De moins en moins bruyante, la Hadopi n’en poursuit pas moins son activité phare : la riposte graduée. Des questions dites « préjudicielles » viennent d’être adressées à la Cour de justice de l’Union européenne. Selon leur sens, elle pourrait fendre les rouages de l’autorité indépendante née dans la douleur en 2009.

Hadopi est toujours en vie et l’envoi des lettres d’avertissements se poursuit. L’institution est désormais en passe d’être fusionnée avec le CSA au sein d’une nouvelle autorité, l’ARCOM. Tel est l’enjeu d’un projet de loi actuellement au Parlement.

Depuis sa naissance elle a adressé 12,7 millions d’avertissements, selon les derniers chiffres officiels datant de 2019. Un mail, puis une lettre recommandée avant une éventuelle transmission des dossiers au parquet et au-delà une possible sanction infligée par un tribunal ou plutôt des mesures alternatives aux poursuites...

Voilà les rouages de la riposte graduée qui, rappelons-le, s’en prend non au contrefacteur, mais à l’abonné qui aura persisté, malgré plusieurs avertissements, à mal sécuriser son accès afin de prévenir des mises à disposition d’œuvres sur les réseaux P2P sans autorisation.

• Hadopi, putain 10 ans !

On l’imagine aisément : ce dispositif ne fonctionne que si des ingrédients de base sont présents sur la table : des ayants droit qui viennent chaluter les réseaux P2P pour repérer des adresses IP associées à des mises à disposition illicites, des adresses horodatées transmises à la Hadopi ensuite transférées aux fournisseurs d’accès aux fins d’identification (identité, adresse postale, adresse électronique et coordonnées téléphoniques de l'abonné) pour permettre enfin l’envoi des avertissements. Soit un magnifique traitement automatisé de données à caractère personnel lui-même orchestré par un décret du 5 mars 2010.

C’est ce décret que La Quadrature du Net, French Data Network, Franciliens.net et la Fédération des fournisseurs d'accès à internet associatifs ont attaqué. Plus exactement, les associations ont demandé au gouvernement d’abroger cette disposition administrative, la considérant peu dans les clous du droit européen sur l’accès et la conservation des données de connexion. Et elles ont ensuite attaqué le refus implicite de l’exécutif d’y toucher devant le Conseil d’État.

Hadopi passe l’épreuve de l’obligation de conservation, mais...

Les reproches adressés à ce traitement de données baptisé « Système de gestion des mesures pour la protection des oeuvres sur internet » sont nombreux. À dire vrai, tous n’ont pas fructifié devant la juridiction administrative.

Citant l’arrêt du 6 octobre 2020 « La Quadrature du Net et autres » de la Cour de justice de l’Union européenne, le Conseil d’État a d’abord estimé qu’une conservation des données relatives à l'identité civile des abonnés était en elle-même conforme au droit européen, même s’agissant de la recherche, de détection et de poursuite des infractions pénales en général, sous entendu des infractions non aussi graves que le terrorisme ou la pédopornographie.

• Conservation des données de connexion : la justice de l'UE siffle la fin du match, ou presque

Seulement, la même juridiction n’a su trancher une problématique liée non à la conservation, mais au contrôle préalable du recueil de ces données chez les intermédiaires.

...Un contrôle préalable et tout s'écroule 

Alors que la Hadopi a adressé 12,7 millions d’avertissements depuis sa naissance jusqu’en 2019, on imagine sans mal les conséquences d’un contrôle préalable : une telle vérification risquerait « de rendre impossible la mise en oeuvre des recommandations », anticipe-t-il sans mal dans son arrêt rendu le 5 juillet.

Juridiquement, la réponse à cette question dépend finalement du statut associé aux données d’identité civile correspondant à une adresse IP, soit le pétrole du moteur de la riposte graduée.

Alors que les associations requérantes avaient plaidé en faveur de l’annulation du régime français, le Conseil d’État a préféré adresser une série de questions préjudicielles à la Cour de justice de l’Union européenne. Une manière feutrée de sauver le soldat Hadopi.

Pour sa première question, il veut donc savoir si ces données sont bien au nombre de celles relatives au trafic ou de localisation. Et pour cause, le cas échéant, leur conservation serait en principe soumise à l'obligation de contrôle préalable « par une juridiction ou une entité administrative indépendante dotée d'un pouvoir contraignant », dixit la CJUE.

Le régime s’écroulerait ainsi comme un château de cartes, puisqu’il engagerait la mise en place de millions de contrôles chaque année. Comment faire du coup ? Dans une deuxième question très opportune, le Conseil d’État suggère de maintenir le régime en vigueur en France, du moins si la CJUE partage son analyse quant à la faible sensibilité de ces données.

Dans le cas contraire, il veut savoir si la CJUE se satisferait malgré tout d’un système de contrôle, au hasard très automatisé, mené par la Hadopi sur ces données.

Les réponses apportées par la Cour de justice de l’Union européenne sont attendues dans un ou deux ans. D’ici là, la Hadopi devrait être fusionnée avec le CSA, mais la riposte graduée maintenue, puisque le projet de loi actuellement en débat ne touche pas à un cheveu à ce régime.

• L'arrêt du Conseil d'État du 5 juillet 2021