Le projet de loi français réglementant les JONUMs est adopté : faites vos jeux ! 

Nous en parlons déjà depuis l’année dernière : le projet de loi visant à sécuriser et réguler l’espace numérique (« SREN ») est désormais adopté. Le processus législatif précédant l’adoption du projet de loi SREN a été poussif (pour rappel : le projet de loi ait été présenté au Sénat le 10 mai 2023).

Et pour cause, la Commission européenne a notifié à l’état français plusieurs observations relatives à son contenu. La Commission estimait notamment que le champ d’application du projet de loi SREN relèverait de celui du Digital Services Act, notamment en ce qui concerne la vérification de l’âge des utilisateurs. De nombreuses modifications ont été apportées au texte par la Commission mixte paritaire (« CMP ») pour prendre acte de ces observations.

Et ce n’est pas fini, puisque plusieurs députés ont saisi le Conseil Constitutionnel en date du 17 avril 2024 sur fondement de l’article 61 alinéa 2 de la Constitution. Une censure, au moins partielle, du projet de loi n’est donc pas à écarter.

Revenons tout de même sur les spécificités de ce projet de loi censé remodeler le paysage numérique français.

Protection des mineurs en ligne

Fin mai 2023, l’Autorité de régulation de la communication audiovisuelle et numérique (« ARCOM »)  publiait son étude suivant laquelle 2,3 millions de mineurs consultent chaque mois des sites proposant du contenu à caractère pornographique, chiffre en hausse de 36% sur les 5 dernières années. Pourtant, la diffusion de contenu pornographique vu ou susceptible d’être vu par un mineur est bien constitutive d’une infraction.

Les solutions de lutte contre l’accès, par des mineurs, à du contenu à caractère pornographique en ligne étant restées inefficaces, le législateur a souhaité mettre en place un système plus robuste, visant à renforcer l’obligation de vérification de l’âge par tout éditeur de service de communication au public en ligne et fournisseur de plateforme de partage de vidéos diffusant du contenu pornographique. Cette obligation s’applique à tout éditeur ou fournisseur établi en France ou hors de l’Union européenne, et, dans certaines mesures, à ceux établis en Union européenne.  

Au cœur de ce système, l’ARCOM est chargée de publier un référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification d’âge. L’ARCOM a déjà mis en ligne une consultation publique visant à recueillir les avis des acteurs concernés sur le projet de référentiel élaboré par l’autorité.

Le législateur a choisi la voie de déjudiciarisation de la sanction, l’ARCOM devenant compétente pour faire bloquer et déréférencer, sans décision judiciaire, tout site diffusant du contenu pornographique sans vérifier l’âge des internautes. Aussi, l’ARCOM pourra solliciter des boutiques d’application logicielles le blocage du téléchargement de l’application qui contreviendrait à l’obligation exposée ci-dessus.

Les fournisseurs de services d’hébergement et boutiques d’application logicielles seront alors tenus de se conformer à la demande de l’ARCOM, sous 24 et 48 heures respectivement, sous peine de sanction.

Dans l’attente de la publication du référentiel de l’ARCOM, on s’interroge sur les modalités techniques préférées par l’autorité. Le défi est en effet grand : s’assurer d’une solution technique viable et efficace, qui n’enfreint pas les lois existantes, notamment les lois relatives à la protection des données personnelles. Ce référentiel sera établi en coopération avec la Commission Nationale de l’Informatique et des Libertés (CNIL), dont le laboratoire d’innovation numérique (LINC) avait précédemment préconisé un système de tiers vérificateur. Dans son projet de référentiel, l’ARCOM ne met pas de procédure de vérification particulière en avant.

En tout état de cause, ces mesures se heurtent à la réalité du paysage numérique : il est facile pour tout utilisateur de contourner ces règles par l’utilisation d’un VPN, ce que le législateur a tenté de contrer. En effet, certains députés ont présenté un amendement au projet de loi dans le but de restreindre l'utilisation des VPN en France. Plus précisément, cet amendement (n° 915) visait à restreindre la disponibilité dans les magasins d'applications des applications mobiles VPN fournissant un accès à un "réseau Internet qui n'est pas soumis à la législation et à la réglementation française ou européenne". La proposition d'amendement a finalement été rejetée.

Réguler le cloud

Services numériques et cloud vont de pair. Par application du règlement européen sur les données (Data Act) et pour mettre fin à une ère de dépendance des grands fournisseurs informatiques, le législateur a prévu au sein du projet de loi SREN des mesures visant à réguler plus strictement le secteur du cloud. Parmi les dispositions phares :

• Encadrement des pratiques commerciales déloyales: constitue une pratique commerciale déloyale prohibée le fait de subordonner la vente d’un produit ou d’un service à la conclusion d’un contrat de fourniture de services d’informatique en nuage.
• Credits cloud: le projet de loi SREN prévoit une limitation temporelle quant à la possibilité d’octroyer des avoirs aux clients. Aussi, l’offre d’avoirs ne peut être assortie d’une condition d’exclusivité au bénéfice du fournisseur de l’avoir.
• Encadrement des frais liés aux transferts de données : le projet de loi introduit une interdiction pour tout fournisseur de services d’informatique en nuage de facturer des frais de transfert de données dès lors que son client change de fournisseur, au-delà des coûts déjà supportés par le fournisseur tiers, afin d’éviter un blocage artificiel des clients. Selon le ministère de l’économie, ces frais représentent actuellement 125% du coût d’abonnement annuel.
• Interopérabilité et portabilité : les fournisseurs de services d’informatique en nuage sont tenus de respecter les exigences essentielles suivantes :
  • Interopérabilité avec les services du client ou avec ceux fournis par d’autres fournisseurs pour le même type de service ;
  • Portabilité des actifs numériques et des données vers les services du client ou ceux fournis par d’autres fournisseurs pour le même type de service.
  • Il appartiendra à l’ARCOM de préciser les règles et modalités de mise en œuvre de ces exigences par l’édiction de spécifications. 

Extension du champ d’application de la Loi Informatique et Libertés

A l’origine, la Loi Informatique et Libertés ne s’applique qu’aux responsables de traitements et sous-traitants établis en France ou aux traitements mis en œuvre par un responsable de traitement ou sous-traitant établi hors de l’Union européenne si ces traitements sont liés à l’offre de biens ou services à des personnes situés en France ou au suivi des personnes situées en France.

Le projet de loi SREN étend son application aux traitements de données personnelles de personnes se trouvant sur le territoire français par un responsable de traitement ou sous-traitant qui n’est pas établi dans l’Union européenne dès lors que ces traitements sont liés au suivi du comportement de ces personnes, notamment par la collecte de leurs données personnelles en vue de leur rapprochement avec des données liées à leur activité en ligne. Le croisement des données constituerait donc de facto un suivi des personnes au sens de l’article 3 du RGPD.

Focus sur les JONUM : Faites vos jeux

Récemment, la fièvre des NFT a enflammé le monde, certains d’eux s’échangeant à des montants phénoménaux.

Aujourd’hui, après la retombée de cette fièvre, les NFT ont intégré les musées, les wallets de collectionneurs, les programmes de fidélité des grands magasins mais surtout les jeux en ligne. La France est aux avants poste de cette technologie, et certains jeux, comme celui édité par la société française Sorare centré sur les collectibles de football, sont leaders sur le marché mondial.

Le droit, comme la nature, a horreur du vide et le législateur français s’est très vite penché sur la question de la législation à appliquer à ces nouveaux jeux du Web 3.0.

Ces jeux étant à la croisée des chemins entre les jeux vidéo et les jeux d’argent et de hasard, s’est posée la question de savoir s’ils pouvaient tomber sous le champ de la règlementation applicable à ces derniers dès lors qu’ils en rempliraient les conditions à savoir 1) être offerts au public, 2) être frappés d’un aléa, 3) nécessiter un sacrifice financier et 4) offrir une espérance de gain (article L320-1 Code de la sécurité intérieure).

Mais une analyse plus fine de leur fonctionnement a poussé le législateur français à adopter une réglementation sui generis distincte de celle des jeux d’argent et de hasard.

C’est ainsi que le législateur a prévu un cadre légal propre aux Jeux à Objets Numériques Monétisables (« JONUM ») inscrit aux articles 40 et 41 du projet de loi SREN. Ce projet de loi introduit une approche expérimentale pour la réglementation des JONUM, prévue pour une période d'essai de trois ans avec un examen au bout de 18 mois.

S’il existe bien une différence structurelle entre les jeux de hasard et les JONUM tenant à la nature des gains, celle-ci est ténue. C’est ce qui a poussé le législateur à désigner l’autorité Nationale des Jeux (« ANJ ») comme autorité de régulation des JONUM en lui attribuant des prérogatives similaires à celle dont l’ANJ dispose vis-à-vis des opérateurs de jeux d’argent ou de hasard.

Une définition des JONUM

Les JONUM font désormais l’objet d’une définition. Un JONUM désigne tout jeu en ligne qui permet de gagner des objets numériques échangeables émis par l’opérateur du jeu.

Est un JONUM tout jeu réunissant les critères suivants :

• Un jeu accessible en ligne
• Supposant un sacrifice financier
• Et reposant sur un mécanisme aléatoire
• Avec une espérance de gain, constitué par un objet numérique monétisable – à l’exclusion de tout gain en monnaie. Un objet numérique monétisable est un « élément de jeu qui confère aux seuls joueurs un ou plusieurs droits associés au jeu, et qui sont susceptibles d’être cédés, directement ou indirectement, à titre onéreux à des tiers »

Un régime sui generis mais des obligations proches de celles des jeux d’argent et de hasard

Les entreprises de JONUM seront soumises à des obligations similaires à celles des opérateurs de jeux d’argent et de hasard.

Un établissement en Europe ou dans l’espace économique européen

Afin de pouvoir offrir un JONUM au marché français, il est nécessaire que l’entreprise de JONUM ait son siège social dans un État membre de l’Union européenne, ou dans un autre État partie à l’accord sur l’Espace économique européen ayant conclu avec la France une convention contenant une clause d’assistance administrative en vue de lutter contre la fraude et l’évasion fiscales. Cette condition est la retranscription parfaite de la condition d’établissement des opérateurs de jeux d’argent et de hasard prévue à l’article 21 de la loi du 12 mai 2010 pour l’obtention d’un agrément.

L’entreprise de JONUM doit désigner un ou des responsables qui doivent être domiciliés en France.

La vérification de l’âge des joueurs

Au même titre que les jeux d’argent et de hasard, les JONUM sont interdits aux mineurs et les entreprises de JONUM doivent mettre en place les mesures techniques nécessaires pour faire respecter cette interdiction.

Une telle obligation implique :

• De mettre en place un message sur l’interface du jeu avertissant que ce jeu est interdit aux mineurs ;
• De ne permettre l’accès au jeu qu’à la création d’un compte qui ne peut être ouvert sans la vérification préalable de l’âge du joueur ;
• De n’adresser aucune communication commerciale relative aux JONUM aux mineurs.

Par extension, les communications commerciales effectuées par des « personnes exerçant l'activité d'influence commerciale » (au sens de la loi du 9 juin 2023 visant à encadrer l’influence commerciale) ne sont autorisées sur les plateformes en ligne que s’il existe des possibilités techniques d’exclure du public l’audience mineure.

Cette vérification d’âge doit s’opérer dans le respect du RGPD et de la loi « Informatique et Libertés ». Rappelons ici que le sujet de la vérification d’âge est une priorité de contrôle de la CNIL pour l’année 2024 (v. notre récente Client alert sur le sujet).

Il est prévu que l’ARCOM publie un référentiel déterminant les exigences techniques minimales applicables aux systèmes de vérification de l’âge après avis de la CNIL afin de restreindre l’accès des mineurs aux JONUM. Les entreprises de JONUM devront se fier à ce référentiel afin de s’assurer de la conformité de leur système de vérification d’âge.

Lutte contre le blanchiment et le financement du terrorisme (LCB-FT / KYC)

La législation tant européenne que française relative à la lutte contre le blanchiment de capitaux et le financement du terrorisme est applicable aux JONUM.

Pour rappel, l’arsenal législatif et réglementaire LCB-FT / KYC commande aux entreprises de :

• Mettre en place des dispositifs d’évaluation des risques de blanchiment de capitaux et de financement de terrorisme présentés par leur activité ainsi qu’une politique adaptée à ces risques.
• Vérifier l’identité de leurs clients dans le cadre de certaine transaction.

Ce dispositif ne s’appliquera qu’après 18 mois à compter de la promulgation de la loi. Tout manquement pourra donner lieu à l’imposition de sanctions prévues à l’article L561-40 du Code monétaire et financier.

S’agissant de la vérification de l’identité des joueurs, le projet de loi prévoyait à l’origine que les opérateurs de JONUM soient seulement tenus à une vérification au stade du retrait des gains. Suite à la réécriture du texte par la CMP, cette obligation de vérification d’identité s’applique désormais à compter de l’ouverture d’un compte sur la plateforme de JONUM.

En matière de jeux d’argent et de hasard, l’article 17 de la loi du 12 mai 2010 prévoit que les opérateurs sont tenus à une vérification de l’identité de leur joueur pour validation du compte joueur, les joueurs pouvant tout de même temporairement accéder à l’interface de jeu en l’absence de vérification de l’identité.

Le projet de loi renvoie au pouvoir règlementaire le soin de préciser les modalités d’ouverture et de clôture des comptes. Plus précisément, la vérification d’identité s’opère à l’ouverture du compte, ou dans les 30 jours à compter de la demande d’ouverture du compte (article 5 du décret n° 2020-494 du 28 avril 2020). A défaut, l’absence de vérification d’identité donnera lieu à une désactivation voire une clôture du compte.

Le projet de loi SREN prévoit, comme pour la loi régissant les jeux d’argent et de hasard en ligne, que les modalités d’ouverture, de gestion et de clôture des comptes sont fixées par décret. Reste donc à voir si ce décret prévoira des modalités de vérification similaires aux jeux d’argent et de hasard, notamment un délai de vérification. A défaut, ce projet de qui se voulait à l’origine plus permissif que les règles applicables aux jeux d’argent irait à contre-sens de son objectif initial. Si cette obligation devrait permettre d’empêcher la création de comptes multiples sur une même plateforme, tel que prohibé par le projet de loi, la vérification d’identité à l’entrée est particulièrement dissuasive – au-delà d’imposer une formalité stricte aux entreprises de JONUM qui n’existerait pas même pour les opérateurs de jeux d’argent et de hasard.

Transparence – Devoir d’information sur les risques liés au jeu excessif

Le législateur considère que, comme pour les jeux d’argent et de hasard, les JONUM peuvent entraîner des comportements à risque de la part des utilisateurs. Les opérateurs de JONUM sont donc tenus d’informer leurs joueurs des risques liés au jeu excessif.

Le message de mise en garde à diffuser par les entreprises de JONUM sera défini par arrêté du ministre chargé de la santé et les modalités de diffusion seront déterminées par l’ANJ.

Par ailleurs, les opérateurs de JONUM sont tenus d’un devoir plus général de transparence. À ce titre, ils devront prévenir les comportements de jeu excessif ou pathologique par des mécanismes internes au jeu (auto-exclusion, autolimitation des dépenses) et la mise à disposition d’une synthèse de données relative à l’activité de jeu pour chaque utilisateur.

Déclaration préalable

L’offre de JONUM est conditionnée à une déclaration auprès de l’ANJ. Il s’agit donc d’un régime plus favorable que celui prévu pour les jeux d’argent et de hasard, dont la commercialisation est soumise à agrément de l’ANJ. Les opérateurs de JONUM pourront eux offrir leurs services sans autorisation préalable.

Coopération avec l’ANJ

Enfin, de façon similaire aux opérateurs de jeux d’argent et de hasard, les entreprises de JONUM communiqueront à l’ANJ les données relatives à leurs utilisateurs et aux événements de jeux.

Un régime sui generismaisdont les contours restent encore à définir

Si le dialogue entre le législateur français et la commission européenne est louable, il a entraîné un retard dans d’adoption du projet de loi qui porte préjudice au principe de sécurité juridique. C’est pourtant ce principe qui a poussé le législateur à édicter rapidement un cadre légal adapté pour permettre aux opérateurs de JONUM français de développer rapidement des projets ambitieux.

Par ailleurs, un grand nombre de dispositions applicables aux JONUM sont renvoyées au pouvoir réglementaire après la promulgation de la loi. Sont ainsi renvoyées à des décrets :

• La détermination des caractéristiques des récompenses accessoires et les critères de plafonnement de ces récompenses. En tout état de cause, la proportion maximale de récompenses autres que des actifs numériques monétisables attribuée à l'ensemble des joueurs au cours d'une année civile ne peut excéder 25 % du chiffre d'affaires généré par l'activité JONUM pour ce jeu au cours de la même année civile. En pratique, nous nous interrogeons quant à la mise en œuvre d’une telle condition, étant donné que le chiffre d'affaires annuel ne peut être connu à l'avance. L'octroi de récompenses accessoires par joueur devra également être limité à un plafond annuel fixé par joueur, les critères de plafonnement étant susceptibles d'être déterminés au sein du même décret. En l'état, les conditions d'offre de récompenses accessoires restent très incertaines.
• La détermination des modalités d’ouverture, de contrôle, de gestion et de clôture des comptes joueur,
• La liste des catégories des jeux autorisées,
• La liste des informations que l’entreprise doit fournir à l’ANJ lors de sa déclaration,
• Les modalités d’ouverture, de gestion et de clôture des comptes des joueurs par l’entreprise de jeu,
• Les informations à fournir à l’ANJ au cours de l’exploitation du jeu,
• Les conditions dans lesquelles seront menés les contrôles de l’ANJ

Les dispositions législatives contenues dans le texte qui renvoient à décret d’application ne s’appliqueront toutefois pas tant que le décret d'application n'a pas été adopté (article 1^erdu Code civil).

Pourtant, le marché du Web 3.0 a besoin d’un cadre juridique clair et pérenne pour garantir la sécurité et la confiance des joueurs et permettre aux entreprises de JONUM françaises de se développer.

 

Grâce à son expérience dans le milieu du numérique et l’accompagnement d’opérateurs de paris sportifs, de jeux en ligne et de sociétés de JONUM, le bureau parisien de BCLP Paris peut vous accompagner pour votre mise en conformité avec la future loi SREN, et notamment dans la construction de votre offre de jeu.