Dans une décision du 30 avril 2026, le Conseil d'État a jugé contraire au droit européen le dispositif de "réponse graduée" contre le piratage en ligne, et plus précisément le traitement des données. Le Conseil demande donc au gouvernement de mettre en conformité ce dispositif.
Une atteinte au droit à la protection de la vie privée
Le Conseil d'État souligne que les données utilisées par l'Arcom ne sont pas conservées "de façon cloisonnée" par les opérateurs internet et autorise plus de deux recoupements de données sans autorisation d'un juge. Ce dispositif peut porter atteinte au droit à la protection de la vie privée, estiment les juges. Ils suivent ainsi les recommandations de la Cour de justice de l'Union européenne (CJUE) qui a rappelé dans un arrêt du 30 avril 2024, que si un État peut imposer de conserver des données personnelles, ces données "doivent être conservées de façon cloisonnée afin d'éviter les risques d'ingérences graves dans la vie privée des personnes par recoupement avec d'autres données conservées".
Qu'est-ce que la réponse graduée ?
Conduite par l'Autorité de régulation de la communication audiovisuelle et numérique (Arcom), la procédure de "réponse graduée" contre le piratage en ligne comprend plusieurs niveaux face à un internaute qui utilise sa connexion internet pour reproduire ou mettre à disposition des œuvres protégées sans autorisation. L'Arcom transmet un premier avertissement, puis un deuxième si le piratage continue. En cas de nouveau manquement, le dossier est transmis au procureur de la République. Or, pour identifier ces abonnés, l'Arcom est habilitée, sur la base de signalements réalisés par des organismes professionnels ou des autorités publiques, à saisir les opérateurs internet pour qu’ils associent les adresses IP ayant servi à télécharger illégalement des œuvres à des cordonnées d’identité. Une fois cette association effectuée par les opérateurs, l’Arcom peut connaître l’identité des personnes concernées et mettre en place la réponse graduée. Les caractéristiques de ce traitement de données personnelles, dénommé Système de gestion des mesures pour la protection des œuvres sur internet, avaient été fixées dans un décret du 5 mars 2010.
