# Brief — Hadopi : 79 millions d'avertissements plus tard, le Conseil d'État interdit à l'Arcom de vous identifier une troisième fois sans l'accord d'un juge
**Thème : libertés et données de connexion — conservation cloisonnée des adresses IP, accès administratif aux données d'identité civile, contrôle préalable indépendant à partir du troisième recoupement, et abrogation forcée du décret « réponse graduée »**
**Mots-clés :** #libertes #cyber #cjue #conseil-etat #arcom #donnees-de-connexion #droit-auteur
Le **30 avril 2026**, les 10e et 9e chambres réunies du Conseil d'État ont rendu la décision **n° 433539** (ECLI:FR:CECHR:2026:433539.20260430, rapporteur **Stéphane Eustache**, rapporteure publique **Charline Nicolas**) : le décret **n° 2010-236 du 5 mars 2010**, qui régit le fichier de la réponse graduée — le « Système de gestion des mesures pour la protection des œuvres sur internet », autorisé par l'**article L. 331-23 du code de la propriété intellectuelle** —, est illégal, et le Premier ministre doit l'abroger dans cette mesure. C'est l'épilogue français d'un contentieux ouvert en **2019** par **La Quadrature du Net**, **French Data Network**, **Franciliens.net** et la **Fédération FDN**, passé par une décision avant dire droit du **5 juillet 2021** et par l'arrêt de grande chambre **C-470/21** du **30 avril 2024**, dont le module Droit Vivant du 25 juin 2026 avait exposé la doctrine. Ce module-ci ne raconte pas l'arrêt européen : il raconte ce que le juge national en a fait, deux ans plus tard, jour pour jour.
Deux illégalités, et deux seulement. La **première** tient à la conservation en amont : la CJUE n'admet une conservation généralisée des adresses IP pour la lutte contre les infractions pénales « en général » qu'à la condition d'une **séparation effectivement étanche** des catégories de données chez l'opérateur — identité civile d'un côté, adresses IP de l'autre, données de trafic et de localisation ailleurs —, garantie par « un dispositif informatique sécurisé et fiable », la mise en relation IP/identité s'opérant par un procédé technique qui ne ruine pas ce cloisonnement, le tout soumis à un contrôle régulier par une autorité publique distincte de celle qui demande l'accès. Or, relève le Conseil d'État au point 16, la ministre de la culture a beau soutenir que les quatre principaux fournisseurs d'accès français procèdent ainsi, **aucune disposition légale ne le leur impose** pour les besoins de la lutte contre les infractions pénales en général. Une pratique n'est pas une garantie : le décret est illégal en tant qu'il ne limite pas les données enregistrées dans le traitement à celles qui ont été conservées dans ces conditions. La **seconde** illégalité vise le **I de l'article 4** du décret : rien n'oblige le membre et les agents de l'Arcom à solliciter l'autorisation d'une juridiction ou d'une entité administrative indépendante pour accéder **une troisième fois**, pour une même personne, aux données d'identité — alors que ce troisième rapprochement entre une identité et le contenu des œuvres partagées est précisément celui que la CJUE juge susceptible de révéler des aspects sensibles de la vie privée, et qui exige un contrôle préalable **non entièrement automatisable**, exercé par un tiers objectif et impartial.
Le dispositif de la décision est aussi intéressant que ses motifs. La ministre de la culture demandait de **différer de douze mois** les effets de l'annulation, le temps d'écrire les textes ; le Conseil d'État refuse au point 20, en rappelant que le juge national ne module pas les effets d'une annulation résultant de la méconnaissance du droit de l'Union, sauf nécessité impérieuse — non caractérisée ici. Il **enjoint** au Premier ministre d'abroger, **sans astreinte** et sans délai chiffré (points 21 et articles 1er et 2), et met à la charge de l'État **1 000 euros** pour chacune des quatre associations au titre de l'**article L. 761-1 du code de justice administrative**. Surtout, il installe un **régime transitoire** directement opposable à l'Arcom (article 3, points 22 et 23) : dans l'attente du nouveau décret, l'autorité ne peut demander aux opérateurs l'identification d'un abonné à partir de son adresse IP que **s'il est établi** que les données ont été conservées de façon cloisonnée ; elle en est dispensée lorsque les faits sont susceptibles de constituer les **délits de contrefaçon des articles L. 335-2, L. 335-3 ou L. 335-4** du code de la propriété intellectuelle et d'entrer dans le champ de la criminalité grave ; et elle ne peut accéder aux données d'identité que pour adresser la **première** ou la **seconde** des recommandations de l'article L. 331-20. Le troisième temps de la procédure — la lettre de notification, puis la transmission au procureur — est donc suspendu à une autorisation que le droit français n'organise pas encore.
L'échelle rend la chose concrète. Selon le **Bilan 2025 — Lutte contre le piratage** publié par l'Arcom en mars 2026, l'autorité a adressé en 2025 **12,5 millions** de premières recommandations et **1,46 million** de secondes, constaté **37 266** cas de négligence caractérisée et transmis **14 347** dossiers aux tribunaux, pour un cumul de plus de **79 millions** de premières recommandations depuis 2010 ; la contravention de **négligence caractérisée** de l'**article R. 335-5** plafonne à **1 500 euros** (7 500 pour une personne morale), quand la contrefaçon expose à **trois ans d'emprisonnement et 300 000 euros** (1 500 000 pour une personne morale). Pour qui construit des systèmes, la leçon est une leçon d'architecture plus que de conformité documentaire : la licéité d'un dispositif de rétention ne se prouve pas par une politique interne, mais par une propriété structurelle — des silos réellement étanches, une jointure contrôlée, une journalisation qui permette de compter combien de fois une même personne a été rapprochée d'un contenu, et un point d'arrêt matérialisé dans le code là où le droit place un juge. À la date du **3 septembre 2026**, aucun décret de mise en conformité n'a été identifié au Journal officiel : la réponse graduée entre dans sa rentrée sous un régime prétorien, et la qualification des faits en contrefaçon plutôt qu'en négligence devient, mécaniquement, la voie de contournement la plus disponible — celle-là même que le Conseil d'État a pris soin d'assortir d'une condition de gravité.
## Sources
- [Conseil d'État, 10e-9e chambres réunies, 30 avril 2026, n° 433539 — texte intégral (ArianeWeb)](https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2026-04-30/433539)
- [Conseil d'État — communiqué « Protection des droits d'auteur contre le piratage : le traitement de données personnelles doit être revu », 30 avril 2026](https://www.conseil-etat.fr/actualites/protection-des-droits-d-auteur-contre-le-piratage-le-traitement-de-donnees-personnelles-doit-etre-revu)
- [Conseil d'État — décision avant dire droit du 5 juillet 2021, n° 433539 (renvoi préjudiciel)](https://www.conseil-etat.fr/fr/arianeweb/CE/decision/2021-07-05/433539)
- [CJUE, grande chambre, 30 avril 2024, C-470/21, La Quadrature du Net e.a. (EUR-Lex)](https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX:62021CJ0470)
- [Légifrance — Décret n° 2010-236 du 5 mars 2010 relatif au traitement « Système de gestion des mesures pour la protection des œuvres sur internet »](https://www.legifrance.gouv.fr/loda/id/JORFTEXT000021923996)
- [Légifrance — Code de la propriété intellectuelle, article L. 336-3 (obligation de surveillance de l'accès)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000021212163)
- [Légifrance — Code de la propriété intellectuelle, article L. 331-19](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000044259209)
- [Légifrance — Code de la propriété intellectuelle, article L. 331-20 (recommandations successives)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000044259206)
- [Légifrance — Code de la propriété intellectuelle, article R. 335-5 (négligence caractérisée)](https://www.legifrance.gouv.fr/codes/article_lc/LEGIARTI000044918356)
- [Légifrance — Directive 2002/58/CE du 12 juillet 2002 (vie privée et communications électroniques), version publiée au JO](https://www.legifrance.gouv.fr/jorf/id/JORFTEXT000000337468)
- [Arcom — « La réponse graduée » (déroulé de la procédure, peines encourues)](https://www.arcom.fr/nos-missions/promotion-et-protection-de-la-creation/la-reponse-graduee)
- [Arcom — Bilan 2025 : Lutte contre le piratage (PDF, chiffres de la réponse graduée)](https://www.arcom.fr/sites/default/files/2026-03/Arcom_Bilan%202025_Lutte_Piratage.pdf)
- [Droit Vivant — module du 25 juin 2026 : CJUE C-470/21, conservation et accès aux adresses IP](https://maax6.github.io/droit-vivant/archive/2026-06-25/brief-2026-06-25.html)
- [Droit Vivant — module du 24 août 2026 : EncroChat, captation de données et preuve numérique](https://maax6.github.io/droit-vivant/archive/2026-08-24/brief-2026-08-24.html)
- [Droit Vivant — module du 28 août 2026 : CJUE C-484/24, preuve obtenue en violation du RGPD](https://maax6.github.io/droit-vivant/archive/2026-08-28/brief-2026-08-28-preuve-illicite.html)