Longtemps, la vie en ligne s'est réglée par les conditions générales des plateformes. Ce temps est révolu : depuis le RGPD en 2018, puis le règlement sur les services numériques (DSA) et le règlement sur l'intelligence artificielle (AI Act), un corpus contraignant impose des obligations précises à ceux qui collectent des données, hébergent des contenus ou déploient des algorithmes — et ouvre des droits directement invocables à ceux qui les subissent.
Deux conséquences pratiques. Pour les particuliers : il existe désormais des voies rapides et gratuites — droit d'effacement, procédure de notification obligatoire chez l'hébergeur, plainte CNIL, référé — souvent plus efficaces qu'un procès. Pour les entreprises : la conformité n'est plus documentaire mais démontrable, et l'absence de preuve vaut manquement lors d'un contrôle.
Troisième particularité, propre au numérique : la preuve s'évapore. Une page se modifie, un compte se supprime, des logs s'écrasent au bout de quelques mois. Le premier geste utile, avant même de consulter, est de figer l'état des lieux — captures horodatées, conservation des en-têtes de messages, constat d'huissier sur les contenus les plus sensibles.
Données personnelles. Le règlement RGPD n° 2016/679 pose les principes — licéité, minimisation, sécurité, responsabilité — et les droits des personnes ; la loi Informatique et Libertés du 6 janvier 1978, refondue en 2018, l'articule au droit français (Légifrance). La notification d'une violation à l'autorité de contrôle sous 72 heures figure à l'article 33 du RGPD, l'information des personnes à l'article 34.
Plateformes et contenus. Le règlement sur les services numériques (DSA) n° 2022/2065 s'applique à tous les intermédiaires depuis le 17 février 2024 : mécanisme de notification et d'action (article 16), obligation de motiver toute restriction de contenu (article 17), rapports de transparence (article 15). En droit français, la loi du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (dite loi SREN) a désigné l'Arcom coordinateur pour les services numériques et adapté la LCEN du 21 juin 2004. Les infractions de presse — diffamation, injure — relèvent de la loi du 29 juillet 1881, avec sa prescription courte de trois mois.
Intelligence artificielle. Le règlement AI Act n° 2024/1689 s'applique par étapes. Les interdictions et les obligations de littératie sont entrées en vigueur en février 2025 ; les obligations de transparence de l'article 50 — signaler qu'un contenu est généré ou manipulé par IA, marquer les sorties en format lisible par machine — ont pour échéance le 2 août 2026. Le paquet dit « AI Omnibus » a reporté une partie des obligations relatives aux systèmes à haut risque ; une échéance du 2 décembre 2026 porte sur de nouvelles interdictions et sur le marquage des contenus. Le calendrier reste mouvant : à vérifier au cas par cas.
Contrats et commerce en ligne. Le Code civil pour la responsabilité contractuelle et l'obligation de conseil du prestataire informatique ; le Code de la consommation pour l'information précontractuelle, le droit de rétractation de quatorze jours et les avis en ligne ; le Code des postes et des communications électroniques pour les cookies et traceurs, dont la CNIL contrôle activement le recueil du consentement.
Juridictions et autorités. La CNIL contrôle et sanctionne en matière de données ; l'Arcom coordonne l'application du DSA en France ; le tribunal judiciaire est compétent pour les atteintes aux personnes et le contentieux des contenus, le tribunal de commerce pour les litiges entre entreprises.
Représentation. L'avocat n'est pas exigé pour signaler un contenu, saisir la CNIL ou demander un déréférencement. Il l'est devant le tribunal judiciaire, en référé et en appel.