# La loi SREN et le droit du numérique européen

Par Mélanie CLÉMENT-FONTAINE
Professeur de droit privé à l'Université Paris-Saclay
UVSQ – Laboratoire DANTE

Publié : Revue Lamy Droit de l'Immatériel, N° 218, 1er octobre 2024, éclairage

> La loi visant à sécuriser et à réguler l'espace numérique qui a été adopté ce printemps par la France est touffue, ambitieuse et embarrassante à bien des égards tant elle empiète sur le domaine législatif européen. Son étude permet d'illustrer parfaitement qu'à présent, la réglementation du numérique est de la compétence de l'Union européenne qui a su faire émerger un véritable « droit du numérique ».

## L. n° 2024-449, 21 mai 2024, visant à sécuriser et à réguler l'espace numérique

La France a fait le choix, une nouvelle fois<fnref n="1" />, de se doter d'une loi transversale pour régir le secteur du numérique. Il s'agit de la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, dite loi SREN. Ce choix est aussi opportun qu'inopportun au regard des nouvelles dispositions juridiques adoptées par l'Union européenne qui ont été particulièrement nombreuses ces deux dernières années, notamment avec le règlement sur les services numériques (*Digital Services Act* ou *DSA*<fnref n="2" />), le règlement sur les marchés numériques (*Digital Markets Act* ou *DMA*<fnref n="3" />), le règlement sur la gouvernance des données (*Data Governance Act* ou *DGA*<fnref n="4" />), celui pour l'équité de l'accès aux données et de l'utilisation des données (*Data Act*<fnref n="5" />) ou celui concernant l'intelligence artificielle (*AI Act*<fnref n="6" />).

D'un côté, la loi SREN permet à la France de se doter de dispositions nécessaires à la mise en œuvre de ces nouveaux règlements européens. De l'autre, la loi SREN anticipe inutilement l'adoption de ces textes, voire empiète sur leur champ d'application. En somme, le calendrier législatif de la France était, à bien des égards, contestable. En effet, lorsque le projet de loi a été déposé au Sénat le 10 mai 2023, les règlements de l'Union, précédemment cités, étaient en

<footnote n="1">¹ L. n° 2016-1321, 7 oct. 2016, pour une République numérique.</footnote>

<footnote n="2">² Règl. (UE) 2022/2065, 19 oct. 2022, relatif à un marché unique des services numériques et modifiant la directive 2000/31/CE (« règlement sur les services numériques ») : JCP G 2023, doctr. 220, étude E. Dubout ; JCP E 2023, 1026, étude L. Badiane, M. Bourgeois, T. Castelan, L. Bataille, J. Dehavay et S. de Kermenguy ; CCE 2023, étude 3, G. Loiseau.</footnote>

<footnote n="3">³ Règl. (UE) 2022/1925, 14 sept. 2022, relatif aux marchés contestables et équitables dans le secteur numérique et modifiant les directives (UE) 2019/1937 et (UE) 2020/1828 (« règlement sur les marchés numériques ») : M. Behar-Touchais, « Le droit européen des relations contractuelles entre les plateformes du numériques et les professionnels », RAE 2022, tome 3, p. 441.</footnote>

<footnote n="4">⁴ Règl. (UE) 2022/868, 30 mai 2022, portant sur la gouvernance européenne des données et modifiant le règlement (UE) 2018/1724 (« règlement sur la gouvernance des données »).</footnote>

<footnote n="5">⁵ Règl. (UE) 2023/2854, 13 déc. 2023, concernant des règles harmonisées portant sur l'équité de l'accès aux données et de l'utilisation des données et modifiant le règlement (UE) 2017/2394 et la directive (UE) 2020/1828 (« règlement sur les données ») : R. Perray, « Data Act : une loi pour mieux distribuer la manne des données », JDI 2024, doctr. 6 ; G. Desgens-Pasanau, « Nouveau règlement européen sur les données (Data Act) - Quelles conséquences pour les professionnels ? Morceaux choisis et premiers éléments d'analyse », CCE mai 2024, n° 5.</footnote>

<footnote n="6">⁶ Règl. (UE) 2024/1689, 13 juin 2024, établissant des règles harmonisées concernant l'intelligence artificielle et modifiant les règlements (CE) n° 300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (« règlement sur l'intelligence artificielle »).</footnote>
cours d'adoption, c'est-à-dire dans la phase de discussions et de recherche de consensus entre États. Plus encore, en adoptant la procédure accélérée<fnref n="7" />, le gouvernement semblait vouloir, à dessein, devancer l'adoption de ces règlements. Ce faisant, il a pris le risque de devoir revoir sa copie en cas d'incompatibilité de la législation nationale avec la loi de l'Union européenne, en vertu du principe de primauté du droit de l'Union. À ce titre, l'eurodéputé Geoffroy Didier (LR, PPE) avait interpellé la Commission européenne<fnref n="8" />, ce qui offrit l'occasion au Commissaire européen au marché intérieur, Thierry Breton, de rappeler à la France que « compte tenu de l'effet d'harmonisation complète» du DSA et du DMA, «les États membres devraient s'abstenir d'adopter des législations nationales qui feraient double emploi avec ces règlements ou qui créeraient des dispositions plus strictes ou plus détaillées dans les domaines réglementaires concernés». La Commission européenne avait d'autres raisons d'être contrariée par les initiatives de la France : deux projets de loi, l'un sur les influenceurs commerciaux<fnref n="9" />, l'autre sur la majorité numérique<fnref n="10" />, étaient alors en cours d'évaluation. La Commission considéra en août 2023¹¹ que ces dispositions contredisaient le DSA et qu'elles présentaient un risque de fragmentation du marché unique européen. Cette fois déjà, le calendrier législatif avait été mené au pas de course et la France n'avait pas attendu pour promulguer ces lois, au mépris du droit de l'Union européenne<fnref n="12" />.

Malgré ce précédent et les avertissements successifs, ce qui risquait d'arriver arriva : le télescopage ne put être évité, si bien que le projet de loi SREN a essuyé deux avis circonstanciés<fnref n="13" /> de la part de la Commission qui, par là même, a constaté l'incompatibilité du projet avec les textes européens, et en particulier la directive sur le commerce électronique<fnref n="14" /> et le DSA. Par ailleurs, le Conseil constitutionnel a censuré la loi sur plusieurs points<fnref n="15" />. Enfin, bien que la Commission ait renoncé à poursuivre la France, laquelle n'a pourtant pas jugé utile de notifier la nouvelle mouture de la loi avant sa promulgation, il se peut que certaines de ses dispositions ne résistent pas à l'examen de la CJUE.

Il est vain de vouloir présenter de manière exhaustive en quelques lignes la loi SREN tant son champ matériel est large – protection des mineurs<fnref n="16" />, protection des internautes notamment par la lutte contre les contenus illicites<fnref n="17" />, concurrence dans le secteur du cloud<fnref n="18" />, jeux de hasard<fnref n="19" />,

<footnote n="7">⁷ Prévue à l'article 45, alinéa 2, de la Constitution : le projet a en effet été déposé le 10 mai 2023 par le gouvernement au Sénat, qui l'a adopté le 5 juillet 2023. Après les modifications apportées par l'Assemblée nationale publiées le 17 octobre 2023, la commission mixte paritaire a remis son texte fin mars. Le 10 avril 2024, le texte était adopté par les deux chambres du Parlement. Un an a suffi entre le dépôt du projet et sa promulgation.</footnote>

<footnote n="8">⁸ Question avec demande de réponse écrite à la Commission n° E-001957/2023, 16 juin 2023, G. Didier (PPE), règl. int., art. 138.</footnote>

<footnote n="9">⁹ L. n° 2023-451, 19 juin 2023, visant à encadrer l'influence commerciale et à lutter contre les dérives des influenceurs sur les réseaux sociaux (notification 2023/237/FR).</footnote>

<footnote n="10">¹⁰ L. n° 2023-566, 7 juill. 2023, visant à instaurer une majorité numérique et à lutter contre la haine en ligne, (notification 2023/362/FR).</footnote>

<footnote n="11">¹¹ Avis circonstancié, 14 août 2023, Ares(2023)5596438.</footnote>

<footnote n="12">¹² V. *supra* la procédure de notification.</footnote>

<footnote n="13">¹³ Le premier avis (C(2023) 7471 final) date du 25 octobre 2023, en réponse à la Notification 2023/461/FR de la France ; le second (C(2024) 389 final) date du 7 janvier 2024, en réponse à la Notification 2023/632/FR de la France.</footnote>

<footnote n="14">¹⁴ Dir. 2000/31/CE, 8 juin 2000, relative à certains aspects juridiques des services de la société de l'information, et notamment du commerce électronique, dans le marché intérieur (« directive sur le commerce électronique »).</footnote>

<footnote n="15">¹⁵ Cons. const., 17 mai 2024, n° 2024-866 DC.</footnote>

<footnote n="16">¹⁶ Loi SREN, titre I, art. 1 à 6.</footnote>

<footnote n="17">¹⁷ *Ibid*, titre II, art. 7 à 25.</footnote>

<footnote n="18">¹⁸ *Ibid*, titre III (« renforcer la confiance et la concurrence dans l'économie de la donnée »), art. 26 à 39.</footnote>

<footnote n="19">¹⁹ *Ibid*, titre IV, art. 40 à 41.</footnote>
accès de l'État aux données aux fins d'analyse des marchés numériques<fnref n="20" />, gouvernance et régulation<fnref n="21" />, données personnelles<fnref n="22" />. Chacun de ces domaines nécessite une analyse particulière et entraîne une adaptation du droit national<fnref n="23" /> et en particulier du Code de la consommation, du Code de commerce et du Code électoral, ainsi que des lois majeures dans le domaine du numérique telles que la loi pour la confiance dans l'économie numérique<fnref n="24" />, la loi relative à la liberté de communication<fnref n="25" /> ou encore la loi informatique et libertés<fnref n="26" />.

En revanche, une vue d'ensemble de la loi SREN, que ce soit l'entièreté de son champ matériel d'application ou les circonstances de son adoption, présente l'intérêt de confirmer deux grandes tendances de l'évolution du cadre juridique relatif au numérique : premièrement le secteur du numérique est avant tout une affaire européenne ; deuxièmement, le droit du numérique a grandement gagné en maturité.

# I. Le droit du numérique : le domaine de l'Union européenne

En 2016, la France adoptait sa première grande loi du numérique<fnref n="27" />, en ce sens qu'elle brossait toutes les préoccupations majeures du moment et dessinait, de la sorte, la vision « française » de ce que devait être l'espace numérique. Moins de dix ans se sont écoulés depuis, et il semble déjà incongru que la France procède de manière similaire avec la loi SREN. Pourquoi cela ?

Le contexte a profondément changé : tout d'abord, en 2016, un vent optimiste souffle encore. Internet est perçu principalement comme un espace d'échange (on ouvre l'accès aux contenus numériques) ; on insiste plus que l'on contraint les plateformes à être loyales vis-à-vis des internautes ; bien sûr on rappelle la protection des données personnelles ; enfin, à titre symbolique, une consultation nationale en ligne sur le texte de l'avant-projet de loi est mise en place. Chacun peut donc fournir un avis argumenté sur le texte. En 2024, les thèmes de la loi SREN sont bien plus sombres : il s'agit de protéger les internautes de tous âges contre les manipulations aux mille visages avec en toile de fond la sauvegarde de nos institutions garantes de notre système démocratique. Or un tel objectif ne peut pas se concevoir utilement à l'échelle nationale. C'est aujourd'hui à l'échelle européenne que les 27 États tentent de protéger les citoyens non sans mal (faut-il encore qu'ils arrivent à se mettre d'accord), mais avec efficacité, si l'on en juge les règlements adoptés les uns après les autres, alors qu'il n'y a pas si longtemps la forme privilégiée était la directive<fnref n="28" />. Dans ce nouveau contexte, l'initiative de la France est anachronique. Avec la loi SREN, le gouvernement ne s'est pas contenté d'un projet de loi qui accompagne l'adoption du cadre juridique de l'Union européenne en désignant notamment les nouvelles instances de régulation, mais il a voulu que soit consacrée sa vision nationale de la régulation du numérique. Qu'importe, ce faisant, la loi SREN nous offre l'occasion de rappeler

<footnote n="20">²⁰ *Ibid*, titre V, art. 42 à 43</footnote>

<footnote n="21">²¹ *Ibid*, titre VI, art. 44.</footnote>

<footnote n="22">²² *Ibid*, titre VII, art. 45 à 47.</footnote>

<footnote n="23">²³ *Ibid*, titre VIII, art. 48 à 62.</footnote>

<footnote n="24">²⁴ L. n° 2004-575, 21 juin 2004, pour la confiance dans l'économie numérique (LCEN).</footnote>

<footnote n="25">²⁵ L. n° 86-1067, 30 sept. 1986, relative à la liberté de communication (Loi Léotard).</footnote>

<footnote n="26">²⁶ L. n° 78-17, 6 janv. 1978, relative à l'informatique, aux fichiers et aux libertés (Loi informatique et libertés)</footnote>

<footnote n="27">²⁷ L. n° 2016-1321, 7 oct. 2016, préc.</footnote>

<footnote n="28">²⁸ Les deux dernières directives en ce domaine ont été d'une part la directive (UE) 2019/770 du 20 mai 2019 relative à certains aspects concernant les contrats de fourniture de contenus numériques et de services numérique, et d'autre part, la directive (UE) 2019/771 du 20 mai 2019 relative à certains aspects concernant les contrats de vente de biens, modifiant le règlement (UE) 2017/2394 et la directive 2009/22/CE et abrogeant la directive 1999/44/CE.</footnote>
brièvement les mécanismes européens d'harmonisation du droit à savoir la procédure de
notification et le principe du pays d'origine.

Ensuite, ces dernières années, le droit du numérique s'est construit principalement à partir de règlements, à savoir des textes directement applicables qui ne nécessitent pas de transposition nationale. En conséquence, la règle qui prévaut consiste à imposer à chaque État de s'abstenir de légiférer en ces domaines. La Commission y veille grâce à la procédure de notification prévue par la directive (UE) 2015/1535 du 9 septembre 2015²⁹ et applicable dans le domaine des réglementations techniques et des règles relatives aux services de la société de l'information. C'est donc en application de cette procédure que la France a, à deux reprises, notifié le texte du projet de loi SREN à la Commission, tout d'abord au stade du projet, puis à la suite des modifications apportées par les parlementaires. En l'espèce, les deux avis dits circonstanciés qui suivirent ces notifications ont été les plus sévères que la Commission puisse rendre, dans la mesure où ils constatent l'incompatibilité du projet au droit européen, de sorte que l'État concerné doit suivre l'avis de la Commission afin d'échapper à d'éventuelles poursuites. L'un des principaux reproches qui était fait au projet de loi était de ne pas avoir respecté le principe du pays d'origine, pourtant essentiel dans le processus d'harmonisation du droit à l'échelle de l'Union européenne. En effet, pour assurer la libre circulation des services de la société de l'information entre les États membres, la directive sur le commerce électronique<fnref n="30" /> pose le principe du pays d'origine, en vertu duquel les services de la société de l'information sont régis par le droit de l'État membre où ils sont établis. Ce principe, établi à l'article 3 de ladite directive, interdit ainsi aux autres États membres de leur imposer des règles générales pour ce qui relève du « domaine coordonné » par la Directive en matière d'accès à l'activité de services numériques ou d'exercice d'une telle activité.

Les dispositions initiales de la loi SREN sur la protection des mineurs<fnref n="31" /> contrevenaient à ce principe. En effet, il était prévu dans la loi que les mineurs ne devaient pas avoir accès à des contenus pornographiques mis à la disposition du public par un éditeur de service de communication au public en ligne, sous sa responsabilité éditoriale, ou fournis par un service de plateforme de partage de vidéos<fnref n="32" />. À ce titre, l'Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) a, selon la loi SREN, pour nouvelle mission d'établir, de publier et d'actualiser le référentiel par lequel elle détermine les exigences techniques minimales applicables aux systèmes de vérification de l'âge<fnref n="33" /> et se voit dotée de nouveaux pouvoirs de sanction. Cette disposition s'inscrit dans une politique tendant à renforcer de manière générale la protection des mineurs en ligne<fnref n="34" />, et en particulier à lutter contre l'accès des mineurs à des contenus pornographiques en ligne, dans le prolongement de la loi n° 2020-936 du 30 juillet 2020 visant à protéger les victimes de violences conjugales<fnref n="35" /> – loi par laquelle il a notamment été introduit une nouvelle infraction<fnref n="36" /> et aux termes de laquelle, par décret<fnref n="37" />, un

<footnote n="29">²⁹ Dir. (UE) 2015/1535, 9 sept. 2015, prévoyant une procédure d'information dans le domaine des règlementations techniques et des règles relatives aux services de la société de l'information.</footnote>

<footnote n="30">³⁰ Dir. 2000/31/CE, 8 juin 2000, préc.</footnote>

<footnote n="31">³¹ Pour une présentation de ces dispositions, v. A. Humain-Jescop, M. Dansac Le Clerc et M. Lissan, « Les enjeux de la vérification de l'âge en ligne – entre volontés politiques et réalités techniques », RLDI 216/2024, pp. 39-50.</footnote>

<footnote n="32">³² Loi SREN, art. 1, § I.</footnote>

<footnote n="33">³³ Ibid, art. 1, § II.</footnote>

<footnote n="34">³⁴ Loi n° 2024-120, 19 févr. 2024, visant à garantir le respect du droit à l'image des enfants – L. n° 2020-1266, 19 oct. 2020, visant à encadrer l'exploitation commerciale de l'image d'enfants de moins de 16 ans sur les plateformes en ligne.</footnote>

<footnote n="35">³⁵ L. n° 2020-936, 30 juill. 2020, visant à protéger les victimes de violences conjugales.</footnote>

<footnote n="36">³⁶ CP, art. 227-24.</footnote>

<footnote n="37">³⁷ D. n° 2021-1306, 7 oct. 2021, relatif aux modalités de mise en œuvre des mesures visant à protéger les mineurs contre l'accès à des sites diffusant un contenu pornographique.</footnote>
dispositif prévoyait de nouvelles prérogatives reconnues à l'ARCOM afin de faire respecter l'interdiction pénale d'accès par les mineurs à des contenus pornographiques, telles que la capacité de blocage des sites ne respectant pas cette interdiction.

L'objectif était donc de compléter le cadre légal national existant afin de renforcer plus encore la protection des mineurs. Or, que ce soit à propos de la loi n° 2020-936 du 30 juillet 2020 ou du projet initial de la loi SREN, la question de leur conformité au droit de l'Union européenne s'est posée. S'agissant de la loi du 30 juillet 2020 et plus particulièrement de son décret d'application, des éditeurs de sites pornographiques tchèques (WebGroup Czech Republic et NKL Associates) ont saisi le Conseil d'État, notamment pour contester la possibilité pour la France de faire respecter sa loi pénale par un service numérique établi dans un autre État de l'Union européenne. En effet, dans l'arrêt *Google Ireland* rendu le 9 novembre 2023,<fnref n="38" /> la CJUE a rappelé le principe du « pays d'origine ». Forts de ce principe, les requérants n'étant pas établis en France considéraient que le décret contesté ne leur était pas applicable<fnref n="39" />. Par conséquent, le Conseil d'État<fnref n="40" /> a posé à la CJUE les trois questions préjudiciales suivantes : faut-il considérer que la directive européenne interdit d'appliquer aux prestataires de services établis dans d'autres États membres des règles générales de droit pénal, notamment des règles prises pour la protection des mineurs ? Quelle est exactement la consistance du « domaine coordonné » par la directive ? N'y a-t-il pas de règle supérieure de droit européen qui permettrait l'application de dispositions visant la protection des mineurs ?

Les mêmes questions se posent à propos des dispositions du projet de loi SREN. C'est pourquoi, dans le prolongement de la décision de la CJUE du 9 novembre 2023, la Commission européenne, dans le cadre de la procédure de notification, a rappelé le principe du pays d'origine à la France. Dans l'hypothèse où ces dispositions étaient maintenues, la Commission a invité la France à exploiter les flexibilités qu'offre la directive sur le commerce électronique pour sortir du domaine coordonné. La commission mixte paritaire du Parlement français a donc dû limiter le champ d'application des dispositions de la loi SREN aux éditeurs de service de communication au public en ligne et aux fournisseurs de services de plateforme de partage de vidéos qui sont uniquement établis en France ou hors de l'Union européenne<fnref n="41" />, sauf pour les cas d'exceptions prévues à l'article 3 de la directive sur le commerce électronique<fnref n="42" />. Par ailleurs, l'article 23 de la loi du 30 juillet 2020 a été abrogé. Ce faisant, la France crée ce que l'on a à présent coutume d'appeler un mille-feuille juridique et qui, comme tout phénomène d'inflation législative, n'est jamais un signe de bonne santé juridique.

## II. Un droit du numérique mature

Longtemps considéré comme un droit sans consistance propre (le droit du numérique ne serait que l'adaptation du droit aux contraintes techniques), sans colonne vertébrale (il n'y aurait ni notion ni principes juridiques du numérique), le droit du numérique peine à être reconnu comme

<footnote n="38">³⁸ CJUE, 9 nov. 2023, n° C-376/22, *Google Ireland e. a.*, ECLI:EU:C:2023:835.</footnote>

<footnote n="39">³⁹ M. Clément-Fontaine et Twelve Avocats, « Panorama rapide de l'actualité Technologie de l'information de la semaine du 4 mars 2024 », *Dalloz Actualités* (en ligne), 12 mars 2024.</footnote>

<footnote n="40">⁴⁰ CE, 5e-6e ch. réunies, 6 mars 2024, n° 461193.</footnote>

<footnote n="41">⁴¹ Loi SREN, art. 2, § VIII.</footnote>

<footnote n="42">⁴² Des exceptions sont prévues pour des raisons relatives à l'ordre public, en particulier la prévention, les investigations, la détection et les poursuites en matière pénale, notamment la protection des mineurs et la lutte contre l'incitation à la haine pour des raisons de race, de sexe, de religion ou de nationalité et contre les atteintes à la dignité de la personne humaine.</footnote>
une discipline à part entière. On retiendra pourtant du contenu de la loi SREN et de son articulation avec la loi européenne qu'il se dessine un droit du numérique. Pour le dire autrement, le temps de l'accumulation est révolu et laisse la place à un système cohérent, parce qu'il repose non seulement sur des notions et des principes<sup>43</sup>, mais aussi sur des instances communes aux membres de l'Union européenne.

Ceci est particulièrement visible s'agissant des modes de contrôle de l'espace numérique organisé à l'échelle européenne. La France, grâce à la loi SREN, a pris les dernières mesures d'application en ce sens. À présent, le modèle de coopération et la coordination des autorités de contrôle de la protection des données personnelles a été décliné dans tous les secteurs, ce qui a conduit les États membres à désigner la (ou les) autorité(s) nationale(s) compétente(s) pour contrôler l'application de cadre réglementaire dans tous les domaines du numérique. Or, on le sait, les domaines se croisent et parfois se chevauchent. Le caractère transversal de la loi SREN est donc utile sur ce point, car il permet au législateur de répartir en un seul texte les compétences de chacune des autorités de contrôle de manière cohérente. La loi SREN contient la liste des autorités concernées. Il s'agit de l'ARCOM, de la Commission nationale de l'informatique et des libertés (CNIL), de L'Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (ARCEP), de l'Autorité de la concurrence, de L'Agence nationale de la sécurité des systèmes d'information (ANSSI) et de l'Autorité des relations sociales des plateformes d'emploi (ARPE).

L'ensemble de ces autorités, auxquelles s'ajoutent, les services de l'État compétents – dont la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) et la Direction générale des entreprises (DGE) – compose le nouveau réseau national de coordination de la régulation des services numériques. Il est chargé d'assurer les échanges d'informations et d'encourager la coordination entre ses membres. Ces autorités conservent néanmoins leur indépendance et se voient réparties notamment les nouvelles prérogatives prévues par les textes européens.

Parmi les missions à répartir, celles prévues par le *Data Governance Act* (DGA) et le *Data Act* reviennent assez logiquement à l'autorité des télécoms<sup>44</sup>. En vertu du DGA, l'ARCEP a pour rôle de contrôler « les prestataires d'intermédiation de données ». Il s'agit des plateformes chargées de mutualiser ou de mettre en relation des organisations qui mettent à disposition des données et celles qui les exploitent. Concrètement, l'ARCEP, à partir d'un nouveau guichet, enregistre les déclarations des prestataires d'intermédiation de données. De plus, elle proposera à ces derniers un service de labellisation. Par ailleurs, en vertu du *Data Act*, l'ARCEP contrôle les acteurs du cloud computing. Parmi les mesures phares qu'elle devra faire respecter, on retient l'interopérabilité entre les différents services du cloud, la suppression des frais de sortie et le plafonnement des crédits cloud offerts par les fournisseurs.

Pour sa part, la CNIL élargit ses compétences au secteur dit de l'altruisme des données qui désigne, dans le DGA, la mise à disposition volontaire de données pour des motifs d'intérêt général fondés sur le consentement par les personnes concernées ou l'autorisation accordée par des détenteurs de données à caractère non personnel. De plus, la publicité ciblée et le profilage entrant dans le champ d'application de la protection des données personnelles, la CNIL est désignée pour assurer le respect des obligations issues du DSA qui renforce la protection des internautes à l'égard de ces pratiques.

<footnote n="43"><sup>43</sup> V. *Le droit prétorien du numérique*, N. Martial-Braz et M. Clément-Fontaine (dir.), Bruyant, à paraître.</footnote>

<footnote n="44"><sup>44</sup> Loi SREN, art. 27, 29, 30 et 36.</footnote>
Quant à la DGCCRF, elle est désormais chargée de veiller à la mise en œuvre du règlement par les places de marché établies en France en application du DMA et du DSA (comportant des obligations en matière de sécurité, de transparence, et de loyauté). Pour sa part, l'Autorité de la concurrence coopérera étroitement avec la Commission européenne sur les pratiques des contrôleurs d'accès dans le cadre du « réseau européen de concurrence » et en application du DMA.

Les secteurs de chacune des autorités de contrôle étant poreux les uns avec les autres, il est prévu dans le DSA une autorité nationale de coordination qui, en France, sera l'ARCOM, désignée coordinateur pour les services numériques<fnref n="45" />. En vertu du DSA, chaque État membre a, en effet, l'obligation de désigner son coordinateur. Si la plupart des États ont choisi une autorité qui avait initialement pour secteur la communication (par exemple l'Autriche, l'Italie, la Bulgarie ou la Lituanie), d'autres ont préféré confier cette mission à leur autorité de la concurrence (Espagne, Luxembourg et le Danemark) ou à celle affectée à la protection des consommateurs (Pays-Bas, Danemark, Estonie ou Lettonie).

Le prochain grand programme législatif concernera l'intelligence artificielle. Cette fois, la France n'a pas précédé l'Union européenne dont le règlement sur l'IA a été publié cet été<fnref n="46" />. Tout au plus, la loi SREN prévoit la sensibilisation des élèves à ces outils<fnref n="47" />. Certes, la France et les États de l'Union européenne en général n'ont pas perdu toute autonomie d'initiative pour réglementer l'espace numérique. Pour autant, chacun s'accorde pour reconnaître qu'a minima, pour être efficace, une telle réglementation doit se concevoir à l'échelle européenne.

<footnote n="45">⁴⁵ M. Musson, « Loi SREN : renforcement des pouvoirs de l'ARCOM et de la CNIL au service de la protection des internautes », *Dalloz Actualité* 17 juin 2024.</footnote>

<footnote n="46">⁴⁶ Règl. (UE) 2024/1689, préc.</footnote>

<footnote n="47">⁴⁷ Loi SREN, art. 7 (modifiant l'article L. 312-9 du Code de l'éducation).</footnote>