Liberté d'expression, données, achats : ce que la loi garantit en ligne

Sur internet, les droits fondamentaux suivent l'utilisateur : droit d'accès à internet, liberté d'expression en ligne, droit à l'information, respect de la vie privée, protection des données personnelles, droit d'accès, de rectification et d'opposition. Ces droits utilisateurs internet reposent sur le droit du numérique : RGPD, loi pour la confiance dans l'économie numérique, droit de la presse, Code pénal. Chaque site web, chaque réseau social et chaque service en ligne doit les respecter.

Sur quels textes reposent vos droits sur internet ?

Il n'existe pas un « code d'internet » unique. Le droit de l'internet est une superposition de règles générales, pensées pour le monde physique, et de textes spécifiques au numérique. Ce cadre juridique a une conséquence pratique : un comportement interdit dans la rue l'est aussi sur un réseau social, et un droit reconnu à un citoyen le suit sur le web.

Au sommet, on trouve les droits fondamentaux. L'article 11 de la Déclaration des droits de l'homme et du citoyen de 1789 protège la libre communication des pensées et des opinions ; le Conseil constitutionnel en a tiré, dans sa décision du 10 juin 2009 sur la loi HADOPI, que cette liberté implique aujourd'hui la liberté d'accéder aux services de communication au public en ligne. L'article 9 du Code civil garantit le droit au respect de la vie privée. Au niveau du Conseil de l'Europe, la Convention européenne des droits de l'homme protège la vie privée (article 8) et la liberté d'expression (article 10), et le Comité des ministres a adopté en 2014 un guide des droits de l'homme pour les utilisateurs d'internet, qui rassemble ces garanties en langage clair.

Viennent ensuite les textes propres au numérique :

• la loi pour la confiance dans l'économie numérique (LCEN) du 21 juin 2004, qui organise la responsabilité des hébergeurs, des éditeurs de sites et des fournisseurs d'accès ;
• le règlement général sur la protection des données (RGPD), applicable depuis le 25 mai 2018, et la loi Informatique et libertés de 1978 modifiée ;
• le règlement européen sur les services numériques (Digital Services Act), applicable à toutes les plateformes depuis le 17 février 2024, qui fixe les obligations des entreprises du web face aux contenus illicites ;
• la loi du 21 mai 2024 visant à sécuriser et réguler l'espace numérique (SREN), qui adapte le droit français à ce règlement et renforce la lutte contre le cyberharcèlement et les arnaques en ligne.

Enfin, deux corps de règles anciens s'appliquent pleinement : la loi du 29 juillet 1881 sur la liberté de la presse, qui définit la diffamation et l'injure quel que soit le support, et le Code de la consommation, qui protège l'acheteur à distance. Retenir cette architecture aide à savoir vers qui se tourner : la CNIL pour les données, la police ou le procureur pour une infraction, la DGCCRF ou un médiateur pour un achat.

Le guide du Conseil de l'Europe, une charte lisible pour l'utilisateur

Un texte mérite d'être connu parce qu'il résume, en langage courant, ce que chaque utilisateur peut attendre : le guide des droits de l'homme pour les utilisateurs d'internet, adopté par le Comité des ministres du Conseil de l'Europe le 16 avril 2014 (recommandation CM/Rec(2014)6). Il n'invente aucun droit nouveau. Il traduit les obligations que les 46 États membres ont déjà acceptées en vertu de la Convention européenne des droits de l'homme, et il s'adresse directement à l'utilisateur, à la deuxième personne.

Le guide couvre sept domaines : l'accès et la non-discrimination, la liberté d'expression et d'information, la réunion, l'association et la participation, la vie privée et la protection des données personnelles, l'éducation et la culture, les enfants et les jeunes, et enfin le droit à un recours effectif. Pour chacun, il dit concrètement ce que les utilisateurs ont le droit d'obtenir : par exemple, ne pas voir son accès coupé sans décision encadrée, être informé quand un contenu est bloqué, pouvoir contester une décision d'une autorité ou d'une entreprise.

Deux passages concernent directement les familles. Le guide rappelle que l'enfant a droit à une protection particulière contre les contenus nuisibles et contre l'exploitation de ses données, et que le parent doit pouvoir s'appuyer sur des outils et une information claire pour l'accompagner. Il consacre aussi la participation des citoyens à la gouvernance de l'internet : les règles du réseau ne doivent pas être décidées par les seuls États ou les seules entreprises, mais dans un cadre multi-acteurs où la société civile, les experts techniques et les utilisateurs sont consultés.

Ce guide n'a pas de force contraignante propre, mais la Cour européenne des droits de l'homme applique les articles 8 et 10 de la Convention aux affaires numériques, et ses arrêts s'imposent à la France. Le lire, c'est avoir sous les yeux la grille que retiendra un juge européen.

Le droit d'accès à internet, une liberté reconnue

Peut-on vous couper internet ? En France, la réponse a été fixée en 2009. La première version de la loi HADOPI confiait à une autorité administrative le pouvoir de suspendre l'abonnement d'un internaute soupçonné de téléchargement illégal. Le Conseil constitutionnel a censuré ce mécanisme : parce que l'accès aux services en ligne est devenu une condition de l'exercice de la liberté d'expression et du droit à l'information, seule une décision d'un juge pouvait le restreindre. Cette décision de valeur constitutionnelle fait de l'accès au réseau un droit protégé, même s'il n'est pas un droit à un abonnement gratuit.

Ce principe se prolonge dans le service public. L'accès aux démarches administratives passe de plus en plus par le numérique, et le Défenseur des droits rappelle régulièrement que la dématérialisation ne doit pas priver de leurs droits les personnes éloignées de l'informatique : une administration doit maintenir une autre voie d'accès (guichet, téléphone, courrier) pour les usagers qui ne peuvent pas faire la démarche en ligne. Les espaces France services proposent un accompagnement gratuit à ces démarches.

Le droit à la connexion a aussi un volet matériel. Le service universel des communications électroniques garantit à chacun, sur demande, un raccordement à un tarif abordable, et les personnes en difficulté peuvent obtenir le maintien d'un accès minimal. Du côté des opérateurs, le principe de neutralité du net, posé par le règlement européen de 2015 sur l'internet ouvert, interdit de ralentir ou de bloquer un site ou un service pour des raisons commerciales : tous les contenus doivent circuler de manière égale, sauf mesures techniques de gestion du trafic prévues par la loi.

Liberté d'expression en ligne : ce que vous pouvez dire et ce qui est puni

La liberté d'expression sur internet est la même que dans la presse écrite : large, mais encadrée. Un internaute peut critiquer une entreprise, un élu, une œuvre ou une institution, donner son point de vue sur un produit dans un avis, publier une opinion minoritaire ou choquante. Le droit à la critique est protégé, y compris quand il dérange.

Les limites sont celles de la loi du 29 juillet 1881, qui s'applique à toute publication en ligne :

• la diffamation : l'allégation d'un fait précis qui porte atteinte à l'honneur d'une personne (par exemple accuser nommément quelqu'un d'avoir volé sa caisse) ;
• l'injure : une expression outrageante qui ne contient l'imputation d'aucun fait ;
• la provocation à la haine ou à la violence en raison de l'origine, de la religion, du sexe, de l'orientation sexuelle ou du handicap, ainsi que l'apologie de crimes.

Deux particularités du droit de la presse comptent en pratique. D'abord, le délai pour agir est court : la prescription est de trois mois à compter de la première publication pour une diffamation ou une injure ordinaire, et d'un an lorsque le propos est raciste, sexiste ou homophobe. Ensuite, la preuve de la vérité des faits et la bonne foi peuvent exonérer l'auteur d'une diffamation, ce qui protège le journalisme et l'information du public.

L'anonymat ne protège pas de ces règles. Le pseudonyme est permis, mais les hébergeurs et les fournisseurs d'accès conservent les données d'identification (adresse IP, identifiants de connexion) et doivent les communiquer à la justice sur réquisition. Un auteur « anonyme » de propos diffamatoires peut donc être identifié à l'issue d'une procédure.

Le droit de réponse existe aussi en ligne. La LCEN permet à toute personne nommée ou désignée dans un service de communication au public en ligne d'exiger l'insertion d'une réponse, dans un délai de trois mois à compter de la mise à disposition du message. La demande s'adresse au directeur de la publication du site, dont l'identité doit figurer dans les mentions légales.

Vie privée et données personnelles : vos droits face aux entreprises

Chaque visite sur un site, chaque compte créé, chaque achat alimente des fichiers. Le RGPD part d'un principe simple : ces données personnelles vous appartiennent au sens où vous gardez la maîtrise de leur usage. Toute collecte de données doit reposer sur une base légale (consentement, contrat, obligation légale, intérêt légitime), poursuivre une finalité précise et ne pas durer plus longtemps que nécessaire.

Les droits dont vous disposez sont nombreux, et chacun répond à une question concrète :

• droit à l'information : savoir, au moment de la collecte, qui traite vos données, pourquoi, combien de temps et avec qui elles sont partagées ; c'est l'objet des politiques de confidentialité, qui doivent être rédigées en termes clairs ;
• droit d'accès : obtenir une copie de toutes les données qu'un organisme détient sur vous ;
• droit de rectification : faire corriger une information inexacte ou compléter une information incomplète ;
• droit à l'effacement : faire supprimer des données, notamment quand elles ne sont plus nécessaires ou ont été collectées de façon illicite ;
• droit d'opposition : refuser un traitement, et en particulier la prospection commerciale, sans avoir à se justifier ;
• droit à la portabilité : récupérer ses données dans un format réutilisable pour les transférer à un autre service ;
• droit à la limitation : geler temporairement l'usage de ses données pendant une contestation.

Pour aller plus loin sur chacun de ces leviers et les modèles de courrier, la page consacrée à ce que le RGPD vous permet d'exiger sur vos données personnelles détaille les démarches pas à pas.

Les cookies obéissent à une règle propre : hors cookies strictement nécessaires au fonctionnement du site, un traceur ne peut être déposé qu'avec votre accord, et refuser doit être aussi simple qu'accepter. La CNIL a sanctionné plusieurs grands acteurs du web qui proposaient un bouton « tout accepter » sans bouton « tout refuser » équivalent.

Comment accéder à mes données collectées ?

La demande de droit d'accès se fait par écrit, auprès du délégué à la protection des données de l'organisme si elle en a un (ses coordonnées figurent dans la politique de confidentialité), ou via le formulaire prévu sur le site. Elle est gratuite. L'organisme doit répondre dans un délai d'un mois, qu'il peut prolonger de deux mois en cas de demande complexe, à condition de vous en informer. Il peut demander une pièce justifiant votre identité s'il a un doute raisonnable, mais pas exiger systématiquement une copie de carte d'identité. La réponse doit contenir la copie des données, mais aussi l'information sur leur origine, les finalités, les destinataires et la durée de conservation.

Que faire si une entreprise ne répond pas ?

Sans réponse dans le délai, ou en cas de réponse incomplète, une plainte peut être déposée en ligne auprès de la CNIL. L'autorité peut mettre en demeure l'organisme et prononcer des sanctions allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Vous pouvez aussi saisir directement le juge judiciaire pour obtenir réparation du préjudice subi du fait de la violation de vos droits.

Droits des utilisateurs sur les réseaux sociaux

Les réseaux sociaux sont des entreprises privées : leurs conditions générales et leurs règles d'utilisation fixent ce qu'on peut y publier, et elles peuvent retirer un contenu légal mais contraire à leur charte. Pour autant, les droits utilisateurs sur les réseaux sociaux ne dépendent pas seulement de ces règles maison. Depuis 2024, le Digital Services Act impose une obligation de transparence et des garanties de procédure :

• la plateforme doit mettre à disposition un moyen simple de signaler un contenu illicite et traiter le signalement avec diligence ;
• quand elle retire un contenu ou suspend un compte, elle doit en expliquer les motifs à l'utilisateur concerné ;
• celui-ci dispose d'un système interne de réclamation gratuit, puis peut saisir un organisme de règlement extrajudiciaire des litiges certifié ;
• la publicité ciblée fondée sur des données sensibles (santé, religion, orientation sexuelle) est interdite, et elle est interdite tout court pour les mineurs ;
• les très grandes plateformes doivent expliquer le fonctionnement de leurs systèmes de recommandation et proposer un fil qui ne repose pas sur le profilage.

La responsabilité des plateformes reste celle d'un hébergeur : elles ne sont pas tenues de surveiller a priori tout ce qui est publié, mais elles engagent leur responsabilité si elles ne retirent pas promptement un contenu manifestement illicite qui leur a été signalé. La loi Avia de 2020, qui voulait imposer un retrait en 24 heures, a été en grande partie censurée par le Conseil constitutionnel, précisément parce qu'elle risquait d'inciter les réseaux à supprimer des propos licites pour se protéger : un exemple de la difficulté à encadrer la liberté d'expression sans la restreindre.

Côté vie privée, les paramètres de confidentialité sont un droit à exercer soi-même : choisir qui voit ses publications, désactiver la reconnaissance faciale ou la géolocalisation, télécharger l'archive de son compte (droit à la portabilité). Supprimer un compte doit être possible sans parcours d'obstacles, et la suppression entraîne l'effacement des données, sous réserve des durées légales de conservation.

Questions fréquentes sur vos droits en ligne

Peut-on exiger qu'un moteur de recherche retire un lien vers une information me concernant ?

Le déréférencement est possible depuis l'arrêt Google Spain de la Cour de justice de l'Union européenne du 13 mai 2014. Vous pouvez demander au moteur de retirer, des résultats obtenus en tapant votre nom, un lien vers une information inexacte, obsolète ou excessive. Le moteur met en balance votre vie privée et l'intérêt du public à l'information ; en cas de refus, la CNIL peut être saisie.

Mon employeur peut-il surveiller ce que je publie sur internet ?

Un salarié conserve sa liberté d'expression hors de l'entreprise, mais il ne doit ni dénigrer publiquement son employeur ni divulguer d'informations confidentielles. Des propos tenus sur un compte public peuvent justifier une sanction ; ceux tenus dans un groupe privé restreint relèvent en principe de la correspondance privée.

Quelles sont les conséquences d'une violation des droits d'un utilisateur ?

Selon le cas, l'auteur s'expose à des sanctions pénales (harcèlement, diffamation, atteinte à la vie privée), à des dommages et intérêts devant le juge civil, ou à une amende administrative de la CNIL ou de la DGCCRF pour une entreprise. Plusieurs voies peuvent être engagées en même temps.

Un mineur a-t-il les mêmes droits sur internet qu'un adulte ?

Oui, avec des protections renforcées. En France, un mineur de moins de 15 ans ne peut consentir seul au traitement de ses données par un service en ligne : l'accord d'un titulaire de l'autorité parentale est requis. Le droit à l'effacement s'exerce plus facilement pour les données collectées pendant l'enfance.

Une donnée personnelle, c'est quoi exactement ?

Toute information qui permet d'identifier une personne physique, directement ou par recoupement : nom, adresse électronique, numéro de téléphone, adresse IP, photo, localisation, historique d'achats. Une donnée personnelle reste protégée même quand elle a été publiée par la personne elle-même sur un réseau social.

Cyberharcèlement et atteintes à la personne : ce que prévoit le Code pénal

Le harcèlement moral est défini par l'article 222-33-2-2 du Code pénal : des propos ou comportements répétés ayant pour effet une dégradation des conditions de vie de la victime, se traduisant par une altération de sa santé physique ou mentale. Le texte vise expressément le « raid » numérique : l'infraction est constituée quand plusieurs personnes s'en prennent à la même victime, de manière concertée ou même chacune de son côté en sachant que les propos s'accumulent, sans que chacune ait agi de façon répétée.

Le point décisif, souvent mal connu, tient au support : l'utilisation d'un service de communication au public en ligne est l'une des circonstances aggravantes prévues par l'article. Le harcèlement commis sur un réseau social, par messagerie ou sur un forum est donc puni de trois ans d'emprisonnement et 45 000 euros d'amende, et de cinq ans et 75 000 euros lorsque deux circonstances aggravantes sont réunies (par exemple une victime de moins de quinze ans harcelée en ligne).

Ces peines sont des maximums fixés par la loi : le tribunal individualise la sanction selon la gravité des faits et la personnalité de l'auteur. La loi SREN de 2024 a ajouté une peine complémentaire de suspension des comptes d'accès aux plateformes utilisés pour commettre l'infraction.

Pour la victime, la priorité est la preuve. Conserver des captures d'écran datées montrant l'adresse de la page, l'identifiant de l'auteur et le contenu ; faire, si possible, dresser un constat par un commissaire de justice, qui aura une valeur probante bien supérieure ; ne pas supprimer les messages reçus. La plainte peut être déposée au commissariat, à la gendarmerie ou par courrier au procureur de la République. Le numéro national 3018, géré par l'association e-Enfance, accompagne gratuitement les jeunes victimes et peut obtenir des plateformes le retrait accéléré de contenus.

Acheter en ligne : les droits du consommateur sur le web

Le commerce électronique est encadré par le Code de la consommation, qui donne à l'acheteur à distance des protections que n'a pas le client en magasin. La plus connue est le droit de rétractation : pour la plupart des achats sur un site marchand, vous disposez de 14 jours à compter de la réception du bien (ou de la conclusion du contrat pour un service) pour changer d'avis, sans motif et sans pénalité. Le vendeur doit rembourser toutes les sommes versées, frais de livraison standard compris, au plus tard 14 jours après avoir été informé de votre décision ; il peut différer ce remboursement jusqu'à récupération du bien ou preuve de son expédition.

Des exceptions existent : biens confectionnés selon vos spécifications, denrées périssables, prestations de loisirs à date déterminée (billets de spectacle, hôtel), contenu numérique fourni sans support matériel dont l'exécution a commencé avec votre accord exprès et votre renoncement à la rétractation.

Le site doit par ailleurs afficher son identité, ses coordonnées et son numéro d'immatriculation, le prix total toutes taxes comprises avec les frais, les délais de livraison et les modalités de retour. Les garanties légales (conformité pendant deux ans pour un bien neuf, vices cachés) s'appliquent comme en boutique. Pour une vue d'ensemble de ces protections, consultez notre dossier sur ce que le droit de la consommation garantit à chaque acheteur.

En cas de paiement frauduleux par carte sur internet, sans que vous ayez communiqué vos codes par négligence grave, la banque doit vous rembourser sans délai ; les démarches et les arguments à opposer à une banque réticente sont expliqués dans notre guide pour obtenir un remboursement après une fraude bancaire en ligne.

Quelles sont les obligations des entreprises et des sites web ?

La loi répartit les responsabilités des acteurs du numérique selon leur rôle. Cette distinction détermine qui répond d'un contenu illicite et à qui adresser une réclamation.

• L'éditeur d'un site (entreprise, association, particulier qui tient un blog) est responsable de ce qu'il publie, comme un directeur de publication de presse. Il doit publier des mentions légales identifiant le responsable.
• L'hébergeur stocke des contenus fournis par d'autres (réseau social, forum, plateforme de vidéos). Il n'est responsable que s'il ne retire pas promptement un contenu manifestement illicite qu'on lui a signalé.
• Le fournisseur d'accès transporte l'information sans la contrôler. Il peut être contraint par un juge ou une autorité à bloquer l'accès à un site illicite.

Toute entreprise qui traite des données doit en outre tenir un registre des traitements, sécuriser les informations (chiffrement, contrôle des accès), notifier à la CNIL toute violation de données dans les 72 heures lorsqu'elle présente un risque pour les personnes, et informer directement celles-ci si le risque est élevé. En matière d'accessibilité, les services publics en ligne et une partie des entreprises doivent rendre leurs services utilisables par les personnes handicapées, obligation élargie depuis juin 2025 par la transposition de l'acte européen sur l'accessibilité.

Qui saisir pour faire respecter ses droits en ligne ?

Face à une atteinte, la difficulté est souvent de savoir à quelle porte frapper. Le tableau ci-après rapproche chaque situation de l'interlocuteur compétent et du premier geste utile.

La plateforme européenne de règlement en ligne des litiges, longtemps citée pour les achats transfrontaliers, a fermé le 20 juillet 2025 : il faut désormais passer par le médiateur désigné par le vendeur, dont les coordonnées doivent figurer sur son site, ou par le réseau des Centres européens des consommateurs pour un vendeur établi dans un autre pays de l'Union.

Dès que l'enjeu est important (atteinte grave à la réputation, préjudice financier, procédure contre une plateforme étrangère), l'assistance d'un professionnel est utile. Le droit de la presse, en particulier, est un terrain de pièges de procédure où une assignation mal rédigée est nulle ; pour trouver la bonne compétence, voyez nos conseils pour choisir un avocat sans se tromper de spécialiste.

Droits d'auteur : ce que vous pouvez publier et réutiliser

Sur internet, le droit d'auteur s'applique exactement comme ailleurs. Une photo, un texte, une vidéo ou une musique accessible librement n'est pas pour autant libre de droits : la reproduire, la modifier ou la diffuser suppose l'accord de son auteur, sauf exceptions prévues par la loi (courte citation avec mention de la source, parodie, usage privé). Reprendre un article entier sur son blog ou utiliser une photo trouvée sur un moteur de recherche pour illustrer un site commercial constitue une contrefaçon.

Certaines œuvres sont diffusées sous licence libre, comme les licences Creative Commons, qui autorisent une réutilisation à des conditions affichées (citer l'auteur, pas d'usage commercial, partage dans les mêmes conditions). Lire la licence avant de réutiliser reste indispensable.

À l'inverse, vos propres créations sont protégées dès leur création, sans formalité. Pour pouvoir prouver votre antériorité en cas de plagiat, plusieurs moyens existent : l'enveloppe Soleau déposée auprès de l'INPI, le dépôt chez un commissaire de justice ou un notaire, ou l'adhésion à une société d'auteurs. Les plateformes de partage de contenus sont, depuis la directive européenne de 2019 transposée en 2021, tenues de conclure des accords avec les ayants droit ou de faire leurs meilleurs efforts pour empêcher la mise en ligne d'œuvres protégées.

Protéger ses droits au quotidien : réflexes concrets

Connaître la loi ne suffit pas toujours ; quelques habitudes évitent d'avoir à l'invoquer. Elles tiennent en peu de gestes :

1. lire, au moins en diagonale, la politique de confidentialité d'un service avant de créer un compte, et refuser les cookies non nécessaires ;
2. utiliser une adresse électronique distincte pour les inscriptions commerciales, afin de limiter la diffusion de vos informations ;
3. activer la double authentification sur les comptes sensibles (messagerie, banque, réseaux sociaux) ;
4. paramétrer la visibilité de ses publications et vérifier ce qu'un inconnu voit de son profil ;
5. conserver les confirmations de commande, les échanges avec un vendeur et les captures d'écran de tout contenu litigieux ;
6. exercer son droit d'accès de temps à autre auprès des services les plus utilisés, pour vérifier ce qu'ils savent de vous.

Ces réflexes ont un point commun : ils transforment un droit abstrait en preuve disponible le jour où il faut agir. Sur internet comme ailleurs, celui qui peut démontrer ce qui s'est passé obtient plus facilement le respect de ses droits, qu'il s'adresse à une plateforme, à la CNIL ou à un juge.