La part du citoyenTikTok et les mineurs
RS

Rayna Stamboliyska

Role dans la commission : Personne auditionnee

Biographie

Rayna Stamboliyska est consultante et experte en gestion des risques, cybersecurite et affaires

europeennes. Elle est fondatrice et dirigeante de RS Strategy, cabinet de conseil specialise dans

l'accompagnement des organisations face a l'incertitude (regulation numerique europeenne, cybersecurite,

geopolitique du numerique). C'est en cette qualite — presidente de RS Strategy — qu'elle a ete

auditionnee par la commission d'enquete, le mercredi 23 avril 2025.

De nationalite bulgare, elle est titulaire d'un master et d'un doctorat en genetique evolutive et

bio-informatique, ainsi que d'un master en relations internationales, specialite Defense, securite et

gestion de crise. Son parcours professionnel l'a conduite du conseil en gouvernance de la securite et

conformite pour des organisations internationales (Banque mondiale, OCDE, PNUD, UNESCO) a des fonctions

operationnelles en entreprise : RSSI adjointe et deleguee a la protection des donnees (DPO) chez le

groupe Oodrive, puis, a partir de 2020, vice-presidente Gouvernance et Affaires publiques chez YesWeHack

(plateforme de bug bounty), ou elle a notamment travaille sur la divulgation coordonnee de

vulnerabilites.

Elle exerce en parallele plusieurs fonctions d'expertise et d'enseignement : Digital EU Ambassador aupres

de la Commission europeenne, enseignante a Sciences Po Paris, praticienne en residence au Centre Internet

et Societe du CNRS (CIS-CNRS), membre du conseil d'administration de la fondation europeenne

Women4Cyber, experte independante et rapporteure aupres d'un groupe de travail ad hoc de l'ENISA

(agence europeenne de cybersecurite), experte externe du centre d'innovation d'Interpol, et copilote de

la commission de recherche « Gouvernance et geopolitique du numerique » de Renaissance numerique.

Elle est l'autrice de La face cachee d'Internet (Larousse, 2017), consacre aux hackers, au darkweb et

aux usages malveillants de la connectivite, ouvrage distingue par le Prix du livre cyber (categorie

grand public) au FIC 2018. Elle a egalement cree et anime le podcast europeen de cybersecurite

What the Hack.

*Identite verifiee : la qualite declaree devant la commission (presidente de RS Strategy, autrice de

La face cachee d'Internet) correspond bien a la personne decrite ci-dessus ; aucun risque d'homonymie

identifie.*

Dans la commission

Auditionnee une fois (cr04a, 5 interventions), Rayna Stamboliyska intervient depuis un angle

regulation / cybersecurite / donnees plutot que sante mentale. Sa these d'ensemble : le probleme n'est

pas l'absence de regles mais leur non-application, et le reflexe de l'interdiction evite de poser la

question de fond.

Prudence methodologique sur la causalite. Statisticienne de formation, elle refuse d'affirmer un lien

de causalite direct entre TikTok et la degradation de la sante mentale, tout en reconnaissant des effets

documentes sur l'image de soi : « J’ai fait beaucoup de statistiques dans ma carrière et je suis assez

réticente à parler de lien de causalité. Néanmoins, des études montrent que les représentations

véhiculées par des contenus multimédias sur les réseaux sociaux affectent la perception que les personnes

qui les reçoivent ont d’eux-mêmes. L’image de soi peut s’en trouver altérée. » (cr04a). Elle cite les

travaux d'Amnesty International et pointe une rupture par rapport aux reseaux precedents : « La principale

tient à la volumétrie et à la viralité des contenus, ainsi qu’à l’utilisation de l’image et de la vidéo,

notamment sur TikTok. […] Ce changement n’est pas bénéfique, car l’impact de ce que l’on voit est beaucoup

plus fort. » (cr04a). Elle evoque egalement les contenus issus de la manosphere et les representations

stereotypees de la masculinite (cr04a).

Contre le reflexe d'interdiction. Elle critique la tentation prohibitionniste : « de nombreuses

personnes, dont des élus, veulent interdire et verrouiller ceci ou cela et les poncifs se multiplient sur

le fait que tout est la faute d’internet ou des jeux vidéo. Il faudrait au contraire approfondir la

réflexion et chercher de quoi la situation actuelle est le symptôme. » (cr04a). Sur les espaces

« pro-ana », elle rapporte la position d'interlocuteurs specialises : « Ils ont expliqué qu’il ne fallait

pas interdire ces espaces, car ils représentaient un élément de socialité essentiel pour les jeunes qui

ont des problèmes. […] Tout n’est pas blanc ou noir. » (cr04a), ajoutant que ces plateformes, TikTok

compris, peuvent aussi soutenir la guerison (cr04a). Elle doute de l'efficacite des dispositifs

d'affichage ou de marquage seuls : « L’idée d’un mécanisme comme le nutri-score est intéressante.

Néanmoins, lorsqu’un film est marqué comme réservé aux plus de 18 ans parce qu’il est trop violent, je le

regarde quand même. […] cessons-nous de consommer certains aliments parce qu’ils sont classés " D " ? »

(cr04a).

Le vrai sujet : faire appliquer. C'est sa position la plus tranchee. « Si les recommandations ne

suffisent pas, il faut forcer ceux qui ne respectent pas la loi à s’y conformer. La loi n’est pas une

option. » (cr04a). Elle souligne l'ecart entre les obligations du DSA et leur effectivite, notamment sur

l'acces des chercheurs aux donnees : « TikTok par exemple n’est pas très enclin à ce que des chercheurs

accèdent aux données de la plateforme, alors que le DSA le prévoit. Donc, si nous fixons de nouvelles

obligations, comment nous assurer qu’elles seront respectées ? C’est le véritable enjeu. » (cr04a). Elle

mentionne les audits independants realises au titre du DSA : « Or parmi les grandes plateformes, seule

Wikipédia a obtenu une note positive de la part d’auditeurs indépendants. X, Meta avec Instagram et

Facebook, ou TikTok ont des notes négatives. » (cr04a) — tout en relevant que ces rapports restent

inexploitables pour le grand public : « Compte tenu de mon travail, je lis ces rapports, mais ce n’est pas

le cas de 99 % des gens. […] Nous sommes confrontés à une forme de plafond de verre. » (cr04a).

RGPD et autorite chef de file. Elle estime que l'ingenierie traduit mal le droit existant :

« Il existe certes le contrôle parental, mais l’ingénierie est peu mobilisée pour traduire des cadres

juridiques tels que le règlement (UE) 2016/679 » (cr04a). Elle porte l'idee d'une reforme permettant de

saisir l'autorite de protection des donnees de son pays de residence, sa lecture etant que le mecanisme

actuel concentre les dossiers en Irlande : « Il s’agit pratiquement toujours de l’autorité irlandaise,

puisque les grandes plateformes ont installé leur siège européen en Irlande. Or elle a tendance à se

montrer conciliante à leur égard. » (cr04a) — appreciation qui est la sienne. Elle evoque dans le meme

mouvement la possibilite de « provoquer un contrôle de TikTok concernant le transfert de données à

caractère personnel vers la Chine » (cr04a).

Responsabilite partagee et canaux de sensibilisation. « Pour moi, la responsabilité est partagée. Les

parents doivent échanger en permanence avec leurs enfants, mais, bien que ces interactions soient

essentielles, nous ne pouvons pas tout déléguer aux familles ou aux enseignants. » (cr04a). Sur la

prevention, elle insiste sur la credibilite de l'emetteur : « Si les messages viennent de gens comme vous

ou moi, nous n’aurons comme réponse qu’un " OK Boomer " qui n’apportera rien. […] Il faut que les messages

viennent de gens qui sont reconnus et crus par les jeunes. » (cr04a).

Prudence sur l'IA. Elle appelle a la reserve sur l'IA presentee comme solution : « L’IA est à la mode,

mais les pratiques ne sont pas toujours vertueuses, comme la prédation de contenus. Je serai donc assez

prudente s’agissant de son utilisation. » (cr04a).

Sources