Questions

La question

Mme Violette Spillebout appelle l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur les enjeux de souveraineté et de sécurité des données liés à la mise en œuvre de la réforme de la facturation électronique. La généralisation progressive de la facturation électronique entre entreprises conduira à faire transiter, par l'intermédiaire des plateformes agréées et du portail public de facturation, un volume considérable de données relatives aux transactions, aux flux financiers et à l'activité commerciale des entreprises françaises. Par leur ampleur et leur niveau de précision, ces informations revêtent un caractère particulièrement stratégique pour l'économie française. Plusieurs chefs d'entreprise et acteurs économiques alertent ainsi sur les garanties entourant l'hébergement, le traitement et la protection de ces données. En particulier, l'absence d'exigences suffisamment strictes en matière de localisation et de qualification des infrastructures pourrait conduire à ce que certaines données soient hébergées ou traitées par des prestataires soumis à des législations extraterritoriales, notamment au Cloud Act américain. Une telle situation est susceptible de soulever des enjeux de confidentialité, de souveraineté économique et de protection du patrimoine informationnel des entreprises françaises. La concentration de volumes importants de données économiques sensibles au sein d'un nombre limité d'infrastructures appelle également une vigilance particulière en matière de cybersécurité et de résilience, afin de prévenir les conséquences d'une cyberattaque, d'une défaillance technique ou d'une rupture d'accès aux services concernés. Si la généralisation de la facturation électronique constitue un outil essentiel de modernisation, de simplification et de lutte contre la fraude, sa mise en œuvre doit s'accompagner de garanties à la hauteur du caractère stratégique des données concernées. Elle lui demande donc quelles exigences le Gouvernement entend imposer aux plateformes agréées en matière d'hébergement, de traitement et de protection des données issues de la facturation électronique, notamment concernant leur localisation au sein de l'Union européenne, le recours à des solutions qualifiées SecNumCloud ou présentant un niveau de protection équivalent et leur exposition éventuelle à des législations extraterritoriales. Elle souhaite également connaître les mesures prévues pour garantir la résilience cyber de ces infrastructures, la continuité du service et, plus largement, la protection des données économiques stratégiques des entreprises françaises.

La question

Mme Violette Spillebout attire l'attention de Mme la secrétaire d'État auprès du ministre de l'enseignement supérieur et de la recherche, chargée de l'intelligence artificielle et du numérique, sur la protection des données personnelles des dirigeants d'entreprises sur les extraits Kbis. Le registre des entreprises tenu par l'INPI et les tribunaux de commerce permet actuellement à toute personne d'accéder à un extrait Kbis. Cet extrait divulgue l'identité des dirigeants, incluant des informations personnelles sensibles telles que la date et le lieu de naissance, ainsi que le domicile. Ces données, librement accessibles sur des sites officiels comme infogreffe.fr ou des sites commerciaux comme Pappers.fr , sont une source potentielle d'exploitation frauduleuse. A l'ère du numérique, où les arnaques et les usurpations d'identité sont monnaie courante, la divulgation sans restriction de ces informations constitue une menace réelle et directe. Des personnes mal intentionnées pourraient utiliser ces informations pour orchestrer des « arnaques au président », ouvrir frauduleusement des comptes bancaires ou forger des actes au nom des dirigeants d'entreprises. Une des mesures de confidentialité envisageable serait de restreindre l'accès aux informations sur le lieu de naissance et l'adresse personnelle des dirigeants à des personnes autorisées uniquement, telles que les commissaires de justice, les banques et les administrations publiques. Cette mesure de confidentialité renforcée permettrait de protéger les dirigeants d'entreprises des actes malveillants, tout en préservant la transparence nécessaire dans les interactions commerciales et administratives. Ainsi, elle souhaiterait connaître les mesures prises afin d'améliorer la protection des données personnelles en France.

Réponse

En France coexistent, s'agissant des sociétés et des commerçants, le registre national des entreprises (RNE), tenu par l'Institut national de la propriété industrielle (INPI), et les registres du commerce et des sociétés (RCS) locaux, tenus par les greffiers des tribunaux de commerce. L'INPI délivre gratuitement une attestation d'immatriculation au RNE qui comporte les diverses informations inscrites au RNE et fait foi jusqu'à preuve du contraire et dès le moment de sa délivrance des informations qui y sont contenues. Le portail « DATA INPI » permet également d'accéder à ces informations, en open data, par une consultation de la fiche entreprise. Les informations inscrites dans le RNE relatives à l'identité et au domicile des personnes physiques sont mises à disposition par l'INPI en respectant le principe de limitation de la diffusion des données à caractère personnel, posé au 2ème alinéa de l'article L. 123-52 du code de commerce : la diffusion est restreinte aux nom, nom d'usage, pseudonyme, prénoms, mois, année de naissance et commune de résidence. Seules quelques autorités, administrations et professions ont accès à l'intégralité des informations contenues dans le RNE (voir les art. L. 123-53 et R123-318 du code de commerce) : les commissaires de justice, les notaires, les administrateurs et les mandataires judiciaires. Les greffiers des tribunaux de commerce délivrent un extrait d'immatriculation au RCS, dit « extrait K-bis », qui contient l'ensemble des informations que l'entreprise, le commerçant ou la société doit déclarer. Le site internet « Infogreffe » est la plateforme de diffusion de l'ensemble des données contenues dans les RCS locaux. L'extrait K-bis n'est pas librement accessible puisqu'il est délivré moyennant le paiement d'un tarif réglementé. Par ailleurs, depuis le 31 juillet 2024, l'INPI et les greffiers des tribunaux de commerce ont basculé les données des bénéficiaires effectifs d'un accès public vers un accès filtré à l'intérêt légitime. Ce filtrage a permis à la France de se mettre en conformité avec le droit de l'Union Européenne, en particulier avec la sixième directive anti-blanchiment (directive UE 2024/1640 du Parlement européen et du Conseil du 31 mai 2024 relative aux mécanismes à mettre en place par les États membres pour empêcher l'utilisation du système financier à des fins de blanchiment de capitaux ou même de financement du terrorisme, modifiant la directive UE 2019/1937, et modifiant et abrogeant la directive UE 2015/849). Cette directive fait suite à l'arrêt du 22 novembre 2022 de la Cour de justice de l'Union européenne (aff. C- 37/20 et C- 601/20), lequel a invalidé le dispositif selon lequel les informations relatives aux bénéficiaires effectifs des sociétés pouvaient être accessibles à tout membre du grand public, considérant que cette ouverture constituait une ingérence très grave dans la vie privée et la protection des données à caractère personnel au sens qu'en donne la Charte des droits fondamentaux de l'Union européenne. Le Gouvernement a entendu les attentes de protection des données à caractère personnel des dirigeants d'entreprises et mène donc, en lien avec la Commission nationale de l'informatique et des libertés (CNIL) et avec l'appui du Conseil national des greffiers des tribunaux de commerce, un travail sur la limitation de la diffusion de données à caractère personnel par l'intermédiaire du RNE et des RCS locaux – en veillant à préserver la transparence de la vie économique. Afin d'apporter une réponse immédiate aux situations engendrées par la diffusion des adresses personnelles des dirigeants, le Gouvernement a publié au Journal officiel du 24 août un décret n° 2025-840 relatif à la protection des informations relatives au domicile de certaines personnes physiques mentionnées au registre du commerce et des sociétés. Ce texte permet aux personnes physiques, dirigeants et associés indéfiniment responsables, de demander la confidentialité des informations relatives à leur domicile personnel. Ainsi, à la demande du dirigeant ou l'associé d'une personne morale faite auprès du Guichet Unique des formalités d'entreprises, le greffe du tribunal de commerce procède à l'occultation dans les cinq jours. L'information n'apparaît plus dans l'extrait Kbis, ou la copie intégrale des informations du registre. Lorsque les données personnelles concernées par la demande de confidentialité figurent dans une pièce annexée aux registres, les informations n'apparaissent plus dans la pièce annexée au RCS ni dans la pièce annexée au RNE.

La question

Mme Violette Spillebout appelle l'attention de Mme la secrétaire d'État auprès du ministre de l'enseignement supérieur et de la recherche, chargée de l'intelligence artificielle et du numérique, sur la diffusion de contenus injurieux, discriminatoires ou harcelants en ligne à l'aune de la décision de non-conformité partielle du Conseil constitutionnel. La loi visant à sécuriser et à réguler l'espace numérique (SREN) consacrait un délit d'outrage en ligne, sanctionné par une amende forfaitaire. Le texte prévoyait de punir tout contenu en ligne qui porte atteinte « à la dignité d'une personne ou présente à son égard un caractère injurieux, dégradant ou humiliant » ou « crée à son encontre une situation intimidante, hostile ou offensante » dans l'espace numérique. Cependant le Conseil constitutionnel, dans sa décision n° 2024-866 DC du 17 mai 2024, a annulé cette mesure au motif qu'elle portait une atteinte qui n'est pas nécessaire, adaptée et proportionnée à la liberté d'expression et de communication, la qualification de l'infraction dépendant de la perception subjective de la victime. Cependant, l'actualité témoigne ces dernières années de l'essor de faits infractionnels de cyberharcèlement. Par exemple, les élus y sont particulièrement exposés sur les réseaux sociaux où ils sont victimes de diffamation et de propos injurieux récurrents. C'est pourquoi ladite mesure entendait répondre aux difficultés posées par la réponse pénale classique, qui suppose, en matière de harcèlement, des procédures lourdes. Par conséquent, elle lui demande ce que le Gouvernement envisage pour lutter contre ce phénomène tristement installé, diversifié et de plus en plus généralisé et protéger les individus qui interagissent quotidiennement dans l'espace numérique.

Réponse

La création d'un délit « d'outrage en ligne » n'apparait pas nécessaire, dans la mesure où les infractions existantes que sont l'injure, la diffamation, le harcèlement moral, les menaces ou la provocation à la haine sont déjà applicables, y compris lorsqu'elles sont commises en ligne, et permettent déjà d'incriminer les comportements concernés. Par ailleurs, les éléments constitutifs de ce délit, constitué dès lors que le contenu diffusé porte « atteinte à la dignité de la personne » ou crée à son encontre une « situation intimidante, hostile ou offensante », n'étaient pas suffisamment définis pour répondre aux exigences constitutionnelles. Enfin, le fait de prévoir l'application à ce délit de la procédure de l'amende forfaitaire se heurte à des obstacles de nature constitutionnelles et pratiques. Le Conseil constitutionnel juge en effet qu'une telle procédure n'est possible qu'à la condition de porter sur des délits dont les éléments constitutifs peuvent être aisément constatés, ce qui n'est pas le cas des infractions réprimant les abus de la liberté d'expression, qui sont par nature complexes et nécessitent des actes d'enquête pour identifier les auteurs de ces comportements. Ce sont les raisons pour lesquelles le Gouvernement était défavorable à la création d'un tel délit, qui a finalement été censuré par le Conseil constitutionnel, et n'entend pas s'engager dans la voie d'une réforme législative sur ce sujet. Pour autant, le Gouvernement est particulièrement attentif aux faits de cyberharcèlement, de plus en plus répandu et touchant un public de plus en plus large. En tant qu'atteinte aux personnes sur l'espace numérique, le cyberharcèlement est identifié parmi les principales menaces cyber auxquelles les personnes peuvent être exposées. Conscients de ces enjeux, le législateur et le pouvoir exécutif ont souhaité renforcer les moyens de lutte aux niveaux national et européen sur le plan répressif et préventif. Le règlement européen sur les services numériques ("Digital Services Act"- DSA) du 19 octobre 2022, et dont les dispositions sont pleinement applicables depuis le 17 février 2024, a ainsi introduit un cadre juridique à l'échelle de l'Union européenne visant à réguler les services numériques et à mieux protéger les droits des internautes européens, notamment en matière de cyberharcèlement. Le règlement DSA fixe donc un ensemble de règles imposant aux plateformes en ligne, y compris les réseaux sociaux, de mettre en place des outils permettant de lutter contre la présence et la diffusion de contenus illicites, dont les propos injurieux et les diffamations. Ces plateformes doivent ainsi permettre aux internautes de signaler facilement des contenus illicites, ayant pour effet de réduire les délais de traitement et d'améliorer l'efficacité des signalements. Le règlement DSA a notamment instauré le statut de « signaleur de confiance», contribuant ainsi à accélérer le traitement des signalements. Les associations, entités ou organisations reconnues pour leur expertise et leurs compétences dans la lutte contre le cyberharcèlement notamment, peuvent postuler au statut designaleur de confiance auprès de l'Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) qui constitue le coordinateur des services numériques (CSN) pour la France. En novembre 2024, l'association « e-Enfance » a été désignée comme premier signaleur de confiance par l'ARCOM, permettant notamment aux mineurs de signaler en urgence des faits de cyberharcèlement ou de violences en ligne dont ils sont victimes. Outre les signaleurs de confiance instaurés par le règlement DSA, les entités ou organisations expertes jouent aussi un rôle important dans le signalement de cyberharcèlement et de violences numériques. À titre d'exemple, le recours au dispositif de signalement à la plateforme « 3018 » géré par l'association e-Enfance est devenu depuis le 1er janvier 2024 le numéro national unique de signalement des situations de harcèlement et de cyberharcèlement entre élèves. En complément de ces mesures, le dispositif « 17Cyber » du ministère de l'Intérieur, mis en service le 17 décembre 2024 et disponible 24 heures sur 24 et 7 jours sur 7, permet à une victime de cyberharcèlement d'être directement mise en relation par messagerie instantanée avec les forces de gendarmerie nationale ou de police nationale de la plateforme de Cybermalveillance.gouv.fr. Cet accompagnement sur mesure a pour objectif de faciliter et de systématiser le dépôt de plainte pour lutter plus efficacement contre les atteintes numériques aux personnes. Il vient compléter le dispositif de signalement aux forces de sécurité intérieure déjà existant, la Plateforme d'Harmonisation, d'Analyse, de Recoupement et d'Orientation des Signalements (PHAROS). En 2023, 211 000 signalements ont ainsi été traités par cette plateforme gérée par l'Office Anti-Cybercriminalité (OFAC). Enfin, le législateur a souhaité renforcer la répression pour tenir compte des évolutions technologiques : la loi n° 2024-449 du 21 mai 2024 visant à sécuriser l'espace numérique (dite « loi SREN ») a ainsi créé un nouveau délit de publication de contenus générés par une intelligence artificielle et reproduisant l'image ou les paroles d'une personne sans son consentement (élargissement du champ d'application de l'article 226-8 du code pénal) ; un nouveau délit de publication d'un montage présentant un caractère sexuel sans le consentement de la personne (article 226-8-1 du code pénal) ; l'article 17 de la loi crée une circonstance aggravante au délit de chantage, réprimé par l'article 312 10 du code pénal, lorsqu'il est exercé par un service de communication au public en ligne ; un stage de sensibilisation au numérique et au cyberharcèlement a également été créé (article 131-5-1 du code pénal). L'article 16 de la loi crée plusieurs mesures qui ont toutes pour finalité de permettre le bannissement numérique d'une personne suspectée d'avoir commis ou ayant commis certaines infractions en ligne. Ces mesures sont de deux ordres : peine complémentaire de suspension des comptes d'accès aux services de plateforme en ligne utilisés pour commettre l'infraction ; et interdiction d'utiliser le compte d'accès aux services de plateforme en ligne utilisés pour commettre l'infraction susceptible d'être prononcée à différents stades de la procédure. Ces dispositifs sont dans la droite ligne de la circulaire de politique pénale générale du garde des Sceaux du 27 janvier 2025 qui a souhaité ériger en priorité d'action la lutte contre les violences faites aux personnes (dont notamment les mineurs), y compris lorsque ces violences sont favorisées par un vecteur cyber. La combinaison de ces outils de prévention et de répression doit ainsi contribuer à une lutte plus efficace contre le cyberharcèlement, quelles que soient les modalités de leur commission.