Un internaute publie des propos diffamatoires sur un forum. Qui doit en répondre : l’auteur, le forum, la société qui héberge le serveur, le fournisseur d’accès ? Cette question a occupé les juristes pendant toute la fin des années 1990.
En 1999, aucune loi française ne tranchait. Une proposition de directive européenne sur le commerce électronique venait d’être rendue publique, et les États-Unis avaient adopté en octobre 1998 le Digital Millennium Copyright Act, qui limitait la responsabilité des intermédiaires techniques en matière de contrefaçon.
Le cadre est aujourd’hui fixé, d’abord par la LCEN de 2004, puis par le règlement européen sur les services numériques (DSA). Il repose toujours sur la même idée : l’intermédiaire n’est pas l’éditeur.
Une construction progressive, de 1998 à 2004
Le Digital Millennium Copyright Act a posé un modèle souvent repris. Le prestataire technique échappe à la responsabilité s’il ignore le caractère illicite du contenu et s’il le retire promptement lorsqu’on le lui signale. C’est le fameux mécanisme de notification et retrait.
L’Union européenne s’en est inspirée avec la directive du 8 juin 2000 sur le commerce électronique. Ses articles 12 à 15 distinguent le simple transport, la mise en cache et l’hébergement, et interdisent d’imposer aux intermédiaires une obligation générale de surveillance. Le contexte de cette époque est détaillé dans notre article sur les réformes européennes du commerce électronique.
En France, l’affaire Altern avait marqué les esprits. En 1999, la cour d’appel de Paris avait condamné un hébergeur gratuit pour des photos diffusées par l’un de ses utilisateurs. Beaucoup y ont vu une menace pour l’hébergement associatif.
Après une première loi en 2000, partiellement censurée par le Conseil constitutionnel, la loi pour la confiance dans l’économie numérique du 21 juin 2004 (LCEN) a transposé la directive. Le Conseil constitutionnel a précisé qu’un hébergeur ne pouvait voir sa responsabilité engagée que pour un contenu manifestement illicite, ou dont le retrait a été ordonné par un juge.
Fournisseur d’accès, hébergeur, éditeur : trois régimes différents
Tout dépend du rôle joué par le prestataire. Le droit ne raisonne pas sur la taille de l’entreprise mais sur l’activité concernée.
| Acteur | Rôle | Responsabilité |
|---|---|---|
| Fournisseur d’accès (simple transport) | Transmet les données sans les choisir ni les modifier | Pas de responsabilité pour les contenus transmis, sauf cas particuliers |
| Service de cache | Stocke temporairement pour accélérer la transmission | Exonéré s’il retire promptement l’information dont il apprend le retrait à la source |
| Hébergeur | Stocke des contenus fournis par des tiers | Responsabilité limitée, engagée s’il n’agit pas après avoir eu connaissance du caractère illicite |
| Éditeur | Choisit, rédige ou contrôle les contenus | Pleinement responsable de ce qu’il publie |
Le régime des fournisseurs d’accès à Internet est le plus protecteur. Ils peuvent quand même être obligés de bloquer l’accès à certains sites sur décision de justice ou d’une autorité administrative, dans les cas prévus par la loi.
La frontière entre hébergeur et éditeur a donné lieu à de nombreux procès. La Cour de justice de l’Union européenne a jugé, notamment dans l’affaire L’Oréal contre eBay en 2011, qu’un prestataire perd le bénéfice du régime de l’hébergeur lorsqu’il joue un rôle actif lui donnant la connaissance ou le contrôle des données stockées. La même année, la Cour de cassation a reconnu la qualité d’hébergeur à une plateforme de partage de vidéos.
Cette distinction concerne aussi les particuliers. Le responsable d’un blog est éditeur de ses propres articles, mais il peut être considéré comme hébergeur des commentaires laissés par ses lecteurs. Notre guide sur la création de sites et blogs revient sur ces obligations.
Ce que le DSA a changé depuis 2024
Le règlement (UE) 2022/2065 sur les services numériques s’applique à toutes les plateformes depuis le 17 février 2024. Il reprend les exemptions de responsabilité de la directive de 2000, en conservant l’interdiction d’une obligation générale de surveillance.
Mais il ajoute une couche d’obligations nouvelles :
- un mécanisme de signalement accessible à tous, avec des exigences de contenu précises
- l’obligation de motiver les décisions de retrait ou de refus de retrait
- un système interne de réclamation et l’accès à un règlement extrajudiciaire des litiges
- le traitement prioritaire des signalements émis par les signaleurs de confiance
- des obligations renforcées pour les très grandes plateformes, qui doivent évaluer et réduire les risques systémiques
Le DSA précise aussi qu’un hébergeur qui mène de sa propre initiative des recherches de contenus illicites ne perd pas, pour ce seul motif, le bénéfice de son exemption. Avant, certains prestataires préféraient ne rien vérifier pour ne pas être réputés informés.
En France, la loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (loi SREN) a adapté la LCEN au DSA. L’Arcom est désignée comme coordinateur pour les services numériques, avec la CNIL et la DGCCRF dans leurs champs respectifs.
Pour la marche à suivre côté victime, signalement, Pharos ou plainte, consultez notre article sur la façon de signaler et faire retirer un contenu illicite.
Des régimes spéciaux qui se superposent
Le régime général ne dit pas tout. Plusieurs textes imposent des obligations spécifiques.
En matière de droit d’auteur, la directive européenne de 2019 a créé un régime propre aux grandes plateformes de partage de contenus. Elles sont réputées accomplir un acte de communication au public lorsqu’elles donnent accès à des œuvres mises en ligne par leurs utilisateurs. Pour échapper à leur responsabilité, elles doivent démontrer leurs meilleurs efforts pour obtenir des autorisations et bloquer les contenus signalés. Ce sujet prolonge celui du droit d’auteur sur Internet.
Pour les contenus terroristes, un règlement européen de 2021 oblige les hébergeurs à retirer le contenu dans l’heure suivant la réception d’une injonction de retrait émise par une autorité compétente.
Les contenus de presse obéissent encore à la loi de 1881. La diffamation publiée en ligne engage d’abord son auteur, et le directeur de la publication du site qui l’édite. L’hébergeur n’intervient qu’à titre subsidiaire.
Les limites de la protection des hébergeurs
Franchement, le régime reste favorable aux intermédiaires. Il n’en fait pas pour autant des zones de non-droit.
L’hébergeur informé d’un contenu manifestement illicite qui le laisse en ligne engage sa responsabilité. Il doit aussi conserver les données permettant d’identifier les auteurs de contenus et les communiquer à l’autorité judiciaire sur réquisition.
À l’inverse, la personne qui signale un contenu en le présentant comme illicite, tout en sachant que c’est faux, dans le but d’en obtenir le retrait, commet elle-même une infraction. La notification n’est donc pas une arme à manier à la légère.
À mon sens, la vraie évolution depuis 1999 est ailleurs. On ne demande plus seulement aux plateformes de réagir aux signalements. On leur demande désormais de rendre des comptes sur la manière dont elles modèrent.
Questions fréquentes sur la responsabilité des hébergeurs
Un hébergeur est-il responsable des contenus publiés par ses utilisateurs ?
Pas automatiquement. Sa responsabilité n’est engagée que s’il a eu connaissance du caractère manifestement illicite d’un contenu et ne l’a pas retiré promptement. Un signalement précis peut suffire à lui donner cette connaissance.
Quelle différence entre un hébergeur et un éditeur ?
L’éditeur choisit ou contrôle les contenus qu’il publie et en répond pleinement. L’hébergeur stocke des contenus fournis par des tiers sans les sélectionner. Un prestataire qui joue un rôle actif sur les contenus peut perdre le statut d’hébergeur.
Le DSA oblige-t-il les plateformes à surveiller tous les contenus ?
Non. Le DSA maintient l’interdiction d’une obligation générale de surveillance. Il impose en revanche des mécanismes de signalement, la motivation des décisions de modération et, pour les très grandes plateformes, une analyse des risques systémiques.
Le responsable d’un blog est-il responsable des commentaires ?
Il est éditeur de ses propres articles. Pour les commentaires des lecteurs, il peut bénéficier d’un régime proche de celui de l’hébergeur, à condition de retirer rapidement un commentaire illicite qui lui est signalé.
