PURR a pour missions, entre autres, de s’assurer que les règles édictées par la CNIL le sont de manière légale, de façon à ménager une place significative à la société civile, et qu’elles participent à garantir un niveau élevé de protection des citoyens.

Pour remplir ces missions, et comme le lui permet la loi, PURR demande à la CNIL de lui communiquer des documents, parmi d’autres actions.

PURR a essuyé un refus de communication la CNIL dans trois dossiers :

• La désignation d’un projet en cours, depuis juin 2025, d’édiction de recommandations. Nous avons tout exposé ici ;
  
  
• Les interactions entre des représentants d’intérêts et la CNIL pour l’année 2025. (pour l’année 2024, lire ceci) ;
  
  
• Tout document relatif à la recommandation CNIL sur les images de traçage dans les courriels, notamment lors de la consultation publique et de la concertation privée et non-publiée.

La CNIL a implicitement maintenu son refus après nos saisines de la Commission d’accès aux documents administratifs (CADA).

PURR a donc saisi, ce mois-ci, le tribunal administratif de Paris de trois recours contentieux.

Change of purpose not permitted. The principle of purpose limitation (Article 5(1)(b) GDPR) generally prohibits companies from reusing data processed for one purpose for other purposes. For example, data intended for postal advertising (‘direct marketing’) may not simply be used for credit assessments.

Marco Blocher, data protection lawyer at noyb: “Marketing and credit assessments are entirely different purposes with completely different implications for data subjects. Nevertheless, address brokers have been selling the data of millions of data subjects to credit reference agencies for years – without facing any consequences.”

[…]

Austrian Supreme Court clear: data trade has always been illegal. The Austrian Supreme Court has now definitively settled the matter in several civil proceedings brought by the Viennese lawyer Robert Haupt, independently of noyb: credit reference agencies must not collect personal data from an address publisher that processes such data for marketing purposes.

Robert Haupt, lawyer in the successful OGH proceedings against CRIF: “Unfortunately, as a claimant in such proceedings, one must be prepared for a long haul. However, it’s now definitively established that data from address publishers must not be used for credit scoring.”

Rappel du jour (bonjour) : peu importe la manière dont on obtient des données à caractère personnel, on ne peut pas les réutiliser pour n'importe quelle finalité (= but / objectif), y compris quand elles sont publiques (voir ici ou là ou là-bas).

Anne Tuffigo, la charlatane médium la plus connue de France 🤣️.

Les ratés en direct chez NRJ 🥲️.

Devant plus de 1500 personnes, prétendre décrire, de manière floue, des défunts, pour que chacun reconnaissance un proche 🙄️. Forcément que ça marchera, flou, probabilités…

21/06/2026 : « On ne retrouvera jamais le corps de Delphine Jubilar. ». 16/07/2026 : os retrouvés. 🤡️ (Sur ce point, G Milgram n'est pas factuel affirmant qu'il n'y a que quelques jours d'écart entre la prétention de la médium et la réalité.) La médium pourrait se défendre en affirmant qu'un corps, ce n'est pas que des os, mais, alors, sa prédiction n'aura servi à rien (tout corps fini en os…).

Une mère consulte pour communiquer avec son fils. La médium ne voit pas son corps. Prétexte : il a été bouffé par des sangliers, les flics ont demandé à la mère de reconnaître son fémur. Évidemment, les sangliers n'ont pas ce comportement (merci la taphonomie). Et surtout : d'habitude, elle voit les corps des ancêtres décomposés dans leurs tombes ? 🤣️ Et voir ou ne pas voir un corps, qu'est-ce que ça change pour échanger avec un esprit ?! 🤔️ (« On ne se sert pas de son mental et de sa logique », qu'elle dit, la médium.)

A priori, Anne Tuffigo n'a pas été prof de lettres (ou alors de manière anecdotique), mais vendeuse de parfums et de cosmétiques 🤡️.

Parmi les marronniers de l'été, figure en bonne place le couvre-feu des mineurs. Chaque année, des élus interdisent la circulation des mineurs sur le territoire, ou une partie du territoire, de la commune pendant la nuit, durant la période estivale. Chaque année, des référés sont déposés, dans le but d'obtenir la suspension de ces mesures. Chaque année, bon nombre d'arrêtés sont suspendus, car les élus ne parviennent pas souvent à démontrer la réalité de la menace pour l'ordre public qu'ils invoquent.

[…]

L'intérêt de la décision est sans doute ailleurs. L'élu invoquait en effet "le soutien de la population" à cette mesure, sans d'ailleurs préciser comment était mesuré ce soutien. Le juge des référés ne se prononce pas sur le caractère effectif ou non de cette adhésion populaire. Il se borne à affirmer qu'en matière de police administrative, cette adhésion ne saurait remplacer la preuve du trouble à l'ordre public et le contrôle de proportionnalité qui en résulte. En clair, le juge ne contrôle pas les sondages, ne lit pas le journal local. Il exige des faits, des chiffres, des lieux, des horaires, et la démonstration d'un lien avec les mineurs auxquels on retire l'exercice d'une liberté.

En affirmant clairement l'irrecevabilité d'un tel argument, le juge des référés sanctionne indirectement une posture désormais très fréquente des élus, ou de certains d'entre eux. Pour satisfaire leur électorat, ils prennent une mesure sécuritaire sans trop se préoccuper de sa légalité. La décision est ensuite suspendue par le juge, ou plutôt les juges en l'espèce puisque l'affaire se termine devant le Conseil d'État. Ensuite, l'élu peut s'adresser à ce même électorat en affirmant qu'il est victime des méchants juges idéologues. Le tour est joué et le couvre-feu des mineurs devient une posture politique qui soigne la popularité sans rien coûter.

[…]

Il existe d'abord une compétence préfectorale dans ce domaine. L'article 132-8 du code de la sécurité intérieure (csi) autorise le préfet à restreindre la circulation des mineurs non accompagnés de moins de treize ans, entre 23 heures et 6 heures, lorsque cette situation les expose à un risque pour leur santé, leur sécurité, leur éducation ou leur moralité. Cette disposition trouve son origine dans la loppsi 2 du 14 mars 2011.

Cette compétence préfectorale n'empêche pas l'exercice, par le maire, de son pouvoir de police générale qu'il tire de l'article L 2212-1 du code des collectivités territoriales. Cette compétence a donc été exercée par le maire d'Oradour-sur-Glane. Toute une série de décisions intervenues en 2001 ont validé cette compétence, à la condition qu'elle ait pour objet de protéger les mineurs contre les dangers auxquels ils sont exposés ou de prévenir les troubles à l'ordre public dont ils seraient les auteurs. Le pouvoir de police du maire a ainsi un champ plus large que celui du préfet, dans la mesure où le couvre-feu peut concerner des mineurs de plus de treize ans.

A propos d'arrêtés de couvre-feu à Orléans, Étampes et Yerres,le juge des référés a défini trois exigences cumulatives. D'une part, des risques spécifiques pour l'ordre public doivent être avérés dans les secteurs concernés, d'autre part la mesure doit être adaptée à ces risques, enfin elle doit aussi être proportionnée dans son périmètre, dans la limite d'âge des mineurs concernés, et dans ses horaires comme dans sa durée.

La jurisprudence postérieure précise la charge de la preuve qui incombe à la commune. Il ne lui suffit pas d'invoquer des troubles à l'ordre public, il faut les démontrer, statistiques à l'appui.

Dans l'arrêt commune de Béziers du 6 juin 2018, le maire invoquait sa stratégie de prévention de la délinquance, et produisait un rapport de police mentionnant certes l'existence d'une délinquance juvénile, mais dont les chiffres n'étaient pas plus élevés qu'ailleurs. Le juge des référés du Conseil d'État précise alors que le couvre-feu des mineurs doit être justifié par des "éléments précis et circonstanciés".

Le couvre-feu doit donc être justifié et calibré. A partir de cette jurisprudence, les élus produisent des statistiques établissant à la fois une délinquance plus élevée que la moyenne, dans laquelle les mineurs sont particulièrement impliqués. En 2024, par deux ordonnances du 26 juillet 2024 concernant Béziers et Nice, le Conseil d'État valide ainsi des couvre-feux limités aux moins de treize et montrant des statistiques de délinquance juvénile supérieure à la moyenne.

La décision qui illustre le mieux la jurisprudence récente est sans doute celle rendue à propos du couvre-feu des Saint Ouen sur Seine, du 9 octobre 2025, Ligue des droits de l'homme. Le Conseil relève un taux d'infractions violentes dans la commune de 19/1000 habitants en 2024 contre 6/1000 au niveau national, ainsi que le fait que 40 % des interpellations de mineurs ont eu lieu la nuit. Le couvre-feu était par ailleurs limité aux moins de seize ans, dans certains secteurs de la ville.

L'ordonnance du 26 août 2026 s'inscrit dans cette jurisprudence. A Oradour-sur-Glane, le dossier de la commune était faible. L'interdiction de circulation concernait tous les mineurs sur toute la commune, sans données chiffrées établissant leur implication.

#LLC

Je rechignais à mettre à jour ma version de shaarli pour deux raisons :

• Utilisation de Composer. Je ne voulais pas de ça sur mon serveur. Au-delà de Composer, mais à travers lui, je considère que shaarli s'est empoté, qu'il a pas mal de dépendances, ce qui l'éloigne de l'esprit KISS (Keep It Simple, Stupid) du début ;
  
  
• J'insère des balises HTML, comme <br />, au sein de mes articles. Or, pour des raisons de sécurité, les versions ultérieures de shaarli les neutralisent.

Trois points m'ont motivé à franchir le pas :

• La classe PHP qui manipule la base de données, LinkDB, contient du code déprécié depuis plusieurs années. La pérennité est en jeu ;
  
  
• Mon shaarli est lent. time curl : 690-700 ms en moyenne sur la page d'accueil ; 630 ms pour afficher un court article. Outils de développement web de Firefox : 580 ms en moyenne. Même mon Wordpress, avec son SGBD, était plus rapide (avant que je le démantèle) ! Je ne constate pas cette lenteur sur d'autres shaarlis pourvus d'un nombre d'articles similaire au mien, et que dire de celui de SebSauvage, quasiment 6 fois plus d'articles ! J'avais profilé le code et j'avais compris que la lenteur venait de la lecture et du traitement (échappement HTML) de l'ensemble des articles de la base de données, même pour afficher un article. Les notes de versions ultérieures de shaarli annoncent du changement. Pourquoi refuser de tester ? ;
  
  
• J'étais ignorant concernant Composer. La note de version expose plutôt clairement qu'il n'y a point besoin d'avoir Composer sur son serveur, ni même sur son ordinateur perso. Sur l'éloignement du KISS, peut-être faut-il un compromis : c'est l'air du temps, je n'y peux rien, il faut accepter, et shaarli reste raisonnable contrairement à la première merde Node ou Go ou Rust ou… qui télécharge la moitié d'Internet pour un « Hello, World! ».

Je suis donc passé, étape par étape, de version majeure en version majeure, de la version 0.7.0 (de mai 2016 😮️, ce que le temps passe vite !) à la version 0.16.5 (la dernière, d'il y a un mois).

J'ai galéré sur plusieurs points :

• Pour une version, il faut modifier la config JSON, ça ne se fait pas tout seul : donner la valeur tpl\/ à raintpl_tpl et default à theme ;
  
  
• La version 0.10 ne fonctionne pas : PHP Fatal error:  Uncaught Error: Shaarli\\Security\\LoginManager::__construct(): Argument [#1](http://shaarli.guiguishow.info/./add-tag/1) ($globals) could not be passed by reference in <CENSURE>/index.php:126. Je suis passé à la version 0.11 sans chercher à comprendre ;
  
  
• Rigolo, la version 0.11 affiche les articles dans l'ordre chronologique (le plus récent est sur la page d'accueil) 😄️ ;
  
  
• La version 0.12 apporte une nouvelle version de la base de données. Il y a donc une migration automatique. Dans mon cas, il fallait autoriser 256 M de mémoire par script au lieu de 128 M. Attention, le changement ne se fait pas dans php.ini, mais dans le fichier init.php de shaarli 😑️. (Je déteste les applis qui touchent les paramètres serveurs.) Cette migration aura pour conséquence que tous les articles seront présentés comme ayant été modifiés le jour de la migration ;
  
  
• La même version exige la réécriture d'URL. Je désactive la prise en compte des .htaccess. Je l'ai activé. Marche pas. J'ai mis un temps démesuré à comprendre que ma méthode de déploiement de shaarli dans le DocumentRoot n'englobait pas le .htaccess livré par shaarli 🙄️. Entre-temps, J'ai suivi la doc pour se passer de réécriture : ça ne fonctionne pas. Enfin, si, root_url répare les liens vers les flux RSS et Atom, mais pas celui pour s'identifier, ni celui, direct, vers chacun des articles, ni l'ancien format des liens (« /?6PDbnA », par ex.) ;
  
  
• Dans le thème vintage, dans /tpl/vintage/linklist.paging.html, l'élément div[@class=paging_current] n'est affiché que s'il y a plus d'une page d'articles. Donc, sur l'affichage individuel d'un article, il y a un décalage, une ligne blanche, entre l'entête de page et l'article. Pour réparer sans prise de tête, j'ai ajouté une espace insécable avant la condition ;
  
  
• Plusieurs autres difficultés ont pour origine ma configuration durcie (limitation des droits sur les fichiers, notamment d'écriture, etc.).

Pour rétablir l'utilisation des balises HTML dans le cœur des articles, pas besoin de crapahuter dans le code, il suffit d'ajouter "markdown_escape": false dans le bloc security du fichier de conf'. Dommage que cette option n'est pas documentée. J'en ai eu connaissance uniquement car j'ai consulté le fichier de configuration après chaque montée de version et que l'outil de migration apparue avec la version 0.12 positionne cette directive.

Après, il a fallu modifier le thème :

• Augmenter la taille des caractères (ce qui se fait en retirant « font-size: 10 pt; » du sélecteur body, la propriété identique dans le sélecteur « .markdown » prendra le relai) ;
  
  
• Justifier le texte des articles ;
  
  
• Insérer les mentions légales ;
  
  
• Je n'ai pas eu la foi de remettre en œuvre ma hiérarchie du contenu avec des titres (h1, h2, etc.) plutôt que tout en liste à puces. Idem pour le non-dépôt de cookie tant que le visiteur n'essaye pas de s'identifier ou de modifier le nombre de liens par page.

Il reste des bugs dans la version 0.16.5 :

• Confusion sur les cookies d'authentification. En mode réécriture d'URL, en fonction de là où l'on se trouve avant connexion (/ ou /index.php/), un cookie sera déposé pour l'un ou l'autre. Donc, depuis l'autre, on apparaîtra déconnecté. Exemple concret : le bookmarklet nous fait nous identifier sur /. On peut donc rédiger un article, privé, puis vouloir le relire grand format avant publication, donc F5 dans l'onglet où il y a shaarli et… il n'apparaît pas, puisqu'il est privé et qu'on est sur /index.php/ depuis une visite antérieure, donc pas identifié 😑️ ;
  
  
• Utiliser la recherche alors qu'on affiche un article ne mène à rien : il faut revenir sur la page d'accueil pour être en capacité de chercher dans le shaarli ;
  
  
• La syntaxe d'un lien HTTP fait planter le plugin Markdown, mais uniquement dans un résultat de recherche : là versus là ;
  
  
• Un article fraîchement publié sera annoncé comme ayant été modifié après publication ;
  
  
• Quand la base de données (datastore.php) n'est pas accessible en écriture, mais l'est en lecture, le message d'erreur est « Your data might be corrupted, or your file isn't readable. », ce qui est trompeur ;
  
  
• Il faut créer à la mano le fichier de log (par défaut : data/log.txt).

Au final les deux objectifs recherchés sont satisfaits à moitié :

• Le code déprécié de l'ancienne classe LinkDB fait place à d'autre code déprécié, dans des stacktraces encore plus interminables qu'avant qui sont mises sous le tapis par shaarli. Consolation : quand ça pétera, il y aura sûrement un développeur pour réparer, ce qui n'aurait pas été le cas de la version obsolète que j'utilisais ;
  
  
• xdebug montre que le gros du temps est consommé dans BookmarkFilter (notamment la fonction noFilter()) et BookmarkArray (notamment la fonction current()), donc toujours la lecture de la base de données, mais, au fond, rien à signaler. Surtout, il n'y a plus 4-5 assainissements par article dès leur lecture dans la base de données. time curl tourne autour de 480 ms pour la page d'accueil, et 400 ms pour un article. Les outils de développement de Firefox tournent autour de 350 ms, parfois 280 ms, parfois 480 ms. Sur mon ordinateur personnel, je suis à 230 ms voire moins, constamment. J'en déduis que la fluctuation est causée par la charge de mon serveur (je n'ai qu'un vCPU) et par celle de mes colocataires (je loue une machine virtuelle). Cependant, le gain est déjà notable. Je ne peux pas aller plus loin : les dossiers « cache », « pagecache », et « tmp » sont déjà des tmpfs (du stockage en mémoire vive) ; la base de données est déjà mise en cache par Linux (j'observe cela avec vmtouch, lire ici).

Depuis juin 2026, le CEPD permet à quiconque de lui signaler une incohérence dans l’application du RGPD par et entre les autorités de contrôle nationales.

Le 7 août 2026, nous avons signalé au CEPD l’ensemble des largesses chroniques et généralisées prises par la CNIL avec les positions du CEPD, avec celles d’autres autorités nationales, et avec les deux : instruction des plaintes, information des plaignants, motivation et publicité des décisions, montant des amendes, apparences trompeuses des bandeaux cookies, pixels dans les courriels, etc.

Vous trouverez notre signalement complet ici.

Nous vous invitons à utiliser cette procédure pour signaler au CEPD toute mauvaise pratique de la CNIL que vous rencontrez dans le traitement de vos plaintes.

Le CEPD n'a aucun pouvoir sur les autorités nationales, donc tout ce qu'un signalement peut déclencher, c'est des palabres au bon vouloir de la CNIL, mais, c'est tout de même important que le plus grand nombre signale les mauvaises pratiques de la CNIL, car, à force, ça fait du bruit, ça fait chier, donc, en face, ça bouge a minima pour faire cesser le bruit.

Dès mai 2024, Aeris et moi avons déjà signalé les pratiques françaises à la Commission européenne, qui, au titre des traités de l'Union, a la charge de veiller à l'application effective et cohérente du droit de l'UE entre les États-Membres. Classement sans suite. Confirmé par le Médiateur européen (qui, dans ce contexte, dispose d'une marge d'action réduite). Il n'existe pas d'autre voie de recours.

En 2020, la CNIL a été saisie d’une plainte collective de l’association La Ligue des droits de l’Homme, représentant plus de 170 chauffeurs de la plateforme UBER. Complétée en 2021, cette plainte concernait notamment l’information des personnes, les transferts de données personnelles hors de l’Union européenne et les décisions automatisées de déconnexions temporaires et/ou définitives des chauffeurs de la plateforme .

Après avoir prononcé une première amende de 10 millions d’euros le 11 décembre 2023 pour des manquements à l’information des chauffeurs puis à une deuxième amende de 290 millions le 22 juillet 2024 pour des transferts de données hors de l’Union européenne, l’autorité néerlandaise de protection des données s’est prononcée sur les décisions individuelles automatisées.

[…]

L’autorité néerlandaise de protection des données considère notamment que les désactivations des comptes des chauffeurs en cas de suspicion de fraude (désactivation temporaire) ainsi qu’en cas de notation basse de la part des clients (désactivation temporaire et définitive) constituent des décisions individuelles automatisées en raison de l’absence totale d’intervention humaine dans le processus de décision. Ces décisions affectent de manière significative les chauffeurs qui, en cas de blocage de leur compte, ne peuvent plus effectuer de courses et générer de revenus.

Communiqué de presse de l'autorité de contrôle des Pays-Bas :

[…] Uber has filed an appeal against the fine.

[…]

This is the fourth fine imposed by the AP on Uber. In 2018, the AP fined Uber 600,000 euros, in 2023 a fine of 10 million euros and in 2024 a fine of 290 million euros. Uber defends itself against the last two fines; the procedures on this matter are still ongoing.

Article du Monde :

« Nous contestons fermement cette décision ainsi que le montant disproportionné de l’amende, et nous ferons appel », a déclaré un porte-parole d’Uber à l’Agence France-Presse. Selon lui, l’AP a examiné « d’anciennes pratiques, abandonnées depuis plusieurs années », avant d’ajouter que la société prenait « très au sérieux » les décisions concernant les chauffeurs, en s’assurant qu’elles étaient « justes » et « équitables ».

Comme quoi, quand c'est une autre autorité de contrôle que la CNIL qui est à la manœuvre, ça cogne fort. 🙄️ Deuxième plus grosse amende au titre du RGPD après celle, en 2023, de 1,2 milliard d'euros à l'encontre de Meta. C'est donc possible, qui aurait pu prévoir ?! 🙄️

Plainte en 2020, fin de son traitement en 2026… 😑️

J'avais pas suivi ça : l'emplacement des caméras publiques qui filment l'espace public, ainsi que la zone filmée, ainsi que des détails techniques, ne sont pas des documents administratifs communicables. Avis CADA 20236236. D'autres avis de la CADA sont disponibles ici.

Ces éléments ne sont pas plus communicables en passant par le RGPD (droit d'information) : CE 495175.

Les documents d'autorisation, qui peuvent ou non contenir ces informations, sont publiés dans le recueil des actes administratifs de la préfecture du coin. La recherche en leur sein est compliquée : absence de moteur de recherche, les documents sont des numérisations sans calque texte, etc. Pour se simplifier la vie, il existe le moteur de recherche Attrap.

Il reste les cartographies collectives comme Surveillance Under Surveillance (qui repose sur OpenStreetMap) à partir des panneaux de signalisation des caméras, quand ils existent.

Sur le papier, il t'est également possible d'accéder aux vidéos de surveillance sur lesquelles tu apparais : Tout comprendre sur le droit d’accès aux vidéos de caméras de surveillance. Notons la disparition, en 2023 (loi JOP 2024) du double régime, RGPD et Code de la sécurité intérieur (CSI), au profit du seul RGPD : l'article L253-5 CSI ne prévoit plus un droit d'accès autonome (hors RGPD). Unification des régimes.

En pratique, ça semble compliqué. (Notons que cela se passe au temps du double régime décrit ci-dessus, donc ça a pu évoluer.)

Au-delà de ce que présente David, le RGPD prévoit qu'un responsable de traitement (RT, ici l'entité qui opère les caméras) doit répondre « dans les meilleurs délais, et en tout état de cause dans un délai d'un mois ». En pratique, en moyenne, les RT dépassent ce délai. Or, les images sont conservées un mois. Oups 🙄️.

Si un RT refuse, la CNIL ne traitera pas une réclamation dans le délai d'un mois. En moyenne, dans ce délai, la CNIL peine déjà à analyser la recevabilité d'une réclamation.

N'espère pas secouer la CNIL avec un contentieux en référé : tu ne rempliras pas les conditions ultra-strictes du référé-liberté, et le référé-suspension est voué à l'échec puisque l'inaction de la CNIL fait naître une décision seulement après trois mois. Sans compter que le Conseil d'État, juge de la CNIL, se montre chafouin sur la condition d'urgence du référé-suspension (voir CE 504659).

Bref, l'exercice du droit d'accès semble conditionné, par essence, au bon vouloir de l'entité publique qui opère les caméras.

Il y a quelques semaines, j'ai regardé l'intégralité des vidéos de Fouloscopie, vulgarisateur qui traite de l'étude scientifique de la foule, des mouvements de foule, de la gestion d'une foule, des conditions pour faire émerger de l'intelligence collective, des règles d'apparition de réseaux sociaux, de diffusion d'un propos dans ces réseaux, etc.

Très intéressant, j'en recommande vivement le visionnage.

À travers un bouquin, Maître Eolas nous présente, grosse maille, le système judiciaire d'Angleterre et du pays de Galles.

Un procès coupe-gorge, la traduction du titre, est un procès où les accusés s'accusent mutuellement d'être coupables en assurant eux-même être innocents. […]

Outre que l'intrigue est bien menée, en utilisant astucieusement les ressorts de la procédure, c'est pour le juriste français une visite guidée au cœur du système judiciaire d'Angleterre et du Pays de Galles, qui, pour un passionné du droit comparé comme votre serviteur, est passionnante.

[…]

Dans le système britannique, qui a beaucoup inspiré le système américain, l'enquête est menée avant tout par la police. Il n'existe pas de police nationale au Royaume-Uni, que des polices locales (même le célèbre Scotland Yard n'est que la Metropolitan Police, compétente sur le Grand Londres, à l'exception de la City qui a sa propre police). Le parquet s'appelle le Crown Prosecution Service (CPS) et ne dirige pas l'enquête mais s'occupe de la mise en forme du dossier et décide du moment où il est prêt à aller devant la cour. Son équivalent privé, et la dualité de la profession judiciaire au Royaume-Uni est source de confusion en France, est le Solicitor. Le Solicitor est un conseiller juridique, qui ne porte pas la robe, et est la porte d'entrée du justiciable dans le monde judiciaire. Vous avez besoin d'un conseil juridique ou d'un avocat ? Vous poussez la porte du Solicitor. En garde à vue, c'est le Solicitor qui viendra vous assister et vous dire de garder le silence (no comment). C'est lui qui plaidera lors de votre présentation au juge qui décidera de vous placer en détention ou de vous laisser libre sous contrôle judiciaire (Bail) et qui plaidera les contraventions et délits les moins graves dans une procédure simplifiée et largement débarrassée du cérémonial.

Mais quand les choses sérieuses commencent, et que l'affaire va devant la Haute Cour, le Solicitor ne peut plus plaider, et avec l'accord du client, c'est lui qui choisira le Barrister, l'avocat qui seul peut plaider devant la Haute Cour de Sa Majesté. C'est lui qui porte la robe et cette magnifique perruque grise en crin de cheval. Et quand je dis que seul lui peut plaider, seul lui peut plaider. Le CPS aussi désignera un Barrister pour plaider l'accusation. Le Solicitor ne disparait pas pour autant, il est présent à l'audience, assis à proximité de son barrister (souvent derrière), avec qui il peut échanger à voie basse, où, la modernité a franchi la Manche, par message électronique discret. le Solicitor garde un rôle essentiel, car il est l'interface quotidienne avec la famille du client, c'est lui qui s'occupe de récupérer les honoraires dûs au barrister, il connait le dossier sur le bout des doigts pour le suivre depuis le début. C'est une défense duale qui ne parle qu'une d'une voix. Avoir des bonnes relations avec un voire plusieurs Solicitor est essentiel pour un barrister qui compte faire carrière. Enfin, les contre-interrogatoires par les barristers sont bien plus agressifs qu'en France, et consistent à asséner les arguments de sa défense ("Vous avez tué la victime, n'est-ce pas ? C'est vous qui avez effacé les traces, n'est-ce pas ?") pour énerver le témoin avant de lui poser des questions plus ouvertes où la moindre contradiction est guettée pour détruire sa crédibilité. Les accusés ne sont pas tenus de témoigner, ce sont eux qui le demandent, mais leur refus peut être dans une certaine mesure être utilisé contre eux.

Le Royaume-Uni étant ce qu'il est, bien sûr qu'il existe une aristocratie chez les barristers. Au bout d'un certain nombre d'années (10 à 15), un junior barrister peut passer un concours très relevé qui, s'il le réussit, lui permettra d'abandonner sa robe en laine pour une robe en soie, et prendre le titre de King's Counsel, abbrégé en KC, autrefois QC, derrière le nom, au terme d'une cérémonie de prise de la soie (taking silk). Ces superbarristers sont appelés des silks, et se changent dans un vestiaire à part de la plèbe des junior barristers. Les Junior ont les mêmes droits que les silks mais pour les dossiers les plus complexes, le choix se porte plutôt vers les silks. Dans le roman, Alyah Ashard, la procureure, et les barristers des deux premiers accusés, sont des silks (et l'un d'eux est redoutable). Jennifer Rennie, l'une des narratrices, est junior, et Caz, ce feu-follet au vocabulaire de charretier, est sa solicitor.

Dernier aspect, la disclosure. Contrairement au système français où on a une copie (de mauvaise qualité mais ça change) intégrale du dossier et on se démerde, l'accusation choisit ce qu'elle communique à la défense. Elle a l'obligation légale, à peine de cassation, de communiquer spontanément tous les éléments susceptibles d'être utiles à la défense, même s'ils nuisent à l'accusation. Mais si l'accusation estime qu'un élément n'a pas d'intérêt, la défense n'en aura pas connaissance. L'équivalent US est la discovery. Et dans cet esprit de disclosure, tant l'accusation que la défense doivent préalablement à l'audience indiquer tant au juge qu'aux autres parties quelle sera leur défense (je n'étais pas là ; c'est de la légitime défense ; je suis fou ; etc). Et cette défense est exposée au juré en ouverture de l'audience par chacun. Le jury est composé de 12 personnes et délibère en principe à l'unanimité (mais une majorité de 10 sur 12 est acceptée en cas de jurés bloqués) sans le juge, qui leur rédige une feuille de route et résume les faits et les questions qu'ils doivent se poser. Le juge prononce seul les peines en cas de verdict de culpabilité.certains chapitre sont constitués de certains de ces documents.

La HATVP, instituée à la va-vite pour calmer le bon peuple après l'affaire Cahuzac, collecte et publie le répertoire des représentants d'intérêts.

Évidemment, il y a de nombreuses limites, notamment que c'est déclaratif, donc au bon vouloir des lobbyistes. Certains déclarent rien. D'autres déclarent une même activité générique (= floue) d'année en année. La loi prévoit de nombreuses exceptions. La HATVP ne permet pas toujours de déclarer le responsable public précis avec lequel un lobbyiste s'est entretenu, souvent, cela reste flou : « agent d'une collectivité territoriale » (laquelle ?), « député » (lequel ?), « agent d'administration centrale de l'État » (mais encore ? Quelle fonction ? Quelle administration ?), etc. La CNIL fait exception : un déclarant peut la sélectionner pour remplir sa déclaration, mais un manque de rigueur peut vite arriver. ;) Bref, il y a de nombreuses lacunes.

La déclaration est une obligation légale, mais la HATVP est un fantôme aussi vigilant et actif que la CNIL, donc tout le monde s'en cogne. De toute façon, je ne vois pas comment la HATVP pourrait contrôler la véracité et la complétude des déclarations : le boulot est immense et la charge de la preuve est difficilement surmontable sans devenir la Stasi (comment identifier un appel téléphonique, une visio, ou une rencontre non déclarées ?). Je rappelle également que la loi ne distingue pas les méchants lobbyistes des gentils lobbyistes du camp du Bien : tous doivent déclarer.

Le site web du répertoire de la HATVP ne permet pas de rechercher par responsable public (ici, la CNIL), uniquement par lobbyiste, client d'un lobbyiste, ou activité.

La HATVP publie son répertoire des lobbyistes aux formats JSON et CSV. Le JSON est ici : https://www.hatvp.fr/agora/opendata/agora_repertoire_opendata.json.

Mais, là encore, la structure du fichier complique une recherche par responsable public. Les CSV ne sont pas mieux.

On va devoir dégainer jq, l'outil de manipulation JSON en ligne de commande. J'ai déjà rédigé un article sur des syntaxes jq utiles.

La commande suivante affiche toutes les activités de représentation conduites auprès de la CNIL en 2025. Pour chaque activité, elle affiche, sur des lignes distinctes, le nom du lobbyiste, le but de l'action, les observations éventuelles, et pour le compte de qui elle a été menée. Les activités sont séparées par une ligne vide.

jq -r --arg annee 2025 --arg nomRespPublic "Commission nationale de l'informatique et des libertés" '.publications as $lobbyistes |
  $lobbyistes[].exercices[].publicationCourante | select((.activites | length > 0) and (.dateDebut | contains($annee))) as $ExerciceValide |
  $ExerciceValide.activites[].publicationCourante | select(.actionsRepresentationInteret[].reponsablesPublics | contains([$nomRespPublic])) |
  .objet as $but | .actionsRepresentationInteret[] | .observation as $obs | .tiers as $beneficiaires |
  $lobbyistes[] | select(.exercices[].publicationCourante.exerciceId==$ExerciceValide.exerciceId).denomination as $nomLobbyiste |
  " " as $delimiteur | $delimiteur , $nomLobbyiste , $but , $obs , $beneficiaires[]' agora_repertoire_opendata.json

Évidemment, la structure du JSON détermine la commande jq nécessaire à son analyse. Celui de la HATVP est, très grosse maille, le suivant, les détails sont dans la documentation. Des représentants d'intérêts (nommés « publications » 🤷‍♂️️) sont associés à des périodes temporelles (nommés « exercices », au sens d'exercice moral ou fiscal). Un exercice a, ou non, des activités. Une activité a un but (« objet ») et une ou plusieurs actions de représentation. Celles-ci contiennent les responsables publics sollicités, une éventuelle observation, et les bénéficiaires de l'action.

La première difficulté est que le nom du lobbyiste est consigné dans une « publication », en haut de l'arbre JSON, alors que le responsable public est en bas de l'arbre. Le pivot (= clé étrangère), est l'exercice, qui contient aussi le début et la fin de la période. En première approximation, on peut penser que le bénéficiaire d'une action est le lobbyiste lui-même, auquel cas, son nom est suffixé de « (en propre) », donc qu'on n'a pas besoin de remonter l'arbre JSON. Mais, un lobbyiste peut intervenir pour le compte d'un client, auquel cas, le client sera déclaré bénéficiaire, mais le nom du lobbyiste n'est pas inintéressant, et justifie une remontée de l'arbre JSON.

La deuxième difficulté est qu'un exercice peut ne pas contenir d'activités, lorsque la déclaration n'a pas encore eu lieu, ou si le lobbyiste n'a rien fait sur la période. Auquel cas, l'attribut « activites » n'existe pas (alors qu'un tableau vide aurait été préférable). Il faut exclure ces exercices de notre sélection, sinon jq crachera l'erreur « Cannot iterate over null (null) » lors de la tentative d'accès à « activites ». Pour ce faire, il ne faut pas compter sur l'attribut « nombreActivite » qui peut être supérieur à zéro en l'absence d'attribut « activites » 🤷‍♂️️.

Cette exclusion nécessite un déplacement du curseur de jq dans l'arbre JSON, ce qui crée la difficulté à remonter l'arbre JSON énoncée au point précédent : si l'on filtre les lobbyistes qui ont des activités, alors ceux ayant des activités durant un exercice mais pas durant un autre seront sélectionnés, donc jq crachera l'erreur sus-rapportée. On est donc obligé de descendre dans l'arbre, de travailler uniquement sur les exercices filtrés, puis sur les activités filtrées, donc on perd le nom du lobbyiste resté en haut de l'arbre. Notons qu'on a le même problème dès qu'on filtre les activités d'un exercice donné, ou les actions auprès de la CNIL (une activité sera retenue dès lors qu'elle contient au moins une action auprès de la CNIL), mais ce dernier cas n'a aucune incidence sur le résultat recherché.

La troisième difficulté, mineure, est que le nom du responsable public, la CNIL, contient une apostrophe, qui entre en conflit avec le shell. Solution : stocker ce nom dans une variable. De surcroît, cela procure un caractère général à la commande jq : elle permet de chercher à partir d'autres responsables publics que la CNIL.

La dernière difficulté, bien plus légère que les précédentes, est les niveaux superflus du JSON, notamment plusieurs « publicationCourante ». Il faut veiller à ne pas perdre le sens de chaque : tantôt ça désigne ça matérialise un exercice, tantôt une activité.

Désormais, t'es en capacité de lire la commande :

• Première ligne : arguments et conservation, dans une variable, des lobbyistes (afin de pouvoir obtenir le nom de l'organisateur d'une action à partir de la référence d'un exercice quand nous aurons cette dernière).
  
  
• Deuxième ligne : on sélectionne, pour une année passée en argument, les exercices qui ont un nombre positif d'activités. On les met en variable afin de pouvoir, plus tard, retrouver le nom du lobbyiste à partir de la référence de l'exercice.
  
  
• Troisième ligne : pour chaque exercice valide, on sélectionne les activités contenant des actions auprès de la CNIL.
  
  
• Quatrième ligne : en variable, on conserve le but de l'activité, et, pour chaque action, les observations éventuelles, et les bénéficiaires.
  
  
• Cinquième ligne : on conserve, en variable, le nom du lobbyiste que l'on retrouve à partir de la référence de l'exercice.
  
  
• Sixième ligne : mise en forme du résultat, d'où, sur la première ligne, la directive -r pour retirer le formatage JSON, comme les guillemets autour d'une chaîne de caractères.

Si l'on ne veut pas du nom du représentant d'intérêts, la commande se simplifie grandement (j'ai essayé de conserver les mêmes rôles par ligne, même si les lignes deux et trois fusionnent immanquablement) :

jq -r --arg annee 2025 --arg nomRespPublic "Commission nationale de l'informatique et des libertés" \
  '.publications[].exercices[].publicationCourante | select((.activites | length > 0) and (.dateDebut | contains($annee))).activites[].publicationCourante |
  select(.actionsRepresentationInteret[].reponsablesPublics | contains([$nomRespPublic])) |
  .objet as $but | .actionsRepresentationInteret[] | .observation as $obs | .tiers as $beneficiaires |
  " " as $delimiteur | $delimiteur , $but , $obs , $beneficiaires[]' agora_repertoire_opendata.json

That's All, Folks!

Chronologie de la violation de fichiers de police en décembre 2025 :

1. Logiciel malveillant voleur d'infos sur l'ordi perso d'un agent du ministère de l'agriculture. Lien vers celui-ci envoyé sur sa messagerie pro.
   
   
2. Accès, par vol de mdp, à son Google Drive perso contenant son certificat d'authentification VPN (qui n'était donc pas protégé par un mdp).
   
   
3. Passerelle informatique du réseau de ministère de l'agriculture au réseau du ministère de l'intérieur.
   
   
4. Faille dans un outil interne octroyant l'accès à des comptes de gestionnaires d'email (que je comprends comme des administrateurs dédiés aux plateformes emails).
   
   
5. Réinitialisation de mdp d'agents du ministère de l'intérieur.
   
   
6. Accès à la messagerie de ces agents permettant de trouver des certificats d'authentification au VPN + mdp associé.
   
   
7. Accès à CHEOPS. Donc depuis le VPN et sans 2FA (carte professionnelle.

Un mélange de mauvaise hygiène numérique des agents (points 1, 2, et 6), d'erreurs de conception du système d'information (2, 3, 4, et 7), et d'absence d'affolement des agents voyant leur mdp réinitialisé à leur insu (ce qui peut révéler des difficultés relationnelles avec leur direction informatique faisant qu'ils ont préféré garder le silence).

En tout cas, on est loin de la petite attaque ponctuelle. Beaucoup d'entités, publiques comme privées, auraient flanché avec beaucoup moins d'efforts que cela. J'ai du mal à être dans le « olol les nuls mdr ! ».

Les contre-mesures que pourraient prendre les directions informatiques pour contrer ça sont démesurées… Même le point 2 : je lis qu'on pourrait sceller le certificat (= le rendre inaccessible sans droits administrateur) ; à condition de fournir un ordi pro ou une clé physique d'authentification, coût supplémentaire, logistique, etc. Contrer les logiciels malveillants, ça a toujours été la plaie… Faille dans un outil, bah ouais…

Par contre, je ne partage pas l'idée que le pirate aurait contourné « plusieurs défenses en profondeur » comme l'expose le journaliste : ici, tout reposait sur la première digue, l'authentification (par certificat ou par mdp). La définition de la défense en profondeur est de contrer la défaillance de la première digue.

❤️

Suite au communiqué de presse de la @cnil@social.numerique.gouv.fr de ce jour (https://www.cnil.fr/fr/piratage-du-systeme-dinformation-des-impots-les-verifications-sont-en-cours) nous vous invitons à ne pas tenir compte de sa demande de ne pas porter plainte.
La CNIL ne fait jamais rien sauf à être contrainte par une plainte. Elle dit bien d’ailleurs être seulement « susceptible de mener des investigations »
Déposer plainte est le seul moyen pour être aussi tenu informé de l’avancement de la procédure.
La CNIL n’avait pas non plus appelé à la modération dans le cas de Free par exemple.

N’hésitez donc pas à déposer plainte ou à nous saisir pour que nous le fassions pour vous
https://agir.asso-purr.eu.org/mandats/signature

Point important : vous n’avez pas besoin d’avoir été notifié explicitement de la fuite par la DGFIP.
Vous êtes contribuable, donc personne concernée, et vos données ont été mises en péril par un défaut de sécurisation des systèmes d’information de la DGFIP.
Vous pouvez donc porter plainte.

Résumé du communiqué de presse de la CNIL : branlette en cours, ne pas déranger. 🤬️

Concernant l'information publique : l'écrasante majorité des mesures correctrices adoptées par la CNIL ne font pas l'objet d'une publication. Il en va de même, à plus forte raison, de la clôture des plaintes sans adoption de mesures correctrices. S'il a d'abord tenté de nier ces états de fait, le Secrétaire général adjoint de la CNIL les a ensuite admis tacitement auprès de l'association PURR au premier semestre 2025. Donc, oui, il est plutôt exact d'affirmer qu'une personne ne saura rien si elle ne dépose pas plainte.

Loin de moi de défendre Free, on peut aussi évoquer le cas du spam émis par les ministères de l'économie (auquel est rattaché la DGFIP) et de la fonction publique. Les syndicats de salariés avaient poussé à la roue pour déposer des plaintes CNIL, sans contrariété de cette dernière.

Attention, quand un politicien ou un patron dit qu'il y a eu une « attaque particulièrement sophistiquée », cela veut dire que le mot de passe du compte attaqué n'était pas azerty mais azerty123.

https://nitter.poast.org/pbeyssac/status/2089012211070963843 :

"particulièrement sophistiqué" en com politique/administrative de crise = "plus sophistiqué que notre administration, qui est à la ramasse et on s'en fout tant que pas vu pas pris".

Tellement vrai…

Après plus de trente ans passés dans la cybersécurité de milieux sensibles, j’observe toujours le même écart structurel.

L’effort principal ne porte presque jamais sur la construction de défenses techniques réelles. Il se concentre sur l’obtention de certifications et le respect formel de normes. ISO/IEC 27001, RGS et son processus d’homologation, guides ANSSI d’hygiène informatique, analyses EBIOS, qualification PASSI ou SecNumCloud, bientôt le socle NIS 2. On accumule les preuves documentaires. On alimente les tableaux de bord. On tient des réunions Teams interminables pour commenter des indicateurs verts.

Ces tableaux de bord sont souvent des pastèques : verts à l’extérieur, rouges à l’intérieur. Ils satisfont le reporting, rassurent le management et permettent de dire « nous sommes conformes ». Ils ne disent presque rien sur la capacité réelle à détecter une usurpation d’identifiants, à limiter les extractions massives ou à segmenter correctement les accès privilégiés.

Les profils ont suivi la même évolution. Les équipes se peuplent désormais de managers formés à dérouler des process, à produire des plans d’action et à animer des comités. Les vrais experts techniques, ceux qui savent lire un journal d’authentification, comprendre une architecture de VPN ou concevoir un contrôle d’accès non contournable, deviennent minoritaires. On les écoute peu. On les fait rarement piloter.

L’aspect financier confirme le diagnostic. Peu de directions acceptent d’investir au-delà du strict nécessaire à la conformité tant qu’aucun incident majeur n’est survenu. La sécurité est traitée comme un coût de reporting, pas comme une capacité opérationnelle. On finance les audits, les certifications et les outils de visualisation. On sous-finance la détection fine, la segmentation, les tests adverses et la formation technique profonde.

Le cas récent de la DGFiP illustre parfaitement le mécanisme. En juin et juillet 2026, des accès illégitimes obtenus par usurpation d’identifiants d’un agent et d’un tiers habilité ont permis la consultation et l’extraction de données fiscales concernant 678 000 particuliers et professionnels (revenu fiscal de référence, quotient familial, taux de prélèvement à la source, SIREN, données cadastrales associées). L’administration a coupé les accès une fois détectés, notifié la CNIL et promis d’informer les usagers. Pourtant, pendant des semaines, l’extraction avait eu lieu. Malgré le cadre réglementaire applicable aux systèmes d’information de l’État, malgré les obligations d’homologation et de maîtrise des risques, un simple détournement d’identifiants a suffi.

Ce n’est pas un accident isolé. C’est le résultat prévisible d’une culture où la conformité documentaire a pris le pas sur l’ingénierie de défense. Tant que les indicateurs restent verts en réunion et que le budget ne s’ouvre qu’après la crise, on continuera à produire des pastèques et à découvrir trop tard ce qu’elles contiennent.

Énième piqûre de rappel. C'est valable privé comme public. C'est pareil pour la conformité RGPD.

Et encore, ça c'est quand y a un début de commencement de semblant de simulacre de sécurité informatique. Souvent, il n'y a même pas ça.

Sans compter l'incompétence technique crasse des informaticiens… Les développements et architectures informatiques sont conçus et mis en œuvre avec le cul, et c'est méchant pour les culs qui, eux, au moins, ont une réelle utilité. Plusieurs commentaires en font état.

https://nitter.poast.org/bortzmeyer

Le Conseil constitutionnel valide l'énième monture du droit à l'aide à mourir.

Dans leurs saisines, le président du Sénat et les sénateurs LR ont fait grief à la loi de porter atteinte à la liberté individuelle… qui ne concerne que les privations de liberté. 🤡️ Toujours aussi incompétents, nos parlementaires.

Sur le fond, je suis mitigé. Je suis favorable à l'aide active à mourir, mais défavorable au principe de demander l'autorisation à l'État de crever, à l'organisation étatique de cette liberté, à l'existence d'une énième procédure administrative paperassière imbitable. Or, cette loi est tout cela : procédure, compétence unique du juge administratif, etc. En alternative, je suis favorable à la déresponsabilisation pénale de la personne qui a aidé à mourir.

Analyse de Liberté, Libertés chéries (LLC) :

Le Conseil admet, dans sa décision du 14 août 2026, qu’un établissement privé pourra refuser que l’aide à mourir soit pratiquée dans ses locaux. Ce refus est toutefois soumis à deux conditions cumulatives. Il faut d'abord que l'aide à mourir soit "manifestement contraires à ses missions statutaires ou à son projet", formule qui conduit à constater que cette condition ne s'appliquera en pratique qu'aux établissements religieux. Il faut ensuite que d'autres établissements puissent répondre aux besoins locaux en matière d'aide à mourir.

Cette réserve heurte directement la jurisprudence du Conseil constitutionnel, notamment la décision du 27 juin 2001 sur l'IVG. A l'époque, il avait expressément refusé qu’un chef de service puisse opposer une quelconque clause de conscience à la pratique d’IVG dans son service. Il pouvait ne pas pratiquer l'IVG à titre personnel, mais ne pouvait l'interdire à l'ensemble des soignants […]

Pour ne pas mettre en évidence cette énorme contradiction avec sa propre jurisprudence, le Conseil use d'un biais. Il n'évoque nulle part une improbable conscience de l'établissement. Il déplace le raisonnement et se fonde sur la liberté d'association et la liberté d'entreprendre. […] Mais sa référence aux libertés d'association et d'entreprendre reste dépourvue de tout fondement juridique sérieux. Pour quel motif une association ou une entreprise pourrait-elle interdire à son personnel de participer à un acte qui relève de sa liberté de conscience ? Envisage-t-on que les associations et les établissements religieux imposent un directeur de conscience à chacun de leurs employés, et à chacun de leurs patients ?

Surtout, le plus grave se trouve dans l'office du juge constitutionnel. Le parlement avait expressément prévu, dans l'article 14 de la loi, que le responsable de l’établissement était tenu de permettre l’intervention des professionnels volontaires, venus pour assister les personnes demandant l'aide à mourir. Sur ce point, la réserve du Conseil n'est plus une réserve, mais une réécriture. Il n'éclaire pas une disposition ambiguë, ne choisit pas entre différentes interprétation, fonction qui justifie habituellement les "réserve d'interprétation". Il introduit une exception que la loi ne formulait pas. Il retranche de l'obligation légale une catégorie d'établissements que le législateur avait entendu y soumettre.

[…]

Peut-on alors penser que le Conseil constitutionnel a voulu donner une satisfaction symbolique au lobby catholique ? Dans une certaine mesure, la réponse est positive. Sans reconnaitre une "conscience catholique" des établissements, il leur offre un droit de retrait. Bien entendu, celui-ci n'aura aucun effet puisque l'accès effectif à l'aide à mourir sera possible ailleurs. Aux lecteurs de la décision de se faire une opinion, mais les réserves formulées par le Conseil donnent du grain à moudre à ceux qui l'accusent d'empiéter dangereusement sur la fonction législative, au nom de principes que, parfois, il invente.

Le législateur ayant enfin fait son boulot environ correctement, le Conseil constitutionnel valide, sous réserves, les dérogations temporaires d'usage des néonicotinoïdes dans certaines filières agricoles. Que de temps perdu en gesticulations médiatico-politiciennes.

Il s'agit de la suite de la loi Duplomb.

Le Conseil a censuré la loi Duplomb car elle était disproportionnée au regard d'autres dispositions prévues par le même législateur : les dérogations n'étaient pas temporaires ni limitées à certaines cultures, et tous les usages étaient permis. Point de politique, point de gouvernement des juges.

Cette fois-ci, les dérogations sont temporaires (un an, renouvelable deux fois). Elles limitent les usages, dont la pulvérisation, quand c'est possible (betteraves) ou les conditionnent aux techniques de limitation de la dispersion des pesticides (noisettes, pommes, etc.). Elles sont conditionnées à l'existence d'une menace sur une culture, d'absence ou d'insuffisance d'alternative, d'une autorisation de mise sur le marché, etc. Le Conseil y ajoute la possibilité, pour l'ANSES, de restreindre l'application géographique, et que son silence après deux mois ne vaut pas dérogation.

En somme, cette fois-ci, le législateur a concilié les différents objectifs dont il a la charge. Voilà, ce n'était pas compliqué, il suffisait à nos parlementaires, au lieu de s'indigner publiquement, d'écrire correctement la loi, c'est-à-dire, de faire leur putain de job.

Loi RIPOST devant le Conseil constitutionnel.

Florilège sécuritaire et/ou mal rédigé. Il faut lire la décision pour comprendre à quelle sauce nos parlementaires veulent nous manger, c'est flippant :

• infraction pour participation (sans organisation) à une rave-party non-déclarée (ben oui, on n'a rien de mieux à foutre) ;
  
  
• fermeture administrative des magasins vendant des produits explosifs ou pyrotechniques ;
  
  
• destruction sans délai d'un véhicule utilisé dans un rodéo urbain (le conducteur n'est pas forcément le propriétaire) ;
  
  
• caméras-piétons pour les agents de sécurité privée et pour les agents de gestionnaires du réseau routier (le Conseil constitu a censuré ce deuxième usage) ;
  
  
• échange de données entre les services de renseignement et les procureurs en matière de criminalité ou de délinquance organisées, et entre l'ANTS et l'administration fiscale. Faire le lien avec l'extension incessante du droit de communication des administrations (dernier en date : loi fraudes sociales et fiscale ;
  
  
• interdiction de louer du matériel sonore au-delà d'une certaine puissance en l'absence de déclaration préalable de la manif ;
  
  
• interdiction de paraître lors d'une manifestation sportive où pourraient se produire des troubles graves à l'ordre public (= interdiction de stades sauce disproportionnée) ;
  
  
• etc.

On retrouve la pseudonymisation des agents intervenant en enquête pénale. Censurée, droit de la défense. Faire le lien avec le dossier-coffre de la loi narcotrafic et du contradictoire asymétrique de la loi Darmanin sur l'immigration. Ce climat de procès secret est flippant.

Quelques dispositions craignos qui ont passé le Conseil :

• Utilisation en urgence des drones. Donc sans recours. Déjà que les préfectures publient leurs décisions au dernier moment pour en restreindre la contestation…
  
  
• Les agents de sécurité privés gagnent l'inspection visuelle des véhicules (pas leur fouille), et le port d'une caméra-piéton.
  
  
• La vidéosurveillance algorithmique (VSA) sur drone est prolongée jusqu'en 2030. Elle est étendue pour permettre la surveillance de bâtiments et de lieux ouverts au public en cas de menace terroriste ou d'atteinte grave à la sécurité des personnes. Seul apport du Conseil : l'autorisation est limitée à 3 mois. Autre consolation : la VSA dans les supermarchés (ex. : Veesion) n'est toujours pas passée.
  
  
• Lecture automatisée des plaques d'immatriculation (LAPI). Tout ce que LQDN avait relevé est passé : allongement de la durée de conservation à 1 an, élargissement du champ des infractions, expérimentation 3 ans pour identifier automatiquement de la criminalité organisée dans un mouvement de véhicule, etc. À ce stade, pas de croisement avec le Wi-Fi, Bluetooth, etc. (techno SignalTrace de l'équipementier Leonardo).

Analyse de Liberté, Libertés chéries (LLC) :

[…] Mais finalement, le seul fil conducteur de la loi réside dans la recherche de l'efficacité pénale au moyen essentiellement d'un alourdissement des peines.

Analyse de LQDN :

[…] L’article 35 de la loi RIPOST offre encore une nouvelle possibilité calquée sur le régime des douanes. Désormais, certains agents de police et de gendarmerie pourront, sans réquisition du procureur, contrôler l’identité des personnes et fouiller des véhicules et bagages dans un périmètre de 40 kilomètres aux frontières, ainsi que dans les gares, les aéroports et les trains internationaux, au nom de la prévention de certaines infractions de criminalité organisée et en dehors de toute procédure judiciaire.

[…]

Après la police et la gendarmerie nationales, les sapeurs-pompiers, les gardes-champêtres, l’administration pénitentiaire, les polices municipales, les services de sécurité de la RATP et de la SNCF et les contrôleurs dans les transports – on reprend sa respiration –, l’article 47 de la loi RIPOST permettra désormais aux agents des douanes de disposer eux aussi de ces caméras-piétons. L’article 53, quant à lui, les met à disposition des agents de sécurité privée pour une « expérimentation » de 3 ans qui sera très probablement pérennisée. En revanche, le Conseil constitutionnel a censuré la possibilité pour les gestionnaires d’autoroutes de disposer de ces caméras.

Je crois que la dernière loi qui s'est autant fait démolir, c'est la loi Avia. 🤣️

Censure car :

• Atteinte disproportionnée à la liberté d'expression et de communication à cause d'une interdiction générale et absolue. La loi vise tous les mineurs et toutes les plateformes en ligne permettant la communication entre utilisateurs, le partage de contenus et la découverte d'utilisateurs et de contenus (des dérogations étaient prévues pour les contenus collaboratifs encyclopédiques, scientifiques, et les forges logicielles). Aucune pondération tenant compte de la situation du mineur (degré de maturité, âge, situation familiale, intérêt supérieur de l'enfant apprécié par l'autorité parentale, etc.) et/ou du service (fonctionnalités, types de contenus, niveau de risque, etc.).
  
  
• Atteinte disproportionnée à la vie privée car la vérification d'âge, qui porte sur tout le monde (mineur comme majeur) n'est encadrée d'aucune condition ni limite.

En détail :

• Le Conseil reconnaît que la protection de l'intérêt supérieur de l'enfant et la prévention de l'atteinte à l'ordre public sont de nature à justifier une limitation d'accès aux services sus-définis.
  
  
• Le considérant 6 reprend la décision Avia et donc le considérant 12 de la décision HADOPI : liberté d'accès à ces services, mais aussi de s'y exprimer.
  
  
• Le considérant 15 rappelle les devoirs de l'autorité parentale et reproche à la loi de ne pas lui permettre de moduler l'interdiction dans l'intérêt supérieur de l'enfant. Je trouve salutaire ce rappel de la responsabilité parentale dans un monde où l'on n'arrête pas de déresponsabiliser les parents. 🙏️

Cette censure était prévue par tout bon juriste, mais elle permettra aux élus et aux médias de faire de la mousse sur le thème « le Conseil constitutionnel nous interdit de protéger vos enfants » (qui, comme tu viens de le lire, n'est pas la teneur de sa décision, qui est « loi mal conçue »). 😑️

Conséquence : cette interdiction reviendra. Elle sera mieux gaulée, mais elle reviendra.

Analyse de Liberté, Libertés chéries (LLC) :

On pourrait penser qu'il est inutile de revenir sur l'incompatibilité du texte avec le droit de l'Union européenne, puisque le Conseil constitutionnel n'en est pas juge. Certes, mais cette incompatibilité avait tout de même pour conséquence de rendre l'interdiction des réseaux aux mineurs de moins de quinze ans parfaitement inapplicable au 1er septembre 2026, contrairement à ce qui était annoncé.

La question s'était déjà posée avec la loi Marcangelli du 7 juillet 2023 instituant une "majorité numérique" à quinze ans. Les réseaux sociaux étaient alors contraints de refuser l'inscription aux plus jeunes, sauf autorisation parentale. Ce texte est bien présent dans notre corpus juridique, mais comme norme dormante, ce qui signifie qu'il n'a jamais reçu le moindre commencement d'application. La Commission européenne a en effet estimé qu'il empiétait sur le domaine harmonisé par le Digital Service Act (DSA). Pour répondre à cette objection, la proposition de 2026 faisait peser l'interdiction sur le mineur lui-même et non plus sur le réseau social.

Même avec cette précaution la compatibilité du texte avec le DSA restait hypothétique. Certes le texte européen n'interdit pas à un État de fixer un âge légal, mais il ne peut accroître unilatéralement les contraintes pesant sur les plateformes ni modifier la répartition des compétences qu'il prévoit. Saisie dans le cadre de la procédure de notification des règles techniques, la Commission a rendu, le 7 juillet 2026 un avis circonstancié émettant un certain nombre de réserves sur la proposition française, en particulier sur la compétence de contrôle de l'Arcom. La France était donc invitée à retravailler son texte dans le cadre d'une procédure qui était loin d'être achevée. La mise en oeuvre de la loi au 1er septembre relevait ainsi d'une posture politique, et tout le monde savait, sauf l'électeur de base, que cette date ne serait pas respectée.