Faut-il simplifier la législation européenne sur le numérique ?

L'Union européenne (UE) encadre les activités numériques par des règles de plus en plus nombreuses et complexes. Cette situation traduit les enjeux croissants que ces activités soulèvent sur le plan politique (respect de la démocratie, indépendance et accès aux médias, etc.), économique (innovation des entreprises, accès aux technologies, etc.), social (accès et évolution des services publics, statut et droits des travailleurs des plateformes numériques, etc.) ou environnemental (lutte contre le changement climatique, consommation énergétique, etc.). 

Cependant, l'accumulation des règles européennes en matière numérique fait aujourd'hui l'objet de vives critiques en ce qu'elle limiterait la compétitivité et l'innovation des entreprises. Pour répondre à cette problématique, l'UE souhaite simplifier sa législation, ce qui interroge sur les buts et les conséquences sur la protection des droits fondamentaux de cette démarche.

Depuis quelques années, la législation européenne en matière numérique connaît une double mutation. D'un point de vue quantitatif, ses règles augmentent et couvrent des domaines toujours plus larges. D'un point de vue qualitatif, ses règles sont de plus en plus contraignantes tout en étant prévues davantage par des règlements qui s'appliquent directement dans les États membres. Cette évolution traduit la volonté de l'UE d'appréhender les activités numériques au regard de leur place croissante dans le fonctionnement du marché intérieur et des risques élevés qu'elles font peser sur le respect des droits fondamentaux des individus et des entreprises.

Quatre phases distinctes peuvent être distinguées pour présenter la montée en puissance de la législation européenne en matière numérique :

• avant 2010, l'UE adopte des législations éparses qui se contentent de répondre à des problématiques numériques ciblées et de nature principalement économique. Il en va, par exemple, de la directive de 1996 sur la protection des bases de données qui interdit d'en extraire et/ou de réutiliser la totalité ou une partie substantielle de leur contenu pour protéger les investissements consacrés à leur confection. Un autre exemple est la directive de 2000 sur le commerce électronique qui facilite la circulation des services de la société de l'information (achat en ligne, diffusion d'une vidéo ou d'une chanson, etc.) ;
• à partir de 2010, l'UE appréhende le numérique comme un secteur qu'il convient de développer à des fins économiques et sociales. Dans ce but, la Commission européenne adopte sa première stratégie numérique qui entend "tracer une voie afin d'exploiter au mieux le potentiel social et économique des [technologies de l'information et de la communication], surtout de l'internet qui constitue désormais le support essentiel de toute activité économique et sociétale, qu'il s'agisse de faire des affaires, de travailler, de s'amuser, de communiquer ou de s'exprimer librement". Plusieurs législations sont adoptées à la suite de cette stratégie, à l'instar en 2012 des règles de l'itinérance sur les réseaux publics de communications mobiles à l'intérieur de l'Union européenne qui permettent aux citoyens européens qui voyagent dans l'Union européenne d'utiliser leur téléphone mobile au même tarif que dans leur propre pays ;
• en 2015, l'UE cesse de considérer le numérique comme un secteur parmi d'autres pour saisir son caractère transversal. Dorénavant, son objectif est de le développer pour améliorer la compétitivité et l'attractivité du marché intérieur tout en protégeant les individus et les entreprises des risques auxquels il les expose. Pour y parvenir, la Commission européenne dévoile son ambition de bâtir un marché unique numérique qui se concrétise, à nouveau, par l'adoption de règles relatives aux télécommunications, au droit d'auteur, aux données à caractère personnel et non personnel, ou encore à la concurrence. L'une de ces initiatives est l'adoption, en 2016, du règlement général sur la protection des données à caractère personnel (RGPD) qui met en œuvre le droit fondamental à la protection des données à caractère personnel et remplace une directive de 1995 ;
• depuis 2020, l'UE élève désormais le numérique en priorité de son action pour répondre à ses défis environnementaux, sociaux, géopolitiques, économiques, ou bien technologiques. Cette intention se concrétise de manière inédite par l'adoption de plusieurs dizaines de textes sur le numérique. Sans exhaustivité, les domaines les plus affectés sont les suivants :
  • les plateformes numériques avec le règlement sur les services numériques (ou DSA pour Digital Services Act), le règlement sur les marchés numériques (ou DMA pour Digital Markets Act) ou bien la directive relative aux travailleurs des plateformes numériques ;
  • l'intelligence artificielle (IA) avec le règlement sur l'IA (ou AI Act) ou la directive sur la responsabilité du fait des produits défectueux qui prend en compte ses enjeux ;
  • les données avec le règlement sur la gouvernance des données (ou DGA pour Data Governance Act), le règlement sur les données (ou Data Act) ou le règlement sur l'espace européen des données de santé (ou EHDS pour European Health Data Space) ;
  • la sécurité numérique avec la directive sur la sécurité des réseaux (dite directive NIS2), le règlement sur la cybersécurité (ou CSA pour Cyber Security Act), le règlement sur la cyberrésilience (ou CRA pour Cyber Reilience Act), le règlement sur la cybersolidarité (ou Cyber Solidarity Act), etc. ;
  • l'identification électronique avec le règlement qui établit un cadre européen relatif à une identité numérique (dit "règlement eIDAS 2").

Il existe également d'autres législations européennes qui affectent indirectement les activités numériques de l'UE, à l'image des règles adoptées pour sécuriser leur approvisionnement en ressources stratégiques (lithium, cobalt, terres rares, etc.) (règlement sur les matières premières critiques, règlement sur les puces, etc.).

Par ailleurs, la dynamique amorcée en 2020 se poursuit parce que l'UE continue de proposer, négocier et adopter une multitude de textes en matière numérique, à l'instar des propositions de règlement en cours de négociation sur l'euro numérique, l'accès aux données financières ou encore les portefeuilles d'identité numérique pour les entreprises qui sont des outils qui permettent aux entreprises et aux organismes du secteur public d'identifier, d'authentifier et d'échanger des données. La Commission européenne prévoit, en outre, de publier d'autres propositions de textes, par exemple le projet de règlement sur le développement du Cloud et de l'IA.

La législation de l'UE en matière numérique possède de nombreux avantages :

• elle instaure un cadre commun aux entreprises dans lequel elles peuvent se concurrencer et se développer ;
• elle accroit également la confiance des consommateurs ;
• elle préserve l'exercice des droits fondamentaux dans l'économie numérique.

Néanmoins, certains acteurs européens et, en particulier, les entreprises ont critiqué le manque de pertinence et de sécurité juridique de la législation européenne.

De manière générale, ces critiques sont partiellement fondées puisque la législation européenne en matière numérique présente de nombreux défauts : 

• elle est parfois confuse quand elle est inadaptée aux enjeux auxquels elle s'applique, voire simplement imprécise. Tel est le cas, par exemple, de l'obligation faite aux fabricants de produits connectés de permettre à leurs utilisateurs d'accéder directement aux données de ces objets "lorsque cela est pertinent et techniquement possible" ;
• elle est souvent complexe à mettre en œuvre car ses obligations sont nombreuses et évoluent régulièrement pour suivre les avancées technologiques. Les exemples sont nombreux : les règles sur les données augmentent fortement depuis quelques années avec l'adoption du RGPD (2016), du règlement sur la gouvernance des données (2022), du règlement sur les données (2023), du règlement sur l'espace européen des données de santé (2025), etc. Le règlement eIDAS entré en application en 2016 a été actualisé en 2024, ou bien la directive NIS transposée en 2018 a été révisée au niveau européen en 2022 ;
• elle est coûteuse à appliquer étant donné qu'elle implique de mobiliser des ressources techniques et juridiques importantes dont sont dépourvues certaines entités européennes (petites et moyennes entreprises, collectivités territoriales, associations, etc.). C'est pourquoi de nombreux cabinets d'avocats sont sollicités pour accompagner des entreprises ou des collectivités territoriales dans leur mise en conformité juridique (RGPD, règlement sur l'IA, etc.) ;
• le respect de cette législation est faiblement contrôlé dans la mesure où les autorités de régulation européennes et nationales bénéficient de moyens limités pour suivre son application et son exécution, à l'image du contrôle des plateformes numériques et de la situation récente de la plateforme de prêt à porter Shein qui a vendu des poupées pédopornographiques malgré leur interdiction.

Par conséquent, la législation européenne en matière numérique peine à répondre pleinement aux besoins économiques, technologiques ou sociaux de l'UE. Trois raisons principales expliquent ce constat :

• la rapidité de son adoption. La majorité des règles européennes ont été proposées, négociées et adoptées sur une période de trois à quatre ans (2020/2023-24) pour satisfaire une ambition politique extrêmement élevée. Cet intervalle de temps très réduit a privé ou limité la possibilité pour les entreprises, les administrations ou la société civile d'identifier les problématiques juridiques afin de les signaler et d'y apporter une réponse. Inversement, les autorités publiques européennes ont agi vite et échoué à proposer des règles pleinement adaptées aux enjeux technologiques, économiques, ou sociaux qu'elles soulèvent ;
• l'hétérogénéité de son contenu. Les règles européennes se composent d'un nombre très important de textes qui ont vocation à interagir entre eux et supposent d'être articulés. Par exemple, le traitement des données de santé issues des dispositifs médicaux (cabinet de téléconsultation, stimulateur cardiaque, etc.) est régi par plusieurs textes (règlement sur les données, règlement sur l'espace européen des données de santé, etc.). Toutefois, les relations entre ces textes sont très nombreuses et difficiles à anticiper, ce qui implique souvent l'intervention d'une autorité de régulation et, le cas échéant, d'un juge, pour définir leur articulation;
• la diversité de ses finalités. Les règles européennes s'appliquent à des domaines extrêmement variés et poursuivent, dans certaines hypothèses, des objectifs antagonistes. Le RGPD est en cela une bonne illustration en ce qu'il peut aller à l'encontre d'autres textes qui promeuvent la circulation des données (réutilisation des données du secteur public, exploitation des données des objets connectés, etc.) ou le développement d'outils d'IA (règlement sur l'IA).

Il ressort de ces éléments que la législation européenne en matière numérique est susceptible de limiter les projets d'innovation à plusieurs niveaux :

• sa complexité peut décourager ou freiner les structures dépourvues des compétences adaptées pour appréhender et appliquer ses règles (petites collectivités territoriales, petites et moyennes entreprises, centres de recherche, etc.) ;
• son coût d'application peut limiter la pertinence d'un projet, voire conduire à son abandon ;
• ses incertitudes peuvent ralentir ou mettre fin à un projet face aux risques juridiques qu'il soulève (identification biométrique, etc.), sauf à éprouver l'innovation dans des bacs réglementaires qui sont des espaces pour tester des technologies d'IA sous la supervision des autorités publiques.

La législation européenne en matière numérique aboutit finalement à favoriser les grandes entreprises qui sont généralement dotées des ressources suffisantes pour la comprendre, la mettre en œuvre et assumer un risque juridique en cas d'incertitudes. 

Durant l'année 2025, l'UE a entrepris de simplifier en profondeur sa législation. Cette démarche prolonge la publication à la fin de l'année 2024 du rapport de Mario Draghi, ancien Premier ministre italien et président de la Banque centrale européenne, sur la compétitivité de l'Union européenne et dans lequel il met en lumière que l'accumulation de règles complexes et difficiles à mettre en œuvre limite le développement économique des entreprises, ainsi que leur capacité à innover : "nous affirmons favoriser l'innovation, mais nous continuons à alourdir les charges réglementaires pesant sur les entreprises européennes, qui sont particulièrement coûteuses pour les petites et moyennes entreprises (PME) et contre-productives pour les entreprises du secteur numérique. Plus de la moitié des PME en Europe indiquent que les obstacles réglementaires et la charge administrative constituent leur principal problème".

La démarche de simplification de la législation européenne s'explique aussi par deux facteurs supplémentaires :

• d'une part, les dernières élections européennes et nationales qui ont défini de nouveaux équilibres politiques plus favorables à la limitation des contraintes sur les entreprises ;
• d'autre part, les autorités européennes qui ont souhaité libérer des marges de manœuvre aux entreprises pour renforcer leur capacité à innover et être compétitives sur les marchés internationaux dans le but de faire face à l'élan de dérégulation provenant, notamment, des États-Unis.

En réponse à ces demandes, la Commission européenne a élaboré une politique de simplification et publié dix séries de mesures dites "omnibus" dans plusieurs secteurs comme l'environnement, la finance, ou bien l'agriculture. Le numérique est également affecté avec la publication de deux propositions de règlement.

• La première modifie les règles européennes sur l'IA pour faciliter leur application. Elle propose, notamment, de reporter l'entrée en application des règles sur les systèmes d'IA à haut risque, c'est-à-dire les systèmes d'IA qui présentent des risques graves pour la santé, la sécurité ou les droits fondamentaux (notation sociale, sélection d'une personne pour l'accès à des établissements d'enseignement et de formation professionnelle, etc.). Elle envisage d'alléger certaines obligations comme l'exigence de définir un plan de surveillance après la commercialisation des systèmes d'IA ou encore de faciliter l'utilisation des bacs à sable réglementaires ;
• La seconde modifie plusieurs législations européennes sur la sécurité numérique (règlement sur la cybersécurité, directive NIS2, etc.) et les données (RGPD, règlement sur la gouvernance des données, règlement sur les données, etc.).

En parallèle de ces propositions, la Commission européenne démarre une analyse globale de sa législation en matière numérique intitulée "bilan de qualité numérique" pour étudier sa pertinence et identifier ses améliorations possibles.

À ce stade, si la démarche simplification de la législation européenne en matière numérique répond indéniablement à des besoins réels et qui font consensus (harmonisation de définitions, suppression d'incohérence, précisions de règles, etc.), elle génère aussi des critiques de nature différente :

• premièrement, elle renforce l'instabilité des règles européennes, lesquelles sont pourtant particulièrement exposées à ce risque eu égard à la transformation intense et rapide des activités numériques. À titre d'illustration, si la version initiale du règlement sur l'IA ne prévoyait aucune disposition particulière sur les IA génératives (Le Chat, Chat GPT, etc.), leur montée en puissance ces dernières années a conduit le législateur européen à y introduire des règles spécifiques ;
• deuxièmement, elle interroge quant à sa pertinence au regard du faible recul sur la mise en œuvre et les résultats des règles européennes qu'elle entend modifier ;
• troisièmement, elle aboutit à modifier les équilibres juridiques des règles européennes et limiter la portée de certains droits fondamentaux, sans pour autant les remettre en cause. La proposition de limiter le périmètre de la notion de "données à caractère personnel" en est une excellente illustration en ce qu'elle conduit, sous réserve de sa confirmation, à réduire le champ d'application du RGPD et du droit fondamental à la protection des données à caractère personnel.