2002/58/CE du 12 juillet 2002 (« vie privée et communications électroniques »), art. 2, art. 5 §1, art. 6 et surtout art. 15 §1art. 7 et art. 8C-470/21, La Quadrature du Net e.a.L. 336-3 (obligation de surveillance de l'accès), L. 331-19 et L. 331-20 (recommandations), L. 331-23 (autorisation du traitement), R. 331-12 et R. 331-14 (notification, saisine du parquet), R. 335-5 (négligence caractérisée), L. 335-2 à L. 335-4 (contrefaçon)n° 2010-236 du 5 mars 2010, art. 4 I et annexe (traitement « Système de gestion des mesures pour la protection des œuvres sur internet »)L. 243-2 (obligation d'abroger un règlement illégal)L. 911-1 (injonction) et L. 761-1 (frais)En 2019, La Quadrature du Net, French Data Network, Franciliens.net et la Fédération FDN demandent au Premier ministre d'abroger le décret du 5 mars 2010 qui régit le fichier de la réponse graduée. Refus implicite, recours au Conseil d'État. Par une décision avant dire droit du 5 juillet 2021, celui-ci renvoie trois questions préjudicielles à Luxembourg ; la CJUE y répond le 30 avril 2024 (C-470/21).
Deux ans plus tard jour pour jour, le 30 avril 2026, les 10e et 9e chambres réunies rendent la décision n° 433539 (ECLI:FR:CECHR:2026:433539.20260430 ; rapporteur Stéphane Eustache, rapporteure publique Charline Nicolas). Le décret est jugé illégal sur deux points : il ne limite pas les données enregistrées à celles que les opérateurs ont conservées de façon étanche, et le I de son article 4 autorise le membre et les agents de l'Arcom à accéder une troisième fois aux données d'identité d'une même personne sans autorisation préalable.
Le Conseil d'État refuse les douze mois de report demandés par la ministre de la culture (on ne module pas les effets d'une annulation tirée du droit de l'Union, sauf nécessité impérieuse), enjoint au Premier ministre d'abroger — sans astreinte — et fixe un régime transitoire : l'Arcom ne peut demander l'identification d'un abonné que s'il est établi que les données ont été conservées de façon cloisonnée, sauf si les faits relèvent des délits de contrefaçon des articles L. 335-2 à L. 335-4 ; et elle ne peut accéder aux données d'identité que pour envoyer les deux premières recommandations. L'État verse 1 000 € à chacune des quatre associations.
La réponse graduée n'est pas un dispositif de niche : selon le Bilan 2025 — Lutte contre le piratage publié par l'Arcom, l'autorité a envoyé en 2025 12,5 millions de premières recommandations et 1,46 million de deuxièmes, constaté 37 266 cas de négligence caractérisée et transmis 14 347 dossiers à la justice — pour un cumul de plus de 79 millions de premières recommandations depuis 2010. C'est l'un des plus gros traitements de données personnelles à finalité répressive du pays.
Le raisonnement retenu intéresse directement quiconque conçoit des systèmes de journalisation ou de rétention. Il ne dit pas que la conservation est interdite ; il dit que sa licéité dépend d'une propriété d'architecture — le cloisonnement effectif des catégories de données chez l'opérateur, garanti par « un dispositif informatique sécurisé et fiable », contrôlé régulièrement par une autorité tierce — et d'un compteur : deux rapprochements identité/contenu autorisés, le troisième soumis à contrôle préalable non entièrement automatisable. Le juge français constate que rien, en droit français, n'impose cette étanchéité aux opérateurs : la pratique alléguée des quatre principaux FAI ne suffit pas, il faut une règle.
Reste l'échéance politique. L'injonction d'abroger n'est assortie d'aucun délai ni astreinte, et à la date du 3 septembre 2026, aucun décret de mise en conformité n'a été identifié au Journal officiel. La réponse graduée fonctionne donc à la rentrée sous un régime prétorien : deux avertissements possibles, troisième accès gelé, sauf à qualifier les faits de contrefaçon relevant de la criminalité grave — une qualification qui devient, de fait, la clé du dossier.