Le règlement européen sur les contenus terroristes en ligne, entré en vigueur en juin 2022, se met progressivement en place . Dans le cadre du projet européen Tech Against Terrorism Europe* (TaTE), examinons six aspects-clés de ce règlement qui vise à améliorer la détection des contenus terroristes à un niveau supranational.

Le terrorisme reste une menace sérieuse pour les États membres de l’UE. Selon le dernier rapport d’Europol sur les tendances liées au terrorisme dans l’UE (publié en 2023), 28 attaques — perpétrées, manquées ou déjouées — ont été enregistrées dans l’UE en 2022. 380 personnes ont été arrêtées pour des infractions liées au terrorisme, dont 93 en France. Les nouvelles technologies et Internet continuent d’être largement utilisés pour propager des idéologies terroristes, recruter de nouveaux membres et radicaliser des individus. Si les réseaux sociaux, les forums et les plateformes de jeux vidéo en ligne restent très populaires, les groupes terroristes utilisent également de plus en plus des plateformes décentralisées, qui sont souvent moins protégées contre les utilisations à caractère terroriste. Quand l’UE présente le projet de règlement en 2018, elle dénombre déjà 150 plateformes utilisées à des fins terroristes. Nous présentons six aspects-clés de ce règlement ci-dessous.

1. Quels sont les acteurs du numérique concernés?

Le règlement s’applique aux fournisseurs de service d’hébergement (FSH) qui 1) stockent des données 2) diffusées au public, c’est-à-dire sans que l’accès à ces informations ne requiert un enregistrement ou une admission validée manuellement. Si l’admission est validée automatiquement, sans intervention humaine, le contenu est considéré comme diffusé au public. Sont concernés, par exemple, les plateformes de réseaux sociaux, de services de partage de vidéos, d’images et de sons, ainsi que de services de partage de fichiers et d’autres services cloud – si les informations stockées sont diffusées au public. 3^e critère : la diffusion doit se faire à la demande directe du fournisseur de contenu. Par conséquent, les services de clouds ne sont pas considérés comme des fournisseurs de services d’hébergement lorsqu’ils offrent leurs services à d’autres fournisseurs de services, car ils ne stockent pas du contenu à la demande directe du fournisseur de contenu*.

2. Les fournisseurs de services d’hébergement du monde entier sont-ils concernés?

La réponse est non, mais presque, potentiellement. Un FSH est concerné s’il entretient un lien étroit avec un pays de l’UE. Un lien avec l’UE est considéré comme étroit lorsque :

• Le FSH est établi dans l’Union.
• Ses services sont utilisés par un nombre significatif d’utilisateurs et utilisatrices dans un ou plusieurs États membres (pour l’instant, il n’y a pas d’indication officielle sur ce qui constitue un nombre significatif).
• Ses activités sont destinées à un ou plusieurs États membres.

L’un de ces trois critères suffit pour considérer qu’il existe un lien étroit.

3. Les FSH sont-ils tous concernés de la même manière?

Le règlement établit une distinction entre les FSH en général et les FSH « exposés à des contenus terroristes ». Les FSH exposés à des contenus terroristes sont des FSH qui ont reçu au moins deux injonctions de retrait définitives au cours des 12 derniers mois.

Tous les FSH sont uniquement légalement tenus d’avoir un point de contact et un représentant légal.

Les FSH exposés à des contenus terroristes sont quant à eux tenus de prendre des mesures spécifiques pour protéger leurs services contre la diffusion de contenus terroristes. Parmi les mesures possibles figure la mise en place de mécanismes de signalement de contenus suspects. Utiliser des procédés automatiques n’est pas imposé.

4. En quoi consistent les injonctions de retrait?

Les injonctions de retrait sont la mesure-phare du règlement. Si un FSH reçoit une injonction de retrait, cela signifie que le contenu en question a été considéré comme terroriste par une autorité compétente. En France, l’autorité compétente (depuis juin 2023) est l’Office central de lutte contre la criminalité liée aux technologies de l’information et de la communication (OCLCTIC), l’Autorité de régulation de la communication audiovisuelle et numérique (ARCOM) et les tribunaux. Trois États membres (la Pologne, le Portugal et la Slovénie) doivent encore désigner leurs autorités compétentes.

Le FSH est tenu de retirer le contenu en question immédiatement, dans l’heure qui suit l’injonction.

Le retrait peut se faire de trois manières techniques :

• Le contenu est retiré (supprimé) du site.
• L’accès au contenu est bloqué/désactivé.
• Le contenu est géo-bloqué dans l’Union européenne.

Le FSH doit en informer immédiatement l’autorité compétente (voir annexe 2 du règlement). Il doit également prévenir le fournisseur de contenu. Les FSH doivent conserver les contenus terroristes retirés ou bloqués pendant six mois, afin de permettre aux acteurs concernés de faire appel et de contester l’injonction de retrait. L’autorité ou un tribunal compétent peut, si nécessaire, ordonner que le contenu soit stocké pendant une période plus longue (par exemple, si une procédure judiciaire est en cours).

5. En quoi les injonctions de retrait constituent-elles un danger potentiel pour les droits fondamentaux?

De nombreux observateurs se sont opposés au règlement, pour trois raisons principales. Premièrement, le délai d’une heure pour appliquer l’injonction de retrait peut pousser les FSH à recourir à des procédés automatisés. Certains craignent que ces outils suppriment du contenu de façon inexacte et imprécise (encore davantage que la modération humaine) et accentuent encore le manque de transparence dans la modération par les plateformes, petites ou grandes. Cependant, l’UE prévoit la possibilité de ne pas répondre au délai d’une heure en cas de force majeure. Ceux-ci incluent les raisons techniques.

La deuxième opposition concerne la désignation des autorités compétentes. Le règlement requiert des États membres qu’ils désignent les organes habilités à le mettre en œuvre. Bien que ces organes doivent être objectifs, non discriminatoires et respectueux des droits, pour les signataires de cette lettre ouverte, seuls les tribunaux ou les autorités administratives indépendantes (comme l’OCLCTIC en France) devraient avoir l’autorité de mettre en œuvre le règlement, et notamment d’émettre des injonctions de retrait. Or, le règlement se limite à indiquer que les États Membres doivent déterminer la « nature administrative, répressive ou judiciaire » des autorités compétentes choisies. Par conséquent, les signataires soulignent que l’absence éventuel de contrôle judiciaire représente un risque significatif pour la liberté d’expression et l’accès à l’information. Dans la pratique, la nature des autorités est relativement hétérogène : services de sécurité (par ex. l’Estonie et la Lettonie), police (par ex. l’Allemagne, Chypre, et l’Irlande), ministères de l’intérieur (par ex. la Bulgarie, la Croatie et l’Espagne), parquet (par ex. la Belgique) et tribunaux (par ex. le Danemark, la France et la Grèce). Certains pays, comme la France, ont désigné plusieurs autorités, en fonction des missions à accomplir : a) émettre les injonctions de retrait, b) procéder à un examen approfondi des injonctions de retrait, c) superviser la mise en œuvre des mesures spécifiques et d) imposer des sanctions (voir article 12). Cette hétérogénéité dans la sélection des autorités compétentes fait craindre une fragmentation de l’application du règlement au sein de l’UE. De plus, la police ou les services de sécurité risquent de ne pas avoir les connaissances juridiques nécessaires pour déterminer si une injonction de retrait enfreint les libertés fondamentales ou non. Pour certains, ces prérogatives devraient donc être laissées aux autorités maîtrisant les questions juridiques (Gherbaoui & Scheinin 2023).

seuls les tribunaux ou les autorités administratives indépendantes soumises à un contrôle judiciaire devraient avoir l’autorité de mettre en œuvre le règlement, et notamment d’émettre des injonctions de retrait. Ils soulignent que l’absence de contrôle judiciaire représente un risque significatif pour la liberté d’expression et l’accès à l’information.

Troisièmement, les signataires de cette même lettre ouverte craignaient que toute autorité compétente soit habilitée à exiger la suppression immédiate de tout contenu en ligne, hébergé sur des serveurs situés dans n’importe quel pays de l’Union européenne. Dans ce cas, un État membre serait autorisé à élargir sa sphère d’intervention au-delà de ses frontières territoriales sans avoir à obtenir au préalable une autorisation judiciaire, et ce, sans tenir compte des droits des individus dans les juridictions concernées. Cependant, le règlement comprend une procédure particulière pour les injonctions transfrontalières. Lors de l’envoi de l’injonction de retrait, l’autorité compétente doit envoyer une copie de l’injonction à l’autorité d’origine (c’est-à-dire l’autorité du pays du FSH). Cette dernière peut vérifier l’injonction de retrait dans un délai de 72 heures. Le FSH (ainsi que le fournisseur du contenu) peut soumettre une demande de réexamen de l’injonction à l’autorité d’origine. S’il s’avère que l’injonction de retrait enfreint la Charte des droits fondamentaux de l’UE, l’autorité d’origine peut prendre une décision motivée contre l’injonction.

6. Quels moyens l’UE met-elle en place pour garantir le respect des droits fondamentaux?

Le droit à un recours effectif est fondamental dans le règlement. Le règlement prévoit un droit de recours contre les injonctions de retrait pour les FSH et les fournisseurs de contenu. Il inclut également un droit de plainte pour les fournisseurs de contenus qui ont été retirés dans le cadre des « mesures spécifiques », indépendamment d’injonctions de retrait.

Par ailleurs, si un FSH a pris des mesures contre la diffusion de contenus terroristes au cours d’une année civile, il doit publier un rapport de transparence sur les mesures prises au cours de l’année civile au plus tard le 1er mars de l’année suivante.

*****

* Tech Against Terrorism Europe (TaTE) est un projet financé par l’UE qui a pour but d’informer et d’aider les FSH à se conformer à la réglementation européenne sur le contenu terroriste en ligne. TaTE propose notamment un guide et un cours inter-universitaire en ligne sur le règlement (durée : 3 heures), tous deux gratuitement disponibles ici.