Analyse juridique et technique de la censure internet en France

Au cours des dernières années, plusieurs décisions de justice ont ordonné aux fournisseurs d’accès à internet français de bloquer un nombre croissant de sites web, que ce soit pour violation du droit d’auteur, diffusion illégale de compétitions sportives ou, plus récemment, pour pornographie (Pornhub vient de s’autocensurer en France en guise de protestation, voir notre article).

Dans le même temps, plusieurs lois ont été adoptées afin de donner à plusieurs administrations françaises le pouvoir légal de bloquer les sites web impliqués dans la cybercriminalité ou la fraude. Nos mesures OONI sur les quatre principaux réseaux FAI commerciaux à l’automne 2024 montrent que cette censure des sites web est mise en œuvre au niveau du résolveur DNS et que, pour la plupart des cas de censure testés (propriété intellectuelle, diffusion illégale de compétitions sportives et censure européenne des organisations russes), l’application de la censure est très incohérente entre les différents FAI.

Le recours croissant à la censure des sites web pour réguler les questions politiques par les tribunaux et les législateurs français, combiné à une mise en œuvre technique facile à contourner, crée un risque élevé d’escalade vers une censure plus complexe et plus invasive en France. Une telle escalade conduirait à un contrôle et une surveillance accrus du trafic internet par les autorités françaises et pourrait avoir des conséquences néfastes pour la liberté d’expression et la vie privée sur internet en France.

1. Rien qu’en 2024, nous avons vu les autorités françaises bloquer TikTok en Kanaky Nouvelle-Calédonie
2. adopter de nouvelles lois permettant de bloquer les sites web utilisés pour la cybercriminalité
3. prendre une décision judiciaire bloquant le site web Z-library
4. et adopter une nouvelle loi obligeant les sites web pornographiques à vérifier l’âge des visiteurs avant de leur donner accès au contenu.

Si les premières lois qui ont légalisé la censure sur internet en France ont ouvert d’importants débats dans la société civile sur les droits numériques et la liberté d’expression (la loi pour la confiance dans l’économie numérique – LCEN en 2004 et la Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet – HADOPI en 2009), ce sujet est aujourd’hui rarement abordé par les organisations de défense des droits numériques et peu connu du grand public. Pourtant, il soulève des questions importantes sur la liberté d’expression, mais aussi sur le manque potentiel de contrôle et l’abus de ces lois pour bloquer des médias ou des sites web d’opposition.

Base juridique de la censure des sites web en France

Nous avons classé la censure des sites web en 2 catégories :

1. La censure judiciaire signifie que la décision de bloquer des sites web résulte d’une décision de justice en application de la loi.
2. La censure administrative signifie que ces décisions ont été prises par les autorités françaises ou les administrations nationales sans aucune décision de justice.

Censure judiciaire

Le premier type de censure apparu historiquement avait une base judiciaire (fondée sur une décision de justice). Elle a été introduite pour la première fois dans la loi LCEN de 2004, qui étatise qu’un tribunal peut ordonner aux FAI de prendre « toutes les mesures pour prévenir ou faire cesser le préjudice créé par le contenu d’un service public de communication par internet ». Cette loi est excessivement large et peut être utilisée, et a été utilisée, pour demander la censure de sites web pour des raisons très différentes (elle a ensuite été mise à jour par la loi SREN en 2024).

1. En 2005, elle a été utilisée pour la première fois pour bloquer un site web négationniste (confirmé en appel en 2006).
2. En 2011/2012, elle a été utilisée pour bloquer un site web local de surveillance de la police qui recueillait des photos et des informations sur les policiers afin d’aider à identifier ceux qui commettaient des violences policières.
3. En 2009, la loi HADOPI a ajouté un article au Code de la propriété intellectuelle permettant aux tribunaux de demander aux FAI de bloquer les sites web qui enfreignent les lois sur la propriété intellectuelle et le droit d’auteur. Cet article a été utilisé à plusieurs reprises pour bloquer des sites web tels que les sites de torrent (The Pirate Bay, torrent 411, yggtorrent), Sci-Hub, Libgen ou plus récemment la Z-library.
4. En 2021, une nouvelle loi a été adoptée qui permet de bloquer les sites web diffusant illégalement des compétitions sportives. Cette nouvelle loi a été largement utilisée par des entreprises telles que Canal+ ou beIN Sports pour bloquer les sites web diffusant la Coupe du monde de football, la Coupe du monde de rugby ou les Jeux olympiques de Paris.
5. Enfin, en octobre 2024, une décision finale dans une affaire judiciaire qui durait depuis des années a demandé le blocage de quatre sites pornographiques parce qu’ils n’empêchaient pas l’accès aux mineurs (cinq autres sites étaient basés dans l’UE et le juge a demandé l’avis de la Cour européenne avant de les bloquer).
   Pornographie

L’accès des mineurs aux sites pornographiques est illégal en France depuis 1992, en vertu de l’article L227-24 du code pénal ; mais pendant longtemps, cette loi n’a pas été appliquée en raison de l’impossibilité de prouver l’âge d’une personne sans porter gravement atteinte à sa vie privée.

Pendant des années, les associations e-Enfance et La Voix de l’Enfant ont mené une action en justice contre neuf grands sites pornographiques afin d’obtenir leur blocage. Après des années de procédure judiciaire, la cour d’appel de Paris a rendu une décision le 17 octobre 2024 demandant à six grands FAI de bloquer l’accès à quatre de ces sites : Mrsexe, Iciporno, Tukif et Xhamster. Cette décision s’appuie à la fois sur l’article L227-24 du code pénal et sur l’article 6-1.8 de la loi LCEN. La décision stipule que « l’intérêt supérieur de l’enfant doit être une considération essentielle pouvant justifier une atteinte à d’autres lois telles que la liberté d’expression ou de communication ».

Le juge a ordonné le blocage de 4 sites web non basés dans l’Union européenne. Pour les cinq sites restants (Pornhub, Youporn, Redtube, Xvideos et Xnxx), basés dans l’Union européenne, le juge a décidé d’attendre une décision de la Cour de justice de l’Union européenne sur une question posée par le Conseil d’État en mars 2024.

Entre-temps, l’année 2024 a vu l’adoption d’un projet de loi important qui a ouvert la voie à la censure administrative des sites pornographiques avec la loi SREN de mai 2024. Cette loi oblige les sites pornographiques à limiter l’accès des mineurs sur la base de solutions techniques établies par l’ARCOM. En cas de non-respect de cette loi, ils s’exposent à de lourdes amendes et peuvent être bloqués par les FAI français.

En octobre 2024, l’ARCOM a enfin publié les spécifications techniques relatives aux mesures de contrôle de l’âge que les sites web doivent appliquer. Les sites pornographiques peuvent utiliser diverses solutions pour confirmer l’âge d’un visiteur, mais ils doivent s’appuyer sur un service tiers doté d’un double système d’anonymat : le service tiers ne sait pas pourquoi la vérification a été demandée et le site pornographique ne reçoit aucune information sur la personne autre que la confirmation de son âge. Ces spécifications ont également défini un calendrier : à partir du 9 janvier 2025, les sites web devront mettre en place une simple vérification à l’aide d’un paiement par carte de crédit, et à partir du 9 avril 2025, ils devront mettre en place le mécanisme complet de vérification de l’âge.

Propriété intellectuelle

Après que la loi LCEN ait permis aux juges de demander aux FAI de bloquer des sites web en 2004, cette possibilité a été étendue en 2009 avec la loi HADOPI qui autorise le blocage des sites web enfreignant la propriété intellectuelle en vertu de l’article L336-2 du Code de la propriété intellectuelle. Cette loi a été utilisée par de nombreux tribunaux pour bloquer des sites web tels que :

• 4 décembre 2014 : The Pirate Bay
• 2 avril 2015 : Torrent 411
• 2 novembre 2017 : cpasbien
• 12 octobre 2018 : yggtorrent
• 7 mars 2019 : Sci-hub et Libgen (décision de 2019, 2020 et 2022)

L’article L331-27 du Code de la propriété intellectuelle, introduit par la loi du 25 octobre 2021 relative à la régulation et à la protection de l’accès aux œuvres culturelles à l’ère numérique : Le nouvel article L331-27 permet à l’ARCOM de demander aux FAI de bloquer les miroirs de sites web déjà bloqués par décision de justice. Selon le rapport d’activité de l’ARCOM pour 2023, cette loi a été utilisée 88 fois en 2023 pour bloquer 549 domaines.

Le 12 septembre 2024, le tribunal judiciaire de Paris a rendu une décision ordonnant aux principaux FAI français de bloquer l’accès au site Z-Library et à ses sites miroirs, en application de l’article L331-27 du Code de la propriété intellectuelle.

Diffusion illégale de compétitions sportives

En 2021, le projet de loi relatif à la régulation et à la protection de l’accès aux œuvres culturelles dans le domaine numérique a créé une nouvelle section dans le Code du sport afin de lutter contre la diffusion illégale de compétitions sportives. L’article L333-10 permet aux titulaires de droits d’auteur de saisir rapidement un tribunal afin de bloquer les sites web qui diffusent des événements sportifs sans autorisation. Les titulaires de droits d’auteur doivent d’abord obtenir une décision de justice pour bloquer les sites web originaux avant de pouvoir demander le blocage des sites miroirs directement auprès de l’ARCOM sans autre décision judiciaire.

Cette loi a été appliquée dans de nombreuses décisions de justice, comme par beIN Sports pendant la Coupe d’Afrique des nations, Canal+ contre des sites diffusant des courses de Formule 1 ou le Comité olympique pendant les Jeux olympiques de Paris.

En octobre 2023, Canal+ a poursuivi Google, Cisco et CloudFlare pour avoir fourni des résolveurs DNS publics qui n’étaient pas affectés par la censure judiciaire des sites web. La décision du tribunal a contraint ces entreprises à bloquer les sites web de streaming illégaux, comme le demandait Canal+. À la suite de cette décision, Cisco a décidé de limiter l’accès des adresses IP françaises au service OpenDNS.

Censure administrative

La censure administrative désigne toute administration ou autorité disposant d’une base légale pour bloquer des sites web sans intervention d’un juge ou d’une décision de justice.

Au cours des dernières années, plusieurs lois ont été adoptées qui ont fait passer la censure judiciaire à la censure administrative, permettant aux administrations ou autorités françaises de censurer des sites web sans aucun contrôle indépendant par un juge.

Terrorisme et pédopornographie

Le premier cas de censure administrative en France a été introduit pour lutter contre les contenus pédopornographiques (CSAM) en permettant à la police de bloquer ces sites web par le biais de la loi LOPPSI en 2011. Cette loi permet à l’OCLCTIC (Office central de lutte contre le terrorisme et la cybercriminalité, rebaptisé Office anti-cybercriminalité – OFAC depuis 2023) de fournir aux FAI une liste de domaines hébergeant des CSAM afin de les bloquer.

Cette loi a ensuite été étendue aux contenus « incitant ou faisant l’apologie du terrorisme » dans une loi antiterroriste de 2014. Une loi de 2024 a prolongé ce processus de deux ans afin de couvrir les contenus pouvant être qualifiés de torture ou de cruauté au sens du code pénal. L’article 6-1 de la loi LCEN définit la procédure de blocage des domaines. Il désigne une personne qualifiée de l’ARCOM (auparavant de la CNIL jusqu’en 2022) chargée de superviser ce processus. Le processus est le suivant :

• Lorsque la police identifie un site web hébergeant du CSAM ou des contenus promouvant le terrorisme ou incitant à des actes terroristes, elle peut contacter le propriétaire du site web ou l’hébergeur pour lui demander de le supprimer. Elle doit en informer simultanément la personne qualifiée de l’ARCOM.
• Si le contenu est supprimé, la procédure prend fin. Si le contenu n’est pas supprimé dans les 24 heures, ils peuvent alors demander aux FAI et aux moteurs de recherche de bloquer et de déréférencer ce site web, et doivent en informer la personne qualifiée.
• La personne qualifiée de l’ARCOM vérifie si la demande est justifiée au regard de la loi. Si elle estime que c’est le cas, elle en informe le service de police, et le blocage se poursuit. Si elle estime qu’elle ne l’est pas, elle rend un avis négatif à l’OFAC et recommande de débloquer le domaine.
• L’OFAC peut alors décider de suivre l’avis de l’ARCOM et de débloquer le site web, ou de l’ignorer. Si elle l’ignore, la personne qualifiée de l’ARCOM peut engager une procédure judiciaire devant le tribunal administratif.

(Source) – Plusieurs centaines de domaines sont encore bloqués chaque année, et la liste reste confidentielle. Dans la plupart des cas le contenu est effectivement supprimé par le propriétaire du site web ou l’hébergeur sous la menace d’une censure, mais avant que le site web ne soit bloqué et déréférencé. C’est par exemple ce qui s’est produit dans 96 % des cas en 2021.

Autre exemple, le rapport 2023 de l’Arcom mentionne que l’OFAC a demandé le retrait d’un contenu d’un site internet de vente en ligne de vêtements portant une étoile rouge et la mention « ACTION DIRECTE », car il était considéré par la police comme une apologie du terrorisme. La personne qualifiée de l’ARCOM a estimé qu’il s’agissait d’une atteinte disproportionnée à la liberté d’expression et a émis un avis défavorable. La police n’ayant pas suivi cette recommandation, elle a engagé une procédure devant le tribunal administratif (qui est toujours en cours à notre connaissance).

Le cas le plus important d’abus de cette loi s’est produit en 2017, lorsque la police (l’OCLCTIC à l’époque) a considéré quatre publications sur Indymedia Nantes et Indymedia Grenoble comme une apologie du terrorisme. Indymedia est un réseau de médias autonomes fonctionnant selon un modèle de publication ouverte et de modération après publication. Le 21 septembre 2017, un incendie volontaire a détruit plusieurs voitures de police dans un commissariat près de Grenoble sans faire de blessés. Le même jour, un communiqué revendiquant ces actes en solidarité avec les personnes arrêtées pour une attaque contre une voiture de police a été publié sur Indymedia Grenoble et Nantes. Ces deux sites web ont immédiatement reçu une demande de retrait de l’OCLCTIC, qui considérait ces déclarations comme une apologie du terrorisme. La personne qualifiée (à l’époque à la CNIL) a rendu un avis négatif sur cette décision.

Pour la première fois, la police a décidé de ne pas suivre cette position et de maintenir sa décision, ce qui a conduit la personne qualifiée à saisir le tribunal administratif. Le tribunal a conclu le 4 février 2019, un an et demi après la demande initiale de retrait des publications, que ces déclarations ne constituaient pas une apologie d’actes terroristes.

Sites internet de jeux d’argent

En 2010, le Parlement français a adopté la loi n° 2010-476 visant à réglementer les sites de jeux d’argent en ligne. Cette loi a créé l’Autorité de régulation des jeux en ligne (ARJEL), chargée d’agréer les sites de jeux d’argent en ligne et de bloquer ceux qui ne respectent pas la législation française.

Cette loi a été largement modifiée par le décret 2019-1015 qui a transféré cette responsabilité à l’Autorité Nationale des Jeux (ANJ) et a ajouté de nouvelles obligations aux sites de jeux d’argent en ligne. L’ANJ est désormais chargée de contrôler les sites de jeux d’argent en ligne sur les sports et les courses hippiques, ainsi que les casinos en ligne (principalement le poker, la roulette n’étant par exemple pas légale en France). En janvier 2025, elle n’avait délivré d’autorisation qu’à 17 opérateurs répertoriés sur son site web.

Jusqu’en mars 2023, l’ARJEL (puis l’ANJ) devait passer par des décisions de justice pour demander aux FAI de bloquer des sites web (voir par exemple cette décision de justice de 2018). Cette procédure a été modifiée par la loi de 2022 visant à démocratiser le sport en France, qui a permis à l’ANJ de demander directement aux FAI de bloquer les sites de jeux d’argent illégaux si le propriétaire du site n’a pris aucune mesure pour empêcher les Français de l’utiliser dans les 5 jours suivant sa mise en demeure. Cette nouvelle procédure supprime ainsi tout contrôle judiciaire (même si un site web spécifique peut contester cette décision a posteriori devant un tribunal administratif).

La nouvelle procédure est la suivante :

1. Les enquêteurs de l’ANJ établissent un rapport officiel confirmant qu’un site internet de jeux d’argent en ligne est accessible depuis la France sans être officiellement autorisé par l’autorité compétente.
2. Ils envoient une demande formelle au propriétaire du site internet et à l’hébergeur, leur demandant de bloquer les visites depuis la France dans un délai de 5 jours.
3. 5 jours plus tard, ils vérifient si le site internet est toujours accessible. Si ce n’est pas le cas, la procédure prend fin. Si c’est le cas, ils établissent un deuxième rapport officiel confirmant que l’accès depuis la France est toujours possible.
4. Une décision administrative est ensuite signée par le président de l’ANJ et envoyée aux FAI et aux moteurs de recherche leur demandant de bloquer et de déréférencer ces sites web.
5. Ils confirment ensuite que ces sites web ont bien été bloqués

Nombre de sites et de domaines bloqués

Fraude

En 2020, un projet de loi très large adaptant les directives européennes et appelé loi DDADUE a été voté et a ajouté la possibilité de censurer les sites web ne respectant pas la loi française relative à la conformité et à la sécurité des produits vendus sur internet, ainsi que les règles relatives à la protection des intérêts économiques des citoyens.

Techniquement, elle permet à la DGCCRF (administration nationale chargée de la concurrence, de la consommation et de la répression des fraudes) de demander aux FAI, aux registres et aux bureaux d’enregistrement de bloquer des domaines lorsqu’ils constatent une violation de la loi pouvant être punie d’au moins deux ans d’emprisonnement. Ceci est défini dans l’article L521-3-1 du Code de la consommation.

Nous disposons de peu d’informations sur l’application de cette loi. Il semble qu’elle ait été utilisée pour la première fois contre le site de commerce électronique Wish en 2021 pour manque de sécurité des produits vendus. La DGCCRF a communiqué à plusieurs reprises sur d’autres cas, tels que le blocage de deux sites internet makrea.com et cadeau-naruto.com en octobre 2024. Le site permislib.fr aurait également été bloqué pour pratiques commerciales trompeuses en novembre 2024.

Dans l’ensemble, la transparence sur l’application de cette loi par la DGCCRF est très limitée depuis 2020.

Cybercriminalité

La loi de programmation militaire de 2024 a instauré une nouvelle procédure de censure administrative pour les sites web utilisés dans le cadre de cyberattaques, dans l’article L2321-2-3 du code de la défense. Cet article permet à l’ANSSI (Agence nationale de la sécurité des systèmes d’information) de demander aux FAI de bloquer des noms de domaine ou de rediriger le trafic vers un autre serveur pour des noms de domaine spécifiques.

Cette mesure doit être appliquée en cas de « menaces pour la défense et la sécurité nationales » et ne doit être utilisée « que pour une durée et dans des conditions strictement nécessaires et proportionnées à l’effet recherché pour préserver l’intégrité du réseau, caractériser et neutraliser la menace et informer les utilisateurs ou propriétaires des systèmes affectés, menacés ou attaqués ». Ces mesures sont contrôlées par l’ARCEP (l’administration nationale chargée de la régulation des communications électroniques, des courriers et de la distribution de la presse).

Cette loi étant récente, nous avons très peu d’informations sur ses effets. À notre connaissance, il n’y a aucune transparence sur le nombre de domaines bloqués chaque année ni sur les raisons de ce blocage. Ni l’ANSSI ni l’ARCEP n’ont communiqué sur l’application de cette loi.

Censure de TikTok en Nouvelle-Calédonie / Kanaky

En mai 2024, un projet de loi proposé par le gouvernement français visait à apporter des modifications importantes à l’accord de Nouméa de 1998, notamment en ce qui concerne la définition des personnes habilitées à voter aux élections provinciales en Kanaky / Nouvelle-Calédonie. La Nouvelle-Calédonie est un archipel de l’océan Pacifique qui fait partie de la France depuis sa colonisation en 1853. Après des années de conflits entre le mouvement indépendantiste kanak et la France dans les années 70 et 80, l’accord de Nouméa promettait d’accorder un pouvoir politique accru à la population autochtone et à la province au cours d’une période de transition de vingt ans.

Plusieurs référendums organisés en 2018, 2020 et 2021 ont rejeté l’indépendance, mais les conditions de vote ont été controversées et le dernier référendum a été boycotté par le mouvement indépendantiste. Dans ce contexte tendu, après la proposition du projet de loi de mai 2024, des manifestations et des émeutes ont éclaté à Nouméa et dans d’autres régions de Nouvelle-Calédonie. Le 16 mai, le gouvernement a déclaré l’état d’urgence et ordonné le blocage de TikTok. Cette censure a été mise en œuvre le 15 mai au niveau du résolveur DNS par le seul FAI national de Nouvelle-Calédonie, « l’Office des postes et télécommunications de Nouvelle-Calédonie », comme l’ont confirmé des habitants de l’île.