Chapitre 1011 minIntermédiaire
LCEN et DSA : mentions légales, éditeur et hébergeur
Par Josselyn C., prof de BTS SIO. Mis à jour le .
À la fin de ce chapitre, tu sauras
- distinguer éditeur et hébergeur et leur responsabilité ;
- réagir à une notification de contenu illicite ;
- vérifier des mentions légales ;
- justifier la journalisation d'un accès Wi-Fi offert au public.
4 exercices corrigés1 schéma
La LCEN (loi du 21 juin 2004 pour la confiance dans l'économie numérique) est la loi française qui fixe les obligations de ceux qui publient en ligne : mentions légales, responsabilité des éditeurs et des hébergeurs, conservation des données d'identification. Depuis le 17 février 2024, le DSA (Digital Services Act, règlement européen 2022/2065 sur les services numériques) définit directement la responsabilité des hébergeurs et des plateformes, et la loi SREN du 21 mai 2024 a réorganisé la LCEN en conséquence. Ce chapitre explique qui est éditeur, qui est hébergeur, ce que chacun risque et ce qu'un site doit afficher.
Éditeur ou hébergeur : la distinction qui décide de la responsabilité
| Éditeur | Hébergeur | |
|---|---|---|
| Définition | Celui qui choisit ce qui est publié : il crée, sélectionne ou contrôle le contenu | Celui qui stocke des contenus fournis par des tiers, à leur demande, sans les choisir |
| Responsabilité | Pleine : il répond de tout ce qu'il publie, comme un journal | Limitée : il n'est responsable d'un contenu illicite que s'il en a eu connaissance et ne l'a pas retiré promptement |
| Exemples | Cèdre Habitat pour les pages de son site et son journal en ligne ; un blogueur pour ses articles | OVHcloud qui loue le serveur ; une plateforme vidéo pour les vidéos de ses utilisateurs ; Cèdre Habitat pour les messages que les locataires publient sur le forum de la résidence |
La qualification se fait contenu par contenu : un même acteur est éditeur de ce qu'il rédige et hébergeur de ce que ses utilisateurs publient. Une plateforme qui sélectionne, modifie ou met en avant activement un contenu précis peut perdre le régime protecteur pour ce contenu.
La responsabilité limitée des intermédiaires (DSA)
Le DSA distingue trois services d'intermédiation, qui ne sont pas responsables des informations qu'ils transmettent ou stockent, à des conditions précises :
| Service | Exemple | Condition pour ne pas être responsable | Article du DSA |
|---|---|---|---|
| Simple transport | Fournisseur d'accès à Internet, opérateur réseau | Ne pas être à l'origine de la transmission, ne pas choisir le destinataire, ne pas sélectionner ni modifier l'information | 4 |
| Mise en cache | Réseau de diffusion de contenu (CDN), serveur cache | Ne pas modifier l'information, retirer promptement la copie quand l'original a été retiré | 5 |
| Hébergement | Hébergeur de sites, plateforme, forum, service de stockage | Ne pas avoir effectivement connaissance de l'activité ou du contenu illicite ; dès qu'il en a connaissance, agir promptement pour le retirer ou en rendre l'accès impossible | 6 |
Il n'existe pas d'obligation générale de surveillance (article 8) : l'hébergeur n'a pas à contrôler a priori tout ce qu'il stocke. Mais il doit mettre en place un mécanisme de notification simple, par voie électronique, permettant à toute personne de lui signaler un contenu illicite (article 16). Une notification suffisamment précise et motivée lui donne la connaissance effective du contenu : s'il ne réagit pas promptement, il perd sa protection.
Les obligations par niveau : la pyramide du DSA
Le DSA empile les obligations selon la taille et le rôle des services : plus un service touche de monde, plus il a d'obligations.
| Niveau | Exemples | Obligations ajoutées |
|---|---|---|
| Tous les services intermédiaires | Fournisseurs d'accès, CDN, hébergeurs, plateformes | Point de contact pour les autorités et les utilisateurs, conditions générales claires sur la modération, rapport de transparence (sauf petites entreprises), coopération avec les injonctions des autorités |
| Hébergeurs | Hébergeurs web, stockage en ligne | Mécanisme de notification des contenus illicites ; motivation des décisions de retrait envoyée à l'auteur ; signalement aux autorités des infractions menaçant la vie ou la sécurité des personnes |
| Plateformes en ligne (hébergeurs qui diffusent au public à la demande des utilisateurs) | Réseaux sociaux, places de marché, plateformes vidéo | Système interne de réclamation, règlement extrajudiciaire des litiges, traitement prioritaire des signalements des « signaleurs de confiance », interdiction des interfaces trompeuses, transparence de la publicité et des systèmes de recommandation, protection des mineurs (pas de publicité ciblée fondée sur le profilage d'un mineur), traçabilité des vendeurs professionnels sur les places de marché |
| Très grandes plateformes et très grands moteurs de recherche (plus de 45 millions d'utilisateurs actifs par mois dans l'Union) | Les plus grands réseaux sociaux, places de marché et moteurs | Évaluation et atténuation des risques systémiques (désinformation, atteintes aux droits fondamentaux), audits indépendants, accès des chercheurs aux données, supervision directe par la Commission européenne |
En France, l'Arcom est le coordinateur des services numériques ; la CNIL et la DGCCRF sont compétentes pour certaines obligations. Les sanctions peuvent atteindre 6 % du chiffre d'affaires mondial annuel.
Les mentions légales
Toute personne dont l'activité est d'éditer un service de communication au public en ligne doit mettre à disposition du public, « dans un standard ouvert », des informations qui l'identifient (article 1-1 de la LCEN, depuis la loi SREN ; c'était l'article 6-III auparavant) :
| Éditeur | Mentions obligatoires |
|---|---|
| Personne morale (société, association, collectivité) | Dénomination ou raison sociale, siège social, numéro de téléphone, numéro d'inscription au registre du commerce et des sociétés ou au registre national des entreprises et capital social s'il s'agit d'une entreprise qui y est inscrite, nom du directeur de la publication |
| Personne physique professionnelle | Nom, prénoms, domicile, numéro de téléphone, numéro d'inscription au registre le cas échéant |
| Dans tous les cas | Nom, dénomination ou raison sociale, adresse et numéro de téléphone de l'hébergeur |
Un éditeur non professionnel (un blog personnel, ton portfolio d'étudiant) peut rester anonyme en ne publiant que les coordonnées de son hébergeur, à condition de lui avoir communiqué son identité. Ne pas respecter l'article 1-1 est puni d'un an d'emprisonnement et de 75 000 € d'amende (article 1-2), soit 375 000 € pour une personne morale.
D'autres textes ajoutent des mentions selon l'activité : un site marchand affiche ses conditions générales de vente, le numéro de TVA intracommunautaire et l'identité complète du vendeur (Code de la consommation) ; un site qui collecte des données doit renvoyer à sa politique de confidentialité (RGPD) ; un site public déclare son niveau d'accessibilité. Le cours HTML et CSS donne un modèle de page complet. À l'oral E5, « les mentions légales sont accessibles et conformes » fait partie des critères de la compétence « Développer la présence en ligne de l'organisation ».
Conserver les données d'identification
Les fournisseurs d'accès et les hébergeurs doivent conserver les données permettant d'identifier toute personne ayant contribué à la création d'un contenu en ligne, et les communiquer à l'autorité judiciaire sur réquisition (LCEN, article 6, renvoyant à l'article L34-1 du Code des postes et des communications électroniques et à ses décrets). Ne pas les conserver est puni d'un an d'emprisonnement et de 250 000 € d'amende.
Cette obligation explique une question classique d'examen : une organisation qui offre un accès Wi-Fi au public (médiathèque, centre de formation, résidence avec un espace commun) est assimilée à un fournisseur d'accès pour ce service. Elle doit pouvoir identifier qui s'est connecté et quand : un portail captif avec authentification individuelle et une journalisation des sessions conservée un an, plutôt qu'une clé Wi-Fi partagée entre tous les usagers. Ces journaux sont eux-mêmes des données personnelles : accès restreint, durée limitée, information des usagers.
Exercices
Exercice 1 sur 4 Éditeur ou hébergeur ? Réussi À revoir
Qualifie le rôle de Cèdre Habitat ou de son prestataire pour chaque contenu.
- L'article « Bienvenue dans la nouvelle résidence » rédigé par la communication et publié sur le site.
- Un message injurieux contre un gardien publié par un locataire sur le forum du portail.
- Le serveur loué chez l'hébergeur, qui fait tourner le site.
- Le même message injurieux, après que Cèdre Habitat l'a choisi et mis en avant dans la rubrique « Paroles de locataires ».
Voir la réponseMasquer la réponse de l'exercice 1
- Cèdre Habitat est éditeur : pleine responsabilité sur le contenu.
- Cèdre Habitat est hébergeur de ce message : elle n'est pas responsable tant qu'elle n'en a pas connaissance, mais doit le retirer promptement après un signalement.
- Le prestataire est hébergeur du site entier ; il n'est responsable d'aucun contenu du site sauf s'il ne réagit pas à une notification d'un contenu manifestement illicite.
- En choisissant et en mettant en avant ce contenu, Cèdre Habitat exerce un rôle actif : elle se comporte en éditeur de ce message et en répond pleinement.
Tu avais trouvé ?
Exercice 2 sur 4 Une notification Réussi À revoir
Un gardien découvre sur le forum du portail des messages qui publient son adresse personnelle et l'insultent. Il écrit à Cèdre Habitat par le formulaire de signalement, avec les liens des messages. Que doit faire Cèdre Habitat ? Que risque-t-elle si elle ne fait rien ?
Voir la réponseMasquer la réponse de l'exercice 2
La notification est précise (liens, motifs) : Cèdre Habitat a désormais connaissance effective de contenus manifestement illicites (injure, divulgation de données personnelles exposant la personne à un risque). Elle doit agir promptement : retirer ou rendre inaccessibles les messages, informer l'auteur de la décision et de ses motifs, et conserver les éléments d'identification de l'auteur pour une éventuelle réquisition judiciaire. Si elle ne fait rien, elle perd la protection de l'hébergeur (article 6 du DSA) : sa responsabilité civile, voire pénale, peut être engagée comme si elle avait publié les messages. Elle manque aussi à son obligation de sécurité envers son salarié.
Tu avais trouvé ?
Exercice 3 sur 4 Vérifier des mentions légales Réussi À revoir
La page « Mentions légales » du site d'une ESN de 25 salariés indique : « Site édité par WebSolutions. Hébergé par OVH. Contact : contact@websolutions.fr ». Qu'est-ce qui manque ?
Voir la réponseMasquer la réponse de l'exercice 3
Pour une société, l'article 1-1 de la LCEN exige : la dénomination exacte et la forme sociale, l'adresse du siège social, un numéro de téléphone, le numéro d'immatriculation au RCS et le capital social, le nom du directeur de la publication (en général son représentant légal), et pour l'hébergeur son nom complet, son adresse et son numéro de téléphone (« OVH » ne suffit pas). Si le site collecte des données, il faut un lien vers la politique de confidentialité ; s'il vend en ligne, les conditions générales de vente et le numéro de TVA. Sanction : un an d'emprisonnement et 75 000 € d'amende pour le dirigeant, 375 000 € pour la société.
Tu avais trouvé ?
Exercice 4 sur 4 Le Wi-Fi d'un centre de formation Réussi À revoir
Un centre de formation propose un Wi-Fi aux stagiaires et aux visiteurs, protégé par une clé WPA2 affichée à l'accueil. Le responsable informatique propose un portail captif. Justifie ce choix au regard du droit.
Voir la réponseMasquer la réponse de l'exercice 4
En offrant un accès à Internet au public, le centre est soumis, pour ce service, à l'obligation de conserver les données permettant d'identifier les utilisateurs (LCEN et Code des postes et des communications électroniques). Avec une clé partagée, il est impossible de savoir qui était connecté au moment d'un usage illicite : le centre ne peut pas répondre à une réquisition et risque des poursuites. Un portail captif avec un compte individuel (ou une identification préalable) et une journalisation des sessions (identifiant, adresse attribuée, heure de début et de fin) conservée un an répond à l'obligation. Le traitement doit respecter le RGPD : information des utilisateurs, accès restreint aux journaux, purge au-delà de la durée légale, inscription au registre.
Tu avais trouvé ?