Le Conseil d'État ordonne l'abrogation partielle du décret Hadopi, jugé contraire au droit européen

Les faits

• Le Conseil d'État a rendu sa décision le 30 avril 2025.
• La décision fait suite à une requête déposée en 2019 par La Quadrature du Net, French Data Network, Franciliens.net et la Fédération FDN.
• Le Conseil d'État a enjoint au gouvernement d'abroger plusieurs dispositions du décret de 2010 instaurant la riposte graduée.
• Le système Hadopi, opéré depuis 2021 par l'Arcom, est jugé non conforme à la législation européenne sur la protection des données.
• La CJUE avait déjà posé des conditions strictes sur la conservation étanche des données et le contrôle indépendant préalable.
• En 2025, l'Arcom a émis 79 188 premiers avertissements, en baisse de 36 % par rapport à 2024.
• Seuls 1 338 dossiers ont été transmis à la justice en 2025.
• La Quadrature du Net a salué une « victoire » mais prévient que « le combat n'est pas fini ».

Une décision historique contre la surveillance de masse

Le Conseil d'État a donné raison, jeudi 30 avril, aux associations de défense des libertés numériques qui contestaient depuis 2019 le système de riposte graduée mis en place par la Hadopi. La plus haute juridiction administrative française a jugé que le mécanisme de surveillance, désormais géré par l'Arcom, n'est pas compatible avec le respect des droits fondamentaux protégés par l'Union européenne. Elle a ordonné au gouvernement d'abroger plusieurs dispositions clés du décret de 2010 qui organisait la riposte graduée. Cette décision marque un tournant dans un combat entamé dès les premiers débats législatifs à l'Assemblée nationale en 2009. La Quadrature du Net, French Data Network, Franciliens.net et la Fédération FDN, qui avaient saisi le Conseil d'État, voient ainsi leurs arguments aboutir après six années de procédure.

Un système de surveillance en deux temps

Le mécanisme de la Hadopi fonctionnait en deux phases distinctes. Dans un premier temps, les ayants droit détectaient les internautes partageant des œuvres protégées en peer-to-peer, relevaient leur adresse IP et la transmettaient à la Hadopi. Dans un second temps, la Hadopi demandait aux fournisseurs d'accès à Internet l'identité civile et les coordonnées des abonnés concernés, puis conservait ces informations dans un fichier. S'ensuivait la riposte graduée: un premier e-mail d'avertissement, puis un second en cas de récidive, puis une lettre recommandée, et enfin une transmission à la justice. L'autorité judiciaire pouvait alors sanctionner l'internaute d'une contravention de cinquième classe, pouvant aller jusqu'à 1 500 euros d'amende, ou 3 000 euros en cas de récidive, pour « défaut de sécurisation d'une connexion Internet ».

Les deux motifs d'inconvention retenus par le Conseil d'État

Le Conseil d'État a relevé deux violations majeures des exigences posées par la Cour de justice de l'Union européenne. Premièrement, la conservation des données de connexion n'était pas effectuée de manière « étanche »: aucune disposition légale n'imposait aux opérateurs de communications électroniques de séparer techniquement les adresses IP des données d'identité civile, de sorte que leur recoupement ne puisse avoir lieu sans une demande d'accès en bonne et due forme. Deuxièmement, l'accès à ces données n'était pas précédé d'un contrôle indépendant. La CJUE avait déjà jugé que l'Arcom ne pouvait être à la fois juge et partie: elle ne pouvait demander l'accès aux données et contrôler elle-même la légalité de cet accès. Le Conseil d'État a estimé que cette absence de contrôle posait problème à partir du troisième accès aux données, c'est-à-dire au stade de l'envoi de la lettre recommandée.

Une riposte graduée grippée et des chiffres en berne

Concrètement, la décision du Conseil d'État paralyse la riposte graduée. L'Arcom ne peut plus transmettre de dossiers à la justice, car les conditions de conservation étanche et de contrôle indépendant ne sont pas remplies. Elle peut encore envoyer des e-mails d'avertissement, mais seulement si elle s'est assurée au préalable que les fournisseurs d'accès conservent les données de manière étanche. La ministre de la culture a affirmé avoir demandé à SFR, Free, Orange et Bouygues Telecom si cette condition était respectée; les opérateurs ont répondu par l'affirmative, mais l'Arcom devra le vérifier. En 2025, l'Arcom a émis 79 188 premiers avertissements, soit une baisse de 36 % par rapport à l'année précédente. Seuls 1 338 dossiers ont été transmis à la justice. Le piratage en peer-to-peer, visé par la riposte graduée, ne concerne plus que 2 % des internautes, selon l'Arcom, qui milite pour la poursuite de la sensibilisation. Le piratage s'est largement déplacé vers le streaming via VPN et les télévisions par Internet (IPTV).

Les associations saluent une victoire mais redoutent une résurrection

La Quadrature du Net a salué dans un communiqué une « victoire » et prévenu que « le combat n'est pas fini ». L'association craint que le gouvernement ne tente de « ressusciter la Hadopi » en créant une autorité de contrôle ad hoc pour se mettre en conformité avec les exigences européennes. Elle appelle à la « décriminalisation » du partage non-marchand de la culture en ligne. De son côté, l'Arcom a « pris acte de la décision du Conseil d'État » et appelé à un renforcement de ses moyens d'action contre les sites de piratage, notamment par le blocage des adresses IP en direct, prévu par une proposition de loi. Le gouvernement dispose désormais d'un délai pour abroger les dispositions incriminées du décret de 2010.

Un système qui a manqué sa cible

La Hadopi, créée par la loi du 12 juin 2009 sous l'impulsion de la ministre de la culture Christine Albanel, visait à concilier protection des droits d'auteur et respect de la vie privée. Mais dès l'origine, des critiques soulignaient que le système ne fonctionnerait pas: les internautes allaient délaisser le peer-to-peer pour le streaming ou le téléchargement direct, créant un marché pour des plateformes marchandes illégales. Le système n'a jamais permis de s'attaquer aux plateformes illégales qui vendent des accès privilégiés à leur catalogue au détriment des artistes. Au contraire, il a favorisé l'émergence de cette offre illégale. La Quadrature du Net estime que la criminalisation du partage non-marchand de la culture est une impasse et appelle à une refonte complète du modèle.

Quel avenir pour la lutte contre le piratage?

Le gouvernement peut choisir de se conformer à la décision du Conseil d'État en abrogeant purement et simplement les dispositions contestées, ce qui signerait la fin de la riposte graduée. Il peut aussi tenter de légiférer à nouveau pour créer un cadre respectueux des droits fondamentaux, par exemple en instaurant un contrôle indépendant préalable à l'accès aux données et en imposant une conservation étanche. Mais une telle démarche serait longue et politiquement délicate. La Quadrature du Net prévient que toute tentative de « ressusciter la Hadopi » serait une obstination dans un système de surveillance illégitime. Le débat est désormais ouvert sur le modèle à adopter pour protéger les droits d'auteur à l'ère numérique, sans sacrifier les libertés individuelles.

À retenir

• Le Conseil d'État a ordonné l'abrogation partielle du décret Hadopi pour non-conformité au droit européen sur la protection des données.
• Le système de riposte graduée est paralysé: l'Arcom ne peut plus transmettre de dossiers à la justice sans contrôle indépendant.
• La conservation des données de connexion doit être « étanche », ce qui n'est pas garanti par la législation actuelle.
• En 2025, les avertissements ont chuté de 36 % et le peer-to-peer ne concerne plus que 2 % des internautes.
• Les associations redoutent une tentative du gouvernement de maintenir le système sous une forme modifiée.
• La décision relance le débat sur la criminalisation du partage non-marchand de la culture en ligne.