Digital Markets Act : au risque de la sécurité des données ?

Le Digital Markets Act (DMA) est, avec le Digital Services Act (DSA), le principal texte en débat au sein de l’Union européenne (UE) sur la régulation des grandes plateformes du numérique. Prenant acte de la domination actuelle des GAFAM américains et, peut-être, de celle future des BATX chinois, l’UE est entrée depuis quelques années dans une tentative de normalisation dure vis-à-vis d’acteurs jugés trop puissants. Sans nier la puissance de ces sociétés, la question se pose de la manière idoine pour le législateur européen d’adresser cet enjeu de régulation. 

Alors que les pays européens n’ont pas vu fleurir d’entreprises comparables aux GAFAM, pour des raisons qui tiennent à la fois aux modèles de financement, à la capacité de coopération public-privé et à une appréhension tardive des enjeux économiques et stratégiques du cyberespace, la Commission souhaite rattraper ce retard. Plutôt que de prendre acte de celui-ci et d’en analyser les conséquences profondes, notamment sur le fonctionnement des écosystèmes numériques, la Commission a choisi d’imposer des restrictions importantes sur certains pans de l’activité des plateformes actuelles.

Toutefois, la question -légitime- de l’encadrement de ces acteurs, doit être pensée de la manière la plus appropriée pour sauvegarder à la fois les droits des citoyens européens mais aussi de permettre l’épanouissement des échanges. Or en son état actuel le DMA laisse surtout apparaître deux aspects : la difficulté de compréhension de l’activité des plateformes ainsi que la privatisation croissante du contrôle des données, notamment pour des raisons techniques.

Ainsi, la définition de ce que le DMA définti comme un « gatekeeper », concept central du DMA, est quasiment byzantine : plus de 3 pages pour le définir (art. 2) et une somme de considérants qui laisse songeur sur ce qu’est ou ce que n’est pas un « gatekeeper ». Cette complexité de la définition qui entrecroise activités, positions de marché et relations avec des acteurs-tiers, montre toute la difficulté à vouloir encager dans un texte unique des acteurs aux profils très divers, qui sont eux-mêmes leurs premiers concurrents. 

Néanmoins, au-delà de cette question de définition, révélatrice d’une difficulté conceptuelle, c’est bien celle des obligations qui pose problème. L’article 6 prévoit une obligation de partage des données des utilisateurs des « gatekeeper » avec les entreprises tierces. Or, une telle circulation des données constituerait un risque important pour les millions de citoyens et entreprises européennes utilisant les services et infrastructures des « gatekeeper ». Dans ce contexte, comment sécuriser le transfert de données ? Comment s’assurer du niveau de sécurité des infrastructures de l’entreprise tierce accueillant les données ? Comment s’assurer de l’utilisation intègre des données ainsi rendues accessibles ? Comment s’assurer que ces obligations de partage des données ne vont pas in fine profiter à des acteurs extra-européens ?

A l’heure où la cybersécurité constitue un enjeu majeur, il est étonnant que l’Europe, qui a créé le RGPD, soit prête à faire passer cette priorité au second plan. Si l’enjeu est majeur pour le citoyen européen de contrôler ce qui est fait de ses données et de pouvoir accéder à des services dans une concurrence non-dévoyée, il est aussi important de cesser ce mouvement paradoxal renforcement des obligations-transferts de pouvoirs, lequel est dommageable pour l’ensemble des parties.