En ligne de mire, bien évidemment, la Haute autorité pour la diffusion des œuvres et la protection des droits sur internet, ou « fameuse » Hadopi. Pour rappel, la Hadopi et le CSA ont fusionné début 2022 pour donner naissance à une nouvelle autorité : l’Arcom.

• Arcom : le Parlement adopte la fusion Hadopi-CSA et les nouveaux outils contre le piratage

Attaque contre la riposte graduée : réponse graduée

Pour en revenir à notre affaire, deux décrets étaient examinés par la Cour de justice de l’Union européenne. Le premier, sur la collecte et la mise à disposition de la Hadopi d’adresses IP « utilisées sur des sites de pair-à-pair ». Le second, sur la « mise en correspondance entre l’adresse IP et les données d’identité civile de son titulaire par les fournisseurs d’accès à Internet ». Le tout formant un rouage de la riposte graduée.

Quatre associations de protection des droits et libertés sur Internet – Quadrature du Net, Fédération des fournisseurs d’accès à Internet associatifs, Franciliens.net et French Data Network – ont saisi le Conseil d'État français d’un recours. L’institution française s’est alors tournée vers la Cour de justice de l’Union européenne pour savoir « si les traitements de données précités sont compatibles avec le droit de l’Union ».

Pour la Cour, ce n’est « pas nécessairement une ingérence grave »

Dans son communiqué (.pdf), la CJUE explique que « la conservation généralisée et indifférenciée d’adresses IP ne constitue pas nécessairement une ingérence grave dans les droits fondamentaux. Une telle conservation est autorisée lorsque la réglementation nationale impose des modalités de conservation garantissant une séparation effectivement étanche des différentes catégories de données à caractère personnel et excluant ainsi que puissent être tirées des conclusions précises sur la vie privée de la personne concernée ».

De plus, le droit de l’Union « ne s’oppose pas à une réglementation nationale autorisant l’autorité publique compétente, dans le seul but d’identifier la personne soupçonnée d’avoir commis une infraction pénale, à accéder aux données d’identité civile correspondant à une adresse IP ». La CJUE ajoute que les États membres doivent s’assurer que cet accès « ne permette pas de tirer des conclusions précises sur la vie privée ».

La Quadrature s’attend à un sauvetage de la Hadopi « malgré cet arrêt »

Comme toujours, la Cour donne une précision importante : elle « ne tranche pas le litige national. Il appartient à la juridiction nationale de résoudre l’affaire », le Conseil d'État dans le cas présent. La réaction ne se fait pas attendre à La Quadrature du Net, qui n’a visiblement que peu d’espoir sur la suite de la procédure : « Nous nous attendons désormais à ce que le Conseil d’État sauve la Hadopi, malgré cet arrêt ».

• • Conservation des données : le gouvernement demande au Conseil d’État d’ignorer la justice européenne

« Cet arrêt est décevant. La CJUE tempère très fortement sa précédente jurisprudence, au-delà du cas de la Hadopi. En considérant désormais que l’accès aux adresses IP n’est pas sensible, elle admet la possibilité de surveiller massivement Internet », ajoute l’association.

La Cour retourne-t-elle sa veste ?

La Quadrature du Net revient également sur le fait que la CJUE « renverse son raisonnement » par rapport à un arrêt de 2020 (.pdf).

Elle reconnaissait à l’époque « que le droit de l’Union s’oppose à une réglementation nationale imposant à un fournisseur de services de communications électroniques, à des fins de lutte contre les infractions en général ou de sauvegarde de la sécurité nationale, la transmission ou la conservation généralisée et indifférenciée de données relatives au trafic et à la localisation ».

La Cour expliquait néanmoins que dans certaines situations (une menace grave pour la sécurité nationale qui s’avère réelle et actuelle ou prévisible, par exemple), un État peut déroger à la règle et imposer « une conservation généralisée et indifférenciée de ces données pour une durée temporellement limitée au strict nécessaire ».

Précision importante : « Une telle ingérence dans les droits fondamentaux doit être assortie de garanties effectives et contrôlée par un juge ou une autorité administrative indépendante ».

Pour LQDN, la Cour « estime désormais que la conservation des adresses IP n’est, par défaut, plus une atteinte grave aux libertés fondamentales, et que dans certains cas seulement cet accès porte une ingérence grave qu’il faut entourer de garanties […] Plus généralement, cet arrêt de la Cour européenne a surtout validé la fin de l’anonymat en ligne ».

Voici la lecture de l’arrêt de 2024 par la Quadrature du Net :

Une machine à gaz pour en surveiller une autre ?

Désormais, « le législateur devra inventer une machine à gaz pour prévoir un pseudo contrôle externe indépendant de l’accès à l’identité civile par la Hadopi ».

En effet, comme le rapporte notre confrère Marc Rees (journaliste à l’Informé, spécialiste du sujet), la Cour précise dans sa conclusion qu’il faut que « le système de traitement de données utilisé par l’autorité publique fasse l’objet, à intervalles réguliers, d’un contrôle par un organisme indépendant et ayant la qualité de tiers par rapport à cette autorité publique visant à vérifier l’intégrité du système ».

Il précise aussi que, pour la CJUE, « la réglementation nationale doit également prévoir, à un certain stade de ladite procédure, un contrôle préalable par une juridiction ou par une entité administrative indépendante […] afin d’exclure des risques d’ingérences disproportionnées dans les droits fondamentaux à la protection de la vie privée et des données à caractère personnel de la personne concernée ».

Marc Rees rappelle un point important du fonctionnement de la Hadopi : c’est le titulaire de l’abonnement qui est sanctionné pour défaut de sécurisation de sa ligne, qui n’est pas forcément celui à l’origine du téléchargement. « Pas sûr à 100 % donc que ce point entraîne une révolution interne », ajoute-t-il.

En effet, le site Service Public rappelle que « vous êtes concernés si vous êtes le propriétaire de la connexion internet ayant servi au téléchargement illégal (celui qui a signé le contrat avec le fournisseur d'accès par Internet). Même si ce n'est pas vous qui avez effectivement téléchargé ».

Et, dernier point important : « La preuve sera faite non pas par le téléchargement en lui-même, mais par la mise à disposition illégale des œuvres. Une œuvre téléchargée en peer-to-peer devient en effet disponible pour d'autres internautes qui utilisent la même technique ».