La proportionnalité comme clef de voûte des dispositifs de lutte contre la contrefaçon en ligne : convergences entre le contrôle du juge judiciaire et celui du juge administratif

I. La loyauté procédurale et la proportionnalité dans les mesures probatoires de la propriété intellectuelle

A. L’exigence de loyauté dans la saisie-contrefaçon, préalable au contrôle de proportionnalité

La saisie-contrefaçon constitue une prérogative exorbitante du droit commun mise à la disposition du titulaire de droits de propriété intellectuelle, lui permettant d’obtenir, sur requête et sans débat contradictoire préalable, une mesure d’instruction destinée à établir la preuve d’actes de contrefaçon. L’article L. 716-4-7 du code de la propriété intellectuelle dispose que « la contrefaçon peut être prouvée par tous moyens » et que « toute personne ayant qualité pour agir en contrefaçon est en droit de faire procéder en tout lieu et par tous huissiers, le cas échéant assistés d’experts désignés par le demandeur, en vertu d’une ordonnance rendue sur requête par la juridiction civile compétente, soit à la description détaillée, avec ou sans prélèvement d’échantillons, soit à la saisie réelle des produits ou services prétendus contrefaisants ainsi que de tout document s’y rapportant ». Par un arrêt remarqué du 6 décembre 2023 (Cass. com., 6 décembre 2023, n° 22-11.071, Publié au Bulletin), la chambre commerciale de la Cour de cassation a consacré une exigence de loyauté dans l’exposé des faits présentés au soutien de la requête en saisie-contrefaçon. La Cour énonce que « les dispositions précitées du code de la propriété intellectuelle, lues à la lumière de la directive 2004/48/CE du 29 avril 2004 relative au respect des droits de propriété intellectuelle, exigent du requérant qu’il fasse preuve de loyauté dans l’exposé des faits au soutien de sa requête en saisie-contrefaçon, afin de permettre au juge d’autoriser une mesure proportionnée ». Cet attendu de principe opère un double rattachement normatif, à la fois au droit de l’Union européenne, par le truchement de la directive 2004/48/CE dont l’article 3 impose que les procédures nécessaires pour assurer le respect des droits de propriété intellectuelle soient « loyales et équitables », et au droit interne, par le visa de l’article 10 du code civil qui consacre l’obligation de loyauté des débats.

En l’espèce, la société Puma, titulaire de marques figuratives constituées d’une bande courbe, s’était abstenue de révéler au juge des requêtes que la société Carrefour était elle-même titulaire de marques portant sur le signe incriminé et que les instances administratives saisies par Puma, à savoir l’Institut national de la propriété industrielle et l’Office de l’Union européenne pour la propriété intellectuelle, avaient antérieurement exclu toute imitation des marques de la société Puma et tout risque de confusion. La Cour de cassation approuve la cour d’appel de Paris d’avoir annulé les procès-verbaux de saisie-contrefaçon au motif que « la partie qui sollicite l’autorisation de faire pratiquer une saisie-contrefaçon doit présenter, au soutien de sa requête, l’ensemble des faits objectifs de nature à permettre au juge d’appréhender complètement les enjeux du procès en vue duquel lui était demandée cette autorisation et ainsi d’exercer pleinement son pouvoir d’appréciation des circonstances de la cause ». Par cette formulation, la chambre commerciale transforme la loyauté procédurale en une condition substantielle de validité de la mesure, et non plus en une simple obligation déontologique. La saisie-contrefaçon, en tant que mesure exorbitante du droit commun, ne saurait être détournée de sa finalité probatoire pour servir une stratégie contentieuse fondée sur la rétention d’information.

B. Le contrôle de proportionnalité dans l’accès aux données de connexion par les autorités de régulation

Le principe de proportionnalité irrigue également le contentieux de l’accès aux données de connexion dans le cadre des enquêtes menées par les autorités administratives indépendantes. Par un arrêt du 28 mai 2025 (Cass. com., 28 mai 2025, n° 24-10.054, Publié au Bulletin), la chambre commerciale de la Cour de cassation a précisé les conditions dans lesquelles les enquêteurs de l’Autorité des marchés financiers peuvent accéder à des données de connexion détenues par les opérateurs de communications électroniques. La Cour rappelle que « s’il résulte de la jurisprudence de la Cour de justice de l’Union européenne (CJUE, arrêt du 21 décembre 2016, Tele2 Sverige AB, C-203/15 ; arrêt du 6 octobre 2020, La Quadrature du Net e.a., French Data Network e.a., C-511/18, C-512/18, C-520/18 ; arrêt du 2 mars 2021, H.K./Prokuratuur, C-746/18 ; arrêt du 5 avril 2022, Commissioner of An Garda Síochána, C-140/20) qu’une mesure d’injonction de conservation rapide des données de connexion, même au stade d’une enquête administrative, doit répondre à un critère de gravité suffisante, apprécié au regard des sanctions pénales encourues pour les faits objets de l’enquête ». La chambre commerciale prend soin d’articuler le droit interne et le droit de l’Union en retenant qu’« il y a lieu de prendre en compte, pour apprécier la gravité des faits objets de l’enquête, les sanctions pénales pouvant être prononcées au titre de ceux-ci ». Or, cette articulation entre la gravité de l’infraction et l’étendue des pouvoirs d’investigation constitue un vecteur de diffusion du principe de proportionnalité dans l’ensemble du droit de la propriété intellectuelle, bien au-delà du seul contentieux boursier.

Cette exigence de proportionnalité trouve un écho dans la jurisprudence de la chambre criminelle de la Cour de cassation. Par un arrêt du 28 mai 2024 (Cass. crim., 28 mai 2024, n° 23-85.848, Publié au Bulletin), la chambre criminelle a jugé que les réquisitions effectuées en application de l’article 77-1-2 du code de procédure pénale valent injonction de conservation rapide au sens de la Convention de Budapest du 23 novembre 2001 et que « le respect de ces exigences légales ne saurait dispenser le juge de contrôler, en outre, que les faits de l’espèce relèvent de la criminalité grave au sens de la jurisprudence de la Cour de justice de l’Union européenne, et selon la méthodologie définie par la Cour de cassation ». Le contrôle de proportionnalité s’exerce ainsi à deux niveaux : celui de la gravité de l’infraction, qui conditionne la licéité de l’accès aux données, et celui de la nécessité de la mesure, qui suppose une mise en balance des intérêts en présence. En conséquence, la lutte contre la contrefaçon en ligne ne saurait s’affranchir des exigences conventionnelles et constitutionnelles de protection de la vie privée, lesquelles imposent un contrôle juridictionnel effectif des mesures d’investigation attentatoires aux libertés individuelles. Par ailleurs, le rapprochement entre ces deux branches du droit — propriété intellectuelle et protection des données personnelles — procède d’une logique plus fondamentale encore : celle de l’unité de l’ordre juridique, au sein duquel le juge, qu’il soit judiciaire ou administratif, exerce une fonction de gardien des équilibres entre les droits subjectifs concurrents.

II. Le contrôle juridictionnel de la réponse graduée : l’apport de la décision du Conseil d’État du 30 avril 2026

A. La consécration d’un contrôle de proportionnalité du dispositif administratif de protection du droit d’auteur

Le dispositif de réponse graduée, institué par la loi du 12 juin 2009 favorisant la diffusion et la protection de la création sur internet et codifié aux articles L. 331-12 et suivants du code de la propriété intellectuelle (article L. 331-12 du CPI), constitue un mécanisme administratif de prévention et de sanction des atteintes au droit d’auteur commises sur les réseaux de communications électroniques. L’article L. 331-12 du code de la propriété intellectuelle confie à l’Arcom une triple mission : une mission de protection des œuvres et des objets auxquels sont attachés un droit d’auteur ou un droit voisin à l’égard des atteintes commises sur les réseaux de communications électroniques, une mission d’encouragement au développement de l’offre légale et une mission de régulation dans le domaine des mesures techniques de protection. L’article L. 336-3 du même code (article L. 336-3 du CPI) impose à tout titulaire d’un accès à internet une obligation de veiller à ce que sa connexion ne soit pas utilisée à des fins de reproduction, de représentation, de mise à disposition ou de communication au public d’œuvres protégées sans l’autorisation des titulaires de droits. Pour assurer le respect de cette obligation, l’Arcom met en œuvre une procédure en trois étapes successives : une première recommandation, une seconde recommandation notifiée par lettre remise contre signature, puis, en cas de nouveaux manquements constatés dans l’année, la transmission du dossier au procureur de la République, sur le fondement des articles L. 335-2 à L. 335-4 du code de la propriété intellectuelle (articles L. 335-2 à L. 335-4 du CPI) qui répriment la contrefaçon de trois ans d’emprisonnement et de 300 000 euros d’amende. L’article L. 331-23 du même code (article L. 331-23 du CPI) autorise la création par l’Arcom d’un traitement automatisé de données à caractère personnel portant sur les personnes faisant l’objet de la procédure, dont les modalités sont fixées par le décret du 5 mars 2010.

L’association La Quadrature du Net et trois autres associations, opposées au principe même de ce dispositif, ont saisi le Conseil d’État d’un recours en annulation du décret du 5 mars 2010 fixant les modalités du traitement automatisé de données à caractère personnel dénommé « Système de gestion des mesures pour la protection des œuvres sur internet », pris en application de l’article L. 331-23 du code de la propriété intellectuelle (article L. 331-23 du CPI). Avant de se prononcer, le Conseil d’État a saisi la Cour de justice de l’Union européenne d’une question préjudicielle relative à l’interprétation de la directive du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques. Par un arrêt du 30 avril 2024 (CJUE, 30 avril 2024, C-470/21, La Quadrature du Net e.a.), la Cour de Luxembourg a précisé que si un État membre peut imposer une conservation généralisée des données relatives à l’identité civile et des adresses IP correspondantes aux opérateurs internet, y compris pour réprimer des infractions pénales ne présentant pas une particulière gravité, cette conservation doit être effectuée « de façon cloisonnée afin d’éviter les risques d’ingérences graves dans la vie privée des personnes par recoupement avec d’autres données conservées ». La Cour a en outre jugé que « si l’autorité publique a déjà, à deux reprises, mis en relation les données d’identité d’un même abonné avec des informations sur le contenu d’œuvres qu’il aurait piratées, elle ne peut procéder à une troisième mise en relation de ce type sans y avoir été préalablement autorisée par une juridiction ou une entité administrative indépendante ».

Tirant les conséquences de cet arrêt, le Conseil d’État, par sa décision du 30 avril 2026 (CE, 30 avril 2026, n° 433539), a jugé que le décret du 5 mars 2010 ne respectait pas le droit de l’Union européenne à deux égards. D’une part, il n’empêche pas l’Arcom de recevoir des données d’identité des opérateurs internet qui n’auraient pas été conservées de manière cloisonnée. D’autre part, il autorise l’Arcom à mettre en relation une troisième fois, pour une même personne, les données d’identification des abonnés avec les informations sur les contenus piratés, sans que cette mise en relation soit subordonnée à l’autorisation d’une juridiction ou d’une entité administrative indépendante. La Haute juridiction administrative a en conséquence ordonné au Gouvernement de revoir le décret pour le mettre en conformité avec les exigences du droit de l’Union. Toutefois, dans l’attente de l’adoption d’un éventuel nouveau décret, le Conseil d’État a pris soin de définir un cadre de contrôle à titre transitoire, distinguant selon la gravité des faits signalés : dans le cas d’infractions pénales ne présentant pas une particulière gravité, l’Arcom ne peut demander aux opérateurs l’identification d’un abonné à partir de son adresse IP que s’il est établi que ces données personnelles ont été conservées de façon cloisonnée ; en revanche, si des faits de criminalité grave lui sont signalés, l’Arcom peut solliciter une telle identification sans avoir à vérifier la conformité de la conservation des données. Cette modulation, fondée sur un critère de gravité, n’est pas sans rappeler le standard dégagé par la chambre criminelle dans son arrêt du 28 mai 2024, qui impose un contrôle de la gravité des faits pour déterminer la licéité de l’accès aux données de connexion.

B. La convergence des standards de proportionnalité entre l’office du juge judiciaire et le contrôle du juge administratif

La décision du Conseil d’État du 30 avril 2026 s’inscrit dans un mouvement jurisprudentiel plus large de convergence des standards de proportionnalité entre le juge judiciaire et le juge administratif en matière de propriété intellectuelle. Le contrôle de proportionnalité opéré par le Conseil d’État sur le dispositif de réponse graduée présente une parenté conceptuelle remarquable avec celui exercé par la chambre commerciale de la Cour de cassation dans l’arrêt Puma du 6 décembre 2023, précédemment évoqué, ou encore avec celui de la première chambre civile dans son arrêt du 26 février 2025 (Cass. 1re civ., 26 février 2025, n° 23-15.966), relatif à la responsabilité des hébergeurs de contenus contrefaisants. Dans cette dernière espèce, la Cour de cassation a rappelé que, si les hébergeurs ne sont pas soumis à une obligation générale de surveiller les informations qu’ils transmettent ou stockent, ni à une obligation générale de rechercher des faits ou des circonstances révélant des activités illicites, ils peuvent néanmoins se voir imposer des obligations de retrait de contenus manifestement illicites, sous le contrôle du juge. Par ces différentes décisions, les hautes juridictions françaises dessinent un standard commun de proportionnalité, fondé sur la mise en balance des intérêts protégés — la défense de la propriété intellectuelle, d’un côté, et le respect des droits fondamentaux, de l’autre — et sur l’exigence d’un contrôle juridictionnel effectif des mesures attentatoires aux libertés.

Par ailleurs, cette exigence de proportionnalité est d’autant plus prégnante que la contrefaçon en ligne, bien que constituant une infraction pénalement réprimée par les articles L. 335-2 et suivants du code de la propriété intellectuelle (articles L. 335-2 à L. 335-4 du CPI), ne relève pas, en principe, de la « criminalité grave » au sens de la jurisprudence de la CJUE. Dans le cadre transitoire fixé par le Conseil d’État, il est précisé que « dans le cas d’infractions pénales ne présentant pas une particulière gravité, l’Arcom ne peut demander aux opérateurs l’identification d’un abonné à partir de son adresse IP, que s’il est établi que ces données personnelles ont été conservées dans les conditions fixées par la CJUE ». En revanche, « si des faits de criminalité grave lui sont signalés (délit de contrefaçon), l’Arcom peut demander une telle identification aux opérateurs de communications électroniques, sans avoir à vérifier que les données sont conservées de façon étanche ». Cette distinction opérée par le juge administratif entre la contrefaçon simple et la contrefaçon qualifiée de criminalité grave fait écho à la distinction retenue par la chambre criminelle dans son arrêt du 28 mai 2024, lequel impose au juge de « contrôler, d’une part, que les faits sur lesquels a porté l’enquête sont punis d’une peine d’emprisonnement d’au moins trois ans, d’autre part, qu’ils relèvent de la criminalité grave ». La convergence est frappante : le juge administratif et le juge judiciaire partagent un même référentiel, celui de la gravité de l’atteinte, pour déterminer le degré de protection des données personnelles applicable.

En conséquence, la décision du Conseil d’État du 30 avril 2026 révèle une articulation renouvelée entre la protection du droit d’auteur et la protection des données personnelles, qui dépasse la simple confrontation de droits antagonistes pour instaurer un véritable dialogue des sources normatives. La directive 2004/48/CE, qui impose aux États membres de prévoir des mesures, procédures et réparations « loyales et équitables » et « proportionnées », constitue le socle commun sur lequel se déploie ce contrôle juridictionnel rénové. L’arrêt de la chambre commerciale du 14 mai 2025 (Cass. com., 14 mai 2025, n° 23-21.296, G7, Publié au Bulletin) illustre de manière éclairante cette diffusion du standard de proportionnalité dans le contentieux de la déchéance de marque : la Cour y impose au juge de rechercher si la catégorie de produits visée à l’enregistrement peut être divisée « de manière objective et non arbitraire, en sous-catégories autonomes et cohérentes », imposant ainsi une exigence de précision et de proportionnalité dans l’exercice des droits privatifs. À cet égard, le critère de la finalité et de la destination des produits, érigé par l’arrêt G7 en critère essentiel d’identification des sous-catégories autonomes, participe de la même logique de mise en balance que celle qui gouverne le contrôle de proportionnalité dans l’accès aux données de connexion : il s’agit, dans les deux cas, d’éviter qu’un droit de propriété intellectuelle ne soit exercé de manière excessive ou disproportionnée par rapport à sa finalité légitime.

Dès lors, il apparaît que le standard de proportionnalité, initialement forgé par la jurisprudence de la Cour de justice de l’Union européenne à l’occasion du contentieux de la conservation des données de connexion, irrigue désormais l’ensemble du droit de la propriété intellectuelle, tant dans sa dimension judiciaire que dans sa dimension administrative. La décision du Conseil d’État du 30 avril 2026, en enjoignant au Gouvernement de mettre en conformité le dispositif de réponse graduée avec le droit de l’Union, s’inscrit pleinement dans cette dynamique d’harmonisation des standards de protection, qui fait du juge l’arbitre ultime de la proportionnalité des dispositifs de protection de la propriété intellectuelle. La question qui se pose désormais est celle de la capacité du pouvoir réglementaire à élaborer un nouveau décret qui satisfasse à la fois aux exigences d’efficacité de la lutte contre le piratage et aux impératifs de protection des données personnelles, tels que définis par la Cour de justice de l’Union européenne et consacrés par le Conseil d’État.

Conclusion

La décision du Conseil d’État du 30 avril 2026 et la jurisprudence convergente de la chambre commerciale de la Cour de cassation témoignent d’une recomposition profonde des dispositifs de lutte contre la contrefaçon en ligne, placés sous l’égide d’un principe de proportionnalité de plus en plus exigeant. Le contrôle juridictionnel effectif, qu’il émane du juge administratif ou du juge judiciaire, apparaît désormais comme la garantie indispensable de l’équilibre entre la protection de la propriété intellectuelle et le respect des droits fondamentaux des personnes. Cette évolution, qui fait du juge le régulateur ultime de la tension entre l’efficacité de la répression et la sauvegarde des libertés, invite à une réflexion renouvelée sur l’architecture normative de la propriété intellectuelle à l’ère numérique.