Les traitements informatisés et automatisés de données à caractère personnel mis en œuvre par le pôle d'expertise de la régulation numérique dans le cadre des activités d'expérimentation et de recherche publique mentionnées aux cinquième et sixième alinéas du I de l'article 36 de la loi du 25 octobre 2021 susvisée reposent sur la collecte et l'exploitation des contenus publiquement accessibles aux utilisateurs des services numériques des opérateurs mentionnés aux premier et septième alinéas du I de l'article 36 susvisé, y compris lorsque l'accès à ces services numériques requiert une inscription à un compte.

La sélection des contenus à collecter s'opère de manière proportionnée et automatisée par application de critères techniques déterminés pour les besoins particuliers de chaque activité d'expérimentation ou de recherche, dans la limite de la constitution d'échantillons de données statistiquement représentatifs de faible amplitude et à l'exclusion de tout recours à un système de reconnaissance faciale ou d'identification vocale.

Avant chaque activité d'expérimentation ou de recherche mentionnée à l'article 2 du présent décret, le pôle d'expertise de la régulation numérique adresse à l'opérateur de services numériques concerné une notification précisant :

1° Les catégories de données collectées ;

2° La modalité envisagée de collecte de données, notamment si elle s'effectue par moissonnage automatisé ou par l'intermédiaire d'une interface de programmation applicative ;

3° Le cas échéant, la ou les adresses IP utilisées pour collecter les données ;

4° L'estimation du nombre des requêtes effectuées ;

5° Les plages de dates et éventuellement les plages horaires de collecte des données ;

6° Les coordonnées de l'agent du service responsable de l'expérimentation ou du projet de recherche.

La notification mentionnée au premier alinéa intervient au moins deux mois avant le début de la collecte.

L'opérateur de services numériques dispose d'un délai de six semaines à compter de la réception de cette notification pour communiquer au pôle d'expertise de la régulation numérique ses observations relatives à la préservation de la sécurité de ses services et, le cas échéant, les informations nécessaires à l'utilisation de l'interface de programmation applicative mise à disposition pour la collecte de données, notamment la clé d'identification à cette interface. Il peut informer le pôle d'expertise de la régulation numérique des problèmes dont il a connaissance concernant la qualité et les biais portant sur les données collectées.

Le responsable du service prend en compte les observations de l'opérateur de services numériques pour définir les modalités de mise en œuvre de la collecte des données.

Pour la collecte des contenus mentionnés à l'article 2, le pôle d'expertise de la régulation numérique est autorisé à créer des comptes sur les services numériques ainsi que des comptes destinés à être utilisés par l'intermédiaire d'interfaces de programmation mises à disposition par ces opérateurs de services numériques.

Les agents du pôle d'expertise de la régulation numérique ne sont pas autorisés à utiliser ces comptes pour entrer en relation avec d'autres détenteurs de compte, diffuser des contenus ou exercer une activité autre que celle prévue au précédent alinéa.

Les catégories de données à caractère personnel et informations susceptibles d'être collectées sont :

1° Les données d'identification déclarées par les titulaires de comptes ouverts sur les services numériques, telles qu'elles apparaissent sur ces comptes ;

2° Les contenus, qui peuvent notamment être des écrits, des images, des photographies, des sons, des icônes ou des vidéos, publiquement accessibles dans les conditions définies à l'article 2, diffusés ou relayés au moyen de ces comptes, ainsi que les commentaires associés à ces contenus, y compris les messages diffusés par les services numériques ;

3° Les métadonnées liées aux données mentionnées aux 1° et 2°, notamment les informations relatives aux dates et heures de leur création et les indicateurs d'audience associés.

Les données collectées qui ne sont pas nécessaires aux finalités poursuivies par l'expérimentation ou le projet de recherche ainsi que les données identifiées comme sensibles au sens de l'article 6 de la loi du 6 janvier 1978 susvisée sont détruites immédiatement après leur collecte, selon un procédé automatisé.