La CJUE vient de redéfinir le pouvoir des plateformes, pour quelles implications ?

Le critère que la CJUE vient de poser

Jusqu'à présent, le critère du « rôle actif » forgé par l'arrêt Google France (2010) puis YouTube/Cyando (2021) restait flou : une description globale de la passivité du prestataire, où connaissance et contrôle se confondaient. L'arrêt du 16 juin, rendu dans les affaires jointes WebGroup Czech Republic/NKL Associates et Coyote System, rompt avec cette lecture.

C'est dans le volet relatif à Coyote System que la Cour développe son raisonnement sur le contrôle algorithmique, le statut d'hébergeur du service étant directement en cause. Elle pose que le contrôle est désormais une cause de disqualification autonome, indépendante de la connaissance : dès lors qu'un exploitant a prédéterminé, au moyen de son algorithme, les conditions de diffusion des informations, il exerce un contrôle — même s'il ignore le résultat particulier de chaque diffusion, même si tout est automatisé.

Traduction pour nos administrations : l'automatisation n'est plus un argument de neutralité. C'est, au contraire, l'indice même du pouvoir exercé.

L'arrêt AGCOM du 16 juillet ajoute un second étage. Le simple fait, pour une plateforme, d'examiner un contenu à des fins de monétisation — même sans intention de contrôle éditorial — suffit à établir une forme de connaissance de ce contenu. Une plateforme ne peut plus se prétendre ignorante de ce qu'elle a elle-même choisi de valoriser commercialement.

Ce que cela dit de notre dépendance aux GAFAM en éducation

Appliquons ce raisonnement, non pas au droit de la responsabilité, mais à la question de gouvernance que je porte depuis des mois : quand une région déploie des Chromebooks dans ses lycées, quel est le statut réel du fournisseur sous-jacent ?

Les arrêts WebGroup et AGCOM ne portent évidemment ni sur l'éducation ni sur les services cloud. Ils révèlent cependant une évolution de la manière dont la CJUE apprécie l'existence d'un contrôle exercé par un intermédiaire numérique. Cette évolution offre une grille de lecture particulièrement utile pour analyser les dépendances créées par certaines infrastructures numériques — non pas une qualification juridique transposable telle quelle, mais une analogie de raisonnement.

Il faut ici être précis : ni l'Île-de-France ni les Pays de la Loire n'ont retenu Google Workspace Éducation comme suite pédagogique — les usages collaboratifs s'appuient sur d'autres briques, souvent via le GAR. Mais cette précision ne dissout pas la dépendance, elle en déplace le siège. Le socle ChromeOS et l'infrastructure de comptes Google demeurent la couche technique sur laquelle repose l'ensemble du parc, indépendamment de la suite logicielle choisie en surface. Le fournisseur d'infrastructure conserve, par la conception même de son écosystème, une capacité déterminante d'action sur les conditions de fonctionnement du système — mises à jour, gestion des comptes, télémétrie de l'appareil — même lorsque la région a retenu une autre suite pédagogique.

Ce n'est pas un hébergeur passif. C'est un acteur qui :

• prédétermine, via les paramètres par défaut de l'appareil et du compte, les conditions d'usage du matériel — cycle de mises à jour, gestion des identités, télémétrie — quelle que soit la suite pédagogique retenue en surface ;
• dispose, du fait même de l'exploitation de l'infrastructure, d'une capacité structurelle à connaître certaines caractéristiques des usages, des équipements et des interactions techniques, selon les paramètres retenus et les traitements effectivement mis en œuvre ;
• façonne, par verrouillage écosystémique (formats propriétaires, interopérabilité limitée, coûts de sortie), les marges de manœuvre futures de l'institution qui l'a choisi.

Si le droit européen considère qu'un tel pouvoir suffit à faire tomber la fiction de la neutralité pour une plateforme de contenus, pourquoi notre doctrine publique continuerait-elle de traiter le choix d'un GAFAM comme fournisseur scolaire comme une simple décision d'achat technique, sans conséquence sur la souveraineté des traitements ?

La dette de dépendance, au prisme du droit

C'est précisément ce que je nomme la dette de dépendance : cette dette invisible qui s'accumule non pas au moment de l'achat, mais à chaque cycle d'usage, à mesure que l'institution publique perd la maîtrise de ses propres traitements au profit d'un tiers dont le contrôle algorithmique et la capacité structurelle à connaître les usages ne cessent de croître.

Les décisions du 16 juin et du 16 juillet ne portent évidemment ni sur l'éducation ni sur les services cloud. Elles confirment cependant que la neutralité d'un intermédiaire numérique ne peut plus être appréciée indépendamment du contrôle qu'il exerce effectivement. Cette fiction de la passivité, nous l'avons pourtant laissée prospérer dans nos choix d'équipement scolaire pendant une décennie, en réduisant le débat de souveraineté à la seule question de la localisation des serveurs.

Une doctrine publique en retard sur sa propre jurisprudence

Le paradoxe est là : le droit européen anticipe désormais mieux la réalité du pouvoir numérique que certaines de nos décisions d'achat public. Une académie qui déploie un parc de Chromebooks sans avoir qualifié précisément le degré de contrôle et de connaissance exercé par le fournisseur sur les données et les usages pédagogiques prend une décision de gouvernance dans l'angle mort du droit qui se dessine.

C'est tout l'enjeu d'une fonction de pilotage numérique de l'État capable d'anticiper ces bascules réglementaires — plutôt que de les découvrir, comme trop souvent, après le déploiement. La gouvernance précède la technologie. Elle devrait aussi précéder le droit qui, aujourd'hui, la rattrape.

La véritable souveraineté ne commence pas avec le choix d'une technologie. Elle commence par la mesure du capital de maîtrise qu'elle construit — ou de la dette de dépendance qu'elle laisse.

Ancien DSI et RSSI des académies de Versailles puis de Normandie, où il a piloté la première fusion nationale de deux académies, Jacky Galicher cumule plus de vingt ans d’expérience dans la gouvernance des systèmes d’information, la cybersécurité et la transformation numérique du secteur public, en particulier dans l’Éducation nationale. Aujourd’hui consultant indépendant, il accompagne les DSI, directions générales, éditeurs et startups dans leurs choix stratégiques, la structuration de leur gouvernance, la maîtrise des dépendances vis-à-vis des grands fournisseurs technologiques et l’arbitrage des transformations numériques.