internet-et-droit

Qu’est-ce qu’un traitement « illicite » ?

L’article 4.1 du RGPD définit les «données à caractère personnel» comme toute information se rapportant à une personne physique identifiée ou identifiable (ci-après dénommée «personne concernée»).

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire !

Ainsi est réputée être une «personne physique identifiable» une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale.

De plus, l’article 6 de la loi informatique et liberté prévoit une liste des données dites sensibles. Le traitement de ces dernières est par principe interdit, en effet « Il est interdit de traiter des données à caractère personnel qui révèlent la prétendue origine raciale ou l’origine ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale d’une personne physique ou de traiter des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique. »


Besoin de l’aide d’un avocat pour un problème de vie privée ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


Quant au « traitement », c’est toute opération ou tout ensemble d’opérations effectuées ou non à l’aide de procédés automatisés et appliquées à des données ou des ensembles de données à caractère personnel, telles que la collecte, l’enregistrement, l’organisation, la structuration, la conservation, l’adaptation ou la modification, l’extraction, la consultation, l’utilisation, la communication par transmission, la diffusion ou toute autre forme de mise à disposition, le rapprochement ou l’interconnexion, la limitation, l’effacement ou la destruction.

Revenons à notre interrogation de l’article intitulée « qu’est-ce qu’un traitement illicite ».

Le 7 mai 2019, un demandeur d’asile a déposé une demande de protection internationale auprès de l’Office fédéral allemand.

Sa demande a été rejetée en se basant sur les informations contenues dans le dossier électronique « MARIS ». Ce dossier, compilé par l’Office fédéral, contient des données personnelles relatives aux demandeurs, telles que leur identité, leurs antécédents et les motifs de leur demande de protection.

Suite à ce rejet, le demandeur a décidé de contester la décision devant le tribunal administratif de Wiesbaden, en Allemagne. Dans le cadre de cette procédure, le dossier électronique « MARIS » a été transmis au tribunal.

Cependant, la légalité de cette transmission a été remise en question par le tribunal, car l’Office fédéral n’a pas été en mesure de prouver qu’il respectait les obligations prévues par le RGPD, notamment en ce qui concerne :

(1) la tenue d’un registre des activités de traitement (art. 30 RGPD) et

(2) l’établissement d’un accord pour une responsabilité conjointe (art.26 RGPD).

Le tribunal s’interroge au premier chef sur les conséquences de ces potentielles violations : le traitement en devient-il illicite au sens de l’article 17 d) RGPD, entrainant dès lors l’effacement des données ?

Avant de nous prononcer sur la l’illicéité d’un traitement de données personnelles (II), examinons la question de la licéité du traitement (I).

I. La licéité du traitement des données personnelles

A. La « base légale » d’un traitement de données personnelles ?

La base légale d’un traitement est ce qui autorise légalement sa mise en œuvre, ce qui donne le droit à un organisme de traiter des données à caractère personnel. On peut également parler de « fondement juridique » ou de « base juridique » du traitement.

Tout d’abord, l’article 226-16 du Code pénal énonce les conséquences d’un traitement illicite de données à caractère personnel « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende.

Est puni des mêmes peines le fait, y compris par négligence, de procéder ou de faire procéder à un traitement qui a fait l’objet de l’une des mesures prévues au 3° du IV de l’article 20 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés. » (4)

Quelles sont les bases légales prévues par le RGPD ?

Il est permis de traiter des données personnelles lorsque le traitement repose sur une des 6 bases légales mentionnées à l’article 6 du RGPD :

le consentement : la personne a consenti au traitement de ses données ;

le contrat : le traitement est nécessaire à l’exécution ou à la préparation d’un contrat avec la personne concernée ;

l’obligation légale : le traitement est imposé par des textes légaux ;

la mission d’intérêt public : le traitement est nécessaire à l’exécution d’une mission d’intérêt public ;

l’intérêt légitime : le traitement est nécessaire à la poursuite d’intérêts légitimes de l’organisme qui traite les données ou d’un tiers, dans le strict respect des droits et intérêts des personnes dont les données sont traitées ;

la sauvegarde des intérêts vitaux : le traitement est nécessaire à la sauvegarde des intérêts vitaux de la personne concernée, ou d’un tiers.

Lorsqu’un même traitement de données poursuit plusieurs finalités, c’est-à-dire plusieurs objectifs, une base légale doit être définie pour chacune de ces finalités. En revanche, il n’est pas possible de « cumuler » des bases légales pour une même finalité : il faut en choisir une seule.

Exemple : un fichier « clients et prospects » d’une entreprise peut poursuivre plusieurs finalités, qui doivent chacune reposer sur une base légale : le contrat pour la gestion des commandes, des livraisons ou du service après-vente ; l’obligation légale pour la tenue de la comptabilité ; le consentement pour les opérations de prospection commerciale par voie électronique ; etc.

B. Licéité et consentement

Le consentement est défini comme « toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement ».

Le consentement n’est pas un concept nouveau, puisqu’il était déjà inscrit dans la loi Informatique et Libertés. Le RGPD complète néanmoins sa définition et précise cette notion sur certains aspects, afin de permettre aux personnes concernées d’exercer un contrôle réel et effectif sur le traitement de leurs données.

Le consentement est une des 6 bases légales prévues par le RGPD autorisant la mise en œuvre de traitements de données à caractère personnel.

Le responsable de traitement doit être en mesure de démontrer la validité du recours à cette base légale.

Tout changement important des conditions de mise en œuvre du traitement (finalité, données, durées de conservation, etc.) est susceptible d’avoir une incidence sur la validité de la base légale retenue : la démarche d’évaluation de cette validité doit donc, dans ce cas, être réitérée.

4 critères cumulatifs doivent être remplis pour que le consentement soit valablement recueilli. Le consentement doit être :

Libre : le consentement ne doit pas être contraint ni influencé. La personne doit se voir offrir un choix réel, sans avoir à subir de conséquences négatives en cas de refus.

Le caractère libre du consentement doit faire l’objet d’une attention particulière dans le cas de l’exécution d’un contrat, y compris pour la fourniture d’un service : refuser de consentir à un traitement qui n’est pas nécessaire à l’exécution du contrat ne doit pas avoir de conséquence sur son exécution ou sur la prestation du service.

Par exemple, un opérateur de téléphonie mobile recueille le consentement de ses clients pour l’utilisation de leurs coordonnées par des partenaires à des fins de prospection commerciale. Le consentement est considéré comme libre à condition que le refus des clients n’impacte pas la fourniture du service de téléphonie mobile.

Spécifique : un consentement doit correspondre à un seul traitement, pour une finalité déterminée.

Dès lors, pour un traitement qui comporte plusieurs finalités, les personnes doivent pouvoir consentir indépendamment pour l’une ou l’autre de ces finalités. Elles doivent pouvoir choisir librement les finalités pour lesquelles elles consentent au traitement de leurs données.

Par exemple, un organisateur d’évènements culturels souhaite recueillir le consentement des spectateurs pour deux types de prestations : la conservation de leurs coordonnées de paiement (carte bancaire) afin de faciliter leurs prochaines réservations ; la collecte de leur adresse électronique pour leur adresser des courriels concernant des prochaines représentations. Pour que le consentement soit valide, les spectateurs doivent pouvoir consentir librement et séparément pour chacun de ces deux traitements : la conservation des coordonnées bancaires et l’utilisation de leur adresse électronique.

Eclairé : pour qu’il soit valide, le consentement doit être accompagné d’un certain nombre d’informations communiquées à la personne avant qu’elle ne consente.

Au-delà des obligations liées à la transparence, le responsable du traitement devrait fournir les informations suivantes aux personnes concernées pour recueillir leur consentement éclairé :

l’identité du responsable du traitement ;

les finalités poursuivies ;

les catégories de données collectées ;

l’existence d’un droit de retrait du consentement ;

selon les cas : le fait que les données seront utilisées dans le cadre de décisions individuelles automatisées ou qu’elles feront l’objet d’un transfert vers un pays hors Union européenne.

Univoque : le consentement doit être donné par une déclaration ou tout autre acte positif clairs. Aucune ambiguïté quant à l’expression du consentement ne peut demeurer.

Les modalités suivantes de recueil du consentement ne peuvent pas être considérées comme univoques :

les cases pré-cochées ou pré-activées

les consentements « groupés » (lorsqu’un seul consentement est demandé pour plusieurs traitements distincts)

l’inaction (par exemple, l’absence de réponse à un courriel sollicitant le consentement)

II. L’illicéité du traitement

La notion de licéité apparait ici et là dans le règlement, sans que l’on perçoive toujours la portée exacte du terme. On sent l’importance de la notion, transversale, mais moins bien sa portée exacte.

Si l’on adopte une approche restrictive, la licéité du traitement se limite à respecter les conditions de l’article 6 intitulé … « licéité du traitement ». Dans cette approche restrictive, l’illicéité du traitement viserait les hypothèses de violation de l’article 6.

Si l’on adopte à l’inverse une approche large, dans laquelle est illicite tout ce qui ne respecte pas la règle de droit ou la norme de bon comportement, l’illicéité du traitement viserait la violation de n’importe quelle disposition du RGPD.

La question est importante, non seulement par rapport aux dommages et intérêts ou aux mesures correctrices que l’autorité peut prendre, mais aussi par rapport aux dispositions du RGPD qui visent spécifiquement les hypothèses d’illicéité. La première d’entre elles étant l’article 17 d) consacré au droit à l’oubli lorsque « les données à caractère personnel ont fait l’objet d’un traitement illicite. »

A. Le rejet de l’approche restrictive

On savait déjà que l’approche restrictive n’est pas celle retenue par la CJUE.

Dans l’arrêt Google Spain, la Cour a considéré que le caractère illicite peut résulter « non seulement du fait que ces données sont inexactes mais, en particulier, aussi du fait qu’elles sont inadéquates, non pertinentes ou excessives au regard des finalités du traitement, qu’elles ne sont pas mises à jour ou qu’elles sont conservées pendant une durée excédante celle nécessaire, à moins que leur conservation s’impose à des fins historiques, statistiques ou scientifiques ».

Il en découle :

d’une part, que la Cour élargit la notion d’illicéité au-delà de la violation du seul article 6 et y englobe l’article 5 ; et

d’autre part, que la Cour semble considérer qu’une illicéité fondée sur l’article 5 peut naitre de la violation de n’importe quel principe énoncé au 1er paragraphe de cette disposition : licéité, loyauté, transparence ; limitation des finalités ; minimisation des données ; exactitude ; limitation de la conservation ; intégrité et confidentialité.

La Cour rejetait donc clairement une approche restrictive qui limiterait le concept d’illicéité aux seules violations de l’article 6.

B. Le rejet d’une approche (trop) extensive

En substance, la question préjudicielle posée par le tribunal administratif allemand porte sur l’élasticité du concept d’illicéité : une violation des articles 26 et 30, consacrés respectivement à l’établissement de règles entre responsables conjoints du traitement et à l’obligation de tenue d’un registre, constituerait-elle une illicéité au sens de l’article 17 d) (droit à l’oubli) ?

La logique du juge allemand n’est pas dénuée de logique. Puisque la CJUE a elle-même élargi la notion d’illicéité à tous les principes énoncés à l’article 5.1, pourquoi ne pas aller au bout de la logique et considérer que toute violation du RGPD est une violation du principe de responsabilité énoncé à l’article 5.2 et, dès lors, une illicéité au sens de l’article 17 d) ?

La CJUE s’y refuse.

Avant de se consacrer à l’illicéité visée à l’article 17 d), la Cour commence par s’intéresser à la notion de licéité.

Elle rappelle tout d’abord sa jurisprudence selon laquelle « tout traitement de données à caractère personnel doit être conforme aux principes relatifs au traitement des données énoncés à l’article 5, paragraphe 1, de ce règlement et satisfaire aux conditions de licéité du traitement énumérées à l’article 6 dudit règlement [voir, notamment, arrêts du 6 octobre 2020, La Quadrature du Net e.a., C‑511/18, C‑512/18 et C‑520/18, EU:C:2020:791, point 208 ; du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité), C‑439/19, EU:C:2021:504, point 96, ainsi que du 20 octobre 2022, Digi, C‑77/21, EU:C:2022:805, points 49 et 56] ».

La Cour ajoute ensuite une précision importante pour la suite du raisonnement : les articles 7 à 11 du RGPD, qui figurent, à l’instar des articles 5 et 6 de celui-ci, dans le chapitre II relatif aux principes, ont pour objet de préciser la portée des obligations incombant au responsable du traitement en vertu de l’article 5, paragraphe 1, sous a), et de l’article 6, paragraphe 1.

Il s’ensuit, selon la Cour que « le traitement de données à caractère personnel, afin d’être licite, doit également respecter, ainsi qu’il ressort de la jurisprudence de la Cour, ces autres dispositions dudit chapitre qui concernent, en substance, le consentement, le traitement de catégories particulières de données personnelles à caractère sensible et le traitement de données personnelles relatives aux condamnations pénales et aux infractions ».

Ayant posé les bases, la Cour s’attache enfin à l’hypothèse spécifique d’une violation des articles 26 et 30 : pareille violation, à la supposer établie, est-elle une illicéité au sens de l’article 17 d) qui autorise la personne concernée à exiger l’effacement de données, le lien entre les deux étant le concept de responsabilité (accountability) énoncé à l’article 5.2 ?

Elle répond par la négative, soulignant que :

Les articles 26 et 30 ne font pas partie du chapitre 2 consacré aux « principes » ;

La distinction opérée entre le chapitre 2 et le reste du règlement se reflète dans les dispositions relatives aux amendes administratives et aux mesures correctrices, qui varient selon le niveau de gravité des violations constatées ;

Cette interprétation est également corroborée par l’objectif du règlement qui est de garantir un niveau élevé de protection aux personnes concernées. Or relève la Cour, autant une violation des principes est susceptible de mettre en cause cet objectif, autant on ne peut affirmer de manière générale qu’une violation des articles 26 et 30 porte, en tant que telle, atteinte à cet objectif.

En conséquence, la Cour juge qu’une violation des articles 26 et 30 n’est pas une illicéité au sens des articles 17.1 d) (oubli) et 18.1 b) (limitation) dès lors qu’une telle méconnaissance n’implique pas, en tant que telle, une violation par le responsable du traitement du principe de « responsabilité » tel qu’énoncé à l’article 5, paragraphe 2, dudit règlement, lu conjointement avec l’article 5, paragraphe 1, sous a), et l’article 6, paragraphe 1, premier alinéa, de ce dernier.

Très récemment, au regard de l’arrêt Coyote System (CJUE, 16 juin 2026, aff. C-190/24) il a été jugé que le rôle actif des algorithmes des services de lookups pourrait faire obstacle à leur assimilation à de simples hébergeurs. La retransmission d’alertes de contrôles routiers impliquant le traitement de données à caractère personnel, la licéité de celui-ci pourrait dès lors être questionnée, sans exclure l’engagement de la responsabilité des exploitants. (5)

Pour lire une version plus complète de cet article sur le traitement illicite des données, cliquez

Sources :

  1. Sources :
    CJUE 4 mai 2023 -ARRÊT DE LA COUR (cinquième chambre) – UZ contre Bundesrepublik Deutschland
  2. La licéité du traitement : l’essentiel sur les bases légales prévues …
  3. Conformité RGPD : comment recueillir le consentement des … – CNIL
  4. Article 226-16 – Code pénal – Légifrance
  5. CJUE 16 juin 2026 C-190/24 Coyote System

La loi Waserman et la protection des lanceurs d’alerte

L’expression « lanceur d’alerte » n’existait pas en langue française avant le mois de janvier 1996. La formule, aujourd’hui utilisée dans de multiples contextes, avec un sens précis ou de manière allusive, souvent comme traduction du terme anglo-saxon whistleblower, a été créée à l’issue de la préparation d’un séminaire sur les risques. 

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire et un avocat enverra une lettre de mise en demeure !

Engagé dans un projet de recherche intitulé « Les prophètes de malheur », l’auteur de ces lignes a proposé ce néologisme pour dépasser des notions préexistantes, trop réductrices. Face à des processus complexes, pleins de tensions et d’incertitudes, il fallait mettre à distance les jugements de valeurs et trouver une autre formule, la plus juste possible, pour désigner les personnes ou les groupes qui, rompant le silence, passent à l’action pour signaler l’imminence, ou la simple possibilité, d’un enchaînement catastrophique. Au cours des années 1990, le terme francophone correspondant à whistleblower n’était autre que… « dénonciateur ». C’est seulement en 2006, au vu du succès grandissant de la notion de « lanceur d’alerte » dans les pays francophones européens, que l’Office québécois de la langue française a choisi de modifier la traduction.

L’histoire des lanceurs d’alerte en France doit beaucoup à l’action d’André Cicolella. Chimiste et toxicologue, il se fait connaître au début des années 1990 par son travail sur la toxicité des éthers de glycol. Ses interrogations sur les effets d’une classe de produits chimiques abondamment utilisés dans l’industrie lui valent un licenciement pour faute grave. Il est en effet sanctionné pour avoir organisé en avril 1994 un symposium international contre l’avis de la direction de son établissement. L’Institut national de recherche et de sécurité (INRS), son employeur, où il était entré en 1971, le congédie le mois suivant pour « insubordination délibérée et réitérée incompatible avec le fonctionnement normal d’une entreprise », faisant valoir que son statut d’ingénieur impliquait un lien de subordination à l’égard de sa hiérarchie. Cicolella proteste en arguant de son droit d’organiser librement des événements scientifiques, puisqu’il a agi en qualité de chercheur.


Besoin de l’aide d’un avocat pour un problème de vie privée ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


Portée en justice, l’affaire fait grand bruit lorsque la cour d’appel de Nancy, le 17 juin 1998, puis la chambre sociale de la Cour de cassation, le 11 octobre 2000, valident la position de Cicolella, constatant ainsi l’absence de cause réelle et sérieuse du licenciement. La liberté de la recherche est au cœur de conflits multiples, mais en l’espèce, le jugement s’appuie précisément sur sa qualité de toxicologue, qui lui confère le bénéfice de l’indépendance propre aux chercheurs. Le jugement fait jurisprudence et, bien que la notion de lanceur d’alerte ne soit pas directement mentionnée, il est considéré par plusieurs acteurs comme un précédent en matière de « protection des lanceurs d’alerte ».

Bien que contestés, il faut reconnaître aux lanceurs d’alertes le mérite de leurs dénonciations puisqu’elles ont permis de révéler certains méfaits qui ont vu le jour dans les domaines de la santé, de l’environnement, de la Défense, des finances ou de l’internet. Malheureusement, et trop souvent, ces mêmes dénonciations ont entraîné des conséquences néfastes tant sur le plan professionnel, que personnel et financier ; et la justice semble hésitante à de nombreux égards pour assurer une protection satisfaisante de ces derniers.

Dans un contexte sociétal qui tend à favoriser la prise de parole, tant dans la sphère privée que dans la sphère publique, et à la lumière des représailles qui pèsent sur ces derniers, le statut des lanceurs d’alerte a été réévalué.

Bien que la « loi Sapin 2 » ait apporté une première réponse, son régime a été modifié cinq ans après son adoption.

C’est à l’occasion de la transposition de la directive européenne du 23 octobre 2019 qu’a été promulguée le 21 mars 2022 (L. n° 2022 -401, 21 mars 2022 : JO 22 mars 2022), la loi dite « Waserman ». Elle a permis d’élever les standards en faveur d’une meilleure effectivité des dispositifs d’alerte au sein des entreprises françaises et ajoute des garanties substantielles non comprises dans la directive. Bien qu’elle se montre favorable à une protection accrue des lanceurs d’alerte, la loi ne néglige pas pour autant les entreprises.

I. Les précisions apportées par le nouveau régime juridique

En 2016 la France s’était dotée d’un dispositif introduit par la loi Sapin 2 qui a très largement contribué à la réflexion menée au niveau européen. D’une part cette loi obligeait les entreprises de plus de cinquante salariés à se doter d’un dispositif de recueil d’alertes, et d’autre part, elle accordait un statut et une protection aux lanceurs d’alerte. La France a ainsi été l’un des premiers pays à légiférer en la matière, faisant figure de pionnière.

La transposition de la directive européenne a permis de procéder à l’amélioration de la définition certains critères et d’étendre la protection accordée aux lanceurs d’alerte. La loi dite « Waserman » a permis de procéder à la correction de certaines de ses limites mises en évidence par le rapport d’évaluation parlementaire Gauvain-Marleix du 7 juillet 2021.

A. La clarification de la définition du lanceur d’alerte

Définition. Est à présent reconnue comme étant un lanceur d’alerte la personne physique qui signale ou divulgue, sans contrepartie financière directe et de bonne foi, des informations portant sur un crime, un délit, une menace ou un préjudice pour l’intérêt général, une violation ou une tentative de dissimulation d’une violation du droit international ou de l’Union européenne, de la loi ou du règlement.

Conditions pour bénéficier du statut de lanceur d’alerte. Pour rappel, sous l’empire de la loi Sapin 2 le statut de lanceur d’alerte était réservé aux personnes agissant de bonne foi et de manière désintéressée. L’ambiguïté du critère de désintéressement avait causé des difficultés d’interprétation devant les tribunaux. En réalité l’objectif poursuivi était de refuser le statut de lanceur d’alerte à toute personne qui recevrait une contrepartie financière pour procéder au signalement. En ce sens, l’article 1er de la loi du 21 mars 2022 a ainsi clarifié la notion de désintéressement en exigeant désormais que l’auteur du signalement agisse « sans contrepartie financière directe ». Toutefois, cela ne prive pas le lanceur d’alerte de recevoir des dons ultérieurement.

Même si cette nouvelle définition apporte une plus grande sécurité juridique, elle s’avère plus restrictive que celle de la directive qui se limite à exiger du lanceur d’alerte qu’il ait « des motifs raisonnables de croire que les informations signalées sont véridiques au moment du signalement », sans restriction liée à l’éventualité d’une contrepartie.

Selon la loi « Sapin 2 », le lanceur d’alerte devait aussi avoir « personnellement » connaissance des faits qu’il signalait. Cette condition est supprimée dans le contexte professionnel. Dans ce cadre, un lanceur d’alerte pourra ainsi signaler des faits qui lui ont été rapportés. Ainsi lorsqu’un salarié signale des faits qu’on lui aurait rapportés, il pourra tout de même bénéficier du statut de lanceur d’alerte.

Si la loi Sapin 2 permettait seulement aux membres du personnel et aux collaborateurs « extérieurs et occasionnels » d’effectuer un signalement interne, la loi du 21 mars 2022 étend cette possibilité aux anciens membres du personnel, aux candidats à un emploi, aux dirigeants, actionnaires, associés et tout titulaire de droits de vote au sein de l’assemblée générale de l’entité, aux membres de l’organe d’administration, de direction ou de surveillance de l’entité, aux cocontractants et sous-traitants ainsi qu’aux membres de leur organe d’administration, de direction ou de surveillance ou de leur personnel.

B. L’extension du champ de l’alerte

En plus d’avoir procédé à une clarification et à un élargissement de la définition du lanceur d’alerte, la loi « Waserman » s’attelle à l’extension du champ de l’alerte. Prévu par son article 1er la loi n’exige plus que la violation soit nécessairement « grave et manifeste », et que la menace ou le préjudice pour l’intérêt général soit « grave ».

A présent l’alerte peut porter sur la simple tentative de dissimulation d’une violation. Enfin, l’alerte n’aura plus l’obligation de porter sur « un crime ou un délit », mais seulement sur « des informations » portant sur un crime ou un délit.

Cependant il convient de rappeler certains domaines demeurent toutefois exclus (tels que le secret-défense, le secret médical et le secret avocat/client).

C. L’extension de la protection accordée à l’entourage du lanceur d’alerte

La législation « Sapin 2 » ne comportait aucune disposition concernant l’entourage du lanceur d’alerte. Cependant, cette directive européenne a introduit une innovation majeure en la matière. Son objectif est double, d’une part, garantir une protection plus étendue au lanceur d’alerte, et d’autre part, prévenir son isolement en mettant en place des mesures spécifiques pour l’accompagner.

Ainsi l’article 2 de la loi du 21 mars 2022 scinde l’entourage du lanceur d’alerte en trois catégories.

Pour commencer on distingue les personnes physiques ou morales de droit privé à but non lucratif qui aident un lanceur d’alerte à effectuer un signalement ou une divulgation. Elles sont à présent désignées comme des « facilitateurs ». Sur ce point, il convient de préciser que la législation française s’est octroyée certaines latitudes en élargissant la définition des « facilitateurs » aux entités morales de droit privé à but non lucratif, tandis que la directive se limite aux personnes physiques agissant dans un contexte professionnel.

Sont ensuite incluses les personnes physiques en lien avec le lanceur d’alerte et qui risquent des mesures de représailles dans le cadre de leurs activités professionnelles de la part de leur employeur, de leur client ou du destinataire de leurs services ;

Enfin sont comprises les entités juridiques contrôlées par un lanceur d’alerte, pour lesquelles il travaille ou avec lesquelles il est en lien dans un contexte professionnel.

II. Le renforcement de la protection accordée au lanceur d’alerte et à ses proches

Au-delà des apports juridiques qui permettent de cerner les conditions pour bénéficier de ce régime de protection, les conditions elles-mêmes de la protection ont été améliorées. Elles englobent ainsi la réalité des représailles qui pèsent à la fois sur le lanceur d’alerte, mais également sur ses proches.

A. L’élargissement du champ des représailles et la sanction de la menace et de la tentative

Le principe d’interdiction des sanctions et discriminations énoncé par la loi Sapin 2 se concentrait principalement sur des mesures ayant un impact sur la carrière d’un salarié, telles que le licenciement, la formation, la promotion, la rémunération, l’affectation, etc.

Sous l’influence de la directive, la loi du 21 mars 2022 a intégré une liste plus exhaustive de représailles plus subtiles ou indirectes, incluant notamment les atteintes à la réputation de la personne sur les réseaux sociaux, les intimidations, ainsi que l’orientation abusive vers un traitement psychiatrique ou médical. Toute action ou décision liée à l’une de ces mesures sera automatiquement considérée comme nulle.

L’interdiction de prononcer des mesures de représailles s’étend également aux menaces et aux tentatives de recourir à de telles mesures.

B. Une mise à niveau de la protection des proches du lanceur d’alerte

Conformément à la directive, l’article 2 de la loi du 21 mars 2022 accorde une protection équivalente à l’entourage du lanceur d’alerte. Elle consacre ainsi l’irresponsabilité civile et pénale, l’interdiction de mesures de représailles à leur encontre, la procédure de référé prud’homale, la possibilité de bénéficier de l’inversion de la charge de la preuve, d’une provision pour frais d’instance, de l’abondement du compte professionnel de formation, de la procédure d’amende civile, etc. L’article 9 de la loi consacre également leur introduction à l’article 225-1 du Code pénal, réprimant ainsi toute discrimination à leur encontre.

III L’amélioration des conditions de signalement et les cas d’irresponsabilité

La transposition de la directive européenne à travers la loi du 21 mars 2022 a permis de faciliter les signalements ainsi que la protection accordée aux lanceurs d’alerte notamment en prévoyant des aides financières et psychologiques. Elle consacre également la mise en place d’une irresponsabilité pénale et civile du lanceur d’alerte. Ceci dit, cette protection n’est pas absolue puisqu’elle est soumise à certaines conditions.

A. Une nouvelle procédure de signalement

Sous l’empire de la loi « Sapin 2 », les canaux d’alerte étaient hiérarchisés en trois temps. Tout d’abord, un signalement interne devait obligatoirement avoir lieu. Autrement dit, le lanceur d’alerte devait nécessairement passer par son entreprise ou son administration afin de signaler des faits dont il avait connaissance.
Ensuite, et seulement en l’absence de traitement, un signalement externe pouvait avoir lieu auprès d’une l’autorité administrative ou judiciaire ou d’un ordre professionnel.
Le lanceur d’alerte pouvait donc uniquement procéder à une divulgation publique en dernier recours.

Cette hiérarchisation posait de nombreuses difficultés. Des risques de pressions ainsi que de représailles ont été déplorés à la suite des signalements effectués en interne. Par ailleurs, la procédure de signalement externe était complexe et peu connue.

Désormais le lanceur d’alerte est libre d’effectuer son signalement en suivant la voie interne ou de l’effectuer auprès soit de l’autorité compétente, soit du Défenseur des droits, soit à la justice ou à un organe européen. Un décret déterminera plus précisément la liste de ces autorités. Ces autorités devront traiter les signalements dans des délais qui seront également fixés par décret, mais qui ne pourront être supérieurs à ceux fixés par la directive, à savoir un délai de 7 jours pour accuser réception et de 3 mois (6 mois dans des cas dûment justifiés) pour traiter l’alerte.

Le choix d’un signalement en interne ou externe est à présent laissé au lanceur d’alerte puisque la loi met fin à l’ordre prédéfini à suivre lors d’un signalement. Rappelons tout de même que l’article 7 de la directive encourage le signalement en interne pour commencer.

La Maison des lanceurs d’alerte (MLA) à en 2024  relevé une progression notable des signalements issus des collectivités territoriales, un phénomène jusqu’alors très marginal. Cette tendance pourrait notamment s’expliquer par l’instauration obligatoire, dans les communes de plus de 100 000 habitants, d’un dispositif dédié au recueil des alertes, accompagné d’une obligation d’information, selon La Gazette des communes du 9 juillet 2025.

Cependant certains auteurs soulignent les risques que cette nouvelle organisation fait peser sur les entreprises « Outre le risque d’antagoniser davantage les relations entre les salariés et l’entreprise, la fin de la hiérarchisation des canaux emporte avec elle un risque majeur pour les entreprises. Ces dernières seront privées de la primeur d’être informées en premier lieu d’éventuels dysfonctionnements en leur sein, d’enquêter sur les faits allégués et d’y remédier au plus vite, voire d’informer elles-mêmes les autorités en cas de faits graves afin de bénéficier d’une clémence en cas de résolution négociée. De manière plus générale, elle les expose au risque de dénonciations publiques par des salariés malintentionnés, qui serait hautement préjudiciable en termes de réputation. En somme, la nouvelle loi oblige les entreprises à redoubler d’efforts pour mettre en place des dispositifs d’alerte internes robustes, sophistiqués et incitatifs sans aucune garantie qu’ils soient utilisés par leurs salariés. Or, le dispositif d’alerte se situe au cœur du programme de conformité de l’entreprise et en constitue la colonne vertébrale. Un dispositif d’alerte efficace est un dispositif qui permet de remonter beaucoup d’alertes et à l’entreprise ultimement d’améliorer ses procédures internes afin d’éviter que les faits ne se reproduisent. »

Cependant, force est de constater que la nouvelle loi ne prévoit aucune sanction en cas d’absence de dispositif interne.

Enfin le lanceur d’alerte pourra recourir à l’alerte publique dans trois cas prévus par la loi. Tout d’abord, il pourra effectuer une divulgation publique s’il constate l’absence du traitement de son signalement externe dans un certain délai. Cette alerte pourra également être justifiée en cas de risque de représailles ou si le signalement n’a aucune chance d’aboutir ou enfin en cas de « danger grave et imminent » ou, pour les informations obtenues dans un cadre professionnel en cas de « danger imminent ou manifeste pour l’intérêt général ».

Dans son premier rapport bisannuel consacré à la protection des lanceurs d’alerte, publié le 25 septembre 2024, la Défenseure des droits souligne le manque de communication de la part du gouvernement sur les mécanismes de signalement. Elle estime qu’une meilleure diffusion de l’information permettrait aux personnes concernées de connaître les dispositifs existants et d’y recourir si nécessaire. En effet, le statut de lanceur d’alerte et la protection qui lui est associée dépendent du respect de critères précis, tant sur le fond que sur la procédure suivie.

Par ailleurs une protection supplémentaire a été accordée aux personnes qui effectueraient un signalement ou une divulgation publique anonyme, mais dont l’identité serait révélée, comme les journalistes, d’obtenir le statut de lanceur d’alerte. Cette mesure s’inscrit dans le sens de la protection des sources.

B. Un soutien financier et psychologique

La loi vise également à limiter le fardeau financier, parfois considérable, des procédures auxquelles les lanceurs d’alerte sont confrontés. Le juge pourra, et ce dès le début du procès, accorder une avance pour frais de justice au lanceur d’alerte qui conteste une mesure de représailles ou une action en justice abusive visant à l’intimider et à le réduire au silence, comme une plainte en diffamation. Le juge peut également accorder une avance au lanceur d’alerte dont la situation financière s’est gravement détériorée. Ces avances peuvent devenir définitives à tout moment, même si le lanceur d’alerte perd le procès.

L’amende civile encourue en cas d’action en justice abusive contre un lanceur d’alerte est portée à 60 000 euros. Il est important de souligner que cette amende civile n’est pas incompatible avec l’octroi de dommages et intérêts au lanceur d’alerte.

Enfin, les lanceurs d’alerte pourront bénéficier de mesures de soutien psychologique et financier de la part des autorités externes, qu’elles soient saisies directement ou par l’intermédiaire du Défenseur des droits.

C. L’irresponsabilité pénale et civile du lanceur d’alerte

L’article 6 de la loi du 21 mars 2022 consacre le principe d’irresponsabilité civile du lanceur d’alerte en ce qui concerne les préjudices découlant de sa divulgation d’informations effectuée de manière de bonne foi. Ainsi, si le lanceur d’alerte avait des motifs raisonnables de croire que le signalement ou la divulgation publique des informations était nécessaire pour protéger les intérêts en question, il ne pourra pas être tenu responsable des dommages causés par ces actions.

La loi Sapin 2 prévoyait une exonération de responsabilité pénale du lanceur d’alerte en cas de divulgation d’informations portant atteinte à un secret légal. La loi « Waserman » étend cette exemption aux actes de soustraction, de détournement et de recel de documents confidentiels, à condition que le lanceur d’alerte ait obtenu légalement l’accès aux informations contenues dans ces documents. En d’autres termes, si le lanceur d’alerte signale des faits auxquels il a eu accès en effectuant des écoutes sur des membres de la direction, ou en accédant à des dossiers informatiques restreints, sa responsabilité pénale pourra toujours être engagée.

L’instauration de cette condition de licéité dans l’obtention de l’information vise à garantir un équilibre entre les droits des lanceurs d’alerte et la protection des entreprises, afin d’éviter d’encourager les employés mal intentionnés à commettre des infractions en toute impunité. L’objectif principal est de préserver un juste équilibre où la liberté d’expression et la dénonciation des abus sont protégées, tout en empêchant les actes illicites d’être commis sans conséquences.

Enfin, il est possible de consulter sur Légifrance la décision n° 2891 du 19 janvier 2024, portant procédure de recueil des signalements effectués par les lanceurs d’alerte auprès de la Commission nationale des comptes de campagne et des financements politiques (CNCCFP). (4)

Pour lire une version plus approfondie de cet article sur la protection des lanceurs d’alertes, cliquez

Sources :

  1. Affaire LuxLeaks : https://www.francetvinfo.fr/economie/impots/paradis-fiscaux/l-article-a-lire-si-vous-n-avez-rien-suivi-aux-luxleaks_1421623.html
  2. Loi du 21 mars 2022 dite « Waserman » : https://www.vie-publique.fr/loi/282472-loi-21-mars-2022-waserman-protection-des-lanceurs-dalerte
  3. Compliance – Renforcement du statut du lanceur d’alerte Commentaire des principales dispositions de la loi du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte – Etude par Charles-Henri BOERINGER et Karima CHAÏB La revue fiscale du patrimoine n° 7, Juillet 2022, étude 17
  4. Décision n° 2891 du 19 janvier 2024 portant procédure de recueil …

Pourquoi certains contenus diffamatoires disparaissent et d’autres restent ?

Pourquoi certains contenus d’une campagne de harcèlement se retirent en quelques semaines, et d’autres jamais, sans procès contre leur auteur (TJ Paris, 31 août 2026, n° 26/53322, RSC c/ Meta Platforms Ireland)

Il est des paradoxes que le droit assume sans les résoudre. L’accusation la plus infamante qu’un internaute puisse lancer contre un autre, celle d’abus sexuels sur mineur, est plus difficile à faire retirer auprès de la plateforme qu’une image de couteau accompagnée d’une menace de mort. Ce renversement de l’échelle de gravité n’est ni un oubli ni une faveur faite aux hébergeurs. Il découle d’une logique que le tribunal judiciaire de Paris a mise en œuvre avec une netteté particulière dans un jugement du 31 août 2026.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire et un avocat enverra une lettre de mise en demeure !

L’affaire opposait une agence de représentation d’artistes de la scène hard techno et deux de ses DJs à Meta Platforms Ireland Limited. Après la rupture de leur collaboration, un ancien dirigeant de leur filiale américaine avait lancé sur Instagram une série de stories les visant directement. Menaces de mort, images d’armes, adresse personnelle divulguée, photomontage dégradant, accusations d’abus sexuels : le compte, passé de moins de 4 000 à plus de 57 000 abonnés, mêlait tout. Signalés dès les premiers mois de 2026, ces contenus étaient restés en ligne, Meta les jugeant non manifestement illicites.

Les victimes ont alors saisi le président du tribunal judiciaire sur le fondement de l’article 6-3 de la LCEN. Ce texte permet de prescrire à « toute personne susceptible d’y contribuer », l’hébergeur au premier chef, les mesures propres à faire cesser un dommage causé par un contenu en ligne. Il a connu une évolution procédurale notable : la loi du 24 août 2021 a mis fin à la double option entre référé et requête pour réserver cette compétence au président du tribunal statuant selon la procédure accélérée au fond.


Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


La rapidité de la procédure ne dispense pourtant pas le juge de qualifier chaque contenu. Il lui faut distinguer ce qui est illicite par sa seule existence de ce qui ne l’est qu’au terme d’un débat avec son auteur. Qu’est-ce qui, dans une campagne de harcèlement hétérogène, peut être retiré par la voie de l’action contre l’hébergeur, et qu’est-ce qui lui échappe nécessairement ?

I. Un outil dirigé contre l’hébergeur et strictement encadré

  1. L’article 6-3 de la LCEN : une action rapide qui n’exige pas d’identifier l’auteur

La force de l’article 6-3 de la LCEN tient à l’étendue délibérée de son champ d’application : la mesure qu’il organise ne vise pas l’auteur du contenu, mais « toute personne susceptible d’y contribuer » — formule suffisamment ouverte pour englober l’hébergeur, alors même que celui-ci n’édite ni ne contrôle a priori ce que ses utilisateurs publient. Ce choix de rédaction confère à l’action un avantage pratique déterminant pour les victimes de campagnes de harcèlement menées sous pseudonyme ou depuis l’étranger : il n’est nul besoin d’identifier au préalable l’auteur réel du compte incriminé pour obtenir, auprès de la seule plateforme, la disparition des publications les plus dangereuses.

Cette latitude accordée au juge n’est cependant pas sans contrepartie. Le jugement rappelle avec insistance que la mesure sollicitée doit rester légalement admissible et proportionnée, sans porter une atteinte excessive à la vie privée, aux données personnelles et à la liberté d’expression de l’auteur des propos — des garanties directement issues des articles 8 et 10 de la Convention européenne des droits de l’homme. Le tribunal ne se contente donc à aucun moment d’un simple constat matériel : il opère, contenu par contenu, une véritable qualification pénale sous réserve de l’appréciation ultérieure du juge du fond, s’assurant ainsi que la rapidité de la procédure ne se fait jamais au détriment de la rigueur de son analyse juridique.

  1. Des garde-fous communs : proportionnalité, articles 8 et 10 de la CEDH et règlement sur les services numériques

L’application concrète de cette grille de lecture constitue l’apport le plus immédiatement utile du jugement pour la pratique. Le tribunal relève, d’abord, que la répétition de publications virulentes — représentations dégradantes assorties d’appels au piratage de compte, images d’armes à feu accompagnées de messages de mort explicites — est susceptible de caractériser à la fois la menace de mort et le cyberharcèlement réprimés par le Code pénal.

Il retient, ensuite, que la divulgation de l’adresse personnelle d’un des artistes, bien qu’insuffisante isolément pour constituer le délit spécifique de mise en danger par communication de données, participe pleinement, replacée dans le contexte global des publications malveillantes, des faits de cyberharcèlement susceptibles d’engendrer un passage à l’acte. Il juge, enfin, que des photomontages non signalés comme tels au public qui les visionne sont susceptibles de relever du délit spécifique prévu par le Code pénal en la matière.

La conséquence pratique de cette qualification mérite d’être soulignée, car elle dépasse le seul sort des contenus eux-mêmes. Bien qu’aucune injonction formelle de retrait n’ait figuré dans le dispositif du jugement — Meta ayant fait valoir que la suppression était déjà intervenue en cours d’instance —, le tribunal a néanmoins condamné la plateforme aux entiers dépens, considérant que la demande était fondée dès l’origine et que ce retrait tardif ne résultait que de la contrainte exercée par l’assignation elle-même.

Ce point de méthode constitue un signal fort adressé aux hébergeurs : une modération tardive, déclenchée par le seul risque contentieux plutôt que par le signalement initial, n’efface jamais la faute commise par le retard, ni les conséquences financières qui s’y attachent.

II. Une application contenu par contenu, aux résultats contrastés

  1. Les contenus retirables : menaces, cyberharcèlement, photomontages, divulgation de données, et la sanction du retrait tardif par les dépens

Le second temps du jugement en constitue, de loin, l’apport doctrinal le plus marquant. Parmi les contenus en cause figuraient des accusations d’abus sexuels sur mineur visant l’un des artistes, et l’imputation à l’autre de poursuites pour violences conjugales.

Le tribunal constate que ces accusations, parce qu’elles portent sur des faits précis et susceptibles de preuve, relèvent — sous la réserve de l’appréciation ultérieure du juge compétent au fond — de la diffamation publique envers un particulier, réprimée par les articles 29 et 32 de la loi du 29 juillet 1881. C’est cette qualification même qui commande le refus d’en ordonner le retrait par la voie de l’action contre l’hébergeur : lorsque l’action oppose la personne qui s’estime diffamée non pas à l’auteur des propos mais au seul intermédiaire technique, aucun débat contradictoire n’est concevable sur la réalité de l’atteinte, alors que le délit de diffamation n’est jamais constitué si son auteur rapporte la preuve de la vérité du fait imputé ou se prévaut de l’excuse de bonne foi.

Cette construction reprend, presque à l’identique, la solution dégagée le même jour par deux arrêts de la première chambre civile de la Cour de cassation — l’un rendu contre Google à propos de vidéos YouTube accusant des personnalités de corruption, l’autre contre la plateforme X — selon laquelle la seule allégation du caractère diffamatoire d’un propos ne suffit jamais, à elle seule, à en justifier le retrait par l’hébergeur, sauf à établir une condamnation antérieure de l’auteur pour des propos identiques. La solution n’est d’ailleurs pas inédite : dès 2013, le juge des référés parisien avait déjà affirmé qu’il n’appartenait pas à l’hébergeur d’apprécier le caractère diffamatoire d’un contenu.

Un précédent rendu en 2022 contre les mêmes sociétés Meta, à propos d’un compte au nom explicitement accusatoire, avait déjà illustré cette même impuissance de l’action contre l’hébergeur face à un contenu diffamatoire, alors même que l’action aboutissait, pour d’autres publications du même compte, à un retrait fondé sur la mise en danger d’autrui — preuve que la distinction opérée en 2026 prolonge une ligne jurisprudentielle déjà ancienne plutôt qu’elle n’en trace une nouvelle.

L’explication de cette différence de traitement ne tient pas à une hiérarchie des atteintes — l’accusation de pédophilie demeure, en gravité, sans commune mesure avec une menace isolée — mais à une différence de nature dans le régime probatoire applicable à chaque catégorie de contenu. Une menace, un photomontage ou la divulgation d’une adresse sont illicites par leur seule existence matérielle, indépendamment de toute appréciation sur leur contexte ou leur véracité.

Une accusation, à l’inverse, n’est illicite que si elle est fausse ou proférée de mauvaise foi, et seul son auteur peut utilement en débattre devant un juge. Retirer ses propos sur la seule initiative d’un tiers, sans qu’il ait eu l’occasion de s’expliquer, reviendrait à restreindre sa liberté d’expression sans même avoir constaté l’abus qui, seul, pourrait légitimement la justifier.

  1. Les demandes écartées : diffamation, suppression du compte, surveillance par mots-clés

Les demandeurs réclamaient également la suppression intégrale du compte Instagram, seule mesure selon eux capable d’empêcher durablement toute remise en ligne de contenus hostiles. Le tribunal écarte cette demande par un double raisonnement. Il rappelle d’abord, en s’appuyant sur la jurisprudence de la Cour européenne des droits de l’homme relative au blocage de sites internet, que la suppression d’un support dans son intégralité — qui frappe indistinctement les contenus licites et illicites qu’il héberge — porte une atteinte particulièrement grave à la liberté d’expression et ne saurait être prononcée à la légère. Il relève ensuite, sur le plan factuel, que le compte comprenait plusieurs centaines de publications dont la majorité, sans lien avec le litige, concernait des événements artistiques, et que la persistance du comportement malveillant sur l’ensemble du compte n’était pas démontrée.

Une telle mesure radicale n’aurait pu se concevoir qu’en cas de récidive avérée après une première décision constatant l’illicéité de certains contenus — leçon pratique pour les conseils des victimes, invités à documenter, par des constats successifs, tant la proportion de contenus illicites que la persistance du comportement malveillant dans la durée.

La demande la plus ambitieuse portait sur une surveillance automatisée de vingt-quatre mois, fondée sur une liste de mots-clés multilingues destinée à détecter et bloquer toute publication associant le nom des demandeurs à des termes tels que « mort », « kill » ou « predator ». Invoquant l’arrêt Glawischnig-Piesczek de la Cour de justice de l’Union européenne, les demandeurs défendaient la légalité de principe d’une telle mesure ; Meta y voyait, à l’inverse, une obligation de surveillance générale prohibée par le droit de l’Union. Sur le principe, le tribunal tranche en faveur des demandeurs : l’article 8 du règlement sur les services numériques interdit certes toute surveillance générale, mais son article 9 autorise les autorités judiciaires nationales à prononcer des injonctions ciblées contre des éléments spécifiques de contenu illicite, sur le fondement d’une voie procédurale de droit interne conforme au droit de l’Union — ce qu’est précisément l’article 6-3 de la LCEN.

La demande échoue néanmoins en pratique, pour deux raisons cumulatives. La première tient à son objet même : puisque les accusations d’abus sexuels ne peuvent être retirées faute de débat contradictoire avec leur auteur, un filtrage automatique empêchant toute association entre le nom des demandeurs et ces accusations rendrait de facto inaccessibles des contenus dont la suppression n’est, par hypothèse, pas autorisée. La seconde tient à l’excessive généralité des mots-clés proposés, dont l’emploi — « mort », « sexe » ou un prénom répandu — conduirait à bloquer des contenus n’ayant strictement aucun rapport avec l’affaire.

Cette décision dessine ainsi, en creux, la frontière entre la surveillance ciblée validée par la Cour de justice — limitée aux reproductions identiques ou équivalentes d’un contenu déjà déclaré illicite — et une surveillance par lexique, qui suppose au contraire une appréciation autonome et nécessairement approximative confiée à l’hébergeur : une demande de surveillance a d’autant plus de chances d’aboutir qu’elle vise des contenus précisément identifiés, et d’autant moins qu’elle se contente de viser des thèmes génériques.

Rendu en premier ressort avec exécution provisoire de droit, le jugement du 31 août 2026 doit sa portée moins à l’originalité de ses solutions, déjà connues pour l’essentiel, qu’à la rigueur avec laquelle il les applique à un flux de publications volontairement mêlées pour brouiller toute tentative de qualification. Trois enseignements pratiques s’en dégagent. L’action contre l’hébergeur, fondée sur l’article 6-3 de la LCEN, demeure un outil rapide et efficace contre les menaces, le cyberharcèlement, les photomontages et la divulgation de données personnelles, avec la sanction des dépens pour la plateforme qui aura tardé à retirer spontanément ces contenus.

Elle reste en revanche structurellement impuissante face aux imputations diffamatoires, quelle qu’en soit la gravité : pour celles-ci, seule l’action en diffamation dirigée contre leur auteur, enfermée dans le bref délai de trois mois de la loi de 1881, demeure la voie adaptée. Les mesures les plus radicales — suppression totale d’un compte, surveillance généralisée — ne sont, enfin, jamais exclues par principe, mais exigent une preuve et une précision que peu d’assignations réunissent aujourd’hui. Reste une difficulté que la décision laisse ouverte : que faire lorsque l’auteur d’une campagne mêlant menaces et accusations demeure, en pratique, hors de portée de toute action en diffamation, faute de résider sur le territoire national ou de disposer d’un patrimoine saisissable — situation dans laquelle le contenu le plus destructeur pour la réputation de la victime est, paradoxalement, celui que le droit protège le plus soigneusement.

Pour lire une version plus complète de cet article sur la suppression de contenus diffamatoires, cliquez

Sources :

  1. Tribunal judiciaire de Paris, 31 août 2026, 26/53322 | Pappers Justice : Toutes les décisions de justice françaises gratuites
  2. https://www.bclplaw.com/print/v2/content/1542976/the-juge-des-referes-lacks-jurisdiction-to-order-the-closure-of-a-fraudulent-website.pdf?lang=fr

Parole contre parole : comment faire sans écrit ?

Un livre publié, commercialisé, distribué en librairie — mais aucun contrat signé entre l’auteur et son éditeur.

L’hypothèse, qui pourrait sembler théorique, est pourtant celle qu’a dû trancher la Cour de cassation dans une affaire opposant l’auteur-compositeur-interprète et écrivain Pierre Perret aux éditions du Cherche-Midi.

NOUVEAU : Utilisez nos services pour faire retirer un contenu dénigrant ou de contrefaçon en passant par le formulaire et un avocat enverra une lettre de mise en demeure !

Les faits, rapportés par Le Monde du Droit, sont limpides : après avoir déjà publié sept ouvrages de l’auteur entre 2006 et 2015, l’éditeur fait paraître, le 20 octobre 2016, un nouveau titre intitulé « Ma vie en vin ». Mais lorsqu’il réclame la signature du contrat de cession afférent, il se heurte à un refus — l’auteur jugeant inhabituelles certaines clauses du projet qui lui est soumis. Aucun accord écrit ne sera jamais formalisé. L’exploitation, elle, se poursuit néanmoins pendant près d’un an, avec la participation active de l’auteur à sa promotion.


Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


De cette situation naît un contentieux en contrefaçon, l’auteur reprochant à l’éditeur d’avoir exploité l’œuvre sans titre valable. La cour d’appel de Paris en juge autrement : un contrat d’édition liait bel et bien les parties, en dépit de l’absence de signature, sur la foi d’un faisceau d’éléments matériels convergents. Par un arrêt du 2 septembre 2026, la première chambre civile de la Cour de cassation valide ce raisonnement.

Cette décision offre l’occasion de clarifier une distinction que la pratique confond trop souvent : celle qui sépare la validité d’un acte de sa preuve. L’article L. 131-2 du Code de la propriété intellectuelle impose certes que les contrats d’édition soient « constatés par écrit » — mais ce verbe, loin d’être un hasard de rédaction, n’a jamais signifié que l’écrit conditionne l’existence même de la cession. À défaut d’écrit, le droit commun rouvre alors la voie de l’aveu extrajudiciaire, régi par l’article 1354 du Code civil, sous une réserve constante : « l’aveu extrajudiciaire n’est admissible que s’il porte sur des points de fait et non sur des points de droit ».

C’est précisément sur cette ligne de partage que repose la solution de l’arrêt commenté — une solution qui s’inscrit d’ailleurs dans le prolongement d’un précédent du 28 février 2024, déjà venu rappeler les termes de l’exigence légale sans jamais en faire une condition de validité.

I. L’affaire Pierre Perret : un contentieux né de l’absence d’écrit

  1. Les faits : une exploitation éditoriale menée sans contrat signé

Le droit d’auteur français impose, depuis longtemps, un formalisme protecteur à toute cession portant sur les droits patrimoniaux de l’auteur, jugé nécessaire pour prémunir ce dernier — présumé partie faible face à l’éditeur ou au producteur — contre des cessions insuffisamment réfléchies ou trop générales.

L’article L. 131-2 du Code de la propriété intellectuelle énonce ainsi que « les contrats de représentation, d’édition et de production audiovisuelle […] doivent être constatés par écrit. Il en est de même des autorisations gratuites d’exécution. Les contrats par lesquels sont transmis des droits d’auteur doivent être constatés par écrit », cette dernière phrase ayant été ajoutée par la loi du 7 juillet 2016 relative à la liberté de la création, à l’architecture et au patrimoine, qui a généralisé l’exigence d’écrit à l’ensemble des cessions de droits d’auteur et non plus aux seuls contrats nommés énumérés par le texte.

L’article L. 131-3 du même code complète ce dispositif en précisant le contenu que doit revêtir cet écrit : le domaine d’exploitation des droits cédés doit y être délimité quant à son étendue et sa destination, quant au lieu et quant à la durée — une exigence de précision qui explique la formule reprise par la Cour de cassation dans l’arrêt commenté.

Le texte prévoit d’ailleurs lui-même un assouplissement pour les situations d’urgence, en admettant que « lorsque des circonstances spéciales l’exigent, le contrat peut être valablement conclu par échange de télégrammes, à condition que le domaine d’exploitation des droits cédés soit délimité conformément aux termes du premier alinéa » — preuve, s’il en fallait une, que le législateur lui-même n’a jamais entendu figer l’exigence d’écrit dans un formalisme rigide et exclusif de tout autre mode de constatation, pourvu que les éléments essentiels du domaine cédé restent identifiables.

La doctrine s’accorde aujourd’hui très largement pour qualifier cette exigence d’écrit d’ad probationem — c’est-à-dire exigée pour la preuve du contrat — et non d’ad validitatem — c’est-à-dire condition de validité de l’acte lui-même. Une analyse consacrée à un litige voisin, portant sur un contrat d’édition d’annuaire électronique, résume cette lecture communément admise : « si l’article L. 131-2 du Code de la propriété intellectuelle dispose que les contrats d’édition doivent être constatés par écrit, cette exigence d’écrit est entendue ad probationem ». Une réponse ministérielle publiée au Sénat confirme d’ailleurs cette portée mesurée du texte, en rappelant qu’avant même la réforme de 2016, « dans tous les autres cas [que les contrats nommément visés], la preuve de la cession se faisait dans les termes du droit commun et pouvait donc résulter de la commune intention des parties », ce qui confirme que le formalisme du droit d’auteur n’a jamais eu vocation à paralyser toute preuve alternative de l’accord des parties en l’absence d’écrit formel.

  1. La position des juges du fond : la reconnaissance d’un contrat d’édition non écrit

Dès lors que l’écrit n’est requis qu’à titre probatoire, sa carence ne condamne pas nécessairement la partie qui l’invoque à l’impossibilité de prouver l’existence du contrat : elle la renvoie simplement vers les modes de preuve subsidiaires du droit commun, au premier rang desquels figure l’aveu extrajudiciaire, régi par les articles 1354 à 1356 du Code civil.

L’article 1354 en donne la définition générale — la reconnaissance par une personne d’un fait de nature à produire contre elle des conséquences juridiques, judiciaire ou extrajudiciaire selon qu’elle intervient ou non devant le juge —, tandis que l’article 1355 précise, s’agissant spécifiquement de l’aveu extrajudiciaire purement verbal, qu’il « n’est reçu que dans les cas où la loi permet la preuve par tout moyen », sa valeur probante étant alors laissée à l’appréciation souveraine du juge du fond — contrairement à l’aveu judiciaire de l’article 1356, qui fait pleine foi contre son auteur et n’est en principe pas révocable, sauf erreur de fait.

Cette admissibilité de l’aveu extrajudiciaire connaît cependant une limite constante, rappelée de façon transversale par la jurisprudence civile bien au-delà du seul droit d’auteur : l’aveu ne peut porter que sur des points de fait, jamais sur des points de droit. Une synthèse de la jurisprudence en la matière le formule ainsi : « l’aveu extrajudiciaire n’est admissible que s’il porte sur des points de fait et non sur des points de droit ».

Transposée au contrat d’édition, cette exigence signifie que l’aveu ne peut jamais se substituer purement et simplement à l’écrit manquant en avalisant, comme s’il s’agissait d’une simple formalité, l’existence d’une cession de droits : il doit porter sur des éléments matériels et factuels — un comportement, une validation, une exécution — dont le juge pourra ensuite déduire, par un raisonnement qui reste le sien, que les parties s’étaient bien accordées sur le contenu et les limites de la cession. C’est cette articulation précise entre le fait avoué et la reconstruction juridique qui en est faite par le juge que l’arrêt du 2 septembre 2026 vient concrètement illustrer.

II. La consécration par la Cour de cassation d’un régime probatoire assoupli

  1. Le principe : l’écrit, condition de preuve et non de validité du contrat d’édition

Le contexte factuel de l’affaire méritait, à cet égard, une attention particulière : contrairement à une situation où l’éditeur aurait publié un ouvrage à l’insu total de l’auteur, la relation entre les parties s’inscrivait ici dans la continuité d’une collaboration ancienne et répétée — sept livres publiés entre 2006 et 2015 selon les faits rapportés par la presse juridique —, ce qui rendait d’autant plus vraisemblable l’existence d’un accord tacite reprenant les termes habituels de leurs relations contractuelles antérieures pour ce huitième ouvrage.

Or, malgré l’absence de signature du contrat relatif à « Ma vie en vin », plusieurs éléments matériels démontraient que l’auteur avait bel et bien consenti à la publication : la cour d’appel de Paris, dont le raisonnement a été confirmé par la Cour de cassation, a ainsi relevé qu’un courriel du 22 septembre 2016 établissait que l’auteur avait donné son accord pour le bon à tirer de la couverture et des pages de garde, qu’il avait participé activement à la promotion et à la médiatisation du livre, et que l’exploitation commerciale s’était poursuivie en librairie d’octobre 2016 à septembre 2017 avec son concours actif.

C’est l’accumulation convergente de ces éléments — et non un seul d’entre eux isolément — qui a permis aux juges du fond de caractériser un aveu extrajudiciaire suffisant. Ce point mérite d’être souligné, car il illustre la différence de nature entre l’aveu et l’écrit contractuel proprement dit : là où l’écrit fixe, dans un document unique et daté, l’ensemble des termes de la cession, l’aveu extrajudiciaire se déduit, par un travail de reconstitution du juge, d’un faisceau d’indices matériels épars, dont la cohérence d’ensemble emporte la conviction.


Besoin de l’aide d’un avocat pour un problème de contrefaçon ?

Téléphonez – nous au : 01 43 37 75 63

ou contactez – nous en cliquant sur le lien


Le projet de contrat non signé, adressé postérieurement à l’éditeur le 11 juillet 2017, a d’ailleurs joué un rôle décisif dans cette reconstitution : reprenant, comme les sept contrats conclus antérieurement entre les parties, une cession exclusive des droits de reproduction pour une exploitation en langue française en France, à Monaco, en Suisse, en Belgique et au Canada francophone, moyennant un droit de 20 % sur le prix de vente au public hors taxes et pour une durée d’un an, ce projet a permis aux juges de reconstituer précisément le contenu de l’accord auquel l’auteur avait, par son comportement, consenti — quand bien même il en avait ensuite refusé la signature formelle en raison de clauses jugées inhabituelles.

  1. La méthode : l’aveu extrajudiciaire encadré par les exigences de l’article L. 131-3

La portée de l’arrêt du 2 septembre 2026 ne se limite cependant pas à valider, au cas par cas, un faisceau d’indices jugé convaincant par les juges du fond : la Cour de cassation y pose un principe de méthode, applicable à toute situation comparable. Elle énonce en effet qu’il résulte des articles L. 131-2 et L. 131-3 du Code de la propriété intellectuelle et 1354 du Code civil que la constatation par écrit du contrat d’édition n’est pas requise pour la validité du contrat mais pour sa preuve, et qu’à défaut d’écrit, le recours à l’aveu est possible « à la condition qu’il permette de délimiter le domaine d’exploitation des droits cédés quant à son étendue et sa destination, quant au lieu et quant à sa durée » — reprenant très exactement, comme grille de lecture de l’aveu, les quatre critères que l’article L. 131-3 du Code de la propriété intellectuelle impose habituellement à l’écrit lui-même.

Autrement dit, l’aveu extrajudiciaire ne dispense jamais des garanties substantielles voulues par le législateur pour protéger l’auteur : il doit simplement en apporter la preuve par une voie différente, sans que le niveau d’exigence quant au contenu de l’accord ne soit lui-même abaissé.

Cette exigence se vérifie précisément dans les faits de l’espèce : le projet de contrat, bien que non signé, permettait de reconstituer avec précision chacun des quatre paramètres requis — l’étendue des droits cédés (la reproduction de l’ouvrage), sa destination (l’édition courante, à hauteur de 20 % du prix de vente), le lieu de l’exploitation (France, Monaco, Suisse, Belgique, Canada francophone, en langue française) et sa durée (un an).

C’est cette délimitation complète, et non le seul constat général d’un accord de principe entre les parties, qui a permis à la Cour de cassation de conclure, à la suite des juges du fond, que « l’auteur avait consenti à céder à l’éditeur les droits de reproduction relatifs au livre « Ma vie en vin », à ces conditions », rejetant ainsi le pourvoi et privant l’action en contrefaçon de tout fondement, puisque l’éditeur disposait bien, au moment de l’exploitation litigieuse, d’un titre l’y autorisant.

Cette solution invite, en pratique, à une vigilance accrue de tous les professionnels du secteur culturel et éditorial. D’un côté, elle offre un filet de sécurité bienvenu à l’éditeur ou au producteur qui, dans le feu d’une exploitation commerciale devant respecter des délais serrés, engage une publication avant la signature formelle du contrat, sur la foi du comportement actif et non équivoque de l’auteur. De l’autre, elle rappelle à ce dernier — et à ses conseils — qu’un accord de fait, même informel, peut produire des effets juridiques presque équivalents à ceux d’un écrit en bonne et due forme, dès lors que son comportement permet d’en reconstituer les éléments essentiels : mieux vaut, dans cette perspective, formaliser rapidement par écrit toute cession de droits, plutôt que de laisser l’exploitation se poursuivre durablement sur la seule base d’un projet de contrat resté sans signature.

L’arrêt du 2 septembre 2026 confirme, avec une netteté renouvelée, que le formalisme du droit d’auteur français, aussi protecteur soit-il, n’est jamais un obstacle absolu à la preuve d’un contrat d’édition : l’écrit exigé par l’article L. 131-2 du Code de la propriété intellectuelle demeure une condition de preuve, non de validité, et cède la place, à titre subsidiaire, à l’aveu extrajudiciaire dès lors que celui-ci permet de reconstituer, avec la même précision que l’aurait fait un écrit, l’étendue, la destination, le lieu et la durée des droits cédés.

L’affaire Pierre Perret illustre ainsi, de façon presque pédagogique, cette articulation entre rigueur des principes et souplesse de leur application : le formalisme protège l’auteur sur le fond, sans jamais l’enfermer, ni enfermer son cocontractant, dans le seul carcan de la signature manquante.

Pour lire un article plus complet sur l’écrit et la preuve, cliquez

Sources :

  1. Preuve du contrat d’édition : conditions d’admission de l’aveu – LE MONDE DU DROIT – Le magazine des professionnels du droit
  2. Pourvoi n°25-15.216 | Cour de cassation
  3. Article L131-2 – Code de la propriété intellectuelle – Légifrance
  4. Aveu judiciaire – Définition – Dictionnaire juridique
  5. Cour de cassation, civile, Chambre civile 1, 28 février 2024, 22-18.120, Publié au bulletin – Légifrance
  6. Article L131-3 – Code de la propriété intellectuelle – Légifrance
  7. Contrats de transmission des droits d’auteur