l’auteur de ce manquement, dans les conditions prévues à l’article 42-7 de la loi n° 86-1067 du 30 septembre 1986 relative à la liberté de communication, une sanction pécuniaire dont le montant, fixé en fonction de la gravité du manquement, ne peut excéder 4 % du chiffre d’affaires hors taxes réalisé au cours du dernier exercice clos calculé sur une période de douze mois ou, en l’absence de chiffre d’affaires, 250 000 euros. Ce maximum est porté à 6 % en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive ou, en l’absence de chiffre d’affaires, à 500 000 euros. La méconnaissance de l’obligation d’empêcher l’accès aux adresses notifiées ou de prendre toute mesure utile destinée à faire cesser le référencement du service de communication au public en ligne en application du second alinéa du II du présent article peut être sanctionnée dans les mêmes conditions. Dans ce dernier cas, l’amende ne peut toutefois excéder 1 % du chiffre d’affaires hors taxes réalisé au cours du dernier exercice clos calculé sur une période de douze mois ou, en l’absence de chiffre d’affaires, 75 000 euros. Ce maximum est porté à 2 % en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive ou, en l’absence de chiffre d’affaires, à 150 000 euros.



« Lorsque sont prononcées, à l’encontre de la même personne, une amende administrative en application du présent article et une amende pénale en application de l’article 459 du code des douanes à raison des mêmes faits, le montant global des amendes prononcées ne dépasse pas le maximum légal le plus élevé des sanctions encourues.



« V (nouveau). – Les modalités d’application du présent article sont précisées par décret en Conseil d’État. »



I. – Le code pénal est ainsi modifié :



1° L’article 131-35-1 est ainsi rétabli :



« Art. 131-35-1. – I. – Pour les délits mentionnés au II du présent article, le tribunal peut ordonner à titre complémentaire la suspension du ou des comptes d’accès à un ou plusieurs services en ligne ayant été utilisés pour commettre l’infraction, y compris si ces services n’ont pas constitué le moyen unique ou principal de cette commission. Le présent alinéa s’applique aux comptes d’accès aux services de plateforme en ligne définis au 4 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, aux services de réseaux sociaux en ligne et aux services de plateformes de partage de vidéo au sens du règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828.



« La suspension est prononcée pour une durée maximale de six mois ; cette durée est portée à un an lorsque la personne est en état de récidive légale.



« Le prononcé de la peine complémentaire mentionnée au premier alinéa du présent I et la dénomination du compte d’accès ayant été utilisé pour commettre l’infraction sont signifiés aux fournisseurs de services concernés. À compter de cette signification et pour la durée d’exécution de la peine complémentaire, ces derniers procèdent au blocage du ou des comptes faisant l’objet d’une suspension et mettent en œuvre, dans les limites prévues à l’article 46 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, des mesures permettant de procéder au blocage des autres comptes d’accès à leur service éventuellement détenus par la personne condamnée et d’empêcher la création de nouveaux comptes par la même personne.



« Le fait, pour le fournisseur, de ne pas procéder au blocage du ou des comptes faisant l’objet d’une suspension est puni de 75 000 euros d’amende.



« Pour l’exécution de la peine complémentaire mentionnée au premier alinéa du présent I et par dérogation au troisième alinéa de l’article 702-1 du code de procédure pénale, la première demande de relèvement de cette peine peut être portée par la personne condamnée devant la juridiction compétente à l’issue d’un délai de trois mois après la décision initiale de condamnation.



« II. – Les délits pour lesquels cette peine complémentaire est encourue sont :



« 1° Les délits prévus aux articles 222-33, 222-33-2, 222-33-2-1, 222-33-2-2, 222-33-2-3 et au deuxième alinéa de l’article 222-33-3 ;



« 2° Les délits prévus aux articles 225-4-13, 225-5, 225-6 et 225-10 ;



« 2° bis (nouveau) Les délits prévus aux articles 226-1 à 226-2-1, 226-4-1, 226-8 et 226-8-1 ;



« 3° Les délits prévus aux articles 227-4-2 et 227-22 à 227-24 ;



« 3° bis (nouveau) Les délits prévus aux articles 223-1-1, 226-10, 226-21, 226-22, 413-13 et 413-14 ;



« 3° ter (nouveau) Les délits prévus aux articles 312-10 à 312-12 ;



« 3° quater (nouveau) Les délits de provocation prévus aux articles 211-2, 223-13, 227-18 à 227-21, 412-8 et au deuxième alinéa de l’article 431-6 ;



« 4° Le délit prévu à l’article 421-2-5 ;



« 4° bis (nouveau) Les délits prévus aux articles 431-1, 433-3 et 433-3-1 ;



« 5° Les délits prévus aux cinquième, septième et huitième alinéas de l’article 24 et à l’article 24 bis de la loi du 29 juillet 1881 sur la liberté de la presse. » ;



2° (nouveau) L’article 131-6 est ainsi modifié :



a) Après le 12°, il est inséré un 12° bis ainsi rédigé :



« 12° bis L’interdiction, pour une durée de six mois au plus, d’utiliser un compte d’accès à un ou plusieurs services de plateforme en ligne définis au 4 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, services de réseaux sociaux en ligne et services de plateformes de partage de vidéo au sens du règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 ; le présent 12° bis s’applique lorsque l’infraction a été commise en recourant à un service en ligne, y compris si celui-ci n’a pas été le moyen unique ou principal de cette commission ; »



b) Au dernier alinéa, après la référence : « 12° », est insérée la référence : « , 12° bis » ;



3° (nouveau) Après le 13° de l’article 132-45, il est inséré un 13° bis ainsi rédigé :



« 13° bis Lorsque l’infraction a été commise en recourant à un service en ligne, y compris si celui-ci n’a pas été le moyen unique ou principal de cette commission, s’abstenir d’utiliser un compte d’accès à certains services en ligne désignés par la juridiction de condamnation ou par le juge d’application des peines ; le présent 13° bis est applicable aux services de plateforme en ligne définis au 4 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, aux services de réseaux sociaux en ligne et aux services de plateformes de partage de vidéo au sens du règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 ; ».



II (nouveau). – Après le 19° de l’article 41-2 du code de procédure pénale, il est inséré un 20° ainsi rédigé :



« 20° Ne pas utiliser, pour une durée qui ne saurait excéder six mois, un compte d’accès à un ou des services de plateforme en ligne définis au 4 du I de l’article 6 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, services de réseaux sociaux en ligne et services de plateformes de partage de vidéo au sens du règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828. »



L’article 12 de la loi n° 2004-575 du 21 juin 2004 précitée est ainsi rédigé :



« Art. 12. – I. – Lorsque l’un de ses agents spécialement désignés et habilités à cette fin constate qu’un service de communication au public en ligne réalise manifestement des opérations constituant les infractions mentionnées aux articles 226-4-1, 226-18 et 323-1 du code pénal et à l’article L. 163-4 du code monétaire et financier, l’autorité administrative met en demeure la personne dont l’activité est d’éditer le service de communication au public en ligne en cause, sous réserve qu’elle ait mis à disposition les informations mentionnées à l’article 1-1 de la présente loi, de cesser les opérations constituant l’infraction constatée. Elle l’informe également de la mesure conservatoire mentionnée au deuxième alinéa du présent I prise à son encontre et l’invite à lui adresser ses observations dans un délai de cinq jours.



« Simultanément, l’autorité administrative notifie l’adresse électronique du service concerné aux fournisseurs de navigateurs internet au sens du 11 de l’article 2 du règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828, aux fins de la mise en œuvre de mesures conservatoires.



« La personne destinataire d’une notification prend sans délai, à titre conservatoire, toute mesure utile consistant à afficher un message avertissant l’utilisateur du risque de préjudice encouru en cas d’accès à cette adresse. Ce message est clair, lisible, unique et compréhensible et permet aux utilisateurs d’accéder au site internet officiel du groupement d’intérêt public pour le dispositif national d’assistance aux victimes d’actes de cybermalveillance.



« Cette mesure conservatoire est mise en œuvre pendant une durée de sept jours.



« Lorsque l’autorité administrative, le cas échéant après avoir pris connaissance des observations de la personne dont l’activité est d’éditer le service de communication au public en ligne en cause, estime que le constat mentionné au premier alinéa du présent I n’est plus valable, elle demande sans délai aux personnes destinataires d’une notification de mettre fin aussitôt aux mesures conservatoires.



« II. – Lorsque la personne dont l’activité est d’éditer le service de communication au public en ligne en cause n’a pas mis à disposition les informations mentionnées à l’article 1-1 de la présente loi, lorsque celles-ci ne permettent pas de la contacter ou lorsqu’au terme du délai mentionné au premier alinéa du I du présent article, le cas échéant après que cette personne a fait valoir ses observations, il apparaît que le constat mentionné au même premier alinéa est toujours valable, l’autorité administrative peut, par une décision motivée, enjoindre aux fournisseurs de navigateurs internet au sens du 11 de l’article 2 du règlement (UE) 2022/1925 du Parlement européen et du Conseil du 14 septembre 2022 relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828, aux fournisseurs de services d’accès à internet ou aux fournisseurs de systèmes de résolution de noms de domaine de prendre sans délai toute mesure utile destinée à empêcher l’accès à l’adresse de ce service pour une durée maximale de trois mois. La décision de l’autorité administrative désigne quel fournisseur est chargé d’empêcher l’accès à l’adresse de ce service, en fonction de l’injonction émise et de la nature de la mesure envisagée.



« Les utilisateurs des services de communication au public en ligne auxquels l’accès est empêché en application des mesures mentionnées au premier alinéa du présent II sont dirigés vers une page d’information de l’autorité administrative compétente indiquant les motifs de la mesure de blocage.



« À l’issue de la durée prescrite au même premier alinéa, la mesure destinée à empêcher l’accès à l’adresse du service peut être prolongée de six mois au plus sur avis conforme de la personnalité qualifiée mentionnée au III. Une durée supplémentaire de six mois peut être prescrite selon la même procédure.



« L’autorité administrative établit une liste des adresses des services de communication au public en ligne dont l’accès a été empêché et vérifie, à l’approche de l’expiration de la durée prescrite au troisième alinéa du présent II, si ces mêmes adresses sont toujours actives et, le cas échant, si le constat de l’infraction est toujours valable.



« Pour l’application du premier alinéa du présent II, on entend par fournisseur de système de résolution de noms de domaine toute personne mettant à disposition un service permettant la traduction d’un nom de domaine en un numéro unique identifiant un appareil connecté à internet.



« Les décisions prises en application des deux premiers alinéas du présent II sont notifiées par l’autorité administrative, sous la réserve mentionnée au premier alinéa du I, à la personne dont l’activité est d’éditer le service de communication au public en ligne en cause.



« L’autorité peut également notifier les adresses électroniques dont les contenus contreviennent au même I aux moteurs de recherche ou aux annuaires, lesquels prennent toute mesure utile destinée à faire cesser leur référencement.



« L’autorité administrative peut à tout instant demander aux personnes mentionnées au premier alinéa du présent II de mettre fin aux mesures mentionnées au même premier alinéa lorsqu’il apparaît que le constat sur lequel elles étaient fondées n’est plus valable. Le cas échéant, elle informe la personne qualifiée mentionnée au III de sa décision.



« III. – L’autorité administrative transmet sans délai les demandes mentionnées aux I et II du présent article, ainsi que les adresses électroniques des services de communication en ligne concernés, à une personnalité qualifiée désignée en son sein par la Commission nationale pour l’informatique et les libertés pour la durée de son mandat au sein de la commission. La personnalité qualifiée s’assure du caractère justifié des mesures et des conditions d’établissement, de mise à jour, de communication et d’utilisation de la liste des adresses électroniques concernées. Elle peut saisir le collège de la Commission nationale de l’informatique et des libertés lorsque l’enjeu le justifie. Elle peut, à tout moment, enjoindre à l’autorité administrative de mettre fin aux mesures qu’elle a prises sur le fondement des mêmes I et II.



« Lorsque la personne dont l’activité est d’éditer le service de communication au public en ligne en cause saisit la personnalité qualifiée d’un recours administratif, le blocage est suspendu le temps de l’instruction de ce recours par la personnalité qualifiée.



« La personnalité qualifiée rend public chaque année un rapport d’activité, annexé au rapport public prévu à l’article 8 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, qui comporte des éléments notamment relatifs :



« 1° Au nombre et aux motifs des mesures conservatoires demandées en application du I du présent article ;



« 2° Au nombre, aux motifs et à la nature des mesures demandées en application du II du présent article ;



« 3° Au nombre d’adresses de services de communication au public en ligne concernées ;



« 4° Au nombre et à la nature des recommandations formulées à l’égard de l’autorité administrative ;



« 5° (nouveau) Au nombre de recours administratifs dont elle a été saisie et aux délais moyens d’instruction de ces recours ;



« 6° (nouveau) Aux moyens nécessaires à l’amélioration de ses conditions d’exercice.



« IV. – Tout manquement aux obligations définies au présent article par la personne destinataire d’une notification ou d’une injonction de l’autorité administrative est puni des peines prévues au 3 du IV de l’article 6.



« V. – Les modalités d’application du présent article, notamment la désignation de l’autorité administrative compétente ainsi que le contenu et les modalités de présentation du message d’avertissement, sont précisées par décret en Conseil d’État après avis de la Commission nationale de l’informatique et des libertés. »



La section 2 du chapitre II du titre IV du livre IV du code de commerce est complétée par un article L. 442-12 ainsi rédigé :



« Art. L. 442-12. – I. – Pour l’application du présent article, on entend par :



« 1° “Service d’informatique en nuage” : un service numérique qui permet l’administration à la demande et l’accès large à distance à un ensemble modulable et variable de ressources informatiques pouvant être partagées, y compris lorsque ces ressources sont réparties à différents endroits ;



« 2° “Avoir d’informatique en nuage” : un avantage temporaire octroyé par un fournisseur de services d’informatique en nuage à ses utilisateurs, utilisable sur ses différents services, sous la forme d’un montant de crédits offerts ou d’une quantité de services offerts.



« II. – Un fournisseur de services d’informatique en nuage ne peut octroyer un avoir d’informatique en nuage à une personne exerçant des activités de production, de distribution ou de services que pour une durée limitée qui ne peut excéder un an, y compris si l’octroi de cet avoir est renouvelé.



« L’octroi d’un avoir d’informatique en nuage ne peut être assorti d’une condition d’exclusivité de quelque nature que ce soit du bénéficiaire vis-à-vis du fournisseur de cet avoir.



« Les modalités d’application du présent II sont précisées par décret en Conseil d’État.



« III. – Il est interdit à tout fournisseur de services d’informatique en nuage de facturer, dans le cadre des contrats qu’il conclut avec une personne exerçant des activités de production, de distribution ou de services, des frais au titre du transfert de données vers les infrastructures de cette personne ou vers celles mises à disposition, directement ou indirectement, par un autre fournisseur.



« Les frais liés à un changement de fournisseur de services d’informatique en nuage, autres que ceux mentionnés au premier alinéa du présent III, sont autorisés jusqu’à la date mentionnée au II de l’article 36 de la loi n°       du       visant à sécuriser et réguler l’espace numérique, sous réserve que la facturation se limite aux coûts réels directement liés à ce changement et soit communiquée de façon transparente aux utilisateurs.



« En cas de désaccord sur la facturation des frais mentionnés au deuxième alinéa du présent III, l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut être saisie des différends dans les conditions prévues à l’article L. 36-8 du code des postes et des communications électroniques.



« IV. – Toute conclusion d’un contrat en violation des II et III du présent article est punie d’une amende administrative, dont le montant ne peut excéder 200 000 euros pour une personne physique et un million d’euros pour une personne morale. Le maximum de l’amende encourue est porté à 400 000 euros pour une personne physique et deux millions d’euros pour une personne morale, en cas de réitération du manquement dans un délai de deux ans à compter de la date à laquelle la première décision de sanction est devenue définitive.



« V (nouveau). – Il est interdit à toute personne de subordonner la vente d’un produit ou service à la conclusion concomitante d’un contrat de fourniture de services d’informatique en nuage dès lors que celle-ci constitue une pratique commerciale déloyale au sens de l’article L. 121-1 du code de la consommation. »



I. – Pour l’application du présent chapitre et des chapitres II bis A et II bis, on entend par :



1° « Service d’informatique en nuage » : le service défini au 1° du I de l’article L. 442-12 du code de commerce ;



2° « Actifs numériques » : tous les éléments en format numérique sur lesquels l’utilisateur d’un service d’informatique en nuage a un droit d’utilisation, y compris des actifs qui ne sont pas inclus dans le champ de sa relation contractuelle avec le service d’informatique en nuage. Ces actifs comprennent notamment les données, les applications, les machines virtuelles et les autres technologies de virtualisation, telles que les conteneurs ;



3° « Équivalence fonctionnelle » : un niveau minimal de fonctionnalité assuré dans l’environnement d’un nouveau service d’informatique en nuage après le changement de fournisseur, de manière à garantir aux utilisateurs un usage des éléments essentiels du service à des niveaux équivalents de performance, de sécurité, de résilience opérationnelle et de qualité que le service d’origine au moment de la résiliation du contrat.



II. – Les fournisseurs de services d’informatique en nuage assurent la conformité de leurs services avec les exigences essentielles :



1° D’interopérabilité, dans des conditions sécurisées, avec les services de l’utilisateur ou avec ceux fournis par d’autres fournisseurs d’informatique en nuage pour le même type de fonctionnalités ;



2° De portabilité des actifs numériques, dans des conditions sécurisées, vers les services de l’utilisateur ou vers ceux fournis par d’autres fournisseurs d’informatique en nuage couvrant le même type de fonctionnalités ;



3° De mise à disposition gratuite aux utilisateurs et aux fournisseurs de services tiers désignés par ces utilisateurs, à la fois, d’interfaces de programmation d’applications nécessaires à la mise en œuvre de l’interopérabilité et de la portabilité mentionnées aux 1° et 2° du présent II et d’informations suffisamment détaillées sur le service d’informatique en nuage concerné pour permettre aux utilisateurs ou aux services de fournisseurs tiers de communiquer avec ce service.



I. – L’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse précise les règles et les modalités de mise en œuvre des exigences mentionnées au II de l’article 8, notamment par l’édiction de spécifications d’interopérabilité et de portabilité.



Pour l’édiction de ces spécifications, l’autorité mentionnée au premier alinéa du présent I tient compte des spécificités propres aux infrastructures, aux plateformes et aux logiciels de services d’informatique en nuage. Elle peut, à cet effet, demander à un ou à plusieurs organismes de normalisation de lui faire des propositions. Elle veille également à la bonne articulation de ces spécifications avec celles éventuellement édictées par les autorités compétentes des autres États membres de l’Union européenne ou figurant au sein des codes de conduite européens relatifs aux services d’informatique en nuage.



II. – Les fournisseurs de services d’informatique en nuage se conforment aux obligations mentionnées au II de l’article 8 précisées, le cas échéant, par les décisions de l’autorité mentionnée au I du présent article.



Ils publient et mettent à jour régulièrement une offre de référence technique d’interopérabilité précisant les conditions de mise en conformité de leurs services avec les obligations mentionnées au II de l’article 8.



III. – Les fournisseurs de services d’informatique en nuage dont les services correspondent à des ressources informatiques modulables et variables limitées à des éléments d’infrastructure tels que les serveurs, les réseaux et les ressources virtuelles nécessaires à l’exploitation de l’infrastructure, sans donner accès aux services, aux logiciels et aux applications d’exploitation qui sont stockés, traités ou déployés sur ces éléments d’infrastructure, prennent les mesures en leur pouvoir afin de faciliter une équivalence fonctionnelle dans l’utilisation du service de destination, lorsqu’il couvre le même type de fonctionnalités.



IV. – Les conditions d’application du présent article, le délai de précision des règles et des modalités de mise en œuvre des exigences mentionnées au II de l’article 8 ainsi que le délai de mise en conformité des fournisseurs de services d’informatique en nuage à ces règles sont précisés par décret après consultation de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse.



I. – L’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut, de manière proportionnée aux besoins liés à l’accomplissement de ses missions, et sur la base d’une décision motivée :



1° Recueillir auprès des personnes physiques ou morales fournissant des services d’informatique en nuage les informations ou les documents nécessaires pour s’assurer du respect par ces personnes des obligations mentionnées au II de l’article 8 et aux II et III de l’article 9 ;



2° Procéder auprès de ces mêmes personnes à des enquêtes.



Ces enquêtes sont menées dans les conditions prévues aux II à IV de l’article L. 32-4 et à l’article L. 32-5 du code des postes et des communications électroniques.



L’autorité veille à ce que ne soient pas divulguées les informations recueillies en application du présent article, lorsqu’elles sont protégées par l’un des secrets mentionnés aux articles L. 311-5 à L. 311-8 du code des relations entre le public et l’administration.



II. – En cas de désaccord sur les conditions de mise en œuvre des obligations mentionnées au II de l’article 8 et aux II et III de l’article 9 de la présente loi, l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut être saisie des différends dans les conditions prévues à l’article L. 36-8 du code des postes et des communications électroniques.



Sa décision est motivée et précise les conditions équitables, d’ordre technique et financier, de mise en œuvre des obligations mentionnées au II de l’article 8 et aux II et III de l’article 9 de la présente loi.



III. – L’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut, soit d’office, soit à la demande du ministre chargé du numérique, d’une organisation professionnelle, d’une association agréée d’utilisateurs ou de toute personne physique ou morale concernée, sanctionner les manquements aux obligations mentionnées au II de l’article 8 et aux II et III de l’article 9 qu’elle constate de la part d’un fournisseur de services d’informatique en nuage.



Ce pouvoir de sanction est exercé dans les conditions prévues à l’article L. 36-11 du code des postes et des communications électroniques. Par dérogation aux dixième à douzième alinéas du III du même article L. 36-11, la formation restreinte de l’autorité mentionnée à l’article L. 130 du même code peut prononcer à l’encontre du fournisseur de services d’informatique en nuage en cause une sanction pécuniaire dont le montant est proportionné à la gravité du manquement et aux avantages qui en sont tirés, sans pouvoir excéder 3 % du chiffre d’affaires mondial hors taxes du dernier exercice clos, taux porté à 5 % en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive.



IV (nouveau). – Le président de l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse saisit l’Autorité de la concurrence des abus de position dominante et des pratiques entravant le libre exercice de la concurrence dont il pourrait avoir connaissance dans le secteur de l’informatique en nuage. Cette saisine s’effectue dans les conditions prévues à l’article L. 36-10 du code des postes et des communications électroniques.



L’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse est l’autorité compétente en matière de services d’intermédiation de données, en application de l’article 13 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données).



L’autorité est consultée sur les projets de lois et de décrets relatifs aux services d’intermédiation de données. Elle est associée, à la demande du ministre chargé du numérique, à la préparation de la position française dans les négociations internationales dans le domaine des services d’intermédiation de données. Elle participe, à la demande du même ministre, à la représentation française dans les organisations internationales et européennes compétentes en ce domaine.



L’autorité coopère avec les autorités compétentes des autres États membres de l’Union européenne, avec la Commission européenne et avec le comité européen de l’innovation dans le domaine des données institué à l’article 29 du même règlement, afin de veiller à une application coordonnée et cohérente de la réglementation.



I. – L’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut, de manière proportionnée aux besoins liés à l’accomplissement de ses missions, et sur la base d’une décision motivée :



1° Recueillir auprès des personnes physiques ou morales fournissant des services d’intermédiation de données les informations ou documents nécessaires pour s’assurer du respect par ces personnes des exigences définies au chapitre III du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ou dans les actes délégués pris pour son application ;



2° Procéder auprès des mêmes personnes à des enquêtes dans les conditions prévues aux II à IV de l’article L. 32-4 et à l’article L. 32-5 du code des postes et des communications électroniques.



Elle veille à ce que ne soient pas divulguées les informations recueillies en application du présent article, lorsqu’elles sont protégées par l’un des secrets mentionnés aux articles L. 311-5 à L. 311-8 du code des relations entre le public et l’administration.



II. – L’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse peut se saisir d’office ou être saisie par toute personne physique ou morale concernée, et notamment par le ministre chargé des communications électroniques, par une organisation professionnelle ou par une association agréée d’utilisateurs, de manquements aux exigences énoncées au chapitre III du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 précité de la part d’un prestataire de services d’intermédiation de données.



Elle exerce son pouvoir de sanction dans les conditions prévues à l’article L. 36-11 du code des postes et des communications électroniques.



Par dérogation au sixième alinéa du I du même article L. 36-11, le prestataire de services d’intermédiation de données qui a fait l’objet d’une mise en demeure par l’autorité consécutive à un manquement aux exigences mentionnées au chapitre III du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 précité doit s’y conformer dans un délai de trente jours.



Par dérogation aux dixième à douzième alinéas du III de l’article L. 36-11 du code des postes et des communications électroniques, la formation restreinte de l’autorité mentionnée à l’article L. 130 du même code peut prononcer à l’encontre du prestataire de services d’intermédiation de données en cause l’une des sanctions suivantes :



1° Une sanction pécuniaire dont le montant tient compte des critères fixés à l’article 34 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 précité, sans pouvoir excéder 3 % du chiffre d’affaires mondial hors taxes du dernier exercice clos, taux porté à 5 % en cas de nouvelle violation de la même obligation. À défaut d’activité permettant de déterminer ce plafond, la sanction ne peut excéder un montant de 150 000 euros, porté à 375 000 euros en cas de réitération du manquement dans un délai de cinq ans à compter de la date à laquelle la première décision de sanction est devenue définitive ;



2° La suspension de la fourniture du service d’intermédiation de données ;



3° La cessation de la fourniture du service d’intermédiation de données, dans le cas où le prestataire n’aurait pas remédié à des manquements graves ou répétés malgré l’envoi d’une mise en demeure en application du troisième alinéa du présent II.



L’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse saisit, avant toute décision, la Commission nationale de l’informatique et des libertés des pratiques de prestataires de services d’intermédiation de données de nature à soulever des questions liées à la protection des données à caractère personnel et tient compte de ses observations éventuelles.



Dans des conditions fixées par décret, cette autorité tient compte, le cas échéant, des observations éventuelles de la Commission nationale de l’informatique et des libertés lorsqu’elle traite :



1° Des demandes formulées par les prestataires de services d’intermédiation de données en application du paragraphe 9 de l’article 11 du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (règlement sur la gouvernance des données) ;



2° Des réclamations des personnes physiques ou morales ayant recours aux services d’intermédiation de données relatives au champ d’application du même règlement.



L’autorité informe la Commission nationale de l’informatique et des libertés de toute procédure ouverte en application du présent article. Elle lui communique, dans des conditions fixées par décret, toute information utile permettant à la commission de formuler ses observations éventuelles sur les questions liées à la protection des données à caractère personnel dans un délai de quatre semaines suivant la date de sa saisine. Le cas échéant, l’autorité tient la commission informée des suites données à la procédure.



La Commission nationale de l’informatique et des libertés communique à l’autorité les faits dont elle a connaissance dans le cadre de sa mission de contrôle du respect des exigences en matière de protection des données à caractère personnel et qui pourraient constituer des manquements de services d’intermédiation de données à leurs obligations au regard des dispositions du chapitre III du règlement (UE) 2022/868 du Parlement européen et du Conseil du 30 mai 2022 précité.

À la première phrase du cinquième alinéa de l’article L. 130 du code des postes et des communications électroniques, la première occurrence du mot « et » est remplacée par le signe « , » et sont ajoutés les mots : « ainsi que dans celles prévues au second alinéa du III de l’article 10 et aux quatrième à dernier alinéas du II de l’article 12 de la loi n°       du       visant à sécuriser et réguler l’espace numérique ».



I. – (Supprimé)



II (nouveau). – À titre expérimental et pour une durée de trois ans à compter de la promulgation de la présente loi, sont autorisés les jeux proposés par l’intermédiaire d’un service de communication au public en ligne qui permettent l’obtention, reposant sur un mécanisme faisant appel au hasard, par les joueurs ayant consenti un sacrifice financier, d’objets numériques monétisables, à l’exclusion de l’obtention de tout gain monétaire, sous réserve que ces objets ne puissent pas être cédés, directement ou indirectement par l’intermédiaire de toute personne physique ou morale, à titre onéreux à toute entreprise de jeux.



Constituent des objets numériques monétisables au sens du premier alinéa, à l’exclusion des actifs numériques relevant du 2° de l’article L. 54-10-1 du code monétaire et financier, les éléments de jeu qui confèrent aux seuls joueurs un ou plusieurs droits associés au jeu, et qui sont susceptibles d’être cédés, directement ou indirectement, à titre onéreux à des tiers.



Les entreprises de jeux à objets numériques monétisables s’assurent de l’intégrité, de la fiabilité, de la transparence des opérations de jeu et de la protection des mineurs. Elles veillent à prévenir le jeu excessif ou pathologique, les activités frauduleuses ou criminelles ainsi que le blanchiment de capitaux et le financement du terrorisme.



III (nouveau). – La liste des catégories de jeux autorisées à titre expérimental dans les conditions prévues au présent article est fixée par décret, après avis de l’Autorité nationale des jeux dont les observations tiennent notamment compte des risques de développement d’offres illégales de jeux en ligne.



IV (nouveau). – Au plus tard six mois avant la fin de l’expérimentation, le Gouvernement remet au Parlement un rapport d’évaluation sur les effets de cette expérimentation, proposant les suites à lui donner.



Le I de l’article 36 de la loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique est ainsi modifié :



1° À la deuxième phrase du cinquième alinéa, les mots : « ce cadre, ce service » sont remplacés par les mots : « le cadre de ses activités d’expérimentation et de recherche publique mentionnées aux cinquième et sixième alinéas, le service mentionné au premier alinéa » ;



1° bis (nouveau) À la troisième phrase du même cinquième alinéa, après le mot : « plateforme », sont insérés les mots : « et les fournisseurs de systèmes d’exploitation conservant les données des plateformes » ;



1° ter (nouveau) La dernière phrase dudit cinquième alinéa est remplacée par deux phrases ainsi rédigées : « Les données collectées dans le cadre des activités d’expérimentation mentionnées au cinquième alinéa sont détruites à l’issue des travaux, et au plus tard neuf mois après leur collecte. Les données collectées dans le cadre des activités de recherche publique mentionnées au sixième alinéa sont détruites à l’issue des travaux, au plus tard cinq ans après leur collecte. » ;



1° quater Les cinq dernières phrases du même cinquième alinéa, dans sa rédaction résultant des 1° à 1° ter du présent article, deviennent le septième alinéa ;



2° La première phrase de l’avant-dernier alinéa est complétée par les mots et une phrase ainsi rédigée : « , notamment à des fins de recherches contribuant à la détection, à la détermination et à la compréhension des risques systémiques dans l’Union au sens de l’article 34, paragraphe 1 du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques. Il bénéficie de l’accès aux données des fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne dans les conditions prévues à l’article 40, paragraphe 12, du même règlement, ainsi que de l’accès à ces mêmes données lorsqu’elles sont stockées sur des terminaux mobiles, avec le concours des fournisseurs de systèmes d’exploitation. » ;



3° Au dernier alinéa, le mot : « avant-dernier » est remplacé par le mot : « sixième ».



Le II de l’article L. 324-2-1 du code du tourisme est ainsi modifié :



1° Le premier alinéa est ainsi modifié :



a) Après les mots : « la commune », la fin de la première phrase est ainsi rédigée : « qui le demande a accès jusqu’au 31 décembre de l’année suivant celle au cours de laquelle un meublé de tourisme a été mis en location aux données de nature à lui permettre de contrôler le respect des obligations prévues au même article L. 324-1-1. Ces données sont mises à la disposition de la commune par l’organisme unique chargé de recueillir ces données qui lui sont transmises de manière électronique par les personnes mentionnées au I du présent article. » ;



b) La deuxième phrase est supprimée ;



2° Au dernier alinéa, les mots : « précise la fréquence et les modalités techniques de transmission des informations mentionnées au premier alinéa du présent II » sont remplacés par les mots : « désigne l’organisme unique mentionné au premier alinéa du présent II et détermine la nature des données mentionnées au même premier alinéa, leur durée de conservation, les délais de réponse, la fréquence et les modalités techniques de leur transmission » et les mots : « de la personne mentionnée au I à répondre aux demandes des communes » sont remplacés par les mots : « des personnes mentionnées au I à satisfaire à leur obligation de transmission des données à ce même organisme unique ».



Après l’article 7 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, il est inséré un article 7-1 ainsi rédigé :



« Art. 7-1. – Dans l’exercice de ses missions, le coordinateur pour les services numériques mentionné à l’article 49, paragraphe 2, du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques peut, dans le cadre d’une convention, recourir à l’assistance technique du service administratif de l’État mentionné à l’article 36 de la loi n° 2021-1382 du 25 octobre 2021 relative à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique, notamment pour toute question liée aux analyses de données, aux codes sources, aux programmes informatiques, aux traitements algorithmiques ou à l’audit des algorithmes.



« Le service administratif mentionné au premier alinéa du présent article peut, pour des travaux relevant de son domaine d’expertise, proposer son assistance technique au coordinateur pour les services numériques pour la conduite des missions de ce dernier.



« Le coordinateur pour les services numériques veille à associer le service administratif aux missions de coopération relatives au développement de l’expertise et des capacités de l’Union européenne en matière d’évaluation des questions systémiques et émergentes mentionnées à l’article 64 du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 précité.



« Lorsqu’il est sollicité au titre du présent article, le service administratif conduit ses travaux en toute indépendance. Il assure la confidentialité des informations recueillies dans le cadre de l’exercice de ses missions et limite leur utilisation aux seules fins nécessaires à ses missions.



« La convention mentionnée au premier alinéa du présent article précise les mécanismes de la coopération entre le coordinateur pour les services numériques et le service administratif, ainsi que les conditions propres à garantir la confidentialité des informations qu’ils se transmettent. »



Le titre Ier du livre Ier du code de justice administrative est complété par un chapitre V ainsi rédigé :



« Chapitre V



« Contrôle des opérations de traitement de données à caractère personnel effectuées par les juridictions administratives dans l’exercice de leur fonction juridictionnelle



« Art. L. 115-1. – Le Conseil d’État est chargé du contrôle des opérations de traitement des données à caractère personnel effectuées dans l’exercice de leur fonction juridictionnelle :



« 1° Par les juridictions administratives, sous réserve de l’article L. 453-1 du code de l’organisation judiciaire pour le Conseil supérieur de la magistrature et de l’article L. 111-18 du code des juridictions financières pour les juridictions régies par ce même code ;



« 2° Par le Tribunal des conflits.



« Ce contrôle est exercé, en toute indépendance, par une autorité constituée d’un membre du Conseil d’État, élu par l’assemblée générale, pour une durée de trois années, renouvelable une fois.



« L’autorité de contrôle veille à ce que les traitements de données personnelles soient mis en œuvre conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) et à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.



« Elle connaît des réclamations relatives aux opérations de traitements de données personnelles soumises à son contrôle.



« Pour l’exercice de ses missions, l’autorité de contrôle dispose des pouvoirs mentionnés à l’article 58 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité et aux articles 20, 21 et 22 de la loi n° 78-17 du 6 janvier 1978 précitée, excepté ceux relatifs au prononcé d’une astreinte ou d’une amende. Pour l’application des mêmes articles 20, 21 et 22, l’autorité de contrôle exerce indistinctement les compétences dévolues au président et à la formation restreinte de la commission mentionnée à l’article 8 de la même loi. Le secret ne peut lui être opposé.



« Elle dispose des ressources humaines, matérielles et techniques nécessaires à l’exercice de ses fonctions, fournies par le Conseil d’État.



« Les agents mis à la disposition de l’autorité de contrôle sont astreints au secret pour les faits, actes ou renseignements dont ils ont eu connaissance en raison de leurs fonctions, sous peine des sanctions prévues aux articles 226-13 et 413-10 du code pénal.



« L’autorité de contrôle adresse au vice-président du Conseil d’État et présente au Parlement un rapport public annuel. Ce rapport établit un bilan de son activité. Il peut comporter des observations et des recommandations relatives à son domaine d’intervention.



« Un décret en Conseil d’État précise les modalités d’application du présent article. »



I. – Le titre V du livre IV du code de l’organisation judiciaire est complété par un chapitre III ainsi rédigé :



« Chapitre III



« Contrôle des opérations de traitement des données à caractère personnel effectuées par les juridictions judiciaires et leur ministère public dans l’exercice de leur fonction juridictionnelle



« Art. L. 453-1. – La Cour de cassation est chargée du contrôle des opérations de traitement des données à caractère personnel effectuées, dans l’exercice de leur fonction juridictionnelle, par les juridictions judiciaires et par leur ministère public, ainsi que par le Conseil supérieur de la magistrature, dans l’exercice de ses fonctions disciplinaires.



« Ce contrôle est exercé, en toute indépendance, par une autorité constituée d’un conseiller à la Cour de cassation, élu par l’assemblée des magistrats du siège hors hiérarchie de ladite Cour, pour une durée de trois années, renouvelable une fois.



« L’autorité de contrôle veille à ce que les traitements de données personnelles soient mis en œuvre conformément au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) et à la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.



« Elle connaît des réclamations relatives aux opérations de traitement de données à caractère personnel soumises à son contrôle.