COMPTES RENDUS DE LA CE TIKTOK

- Présidence de M. Mickaël Vallet, président -

La réunion est ouverte à 14 h 30.

Audition de M. Louis Dutheillet de Lamothe, secrétaire général de la Commission nationale de l'informatique et des libertés (CNIL), de Mme Karin Kiefer, directrice de la protection des droits et des sanctions, et de M. Bertrand Pailhès, directeur des technologies et de l'innovation

M. Mickaël Vallet, président. - Nous débutons notre après-midi avec l'audition de M. Louis Dutheillet de Lamothe, secrétaire général de la Commission nationale de l'informatique et des libertés (Cnil), de Mme Karin Kiefer, directrice de la protection des droits et des sanctions, et de M. Bertrand Pailhès, directeur des technologies et de l'innovation.

La Cnil est le régulateur des données personnelles et, du fait de cette compétence, votre regard intéresse nos travaux. Vous avez été, semble-t-il, le premier régulateur français à sanctionner TikTok en décembre dernier, mais la décision n'a concerné que le fonctionnement de son site web et non son application. Peut-être pourrez-vous nous en expliquer les raisons et nous dire où en est cette procédure ? Votre réponse nous intéresse, sachant qu'il semble que c'est plutôt l'application TikTok, dès lors qu'elle est installée sur le téléphone, qui pose beaucoup de questions.

À l'occasion d'une rencontre organisée par le directeur du pôle d'expertise de la régulation numérique (PEReN), nous sommes nombreux à avoir été frappés par l'ampleur des données collectées sur nos téléphones par ce type d'application. Ces données, dont certaines semblent triviales, peuvent, par recoupement, parfaitement identifier l'utilisateur, et même, s'agissant de TikTok, dresser un « profil psychologique » de celui-ci, selon les termes employés par le chercheur Marc Faddoul. Nous aimerions comprendre comment la Cnil s'organise pour contrôler ces applications. Le contrôle de TikTok est-il différent de celui des autres plateformes ? Par ailleurs, pouvez-vous nous préciser votre rôle à l'égard de ce groupe aux ramifications internationales et comment il se coordonne avec celui des autres autorités de contrôle européennes - je pense à la Data Protection Commission (DPC) irlandaise ?

Je vous indique que cette audition est captée et retransmise en direct sur le site du Sénat.

Avant de vous laisser la parole pour un exposé liminaire d'une quinzaine de minutes, je vais procéder aux formalités d'usage pour les commissions d'enquête. Je vous rappelle qu'un faux témoignage devant notre commission d'enquête est passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal. Je vous invite à prêter serment de dire toute la vérité, rien que la vérité, en levant la main droite et en disant : « Je le jure. »

Conformément à la procédure applicable aux commissions d'enquête, M. Louis Dutheillet de Lamothe, Mme Karin Kiefer et M. Bertrand Pailhès prêtent serment.

M. Louis Dutheillet de Lamothe, secrétaire général de la Commission nationale de l'informatique et des libertés. - Je représente la présidente de la Cnil, qui ne peut être présente aujourd'hui et se tient à votre disposition par le biais d'un questionnaire écrit ou oralement si nécessaire. L'audition étant publique, il est possible que, pour un certain nombre de réponses, nous vous opposions le caractère confidentiel de l'instruction, notamment si nous devions évoquer les dossiers gérés en coopération avec la DPC. Nous donnerons des éléments plus précis dans le questionnaire et, si vous le souhaitez, l'échange pourra se prolonger dans le cadre d'une audition à huis clos.

M. Mickaël Vallet, président. - Si la réponse est confidentielle, dites-le d'emblée, nous n'insisterons pas.

M. Louis Dutheillet de Lamothe. - Dans mon propos liminaire, je souhaite évoquer brièvement quatre points : les compétences de la Cnil par rapport à TikTok ; les éventuelles spécificités de TikTok concernant le traitement des données personnelles d'utilisateurs sur un réseau social ; les transferts de données personnelles en dehors de l'Union européenne (UE) ; et enfin, la question de la cybersécurité des administrations avec le téléchargement de TikTok.

La Cnil est compétente en la matière au travers de deux textes réglementaires : le règlement général sur la protection des données (RGPD), avec de très nombreuses règles sur les données personnelles et leur traitement ; et la directive ePrivacy, un texte beaucoup plus spécifique qui concerne la règle de protection des terminaux, c'est-à-dire le fait que l'on ne puisse lire ou écrire dans votre terminal avec l'application TikTok qu'avec votre consentement, sauf si cela est nécessaire au fonctionnement du service demandé.

La Cnil n'est pas compétente pour un certain nombre de législations plus spécifiques, notamment sur le caractère approprié ou non des contenus et des informations. Même si cela est toujours en lien avec la licéité du traitement en général, la Cnil ne peut être compétente pour tout et notre contrôle s'arrête au traitement de la donnée.

Des contrôles ont été lancés, début 2020, à la fois sur l'application TikTok et le site, par voie écrite. Le RGPD prévoit un système de « guichet unique » ; cela implique que des entreprises ayant une activité à l'échelle de l'UE n'en réfèrent qu'à une seule autorité de protection des données, en général là où se trouve leur siège ; le règlement parle d'« établissement principal ». En juillet 2020, TikTok a créé un établissement principal en Irlande, en réorganisant la manière dont sont régis ses traitements - Mme Kiefer complétera ce point après mon propos liminaire.

Désormais, TikTok Irlande et TikTok UK sont coresponsables d'un grand nombre de traitements, et c'est l'autorité irlandaise qui est compétente sur le sujet. Dès le moment où nous a été opposée cette structuration, nous sommes devenus incompétents sur les procédures que nous avions lancées, à l'exception de celles qui concernaient la directive ePrivacy, car en cette matière spécifique, chaque pays demeure compétent pour les utilisateurs et les terminaux sur son territoire.

Nous avons donc transféré les plaintes, les contrôles, les constats, les investigations et les interrogations à la DPC. Depuis lors, nous nous inscrivons dans un mécanisme de coopération avec l'autorité irlandaise. À la demande de la présidente de la Cnil, nous avons maintenu des contacts réguliers avec nos homologues irlandais afin qu'ils nous tiennent au courant de l'avancée des procédures ; nous ne sommes pas les seuls à avoir procédé de la sorte en Europe.

L'autorité irlandaise a deux instructions en cours concernant TikTok ; l'une d'elles a donné lieu à un projet de décision, envoyé au Comité européen de la protection des données (CEPD), qui concerne la question du traitement des données des mineurs. Le contenu du projet n'a pas été rendu public ; en revanche, il doit être étudié dans le cadre du mécanisme de coopération prévu par le RGPD et l'on peut espérer une décision à la mi-2023.

Une autre procédure est également en cours ; aucun projet de décision n'a été envoyé. Ce projet devrait - je dis bien : devrait - inclure la question des transferts des données sur laquelle nous avions demandé à l'autorité irlandaise d'être particulièrement vigilante. D'après les derniers contacts avec nos homologues irlandais, nous espérons qu'un projet puisse être envoyé au CEPD vers la mi-2023, déclenchant ensuite le mécanisme de coopération.

Concernant la directive ePrivacy, comme vous l'avez indiqué, la Cnil a sanctionné TikTok à hauteur de 5 millions d'euros. Cette sanction portait sur des questions tout à fait classiques, non spécifiques à TikTok, liées aux interfaces de demande de consentement de cookies, et uniquement sur le site web qui, comme vous l'avez également rappelé, n'est pas le principal vecteur du service. Cette procédure s'est inscrite dans le cadre d'un plan beaucoup plus général, mené depuis 2020 par la Cnil, sur l'ensemble des sites Internet et le recueil des cookies. TikTok n'était que l'un des acteurs visés par ces procédures.

Dans un second temps, la Cnil avait annoncé des contrôles similaires sur les applications de téléphone. L'exercice sur les sites Internet s'est achevé au début de l'année 2023, et de nombreuses procédures sont actuellement en cours concernant les applications. Le contrôle et le fonctionnement d'une application sont techniquement très différents des sites web, ce qui explique le choix de procéder en deux temps.

Sur le sujet du traitement des données, TikTok présente des problématiques largement classiques et communes à beaucoup de réseaux sociaux, même si, par certains aspects, celles-ci sont amplifiées. Comme les autres réseaux sociaux, ce type d'outil collecte un nombre impressionnant de données personnelles sur ses utilisateurs. Ce qu'il est possible de savoir sur l'utilisateur au travers de ce qu'il dit, partage ou regarde sur des applications telles que Facebook, Snapchat, Instagram et TikTok, est absolument impressionnant ; c'est d'ailleurs pour cela que ces données intéressent autant les publicitaires, les scientifiques et d'autres encore.

TikTok est capable, pour certains types de données, de pousser à un degré de finesse peut-être encore plus important ; je pense au temps de visionnage qui, comme vous le savez, est extrêmement rapide, ainsi qu'à l'appréhension du comportement de l'utilisateur et de son interaction avec le réseau social. Cela est en lien avec ce fameux algorithme de recommandation de vidéos.

Autres points spécifiques à TikTok : la rapidité et la jeunesse. La rapidité du visionnage inclut une rapidité de l'enrichissement du profilage des données. Cela se combine à la forte adhésion d'un public très jeune, qui présente des vulnérabilités particulières ; en étant, par exemple, moins prudent dans l'usage des données personnelles, ou moins agile pour effacer des données ou pour porter plainte à la Cnil.

Les risques liés à ce traitement de données à caractère personnel sont classiques et bien connus de la littérature sur ce type de sujet. Ils sont peut-être, pour certains, amplifiés du fait du fonctionnement particulier de TikTok ; ce sont des risques liés à la vie privée, à la visibilité de ce que l'on partage sur le réseau social - nos opinions politiques, religieuses, etc. Les plus jeunes n'ont pas toujours conscience que cela laisse des traces.

Le ciblage des publicités repose sur le consentement dans le paramétrage de l'application, mais il s'avère consubstantiel à l'application. Cela dépasse parfois ce que l'on a anticipé comme capacité de profilage.

On observe également des risques sur l'utilisation des données sensibles, dont l'utilisateur n'a pas forcément conscience qu'il les révèle par le biais de son comportement, à l'occasion, par exemple, d'une fête religieuse ou d'une manifestation politique. Il y a également ce que l'on appelle la « bulle de filtrage », lorsque l'algorithme vous propose des choses correspondant à ce qui est censé le plus vous intéresser par rapport à ce que vous avez déjà vu ; évidemment, cela ne facilite pas l'ouverture.

Sur la question des transferts de données à caractère personnel, une spécificité de TikTok est ses liens avec la Chine. Depuis l'arrêt Schrems II de la Cour de justice de l'union européenne (CJUE) du 16 juillet 2020, l'UE a pris un parti très strict sur l'application de lois étrangères permettant à des autorités publiques de demander à des opérateurs de leur communiquer tel ou tel type de données personnelles. Pour celles qui concernent des Européens, la CJUE a demandé que les pays déclarés « adéquats » par l'UE ne se réfèrent pas à ce type de loi - ou, plus exactement, qu'ils s'y réfèrent en répondant aux standards de protection de garantie exigés pour l'UE.

De ce point de vue, la loi américaine a été déclarée comme « ne répondant pas aux standards de protection demandés par la CJUE ». Dans les dossiers concernant cette question, nous avons estimé qu'un constat identique pouvait s'établir avec les lois chinoises. Cela signifie qu'une vigilance particulière est requise lorsque des données à caractère personnel d'Européens sont transférées sur le territoire chinois. Comme l'a indiqué la Cnil peu après l'arrêt Schrems II, il s'agit également de faire attention à des données entre les mains d'opérateurs soumis à la législation chinoise, même si celles-ci sont hébergées et traitées sur le sol européen. Tout cela est à regarder au cas par cas, en fonction des situations, mais le risque est bien réel.

Sur cette question, nous avons alerté l'autorité irlandaise ; c'est à elle de prendre position, et celle-ci n'est pas facile à prendre. Il s'agit de déterminer dans quelle mesure la loi chinoise s'applique à tel ou tel type d'entités du groupe ByteDance ; sur ce point, TikTok a avancé des arguments. Il s'agit de préciser où sont les données, et de savoir également si des mesures supplémentaires mises en place par TikTok peuvent protéger de ce type de risque. Si jamais une difficulté apparaît, la Cnil dispose d'un corpus doctrinal suffisamment étoffé ; elle peut dire qu'il ne suffit pas d'héberger les données en Europe pour se protéger de ce risque : des mesures de sécurité beaucoup plus radicales sont nécessaires.

Un certain nombre d'administrations, notamment en France depuis une circulaire récente, ont décidé de demander à leurs fonctionnaires de ne plus utiliser TikTok ou, plus généralement, des applications récréatives sur leur téléphone professionnel. Le problème me semble dépasser le cas de TikTok. Ces applications accèdent à un certain nombre de données sur le téléphone, ne sont pas conçues dans un cadre professionnel, avec un même niveau de sécurité. À la Cnil, nous n'avons pas pris, pour l'instant, de décision similaire, mais un groupe de travail a été mis en place pour renforcer la sécurité sur nos terminaux. Nous ne pouvons que soutenir toutes les mesures visant à garantir la confidentialité des données échangées dans un cadre professionnel ; ces mesures doivent naturellement être adaptées au contexte de chaque organisation.

M. Claude Malhuret, rapporteur. - Dans la mesure où une partie des compétences de la Cnil a été transférée à l'autorité irlandaise, comment se passent les choses entre vous et les autres organismes avec lesquels vous avez l'habitude de vous coordonner, comme l'Autorité de régulation de la communication audiovisuelle et numérique (Arcom) ? Continuez-vous à échanger au sujet de la directive ePrivacy ? Cela pose-t-il des problèmes de coordination avec l'Irlande ?

Vous avez indiqué que l'application était particulièrement intrusive en matière de données eu égard à d'autres réseaux sociaux. La collection de données se poursuit-elle lorsque l'on désactive l'application ?

Vous avez évoqué la nécessité de porter une vigilance particulière lorsque les données sont transférées sur le territoire chinois, ce qui semble être le cas. Des mesures de sécurité plus importantes sont donc nécessaires. Confirmez-vous que la protection des données n'est pas assurée aujourd'hui ?

Selon la NÚKIB, l'office tchèque de la cybersécurité et de la sécurité de l'information - l'équivalent de l'Agence nationale de la sécurité des systèmes d'information (Anssi) - TikTok collecte un nombre « excessif » de données ; sans les citer toutes, je pense au contenu des communications privées stockées sur les serveurs de ByteDance, à la vérification périodique de l'emplacement des appareils, à l'accès aux contacts et aux informations sur l'appareil, au numéro de série, au numéro de téléphone, au numéro de la carte SIM, à l'accès permanent au calendrier, au navigateur natif qui, d'après la NÚKIB, permet de surveiller la quasi-totalité de l'activité de l'utilisateur. J'ai l'impression que vous partagez ce constat de la NÚKIB. Pouvez-vous me le confirmer ? Par ailleurs, cette collecte est-elle légale ? Ou bien, quelle partie est-elle illégale, et que peut-on y faire ?

L'algorithme de Twitter a été publié par Elon Musk il y a quelques jours. Peut-on encore accepter les arguments des autres réseaux sociaux pour refuser, au nom des secrets de fabrication, de communiquer les algorithmes qui s'avèrent être le noeud du problème ? Quelle est votre position sur le sujet ?

M. Louis Dutheillet de Lamothe. - S'agissant de la coordination entre autorités publiques depuis le transfert de compétences, nous collaborons parfaitement, presque quotidiennement, avec l'Arcom. Les sujets qui nous occupent vont continuer, avec le paquet numérique européen, d'être de plus en plus liés. Dès que l'Arcom doit appliquer des législations à des contenus se posent des questions de traitement de données à caractère personnel. Nous entretenons un dialogue continu, de manière que tout se déroule de manière fluide. Concernant l'Irlande, je laisse la parole à Karin Kiefer.

Mme Karin Kiefer, directrice de la protection des droits et des sanctions de la Commission nationale de l'informatique et des libertés. - À partir du moment où l'autorité irlandaise est devenue compétente, nous avons lui transmis les éléments issus de nos contrôles. Depuis lors, nous avons eu au moins cinq ou six échanges formels dans le cadre de la coopération. L'article 61 du RGPD prévoit que l'on puisse faire des demandes et obtenir toutes informations utiles sur les dossiers. Nous effectuons également des points téléphoniques pour connaître l'avancée des procédures. Enfin, nous demandons de la documentation sur ce que la DPC a réussi à obtenir de la part de TikTok lors de ses enquêtes, notamment sur le sujet des transferts.

M. Louis Dutheillet de Lamothe. - Concernant la désactivation de la collecte après la désinstallation de l'application, je ne crois pas que nous ayons établi de constat sur le sujet lorsque nous avons effectué nos contrôles au début de l'année 2020. Mais Bertrand Pailhès peut peut-être nous éclairer...

M. Bertrand Pailhès, directeur des technologies et de l'innovation de la Commission nationale de l'informatique et des libertés. - Vous parlez de la désactivation ou de la désinstallation ?

M. Claude Malhuret, rapporteur. - La désinstallation entraîne-t-elle la désactivation de toutes les possibilités de recueil des données ?

M. Bertrand Pailhès. - Nous n'avons pas encore conduit ce type de constat. On peut constater ce que fait une application quand elle est activée ; quels sont ses flux réseau, ses éventuelles requêtes sur le terminal pour accéder à la géolocalisation, aux documents, au calendrier...

Par ailleurs, on peut constater les permissions que l'application demande ; cela ne veut pas dire qu'elle active nécessairement l'ensemble de ces permissions. Un site comme Exodus Privacy publie l'ensemble des permissions d'une application ; par exemple, une permission de relance automatique au redémarrage du téléphone montre que l'application essaie de rester en partie active quand elle est installée.

Quand l'application est désinstallée, nous n'avons pas, à ce stade, observé de bouts de logiciel qui persisteraient sur le système. Tous ces systèmes d'exploitation fonctionnent en bac à sable. Chaque application cherche à s'isoler des autres applications et du système, et n'accède à des informations sur le terminal que par ce système de permissions ; dans le cas de TikTok, celui-ci est assez large, mais reste sous contrôle du système. Il n'est pas évident en tout cas, pour un développeur normal, de maintenir un accès alors que l'application a été désinstallée.

M. Claude Malhuret, rapporteur. - Les demandes de permission de TikTok à l'utilisateur sont-elles aujourd'hui présentées de façon claire et compréhensible ? Ou ne le sont-elles pas assez ? Ou bien, s'agissant de certaines, ne le sont-elles pas du tout et se font-elles à l'insu de l'utilisateur ?

M. Louis Dutheillet de Lamothe. - N'étant pas compétents sur le sujet, nous ne pouvons pas nous prononcer sur l'excessivité des permissions, de même que sur celle de la collecte des données, comme le fait l'Anssi tchèque. Nous pouvons dire que l'information fait partie des éléments sur lesquels nous avions spécifiquement demandé à l'autorité irlandaise d'enquêter. Nous n'avions pas qualifié un manquement, mais nous avions un doute qu'il s'agissait de lever.

Nous avons été interrompus au bout de quelques mois d'enquête par la création d'un établissement principal. Nous avons arrêté d'investiguer. Chaque année, nous recevons 14 000 plaintes et nous n'établissons pas beaucoup de constats sur des opérateurs pour lesquels nous ne sommes pas compétents. Comme l'a rappelé Karin Kiefer, nous avons des contacts informels réguliers avec la DPC et nous actionnons les mécanismes du RGPD pour le suivi des procédures.

M. Claude Malhuret, rapporteur. - Un autre organisme est-il susceptible de travailler sur ce sujet précis ? Ou tout est-il transféré en Irlande ?

M. Louis Dutheillet de Lamothe. - Au regard du RGPD, aucune autre institution en France n'a la possibilité de qualifier le manquement de TikTok. Les personnes nous adressent des plaintes ; nous déclenchons des demandes de notre propre initiative et nous les transmettons à l'autorité irlandaise.

En revanche, la littérature s'intéresse à cela. Ce que vous dites de l'Anssi tchèque, une partie de la littérature spécialisée le dit aussi. Par ailleurs, nous avons lancé un plan général - non spécifique à TikTok - pour nous occuper des applications mobiles. L'aspect cookies et la directive ePrivacy peuvent être des portes d'entrée, car la Cnil est compétente sur tous les acteurs pour les utilisateurs français. Nous comptons bien, dans cet exercice doctrinal, préciser la position de la Cnil, notamment sur les autorisations - accès à la géolocalisation, accès aux contacts, etc. - et sur l'information à donner à ce moment-là. Cela permettra également de qualifier un éventuel décalage avec ces prescriptions pour les opérateurs et les réseaux sociaux, dont TikTok. Les travaux sont en cours.

Concernant la question chinoise, je ne peux pas vous dire que la protection des données n'est pas assurée. Par contre, la Cnil ne considère pas la loi chinoise conforme aux standards de la CJUE dans l'arrêt Schrems II. Ce que la CJUE a indiqué pour la loi américaine, nous estimons que les autorités de protection doivent le dire également pour la loi chinoise. Nous nous appuyons sur une étude demandée par le CEPD ; il ne s'agit pas des conclusions du CEPD, mais d'un document qu'il a mis à disposition. Nous nous appuyons également sur ce que nous avons pu constater nous-mêmes.

Il s'agit également de voir si les protections sont jugées suffisantes ou non ; je pense aux mesures techniques et juridiques mises en place pour essayer d'« anonymiser » les données, pour prévoir des bastions de sécurité ou encore pour avoir tel ou tel type de protection contractuelle. C'est à la DPC qu'il appartient de trancher, et c'est une des procédures sur lesquelles nous l'avons régulièrement relancée ; nous espérons un projet de décision d'ici à l'été.

M. Bertrand Pailhès. - Nous n'avons pas de position sur la publication des algorithmes. Sans être un spécialiste du droit de la propriété intellectuelle, on peut considérer que cela relève du secret industriel. Dans le cas du secteur public, il y a des obligations de publication qui font partie des mesures pour garantir la transparence de certaines décisions. Dans le secteur privé, à ma connaissance, cela n'est pas exigé. Il faut avoir en tête que la publication d'un algorithme peut révéler des problèmes de sécurité ; cette opération demande des précautions.

M. Mickaël Vallet, président. - Les données collectées par TikTok parviennent encore à vous impressionner. Vous avez estimé que pouvoir s'assurer de l'emplacement des données ne suffisait pas et qu'il faudrait des mesures plus radicales. Auxquelles pensez-vous ?

Avez-vous été interrogés par le Gouvernement pour savoir s'il était opportun de prohiber l'installation TikTok et les installations récréatives sur les téléphones professionnels des fonctionnaires ? Avez-vous une explication sur la concomitance des interdictions de TikTok un peu partout ?

Nous conseilleriez-vous d'auditionner l'autorité irlandaise ? Puisque vous déclarez que vous êtes dessaisis de certains éléments, obtiendrions-nous plus d'informations en l'entendant ?

Dans quelle langue travaillez-vous avec l'autorité irlandaise ? Leur imposez-vous de travailler en français ?

Êtes-vous capable de répondre à la question de la suppression pour d'autres applications ? N'avez-vous jamais pris la main dans le sac une application pour laquelle le système en bac à sable n'a pas complètement fonctionné après la suppression ?

M. Louis Dutheillet de Lamothe. - Je maintiens que les données collectées par TikTok sont impressionnantes de finesse, de rapidité, de fréquence. J'ajoute qu'il n'y va pas que de TikTok : chaque fois que nous regardons un réseau social dans le détail, nous sommes impressionnés par le type de données qui sont recueillies et par ce que l'on donne aux applications sans s'en préoccuper.

La Cnil a effectivement défini rapidement sa position sur l'emplacement, l'hébergement des données, notamment autour des débats sur le Health Data Hub, la création d'un entrepôt des données de santé, comprenant celles du système national des données de santé, pour pouvoir améliorer notamment la recherche. Si son objectif est pleinement partagé par la Cnil, celle-ci a demandé un hébergement « souverain » ou de confiance qui soit immunisé au regard de l'application de lois extraterritoriales. De ce point de vue, elle a considéré que, alors même que les garanties contractuelles obtenues par le Health Data Hub sont assez remarquables, avec un hébergement uniquement en Europe - même l'administration et la mise à jour du système ne sont opérées qu'en Europe -, le seul fait que le serveur soit entre les mains d'un opérateur qui est également soumis à la loi américaine le place dans une situation de conflit de législation. Il est soumis au RGPD et aux lois européennes puisque le serveur est en Europe - le RGPD lui interdit de communiquer les données, mais il est aussi soumis à la loi de son siège, la loi américaine, qui, elle, prévoit des possibilités de communication de données, comme cela existe dans tous les pays du monde. Cependant, la loi américaine, dans l'arrêt Schrems II, a été jugée non conforme aux standards européens- un décret ou Executive Order signé par le président américain Joe Biden, sur lequel la commission est en train de se pencher, a changé la situation depuis quelques mois.

Il faut apprécier de façon réaliste l'application de la loi extraterritoriale à laquelle est par ailleurs soumise l'entreprise qui opère en Europe. Les protections à obtenir sont alors assez radicales : soit les données sont entièrement chiffrées et manipulées uniquement en étant chiffrées, ce qui devient très difficile, voire impossible, dès que l'on fait des choses un peu délicates ; soit il faut avoir un opérateur qui est immunisé, qui n'est pas soumis à ce type de loi - soit parce qu'il est entièrement européen, soit parce que des partenariats, notamment avec de grandes sociétés américaines, se sont montés pour que s'ajoute, à l'opérateur européen qui manipule les données, une couche logicielle qui appartient à un opérateur extra-européen. C'est ce type de protection que nous avons eu à rencontrer ou à envisager jusqu'ici.

Le Gouvernement n'a pas saisi officiellement la Cnil avant de prendre la circulaire interdisant l'utilisation de certaines applications récréatives sur les téléphones professionnels. En revanche, j'ai reçu un appel informel de quelqu'un pour savoir s'il y avait une objection particulière du côté de la Cnil ou un besoin particulier de la saisir. Nous considérons que cette décision doit véritablement être prise par chaque gouvernement - ou entreprise -, en fonction de la sécurité de ses matériels. La Cnil n'avait pas à prendre position. D'ailleurs, les choses se sont passées de la même manière dans les autres pays ou au niveau de la Commission européenne.

Je n'ai pas d'explication sur la concomitance des interdictions de par le monde. Si je la comprends bien, l'approche du gouvernement français est centrée non pas seulement sur TikTok, mais sur des classes d'applications qui présentent plusieurs particularités : être récréatives - et non professionnelles - : avoir besoin de consommer beaucoup de données, ce qui expose à plus de risques ; être conçues avec des niveaux de sécurité qui sont ceux d'applications récréatives, et pas forcément de matériels professionnels. Je pense c'est une bonne chose que de ne pas s'être focalisé sur TikTok, mais je constate, effectivement, qu'un mouvement spécifique autour de cette application a eu lieu dans le monde.

Je pense qu'il serait logique que vous auditionniez l'autorité irlandaise - j'ignore ce que ses représentants estimeraient être en droit de vous dire -, dans la mesure où nous ne sommes plus compétents sur un certain nombre de sujets depuis mi-2020.

Oui, nous travaillons en anglais avec la DPC et au CEPD.

Mme Karin Kiefer. - Effectivement, nous travaillons en anglais avec l'autorité irlandaise ainsi que dans les groupes de travail du CEPD. Quand on reçoit des plaintes en français, on les fait traduire en anglais pour les envoyer à notre homologue.

M. Louis Dutheillet de Lamothe. - Je crois que toutes les grandes applications - Facebook, Twitter, etc. - ont également leur établissement principal en Irlande. Cela ne veut pas dire qu'on ne peut pas intervenir pour d'autres applications, mais cela donne la mesure du fait que, pour ces grandes applications, la compétence est vraiment concentrée en Irlande, par l'application du RGPD.

M. Bertrand Pailhès. - Sur ce qui reste de l'application une fois qu'elle a été désinstallée, je vous ferai la même réponse que pour les autres applications. À ce stade, je ne peux pas vous dire que l'on a tout vérifié pour Facebook. Comme l'a dit le secrétaire général, nous sommes en train de préparer une recommandation qui précisera ce que l'on attend des applications mobiles, notamment des briques logiciels qui s'appellent les « SDK ». Nous pourrons ensuite conduire des investigations qui permettront de voir des choses, mais pas forcément tout. La situation de TikTok n'est donc pas spécifique, au regard de ce qui relève de ma direction.

Par ailleurs, je veux rappeler que la suppression de l'application ne supprime évidemment pas ce qui est associé à votre compte sur les serveurs de TikTok, ce qui est une manière pour l'éditeur du logiciel de conserver des informations que vous aviez pu lui transmettre quand l'application était active.

M. Claude Malhuret, rapporteur. - TikTok est une société par actions simplifiée (SAS) enregistrée en France, mais c'est une filiale de ByteDance, qui est enregistrée aux îles Caïmans. Considérez-vous que TikTok est soumise à cette double législation, ou que TikTok est en France, un point c'est tout, et qu'elle ne peut donc exciper de la législation des îles Caïmans, qui, sur ce plan, doit être assez particulière ?

M. Louis Dutheillet de Lamothe. - Je dirais : les deux à la fois. Si la partie de TikTok qui est en France ne s'occupe que de la commercialisation, et a donc une activité très périphérique par rapport à ce qui nous occupe aujourd'hui, nous considérons que cette société est en France et qu'elle est soumise à la législation française, un point c'est tout.

En revanche, sur la question de la protection des données et de la possibilité pour des entités, quelque part ailleurs sur la planète, de se les faire communiquer, ce qui n'est pas forcément interdit, mais doit être proportionné et fait sous le contrôle d'un juge, la Cnil a une approche réaliste. La création d'une filiale au sein de l'Union européenne ne suffit pas à dire qu'il n'y a plus de problème : si la filiale est entièrement contrôlée par une maison-mère qui est aux îles Caïmans, aux États-Unis ou encore en Chine, on regarde si les législations de ces pays peuvent obliger cette maison-mère à répondre à une demande de communication ou à une autre forme d'injonction qu'elle serait obligée de répercuter à la filiale qu'elle contrôle, avec, généralement, d'ailleurs, une obligation de confidentialité. Dans ces cas, oui, nous tenons compte de la possibilité d'une soumission indirecte, via la maison-mère, à une législation extra- européenne.

M. André Gattolin. - Certes, la Cnil est destinataire de plaintes, mais ce n'est pas non plus la plateforme Pharos. Vous recueillez la crème de la crème des plaintes. Quel est le volume des plaintes ? Quelle en est la nature ? On a bien compris qu'elles ne portaient pas sur les contenus. Quel volume des plaintes relatives aux réseaux concerne TikTok ?

Vous avez évoqué la règle de durée de stockage des données. Où en sommes-nous ? TikTok est un réseau social qui vise des publics jeunes, amenés à grandir, à être peut-être un peu moins transgressifs, à avoir, un jour, une position sociale, susceptible de les rendre victimes de pressions... Il y a un risque réputationnel si l'on stocke des données au-delà de cinq ou dix ans. Qu'est-ce qui régit la durée de conservation des données ?

Il est heureux que la Cnil n'ait pas été formellement consultée sur les décisions prises par le Gouvernement ! Je ne comprends pas le choix qui a été fait. Quand on va au PEReN, on nous explique que Netflix n'est pas un réseau social, mais qu'Amazon, qui réalise du traitement, l'est. La mesure est le bosquet qui essaie de cacher le séquoia : on vise TikTok sans oser le dire aux autorités chinoises. J'exprime là un point de vue personnel.

J'ai été corapporteur du Sénat sur le projet de règlement européen sur l'intelligence artificielle (IA). Nous ne sommes pas certains que la législation telle qu'elle est écrite préserve les règles du RGPD. Alors que TikTok devient le champion de l'utilisation de l'intelligence artificielle dans les réseaux sociaux, ne faudrait-il pas penser, avant même que l'on édicte définitivement ce règlement, à renforcer sa soumission directe au RGPD ?

TikTok développe beaucoup de nouvelles applications dérivées. S'agit-il de créations ex nihilo ou y a-t-il potentiellement utilisation de données recueillies via le navire amiral qu'est TikTok ? Aujourd'hui, cinq ou six applications dérivées sont lancées tous azimuts, notamment sur le marché américain. Elles devraient débarquer très bientôt dans l'Union européenne. Avez-vous des informations à ce sujet ?

Mme Annick Billon. - En matière de conflit de législation, pourriez-vous nous donner des pistes d'évolution de la législation actuelle qui permettraient de s'adapter au changement permanent des nouvelles applications ? Est-on suffisamment paré ?

Estimez-vous que la Cnil dispose de suffisamment de moyens d'investigation, de moyens humains et de prérogatives pour pouvoir répondre à tous les enjeux de sécurité et de protection de données qui sont au coeur de nos préoccupations ? Est-il question d'assermenter plus de personnel ? Quels outils juridiques pourriez-vous imaginer pour s'adapter à cet écosystème en mouvement permanent ?

Mme Toine Bourrat. - Nous sommes tous d'accord pour dire que les données collectées sont impressionnantes. Cette collecte s'opère avec l'accord des utilisateurs.

L'application TikTok cible un public jeune, voire très jeune, donc vulnérable, et est addictive. La Cnil considère-t-elle que la collecte des données des mineurs, appelés à valider les nouvelles conditions d'utilisation consécutives aux mises à jour régulières, est légale ?

M. Louis Dutheillet de Lamothe. - Le RGPD est passé d'un système ex ante, qui représentait 100 000 déclarations ou autorisations à instruire par la Cnil, à un système de plaintes ex post. On en enregistre entre 12 000 et 14 000 par an. Notre premier défi est d'arriver à répondre à toutes ces plaintes, qui sont d'une variété extraordinaire. S'il est vrai que les volumes ne sont pas du tout les mêmes que ceux de Pharos, ce n'est pas non plus la crème de la crème ! Si des plaintes sont faites par des avocats ou pour le compte d'une association, d'autres le sont par des individus qui n'y connaissent rien... La législation est très abstraite. Parfois, les plaintes ne sont pas du tout du ressort de la Cnil et relèvent du juge.

Mme Karin Kiefer. - Je ne dispose malheureusement pas des chiffres pour tous les réseaux sociaux. Ce que je peux vous dire, c'est que TikTok représente vraiment très peu de plaintes, puisqu'il y en a 6 en cours en ce moment. Par comparaison, Meta, c'est à peu près une centaine de plaintes chaque année... Cela s'explique sans doute par le fait que TikTok est utilisé principalement par des mineurs, et que nous avons globalement, tous secteurs confondus, très peu de plaintes de mineurs : à peine 1 % des plaintes que nous recevons viennent de mineurs.

La Cnil est d'ailleurs en train de réfléchir à notre parcours de plainte en ligne, pour voir si une meilleure présentation de l'autorité et du parcours de plaintes pourrait encourager les adolescents à nous saisir davantage. Un important travail est aussi réalisé dans les écoles et les collèges pour sensibiliser à ces questions. Pour que les élèves nous saisissent, encore faut-il qu'ils connaissent la Cnil, qu'ils viennent sur notre site et trouvent l'information sur nos pouvoirs et nos compétences !

Sur les 6 plaintes, 5 sont parties à la DPC irlandaise. Nous en traitons directement une seule, en application de la loi Informatique et Libertés, qui comporte une disposition particulière - l'article 51 - pour les demandes d'effacement des données collectées lorsque la personne était mineure. Dans ce cas précis, c'est la Cnil qui intervient directement ; elle peut obtenir l'effacement des données sous trois semaines.

M. André Gattolin. - Est-ce l'âge déclaré ou l'âge réel qui est pris en compte ? On sait que, sur TikTok, les adolescents, voire les enfants, se déclarent beaucoup plus vieux qu'ils ne sont... TikTok pourrait s'en prévaloir.

Mme Karin Kiefer. - La loi ne le précise pas ; il est dit qu'il faut que la personne soit mineure au moment de la collecte. Nous sommes en train de regarder la plainte unique que nous avons à traiter.

Cependant, la question que vous soulevez est importante. Il y a effectivement des enfants qui peuvent mentir sur leur âge. Nous avons toutefois constaté quelque chose de positif lors des contrôles : après avoir été bloqués parce que nous avions indiqué que nous avions douze ans, nous avons ensuite entré une date de naissance en 1978, année de création de la Cnil, et nous avons encore été bloqués. En effet, TikTok vous bloque si vous rentrez deux dates de naissance différentes dans la même heure. C'est une précaution qui a été prise par le réseau social.

M. Louis Dutheillet de Lamothe. - Vous m'interrogez sur la règle de la durée de conservation, notamment pour le stockage des données par les réseaux sociaux. Pour le coup, ce sont des raisonnements assez classiques que nous avons l'habitude de tenir sur la base de la loi Informatique et liberté ou du RGPD. La durée de conservation se regarde par finalités. Tant que le compte est actif, la durée de conservation est assez largement admise, parce que le contrat, le service sont en cours. En revanche, le jour où vous supprimez votre compte ou vous vous désinscrivez du réseau social, la plupart des données, notamment toutes les données de profilage utilisées, par exemple pour présenter des vidéos, devraient à mon sens être supprimées. Or toutes les données ne le sont pas. Généralement, tous les opérateurs qui ont des contrats avec des tiers conservent un certain nombre de données, pour diverses finalités. Certaines, d'ailleurs, sont des obligations légales : il est ainsi nécessaire de garder, pendant un certain temps, la trace du contrat avec telle ou telle personne, avec des durées généralement calées sur les durées de prescription ou un peu augmentées, s'il existe des causes d'interruption possibles. Ce sont des choses assez classiques.

Nous recommandons et, parfois, nous exigeons que, quand les données vont être gardées un certain nombre d'années et présentent encore une certaine sensibilité, elles soient placées dans ce que l'on appelle une « archive intermédiaire », pour qu'elles soient structurellement, fonctionnellement, séparées des autres serveurs.

Sur le règlement IA et son articulation avec le RGPD, je laisse la parole à Bertrand Pailhès.

M. Bertrand Pailhès. - Sur ce point, nous avons constaté une complémentarité entre les deux règlements, puisque le règlement RGPD concerne les responsables de traitement, donc des entreprises qui mettent en place des algorithmes ou des systèmes informatiques, quand le règlement IA concerne les fournisseurs de solutions. Le règlement IA permettra d'imposer des obligations directes sur les données d'apprentissage ou les mesures de biais, ce que le RGPD ne permet pas forcément d'imposer directement aujourd'hui.

Nous sommes en train de travailler sur cette question des obligations dérivées du RGPD. Nous pensons que cela pourra « compléter » la réglementation, tout en reconnaissant que, dans l'architecture à risque du règlement IA, les applications récréatives ne sont pas forcément identifiées comme des applications à haut risque soumises à des obligations renforcées, le souhait étant évidemment de ne pas empêcher des innovations fondées sur des algorithmes de ce type.

M. Louis Dutheillet de Lamothe. - Les nouvelles applications de TikTok sont-elles faites en utilisant des données de TikTok ? Bien évidemment, je ne peux pas répondre sur ce que fait exactement TikTok, mais je peux vous dire comment nous aborderions cette question.

On constate, dans les politiques de confidentialité - à savoir la notice avec les informations sur ce que l'on va faire des données -, des formules très vagues sur le fait que les données sont utilisées pour améliorer l'expérience utilisateur, donner plus de confort, etc. Puis, à un moment donné, se glisse le souci d' « améliorer les services » - pas « le service », mais « les services ». Nous savons que, derrière cette finalité, se cache le souhait d'utiliser les données que les sociétés obtiennent dans le cadre des relations commerciales avec leurs clients pour faire de la recherche et développement (R&D), avoir de nouveaux dispositifs... Je ne parle pas là que de TikTok : toutes les sociétés souhaitent faire cela. C'est d'ailleurs, dans une certaine mesure, légitime. Nous abordons d'abord la question de l'information du point de vue de règles de protection des données. Ce n'est pas uniquement pour le confort de l'utilisateur que la donnée est utilisée, mais c'est aussi pour la R&D de la société. Ce n'est pas interdit, mais cela doit être dit.

Nous estimons généralement que le traitement repose sur le consentement. Quand l'utilisation des données de R&D est intimement, indissociablement liée à ce que fait la société, par exemple pour repérer des bugs de sécurité - je prends un cas un peu caricatural -, nous estimons que ce traitement peut parfois se fonder sur l'intérêt légitime de la société. Cela se traduira, dans le texte du RGPD, par l'absence de consentement : je suis légitime à le faire sans demander votre accord. En revanche, si c'est pour faire quelque chose de complètement différent, nous estimons, dans un certain nombre de cas, qu'il est obligatoire de recueillir le consentement de la personne.

C'est donc de cette façon que nous aborderions la question de l'utilisation éventuelle par TikTok des données pour les autres applications. En principe, les consentements doivent pouvoir se donner de façon libre, donc distincte sinon par finalité, au moins par ensemble de finalités connexes.

Nous sommes assez souvent confrontés à la question du conflit de législation. Ce n'est pas un problème en soi : c'est aussi le revers de la dimension extraterritoriale du RGPD. Nous pensons que cette dimension est une bonne chose : il faut effectivement que des opérateurs qui sont à l'autre bout du monde, qui n'ont pas d'établissement en Europe, donc dont l'activité n'y est pas territorialisable, soient tout de même soumis au RGPD s'ils sont en train de traiter des données de citoyens européens d'une manière qui les relie à la vie privée de ces derniers. Évidemment, tout est dans « d'une manière qui »...

La Cnil a récemment pris, dans le sillage d'autres autorités, une décision sur une société, Clearview, qui a utilisé toutes les photographies publiquement disponibles sur le web pour créer des gabarits biométriques, permettant à un système de reconnaissance faciale de procéder à des identifications de façon extrêmement efficace, avec un taux d'erreur qui peut être vraiment très faible, évidemment sans consentement. La société n'ayant aucun lien avec l'Europe, elle se retrouve dans une situation de conflit de législation : soumise à une législation américaine, elle l'est aussi au RGPD... Bien évidemment, la société argue qu'il lui est très difficile de distinguer sur internet si la personne photographiée vient du Texas ou d'Italie. Il faut donc, à un moment, assumer le conflit de législation et le fait que le RGPD va déborder du territoire.

À l'inverse, il faut évidemment gérer ce conflit quand des législations étrangères, hors l'Union européenne, viennent s'appliquer à des situations qui se passent sur le territoire français. Je pense que, en en tirant des conséquences, la Cnil a été vraiment dans la lignée de l'arrêt Schrems II. Dès lors, la réponse réside moins dans des modifications de la législation, pour essayer de minimiser, voire de supprimer tout recoupement entre les extraterritorialités, parce que les législations de pays en dehors de l'Union européenne demeureront, par certains aspects, extraterritoriales - nous ne ferions que renoncer, d'une certaine manière, à ce que le RGPD a commencé à faire. En revanche, je pense qu'il faut proportionner la réponse : il est très difficile pour les acteurs de gérer ces recoupements de législation. Il faut faire jouer le conflit jusqu'au bout quand c'est proportionné, c'est-à-dire quand les données en jeu en valent le coup.

La Cnil a-t-elle suffisamment de moyens ? Merci de poser la question ! Je répondrai non. La Cnil demande, depuis trois ou quatre ans, énormément de moyens. Il y a trois ans, nous avons tiré la sonnette d'alarme. Le taux de croissance des plaintes d'une année sur l'autre était de 30 % - il est désormais un peu stabilisé -, ce qui est absolument ingérable. Dans le même temps, ce système de plaintes n'a pas du tout déchargé la Cnil de la nécessité d'anticiper, de faire des recommandations, des lignes directrices, de regarder, de fouiller. Des milliers de plaintes concernent l'impossibilité d'accéder aux données ou à les effacer. En revanche, pas une plainte ne concernait le maintien des données malgré la suppression de l'application - j'imagine qu'il est extraordinairement subtil de capter les indices en ce sens.

Il faut donc à la fois que nous traitions les plaintes, que nous ayons la capacité de sécuriser les acteurs par des lignes directrices et des recommandations. Or les fédérations professionnelles nous en demandent toujours plus. Elles nous demandent comment le RGPD s'applique à tel ou tel type de situations. Il est donc difficile pour nous de satisfaire tout le monde et de garder une capacité d'enquête et de veille.

Nous avons obtenu des moyens, et nous en remercions le Parlement. La Cnil a nettement grossi : ses effectifs se rapprocheront des 300 agents à la fin de cette année, ce qui nous a vraiment permis de faire des choses. Ils devraient normalement, dans les quatre années prochaines, continuer à croître, sur une tendance plus faible.

L'accord pour la mise à jour des conditions d'utilisation est-il légal ? C'est une question à laquelle nous sommes confrontés assez fréquemment.

Mme Karin Kiefer. - Selon TikTok, la base légale du traitement des données des mineurs est le contrat. TikTok laisse les mineurs à partir de 13 ans - l'âge minimum autorisé pour s'inscrire - signer ses conditions générales, considérant que c'est le contrat qui est la base légale du traitement des données.

Ce point fait partie des sujets qui ont été vérifiés lors de nos contrôles, comme le fait que les données concernant les mineurs étaient rendues publiques par défaut quand ils s'inscrivaient. Ces questions de protection de mineurs ont été transférées à la DPC, et soulèvent véritablement la question de la capacité du mineur de 13 ans à accepter ces conditions générales.

M. Louis Dutheillet de Lamothe. - Il y a souvent un problème d'articulation, en cas de contrat, entre le droit de la protection des données personnelles et le droit contractuel. Puisque le mineur signe un contrat, il faut qu'il ait la capacité contractuelle. À partir de quand l'a-t-il ? La mise à jour des conditions générales est une question très classique en droit contractuel. Ce n'est pas interdit par principe, mais ce n'est pas toujours permis non plus. Bien évidemment, le fait que ce soit la Cnil irlandaise qui est compétente, avec une loi du contrat irlandaise, est une difficulté. Quelle est la loi du contrat qui s'applique ? On tombe sur des questions contractuelles peu résolues, peu détaillées par le RGPD, sur lesquelles on n'a pas encore de jurisprudence, pas de position très claire des juridictions, et qui sont évidemment assez délicates.

M. Claude Malhuret. - On a parlé des moyens de la Cnil. Pour ma part, je m'interroge sur ceux de la DPC. La DPC dispose-t-elle de moyens suffisants dans la mesure où elle s'est vu confier une bonne partie des compétences des Cnil de toute l'Europe ? Même si vous le pensez, je pense que vous ne me direz pas que la DPC n'a pas les moyens suffisant. C'est pourquoi je vous pose plutôt la question : connaissez-vous l'effectif de la DPC pour gérer une bonne partie des dossiers européens ?

Un recours devant le Conseil d'État a-t-il été formé contre la décision de la Cnil du 29 décembre 2022 ? TikTok a-t-il, depuis, changé ses pratiques dans le domaine des cookies ?

M. Louis Dutheillet de Lamothe. - Nous vous enverrons l'information sur le nombre d'agents de la DPC. Je ne saurais vous la donner au débotté, mais je sais que nous l'avons. Il a nettement augmenté. Les moyens de la DPC ont été renforcés. Nous vous laisserons apprécier s'ils sont suffisants ou pas...

À ma connaissance, la décision TikTok n'est pas attaquée devant le Conseil d'État. Elle n'est pas encore définitive, puisqu'elle a été notifiée début janvier et qu'il y a un délai de distance de quatre mois.

Est-ce que TikTok a changé ses pratiques ? L'enquête portait sur le site web. Oui, les pratiques ont changé, avant même la fin de la procédure d'ailleurs.

Mme Karin Kiefer. - En effet : au moment de la décision, les pratiques avaient déjà été améliorées.

M. Mickaël Vallet, président. - Merci beaucoup, messieurs, madame, du temps que vous nous avez consacré.

Cette audition a fait l'objet d'une captation vidéo qui est disponible en ligne sur le site du Sénat.

Audition de M. Grégoire Borst, professeur de psychologie du développement et de neurosciences cognitives de l'éducation (université Paris cité) et directeur du laboratoire de psychologie du développement et de l'éducation de l'enfant (LaPsyDÉ - CNRS)

M. Mickaël Vallet, président. - Nous poursuivons nos travaux avec l'audition de M. Grégoire Borst, directeur du laboratoire de psychologie du développement et de l'éducation de l'enfant (LaPsyDÉ) au Centre national de la recherche scientifique (CNRS).

Monsieur Borst, après vos années de doctorat à l'université Paris-Sud et de post-doctorat à l'université d'Harvard, vous vous êtes spécialisé en psychologie du développement et en neurosciences cognitives de l'éducation. Vous étudiez notamment la manière dont le cerveau se développe au cours du temps, avec des périodes, selon l'âge, de stabilisation ou au contraire de reconfiguration, étant alors plus ou moins sensible à son environnement. Cela vous permet notamment d'analyser les conséquences de l'utilisation des réseaux sociaux sur nos fonctions cognitives en tenant compte de cette complexité liée à l'âge.

Nous sommes curieux de bénéficier de vos éclairages sur ce point, notamment au regard de l'usage qui est fait par les enfants et les adolescents de TikTok, un usage relativement important puisqu'il se situe autour d'une heure et demie à une heure quarante-cinq par jour ou de dix heures par semaine pour les 4-18 ans, durée qui doit être ajoutée au temps passé sur les autres applications. Nous aimerions notamment savoir si vous avez pu établir des rapports de cause à effet entre une exposition forte à des écrans et, par exemple, un retard de développement cognitif, et si oui pour quels âges.

Vous menez également un projet de recherche novateur sur la capacité des adolescents à identifier les fausses informations auxquelles ils sont exposés sur les réseaux sociaux et sur leur capacité à « résister » à leurs premières intuitions en matière de traitement de l'information ou à les inhiber. Là encore, nous sommes impatients d'en apprendre davantage sur vos premiers résultats.

Je rappelle que cette audition est captée et retransmise en direct sur le site du Sénat.

Avant de vous laisser la parole pour un exposé liminaire d'une quinzaine de minutes, je vais procéder aux formalités d'usage pour les commissions d'enquête. Je rappelle qu'un faux témoignage devant notre commission d'enquête serait passible des peines prévues aux articles 434-13, 434-14 et 434-15 du code pénal. Je vous invite à prêter serment de dire toute la vérité, rien que la vérité, en levant la main droite et en disant : « Je le jure. »

Conformément à la procédure applicable aux commissions d'enquête, M. Grégoire Borst prête serment.

M. Grégoire Borst, professeur de psychologie du développement et de neurosciences cognitives de l'éducation (Université Paris Cité) et directeur du laboratoire de psychologie du développement et de l'éducation de l'enfant (LaPsyDÉ - CNRS). - Je suis heureux de pouvoir vous parler de l'adolescence ; on a parfois une représentation négative de cette période, mais je vais tâcher de vous montrer également ses aspects positifs. Je vais surtout m'attacher à présenter les enjeux de l'exposition aux écrans et à l'utilisation des réseaux sociaux.

Mon premier commentaire consistera à souligner que, finalement, on sait peu de choses sur ce sujet, on a peu de données, ce qui crée une difficulté particulière. D'ailleurs, vous le verrez, même quand on aboutit aux mêmes conclusions statistiques à partir de données identiques, l'interprétation de ces conclusions peut être très différente.

Vous pourrez ensuite me poser des questions sur TikTok, mais aussi sur les autres réseaux sociaux, parce que la littérature scientifique sur TikTok est très mince, voire inexistante : on dispose de très peu de données relatives aux effets de ce réseau social sur le cerveau en développement et sur les compétences cognitives et socio-émotionnelles de l'enfant et d'adolescent.

Le LaPsyDÉ est un laboratoire du CNRS rattaché à la Sorbonne ; c'est le premier laboratoire français de psychologie scientifique, il a été créé il y a cent vingt-huit ans. Il compte aujourd'hui 60 personnes, qui essaient de comprendre le développement et les apprentissages de l'enfant et de l'adolescent dans le cadre d'un tissu biologique en pleine maturation.

Depuis une vingtaine d'années, nous pouvons visualiser le cerveau en développement, pour comprendre la dynamique du développement cognitif et socio-émotionnel au regard du développement cérébral. Or, on le sait désormais, le développement cérébral n'est pas linéaire, il s'opère de façon dynamique, de façon asynchrone - à différents rythmes dans les différentes régions cérébrales -, ce qui implique de ne pas considérer la problématique des écrans à travers le seul prisme de la toute petite enfance, des 0-3 ans. Certes, c'est une période de sensibilité très forte du cerveau à l'environnement, mais il y a une autre période de développement cérébral dans laquelle le cerveau est particulièrement sensible à son environnement : l'adolescence, qui se définit comme une période neurobiologique spécifique. On retrouve cette période dans d'autres espèces animales, elle n'est pas une particularité de l'espèce humaine.

L'adolescence est caractérisée par une asynchronie du développement cérébral entre deux grands systèmes du cerveau humain : d'une part, le système limbique, enfoui au coeur de notre cerveau et impliqué notamment dans ce qui relève de notre réactivité émotionnelle, dans notre recherche et le traitement de la récompense et dans la sensation de plaisir et, d'autre part, le système préfrontal, dont le siège se situe juste derrière notre front et qui traite tous les mécanismes de régulation cognitive, comportementale - impulsivité - et émotionnelle. Cette asynchronie entre un système limbique, qui finit sa maturation très tôt, et un système préfrontal, qui finit la sienne beaucoup plus tard, crée la période de la vie qu'est l'adolescence, qui se définit par un certain nombre de comportements associés que vous connaissez peut-être, pour ceux qui ont la joie d'avoir des adolescents chez eux.

On oublie parfois que cette période de maturation cérébrale dure très longtemps, jusqu'à 20 ou 25 ans ; du point de vue du développement cérébral, on reste adolescent jusqu'à 20 ou 25 ans. Cela ouvre nombre de questions comme celle de la responsabilité juridique ou de la santé des adolescents. En tout cas, du point de vue cérébral, on n'est pas adulte à 18 ans, on l'est beaucoup plus tard.

Par ailleurs, le développement cérébral est également façonné par l'environnement. Il ne faudrait pas caricaturer les neurosciences : quand nous nous intéressons au développement cérébral, nous étudions évidemment aussi l'environnement dans lequel se développe l'enfant. En effet, puisque le cerveau se développe pendant 20 à 25 ans ex utero, il est évidemment très fortement influencé par l'environnement. On pense notamment à l'environnement social - on sait que, dès 4 mois, la maturation du cerveau diffère en fonction de l'environnement social -, mais également, évidemment, à l'exposition aux écrans et à ce que font les enfants sur ces écrans.

Cela dit, il y a des mécanismes de compensation d'environnements non optimaux pour la maturation cérébrale, très tôt ou plus tardivement. Il existe, dans le cerveau humain, des mécanismes de neuroplasticité qui permettent de compenser des environnements non optimaux pour le développement cérébral. Ces mécanismes permettent au cerveau de se transformer et donc d'apprendre, car l'apprentissage est sous-tendu par des transformations de notre cerveau, tant pendant la période de la maturation du cerveau, de 0 à 25 ans, qu'en dehors de ces périodes : à tous les âges de la vie, la neuroplasticité nous permet d'acquérir de nouvelles compétences. On peut toujours apprendre, compenser.

Toutes ces nouvelles connaissances sur le cerveau nous invitent à remettre en cause les modèles de développement cognitif et socio-émotionnel. Notre discipline a été longtemps influencée par un modèle prévalant, le modèle de Jean Piaget ou piagétien, selon lequel l'intelligence de l'enfant se développait par grands stades cumulatifs et qui affirmait que l'on passe, en gros, d'un bébé ayant essentiellement accès à une intelligence relativement concrète, sensori-motrice, à un adolescent ayant enfin accès à une pensée hypothético-éducative, lui permettant de penser de façon abstraite. On sait depuis à peu près soixante ans que ce modèle du développement cognitif et socio-émotionnel de l'enfant et de l'adolescent est erroné. En réalité, très tôt, le bébé est capable de pensées abstraites et, inversement, il ne vous aura pas échappé que, en tant qu'adultes, il nous arrive encore d'être sujets à des biais de raisonnement ou de prise de décision.

Ce modèle ne fonctionnait pas parce qu'il pensait le développement cognitif comme une marche en avant, du bébé ayant très peu de compétences à l'adulte les ayant toutes. D'où une représentation du développement cognitif selon laquelle il y avait une norme, avec des stades de l'intelligence à passer à certains âges. Ce n'est pas du tout ce que l'on observe : la norme du développement cognitif et socio-émotionnel, c'est l'hétérogénéité. Toutes les trajectoires développementales et d'apprentissage sont différentes.

Cela engendre des difficultés quand on s'intéresse aux effets de l'exposition aux écrans sur les trajectoires développementales et d'apprentissage, puisque celles-ci sont différentes d'un individu à l'autre. Cela exige en outre de se défaire de la conception selon laquelle c'est forcément quand on est jeune que l'exposition aux écrans est négative et qu'elle l'est moins quand on est plus âgé. Cela n'est pas conforme à ce que l'on sait du développement cérébral et du développement cognitif et socio-émotionnel.

Le fait de dire qu'il n'y a que de l'hétérogénéité ne signifie pas que l'on ne puisse pas identifier les mécanismes produisant le changement au cours du temps ou au cours des apprentissages. Toutes les marées sont différentes, pourtant elles sont toutes régies par le même principe physique. Il en va de même pareil pour le développement et les apprentissages : toutes les courbes sont différentes, mais elles sont régies par des mécanismes similaires et notamment par les mécanismes du système 3 - troisième système de pensée dans le cerveau humain -, qui relèvent de tous les mécanismes de régulation : émotionnelle, cognitive et comportementale.

Ainsi, si c'est un mécanisme qui produit le développement cognitif, socio-émotionnel et qui définit notre capacité à maîtriser notre impulsivité, c'est probablement sur celui-ci qu'il faut fonder l'éducation aux médias, parce que cela contribue à nos capacités de régulation face aux médias. J'y reviendrai.

Ces mécanismes nous semblent fondamentaux pour le développement cognitif et socio-émotionnel et pour la régulation des comportements. En effet, des études longitudinales indiquent que, quand on s'intéresse aux prédicteurs de la réussite éducative future - non pas nécessairement la réussite scolaire, il s'agit de comprendre non pas comment obtenir de bons résultats au Programme international pour le suivi des acquis des élèves (Programme for International Student Assessment ou Pisa), mais comment, une fois sorti du système éducatif, on a les compétences nécessaires pour être en bonne santé, avoir un bien-être important, une bonne réussite professionnelle et une bonne réussite de vie -, on retombe sur la capacité de maîtrise de soi.

Quand on mesure la maîtrise de soi entre 4 et 11 ans et qu'on la rapporte au quotient intellectuel et au milieu socio-économique, on observe que ce qui explique en grande partie la réussite éducative est la capacité à se maîtriser, à réguler son comportement. Ainsi, cette capacité de maîtrise de soi est un enjeu important de la réussite éducative, via la régulation de l'utilisation des écrans.

Cette étude longitudinale a commencé en 1975 et s'est terminée en 2005. Cela montre incidemment la difficulté à laquelle nous sommes confrontés : nous cherchons à connaître les effets de l'utilisation des réseaux sociaux sur le développement cognitif et socio-émotionnel avec un temps de recul extrêmement faible. Il nous faudrait ce type d'études, menées sur trente ans.

M. Mickaël Vallet, président. - Pouvez-vous expliquer le test de la guimauve ?

M. Grégoire Borst. - Il s'agit d'une façon d'évaluer la maîtrise de soi. Ce n'est pas le procédé utilisé dans cette étude, qui repose sur des observations au sein de la cellule familiale, à l'école ou sur des questionnaires.

Pour évaluer la capacité de maîtrise de soi, on propose à un enfant une guimauve ou toute friandise dont il est friand et on lui dit qu'il peut soit manger la friandise immédiatement soit la laisser intacte, auquel cas, quand on revient, il en aura une seconde. L'adulte sort alors de la pièce, l'enfant ne sait pas pour combien de temps, et on mesure le temps entre le moment où on lui donne la friandise et celui auquel il la mange. Le temps est limité à quinze minutes, ce qui est relativement long quand on a 3 ans. L'enjeu est d'évaluer la capacité à résister à la récompense immédiate, au plaisir associé au fait de manger la guimauve immédiatement, pour obtenir une gratification plus importante différée. On voit bien pourquoi cela peut être un prédicateur de la réussite éducative future, parce que se fixer des objectifs de long terme - professionnels, personnels, relatifs à la santé - exige un engagement dans cette activité. La capacité à résister à un troisième verre de vin, par exemple, permet de diminuer à long terme les risques d'avoir un cancer. C'est exactement la même chose. D'où le caractère prédictif de ce type de compétence.

C'est ce qu'étudie le LaPsyDÉ, en combinant des approches comportementales, la génétique et des approches contextualisées : on étudie ce que ces compétences produisent dans une salle de classe et quelles sont les compétences qui permettent de prédire la réussite éducative future des enfants. Nous travaillons à tous les âges de l'enfance et de l'adolescence : des bébés jusqu'à la fin de l'adolescence, à 20-25 ans.

Nous travaillons sur beaucoup de domaines : sur l'exposition à l'information et la résistance aux fausses informations, mais également sur la lecture, sur les mathématiques, sur la prise de décision, sur le raisonnement humain, sur la créativité. Et nous croisons ces approches méthodologiques pour comprendre les mécanismes produisant le développement cognitif et la régulation émotionnelle chez les adolescents.

Nous travaillons également sur les inégalités éducatives : non seulement comment les observer, mais encore comment les combattre. Nous cherchons à définir ce qui explique les difficultés en mathématiques et en français parmi les élèves scolarisés dans les réseaux d'éducation prioritaire et quel type d'intervention concevoir en fonction du profil cognitif de chaque élève, parce que les difficultés dans ces disciplines peuvent s'expliquer par différentes raisons selon les individus.

Nous travaillons enfin à un projet de recherche, en partenariat avec Nathan et Ipsos, visant à comprendre la dynamique de la capacité à discerner les vraies informations des fausses chez les adolescents. Il s'agit, à notre connaissance, de la seule étude au monde sur cette question. Nous présentons aux jeunes des posts Instagram, Twitter ou Facebook - plutôt Instagram, parce que leur réseau social de prédilection pour s'« informer », après YouTube -, et on leur demande de déterminer, sur une échelle de 1 à 4, à quel point cette information leur semble vraie ou fausse, et on en tire des moyennes. On mène l'expérience en classe de sixième, de cinquième, de quatrième, de troisième et à l'âge adulte. En sixième, il n'y a pas de différence de score entre les vraies et les fausses informations ; ensuite, la capacité à les distinguer se développe progressivement.

C'est une étude transversale, c'est-à-dire synchronique sur plusieurs classes, et nous menons par ailleurs deux études longitudinales, sur deux cohortes que nous suivons dans différents pays - en France, au Maroc, au Brésil et en Inde -, afin d'observer la dynamique et les prédicteurs de la capacité à discerner les vraies informations des fausses, en mesurant par ailleurs le temps passé sur les écrans et sur les réseaux sociaux.

En parallèle, nous étudions les pistes pédagogiques pour améliorer la capacité à discerner les vraies informations des fausses. Nous conduisons ces recherches dans une démarche participative et collaborative, en co-créant les interventions et les évaluations avec les enseignants. Ensuite, un deuxième groupe d'enseignants procède dans leur classe à l'évaluation avant et après intervention, sachant qu'il y a deux interventions possibles. C'est une démarche expérimentale classique. Qu'est-ce qui distingue les deux interventions ? La première repose sur l'éducation traditionnelle aux médias et à l'information : comment sourcer une information, à quel type de document on est confronté, quel est le média dont émane l'information, etc. La seconde consiste à expliquer, avant cette éducation classique aux médias, les biais de pensée auxquels on est soumis quand on confronté à une information : nous avons un cerveau qui a des biais, qui aura tendance, par exemple, à penser qu'une information est vraie parce qu'elle est plus émotionnelle ou plus surprenante.

Nous comparons ensuite l'efficacité des deux types d'interventions. On observe d'abord que le score de l'infox diminue après intervention, mais plus significativement quand on a fait précéder l'éducation aux médias d'une présentation des biais cognitifs. En revanche, quand on s'est contenté de l'éducation traditionnelle aux médias et à l'information, les scores attribués aux vraies informations n'augmentent pas. Il y a donc un effet négatif sur la capacité à discriminer les informations, on a rendu les adolescents sceptiques face à toute information. C'est un véritable problème quand on sait que le degré de scepticisme vis-à-vis de l'information véhiculée par les grands médias est prédicateur de l'adhésion aux thèses complotistes.

Il faut donc tenir compte de cela quand on conçoit les interventions d'éducation aux médias et à l'information ; on ne peut pas se borner à faire de l'éducation aux médias d'information en adoptant toujours la position de ceux qui produisent l'information. Nous avons un cerveau qui réceptionne l'information et il faut développer ses connaissances sur nos biais cognitifs. Cela vaut aussi pour l'éducation aux réseaux sociaux.

La particularité du cerveau adolescent est qu'il est très focalisé sur les récompenses. Son système limbique répond fortement à une récompense espérée, ce qui explique pourquoi les adolescents s'engagent plus dans des situations de prise de risque : leur cerveau répond beaucoup plus fortement à une récompense espérée. Leur noyau accumbens, l'une des structures du système limbique impliquées dans les comportements d'addiction, s'active beaucoup plus en situation d'espérance de récompense. Cela explique pourquoi ils sont orientés vers des comportements répétitifs donnant lieu à récompense.

Je vous ai parlé de la tâche de la guimauve, de la capacité à réguler son comportement et son impulsivité ; or, tout au long de l'adolescence, on a plus de difficultés à réguler son impulsivité. C'est donc une période propice à l'engagement dans des conduites répétitives donnant lieu à récompense. C'est encore plus vrai dans un contexte social, dans lequel les adolescents sont encore plus orientés vers la récompense immédiate, vers le plaisir immédiat, par rapport à un plaisir plus important, mais différé.

J'en viens aux écrans. Vous me posiez la question de la causalité. Celle-ci est très difficile à établir. C'est la difficulté à laquelle nous sommes aujourd'hui confrontés. La plupart des études sont corrélationnelles : on ne sait pas si c'est le temps d'écran qui agit sur le développement cognitif et socio-émotionnel, si c'est le développement cognitif et socio-émotionnel qui explique un temps accru passé devant les écrans ou encore si les variables latentes, comme le statut socio-économique des familles, expliquent le temps passé devant les écrans et le développement cognitif et socio-émotionnel. On sait que les enfants vivant dans des milieux socio-économiques moins favorisés passent plus de temps devant les écrans, du fait des conditions de vie de ces familles : familles monoparentales, horaires décalés, etc. La corrélation que l'on observe peut donc être due à une troisième variable.

En ce qui concerne le lien entre réseaux sociaux et bien-être, je veux évoquer deux études intéressantes. Elles sont tirées de la même base de données américaines et anglaises, comportant 500 000 données sur le temps passé par des adolescents sur les réseaux sociaux et leur bien-être ressenti. Ces deux études aboutissent à la même conclusion : il y a un lien significatif entre les deux paramètres, de l'ordre de 0,4 % de variation du bien-être s'explique par le temps passé devant les réseaux sociaux. Or l'une des deux études en déduit qu'il n'y a pas d'urgence à agir du point de vue de la santé publique, quand l'autre affirme qu'il y a urgence à agir. Voilà où nous en sommes : les deux études ont la même conclusion statistique, mais en tirent des recommandations opposées. Je vous laisse vous faire votre opinion...

Par ailleurs, contrairement à ce qu'affirment certains collectifs que je ne nommerai pas, on n'observe pas, entre 1990 et 2017, quand on s'appuie sur de très grosses bases de données, d'explosion des difficultés psychologiques sur le bien-être des adolescents. Il ne semble pas y avoir de variation du bien-être des adolescents concomitante de l'émergence du numérique dans leur vie quotidienne.

M. André Gattolin. - Mais c'est une absence de corrélation à une échelle globale.

M. Grégoire Borst. - C'est vrai. On peut donc étudier, dans un échantillon restreint, sur plusieurs semaines, la variation du bien-être des adolescents en fonction du temps qu'ils passent sur les réseaux sociaux. On trouve des corrélations, mais on observe des informations différentes selon que l'on s'intéresse à l'intra-individuel et à l'interindividuel.

Pour un individu donné, plus le temps passé sur les écrans augmente, plus son bien-être diminue de quelques points de pourcentage, mais, paradoxalement, au-delà de trois ou quatre heures par jour passées sur les réseaux sociaux, le bien-être augmente. La corrélation n'est donc pas linéaire, c'est une courbe en U. Pour les 1 % des individus qui passent le plus de temps sur les réseaux sociaux, chaque heure supplémentaire passée sur les réseaux sociaux augmente le bien-être associé.

Par ailleurs, quand on examine les données interindividuelles, pour les 95 % de la population qui regardent les écrans, chaque heure passée entre zéro et deux heures sur les écrans est plutôt associée à une augmentation de bien-être.

Par conséquent, on ne peut pas conclure de façon absolue dans un sens ou dans un autre, on ne peut pas dire qu'il y a des effets extrêmement négatifs ou extrêmement positifs des réseaux sociaux sur le bien-être. Ce n'est ni l'un ni l'autre et, en tout état de cause, les effets sont extrêmement faibles et ils dépendent fondamentalement des prédispositions psychologiques des adolescents. Si l'on considère les adolescents comme une population homogène, on se trompe, parce que les réseaux sociaux sont des amplificateurs de difficultés psychologiques préexistantes. Par exemple, si l'on a une bonne estime de soi, s'abonner à un réseau social, donc entrer dans une situation de comparaison sociale, aura plutôt un effet positif sur son estime de soi ; si l'on a une mauvaise estime de soi, cette comparaison sociale conduira à une diminution de son estime de soi.

Toutes les études que j'ai présentées sont extrêmement récentes - 2019 à 2022 - et celle de 2020 qui s'intéresse, en transversal, aux associations existant entre la satisfaction dans la vie, qui diffère du bien-être, et le temps passé sur les réseaux sociaux, montre des résultats différents selon le sexe. Entre 10 et 13 ans, il y a une corrélation négative pour les filles entre la satisfaction dans la vie et le temps passé sur les réseaux sociaux ; pour les garçons, on observe ce résultat entre 13 et 15 ans, puis il y a un autre pic vers 19 ans. Les associations entre satisfaction dans la vie et temps passé sur les réseaux sociaux diffèrent donc en fonction des sexes et des périodes de l'adolescence.

M. Claude Malhuret, rapporteur. - Vous avez annoncé qu'il n'existait pas de publication scientifique sur TikTok en particulier. Or notre commission d'enquête porte surtout sur ce réseau social. C'est une limite à notre entretien.

Le sujet est-il celui du bien-être ? Si les réseaux sociaux rendent idiot, un adolescent passant cinq heures par jour sur les réseaux sociaux peut tout à fait avoir un bien-être supérieur à son voisin qui y passe peu de temps, mais je m'intéresse aussi au développement cognitif et à l'acquisition des connaissances. Je reste sur ma faim de ce point de vue. Mon impression est que celui qui passe trois ou quatre heures par jour sur TikTok hypothèque le temps passé à acquérir des connaissances plus importantes. Avez-vous des mesures de ce phénomène ? La Chine a limité à quarante minutes le temps quotidien autorisé sur TikTok et les principaux acteurs de la Silicon Valley limitent fortement ou interdisent l'usage des écrans à leurs enfants. Bref, le bien-être est une chose, mais il y a aussi l'acquisition de connaissances et la réussite scolaire.

Par ailleurs, vous paraît-il souhaitable, du point de vue du développement cognitif, d'imposer des restrictions ? Que pensez-vous, par exemple, de la proposition de loi de l'Assemblée nationale consistant à instaurer une majorité numérique à 15 ans ?

Ma dernière question porte sur l'addiction. Avez-vous des informations attestant de l'existence de comportements addictifs ? L'algorithme de TikTok, plus rapide, semble plus addictif que ceux des autres réseaux sociaux.

Mme Céline Boulay-Espéronnier. - Les adolescents sont, semble-t-il, plus déprimés à cause de l'avènement des réseaux sociaux. Votre conclusion est plus optimiste.

Quelles sont la part de plaisir et la part de volonté d'apprentissage dans l'abonnement des adolescents à un réseau social ?

Vous n'avez pas parlé des problèmes de concentration. Le modèle de TikTok me semble néfaste de ce point de vue.

Enfin, l'usage de TikTok ou d'un autre réseau social ne creuse-t-il pas un fossé entre l'adulte et l'enfant ?

M. Pierre Ouzoulias. - Le journal La Croix vient de publier un article indiquant que 16 % des jeunes pensent que la terre est plate, contre 3 % chez les adultes, et que ce pourcentage s'élève à 21 % parmi ceux qui s'informent sur YouTube et à 29 % parmi ceux qui consultent TikTok. Cette application rend-elle plus perméable aux fausses informations ?

Avez-vous communiqué vos résultats aux services de l'éducation nationale ? On sent bien que l'école ne peut plus se contenter d'apprendre à lire-écrire-compter, elle doit également enseigner l'esprit critique et le plus tôt possible.

M. Mickaël Vallet, président. - Vous nous expliquez que le fait d'aller sur les réseaux sociaux ne détermine pas les capacités d'apprentissage d'un adolescent, mais que ce serait plutôt la structure de ses capacités d'inhibition et de résistance qui conditionnerait son rapport au réseau social. Mais on ne connaît pas le profil des adolescents qui vont sur TikTok, ni leurs capacités de résistance... Qu'est-ce qui explique qu'on peut y passer trois heures en croyant y passer cinq minutes ? Y passer trois heures, est-ce grave ? Votre présentation nous laisse penser que si les adolescents sont suffisamment équipés pour parvenir à se reconcentrer par la suite, cela ne serait pas grave. Mais des enseignants nous expliquent que leurs élèves, même s'ils ne semblent pas trop mal équipés en début d'année, restent sur YouTube ou TikTok jusqu'à une heure du matin...

Mme Toine Bourrat. - J'aimerais avoir votre avis concernant le fait que TikTok semble amener des mineurs à ne plus avoir aucun discernement, au point que certains commettent des gestes abrutissants, en mettant, par exemple, un animal dans un sèche-linge pour gagner un défi en ligne.

Mme Céline Boulay-Espéronnier. - Dans la vie d'un adolescent, d'un point de vue sociologique, sait-on si les deux ou trois heures passées sur TikTok sont prises plutôt sur un temps d'apprentissage scolaire, sur un temps de vie de famille, ou sur des loisirs avec des amis ?

M. André Gattolin. - On oppose souvent conformité et transgression, mais ce type de réseaux sociaux ne provoquerait-il pas une sorte de conformité dans la transgression ? Ce phénomène est-il propre à l'âge adolescent ?

M. Grégoire Borst. - J'ai très peu abordé la question cognitive, c'est vrai, car les données sont encore moins convaincantes. J'entends les craintes qui semblent légitimes, mais pour autant, avec toutes les limites dues au fait que nous ne nous intéressons qu'au temps d'écran ou au temps passé sur les réseaux sociaux, il n'y a pas de lien négatif systématiquement avéré entre l'exposition aux écrans et le développement cognitif de l'enfant, au-delà de trois ou quatre ans. Pour les enfants de moins de trois ou quatre ans, des données cohérentes convergent pour suggérer que l'exposition aux écrans entraîne non des troubles, mais des retards concernant l'acquisition du langage, la reconnaissance des émotions ou la motricité fine. Il n'est pas impossible de rattraper ces retards, qui peuvent s'expliquer par un temps passé devant des écrans, et non, dans cette période de construction, en interaction avec des êtres humains et les parents.

Pour l'enfant et l'adolescent, très peu de données suggèrent un effondrement massif du développement cognitif à cause du temps passé devant les écrans. Je modère tout de suite cette affirmation : des données convergent fortement pour suggérer que le temps passé sur les réseaux sociaux a un effet sur la qualité du sommeil, notamment lorsqu'on a du mal à déterminer ce temps. Toutes les études sont fondées sur des déclarations, et il y a une sous-évaluation du temps que les adolescents déclarent passer sur les réseaux sociaux : la corrélation entre le temps déclaré et le temps réellement passé derrière les écrans est de l'ordre de 20 %. Mais on sait que cet usage a un effet sur la qualité du sommeil, tant pour les adolescents que pour les adultes.

Or l'adolescence est une période ou différentes problématiques convergent. Du fait même de la structuration de nos sociétés, les adolescents connaissent un déficit de sommeil beaucoup plus important qu'à n'importe quelle autre période de la vie. Leur cycle de sommeil se décale de plus de deux heures, mais l'institution n'a pas modifié son temps scolaire. Décaler de deux heures la première heure de cours au collège aurait pourtant des effets massifs sur la qualité des apprentissages, et coûterait peu cher à l'institution. Le temps physiologique de l'adolescent serait enfin respecté. De toute façon, il se couche à onze heures parce que son pic de sécrétion de mélatonine se décale de deux heures. Si vous y rajoutez l'écran, cela va encore décaler le sommeil et jouer sur sa qualité. Le sommeil joue sur deux aspects extrêmement importants des apprentissages : la neuroplasticité, c'est-à-dire la capacité du cerveau à se transformer, et les capacités de mémorisation. Mais il faut bien comprendre que ce n'est pas en soi l'écran ou le réseau social qui jouent sur les apprentissages : ils produisent un effet sur le sommeil, qui a des effets en cascade sur les apprentissages. L'effet n'est pas direct, il est indirect. En matière de politique éducative, il faut se demander comment faire une éducation au sommeil, pour améliorer la qualité du sommeil chez les adolescents.

Bien sûr, le temps passé sur les écrans n'est pas utilisé pour faire autre chose. Mais que fait-on réellement sur un écran ? Les écrans ne restent qu'un média ; quelles activités sont réalisées, quels contenus sont visionnés ? Y a-t-il une situation de création ? Sur TikTok, des adolescents créent. Nous pouvons regarder ces activités d'un oeil adulte et les considérer comme totalement futiles, mais ces adolescents créent et ne sont pas engagés uniquement dans un visionnage passif. Il est très différent d'être engagé dans la création de contenu et d'être simplement passif, observateur. Nous ne disposons pas de données sur ces questions : la granularité des usages des écrans est difficile à établir.

La majorité numérique à 15 ans prévue dans la proposition de loi adoptée à l'Assemblée nationale est-elle une bonne chose ? Oui, mais déjà devrions-nous nous assurer que les enfants n'aient pas de compte TikTok avant 13 ans - je rappelle que c'est interdit. Il y a là un premier problème : comment s'assure-t-on que les adolescents respectent les limites d'âge d'utilisation de ces réseaux sociaux ? J'étais dans un collège il y a quelques semaines : tous les élèves de sixième avaient un compte sur les réseaux sociaux, en sachant pertinemment que c'est interdit, et en disant qu'il suffit de renseigner une autre date de naissance. On en revient à la problématique de l'éducation des parents à ces questions : pour accompagner l'usage des réseaux sociaux, il faut penser une forme de coéducation. Il n'est absolument pas normal de laisser des enfants utiliser ces réseaux sociaux, qui peuvent aussi les exposer à des contenus non appropriés. C'est là un autre problème, qui peut avoir des conséquences, notamment sur leur bien-être, alors qu'accompagnés par leurs parents, ils peuvent réévaluer ce à quoi ils ont été exposés.

Repousser la majorité numérique de deux ans va dans le bon sens, mais comment faire pour garantir qu'avant 15 ans les adolescents ne puissent pas avoir accès aux réseaux sociaux ? Sans cette garantie, cela ne changerait rien, et c'est bien le problème. Cela relève de la responsabilité des réseaux sociaux et de ces plateformes. La discussion entre YouTube et les membres de l'Autorité de régulation de la communication audiovisuelle et numérique (Arcom) était surréaliste. Lorsqu'on leur demandait pourquoi ne pas diffuser l'ensemble du contenu jeunesse sur YouTube Kids, les représentants de YouTube répondaient que des adultes aimaient bien regarder du contenu jeunesse... Il faut respecter le droit des enfants à ne pas être exposés à certains contenus. Il y a là des mesures à prendre avant de repousser la majorité numérique à 15 ans.

Sur l'addiction, la réponse est complexe. En l'état actuel de nos connaissances, il n'y a pas d'addiction aux écrans ou aux réseaux sociaux du même ordre que celle engendrée par la prise de substances psychoactives ou la consommation d'alcool. Pour l'instant, nous ne disposons pas de données suggérant une modification de la concentration de certains récepteurs à la dopamine, qui est l'un des neurotransmetteurs impliqués dans l'addiction et la recherche du plaisir. Cela ne veut pas dire qu'il n'y a pas d'addiction comportementale, c'est-à-dire des comportements d'ordre addictif sur ces réseaux. Mais il faut dissocier ces comportements de ce qui relève d'une addiction à la drogue ou à l'alcool, aux effets strictement similaires sur des cerveaux adolescents. La question reste très débattue.

Concernant les effets de la période du covid, et pour savoir si les observations sur la santé mentale des adolescents relèvent soit d'une utilisation excessive des réseaux sociaux, soit des conséquences de la période du covid, il est très difficile de trancher. Il y a une covariation : pendant les confinements, davantage de temps a été passé derrière les écrans, et il y a une dégradation globale de la santé mentale des adolescents après le covid. Si le temps passé devant les écrans produit une variation de 0,4 % par rapport au bien-être ressenti des adolescents, et donc par rapport aux difficultés qu'ils peuvent avoir en matière de symptômes dépressifs, et quand on regarde ce que l'exposition au stress chronique peut produire en matière d'anxiété et de risque de dépression, on peut se dire que la jauge indique plutôt le fait que la période du covid a été très particulière. Je rappelle que le discours adressé aux adolescents était tout de même particulièrement anxiogène : vos comportements vont entraîner un risque accru d'attraper le covid pour vos familles, entendait-on ; nous n'étions pas très loin de les accuser d'être responsables de la mort de leurs grands-parents... La question n'a pas été davantage abordée lors de leur retour à l'école, en raison du manque de psychologues scolaires. Il n'y a pas eu alors de discussion sur la période très particulière qu'ils avaient vécue, avec leur cerveau très particulier : à l'adolescence, on passe d'un lien d'attachement dans la cellule familiale à un lien d'attachement qui se fait au sein d'un groupe social extérieur. Les adolescents ont besoin des interactions sociales avec les autres, et les réseaux sociaux n'ont pas que des aspects négatifs : ils ont permis, pendant le temps de fermeture des écoles, aux adolescents de maintenir du lien social - car les réseaux sociaux sont utilisés pour maintenir du lien social, même si, pour TikTok, c'est un peu différent.

Il faut dissocier les capacités attentionnelles des enfants et des adolescents, qui ne se sont pas effondrées ces dernières années, et le monde qui a radicalement changé. Les tests classiques, que l'on utilisait il y a une trentaine d'années, indiquent que les capacités attentionnelles des enfants n'ont pas évolué. C'est le monde qui a radicalement changé : les ressources attentionnelles sont en permanence captées par de multiples terminaux et interférences. Les enfants distribuent beaucoup plus que nous leurs ressources attentionnelles, ce qui crée des difficultés de concentration, mais ils ont tout à fait les capacités de se concentrer et d'engager des ressources attentionnelles. Ceux qui jouent beaucoup aux jeux vidéo développent sans doute de meilleures ressources attentionnelles que nous, car les jeux vidéo - et notamment ceux que l'on n'aime pas, les jeux de tir à la première personne - peuvent avoir des conséquences positives sur le développement des ressources attentionnelles, en maintenant leurs effets jusqu'à deux ans après l'arrêt de leur utilisation. Même si je ne suis pas du tout en train de recommander à tous les adolescents de jouer aux jeux vidéo, on aimerait des effets à deux ans pour tous les apprentissages !

Les capacités de concentration sont aussi en rapport avec la motivation. Il faut prendre en compte la motivation d'un adolescent à s'engager dans une situation d'apprentissage - on en revient à la notion de plaisir. Un adolescent d'aujourd'hui perçoit un décalage de plus en plus fort entre ce qu'on lui apprend à l'école et la réalité dans laquelle il vit. Il n'y a jamais eu un tel décalage entre le système éducatif et la réalité du quotidien de ces adolescents. Ne croyez pas qu'ils ne soient pas capables d'analyser cela de manière très précise : ils voient bien qu'il y a un hiatus entre ce qu'on leur demande de faire à l'école et le monde dans lequel, toutes et tous, en quinze millisecondes, nous avons accès à toutes les connaissances produites par l'humanité. Et on continue à leur demander d'apprendre des connaissances... Je ne dis pas qu'il ne faut pas apprendre de connaissances : je dis que si on ne passe pas par une explication de la raison pour laquelle il faut apprendre des connaissances, on se retrouve dans une situation très complexe. Il faut aller aussi loin, quand on parle d'éducation aux médias. Aujourd'hui, on a besoin de connaissances pour juger l'information à laquelle on est exposé. Avant, on n'avait pas besoin d'expliquer : l'élève respectait l'interaction de tutelle avec l'enseignant, et ne pouvait acquérir des connaissances que par le savoir prodigué par l'enseignant. C'est terminé ! Cette révolution, elle a eu lieu. Quand on parle de l'attention ou de la concentration, ce que l'on pointe en réalité, c'est ce manque de motivation des élèves à s'engager dans la situation d'apprentissage. On le voit bien : à partir du moment où les enfants sont intéressés, quelle persévérance n'ont-ils pas ! Regardez le temps passé pour passer un niveau dans un jeu vidéo ! On aimerait bien une telle persévérance pour résoudre un problème mathématique... Il faut rendre la situation d'apprentissage intrinsèquement motivante pour lui.

Le fossé entre l'adulte et l'enfant est un point absolument fondamental. Chez les plus jeunes, pour que l'utilisation des écrans ait un effet positif, il faut une utilisation accompagnée par les parents. On ne peut pas laisser un enfant seul devant les écrans, c'est fondamental. En même temps, il y a une réalité sociologique, quotidienne, qui est difficile, et qui renvoie à une différence de milieux sociaux. Dans une famille monoparentale, il est beaucoup plus difficile d'être tout le temps en co-utilisation des écrans. Pour éviter ce fossé, il faut que les parents s'intéressent à ce que font les adolescents sur les réseaux sociaux. C'est aussi un moyen de pouvoir compenser certaines dérives, notamment pour les mécanismes de conformisme social que M. Gattolin évoquait. C'est aussi une problématique de l'adolescence : les adolescents sont beaucoup plus sujets au conformisme social, et à prendre la position dominante dans un groupe. Sur un réseau social, c'est ce qui peut se passer. Mais de tout temps, des adolescents ont martyrisé des animaux... La différence, c'est que maintenant, ces actes sont médiatisés.

M. André Gattolin. - Cela revient à se conformer à la transgression...

M. Grégoire Borst. - D'une certaine manière, c'est se conformer à une position transgressive dominante à un certain moment, qui est de tester les limites imposées par les adultes. Au moment de l'adolescence, on cherche le lien social, la récompense sociale. Le cerveau adolescent est orienté vers la récompense sociale : l'adolescent recherche un statut social dans son groupe d'appartenance, d'où les dérives que l'on peut observer sur les réseaux sociaux, que l'on peut également observer dans la vie réelle, mais que l'on perçoit un peu moins.

M. Mickaël Vallet, président. - Et pour les défis, les challenges ?

M. Grégoire Borst. - Les défis, c'est le quotidien d'un adolescent. Dans sa vie quotidienne, l'adolescent est dans une situation de défi permanent, en compétition avec les autres pour un statut dans un groupe social. Cela n'empêche pas certaines relations de coopération dans des groupes. Les adolescents ne sont pas individualistes, ils sont extrêmement prosociaux, s'orientent vers de grandes causes, et sont particulièrement sensibles aux injustices. Il faut prendre en compte le fait que les zones activées dans un cerveau adolescent face à une injustice sont les mêmes que celles qui sont impliquées dans la douleur physique : l'injustice, c'est pour lui une douleur physique, ce qui explique des réactions parfois excessives.

Pourquoi passe-t-on autant de temps sur les réseaux sociaux ? L'évaluation du temps passé est délicate pour des activités très courtes, avec des boucles de récompense rapides, comme celles de TikTok, dont l'algorithme nous présente une vidéo correspondant à ce que l'on aimerait voir. On retrouve des boucles de récompense dans toutes nos activités quotidiennes : aller manger un bon gâteau dans une pâtisserie active par exemple notre réseau de la récompense. Pour autant, ces réseaux sociaux jouent sur des boucles de récompense extrêmement rapides, qui entraînent une motivation à persévérer sur le réseau social. Pour cette raison, on a tendance à mal estimer le temps qu'on y passe. C'est pourquoi il faut un contrôle de ce temps. Je suis toujours un peu sceptique par rapport à l'idée que ce contrôle doit venir de l'extérieur. L'éducation doit avoir une certaine progressivité : dans un premier temps, les parents doivent définir un contrôle parental pour assurer le développement de l'enfant - imposer, sur tous les nouveaux terminaux numériques, la possibilité de définir un contrôle parental est une bonne chose. Mais le véritable enjeu est que l'enfant parvienne à s'autoréguler dans ses usages, parce que ses parents ne seront pas toujours derrière lui. S'ils n'arrivent pas à responsabiliser leurs enfants face à cela, les parents se retrouveront dans une situation difficile.

M. Mickaël Vallet, président. - Nous voilà rassurés : vous avez commencé en indiquant que la capacité de résistance ou d'inhibition fixe la capacité d'apprentissage ; puis vous terminez par l'idée que l'algorithme de TikTok nourrit un circuit de la récompense gratuite et facile, ce qui pose un problème pour l'appréhension du monde globale de l'adolescent.

M. Grégoire Borst. - La dernière chose que je voudrais indiquer, c'est que si l'on veut réellement apporter des réponses éducatives face à ce nouveau monde, à ces nouveaux outils et ces nouveaux usages, il faut enseigner non seulement la pensée critique, mais, de manière plus globale, la manière dont on fait des choix. À l'école, très peu de connaissances concernent notre propre psychologie ou le fonctionnement de notre cerveau ; dans notre système éducatif, la première fois qu'on étudie notre cerveau, c'est en classe de quatrième. Le défaut de connaissance sur le cerveau est gigantesque, ce qui nous place dans une situation paradoxale : ni l'élève, ni le responsable légal de l'enfant, ni l'enseignant n'ont aucune connaissance de leurs cerveaux respectifs, et on espère que de ce triangle va émerger de l'apprentissage... On peut améliorer l'apprentissage des élèves : il faut leur montrer très tôt comment leur cerveau fonctionne, notamment face à ces outils que sont les réseaux sociaux.

M. Mickaël Vallet, président. - Nous vous remercions de votre participation.

Cette audition a fait l'objet d'une captation vidéo qui est disponible en ligne sur le site du Sénat.

Audition de M. Nicolas Lerner, directeur général de la sécurité intérieure (DGSI) (ne fera pas l'objet d'un compte rendu)

Cette audition ne donnera pas lieu à compte rendu.

La réunion est close à 18 h 45.