Un seul EU IT Act Un cadre juridique unique et cohérent pour les obligations et droits numériques de l'UE — remplaçant le paysage actuellement fragmenté.

Un EU IT Act : un cadre juridique unique et cohérent pour les obligations et droits numériques

Objet. La Commission est invitée à proposer un seul acte législatif de l'Union, l'EU IT Act, consolidant l'acquis numérique et informatique de l'Union, à la fois les obligations imposées et les droits conférés, en un instrument structuré par catégorie, et à identifier les actes de l'Union qui peuvent être abrogés et intégrés en son sein.

Contexte : un problème d'État de droit

Le respect de l'acquis numérique et informatique de l'UE exige désormais la lecture parallèle de dizaines d'actes de l'Union qui se chevauchent. Parmi eux : GDPR, ePrivacy Directive, AI Act, Digital Services Act, Digital Markets Act, Data Act, Data Governance Act, Cyber Resilience Act, NIS2 Directive, DORA, eIDAS 2.0, Platform-to-Business Regulation, Open Data Directive, Free Flow of Non-Personal Data Regulation, ainsi que les dispositions numériques et de cybersécurité du GPSR, RED et Machinery Regulation. Chaque instrument comporte ses propres actes délégués et d'exécution, orientations, FAQ, clauses types, normes harmonisées, 27 transpositions nationales le cas échéant, et positions des autorités compétentes.

Le problème n'est pas seulement la dispersion. Le volume est lui-même une préoccupation structurelle. Chaque instrument numérique est extensif, prescriptif et détaillé d'une manière qui va fréquemment au-delà du nécessaire pour atteindre ses objectifs. Les principes du Traité de subsidiarité et de proportionnalité (Article 5 TEU) exigent que l'action de l'Union n'aille pas au-delà du nécessaire. La trajectoire cumulative de l'acquis numérique ne satisfait pas visiblement à ce test, et un exercice de consolidation qui se contente de réemballer le même volume dans un document unique ne résoudrait pas le problème qu'il prétend résoudre.

Le principe selon lequel les sujets de droit doivent pouvoir savoir, à l'avance, ce que la loi exige d'eux et ce qu'elle leur accorde, est fondamental. L'approche en silos actuelle ne le respecte pas. Ni les obligations imposées à ceux qui doivent s'y conformer, ni les droits conférés à ceux que l'acquis est censé protéger, ne sont accessibles sans assistance juridique spécialisée dont ne disposent pas les microentreprises, PME, organisations de la société civile et citoyens. Le Digital Omnibus de la Commission n'aborde cela qu'à la marge. La direction doit changer.

Objectifs

1. Un seul acte. La Commission propose un seul acte législatif de l'Union, l'EU IT Act, rassemblant les principales obligations et droits de l'Union relatifs à l'activité numérique et informatique. L'acte est l'instrument de référence principal pour ces obligations et droits.

2. Abroger et recodifier, par défaut. La Commission identifie chaque acte, directive et règlement de l'Union qui peut être abrogé et intégré dans l'EU IT Act. La position par défaut est l'abrogation-et-recodification, non la modification-et-coexistence. Lorsqu'un instrument est conservé en dehors de l'IT Act, la justification est expressément énoncée.

3. Proportionnalité et parcimonie dans la rédaction. L'EU IT Act est rédigé conformément aux principes du Traité de subsidiarité et de proportionnalité (Article 5 TEU), avec la discipline supplémentaire de la parcimonie législative : seulement ce qui est nécessaire, rédigé de manière aussi concise que le sujet le permet. La consolidation ne doit pas signifier accumulation. Lorsque des dispositions existantes se chevauchent, se dupliquent ou contiennent des détails inutiles, celles-ci sont supprimées dans la consolidation. La Commission publie, parallèlement à la proposition, une comparaison quantitative du volume opérationnel de l'IT Act par rapport au volume opérationnel des actes qu'il remplace, et explique toute augmentation nette.

4. Structure par catégorie. L'IT Act est organisé en sections correspondant aux catégories thématiques que les sujets de droit doivent réellement parcourir, notamment : données personnelles et vie privée ; cybersécurité et réponse aux incidents ; systèmes d'intelligence artificielle ; services numériques, plateformes et intermédiaires en ligne ; accès aux données, partage et réutilisation ; identité numérique et services de confiance ; produits numériques et responsabilité.

Chaque section établit, en un seul lieu, à la fois les obligations imposées à ceux qui doivent s'y conformer et les droits conférés à ceux que l'acquis est censé protéger.

5. Définitions communes. Les concepts récurrents sont définis une seule fois pour l'ensemble de l'acte. Toute dérogation sectionnelle est expressément justifiée dans le texte du considérant.

6. Modèle d'information et forme lisible par machine. La Commission élabore et adopte un modèle formel d'information représentant le contenu juridique de l'EU IT Act. Le modèle s'appuie sur ELI et Akoma Ntoso. La forme lisible par machine fait foi au même titre que la forme lisible par l'humain.

7. Discipline pour l'avenir. Les nouvelles propositions de l'Union dans le domaine informatique prennent, par défaut, la forme d'amendements à l'EU IT Act plutôt que d'instruments autonomes.

Base juridique du Traité

• Article 11(4) TEU (instrument de l'Initiative)
• Article 16 TFEU (protection des données)
• Article 26 TFEU (marché intérieur)
• Article 114 TFEU (rapprochement des législations, base juridique principale)

Hors champ

Cette Initiative n'affaiblit pas le niveau de protection matérielle accordé par l'acquis existant — elle renforce cette protection en rendant à la fois les obligations et les droits connaissables par ceux qu'ils concernent. Elle concerne l'architecture, non la substance.