La Cour de justice de l'Union européenne a rendu un arrêt susceptible d'avoir des conséquences majeures pour le marché des VPN et l'avenir de la protection de la vie privée sur Internet en Europe. Les juges ont estimé que les fournisseurs de réseaux privés virtuels ne sont pas responsables lorsque les utilisateurs contournent les restrictions géographiques liées au droit d'auteur en se servant de leurs services. Il s'agit d'une des décisions les plus importantes concernant les VPN depuis de nombreuses années, qui envoie un signal fort à l'ensemble du secteur technologique. Le verdict a été rendu dans une affaire concernant l'édition numérique des manuscrits d'Anne Frank, mais ses conséquences pourraient aller bien au-delà du litige relatif aux droits d'auteur. L'affaire a été portée devant la Cour de justice de l'Union européenne suite à une question préjudicielle posée par la Cour suprême des Pays-Bas. Le litige portait sur la responsabilité d'un fournisseur de VPN lorsqu'un internaute utilise son service pour contourner le géoblocage et accéder à des contenus indisponibles dans son pays d'origine. La réponse de la Cour a été sans équivoque. Elle a souligné que le fournisseur de VPN ne met pas l'œuvre protégée à la disposition de l'utilisateur et ne joue aucun rôle déterminant dans sa diffusion. Les VPN ont été considérés comme des outils techniques neutres, susceptibles d'être utilisés aussi bien licitement que de manière illicite. Selon les juges, la responsabilité de toute violation de droits d'auteur incombe à l'entité qui publie les documents et à l'utilisateur qui prend des mesures spécifiques, et non à la société fournissant le service VPN.

L'affaire trouve son origine dans une édition scientifique en ligne des manuscrits d'Anne Frank, réalisée par des institutions de recherche néerlandaises. Cette publication a été mise en ligne sur un site web belge, car les œuvres sont déjà dans le domaine public en Belgique et dans des dizaines d'autres pays. Dans le même temps, un géoblocage a été mis en place pour empêcher l'accès aux utilisateurs résidant dans des pays où les lois sur le droit d'auteur sont encore en vigueur, notamment les Pays-Bas. La Fondation Anne Frank a fait valoir que cette protection est insuffisante car pratiquement n'importe quel internaute peut contourner le blocage grâce à un service VPN répandu. La fondation soutient que l'existence même d'une telle possibilité compromet l'efficacité du géoblocage. La simple possibilité de contourner un blocage ne constitue pas un motif de responsabilité. Les juges ont estimé qu'un géoblocage correctement mis en œuvre demeure un moyen efficace de restreindre l'accès aux contenus. Le fait qu'un utilisateur puisse sciemment utiliser un VPN pour modifier sa localisation n'invalide pas la légalité de la protection mise en place. La CJUE a également relevé que les propriétaires de sites web ne sont pas tenus d'introduire des méthodes d'identification des utilisateurs beaucoup plus intrusives, telles que la création obligatoire d'un compte ou la fourniture de données personnelles supplémentaires. Selon le tribunal, de telles solutions pourraient violer les droits des personnes utilisant ces documents dans des pays où leur publication reste parfaitement légale.

L’arrêt de la CJUE intervient à un moment où certains pays de l’Union européenne tentent de contraindre les opérateurs de VPN à bloquer activement certains sites web. L'exemple le plus médiatisé reste celui de la France. Les tribunaux français ont déjà ordonné à plusieurs grands fournisseurs de VPN, dont NordVPN, ExpressVPN, Proton VPN, Surfshark et CyberGhost, de bloquer l'accès aux services diffusant des événements sportifs sans les licences appropriées. Ces ordonnances ont été rendues en vertu du droit sportif français, et non du droit d'auteur. Par conséquent, elles ne contreviennent pas formellement à l'arrêt le plus récent de la CJUE. Toutefois, Proton a annoncé son intention de saisir la Cour de justice de l'Union européenne des décisions françaises. Le litige relatif à la responsabilité des opérateurs de VPN pourrait donc se retrouver à nouveau devant les juridictions européennes dans les années à venir. Cette décision récente renforce la position des entreprises proposant des services VPN. Ces dernières affirment depuis longtemps que leurs produits servent principalement à protéger la vie privée, à chiffrer le trafic internet et à accroître la sécurité lors de l'utilisation du réseau. La Cour a confirmé cette interprétation, soulignant que la simple mise à disposition d'un outil n'implique pas une responsabilité pour chaque utilisation qui en est faite par l'utilisateur. C’est également une nouvelle importante pour des millions d’Européens qui utilisent des VPN lorsqu’ils voyagent, travaillent à distance ou se connectent à des réseaux Wi-Fi publics. Cette décision ne légalise ni la violation du droit d’auteur ni le contournement des restrictions de licence, mais elle établit clairement la dissociation entre la responsabilité des fournisseurs de technologies et celle des utilisateurs.

Bien que la CJUE ait tranché les principales questions juridiques, l'affaire n'est pas encore close. La Cour suprême des Pays-Bas va désormais examiner si le géoblocage mis en œuvre par les institutions scientifiques répond effectivement aux exigences de sécurité actuelles. Si elle conclut que les solutions mises en œuvre étaient appropriées, la publication de l'édition numérique des manuscrits d'Anne Frank ne constituera pas une violation du droit d'auteur néerlandais. Quel que soit le verdict final du tribunal néerlandais, la décision de la Cour de justice de l'UE trace déjà une voie importante pour les futurs litiges concernant les VPN, le géoblocage et la responsabilité des fournisseurs d'accès à Internet.