L’étude originale, intitulée Consumer Protection in EU online gambling regulations, a examiné la mise en œuvre au niveau national de certaines dispositions clés de la recommandation de la Commission européenne relative à des principes pour la protection des consommateurs et des joueurs dans le cadre des services de jeux d’argent et de hasard en ligne et, pour la prévention des jeux d’argent et de hasard en ligne chez les mineurs.

La recommandation 2014/478/UE de la Commission visait à encourager une uniformisation du niveau de protection des joueurs européens par l’introduction volontaire de principes communs concernant les exigences d’identification des joueurs, la prévention des jeux d’argent et de hasard chez les mineurs et les mesures de responsabilité sociale. Dans l’étude originale, Margaret Carran a constaté que, même si la recommandation de l’UE a contribué à une meilleure protection des consommateurs dans de nombreuses juridictions, elle n’est pas appliquée de manière uniforme dans tous les États membres.

Cependant, des avancées significatives ont eu lieu au cours des trois dernières années. Au niveau mondial, la pandémie de Covid-19 a assurément permis de sensibiliser davantage aux questions de santé mentale en général. Au niveau local, les Pays-Bas ont levé leur interdiction des jeux d’argent et de hasard en ligne et ont créé un régime d’attribution de licences pour ces jeux en ligne applicable à partir du 1^er octobre 2021 ; l’Allemagne a présenté sa nouvelle réglementation pour 2021 ; la Suède a mis en œuvre ses plans qui existaient déjà afin de libéraliser son marché des jeux d’argent et de hasard et le Royaume-Uni a officiellement quitté l’Union européenne.

D’autres juridictions ont réalisé quelques progrès supplémentaires concernant leurs mesures en matière de responsabilité sociale et de jeux d’argent et de hasard plus sûrs. Certains États ont également durci encore davantage leur cadre réglementaire global.

Cette étude de suivi a donc un double objectif. Elle vise principalement à réexaminer la réglementation des jeux d’argent et de hasard en ligne dans l’UE par rapport à certaines dispositions de la recommandation afin d’évaluer si des réformes ou des mises à jour ont été mises en œuvre entre 2018 et 2021. En outre, l’étude a permis de recueillir d’autres éléments de preuve afin de compléter l’ensemble des données existantes par de nouvelles informations.

Margaret Carran a constaté que la situation générale en 2021 est sensiblement identique à celle de 2018, malgré quelques évolutions importantes observées dans certains États membres. Les dispositions de haut niveau commencent à converger de manière plus uniforme, mais des divergences subsistent concernant certains détails réglementaires spécifiques.

Si un plus grand nombre d’États ont mis en œuvre les propositions de la recommandation de la Commission européenne concernant la création et la tenue de registres nationaux d’auto-exclusion et l’obligation d’afficher un logo d’interdiction aux mineurs, cinq États supplémentaires interdisent les comptes temporaires. Cela va à l’encontre de la recommandation.

Il est donc peu probable qu’une convergence totale des cadres réglementaires relatifs aux jeux d’argent et de hasard en ligne se produise sans une intervention obligatoire paneuropéenne.

Principales conclusions de 2021 

Exigences en matière d’identification et de vérification des joueurs

• Treize juridictions ont spécifié des bases de données électroniques que les opérateurs de services de jeux d’argent et de hasard doivent utiliser pour vérifier leurs clients. Les bases de données spécifiées doivent être utilisées dans deux États membres et toutes les autres juridictions autorisent également des méthodes alternatives.

• Tous les États membres disposant d’une réglementation des jeux d’argent et de hasard en ligne exigent des opérateurs qu’ils recueillent le nom complet et la date de naissance/l’âge des clients potentiels. Tous les États membres, à l’exception de trois, exigent également qu’une adresse de domicile soit demandée. Douze États membres prescrivent, en outre, de collecter soit une adresse électronique, soit un numéro de téléphone, soit les deux.
• Les comptes temporaires sont interdits dans quatorze États.

Protection des mineurs

• Dix-sept États membres ont une obligation légale d’afficher un logo d’interdiction aux mineurs sur les publicités de jeux d’argent et de hasard, soit cinq États de plus par rapport à 2018.

Principes de jeux d’argent et de hasard plus sûrs 

• Des programmes d’auto-exclusion doivent être proposés aux clients dans toutes les juridictions, à l’exception d’une seule.
• Dix-huit États membres exigent des opérateurs qu’ils autorisent les joueurs à fixer des limites financières et temporelles pour leurs jeux d’argent et de hasard. Six autres États membres ont exigé des opérateurs qu’ils autorisent les joueurs à établir des limites de dépôt.
• Seize États membres ont établi des registres nationaux d’auto-exclusion, soit trois États membres de plus par rapport à 2018.

Aide au traitement 

• Toutes les juridictions, à l’exception d’une seule, exigent des opérateurs de services de jeux d’argent et de hasard qu’ils affichent sur leur site web les coordonnées et les informations relatives aux lignes d’assistance téléphonique en cas de problème de jeu. Dans la juridiction où cela n’est pas obligatoire, ces informations doivent figurer dans l’accord de jeu conclu entre le joueur et l’opérateur de services de jeux d’argent et de hasard.
• Onze États membres interdisent l’envoi de publicités spécifiques sur les jeux d’argent et de hasard aux clients auto-exclus.
• Dans onze États membres, l’auto-exclusion entraîne l’obligation de fournir au joueur les coordonnées des centres de traitement et l’assistance dont il peut bénéficier.

Mise en application 

• Les sanctions réglementaires les plus courantes dont disposent les autorités de réglementation sont les amendes administratives, la suspension/révocation d’une licence et les avertissements.

L’étude a été réalisée à la demande de l’EGBA (European Gaming and Betting Association).

Une réalité comprise par la chaîne hôtelière Marriott, qui face à une violation massive de données a déployé une stratégie de communication particulièrement efficace. En effet, lorsque la presse a titré le vol d’informations confidentielles de près d’un demi-milliard de clients du réseau d’hôtels Starwood, Marriott avait déjà déployé des mesures concrètes de communication et de réduction des impacts : communiqué expliquant les faits, création d’un centre d’appels et d’un site Internet dédié permettant aux clients de savoir s’ils ont été touchés.

Ces violations de données ont éclaté dans un contexte très suspicieux quant à l’utilisation des données mais aussi dans un contexte médiatique très dynamique, après l’entrée en vigueur du Règlement Général sur la Protection des Données (RGPD). Dorénavant, tout incident portant atteinte à la vie privée de résidents européens est sujet à une couverture médiatique sans commune mesure avec ce qu’elle n’était sous l’ère de la loi Informatique et Libertés de 1978. Plus encore, elles apparaissent dans un contexte sociétal où la protection des datas devient une préoccupation majeure. D’après une étude : « En 2017, 85 % des Français se disent préoccupés par la protection de leurs données personnelles en général, soit une augmentation de 4 points par rapport à 2014 ».

 

Sur la route, attacher sa ceinture n’empêchera pas l’accident mais en limitera l’impact. De même, se doter d’un dispositif de gestion de crise n’empêchera pas la survenance d’une violation de données mais en minimisera les conséquences. Anticiper est donc le mot d’ordre. Il faut identifier des scenarii de crise pour déterminer les capacités opérationnelles nécessaires et les actions de remédiation associées. Il est aussi capital d’intégrer une stratégie de communication de crise, vous conférant un avantage stratégique majeur : contrôler l’espace médiatique en s’exprimant le premier, limitant les conséquences sur votre activité et réputation.

Enfin, tester votre plan de gestion de crise est une condition sine qua non à la coordination des équipes et à la prise de décision : la pertinence et l’exactitude des informations remontées aux directeurs et Comex permettront de déployer des mesures adaptées. A l’heure où le risque réglementaire induit indubitablement le risque réputationnel, il est vital de connaître le niveau réel d’exposition et de vulnérabilité de votre organisation, qu’il s’agisse de vos pratiques marketing ou de la sécurité effective des données personnelles dont vous avez la responsabilité. Sans cela, toute organisation devra subir ce que les Etats et armées appellent la surprise stratégique. Pour paraphraser le Général d’Armée Pierre de Villiers, elle est l’apanage de ceux qui n’ont pas su prévoir. Ceux finalement qui se sont refusés à prévoir et imaginer les scénarii les plus imprévisibles.

A propos de l'auteur : Cécilia Henry-Audebrand est consultante au sein de l’activité Security4Business chez Magellan Partners.

Dans la pratique, les sites mettent en place 3 modes de collecte des consentements :

• Le consentement strict

Ce mode désigne une expression directe du consentement - typiquement un clic sur un bouton « accepter ».

• Le consentement soft

Ici, le consentement est enregistré quand l'utilisateur explore plus en profondeur le site, autrement dit dès qu'il visualise une deuxième page.

• Le consentement super soft

Le consentement est collecté dès lors que l'utilisateur fait défiler la page sur laquelle il est arrivé. Ce mode de collecte correspond à une lecture possible du RGPD et est acceptée par les autorités de régulations en attendant les éclaircissements de la directive eprivacy.

 

Sans surprise, le taux de conversion du consentement strict est plus bas (28%) que celui des deux autres procédés : 69% pour le consentement « soft » et 78% pour la version « super soft ». Toutefois, la différence - finalement relative - entre ces deux derniers peut questionner l'intérêt de recourir au « super soft » et de s'inscrire dans une lecture « tolérée » du règlement. D'autant que le consentement « soft » se solde par 39% de consentements directs (part des visiteurs qui cliquent sur un bouton « accepter » dans ce contexte) versus seulement 10% pour le « super soft ».

En dehors de ce qu'indique le baromètre concernant le consentement strict, voici les 4 autres enseignements de cette étude. Un utilisateur visualise en moyenne 1,8 fois le message de consentement avant de prendre une décision. Aucune variation de cette moyenne ne s'observe selon la décision finale (optin ou optout) ou le mécanisme de consentement mis en œuvre (strict, soft ou super-soft). Autrement dit, l'utilisateur arrête son choix dès la première visualisation de la bannière ou du popin de consentement. Seulement 0,1% des utilisateurs - oui, vous avez bien lu - cherchent à aller plus loin, en consultant la page relative à la politique de confidentialité ou celle qui permet de préciser leurs choix cookie par cookie.

Si le taux d'optin moyen est de 65%, des variations existent. C'est notamment la taille du bandeau de consentement qui explique les différences observées entre desktop, mobile et tablette - une taille mécaniquement plus imposante sur les écrans des mobiles et tablettes. Résultat : le desktop représente 37% des appareils sur lesquels les bannières de consentement s'affichent, le mobile 51% et la tablette 12% quand les taux d'optin pour ces appareils atteignent respectivement 56%, 59% et 76%. Globalement, et c'est l'une des surprises de ce baromètre, la discrétion ne paye pas : en lieu et place des bandeaux furtifs dont la couleur d'arrière-plan se confond avec celle du site, mieux vaut privilégier des blocs contrastés avec une taille de police qui se remarque.

Cette corrélation entre la surface de la bannière de consentement et le taux d'optin a bien entendu une limite : dès lors que le contenu du site n'est plus visible, autour ou derrière la bannière, les utilisateurs tendent à interrompre leur navigation au lieu de donner leur consentement. Un comportement fortement marqué quand le dispositif prend l'apparence d'un pop-in qui obscurcit l'ensemble de l'arrière-plan - donc le contenu du site.

À chaque univers métier son mode de collecte des consentements. Si les acteurs de la finance et de l'énergie privilégient le consentement strict, donc une lecture rigoureuse du RGPD, les médias ou sites de voyages jouent la carte de l'optimisation, n'hésitant pas à recourir à une collecte « super soft ». Des choix qui s'expliquent par les enjeux de chacun (pour les médias, la collecte des optins conditionne en partie le revenu publicitaire) mais qui ne sont pas définitifs. L'évolution de la réglementation (le texte e-Privacy est encore en gestation), de la technologie (des navigateurs) et, bien entendu des comportements des internautes pourraient conduire à revoir ces choix dans les mois à venir.

A propos de l'auteur : Michaël Froment est P-DG de Commanders Act.

​Deux tiers des placements font suite à une mesure judiciaire confiant l’enfant à l’ASE. Les mesures administratives représentent un quart des placements. Avant leur prise en charge dans un établissement de l’ASE, la moitié des enfants ou adolescents vivaient avec leurs parents ou chez un proche. À leur sortie, quatre enfants sur dix y retournent, deux sur dix sont orientés vers un autre établissement de l’ASE, un sur dix habite chez un assistant familial et 8 %, parmi les plus âgés, obtiennent un logement personnel ou accompagné.

Deux tiers des enfants bénéficient encore d’un suivi à leur sortie de l’établissement. Entre 6 et 16 ans, de 90 % à 95 % des enfants accueillis sont scolarisés, contre 98 % dans la population générale. Fin 2012, 54 % des enfants de 11 ans, en âge d’être au collège, sont encore dans une classe du premier degré.

Il s’agit en effet de s’adapter à la généralisation des échanges dématérialisés et de pallier les risques accrus de cybercriminalité, tels que les vols d’identité qui représentent aujourd’hui 54% des infractions sur internet. Jusqu’à présent, seule la signature électronique était encadrée par un dispositif législatif, national et européen. Estimant ce cadre insuffisant, l’Union Européenne a adopté un règlement, relatif à l’identification électronique et aux services de confiance, afin de prévoir un cadre plus propice et plus sécurisé aux échanges électroniques. Ce règlement entrera en vigueur le 1er juillet 2016.

Alors, si le Règlement européen ne prévoit pas expressément une « carte d’identité numérique », il se réfère pourtant à la notion de « certificat numériques normés ». Or, l’idée est la même puisqu’il s’agit de créer une preuve de l’identité adaptée au format numérique. Afin de rendre ce procédé efficient, et de remplir l’objectif de sécurisation des transactions en ligne, il est prévu que ces certificats seront délivrés par des « Tiers de Confiance », agréés au niveau européen ou français. Il pourra par exemple, s’agir d’huissiers de justice, qui seront en charge d’accomplir les diligences nécessaires pour vérifier et assurer l’identité des personnes souhaitant obtenir un tel certificat.

Un tel procédé va plus loin que la simple signature électronique que nous connaissons, puisqu’il permettra par exemple, lors de l’envoi d’un mail, de vérifier de manière sécurisée les informations personnelles de l’expéditeur. Un autre dispositif a été prévu pour la lutte contre la fraude à la carte professionnelle. En effet, on parle alors de code « 2D sécurisé », qui se présente en pratique, comme un flashcode, qui une fois « flashé », révèlera les informations ainsi scellées. Alors, si ces mesures sont les bienvenues au regard de l’accroissement d’échanges sur internet, de tout type (personnel, professionnel, payant, gratuit, etc.), il faut tout de même soulever le conflit entre cet objectif de cybersécurité et la préservation de la vie privée et des données personnelles.

En effet, il s’agit tout de même de collecter des informations personnelles sur chacun et de permettre leur identification. Si un tel système est déjà possible avec les procédures juridiques permettant d’obtenir l’identité d’une personne derrière son adresse IP, il semble que la généralisation d’une « carte d’identité numérique » inversera la dynamique actuelle qui existe sur internet et l’anonymat en ligne deviendra alors une exception. En outre, le règlement européen prévoit que le traitement des données personnelles sera fait conformément à la directive européenne en vigueur dans ce domaine (Directive 95/46/CE). Mais, sans plus de précision, c’est la notion de « juste équilibre », si omniprésente en droit de l’Union Européenne, qui interviendra pour circonscrire chaque objectif. Or il s’agit là d’un curseur bien flou pour un risque d’atteinte au Droit Fondamental de protection de la vie privée bien réel. Encore une fois, l’objectif de préservation de la vie privée pourrait se voir amoindri dans le but d’assurer la sécurité des utilisateurs internet.

A propos de l'auteur : Antoine Chéron est avocat associé et docteur en droit de la propriété intellectuelle. il est le fondateur du cabinet d'avocats ACBM.