L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lecturePiratage : la riposte graduée (loi Hadopi) menacée au Conseil d’État
Le rapporteur public au Conseil d’État va réclamer l’abrogation d’une disposition centrale du dispositif destiné à lutter contre la copie illicite de films et musiques sur les réseaux de pair-à-pair.
La riposte graduée est-elle condamnée ? Le dispositif anti-piratage adopté en 2009 et confié depuis 2022 à l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom) est dans le viseur de plusieurs associations depuis 2019. La Quadrature du Net, French Data Network, Franciliens.net et la Fédération des fournisseurs d’accès à internet associatifs l’estiment contraire au droit de l’Union européenne. Ils réclament l’annulation du décret du 5 mars 2010, qui met en place le « système de gestion des mesures pour la protection des œuvres sur internet » : c’est ce texte qui autorise le traitement des données des abonnés nécessaire à épingler les pirates. Alors que la haute juridiction rendra sa décision dans quelques semaines, le ministère de la Culture et l’Arcom sont spécialement intervenus pour tenter de sauver ce dispositif. Mais selon nos informations, le 3 avril, le rapporteur public va recommander dans ses conclusions l’abrogation d’une des briques majeures de cette réponse pénale.
Pour comprendre les rouages de cette procédure, il faut rappeler que cet instrument de lutte contre le piratage suppose un accès massif à des données personnelles conservées par les FAI. Dans un premier temps, les industries culturelles amassent les adresses IP des internautes qui piratent leurs contenus protégés (films, musiques, etc.) sur les réseaux de pair-à-pair. Ces informations (accompagnées du titre des œuvres) sont ensuite envoyées à l’Arcom qui les transmet aux fournisseurs d’accès afin d’identifier les titulaires de l’abonnement concernés (avec notamment leur adresse postale, leur mail et leur numéro de téléphone). Ces particuliers reçoivent de l’autorité une série d’avertissements successifs, d’abord par mails puis par une ultime lettre recommandée. C’est le volet « pédagogique ». Si des échanges sont encore constatés sur leur ligne, leur dossier est transmis au procureur de la République. Au bout du bout, ils risquent une contravention pour « négligence caractérisée », allant jusqu’à 1 500 euros infligée par les tribunaux de police.
Dans leur procédure, les associations considèrent que ce régime heurte la jurisprudence de la Cour de justice de l’Union européenne (CJUE), très exigeante sur l’encadrement des données personnelles. Le 5 juillet 2021, plutôt que de trancher directement, le Conseil d’État a préféré soumettre le régime français à la même cour. Dans son arrêt du 30 avril 2024, celle-ci a lâché du lest par rapport à ses précédentes positions : elle a validé l’accès de l’Arcom aux données conservées par les FAI, en n’exigeant plus d’intervention préalable d’une juridiction ou d’une autorité administrative tierce. Elle explique sa mansuétude dans la mesure où les atteintes aux droits fondamentaux (vie privée, etc.) dans la manipulation de ces données ne seraient pas toujours si graves. Elle a tout de même posé plusieurs restrictions nouvelles.
L’exigence d’un contrôle préalable
D’abord, la conservation des données par les FAI doit être compartimentée (localisation, adresse IP, identité…) afin qu’Orange, Free, Bouygues Télécom ne puissent tirer des conclusions trop précises sur la vie privée des personnes concernées en les profilant. Idem pour l’Arcom lorsqu’elle accède à ces données. La CJUE a cependant relevé que dans certaines « situations atypiques », la même autorité pourrait malgré tout découvrir des pans de l’intimité des personnes physiques. C’est le cas en particulier lorsque, à partir des titres téléchargés, il est possible de déduire des volets sensibles de leur personnalité. Aucun détail n’est donné, mais on pense à des chansons ou des films religieux ou contestataires, des contenus appréciés par une communauté particulière, etc. En pareils cas, la législation nationale doit impérativement « prévoir, à un certain stade de ladite procédure, un contrôle préalable par une juridiction ou par une entité administrative indépendante ». Enfin, elle réclame un audit régulier de ces rouages par un organisme indépendant.
Selon les associations, « aucune des conditions n’est respectée dans la réglementation nationale ». Dans deux séries d’écritures, consultées par l’Informé, le ministère de la Culture estime au contraire que les conditions relatives à la conservation des données chez les FAI relèvent de leur entière responsabilité. « Il incombe aux fournisseurs (...) eux-mêmes de garantir la mise en place de procédés techniques performants répondant à l’objectif de séparation étanche des données empêchant leur exploitation combinée ». Vérification faite par ses services, « les quatre principaux fournisseurs d’accès à Internet (SFR, Free, Orange, Bouygues Télécom) ont indiqué conserver les données relatives à l’identité civile, au trafic et à la localisation de manière étanche les unes par rapport aux autres ». S’agissant maintenant du contrôle de cette séparation par une autorité, autre que celle qui y accède (et donc l’Arcom), pas plus de difficulté : « la mise en place d’un tel contrôle pourra être réalisée (…) à l’initiative des pouvoirs publics, sans qu’il soit nécessaire de modifier le cadre légal existant » conclut-elle.
Des difficultés « sérieuses », voire « considérables »
Le ministère identifie tout de même des « difficultés sérieuses » dans les exigences de la justice européenne concernant, non plus la conservation, mais cette fois l’accès à ces données d’identification.
Déjà, quelles sont concrètement les « situations atypiques » qui doivent imposer un contrôle préalable par une entité tierce ? La Cour ne dit rien de la méthodologie à suivre et pour le gouvernement, « la seule mention du titre d’une œuvre n’est pas automatiquement de nature à livrer des informations sensibles sur la vie privée d’un internaute, telles que son orientation sexuelle, ses opinions politiques, ses convictions religieuses philosophiques, sociétales ou autres ainsi que son état de santé ». Dit autrement, une personne hétérosexuelle pourrait très bien aimer « Les filles, les meufs » de la chanteuse Marguerite…
De plus, les données communiquées à l’Arcom sont celles des abonnés qui ne sont pas forcément les internautes flashés sur les réseaux de pair-à-pair par les ayants droit (voir encadré). Enfin, comment prévoir concrètement un tel contrôle préalable ? « [S]a mise en place (…) se heurte à un obstacle dès lors qu’avant identification du titulaire de l’abonnement, il n’est pas possible d’identifier le caractère réitérant de la nouvelle saisine, ni le type d’œuvres concernées. » En clair, ce n’est que lorsque l’Arcom a pu identifier une personne derrière une adresse IP qu’elle peut déterminer si celle-ci est en situation de récidive. Ce n’est qu’à ce moment précis que la gardienne de la riposte graduée peut finalement découvrir être en présence d’une « situation atypique ».
L’Arcom, elle aussi, est intervenue dans ce contentieux au travers d’« observations » adressées au Conseil d’État le 4 mars 2026. Pour elle, l’instauration d’un tel contrôle préalable « soulève des difficultés pratiques considérables ». S’il devait être prévu pour chaque saisine de l’autorité par les ayants droit, cela serait même impossible en pratique : « en 2025, l’Arcom a été saisi plus de 1,7 million de fois par les ayants droit, ce qui représente environ 7 000 saisines par jour (…) La mise en place d’un contrôle préalable pour chaque saisine apparaît peu compatible avec le caractère massif des données traitées, sauf à entraîner une paralysie de la procédure. »
Sans surprise, le ministère de la Culture dissuade le Conseil d’État d’annuler le décret attaqué, alors que celui-ci permet de garantir la défense de la propriété intellectuelle, un droit protégé par la Constitution et le droit européen. En outre, la réponse graduée serait d’une grande efficacité, à en croire les études pilotées par l’Arcom. En 2023, par exemple, « sur dix personnes averties, au moins sept ont pris des mesures efficaces pour éviter tout renouvellement d’actes de piratage ». Si le Conseil d’État devait décider malgré tout ordonner l’annulation du texte attaqué, le ministère demande qu’il soit maintenu pendant une période de 12 mois afin de permettre l’adoption de mesures correctives, tant juridiques que techniques.
Pour les associations requérantes, la problématique est beaucoup plus simple : « le sens et la portée des motifs de l’arrêt de la CJUE commandent clairement la mise en place d’un contrôle avant la mise en relation des données d’identité civile avec les informations sur les œuvres téléchargées ». Dès lors, « si une mesure attentatoire aux droits fondamentaux ne peut être mise en œuvre sans être assortie de garanties suffisantes, elle doit alors logiquement être abandonnée ».
Selon nos informations, le rapporteur public au Conseil d’État va recommander ce 3 avril au Conseil d’État d’abroger une pièce centrale du décret attaqué (le I de l’article 4), relative justement à l’accès aux données à caractère personnel par les agents de l’Arcom. Si cette annulation est immédiate, donc sans décalage dans le temps, la riposte graduée devra être stoppée le temps d’une réforme réglementaire, voire législative.
La réponse graduée, fruit d’une violation de la Constitution
En 2006, le législateur avait voulu s’attaquer au piratage massif sur les réseaux de pair-à-pair (P2P). Avec la loi relative au droit d’auteur et aux droits voisins dans la société de l’information (DADVSI), il a imaginé un système de micro-amendes visant les millions d’aficionados de ces échanges non autorisés, afin d’éviter aux ayants droit d’engager de coûteuses et innombrables procédures judiciaires. Le 27 juillet 2006, le Conseil constitutionnel a stoppé net ce projet, censuré pour atteinte au principe d’égalité : les particularités techniques du protocole P2P ne pouvaient justifier un traitement différencié avec d’autres formes de contrefaçons commises par exemple sur un site Internet ou dans la rue. Ces faits devaient donc être traités identiquement (des délits sanctionnés jusqu’à 3 ans de prison et 300 000 euros d’amende). En réponse, les industries culturelles ont prôné un nouveau régime : créer une nouvelle contravention pour sanctionner, cette fois non l’internaute mais le titulaire de l’abonnement à partir duquel le piratage a eu lieu. Depuis la loi de 2009, si des échanges illicites se produisent depuis sa box, la Hadopi adresse à l’abonné une série d’avertissements, d’abord par mails puis par lettre recommandée. S’il persiste à les ignorer, il risque alors jusqu’à 1 500 euros de contravention infligés par le tribunal de police. En janvier 2022, la Hadopi a été supprimée, mais le mécanisme de la réponse graduée a survécu cette fois entre les mains de l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom).
