art. 14 de la directive 2000/31/CE du 8 juin 2000 (commerce électronique) : exonération de responsabilité de l'hébergeur qui n'a pas connaissance du caractère illicite du contenu stocké ou qui, dès qu'il en acquiert connaissance, agit promptement pour le retirerart. 15 §1 : interdiction d'imposer une obligation générale de surveillance — protection que le prestataire actif perd également, selon la Courart. 3 et domaine coordonné : principe du pays d'origine ; un autre État membre ne peut y déroger que par des décisions individuelles, pour des motifs d'ordre public ou de sécurité publique, et après avoir demandé à l'État d'établissement d'agir puis notifié la Commission et cet État (sauf urgence)art. 1er §5, d) : les jeux d'argent sont exclus du champ de la directive — mais l'hébergement, activité neutre de stockage, n'y est pas « intrinsèquement lié » et reste donc couvertart. 6 du règlement (UE) 2022/2065 (DSA) : reprise à droit constant du régime d'hébergement, ce qui donne aux deux arrêts leur portée pour l'avenir ; art. 7 (enquêtes volontaires, « bon samaritain ») ; art. 27 (systèmes de recommandation)C-236/08 à C-238/08) et YouTube et Cyando (22 juin 2021, C-682/18 et C-683/18), qui avaient forgé le critère du « rôle actif »Le 19 juillet 2022, l'AGCOM, autorité italienne des communications, inflige à Google Ireland Ltd une amende de 750 000 euros et lui ordonne de retirer plusieurs vidéos YouTube faisant la promotion de jeux d'argent en ligne, interdite par la réglementation italienne. Les vidéos avaient été mises en ligne par un créateur de contenu lié à Google par un accord de partenariat commercial prévoyant le partage des recettes publicitaires diffusées avant chaque vidéo. Point décisif : cet accord avait été précédé d'un contrôle portant sur le contenu des vidéos, la thématique de la chaîne, les vidéos les plus regardées ou les plus récentes, et les métadonnées associées.
Google conteste devant le juge administratif italien en invoquant l'article 14 de la directive 2000/31. Saisi, le Conseil d'État italien interroge la Cour de justice. Par arrêt du 16 juillet 2026 (deuxième chambre, C-421/24, AGCOM (Jeux d'argent en ligne)), la Cour juge que l'hébergement de publicités pour des jeux d'argent relève bien de la directive — l'exclusion des jeux d'argent ne s'étend pas au stockage neutre — mais que l'exploitant qui examine ainsi une chaîne pour conclure un partenariat acquiert une « connaissance concrète du contenu essentiel » de l'ensemble des vidéos et ne peut plus prétendre agir en prestataire intermédiaire. Il revient au juge italien de vérifier si Google pouvait raisonnablement ignorer la thématique de la chaîne.
Un mois plus tôt, le 16 juin 2026, la grande chambre avait posé la première moitié du raisonnement dans les affaires jointes C-188/24 WebGroup Czech Republic et NKL Associates et C-190/24 Coyote System, sur renvoi du Conseil d'État français — vérification de l'âge sur les sites pornographiques d'une part, interdiction de rediffuser certains contrôles routiers d'autre part. Outre la validation conditionnelle des mesures françaises visant des prestataires établis ailleurs dans l'Union, la Cour y juge que l'exploitant qui détermine par algorithme « dans quelles conditions, de quelle manière et dans quel ordre de priorité » l'information est rediffusée exerce un contrôle et n'est pas exonéré — même s'il n'a jamais pris connaissance du contenu, le traitement étant automatisé.
Vingt-six ans après la directive de 2000, l'immunité conçue pour des intermédiaires passifs cesse d'être acquise à ceux qui vivent de l'ordonnancement des contenus. La rupture est technique et discrète : jusqu'ici, « pas de connaissance ni de contrôle » se lisait comme une description globale de la passivité. La Cour en fait deux conditions alternatives et autonomes. Contrôler suffit à disqualifier, même sans rien lire ; connaître suffit à disqualifier, même sans rien classer. Et l'automatisation, longtemps invoquée comme preuve de neutralité, devient l'indice inverse : elle établit que l'exploitant a prédéterminé les règles du système.
La leçon la plus contre-intuitive tient à la finalité de la connaissance. Selon l'arrêt du 16 juillet, la connaissance acquise incidemment, par notification, ou par des moyens volontairement déployés pour détecter des contenus illicites ne disqualifie pas l'hébergeur — la logique de l'article 7 du DSA est préservée, sinon plus personne ne modérerait. En revanche, la connaissance acquise pour sélectionner un partenaire commercial expose l'exploitant. Une même opération d'examen change donc d'effet juridique selon le but poursuivi. Corollaire important : cloisonner les équipes « monétisation » et « conformité » ne protège pas, la connaissance étant imputée à l'organisation.
Attention à la portée exacte. La disqualification comme hébergeur n'emporte pas condamnation : elle retire un bouclier, elle ne crée pas une faute. La Cour dit seulement que l'article 14 ne peut plus faire obstacle à l'examen, par le juge national, de l'amende de 750 000 euros ; le fait générateur et les conditions de la responsabilité relèvent du droit national. Autre nuance : perdre la qualité d'hébergeur, c'est aussi perdre la protection de l'article 15 § 1 contre les obligations générales de surveillance — un effet secondaire lourd, que la doctrine propose de limiter en raisonnant par activité détachable (le stockage reste couvert, la fonction d'ordonnancement ne l'est plus).
Pour un praticien de la sécurité offensive et de l'automatisation, le déplacement est net : le risque juridique ne se lit plus dans le contenu hébergé mais dans l'architecture qui le diffuse. Un moteur de recommandation, une file de priorisation, un pipeline de partage de revenus, un scoring de partenaires — autant d'artefacts qui documentent la prédétermination et deviennent des pièces à charge. Une cartographie de conformité crédible doit désormais inventorier, pour chaque service, qui fixe les règles de diffusion, quels examens sont réalisés avant un contrat, et quelles traces (journaux, revues manuelles, tickets, métadonnées) en subsistent.