Expertises
Droit, technologies & prospectives
interview / Vincent DENOYELLE, Marianne GEORGELIN et Cédric MICHEL-FLANDIN
Nouvelle ouverture de GTLD : Risques et opportunités
Droit, technologies & prospectives
Tous les mois, toute l'actualité du numérique... Et tellement plus !
Nos derniers numéros
N°457 – mai 2020
N°456 – avril 2020
N°455 – mars 2020
N°454 – février 2020
N°452 – décembre 2019
N°451 – novembre 2019
N°450 – octobre 2019
N°449 – septembre 2019
N°448 – juillet 2019
Sommaire
Edito
Focus
En bref
L’information rapide sur le monde du numérique
Magazine
L’information légale et jurisprudentielle du numérique
Interview
Doctrines
Etats des lieux sur les réflexes et bonnes pratiques (2ème partie)
L’arrêt qui révèle la « silotisation » du RGPD
Où en est la construction de l’Europe numérique ?
L’OSINT échappe-il au droit ?
Vigilance accrue de la Cnil sur la surveillance des salariés
Le Digital Fairness Act : régulation nécessaire ou surcharge normative ?
Les limites du droit de rectification
L'édito du mois
Obsolescence programmée
En mai 2024, Microsoft avait annoncé qu’il ne fournirait plus de mises à jour de sécurité ni d’assistance technique pour Windows 10 après le 14 octobre 2025, rendant ainsi les ordinateurs qui ne migrent pas vers Windows 11 vulnérables aux risques de sécurité. Microsoft a néanmoins accepté de prolonger de trois ans ces mises à jour. Pour ceux qui ne peuvent pas ou qui ne souhaitent pas migrer vers Windows 11, Microsoft a proposé de continuer de livrer des mises à jour de sécurité sur une période de trois ans mais contre rémunération. Les plus anciens PC ne peuvent pas migrer vers Windows 11, faute de configuration minimale, à savoir notamment un processeur 64 bits compatible, une puce de sécurité TPM 2.0. L’alternative est simple : payer ou remplacer un matériel encore fonctionnel. Des centaines de millions d’ordinateurs vont ainsi se retrouver à la casse. Une forme d’obsolescence programmée d’autant que Windows 10 équipe encore 46% des PC dans le monde.
Aux Etats-Unis, une plainte a été déposée devant une cour de San Diego visant à obtenir une injonction pour le maintien du support gratuit de Windows 10 jusqu’à ce que sa part de marché tombe sous un « seuil raisonnable ». Le plaignant accuse Microsoft d’utiliser la fin du support de Windows 10 comme une tactique pour « monopoliser le marché des PC à IA générative ».
Ce « hold up numérique », ainsi qualifié par l’association HOP Halte à l’obsolescence programmée a également provoqué une très forte mobilisation en Europe où Microsoft a fini par céder… très partiellement. Les utilisateurs de Windows 10 de l’Espace économique européen viennent de gagner une année de mises à jour gratuites grâce au droit européen. Une victoire à la Pyrrhus, puisque cette concession ne fait que repousser l’échéance d’un an pour migrer gratuitement vers Windows 11 quand c’est possible ou payer des mises à jour. Seule obligation, s’inscrire dans la démarche ESU (Extended Security Update) est maintenue.
Euroconsumers, une association basée à Luxembourg, a écrit à Microsoft dénonçant cette politique et sa non-conformité au droit européen. Au départ, Microsoft avait proposé cette gratuité à la condition d’avoir un compte Microsoft, d’utiliser des points Microsoft Rewards ou de sauvegarder ses paramètres, applications ou identifiants pour synchroniser leurs paramètres avec le cloud. Ces deux options étant complexes à mettre en œuvre pour un utilisateur Lambda, elles ont été abandonnées en septembre dernier. Euroconsumers avait fait valoir que ces conditions posées pour maintenir la gratuité des mises à jour n’étaient guère compatibles avec l’article 6.6 du règlement sur les marchés numériques (DMA) qui prévoit que « le contrôleur d’accès ne restreint pas techniquement ou d’une autre manière la capacité des utilisateurs finaux de changer d’applications logicielles et de services qui sont accessibles en utilisant les services de plateforme essentiels du contrôleur d’accès et de s’y abonner, y compris en ce qui concerne le choix des services d’accès à l’internet pour les utilisateurs finaux ». Elle avait également invoqué les obligations de la directive du 20 mai 2019 relative à certains aspects concernant les contrats de fourniture de contenus numériques et de services numériques ou les objectifs plus larges de l’UE en matière de développement durable.
Le focus du mois
OpenAI et Adobe devant la JUB pour contrefaçon
Une PME française poursuit devant la toute nouvelle Juridiction unifiée du brevet (JUB) à Paris, Adobe, OpenAI, Truepic et la C2PA (Coalition for Content Provenance and Authenticity) et Joint Development Foundation Projects. En cause, la norme internationale anti-fake news de C2PA accusée de contrefaire son brevet.
Une start up française, KeeeX, a attaqué en contrefaçon de brevet Adobe, OpenAI, Truepic, C2PA, et Joint Development Foundation Projects devant la division locale de Paris de la Juridiction unifiée du brevet (JUB), le 17 juin dernier, et réclame 6 milliards d’euros de dommages-intérêts. Il s’agit de la première affaire sérieuse de brevet dans le cadre de l’intelligence artificielle qui se joue devant cette juridiction lancée en 2023. Un procès important pour l’éco-système de l’IA mais aussi pour la JUB.
Alors que les actions en contrefaçon de droit d’auteur se multiplient contre les entreprises d’intelligence artificielle générative, les contentieux fondés sur les brevets sont encore très rares. OpenAI, la plus célèbre entreprise d’IA, n’a jusqu’à présent été poursuivie que pour un seul brevet américain visant sa fonction de génération vidéo. Il s’agit d’une affaire Engajer qui n’a pas aboutie, le demandeur n’ayant pas été représenté par un avocat.
Mais ce n’est pas OpenAI qui se trouve au centre de cette affaire mais la norme C2PA (Coalition for Content Provenance and Authenticity), appe-
lée Content Credentials, qu’OpenAI, Adobe, Truepic et beaucoup d’autres utilisent pour lutter contre les deepfakes et la désinformation. La C2PA est un projet de la Joint Development Foundation, une coalition dans laquelle chaque membre contribue à la construction d’un outil open source destiné à garantir la traçabilité des contenus numériques en intégrant des métadonnées signées cryptographiquement, une signature invisible dans les fichiers créés par l’intelligence artificielle. Elle a été fondée en 2021 par Adobe, Arm, la BBC, Intel, Microsoft et Truepic, auxquelles se sont joints Google, Meta et OpenAI.
D’intérêt public, ces normes « ouv-
ertes » ne sont cependant pas à l’abri des revendications de propriété intellectuelle. Content Credentials de la C2PA est, en l’espèce, accusée par KeeeX de contrefaçon de son brevet européen, notamment pour avoir rendu en open source, à l’échelle mondiale, le procédé protégé.
KeeeX est une société marseillaise créée en 2014 par Laurent Henocque, un chercheur en mathématique, dont l’objet est de sécuriser et de tracer les données pour l’entreprise. Editeur de solutions de confiance numérique, cette société s’est appuyée sur un brevet déposé en 2013 aux Etats-Unis et dans 16 pays d’Europe dont le fondateur est co-titulaire avec le CNRS et l’université d’Aix-Marseille. Le brevet n° EP2949070 porte sur un « Procédé de vérification de l’intégrité d’un bloc de données numériques ». Cette technologie consiste à insérer une empreinte dans des données, puis à vérifier leur intégrité par suppression et recalcul de l’empreinte : un mécanisme destiné à garantir l’authenticité des contenus générés par IA et à lutter contre les deepfakes et la désinformation.
Comme bien d’autres, OpenAI, Adobe utilisent la méthode d’authentification par blocs de données de C2PA ainsi que Truepic qui est une société d’authentification de contenu numérique basée aux États-Unis. Si la validité du brevet était reconnue ainsi que la contrefaçon, une injonction pourrait obliger OpenAI, Adobe et Truepic à cesser de l’utiliser. Et dans ce cas, KeeeX a déclaré, dans un communiqué, ne pas s’interdire d’attaquer d’autres sociétés utilisant la norme C2PA.
La bataille ne fait que commencer. Elle risque d’être rude. Et puis une action en contrefaçon de brevet constitue une opération onéreuse pour une PME même si une procédure devant la JUB permet de réduire considérablement les frais de justice par rapport à des actions devant les tribunaux menées dans différents pays en cas de contrefaçons multiples dans chacun de ces pays européens. En effet, une décision peut être obtenue par le biais d’une action unique introduite devant la JUB, laquelle aura effet dans tous les états membres protégés par le brevet européen sur la base duquel est intentée l’action. Néanmoins, cette procédure représente un coût certain. Contrairement aux juridictions françaises, une action en contrefaçon est soumise à une taxe fixe de 11 000 €. S’ajoute à cela une taxe, dans le cas notamment d’une action en fixation des dommages et intérêts, qui peut varier de 2 500 euros pour un litige dont la valeur est supérieure à 500 000 euros, à 325 000 euros pour un litige de plus de 50 millions d’euros. Or, KeeeX réclame six milliards d’euros de dommages-intérêts. Et il faut encore prévoir les frais d’avocats et ceux de l’adversaire en cas de perte de la procédure. Un budget qui peut s’avérer considérable pour une PME comme KeeeX dont le chiffre d’affaires ne dépasse pas 700 000 € a priori (cette entreprise a choisi de disposer de la confidentialité totale de ses comptes, en vertu de l’article L.232-25 du code du commerce). On estime qu’OpenAI aurait atteint 12 milliards de dollars de chiffre d’affaires annualisé (soit 10,5 milliards d’euros) et Adobe 20 milliards de dollars.
Une action devant la JUB est censée être rapide. On devrait attendre moins d’un an pour savoir si la validité du brevet est confirmée et la contrefaçon aura pu être établie et sanctionnée. Ce procès, s’il est gagné par KeeeX pourrait avoir des conséquences très importantes pour tous ceux qui intègrent cette norme : d’Amazon à Google ou Meta en passant par France Télévisions. Et il aura aussi un grand impact sur la division locale de Paris de la JUB en lui donnant une visibilité mondiale car quelle que soit la décision prise, elle aura un grand retentissement.
L'invité du mois
Interview / Vincent Denoyelle, Marianne Georgelin et Cédric Michel-Flandin
Nouvelle ouverture de gTLD : Risques et opportunités
L’Internet Corporation for Assigned Names and Numbers (ICANN) a décidé de procéder à une nouvelle ouverture de domaines de premier niveau. Tirant les leçons de la dernière opération de cette nature qui avait eu lieu en 2012, elle a simplifié les procédures, raccourci les délais et introduit des extensions liées au Web3 dans le DNS. Les candidats qui souhaitent disposer d’un nouveau territoire virtuel via une extension générique, géographique ou liée à une marque pourront postuler entre le 27 avril et la fin juillet 2026. Avant cela, Vincent Denoyelle, avocat, Marianne Georgelin et Cédric Michel-Flandin de l’Afnic nous expliquent en quoi consistent les améliorations apportées par rapport au dernier round de 2012, l’intérêt de disposer de son propre domaine mais aussi les risques de l’existence de nouvelles extensions pour les marques.
Sylvie Rozenfeld : L’ICANN a annoncé l’ouverture d’un programme de candidatures à de nouveaux domaines de premier niveau (gTLD) en 2026. La dernière ouverture avait eu lieu en 2012 avec la création de plus de 1 200 extensions thématiques (.hotels ou.bank), géographiques (.paris ou.london) ou liées à une marque (.bnpparibas ou.leclerc) qui s’étaient ajoutées aux 22 extensions génériques traditionnelles (.com,.org ou.info). Vincent Denoyelle, vous êtes avocat et expert UDRP auprès de l’OMPI et de l’Afnic, Marianne Georgelin et Cédric Michel-Flandin, vous êtes respectivement responsable du service juridique et responsable grands comptes à l’Afnic. La précédente ouverture d’extensions avait eu lieu en 2012 avec l’offre de domaines de premier niveau. A-t-on fait un bilan de cette précédente opération ?
Vincent Denoyelle : Un premier bilan a en effet été effectué. Cela explique qu’il a fallu attendre tant de temps pour une seconde ouverture. Il y a eu une phase de due diligence, de revue et d’analyse de la première phase pour en tirer des leçons. Ce travail énorme a fait ressortir les points qui pouvaient être améliorés. Par exemple, on a ainsi constaté que la quantité de cybersquatting, donc d’abus visant les marques de tiers, était plus importante au sein des nouvelles extensions génériques qu’au sein des gTLDs existants (legacy gTLDs) comme « .app », « .club » ou « .shop » alors qu’il n’y avait pas eu de problèmes pour les extensions géographiques ou de marques, soumises à des règles d’éligibilité et d’enregistrement beaucoup plus restrictives.
Marianne Georgelin : C’est aussi le temps qu’il a fallu pour se mettre d’accord sur des mécanismes de lutte contre les abus liés aux noms de domaine. Cela a permis de mieux maîtriser ce sujet au sein des parties prenantes de l’ICANN : des registres de noms de domaine, des registrars qui sont des intermédiaires en matière d’enregistrement mais aussi des représentants de la communauté de la propriété intellectuelle. Cela a abouti à des modifications des cadres contractuels qui lient ces acteurs à l’ICANN pour être plus efficaces et à un certain changement de paradigme dans la lutte contre les abus. C’est donc plus sécurisant.
Cédric Michel-Flandin : Parmi les 1 200 nouvelles extensions gTLD apparues en 2012, 500 environ correspondaient à des marques, sur un modèle fermé où seul le titulaire d’une marque peut exploiter son extension internet pour son propre compte. Ces 500 marques pionnières s’étaient lancées pour se protéger, et depuis elles ont compris l’intérêt d’un.marque dans son exploitation. Sur ces 500 « .marque », on estime qu’un bon tiers les utilise avec des projets, comme par exemple en France « .leclerc », « .mma », « .bnpparibas». À l’Afnic, au sein du « Cercle des.marque », on a produit une étude de perception du grand public, basée sur un panel de 2 000 utilisateurs, à la fin 2024 pour savoir si ces extensions étaient lisibles. Et il en est ressorti qu’un internaute sur quatre nous a dit connaître une adresse avec une extension.marque. Ces internautes indiquent qu’ils ont plus confiance envers la marque qui communique avec sa propre extension internet. Le.marque constitue ainsi un très bon levier pour éduquer les utilisateurs aux enjeux d’une adresse internet et à l’identification qu’elle peut permettre.
Qu’est-ce que ce nouveau programme
apporte de plus par rapport à celui de 2012 ?
V. D. : La vague de 2012 a surtout servi à éclairer et affiner la nouvelle. Comme celle de 2012, l’ouverture de nouvelles extensions ne concerne pas que les marques. La première ouverture était ouverte à tout le monde, en dehors de certaines restrictions comme par exemple en matière géographique. Aujourd’hui aussi, il n’y a pas de restrictions sauf certains cas. En 2012, il y a eu des demandes de termes génériques pour un usage générique : par exemple Google ou Amazon ont effectué beaucoup de demandes qui correspondaient à leurs marques mais aussi des demandes portant sur des termes génériques. Par exemple, Amazon a également posé sa candidature pour un « .books ». Ce qui change pour le programme de 2026 est par exemple l’interdiction de principe de TLDs correspondant à des termes génériques et opérés de manière fermée ou exclusive. Un autre changement intéressant est la possibilité d’inclure dans sa candidature un TLD de remplacement qui permettra dans le cas de plusieurs demandes pour le même terme de choisir le terme de remplacement et d’éviter un conflit et ultimement un mécanisme d’enchères.
Aujourd’hui, c’est donc une réplique de l’ouverture de 2012 mais les règles ont donc été affinées.
M. G. : En 2012, c’était une grande…
Les doctrines du mois
Etats des lieux sur les réflexes et bonnes pratiques (2ème partie)
La première partie de cette étude publiée dans le précédent numéro exposait les caractéristiques communes, transposables à l’ensemble des contrats informatiques. La deuxième partie ci-après est consacrée aux clauses particulièrement sensibles que l’on retrouve dans la plupart des contrats du numérique. La troisième partie, qui paraîtra dans le numéro de novembre, portera sur les spécificités propres à certains d’entre eux.
L’arrêt qui révèle la « silotisation » du RGPD
Le 9 avril 2025, la chambre sociale de la cour de cassation a rendu un arrêt capital1, non par sa portée – ou en tout cas, espérons-le pour la cybersécurité de nos entreprises – mais par la mise en évidence de la « silotisation2» du RGPD.
Où en est la construction de l’Europe numérique ?
L’Europe numérique a vécu une accélération sans précédent ces dernières années. Cette dynamique découle autant d’une prise de conscience des Européens que d’une évolution des rapports internationaux vers une plus grande conflictualité. D’un point de vue juridique, l’Europe numérique se concrétise aujourd’hui par une accumulation de textes et d’initiatives complexifiant fortement son appréhension par les professionnels. Le suivi de ces actions européennes est désormais un enjeu primordial pour tout acteur du secteur.
L’OSINT échappe-il au droit ?
À l’heure où les données les plus sensibles se dissimulent dans la masse des sources ouvertes, l’Osint (Open Source Intelligence) ne relève plus uniquement de la veille stratégique ou du journalisme d’investigation. Il s’impose désormais comme un enjeu croissant pour les juristes, confrontés à la complexité de son encadrement et ses implications probatoires. Quels sont les enjeux probatoires et responsabilités de l’Osint à l’ère des données ouvertes ?
Vigilance accrue de la Cnil sur la surveillance des salariés
Une décision récente de la Cnil témoigne d’une vigilance accrue à l’égard des outils de ressources humaines et leur potentiel de surveillance des salariés. Basée sur un raisonnement croisé entre droit social et protection des données, cette décision met en lumière une exigence désormais constante de nécessité et de proportionnalité dans l’usage de ces outils numériques.
Le Digital Fairness Act : régulation nécessaire ou surcharge normative ?
La Commission européenne lance un nouveau chantier législatif pour mieux encadrer de nouvelles pratiques numériques qu’elle a identifiées et renforcer les droits des consommateurs. L’adoption du Digital Fairness Act (DFA) est envisagée pour le 3ème trimestre 2026.
Les limites du droit de rectification
Comme chaque mois, Alexandre Fievée sélectionne une décision sur la protection des données personnelles rendue par une autorité de contrôle ou une juridiction étrangère. Ce mois-ci, il se penche sur la question du droit, pour une personne concernée, d’obtenir la modification d’un rapport la concernant, dans lequel figurent les opinions et commentaires d’autres personnes.
Tous les mois, toute l'actualité du numérique... Et tellement plus !
FORMULES D'ABONNEMENT