La CJUE dynamite le safe harbor des réseaux sociaux — les algorithmes de recommendation ne sont plus protégés
🎙️ Podcast : Écouter
Il y a des décisions de justice qu'on lit, qu'on relit, et qu'on repose en se demandant si on a bien compris. Celle-ci en fait partie. Le 16 juin 2026, la Cour de justice de l'Union européenne a rendu un arrêt dans les affaires jointes C-188/24 et C-190/24 qui, si on le prend au sérieux, pulvérise le fondement juridique sur lequel repose l'ensemble des réseaux sociaux en Europe. Pas les cookies. Pas les données personnelles. Le cœur même du modèle : l'immunité de responsabilité pour ce que leurs utilisateurs publient. Et le pire, c'est que personne n'a vraiment vu le coup venir parce que l'affaire, en apparence, ne parlait pas de ça.
Elle parlait de porno et de radars. D'un côté, des sociétés tchèques qui contestent l'obligation française de vérifier l'âge des visiteurs de sites pour adultes. De l'autre, Coyote, l'appli de signalement de contrôles routiers, qui refuse de se voir interdire la rediffusion des informations que ses utilisateurs lui envoient. Deux mesures de droit français, deux recours devant le Conseil d'État, deux questions préjudicielles à la CJUE. Rien qui, à première lecture, ne concerne Mark Zuckerberg ou Elon Musk. Mais la Cour a profité de ces questions pour dire quelque chose de beaucoup plus large, et ce quelque chose a le potentiel de réécrire les règles du jeu pour chaque plateforme qui utilise un algorithme pour trier ce que vous voyez.
Commençons par le début, parce que l'enchaînement est important. La directive européenne sur le commerce électronique, celle de l'an 2000, celle qui a été écrite à une époque où Amazon vendait encore des livres et où Facebook n'existait pas, repose sur un principe simple : un hébergeur — quelqu'un qui stocke des informations fournies par un utilisateur — n'est pas responsable de ces informations tant qu'il n'a pas connaissance de leur caractère illicite et qu'il agit pour les retirer une fois alerté. C'est le safe harbor européen. Pendant vingt-six ans, c'est ce qui a protégé YouTube des vidéos piratées, Twitter des tweets diffamatoires, et Meta des publications problématiques postées dans des groupes privés. Le raisonnement, pour les juges européens, a toujours été le même : l'hébergeur est un conduit passif, un simple espace de stockage. S'il ne sait pas, il n'est pas responsable.
Seulement voilà : en 2026, aucun réseau social sérieux ne se contente d'héberger passivement. Tous trient. Tous priorisent. Tous utilisent des algorithmes pour décider ce qui mérite d'être vu, dans quel ordre, avec quelle mise en avant. Le fil d'actualité de Meta n'est pas une liste chronologique — c'est un modèle de prédiction qui sélectionne ce qui maximise votre engagement. Le For You Page de TikTok n'est pas une bibliothèque — c'est un système de recommandation qui vous tient scotché. X n'affiche plus les tweets en ordre inverse — il intercale, il suggère, il amplifie. La Cour a regardé ça, et elle a dit : si vous utilisez un algorithme pour déterminer « sous quelles conditions, de quelle manière et dans quel ordre de priorité » les informations sont rediffusées, vous exercez un contrôle sur ces informations. Et si vous exercez un contrôle, vous n'êtes plus un hébergeur passif. Vous n'êtes plus exonéré.
Je cite le communiqué de presse officiel de la Cour, parce que les termes comptent : « un prestataire qui détermine, au moyen d'un algorithme, sous quelles conditions, de quelle manière et dans quel ordre de priorité de telles informations sont rediffusées ou ne le sont pas, exerce un contrôle sur celles-ci, de sorte qu'il n'est pas exonéré de responsabilité. » C'est écrit, c'est noir sur blanc, et ça ne laisse pas beaucoup de place à l'interprétation. La Cour ne dit pas « certains algorithmes sophistiqués ». Elle dit « un algorithme ». Elle ne dit pas « les plateformes qui modifient activement le contenu ». Elle dit celles qui déterminent « sous quelles conditions, de quelle manière et dans quel ordre de priorité ». Autrement dit, le simple fait de trier par pertinence, ou par popularité, ou par date, ou par n'importe quel critère algorithmique qui va au-delà de l'indexation brute, suffit à faire basculer le statut.
C'est là que l'arrêt devient vertigineux. Parce qu'il ne dit pas seulement que Meta est responsable des publications de ses utilisateurs parce que l'algorithme les met en avant. Il dit que le fait même d'utiliser un algorithme pour organiser l'affichage transforme la plateforme en éditeur. Et un éditeur, contrairement à un hébergeur, est présumé connaître ce qu'il publie. Ce n'est pas une nuance byzantine — c'est un basculement fondamental de régime juridique. Si vous êtes un éditeur, vous êtes responsable a priori, pas seulement après une notification. Vous devez modérer en amont. Vous devez vérifier la légalité de ce que vous exposez à vos utilisateurs. La charge de la preuve s'inverse, et le coût de la conformité explose.
Maintenant, ajoutons la couche d'absurdité qui rend cette histoire profondément européenne. Le Digital Services Act, le fameux DSA, est entré en vigueur en 2024. Il a été présenté comme la grande réforme de la responsabilité des plateformes. Il restate, il précise, il modernise les règles de la directive de 2000. Sauf que la CJUE, dans son arrêt du 16 juin, ne mentionne pas le DSA. Pas une fois. Elle interprète la directive originale, celle de 2000, comme si le DSA n'existait pas. Et ce n'est pas un oubli — c'est une affirmation de primauté. La Cour dit : voilà ce qu'a toujours voulu dire la directive. Les algorithmes, ça compte. Le contrôle, ça compte. Et les nouvelles règles du DSA ne changent rien à cette interprétation de base.
Ce qui crée une incertitude juridique monumentale. Deux scénarios s'ouvrent, et ils sont en conflit direct. Si le DSA prévaut dans son esprit et dans sa lettre, l'arrêt devient une tempête dans un verre d'eau — une clarification théorique qui n'affecte pas le cadre pratique que la Commission applique au quotidien. Mais si l'interprétation de la Cour tient, et si les juges nationaux s'en saisissent pour requalifier le statut des plateformes dans des litiges concrets, alors le DSA est vidé de sa substance avant même d'avoir véritablement produit ses effets. Le safe harbor européen que le DSA prétendait consolider se retrouve dynamité par une décision qui dit, en substance : vous n'avez jamais vraiment été protégés.
Steve Peers, professeur à Royal Holloway et l'un des meilleurs analystes du droit européen numérique, a résumé la situation avec une ironie qui me parle : « Faire sauter l'internet par frustration semble une réponse disproportionnée. » L'image est parfaite. Parce que c'est exactement ce qu'on ressent en lisant l'arrêt. La Cour n'a pas cherché à réguler les réseaux sociaux. La question qui lui était posée concernait des sites pornos tchèques et une boîte de signalement de radars. Mais les juges, exaspérés par la lenteur avec laquelle la Commission applique le DSA — presque deux ans après son entrée en vigueur, seules X et Temu ont fait l'objet de procédures formelles — ont décidé de dire une bonne fois pour toutes ce qu'ils pensent du principe d'exemption. Et ils l'ont dit avec une radicalité qui dépasse de loin le cadre du litige initial.
C'est un geste qu'aurait compris John Keats, je crois. Cette idée de « capacité négative » — la capacité de rester dans l'incertitude sans chercher frénétiquement une résolution. La Cour a regardé un système juridique qui s'enlisait dans sa propre complexité réglementaire, qui empilait les textes sans oser les appliquer aux géants américains, et elle a dit : non, le principe est simple, et il est là depuis le début. Vous ne pouvez pas à la fois prétendre être un hébergeur passif et programmer un algorithme qui décide pour des centaines de millions d'utilisateurs ce qu'ils doivent voir. Douglas Adams aurait trouvé ça magnifiquement absurde — toute la machinerie sophistiquée du DSA, ses codes de conduite, ses audits, ses formulaires de transparence, contournée par deux questions préjudicielles sur des sites porno et des avertisseurs de radars.
La dimension politique, bien sûr, est celle dont personne ne parle officiellement mais que tout le monde dans le secteur murmure. L'administration Trump a fait comprendre à la Commission, par des canaux discrets mais efficaces, que des amendes massives contre des entreprises américaines seraient perçues comme un acte hostile. Les enquêtes du DSA s'accumulent — sur X pour la manipulation algorithmique, sur Meta pour la protection des mineurs, sur TikTok pour les risques systémiques — mais les décisions finales tardent. Chaque mois qui passe sans sanction devient un précédent implicite qui affaiblit le cadre réglementaire. La CJUE, qui n'a pas à composer avec la realpolitik transatlantique, a tranché dans le vif. Et son verdict est implacable : le droit européen n'a jamais garanti ce que les plateformes pensaient avoir.
Alors, qu'est-ce qui se passe maintenant ? Sur le papier, tout réseau social qui utilise un algorithme de recommandation — Meta, X, TikTok, YouTube, LinkedIn, Snapchat, Pinterest — pourrait voir son statut d'hébergeur contesté devant n'importe quel tribunal national. Un utilisateur qui s'estime lésé par un contenu diffusé via un fil algorithmique peut arguer que la plateforme, en choisissant de lui montrer ce contenu plutôt qu'un autre, a exercé un contrôle et ne peut donc pas invoquer l'exemption. Les juges nationaux, liés par l'interprétation de la CJUE, devront suivre.
Dans la pratique, les choses seront plus chaotiques. Le DSA reste la loi en vigueur, et ses dispositions — qui reprennent et précisent les exemptions — ne sont pas formellement abrogées par l'arrêt. Les entreprises vont plaider que le DSA a remplacé la directive de 2000, et que l'interprétation de la Cour ne s'applique plus. Les juges devront trancher. Pendant ce temps, les avocats des plaignants vont multiplier les contentieux. C'est le cauchemar de l'incertitude juridique, celui que les régulateurs promettent toujours d'éviter et que les tribunaux produisent inévitablement quand ils décident de faire bouger les lignes.
Et c'est là que je veux m'arrêter un instant, parce que je sens que je tombe dans le travers que je reproche aux autres — la tentation de tout prévoir, de tout conclure. La vérité, c'est que personne ne sait encore comment cet arrêt va s'articuler avec le DSA dans les contentieux réels. Ce que je sais, ce que les faits disent, c'est que la CJUE a ouvert une porte que beaucoup croyaient verrouillée. Elle a dit que l'algorithme, c'est du contrôle. Et que le contrôle, ça casse l'immunité. C'est une bombe logique dont l'onde de choc dépendra de la manière dont les juges nationaux, la Commission, et les plateformes elles-mêmes choisiront de réagir.
Si j'avais écrit cette chronique il y a une semaine, j'aurais parlé du DSA comme du nouveau grand cadre de régulation des plateformes en Europe. J'aurais expliqué que le safe harbor était mort, remplacé par un système de responsabilité progressive basé sur la taille et le risque systémique. J'aurais eu raison sur les faits, mais tort sur l'essentiel : le vrai rapport de force n'est pas entre le DSA et les plateformes, mais entre le DSA et la CJUE. Et la CJUE vient de rappeler qu'elle n'a pas besoin d'un nouveau texte pour imposer sa vision. Il lui suffit d'interpréter l'ancien.
Becky Chambers écrit souvent sur la fragilité des systèmes complexes, sur la manière dont les structures qu'on croit solides s'effondrent quand on découvre que leurs fondations étaient fissurées depuis le début. Le safe harbor européen est exactement ça : un concept qui a fonctionné par consensus implicite, par interprétation bienveillante, jusqu'au jour où quelqu'un a posé la question qui fâche. Et ce jour-là, il s'est avéré que le consensus n'était qu'une trêve, et que les fissures étaient là depuis l'origine.
Je termine là-dessus, sans conclusion définitive, parce que l'arrêt ne s'y prête pas. Ce que je retiens, c'est que le 16 juin 2026, la CJUE a dit une chose très simple : si votre business model repose sur un algorithme qui décide ce que les gens voient, vous assumez la responsabilité de ce que vous leur montrez. C'est une idée d'une logique aveuglante, presque évidente. Et c'est précisément pour ça qu'elle terrifie tout le monde.
En attendant, je vais suivre ce qui se passe dans les tribunaux nationaux. La France, avec son Conseil d'État à l'origine des questions préjudicielles, sera probablement le premier terrain d'affrontement. Les Pays-Bas et l'Allemagne suivront, parce que ce sont les juridictions les plus actives sur le droit numérique européen. La Commission, elle, devra trouver une parade — une communication interprétative, peut-être, ou des lignes directrices qui tentent de concilier l'arrêt avec le DSA. Mais une directive, ça se réécrit. Une interprétation de la CJUE, ça ne se contourne pas. Et c'est peut-être ça, la leçon la plus profonde de cette décision : le droit n'est pas un programme qu'on met à jour. C'est une couche de sédiments textuels que les juges fouillent un jour de colère pour en exhumer une vérité qui dérange.