Protecting the individual in the face of the automation of platform content presentation

La protection de l’individu face
à l’automatisation de la présentation des contenus par les plateformes

Introduction

Dans une société de plus en plus numérisée, les algorithmes occupent une place qui ne cesse de croître. Intégrés à des systèmes automatisés exécutés par des ordinateurs puissants, ils traitent de grandes masses de données et produisent des résultats dont les impacts sur les personnes et sur leurs vies ne cessent de s’étendre, à mesure que l’interaction avec ces systèmes s’inscrit comme une évidence du quotidien.

Ces algorithmes interviennent notamment dans un accès « calculé » aux contenus disponibles sur le web via des plateformes devenues incontournables (GAFA). Ils permettent de filtrer et sélectionner des contenus, ordonner des réponses à une recherche, faire des recommandations de produits ou de connexions sociales, calculer un score, prédire un événement ou un risque1.

Les plateformes ont largement recours à ce type d’algorithmes pour optimiser leur modèle basé sur l’exploitation massive de données et la personnalisation des contenus grâce, notamment, à des systèmes algorithmiques d’apprentissage machine. Les individus sont au cœur du fonctionnement de ces systèmes, que ce soit pour fournir directement ou indirectement les données qui les alimentent ou pour permettre l’individualisation des services qui leur sont proposés. Le RGPD2 s’attache à protéger les individus au regard des données personnelles traitées et 28prévoit également, dans ce cadre, une protection particulière des personnes faisant l’objet de décisions individuelles automatisées. L’article 22 du RGPD interdit en effet de telles décisions, sauf exception où la personne concernée bénéficie alors de droits spécifiques dont celui d’être informé de la logique du traitement automatisé qui lui est appliqué. Il existe un lien entre la notion de décision automatisée et celle de profilage telle qu’elle est définie à l’article 4 du RGPD. Le profilage est souvent un préalable à la décision mais celle-ci peut aussi être prise de manière autonome comme c’est le cas pour les systèmes de détection des infractions au Code de la route.

Face à des algorithmes qui nous « construisent », sélectionnent et hiérarchisent l’information, anticipent nos souhaits et orientent nos préférences3, ce texte offre-t-il une protection susceptible de répondre aux enjeux tant individuels que sociétaux qui se font jour ? Dans quelle mesure un algorithme de traitement de contenus peut-il fonder une décision individuelle automatisée au sens de l’article 22 du RGPD et permettre aux personnes qui en sont l’objet, d’exercer leurs droits ? Dans une première partie, nous verrons que la qualification de décision automatisée pour les algorithmes de traitement de contenus demeure incertaine. À supposer que telle soit leur qualification, elle est alors génératrice de droits, lesquels peinent cependant à s’exercer et ne gagnent leur effectivité que dans le cadre plus large de la régulation des plateformes (partie II).

La qualification incertaine de l’algorithme de traitement de contenus comme décision individuelle automatisée
au sens de l’article 22 du RGPD

Pour être qualifié de décision individuelle automatisée au sens de l’article 22 du RGPD, un algorithme de traitement de contenus doit pouvoir être considéré comme (1) constituant une décision fondée sur un traitement automatisé de données à caractère personnel et (2) produisant 29des effets juridiques ou d’importance similaire sur la personne qui en est l’objet. Ce n’est qu’à ces conditions qu’un individu pourra prétendre exercer les droits attachés à ce type de décisions.

La reconnaissance induite de l’algorithme de traitement
de contenus comme agent et fondement exclusif
de la décision individuelle automatisée

Aucune précision n’est donnée sur la notion de décision, que ce soit sur ce qui la caractérise ou sa forme d’expression. La décision relève-t-elle d’un attribut exclusivement humain ou est-il possible d’envisager que des algorithmes prennent également des décisions directement appliquées aux personnes ? Il ne semble pas extravagant de l’affirmer au regard de l’exemple visé au Considérant 71 du RGPD qui présente le rejet automatique d’une demande de crédit en ligne comme pouvant constituer une décision individuelle automatisée. Dans ce cas, le traitement automatisé fonde non seulement la décision mais en est également l’expression directe auprès de la personne qui en est l’objet. Les algorithmes pourraient donc prendre des décisions4 traduites par les résultats qu’ils produisent à l’issue d’un processus décisionnel automatisé, notamment pour les algorithmes d’apprentissage machine qui apprennent à déterminer leurs paramètres de fonctionnement sur la base des données qu’ils traitent.

Toutefois, les algorithmes de traitement de contenus sont le plus souvent perçus comme des outils d’aide à la décision qui, dans ce contexte, ne pourrait être qu’humaine. Or, en « choisissant » de présenter tel contenu plutôt que tel autre ou dans tel ordre, une décision algorithmique est bien réalisée. Elle se substitue à la décision humaine à ce premier niveau d’accès à l’information, la décision humaine « aidée » intervenant dans un second temps, sur la base des résultats produits.

Selon cette hypothèse, la décision algorithmique de traitement de contenus de premier niveau est directement appliquée à la personne, sans intervention humaine5 pour évaluer et contrôler l’opportunité de la décision de présentation des contenus qui est prise. De plus, pour 30présenter des contenus de plus en plus personnalisés, les algorithmes sont amenés à traiter des données à caractère personnel, notamment à des fins de profilage, pour ensuite appliquer leurs résultats de manière ciblée. Ainsi, de la même manière qu’un algorithme va décider l’attribution ou non d’un prêt au regard de caractéristiques et critères appliqués à la personne qui en fait la demande, l’algorithme de traitement de contenus va décider de la présentation ou hiérarchisation de l’information avec cette même approche individualisée.

Cette approche algorithmique de la décision permet de considérer que l’algorithme de traitement de contenus peut prendre une décision fondée exclusivement sur un traitement automatisé au sens de l’article 22, sans toutefois préjuger des effets sur les personnes. Encore faut-il que cette décision produise des « effets juridiques » ou significatifs « de façon similaire » pour être qualifiée de décision individuelle automatisée.

L’appréhension aléatoire des effets produits
par les algorithmes de traitement de contenus sur
les personnes au regard de l’imprécision de l’article 22 du RGPD

En visant le plus souvent la personnalisation des contenus proposés, les algorithmes contribuent à la construction d’un profil probabiliste de l’individu, indépendamment de sa singularité réelle, créant un double automatisé6. Les traits de personnalités, les centres d’intérêt et les envies artificiellement déduits par l’algorithme seront ceux considérés pour le traitement des contenus et leur présentation aux personnes ou plutôt à la projection automatisée de ces dernières, sans qu’elles en aient réellement conscience7. Cela contribuerait à l’enfermement informationnel et « l’isolement intellectuel » de l’individu dans une « bulle de filtres » ne lui donnant accès qu’à des contenus optimisés pour répondre à ses goûts et attentes supposés8. Des études tendent cependant à montrer que cette bulle existerait plus du fait des choix des personnes elles-mêmes face à une variété de contenus disponibles9. Il n’en demeure pas moins que 31cet enfermement relatif participe à un conditionnement plus global où d’autres facteurs contextuels entrent en compte. L’ubiquité des interactions avec des outils de traitement de contenus imperceptibles aboutit à une utilisation généralisée sans réelle conscience des individus. En outre, les algorithmes qui « décident » des contenus présentés ne sont pas neutres10. Ils résultent d’une conception, d’une programmation qui va traduire la vision et les objectifs des plateformes commerciales qui les mettent en œuvre pour proposer leurs services. Cette force de frappe globalisée et orientée participe à la construction et à la représentation de soi, jusqu’au risque de nous soumettre à ce que la machine pense de nous et de s’y adapter en anticipant sa logique décisionnelle pour nous profiler11.

La question est dès lors de savoir dans quelle mesure ces effets produits par la décision algorithmique de traitement de contenus peuvent se traduire en « effets juridiques » mentionnés à l’article 22 ?

Il est, là encore, à déplorer le manque de clarté sur les circonstances qui produisent les effets juridiques visés. Les lignes directrices du G29 précisent que des effets juridiques sont produits dès lors que les droits juridiques d’une personne, son statut juridique ou ses droits en vertu d’un contrat sont affectés.

Du fait des effets particuliers des algorithmes de traitement de contenus sur le rapport à soi, il n’est pas étonnant que les droits pouvant être affectés tendent à être évalués au regard des libertés et droits fondamentaux des personnes. Ainsi, une étude du Conseil de l’Europe sur les algorithmes et les droits humains12 évoque le risque d’atteinte à la liberté d’expression et au droit à l’information des personnes découlant du filtrage des informations à grande échelle. Cependant, malgré leur nature juridique, la portée de ces principes semble devoir rester limitée à défaut d’une traduction légale spécifique adaptée aux décisions algorithmiques de traitement de contenus. Les questions qui se posent 32en matière de discrimination illustrent bien la difficulté à appréhender la nature juridique des effets des algorithmes de contenus, que ce soit au regard du principe général de non-discrimination garanti au niveau constitutionnel et international13 ou des cas de discrimination plus spécifiquement prévus par la loi14. Les algorithmes sont par nature discriminants dès lors qu’ils classent, hiérarchisent, sélectionnent des contenus sur la base de profils personnalisés. Ils sont également susceptibles de reproduire des biais15. Des différences de traitement dans la présentation de contenus en raison de critères, réels ou supposés, tels que l’apparence, la croyance, l’âge ou le sexe peuvent donc en découler. Or le caractère souvent imperceptible, indirect et généralement non intentionnel des discriminations générées16 et des différences de traitement dans l’accès ou la présentation de contenus, non spécifiquement visées par la loi (comme la différenciation tarifaire), rendent difficile la qualification juridique systématique et précise de ces effets. Cette situation invite donc à s’intéresser plus particulièrement au caractère significatif « de manière similaire » des effets des décisions algorithmiques de traitement de contenus.

Pour tenter de comprendre ce que de tels effets recouvrent, les lignes directrices du G29 indiquent qu’ils doivent revêtir un niveau d’importance similaire aux effets juridiques, c’est-à-dire affecter « de manière significative la situation, le comportement ou les choix des personnes » ou, dans les cas les plus extrêmes, conduire à « l’exclusion ou la discrimination ». Le RGPD cite en exemple le rejet automatique d’une demande de crédit mais les lignes directrices font également référence au cas moins évident de la publicité en ligne. Une approche au cas par cas, prenant en compte tant les effets produits par la décision que les méthodes employées pour y aboutir, est retenue. Les effets peuvent ainsi revêtir une importance significative lorsque les procédés utilisés 33pour le profilage sont particulièrement intrusifs, touche aux attentes et souhaits ou vulnérabilités spécifiques des personnes visées.

L’accès personnalisé à des contenus via des critères exécutés automatiquement par les algorithmes peut orienter et influencer les comportements et les choix opérés par les personnes et ce notamment du fait de l’exploitation des caractéristiques identifiées et associées à des personnes, les rendant plus réceptives, si ce n’est plus vulnérables, aux informations diffusées (comme le suivi des sites consultés qui peut révéler une sensibilité particulière pour certaines causes). Ces effets n’ont rien de triviaux mais force est de constater que leur importance est aussi dépendante du contexte dans lequel interviennent les décisions qui les produisent. Difficile de dissocier l’impact de ces algorithmes du caractère dominant des plateformes qui présentent la grande majorité des contenus, l’exploitation massive des données, notamment personnelles, par ces mêmes plateformes et l’utilisation répétée des outils de présentation de contenus qui, par accumulation, vont produire un effet significatif dans la durée.

L’imprécision du texte de l’article 22 (1) du RGPD laisse donc la porte ouverte à une interprétation suffisamment large pour considérer comme possible la qualification des algorithmes de traitement de contenus comme décision individuelle automatisée, dès lors que s’inscrit dans l’évaluation des effets produits sur l’individu le contexte plus global dans lequel la décision intervient. A contrario, cette même imprécision permet une interprétation proportionnellement restrictive qui, à défaut de précisions jurisprudentielles ou légales, n’offre pas de sécurité juridique quant à l’exercice des droits attachés aux décisions individuelles automatisées et tout particulièrement sous la forme d’algorithmes de traitement de contenus.

Une qualification de décision automatisée,
génératrice de droits

Si au regard de l’article 22 du RGPD la qualification de l’algorithme de traitement de contenus comme décision individuelle automatisée 34entraîne la reconnaissance de droits pour les personnes qui en sont l’objet, l’exercice réel et isolé de ces droits paraît toutefois limité (1), leur effectivité semblant liée à la régulation plus spécifique des plateformes dans leur fonction d’intermédiation (2).

Le difficile exercice des droits attachés aux décisions individuelles automatisées de traitement de contenus
par leurs destinataires

L’article 22 (1) pose un principe général d’interdiction des décisions individuelles automatisées. La portée de cette interdiction est toutefois largement atténuée par les exceptions visées à l’article 22 (2) qui autorisent le recours à de telles décisions lorsque cela est nécessaire à la conclusion et à l’exécution d’un contrat, est autorisé par le droit interne et/ou est fondé sur le consentement explicite de la personne concernée.

Dans ces cas, sont associés à la décision individuelle automatisée les droits, pour la personne qui en fait l’objet, d’obtenir une intervention humaine, d’exprimer son point de vue et de contester la décision. Le responsable de traitement devra de son côté mettre en œuvre « des mesures appropriées pour la sauvegarde des droits et libertés et des intérêts légitimes » des personnes, notamment en garantissant le possible exercice des droits précités auxquels s’ajoutent un droit d’information préalable et un droit d’accès aux « informations utiles concernant la logique sous-jacente, ainsi que l’importance et les conséquences prévues de ce traitement ». Sans entrer dans le détail de la question largement débattue de savoir si l’article 22 offre un droit à l’explication ou simplement d’information17, c’est la possibilité même d’exercer ces droits qui interroge.

En effet, la difficile appréhension de ce qui constitue une décision individuelle automatisée autorise des interprétations variées, si ce n’est contradictoires, pour les cas les moins évidents comme le recours à des systèmes de décisions automatisées pour le traitement de contenus. Cela est d’autant plus problématique lorsque l’exercice potentiel des droits attachés à une décision individuelle automatisée dépend largement de 35l’information préalable du recours à une telle décision. Or cette information ne sera donnée par le responsable de traitement que dans la mesure où ce dernier aura considéré que le système qu’il met en place correspond bien à une décision individuelle automatisée. L’information de la personne dépend donc de l’interprétation ex ante du responsable de traitement dont on peut penser qu’elle n’ira pas spontanément vers une interprétation extensive couvrant les décisions algorithmiques de contenus.

Les droits attachés à une décision individuelle automatisée existent et peuvent être exercés indépendamment d’une information préalable mais la réalité pratique de la mise en œuvre des décisions algorithmiques de contenus et notamment de profilage, est que ces traitements sont le plus souvent imperceptibles pour les personnes qui en font l’objet. En outre, quand bien même un individu serait conscient du recours à une décision individuelle automatisée, à charge pour lui de le démontrer ce qui, sans accès aux informations relatives aux modalités de fonctionnement des systèmes utilisés souvent protégées par le secret, se révèle une tâche particulièrement coûteuse et difficile à entreprendre. Enfin, on peut également s’interroger sur la concrétisation du droit à une intervention humaine dans le cadre de l’application des décisions algorithmiques de traitement de contenus.

Tout cela amène à s’interroger sur l’utilité juridique même de l’article 22 du RGPD permettant de garantir l’exercice des droits en cas de décisions prises par des algorithmes de traitement de contenus. Il est dès lors à craindre que l’absence d’application par les juridictions et autorités de protection des données personnelles de l’article 22 reste comparable à celle de feu l’article 15 de la Directive 95/46/CE18, qu’il reproduit de manière quasi-identique. Cela prive d’une garantie juridique qui, bien que liée au traitement de données personnelles, serait susceptible de couvrir de manière étendue la variété des effets produits par les décisions algorithmiques de traitement de contenus. Il semble toutefois qu’est privilégiée une approche réglementaire plus sectorielle centrée sur les obligations de transparence et de loyauté des plateformes.

L’effectivité des droits attachés à cette qualification de décision automatisée dépend dans une certaine mesure de la régulation des plateformes qui est elle-même source de nouveaux droits. La régulation 36des plateformes repose sur des règles de fond en pleine évolution mais nécessite aussi un renouvellement de certains moyens de la régulation.

Des droits dont l’effectivité dépend
de la régulation des plateformes

Il convient en premier lieu de s’interroger sur l’activité de la plateforme quand elle présente le contenu de telle ou telle façon. Derrière la prise de décision automatisée, il y a en effet une activité, soit d’intermédiation technique, soit éditoriale. Il est à noter que bien sûr la préférence des plateformes va à la qualification d’intermédiation technique car c’est elle qui offre le régime de responsabilité le plus favorable, en l’occurrence celui de la responsabilité limitée ou aménagée prévue par la loi pour la confiance dans l’économie numérique. Si l’on se fonde sur le raisonnement de la Cour de Cassation dans l’affaire « Joyeux Noël19 », force est de constater que même des activités qui semblent à première vue de nature éditoriale sont ramenées à leur dimension technique. Si l’on comprend que le réencodage de nature à assurer la compatibilité de la vidéo à l’interface de visualisation soit une opération technique, il paraît moins évident que ce soit le cas de la mise en place de cadres de présentation et de la mise à disposition d’outils de classification des contenus, quand bien même ils seraient justifiés par la seule nécessité de rationaliser l’organisation du service et d’en faciliter l’accès à l’utilisateur.

Ce même flottement apparaît dans le rapport « Créer un cadre français de responsabilisation des réseaux sociaux : agir en France avec une ambition européenne » qui fait état d’une fonction éditoriale des réseaux sociaux20 . La notion reste ambiguë car elle n’est pas supposée fonder une responsabilité éditoriale. Les auteurs du rapport écrivent ainsi : « le constat de l’existence de cette fonction d’ordonnancement des contenus, qui constitue une forme d’éditorialisation de fait ne saurait remettre en cause le statut juridique de ces acteurs, ni conduire, à les requalifier en éditeurs dès lors que la majorité des services de réseau social n’opère pas de sélection préalable à la publication des contenus ».

Cette distinction entre intermédiation technique et édition n’a de sens que par rapport à la détermination du régime de responsabilité. 37En revanche, c’est bien l’intermédiation par elle-même qui fonde les obligations de loyauté et de transparence qui incombent aux plateformes définies par référence à leur fonction d’intermédiation.

Ces obligations de loyauté et de transparence constituent un pilier important de la régulation des plateformes. Telle qu’appréhendée dans le cadre des états généraux des nouvelles régulations numériques lancés par le gouvernement français en juillet 2018 (Mounir Mahjoubi), cette régulation comprend quatre volets, concurrentiel, social, un volet « contenus » et un dernier concernant les moyens de la régulation21.

Un premier ensemble d’obligations résulte de la loi pour une République numérique, novatrice en la matière, qui prévoit des obligations applicables à plusieurs cas de figure. Notre propos concerne plus particulièrement les obligations imposées aux plateformes qui valorisent des contenus, des biens ou des services proposés par des tiers, tels que les moteurs de recherche, réseaux sociaux ou comparateurs, et qui doivent préciser les critères de référencement et de classement qu’elles utilisent.

Ces dispositions concernent les relations des plateformes avec les utilisateurs finaux. En amont, le respect de la loyauté et de la transparence doit amener les plateformes à révéler la manière dont elles ordonnancent les contenus. C’est ce que fait Google lorsqu’il explique dans quel ordre les actualités sont présentées au lecteur sur Google News. Donner à l’utilisateur les moyens de créer son propre ordonnancement constitue également une réponse intéressante. En tout cas, on pourrait revendiquer une transparence encore plus grande sur la manière dont les contenus les plus engageants sont valorisés de telle manière que sont exacerbés les contenus haineux ou les fausses informations. Ou encore demander que toute la lumière soit faite sur la manière dont l’attention est captée, ce qui est l’objectif ultime des plateformes et la face la plus cachée de leur stratégie.

En aval, ces obligations sont à même de permettre la disponibilité de l’information qui est nécessaire à l’utilisateur pour exercer ses droits en tant que citoyen en vertu de l’article 22, même si c’est ici le droit de la consommation qui est convoqué. Comment concilier ces deux approches, dans la mesure où le respect de l’obligation de transparence 38par la communication de certaines informations est cela même qui risque de favoriser le refus d’être le destinataire d’une décision automatisée. Réguler les plateformes ou s’en défendre, voire les défaire sont en effet les termes antagonistes du débat actuel qui s’inscrit dans une prise de conscience sans précédent des risques de la plateformisation22.

Si la loi française s’intéresse à la relation BtoC, il n’en est pas de même de l’approche européenne qui a donné naissance au règlement promouvant l’équité et la transparence pour les entreprises utilisatrices de services d’intermédiation en ligne23. Elle concerne quant à elle les relations entre les plateformes et les entreprises, d’où son nom de « Platform to business ». Le Conseil national du numérique, qui a organisé la consultation dans le cadre des états généraux, fait valoir qu’une approche horizontale serait préférable à cette réglementation en silos. Ceci est d’autant plus logique que dans le cadre de certaines plateformes, notamment collaboratives, l’offreur est souvent un individu. Les obligations prévues par ce règlement embrassent en tout cas un large champ. En matière de transparence, un article 5 consacré au classement vient fixer des obligations très précises relatives à la communication des paramètres utilisés pour le classement, à faire figurer dans les conditions générales. Ces règles répondent à un besoin de prévisibilité. Il est à noter que « la notion de principaux paramètres devrait s’entendre comme faisant référence à tous les critères et processus généraux ainsi qu’aux signaux spécifiques intégrés dans les algorithmes ou à d’autres mécanismes d’ajustement ou de rétrogradation utilisés en relation avec le classement24 ».

Le règlement est intéressant aussi dans la mesure où il crée un observatoire européen des plateformes et répond ainsi à un besoin de connaissance de leur fonctionnement. Cet enjeu est à la source d’une proposition de création d’un observatoire français à l’image de l’entité européenne. Pour atteindre cet objectif de connaissance, peut-on uniquement s’en remettre au bon vouloir de coopération des entreprises ou faut-il être plus directifs pour accéder à certaines informations, notamment en temps réel ?

La question est importante au regard du développement d’une forme de régulation utilisée notamment par l’ARCEP : la régulation par la donnée. Celle-ci repose sur des canaux de remontée de données, par exemple sur les pratiques des plateformes, le but étant notamment une meilleure information du citoyen. Cette approche répond à une volonté de créer un parallélisme entre une société et une économie gouvernées par les données et l’usage de ces mêmes données à des fins de régulation. La disponibilité des données est alors de nature à susciter un choix et d’inciter une entreprise à modifier son offre.

Conclusion

L’ensemble du RGPD est imprégné par la recherche d’un « empowerment » de l’individu au sens de l’autodétermination informationnelle. Lu ou appliqué en combinaison avec la régulation des plateformes, il peut fonder une capacité de résistance face à l’automatisation de la présentation des contenus. Pour l’instant, l’opacité est grande en la matière et l’emprise des plateformes préoccupante. Il apparaît pour le moins paradoxal dans ces circonstances de continuer à faire bénéficier certaines plateformes de la responsabilité aménagée des intermédiaires techniques alors que c’est précisément leurs fonctions éditoriales ou de présentation des contenus d’un type nouveau qui fait problème. Le programme de la nouvelle Commission européenne s’agissant du numérique sera certainement l’occasion de prendre de nouvelles orientations dans ces domaines, à l’occasion de la réforme de la directive e-commerce et du projet d’adoption d’un Digital Services Act.

Annie Blandin

Élisabeth Lehagre