Le Conseil d’État a jugé le mécanisme de surveillance de la Haute Autorité pour la diffusion des œuvres et la protection des droits sur internet (Hadopi), désormais opéré par l’Autorité de régulation de la communication audiovisuelle et numérique (Arcom), incompatible avec le droit de l’Union européenne, enjoignant au gouvernement d’abroger une partie du décret organisant la riposte graduée.

Saisi par l’association La Quadrature du Net, le Conseil d’État a estimé que le système de collecte et de traitement des données personnelles pour la riposte graduée ne respectait pas les exigences fixées par la Cour de Justice de l’Union européenne (CJUE). Il a relevé deux manquements principaux. Premièrement, la conservation des données de connexion par les opérateurs de communications électroniques n’est pas effectuée de manière "étanche", c’est-à-dire en séparant les adresses IP des données d’identité civile correspondantes, comme l’exige la jurisprudence européenne. Deuxièmement, l’accès de l’Arcom à ces données n’est pas précédé d’un contrôle par une entité indépendante, l’autorité agissant à la fois comme demandeur et contrôleur de la légalité de l’accès.

En conséquence de cette décision, la procédure de riposte graduée est fortement limitée. Le Conseil d’État a précisé que l’absence de contrôle indépendant posait problème à partir de la troisième étape de la procédure, correspondant à l’envoi d’une lettre recommandée et à la possible transmission du dossier à la justice. L’Arcom ne peut donc plus saisir l’autorité judiciaire en vue d’une sanction, qui pouvait atteindre une contravention de 1 500 € (3 000 € en cas de récidive) pour défaut de sécurisation de l’accès à internet. L’envoi des premiers courriels d’avertissement reste possible, à condition que l’Arcom s’assure au préalable que les fournisseurs d’accès à internet procèdent à une conservation "étanche" des données.