Journal Le RGPD, la section 230 du code des communication et le SPEECH act

21

31

août

2026

Il ne faut pas chercher très loin dans mon historique de commentaires pour voir que mon dada depuis quelque temps, c'est d'en apprendre plus sur la loi aussi bien en Europe qu'aux États Unis d'Amérique. Et comme je suis récompensé par du karma quand j'écris des commentaires et des journaux, je continue d'en parler.

Et aujourd'hui, je veux parler d'une loi qu'on devrait connaître en tant que membre de Linuxfr, mais qu'on ne connait sans doute pas, la section 230 du Communication Decency Act des USA. En simplifiant beaucoup, c'est un bout de loi datant de 1996 qui donne une certaine immunité aux plateformes du web face à des actions en justice. Je ne vais pas rentrer dans tout les détails, mais j'invite les gens qui veulent en savoir plus à lire The Twenty-Six Words That Created the Internet qui détaille l'histoire de la loi et les jurisprudences qui ont façonné son application depuis 30 ans.

Si j'en parle aujourd'hui, c'est parce qu'en lisant le livre, j'ai eu un sensation de déjà vu. Pas le genre de déja vu quand quelqu'un a fait un changement dans la matrice, ni un déjà vu parce que j'ai oublié que j'avais déjà lu un bouquin (oui, ça m'est arrivé une fois, mais vers 1/5 du livre, j'ai commencé à me dire que c'était quand même du repompage d'une autre histoire, et c'est en voyant que j'avais parfaitement anticipé la fin du livre que j'ai compris que je l'avais déjà lu). Non, j'avais une impression de déjà vu parce qu'un des cas présentés dans le livre était assez proche d'un autre cas arrivé en Europe il y a moins d'un an.

Dans le chapitre 5, le livre raconte l'histoire de Chase Masterson (de son vrai nom Christianne Carafano) et sa plainte contre la plateforme Matchmaker.com dans l'affaire Carafano v. Metrosplash.com en 2003. Pour résumer le cas très rapidement, quelqu'un a crée un compte sur le site de rencontre Matchmaker.com au nom de Chase avec des photos de l'actrice, et un email Yahoo configuré avec un auto répondeur donnant son téléphone et son adresse. Sans surprise, elle s'est retrouvé assez vite harcelée, et cette dernière a donc fait un procès à la plateforme pour, je cite, "defamation of character, misappropriation of the right of publicity, invasion of privacy and negligence" (diffamation, violation des droits de la personnalité, invasion de la vie privée et négligence). Long story short, elle a perdu en appel devant le 9eme circuit à cause de l'immunité conférée par la section 230 à MatchMaker, car cette dernière n'était qu'une intermédiaire à qui on ne peut alléguer la moindre responsabilité en cas de modération incorrecte.

Et en lisant ce passage, je me suis dit que ça ressemble quand même beaucoup à l'affaire Russmedia (X v. Russmedia Digital and Inform Media Press, C-492/23) qui a été décidé par la Cour de Justice de l'Union Européenne fin 2025. La Cour a du se pencher sur l'articulation entre le DSA et le RGPD.

J'ai pas besoin de présenter le RGPD, mais le DSA et son lien avec la section 230 est sans doute un peu moins connu. Le DSA, Digital Service Act, est une loi européenne qui comme son nom l'indique régule les services numériques. Entre autres choses, c'est une loi qui codifie une forme d'immunité aux plateformes et services intermédiaires sous certaines conditions, reprenant plus ou moins l'idée de la section 230. Pour ce point, elle remplace en partie la directive e-Commerce du 8 juin 2000 qui donnait également le même genre d'immunité, et c'est sur ce point qu'on va se concentrer sans rentrer dans les détails.

Dans l'affaire Russmedia, quelqu'un a crée en 2018 un compte au nom de la plaignante sur le site de petites annonces www.publi24.ro et a publié une offre de services sexuelles avec son numéro de téléphone et des photos d'elle. Le résumé de l'affaire ne détaille pas ce qui est arrivé, mais comme pour Chase Masterson, on se doute bien que si personne n'avait vu l'annonce et utilisé un téléphone, il n'y aurait sans doute pas eu d'affaire.

La plaignante a porté plainte en Roumanie, et je cite l'arrêt en anglais pour bien montrer la ressemblance entre les 2 cas:

Taking the view that the advertisement at issue in the main proceedings infringed her right of personal portrayal, and rights to honour, reputation and privacy, as well as the rules relating to the processing of personal data, the applicant in the main proceedings brought an action against Russmedia

En gros, droit de la personnalité, droit à l'honneur et à la réputation (donc diffamation), et vie privée. L'histoire ne se répète pas, mais elle rime.

Et contrairement à Chase Masterson, l'affaire a été décidé en faveur de la plaignante qui devrait donc assez logiquement gagner son procès devant la juridiction roumaine à l'origine de la demande (je rappelle que la CJUE ne décide pas sur les cas directement, mais sur les questions soumises par les cours plus basses qui vont ensuite trancher à partir de l'interprétation de la CJUE).

On a donc deux affaires qui se ressemblent beaucoup avec des résultats différents, mais quel est le rapport avec le RGPD et surtout, c'est quoi le SPEECH act dont je parle dans le titre ?

Il est établi sur vidéo que je connais le principe du pistolet de Chekov, donc si je mentionne quelque chose dans le titre, ça va sans doute arriver dans le 3eme acte si c'est pas déjà fait.

Le SPEECH act, c'est une loi américaine qui a été voté en 2010 en vue d'éviter le tourisme judiciaire. La législature US a décidé que les gens qui vont faire des procès en dehors du pays (exemple, au Royaume Uni), c'était contraire à la tradition de défense assez forte de la liberté d'expression et du premier amendement de leur constitution. Cette loi dit que si une cour à l'étranger décide qu'une personne est coupable de diffamation (avec un sens assez large), alors ce jugement ne sera applicable aux USA que si il est compatible avec la jurisprudence des USA. En gros, si je fait un procès à Londres à quelqu'un qui vit à New York, je peux gagner mon procès à Londres, mais je ne pourrait pas obtenir l'application du jugement devant une cour de New York sauf si j'aurais pu obtenir le même à New York. De ce que j'ai pu lire, il y a eu assez peu de procès autour de la loi en question, donc il n'y a pas beaucoup de littérature pour analyser son impact.

Ça, c'est pour le SPEECH act en très rapide. Pour le RGPD, ça va aussi aller vite car le nœud de l'affaire Russmedia, c’était de savoir si l'immunité d'une plateforme intermédiaires (ou d'un fournisseur de service, pour reprendre la terminologie du DSA) s'applique aussi pour les obligations du RGPD. En effet, dans son article 6 et son article 8, le DSA indique que l’hébergeur qui retire le contenu illégal promptement n'est pas responsable, et qu'il n'y a pas d'obligation de surveiller ou de chercher activement les faits illégaux. C'est ce que Russmedia a fait. Mais le RGPD indique que le contrôleur (Russmedia) doit s'assurer de pouvoir traiter les informations personnelles, notamment des données sensibles concernant la vie sexuelle de la plaignante (article 9 du RGPD), ce que Russmedia n'a pas fait, et se pose la question de la responsabilité. La CJUE a tranché en faveur de l'application du RGPD et donc estime qu'il y a une obligation de vérifier, etc, etc. En gros, le DSA dans ses articles 6 et 8 ne dispense pas des obligations vis à vis du RGPD, à minima pour le cas d'un site de petites annonces et de rencontres et peut être plus (c'est sujet à débat académique et à clarification par les juges, etc).

Je comprends bien qu'à ce se stade de la lecture, mon lectorat se demande ou je veux en venir, même si les plus rapides d'entre vous se doutent de la fin de mon histoire.

Si vous connaissez le RGPD, vous savez que pour envoyer des données en dehors de l'Union sans faire de la paperasse (article 46 et 47), il faut avoir une décision qui indique que les protections ailleurs est équivalente à celles qu'on a en Europe (article 45). Et pour moi, avoir plus ou moins le même cas avec 2 jugements opposés, c'est pas exactement ce que j'appellerais une protection équivalente. Si la personne qui a crée l'annonce dans l'affaire Russmedia l'avait crée sur un équivalent de Craig List en 2018, alors la plaignante aurait du faire un procès aux USA et l'aurait sans doute perdu vu la jurisprudence de 2003. Et même si elle avait fait un procès en Europe, le SPEECH act aurait pu être utilisé pour bloquer son applicabilité. Même si le texte du SPEECH act se limite à la diffamation, il indique bien que c'est au sens large et la volonté du Congrès était bien de protéger la liberté d'expression. Donc comme les juges en common law ont une certaine latitude avec la loi, ça aurait sans doute pu causer des soucis.

Bien sur, c'est un cas hypothétique parce que depuis 2018, la section 230 ne couvre plus vraiment ce qu'on pourrait assimiler à des cas de prostitution ou de trafic d'être humain suite au passage des lois FOSTA et SESTA, donc les plateformes de petites annonces ont largement retiré les sections pour adulte où on pouvait trouver ce genre d'annonces. Et d'ailleurs, au chapitre 9, le livre que je mentionne au début parle justement du site Backpage.com et de l'affaire Jane Doe, et al. v. Backpage.com qui a aboutit au passage des lois FOSTA-SESTA par le congrès (vu que justement, un juge a dit "la section 230 fait que backapge est pas coupable, c'est au congrès de changer la loi").

Pourquoi je raconte tout ça ?

Alors tout d'abord parce que j'ai trouvé ça intéressant de comparer le traitement de quasiment le même cas à 15 ans d'intervalle par 2 courts différentes.

Mais surtout parce que je pense que ça illustre bien la question de la balance qu'on se retrouve à avoir entre deux sujets importants concernant le web, à savoir d'un coté le droit à la liberté d'expression et de l'autre le droit à la vie privée. En effet, la section 230 a été mise en place en vue de réduire les risques de procès pour l'industrie naissante du web afin de maximiser les possibilités d'expression (free speech, tout ça, tout ça). Mais le RGPD est la pour rendre effective le droit à la vie privé y compris sur le web, et comme il s'agit dans les 2 cas de droits fondamentaux, c'est assez difficile de dire que l'un devrait passer devant l'autre.

Et vu les tensions actuelles entre les USA et l'UE, ça n'as pas fini d'être un sujet de discussion voir de tension.

Par exemple, Preston Byrne, l'avocat de 4chan dans son combat contre l'Office of communication, n’arrête pas de parler d'un GRANITE act visant à être une version un peu plus musclé du SPEECH act. Et ce dernier a été introduit à un niveau fédéral il y a 4 jours, agitant la fachosphère locale comme Alex Jones (je vais pas mettre de lien, faut pas déconner). Le texte va peut être aller mourir en commission comme tant de textes, ou peut être que la défense de l’exceptionnalisme de l'ex-colonie américaine face à la perfidie de l'ex-empire britannique combiné avec une défense du premier amendement de la constitution va aboutir à un soutien bipartisan. Et si c'est le cas et vu le texte proposé, il est possible que des questions intéressantes se posent dans quelques temps comme la contradiction entre l'arrêt Russmedia et le SPEECH/GRANITE act.

Je note d'ailleurs que les discussions sur la décision d'adéquation pour les transferts entre les USA et l'UE tourne beaucoup autour de détails comme l'affaire Trump v. Slaughter, cf les messages de NOYB. Mais je n'ai qu'assez rarement vu des discussions sur l'articulation entre le droit à la vie privée et la liberté d'expression alors que ça abonde dans la jurisprudence de la section 230 (ou ailleurs, voir ce cas récent au Royaume Uni sur le UK GDPR et son usage dans un cas de diffamation, un truc qui serait protégé par la section 230 aux USA mutatis mutandis). Je comprends bien que pousser ce genre de débat pour une ONG de défense de la vie privée serait contre productif car elle risquerait de se mettre à dos une partie de ses supporters qui sont plus pro liberté d'expression que pro vie privée en cas de conflit, mais en même temps, c'est un vrai probléme qui ne va pas disparaître parce qu'on évite le débat.