Pourquoi un produit logiciel n’est pas soumis à une seule loi

En tant qu’équipe de développement, c’est surtout au début des projets que nous rencontrons cette question. L’organisation demande à quelles règles le logiciel doit se conformer, et la réponse ne tient pas dans une seule loi. Prendre en compte cette dispersion dès la conception coûte bien moins cher que de corriger après coup.

La question « que dit le droit du numérique à ce sujet » n'a pas de réponse, car il n'existe pas de texte unique appelé droit du numérique. C'est la première chose qu'apprend quiconque travaille dans ce domaine, et la plus difficile à expliquer à un client.

En Turquie, les activités numériques sont régies à l'intersection d'au moins six lois distinctes. Aucune d'entre elles n'englobe les autres. Toutes fonctionnent selon leur propre logique, leur propre régime de sanctions et leur propre autorité de contrôle. Le résultat est le suivant. Il n'est pas possible d'établir une liste d'obligations en se référant à un seul texte, et un même fait peut produire des conséquences simultanées sous plusieurs régimes à la fois.

Une violation de données se présente à vous en trois endroits distincts

Il convient de l'illustrer par un exemple concret. Supposons qu'un accès non autorisé ait été obtenu à la base de données clients d'une entreprise de commerce électronique et que les données aient été exfiltrées.

La première voie est administrative. L'article 12 de la loi n° 6698 régit les obligations de sécurité des données, et le cinquième alinéa de ce même article exige que la violation soit notifiée au Conseil. Le Conseil évalue le caractère suffisant des mesures techniques et administratives prises et, s'il les juge insuffisantes, inflige une amende administrative.

La deuxième voie est pénale. Le fait commis par la personne ayant obtenu l'accès peut constituer le délit d'intrusion dans un système informatique au sens de l'article 243 de la loi n° 5237, et l'exfiltration des données peut constituer le délit de transmission ou d'obtention illicite de données au sens de l'article 136. Cette enquête se déroule indépendamment de la responsabilité administrative de l'entreprise.

La troisième voie relève du droit privé. La personne dont les données ont fuité peut demander réparation du préjudice subi. Le dernier alinéa de l'article 11 de la loi réserve expressément ce droit.

Ces trois voies ne sont pas alternatives les unes aux autres, elles fonctionnent simultanément. Avoir payé l'amende du Conseil ne met pas fin à l'enquête pénale, et l'issue du procès pénal ne tranche pas d'elle-même la demande d'indemnisation.

À quelle question répond chaque loi

La façon la plus pratique de comprendre la dispersion de ce domaine consiste à voir à quelle question répond chaque texte.

La loi n° 6698 répond à la question « pouvez-vous traiter cette donnée ? ». Les conditions de traitement, l'obligation d'information, les mesures de sécurité et les droits de la personne concernée s'y trouvent.

La loi n° 5651 répond à la question « qui est responsable de ce contenu ? ». Cette loi régit la distinction entre fournisseur de contenu, hébergeur, fournisseur d'accès et fournisseur d'usage collectif, ainsi que les procédures de retrait de contenu et de blocage de l'accès. Le régime de responsabilité change entièrement selon laquelle de ces quatre qualités s'applique à la personne.

La loi n° 5237 répond à la question « ce fait constitue-t-il une infraction ? ».

La loi n° 6563 répond à la question « pouvez-vous envoyer cette communication commerciale et que devez-vous déclarer en tant que prestataire de services ? ».

La loi n° 5070 répond à la question « cette signature électronique remplace-t-elle la signature manuscrite ? ».

Dans un projet, toutes ces questions se posent généralement en même temps. Une décision prise en ne tenant compte que de l'une d'elles crée un aveuglement à l'égard des quatre autres.

Compétence éclatée signifie contrôle éclaté

Ce qui complique encore ce tableau, c'est que différentes lois sont confiées à des organismes différents.

L'Autorité de protection des données personnelles surveille les activités de traitement des données. L'organisme turc des technologies de l'information et des communications est compétent dans le domaine des communications électroniques et participe à la mise en œuvre des décisions de blocage de l'accès. Le ministère du Commerce est responsable de l'application de la réglementation relative au commerce électronique.

La conséquence pratique en est la suivante. Pour un même produit, vous pouvez être responsable devant plusieurs autorités de contrôle, et ces autorités ne sont pas liées par la décision les unes des autres. Un avis favorable de l'une n'empêche pas l'autre de parvenir à une conclusion différente.

Où l'erreur se produit en pratique

La grande majorité des erreurs que je constate dans ce domaine partagent un trait commun. L'évaluation juridique intervient après que les décisions techniques ont déjà été prises.

Le modèle de données est déjà construit, les tables sont déjà créées, les intégrations sont déjà écrites. Alors que le produit est sur le point d'être mis en production, on dit au juriste « pourriez-vous y jeter un œil ». À ce stade, ce qui peut être dit est limité, car tout ce qui est dit implique désormais une correction rétroactive, et cette correction rétroactive pose un problème distinct au regard des données déjà collectées.

Or, toutes les questions suivantes sont des questions qui auraient pu être résolues lors de la construction du modèle de données. Quelles catégories de données personnelles seront traitées. Sur quelle base juridique reposera chaque catégorie. Quelle sera la durée de conservation et quel composant l'appliquera. Quelles tables seront concernées lorsqu'une demande de suppression arrivera. Y aura-t-il un transfert de données à l'étranger.

Cinq questions. Toutes peuvent trouver réponse en une seule réunion. Le coût qui apparaît lorsqu'elles restent sans réponse dépasse de plusieurs fois le coût de cette réunion.

La véritable difficulté du domaine

La difficulté du droit du numérique ne réside pas dans la complexité des règles. Les règles, lues une à une, sont compréhensibles.

La difficulté consiste à savoir à quel moment chaque règle entre en jeu. La décision d'un ingénieur de « conservons aussi ce champ, ça pourrait servir » produit des conséquences au titre de trois lois distinctes, et la personne qui prend cette décision l'ignore la plupart du temps. Combler ce déficit de connaissance ne passe pas par un dossier de conformité plus épais, mais par la présence du juriste à la table où la décision est prise.