↓ Version .md brute (pour NotebookLM)

Réponse graduée : quand le droit européen impose une architecture, pas seulement une politique

Le point de départ

L'article L. 336-3 du code de la propriété intellectuelle impose au titulaire d'un accès à internet de veiller à ce que cette connexion ne serve pas à reproduire, représenter ou mettre à disposition des œuvres protégées sans autorisation. Ce n'est pas une interdiction de pirater : c'est une obligation de surveillance de sa propre ligne. Pour la faire respecter, le législateur a confié à une autorité administrative — la Hadopi en 2009, l'Arcom depuis le 1er janvier 2022 — une procédure dite de « réponse graduée », organisée par les articles L. 331-19 à L. 331-24 du même code.

Le mécanisme est en trois temps. Saisie par les agents assermentés des ayants droit, par les organismes de gestion collective, par le Centre national du cinéma et de l'image animée ou par le parquet, l'Arcom reçoit des constats comportant une adresse IP, la date des faits et des informations sur l'œuvre concernée. Elle demande alors à l'opérateur de communications électroniques de lui fournir l'identité civile correspondant à cette adresse IP : nom, prénoms, adresse postale, adresse électronique, coordonnées téléphoniques. Elle envoie une première recommandation. En cas de réitération dans les six mois, une seconde, cette fois notifiée de manière à établir la preuve de sa présentation. Si de nouveaux manquements sont constatés dans l'année qui suit, une lettre de notification informe l'abonné qu'il est passible de poursuites, et le membre compétent de l'Arcom peut transmettre le dossier au procureur de la République, soit sur le fondement de la contravention de négligence caractérisée de l'article R. 335-5, soit sur celui des délits de contrefaçon des articles L. 335-2 à L. 335-4. Le fichier qui porte tout cela — le « Système de gestion des mesures pour la protection des œuvres sur internet » — est autorisé par l'article L. 331-23 et organisé par un décret en Conseil d'État du 5 mars 2010.

Ce qui vient d'être jugé

Le 30 avril 2026, les dixième et neuvième chambres réunies du Conseil d'État ont rendu la décision n° 433539. Elle clôt un contentieux ouvert en 2019 par quatre associations — La Quadrature du Net, French Data Network, Franciliens.net et la Fédération des fournisseurs d'accès à internet associatifs — qui avaient demandé au Premier ministre d'abroger le décret de 2010 et attaquaient son refus implicite. Par une décision avant dire droit du 5 juillet 2021, le Conseil d'État avait posé trois questions préjudicielles à la Cour de justice de l'Union européenne, qui y a répondu le 30 avril 2024 dans l'arrêt de grande chambre C-470/21. La décision de 2026 est l'application de cette réponse au droit français.

Deux illégalités sont retenues, et il faut bien voir qu'elles portent sur deux moments distincts de la chaîne de données.

La première est en amont, chez l'opérateur. La Cour de justice admet qu'un État membre impose la conservation généralisée et indifférenciée des adresses IP pour lutter contre les infractions pénales en général — ce qui est déjà un infléchissement notable de sa jurisprudence antérieure —, mais à une condition structurelle : qu'il soit effectivement exclu que cette conservation permette de tirer des conclusions précises sur la vie privée des personnes, notamment par le croisement des adresses IP avec des données de trafic ou de localisation également conservées. Pour cela, la législation nationale doit prévoir des règles claires et précises garantissant une séparation effectivement étanche entre les catégories de données conservées, une étanchéité assurée par un dispositif informatique sécurisé et fiable, une mise en relation IP/identité réalisée par un procédé technique performant qui ne remette pas en cause cette séparation, et un contrôle régulier de la fiabilité de cette conservation par une autorité publique autre que celle qui demande l'accès. Le Conseil d'État constate que la ministre de la culture soutient que les quatre principaux fournisseurs d'accès français font effectivement ainsi — mais qu'aucune disposition légale ne le leur impose pour les besoins de la lutte contre les infractions pénales en général. Le décret est donc illégal en tant qu'il ne limite pas les données enregistrées dans le traitement à celles qui ont été conservées dans ces conditions.

La seconde illégalité est en aval, chez l'autorité. La Cour de justice avait posé une règle de comptage : une autorité publique peut, en principe, accéder aux données d'identité civile correspondant à une adresse IP sans contrôle préalable systématique, parce que connaître l'identité civile d'un abonné ne constitue pas en soi une atteinte grave. Mais lorsque cette même autorité met en relation ces données d'identité avec des informations, même limitées, sur le contenu des œuvres illégalement partagées, et qu'elle le fait de manière itérative pour une même personne, elle finit par apprendre des choses sensibles. D'où la règle : après deux mises en relation pour une même personne, la troisième suppose l'autorisation préalable d'une juridiction ou d'une entité administrative indépendante, contrôle qui ne peut pas être entièrement automatisé, exercé par un organe tiers, objectif et impartial, et qui doit refuser l'accès lorsqu'il permettrait de tirer des conclusions précises sur la vie privée — sauf soupçon de formes graves de criminalité. Le I de l'article 4 du décret de 2010 ne prévoit rien de tel : il est donc illégal dans cette mesure.

Le dispositif, et ce qu'il change tout de suite

La ministre de la culture demandait au juge de différer de douze mois les effets de l'annulation, le temps de réécrire les textes. Refus : le juge national ne peut moduler dans le temps les effets d'une annulation qui résulte de la méconnaissance du droit de l'Union, sauf nécessité impérieuse, non caractérisée ici. Le Conseil d'État annule donc le refus d'abroger dans la mesure des deux illégalités, enjoint au Premier ministre d'abroger — sans astreinte, et sans délai chiffré —, et met à la charge de l'État mille euros pour chacune des quatre associations.

Puis il fait quelque chose de plus rare : il écrit lui-même le régime applicable dans l'intervalle, et le rend opposable à l'Arcom par l'article 3 de son dispositif. Dans l'attente du nouveau décret, l'Arcom ne peut demander aux opérateurs l'identification d'un abonné à partir de son adresse IP que s'il est établi que ces données ont été conservées de façon cloisonnée — charge de la démonstration qui pèse donc sur elle. Elle en est dispensée lorsque les faits dont elle est saisie sont susceptibles de constituer les délits de contrefaçon des articles L. 335-2, L. 335-3 ou L. 335-4 et d'entrer dans le champ de la criminalité grave. Et elle ne peut accéder aux données d'identité que pour adresser la première ou la seconde des recommandations. Le troisième temps de la procédure est suspendu à une autorisation qu'aucun texte français n'organise à ce jour.

L'ordre de grandeur mérite d'être posé. Selon le bilan 2025 de l'Arcom sur la lutte contre le piratage, publié en mars 2026, l'autorité a adressé sur l'année 12,5 millions de premières recommandations et 1,46 million de secondes, constaté 37 266 cas de négligence caractérisée et transmis 14 347 dossiers aux tribunaux, pour un cumul dépassant 79 millions de premières recommandations depuis 2010. La contravention de négligence caractérisée plafonne à 1 500 euros pour une personne physique, 7 500 pour une personne morale ; la contrefaçon expose à trois ans d'emprisonnement et 300 000 euros d'amende, 1 500 000 pour une personne morale.

Pourquoi cela dépasse le droit d'auteur

L'intérêt de la décision n'est pas dans le piratage : il est dans la manière dont le juge traite une garantie. Ce qui est exigé n'est pas une politique interne, ni une charte, ni un engagement de bonne conduite d'opérateurs par ailleurs sérieux. C'est une propriété du système, imposée par une règle de droit, vérifiable par un tiers. Le point 16 est limpide : peu importe que les quatre grands FAI cloisonnent effectivement, puisque rien ne les y oblige.

L'autre enseignement est la transformation d'un seuil juridique en compteur technique. « Deux mises en relation, puis contrôle préalable » est une règle qui n'a de sens que si le système sait, pour chaque personne, combien de fois l'opération a déjà eu lieu, et sait s'arrêter. C'est une contrainte de conception : identifiant stable de la personne, journal des rapprochements, blocage matérialisé dans le code, et point d'insertion pour une décision humaine qui, par construction, ne peut pas être automatisée. Rares sont les règles de protection des données qui se traduisent aussi directement en exigences d'implémentation.

Enfin, la décision illustre un mode de sortie de crise typiquement administratif : plutôt que de faire disparaître le dispositif, le juge le maintient en le rétrécissant, et déplace le point d'équilibre vers la qualification pénale. Puisque l'exigence d'étanchéité tombe lorsque les faits relèvent de la criminalité grave, la frontière entre négligence caractérisée et contrefaçon cesse d'être une simple question de peine encourue : elle devient la porte d'accès aux données. C'est probablement là que se jouera le prochain épisode.

Angles de lecture pour NotebookLM (à coller dans « Personnaliser » de l'Audio Overview)

Choisissez l'un des cinq angles ci-dessous selon ce que vous voulez entendre, et collez le texte tel quel dans le champ de personnalisation de l'Audio Overview.

Angle 1 — Audit offensif d'une chaîne de rétention. Traite ce document comme le cahier des charges d'un audit. Détaille ce qu'un auditeur devrait vérifier chez un opérateur pour établir la « séparation effectivement étanche » exigée : segmentation réelle des bases d'identité civile, d'adresses IP, de trafic et de localisation, cloisonnement des comptes et des habilitations, absence de jointure exploitable par une requête ad hoc, existence d'un procédé de mise en relation dédié, journalisation immuable des accès. Puis liste les contournements plausibles — sauvegardes non segmentées, environnements de recette, exports analytiques, outils d'exploitation, tickets de support — qui ruinent l'étanchéité sans qu'aucune règle écrite ne soit violée.

Angle 2 — Architecture et API : transformer un seuil juridique en compteur. Concentre-toi sur la règle des deux mises en relation. Décris l'implémentation qu'elle suppose : identifiant pivot stable d'une personne à travers des adresses IP changeantes, table des rapprochements identité/contenu, incrémentation atomique, blocage dur au troisième, file d'attente vers un organe d'autorisation externe avec API de demande et de réponse, horodatage et preuve de l'autorisation obtenue, exception « urgence dûment justifiée » et exception « criminalité grave » matérialisées comme des chemins distincts et tracés. Discute des points de rupture : réattribution dynamique des adresses IP, partage d'une même ligne entre plusieurs personnes, CGNAT, rétention des compteurs face aux durées de conservation imposées par ailleurs, et risque qu'un compteur destiné à protéger devienne lui-même un profil.

Angle 3 — Comparaison avec les autres régimes déjà traités dans le dépôt. Mets cette décision en regard des modules précédents de Droit Vivant : l'arrêt C-470/21 lui-même, exposé le 25 juin 2026, dont ce module est la suite nationale ; la compromission d'EncroChat et la question du contradictoire face au secret de la défense nationale ; l'arrêt C-484/24 sur l'usage judiciaire d'une preuve obtenue en violation du RGPD ; la sanction infligée à Uber sur le terrain des décisions automatisées de l'article 22 du RGPD. Montre que le point d'imputation change à chaque fois — l'opérateur qui conserve, l'autorité qui accède, le service qui capte, le juge qui exploite, la plateforme qui décide — et compare la nature de la contrainte : plafond d'amende ici, interdiction d'accès là, régime prétorien transitoire ailleurs.

Angle 4 — Veille réglementaire automatisée sur la suite du dossier. Propose une méthode concrète pour suivre ce dossier sans le relire à la main. Sources à surveiller : le Journal officiel électronique authentifié pour le décret modifiant ou abrogeant le décret n° 2010-236, les délibérations de la CNIL portant avis sur ce projet de décret, ArianeWeb et Judilibre pour les suites contentieuses, les bilans annuels de l'Arcom sur la lutte contre le piratage et leurs séries statistiques, les publications de La Quadrature du Net et de la Fédération FDN, les flux CURIA et EUR-Lex sur la directive 2002/58/CE. Précise la granularité utile, les mots-clés de filtrage, et les déclencheurs d'alerte pertinents : publication du décret de mise en conformité, désignation de l'entité administrative indépendante chargée des autorisations, première décision d'exécution ou demande d'astreinte, décrochage visible des statistiques de troisièmes phases dans le bilan annuel suivant.

Angle 5 — Prospective contentieuse : où se déplace le point de friction. Projette la suite en te concentrant sur les zones grises. Qui pourra jouer le rôle d'« entité administrative indépendante » dotée de la qualité de tiers par rapport à l'Arcom, et quelle indépendance faudra-t-il démontrer pour qu'un service interne ne suffise pas ? Comment l'Arcom établira-t-elle, dossier par dossier, que les données ont bien été conservées de façon cloisonnée, alors qu'aucune norme ne l'impose encore aux opérateurs ? Que devient la frontière entre négligence caractérisée et contrefaçon, dès lors que la seconde qualification dispense de la vérification d'étanchéité — et jusqu'où un juge admettra-t-il qu'un partage en pair à pair relève des « formes graves de criminalité » ? Enfin, interroge le sort des procédures engagées avant le 30 avril 2026 sur le fondement d'accès désormais jugés irréguliers, et la manière dont un prévenu pourrait s'en emparer devant le juge pénal.