Le droit numérique est l'ensemble des règles applicables aux données personnelles, aux contenus, aux contrats et à la cybersécurité. Cette réglementation, largement européenne, va du RGPD au règlement sur l'intelligence artificielle. Ses enjeux : vie privée, propriété intellectuelle, liberté d'expression et recours.
Conserver les preuves avant toute plainte
- Le droit numérique croise droit civil, droit pénal, propriété intellectuelle, droit de la concurrence et réglementation européenne.
- Toute entreprise qui traite des données à caractère personnel relève du RGPD, quels que soient son statut et sa taille.
- La sécurité informatique est devenue une obligation légale, et la directive NIS2 engage directement la responsabilité des dirigeants.
- Les preuves numériques se conservent avant toute démarche : sans elles, la plainte perd l'essentiel de sa force.
Qu'est-ce que le droit numérique ?
Le droit numérique désigne l'ensemble des règles applicables aux données, aux contenus et aux services en ligne. Ce n'est pas une branche autonome comme le droit pénal ou le droit de la famille : c'est un champ transversal, qui emprunte au droit civil pour les contrats, au droit pénal pour les infractions, au code de la propriété intellectuelle pour les œuvres, au droit de la concurrence pour les grandes plateformes et au droit administratif pour la régulation des marchés.
Ce qui l'unifie est son objet, les technologies de l'information, et une difficulté commune : la règle est écrite pour un territoire alors que l'activité qu'elle vise ignore les frontières. Un service hébergé hors d'Europe collecte les données personnelles de résidents français ; un contenu illicite publié depuis l'étranger reste accessible depuis la France. Le législateur de l'Union européenne a répondu par des textes à portée extraterritoriale, dont le règlement général sur la protection des données est l'exemple le plus connu.
En pratique, quatre questions reviennent sans cesse : qui peut traiter mes données et à quelles conditions, qui répond d'un contenu illicite, quelle valeur juridique a un contrat conclu en ligne, et que risque une organisation qui néglige la sécurité de son système d'information. Une cinquième s'y ajoute pour l'entreprise, avant même le moindre incident : quelles obligations pèsent sur elle au quotidien. La mise en conformité RGPD d'une entreprise répond en partie à cette dernière, par des étapes documentées.
Les textes qui encadrent le numérique en France et en Europe
Le cadre légal s'est construit par couches successives. En France, la loi pour la confiance dans l'économie numérique du 21 juin 2004 pose le régime de responsabilité des hébergeurs et des éditeurs : l'hébergeur n'a pas d'obligation générale de surveillance, mais il doit retirer promptement un contenu manifestement illicite qui lui a été notifié dans les formes. Le statut retenu, hébergeur ou éditeur, commande l'étendue de cette responsabilité, et ce texte reste la base des procédures de retrait.
Trois règlements européens structurent aujourd'hui la matière. Le RGPD, applicable depuis le 25 mai 2018, encadre tout traitement de données personnelles. Le règlement sur les services numériques, pleinement applicable depuis le 17 février 2024, impose aux plateformes des mécanismes de signalement, de transparence et de recours interne. Le règlement sur les marchés numériques, entré en application en mars 2024, vise les très grandes plateformes au titre du droit de la concurrence et leur interdit certaines pratiques d'auto-préférence.
Complètent ce dispositif la directive NIS2 sur la cybersécurité, le règlement eIDAS sur l'identification et la signature électronique, et le règlement européen sur l'intelligence artificielle, entré en vigueur le 1er août 2024 avec une application échelonnée. Le droit numérique se lit donc rarement dans un seul code : il faut rechercher le texte applicable selon l'acteur, l'activité et le type de donnée en cause. Cette dispersion explique la place prise par les outils de legal tech dans la veille des directions juridiques.
Données personnelles : le socle posé par le RGPD
Le RGPD s'applique dès qu'une organisation traite des informations se rapportant à une personne physique identifiée ou identifiable : nom, adresse, identifiant de connexion, adresse IP, données de localisation. Le traitement doit reposer sur une base légale, consentement, exécution d'un contrat, obligation légale ou intérêt légitime notamment, poursuivre une finalité déterminée et se limiter aux données nécessaires à cette finalité.
Les personnes concernées disposent de droits qu'elles exercent auprès du responsable de traitement : accès, rectification, effacement, opposition, portabilité, limitation. Le droit au déréférencement, consacré par la Cour de justice de l'Union européenne en 2014, permet de demander à un moteur de recherche de retirer un résultat portant atteinte à la vie privée et à la sphère personnelle, sans effacer pour autant la page d'origine. La réponse doit intervenir dans un délai d'un mois, prolongeable pour les demandes complexes. Ces prérogatives sont rattachées aux droits fondamentaux protégés par la Charte, ce qui explique la sévérité du contrôle exercé sur les flux de données transférés hors de l'Union européenne.
Côté entreprise, la conformité relève autant de la gestion documentaire que de la technique : registre des activités de traitement, analyse d'impact pour les traitements à risque, désignation d'un délégué à la protection des données, point de contact identifié pour les demandes, notification à la CNIL dans les 72 heures en cas de violation de données personnelles. Les sanctions administratives peuvent atteindre 4 % du chiffre d'affaires annuel mondial, ce qui a déplacé le sujet du service informatique vers la direction générale.
Propriété intellectuelle et contenus mis en ligne
La mise en ligne ne fait tomber aucune œuvre dans le domaine public. Le code de la propriété intellectuelle protège toute œuvre originale dès sa création, sans dépôt ni formalité : un texte, une photographie, un morceau de code source, une base de données structurée. Reproduire une image trouvée par un moteur de recherche sans autorisation reste une contrefaçon, même sans intention commerciale et même en citant l'auteur.
Les licences libres n'échappent pas à cette logique : elles organisent l'utilisation de l'œuvre, elles n'y renoncent pas. Une licence Creative Commons pose ses propres conditions, attribution, usage non commercial ou partage à l'identique selon la variante retenue, et leur violation se traite comme une contrefaçon ordinaire. La gestion des droits attachés à un contenu réutilisé est donc une vérification préalable, pas une régularisation après coup.
La propriété intellectuelle numérique couvre aussi les marques, les noms de domaine et les bases de données, protégées par un droit spécifique lorsque leur constitution a demandé un investissement substantiel. Les litiges portent souvent sur des frontières floues : citation courte ou reproduction servile, inspiration ou copie, extraction ponctuelle ou pillage systématique. La défense de vos droits de propriété intellectuelle commence par la preuve d'antériorité, horodatage, dépôt probatoire ou archivage daté.
Contrats et commerce électronique
Un contrat conclu par voie électronique a la même valeur qu'un contrat signé sur papier. Le code civil fixe les conditions de cette équivalence : identification de l'auteur de la signature, intégrité de l'acte, procédé technique fiable. Le règlement eIDAS distingue trois niveaux de signature électronique, simple, avancée et qualifiée, la dernière bénéficiant d'une présomption de fiabilité devant le juge.
Le commerce électronique ajoute des obligations propres au vendeur professionnel : information précontractuelle complète, récapitulatif avant validation de la commande, confirmation en deux temps, conditions générales accessibles, droit de rétractation de quatorze jours pour le consommateur sauf exceptions limitativement énumérées. L'absence de ces mentions n'annule pas toujours la vente, mais elle prolonge le délai de rétractation et expose le vendeur à des sanctions.
Les conditions générales d'utilisation d'un service en ligne relèvent de la même logique. Une clause abusive y demeure réputée non écrite, quelle que soit la case cochée à l'inscription, et les nouvelles obligations de transparence des plateformes renforcent ce contrôle. Les règles du droit des contrats posées par le Code civil continuent donc de s'appliquer derrière l'interface : le contentieux du numérique est d'abord un contentieux contractuel.
Cybersécurité : ce que la sécurité informatique engage
La sécurité informatique n'est plus une bonne pratique facultative. Le RGPD impose déjà des mesures techniques et organisationnelles appropriées au risque, et la responsabilité d'une entreprise peut être recherchée lorsqu'une fuite de données révèle des négligences élémentaires : mots de passe par défaut, absence de chiffrement, serveur laissé sans mise à jour pendant des mois.
La directive NIS2 élargit considérablement le périmètre. Au-delà des opérateurs d'importance vitale, elle vise des milliers d'entités essentielles et importantes, dans l'énergie, la santé, les transports, l'eau, le secteur numérique et l'administration. Elle impose une gestion des risques documentée, la notification rapide des incidents et une responsabilité directe des dirigeants, qui ne peuvent plus considérer le sujet comme entièrement délégué à un prestataire.
L'Agence nationale de la sécurité des systèmes d'information publie gratuitement des guides d'hygiène en cybersécurité, utilisables par une organisation de toute taille. Leur intérêt juridique dépasse la technique : en cas d'incident, une entreprise qui démontre avoir appliqué l'état de l'art défend sa position bien plus efficacement que celle qui découvre le sujet devant le juge. La traçabilité des décisions compte ici autant que les outils déployés, et elle suffit souvent à améliorer la position d'une organisation avant même d'améliorer son infrastructure. Une collectivité publique relève également de ces obligations.
Infractions en ligne et recours des victimes
La cybercriminalité couvre un spectre très large. L'escroquerie en ligne, faux sites marchands, hameçonnage, fausses relations sentimentales, est punie de cinq ans d'emprisonnement et d'une amende. L'accès frauduleux à un système de traitement automatisé de données constitue un délit distinct, tout comme le maintien dans ce système ou l'altération de son fonctionnement. L'usurpation d'identité numérique, faux profil ou utilisation frauduleuse de données personnelles, est punie d'un an d'emprisonnement et d'une amende. Le cyberharcèlement commis en groupe est une circonstance aggravante prévue par un article dédié du code pénal. Chacune de ces qualifications trace la limite entre la liberté d'expression et l'infraction.
Le premier réflexe de la victime est de conserver les preuves : captures d'écran datées, adresses des pages, en-têtes de messages, journaux de connexion. Ces éléments soutiennent le dépôt de plainte au commissariat, à la gendarmerie ou par courrier au procureur de la République. Cybermalveillance.gouv.fr propose un diagnostic en ligne et oriente vers des prestataires référencés. Les atteintes à la réputation obéissent à des délais très courts : en matière de diffamation et d'injure punies par la loi, la prescription est de trois mois à compter de la publication.
Le retrait d'un contenu illicite passe d'abord par une notification en bonne et due forme à la plateforme, puis, si elle reste inerte, par une ordonnance de référé. Prendre contact avec un avocat rompu à ces procédures évite deux erreurs fréquentes : une notification mal rédigée, qui ne fait pas courir les obligations de l'hébergeur, et une preuve constituée trop tard, quand le contenu a déjà disparu.
Intelligence artificielle, le chantier ouvert du droit numérique
Le règlement européen sur l'intelligence artificielle classe les systèmes par niveau de risque. Certaines utilisations sont interdites, comme la notation sociale généralisée. Les systèmes dits à haut risque, recrutement, crédit, biométrie, infrastructures critiques, supportent des obligations lourdes de documentation, de supervision humaine et de gestion de la qualité des données d'entraînement. Les autres relèvent surtout d'exigences de transparence.
Cette nouvelle réglementation n'épuise pas les questions posées par ces technologies. L'entraînement d'un modèle sur des contenus protégés relève de la propriété intellectuelle et fait l'objet de contentieux en cours. La responsabilité d'une décision automatisée erronée se discute entre le fournisseur du système et l'organisation qui l'exploite. Le RGPD, de son côté, encadre déjà la décision entièrement automatisée produisant des effets juridiques pour une personne.
Pour une entreprise, la prudence consiste à documenter dès maintenant les usages internes : quels outils, sur quelles données, avec quelle supervision. Cette cartographie servira de base à la mise en conformité, quel que soit le calendrier définitif d'application de la régulation.
Se former au droit numérique et y travailler
La formation au droit numérique s'est structurée rapidement. Les universités proposent un master mention droit du numérique, droit des données ou propriété intellectuelle appliquée aux technologies de l'information : un parcours de deux années après la licence, validé par des crédits européens et un diplôme national. Certaines spécialités recrutent quatre ans après le bac, d'autres réservent l'accès en master 2 aux étudiants déjà engagés dans la matière.
Des formations plus courtes conduisent à un certificat ou à un diplôme d'université. Elles s'adressent aux juristes en poste, aux responsables conformité et aux professionnels de l'informatique qui doivent maîtriser les fondamentaux du cadre applicable. Une unité d'enseignement universitaire, un centre de formation professionnelle ou une école d'ingénieur proposent ce type de parcours, souvent à horaires aménagés, parfois avec une dimension internationale. Le choix d'un master ou d'un certificat dépend surtout de l'expérience déjà acquise.
Les métiers qui en découlent ne se limitent pas à l'avocat spécialisé. Juriste en protection des données, délégué à la protection des données, consultant en conformité, responsable des contrats informatiques, juriste en propriété intellectuelle : la demande vient autant des entreprises et de la fonction publique que des cabinets. Une carrière dans ce domaine repose sur une double compétence, juridique et technique, et sur l'expérience acquise en dossiers réels. Cette carrière reste liée à une veille constante : réseaux sociaux, publicité en ligne et modèles génératifs font naître chaque année de nouveaux contentieux, et chaque évolution des textes oblige à modifier des pratiques internes déjà en place.
Pour un particulier ou un dirigeant confronté à un litige, les enjeux ne sont pas de se former mais de choisir le bon interlocuteur. Un avocat qui pratique régulièrement la matière connaît les délais, les procédures d'urgence et les usages des plateformes. Cette familiarité pèse davantage que l'intitulé affiché, car le droit numérique évolue plus vite que la plupart des autres domaines.
RGPD, preuves en ligne et case cochée : le droit numérique au quotidien
Le droit numérique est-il une branche autonome du droit ?
Non au sens académique : il n'existe pas de code du numérique. C'est un ensemble transversal qui réunit des règles issues du droit civil, du droit pénal, du code de la propriété intellectuelle, du droit de la concurrence et de la régulation européenne, appliquées aux technologies de l'information.
Une petite entreprise est-elle vraiment concernée par le RGPD ?
Oui. Le RGPD ne fixe aucun seuil d'effectif ou de chiffre d'affaires. Un fichier clients, une liste de diffusion ou un formulaire de contact sur un site suffisent à déclencher ses obligations. Seules certaines exigences, comme la désignation obligatoire d'un délégué à la protection des données, dépendent de la nature des traitements.
Combien de temps garder les preuves d'une infraction en ligne ?
Au moins jusqu'au terme de la procédure, et sans attendre pour les constituer. Les contenus disparaissent vite et les journaux de connexion des intermédiaires ne sont pas conservés indéfiniment. Des captures d'écran datées et les adresses complètes des pages, réalisées le jour même, valent mieux qu'un constat tardif.
Un contrat accepté en cochant une case engage-t-il vraiment ?
Oui, dès lors que le consentement est éclairé et que le processus respecte les conditions du code civil. Le clic vaut acceptation, mais il ne valide pas une clause abusive : celle-ci demeure réputée non écrite, et le professionnel reste tenu de son obligation d'information précontractuelle.