Revue - Droit et société n°118-2024 - 82

Catherine Prébissy-Schnall et Éric Pezet
et résilientes72. Elles sont notamment présentes dans le RGPD ainsi que dans le
Règlement sur l'IA73, mais aussi dans le Règlement européen DSA (Digital Services
Act)74, le Règlement européen DORA75 (Digital Operational Resilience Act) et la
Directive SRI 2 (Sécurité des réseaux et des systèmes d'information) sur le renforcement
de la cybersécurité. L'ensemble de ces textes s'inscrit dans la politique
publique européenne et dans cette dynamique de l'approche des risques qui
mobilise le concept de résilience76.
Dans le RGPD, l'utilisation de la méthode du Privacy by design (art. 25), qui est
une des manifestations du principe de précaution mais dans le champ des données
personnelles, est symptomatique d'une pression anomique. Cette méthode
intègre en effet les caractéristiques clés en matière de sécurité et d'efficacité de
la technologie dès le processus de conception initiale de celle-ci et sanctionne les
concepteurs qui n'ont pas correctement minimisé les risques d'un non-respect du
traitement des données personnelles conformément au RGPD. Or, les cas d'usages
évoluent sans cesse et l'utilisateur est libre, par exemple, de détourner un outil
numérique de son usage initial. La numérisation ne se développe pas en fonction
de catégories à partir desquelles s'organiserait le monde, plutôt dans une créativité
de catégories ce qui rend difficile la fabrication de normes adaptées : comment
combler le vide juridique en adoptant une norme conservatoire propre à empêcher
la réalisation d'un risque inconnu, un risque qu'on ne peut pas imaginer ?
Face au besoin d'anticipation des nouveaux risques, un autre mode de stratégie
consiste à mobiliser le concept de résilience pour faire évoluer l'approche centrée
sur la prévention des risques vers une approche plus large et proactive. En ce sens,
encadrant la résilience opérationnelle numérique, le Règlement européen DORA
exige que les entités financières signalent aux autorités de surveillance et aux
acteurs du marché, rapidement et de manière exhaustive, les incidents majeurs
liés aux technologies, afin que le système financier de l'Union européenne puisse
réagir rapidement et de manière appropriée aux perturbations et maintenir la
résilience du système. Applicable à partir du 17 janvier 2025 directement dans tous
les États membres de l'UE, ce règlement invite à analyser les écarts de conformité
avec le Règlement DORA puis à estimer l'effort nécessaire pour combler ces écarts.
72. EU-NATO Task force on the resilience of critical infrastructure, juin 2023 : le rapport de l'Équipe
spéciale Otan-UE met en exergue l'importance de la résilience dans les secteurs de l'énergie, des
transports et des infrastructures numériques ainsi que dans le domaine spatial.
73. Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 sur l'intelligence
artificielle, JOUE L, 2024/1689, 12 juillet 2024.
74. Règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022, JOUE L 249,
14 juillet 2023.
75. Règlement (UE) 2022/2554 du Parlement européen et du Conseil du 14 décembre 2022 sur la résilience
opérationnelle numérique, entré en vigueur le 16 janvier 2023, JOUE L 333, 27 décembre 2022,
p. 1-79.
76. Giovanni De Gregorio et Pietro Dunn, « The European Risk-Based Approaches: Connecting
Constitutional Dots in the Digital Age », Common Market Law Review, 59 (2), 2022, p. 473-500. DOI :
10.2139/ssrn.4071437 ; Arnaud Latil, Le droit du numérique, une approche par les risques, Paris :
Dalloz, 2023, avant-propos.
518 ■ Droit et Société 118/2024

Revue - Droit et société n°118-2024

Table des matières de la publication Revue - Droit et société n°118-2024