Les nouvelles réglementations de l'UE en matière de données remodèlent l'économie numérique : de GDPR à DSA, la vague mondiale de régulation.

La nouvelle réglementation européenne sur les données remodèle l'économie numérique : la vague mondiale de régulation, du RGPD au DSA

Introduction

En février 2023, le cabinet d'avocats international Gibson Dunn a publié « Perspectives et bilan 2023 sur la cybersécurité et la protection des données internationales », indiquant que le montant total des amendes infligées en vertu du Règlement général sur la protection des données (RGPD) de l'Union européenne a atteint environ 2,92 milliards d'euros, et que de nouveaux instruments de réglementation tels que le règlement sur les services numériques (DSA), le règlement sur les marchés numériques (DMA) et le règlement sur la gouvernance des données sont rapidement mis en œuvre. Cette série de règles ne se contente pas de remodeler le marché numérique de l'UE, mais réécrira également les règles de concurrence de l'économie numérique mondiale à travers des mécanismes tels que les flux de données transfrontaliers, les obligations des plateformes et la gouvernance de l'IA. Cet article analyse, d'un point de vue de l'économie industrielle, comment cette vague de réglementation affecte les modèles économiques des plateformes, la valeur des données et les parcours de commercialisation de l'IA.

Contexte

Depuis l'entrée en vigueur du RGPD en 2018, les autorités de régulation européennes n'ont cessé de renforcer l'application des règles. Selon le rapport de Gibson Dunn, l'amende unique la plus élevée infligée par les autorités de régulation de l'UE s'élève à 405 millions d'euros, pour un total cumulé d'environ 2,92 milliards d'euros. En 2023, plusieurs règlements numériques clés de l'UE sont entrés dans leur phase de mise en œuvre :

• Directive NIS 2 (publiée le 14 décembre 2022) : exige des États membres qu'ils la transposent en droit national avant le 17 octobre 2024, couvrant les domaines de l'énergie, des transports, de la santé, des infrastructures numériques, etc., renforçant la gestion des risques de cybersécurité et les obligations de notification des incidents.
• Règlement sur la gouvernance des données (adopté le 30 mai 2022) : applicable à partir du 24 septembre 2023, visant à favoriser la réutilisation des données publiques et le développement des intermédiaires de partage de données.
• Règlement sur les services numériques (DSA) (adopté le 19 octobre 2022) : la plupart des dispositions s'appliquent à partir du 17 février 2024, obligeant les plateformes à traiter les contenus illégaux et les fausses informations ; les amendes en cas de violation peuvent atteindre 6 % du chiffre d'affaires mondial.
• Règlement sur les marchés numériques (DMA) (adopté le 14 septembre 2022) : la plupart des dispositions s'appliquent à partir du 2 mai 2023, ciblant les plateformes « contrôleurs d'accès » (gatekeepers), avec des amendes pouvant atteindre 10 % du chiffre d'affaires mondial, et jusqu'à 20 % en cas de récidive.
• Règlement sur la résilience opérationnelle numérique (DORA) (adopté le 14 décembre 2022) : applicable aux institutions financières et aux prestataires tiers de services TIC, en vigueur à partir du 17 janvier 2025.
• Règlement sur les données (proposé le 23 février 2022) : vise à promouvoir le partage des données industrielles, encore en cours d'adoption législative.
• Règlement sur la cyber-résilience (proposé le 15 septembre 2022) : établit des exigences de cybersécurité pour les produits numériques, avec des amendes pouvant atteindre 15 millions d'euros en cas de violation.

Au niveau international, de nombreux pays font également progresser la législation et l'application des règles en matière de protection des données. Par exemple, l'Indonésie, la Tanzanie et Oman ont adopté de nouvelles lois sur la protection des données ; l'Administration du cyberespace de la Chine a infligé une amende de 8 milliards de yuans à une plateforme de mobilité de premier plan, sur la base de la Loi sur la protection des informations personnelles, de la Loi sur la cybersécurité et de la Loi sur la sécurité des données, ce qui constitue l'une des amendes les plus élevées de la région Asie-Pacifique.## Analyse de l'économie numérique

Ces mesures réglementaires ne sont pas des actions juridiques isolées, mais le signe que l'économie numérique mondiale passe d'une « croissance libre » à une « gouvernance par les règles ». Leur signification économique réside dans le changement de la tarification des données en tant que facteur de production, des limites du pouvoir des plateformes et de la disponibilité des données d'entraînement de l'IA.

Premièrement, les amendes élevées du RGPD transforment la conformité des données d'un « coût juridique » en une « barrière commerciale ». Les entreprises doivent réévaluer leurs processus de collecte, de traitement et de stockage des données, obligeant les activités à forte intensité de données à mettre en place des mécanismes de « confidentialité dès la conception ». Cela a également stimulé le marché des technologies de la confidentialité (PrivacyTech), favorisant de nouveaux modèles commerciaux tels que la conformité en tant que service.

Deuxièmement, le DMA et le DSA ciblent directement les défaillances du marché dans l'économie de plateforme. Le DMA interdit l'auto-préférence des plateformes « contrôleurs d'accès », exige l'interopérabilité, et brise les fossés formés par le monopole des données et le verrouillage de l'écosystème. Cela crée des points d'entrée pour les PME et les innovateurs, mais peut aussi affaiblir les effets d'échelle des réseaux de plateformes, affectant ainsi la logique de valorisation des plateformes.

Le règlement sur la gouvernance des données et le règlement sur les données visent à activer la valeur économique du « partage de données ». En établissant des intermédiaires de données et des règles de partage réciproque, la circulation des données pourrait à l'avenir être échangée comme des marchandises, créant ainsi un marché émergent des données en tant que facteur de production. Mais en même temps, le partage de données peut également présenter des risques pour la vie privée et des fuites de secrets commerciaux ; les régulateurs doivent équilibrer efficacité et protection.

En outre, ces règles ont un impact profond sur la commercialisation de l'IA. L'entraînement des modèles d'IA dépend de grandes quantités de données, et la légalité et la transparence des sources de données deviendront des éléments de conformité essentiels pour les entreprises d'IA. Le futur règlement européen sur l'intelligence artificielle (AI Act) précisera encore davantage les exigences de gouvernance des données pour les systèmes d'IA à haut risque. Par conséquent, les règles sur les données constituent en réalité le socle de l'économie de l'IA.

Observations sur les modèles commerciaux

La réglementation redéfinit la manière dont les entreprises créent de la valeur. Auparavant, les géants de la technologie s'appuyaient sur l'effet volant consistant à « collecter des données, optimiser les produits, attirer davantage d'utilisateurs ». Aujourd'hui, le principe de « minimisation des données » du RGPD et les exigences de « consentement de l'utilisateur » du DMA frappent directement ce cycle.

• Modèle publicitaire : La publicité ciblée repose sur le profilage des utilisateurs, et le DMA exige que les contrôleurs d'accès obtiennent un consentement explicite avant de traiter les données personnelles pour la publicité ciblée. Cela réduira l'efficacité du placement publicitaire et poussera le secteur de la publicité à se tourner vers la publicité contextuelle et les technologies de renforcement de la confidentialité.
• Modèle d'abonnement : Sans possibilité de suivi précis des utilisateurs, davantage de services pourraient se tourner vers des modèles d'abonnement ou hybrides. Par exemple, le pack d'abonnement sans publicité lancé par Meta dans l'Union européenne offre l'option « payer pour ne pas être suivi », ce qui pourrait devenir un modèle standard pour les plateformes face à la réglementation.
• Modèle d'intermédiation de données : Le règlement sur la gouvernance des données encourage les « intermédiaires de données » à opérer en tant que tiers neutres, qui n'utilisent pas les données pour leur propre intérêt mais mettent en relation l'offre et la demande de données. Cela crée de nouvelles sources de revenus, mais la rentabilité dépend de la mise à l'échelle.
• Conformité en tant que service : Face à une réglementation complexe, les entreprises s'appuient sur des experts externes, des outils logiciels et des services cloud pour la gestion de la conformité, ce qui constitue en soi un marché en forte croissance.L'innovation des modèles économiques ne repose plus uniquement sur la monétisation du trafic, mais fait de la conformité et de la transparence une valeur différenciante. Par exemple, Apple met l'accent sur la protection de la vie privée comme argument de vente de sa marque et limite le suivi publicitaire, ce qui modifie en réalité la structure de pouvoir du marché de la publicité mobile.

Analyse de la concurrence sur le marché

L'impact le plus important de la réglementation est de redistribuer le pouvoir de marché. Les plateformes « contrôleurs d'accès » définies par le DMA — généralement de grandes entreprises technologiques possédant des services de plateforme essentiels — seront confrontées à une série de contraintes comportementales sur ce qu'elles peuvent et ne peuvent pas faire.

• Google : L'interdiction de s'auto-favoriser dans les résultats de recherche pourrait affaiblir l'avantage en termes de trafic de ses services verticaux comme le shopping et les cartes. Parallèlement, les exigences d'interopérabilité pourraient permettre à des outils de recherche tiers d'accéder plus facilement à ses données.
• Apple : L'App Store et Safari pourraient être tenus d'ouvrir davantage d'interfaces. Bien qu'Apple n'ait pas encore été désigné individuellement comme contrôleur d'accès, l'Union européenne l'a déjà répertorié comme candidat potentiel.
• Meta : La DSA exige des mesures plus actives contre la désinformation, ce qui accroît les coûts de modération du contenu ; la DMA limite l'intégration de ses données entre plateformes, ce qui affecte son réseau publicitaire.
• TikTok et autres plateformes émergentes : Bien qu'elles soient également soumises à la DSA, elles pourraient bénéficier d'une position concurrentielle relativement avantageuse car elles ne sont pas des contrôleurs d'accès traditionnels, en particulier lorsque l'Union européenne examine si elles atteignent le seuil des grandes plateformes.

Pour les challengers, les nouvelles règles réduisent les barrières à l'entrée. Par exemple, les petits réseaux sociaux peuvent exiger l'interopérabilité avec les principales plateformes, ce qui réduit les coûts de migration pour les utilisateurs. Toutefois, la réglementation peut également imposer une charge de conformité excessive, rendant les coûts juridiques plus difficiles à supporter pour les PME.

En Chine, les actions de régulation font également pression sur les grandes plateformes. L'amende colossale infligée à une plateforme de mobilité montre que la conformité des données est devenue une « question incontournable » pour les entreprises multinationales et les entreprises locales chinoises, et que la capacité de conformité déterminera leur accès au marché.

Données et impact de la réglementation

Du point de vue de la gouvernance, l'Union européenne construit une « constitution numérique » à plusieurs niveaux : le RGPD encadre les données personnelles, la DSA régule la diffusion des contenus, la DMA réglemente la concurrence sur le marché, le règlement sur la gouvernance des données et le Data Act encadrent la circulation des données non personnelles, tandis que NIS2 et DORA renforcent la cybersécurité. Ces réglementations s'entrecroisent pour former un système complet de règles numériques.

Pour les entreprises multinationales, l'impact le plus important concerne les flux de données transfrontaliers. Après l'arrêt Schrems II, le transfert de données entre l'Union européenne et les États-Unis repose sur les clauses contractuelles types (CCT) et des mesures complémentaires. L'Europe et les États-Unis négocient actuellement un nouveau « cadre de confidentialité des données », visant à résoudre la question de la légalité de l'accès aux données par les agences de renseignement américaines. En l'absence d'une décision d'adéquation, les entreprises pourraient être confrontées à des pressions en faveur de la localisation des données, augmentant ainsi leurs coûts opérationnels.

En outre, le Data Act propose de permettre aux utilisateurs d'accéder aux données générées par les appareils connectés, ce qui pourrait affecter les modèles économiques de l'Internet des objets (IoT) et de l'Internet industriel. Si les fabricants d'appareils y répondent de manière appropriée, ils pourraient créer de nouvelles sources de revenus grâce aux services de données ; à l'inverse, ils risquent de perdre le contrôle de leurs données.L'incertitude de l'environnement réglementaire constitue en soi un risque. Les entreprises doivent mettre en place un mécanisme de « veille réglementaire » pour suivre la dynamique des différentes juridictions à travers le monde, car une amende ou une interdiction dans un pays peut avoir des répercussions sur leurs activités mondiales.

Tendances mondiales

Cette vague de réglementation n'est pas propre à l'Union européenne. Le Brésil, l'Inde, le Japon, la Corée du Sud, entre autres, élaborent ou actualisent leurs lois sur la protection des données. La Chine a promulgué la « Loi sur la protection des informations personnelles » (PIPL) et la « Loi sur la sécurité des données », et adopte une position ferme dans l'application de la loi. Bien que les États-Unis ne disposent pas d'une loi fédérale complète sur la protection de la vie privée, les législations des différents États et l'application de la loi par la FTC se renforcent également. La réglementation numérique mondiale présente un « effet de Bruxelles » — les normes européennes tendent à devenir des normes de facto mondiales, tout comme le RGPD a influencé la législation en Californie et ailleurs.

Sur le long terme, la souveraineté numérique et la sécurité des chaînes d'approvisionnement entraîneront davantage de mesures de localisation. Les exigences de localisation des données pourraient fragmenter l'Internet mondial et accroître la complexité de la conformité pour les entreprises multinationales. Parallèlement, la réglementation de l'IA s'accélère : le projet de règlement de l'UE sur l'IA propose une gestion des risques par niveaux, ce qui affectera directement la structure des coûts des développeurs et des utilisateurs d'IA.

Ces tendances montrent que l'économie numérique est entrée dans une ère où « la conformité est la compétitivité ». Les entreprises doivent intégrer le droit, la technologie et les affaires pour maintenir leur croissance sous les nouvelles règles.

DigitalEcoNews Insight

Le déploiement intensif des réglementations européennes sur les données en 2023 marque le passage de l'économie numérique de l'ère du « trafic roi » à celle de la « confiance reine ». Les amendes cumulées de 2,92 milliards d'euros au titre du RGPD ne sont qu'un début. La mise en œuvre de la DSA et de la DMA remodelera le pouvoir des plateformes et la valeur économique. Pour les entreprises, la gouvernance des données n'est plus une conformité en coulisses, mais une stratégie de premier plan qui détermine la pérennité du modèle économique. À l'avenir, les mécanismes de partage des données pourraient donner naissance à de nouvelles « bourses des données », et la commercialisation de l'IA devra s'appuyer sur des sources de données légales. Nous prévoyons que, dans les dix prochaines années, les entreprises capables de maîtriser la complexité de la conformité réglementaire obtiendront un avantage concurrentiel, tandis que les possibilités d'arbitrage réglementaire se réduiront considérablement. La création de valeur dans l'économie numérique viendra davantage de règles transparentes, sûres et équitables que du monopole des données.