# Droit des données personnelles, plateformes et transparence algorithmique

Julien Rossi

► To cite this version:

Julien Rossi. Droit des données personnelles, plateformes et transparence algorithmique. Annales des Mines - Enjeux Numériques, 2025, 30, pp.8-12. hal-05100949

HAL Id: hal-05100949

https://hal.science/hal-05100949v1

Submitted on 6 Jun 2025

HAL is a multi-disciplinary open access
archive for the deposit and dissemination of sci-
entific research documents, whether they are pub-
lished or not. The documents may come from
teaching and research institutions in France or
abroad, or from public or private research centers.

L'archive ouverte pluridisciplinaire HAL, est
destinée au dépôt et à la diffusion de documents
scientifiques de niveau recherche, publiés ou non,
émanant des établissements d'enseignement et de
recherche français ou étrangers, des laboratoires
publics ou privés.

<figure><img src="image_1.png" /></figure>

Distributed under a Creative Commons Attribution 4.0 International License
# Droit des données personnelles, plateformes et transparence algorithmique

Par Julien ROSSI

Maître de conférences à l'Université Paris VIII

Les plateformes en ligne instituent des rapports de pouvoir au sein de la société, en particulier entre les différentes catégories de publics qu'elles mettent en relation. Cette intermédiation repose souvent sur la mise en œuvre d'algorithmes au fonctionnement opaque, tant au regard de l'individu concerné que de la collectivité. Le droit d'accès aux données à caractère personnel, aujourd'hui consacré à l'article 15 du RGPD, a été pour partie institué pour remédier à de pareilles situations d'asymétrie informationnelle.

Dans cet article, nous verrons que des évolutions jurisprudentielles récentes ouvrent la voie vers le développement des usages individuels, mais aussi collectifs, de ce droit d'accès, au service d'une meilleure transparence individuelle et d'une compréhension collective du pouvoir des plateformes.

> *Ce papier s'inscrit dans le cadre de travaux financés par l'Agence nationale de la recherche – projet DATARights, ANR-24-CE53-2287-01.*

Le terme de « plateforme » recouvre une grande variété de services différents qui ont pour point commun d'offrir un service d'intermédiation en ligne dont l'efficacité repose sur la capacité de collecte, traitement et valorisation de données (Srnicek, 2019). Leurs algorithmes produisent de nombreux effets de pouvoir (Rouvroy et Berns, 2013 ; Nieborg et al., 2024). Il existe ainsi des algorithmes qui décident de la censure ou, au contraire, de la promotion d'un contenu sur un réseau social (Badouard, 2020). D'autres encore affectent significativement les relations de travail (Pidoux, Dehaye et Gursky 2024). Tout ceci, souvent, dans des relations marquées par une grande opacité (Bruns 2019) au profit du pouvoir des plateformes, soulevant des questions telles que : comment des créateurs de contenus peuvent-ils savoir les critères selon lesquels leurs productions seront – ou non – mises en avant, suggérées et découvrables par des utilisateurs d'une plateforme de streaming musical ? Comment des chauffeurs de VTC peuvent-ils savoir comment se voir attribuer plus de courses, ou des courses plus rentables, par l'algorithme de la plateforme qui les met au travail ? Peut-on comprendre les raisons qui gouvernent les personnes avec qui nous sommes mis en relation par des applications de rencontre ?

Nous verrons ici qu'il existe plusieurs modalités prévues par le droit de l'Union européenne qui devraient permettre de trouver des réponses individuelles et collectives à ces questions. L'une d'entre elles repose sur la mise en œuvre du droit d'accès aux données à caractère personnel, renforcé d'abord par l'adoption du RGPD, puis par des évolutions récentes de la jurisprudence de la Cour de justice de l'Union européenne (CJUE), qui ouvrent la voie à une compréhension collective des relations de pouvoir construites par les plateformes numériques.
PLATEFORMES NUMÉRIQUES, DROIT D'ACCÈS AUX DONNÉES PERSONNELLES ET PORTABILITÉ

La grande diversité des services que l'on désigne par le terme de « plateforme » rend difficile la rédaction d'une définition permettant de tout inclure sans perdre de vue ce qui fait la spécificité de ce type de service. Airbnb, Deliveroo, Facebook, Instagram, Shein, Spotify, Tinder, TikTok, X... ces services n'ont pas tout à fait le même modèle d'affaires, ni le(s) même(s) public(s). Cette diversité se reflète dans celle des définitions différentes que l'on trouve dans le Droit, en fonction des secteurs qui ont fait, à partir de la fin des années 2010, l'objet d'une réglementation croissante. Dès 2016, la loi pour une République numérique<fnref n="1" /> introduisait dans notre droit national la définition – désormais abrogée<fnref n="2" /> – de la notion d'« opérateur de plateforme en ligne ». Plus tard, l'UE adoptait le règlement dit Plateform-to-Business<fnref n="3" />, s'appliquant aux « services d'intermédiation en ligne » ; puis le Règlement sur les marchés numériques<fnref n="4" /> (Digital Markets Act – DMA) encadrait les plateformes désignées par la Commission comme « contrôleurs d'accès » en raison de leur capacité à conditionner l'accès aux marchés sur lesquels elles assurent l'intermédiation. Enfin, le Règlement sur les services numériques<fnref n="5" /> (Digital Services Act, DSA) définit quant à lui une plateforme comme étant « un service d'hébergement qui, à la demande d'un destinataire du service, stocke et diffuse au public des informations ». Le considérant 13 du DSA permet de mieux comprendre la distinction opérée entre un simple hébergeur, tel qu'on le connaît depuis la directive sur le commerce électronique de 2000⁶, et la plateforme : cette dernière ne se contente pas de stocker, mais aussi de diffuser l'information au public. Cette diffusion – et, pourrions-nous ajouter, le contrôle des modalités de cette diffusion – n'y est pas une caractéristique mineure, mais le cœur de son activité.

Or, nombre de données traitées par les plateformes revêtent le caractère de données à caractère personnel, définies à l'article 4 (1) du RGPD comme recouvrant « toute information se rapportant à une personne physique identifiée ou identifiable [...] directement ou indirectement ». Dès lors, et sans même aborder la question d'éventuelles données collectées sur des personnes non-utilisatrices<fnref n="7" />, les plateformes sont responsables du traitement de ces données, et doivent notamment garantir aux personnes concernées par le traitement de leurs données un certain nombre de droits, dont le droit d'y accéder en vertu de l'article 15 de ce règlement, dans un délai d'un mois (hors exception tenant compte de la complexité de la demande ; art. 12 (3) du RGPD). Lorsque la demande d'accès

<footnote n="1">¹ Article 49 de la loi n°2016-1321 du 7 octobre 2016.</footnote>

<footnote n="2">² Le paragraphe I. de l'article L.111-7 du Code de la consommation a été abrogé par l'article 52 de la loi 2024-449 du 21 mai 2024 visant à sécuriser l'espace numérique, dans le cadre de l'adaptation du droit français au DSA et au DMA.</footnote>

<footnote n="3">³ Règlement 2019/1150.</footnote>

<footnote n="4">⁴ Règlement 2022/1925.</footnote>

<footnote n="5">⁵ Règlement 2022/2065.</footnote>

<footnote n="6">⁶ Directive 2000/31.</footnote>

<footnote n="7">⁷ Google avait fait l'objet de sanctions en France pour avoir collecté de manière illicite des données sur des internautes non-utilisateurs de leurs services (Cnil, Délibération 2013-420 du 3 janvier 2014). En Belgique, l'injonction contre Facebook obtenue en référé en 2018 par l'Autorité de Protection des données et l'obligeant à arrêter le pistage des internautes non-inscrits doit encore faire l'objet d'un jugement suite à la cassation en 2023 d'une première décision d'appel (Cour de cassation belge, 10 mars 2023, arrêt C.22.0271.N).</footnote>
est faite sous une forme électronique, le demandeur peut demander à ce que la réponse prenne la même forme, lorsque c'est possible.

Le droit d'accès de l'article 15 du RGPD est complété par son article 20, qui consacre le droit d'une personne concernée de recevoir les données qu'il a lui-même fournies dans un format structuré et lisible par la machine et de les transférer ainsi, le cas échéant, d'une plateforme à une autre. Mais ce droit à la portabilité ne concerne pas les données qui auraient par exemple été inférées par un algorithme. L'article 6 (9) du Règlement sur les marchés numériques (Digital Markets Act – DMA) complète alors ce droit en imposant à certains services de plateforme essentiels désignés par la Commission européenne en raison de leur poids dans le marché intérieur d'intégrer les données « générées par l'activité de l'utilisateur final » dans cette portabilité. Enfin, le Règlement sur les données (Data Act) prévoit, dans son article 3 (1), un droit d'accès aux données produites par les objets connectés que l'on possède, que celles-ci soient à caractère personnel ou non.

## DE L'ACCÈS INDIVIDUEL À LA COMPRÉHENSION COLLECTIVE DES DONNÉES DES PLATEFORMES

Le droit d'accès ne revêtirait qu'un piètre intérêt du point de vue de la transparence algorithmique s'il ne s'étendait pas aux données inférées, ni si son exercice était trop étroitement conditionné. Or, un arrêt de la CJUE de 2014 avait d'abord considérablement affaibli le droit d'accès<fnref n="8" />. Interprétant la directive de 1995 aujourd'hui remplacée par le RGPD, la Cour avait jugé qu'une analyse juridique portant sur les données personnelles du demandeur d'un titre de séjour n'était pas une donnée à caractère personnel. Elle avait alors distingué les données sur lesquelles portaient l'analyse de l'analyse elle-même, et, partant, dit pour droit qu'une demande d'accès formulée par un tel demandeur pouvait être satisfaite par un simple « aperçu complet des [ses] données sous une forme intelligible<fnref n="9" /> ». L'accès à l'analyse (donc aux inférences) n'était pas nécessaire. De plus, la CJUE suivit à cette occasion un raisonnement téléologique qui semblait subordonner l'exercice du droit d'accès à une justification fondée sur l'utilité de la demande pour évaluer la licéité d'un traitement de données à caractère personnel. Bart Custers et Helena Vrabec (2024) en ont conclu que cet arrêt limiterait à l'avenir la possibilité d'accéder à ses données lorsque celles-ci sont inférées par un algorithme, ses inférences pouvant s'assimiler alors à des analyses détachables des données à caractère personnel. La CJUE semble toutefois avoir adopté, au cours d'une série d'arrêts récents, un virage en matière de droit d'accès.

Une « donnée à caractère personnel » se conçoit comme une « toute information » (art. 4 (1) RGPD) relative à une personne physique identifiée ou identifiable, directement ou indirectement. Une fois son identité vérifiée (pour éviter que la demande d'accès se transforme en faille de sécurité béante) cette personne physique doit pouvoir accéder à ces informations qui la concernent de manière claire et intelligible. La CJUE a ainsi admis en 2023 que cela pouvait inclure y compris « une reproduction fidèle et intelligible de l'ensemble de ces données<fnref n="10" /> ». La même année, la Cour précisait que le demandeur devait pouvoir accéder aux données qu'il a lui-même transmises, mais aussi à toutes les métadonnées associées à celles-ci, à toutes les données qu'un responsable du traitement aurait récupérées par des tiers et à toutes les données inférées algorithmiquement<fnref n="11" />. D'ailleurs, pour aider à

<footnote n="8">⁸ CJUE 17 juillet 2014, Y.S. contre Minister voor Immigratie, Integratie en Asiel, aff. j. C141/12 et C372/12.</footnote>

<footnote n="9">⁹ CJUE 17 juillet 2014, Y.S. contre Minister voor Immigratie, Integratie en Asiel, aff. j. C141/12 et C372/12, art. 2.</footnote>

<footnote n="10">¹⁰ CJUE 4 mai 2023, CRIF, aff. C-487/21, art. 1.</footnote>

<footnote n="11">¹¹ CJUE 7 décembre 2023, SCHUFA Holding, aff. C-634/21, pts. 23, 56 et 63.</footnote>
la compréhension de ces dernières, l'alinéa 1 sous h) de l'article 15 du RGPD permet de connaître les « informations utiles concernant la logique sous-jacente » des algorithmes de décision automatisée ou de profilage. Enfin, en octobre 2024, la CJUE a jugé que « l'obligation de fournir à la personne concernée, à titre gratuit, une première copie de ses données à caractère personnel faisant l'objet d'un traitement s'impose au responsable du traitement même lorsque cette demande est motivée dans un but étranger<fnref n="12" /> » à la vérification de la licéité d'un traitement ou de l'exactitude des données.

Le droit d'accès n'est pas pour autant absolu. L'article 23 du RGPD permet aux États membres d'adopter des restrictions, par exemple pour la sécurité ou la défense nationale. Même en dehors de ces domaines, il est possible de refuser les demandes « manifestement infondées ou excessives » (art. 12 (5) du RGPD). La communication de la copie des données doit en outre tenir compte des droits des tiers : droit, notamment à la vie privée, des autres personnes concernées par le même jeu de données ; mais aussi droit de la propriété intellectuelle ou secret des affaires. Néanmoins, un responsable du traitement est alors « tenu de communiquer [l]es informations prétendument protégées à l'autorité de contrôle ou à la juridiction compétente, auxquelles il incombe de pondérer les droits et les intérêts en cause aux fins de déterminer l'étendue du droit d'accès de la personne concernée<fnref n="13" /> ». Enfin, l'article 15 (3) du RGPD permet de facturer les « frais [...] basés sur les coûts administratifs pour toute copie supplémentaire demandée par la personne concernée », mais ceux-ci doivent demeurer « raisonnables » et cela ne concerne de toute façon pas les nouvelles demandes pouvant intervenir à « intervalles raisonnables » (cons. 63 du RGPD).

La principale limite reste que l'accès transparent à ses propres données ne permet pas toujours une véritable compréhension des enjeux collectifs soulevés par les rapports de pouvoir institués par les algorithmes des grandes plateformes, même si elle reste intéressante. En 2019, Judith Duportail (2019) publiait par exemple une enquête sur l'algorithme de l'application de rencontre Tinder, à partir de l'exégèse des seules données associées à son propre profil. Mais comme l'ont rappelé la Cnil et le Défenseur des Droits (DDD) dans un rapport conjoint de 2020 : « les effets discriminatoires des algorithmes ne sont bien souvent mesurables par les chercheurs qu'à l'échelle des groupes » (Cnil et DDD, p. 6). Une solution est que des individus se constituent en collectifs pour partager leurs données – récupérées par le droit d'accès de l'article 15 du RGPD, ou l'un des autres mécanismes d'accès aux données précédemment discutés – pour en examiner et en comprendre ensemble les effets (Mahieu, Ashgari et van Eeten, 2018). Cela peut se faire, le cas échéant, avec l'appui d'organisations de la société civile et de laboratoires de recherche, comme l'ont fait, en Suisse, un collectif de chauffeurs travaillant pour la plateforme Uber (Pidoux, Dehaye et Gursky, 2024), leur permettant notamment de calculer le ratio entre le temps passé à travailler sans être payé (entre deux courses) et le temps rémunéré.

## CONCLUSION

Le droit d'accès aux données personnelles permet donc aujourd'hui, compte tenu de l'évolution des textes et de la jurisprudence, d'ouvrir des pistes pour, au-delà de la transparence que ce droit offre aux individus, construire une compréhension collective des rapports de pouvoir institués par les plateformes. Cette démarche pourra être utilement appuyée par la poursuite de la stratégie des autorités de protection des données européennes, qui ont publié, début 2025 (CEPD, 2025), un rapport sur des actions coordonnées de contrôle du respect du droit d'accès. Enfin, l'entrée en application à venir des dispositions du DSA permettant l'accès à des chercheurs agréés aux données des très grandes plateformes en

<footnote n="12">¹² CJUE 26 octobre 2023, FT contre DW, aff. C-307/22, art. 1.</footnote>

<footnote n="13">¹³ CJUE 27 février 2025, Dun & Bradstreet Austria GmbH, aff. C-203/22, art. 2.</footnote>
ligne devrait compléter le dispositif existant et faciliter cette compréhension collective du pouvoir des plateformes, renforçant ainsi pour les plus puissantes d'entre elles les possibilités déjà offertes par le RGPD.

## RÉFÉRENCES CITÉES

BADOUARD R. (2020), *Les nouvelles lois du web : modération et censure*, La République des idées. Paris, Seuil.

BRUNS A. (2019), “After the ‘APIcalypse’: Social media platforms and their fight against critical scholarly research”, *Information, Communication & Society*, vol. 22, n°11, pp. 15441566.

CEPD (Comité européen de protection des données) (2025), “2024 Coordinated Enforcement Action. Implementation of the right of access by controllers”, Adopté le 16 janvier.

CNIL (Commission nationale de l'informatique et des libertés) et DDD (Défenseur des droits) (2020), « Algorithmes : prévenir l'automatisation des discriminations ».

CUSTERS B. & VRABEC H. (2024), “Tell me something new: data subject rights applied to inferred data and profiles”, *Computer Law & Security Review*, vol. 52, 1059-56.

DUPORTAIL J. (2019), *L'amour sous algorithme*, Paris, Éditions Goutte d'or.

MAHIEU R., ASHGARI H. & VAN EETEN M. (2018), “Collectively exercising the right of access: individual effort, societal effect”, *Internet Policy Review*, vol. 7, n°3.

NIEBORG D., POELL T., CAPLAN R. & VAN DIJCK J. (2024), “Introduction to the Special Issue on locating and theorising platform power”, *Internet Policy Review*, vol. 13, n°2.

PIDOUX J., DEHAYE P-O. & GURSKY J. (2024), “Governing work through personal data: The case of Uber drivers in Geneva”, *First Monday*, vol. 29, n°2.

ROUVROY A. & BERNS T. (2013), « Gouvernementalité algorithmique et perspectives d'émancipation : Le disparate comme condition d'individuation par la relation ? », *Réseaux*, n°177, pp. 163-196.

SRNICEK N. (2019), *Platform Capitalism*, Cambridge Malden, Polity.