Ce que la Cour a vraiment décidé
L'affaire C-788/24 est arrivée devant la CJUE en raison d'une situation de droit d'auteur véritablement délicate: le Journal d'Anne Frank est tombé dans le domaine public en Belgique et dans plusieurs autres États membres de l'UE depuis des années, mais reste protégé aux Pays-Bas jusqu'en 2037, avec des droits détenus par l'Anne Frank Fonds depuis la mort d'Otto Frank. En 2021, une entité belge a publié en ligne une édition savante du journal, géobloquée pour empêcher les visiteurs néerlandais d'accéder à un contenu qui aurait quand même enfreint le droit d'auteur aux Pays-Bas. L'Anne Frank Fonds a quand même engagé une action, et l'affaire est remontée jusqu'à la plus haute juridiction de l'UE.
La réponse de la Cour, rendue le 9 juillet 2026, a été que publier en ligne un contenu du domaine public dans toute l'UE est légal même lorsque ce même contenu reste protégé ailleurs, à condition que le geoblocage de l'éditeur soit une mesure technique véritablement 'proportionnée et conforme à l'état de l'art'. Elle n'a pas besoin d'être parfaite. Un visiteur qui la contourne avec un VPN ne la rend pas, à lui seul, juridiquement inefficace - mais un système qui repose sur une simple déclaration honnete de localisation par les visiteurs échoue bien au test, selon l'arrêt.
Suffisamment bon, pas infaillible
La distinction tracée par la Cour pèse plus lourd qu'il n'y paraît à première vue. Avant cet arrêt, tout éditeur s'appuyant sur le geoblocage pour gérer son exposition transfrontalière au droit d'auteur n'avait aucune réponse claire à une question évidente: quel niveau d'efficacité le blocage doit-il vraiment atteindre? Un blocage parfait et impossible à contourner n'a jamais été réaliste, sachant que l'usage des VPN par les particuliers est légal et répandu dans toute l'UE. La réponse de la Cour supprime cette barre impossible et la remplace par une barre réelle - conforme aux standards du secteur, technologiquement à jour, sincèrement mise en œuvre -, tout en exigeant davantage qu'un simple système déclaratif sur l'honneur.
L'analyse juridique de CMS sur l'arrêt, signée par Sarah Wright, Agnes Solyom et Mike Walsh, relève que la Cour a laissé l'appréciation réelle de ce qui compte comme 'efficace' à la juridiction nationale néerlandaise saisie de l'affaire, en appliquant un test de proportionnalité plutôt qu'une liste de contrôle fixe. Aucune liste certifiée à l'échelle de l'UE de fournisseurs ou de méthodes de geoblocage conformes ne découle de cet arrêt - seulement une norme que les juridictions nationales doivent appliquer au cas par cas.
Les fournisseurs de VPN viennent d'obtenir un bouclier de responsabilité
La seconde moitié de l'arrêt est sans doute encore plus lourde de conséquences pour un secteur bien plus vaste que l'édition savante. La Cour a jugé que les fournisseurs de VPN ne peuvent pas être tenus responsables au seul motif que leur produit permet à un utilisateur de contourner le geoblocage d'un site web. C'est une réponse directe à une question juridique sous l'incertitude de laquelle les entreprises de VPN opéraient depuis des années: vendre un outil qui contourne une restriction géographique expose-t-il le vendeur à l'action en droit d'auteur de l'éditeur? La réponse de la CJUE, selon l'arrêt, est non - les VPN sont des outils techniques licites, et les utiliser pour contourner un geoblocage ne constitue pas, en soi, une atteinte au droit d'auteur ni un motif de responsabilité du fournisseur de VPN.
Cela protège tout un secteur juridique construit autour des outils de confidentialité et d'accès d'une théorie de responsabilité qui aurait sinon pu accompagner chaque litige de geoblocage en Europe. Cela ne touche pas les autres questions juridiques liées à l'usage des VPN - seulement celle-ci en particulier: le fait de permettre de contourner un geoblocage engage-t-il la responsabilité du fournisseur de l'outil.
La barre de conformité qui ne s'arrête jamais de bouger
Voici la partie de cet arrêt qui n'apparaîtra pas dans la plupart des titres: 'l'état de l'art' n'est pas une norme fixe. Elle se mesure à ce que la technologie de geoblocage et de détection des VPN est réellement capable de faire au moment où une juridiction examine la question - et cette capacité ne cesse de s'améliorer. La propre analyse de CMS souligne que les éditeurs font face à des obligations de 'maintenance technique continue' et peuvent avoir besoin d'un 'examen détaillé de l'architecture du système' pour défendre un dispositif précis, non d'un exercice de conformité ponctuel.
La conséquence pratique pour toute entreprise de l'UE qui restreint du contenu, des prix ou un accès par pays - plateformes de streaming, archives numériques, SaaS sous licence territoriale, pages de prix régionales - est qu'un dispositif de geoblocage qui franchit la barre aujourd'hui n'a aucune garantie de la franchir encore dans trois ans, même si le dispositif lui-même ne change pas du tout, simplement parce que la définition de 'l'état de l'art' continue de progresser tout autour. Une affaire portant sur un journal de guerre vient de remettre aux équipes de conformité de l'UE une norme sans ligne d'arrivée.
À lire ensuite: BritCard est mort, pas la date limite d'embauche | Le Royaume-Uni annule l'ID numérique, pas votre obligation
