À la tête d'une coalition de six associations françaises et européennes, la Quadrature du Net attaque le décret d'application de la loi appliquant le règlement européen relatif à la lutte contre la diffusion des contenus à caractère terroriste en ligne. Le but : questionner la validité du règlement européen au regard des textes qui garantissent les droits fondamentaux au sein de l'Union.

La Quadrature du Net, Access Now, Article 19, European Center for Not for Profit Law, European Digital Rights et Wikimedia France se sont associées pour déposer, le 8 novembre, un recours contre le décret qui applique le règlement européen relatif à la lutte contre la diffusion des contenus à caractère terroriste en ligne (Terrorist Content Online Regulation, TERREG ou TCO) devant le Conseil d’État. 

Dans son mémoire, la coalition relève que le décret d’application de la loi du 16 août 2022 qui adapte le droit de l’UE « participe à la surveillance des contenus en ligne et porte atteinte à la liberté d’expression en ligne ». Si c’est le décret français qui est attaqué, c’est bien le niveau européen que la coalition vise. 

Le Conseil d’État ne pouvant pas déclarer un acte de l’Union invalide, les ONG cherchent en effet à ce que celui-ci transmette à la CJUE une question préjudicielle. En d’autres termes, les six entités, menées par la Quadrature, veulent que le Conseil d’État demande à la CJUE si le TCO est bien valide au regard des droits fondamentaux garantis au sein de l’UE. 

Pour rappel, le texte européen adopté en 2021 établit « des règles uniformes pour lutter contre l’utilisation abusive de services d’hébergement pour diffuser au public des contenus à caractères terroriste en ligne ». 

Entre autres éléments, il prévoit une logique de censure administrative qui permet à chaque État membre d’accorder à une autorité publique nationale le pouvoir « d’émettre des injonctions de retrait de contenus qui lui paraîtraient être à caractère terroriste » à destination des fournisseurs de services d’hébergement. En France, ces autorités sont l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC) et l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM). 

Les associations contestent chacun de ces points. Elles soulignent aussi que, tel que formulé, le TCO permettrait d’adresser des injonctions de retrait de contenu à Wikimedia, retraits qui « ne pourront pas être suffisamment contrôlés » et produiront donc « une atteinte grave et disproportionnée à la promotion de la connaissance libre ».

• Ligne par ligne, la proposition de règlement européen contre le terrorisme (2019)
• [Interview] Wikimédia France dénonce les lacunes du règlement anti-terroriste, qui sera adopté sans vote (2021)

Pas d'analyse d'impact sur la protection des données en amont du décret

Dans le détail, en application du règlement européen, le décret prévoit que, lorsqu’elles estiment qu’une publication relève du caractère terroriste, l’OCLCTIC et l’ARCOM fournissent une « motivation suffisamment détaillée » et le lien vers le contenu concerné. 

De telles communications, pointent les ONG, sont susceptibles de comporter des données personnelles. En cela, continuent-elles, le décret aurait dû susciter une analyse d’impact sur la protection des données (AIPD) et la consultation préalable de la CNIL requise par le Règlement général sur la protection des données et par la loi Informatique et Libertés.

Cette absence est « d’autant plus préjudiciable » qu’elle nuit à l’information de la population, et qu’une telle analyse aurait permis aux ministres signataires de « constater que le respect des droits et libertés fondamentaux, notamment le principe de proportionnalité, n’est pas assuré ».

Outre ce point, les six entités attaquent principalement le décret à cause de la menace qu’il représente pour « la liberté d’expression » et pour « le droit au respect de la vie privée et familiale » tels que garantis par la Charte des droits fondamentaux de l’Union européenne et la Convention européenne de sauvegarde des droits de l’homme et libertés fondamentales (CEDH).

Elles argumentent qu’en l’état, le texte contrevient au principe de primauté du droit de l’Union Européenne – précisément parce qu’il applique un règlement qui, lui-même, contrevient aux textes européens.

Définition du caractère terroriste

Remontons donc au niveau européen. Sur la définition même du caractère terroriste des publications concernées par le TCO, les associations remettent en cause le renvoi que le règlement fait à la directive européenne relative à la lutte contre le terrorisme. 

« Le champ de cette directive est très large et il n’a pas été pensé pour les contenus en ligne, mais pour coordonner la réponse pénale européenne, estiment-elles. Ainsi, risquent de rentrer dans le champ de cette directive des contenus, certes violents, mais dont la gravité ne requière par leur censure, encore moins leur censure sans passer par un tribunal indépendant. »

Les associations pointent par ailleurs que, pour son application par les États membres, le TCO permet de qualifier d’autorité compétente des entités à l’indépendance « bien en deçà des exigences propres à rendre la mesure conformer à la liberté d’expression ». Dans le contexte français, elles visent spécifiquement l’OCLCTIC qui, en sa qualité de sous-direction générale de la police nationale, dépend du ministère de l’Intérieur, donc « n’est pas une autorité administrative indépendante ». 

Et soulignent que, de même que l’OCLCTIC n’est pas indépendante en France, le mécanisme d’injonction transfrontalière permettrait à des autorités non indépendantes de n’importe quel état de l’UE de soumettre les fournisseurs de services d’hébergement de l’Union à des injonctions de retrait.

Injonctions de retrait inadaptées

Sans grande surprise, les injonctions de retrait de contenu concentrent bon nombre des critiques exprimées. Celles-ci peuvent être envoyées aux fournisseurs implantés dans le même État membre que l’autorité concernée et à ceux implantés ailleurs sur le territoire de l’Union. Pour le fournisseur de service d’hébergement, elles impliquent de réaliser le retrait du contenu qualifié de terroriste « dès que possible et, en tout état de cause, dans un délai d’une heure à compter de la réception de l’injonction de retrait ». 

Problème, pointent les ONG : la rapidité de ce délai « rend, en pratique, impossible pour le fournisseur de service d’hébergement d’évaluer correctement » le caractère terroriste du contenu en question. Ce délai « n’est pas non plus suspendu en cas de recours », et ne permet donc pas de faire vérifier le caractère terroriste d’une publication par un tribunal indépendant. 

• Contenus terroristes : comment le Conseil constitutionnel a validé le retrait en une heure (2022)

De fait, concluent-elles, l’évaluation des publications échoit à « l’interprétation » qu’en font les autorités administratives capables de produire les injonctions de retrait. La coalition d’ONG regrette que le TCO ne prévoit aucun contrôle de ces interprétations par une autorité indépendante, d’autant que le « traitement de données relatives à des contenus » supposés terroristes « est susceptible d’être massif ». 

Déjà présent en France dans la Loi visant à lutter contre les contenus haineux sur internet, que d’aucuns connaissent sous le nom de Loi Avia, ce point avait été censuré par le Conseil constitutionnel le 18 juin 2020. La raison : il portait « une atteinte disproportionnée à la liberté d’expression et de communication ». 

• Cyberhaine : la loi Avia largement censurée par le Conseil constitutionnel (2020)

Les ONG indiquent donc au Conseil d’État que les conclusions du Conseil constitutionnel  « s’appliquent parfaitement » au cas du règlement TCO. 

Action disproportionnée des fournisseurs de services

Autres problèmes : le TCO permet aux fournisseurs de services d’hébergement « de faire primer des conditions générales plus strictes afin de ne pas remettre en ligne un contenu qui aurait été déclaré comme n’étant pas à caractère terroriste ». Il permet aussi aux autorités compétentes de qualifier certains services d’hébergement « d’exposé à des contenus à caractère terroriste », et donc d’obliger ces acteurs à développer des mesures pour « prévenir la diffusion de contenus supposés être à caractère terroriste ».

Pour obliger un fournisseur de service d’hébergement à prendre des mesures spécifiques, le règlement européen énonce actuellement que l’autorité compétente doit se fonder « sur des facteurs objectifs, tels que la réception par le fournisseur de services d’hébergement de deux injonctions de retrait définitives ou plus au cours des 12 derniers mois. » 

Les associations pointent qu’une telle définition est « particulièrement large ». Partant, le pallier de deux injonctions risque « d’être atteint pour la grande majorité des fournisseurs de services d’hébergement, peu importe leur taille ».

Par ailleurs, elles qualifient les mesures autorisées par le règlement de « particulièrement intrusives », au point de risquer la création d’« une surveillance généralisée des contenus en ligne ». En cause : la formulation du texte européen, qui vise notamment à « identifier » des contenus à caractère terroriste, qui peuvent être de nouveaux contenus inconnus jusqu’alors du fournisseur de services d’hébergement ». 

La coalition note que, si la directive sur le commerce électronique a permis à un « un tribunal d’enjoindre un hébergeur de retirer dans le futur les contenus identiques et les contenus équivalents à celui objet de la demande initiale », cette possibilité a été « fortement encadrée » pour éviter la surveillance généralisée. Elles s’alarment de l'absence précaution similaire pour le TCO.

En l’état, pour répondre à l’obligation de mettre en œuvre des mesures spécifiques que pourraient demander des autorités compétentes, l’ensemble des contenus hébergés par les fournisseurs de services pourraient être analysés. Ce qui, rappellent-elles, jurisprudence à l’appui, ne saurait être proportionné.

La coalition d’associations conteste, aussi, le fait que le choix des mesures à adopter par les fournisseurs de services d’hébergement, s’ils étaient qualifiés « d’exposé à des contenus à caractère terroriste » par les autorités compétentes, soit fait « à la discrétion » desdites entreprises.

Elle estime, enfin, qu’en se contentant « de renvoyer aux droits nationaux », le TCO (et le décret visant à son application au droit français) ne fournit pas le droit de recours effectif garanti par les textes européens.

Décentraliser pour mieux modérer

« La question de la modération des contenus en ligne est grave et la réponse ne peut être une censure policière technosolutionniste, simpliste mais dangereuse », déclare Bastien Le Querrec, juriste à La Quadrature du Net, dans le communiqué des six associations.

Auprès de Next INpact, il élabore : en matière de modération, la Quadrature défend « le principe d'interopérabilité des réseaux sociaux ». L'interopérabilité permettrait de décentraliser l'offre de services d'hébergement, « donc de permettre aux utilisateurs de quitter les plateformes qu'ils jugent toxiques » sans perdre les contacts qu'ils y auraient noués.

• Digital Service Act : la Quadrature du Net remet au chaud l’interopérabilité des plateformes

Sur le pan des contenus terroristes, continue-t-il, « cela permettrait aussi de faire émerger des alternatives, dans lesquelles les contenus les plus violents ne sont pas rendus viraux pour des motifs économiques ». Et de citer, en contre-exemple, le cas de Facebook, où la vidéo de l'attentat de Christchurch avait pu circuler librement de longues minutes, ou de X (Twitter) où les contenus violents se multiplient.

À terme, ceci permettrait de « faire émerger des politiques de modération plus légitimes, plus près des utilisateurs ». Comme ils ne fonctionneraient pas nécessairement sur une hiérarchisation algorithmique des contenus, explique Bastien Le Querrec, les modèles de réseaux alternatifs éviteraient de devoir recourir à la censure, qui « a des effets de bord très importants sur la liberté d'expression ».