Après en avoir délibéré,
Emet l'avis suivant :
Saisie par le Gouvernement d'un projet de décret relatif au retrait des contenus à caractère terroriste en ligne, pris en application des articles 6-1-1 et 6-1-5 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique, l'Autorité de régulation de la communication audiovisuelle et numérique (ARCOM), après en avoir délibéré le 19 avril 2023, émet un avis favorable, assorti des observations suivantes.
1. S'agissant des modalités d'application de l'article 6-1-1 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique
Le projet de décret confirme la compétence de l'OCLCTIC pour adresser les injonctions de retrait au titre des article 3 et 4 du règlement susvisé.
La compétence d'une même autorité, en application du dispositif interne de l'article 6-1 et du dispositif découlant du règlement à l'article 6-1-1 LCEN, est un gage de cohérence susceptible de favoriser une plus grande efficacité de la lutte contre la dissémination de contenus à caractère terroriste.
Information de l'Autorité de régulation de la communication audiovisuelle et numérique et de la personnalité qualifiée désignée en son sein
L'article 2 du projet de décret prévoit la transmission à l'ARCOM par l'office d'une copie des injonctions de retrait émises sur le fondement de l'article 3 ou, le cas échéant, de l'article 4, du règlement susvisé, afin que l'Autorité puisse exécuter les missions de supervision de la mise en œuvre des mesures spécifiques prises en application de l'article 5 du même règlement qui lui ont été conférées à l'article 6- 1-1 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique (LCEN) et qui sont accompagnées d'un pouvoir de sanction, après mise en demeure.
L'article 5 prévoit qu'un fournisseur de service d'hébergement peut être désigné « exposé » à des contenus à caractère terroriste lorsque l'autorité compétente de son Etat d'établissement prend une décision à cet effet, en se fondant sur des critères objectifs, dont notamment la réception par ce fournisseur de deux injonctions de retrait définitives au cours des douze derniers mois. Le fournisseur de service d'hébergement désigné est alors tenu de prendre des mesures « spécifiques » pour protéger ses services contre un usage abusif visant à diffuser au public des contenus à caractère terroriste. Le choix des mesures proactives à mettre en œuvre incombe au seul fournisseur de service d'hébergement mais doit répondre à des exigences d'efficacité, de proportionnalité et de respect des droits fondamentaux des utilisateurs en matière de liberté d'expression et d'information, de respect de la vie privée et de protection des données à caractère personnel.
L'Autorité, qui devra superviser la mise en œuvre de ces mesures spécifiques, relève que le projet de décret ne prévoit pas de délai encadrant la transmission de la copie de l'injonction de retrait par l'office à l'ARCOM ni de délai encadrant la transmission de la copie de l'injonction de retrait par l'office à la personnalité qualifiée pour l'exercice des compétences qui lui sont conférée au titre du II de l'article 6-1-1 de la loi du 21 juin 2004 susvisée. Elle relève en outre l'absence de dispositions prévoyant la transmission par la personnalité qualifiée des injonctions reçues au titre de l'article 4 à l'ARCOM, et l'information de cette dernière quant aux suites données aux injonctions.
Par ailleurs, l'Autorité observe que l'article 6-1-4 de la loi du 21 juin 2004 lui confère une mission générale de supervision du respect de la mise en œuvre du règlement par tous les fournisseurs de service d'hébergement établis en France.
L'ARCOM est en particulier chargée de contrôler l'obligation de diligence imposée aux fournisseurs de service d'hébergement au titre du paragraphe 6 de l'article 3 du règlement, selon lequel « le fournisseur de services d'hébergement informe, sans retard indu, l'autorité compétente du retrait du contenu à caractère terroriste ou du blocage de l'accès à celui-ci dans tous les Etats membres, en indiquant, en particulier, la date et l'heure du retrait ou du blocage » ainsi que celle visée au paragraphe 7 de l'article 4 du règlement, selon lequel « à la réception d'une décision constatant une violation communiquée conformément au paragraphe 6, le fournisseur de services d'hébergement concerné rétablit immédiatement le contenu ou l'accès à celui-ci, sans préjudice de la possibilité de faire respecter ses conditions générales conformément au droit de l'Union et au droit national. »
Pour assurer l'exécution de cette mission de supervision d'une relation entre deux tiers, l'ARCOM souligne l'importance de pouvoir accéder en temps utile aux échanges entre les fournisseurs de service d'hébergement et l'office ainsi que la personnalité qualifiée, notamment aux accusés de réception des injonctions et aux décisions, ainsi qu'aux suites données à celles-ci. Or, ces informations ne sont pas publiques.
L'Autorité suggère donc d'insérer à l'article 2 du projet de décret une référence à l'article 6-1-4 de la loi du 21 juin 2004 susvisée, qui précise les obligations dont elle assure la supervision.
L'ARCOM estime utile de préciser que lorsque l'office émet une injonction de retrait en application de l'article 3 du règlement susvisé, il en transmet sans délai une copie à l'ARCOM ainsi qu'à la personnalité qualifiée désignée au sein de son collège, et que lorsque la personnalité qualifiée désignée au sein de l'ARCOM reçoit une injonction de retrait transfrontalière, elle en transmet de même sans délai une copie à l'Autorité.
Elle propose enfin d'indiquer que l'office et la personnalité qualifiée tiennent l'Autorité informée sans délai des suites données aux injonctions émises ainsi que, le cas échéant, des recours formés contre ses injonctions et des suites qui leur sont données, notamment s'agissant des fournisseurs de service d'hébergement établis ou légalement représentés en France.
Modalités de communication entre autorités compétentes
L'article 3 du projet de décret prévoit que les échanges d'information entre, d'une part, les autorités désignées en France (l'office, la personnalité qualifiée désignée au sein de l'ARCOM et cette dernière), et, d'autre part, ces autorités et les autorités compétentes désignées dans les autres Etats membres pour la mise en œuvre du règlement susvisé, s'effectuent par des moyens de communication électronique garantissant l'identification des parties à la communication, l'intégrité, la sécurité et la confidentialité des échanges.
L'ARCOM relève que les moyens techniques précisés permettent des échanges fluides tout en garantissant leur sécurité et leur confidentialité. Ils répondent, en outre, au besoin pour les autorités compétentes nationales de pouvoir s'appuyer sur les outils en cours de développement par Europol aux fins de faciliter la coopération transfrontalière en matière de lutte contre la dissémination des contenus à caractère terroriste.
Faculté de consultation de la personnalité qualifiée désignée au sein de l'ARCOM
L'article 4 du projet de décret prévoit la possibilité pour la personnalité qualifiée au sein de l'ARCOM de consulter pour avis l'office lorsqu'elle est saisie d'une demande aux fins d'examen approfondi d'une injonction de retrait émise par l'autorité d'un Etat membre tiers envers un fournisseur de service d'hébergement établi en France.
Le cas échéant, la consultation de l'office interviendra nécessairement dans des délais contraints et impliquera un délai de réponse très court, dès lors que la personnalité qualifiée doit elle-même statuer en 72 heures.
La mise en œuvre de l'article 6-1 de la LCEN montre que les échanges entre la personnalité qualifiée et l'office s'avèrent suffisamment rapides en pratique.
2. S'agissant des modalités d'application de l'article 6-1-5 de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l'économie numérique
Les articles 5 et 6 du projet de décret modifient le code de justice administrative en intégrant les procédures spécifiques permettant de contester devant le juge administratif les injonctions de retrait émises sur le fondement de l'article 3, ainsi que les refus de la personnalité qualifiée d'annuler l'injonction adressée par l'autorité d'un autre Etat membre à un opérateur établi en France en application de l'article 4.
L'ARCOM relève que les délais d'examen prévus sont de nature à répondre aux exigences de l'article 9 du règlement susvisé, dans la mesure où ils garantissent qu'une décision statuant au fond puisse être rendue rapidement.
3. S'agissant des dispositions modifiant le décret n° 2015-125 du 5 février 2015 relatif au blocage des sites provoquant à des actes de terrorisme ou en faisant l'apologie et des sites diffusant des images et représentations de mineurs à caractère pornographique
L'article 7 du projet de décret modifie le décret n° 2015-125 du 5 février 2015 relatif au blocage des sites provoquant à des actes de terrorisme ou en faisant l'apologie et des sites diffusant des images et représentations de mineurs à caractère pornographique en tirant les conséquences du transfert de la personnalité qualifiée du collège de la CNIL vers celui de l'ARCOM, prévu à l'article 41 de la loi n° 2021-1109 renforçant le respect des principes de la République, et en vigueur depuis le 7 juin 2022.
Il précise en outre les conditions dans lesquelles les agents de l'Autorité peuvent être mis à la disposition de la personnalité qualifiée pour l'assister dans l'exercice de ces missions, en prévoyant qu'ils soient individuellement désignés et habilités à cette fin par le président de l'ARCOM.
L'Autorité prend acte de ces modifications qui permettent d'adapter les textes règlementaires à l'évolution de la fonction de la personnalité qualifiée et de renforcer les garanties relatives aux agents amenés à consulter des contenus illicites dans le cadre de leurs fonctions.
Le présent avis sera publié au Journal officiel de la République française.