La loi du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique (SREN) a été publiée le lendemain au Journal Officiel, après avoir été expurgé des articles censurés par le Conseil constitutionnel. Les sages de la République ont jugé le délit d’outrage en ligne d’inconstitutionnel.

Par Antoine Gravereaux, avocat associé*, FTPA Avocats

En invalidant cinq articles de la loi, dont le délit d’« outrage en ligne » (1), le Conseil constitutionnel – par décision du 17 mai 2024 (2) – a contraint le législateur à revoir son approche de la régulation de l’espace numérique. La loi visant à sécuriser et à réguler l’espace numérique (SREN) introduisait le délit d’outrage en ligne, qui aurait été puni d’un an d’emprisonnement et de 3.750 euros d’amende forfaitaire en cas de diffusion en ligne de tout contenu portant atteinte à la dignité d’une personne ou présentant un caractère injurieux, dégradant, humiliant, ou créant une situation intimidante, hostile ou offensante.

Un délit qui manquait d’objectivité
Le Conseil constitutionnel, qui avait été saisi par deux groupes de députés différents (respectivement les 17 et 19 avril 2024), a jugé que les faits réprimés par cette nouvelle infraction étaient déjà couverts par des qualifications pénales existantes, y compris lorsque ces abus sont commis en ligne. Ainsi par exemple, les sages de la République ont relevé que la diffamation et l’injure sont réprimées par les articles 32 et 33 de la loi du 29 juillet 1881 sur la liberté de la presse (3), les violences psychologiques par le code pénal (4), et le harcèlement par le code pénal également (5).
Rappelons que la diffamation se définit comme toute allégation ou imputation d’un fait portant atteinte à l’honneur ou à la considération de la personne auquel le fait est imputé, lorsqu’elle est commise publiquement. Tandis que l’injure se définit comme toute expression outrageante, termes de mépris ou invective qui ne renferme l’imputation d’aucun fait, lorsqu’elle est proférée publiquement. En outre, le Conseil constitutionnel a relevé que cette nouvelle infraction de délit d’« outrage en ligne » manquait d’objectivité et créait un climat d’incertitude attentatoire à la liberté, en nécessitant une appréciation subjective du ressenti de la personne visée (« incertitude sur la licéité des comportements incriminés »). « Les dispositions contestées font dépendre la caractérisation de l’infraction de l’appréciation d’éléments subjectifs tenant à la perception de la victime. Elles font ainsi peser une incertitude sur la licéité des comportements réprimés », estime notamment le Conseil Constitutionnel. Il a donc jugé que cette disposition portait atteinte à la liberté d’expression et de communication de manière non nécessaire, non adaptée et disproportionnée.

L’introduction du délit spécifique d’outrage en ligne avait été proposé par le sénateur (Union centriste) Loïc Hervé. Cette mesure n’était pas soutenue par le gouvernement et était rejetée par la quasi-totalité des groupes parlementaires, malgré des modifications en commission mixte paritaire. « Inspiré du délit d’outrage sexiste et sexuel », ce nouveau délit d’« outrage en ligne » introduit comme nouvelle infraction, aurait apporté une réponse aux « difficultés posées, en matière de harcèlement en ligne, par la réponse pénale classique », au moyen d’une « sanction immédiate par une amende forfaitaire délictuelle », selon les porteurs de l’amendement (6). Divers arguments pouvaient justifier l’introduction du délit d’outrage en ligne dans le code pénal. Cette nouvelle infraction aurait comblé un vide juridique laissé par les qualifications pénales existantes comme l’injure ou la diffamation, tout en permettant de lutter contre les comportements abusifs en ligne, souvent perpétrés sous couvert d’anonymat – lequel est en fait de la pseudonymisation (7).
En offrant un délai de prescription plus long (six ans au lieu de trois mois à compter de la publication), elle aurait mieux convenu aux justiciables victimes de comportements répréhensibles sur Internet. Il est vrai que ces infractions, bien que pertinentes, ne couvrent pas toujours les nuances spécifiques des abus en ligne, souvent anonymes et diffusés à grande échelle. L’objectif, que nous pourrions considérer comme louable, était donc de créer une infraction qui s’adapte mieux aux réalités numériques actuelles, offrant ainsi une réponse pénale plus appropriée.

Gros risque pour la liberté d’expression
La levée de l’anonymat aurait été facilitée par l’obtention de l’adresse IP des auteurs, en raison de la peine d’emprisonnement d’un an encourue. Et l’on sait que les démarches pour obtenir ces informations peuvent être complexes et nécessiter une coopération internationale dans certains cas. De plus, le délit d’outrage en ligne aurait aidé à limiter l’escalade de la violence, les insultes, menaces ou intimidations pouvant progressivement s’intensifier et mener à des actes de violence physique. En quelque sorte, le texte soulignait ici un aspect préventif dans la lutte contre les violences physiques. Mais le Conseil constitutionnel a considéré que l’introduction de ce nouveau délit d’outrage en ligne portait un risque trop important d’atteinte aux libertés d’expression et de communication. Notons que les conditions de mise en œuvre de cette nouvelle infraction n’étaient pas aisées puisqu’en matière de cyberharcèlement, l’identification des auteurs peut impliquer la mise en place d’enquêtes poussées, ce qui n’est pas toujours compatible avec une amende forfaitaire.

La SREN, 20 ans après la LCEN
Le Conseil constitutionnel a également censuré quatre autres articles de la loi, qualifiés de cavaliers législatifs, c’est-à-dire sans rapport direct avec le texte initial. Ces articles ont été écartés en raison de leur irrégularité au regard de l’article 45 de la Constitution de 1958 (navette législative). L’un des autres articles censurés visait à offrir à 100 % des Français une identité numérique gratuite d’ici le 1er janvier 2027 (8). L’ambition était, selon le rapporteur général du texte à l’Assemblée nationale, le député (non inscrit) Paul Midy, de mettre fin à l’anonymat en ligne. Lors des débats, la perspective de la généralisation de l’identité numérique en France a été considérée comme « liberticide » (9).
En censurant le délit d’outrage en ligne, l’une des mesures phares et controversées de la loi SREN, le Conseil constitutionnel se pose en défenseur des libertés fondamentales, protégeant la liberté d’expression et de communication contre des atteintes disproportionnées. Il prive ainsi les autorités d’un moyen supplémentaire pour sanctionner certains comportements abusifs en ligne. Bien que le délit d’outrage en ligne ait été invalidé, la majorité des articles de la loi SREN ont été jugés conformes à la Constitution française.
La loi SREN renforce et modernise le cadre juridique établi par la loi de 2004 pour « la confiance dans l’économie numérique », dite LCEN (10), en matière de régulation de l’Internet. Elle vise notamment à améliorer la sécurité en ligne, particulièrement pour les plus jeunes face à la pornographie, et à lutter contre les contenus illicites. Parmi les principales mesures, la loi introduit un « filtre anti-arnaque » (11) destiné à protéger les utilisateurs contre les cyberattaques comme le phishing (hameçonnage pour obtenir des données personnelles à des fins d’usurpation d’identité). Cette mesure, qui s’impose aux navigateurs web (12), a été critiquée par la Cnil et La Quadrature du Net en raison des risques de censure et de surveillance (13), et de l’efficacité contestée de ce filtre. Ainsi, le potentiel risque de censure et de surveillance excessive devra être soigneusement considéré pour éviter toute atteinte disproportionnée aux libertés individuelles. S’agissant de l’efficacité réelle de ce filtre, une évaluation – dans le temps, rigoureuse et continue de son impact – sera nécessaire.
L’Arcom, elle, voit son rôle renforcé, notamment pour bloquer et déréférencer les sites pornographiques ne disposant pas d’un dispositif efficace de contrôle d’accès des mineurs. Elle est également chargée de mettre en place des modalités techniques pour vérifier l’âge des internautes accédant à ces sites Internet. La protection des mineurs face à la pornographie et la lutte contre les contenus illicites sont des préoccupations légitimes et urgentes. La mise en place de ce nouveau dispositif est essentielle pour garantir un Internet plus sûr pour des personnes vulnérables.
En outre, la loi SREN met en œuvre plusieurs règlements européens du « paquet numérique » : le Data Governance Act (DGA (14)), le Digital Markets Act (DMA (15)) et le Digital Services Act (DSA (16)). Ces règlements visent à favoriser une meilleure circulation des données dans un environnement protégé et à renforcer la protection des internautes. La Cnil voit ses pouvoirs étendus et devient l’autorité compétente pour contrôler les « organisations altruistes en matière de données » (OAD, ou DAO en anglais pour Data Altruism Organisations), gérer le registre national des ces dernières et instruire les plaintes à leur encontre (17). La Cnil doit également veiller au respect des obligations de transparence en matière de publicité ciblée, en interdisant le profilage basé sur des données sensibles et le profilage des mineurs.
De plus, la loi SREN introduit des dispositions pour réguler le marché de l’informatique en nuage (cloud), imposant des obligations d’interopérabilité et de limitation des frais de transfert pour les fournisseurs de services cloud. L’Arcep reçoit de nouvelles missions pour réguler ces services et les prestataires d’intermédiation de données, qui devront se faire labelliser.

Une actualisation de la SREN envisageable
En définitive, la loi SREN apporte des avancées significatives dans la sécurisation de l’Internet, où la coopération entre régulateurs et acteurs du secteur du numérique sera cruciale pour lutter contre les contenus illicites et assurer la protection des mineurs, là où la LCEN avait pu poser les bases de la régulation de l’économie numérique en France. Toutefois, avec l’évolution rapide des technologies et des usages d’Internet, dont l’IA, une mise à jour s’imposerait pour répondre aux nouveaux défis du numérique. @

* Antoine Gravereaux est avocat associé chez FTPA Avocats, au
département « Technologies, Data & Cybersécurité »