Une proposition de loi LReM vient adapter le droit français à l’entrée en application du règlement européen obligeant les hébergeurs à retirer en une heure les contenus terroristes. Le texte offre de nouvelles compétences à l’Arcom, fruit de la fusion CSA Hadopi.

Le règlement européen du 29 avril 2021 est venu aiguiser la lutte contre la diffusion des contenus à caractère terroriste en ligne. Un corpus de règles uniformes, d’application directe dans tous les États membres. 

En substance, ce véhicule introduit des « devoirs de vigilance raisonnables et proportionnés » aux hébergeurs qui proposent leurs prestations en Europe, peu importe donc leur lieu d’établissement dans le monde. Dans ses premières lignes, le texte précise les contenus à caractère terroriste concernés, en s’appuyant sur la (très longue) définition apportée par une directive de 2017 (article 3).

Il s'agit d'actes comme des atteintes à la vie, les prises d'otage mais aussi les destructions massives de systèmes informatiques... Des actes qui doivent être menés dans l'un des buts énumérés : « gravement intimider une population », « contraindre indûment des pouvoirs publics ou une organisation internationale à accomplir ou à s’abstenir d’accomplir un acte quelconque », ou encore « gravement déstabiliser ou détruire les structures politiques, constitutionnelles, économiques ou sociales fondamentales d’un pays ou d’une organisation internationale ».

De son côté, le règlement frappe les contenus incitatifs ou qui glorifient ces actes, et ceux qui sollicitent une personne pour les commettre. Il vise aussi la fourniture d’« instructions concernant la fabrication ou l’utilisation d’explosifs, d’armes à feu ou d’autres armes, ou de substances nocives ou dangereuses ». 

Un retrait en une heure

Le règlement reconnait à chaque État membre le pouvoir d’émettre une injonction de retrait. Des injonctions très musclées puisque les hébergeurs devront retirer ces contenus ou en bloquer l’accès dans tous les États membres « dès que possible » et au plus tard dans le délai d’une heure à compter de la réception de l’injonction.

S’il y a évidemment des voies de recours, a posteriori, le retrait ou blocage sera obligatoire dans ce laps de temps très court. Une contrainte très lourde pour les petits hébergeurs, qui ne peuvent assurer un suivi H24, 7j/7, 365 jours par an. 

Le texte ouvre quelques rares exceptions pouvant justifier un dépassement de ces 60 petites minutes. Elles tiennent à des motifs de force majeure ou à des impossibilités qui ne sont pas imputables à l’hébergeur. Autres hypothèses : en cas d’erreur manifeste dans l’injonction ou parce que celle-ci ne contient pas les informations obligatoires, comme la motivation de la demande de retrait ou l’adresse URL du contenu.

Des procédures spécifiques sont prévues s’agissant des injonctions de retrait transfrontières. Autre point à retenir, les contenus retirés devront être conservés durant 6 mois, à disposition des autorités. Des obligations de transparence sont également au menu.

Outils automatisés

Si les hébergeurs ne sont pas soumis à une obligation générale de surveillance ou de rechercher activement des faits, le règlement exige néanmoins des « mesures techniques », et leur demande d'« utiliser des outils automatisés s’ils estiment que cela est approprié et nécessaire pour lutter efficacement contre l’utilisation abusive de leurs services pour diffuser des contenus à caractère terroriste ».

Étant précisé que ces outils devront faire le tri parfois délicat entre les vrais contenus terroristes et ceux diffusés « à des fins éducatives, journalistiques, artistiques ou de recherche, ou à des fins de prévention ou de lutte contre le terrorisme », lesquels n’entrent pas ce champ... Les petits hébergeurs, qui ne peuvent se permettre d'avoir une vigie présente H24, devront en pratique laisser une grande place à ces traitements automatisés.

Le texte d’avril 2021 a renvoyé à chaque État membre le soin de définir les modalités d’application, s’agissant notamment de la désignation des autorités compétentes, sachant que l’entrée en application a été fixée au 7 juin 2022.

De nouvelles cordes pour l’ARCOM

En France, à l’Assemblée nationale, le groupe LREM a déposé une proposition de loi visant à adapter la législation actuelle à l’approche de ce terme.

• Le dossier législatif 
• La proposition de loi 

Jusqu’à présent la législation en vigueur était fixée à l’article 6 - 1 de la loi sur la confiance dans l’économie numérique. L’article organise un blocage administratif des sites.

Imaginé d’abord à l’encontre la pédopornographie par la loi d'orientation et de programmation pour la performance de la sécurité intérieure (LOPPSI) de 2011, le dispositif a été étendu au terrorisme à l’occasion de la loi du 13 novembre 2014. Textes entrés en application seulement en 2015, après bien des retards.

• La France active le blocage des sites sans juge. Une première.

Après une succession de réformes, le texte actuel prévoit en substance que l’OCLCTIC peut demander aux FAI et aux hébergeurs le retrait des contenus terroristes et pédophiles dans les 24 heures.

• Quand l'Office de lutte contre la cybercriminalité exige le retrait d'un photomontage visant Macron 

Ces mesures administratives sont décidées sans juge. Seul contrôle extérieur, la présence d’une personnalité qualifiée désignée aujourd’hui par la CNIL, et demain par l’Arcom. Un contrôle qui a donné lieu à un seul contentieux, lors d’une audience au tribunal administratif de Cergy-Pontoise relatée dans nos colonnes.

• Blocage administratif : bras de fer entre la personnalité qualifiée de la CNIL et l’Intérieur
• Blocage administratif : la personnalité qualifiée de la CNIL fait plier la police devant la justice

 24 heures ramenées à 60 minutes

La proposition de loi LREM confie davantage encore de pouvoir à l’Arcom. Ce CSA recarrossé, la Hadopi dans son ventre, procédera par exemple à l’examen approfondi des injonctions de retrait transfrontières « afin de déterminer si elle viole gravement ou manifestement » le règlement ou les libertés et droits fondamentaux.

C’est encore l’Arcom qui sera compétente pour ausculter les « mesures spécifiques » mises en œuvre par les hébergeurs, comme les outils destinés à « identifier et retirer promptement » ou marquer les contenus terroristes, sachant que « lorsque les mesures spécifiques impliquent le recours à des mesures techniques, des garanties appropriées et efficaces, notamment au moyen d’une surveillance et d’une vérification humaines, sont prévues pour s’assurer de l’exactitude et éviter le retrait de matériel qui ne constitue pas un contenu à caractère terroriste ».

Et c’est toujours l’Arcom qui réceptionnera les notifications des hébergeurs non UE désignant en France un représentant légal, une autre obligation du règlement.

Des sanctions allant jusqu’à 4 % du C.A.

La méconnaissance du retrait en une heure d’un contenu terroriste sera sanctionnée d’un an d’emprisonnement et de 250 000 euros d’amende, amende portée à 4 % du chiffre d’affaires mondial si l’infraction est commise « de manière habituelle ».

Quand un contenu à caractère terroriste présente « une menace imminente pour la vie », l’hébergeur devra en informer immédiatement les autorités, du moins dès qu’il en aura connaissance. À défaut ? La proposition de loi LREM prévoit trois ans d’emprisonnement et 250 000 euros d’amende.

Plus globalement, l’Arcom sera chargée du respect de l’ensemble des conditions du règlement par les hébergeurs installés en France ou ayant dans le pays leur représentant. Et « en cas de non‑respect systématique ou persistant », l’intermédiaire pourra être mis en demeure de rectifier le tir.

S’il ne respecte pas cette injonction, la sanction pourra grimper à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, sachant que ce montant dépendra de sa solidité financière, de la gravité des manquements, de l’historique des manquements, etc. Ces sanctions pourront être rendues publiques.

La date d'examen de la proposition de loi n'a pas encore été précisée.