Plus de dix ans après sa promulgation, la loi Hadopi pourrait se voir invalidée par la justice européenne. Et l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom), issue de la fusion en janvier 2022 de la Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet (Hadopi) et du Conseil supérieur de l’audiovisuel (CSA), pourrait se voir entravée dans sa lutte contre le piratage des contenus.
En cause : une procédure intentée en 2019 par La Quadrature du Net, la Fédération des fournisseurs d’accès à internet associatifs et Franciliens.net devant de la Cour de justice de l’Union européenne (CJUE), l’un des plus importants organes juridiques de l’Union. Ce dossier, dans lequel les organisations dénoncent collectivement la « surveillance massive d’internet permise » par la loi Hadopi, doit être discuté en audience publique les 15 et 16 mai en assemblée plénière de la CJUE, avant un arrêt dans les semaines suivantes.
« La France ne respecte pas le droit européen »
Adopté en 2009, le dispositif français de lutte contre le piratage repose sur le principe de riposte graduée dans le but de faire respecter le droit d’auteur sur Internet. Il s’appuie pour cela sur la collecte massive des adresses IP des internautes et le travail d’entreprises spécialisées, qui traquent les contenus en ligne contrevenant au droit d’auteur. Quand l’une d’elles constate une diffusion illégale de contenu, elle peut avoir accès à l’adresse IP de la personne l’ayant postée, ces données étant conservées de manière indifférenciée par les fournisseurs d’accès à Internet (FAI). Celles-ci peuvent ensuite permettre d’identifier formellement le contrevenant, qui reçoit plusieurs lettres d’avertissement avant que l’autorité judiciaire s’en saisisse.
Un mécanisme critiqué pour sa faible efficacité à l’heure ou n’importe qui peut dissimuler son adresse IP derrière un réseau privé virtuel (VPN, pour virtual private network), mais surtout pour le risque qu’il fait peser sur les libertés publiques. « Depuis sa création, nous dénonçons le dispositif comme un outil de surveillance massif d’Internet visant les internautes diffusant de la culture sans recherche de profits », rappelle Bastien Le Querrec, juriste et membre de La Quadrature du Net. La procédure initiée par son organisation vise plus précisément un des décrets d’application de la loi Hadopi, qui autorise la création d’un fichier regroupant les adresses IP fournies par les ayants droit et les identités civiles obtenues auprès des FAI.
Les adresses IP des internautes peuvent-elles réellement être collectées ainsi en masse, conservées et utilisées dans le cadre de l’exercice de la loi ? Voilà la question à laquelle la cour européenne est censée répondre. « En 2014, en 2016, en 2020 et 2022, la CJUE a de nombreuses fois rappelé et précisé sa doctrine sur le sujet », détaille Vanessa Bouchara, avocate spécialiste de la propriété intellectuelle, associée au cabinet Bouchara avocats. Selon elle, « l’accès aux données de connexion est possible mais est réservé aux seules fins de lutte contre la criminalité grave dans laquelle l’atteinte au droit d’auteur n’entre pas ». Araceli Turmo, maître de conférences à l’université de Nantes et spécialiste du droit européen, abonde :
« Il est très clair, si on regarde les différentes jurisprudences, que la France ne respecte pas les exigences du droit européen en matière de consultation des données. »
Des arguments juridiques largement repris par La Quadrature du Net et European Digital Rights, la principale association de défense des libertés publiques et numériques au niveau européen. « Nous combattons depuis longtemps la Hadopi mais le sujet est plus large, pointe Chloé Berthélémy, chargée de plaidoyer au sein de l’association. Plus d’une dizaine de pays européens comme la Belgique, l’Italie, la Pologne ou la Bulgarie conservent aussi des données d’utilisateurs de manière générale et indifférenciée, en contradiction totale avec le droit de l’Union. »
Une audience très attendue
Le match, pourtant, est loin d’être plié. Si les conclusions de l’avocat général de la CJUE chargé de l’instruction, rendues en octobre 2022, vont dans le sens de l’interprétation juridique des associations de défense de liberté publique, elles plaident aussi pour la création d’une exception Hadopi et un changement dans la jurisprudence européenne.
« Cela voudrait dire que les autorités en charge du maintien de l’ordre partout en Europe pourraient accéder aux adresses IP des internautes pour des faits ne relevant pas de crime grave, estime Chloé Berthélémy. Ce serait une décision dramatique, en particulier dans un contexte où de nombreux Etats poussent pour une conservation généralisée et indifférenciée des données de connexion. » A l’inverse, une victoire des associations « mettrait fin à la Hadopi et pourrait pousser les Etats membres de l’Union à se mettre en conformité avec le droit européen », espère Bastien Le Querrec. Contactés, le ministère de la culture et l’Arcom n’ont pas souhaité faire de commentaire.
Quelle que soit l’issue le 16 mai, le choix d’une audience en assemblée plénière, la formation la plus solennelle de la cour, semble en tout cas indiquer une prise de décision importante. « C’est une formation à vingt-sept juges, le maximum imaginable au sein de la CJUE, explique Araceli Turmo. Elle veut signaler que son arrêt va compter, c’est une manière d’apporter une légitimité supplémentaire à la décision. »