I. Le rejet de la qualification de communication au public à l’encontre des fournisseurs de réseaux privés virtuels
A. La dissociation entre l’outil technique de contournement et l’acte de mise à disposition
La Cour de justice de l’Union européenne a rendu, le 9 juillet 2026, un arrêt d’une portée considérable pour l’ensemble des titulaires de droits de propriété intellectuelle, en écartant la responsabilité des fournisseurs de réseaux privés virtuels — plus communément désignés sous l’acronyme VPN — au titre de la communication au public d’œuvres protégées par le droit d’auteur (CJUE, 9 juillet 2026, affaire C-788/24). Cette décision s’inscrit dans le prolongement d’une jurisprudence européenne qui, depuis l’arrêt fondateur Google France du 23 mars 2010, s’attache à distinguer les prestataires intermédiaires neutres des opérateurs jouant un rôle actif dans la diffusion des contenus. L’affaire soumise à la Cour trouvait son origine dans la mise en ligne, sur un site Internet enregistré en Belgique, d’une édition scientifique numérisée des manuscrits d’Anne Frank. L’œuvre, tombée dans le domaine public dans plusieurs États membres de l’Union, demeurait protégée par le droit d’auteur aux Pays-Bas jusqu’en 2037. Les responsables du site avaient déployé un dispositif de géoblocage fondé sur l’adresse IP des internautes, afin d’empêcher l’accès au contenu depuis le territoire néerlandais. Le fonds détenteur des droits, l’Anne Frank Fonds, estimait néanmoins que la simple possibilité de contourner ce géoblocage au moyen d’un VPN suffisait à caractériser une diffusion non autorisée de l’œuvre auprès du public néerlandais.
La Cour de justice écarte résolument ce raisonnement. Elle considère que le fournisseur de VPN ne réalise pas un acte de communication au public au sens de l’article 3 de la directive 2001/29/CE du 22 mai 2001 sur l’harmonisation de certains aspects du droit d’auteur et des droits voisins dans la société de l’information, dès lors qu’il se borne à mettre à disposition un outil technique général, sans intervenir dans le choix des contenus consultés ni décider du public auquel l’œuvre est proposée. En droit français, la communication au public est définie par l’article L. 122-2 du code de la propriété intellectuelle comme « la communication de l’œuvre au public par un procédé quelconque », ce qui inclut la diffusion par tout procédé de télécommunication de sons, d’images, de documents, de données et de messages de toute nature. Or, la Cour de justice retient que le fournisseur de VPN ne choisit pas les sites consultés par ses abonnés et ne décide pas à quel public l’œuvre est proposée, de sorte qu’il ne saurait être regardé comme l’auteur d’une communication au public.
Cette solution prolonge, en la précisant, la jurisprudence antérieure de la Cour de justice relative à la notion de « communication au public ». Dès l’arrêt GS Media du 8 septembre 2016, la Cour avait jugé que la fourniture d’un lien hypertexte cliquable renvoyant à des œuvres protégées ne constituait un acte de communication au public que si le fournisseur du lien avait connaissance du caractère illicite de la publication sur le site de destination. La logique est comparable s’agissant des VPN : le fournisseur d’accès ne détermine ni l’existence ni la disponibilité des contenus auxquels ses abonnés accèdent, de sorte que son intervention ne présente pas le caractère intentionnel requis pour caractériser un acte de communication. Par ailleurs, la Cour rappelle opportunément que les abonnés à un service VPN peuvent légalement utiliser cet outil pour protéger leur connexion et préserver leur vie privée, finalités parfaitement légitimes qui ne sauraient être compromises par un usage détourné imputable à une minorité d’utilisateurs.
B. Le standard de l’efficacité suffisante des mesures de géoblocage
Le second enseignement majeur de l’arrêt du 9 juillet 2026 réside dans la définition du standard auquel doivent satisfaire les mesures techniques de protection pour être considérées comme efficaces. La Cour énonce qu’une mesure technique n’a pas besoin d’être impossible à contourner pour être regardée comme satisfaisante au regard du droit d’auteur : elle doit employer des techniques suffisamment récentes et solides, adaptées à l’objectif poursuivi, sans imposer de restrictions disproportionnées. Cette appréciation nuancée se situe dans le droit fil des dispositions de l’article 6 de la directive 2001/29/CE, qui définit les mesures techniques comme « toute technologie, dispositif ou composant qui, dans le cadre normal de son fonctionnement, est destiné à empêcher ou à limiter, en ce qui concerne les œuvres ou autres objets protégés, les actes non autorisés par le titulaire d’un droit d’auteur ou d’un droit voisin ». En d’autres termes, l’efficacité d’une mesure de protection ne se mesure pas à son invulnérabilité absolue, mais à sa capacité raisonnable à décourager et à restreindre l’accès non autorisé.
En conséquence, si un site Internet déploie un géoblocage suffisamment abouti, il manifeste son intention de ne pas s’adresser aux internautes du pays où l’œuvre demeure protégée. Le fait que certains d’entre eux puissent ensuite contourner cette restriction à l’aide d’un VPN ne suffit pas à considérer que l’éditeur du site y a lui-même diffusé l’œuvre. La responsabilité de l’acte de communication au public incombe exclusivement à l’éditeur du site qui, s’il est établi que le géoblocage était insuffisant pour empêcher effectivement l’accès depuis le territoire protégé, pourra voir sa responsabilité engagée. Cette solution consacre une dissociation claire entre, d’une part, l’éditeur du contenu, qui décide de sa mise à disposition en ligne, et, d’autre part, les prestataires de services techniques qui facilitent l’accès à Internet sans exercer de contrôle sur les contenus consultés. Elle conforte ainsi le principe de neutralité technologique qui innerve le droit européen des communications électroniques depuis la directive du 8 juin 2000 relative au commerce électronique.
À cet égard, l’arrêt du 9 juillet 2026 présente une analogie remarquable avec la jurisprudence de la chambre commerciale de la Cour de cassation relative à la responsabilité des hébergeurs. En effet, le droit français de la propriété intellectuelle, à travers l’article L. 122-4 du code de la propriété intellectuelle, pose que « toute représentation ou reproduction intégrale ou partielle faite sans le consentement de l’auteur ou de ses ayants droit ou ayants cause est illicite ». Cette prohibition de principe n’emporte cependant pas de responsabilité automatique des intermédiaires techniques, ainsi que l’a rappelé la chambre commerciale de la Cour de cassation dans plusieurs décisions récentes, dont il convient à présent d’examiner la portée.
II. L’alignement de la jurisprudence française sur le principe de neutralité technique des intermédiaires
A. L’arrêt Airbnb du 7 janvier 2026 et la notion structurante de rôle actif
Par un arrêt du 7 janvier 2026, publié au Bulletin et au Rapport annuel, la chambre commerciale, financière et économique de la Cour de cassation a précisé les contours de la qualité d’intermédiaire technique au regard du droit de l’Union européenne (Cass. com., 7 janvier 2026, pourvoi n° 24-13.163, Publié au Bulletin). La Cour y rappelle que, selon l’article 6, I, 2, de la loi n° 2004-575 du 21 juin 2004 pour la confiance dans l’économie numérique, dans sa rédaction issue de la loi n° 2014-1353 du 13 novembre 2014, « les hébergeurs ne peuvent pas voir leur responsabilité civile engagée du fait des activités ou des informations stockées à la demande d’un destinataire de ces services s’ils n’avaient pas effectivement connaissance de leur caractère illicite ou de faits et circonstances faisant apparaître ce caractère ou si, dès le moment où ils en ont eu cette connaissance, ils ont agi promptement pour retirer ces données ou en rendre l’accès impossible ».
Ces dispositions, qui réalisent la transposition en droit interne de l’article 14 de la directive 2000/31/CE du 8 juin 2000 relative au commerce électronique, ont été interprétées par la Cour de justice de l’Union européenne, dont la chambre commerciale reprend la grille d’analyse. Ainsi, « pour que le prestataire d’un service sur Internet puisse relever du champ d’application de l’article 14 de la directive 2000/31, il est essentiel qu’il soit un « prestataire intermédiaire » au sens voulu par le législateur dans le cadre de la section 4 du chapitre II de cette directive » et « il n’en va pas ainsi lorsque ce prestataire, au lieu de se limiter à une fourniture neutre de service au moyen d’un traitement purement technique et automatique des données fournies par ses clients, joue un rôle actif de nature à lui confier une connaissance ou un contrôle de ces données ». La Cour de cassation cite expressément les arrêts Google France (CJUE, 23 mars 2010, C-236/08 à C-238/08), L’Oréal (CJUE, 12 juillet 2011, C-324/09) et YouTube et Cyando (CJUE, 22 juin 2021, C-682/18 et C-683/18) pour fonder sa décision.
Appliquant cette grille d’analyse aux faits de l’espèce, la Cour approuve la cour d’appel de Paris d’avoir retenu que la société Airbnb exerçait, par un ensemble de règles contraignantes auxquelles les hôtes et les voyageurs doivent accepter de se soumettre, « une influence sur le contenu des offres et sur le comportement des utilisateurs de sa plateforme » et qu’elle promouvait certaines offres en octroyant à leurs auteurs la qualité de « superhost ». La chambre commerciale en déduit que la société Airbnb, « qui s’immisce dans la relation entre « hôtes » et « voyageurs », ne se limite pas à jouer le rôle d’intermédiaire neutre, mais tient un rôle actif de nature à lui conférer la connaissance ou le contrôle des offres déposées sur sa plate-forme ». Dès lors, elle ne pouvait revendiquer la qualité d’hébergeur au sens de l’article 6 de la loi pour la confiance dans l’économie numérique et se prévaloir du régime d’exonération de responsabilité qui y est attaché.
Cette décision éclaire de manière décisive la portée de l’arrêt rendu par la CJUE le 9 juillet 2026. La logique est symétrique : de même que l’hébergeur qui ne se limite pas à une fourniture neutre de service et joue un rôle actif perd le bénéfice de l’exonération de responsabilité, le fournisseur de VPN qui se cantonne à une prestation purement technique, sans intervenir dans la sélection des contenus ni dans la détermination du public, échappe à la qualification de communication au public. Par ailleurs, cette symétrie jurisprudentielle révèle une cohérence d’ensemble du droit de l’Union dans l’encadrement des intermédiaires techniques : la directive 2000/31/CE et la directive 2001/29/CE, bien que poursuivant des objectifs distincts, reposent l’une et l’autre sur le postulat que la responsabilité doit être imputée à l’acteur qui décide de la mise à disposition du contenu illicite, et non au prestataire qui fournit l’infrastructure technique de l’Internet.
B. L’arrêt Leboncoin du 27 mars 2024 et l’interdiction d’imposer une obligation générale de surveillance
L’arrêt de la chambre commerciale de la Cour de cassation du 27 mars 2024, également publié au Bulletin, constitue un précédent remarquable sur l’articulation entre les pouvoirs du juge des référés et l’interdiction d’imposer aux intermédiaires techniques une obligation générale de surveillance (Cass. com., 27 mars 2024, pourvoi n° 22-21.586, Publié au Bulletin). La Cour y énonce, au visa de l’article 6 de la loi du 21 juin 2004 précitée, que « si l’autorité judiciaire peut prescrire, en référé ou sur requête, à tout hébergeur ou tout fournisseur d’accès à des services de communication au public en ligne, toutes mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d’un tel service, elle ne peut soumettre cet hébergeur ou ce fournisseur d’accès à une obligation générale de surveillance des informations qu’il transmet et stocke ou de recherche des faits ou des circonstances révélant des activités illicites, qui l’obligerait à procéder à une appréciation autonome ».
En l’espèce, une société s’estimant victime d’annonces frauduleuses usurpant son identité sur le site leboncoin.fr avait obtenu du juge des référés une interdiction de diffusion de toute annonce faisant apparaître sa dénomination sociale et son numéro RCS. La Cour de cassation censure cette décision, au motif qu’un tel dispositif, non limité dans le temps et portant sur d’éventuelles annonces à venir, aboutissait à soumettre l’hébergeur à une obligation générale de surveillance des informations stockées, l’obligeant à une appréciation autonome du contenu de ces annonces. Cette prohibition de l’obligation générale de surveillance, directement issue de l’article 15 de la directive 2000/31/CE, trouve un écho direct dans la solution retenue par la CJUE le 9 juillet 2026 : de même que le juge ne peut exiger d’un hébergeur qu’il surveille a priori l’intégralité des contenus qu’il stocke, le titulaire de droits d’auteur ne peut exiger d’un fournisseur de VPN qu’il garantisse l’étanchéité absolue des géoblocages mis en place par les éditeurs de sites Internet.
Or, la force de cette jurisprudence réside précisément dans sa capacité à offrir des critères opératoires au juge national, sans rigidifier à l’excès les qualifications juridiques. Le critère du rôle actif, tel qu’il a été défini par la Cour de justice et repris par la chambre commerciale, présente un caractère fonctionnel et non formel : il ne dépend pas du statut juridique revendiqué par le prestataire, mais de la réalité de son intervention dans le processus de mise à disposition des contenus. Cette approche pragmatique, qui privilégie l’analyse concrète des fonctionnalités offertes par le service, permet d’adapter le régime de responsabilité à l’extrême diversité des modèles d’affaires de l’économie numérique, des plateformes de mise en relation aux fournisseurs d’infrastructure technique.
Cette convergence des solutions appelle une observation d’ensemble. Le droit de l’Union européenne construit, décision après décision, un équilibre entre la protection de la propriété intellectuelle et la préservation de la liberté du commerce électronique, dont la clé de voûte réside dans la distinction entre l’intermédiaire neutre et l’acteur de la communication. Or, cet équilibre ne saurait être compris comme une abdication du droit face aux mutations technologiques. Il impose au contraire aux titulaires de droits de repenser leurs stratégies contentieuses en identifiant avec précision le véritable auteur de la communication au public — l’éditeur du site qui met l’œuvre à disposition sans autorisation — plutôt que de rechercher la responsabilité des opérateurs techniques dont l’intervention se limite à fournir l’infrastructure de l’Internet.
En droit français, l’action en contrefaçon demeure naturellement ouverte à l’encontre de l’éditeur du site qui diffuse l’œuvre protégée sans consentement, sur le fondement de l’article L. 335-2 du code de la propriété intellectuelle, aux termes duquel « toute édition d’écrits, de composition musicale, de dessin, de peinture ou de toute autre production, imprimée ou gravée en entier ou en partie, au mépris des lois et règlements relatifs à la propriété des auteurs, est une contrefaçon et toute contrefaçon est un délit ». Le contentieux de la contrefaçon est porté devant les tribunaux judiciaires en application de l’article L. 331-1 du même code. La transmission des droits de l’auteur obéit quant à elle aux exigences de l’article L. 131-3 du code de la propriété intellectuelle, qui subordonne la cession à la condition que « chacun des droits cédés fasse l’objet d’une mention distincte dans l’acte de cession et que le domaine d’exploitation des droits cédés soit délimité quant à son étendue et à sa destination, quant au lieu et quant à la durée ».
Dès lors, les titulaires de droits d’auteur confrontés au contournement de géoblocages par des internautes utilisant des VPN doivent orienter leur action non pas contre les fournisseurs de ces outils techniques, mais contre les éditeurs de sites qui ne déploient pas de mesures de protection suffisantes, ou, le cas échéant, contre les internautes qui accèdent illicitement aux œuvres protégées depuis le territoire couvert par le droit exclusif. Le cabinet Kohen Avocats assiste les titulaires de droits de propriété intellectuelle dans la définition et la mise en œuvre de ces stratégies contentieuses.
Par ailleurs, les opérateurs souhaitant sécuriser leur activité doivent porter une attention particulière au double critère dégagé par la jurisprudence : d’une part, s’abstenir de jouer un rôle actif dans la sélection ou la promotion des contenus dont ils assurent l’hébergement, condition de la conservation du statut d’intermédiaire neutre ; d’autre part, déployer des mesures techniques de protection adaptées et proportionnées, sans rechercher une étanchéité absolue. L’arrêt Airbnb du 7 janvier 2026 constitue à cet égard un avertissement d’autant plus significatif que la chambre commerciale a confirmé la cassation partielle de l’arrêt de la cour d’appel de Paris sur le quantum des dommages-intérêts. Enfin, il convient de rappeler que l’information des tiers d’une possible contrefaçon de droits d’auteur, en l’absence de décision de justice retenant l’existence d’actes de contrefaçon, est susceptible de caractériser un acte de dénigrement, ainsi que l’a jugé la chambre commerciale dans un arrêt du 15 octobre 2025 (Cass. com., 15 octobre 2025, pourvoi n° 24-11.150, Publié au Bulletin), aux termes duquel « en l’absence de décision de justice retenant l’existence d’actes de contrefaçon de droits d’auteur, le seul fait d’informer des tiers d’une possible contrefaçon de ces droits est constitutif d’un dénigrement des produits argués de contrefaçon ».
Conclusion
L’arrêt rendu par la Cour de justice de l’Union européenne le 9 juillet 2026 dans l’affaire C-788/24 consacre un principe dont la portée dépasse la seule question du contournement des géoblocages par les VPN : l’imputation de la responsabilité au titre de la communication au public d’œuvres protégées ne saurait être étendue aux prestataires de services techniques qui ne jouent aucun rôle dans la sélection des contenus ni dans la détermination du public destinataire. Ce principe, qui innerve le droit de l’Union depuis la directive du 8 juin 2000 sur le commerce électronique, trouve dans la jurisprudence récente de la chambre commerciale de la Cour de cassation une application concrète et rigoureuse, qu’il s’agisse de refuser la qualité d’hébergeur à une plateforme s’immisçant dans la relation entre ses utilisateurs, ou d’interdire au juge d’imposer à un hébergeur une obligation générale de surveillance. La cohérence ainsi restaurée entre le droit du commerce électronique et le droit d’auteur offre aux titulaires de droits un cadre d’action clarifié, dont l’efficacité dépendra de leur capacité à identifier le véritable auteur de la communication au public plutôt qu’à poursuivre les instruments techniques de l’Internet.
Transmettez les pièces de votre dossier au cabinet. Maître Reda KOHEN vous répond personnellement sous 24 heures avec une première analyse stratégique.