Pendant dix-sept ans, l'avertissement est arrivé au nom du titulaire de l'abonnement, presque jamais à celui qui avait téléchargé. Dans les foyers où la box est au nom des parents, c'est donc un adulte qui ouvrait la lettre reprochant à la connexion familiale d'avoir servi à récupérer un film ou un album. Ce mécanisme s'arrête, non parce que le Parlement l'a voulu, mais parce que le Conseil d'État a coupé la chaîne technique qui permettait d'identifier les internautes.
Le 30 avril 2026, la plus haute juridiction administrative a jugé que le décret du 5 mars 2010, qui encadre le fichier utilisé pour la "réponse graduée", n'est pas conforme au droit européen. Deux reproches, très concrets. D'abord, ce texte n'impose pas aux opérateurs internet de conserver de façon cloisonnée les données qui permettent de relier une adresse IP à une identité : or la Cour de justice de l'Union européenne, saisie en 2021 par le Conseil d'État, l'exigeait dans un arrêt du 30 avril 2024 dès lors qu'il s'agit de réprimer des infractions peu graves. Ensuite, le décret autorise l'Arcom à recouper une troisième fois les données d'identité d'un abonné avec le contenu qu'il aurait piraté, sans passer par un juge ou une autorité administrative indépendante - ce que le droit de l'Union interdit au-delà de deux recoupements.
Le Conseil d'État enjoint donc au gouvernement de réécrire le décret. En attendant, il fixe des règles transitoires : l'Arcom ne peut demander à un opérateur d'identifier un abonné pour des faits peu graves que s'il est établi que les données ont été conservées dans les conditions européennes. Et elle ne peut croiser identité et contenus que pour les deux premiers avertissements.
Une administration morte en 2022, une machine arrêtée en 2026
Il faut remettre les dates dans l'ordre, parce que le récit public les mélange. La Hadopi, Haute Autorité pour la diffusion des oeuvres et la protection des droits sur internet, naît avec la loi du 12 juin 2009. Elle est déjà amputée avant de fonctionner : le 10 juin 2009, le Conseil constitutionnel censure la coupure d'accès décidée sans juge, qui était le coeur de la promesse politique. Il reste la lettre, puis la lettre recommandée, puis la transmission au parquet pour une contravention de négligence caractérisée dont l'amende maximale est de 1 500 euros.
Le 1er janvier 2022, l'institution disparaît en tant que telle : la loi du 25 octobre 2021 fusionne la Hadopi et le CSA dans l'Arcom, qui reprend le fichier et la procédure. Autrement dit, "Hadopi" n'existe plus administrativement depuis quatre ans. Ce qui s'éteint en 2026, c'est le dernier étage opérationnel de la riposte graduée : l'identification des abonnés à partir de leur adresse IP.
La Quadrature du Net a d'ailleurs choisi de dater le dispositif dans le titre de sa note publiée le jour de la décision : "Hadopi (2009-2026)". Pour les associations requérantes - La Quadrature du Net, French Data Network, Franciliens.net et la Fédération des fournisseurs d'accès associatifs, qui attaquent le dispositif depuis 2019 -, la mort légale du système date de cet arrêt, pas de la fusion de 2022. Les deux lectures ne se contredisent pas : "fin de la Hadopi" est un récit public juste, mais imprécis comme description juridique.
Ce qui s'arrête vraiment, et ce qui ne s'arrête pas
Concrètement, l'identification de l'abonné devient quasi impossible pour les faits ordinaires de piratage, faute de conservation cloisonnée chez les opérateurs. Sans identification, pas de première recommandation : la lettre qui a fait la célébrité du dispositif ne peut plus partir. Le troisième palier, lui, exigeait précisément le recoupement que le Conseil d'État soumet désormais à autorisation préalable ; aucun mécanisme de ce type n'existe aujourd'hui, ce qui suspend en pratique les transmissions au parquet.
Un garde-fou subsiste pour les dossiers lourds : lorsque les faits signalés relèvent du délit de contrefaçon, l'identification reste possible sans vérifier la manière dont les données ont été stockées. La lutte contre le piratage à grande échelle n'est donc pas désarmée.
Et rien n'est effacé. L'obligation de l'article L. 336-3 du code de la propriété intellectuelle - veiller à ce que sa connexion ne serve pas à pirater - reste en vigueur, tout comme la contravention de négligence caractérisée. Les ayants droit conservent leurs voies civiles et pénales classiques. Aucune amnistie n'est sortie de cette décision, ni pour les avertissements passés, ni pour les procédures en cours.
Il faut dire que la machine tournait déjà à vide : selon les chiffres cités par la presse spécialisée, l'Arcom a adressé environ 79 000 premiers avertissements en 2025, un tiers de moins que l'année précédente.
Le peer-to-peer n'était plus la bonne cible
La réponse graduée avait un angle mort technique. Elle reposait sur l'appariement d'adresses IP relevées sur les réseaux pair-à-pair : elle savait traquer un fichier partagé sur un logiciel de torrent, pas une plateforme de streaming illicite ni un abonnement IPTV. Or le piratage a migré vers ces canaux. Le rapport d'activité 2025 de l'Arcom le dit à sa manière, en évoquant "le renouvellement des outils de piratage notamment par le développement des IPTV".
Le régulateur y revendique parallèlement une baisse de 35 % du piratage depuis 2022. C'est une affirmation de l'Arcom, pas une mesure indépendante, et elle cohabite avec la montée des abonnements IPTV constatée dans le même document. La prudence s'impose : un dispositif qui ne produit presque plus de sanctions peut difficilement revendiquer la paternité d'une baisse qu'il ne mesure pas lui-même.
Ce qui remplace : agir sur les tuyaux plutôt que sur les gens
Le déplacement est net, et il est assumé. L'Arcom ne cherche plus principalement à corriger un comportement individuel par le courrier ; elle attaque l'infrastructure. Le rapport 2025 mentionne la préparation de nouveaux outils de blocage IP, expérimentés à Roland-Garros en 2026, l'extension du blocage de sites miroirs, et une action qui vise désormais les revendeurs de flux plus que les téléchargeurs.
Le deuxième pilier est la vérification de l'âge, imposée aux principaux sites pornographiques, à laquelle l'Arcom attribue une baisse de 40 % de la fréquentation par les mineurs en un an. Là encore, c'est un chiffre de l'institution, non un audit externe - et il pose une question qui dépasse le droit d'auteur : pour empêcher un mineur d'entrer, il faut vérifier l'âge de tout le monde, donc collecter des données d'identité sur des millions d'adultes. Le débat sur les risques de cette méthode pour la vie privée est loin d'être tranché.
Troisième pilier, plus discret mais décisif : mettre les plateformes à contribution. L'Arcom se félicite d'avoir intégré Netflix, Prime Video et Disney+ au financement de la création audiovisuelle et cinématographique, pour plus de 400 millions d'euros en 2025. La logique change de nature : on ne punit plus l'internaute qui contourne l'offre légale, on met à contribution les intermédiaires qui la diffusent.
Qui paie, et pour quel résultat
Sur le papier, le basculement a une cohérence économique. Traquer des individus coûtait cher en traitement de masse et rapportait peu : des associations de contribuables, hostiles au dispositif, avaient chiffré le coût cumulé à environ 82 millions d'euros pour quelque 87 000 euros de recettes - un calcul militant et daté, mais qui résume un déséquilibre réel entre la dépense administrative et le nombre de sanctions effectives.
Le nouveau modèle déplace la facture sans la faire disparaître. Les obligations de blocage, de vérification d'âge et de financement de la création pèsent sur les plateformes, qui les répercutent tôt ou tard dans leurs tarifs et dans leurs choix éditoriaux. Les internautes, eux, paient maintenant en données personnelles là où le système leur envoyait des courriers. Quant au budget public, il reste entièrement à la charge de l'État : l'Arcom fonctionne avec un budget d'environ 50 millions d'euros, quasi intégralement financé par subvention, selon un rapport de contrôle budgétaire du Sénat.
Il faut aussi reconnaître ce que la réponse graduée faisait, malgré tout. En 2020, la Hadopi indiquait que 75 % des abonnés destinataires d'une première ou d'une deuxième recommandation ne réitéraient pas dans les six ou douze mois. Le chiffre est exact, mais il porte sur une population étroite de destinataires de courriers, majoritairement des internautes occasionnels - pas sur les gros pourvoyeurs de fichiers, ni sur les réseaux IPTV qui alimentent aujourd'hui le marché noir.
Un dossier qui n'est pas clos
Le 21 septembre 2026, La Quadrature du Net a annoncé saisir de nouveau le Conseil d'État : selon l'association, le gouvernement n'a pas tiré les conséquences de la décision et refuse de l'appliquer. À la mi-novembre 2026, aucun nouveau décret n'a été publié.
Deux issues restent ouvertes. La première : l'exécutif laisse mourir la chaîne d'identification, et la riposte graduée rejoint les dispositifs qu'on n'abroge pas mais qu'on n'utilise plus. La seconde : il écrit un décret conforme, en imposant aux opérateurs une conservation cloisonnée et en créant l'autorisation préalable du troisième recoupement. Dans ce cas, la riposte graduée pourrait revenir, juridiquement plus solide qu'avant. Rien ne garantit aujourd'hui laquelle des deux voies sera suivie.
Pour un lycéen de 2026, le changement tient à peu de choses : la lettre au nom des parents ne partira plus, mais la page qu'il voulait ouvrir sera plus souvent bloquée, et il devra de plus en plus souvent prouver son âge pour accéder à un contenu. Le contrôle ne s'arrête pas ; il change de camp. Il quitte l'abonnement pour s'installer dans les tuyaux - au moment où le dispositif d'origine ne servait presque plus à rien.
